Дали Cisco SD-WAN ќе ја отсече гранката на која седи DMVPN?

Од август 2017 година, кога Cisco ја купи Viptela, главната технологија понудена за организирање на дистрибуирани претпријатија мрежи стана Cisco SD-WAN. Во текот на изминатите 3 години, SD-WAN технологијата помина низ многу промени, и квалитативни и квантитативни. Така, функционалноста значително се прошири и се појави поддршка на класичните рутери од серијата Cisco ISR 1000, ISR 4000, ASR 1000 и Virtual CSR 1000v. Во исто време, многу клиенти и партнери на Cisco продолжуваат да се прашуваат: кои се разликите помеѓу Cisco SD-WAN и веќе познатите пристапи базирани на технологии како што се Cisco DMVPN и Cisco Performance Routing и колку се важни овие разлики?

Овде треба веднаш да направиме резервација дека пред појавата на SD-WAN во портфолиото на Cisco, DMVPN заедно со PfR формираа клучен дел во архитектурата Cisco IWAN (интелигентен WAN), кој пак беше претходник на полноправната технологија SD-WAN. И покрај општата сличност и на задачите што се решаваат и на методите за нивно решавање, IWAN никогаш не го доби нивото на автоматизација, флексибилност и приспособливост неопходни за SD-WAN, а со текот на времето, развојот на IWAN значително се намали. Во исто време, технологиите што го сочинуваат IWAN не исчезнаа, а многу клиенти продолжуваат успешно да ги користат, вклучително и на модерна опрема. Како резултат на тоа, се појави интересна ситуација - истата опрема на Cisco ви овозможува да ја изберете најсоодветната WAN технологија (класична, DMVPN+PfR или SD-WAN) во согласност со барањата и очекувањата на клиентите.

Написот нема намера детално да ги анализира сите карактеристики на технологиите Cisco SD-WAN и DMVPN (со или без рутирање на перформанси) - има огромна количина достапни документи и материјали за ова. Главната задача е да се обидеме да ги оцениме клучните разлики помеѓу овие технологии. Но, пред да продолжиме да разговараме за овие разлики, накратко да се потсетиме на самите технологии.

Што е Cisco DMVPN и зошто е потребно?

Cisco DMVPN го решава проблемот на динамично (= скалабилно) поврзување на далечинска мрежа на филијали со мрежата на централната канцеларија на претпријатието кога се користат произволни типови на комуникациски канали, вклучително и Интернет (= со шифрирање на комуникацискиот канал). Технички, ова се реализира со креирање на виртуелизирана мрежа за преклопување од класата L3 VPN во режим од точка до повеќе точки со логичка топологија од типот „Ѕвезда“ (Hub-n-Spoke). За да се постигне ова, DMVPN користи комбинација од следниве технологии:

• IP рутирање
• Повеќеточни GRE тунели (mGRE)
• Следен протокол за резолуција на хоп (NHRP)
• IPSec Crypto профили

Кои се главните предности на Cisco DMVPN во споредба со класичното рутирање користејќи MPLS VPN канали?

• За да се создаде меѓугранска мрежа, можно е да се користат какви било канали за комуникација - сè што може да обезбеди IP конекција помеѓу гранките е погодно, додека сообраќајот ќе биде шифриран (каде што е потребно) и избалансиран (каде што е можно)
• Целосно поврзана топологија помеѓу гранките автоматски се формира. Во исто време, постојат статични тунели помеѓу централните и оддалечените гранки, и динамични тунели на барање помеѓу оддалечените гранки (ако има сообраќај)
• Рутерите на централната и оддалечената гранка имаат иста конфигурација до IP адресите на интерфејсите. Со користење на mGRE, нема потреба индивидуално да конфигурирате десетици, стотици, па дури и илјадници тунели. Како резултат на тоа, пристојна приспособливост со правилен дизајн.

Што е Cisco Performance Routing и зошто е тоа потребно?

Кога се користи DMVPN на меѓугранска мрежа, едно исклучително важно прашање останува нерешено - како динамички да се процени состојбата на секој од тунелите DMVPN за усогласеност со барањата на сообраќајот критични за нашата организација и, повторно, врз основа на таквата проценка, динамично да се направи одлука за пренасочување? Факт е дека DMVPN во овој дел малку се разликува од класичното рутирање - најдоброто што може да се направи е да се конфигурираат QoS механизмите кои ќе ви овозможат да го дадете приоритетот на сообраќајот во појдовната насока, но на никаков начин не се способни да ја земат предвид состојбата на целата патека во едно или друго време.

