SD-WAN и DNA за помош на администраторот: карактеристики на архитектурата и пракса

Стенд, который можно пощупать у нас в лабе, если хочется.

SD-WAN и SD-Access се два различни нови сопственички пристапи за градење мрежи. Во иднина, тие треба да се спојат во една преклопена мрежа, но засега тие само се приближуваат. Логиката е следна: земаме мрежа од 1990-тите и ги пласираме сите потребни закрпи и функции на неа, без да чекаме таа да стане нов отворен стандард за уште 10 години.

SD-WAN е SDN-лепенка за дистрибуирани претпријатија мрежи. Транспортот е одделен, контролата е посебна, така што контролата е поедноставена.

Позитивни - активно се користат сите комуникациски канали, вклучувајќи го и резервниот. Постои рутирање на пакети до апликации: што, преку кој канал и со кој приоритет. Поедноставена процедура за распоредување на нови точки: наместо да се отвори конфигурација, само наведете ја адресата на серверот Cisco на големиот Интернет, центарот за податоци CROC или клиентот, од каде се преземени конфигурациите специјално за вашата мрежа.

SD-Access (DNA) е автоматизација на управувањето со локалната мрежа: конфигурација од една точка, волшебници, практични интерфејси. Всушност, друга мрежа е изградена со различен транспорт на ниво на протокол над твоето, а компатибилноста со постарите мрежи е обезбедена на периметарските граници.

Подолу ќе се занимаваме и со ова.

Сега неколку демонстрации на тест клупи во нашата лабораторија, како изгледа и функционира.

Да почнеме со SD-WAN. Главни карактеристики:

• Поедноставување на распоредувањето на нови точки (ZTP) - се претпоставува дека некако ја храните точката со адресата на серверот со поставки. Точката чука на неа, ја прима конфигурацијата, ја навива и е вклучена во вашата контролна табла. Ова обезбедува обезбедување со нула допир (ZTP). За да се распореди крајна точка, мрежен инженер не треба да патува до локацијата. Главната работа е правилно да го вклучите уредот на локацијата и да ги поврзете сите кабли со него, тогаш опремата автоматски ќе се поврзе со системот. Можете да преземате конфигурации преку DNS-пребарувања во облакот на продавачот од поврзан USB-уред или можете да отворите хиперврска од лаптоп поврзан на уредот преку Wi-Fi или Ethernet.
• Поедноставување на рутинската администрација на мрежата - конфигурација од шаблони, глобални политики, централно конфигурирани за најмалку пет гранки, најмалку 5. Сè од едно место. За да избегнете долго патување, постои многу погодна опција за автоматско враќање на претходната конфигурација.
• Управување со сообраќајот на ниво на апликација-обезбедување квалитетно и континуирано ажурирање на потписот на апликацијата. Политиките се конфигурираат и се шират централно (нема потреба да се пишуваат и ажурираат мапи на маршрутата за секој рутер, како и досега). Можете да видите кој што, каде и што испраќа.
• Сегментација на мрежата. Независни изолирани VPN на врвот на целата инфраструктура - секој со свое рутирање. Стандардно, сообраќајот меѓу нив е затворен; можете да отворите пристап само до разбирливи типови сообраќај во разбирливи мрежни јазли, на пример, поминувајќи сè преку голем заштитен ѕид или прокси.
• Видливост на историјата на квалитетот на мрежата - како функционираат апликациите и каналите. Многу корисно за анализа и корекција на ситуацијата дури и пред корисниците да почнат да добиваат поплаки за нестабилното работење на апликациите.
• Видливост низ каналите - дали вредат за парите, дали два различни оператори навистина доаѓаат на вашата страница или всушност поминуваат низ истата мрежа и истовремено се деградираат/паѓаат.
• Видливост за облак апликации и управување со сообраќајот преку одредени канали врз основа на тоа (Cloud Onramp).
• Едно парче хардвер содржи рутер и заштитен ѕид (поточно NGFW). Помалку парчиња хардвер значи дека е поевтино да се отвори нова филијала.

Компоненти и архитектура на SD-WAN решенија

Крајните уреди се WAN рутери, кои можат да бидат хардверски или виртуелни.

