🥇Czy Cisco SD-WAN odetnie gałąź, na której siedzi DMVPN?

Od sierpnia 2017 roku, kiedy firma Cisco przejęła firmę Viptela, główną technologią oferującą zdalne korporacyjne sieci stało się Cisco SD-WAN. W ciągu ostatnich 3 lat technologia SD-WAN przeszła wiele zmian, zarówno jakościowych, jak i ilościowych. Zdecydowanie rozszerzyły się funkcjonalności, a także pojawiła się obsługa na klasycznych routerach serii Cisco ISR 1000, ISR 4000, ASR 1000 oraz wirtualnym CSR 1000v. W tym samym czasie wielu klientów i partnerów Cisco nadal zadaje pytanie – na czym polegają różnice między Cisco SD-WAN a już znanymi podejściami opartymi na takich technologiach jak Cisco DMVPN i Cisco Performance Routing i jak ważne są te różnice?

Należy od razu zaznaczyć, że przed pojawieniem się SD-WAN w portfolio Cisco, DMVPN wraz z PfR stanowiły kluczowy element architektury Cisco IWAN (Intelligent WAN), która z kolei była prekursorem pełnowartościowej technologii SD-WAN. Pomimo ogólnych podobieństw, zarówno w rozwiązanych problemach, jak i w sposobach ich rozwiązania, IWAN nie osiągnął poziomu automatyzacji, elastyczności i skalowalności niezbędnego dla SD-WAN, a z biegiem czasu rozwój IWAN znacznie zmalał. Tymczasem same technologie będące częścią IWAN wciąż funkcjonują, a wielu klientów nadal skutecznie z nich korzysta, również na nowoczesnym sprzęcie. W rezultacie powstała interesująca sytuacja – to samo urządzenie Cisco pozwala na wybranie najbardziej odpowiedniej technologii budowy WAN (klasycznej, DMVPN+PfR lub SD-WAN) zgodnie z wymaganiami i oczekiwaniami klientów.

Artykuł nie ma na celu szczegółowego omawiania wszystkich aspektów technologii Cisco SD-WAN i DMVPN (wraz lub bez Performance Routing) — istnieje mnóstwo dostępnych dokumentów i materiałów na ten temat. Głównym celem jest spróbować ocenić kluczowe różnice między tymi technologiami. Niemniej jednak, zanim przejdziemy do omówienia tych różnic, przypomnijmy krótko o samych technologiach.

Czym jest Cisco DMVPN i po co jest potrzebny?

Cisco DMVPN rozwiązuje problem dynamicznego (= skalowalnego) łączenia sieci zdalnego oddziału z siecią centralnego biura przedsiębiorstwa, wykorzystując dowolne rodzaje kanałów komunikacyjnych, w tym Internet (= z szyfrowaniem połączenia). Technicznie realizuje się to poprzez stworzenie zwirtualizowanej nałożonej sieci klasy L3. VPN w trybie punkt – wiele punktów (point-to-multipoint) z logiczną topologią typu „Gwiazda” (Hub-n-Spoke). W tym celu DMVPN wykorzystuje kombinację następujących technologii:

trasowania IP
Multipoint GRE tuneli (mGRE)
Protokół Rozwiązywania Następnego Kroku (NHRP)
profile szyfrowania IPSec

Jakie są główne zalety Cisco DMVPN w porównaniu do klasycznego trasowania przy użyciu kanałów MPLS VPN?

Do tworzenia sieci między oddziałami można używać dowolnych kanałów komunikacyjnych - wszystko, co jest w stanie zapewnić łączność IP między oddziałami, przy czym ruch będzie szyfrowany (tam, gdzie to konieczne) i równoważony (gdzie to możliwe).
Automatycznie formuje się pełna topologia między oddziałami. Przy tym między centralnym a zdalnym oddziałem – statyczne tunele, a między zdalnymi oddziałami – dynamiczne tunele na żądanie (przy obecności ruchu).
Na routerach centralnego i zdalnego oddziału jednolita konfiguracja z dokładnością do adresów IP interfejsów. Dzięki wykorzystaniu mGRE nie ma potrzeby indywidualnego konfigurowania dziesiątków, setek, a nawet tysięcy tuneli. W rezultacie, odpowiednia skalowalność przy właściwym projektowaniu.

