ProHoster > Blogs > Administrācija > Pieredze tīkla audumu ievieŔanā uz EVPN VXLAN un Cisco ACI bāzes un īss salīdzinājums

Pieredze tīkla audumu ievieŔanā uz EVPN VXLAN un Cisco ACI bāzes un īss salīdzinājums

Pieredze tīkla audumu ievieŔanā uz EVPN VXLAN un Cisco ACI bāzes un īss salīdzinājums
Novērtējiet savienojumus diagrammas vidusdaļā. Mēs pie tiem atgriezīsimies tālāk.

Kādā brÄ«dÄ« jÅ«s varat atklāt, ka lieli, sarežģīti L2 tÄ«kli ir neārstējami slimi. Pirmkārt, problēmas, kas saistÄ«tas ar BUM trafika apstrādi un STP protokola darbÄ«bu. Otrkārt, arhitektÅ«ra kopumā ir novecojusi. Tas rada nepatÄ«kamas problēmas dÄ«kstāves un neērtas lietoÅ”anas veidā.

Mums bija divi paralēli projekti, kur pasūtītāji prātīgi novērtēja visus variantu plusus un mīnusus un izvēlējās divus dažādus pārklājuma risinājumus, un mēs tos ieviesām.

Bija iespēja salīdzināt realizāciju. Ne ekspluatācija; mums par to vajadzētu runāt pēc diviem vai trim gadiem.

Tātad, kas ir tīkla struktūra ar pārklājuma tīkliem un SDN?

Ko darīt ar klasiskās tīkla arhitektūras aktuālajām problēmām?

Katru gadu parādās jaunas tehnoloÄ£ijas un idejas. Praksē steidzama nepiecieÅ”amÄ«ba atjaunot tÄ«klus neradās diezgan ilgu laiku, jo ir iespējams arÄ« visu izdarÄ«t manuāli, izmantojot vecās labās metodes. Ko darÄ«t, ja ir divdesmit pirmais gadsimts? Galu galā administratoram ir jāstrādā, nevis jāsēž savā birojā.

Tad sākās liela mēroga datu centru bÅ«vniecÄ«bas bums. Tad kļuva skaidrs, ka ir sasniegta klasiskās arhitektÅ«ras attÄ«stÄ«bas robeža ne tikai veiktspējas, kļūdu tolerances un mērogojamÄ«bas ziņā. Un viena no Å”o problēmu risināŔanas iespējām bija ideja izveidot pārklājuma tÄ«klus uz marÅ”rutēta mugurkaula.

Turklāt, palielinoties tÄ«klu mērogam, ir kļuvusi aktuāla Ŕādu rÅ«pnÄ«cu pārvaldÄ«bas problēma, kā rezultātā sāka parādÄ«ties programmatÅ«ras definēti tÄ«kla risinājumi ar iespēju pārvaldÄ«t visu tÄ«kla infrastruktÅ«ru kā vienotu veselumu. Un, kad tÄ«kls tiek pārvaldÄ«ts no viena punkta, citiem IT infrastruktÅ«ras komponentiem ir vieglāk ar to mijiedarboties, un Ŕādus mijiedarbÄ«bas procesus ir vieglāk automatizēt.

GandrÄ«z katrs lielākais ne tikai tÄ«kla iekārtu, bet arÄ« virtualizācijas ražotājs savā portfelÄ« piedāvā Ŕādu risinājumu iespējas.

Atliek tikai izdomāt, kas ir piemērots kādām vajadzÄ«bām. Piemēram, Ä«paÅ”i lieliem uzņēmumiem ar labu izstrādes un darbÄ«bas komandu piegādātāju komplektētie risinājumi ne vienmēr apmierina visas vajadzÄ«bas, un viņi Ä·eras pie savu SD (programmatÅ«ras definēto) risinājumu izstrādes. Piemēram, tie ir mākoņpakalpojumu sniedzēji, kuri pastāvÄ«gi paplaÅ”ina saviem klientiem sniegto pakalpojumu klāstu, un kompleksie risinājumi vienkārÅ”i nespēj sekot viņu vajadzÄ«bām.

Vidējiem uzņēmumiem ar pārdevēja piedāvāto funkcionalitāti kastes risinājuma veidā pietiek 99 procentos gadījumu.

Kas ir pārklājuma tīkli?

