🥇Cisco se jaqta' l-fergħa SD-WAN li fuqha joqgħod id-DMVPN?

Minn Awwissu 2017, meta Cisco akkwistat Viptela, it-teknoloġija ewlenija offruta għall-organizzazzjoni ta’ netwerks ta’ intrapriżi distribwiti saret Cisco SD-WAN. Matul l-aħħar 3 snin, it-teknoloġija SD-WAN għaddiet minn ħafna bidliet, kemm kwalitattivi kif ukoll kwantitattivi. Għalhekk, il-funzjonalità espandiet b'mod sinifikanti u deher appoġġ fuq routers klassiċi tas-serje Cisco ISR 1000, ISR 4000, ASR 1000 u CSR Virtwali 1000v. Fl-istess ħin, ħafna klijenti u msieħba Cisco għadhom jistaqsu: x'inhuma d-differenzi bejn Cisco SD-WAN u approċċi diġà familjari bbażati fuq teknoloġiji bħal Cisco DMVPN и Rotot tal-Prestazzjoni ta' Cisco u kemm huma importanti dawn id-differenzi?

Hawnhekk għandna immedjatament nagħmlu riżerva li qabel il-miġja ta 'SD-WAN fil-portafoll ta' Cisco, DMVPN flimkien ma 'PfR ffurmaw parti ewlenija fl-arkitettura. Cisco IWAN (WAN Intelliġenti), li min-naħa tiegħu kien il-predeċessur tat-teknoloġija SD-WAN sħiħa. Minkejja x-xebh ġenerali kemm tal-kompiti li qed jiġu solvuti kif ukoll tal-metodi biex issolvihom, IWAN qatt ma rċeviet il-livell ta 'awtomazzjoni, flessibilità u skalabbiltà meħtieġa għal SD-WAN, u maż-żmien, l-iżvilupp ta' IWAN naqas b'mod sinifikanti. Fl-istess ħin, it-teknoloġiji li jiffurmaw IWAN ma marrux, u ħafna klijenti jkomplu jużawhom b'suċċess, inkluż fuq tagħmir modern. Bħala riżultat, qamet sitwazzjoni interessanti - l-istess tagħmir Cisco jippermettilek tagħżel l-aktar teknoloġija WAN adattata (klassika, DMVPN + PfR jew SD-WAN) skont ir-rekwiżiti u l-aspettattivi tal-klijenti.

L-artikolu m'għandux l-intenzjoni li janalizza fid-dettall il-karatteristiċi kollha tat-teknoloġiji Cisco SD-WAN u DMVPN (bi jew mingħajr Performance Routing) - hemm ammont kbir ta 'dokumenti u materjali disponibbli għal dan. Il-kompitu ewlieni huwa li tipprova tevalwa d-differenzi ewlenin bejn dawn it-teknoloġiji. Iżda qabel ma nkomplu niddiskutu dawn id-differenzi, ejja nfakkru fil-qosor it-teknoloġiji nfushom.

X'inhu Cisco DMVPN u għaliex huwa meħtieġ?

Cisco DMVPN issolvi l-problema ta 'konnessjoni dinamika (= skalabbli) ta' netwerk ta 'fergħat remoti man-netwerk tal-uffiċċju ċentrali ta' intrapriża meta tuża tipi arbitrarji ta 'kanali ta' komunikazzjoni, inkluż l-Internet (= bil-kriptaġġ tal-kanal ta 'komunikazzjoni). Teknikament, dan huwa realizzat billi jinħoloq netwerk ta 'overlay virtwali tal-klassi VPN L3 f'modalità punt għal multipunt b'topoloġija loġika tat-tip "Star" (Hub-n-Spoke). Biex tikseb dan, DMVPN juża taħlita tat-teknoloġiji li ġejjin:

IP routing
Mini GRE b'ħafna punti (mGRE)
Protokoll ta' Riżoluzzjoni tal-Ħops li Jmiss (NHRP)
Profili IPSec Crypto

X'inhuma l-vantaġġi ewlenin ta 'Cisco DMVPN meta mqabbla mar-routing klassiku bl-użu ta' kanali MPLS VPN?

Biex jinħoloq netwerk interfergħat, huwa possibbli li tuża kwalunkwe kanal ta 'komunikazzjoni - kull ħaġa li tista' tipprovdi konnettività IP bejn fergħat hija adattata, filwaqt li t-traffiku se jkun encrypted (fejn meħtieġ) u bilanċjat (fejn possibbli)
Topoloġija konnessa bis-sħiħ bejn il-fergħat hija ffurmata awtomatikament. Fl-istess ħin, hemm mini statiċi bejn il-fergħat ċentrali u remoti, u mini dinamiċi fuq talba bejn il-fergħat remoti (jekk ikun hemm traffiku)
Ir-routers tal-fergħa ċentrali u remota għandhom l-istess konfigurazzjoni sal-indirizzi IP tal-interfaces. Bl-użu ta 'mGRE, m'hemmx bżonn li jiġu kkonfigurati individwalment għexieren, mijiet, jew saħansitra eluf ta' mini. Bħala riżultat, skalabbiltà deċenti bid-disinn it-tajjeb.

X'inhu Cisco Performance Routing u għaliex huwa meħtieġ?

Meta tuża DMVPN fuq netwerk interfergħat, mistoqsija waħda estremament importanti għadha mhux solvuta - kif tivvaluta b'mod dinamiku l-istat ta 'kull waħda mill-mini DMVPN għall-konformità mar-rekwiżiti tat-traffiku kritiku għall-organizzazzjoni tagħna u, għal darb'oħra, ibbażata fuq valutazzjoni bħal din, tagħmel dinamikament deċiżjoni dwar it-tibdil tar-rotta? Il-fatt hu li d-DMVPN f'din il-parti ma tantx ivarja mir-routing klassiku - l-aħjar li jista' jsir huwa li tikkonfigura mekkaniżmi QoS li jippermettulek tipprijoritizza t-traffiku fid-direzzjoni 'l barra, iżda bl-ebda mod ma huma kapaċi li jqisu l-istat ta' it-triq kollha f'ħin jew ieħor.