И што да направите ако каналот се деградира делумно, а не целосно - како да се открие и оцени ова? Самиот DMVPN не може да го стори тоа. Имајќи предвид дека каналите што ги поврзуваат гранките можат да минуваат низ сосема различни телекомуникациски оператори, користејќи сосема различни технологии, оваа задача станува крајно нетривијална. И тука доаѓа на помош технологијата Cisco Performance Routing, која дотогаш веќе поминала низ неколку фази на развој.

Задачата на Cisco Performance Routing (во натамошниот текст PfR) се сведува на мерење на состојбата на патеките (тунелите) на сообраќајот врз основа на клучните метрики важни за мрежните апликации - латентност, варијација на латентност (дргање) и загуба на пакети (процент). Дополнително, може да се измери искористениот пропусен опсег. Овие мерења се случуваат што е можно поблиску до реално време и оправдано, а резултатот од овие мерења му овозможува на рутерот кој користи PfR динамично да донесува одлуки за потребата да се промени насочувањето на овој или оној тип на сообраќај.

Така, задачата на комбинацијата DMVPN/PfR може накратко да се опише на следниов начин:

• Дозволете му на клиентот да користи какви било канали за комуникација на WAN мрежата
• Обезбедете највисок можен квалитет на критичните апликации на овие канали

Што е Cisco SD-WAN?

Cisco SD-WAN е технологија која го користи пристапот SDN за креирање и управување со WAN мрежа на организацијата. Ова особено значи употреба на таканаречени контролери (софтверски елементи), кои обезбедуваат централизирана оркестрација и автоматска конфигурација на сите компоненти на решението. За разлика од канонскиот SDN (стил на Clean Slate), Cisco SD-WAN користи неколку типови на контролери, од кои секој има своја улога - ова е направено намерно со цел да се обезбеди подобра приспособливост и гео-вишок.

Во случајот на SD-WAN, задачата за користење на секаков вид канали и обезбедување на работа на деловни апликации останува иста, но во исто време, барањата за автоматизација, приспособливост, безбедност и флексибилност на таквата мрежа се прошируваат.

Дискусија за разликите

Ако сега почнеме да ги анализираме разликите помеѓу овие технологии, тие ќе спаѓаат во една од следниве категории:

• Архитектонски разлики - како се распределуваат функциите низ различни компоненти на решението, како е организирана интеракцијата на таквите компоненти и како тоа влијае на можностите и флексибилноста на технологијата?
• Функционалност - што може една технологија да направи, а друга не може? И дали е навистина толку важно?

Кои се архитектонските разлики и дали се важни?

Секоја од овие технологии има многу „подвижни делови“ кои се разликуваат не само во нивните улоги, туку и во тоа како тие комуницираат едни со други. Колку добро се обмислени овие принципи и општата механика на решението директно ја одредува неговата приспособливост, толеранцијата на грешки и севкупната ефикасност.

Да ги погледнеме различните аспекти на архитектурата подетално:

Податоци-рамнина – дел од решението одговорно за пренос на кориснички сообраќај помеѓу изворот и примачот. DMVPN и SD-WAN се имплементирани генерално идентично на самите рутери врз основа на Multipoint GRE тунелите. Разликата е како се формира потребниот сет на параметри за овие тунели:

• в DMVPN/PfR е исклучиво двостепена хиерархија на јазли со топологија Star или Hub-n-Spoke. Потребна е статичка конфигурација на Hub и статичко врзување на Spoke за Hub, како и интеракција преку протоколот NHRP за да се формира поврзување со податочна рамнина. Следствено, со што значително се отежнуваат промените во Hubповрзани, на пример, со менување/поврзување на нови WAN канали или промена на параметрите на постоечките.
• в СД-ВАН е целосно динамичен модел за детекција на параметри на инсталирани тунели врз основа на контролна рамнина (OMP протокол) и оркестрација-рамнина (интеракција со vBond контролер за откривање контролер и NAT задачи за поминување). Во овој случај, може да се користат сите надредени топологии, вклучувајќи ги и хиерархиските. Во рамките на воспоставената топологија на тунелот за преклопување, можна е флексибилна конфигурација на логичката топологија во секој поединечен VPN (VRF).

