Cisco ACI 데이터 센터용 네트워크 패브릭 - 관리자 지원

Cisco ACI 스크립트의 이 마법 같은 조각 덕분에 네트워크를 빠르게 설정할 수 있습니다.

Cisco ACI 데이터 센터의 네트워크 팩토리는 XNUMX년 동안 존재했지만 Habré는 그것에 대해 아무 말도 하지 않았기 때문에 조금 수정하기로 했습니다. 내 경험을 통해 그것이 무엇인지, 용도는 무엇이며 갈퀴가있는 위치를 알려 드리겠습니다.

그것은 무엇이며 어디에서 왔습니까?

2013년에 ACI(Application Centric Infrastructure)가 발표되었을 때 경쟁업체는 한 번에 XNUMX면에서 데이터 센터 네트워크에 대한 기존 접근 방식을 발전시키고 있었습니다.

한편으로 OpenFlow를 기반으로 하는 "XNUMX세대" SDN 솔루션은 네트워크를 보다 유연하고 동시에 저렴하게 만들 것을 약속했습니다. 아이디어는 전통적으로 독점적인 스위치 소프트웨어에 의해 수행되는 의사 결정을 중앙 컨트롤러로 옮기는 것이었습니다.

이 컨트롤러는 발생하는 모든 일에 대한 단일 비전을 갖고 이를 기반으로 특정 흐름을 처리하기 위한 규칙 수준에서 모든 스위치의 하드웨어를 프로그래밍합니다.
반면 오버레이 네트워크 솔루션은 가상화된 호스트 사이에 소프트웨어 터널을 구축해 물리적 네트워크를 전혀 변경하지 않고도 필요한 연결성 및 보안 정책을 구현할 수 있도록 했다. 이 접근 방식의 가장 잘 알려진 예는 Nicira로, 당시 Nicira는 이미 VMWare에 1,26억 XNUMX천만 달러에 인수되어 현재 VMWare NSX를 탄생시켰습니다. Nicira의 공동 창립자가 이전에 OpenFlow의 기원에 서 있던 동일한 사람들이라는 사실에 의해 상황의 일부 요점이 추가되었습니다. 이제 데이터 센터 공장을 구축하기 위해 OpenFlow는 적합하지 않습니다..

그리고 마지막으로 공개 시장에서 사용할 수 있는 스위칭 칩(상인 실리콘이라고 함)은 기존 스위치 제조업체에 실질적인 위협이 되는 성숙 단계에 도달했습니다. 이전에 각 공급 업체가 스위치 용 칩을 독립적으로 개발했다면 시간이 지남에 따라 주로 Broadcom의 타사 제조업체 칩이 기능 측면에서 공급 업체 칩과의 거리를 줄이기 시작했고 가격 대비 성능 비율 측면에서 이를 능가했습니다. 따라서 많은 사람들은 자신이 디자인한 칩의 스위치를 사용할 날이 얼마 남지 않았다고 믿었습니다.

ACI는 위의 모든 것에 대한 Cisco의 "비대칭 대응"(더 정확하게는 이전 직원이 설립한 Insieme 회사)이 되었습니다.

OpenFlow와의 차이점은 무엇입니까?

기능 분배 측면에서 ACI는 실제로 OpenFlow와 반대입니다.
OpenFlow 아키텍처에서 컨트롤러는 세부 규칙(흐름) 작성을 담당합니다.
모든 스위치의 하드웨어, 즉 대규모 네트워크에서 네트워크의 수백 지점에서 수천만 개의 레코드를 유지 관리하고 가장 중요하게 변경하는 일을 담당할 수 있으므로 성능과 안정성이 대규모 구현.

ACI는 반대 접근 방식을 사용합니다. 물론 컨트롤러도 있지만 스위치는 여기에서 높은 수준의 선언적 정책을 받고 스위치 자체가 하드웨어의 특정 설정 세부 정보로 렌더링을 수행합니다. 컨트롤러를 재부팅하거나 완전히 끌 수 있으며 현재 제어 부족을 제외하고는 네트워크에 나쁜 일이 발생하지 않습니다. 흥미롭게도 OpenFlow가 여전히 사용되지만 Open vSwitch 프로그래밍을 위해 호스트 내에서 로컬로 사용되는 ACI의 상황이 있습니다.