Czym jest Cisco Performance Routing i do czego służy?

Przy użyciu DMVPN w sieci między oddziałami pozostaje nierozwiązana jedna niezwykle ważna kwestia - jak dynamicznie ocenić stan każdego z tuneli DMVPN pod kątem spełnienia wymagań krytycznego dla naszej organizacji ruchu i na podstawie takiej oceny dynamicznie podejmować decyzję o zmiany trasy? Chodzi o to, że DMVPN w tej kwestii niewiele różni się od klasycznego trasowania - najlepsze, co można zrobić, to skonfigurować mechanizmy QoS, które pozwolą na priorytetyzację ruchu w kierunku wychodzącym, ale w żaden sposób nie są w stanie uwzględnić stanu całej ścieżki w danym momencie.

Co zrobić, jeśli kanał częściowo degraduje, a nie całkowicie – jak to wykryć i ocenić? DMVPN sam w sobie tego nie potrafi. Biorąc pod uwagę, że kanały łączące oddziały mogą przechodzić przez zupełnie różnych operatorów telekomunikacyjnych, używających różnych technologii, to zadanie staje się niezwykle skomplikowane. I tutaj na pomoc przychodzi technologia Cisco Performance Routing, która do tego momentu przeszła już kilka etapów rozwoju.

Zadaniem Cisco Performance Routing (dalej PfR) jest mierzenie stanu ścieżek (tuneli) przesyłania ruchu na podstawie kluczowych metryk istotnych dla aplikacji sieciowych – opóźnienie, zmienność opóźnienia (jitter) oraz utrata pakietów (w procentach).Dodatkowo może być mierzona używana przepustowość. Te pomiary odbywają się maksymalnie blisko rzeczywistego czasu (na ile to możliwe i uzasadnione) i wyniki tych pomiarów pozwalają routerowi wykorzystującemu PfR dynamicznie podejmować decyzje o konieczności zmiany trasowania danego rodzaju ruchu.

W związku z tym zadanie kombinacji DMVPN/PfR można krótko scharakteryzować w następujący sposób:

Pozwolić klientowi korzystać w sieci WAN z dowolnych kanałów komunikacyjnych.
Zapewnić maksymalną jakość ważnych aplikacji na tych kanałach.

Czym jest Cisco SD-WAN?

Cisco SD-WAN to technologia, która wykorzystuje podejście SDN do tworzenia i eksploatacji sieci WAN organizacji. Oznacza to między innymi korzystanie z tzw. kontrolerów (elementów programowych), które zapewniają scentralizowaną orkiestrację i zautomatyzowaną konfigurację wszystkich komponentów rozwiązania. W odróżnieniu od klasycznego SDN (w stylu Clean Slate), Cisco SD-WAN wykorzystuje od razu kilka typów kontrolerów, z których każdy pełni swoją rolę – zrobiono to celowo, aby zapewnić lepszą skalowalność i geo-redundancję.

W przypadku SD-WAN zadanie korzystania z dowolnych typów kanałów i zapewnienia działania aplikacji biznesowych pozostaje, ale jednocześnie rozszerzają się wymagania dotyczące automatyzacji, skalowalności, bezpieczeństwa oraz elastyczności tej sieci.

Dyskusja różnic.

Jeśli teraz zaczniemy analizować różnice tych technologii, będą one należeć do jednej z kategorii:

Różnice architektoniczne – jak funkcje są rozdzielane pomiędzy różnymi komponentami rozwiązania, jak zorganizowana jest interakcja tych komponentów i jak wpływa to na możliwości oraz elastyczność technologii?
Możliwości funkcjonalne – co jedna technologia potrafi, a inna nie? Czy to jest naprawdę ważne?

