आम्ही मॉस्को कार्यालयात Huawei वर नवीन नेटवर्क कसे डिझाइन केले आणि लागू केले, भाग 1

आज मी तुम्हाला आमच्या कंपनीसाठी नवीन अंतर्गत नेटवर्क तयार करण्याची कल्पना कशी आली आणि अंमलात आणली गेली याबद्दल सांगेन. व्यवस्थापनाची स्थिती अशी आहे की तुम्हाला क्लायंटसाठी स्वतःसाठी समान पूर्ण प्रकल्प करणे आवश्यक आहे. जर आम्ही ते स्वतःसाठी चांगले केले तर आम्ही ग्राहकाला आमंत्रित करू शकतो आणि आम्ही त्याला जे ऑफर करतो ते किती चांगले आणि कार्य करते हे दाखवू शकतो. म्हणून, आम्ही संपूर्ण उत्पादन चक्र वापरून, मॉस्को कार्यालयासाठी नवीन नेटवर्कच्या संकल्पनेच्या विकासाकडे अगदी बारकाईने संपर्क साधला: विभागीय गरजांचे विश्लेषण → तांत्रिक समाधानाची निवड → डिझाइन → अंमलबजावणी → चाचणी. तर चला सुरुवात करूया.

तांत्रिक उपाय निवडणे: उत्परिवर्ती अभयारण्य

जटिल स्वयंचलित प्रणालीवर कार्य करण्याच्या प्रक्रियेचे सध्या GOST 34.601-90 “स्वयंचलित प्रणालींमध्ये सर्वोत्तम वर्णन केले आहे. निर्मितीचे टप्पे”, म्हणून आम्ही त्यानुसार कार्य केले. आणि आधीच आवश्यकता निर्मिती आणि संकल्पना विकासाच्या टप्प्यावर, आम्हाला पहिल्या अडचणींचा सामना करावा लागला. विविध प्रोफाइलच्या संस्था - बँका, विमा कंपन्या, सॉफ्टवेअर डेव्हलपर इ. - त्यांच्या कार्यांसाठी आणि मानकांसाठी, त्यांना विशिष्ट प्रकारचे नेटवर्क आवश्यक आहे, ज्याचे तपशील स्पष्ट आणि प्रमाणित आहेत. तथापि, हे आमच्यासह कार्य करणार नाही.

का?

जेट इन्फोसिस्टम ही एक मोठी वैविध्यपूर्ण आयटी कंपनी आहे. त्याच वेळी, आमचा अंतर्गत समर्थन विभाग लहान आहे (परंतु अभिमानास्पद), तो मूलभूत सेवा आणि प्रणालींची कार्यक्षमता सुनिश्चित करतो. कंपनीमध्ये अनेक विभाग आहेत जे भिन्न कार्ये करतात: हे अनेक शक्तिशाली आउटसोर्सिंग संघ आहेत, आणि व्यवसाय प्रणालीचे इन-हाउस डेव्हलपर, आणि माहिती सुरक्षा, आणि संगणकीय प्रणालीचे आर्किटेक्ट - सर्वसाधारणपणे, ते कोणीही असो. त्यानुसार त्यांची कार्ये, यंत्रणा आणि सुरक्षा धोरणेही भिन्न आहेत. ज्याने, अपेक्षेप्रमाणे, गरजा विश्लेषण आणि मानकीकरण प्रक्रियेत अडचणी निर्माण केल्या.

