सिस्को ACI डेटा सेंटरसाठी नेटवर्क फॅब्रिक - प्रशासकाला मदत करण्यासाठी

Cisco ACI स्क्रिप्टच्या या जादुई तुकड्याच्या मदतीने तुम्ही त्वरीत नेटवर्क सेट करू शकता.

Cisco ACI डेटा सेंटरसाठी नेटवर्क फॅक्टरी पाच वर्षांपासून अस्तित्वात आहे, परंतु Habré खरोखर त्याबद्दल काहीही बोलले नाही, म्हणून मी ते थोडे निराकरण करण्याचा निर्णय घेतला. ते काय आहे, त्याचा काय उपयोग आहे आणि त्याचा रेक कुठे आहे हे मी माझ्या स्वतःच्या अनुभवावरून सांगेन.

ते काय आहे आणि ते कुठून आले?

2013 मध्ये ACI (अॅप्लिकेशन सेंट्रिक इन्फ्रास्ट्रक्चर) ची घोषणा करण्यात आली त्यावेळेस, स्पर्धक एकाच वेळी तीन बाजूंनी डेटा सेंटर नेटवर्क्सकडे पारंपारिक दृष्टीकोनातून पुढे जात होते.

एकीकडे, ओपनफ्लोवर आधारित "फर्स्ट जनरेशन" SDN सोल्यूशन्सने एकाच वेळी नेटवर्क अधिक लवचिक आणि स्वस्त बनविण्याचे वचन दिले. प्रोप्रायटरी स्विच सॉफ्टवेअरद्वारे पारंपारिकपणे केले जाणारे निर्णय केंद्रीय नियंत्रकाकडे हलवण्याची कल्पना होती.

या कंट्रोलरकडे घडणाऱ्या प्रत्येक गोष्टीची एकच दृष्टी असेल आणि त्यावर आधारित, विशिष्ट प्रवाहांवर प्रक्रिया करण्यासाठी नियमांच्या स्तरावर सर्व स्विचचे हार्डवेअर प्रोग्राम करेल.
दुसरीकडे, आच्छादन नेटवर्क सोल्यूशन्समुळे आवश्यक कनेक्टिव्हिटी आणि सुरक्षा धोरणे लागू करणे शक्य झाले भौतिक नेटवर्कमध्ये कोणतेही बदल न करता, व्हर्च्युअलाइज्ड होस्ट दरम्यान सॉफ्टवेअर बोगदे तयार करणे. या दृष्टिकोनाचे सर्वात प्रसिद्ध उदाहरण म्हणजे निसिरा, जे तोपर्यंत VMWare ने $1,26 बिलियन मध्ये विकत घेतले होते आणि सध्याच्या VMWare NSX ला जन्म दिला. निसीराचे सह-संस्थापक तेच लोक होते जे पूर्वी ओपनफ्लोच्या उत्पत्तीवर उभे होते, आता डेटा सेंटर फॅक्टरी तयार करण्यासाठी म्हणत आहेत की परिस्थितीची काही विशिष्टता जोडली गेली. OpenFlow योग्य नाही.

आणि शेवटी, खुल्या बाजारात उपलब्ध असलेल्या स्विचिंग चिप्स (ज्याला व्यापारी सिलिकॉन म्हणतात) परिपक्वतेच्या अशा टप्प्यावर पोहोचल्या आहेत जिथे ते पारंपारिक स्विच उत्पादकांसाठी एक वास्तविक धोका बनले आहेत. जर पूर्वी प्रत्येक विक्रेत्याने त्याच्या स्विचेससाठी स्वतंत्रपणे चिप्स विकसित केल्या असतील, तर कालांतराने, तृतीय-पक्ष उत्पादकांच्या चिप्स, प्रामुख्याने ब्रॉडकॉमच्या, फंक्शन्सच्या बाबतीत विक्रेता चिप्ससह अंतर कमी करण्यास सुरुवात केली आणि किंमत / कार्यप्रदर्शन गुणोत्तराच्या बाबतीत त्यांना मागे टाकले. म्हणून, अनेकांचा असा विश्वास होता की त्यांच्या स्वत: च्या डिझाइनच्या चिप्सवर स्विच करण्याचे दिवस क्रमांकित आहेत.