Kāda ir pārklājuma tÄ«klu ideja? BÅ«tÄ«bā jÅ«s izmantojat klasisku marÅ”rutētu tÄ«klu un izveidojat tam citu tÄ«klu, lai iegÅ«tu vairāk funkciju. Visbiežāk mēs runājam par efektÄ«vu aprÄ«kojuma un sakaru lÄ«niju slodzes sadali, ievērojami palielinot mērogojamÄ«bas ierobežojumu, palielinot uzticamÄ«bu un virkni droŔības labumu (segmentācijas dēļ). Un SDN risinājumi papildus tam sniedz iespēju ļoti, ļoti, ļoti ērtai elastÄ«gai administrÄ“Å”anai un padara tÄ«klu pārskatāmāku tā patērētājiem.

Kopumā, ja vietējie tÄ«kli bÅ«tu izgudroti 2010. gados, tie izskatÄ«tos daudz savādāki nekā tas, ko mēs mantojām no militārpersonām 1970. gados.

AttiecÄ«bā uz tehnoloÄ£ijām audumu veidoÅ”anai, izmantojot pārklājuma tÄ«klus, paÅ”laik ir daudz pārdevēju ievieÅ”anas un interneta RFC projektu (EVPN+VXLAN, EVPN+MPLS, EVPN+MPLSoGRE, EVPN+Geneve un citi). Jā, ir standarti, taču Å”o standartu ievieÅ”ana dažādiem ražotājiem var atŔķirties, tāpēc, veidojot Ŕādas rÅ«pnÄ«cas, pilnÄ«bā atteikties no pārdevēja slēdzenes joprojām ir iespējams tikai teorētiski uz papÄ«ra.

Izmantojot SD risinājumu, lietas ir vēl mulsinoŔākas; katram pārdevējam ir savs redzējums. Ir pilnÄ«gi atvērti risinājumi, kurus teorētiski var pabeigt pats, un ir pilnÄ«gi slēgti.

Cisco piedāvā savu SDN versiju datu centriem - ACI. Protams, tas ir 100% pārdevēju bloķēts risinājums tÄ«kla aprÄ«kojuma izvēles ziņā, taču tajā paŔā laikā tas ir pilnÄ«bā integrēts ar virtualizācijas sistēmām, konteinerizāciju, droŔību, orÄ·estrÄ“Å”anu, slodzes balansētājiem utt. Taču bÅ«tÄ«bā tas joprojām ir veida melnā kaste, bez iespējas pilnÄ«bā piekļūt visiem iekŔējiem procesiem. Ne visi klienti piekrÄ«t Å”ai iespējai, jo jÅ«s esat pilnÄ«bā atkarÄ«gs no rakstÄ«tā risinājuma koda kvalitātes un tā ievieÅ”anas, bet, no otras puses, ražotājam ir viens no labākajiem tehniskajiem atbalsta veidiem pasaulē un tam ir tikai Ä«paÅ”a komanda. Å”im risinājumam. Cisco ACI tika izvēlēts kā risinājums pirmajam projektam.

Otrajam projektam tika izvēlēts Kadiķa risinājums. Ražotājam ir arī savs SDN datu centram, taču klients nolēma SDN neieviest. Kā tīkla izveides tehnoloģija tika izvēlēts EVPN VXLAN audums, neizmantojot centralizētus kontrolierus.

Kam tas paredzēts?

RÅ«pnÄ«cas izveide ļauj izveidot viegli mērogojamu, defektu izturÄ«gu un uzticamu tÄ«klu. ArhitektÅ«ra (lapu mugurkauls) ņem vērā datu centru Ä«paŔības (satiksmes ceļi, lÄ«dz minimumam samazinot kavējumus un vājās vietas tÄ«klā). SD risinājumi datu centros ļauj ļoti ērti, ātri un elastÄ«gi vadÄ«t Ŕādu rÅ«pnÄ«cu un integrēt to datu centra ekosistēmā.

Abiem klientiem bija jāveido lieki datu centri, lai nodroÅ”inātu kļūdu toleranci, turklāt bija jāŔifrē trafika starp datu centriem.

Pirmais klients jau apsvēra risinājumus bez audumiem kā iespējamu standartu saviem tīkliem, taču testos viņiem bija problēmas ar STP saderību starp vairākiem aparatūras pārdevējiem. Bija dīkstāves, kas izraisīja pakalpojumu avārijas. Un klientam tas bija kritiski.