U x'għandek tagħmel jekk il-kanal jiddegrada parzjalment u mhux kompletament - kif tiskopri u tevalwa dan? DMVPN innifsu ma jistax jagħmel dan. Meta wieħed iqis li l-kanali li jgħaqqdu l-fergħat jistgħu jgħaddu minn operaturi tat-telekomunikazzjoni kompletament differenti, billi jużaw teknoloġiji kompletament differenti, dan il-kompitu jsir estremament mhux trivjali. U dan huwa fejn it-teknoloġija Cisco Performance Routing tiġi salvata, li sa dak iż-żmien kienet diġà għaddiet minn diversi stadji ta 'żvilupp.

Il-kompitu ta 'Cisco Performance Routing (minn hawn 'il quddiem PfR) jasal għall-kejl tal-istat tal-mogħdijiet (mini) tat-traffiku abbażi ta' metriċi ewlenin importanti għall-applikazzjonijiet tan-netwerk - latency, varjazzjoni tal-latency (jitter) u telf ta' pakkett (perċentwal). Barra minn hekk, il-bandwidth użat jista 'jitkejjel. Dan il-kejl iseħħ qrib il-ħin reali kemm jista 'jkun u b'mod ġustifikat, u r-riżultat ta' dan il-kejl jippermetti lir-router li juża PfR biex dinamikament jieħu deċiżjonijiet dwar il-ħtieġa li tinbidel ir-rotta ta 'dan jew dak it-tip ta' traffiku.

Għalhekk, il-kompitu tal-kombinazzjoni DMVPN/PfR jista’ jiġi deskritt fil-qosor kif ġej:

Ħalli l-klijent juża kwalunkwe kanal ta 'komunikazzjoni fuq in-netwerk WAN
Tiżgura l-ogħla kwalità possibbli ta 'applikazzjonijiet kritiċi fuq dawn il-kanali

X'inhu Cisco SD-WAN?

Cisco SD-WAN hija teknoloġija li tuża l-approċċ SDN biex toħloq u topera netwerk WAN ta 'organizzazzjoni. Dan b'mod partikolari jfisser l-użu tal-hekk imsejħa kontrolluri (elementi tas-softwer), li jipprovdu orkestrazzjoni ċentralizzata u konfigurazzjoni awtomatizzata tal-komponenti kollha tas-soluzzjoni. B'differenza mill-SDN kanoniku (Clean Slate style), Cisco SD-WAN juża diversi tipi ta 'kontrolluri, li kull wieħed minnhom iwettaq ir-rwol tiegħu stess - dan sar intenzjonalment sabiex jipprovdi skalabbiltà u ġeo-redundancy aħjar.

Fil-każ ta 'SD-WAN, il-kompitu li juża kwalunkwe tip ta' kanali u jiżgura l-operat ta 'applikazzjonijiet tan-negozju jibqa' l-istess, iżda fl-istess ħin ir-rekwiżiti għall-awtomazzjoni, l-iskala, is-sigurtà u l-flessibilità ta 'netwerk bħal dan qed jespandu.

Diskussjoni tad-differenzi

Jekk issa nibdew nanalizzaw id-differenzi bejn dawn it-teknoloġiji, dawn jaqgħu f'waħda mill-kategoriji li ġejjin:

Differenzi arkitettoniċi - kif il-funzjonijiet huma mqassma f'diversi komponenti tas-soluzzjoni, kif hija organizzata l-interazzjoni ta 'tali komponenti, u kif dan jaffettwa l-kapaċitajiet u l-flessibilità tat-teknoloġija?
Funzjonalità - x'tista 'tagħmel teknoloġija waħda li oħra ma tistax? U huwa verament daqshekk importanti?

X'inhuma d-differenzi arkitettoniċi u huma importanti?

Kull waħda minn dawn it-teknoloġiji għandha ħafna "partijiet li jiċċaqilqu" li jvarjaw mhux biss fir-rwoli tagħhom, iżda wkoll fil-mod kif jinteraġixxu ma 'xulxin. Kemm huma maħsuba sew dawn il-prinċipji u l-mekkaniżmi ġenerali tas-soluzzjoni jiddeterminaw direttament l-iskalabbiltà, it-tolleranza tal-ħsarat u l-effiċjenza ġenerali tagħha.

Ejja nħarsu lejn id-diversi aspetti tal-arkitettura f'aktar dettall:

Data-pjan – parti mis-soluzzjoni responsabbli għat-trażmissjoni tat-traffiku tal-utent bejn is-sors u r-riċevitur. DMVPN u SD-WAN huma implimentati ġeneralment b'mod identiku fuq ir-routers infushom ibbażati fuq mini GRE Multipoint. Id-differenza hija kif is-sett meħtieġ ta 'parametri għal dawn il-mini huwa ffurmat:

в DMVPN/PfR hija ġerarkija esklussivament fuq żewġ livelli ta 'nodi b'topoloġija Star jew Hub-n-Spoke. Il-konfigurazzjoni statika taċ-Hub u l-irbit statiku ta' Spoke mal-Hub huma meħtieġa, kif ukoll interazzjoni permezz tal-protokoll NHRP biex tifforma konnettività tal-pjan tad-dejta. Konsegwentement, jagħmlu bidliet fiċ-Hub b'mod sinifikanti aktar diffiċlirelatati, pereżempju, mal-bidla/il-konnessjoni ta 'kanali WAN ġodda jew it-tibdil tal-parametri ta' dawk eżistenti.
в SD WAN huwa mudell kompletament dinamiku għall-iskoperta ta 'parametri ta' mini installati bbażati fuq pjan ta 'kontroll (protokoll OMP) u pjan ta' orkestrazzjoni (interazzjoni mal-kontrollur vBond għall-iskoperta tal-kontrollur u ħidmiet ta 'traversal NAT). F'dan il-każ, jistgħu jintużaw kwalunkwe topoloġiji sovrapposti, inklużi dawk ġerarkiċi. Fi ħdan it-topoloġija tal-mina overlay stabbilita, konfigurazzjoni flessibbli tat-topoloġija loġika f'kull VPN(VRF) individwali hija possibbli.

Kontroll-pjan – funzjonijiet ta' skambju, filtrazzjoni u modifika tar-routing u informazzjoni oħra bejn il-komponenti tas-soluzzjoni.

