EVPN VXLAN 및 Cisco ACI 기반 네트워크 패브릭 구현 경험과 간단한 비교

다이어그램 중간 부분의 연결을 평가합니다. 우리는 아래에서 그들에게 돌아갈 것입니다

어떤 시점에서는 대규모의 복잡한 L2 기반 네트워크가 불치병에 걸렸다는 사실을 발견할 수 있습니다. 우선, BUM 트래픽 처리 및 STP 프로토콜 작동과 관련된 문제입니다. 둘째, 아키텍처는 일반적으로 구식입니다. 이로 인해 가동 중지 시간과 불편한 취급 등 불쾌한 문제가 발생합니다.

우리는 고객이 옵션의 모든 장단점을 진지하게 평가하고 두 가지 다른 오버레이 솔루션을 선택하는 두 개의 병렬 프로젝트를 진행했으며 이를 구현했습니다.

구현을 비교해 볼 기회가 있었습니다. 착취가 아니라 XNUMX~XNUMX년 후에 이야기해야 합니다.

그렇다면 오버레이 네트워크와 SDN이 포함된 네트워크 패브릭이란 무엇입니까?

기존 네트워크 아키텍처의 시급한 문제를 해결하려면 어떻게 해야 합니까?

매년 새로운 기술과 아이디어가 등장합니다. 실제로, 좋은 구식 방법을 사용하여 모든 것을 손으로 수행하는 것도 가능하기 때문에 네트워크를 재구축해야 하는 긴급한 필요성은 오랫동안 발생하지 않았습니다. 그렇다면 지금이 XNUMX세기라면 어떨까요? 결국 관리자는 사무실에 앉아 있어서는 안 되고 일을 해야 합니다.

그러다가 대규모 데이터센터 건설 붐이 시작됐다. 그러다가 성능, 내결함성, 확장성 측면뿐만 아니라 기존 아키텍처의 개발 한계에 도달했음이 분명해졌습니다. 그리고 이러한 문제를 해결하기 위한 옵션 중 하나는 라우팅된 백본 위에 오버레이 네트워크를 구축하는 아이디어였습니다.

또한, 네트워크 규모가 증가함에 따라 이러한 공장을 관리하는 문제가 심각해졌고, 그 결과 전체 네트워크 인프라를 하나로 관리할 수 있는 기능을 갖춘 소프트웨어 정의 네트워킹 솔루션이 등장하기 시작했습니다. 그리고 네트워크가 단일 지점에서 관리되면 IT 인프라의 다른 구성 요소가 네트워크와 상호 작용하기가 더 쉽고 이러한 상호 작용 프로세스도 자동화하기가 더 쉽습니다.

네트워크 장비뿐만 아니라 가상화도 담당하는 거의 모든 주요 제조업체는 포트폴리오에 이러한 솔루션에 대한 옵션을 보유하고 있습니다.

남은 것은 무엇이 필요에 적합한지 파악하는 것입니다. 예를 들어, 훌륭한 개발 및 운영 팀을 갖춘 특히 대기업의 경우 공급업체의 패키지 솔루션이 항상 모든 요구 사항을 충족하는 것은 아니며 자체 SD(소프트웨어 정의) 솔루션을 개발하는 데 의존합니다. 예를 들어, 이들은 고객에게 제공되는 서비스 범위를 지속적으로 확장하는 클라우드 제공업체이며 패키지 솔루션은 고객의 요구 사항을 충족할 수 없습니다.

중간 규모 기업의 경우 공급업체가 박스형 솔루션 형태로 제공하는 기능은 99%의 경우에 충분합니다.

오버레이 네트워크란 무엇입니까?

오버레이 네트워크의 아이디어는 무엇입니까? 기본적으로 클래식 라우팅 네트워크를 사용하고 그 위에 또 다른 네트워크를 구축하여 더 많은 기능을 얻을 수 있습니다. 대부분의 경우 장비 및 통신 회선의 부하를 효과적으로 분산시켜 확장성 한계를 크게 높이고 안정성을 높이며 여러 보안 기능(분할로 인해)에 대해 이야기하고 있습니다. 게다가 SDN 솔루션은 매우 매우 편리하고 유연한 관리 기회를 제공하고 소비자를 위해 네트워크를 더욱 투명하게 만듭니다.

일반적으로 로컬 네트워크가 2010년대에 발명되었다면 1970년대 군대에서 물려받은 것과는 전혀 다른 모습이었을 것입니다.