Cisco jau bija klienta korporatÄ«vais standarts, viņi apskatÄ«ja ACI un citas iespējas un nolēma, ka ir vērts izmantot Å”o risinājumu. Man patika vadÄ«bas automatizācija no vienas pogas caur vienu kontrolieri. Pakalpojumi tiek konfigurēti un pārvaldÄ«ti ātrāk. Mēs nolēmām nodroÅ”ināt trafika Å”ifrÄ“Å”anu, palaižot MACSec starp IPN un SPINE slēdžiem. Tādējādi mums izdevās izvairÄ«ties no vājās vietas kriptogrāfijas vārtejas veidā, ietaupÄ«t uz tām un izmantot maksimālo joslas platumu.

Otrs klients izvēlējās Juniper bezvadÄ«bas risinājumu, jo viņu esoÅ”ajā datu centrā jau bija neliela instalācija, kurā tika ieviests EVPN VXLAN audums. Bet tur tas nebija izturÄ«gs pret defektiem (tika izmantots viens slēdzis). Mēs nolēmām paplaÅ”ināt galvenā datu centra infrastruktÅ«ru un bÅ«vēt rÅ«pnÄ«cu rezerves datu centrā. EsoÅ”ais EVPN netika pilnÄ«bā izmantots: VXLAN iekapsulÄ“Å”ana faktiski netika izmantota, jo visi resursdatori bija savienoti ar vienu slēdzi, un visas MAC adreses un /32 resursdatora adreses bija lokālas, vārteja tām bija tas pats slēdzis, citu ierīču nebija. , kur bija nepiecieÅ”ams izbÅ«vēt VXLAN tuneļus. Viņi nolēma nodroÅ”ināt trafika Å”ifrÄ“Å”anu, izmantojot IPSEC tehnoloÄ£iju starp ugunsmÅ«riem (ugunsmÅ«ra veiktspēja bija pietiekama).

Viņi arÄ« izmēģināja ACI, taču nolēma, ka pārdevēja bloÄ·Ä“Å”anas dēļ viņiem bÅ«s jāiegādājas pārāk daudz aparatÅ«ras, tostarp jānomaina nesen iegādāts jauns aprÄ«kojums, un tam vienkārÅ”i nebija ekonomiskas jēgas. Jā, Cisco audums integrējas ar visu, bet tikai tā ierÄ«ces ir iespējamas paŔā audumā.

No otras puses, kā jau teicām iepriekÅ”, jÅ«s nevarat vienkārÅ”i sajaukt EVPN VXLAN audumu ar jebkuru blakus esoÅ”o pārdevēju, jo protokolu ievieÅ”anas ir atŔķirÄ«gas. Tas ir kā Ŕķērsot Cisco un Huawei vienā tÄ«klā ā€” Ŕķiet, ka standarti ir izplatÄ«ti, taču jums bÅ«s jādejo ar tamburÄ«nu. Tā kā Ŕī ir banka un saderÄ«bas testi bÅ«tu ļoti ilgi, mēs nolēmām, ka labāk ir tagad iegādāties no tā paÅ”a pārdevēja un pārāk neaizrauties ar funkcionalitāti, kas pārsniedz pamata funkcijas.

Migrācijas plāns

Divi uz ACI balstīti datu centri:

Pieredze tīkla audumu ievieŔanā uz EVPN VXLAN un Cisco ACI bāzes un īss salīdzinājums

MijiedarbÄ«bas organizÄ“Å”ana starp datu centriem. Tika izvēlēts Multi-Pod risinājums ā€“ katrs datu centrs ir pods. Tiek ņemtas vērā prasÄ«bas mērogoÅ”anai pēc slēdžu skaita un aizkaves starp podiem (RTT mazāks par 50 ms). Tika nolemts neveidot vairāku vietņu risinājumu, lai atvieglotu pārvaldÄ«bu (Multi-Pod risinājumā tiek izmantots viens pārvaldÄ«bas interfeiss, vairāku vietņu risinājumam bÅ«tu divas saskarnes vai bÅ«tu nepiecieÅ”ams vairāku vietņu orÄ·estrētājs), un tā kā nav Ä£eogrāfiska bija nepiecieÅ”ama vietņu rezervÄ“Å”ana.