Контролен авион – функции на размена, филтрирање и модификација на рутирање и други информации помеѓу компонентите на решението.

• в DMVPN/PfR – се врши само помеѓу рутерите Hub и Speke. Директна размена на информации за рутирање помеѓу Spokes не е можна. Следствено, Без функционален Hub, контролната рамнина и податочната рамнина не можат да функционираат, што наметнува дополнителни барања за висока достапност на Hub што не може секогаш да се исполнат.
• в СД-ВАН – контролната рамнина никогаш не се врши директно помеѓу рутерите – интеракцијата се јавува врз основа на протоколот OMP и нужно се спроведува преку посебен специјализиран тип vSmart контролер, кој обезбедува можност за балансирање, георезервација и централизирана контрола на оптоварување на сигналот. Друга карактеристика на протоколот OMP е неговата значителна отпорност на загуби и независност од брзината на каналот за комуникација со контролорите (се разбира во разумни граници). Што подеднакво успешно ви овозможува да поставите SD-WAN контролери во јавни или приватни облаци со пристап преку Интернет.

Политика-рамнина – дел од решението одговорно за дефинирање, дистрибуирање и примена на политики за управување со сообраќајот на дистрибуирана мрежа.

• DMVPN – ефективно е ограничен со политиките за квалитет на услугата (QoS) конфигурирани поединечно на секој рутер преку шаблоните CLI или Prime Infrastructure.
• DMVPN/PfR – Политиките на PfR се формираат на централизираниот рутер Master Controller (MC) преку CLI, а потоа автоматски се дистрибуираат до MC-те на гранките. Во овој случај, истите патеки за пренос на политики се користат како и за рамнината на податоци. Не постои можност да се одвои размената на политики, информации за рутирање и кориснички податоци. За ширење на политиките е потребно присуство на IP конекција помеѓу Hub и Spoke. Во овој случај, функцијата MC може, доколку е потребно, да се комбинира со рутер DMVPN. Можно е (но не е потребно) да се користат шаблони на Prime Infrastructure за централизирано генерирање политики. Важна карактеристика е што политиката се формира глобално низ мрежата на ист начин - Индивидуалните политики за поединечни сегменти не се поддржани.
• СД-ВАН – Политиките за управување со сообраќајот и квалитетот на услугата се одредуваат централно преку графичкиот интерфејс Cisco vManage, достапен и преку Интернет (доколку е потребно). Тие се дистрибуираат преку сигнални канали директно или индиректно преку vSmart контролери (во зависност од видот на политиката). Тие не зависат од поврзувањето со податоци-рамнина помеѓу рутерите, бидејќи користете ги сите достапни сообраќајни патеки помеѓу контролорот и рутерот.

  За различни мрежни сегменти, можно е флексибилно да се формулираат различни политики - опсегот на политиката се одредува со многу уникатни идентификатори дадени во решението - број на филијала, тип на апликација, насока на сообраќај итн.

Оркестрација-авион – механизми кои им овозможуваат на компонентите динамички да се детектираат, конфигурираат и координираат последователни интеракции.

• в DMVPN/PfR Взаемното откривање помеѓу рутерите се заснова на статичката конфигурација на уредите Hub и соодветната конфигурација на уредите Spoke. Динамичното откривање се случува само за Spoke, кој ги известува своите параметри за поврзување Hub на уредот, кој пак е претходно конфигуриран со Spoke. Без IP конекција помеѓу Spoke и барем еден Hub, невозможно е да се формира ниту податочна рамнина ниту контролна рамнина.
• в СД-ВАН оркестрацијата на компонентите на решението се случува со помош на контролерот vBond, со кој секоја компонента (рутери и vManage/vSmart контролери) мора прво да воспостави IP конекција.

  Првично, компонентите не знаат за параметрите за поврзување на едни со други - за ова им треба посредничкиот оркестратор vBond. Општиот принцип е како што следува - секоја компонента во почетната фаза учи (автоматски или статички) само за параметрите за поврзување со vBond, потоа vBond го информира рутерот за контролорите vManage и vSmart (откриени порано), што овозможува автоматско воспоставување сите потребни сигнални врски.