Оркестраторите се алатка за управување со мрежата. Тие се конфигурирани со параметри на крајниот уред, политики за насочување на сообраќајот и безбедносна функционалност. Добиените конфигурации се испраќаат автоматски преку контролната мрежа до јазлите. Паралелно, оркестраторот ја слуша мрежата и ја следи достапноста на уредите, портите, комуникациските канали и вчитувањето на интерфејсот.

Алатки за аналитика. Тие прават извештаи врз основа на податоци собрани од крајните уреди: историја на квалитетот на каналите, мрежните апликации, достапноста на јазлите итн.

Контролорите се одговорни за примена на политиките за насочување на сообраќајот во мрежата. Нивниот најблизок аналог во традиционалните мрежи може да се смета за BGP Route Reflector. Глобалните политики што администраторот ги конфигурира во оркестраторот предизвикуваат контролорите да го променат составот на нивните табели за насочување и да испраќаат ажурирани информации до крајните уреди.

Што добива ИТ услугата од SD-WAN:

1. Резервниот канал постојано се користи (не е во мирување). Излегува поевтино затоа што можете да си дозволите два помалку дебели канали.
2. Автоматско префрлување на сообраќајот на апликациите помеѓу каналите.
3. Време на администратор: можете да ја развивате мрежата на глобално ниво, наместо да ползите низ секое парче хардвер со конфигурации.
4. Брзина на подигање на нови гранки. Таа е многу повисока.
5. Помалку застој при замена на мртвата опрема.
6. Брзо конфигурирајте ја мрежата за нови услуги.

Што добива бизнисот од SD-WAN:

1. Загарантирана работа на деловни апликации на дистрибуирана мрежа, вклучително и преку отворени интернет канали. Станува збор за деловна предвидливост.
2. Мгновенная поддержка новых бизнес-приложений на всей распределённой сети вне зависимости от количества филиалов. Это про скорость бизнеса.
3. Брзо и безбедно поврзување на филијали на кои било оддалечени локации користејќи какви било технологии за поврзување (Интернетот е насекаде, но изнајмените линии и VPN не се). Станува збор за деловна флексибилност при изборот на локација.
4. Ова може да биде проект со испорака и пуштање во работа, или може да биде услуга
   со месечни плаќања од ИТ компанија, телекомуникациски оператор или облак оператор. Што и да е погодно за вас.

Деловните придобивки од SD-WAN може да бидат сосема различни, на пример, еден клиент ни кажа дека врвен менаџер добил барање за директна линија со сите вработени во повеќеилјадна компанија и можност за испорака на содржина.

За нас тоа беше „воена операција“. Во тој момент веќе го решававме проблемот со модернизација на CSPD. И кога ќе сфатиме дека ние, во принцип, треба да се вклучиме во реновирање на опремата, а технолошкиот оџак отиде напред, зошто да се вклучиме во реновирање на истите технологии и услуги ако можеме да направиме чекор понатаму.

SD-WAN е инсталиран на локацијата од Enikey. Ова е важно за оддалечените гранки, каде што можеби едноставно нема нормален администратор. Испратете по пошта, кажете: „Приклучете го кабелот 1 во кутијата 1, кабелот 2 во кутијата 2 и не мешајте го! Не се збунувајте, #@$@%!“ И ако не го измешаат, самиот уред комуницира со централниот сервер, ги зема и ги применува неговите конфигурации, а оваа канцеларија станува дел од безбедната мрежа на компанијата. Убаво е кога не треба да патувате и лесно е да се оправдате во вашиот буџет.

Еве дијаграм на штандот:

Некои примери за конфигурација:

Политика - глобални правила за управување со сообраќајот. Уредување политика.

Активирајте ја политиката за контрола на сообраќајот.

Масовна конфигурација на основните параметри на уредот (IP адреси, DHCP базени).

Слики од екранот за следење на перформансите на апликацијата

За облак апликации.

Детали за Office365.

За on-prem апликации. За жал, не можевме да најдеме апликации со грешки на нашиот штанд (стапката на обновување на FEC е нула насекаде).

Дополнително - перформанси на каналите за пренос на податоци.

Кој хардвер е поддржан на SD-WAN

1. Хардверски платформи:

• Маршрутизаторы Cisco vEdge (прежнее название — Viptela vEdge), работающие под управлением ОС Viptela.
• Рутери за интегрирани услуги (ISR) од сериите 1 и 000 кои работат со IOS XE SD-WAN.
• Рутер за услуги за собирање (ASR) 1 серија што работи со IOS XE SD-WAN.