в DMVPN/PfR – jitwettaq biss bejn ir-routers Hub u Spoke. Skambju dirett ta' informazzjoni dwar ir-rotta bejn Spokes mhuwiex possibbli. Konsegwentement, Mingħajr Hub li jiffunzjona, il-pjan tal-kontroll u l-pjan tad-dejta ma jistgħux jiffunzjonaw, li timponi rekwiżiti addizzjonali ta' disponibbiltà għolja fuq iċ-Hub li mhux dejjem jistgħu jintlaħqu.
в SD WAN – il-pjan ta’ kontroll qatt ma jitwettaq direttament bejn ir-routers – l-interazzjoni sseħħ fuq il-bażi tal-protokoll OMP u neċessarjament titwettaq permezz ta’ tip speċjalizzat separat ta’ kontrollur vSmart, li jipprovdi l-possibbiltà ta’ bbilanċjar, ġeo-riservazzjoni u kontroll ċentralizzat tal- tagħbija tas-sinjal. Karatteristika oħra tal-protokoll OMP hija r-reżistenza sinifikanti tagħha għat-telf u l-indipendenza mill-veloċità tal-kanal ta 'komunikazzjoni mal-kontrolluri (f'limiti raġonevoli, ovvjament). Li bl-istess mod jippermettilek li tpoġġi kontrolluri SD-WAN fi sħab pubbliċi jew privati b'aċċess permezz tal-Internet.

Pjan ta' politika – parti mis-soluzzjoni responsabbli għad-definizzjoni, id-distribuzzjoni u l-applikazzjoni tal-politiki tal-ġestjoni tat-traffiku fuq netwerk distribwit.

DMVPN – hija effettivament limitata mill-politiki tal-kwalità tas-servizz (QoS) konfigurati individwalment fuq kull router permezz tal-mudelli CLI jew Prime Infrastructure.
DMVPN/PfR – Il-politiki PfR huma ffurmati fuq ir-router ċentralizzat tal-Kontrollur Master (MC) permezz tas-CLI u mbagħad jitqassmu awtomatikament lill-MCs tal-fergħat. F'dan il-każ, jintużaw l-istess mogħdijiet ta' trasferiment tal-politika bħal għall-pjan tad-dejta. M'hemm l-ebda possibbiltà li tissepara l-iskambju tal-politiki, l-informazzjoni dwar ir-rotot u d-dejta tal-utent. Il-propagazzjoni tal-politika teħtieġ il-preżenza ta 'konnettività IP bejn iċ-Hub u Spoke. F'dan il-każ, il-funzjoni MC tista', jekk meħtieġ, tiġi kkombinata ma' router DMVPN. Huwa possibbli (iżda mhux meħtieġ) li jintużaw mudelli ta' Prime Infrastructure għall-ġenerazzjoni ta' politika ċentralizzata. Karatteristika importanti hija li l-politika hija ffurmata globalment fin-netwerk kollu bl-istess mod - Politiki individwali għal segmenti individwali mhumiex appoġġjati.
SD WAN – il-politiki tal-ġestjoni tat-traffiku u tal-kwalità tas-servizz huma ddeterminati ċentralment permezz tal-interface grafika Cisco vManage, aċċessibbli wkoll permezz tal-Internet (jekk meħtieġ). Huma mqassma permezz ta 'kanali ta' sinjalazzjoni direttament jew indirettament permezz ta 'kontrolluri vSmart (skont it-tip ta' politika). Huma ma jiddependux fuq data-plane konnettività bejn routers, minħabba uża l-mogħdijiet kollha tat-traffiku disponibbli bejn il-kontrollur u r-router.
Għal segmenti tan-netwerk differenti, huwa possibbli li jiġu fformulati politiki differenti b'mod flessibbli - l-ambitu tal-politika huwa ddeterminat minn ħafna identifikaturi uniċi pprovduti fis-soluzzjoni - numru tal-fergħa, tip ta 'applikazzjoni, direzzjoni tat-traffiku, eċċ.

Orkestrazzjoni-pjan – mekkaniżmi li jippermettu lill-komponenti jiskopru lil xulxin b'mod dinamiku, jikkonfiguraw u jikkoordinaw interazzjonijiet sussegwenti.

в DMVPN/PfR L-iskoperta reċiproka bejn ir-routers hija bbażata fuq il-konfigurazzjoni statika tal-apparati Hub u l-konfigurazzjoni korrispondenti tal-apparati Spoke. L-iskoperta dinamika sseħħ biss għal Spoke, li jirrapporta l-parametri tal-konnessjoni tal-Hub tiegħu lill-apparat, li min-naħa tiegħu huwa kkonfigurat minn qabel bi Spoke. Mingħajr konnettività IP bejn Spoke u mill-inqas Hub wieħed, huwa impossibbli li tifforma jew pjan tad-data jew pjan ta 'kontroll.
в SD WAN l-orkestrazzjoni tal-komponenti tas-soluzzjoni sseħħ bl-użu tal-kontrollur vBond, li bih kull komponent (routers u kontrolluri vManage/vSmart) l-ewwel irid jistabbilixxi konnettività IP.
Inizjalment, il-komponenti ma jafux dwar il-parametri tal-konnessjoni ta 'xulxin - għal dan għandhom bżonn l-orkestratur intermedjarju vBond. Il-prinċipju ġenerali huwa kif ġej - kull komponent fil-fażi inizjali jitgħallem (awtomatikament jew statikament) biss dwar il-parametri ta 'konnessjoni ma' vBond, imbagħad vBond jinforma lir-router dwar il-kontrolluri vManage u vSmart (skoperti qabel), li jagħmilha possibbli li jiġu stabbiliti awtomatikament. il-konnessjonijiet kollha tas-sinjalar meħtieġa.

Il-pass li jmiss huwa li r-router il-ġdid jitgħallem dwar ir-routers l-oħra fuq in-netwerk permezz tal-komunikazzjoni OMP mal-kontrollur vSmart. Għalhekk, ir-router, mingħajr ma inizjalment ikun jaf xejn dwar il-parametri tan-netwerk, huwa kapaċi jikxef b'mod sħiħ awtomatikament u jikkonnettja mal-kontrolluri u mbagħad awtomatikament jiskopri wkoll u jifforma konnettività ma 'routers oħra. F'dan il-każ, il-parametri tal-konnessjoni tal-komponenti kollha huma inizjalment mhux magħrufa u jistgħu jinbidlu waqt it-tħaddim.