Pieredze tīkla audumu ievieŔanā uz EVPN VXLAN un Cisco ACI bāzes un īss salīdzinājums

No pakalpojumu migrÄ“Å”anas no Legacy tÄ«kla viedokļa tika izvēlēts pārskatāmākais variants, pakāpeniski pārsÅ«tot noteiktiem pakalpojumiem atbilstoÅ”os VLAN.
Migrācijai rÅ«pnÄ«cā katram VLAN tika izveidota atbilstoÅ”a EPG (End-point-group). Pirmkārt, tÄ«kls tika izstiepts starp veco tÄ«klu un audumu, izmantojot L2, pēc tam pēc visu saimniekdatoru migrÄ“Å”anas vārteja tika pārvietota uz audumu, un EPG mijiedarbojās ar esoÅ”o tÄ«klu, izmantojot L3OUT, savukārt mijiedarbÄ«ba starp L3OUT un EPG. tika aprakstÄ«ts, izmantojot lÄ«gumus. Aptuvenā diagramma:

Pieredze tīkla audumu ievieŔanā uz EVPN VXLAN un Cisco ACI bāzes un īss salīdzinājums

Vairuma ACI rÅ«pnÄ«cas politiku struktÅ«ras paraugs ir parādÄ«ts zemāk esoÅ”ajā attēlā. Visa iestatÄ«Å”ana ir balstÄ«ta uz politikām, kas iekļautas citās politikās un tā tālāk. Sākumā to ir ļoti grÅ«ti izdomāt, taču pakāpeniski, kā liecina prakse, tÄ«kla administratori pierod pie Ŕīs struktÅ«ras apmēram mēneÅ”a laikā, un tikai tad viņi sāk saprast, cik tas ir ērti.

Pieredze tīkla audumu ievieŔanā uz EVPN VXLAN un Cisco ACI bāzes un īss salīdzinājums

Salīdzinājums

Cisco ACI risinājumā jāiegādājas vairāk aprÄ«kojuma (atseviŔķi slēdži Inter-Pod mijiedarbÄ«bai un APIC kontrolleriem), kas to sadārdzina. Juniper risinājumam nebija jāiegādājas kontrolieri vai piederumi; Bija iespēja daļēji izmantot klienta esoÅ”o aprÄ«kojumu.

Šeit ir EVPN VXLAN auduma arhitektūra diviem otrā projekta datu centriem:

Pieredze tīkla audumu ievieŔanā uz EVPN VXLAN un Cisco ACI bāzes un īss salīdzinājums
Pieredze tīkla audumu ievieŔanā uz EVPN VXLAN un Cisco ACI bāzes un īss salīdzinājums

Ar ACI jÅ«s iegÅ«stat gatavu risinājumu ā€” nav jāmācās, nav jāoptimizē. Sākotnējās klienta iepazÄ«Å”anas laikā ar rÅ«pnÄ«cu nav nepiecieÅ”ami izstrādātāji, nav nepiecieÅ”ami atbalsta cilvēki kodam un automatizācijai. Tas ir diezgan viegli lietojams; daudzus iestatÄ«jumus var veikt, izmantojot vedni, kas ne vienmēr ir pluss, jo Ä«paÅ”i cilvēkiem, kuri ir pieraduÅ”i pie komandrindas. Jebkurā gadÄ«jumā ir vajadzÄ«gs laiks, lai atjaunotu smadzenes uz jaunām sliedēm, lai pielāgotos iestatÄ«jumu Ä«patnÄ«bām, izmantojot politikas un darbojoties ar daudzām ligzdotām politikām. Papildus tam ir ļoti vēlams, lai bÅ«tu skaidra politiku un objektu nosaukÅ”anas struktÅ«ra. Ja kontroliera loÄ£ikā rodas kāda problēma, to var atrisināt tikai ar tehniskā atbalsta palÄ«dzÄ«bu.

EVPN - konsole. Ciest vai priecāties. Pazīstams interfeiss vecajam aizsargam. Jā, ir standarta konfigurācija un rokasgrāmatas. Būs jāpīpē mana. Dažādi dizaini, viss ir skaidrs un detalizēts.

LikumsakarÄ«gi, ka abos gadÄ«jumos migrējot labāk vispirms migrēt ne paÅ”us kritiskākos pakalpojumus, piemēram, testa vides, un tikai tad pēc visu kļūdu noÄ·erÅ”anas pāriet uz ražoÅ”anu. Un neskaņojiet piektdienas vakarā. Jums nevajadzētu uzticēties pārdevējam, ka viss bÅ«s kārtÄ«bā, vienmēr ir labāk rÄ«koties droÅ”i.