ACI는 전적으로 VXLAN 기반 오버레이 전송에 구축되지만 기본 IP 전송을 단일 솔루션의 일부로 포함합니다. Cisco는 이것을 "통합 오버레이" 용어라고 합니다. ACI에서 오버레이의 종료 지점으로 대부분의 경우 공장 스위치가 사용됩니다(링크 속도로 수행). 호스트는 공장, 캡슐화 등에 대해 알 필요가 없지만 경우에 따라(예: OpenStack 호스트 연결) VXLAN 트래픽을 가져올 수 있습니다.

오버레이는 ACI에서 전송 네트워크를 통한 유연한 연결을 제공할 뿐만 아니라 메타 정보를 전송하는 데에도 사용됩니다(예: 보안 정책 적용에 사용됨).

Broadcom의 칩은 이전에 Cisco에서 Nexus 3000 시리즈 스위치에 사용되었으며 ACI를 지원하기 위해 특별히 출시된 Nexus 9000 제품군에서는 원래 Merchant +라는 하이브리드 모델이 구현되었습니다. 이 스위치는 새로운 Broadcom Trident 2 칩과 ACI의 모든 마법을 구현하는 Cisco에서 개발한 보완 칩을 동시에 사용했습니다. 분명히 이것은 제품 출시 속도를 높이고 스위치의 가격표를 단순히 Trident 2를 기반으로 한 모델에 가까운 수준으로 낮추는 것을 가능하게 했습니다. 이 접근 방식은 ACI 배송의 처음 9000~XNUMX년 동안 충분했습니다. 이 기간 동안 Cisco는 자체 칩에서 더 많은 성능과 기능 세트를 제공하지만 동일한 가격 수준으로 차세대 Nexus XNUMX을 개발 및 출시했습니다. 공장에서의 상호 작용 측면에서 외부 사양은 완전히 보존됩니다. 동시에 내부 채우기가 완전히 변경되었습니다. 리팩토링과 같지만 철분입니다.

Cisco ACI 아키텍처의 작동 방식

가장 간단한 경우 ACI는 Klose 네트워크의 토폴로지 또는 자주 말하는 Spine-Leaf를 기반으로 구축됩니다. 스파인 레벨 스위치는 2개(또는 내결함성을 고려하지 않는 경우 3개)에서 XNUMX개까지 가능합니다. 따라서 그 수가 많을수록 내결함성(Spine 하나의 사고 또는 유지 보수 시 대역폭 및 안정성 감소가 낮음) 및 전체 성능이 높아집니다. 모든 외부 연결은 리프 수준 스위치로 이동합니다. 이들은 서버이며 LXNUMX 또는 LXNUMX를 통해 외부 네트워크와 도킹하고 APIC 컨트롤러를 연결합니다. 일반적으로 ACI를 사용하면 구성뿐만 아니라 통계 수집, 장애 모니터링 등 모든 것이 컨트롤러 인터페이스를 통해 수행되며 표준 크기 구현에는 세 가지가 있습니다.

네트워크를 시작하기 위해 콘솔을 사용하여 스위치에 연결할 필요가 없습니다. 컨트롤러 자체가 스위치를 감지하고 모든 서비스 프로토콜의 설정을 포함하여 스위치에서 공장을 조립하므로 매우 중요합니다. 설치하는 동안 설치되는 장비의 일련 번호를 기록하여 나중에 랙이 있는 스위치를 추측할 필요가 없습니다. 문제 해결을 위해 필요한 경우 SSH를 통해 스위치에 연결할 수 있습니다. 일반적인 Cisco show 명령을 매우 신중하게 재현합니다.

내부적으로 공장은 IP 전송을 사용하므로 스패닝 트리 및 과거의 다른 공포가 없습니다. 모든 링크가 관련되어 있으며 장애 발생 시 수렴이 매우 빠릅니다. 패브릭의 트래픽은 VXLAN 기반 터널을 통해 전송됩니다. 보다 정확하게는 Cisco 자체에서 iVXLAN 캡슐화를 호출하며 네트워크 헤더의 예약된 필드가 주로 EPG 그룹에 대한 트래픽 관계에 대한 서비스 정보를 전송하는 데 사용된다는 점에서 일반 VXLAN과 다릅니다. 이를 통해 일반 액세스 목록에서 주소가 사용되는 것과 동일한 방식으로 해당 번호를 사용하여 장비의 그룹 간 상호 작용 규칙을 구현할 수 있습니다.