  Следниот чекор е новиот рутер да дознае за другите рутери на мрежата преку OMP комуникација со vSmart контролерот. Така, рутерот, без првично да знае ништо за мрежните параметри, може целосно автоматски да открие и да се поврзе со контролорите, а потоа автоматски да открие и формира поврзување со други рутери. Во овој случај, параметрите за поврзување на сите компоненти првично се непознати и може да се променат за време на работата.

Управување-авион – дел од решението кое обезбедува централизирано управување и следење.

• DMVPN/PfR – не е обезбедено специјализирано решение за управување со авион. За основна автоматизација и следење, може да се користат производи како што е Cisco Prime Infrastructure. Секој рутер има можност да се контролира преку командната линија CLI. Не е обезбедена интеграција со надворешни системи преку API.
• СД-ВАН – целата редовна интеракција и следење се врши централно преку графичкиот интерфејс на контролерот vManage. Сите карактеристики на решението, без исклучок, се достапни за конфигурација преку vManage, како и преку целосно документирана REST API библиотека.

  Сите поставки на SD-WAN мрежата во vManage се сведуваат на два главни конструкции - формирање на шаблони на уреди (Device Template) и формирање на политика што ја одредува логиката на работењето на мрежата и обработката на сообраќајот. Во исто време, vManage, емитувајќи ја политиката генерирана од администраторот, автоматски избира кои промени и на кои поединечни уреди/контролери треба да се направат, што значително ја зголемува ефикасноста и приспособливоста на решението.

  Преку интерфејсот vManage, достапна е не само конфигурација на Cisco SD-WAN решението, туку и целосно следење на статусот на сите компоненти на решението, сè до моменталната состојба на метрика за поединечни тунели и статистика за користење на различни апликации врз основа на DPI анализа.

  И покрај централизацијата на интеракцијата, сите компоненти (контролори и рутери) имаат и целосно функционална командна линија CLI, која е неопходна во фазата на имплементација или во случај на итност за локална дијагностика. Во нормален режим (ако има сигнален канал помеѓу компонентите) на рутерите, командната линија е достапна само за дијагностика и не е достапна за правење локални промени, што гарантира локална безбедност и единствен извор на промени во таква мрежа е vManage.

Интегрирана безбедност – овде треба да зборуваме не само за заштитата на корисничките податоци при пренесување преку отворени канали, туку и за целокупната безбедност на WAN мрежата врз основа на избраната технологија.

• в DMVPN/PfR Можно е да се шифрираат кориснички податоци и протоколи за сигнализација. Кога користите одредени модели на рутери, функциите на заштитен ѕид со сообраќајна инспекција, IPS/IDS се дополнително достапни. Можно е да се сегментираат мрежи на гранки користејќи VRF. Можно е да се автентицираат контролните протоколи (еден фактор).

  Во овој случај, далечинскиот рутер стандардно се смета за доверлив елемент на мрежата - т.е. случаите на физички компромис на поединечни уреди и можноста за неовластен пристап до нив не се претпоставуваат или се земаат предвид не постои двофакторна автентикација на компонентите на решението, што во случај на географска дистрибуирана мрежа; може да носи значителни дополнителни ризици.

• в СД-ВАН по аналогија со DMVPN, обезбедена е можност за шифрирање на кориснички податоци, но со значително проширена мрежна безбедност и функции за сегментација L3/VRF (заштитен ѕид, IPS/IDS, филтрирање URL, филтрирање DNS, AMP/TG, SASE, TLS/SSL прокси, итн.) г.). Во исто време, размената на клучеви за шифрирање се врши поефикасно преку vSmart контролери (наместо директно), преку претходно воспоставени сигнални канали заштитени со шифрирање DTLS/TLS врз основа на безбедносни сертификати. Што пак ја гарантира безбедноста на таквите размени и обезбедува подобра приспособливост на решението до десетици илјади уреди на истата мрежа.

  Сите сигнални врски (контролор-контролер, контролер-рутер) се исто така заштитени врз основа на DTLS/TLS. Рутерите се опремени со безбедносни сертификати за време на производството со можност за замена/продолжување. Двофакторна автентикација се постигнува преку задолжително и истовремено исполнување на два услови за рутерот/контролерот да функционира во мрежа SD-WAN:

  • Валиден безбедносен сертификат
  • Експлицитно и свесно вклучување од страна на администраторот на секоја компонента во „белата“ листа на дозволени уреди.