येथे, उदाहरणार्थ, विकास विभाग आहे: त्याचे कर्मचारी मोठ्या संख्येने ग्राहकांसाठी कोड लिहितात आणि चाचणी करतात. बऱ्याचदा चाचणी वातावरण त्वरीत आयोजित करण्याची आवश्यकता असते आणि स्पष्टपणे सांगायचे तर, प्रत्येक प्रकल्पासाठी आवश्यकता तयार करणे, संसाधनांची विनंती करणे आणि सर्व अंतर्गत नियमांनुसार स्वतंत्र चाचणी वातावरण तयार करणे नेहमीच शक्य नसते. यामुळे जिज्ञासू परिस्थिती निर्माण होते: एके दिवशी तुमच्या नम्र सेवकाने डेव्हलपरच्या खोलीत पाहिले आणि टेबलच्या खाली 20 डेस्कटॉपचे योग्यरित्या कार्यरत हॅडूप क्लस्टर आढळले, जे एका सामान्य नेटवर्कशी स्पष्टपणे कनेक्ट केलेले नव्हते. कंपनीच्या आयटी विभागाला त्याच्या अस्तित्वाबद्दल माहिती नव्हती हे स्पष्ट करणे मला योग्य वाटत नाही. ही परिस्थिती, इतर अनेकांप्रमाणेच, या प्रकल्पाच्या विकासादरम्यान, "म्युटंट रिझर्व्ह" हा शब्द जन्माला आला या वस्तुस्थितीसाठी कारणीभूत होता, ज्याने दीर्घकाळ सहन केलेल्या कार्यालयाच्या पायाभूत सुविधांच्या स्थितीचे वर्णन केले होते.

किंवा येथे दुसरे उदाहरण आहे. वेळोवेळी, एका विभागात चाचणी खंडपीठ स्थापन केले जाते. काही प्रकल्पांमध्ये सॉफ्टवेअर डेव्हलपमेंट सेंटरद्वारे मर्यादित प्रमाणात वापरल्या जाणाऱ्या जिरा आणि कॉन्फ्ल्युअन्सच्या बाबतीत असेच होते. काही काळानंतर, इतर विभागांनी या उपयुक्त संसाधनांबद्दल जाणून घेतले, त्यांचे मूल्यमापन केले आणि 2018 च्या शेवटी, जिरा आणि कॉन्फ्लुएंस "स्थानिक प्रोग्रामरच्या खेळण्या" च्या स्थितीवरून "कंपनी संसाधने" च्या स्थितीत गेले. आता या सिस्टीम, SLA, प्रवेश/माहिती सुरक्षा धोरणे, बॅकअप धोरणे, देखरेख, राउटिंग विनंत्यांना समस्यांचे निराकरण करण्यासाठी नियमांची व्याख्या करणे आवश्यक आहे - सर्वसाधारणपणे, संपूर्ण माहिती प्रणालीचे सर्व गुणधर्म उपस्थित असणे आवश्यक आहे. .
आमचा प्रत्येक विभाग एक इनक्यूबेटर आहे जो स्वतःची उत्पादने वाढवतो. त्यापैकी काही विकासाच्या टप्प्यावर मरतात, काही आम्ही प्रकल्पांवर काम करताना वापरतो, तर काही रूट घेतात आणि प्रतिकृती बनवतात जे आम्ही स्वतः वापरण्यास सुरुवात करतो आणि ग्राहकांना विकतो. अशा प्रत्येक प्रणालीसाठी, त्याचे स्वतःचे नेटवर्क वातावरण असणे इष्ट आहे, जेथे ते इतर प्रणालींमध्ये हस्तक्षेप न करता विकसित होईल आणि काही क्षणी कंपनीच्या पायाभूत सुविधांमध्ये समाकलित केले जाऊ शकते.

विकासाव्यतिरिक्त, आपल्याकडे खूप मोठे आहे सेवा केंद्र 500 हून अधिक कर्मचाऱ्यांसह, प्रत्येक ग्राहकासाठी संघ तयार केले. ते नेटवर्क आणि इतर प्रणाली राखणे, रिमोट मॉनिटरिंग, दावे सोडवणे इत्यादींमध्ये गुंतलेले आहेत. म्हणजेच, SC ची पायाभूत सुविधा ही खरेतर, ज्या ग्राहकांसोबत ते सध्या काम करत आहेत त्यांच्या पायाभूत सुविधा आहेत. नेटवर्कच्या या विभागासह कार्य करण्याचे वैशिष्ट्य म्हणजे आमच्या कंपनीसाठी त्यांचे वर्कस्टेशन अंशतः बाह्य आणि अंशतः अंतर्गत आहेत. म्हणून, SC साठी आम्ही खालील दृष्टीकोन लागू केला - कंपनी संबंधित विभागाला नेटवर्क आणि इतर संसाधने प्रदान करते, या विभागांची वर्कस्टेशन्स बाह्य कनेक्शन (शाखा आणि रिमोट वापरकर्त्यांशी साधर्म्य करून) मानतात.