ACI वरील सर्व गोष्टींसाठी सिस्कोचा "असममित प्रतिसाद" (अधिक तंतोतंत, त्याची Insieme कंपनी, तिच्या माजी कर्मचाऱ्यांनी स्थापन केलेली) बनली आहे.

OpenFlow मध्ये काय फरक आहे?

फंक्शन्सच्या वितरणाच्या बाबतीत, ACI प्रत्यक्षात OpenFlow च्या उलट आहे.
OpenFlow आर्किटेक्चरमध्ये, नियंत्रक तपशीलवार नियम (प्रवाह) लिहिण्यासाठी जबाबदार असतो.
सर्व स्विचेसच्या हार्डवेअरमध्ये, म्हणजे मोठ्या नेटवर्कमध्ये, ते राखण्यासाठी आणि सर्वात महत्त्वाचे म्हणजे, नेटवर्कमधील शेकडो पॉइंट्सवर लाखो रेकॉर्ड बदलण्यासाठी जबाबदार असू शकते, त्यामुळे त्याची कार्यक्षमता आणि विश्वासार्हता एक अडथळा बनते. मोठ्या प्रमाणात अंमलबजावणी.

ACI उलटा दृष्टीकोन वापरते: अर्थातच, एक नियंत्रक देखील आहे, परंतु स्विचेसकडून उच्च-स्तरीय घोषणात्मक धोरणे प्राप्त होतात आणि स्विच स्वतः हार्डवेअरमधील विशिष्ट सेटिंग्जच्या तपशीलांमध्ये त्यांचे प्रस्तुतीकरण करते. कंट्रोलर रीबूट केला जाऊ शकतो किंवा पूर्णपणे बंद केला जाऊ शकतो आणि नेटवर्कमध्ये काहीही वाईट होणार नाही, अर्थातच, या क्षणी नियंत्रणाचा अभाव. विशेष म्हणजे, ACI मध्ये अशा परिस्थिती आहेत ज्यामध्ये OpenFlow अजूनही वापरला जातो, परंतु स्थानिकरित्या Open vSwitch प्रोग्रामिंगसाठी होस्टमध्ये.

ACI पूर्णपणे VXLAN-आधारित आच्छादन वाहतुकीवर तयार केले आहे, परंतु एकल सोल्यूशनचा भाग म्हणून अंतर्निहित IP वाहतूक समाविष्ट करते. सिस्कोने याला "एकात्मिक आच्छादन" संज्ञा म्हटले. ACI मधील आच्छादनांसाठी समाप्ती बिंदू म्हणून, बहुतेक प्रकरणांमध्ये, फॅक्टरी स्विचचा वापर केला जातो (ते हे लिंक वेगाने करतात). यजमानांना फॅक्टरी, एन्कॅप्स्युलेशन इत्यादींबद्दल काहीही माहिती असणे आवश्यक नाही, तथापि, काही प्रकरणांमध्ये (उदाहरणार्थ, ओपनस्टॅक होस्ट कनेक्ट करण्यासाठी), व्हीएक्सएलएएन रहदारी त्यांच्याकडे आणली जाऊ शकते.

ACI मध्ये ओव्हरलेचा वापर केवळ वाहतूक नेटवर्कद्वारे लवचिक कनेक्टिव्हिटी प्रदान करण्यासाठीच केला जात नाही तर मेटेनफॉर्मेशन हस्तांतरित करण्यासाठी देखील केला जातो (उदाहरणार्थ, सुरक्षा धोरणे लागू करण्यासाठी याचा वापर केला जातो).