Ġestjoni-pjan – parti mis-soluzzjoni li tipprovdi ġestjoni u monitoraġġ ċentralizzati.

DMVPN/PfR – ma tiġi pprovduta l-ebda soluzzjoni ta' pjan ta' ġestjoni speċjalizzat. Għal awtomazzjoni u monitoraġġ bażiku, jistgħu jintużaw prodotti bħal Cisco Prime Infrastructure. Kull router għandu l-abbiltà li jiġi kkontrollat permezz tal-linja tal-kmand CLI. L-integrazzjoni ma' sistemi esterni permezz tal-API mhix ipprovduta.
SD WAN – l-interazzjoni u l-monitoraġġ regolari kollha jitwettqu ċentralment permezz tal-interface grafika tal-kontrollur vManage. Il-karatteristiċi kollha tas-soluzzjoni, mingħajr eċċezzjoni, huma disponibbli għall-konfigurazzjoni permezz ta’ vManage, kif ukoll permezz ta’ librerija tal-API REST iddokumentata bis-sħiħ.
Is-settings kollha tan-netwerk SD-WAN f'vManage jinżlu għal żewġ kostruzzjonijiet ewlenin - il-formazzjoni ta 'mudelli ta' apparat (Device Template) u l-formazzjoni ta 'politika li tiddetermina l-loġika tal-operat tan-netwerk u l-ipproċessar tat-traffiku. Fl-istess ħin, vManage, li jxandar il-politika ġġenerata mill-amministratur, jagħżel awtomatikament liema bidliet u fuq liema tagħmir/kontrolluri individwali jeħtieġ li jsiru, li jżid b'mod sinifikanti l-effiċjenza u l-iskalabbiltà tas-soluzzjoni.

Permezz tal-interface vManage, mhux biss il-konfigurazzjoni tas-soluzzjoni Cisco SD-WAN hija disponibbli, iżda wkoll monitoraġġ sħiħ tal-istatus tal-komponenti kollha tas-soluzzjoni, sal-istat attwali tal-metriċi għal mini individwali u statistika dwar l-użu ta 'diversi applikazzjonijiet ibbażata fuq analiżi DPI.

Minkejja ċ-ċentralizzazzjoni tal-interazzjoni, il-komponenti kollha (kontrolluri u routers) għandhom ukoll linja ta 'kmand CLI kompletament funzjonali, li hija meħtieġa fl-istadju tal-implimentazzjoni jew f'każ ta' emerġenza għal dijanjostika lokali. Fil-modalità normali (jekk ikun hemm kanal ta 'sinjalazzjoni bejn il-komponenti) fuq ir-routers, il-linja tal-kmand hija disponibbli biss għad-dijanjostika u mhix disponibbli biex isiru bidliet lokali, li jiggarantixxi s-sigurtà lokali u l-uniku sors ta' bidliet f'netwerk bħal dan huwa vManage.

Sigurtà Integrata – hawnhekk għandna nitkellmu mhux biss dwar il-protezzjoni tad-dejta tal-utent meta tiġi trażmessa fuq kanali miftuħa, iżda wkoll dwar is-sigurtà ġenerali tan-netwerk WAN ibbażat fuq it-teknoloġija magħżula.

в DMVPN/PfR Huwa possibbli li d-dejta tal-utent u l-protokolli tas-sinjalar jiġu kkriptjati. Meta tuża ċerti mudelli ta 'router, il-funzjonijiet tal-firewall bi spezzjoni tat-traffiku, IPS/IDS huma wkoll disponibbli. Huwa possibbli li n-netwerks tal-fergħat jiġu segmentati bl-użu tal-VRF. Huwa possibbli li jiġu awtentikati protokolli ta' kontroll (b'fattur wieħed).
F'dan il-każ, ir-router remot jitqies bħala element ta 'fiduċja tan-netwerk b'mod awtomatiku - i.e. każijiet ta 'kompromess fiżiku ta' apparati individwali u l-possibbiltà ta 'aċċess mhux awtorizzat għalihom mhumiex preżunti jew ikkunsidrati m'hemm l-ebda awtentikazzjoni b'żewġ fatturi ta' komponenti ta 'soluzzjoni, li fil-każ ta' netwerk distribwit ġeografikament; jista' jġorr riskji addizzjonali sinifikanti.
в SD WAN b'analoġija ma' DMVPN, hija pprovduta l-abbiltà li tikkodifika d-dejta tal-utent, iżda b'sigurtà tan-netwerk estiża b'mod sinifikanti u funzjonijiet ta' segmentazzjoni L3/VRF (firewall, IPS/IDS, filtrazzjoni tal-URL, filtrazzjoni DNS, AMP/TG, SASE, prokura TLS/SSL, eċċ.) d.). Fl-istess ħin, l-iskambju ta 'ċwievet ta' encryption jitwettaq b'mod aktar effiċjenti permezz ta 'kontrolluri vSmart (aktar milli direttament), permezz ta' kanali ta 'sinjalazzjoni stabbiliti minn qabel protetti minn encryption DTLS/TLS ibbażati fuq ċertifikati ta' sigurtà. Li mbagħad jiggarantixxi s-sigurtà ta 'skambji bħal dawn u jiżgura skalabbiltà aħjar tas-soluzzjoni sa għexieren ta' eluf ta 'apparati fuq l-istess netwerk.
Il-konnessjonijiet kollha tas-sinjalar (kontrollur għal kontrollur, kontrollur-router) huma wkoll protetti bbażati fuq DTLS/TLS. Ir-routers huma mgħammra b'ċertifikati ta 'sikurezza waqt il-produzzjoni bil-possibbiltà ta' sostituzzjoni/estensjoni. L-awtentikazzjoni b'żewġ fatturi tinkiseb permezz tat-twettiq obbligatorju u simultanju ta' żewġ kundizzjonijiet biex ir-router/kontrollur jiffunzjona f'netwerk SD-WAN:
- Ċertifikat ta' sigurtà validu
- Inklużjoni espliċita u konxja mill-amministratur ta 'kull komponent fil-lista "bajda" ta' apparati permessi.