महामार्ग डिझाइन: आम्ही ऑपरेटर आहोत (आश्चर्य)

सर्व त्रुटींचे मूल्यांकन केल्यावर, आमच्या लक्षात आले की आम्हाला एका कार्यालयात दूरसंचार ऑपरेटरचे नेटवर्क मिळत आहे आणि आम्ही त्यानुसार कार्य करण्यास सुरुवात केली.

आम्ही एक कोर नेटवर्क तयार केले आहे ज्याच्या मदतीने कोणत्याही अंतर्गत, आणि भविष्यात बाह्य देखील, ग्राहकांना आवश्यक सेवा प्रदान केली जाते: L2 VPN, L3 VPN किंवा नियमित L3 राउटिंग. काही विभागांना सुरक्षित इंटरनेट प्रवेशाची आवश्यकता असते, तर इतरांना फायरवॉलशिवाय स्वच्छ प्रवेशाची आवश्यकता असते, परंतु त्याच वेळी आमच्या कॉर्पोरेट संसाधनांचे आणि मुख्य नेटवर्कचे त्यांच्या रहदारीपासून संरक्षण होते.

आम्ही अनौपचारिकपणे प्रत्येक विभागासह "एक SLA निष्कर्ष" काढला. त्याच्या अनुषंगाने, उद्भवलेल्या सर्व घटना एका विशिष्ट, पूर्व-संमत कालावधीत काढून टाकल्या पाहिजेत. त्याच्या नेटवर्कसाठी कंपनीच्या आवश्यकता कठोर असल्याचे दिसून आले. टेलिफोन आणि ईमेल अयशस्वी झाल्यास घटनेला जास्तीत जास्त प्रतिसाद वेळ 5 मिनिटे होता. ठराविक अपयशांदरम्यान नेटवर्क कार्यक्षमता पुनर्संचयित करण्याची वेळ एका मिनिटापेक्षा जास्त नाही.

आमच्याकडे वाहक-श्रेणीचे नेटवर्क असल्याने, तुम्ही केवळ नियमांनुसारच त्यास कनेक्ट करू शकता. सेवा युनिट धोरणे सेट करतात आणि सेवा प्रदान करतात. त्यांना विशिष्ट सर्व्हर, व्हर्च्युअल मशीन आणि वर्कस्टेशन्सच्या कनेक्शनबद्दल माहिती देखील आवश्यक नसते. परंतु त्याच वेळी, संरक्षण यंत्रणा आवश्यक आहेत, कारण एका कनेक्शनने नेटवर्क अक्षम करू नये. चुकून लूप तयार झाल्यास, इतर वापरकर्त्यांनी हे लक्षात घेऊ नये, म्हणजेच नेटवर्ककडून पुरेसा प्रतिसाद आवश्यक आहे. कोणताही दूरसंचार ऑपरेटर त्याच्या मूळ नेटवर्कमध्ये सतत सारख्याच गुंतागुंतीच्या समस्या सोडवतो. हे विविध गरजा आणि रहदारी असलेल्या अनेक ग्राहकांना सेवा प्रदान करते. त्याच वेळी, भिन्न सदस्यांना इतरांच्या रहदारीमुळे गैरसोयीचा अनुभव येऊ नये.
घरी, आम्ही या समस्येचे खालील प्रकारे निराकरण केले: आम्ही IS-IS प्रोटोकॉल वापरून, पूर्ण रिडंडंसीसह पाठीचा कणा L3 नेटवर्क तयार केले. तंत्रज्ञानाच्या आधारे कोरच्या शीर्षस्थानी एक आच्छादन नेटवर्क तयार केले गेले EVPN/VXLAN, राउटिंग प्रोटोकॉल वापरून MP-BGP. रूटिंग प्रोटोकॉलच्या अभिसरणाची गती वाढवण्यासाठी, BFD तंत्रज्ञानाचा वापर करण्यात आला.