ब्रॉडकॉमच्या चिप्स पूर्वी सिस्कोने Nexus 3000 मालिका स्विचेसमध्ये वापरल्या होत्या. Nexus 9000 कुटुंबात, ACI ला सपोर्ट करण्यासाठी खास रिलीझ केले गेले, एक संकरित मॉडेल मूळत: लागू केले गेले, ज्याला मर्चंट + म्हटले गेले. स्विचमध्ये एकाच वेळी नवीन ब्रॉडकॉम ट्रायडेंट 2 चिप आणि सिस्कोने विकसित केलेली पूरक चिप दोन्ही वापरली, जी ACI ची सर्व जादू लागू करते. वरवर पाहता, यामुळे उत्पादनाच्या प्रकाशनाची गती वाढवणे आणि स्विचची किंमत फक्त ट्रायडेंट 2 च्या आधारे मॉडेलच्या जवळच्या पातळीपर्यंत कमी करणे शक्य झाले. ACI वितरणाच्या पहिल्या दोन किंवा तीन वर्षांसाठी हा दृष्टिकोन पुरेसा होता. या काळात, Cisco ने पुढच्या पिढीचा Nexus 9000 विकसित केला आणि त्याच्या स्वत:च्या चिप्सवर अधिक कार्यक्षमतेसह आणि वैशिष्ट्यांसह, परंतु समान किंमत पातळीवर लॉन्च केला. कारखान्यातील परस्परसंवादाच्या दृष्टीने बाह्य वैशिष्ट्ये पूर्णपणे संरक्षित आहेत. त्याच वेळी, अंतर्गत भरणे पूर्णपणे बदलले आहे: रिफॅक्टरिंगसारखे काहीतरी, परंतु हार्डवेअरसाठी.

सिस्को ACI आर्किटेक्चर कसे कार्य करते

सर्वात सोप्या प्रकरणात, एसीआय क्लोज नेटवर्कच्या टोपोलॉजीवर किंवा, जसे ते सहसा म्हणतात, स्पाइन-लीफवर तयार केले जाते. स्पाइन-लेव्हल स्विच दोन (किंवा एक, जर आपण दोष सहिष्णुतेची काळजी घेत नसाल तर) ते सहा असू शकतात. त्यानुसार, त्यापैकी जितके जास्त, फॉल्ट टॉलरन्स (एखाद्या मणक्याचा अपघात किंवा देखभाल झाल्यास कमी बँडविड्थ आणि विश्वासार्हता कमी) आणि एकूण कामगिरी. सर्व बाह्य कनेक्शन लीफ-लेव्हल स्विचेसवर जातात: हे सर्व्हर आहेत आणि L2 किंवा L3 द्वारे बाह्य नेटवर्कसह डॉकिंग आणि APIC कंट्रोलर कनेक्ट करणे. सर्वसाधारणपणे, ACI सह, केवळ कॉन्फिगरेशनच नाही तर आकडेवारी संकलन, अपयश निरीक्षण आणि याप्रमाणे - सर्वकाही कंट्रोलर्सच्या इंटरफेसद्वारे केले जाते, ज्यापैकी तीन मानक-आकाराच्या अंमलबजावणीमध्ये आहेत.

नेटवर्क सुरू करण्यासाठी तुम्हाला कधीही कन्सोलसह स्विचशी कनेक्ट करण्याची गरज नाही: कंट्रोलर स्वतः स्विच शोधतो आणि सर्व सेवा प्रोटोकॉलच्या सेटिंग्जसह त्यांच्याकडून एक कारखाना एकत्र करतो, म्हणूनच, तसे करणे खूप महत्वाचे आहे स्थापनेदरम्यान स्थापित केलेल्या उपकरणांचे अनुक्रमांक लिहा, जेणेकरून नंतर तुम्हाला अंदाज लावावा लागणार नाही की कोणत्या रॅकमध्ये स्विच आहे. समस्यानिवारणासाठी, आवश्यक असल्यास, तुम्ही SSH द्वारे स्विचशी कनेक्ट करू शकता: ते नेहमीच्या सिस्को शो कमांडचे पुनरुत्पादन काळजीपूर्वक करतात.

