W ciągu ostatnich kilku lat Cisco aktywnie promuje nową architekturę budowy sieci przesyłowej w centrach danych — Application Centric Infrastructure (czyli ACI). Niektórzy są już jej zaznajomieni. Inni nawet wdrożyli ją w swoich przedsiębiorstwach, w tym w Rosji. Jednak dla większości specjalistów IT i kierowników IT ACI nadal pozostaje albo niejasnym akronimem, albo jedynie rozważaniem o przyszłości.
W tym artykule spróbujemy przybliżyć tę przyszłość. W tym celu opowiemy o głównych komponentach architektury ACI, a także zilustrujemy sposób jej zastosowania w praktyce. Dodatkowo w najbliższym czasie zorganizujemy wizualną demonstrację działania ACI, na którą może zapisać się każdy zainteresowany specjalista IT.
Więcej informacji na temat nowej architektury budowy sieci będzie można uzyskać w Petersburgu w maju 2019 roku. Wszystkie szczegóły – w . Zapisz się!
Tło
Tradycyjnym i najpopularniejszym modelem budowy sieci jest model hierarchiczny trzech warstw: jądro -> dystrybucja (agregacja) -> dostęp. Przez wiele lat model ten był wzorem, według którego producenci wprowadzali różne urządzenia sieciowe o odpowiedniej funkcjonalności.
Kiedyś, gdy technologie informacyjne były swoistym niezbędnym (i, szczerze mówiąc, nie zawsze pożądanym) dodatkiem do biznesu, model ten był wygodny, dość statyczny i niezawodny. Jednak obecnie, gdy IT stały się jednym z motorów rozwoju biznesu, a w wielu przypadkach samego biznesu, statyczność tego modelu zaczęła powodować duże problemy.
Nowoczesny biznes generuje dużą ilość różnych skomplikowanych wymagań dotyczących infrastruktury sieciowej. Od terminów realizacji tych wymagań bezpośrednio zależy sukces biznesu. Opóźnienia w takich warunkach są niedopuszczalne, a klasyczny model budowy sieci często nie pozwala na terminowe zaspokojenie wszystkich potrzeb biznesowych.
Na przykład, powstanie nowego złożonego biznesowego aplikacji wiąże się z koniecznością wykonania przez administratorów sieci wielu jednorodnych rutynowych operacji na dużej liczbie różnych urządzeń sieciowych na różnych poziomach. Oprócz tego, że zajmuje to dużo czasu, zwiększa to również ryzyko popełnienia błędu, który może prowadzić do poważnych przestojów usług IT i, w rezultacie, do strat finansowych.
Korzeniem problemu nie są nawet terminy ani złożoność wymagań. Chodzi o to, że te wymagania trzeba „tłumaczyć” z języka aplikacji biznesowych na język infrastruktury sieciowej. Jak wiadomo, każdy przekład zawsze wiąże się z częściową utratą znaczenia. Kiedy właściciel aplikacji mówi o logice działania swojej aplikacji, administrator sieci rozumie zestaw VLAN-ów, listy dostępu na dziesiątkach urządzeń, które trzeba utrzymywać, aktualizować i dokumentować.
Zgromadzona wiedza i ciągła komunikacja z klientami pozwoliły firmie Cisco zaprojektować i wdrożyć nowe zasady budowy sieci przesyłu danych w centrum przetwarzania danych, które odpowiadają współczesnym trendom i opierają się przede wszystkim na logice aplikacji biznesowych. Stąd nazwa — Application Centric Infrastructure.
Architektura ACI.
Architekturę ACI najlepiej postrzegać nie z perspektywy fizycznej, lecz logicznej. Opiera się na modelu zautomatyzowanych polityk, których obiekty na najwyższym poziomie można podzielić na następujące komponenty:
- Sieć oparta na przełącznikach Nexus.
- Klaster kontrolerów APIC;
- Profile aplikacji;
Rozważmy każdy poziom bardziej szczegółowo — przy tym będziemy przechodzić od prostego do bardziej złożonego.
Sieć oparta na przełącznikach Nexus.