Differenzi funzjonali bejn SD-WAN u DMVPN/PfR

Ngħaddu għal diskussjoni dwar differenzi funzjonali, għandu jiġi nnutat li ħafna minnhom huma kontinwazzjoni ta 'dawk arkitettoniċi - mhuwiex sigriet li meta jiffurmaw l-arkitettura ta' soluzzjoni, l-iżviluppaturi jibdew mill-kapaċitajiet li jridu jiksbu fl-aħħar. . Ejja nħarsu lejn id-differenzi l-aktar sinifikanti bejn iż-żewġ teknoloġiji.

AppQ (Kwalità tal-Applikazzjoni) – tiffunzjona biex tiżgura l-kwalità tat-trażmissjoni tat-traffiku tal-applikazzjoni tan-negozju

Il-funzjonijiet ewlenin tat-teknoloġiji taħt konsiderazzjoni huma mmirati biex itejbu l-esperjenza tal-utent kemm jista 'jkun meta jintużaw applikazzjonijiet kritiċi għan-negozju f'netwerk distribwit. Dan huwa speċjalment importanti f'kundizzjonijiet fejn parti mill-infrastruttura ma tkunx ikkontrollata mill-IT jew lanqas ma tiggarantixxi trasferiment ta' dejta b'suċċess.

Id-DMVPN innifsu ma jipprovdix mekkaniżmi bħal dawn. L-aħjar li jista 'jsir f'netwerk DMVPN klassiku huwa li tikklassifika t-traffiku ħerġin b'applikazzjoni u tipprijoritizzah meta jiġi trażmess lejn il-kanal WAN. L-għażla ta 'mina DMVPN hija determinata f'dan il-każ biss mid-disponibbiltà tagħha u r-riżultat tat-tħaddim tal-protokolli tar-rotta. Fl-istess ħin, l-istat minn tarf sa tarf tal-mogħdija/mina u d-degradazzjoni parzjali possibbli tagħha ma jiġux ikkunsidrati f'termini ta 'metriċi ewlenin li huma sinifikanti għall-applikazzjonijiet tan-netwerk - dewmien, varjazzjoni ta' dewmien (jitter) u telf (% ). F'dan ir-rigward, it-tqabbil dirett tad-DMVPN klassiku ma 'SD-WAN f'termini ta' soluzzjoni ta 'problemi AppQ jitlef kull tifsira - DMVPN ma jistax isolvi din il-problema. Meta żżid it-teknoloġija Cisco Performance Routing (PfR) f'dan il-kuntest, is-sitwazzjoni tinbidel u l-paragun ma' Cisco SD-WAN isir aktar sinifikanti.

Qabel ma niddiskutu d-differenzi, hawn ħarsa rapida lejn kif it-teknoloġiji huma simili. Allura, iż-żewġ teknoloġiji:

għandhom mekkaniżmu li jippermettilek tivvaluta b'mod dinamiku l-istat ta 'kull mina stabbilita f'termini ta' ċerti metriċi - bħala minimu, dewmien, varjazzjoni ta 'dewmien u telf ta' pakkett (%)
tuża sett speċifiku ta 'għodod biex tifforma, tqassam u tapplika regoli (politiki) tal-ġestjoni tat-traffiku, filwaqt li tqis ir-riżultati tal-kejl tal-istat tal-metriċi ewlenin tal-mina.
tikklassifika t-traffiku tal-applikazzjoni fil-livelli L3-L4 (DSCP) tal-mudell OSI jew permezz tal-firem tal-applikazzjoni L7 ibbażati fuq mekkaniżmi DPI mibnija fir-router
Għal applikazzjonijiet sinifikanti, dawn jippermettulek tiddetermina valuri limitu aċċettabbli ta 'metriċi, regoli għat-trażmissjoni tat-traffiku awtomatikament, u regoli għat-tibdil tar-rotta tat-traffiku meta jinqabżu l-valuri limitu.
Meta jinkapsulaw it-traffiku f'GRE/IPSec, huma jużaw il-mekkaniżmu industrijali diġà stabbilit għat-trasferiment tal-marki DSCP interni għall-header tal-pakkett GRE/IPSEC estern, li jippermetti li jissinkronizzaw il-politiki QoS tal-organizzazzjoni u tal-operatur tat-telekomunikazzjoni (jekk ikun hemm SLA xieraq) .

Kif ivarjaw il-metriċi SD-WAN u DMVPN/PfR minn tarf sa tarf?

DMVPN/PfR

Kemm sensuri tas-softwer attivi kif ukoll passivi (Probes) jintużaw biex jevalwaw il-metriċi standard tas-saħħa tal-mina. Dawk attivi huma bbażati fuq it-traffiku tal-utent, dawk passivi jimitaw tali traffiku (fin-nuqqas tiegħu).
M'hemm l-ebda rfinar ta 'tajmers u kundizzjonijiet ta' sejbien ta 'degradazzjoni - l-algoritmu huwa ffissat.
Barra minn hekk, kejl tal-bandwidth użat fid-direzzjoni tal-ħruġ huwa disponibbli. Li żżid flessibbiltà addizzjonali tal-ġestjoni tat-traffiku għad-DMVPN/PfR.
Fl-istess ħin, xi mekkaniżmi PfR, meta jinqabżu l-metriċi, jiddependu fuq sinjalazzjoni ta’ feedback fil-forma ta’ messaġġi speċjali TCA (Threshold Crossing Alert) li jridu jiġu mir-riċevitur tat-traffiku lejn is-sors, li min-naħa tiegħu jassumi li l-istat tal- kanali mkejla għandhom ikunu mill-inqas biżżejjed għat-trażmissjoni ta' tali messaġġi TCA. Li f'ħafna każijiet mhix problema, iżda ovvjament ma tistax tiġi garantita.