Функционални разлики помеѓу SD-WAN и DMVPN/PfR

Преминувајќи кон дискусија за функционалните разлики, треба да се забележи дека многу од нив се продолжение на архитектонските - не е тајна дека при формирањето на архитектурата на решението, програмерите тргнуваат од можностите што сакаат да ги добијат на крајот . Да ги погледнеме најзначајните разлики помеѓу двете технологии.

AppQ (Application Quality) – функции за обезбедување на квалитетот на преносот на сообраќајот на деловни апликации

Клучните функции на технологиите што се разгледуваат се насочени кон подобрување на корисничкото искуство што е можно повеќе при користење на бизнис-критични апликации во дистрибуирана мрежа. Ова е особено важно во услови кога дел од инфраструктурата не е контролирана од ИТ или дури не гарантира успешен пренос на податоци.

Самиот DMVPN не обезбедува такви механизми. Најдоброто што може да се направи во класичната DMVPN мрежа е да се класифицира појдовниот сообраќај по апликација и да се даде приоритет кога се пренесува кон каналот WAN. Изборот на тунел DMVPN се одредува во овој случај само од неговата достапност и резултатот од работата на протоколите за рутирање. Во исто време, состојбата од крај до крај на патеката/тунелот и неговата можна делумна деградација не се земаат предвид во однос на клучните метрики кои се значајни за мрежните апликации - доцнење, варијација на одложување (житер) и загуби (% ). Во овој поглед, директното споредување на класичниот DMVPN со SD-WAN во однос на решавањето на проблемите на AppQ го губи сето значење - DMVPN не може да го реши овој проблем. Кога ќе ја додадете технологијата Cisco Performance Routing (PfR) во овој контекст, ситуацијата се менува и споредбата со Cisco SD-WAN станува позначајна.

Пред да разговараме за разликите, еве брз поглед на тоа како технологиите се слични. Значи, двете технологии:

• имаат механизам кој ви овозможува динамично да ја процените состојбата на секој воспоставен тунел во однос на одредени метрики - на минимум, доцнење, доцнење варијации и загуба на пакети (%)
• користете специфичен сет на алатки за формирање, дистрибуција и примена на правила (политики) за управување со сообраќајот, земајќи ги предвид резултатите од мерењето на состојбата на клучните тунели метрика.
• класифицирајте сообраќај на апликации на нивоа L3-L4 (DSCP) на моделот OSI или со потписи на апликацијата L7 врз основа на механизмите DPI вградени во рутерот
• За значајни апликации, тие ви дозволуваат да одредите прифатливи прагови на метрика, правила за пренос на сообраќај стандардно и правила за пренасочување на сообраќајот кога вредностите на прагот се надминуваат.
• При енкапсулирање на сообраќајот во GRE/IPSec, тие го користат веќе воспоставениот индустриски механизам за пренесување на внатрешните DSCP ознаки на надворешното заглавие на пакетот GRE/IPSEC, што овозможува синхронизирање на QoS политиките на организацијата и телекомуникацискиот оператор (доколку има соодветен SLA). .

Како се разликуваат SD-WAN и DMVPN/PfR метриката од крај до крај?

DMVPN/PfR

• И активните и пасивните софтверски сензори (Сонди) се користат за да се проценат стандардните метрики за здравјето на тунелите. Активните се засноваат на корисничкиот сообраќај, пасивните емулираат таков сообраќај (во негово отсуство).
• Нема фино подесување на тајмерите и услови за откривање на деградација - алгоритмот е фиксиран.
• Дополнително, достапно е мерење на искористениот пропусен опсег во појдовна насока. Што додава дополнителна флексибилност за управување со сообраќајот на DMVPN/PfR.
• Во исто време, некои механизми на PfR, кога ќе се надмине метриката, се потпираат на повратна сигнализација во форма на специјални TCA (Threshold Crossing Alert) пораки кои мора да доаѓаат од примачот на сообраќајот кон изворот, што пак претпоставува дека состојбата на мерените канали треба да бидат барем доволни за пренос на такви TCA пораки. Што во повеќето случаи не е проблем, но очигледно не може да се гарантира.

СД-ВАН

• За евалуација од крај до крај на стандардната метрика на состојбата на тунелот, протоколот BFD се користи во режим на ехо. Во овој случај, не е потребна посебна повратна информација во форма на TCA или слични пораки - се одржува изолација на домени на неуспех. Исто така, не бара присуство на кориснички сообраќај за да се оцени состојбата на тунелот.
• Можно е фино да се подесат BFD тајмерите за да се регулира брзината на одговорот и чувствителноста на алгоритмот на деградација на каналот за комуникација од неколку секунди до минути.