अंतर्गत, कारखाना आयपी वाहतूक वापरते, म्हणून त्यात कोणतेही स्पॅनिंग ट्री आणि भूतकाळातील इतर भयावहता नाही: सर्व दुवे गुंतलेले आहेत आणि अयशस्वी झाल्यास अभिसरण खूप वेगवान आहे. फॅब्रिकमधील रहदारी VXLAN वर आधारित बोगद्याद्वारे प्रसारित केली जाते. अधिक स्पष्टपणे, सिस्को स्वतः iVXLAN encapsulation म्हणतो, आणि ते नियमित VXLAN पेक्षा वेगळे आहे कारण नेटवर्क शीर्षलेखातील आरक्षित फील्ड सेवा माहिती प्रसारित करण्यासाठी वापरली जातात, प्रामुख्याने ईपीजी गटाशी रहदारीच्या संबंधांबद्दल. हे आपल्याला उपकरणांमधील गटांमधील परस्परसंवादाचे नियम लागू करण्यास अनुमती देते, त्यांची संख्या सामान्य प्रवेश सूचीमध्ये पत्ते वापरल्याप्रमाणेच वापरतात.

बोगदे L2 सेगमेंट आणि L3 सेगमेंट (म्हणजे VRF) दोन्ही अंतर्गत IP ट्रान्सपोर्टद्वारे ताणले जाऊ देतात. या प्रकरणात, डीफॉल्ट गेटवे वितरित केला जातो. याचा अर्थ प्रत्येक स्विच फॅब्रिकमध्ये प्रवेश करणार्‍या रहदारीच्या मार्गासाठी जबाबदार आहे. ट्रॅफिक फ्लो लॉजिकच्या दृष्टीने, ACI हे VXLAN/EVPN फॅब्रिकसारखे आहे.

तसे असल्यास, फरक काय आहेत? इतर सर्व काही!

ACI मध्ये तुम्हाला आढळणारा पहिला फरक म्हणजे सर्व्हर नेटवर्कशी कसे कनेक्ट केले जातात. पारंपारिक नेटवर्क्समध्ये, दोन्ही भौतिक सर्व्हर आणि व्हर्च्युअल मशीन्सचा समावेश VLAN मध्ये जातो, आणि इतर सर्व काही त्यांच्याकडून नाचते: कनेक्टिव्हिटी, सुरक्षा इ. ACI मध्ये, एक डिझाइन वापरली जाते ज्याला सिस्को EPG (एंड-पॉइंट ग्रुप) म्हणतात, ज्यामधून दूर कुठेही नाही. VLAN शी समीकरण करणे शक्य आहे का? होय, परंतु या प्रकरणात ACI जे देते ते बहुतेक गमावण्याची संधी आहे.

EPG च्या संदर्भात, सर्व प्रवेश नियम तयार केले जातात, आणि ACI मध्ये, "व्हाइट लिस्ट" तत्त्व डीफॉल्टनुसार वापरले जाते, म्हणजेच फक्त रहदारीला परवानगी आहे, ज्याच्या पासेस स्पष्टपणे परवानगी आहे. म्हणजेच, आम्ही "वेब" आणि "मायएसक्यूएल" ईपीजी गट तयार करू शकतो आणि एक नियम परिभाषित करू शकतो जो त्यांच्यामध्ये फक्त पोर्ट 3306 वर संप्रेषण करण्यास परवानगी देतो. हे नेटवर्क पत्त्यांशी जोडल्याशिवाय आणि त्याच सबनेटमध्ये देखील कार्य करेल!

आमच्याकडे असे ग्राहक आहेत ज्यांनी या वैशिष्ट्यामुळे तंतोतंत ACI निवडले आहे, कारण ते तुम्हाला सर्व्हर दरम्यान प्रवेश प्रतिबंधित करण्यास अनुमती देते (आभासी किंवा भौतिक - काही फरक पडत नाही) त्यांना सबनेटमध्ये ड्रॅग न करता, म्हणजे अॅड्रेसिंगला स्पर्श न करता. होय, होय, आम्हाला माहित आहे की अनुप्रयोग कॉन्फिगरेशनमध्ये कोणीही आयपी पत्ते हाताने लिहून देत नाही, बरोबर?

ACI मधील वाहतूक नियमांना करार म्हणतात. अशा करारामध्ये, बहु-स्तरीय अनुप्रयोगातील एक किंवा अधिक गट किंवा स्तर सेवा प्रदाता बनतात (म्हणे, डेटाबेस सेवा), इतर ग्राहक बनतात. करार फक्त ट्रॅफिक पास करू शकतो, किंवा ते काहीतरी अधिक अवघड करू शकते, उदाहरणार्थ, ते फायरवॉल किंवा बॅलन्सरकडे निर्देशित करू शकते आणि QoS मूल्य देखील बदलू शकते.