오버레이 네트워크를 사용하여 패브릭을 구축하는 기술 측면에서 현재 많은 공급업체 구현 및 인터넷 RFC 프로젝트(EVPN+VXLAN, EVPN+MPLS, EVPN+MPLSoGRE, EVPN+Geneve 등)가 있습니다. 예, 표준이 있지만 제조업체마다 이러한 표준을 구현하는 방식이 다를 수 있으므로 이러한 공장을 만들 때 이론적으로만 공급업체 잠금을 완전히 버릴 수 있습니다.

SD 솔루션의 경우 상황이 훨씬 더 혼란스럽습니다. 각 공급업체마다 고유한 비전이 있기 때문입니다. 이론적으로는 스스로 완성할 수 있는 완전히 개방된 솔루션이 있고 완전히 폐쇄된 솔루션도 있습니다.

Cisco는 데이터 센터용 SDN 버전인 ACI를 제공합니다. 당연히 이는 네트워크 장비 선택 측면에서 100% 공급업체에 종속된 솔루션이지만 동시에 가상화 시스템, 컨테이너화, 보안, 오케스트레이션, 로드 밸런서 등과 완전히 통합됩니다. 모든 내부 프로세스에 대한 전체 액세스 가능성이 없는 일종의 블랙박스입니다. 모든 고객이 이 옵션에 동의하는 것은 아닙니다. 왜냐하면 귀하는 작성된 솔루션 코드의 품질과 구현에 전적으로 의존하기 때문입니다. 반면에 제조업체는 세계 최고의 기술 지원 중 하나를 보유하고 있으며 전담 팀을 보유하고 있습니다. 이 솔루션에. 첫 번째 프로젝트의 솔루션으로 Cisco ACI가 선택되었습니다.

두 번째 프로젝트에서는 주니퍼 솔루션이 선택되었습니다. 제조업체에서도 데이터센터용 SDN을 자체적으로 보유하고 있지만 고객사는 SDN을 구현하지 않기로 결정했습니다. 중앙 집중식 컨트롤러를 사용하지 않는 EVPN VXLAN 패브릭이 네트워크 구축 기술로 선택되었습니다.

왜 필요한가요?

공장을 만들면 쉽게 확장 가능하고 내결함성이 있으며 안정적인 네트워크를 구축할 수 있습니다. 아키텍처(리프-스파인)는 데이터 센터의 특성(트래픽 경로, 네트워크의 지연 및 병목 현상 최소화)을 고려합니다. 데이터센터의 SD 솔루션을 사용하면 이러한 공장을 매우 편리하고 신속하며 유연하게 관리하고 이를 데이터센터 생태계에 통합할 수 있습니다.

두 고객 모두 내결함성을 보장하기 위해 중복된 데이터 센터를 구축해야 했으며, 또한 데이터 센터 간의 트래픽을 암호화해야 했습니다.

첫 번째 고객은 이미 패브릭리스 솔루션을 네트워크의 가능한 표준으로 고려하고 있었지만 테스트에서 여러 하드웨어 공급업체 간의 STP 호환성 문제가 있었습니다. 서비스 중단을 초래하는 가동 중지 시간이 있었습니다. 그리고 고객에게는 이것이 매우 중요했습니다.

Cisco는 이미 고객의 기업 표준이었으며 ACI 및 기타 옵션을 살펴본 후 이 솔루션을 선택할 가치가 있다고 결정했습니다. 단일 컨트롤러를 통해 하나의 버튼으로 제어하는 ​​자동화가 마음에 들었습니다. 서비스가 더 빠르게 구성되고 더 빠르게 관리됩니다. 우리는 IPN과 SPINE 스위치 사이에 MACSec를 실행하여 트래픽 암호화를 보장하기로 결정했습니다. 따라서 우리는 암호화 게이트웨이 형태의 병목 현상을 피하고 이를 절약하며 최대 대역폭을 사용할 수 있었습니다.

두 번째 고객은 기존 데이터 센터에 이미 EVPN VXLAN 패브릭을 구현하는 소규모 설치가 있었기 때문에 주니퍼의 컨트롤러 없는 솔루션을 선택했습니다. 하지만 내결함성은 없었습니다(스위치 하나가 사용됨). 메인 데이터센터의 인프라를 확장하고, 백업 데이터센터에 공장을 짓기로 결정했습니다. 기존 EVPN은 완전히 사용되지 않았습니다. 모든 호스트가 하나의 스위치에 연결되었고 모든 MAC 주소와 /32 호스트 주소가 로컬이었고 해당 게이트웨이가 동일한 스위치였으며 다른 장치가 없었기 때문에 VXLAN 캡슐화는 실제로 사용되지 않았습니다. , VXLAN 터널을 구축해야 했던 곳입니다. 그들은 방화벽 간 IPSEC 기술을 사용하여 트래픽 암호화를 보장하기로 결정했습니다(방화벽의 성능은 충분했습니다).