  

• Во моментот на пишување, има само една BFD сесија во секој тунел. Ова потенцијално создава помала грануларност во анализата на состојбата на тунелот. Во реалноста, ова може да стане ограничување само ако користите WAN конекција базирана на MPLS L2/L3 VPN со договорен QoS SLA - ако ознаката DSCP на сообраќајот BFD (по енкапсулирање во IPSec/GRE) се совпаѓа со редот со висок приоритет во мрежата на телекомуникацискиот оператор, тогаш тоа може да влијае на точноста и брзината на откривање на деградација за сообраќај со низок приоритет. Во исто време, можно е да се промени стандардното означување BFD за да се намали ризикот од такви ситуации. Во идните верзии на софтверот Cisco SD-WAN, се очекуваат повеќе фино подесени поставки за BFD, како и можност за лансирање на повеќе BFD сесии во истиот тунел со индивидуални вредности на DSCP (за различни апликации).
• BFD дополнително ви овозможува да ја процените максималната големина на пакетот што може да се пренесе низ одреден тунел без фрагментација. Ова му овозможува на SD-WAN динамички да ги приспособува параметрите како што се MTU и TCP MSS Adjust за да го искористи максимумот од достапниот пропусен опсег на секоја врска.
• Во SD-WAN, достапна е и опцијата за QoS синхронизација од телекомуникациски оператори, не само врз основа на полињата L3 DSCP, туку и врз основа на вредностите на L2 CoS, кои можат автоматски да се генерираат во мрежата на филијали од специјализирани уреди - на пример, IP телефони

Како се разликуваат можностите, методите за дефинирање и примена на политиките на AppQ?

Политики за DMVPN/PfR:

• Дефинирано на рутер(ите) на централната гранка преку командната линија CLI или шаблоните за конфигурација CLI. Генерирањето CLI шаблони бара подготовка и познавање на синтаксата на политиките.

  

• Дефинирано глобално без можност за индивидуална конфигурација/промена на барањата на одделните мрежни сегменти.
• Интерактивното генерирање политики не е обезбедено во графичкиот интерфејс.
• Следењето на промените, наследувањето и создавањето повеќе верзии на политики за брзо префрлување не се обезбедени.
• Се дистрибуира автоматски до рутери на оддалечени гранки. Во овој случај, се користат истите канали за комуникација како и за пренос на кориснички податоци. Доколку нема канал за комуникација помеѓу централната и оддалечената гранка, дистрибуцијата/промена на политиките е невозможна.
• Тие се користат на секој рутер и, доколку е потребно, го менуваат резултатот од стандардните протоколи за рутирање, со повисок приоритет.
• За случаи кога сите WAN врски на гранките доживуваат значителна загуба во сообраќајот, не се предвидени механизми за компензација.

Политики на SD-WAN:

• Дефинирано во GUI на vManage преку интерактивниот волшебник за шаблони.
• Поддржува креирање на повеќе политики, копирање, наследување, префрлување помеѓу политики во реално време.
• Поддржува индивидуални поставки за политики за различни мрежни сегменти (гранки)
• Тие се дистрибуираат со користење на кој било достапен сигнален канал помеѓу контролорот и рутерот и/или vSmart - не зависат директно од поврзувањето со податочна рамнина помеѓу рутерите. Ова, се разбира, бара IP конекција помеѓу самиот рутер и контролорите.

  

• За случаи кога сите достапни гранки на филијалата доживуваат значителни загуби на податоци што ги надминуваат прифатливите прагови за критични апликации, можно е да се користат дополнителни механизми кои ја зголемуваат доверливоста на преносот:
  • FEC (корекција на напредна грешка) – користи специјален редундантен алгоритам за кодирање. При пренос на критичен сообраќај преку канали со значителен процент на загуби, FEC може автоматски да се активира и дозволува, доколку е потребно, да го врати изгубениот дел од податоците. Ова малку ја зголемува користената пропусност на пренос, но значително ја подобрува доверливоста.