SD WAN

Għall-evalwazzjoni tarf sa tarf tal-metriċi tal-istat tal-mina standard, il-protokoll BFD jintuża fil-modalità eku. F'dan il-każ, feedback speċjali fil-forma ta 'TCA jew messaġġi simili mhux meħtieġ - iżolament ta' dominji ta 'falliment jinżamm. Ma teħtieġx ukoll il-preżenza tat-traffiku tal-utent biex tevalwa l-istat tal-mina.
Huwa possibbli li t-tajmers BFD jiġu rfinati biex jirregolaw il-veloċità tar-rispons u s-sensittività tal-algoritmu għad-degradazzjoni tal-kanal ta 'komunikazzjoni minn diversi sekondi għal minuti.
Fiż-żmien tal-kitba, hemm sessjoni waħda biss tal-BFD f'kull mina. Dan potenzjalment joħloq inqas granularità fl-analiżi tal-istat tal-mina. Fir-realtà, dan jista' jsir biss limitazzjoni jekk tuża konnessjoni WAN ibbażata fuq MPLS L2/L3 VPN bi QoS SLA miftiehem - jekk l-immarkar DSCP tat-traffiku BFD (wara l-inkapsulament f'IPSec/GRE) jaqbel mal-kju ta' prijorità għolja f' in-netwerk tal-operatur tat-telekomunikazzjoni, allura dan jista 'jaffettwa l-eżattezza u l-veloċità tal-kxif tad-degradazzjoni għal traffiku ta' prijorità baxxa. Fl-istess ħin, huwa possibbli li tinbidel it-tikkettar BFD default biex jitnaqqas ir-riskju ta 'sitwazzjonijiet bħal dawn. F'verżjonijiet futuri tas-softwer Cisco SD-WAN, huma mistennija aktar settings BFD irfinati, kif ukoll il-kapaċità li jitniedu sessjonijiet multipli BFD fl-istess mina b'valuri DSCP individwali (għal applikazzjonijiet differenti).
BFD barra minn hekk jippermettilek li tistma d-daqs massimu tal-pakkett li jista 'jiġi trażmess minn mina partikolari mingħajr frammentazzjoni. Dan jippermetti lil SD-WAN jaġġusta b'mod dinamiku parametri bħal MTU u TCP MSS Aġġusta biex jagħmel l-aħjar użu mill-bandwidth disponibbli fuq kull link.
F'SD-WAN, l-għażla tas-sinkronizzazzjoni tal-QoS minn operaturi tat-telekomunikazzjoni hija wkoll disponibbli, mhux biss ibbażata fuq oqsma L3 DSCP, iżda wkoll ibbażata fuq valuri CoS L2, li jistgħu jiġu ġġenerati awtomatikament fin-netwerk tal-fergħat minn apparati speċjalizzati - per eżempju, IP telefowns

Kif ivarjaw il-kapaċitajiet, il-metodi tad-definizzjoni u l-applikazzjoni tal-politiki tal-AppQ?

Politiki DMVPN/PfR:

Iddefinit fuq ir-router(i) tal-fergħa ċentrali permezz tal-linja tal-kmand CLI jew mudelli ta 'konfigurazzjoni CLI. Il-ġenerazzjoni ta' mudelli CLI teħtieġ tħejjija u għarfien tas-sintassi tal-politika.
Definit globalment mingħajr il-possibbiltà ta' konfigurazzjoni/bidla individwali għar-rekwiżiti ta' segmenti tan-netwerk individwali.
Il-ġenerazzjoni ta' politika interattiva mhix ipprovduta fl-interface grafika.
It-traċċar tal-bidliet, il-wirt, u l-ħolqien ta' verżjonijiet multipli ta' politiki għal bidla ta' malajr mhumiex ipprovduti.
Imqassam awtomatikament lil routers ta 'fergħat remoti. F'dan il-każ, jintużaw l-istess kanali ta' komunikazzjoni bħat-trażmissjoni tad-dejta tal-utent. Jekk ma jkunx hemm kanal ta 'komunikazzjoni bejn il-fergħa ċentrali u remota, id-distribuzzjoni/bidla tal-politiki hija impossibbli.
Jintużaw fuq kull router u, jekk meħtieġ, jimmodifikaw ir-riżultat ta 'protokolli ta' routing standard, li għandhom prijorità ogħla.
Għal każijiet fejn il-links WAN tal-fergħat kollha jesperjenzaw telf sinifikanti tat-traffiku, ebda mekkaniżmu ta' kumpens ipprovdut.

Politiki SD-WAN:

Iddefinit fil-vManage GUI permezz tal-wizard interattiv tal-mudelli.
Jappoġġja l-ħolqien ta 'policies multipli, l-ikkupjar, il-wirt, il-bidla bejn il-politiki f'ħin reali.
Jappoġġja l-issettjar tal-politika individwali għal segmenti tan-netwerk differenti (fergħat)
Huma mqassma bl-użu ta 'kwalunkwe kanal ta' sinjal disponibbli bejn il-kontrollur u r-router u/jew vSmart - ma jiddependux direttament fuq il-konnettività tal-pjan tad-data bejn ir-routers. Dan, ovvjament, jeħtieġ konnettività IP bejn ir-router innifsu u l-kontrolluri.
Għal każijiet meta l-fergħat kollha disponibbli ta’ fergħa jesperjenzaw telf sinifikanti ta’ dejta li jaqbeż il-limiti aċċettabbli għal applikazzjonijiet kritiċi, huwa possibbli li jintużaw mekkaniżmi addizzjonali li jżidu l-affidabbiltà tat-trażmissjoni:
- FEC (Korezzjoni ta' Żbalji 'l quddiem) – juża algoritmu speċjali ta' kodifikazzjoni żejda. Meta jittrasmetti traffiku kritiku fuq kanali b'persentaġġ sinifikanti ta 'telf, FEC jista' jiġi attivat awtomatikament u jippermetti, jekk meħtieġ, li terġa 'tiġi rrestawrata l-parti mitlufa tad-dejta. Dan iżid ftit il-bandwidth tat-trasmissjoni użata, iżda jtejjeb b'mod sinifikanti l-affidabbiltà.
- Duplikazzjoni ta' flussi ta' data – minbarra l-FEC, il-politika tista' tipprovdi għal duplikazzjoni awtomatika tat-traffiku ta' applikazzjonijiet magħżula fil-każ ta' livell saħansitra aktar serju ta' telf li ma jistax jiġi kkumpensat mill-FEC. F'dan il-każ, id-dejta magħżula tiġi trażmessa mill-mini kollha lejn il-fergħa li tirċievi b'deduplikazzjoni sussegwenti (twaqqigħ ta' kopji żejda ta' pakketti). Il-mekkaniżmu jżid b'mod sinifikanti l-użu tal-kanal, iżda jżid ukoll b'mod sinifikanti l-affidabbiltà tat-trażmissjoni.