नेटवर्क संरचना

चाचण्यांमध्ये, ही योजना स्वतःच उत्कृष्ट असल्याचे दर्शविले - जेव्हा कोणतेही चॅनेल किंवा स्विच डिस्कनेक्ट केले जाते, तेव्हा अभिसरण वेळ 0.1-0.2 s पेक्षा जास्त नसतो, किमान पॅकेट गमावले जातात (बहुतेक वेळा कोणतेही नाही), TCP सत्रे फाटलेली नाहीत, टेलिफोन संभाषणे व्यत्यय आणत नाहीत.

अंडरले लेयर - राउटिंग

आच्छादन स्तर - राउटिंग

VXLAN परवान्यांसह Huawei CE6870 स्विचेस वितरण स्विच म्हणून वापरले गेले. या डिव्हाइसमध्ये इष्टतम किंमत/गुणवत्ता गुणोत्तर आहे, जे तुम्हाला 10 Gbit/s च्या वेगाने सदस्य कनेक्ट करण्याची आणि 40-100 Gbit/s च्या वेगाने पाठीच्या कड्याशी कनेक्ट करण्याची परवानगी देते, वापरलेल्या ट्रान्सीव्हर्सवर अवलंबून.

Huawei CE6870 स्विचेस

Huawei CE8850 स्विचेस कोर स्विच म्हणून वापरले गेले. रहदारी जलद आणि विश्वासार्हपणे प्रसारित करणे हे ध्येय आहे. वितरण स्विचेसशिवाय कोणतीही उपकरणे त्यांच्याशी कनेक्ट केलेली नाहीत, त्यांना VXLAN बद्दल काहीही माहिती नाही, म्हणून 32 40/100 Gbps पोर्ट असलेले एक मॉडेल निवडले गेले, ज्यात मूलभूत परवाना आहे जो IS-IS आणि MP-BGP साठी L3 रूटिंग आणि समर्थन प्रदान करतो. प्रोटोकॉल

खालचा एक Huawei CE8850 कोर स्विच आहे

डिझाईन स्टेजवर, मुख्य नेटवर्क नोड्समध्ये दोष-सहिष्णु कनेक्शन लागू करण्यासाठी वापरल्या जाणाऱ्या तंत्रज्ञानाबद्दल टीममध्ये चर्चा सुरू झाली. आमचे मॉस्को कार्यालय तीन इमारतींमध्ये स्थित आहे, आमच्याकडे 7 वितरण खोल्या आहेत, त्यापैकी प्रत्येकामध्ये दोन Huawei CE6870 वितरण स्विच स्थापित केले गेले होते (केवळ प्रवेश स्विच अनेक वितरण खोल्यांमध्ये स्थापित केले गेले होते). नेटवर्क संकल्पना विकसित करताना, दोन रिडंडंसी पर्यायांचा विचार केला गेला:

• वितरणाचे एकत्रीकरण प्रत्येक क्रॉस-कनेक्शन रूममध्ये दोष-सहिष्णु स्टॅकमध्ये स्विच करते. साधक: साधेपणा आणि सेटअप सुलभता. तोटे: जेव्हा नेटवर्क डिव्हाइसेसच्या फर्मवेअरमध्ये त्रुटी आढळतात तेव्हा संपूर्ण स्टॅक अयशस्वी होण्याची उच्च संभाव्यता असते ("मेमरी लीक" आणि यासारखे).
• डिव्हाइसेसना डिस्ट्रिब्युशन स्विचशी जोडण्यासाठी M-LAG आणि Anycast गेटवे तंत्रज्ञान लागू करा.