그들은 또한 ACI를 시도했지만 벤더 잠금으로 인해 최근 구입한 새 장비 교체를 포함하여 너무 많은 하드웨어를 구입해야 하기로 결정했으며 이는 경제적으로 타당하지 않았습니다. 예, Cisco 패브릭은 모든 것과 통합되지만 패브릭 자체 내에서는 해당 장치만 가능합니다.

반면, 앞서 말했듯이 프로토콜 구현이 다르기 때문에 EVPN VXLAN 패브릭을 이웃 공급업체와 혼합할 수는 없습니다. 이는 하나의 네트워크에서 Cisco와 Huawei를 교차하는 것과 같습니다. 표준은 공통된 것처럼 보이지만 탬버린과 함께 춤을 춰야 합니다. 이것은 은행이고 호환성 테스트가 매우 길기 때문에 우리는 지금 동일한 공급업체에서 구매하는 것이 더 낫다고 결정했으며 기본 기능 이상의 기능에 너무 집착하지 않았습니다.

마이그레이션 계획

두 개의 ACI 기반 데이터 센터:

데이터 센터 간의 상호 작용 조직. Multi-Pod 솔루션이 선택되었습니다. 각 데이터 센터는 하나의 포드입니다. 스위치 수와 Pod 간 지연(RTT 50ms 미만)을 기준으로 확장하기 위한 요구 사항이 고려됩니다. 관리 용이성을 위해 다중 사이트 솔루션을 구축하지 않기로 결정했습니다(다중 포드 솔루션은 단일 관리 인터페이스를 사용하고 다중 사이트에는 두 개의 인터페이스가 있거나 다중 사이트 오케스트레이터가 필요함). 사이트 예약이 필요했습니다.

레거시 네트워크에서 서비스를 마이그레이션한다는 관점에서 가장 투명한 옵션을 선택하여 특정 서비스에 해당하는 VLAN을 점진적으로 전송했습니다.
마이그레이션을 위해 공장에서는 각 VLAN에 대해 해당 EPG(End-point-group)가 생성되었습니다. 먼저 L2를 통해 기존 네트워크와 Fabric 사이에 네트워크를 확장한 후 모든 호스트를 마이그레이션한 후 게이트웨이를 Fabric으로 이동하고 EPG는 L3OUT을 통해 기존 네트워크와 상호 작용하는 반면 L3OUT과 EPG 간의 상호 작용은 계약을 사용하여 설명되었습니다. 대략적인 다이어그램:

대부분의 ACI 팩토리 정책의 샘플 구조가 아래 그림에 나와 있습니다. 전체 설정은 다른 정책 등에 중첩된 정책을 기반으로 합니다. 처음에는 파악하기가 매우 어렵지만 실습에서 알 수 있듯이 점차적으로 네트워크 관리자는 약 한 달 만에 이 구조에 익숙해지고 그것이 얼마나 편리한지 이해하기 시작합니다.

비교

Cisco ACI 솔루션에서는 더 많은 장비(Inter-Pod 상호 작용 및 APIC 컨트롤러를 위한 별도의 스위치)를 구입해야 하므로 비용이 더 많이 듭니다. 주니퍼 솔루션은 컨트롤러나 액세서리를 구매할 필요가 없었습니다. 고객의 기존 장비를 부분적으로 활용하는 것이 가능했습니다.

두 번째 프로젝트의 두 데이터 센터에 대한 EVPN VXLAN 패브릭 아키텍처는 다음과 같습니다.

ACI를 사용하면 미리 만들어진 솔루션을 얻을 수 있습니다. 손댈 필요도 없고 최적화할 필요도 없습니다. 고객이 공장을 처음 접하는 동안에는 개발자가 필요하지 않으며 코드 및 자동화를 위한 지원 인력도 필요하지 않습니다. 사용하기 매우 쉽습니다. 마법사를 통해 많은 설정을 수행할 수 있지만 이는 특히 명령줄에 익숙한 사람들에게는 항상 장점이 ​​아닙니다. 어쨌든 새로운 트랙, 정책을 통해 설정의 특성 및 많은 중첩된 정책을 사용하여 두뇌를 재구성하는 데는 시간이 걸립니다. 이 외에도 정책과 개체의 이름을 지정하는 명확한 구조를 갖는 것이 매우 바람직합니다. 컨트롤러의 로직에 문제가 발생하면 기술 지원을 통해서만 해결할 수 있습니다.