Kapaċità Cisco SD-WAN, mingħajr analogi diretti f'DMVPN/PfR

L-arkitettura tas-soluzzjoni Cisco SD-WAN f'xi każijiet tippermettilek tikseb kapaċitajiet li huma jew estremament diffiċli biex jiġu implimentati fi ħdan DMVPN/PfR, jew mhumiex prattiċi minħabba l-ispejjeż tax-xogħol meħtieġa, jew huma kompletament impossibbli. Ejja nħarsu lejn l-aktar interessanti minnhom:

Inġinerija tat-Traffiku (TE)

TE jinkludi mekkaniżmi li jippermettu li t-traffiku jitlaq mill-mogħdija standard iffurmata minn protokolli ta' rotta. It-TE ħafna drabi jintuża biex jiżgura disponibbiltà għolja tas-servizzi tan-netwerk, permezz tal-kapaċità li jittrasferixxi malajr u/jew b'mod proattiv traffiku kritiku għal mogħdija ta' trasmissjoni alternattiva (magħquda), sabiex tiġi żgurata kwalità aħjar tas-servizz jew veloċità tal-irkupru f'każ ta' falliment. fit-triq prinċipali.

Id-diffikultà fl-implimentazzjoni tat-TE tinsab fil-ħtieġa li tiġi kkalkulata u riżervata (iċċekkjata) triq alternattiva minn qabel. F'netwerks MPLS ta 'operaturi tat-telekomunikazzjoni, din il-problema tissolva bl-użu ta' teknoloġiji bħal MPLS Traffic-Engineering b'estensjonijiet tal-protokolli IGP u protokoll RSVP. Reċentement ukoll, it-teknoloġija Segment Routing, li hija aktar ottimizzata għal konfigurazzjoni u orkestrazzjoni ċentralizzata, saret dejjem aktar popolari. F'netwerks WAN klassiċi, dawn it-teknoloġiji ġeneralment mhumiex rappreżentati jew huma ridotti għall-użu ta' mekkaniżmi hop-by-hop bħal Policy-Based Routing (PBR), li huma kapaċi jferrgħu t-traffiku, iżda jimplimentaw dan fuq kull router separatament - mingħajr ma jieħdu. jitqies l-istat ġenerali tan-netwerk jew PBR jirriżulta fil-passi preċedenti jew sussegwenti. Ir-riżultat tal-użu ta 'dawn l-għażliet TE huwa diżappuntanti - MPLS TE, minħabba l-kumplessità tal-konfigurazzjoni u l-operat, huwa użat, bħala regola, biss fl-aktar parti kritika tan-netwerk (qalba), u PBR jintuża fuq routers individwali mingħajr il-ħila li tinħoloq politika PBR unifikata għan-netwerk kollu. Ovvjament, dan japplika wkoll għal netwerks ibbażati fuq DMVPN.

SD-WAN f'dan ir-rigward joffri soluzzjoni ħafna aktar eleganti li mhix biss faċli biex tiġi kkonfigurata, iżda wkoll tiskala ħafna aħjar. Dan huwa riżultat tal-arkitetturi tal-pjan tal-kontroll u tal-pjan tal-politika użati. L-implimentazzjoni ta' pjan ta' politika f'SD-WAN tippermettilek tiddefinixxi b'mod ċentrali l-politika TE - liema traffiku huwa ta' interess? għal liema VPNs? Minn liema nodi/mini huwa meħtieġ jew, bil-maqlub, ipprojbit li tiġi ffurmata rotta alternattiva? Min-naħa tagħha, iċ-ċentralizzazzjoni tal-ġestjoni tal-pjan ta 'kontroll ibbażata fuq kontrolluri vSmart tippermettilek timmodifika r-riżultati tar-rotta mingħajr ma tirrikorri għas-settings ta' apparati individwali - ir-routers diġà jaraw biss ir-riżultat tal-loġika li ġiet iġġenerata fl-interface vManage u ttrasferita għall-użu għal vSmart.

Servizz-katina

L-iffurmar tal-ktajjen tas-servizz huwa kompitu saħansitra aktar intensiv f'rotot klassiku mill-mekkaniżmu tat-Traffiku-Inġinerija diġà deskritt. Tabilħaqq, f'dan il-każ, huwa meħtieġ mhux biss li tinħoloq rotta speċjali għal applikazzjoni tan-netwerk speċifika, iżda wkoll li tiġi żgurata l-abbiltà li jitneħħa t-traffiku min-netwerk fuq ċerti (jew kollha) nodi tan-netwerk SD-WAN għall-ipproċessar minn applikazzjoni jew servizz speċjali (Firewall, Balancing, Caching, Spezzjoni tat-traffiku, eċċ.). Fl-istess ħin, huwa meħtieġ li tkun tista' tikkontrolla l-istat ta' dawn is-servizzi esterni sabiex jiġu evitati sitwazzjonijiet ta' black-holing, u huma meħtieġa wkoll mekkaniżmi li jippermettu li tali servizzi esterni tal-istess tip jitqiegħdu f'postijiet ġeografiċi differenti. bil-kapaċità tan-netwerk li awtomatikament jagħżel l-aktar node tas-servizz ottimali għall-ipproċessar tat-traffiku ta 'fergħa partikolari. Fil-każ ta' Cisco SD-WAN, dan huwa pjuttost faċli li jinkiseb billi tinħoloq politika ċentralizzata xierqa li "twaħħal" l-aspetti kollha tal-katina tas-servizz fil-mira f'wieħed sħiħ u awtomatikament tbiddel il-loġika tal-pjan tad-dejta u tal-pjan ta' kontroll biss fejn u meta meħtieġ.