शेवटी, आम्ही दुसऱ्या पर्यायावर स्थायिक झालो. हे कॉन्फिगर करणे काहीसे कठीण आहे, परंतु सरावाने त्याची कार्यक्षमता आणि उच्च विश्वसनीयता दर्शविली आहे.
प्रथम डिस्ट्रिब्युशन स्विचेसना एंड डिव्हायसेस कनेक्ट करण्याचा विचार करूया:

फुली

ऍक्सेस स्विच, सर्व्हर किंवा इतर कोणतेही उपकरण ज्यास दोष-सहिष्णु कनेक्शन आवश्यक आहे ते दोन वितरण स्विचमध्ये समाविष्ट केले आहे. M-LAG तंत्रज्ञान डेटा लिंक स्तरावर रिडंडंसी प्रदान करते. असे गृहीत धरले जाते की दोन वितरण स्विच कनेक्ट केलेल्या उपकरणांना एक उपकरण म्हणून दिसतात. रिडंडंसी आणि लोड बॅलन्सिंग LACP प्रोटोकॉल वापरून केले जाते.

एनीकास्ट गेटवे तंत्रज्ञान नेटवर्क स्तरावर रिडंडंसी प्रदान करते. प्रत्येक वितरण स्विचवर बऱ्याच मोठ्या संख्येने VRF कॉन्फिगर केले आहेत (प्रत्येक VRF त्याच्या स्वतःच्या हेतूंसाठी आहे - स्वतंत्रपणे "नियमित" वापरकर्त्यांसाठी, टेलिफोनीसाठी स्वतंत्रपणे, विविध चाचणी आणि विकास वातावरणासाठी स्वतंत्रपणे, इ.), आणि प्रत्येकामध्ये VRF मध्ये अनेक VLAN कॉन्फिगर केलेले आहेत. आमच्या नेटवर्कमध्ये, वितरण स्विच त्यांच्याशी कनेक्ट केलेल्या सर्व उपकरणांसाठी डीफॉल्ट गेटवे आहेत. VLAN इंटरफेसशी संबंधित IP पत्ते दोन्ही वितरण स्विचसाठी समान आहेत. ट्रॅफिक जवळच्या स्विचमधून मार्गस्थ केले जाते.

आता कर्नलला डिस्ट्रिब्युशन स्विचेस कनेक्ट करूया:
IS-IS प्रोटोकॉल वापरून नेटवर्क स्तरावर फॉल्ट टॉलरन्स प्रदान केला जातो. कृपया लक्षात घ्या की स्विचेस दरम्यान 3G च्या वेगाने एक वेगळी L100 कम्युनिकेशन लाइन प्रदान केली आहे. भौतिकदृष्ट्या, ही कम्युनिकेशन लाइन डायरेक्ट ऍक्सेस केबल आहे; ती Huawei CE6870 स्विचच्या फोटोमध्ये उजवीकडे दिसू शकते.

एक पर्याय म्हणजे "प्रामाणिक" पूर्णपणे जोडलेले डबल स्टार टोपोलॉजी आयोजित करणे, परंतु, वर नमूद केल्याप्रमाणे, आमच्याकडे तीन इमारतींमध्ये 7 क्रॉस-कनेक्ट खोल्या आहेत. त्यानुसार, जर आम्ही "डबल स्टार" टोपोलॉजी निवडली असती, तर आम्हाला दुप्पट "लाँग-रेंज" 40G ट्रान्सीव्हर्सची आवश्यकता असते. येथे बचत खूप लक्षणीय आहे.