터널을 사용하면 L2 세그먼트와 L3 세그먼트(즉, VRF)가 모두 내부 IP 전송을 통해 확장될 수 있습니다. 이 경우 기본 게이트웨이가 배포됩니다. 이는 각 스위치가 패브릭으로 들어오는 트래픽의 라우팅을 담당한다는 의미입니다. 트래픽 흐름 논리 측면에서 ACI는 VXLAN/EVPN 패브릭과 유사합니다.

그렇다면 차이점은 무엇입니까? 다른 모든 것!

ACI에서 발생하는 가장 큰 차이점은 서버가 네트워크에 연결되는 방식입니다. 기존 네트워크에서는 물리적 서버와 가상 머신을 모두 포함하면 VLAN으로 이동하고 연결, 보안 등 다른 모든 것은 VLAN에서 춤을 춥니다. ACI에서는 Cisco가 EPG(엔드포인트 그룹)라고 부르는 디자인이 사용됩니다. 도망칠 곳이 없습니다. VLAN과 동일시할 수 있습니까? 예, 하지만 이 경우 ACI가 제공하는 대부분의 것을 잃을 가능성이 있습니다.

EPG와 관련하여 모든 액세스 규칙이 공식화되고 ACI에서는 "화이트리스트" 원칙이 기본적으로 사용됩니다. 즉, 통과가 명시적으로 허용되는 트래픽만 허용됩니다. 즉, "Web" 및 "MySQL" EPG 그룹을 생성하고 포트 3306에서만 이들 간의 통신을 허용하는 규칙을 정의할 수 있습니다. 이는 네트워크 주소에 연결되지 않고 동일한 서브넷 내에서도 작동합니다!

이 기능 때문에 ACI를 선택한 고객이 있습니다. 서브넷 간에 끌지 않고(즉, 주소 지정을 건드리지 않고) 서버 간(가상이든 물리적이든 상관 없음) 액세스를 제한할 수 있기 때문입니다. 예, 예, 아무도 애플리케이션 구성에서 수동으로 IP 주소를 지정하지 않는다는 것을 알고 있습니다.

ACI의 트래픽 규칙을 계약이라고 합니다. 이러한 계약에서 다중 계층 애플리케이션의 하나 이상의 그룹 또는 수준은 서비스 공급자(예: 데이터베이스 서비스)가 되고 다른 그룹은 소비자가 됩니다. 계약은 단순히 트래픽을 전달할 수도 있고 더 까다로운 작업을 수행할 수도 있습니다. 예를 들어 트래픽을 방화벽이나 밸런서로 보내고 QoS 값을 변경할 수도 있습니다.

서버는 어떻게 이러한 그룹에 포함됩니까? 물리적 서버이거나 VLAN 트렁크를 생성한 기존 네트워크에 포함된 서버인 경우 EPG에 배치하려면 스위치 포트와 사용된 VLAN을 가리켜야 합니다. 보시다시피 VLAN은 VLAN 없이는 할 수 없는 곳에 나타납니다.

서버가 가상 머신인 경우 연결된 가상화 환경을 참조하는 것으로 충분하며 모든 것이 자체적으로 발생합니다. VM을 연결하기 위해 포트 그룹이 생성되고(VMWare 측면에서) 필요한 VLAN 또는 VXLAN이 생성됩니다. 할당되면 필요한 스위치 포트 등에 등록됩니다. 따라서 ACI는 물리적 네트워크를 중심으로 구축되지만 가상 서버 연결은 물리적 연결보다 훨씬 간단해 보입니다. ACI에는 이미 VMWare 및 MS Hyper-V와의 연결 기능이 내장되어 있을 뿐만 아니라 OpenStack 및 RedHat Virtualization에 대한 지원도 있습니다. 어느 시점부터 Kubernetes, OpenShift, Cloud Foundry와 같은 컨테이너 플랫폼에 대한 기본 제공 지원도 나타났습니다. 이는 정책 적용 및 모니터링과 관련됩니다. 즉, 네트워크 관리자는 어떤 포드가 작동하는지 즉시 확인할 수 있습니다. 그들이 속한 그룹.