2. Виртуелни платформи:

• Cloud Services Router (CSR) 1v со IOS XE SD-WAN.
• VEdge Cloud Router работи со Viptela OS.

Виртуелните платформи може да се распоредат на компјутерските платформи Cisco x86, како што се серијата Enterprise Network Compute System (ENCS) 5, Unified Computing System (UCS) и Cloud Services Platform (CSP) серијата 000. Виртуелните платформи може да работат и на кој било уред x5 користејќи хипервизор како KVM или VMware ESi.

Како се вклучува нов уред

Списокот на лиценцирани уреди за распоредување се презема или од паметна сметка на Cisco или се поставува како CSV-датотека. Ќе се обидам да добијам повеќе слики од екранот подоцна, во моментов немаме нови уреди за распоредување.

Редоследот на чекори низ кои поминува уредот кога е распореден.

Како се воведува нов метод за испорака на уред/конфигурација

Додаваме уреди на паметна сметка.

Можете да преземете CSV-датотека или можете да преземате една по една:

Пополнете ги параметрите на уредот:

Следно, во vManage ги синхронизираме податоците со паметната сметка. Уредот се појавува во списокот:

Во паѓачкото мени спроти уредот, кликнете Generate Bootstrap Configuration
и добијте ја почетната конфигурација:

Оваа конфигурација мора да се внесе на уредот. Најлесен начин е да поврзете флеш-уред со зачувана датотека со име ciscosd-wan.cfg на уредот. Кога се подига, уредот ќе ја бара оваа датотека.

Откако ја доби почетната конфигурација, уредот ќе може да стигне до оркестраторот и да добие целосна конфигурација од таму.

Гледаме во SD-пристап (ДНК)

SD-Access го олеснува конфигурирањето на портите и правата за пристап за поврзување на корисници. Ова е направено со помош на волшебници. Параметрите на портите се поставени во однос на групите „Администратори“, „Сметководство“, „Принтери“, а не за VLAN и IP подмрежи. Ова ги минимизира човечките грешки. Ако, на пример, една компанија има многу филијали низ Русија, но централната канцеларија е преоптоварена, тогаш SD-Access ви овозможува да решите повеќе проблеми локално. На пример, истите проблеми во врска со смена на проблеми.

За безбедност на информациите, важно е SD-Access да вклучува јасна поделба на корисниците и уредите во групи и дефинирање на политики за интеракција помеѓу нив, овластување за секое поврзување на клиентот со мрежата и обезбедување „права за пристап“ низ целата мрежа. Ако го следите овој пристап, администрацијата станува многу полесна.

Процесот на стартување за нови канцеларии е исто така поедноставен благодарение на агентите Plug-and-Play во прекинувачите. Нема потреба да трчате низ крос-кантри со конзола, па дури и воопшто да одите на страницата.

Еве примери за конфигурација:

Општ статус.

Инциденти кои администраторот треба да ги разгледа.

Автоматски препораки за тоа што да се промени во конфигурациите.

План за интегрирање на SD-WAN со SD-Access

Слушнав дека Cisco има такви планови - SD-WAN и SD-Access. Ова треба значително да ги намали хемороидите при управување со географски распоредени и локални CSPD.

vManage (оркестратор SD-WAN) управляется через API с DNA Center (контроллера SD-Access).

Политиките за микро- и макро-сегментација се мапирани на следниов начин:

На ниво на пакет, сè изгледа вака:

Кој и што мисли за ова?

На SD-WAN работиме од 2016 година во посебна лабораторија, каде тестираме различни решенија за потребите на малопродажбата, банките, транспортот и индустријата.

Очень много общаемся с реальными заказчиками.

Можам да кажам дека малопродажбата веќе самоуверено го тестира SD-WAN, а некои го прават тоа со продавачите (најчесто со Cisco), но има и такви кои се обидуваат сами да го решат проблемот: тие пишуваат своја верзија на софтвер кој е сличен по функционалност на SD-WAN.