सर्व्हर या गटांमध्ये कसे येतात? जर हे फिजिकल सर्व्हर असतील किंवा विद्यमान नेटवर्कमध्ये समाविष्ट केलेले काहीतरी असेल ज्यामध्ये आम्ही VLAN ट्रंक तयार केला असेल, तर त्यांना EPG मध्ये ठेवण्यासाठी, तुम्हाला स्विच पोर्ट आणि त्यावर वापरलेल्या VLAN कडे निर्देश करणे आवश्यक आहे. जसे तुम्ही पाहू शकता, VLAN दिसतात जेथे तुम्ही त्यांच्याशिवाय करू शकत नाही.

सर्व्हर व्हर्च्युअल मशीन असल्यास, कनेक्ट केलेल्या व्हर्च्युअलायझेशन वातावरणाचा संदर्भ घेणे पुरेसे आहे आणि नंतर सर्वकाही स्वतःच होईल: व्हीएम कनेक्ट करण्यासाठी एक पोर्ट ग्रुप तयार केला जाईल (व्हीएमवेअरच्या दृष्टीने), आवश्यक VLAN किंवा VXLANs नियुक्त केले जातील, ते आवश्यक स्विच पोर्ट इत्यादींवर नोंदणीकृत केले जातील. त्यामुळे, जरी एसीआय भौतिक नेटवर्कभोवती बांधले गेले असले तरी, आभासी सर्व्हरसाठी कनेक्शन भौतिक नेटवर्कपेक्षा खूपच सोपे दिसतात. ACI मध्ये आधीच VMWare आणि MS Hyper-V सह अंगभूत कनेक्टिव्हिटी आहे, तसेच OpenStack आणि RedHat Virtualization साठी समर्थन आहे. काही काळापासून, कंटेनर प्लॅटफॉर्मसाठी अंगभूत समर्थन देखील दिसू लागले आहे: कुबर्नेट्स, ओपनशिफ्ट, क्लाउड फाउंड्री, जेव्हा ते पॉलिसी आणि मॉनिटरिंग या दोन्हींचा विचार करते, म्हणजेच नेटवर्क प्रशासक ताबडतोब पाहू शकतो की कोणत्या होस्टवर पॉड काम करतात आणि ते कोणत्या गटात येतात.

विशिष्ट पोर्ट ग्रुपमध्ये समाविष्ट करण्याव्यतिरिक्त, व्हर्च्युअल सर्व्हरमध्ये अतिरिक्त गुणधर्म आहेत: नाव, विशेषता इ., जे त्यांना दुसर्या गटात स्थानांतरित करण्यासाठी निकष म्हणून वापरले जाऊ शकतात, म्हणा, जेव्हा VM चे नाव बदलले जाते किंवा अतिरिक्त टॅग दिसतो. ते सिस्को याला मायक्रो-सेगमेंटेशन ग्रुप म्हणतो, जरी मोठ्या प्रमाणात, एकाच सबनेटवर EPGs च्या स्वरूपात अनेक सुरक्षा विभाग तयार करण्याची क्षमता असलेले डिझाइन देखील एक सूक्ष्म-विभाजन आहे. बरं, विक्रेत्याला चांगले माहित आहे.

ईपीजी स्वतः पूर्णपणे तार्किक रचना आहेत, विशिष्ट स्विचेस, सर्व्हर इत्यादींशी जोडलेले नाहीत, त्यामुळे तुम्ही त्यांच्यासह गोष्टी करू शकता आणि त्यावर आधारित बांधकामे (अनुप्रयोग आणि भाडेकरू) करू शकता ज्या सामान्य नेटवर्कमध्ये करणे कठीण आहे, जसे की क्लोनिंग. परिणामी, उत्पादन वातावरणाशी एकरूप असण्याची हमी देणारे चाचणी वातावरण मिळविण्यासाठी उत्पादन वातावरण क्लोन करणे खूप सोपे आहे असे म्हणू या. तुम्ही ते व्यक्तिचलितपणे करू शकता, परंतु API द्वारे ते अधिक चांगले (आणि सोपे) आहे.