EVPN에서 - 콘솔. 고통을 받거나 기뻐하십시오. 기존 경비원에게 친숙한 인터페이스입니다. 예, 표준 구성과 가이드가 있습니다. 마나를 피워야 합니다. 다양한 디자인, 모든 것이 명확하고 상세합니다.

당연히 두 경우 모두 마이그레이션할 때 가장 중요한 서비스(예: 테스트 환경)를 먼저 마이그레이션한 다음 모든 버그를 잡은 후 프로덕션으로 진행하는 것이 좋습니다. 그리고 금요일 밤에는 채널을 맞추지 마세요. 모든 것이 괜찮을 것이라고 공급업체를 믿어서는 안 됩니다. 항상 안전하게 플레이하는 것이 더 좋습니다.

Cisco가 현재 이 솔루션을 적극적으로 홍보하고 있으며 종종 좋은 할인 혜택을 제공하고 있지만 ACI에 대해 더 많은 비용을 지불하면 유지 관리 비용이 절약됩니다. 컨트롤러가 없는 EVPN 공장의 관리 및 자동화에는 투자와 정기적인 비용(모니터링, 자동화, 새로운 서비스 구현)이 필요합니다. 동시에 ACI의 최초 출시에는 30~40% 더 오랜 시간이 걸립니다. 이는 나중에 사용할 필수 프로필 및 정책의 전체 집합을 만드는 데 시간이 더 오래 걸리기 때문에 발생합니다. 그러나 네트워크가 성장함에 따라 필요한 구성 수가 감소합니다. 미리 생성된 정책, 프로필, 개체를 사용합니다. 세분화 및 보안을 유연하게 구성하고 EPG 간의 특정 상호 작용을 허용하는 계약을 중앙에서 관리할 수 있으므로 작업량이 급격히 줄어듭니다.

EVPN에서는 공장에서 각 장치를 구성해야 하므로 오류 가능성이 더 높습니다.

ACI는 구현 속도가 느린 반면 EVPN은 디버깅하는 데 거의 두 배의 시간이 걸렸습니다. Cisco의 경우 항상 지원 엔지니어에게 전화하여 네트워크 전체에 대해 문의할 수 있다면(솔루션으로 보장되기 때문에) Juniper Networks에서는 하드웨어만 구입하면 그것이 보장됩니다. 패키지가 기기에서 떠났나요? 글쎄요, 그럼 당신의 문제입니다. 그러나 솔루션 선택이나 네트워크 설계에 관한 질문을 열면 추가 비용을 내고 전문 서비스를 구매하라고 조언할 것입니다.

ACI 지원은 분리되어 있기 때문에 매우 훌륭합니다. 이를 위해 별도의 팀이 있습니다. 러시아어를 구사하는 전문가도 있습니다. 가이드는 자세하고 솔루션은 미리 결정되어 있습니다. 그들은보고 조언합니다. 그들은 종종 중요한 설계를 신속하게 검증합니다. Juniper Networks는 동일한 작업을 수행하지만 속도가 훨씬 느리므로(소문에 따르면 이제 더 좋아질 것입니다) 솔루션 엔지니어가 조언할 수 있는 모든 작업을 직접 수행해야 합니다.

Cisco ACI는 가상화 및 컨테이너화 시스템(VMware, Kubernetes, Hyper-V)과의 통합 및 중앙 집중식 관리를 지원합니다. 네트워크 및 보안 서비스(밸런싱, 방화벽, WAF, IPS 등)와 함께 사용 가능. 즉시 사용 가능한 우수한 마이크로 세분화. 두 번째 솔루션에서는 네트워크 서비스와의 통합이 매우 쉬우므로 이를 수행한 사람들과 미리 포럼에 대해 논의하는 것이 좋습니다.

합계

각 특정 사례에 대해 장비 비용뿐만 아니라 추가 운영 비용과 고객이 현재 직면하고 있는 주요 문제 및 계획을 고려하여 솔루션을 선택해야 합니다. IT 인프라 구축을 위한 것입니다.

ACI는 추가 장비로 인해 가격이 더 비싸지만 추가 마감 작업이 필요 없이 기성 솔루션으로 제공되며, 두 번째 솔루션은 운영 측면에서 더 복잡하고 비용이 많이 들지만 가격은 저렴합니다.

다양한 공급업체에서 네트워크 패브릭을 구현하는 데 드는 비용과 필요한 아키텍처 유형에 대해 논의하고 싶다면 만나서 채팅할 수 있습니다. 아키텍처에 대한 대략적인 스케치(예산을 계산할 수 있음)를 얻을 때까지 무료로 조언해 드리며, 물론 자세한 설명도 이미 지불되었습니다.

Vladimir Klepche, 기업 네트워크.

출처 : habr.com