Секој, на овој или оној начин, сака да постигне централизирано управување со целата опрема на зоолошката градина. Ова е една точка на администрација за нестандардни инсталации и стандардни за различни продавачи и различни технологии. Важно е да се минимизира мануелната работа бидејќи, прво, го намалува ризикот од човечкиот фактор при поставување на опремата и второ, ги ослободува ресурсите на ИТ услугата за решавање на други проблеми. Вообичаено, признавањето на потребата доаѓа од многу долги циклуси на обновување низ целата земја. И, на пример, ако трговецот на мало продава алкохол, тогаш му треба постојана комуникација за продажба. Ажурирањето или застојот во текот на денот директно влијае на приходите.

Сега во малопродажбата има јасно разбирање за тоа кои ИТ задачи ќе користат SD-WAN:

1. Брзо распоредување (често е потребно на LTE пред да пристигне кабелскиот провајдер, честопати е неопходно новата точка да ја подигне администраторот во градот преку GPC, а потоа центарот едноставно изгледа и конфигурира).
2. Централизирано управување, комуникација за странски објекти.
3. Намалување на трошоците за телеком.
4. Разни дополнителни услуги (карактеристиките на DPI овозможуваат да се даде приоритет на испораката на сообраќај од важни апликации како што се каси).
5. Работете со канали автоматски, не рачно.

Исто така, постои и проверка на усогласеноста - сите зборуваат за тоа многу, но никој не го доживува како проблем. Одржувањето дека сè работи правилно, исто така функционира добро во оваа парадигма. Многумина веруваат дека целиот пазар на мрежна технологија ќе се движи во оваа насока.

Банките, IMHO, моментално го тестираат SD-WAN како нова технолошка карактеристика. Го чекаат крајот на поддршката за претходните генерации опрема и дури тогаш ќе се сменат. Банките генерално имаат своја посебна атмосфера преку комуникациските канали, така што моменталната состојба на индустријата не им пречи многу. Проблемите лежат на други рамнини.

За разлика од рускиот пазар, SD-WAN активно се имплементира во Европа. Нивните комуникациски канали се поскапи и затоа европските компании го носат својот куп во руските поделби. Во Русија, постои одредена стабилност, бидејќи цената на каналите (дури и кога регионот е 25 пати поскап од центарот) изгледа сосема нормално и не предизвикува прашања. Од година во година има безусловен буџет за канали за комуникација.

Еве еден пример од светската практика, кога една компанија заштедила време и пари користејќи SD-WAN на Cisco.

Постои таква компанија - National Instruments. Во одреден момент, тие почнаа да разбираат дека глобалната компјутерска мрежа, „добиена“ со комбинирање на 88 локации низ целиот свет, е неефикасна. Покрај тоа, компанијата немаше капацитет и перформанси за снабдување со топла вода за домаќинство. Немаше рамнотежа помеѓу континуираниот раст на компанијата и ограничениот буџет за ИТ.

SD-WAN му помогна на National Instruments да ги намали трошоците за MPLS за 25% (заштедени 450 УСД во 2018 година) додека го прошири пропусниот опсег за 3%.

Како резултат на имплементацијата на SD-WAN, компанијата доби паметна мрежа дефинирана со софтвер и централизирано управување со политиките за автоматско оптимизирање на сообраќајот и перформансите на апликациите. Еве - детален случај.

Точно тука апсолутно луд случај на преместување на S7 во друга канцеларија, кога на почетокот сè започна тешко, но интересно - беше неопходно повторно да се направат 1,5 илјади порти. Но, тогаш нешто тргна наопаку и како резултат на тоа, админите се покажаа како последни пред крајниот рок, на кои паѓаат сите акумулирани доцнења.

Прочитајте повеќе на англиски:

• Американски банкар: Fifth Third инвестира во 5-годишна надградба на мрежата со SD-WAN .
• Градење на Cloud SD-WAN успех во Кох.
• Меккесон SD-WAN патување до заштеда на трошоци .
• SD-WAN Малопродажба на PoC и Сегментација: Продавници за празнини.
• Но Cisco глобална студија за мрежните трендови во светот.

На руски:

• На CNews.
• Како го имплементиравме SD-Access и зошто беше потребен.
• Мрежна ткаенина за центарот за податоци Cisco ACI - за помош на администраторот.
• Стабилен канал базиран на софтверски дефинирани SD-WAN мрежи: решавање проблеми со изборот на маршрутата.
• Моја е-пошта, ако имате какви било прашања или сакате да ги тестирате вашите задачи на нашиот штанд, - [заштитена по е-пошта].

Извор: www.habr.com