JÅ«s maksājat vairāk par ACI, lai gan Cisco Å”obrÄ«d aktÄ«vi reklamē Å”o risinājumu un bieži dod tam labas atlaides, taču jÅ«s ietaupāt uz uzturÄ“Å”anas rēķina. PārvaldÄ«ba un jebkura EVPN rÅ«pnÄ«cas automatizācija bez kontroliera prasa investÄ«cijas un regulāras izmaksas - monitoringu, automatizāciju, jaunu pakalpojumu ievieÅ”anu. Tajā paŔā laikā sākotnējā palaiÅ”ana ACI aizņem par 30ā€“40 procentiem ilgāku laiku. Tas notiek tāpēc, ka ir nepiecieÅ”ams ilgāks laiks, lai izveidotu visu nepiecieÅ”amo profilu un politiku kopu, kas pēc tam tiks izmantota. Bet, tÄ«klam augot, nepiecieÅ”amo konfigurāciju skaits samazinās. JÅ«s izmantojat iepriekÅ” izveidotas politikas, profilus, objektus. Varat elastÄ«gi konfigurēt segmentāciju un droŔību, centralizēti pārvaldÄ«t lÄ«gumus, kas ir atbildÄ«gi par noteiktas mijiedarbÄ«bas atļauÅ”anu starp EPG ā€” darba apjoms strauji samazinās.

EVPN katra ierīce ir jākonfigurē rūpnīcā, kļūdu iespējamība ir lielāka.

Kamēr ACI ievieÅ”ana bija lēnāka, EVPN atkļūdoÅ”ana prasÄ«ja gandrÄ«z divreiz ilgāku laiku. Ja Cisco gadÄ«jumā vienmēr var piezvanÄ«t atbalsta inženierim un pajautāt par tÄ«klu kopumā (jo tas ir segts kā risinājums), tad no Juniper Networks pērk tikai aparatÅ«ru, un tas ir tas, kas tiek segts. Vai iepakojumi ir atstājuÅ”i ierÄ«ci? Nu labi, tad tavas problēmas. Bet jÅ«s varat atvērt jautājumu par risinājuma vai tÄ«kla dizaina izvēli - un tad viņi jums ieteiks iegādāties profesionālu pakalpojumu par papildu samaksu.

ACI atbalsts ir ļoti forÅ”s, jo tas ir atseviŔķs: tikai Å”im nolÅ«kam sēž atseviŔķa komanda. Ir arÄ« krieviski runājoÅ”i speciālisti. Rokasgrāmata ir detalizēta, risinājumi ir iepriekÅ” noteikti. Viņi skatās un konsultē. Viņi ātri apstiprina dizainu, kas bieži vien ir svarÄ«gi. Juniper Networks dara to paÅ”u, bet daudz lēnāk (mums tā bija, tagad pēc baumām vajadzētu bÅ«t labākam), kas liek paÅ”am darÄ«t visu, kur risinājumu inženieris varētu ieteikt.

Cisco ACI atbalsta integrāciju ar virtualizācijas un konteinerizācijas sistēmām (VMware, Kubernetes, Hyper-V) un centralizētu pārvaldÄ«bu. Pieejams ar tÄ«kla un droŔības pakalpojumiem - balansÄ“Å”ana, ugunsmÅ«ri, WAF, IPS utt... Laba mikrosegmentācija no kastes. Otrajā risinājumā integrācija ar tÄ«kla pakalpojumiem ir ērta, un labāk ir iepriekÅ” apspriest forumus ar tiem, kas to ir darÄ«juÅ”i.

Kopsavilkums

Katram konkrētajam gadÄ«jumam ir jāizvēlas risinājums, ne tikai vadoties pēc aprÄ«kojuma izmaksām, bet arÄ« jāņem vērā turpmākās ekspluatācijas izmaksas un galvenās problēmas, ar kurām klients Å”obrÄ«d saskaras, un kādi plāni tur ir ir paredzēti IT infrastruktÅ«ras attÄ«stÄ«bai.

ACI, pateicoties papildu aprīkojumam, bija dārgāks, bet risinājums ir gatavs bez papildu apdares, otrs risinājums ir sarežģītāks un ekspluatācijas ziņā dārgāks, bet lētāks.

Ja vēlaties apspriest, cik varētu izmaksāt tÄ«kla auduma ievieÅ”ana dažādiem piegādātājiem un kāda veida arhitektÅ«ra ir nepiecieÅ”ama, varat tikties un tērzēt. Konsultēsim bez maksas, lÄ«dz iegÅ«sit aptuvenu arhitektÅ«ras skici (ar kuru varēsiet aprēķināt budžetus), detalizēta izstrāde, protams, jau ir apmaksāta.

Vladimirs Klepče, korporatīvie tīkli.

Avots: www.habr.com

Pievieno komentāru