VXLAN आणि Anycast गेटवे तंत्रज्ञान एकत्र कसे कार्य करतात याबद्दल काही शब्द बोलणे आवश्यक आहे. VXLAN, तपशीलात न जाता, UDP पॅकेट्समध्ये इथरनेट फ्रेम्सची वाहतूक करण्यासाठी एक बोगदा आहे. वितरण स्विचचे लूपबॅक इंटरफेस VXLAN बोगद्याचा गंतव्य IP पत्ता म्हणून वापरले जातात. प्रत्येक क्रॉस-कनेक्शनमध्ये समान लूपबॅक इंटरफेस पत्त्यांसह दोन स्विच असतात, त्यामुळे एक पॅकेट त्यापैकी कोणत्याहीवर येऊ शकते आणि त्यातून इथरनेट फ्रेम काढली जाऊ शकते.

जर स्विचला पुनर्प्राप्त केलेल्या फ्रेमच्या गंतव्य MAC पत्त्याबद्दल माहिती असेल, तर फ्रेम योग्यरित्या त्याच्या गंतव्यस्थानावर वितरित केली जाईल. एकाच क्रॉस-कनेक्टमध्ये स्थापित दोन्ही वितरण स्विचमध्ये ॲक्सेस स्विचमधून सर्व MAC पत्त्यांची अद्ययावत माहिती आहे याची खात्री करण्यासाठी, M-LAG यंत्रणा MAC ॲड्रेस टेबल्स (तसेच एआरपी) समक्रमित करण्यासाठी जबाबदार आहे. टेबल) दोन्ही स्विचेसवर M-LAG जोड्या.

वितरण स्विचेसच्या लूपबॅक इंटरफेसच्या अनेक मार्गांच्या अंडरले नेटवर्कमध्ये उपस्थितीमुळे वाहतूक संतुलन साधले जाते.

त्याऐवजी एक निष्कर्ष

वर नमूद केल्याप्रमाणे, चाचणी आणि ऑपरेशन दरम्यान नेटवर्कने उच्च विश्वासार्हता दर्शविली (नमुनेदार अपयशांसाठी पुनर्प्राप्ती वेळ शेकडो मिलिसेकंदांपेक्षा जास्त नाही) आणि चांगली कामगिरी - प्रत्येक क्रॉस-कनेक्ट दोन 40 Gbit/s चॅनेलद्वारे कोरशी जोडलेले आहे. आमच्या नेटवर्कमधील ऍक्सेस स्विचेस स्टॅक केलेले आहेत आणि दोन 10 Gbit/s चॅनेलसह LACP/M-LAG द्वारे वितरण स्विचशी कनेक्ट केलेले आहेत. स्टॅकमध्ये सहसा प्रत्येकी 5 पोर्ट्ससह 48 स्विच असतात आणि प्रत्येक क्रॉस-कनेक्टमध्ये 10 पर्यंत ऍक्सेस स्टॅक वितरणाशी जोडलेले असतात. अशा प्रकारे, पाठीचा कणा जास्तीत जास्त सैद्धांतिक भार असतानाही प्रति वापरकर्ता सुमारे 30 Mbit/s प्रदान करतो, जे लेखनाच्या वेळी आमच्या सर्व व्यावहारिक अनुप्रयोगांसाठी पुरेसे आहे.

नेटवर्क तुम्हाला L2 आणि L3 या दोन्हींद्वारे कोणत्याही अनियंत्रितपणे कनेक्ट केलेल्या उपकरणांची जोडणी व्यवस्थापित करण्यास अनुमती देते, ट्रॅफिकचे संपूर्ण अलगाव (माहिती सुरक्षा सेवेला आवडते) आणि फॉल्ट डोमेन (जे ऑपरेशन टीमला आवडते) प्रदान करते.

पुढील भागात आम्ही तुम्हाला नवीन नेटवर्कवर कसे स्थलांतरित केले ते सांगू. संपर्कात रहा!

मॅक्सिम क्लोचकोव्ह
नेटवर्क ऑडिट आणि जटिल प्रकल्प गटाचे वरिष्ठ सल्लागार
नेटवर्क सोल्युशन्स सेंटर
"जेट इन्फोसिस्टम्स"

स्त्रोत: www.habr.com