특정 포트 그룹에 포함되는 것 외에도 가상 서버에는 이름, 속성 등의 추가 속성이 있습니다. 이 속성은 예를 들어 VM 이름이 변경되거나 추가 태그가 나타날 때 다른 그룹으로 전송하기 위한 기준으로 사용할 수 있습니다. 그것. 시스코는 이것을 마이크로 세분화 그룹이라고 부르지만, 대체로 동일한 서브넷에서 EPG 형태로 많은 보안 세그먼트를 생성할 수 있는 기능을 갖춘 디자인 자체도 상당한 마이크로 세분화입니다. 판매자가 더 잘 압니다.

EPG 자체는 특정 스위치, 서버 등에 연결되지 않은 순전히 논리적 구성이므로 복제와 같은 일반 네트워크에서 수행하기 어려운 작업을 수행하고 이를 기반으로 구성(응용 프로그램 및 테넌트)할 수 있습니다. 결과적으로 프로덕션 환경과 동일함을 보장하는 테스트 환경을 얻기 위해 프로덕션 환경을 복제하는 것이 매우 쉽다고 가정해 보겠습니다. 수동으로 수행할 수 있지만 API를 통해 더 좋고 더 쉽습니다.

일반적으로 ACI의 제어 논리는 일반적으로 만나는 것과 전혀 유사하지 않습니다.
동일한 Cisco의 기존 네트워크에서 소프트웨어 인터페이스는 기본이고 GUI 또는 CLI는 동일한 API를 통해 작동하므로 보조입니다. 따라서 ACI에 관련된 거의 모든 사람은 시간이 지나면 관리에 사용되는 개체 모델을 탐색하고 필요에 맞게 무언가를 자동화하기 시작합니다. 이를 수행하는 가장 쉬운 방법은 Python을 사용하는 것입니다. 편리한 기성 도구가 있습니다.

약속된 갈퀴

주요 문제는 ACI의 많은 작업이 다르게 수행된다는 것입니다. 정상적으로 작업을 시작하려면 재교육이 필요합니다. 엔지니어가 수년간 요청 시 "VLAN을 처방"해 온 대규모 고객의 네트워크 운영 팀의 경우 특히 그렇습니다. 이제 VLAN이 더 이상 VLAN이 아니며 새로운 네트워크를 가상화된 호스트에 배치하기 위해 수동으로 VLAN을 생성할 필요가 없다는 사실은 기존 네트워커의 지붕을 완전히 날려버리고 익숙한 접근 방식에 집착하게 만듭니다. Cisco는 알약을 조금 더 달콤하게 만들고 "NXOS와 같은" CLI를 컨트롤러에 추가하여 기존 스위치와 유사한 인터페이스에서 구성을 수행할 수 있다는 점에 유의해야 합니다. 그러나 여전히 ACI를 정상적으로 사용하려면 작동 방식을 이해해야 합니다.

가격 측면에서 대규모 및 중간 규모에서 ACI 네트워크는 동일한 스위치를 사용하여 구축하기 때문에 Cisco 장비의 기존 네트워크와 실제로 다르지 않습니다(Nexus 9000은 ACI 및 기존 모드에서 작동할 수 있으며 이제 주요 네트워크가 되었습니다. 새로운 데이터 센터 프로젝트의 "일꾼"). 그러나 두 스위치의 데이터 센터의 경우 컨트롤러와 Spine-Leaf 아키텍처의 존재가 물론 느껴집니다. 최근에는 XNUMX개의 컨트롤러 중 XNUMX개를 가상 머신으로 대체하는 Mini ACI 공장이 등장했습니다. 이것은 비용의 차이를 줄이지만 여전히 남아 있습니다. 따라서 고객의 선택은 보안 기능, 가상화와의 통합, 단일 제어 지점 등에 얼마나 관심이 있는지에 따라 결정됩니다.

출처 : habr.com