Sieć w fabryce ACI przypomina tradycyjny model hierarchiczny, ale jest znacznie prostsza w budowie. Do organizacji sieci wykorzystuje się model Leaf-Spine, który stał się powszechnie przyjętym podejściem do realizacji nowoczesnych sieci. Model ten składa się z dwóch poziomów: Spine i Leaf.
Poziom Spine odpowiada wyłącznie za wydajność. Łączna wydajność przełączników Spine jest równa wydajności całej fabryki, dlatego na tym poziomie należy wykorzystać przełączniki z portami 40G lub wyższymi.
Przełączniki Spine łączą się z wszystkimi przełącznikami wyższego poziomu: przełącznikami Leaf, do których podłączone są końcowe hosty. Główną rolą przełączników Leaf jest pojemność portów.
W ten sposób łatwo rozwiązywane są kwestie skalowalności: jeśli potrzebujemy zwiększyć przepustowość fabryki, dodajemy przełączniki Spine, a jeśli potrzebujemy zwiększyć pojemność portów – przełączniki Leaf.
Dla obu poziomów wykorzystywane są przełączniki z serii Cisco Nexus 9000, które są dla Cisco głównym narzędziem do budowy sieci w centrach danych, niezależnie od ich architektury. Dla poziomu Spine używane są przełączniki Nexus 9300 lub Nexus 9500, natomiast dla Leaf tylko Nexus 9300.
Linia modelowa przełączników Nexus używanych w fabryce ACI jest przedstawiona na poniższym rysunku.
Klaster kontrolerów APIC (Application Policy Infrastructure Controller)
Kontrolery APIC to specjalistyczne serwery fizyczne, przy czym dla mniejszych wdrożeń dopuszcza się użycie klastra z jednego fizycznego kontrolera APIC i dwóch wirtualnych.
Kontrolery APIC pełnią funkcje zarządzania i monitorowania. Ważne jest to, że kontrolery nigdy nie uczestniczą w przesyłaniu danych, co oznacza, że nawet jeśli wszystkie kontrolery klastra ulegną awarii, stabilność działania sieci nie zostanie tego w żaden sposób naruszona. Należy również zauważyć, że za pomocą APIC-ów administrator zarządza wszystkimi fizycznymi i logicznymi zasobami fabryki, a do wprowadzenia jakichkolwiek zmian nie trzeba już łączyć się z danym urządzeniem, ponieważ w ACI używana jest jedna punkt kontrolny.
Przejdźmy teraz do jednego z głównych komponentów ACI – profili aplikacji.
Profil aplikacji (Application Network Profile) – to logiczna podstawa ACI. To właśnie profile aplikacji definiują zasady interakcji między wszystkimi segmentami sieci i opisują same segmenty sieciowe. ANP umożliwia abstrahowanie od poziomu fizycznego i w zasadzie przedstawia, jak należy zorganizować interakcje między różnymi segmentami sieci z perspektywy aplikacji.
Profil aplikacji składa się z grup połączeń (End-point groups – EPG). Grupa połączeń to logiczna grupa hostów (maszyn wirtualnych, serwerów fizycznych, kontenerów itp.), które znajdują się w tym samym segmencie bezpieczeństwa (nie sieci, a właśnie bezpieczeństwa). Końcowe hosty, które należą do danej EPG, mogą być definiowane przez wiele kryteriów. Zazwyczaj używane są następujące:
- Port fizyczny
- Port logiczny (grupa portów na wirtualnym przełączniku)
- ID VLAN lub VXLAN
- Adres IP lub podsieć IP
- Atrybuty serwera (nazwa, lokalizacja, wersja OS itp.)
Dla interakcji różnych EPG przewidziana jest encja, która nazywa się kontraktami. Kontrakt określa relacje między różnymi EPG. Innymi słowy, kontrakt definiuje, jaką usługę jedna EPG świadczy drugiej EPG. Na przykład tworzymy kontrakt, który pozwala na przesyłanie ruchu za pomocą protokołu HTTPS. Następnie łączymy tym kontraktem, na przykład, EPG Web (grupa serwerów WWW) i EPG App (grupa serwerów aplikacji), po czym te dwie grupy końcowe mogą wymieniać się ruchem za pomocą protokołu HTTPS.