Il-ħila li jinħoloq proċessar ġeo distribwit tat-traffiku ta’ tipi magħżula ta’ applikazzjonijiet f’ċerta sekwenza fuq tagħmir speċjalizzat (iżda mhux relatat man-netwerk SD-WAN innifsu) hija forsi l-aktar turija ċara tal-vantaġġi ta’ Cisco SD-WAN fuq klassika. teknoloġiji u anke xi soluzzjonijiet alternattivi SD -WAN minn manifatturi oħra.

Ir-riżultat?

Ovvjament, kemm DMVPN (bi jew mingħajr Performance Routing) kif ukoll Cisco SD-WAN jispiċċaw issolvi problemi simili ħafna fir-rigward tan-netwerk WAN distribwit tal-organizzazzjoni. Fl-istess ħin, differenzi arkitettoniċi u funzjonali sinifikanti fit-teknoloġija Cisco SD-WAN iwasslu għall-proċess li jissolvew dawn il-problemi għal livell ta’ kwalità ieħor. Fil-qosor, nistgħu ninnotaw id-differenzi sinifikanti li ġejjin bejn it-teknoloġiji SD-WAN u DMVPN/PfR:

DMVPN/PfR b'mod ġenerali jużaw teknoloġiji ttestjati fil-ħin għall-bini ta' netwerks VPN overlay u, f'termini ta 'pjan tad-dejta, huma simili għal teknoloġija SD-WAN aktar moderna, madankollu, hemm numru ta' limitazzjonijiet fil-forma ta 'konfigurazzjoni statika obbligatorja tar-routers u l-għażla tat-topoloġiji hija limitata għal Hub-n-Spoke. Min-naħa l-oħra, DMVPN/PfR għandu xi funzjonalità li għadha mhix disponibbli fi ħdan SD-WAN (qed nitkellmu dwar BFD għal kull applikazzjoni).
Fi ħdan il-pjan ta 'kontroll, it-teknoloġiji jvarjaw b'mod fundamentali. B'kont meħud tal-ipproċessar ċentralizzat tal-protokolli tas-sinjalar, SD-WAN jippermetti, b'mod partikolari, li jonqos b'mod sinifikanti l-dominji tal-fallimenti u "jiddiżakkoppja" il-proċess tat-trażmissjoni tat-traffiku tal-utent mill-interazzjoni tas-sinjalar - indisponibbiltà temporanja tal-kontrolluri ma taffettwax il-kapaċità li jittrasmettu t-traffiku tal-utent. . Fl-istess ħin, in-nuqqas ta 'disponibbiltà temporanja ta' kwalunkwe fergħa (inkluża dik ċentrali) bl-ebda mod ma taffettwa l-abbiltà ta 'fergħat oħra li jinteraġixxu ma' xulxin u l-kontrolluri.
L-arkitettura għall-formazzjoni u l-applikazzjoni ta 'politiki ta' ġestjoni tat-traffiku fil-każ ta 'SD-WAN hija wkoll superjuri għal dik f'DMVPN/PfR - il-ġeo-riservazzjoni hija implimentata ħafna aħjar, m'hemm l-ebda konnessjoni mal-Hub, hemm aktar opportunitajiet għal multa -irfinar politiki, il-lista ta 'xenarji implimentati ta' ġestjoni tat-traffiku hija wkoll ħafna akbar.
Il-proċess tal-orkestrazzjoni tas-soluzzjoni huwa wkoll differenti b'mod sinifikanti. DMVPN jassumi l-preżenza ta 'parametri magħrufa qabel li għandhom jiġu riflessi b'xi mod fil-konfigurazzjoni, li xi ftit jillimita l-flessibilità tas-soluzzjoni u l-possibbiltà ta' bidliet dinamiċi. Min-naħa tiegħu, SD-WAN hija bbażata fuq il-paradigma li fil-mument inizjali tal-konnessjoni, ir-router "ma jaf xejn" dwar il-kontrolluri tiegħu, iżda jaf "min tista 'titlob" - dan huwa biżżejjed mhux biss biex awtomatikament jistabbilixxi komunikazzjoni ma' il-kontrolluri, iżda wkoll biex awtomatikament jiffurmaw topoloġija tal-pjan tad-data kompletament konnessa, li mbagħad tista 'tiġi kkonfigurata/mibdula b'mod flessibbli bl-użu ta' politiki.
F'termini ta 'ġestjoni ċentralizzata, awtomazzjoni u monitoraġġ, SD-WAN huwa mistenni li jaqbeż il-kapaċitajiet ta' DMVPN/PfR, li evolvew minn teknoloġiji klassiċi u jiddependu aktar fuq il-linja ta 'kmand CLI u l-użu ta' sistemi NMS bbażati fuq mudelli.
F'SD-WAN, meta mqabbla mad-DMVPN, ir-rekwiżiti tas-sigurtà laħqu livell kwalitattiv differenti. Il-prinċipji ewlenin huma fiduċja żero, iskalabbiltà u awtentikazzjoni b'żewġ fatturi.

Dawn il-konklużjonijiet sempliċi jistgħu jagħtu l-impressjoni ħażina li l-ħolqien ta’ netwerk ibbażat fuq DMVPN/PfR tilef kull rilevanza llum. Dan ovvjament mhux għal kollox minnu. Pereżempju, f'każijiet fejn in-netwerk juża ħafna tagħmir skadut u m'hemm l-ebda mod biex jissostitwih, DMVPN jista' jippermettilek li tgħaqqad apparati "qodma" u "ġodda" f'netwerk wieħed ġeo distribwit b'ħafna mill-vantaġġi deskritti hawn fuq.

Min-naħa l-oħra, għandu jiġi mfakkar li r-routers korporattivi Cisco kurrenti kollha bbażati fuq IOS XE (ISR 1000, ISR 4000, ASR 1000, CSR 1000v) illum jappoġġjaw kwalunkwe mod operattiv - kemm routing klassiku kif ukoll DMVPN u SD-WAN - l-għażla hija determinata mill-ħtiġijiet attwali u l-fehim li fi kwalunkwe mument, bl-użu tal-istess tagħmir, tista 'tibda timxi lejn teknoloġija aktar avvanzata.

Sors: www.habr.com

Cisco SD-WAN se jaqta' l-fergħa li fuqha joqgħod id-DMVPN?