    

  • Умножување на потоци на податоци – покрај FEC, политиката може да предвиди автоматско дуплирање на сообраќајот на избраните апликации во случај на уште посериозно ниво на загуби што не може да се надоместат од FEC. Во овој случај, избраните податоци ќе бидат пренесени низ сите тунели кон приемната гранка со последователно де-дуплирање (испуштање дополнителни копии од пакети). Механизмот значително ја зголемува искористеноста на каналот, но и значително ја зголемува доверливоста на преносот.

Cisco SD-WAN можности, без директни аналози во DMVPN/PfR

Архитектурата на Cisco SD-WAN решението во некои случаи ви овозможува да добиете способности кои се или екстремно тешки за имплементација во рамките на DMVPN/PfR, или се непрактични поради потребните трошоци за работна сила или се целосно невозможни. Да ги погледнеме најинтересните од нив:

Сообраќајно инженерство (ТЕ)

TE вклучува механизми кои дозволуваат сообраќајот да се разграни од стандардната патека формирана од протоколи за рутирање. TE често се користи за да се обезбеди висока достапност на мрежните услуги, преку можноста за брзо и/или проактивно пренесување на критичниот сообраќај на алтернативна (неповрзана) патека на пренос, со цел да се обезбеди подобар квалитет на услугата или брзина на обновување во случај на дефект на главната патека.

Тешкотијата во спроведувањето на ТЕ лежи во потребата однапред да се пресмета и резервира (провери) алтернативен пат. Во MPLS мрежите на телекомуникациските оператори, овој проблем се решава со користење на технологии како MPLS Traffic-Engineering со екстензии на протоколите IGP и протоколот RSVP. Исто така неодамна, технологијата за рутирање сегменти, која е повеќе оптимизирана за централизирана конфигурација и оркестрација, стана сè попопуларна. Во класичните WAN мрежи, овие технологии обично не се претставени или се сведуваат на употреба на механизми hop-by-hop, како што е рутирање базирано на политика (PBR), кои се способни за разгранување на сообраќајот, но го спроведуваат ова на секој рутер посебно - без преземање во предвид целокупната состојба на мрежата или PBR резултат во претходните или следните чекори. Резултатот од користењето на овие TE опции е разочарувачки - MPLS TE, поради сложеноста на конфигурацијата и работата, се користи, по правило, само во најкритичниот дел од мрежата (јадрото), а PBR се користи на поединечни рутери без способноста да се создаде унифицирана политика за PBR за целата мрежа. Очигледно, ова важи и за мрежите базирани на DMVPN.

SD-WAN во овој поглед нуди многу поелегантно решение кое не само што е лесно да се конфигурира, туку и многу подобро се размери. Ова е резултат на користените архитектури на контролно-рамнина и политика-рамнина. Спроведувањето на рамнина на политики во SD-WAN ви овозможува централно да ја дефинирате политиката за ТЕ - каков сообраќај е од интерес? за кои VPN? Преку кои јазли/тунели е потребно или, обратно, забрането да се формира алтернативна рута? За возврат, централизацијата на управувањето со контролната рамнина базирана на vSmart контролери ви овозможува да ги менувате резултатите од рутирањето без прибегнување кон поставките на поединечните уреди - рутерите веќе го гледаат само резултатот од логиката што беше генерирана во интерфејсот vManage и пренесена за употреба на vSmart.

Поврзување на услуги

Формирањето сервисни синџири е уште потрудољубива задача во класичното рутирање од веќе опишаниот механизам за сообраќајно-инженерство. Навистина, во овој случај, неопходно е не само да се создаде специјална рута за одредена мрежна апликација, туку и да се обезбеди можност за отстранување на сообраќајот од мрежата на одредени (или сите) јазли на мрежата SD-WAN за обработка од специјална апликација или услуга (заштитен ѕид, балансирање, кеширање, инспекциски сообраќај итн.). Во исто време, неопходно е да се има можност да се контролира состојбата на овие надворешни услуги за да се спречат ситуации со црни дупки, а потребни се и механизми кои овозможуваат такви надворешни услуги од ист тип да бидат поставени на различни геолокации. со можност на мрежата автоматски да го избере најоптималниот сервисен јазол за обработка на сообраќајот на одредена гранка . Во случајот на Cisco SD-WAN, ова е прилично лесно да се постигне со креирање соодветна централизирана политика која ги „лепи“ сите аспекти од синџирот на целната услуга во една целина и автоматски ја менува логиката на податочниот и контролниот план само таму каде што и кога е потребно.