Na poniższym rysunku opisano przykład konfiguracji połączenia różnych EPG za pośrednictwem kontraktów w ramach jednego ANP.
Profilów aplikacji w ramach fabryki ACI może być dowolna liczba. Ponadto kontrakty nie są przypisane do konkretnego profilu aplikacji, można je (i należy) używać do łączenia EPG w różnych ANP.
W zasadzie każde aplikacja, dla której w jakikolwiek sposób potrzebna jest sieć, opisuje się własnym profilem. Na przykład na powyższym schemacie przedstawiono standardową architekturę aplikacji trzy-warstwowej, składającej się z N-liczby serwerów dostępu zewnętrznego (Web), serwerów aplikacji (App) oraz serwerów DBMS (DB), a także opisano zasady interakcji między nimi. W tradycyjnej infrastrukturze sieciowej byłby to zestaw reguł zapisanych na różnych urządzeniach w infrastrukturze. W architekturze ACI opisujemy te zasady w ramach jednego profilu aplikacji. ACI, dzięki profilowi aplikacji, pozwala znacznie uprościć tworzenie wielu ustawień na różnych urządzeniach, grupując je wszystkie w jeden profil.
Na poniższym rysunku przedstawiono bardziej rzeczywisty przykład. Profil aplikacji Microsoft Exchange, złożony z kilku EPG i kontraktów.
Centralne zarządzanie, automatyzacja i monitorowanie to jedne z kluczowych zalet ACI. Fabryka ACI uwalnia administratorów od rutynowej pracy związanej z tworzeniem dużej liczby reguł na różnych przełącznikach, routerach i zaporach sieciowych (przy czym klasyczna ręczna metoda konfiguracji jest dozwolona i może być stosowana). Ustawienia profili aplikacji i innych obiektów ACI są automatycznie stosowane w całej fabryce ACI. Nawet przy fizycznej zmianie serwerów do innych portów przełączników fabryki nie będzie potrzeby duplikowania ustawień ze starych przełączników na nowe i oczyszczania z niepotrzebnych reguł. Na podstawie kryteriów przynależności hosta do EPG, fabryka wykona te ustawienia automatycznie i automatycznie oczyści nieużywane reguły.
Zintegrowane polityki bezpieczeństwa ACI są realizowane na zasadzie białych list, to znaczy to, co nie jest wyraźnie dozwolone, jest domyślnie zakazane. W połączeniu z automatycznym aktualizowaniem konfiguracji sprzętu sieciowego (usuwanie zapomnianych, nieużywanych reguł i zezwoleń) podejście to znacząco podnosi ogólny poziom bezpieczeństwa sieci i zawęża powierzchnię potencjalnego ataku.
ACI umożliwia organizację interakcji sieciowej nie tylko maszyn wirtualnych i kontenerów, ale także fizycznych serwerów, sprzętowych systemów zarządzania i urządzeń sieciowych od firm zewnętrznych, co czyni ACI unikalnym rozwiązaniem w obecnych czasach.
Nowe podejście firmy Cisco do budowy sieci przesyłania danych opartej na logice aplikacji to nie tylko automatyzacja, bezpieczeństwo i zcentralizowane zarządzanie. To także nowoczesna, poziomo skalowalna sieć, spełniająca wszystkie wymagania współczesnego biznesu.
Realizacja infrastruktury sieciowej opartych na ACI pozwala wszystkim działom przedsiębiorstwa rozmawiać w jednym języku. Administrator kieruje się jedynie logiką działania aplikacji, w której opisane są wymagane reguły i powiązania. Tak samo logiką działania aplikacji kierują się właściciele i deweloperzy aplikacji, dział bezpieczeństwa informacyjnego, ekonomiści oraz właściciele biznesu.
W ten sposób firma Cisco w praktyce wdraża koncepcję nowej generacji sieci centrum danych. Chcesz się o tym przekonać sam? Przyjdź na prezentację Infrastruktura Centryczna Aplikacji w Sankt Petersburgu i już teraz pracuj z siecią centrum danych przyszłości.
Możesz zapisać się na wydarzenie .
Źródło: habr.com