सर्वसाधारणपणे, ACI मधील कंट्रोल लॉजिक तुम्ही सहसा भेटता त्यासारखे नसते
समान सिस्कोच्या पारंपारिक नेटवर्कमध्ये: सॉफ्टवेअर इंटरफेस प्राथमिक आहे, आणि GUI किंवा CLI दुय्यम आहेत, कारण ते समान API द्वारे कार्य करतात. म्हणून, ACI मध्ये सामील असलेले जवळजवळ प्रत्येकजण, थोड्या वेळाने, व्यवस्थापनासाठी वापरल्या जाणार्‍या ऑब्जेक्ट मॉडेलवर नेव्हिगेट करण्यास आणि त्यांच्या गरजा पूर्ण करण्यासाठी काहीतरी स्वयंचलित करण्यास सुरवात करतो. हे करण्याचा सर्वात सोपा मार्ग पायथनचा आहे: त्यासाठी सोयीस्कर रेडीमेड साधने आहेत.

वचन दिले रेक

मुख्य समस्या अशी आहे की ACI मध्ये अनेक गोष्टी वेगळ्या पद्धतीने केल्या जातात. यासह सामान्यपणे कार्य करण्यास प्रारंभ करण्यासाठी, आपल्याला पुन्हा प्रशिक्षण देणे आवश्यक आहे. हे विशेषतः मोठ्या ग्राहकांमधील नेटवर्क ऑपरेशन्स टीमसाठी खरे आहे, जिथे अभियंते विनंतीनुसार वर्षानुवर्षे "VLANs" लिहून देत आहेत. आता VLAN हे VLAN राहिलेले नाहीत आणि वर्च्युअलाइज्ड होस्ट्समध्ये नवीन नेटवर्क घालण्यासाठी तुम्हाला हाताने VLAN तयार करण्याची गरज नाही, ही वस्तुस्थिती पारंपारिक नेटवर्कर्सना पूर्णपणे उडवून देते आणि त्यांना परिचित दृष्टिकोनांना चिकटून ठेवते. हे लक्षात घ्यावे की सिस्कोने गोळी थोडी गोड करण्याचा प्रयत्न केला आणि कंट्रोलरमध्ये "NXOS-सारखी" CLI जोडली, जी तुम्हाला पारंपारिक स्विचेस सारख्या इंटरफेसवरून कॉन्फिगरेशन करण्याची परवानगी देते. परंतु तरीही, सामान्यपणे ACI वापरणे सुरू करण्यासाठी, तुम्हाला ते कसे कार्य करते हे समजून घेणे आवश्यक आहे.

किमतीच्या संदर्भात, मोठ्या आणि मध्यम स्केलवर, ACI नेटवर्क्स सिस्को उपकरणांवरील पारंपारिक नेटवर्कपेक्षा वेगळे नसतात, कारण तेच स्विचेस ते तयार करण्यासाठी वापरले जातात (Nexus 9000 ACI आणि पारंपारिक मोडमध्ये कार्य करू शकते आणि आता मुख्य बनले आहे. नवीन डेटा सेंटर प्रकल्पांसाठी "वर्कहॉर्स"). परंतु दोन स्विचच्या डेटा सेंटरसाठी, कंट्रोलर आणि स्पाइन-लीफ आर्किटेक्चरची उपस्थिती अर्थातच स्वतःला जाणवते. अलीकडे, एक मिनी ACI कारखाना दिसू लागला आहे, ज्यामध्ये तीनपैकी दोन नियंत्रक आभासी मशीनद्वारे बदलले आहेत. यामुळे खर्चातील फरक कमी होतो, परंतु तो अजूनही कायम आहे. त्यामुळे ग्राहकासाठी, निवड त्याला सुरक्षा वैशिष्ट्यांमध्ये किती स्वारस्य आहे, व्हर्च्युअलायझेशनसह एकत्रीकरण, नियंत्रणाचा एक बिंदू इत्यादींवर अवलंबून असते.

स्त्रोत: www.habr.com