Способноста да се создаде гео-дистрибуирана обработка на сообраќај на избрани типови апликации во одредена секвенца на специјализирана (но не поврзана со самата мрежа SD-WAN) опрема е можеби најјасната демонстрација на предностите на Cisco SD-WAN во однос на класичниот технологии, па дури и некои алтернативни SD решенија -WAN од други производители.

Резултатот?

Очигледно, и DMVPN (со или без рутирање на перформанси) и Cisco SD-WAN завршуваат со решавање на многу слични проблеми во однос на дистрибуираната WAN мрежа на организацијата. Во исто време, значајните архитектонски и функционални разлики во технологијата Cisco SD-WAN доведуваат до процес на решавање на овие проблеми на друго ниво на квалитет. Да резимираме, можеме да ги забележиме следните значајни разлики помеѓу SD-WAN и DMVPN/PfR технологиите:

• DMVPN/PfR општо користи временски тестирани технологии за градење на преклопени VPN мрежи и, во однос на податочната рамнина, се слични на помодерната SD-WAN технологија, сепак, постојат голем број ограничувања во форма на задолжителна статичка конфигурација на рутери и изборот на топологии е ограничен на Hub-n-Spoke. Од друга страна, DMVPN/PfR има одредена функционалност која сè уште не е достапна во рамките на SD-WAN (зборуваме за BFD по апликација).
• Во рамките на контролната рамнина, технологиите фундаментално се разликуваат. Земајќи ја предвид централизираната обработка на сигналните протоколи, SD-WAN овозможува, особено, значително стеснување на домени на неуспех и „раздвојување“ на процесот на пренос на корисничкиот сообраќај од сигналната интеракција - привремената недостапност на контролорите не влијае на способноста за пренос на корисничкиот сообраќај . Во исто време, привремената недостапност на која било гранка (вклучувајќи ја и централната) на кој било начин не влијае на способноста на другите гранки да комуницираат едни со други и контролорите.
• Архитектурата за формирање и примена на политики за управување со сообраќајот во случајот со SD-WAN е исто така супериорна во однос на онаа во DMVPN/PfR - гео-резервацијата е многу подобро имплементирана, нема врска со Hub, има повеќе можности за парична казна -политиките за подесување, списокот на имплементирани сценарија за управување со сообраќајот е исто така многу поголем.
• Процесот на оркестрација на решенија е исто така значително различен. DMVPN претпоставува присуство на претходно познати параметри кои некако мора да се рефлектираат во конфигурацијата, што донекаде ја ограничува флексибилноста на решението и можноста за динамички промени. За возврат, SD-WAN се заснова на парадигмата дека во почетниот момент на поврзување, рутерот „не знае ништо“ за неговите контролери, но знае „кого можете да прашате“ - ова е доволно не само за автоматски да воспостави комуникација со контролорите, но и за автоматско формирање на целосно поврзана топологија на податочно рамниште, која потоа може флексибилно да се конфигурира/променува со помош на политики.
• Во однос на централизираното управување, автоматизација и следење, се очекува SD-WAN да ги надмине можностите на DMVPN/PfR, кои еволуирале од класичните технологии и повеќе се потпираат на командната линија CLI и употребата на системи за NMS базирани на шаблони.
• Во SD-WAN, во споредба со DMVPN, безбедносните барања достигнаа различно квалитативно ниво. Главните принципи се нулта доверба, приспособливост и двофакторна автентикација.

Овие едноставни заклучоци може да дадат погрешен впечаток дека создавањето мрежа базирана на DMVPN/PfR ја изгуби секаква важност денес. Ова секако не е сосема точно. На пример, во случаи кога мрежата користи многу застарена опрема и не постои начин да се замени, DMVPN може да ви дозволи да комбинирате „стари“ и „нови“ уреди во една гео-дистрибуирана мрежа со многу од опишаните предности погоре.

Од друга страна, треба да се запомни дека сите актуелни корпоративни рутери на Cisco базирани на IOS XE (ISR 1000, ISR 4000, ASR 1000, CSR 1000v) денес поддржуваат кој било режим на работа - и класично рутирање и DMVPN и SD-WAN - изборот го одредуваат моменталните потреби и разбирањето дека во секој момент, користејќи ја истата опрема, можете да започнете да се движите кон понапредна технологија.

Извор: www.habr.com