Na czym polegają różnice architektoniczne i czy są one istotne?

W każdej z wymienionych technologii znajduje się wiele "ruchomych części", które różnią się nie tylko rolą, ale także zasadami współpracy ze sobą. To, jak przemyślane są te zasady, bezpośrednio wpływa na skalowalność, odporność na awarie oraz ogólną efektywność rozwiązania.

Przyjrzyjmy się bardziej szczegółowo różnym aspektom architektury:

Data-plane – część rozwiązania odpowiedzialna za przesyłanie ruchu użytkowników pomiędzy źródłem a odbiorcą. W DMVPN i SD-WAN jest to zrealizowane w zasadzie identycznie na samych routerach bazujących na tunelach Multipoint GRE. Różnica polega na tym, na podstawie czego formowany jest niezbędny zestaw parametrów tych tuneli:

do DMVPN/PfR – to wyłącznie dwupoziomowa hierarchia węzłów z topologią typu „Gwiazda” lub Hub-n-Spoke. Wymagana jest statyczna konfiguracja Huba i statyczne powiązanie Spoke z Hubem, a także współpraca z protokołem NHRP w celu utworzenia łączności data-plane. W rezultacie, zmiany na Hubie są znacznie utrudnione,np. związane z zmieniającymi się lub nowymi łączami WAN lub zmianą parametrów istniejących.
do SD-WAN – to w pełni dynamiczny model wykrywania parametrów zakładanych tuneli oparty na control-plane (protokoły OMP) i orchestration-plane (interakcja z kontrolerem vBond w celu wykrywania kontrolerów i NAT traversal). Możliwe są dowolne nałożone topologie, w tym hierarchiczne. W ramach ustalonej nakładanej topologii tuneli możliwa jest elastyczna konfiguracja topologii logicznej w każdym osobnym VPN(VRF).

Control-plane – funkcje wymiany, filtrowania i modyfikacji informacji o trasach oraz innych danych pomiędzy komponentami rozwiązania.

do DMVPN/PfR – odbywa się wyłącznie pomiędzy routerami Hub i Spoke. Bezpośrednia wymiana informacji o trasach pomiędzy Spoke jest niemożliwa. W rezultacie, bez działającego Huba nie można funkcjonować w control-plane i data-plane., co nakłada na Hub dodatkowe wymagania dotyczące wysokiej dostępności, które nie zawsze mogą być spełnione.
do SD-WAN – komunikacja kontrolna nigdy nie odbywa się bezpośrednio między routerami – interakcja odbywa się na podstawie protokołu OMP i zawsze jest realizowana przez osobny, wyspecjalizowany typ kontrolera vSmart, co zapewnia możliwość bilansowania, geo-redundancji i centralnego zarządzania ruchem sygnalizacyjnym. Inną cechą protokołu OMP jest jego znacząca odporność na straty i niezależność od prędkości łącza z kontrolerami (w rozsądnych granicach, oczywiście). To równie skutecznie pozwala na umieszczanie kontrolerów SD-WAN w chmurach publicznych lub prywatnych z dostępem przez Internet.

Policy-plane – część rozwiązania odpowiedzialna za definiowanie, rozpowszechnianie i stosowanie polityk zarządzania ruchem w rozproszonej sieci.

DMVPN – w rzeczywistości ograniczone politykami jakości usług (QoS), ustawianymi indywidualnie na każdym routerze przez CLI lub szablony Prime Infrastructure.
DMVPN/PfR – polityki PfR są tworzone na scentralizowanym routerze Master Controller (MC) przez CLI i następnie automatycznie rozpowszechniane do lokalnych MC. W tym przypadku używane są te same ścieżki transmisji polityk, co dla data-plane. Nie ma możliwości rozdzielenia wymiany polityk, informacji o trasach i danych użytkowników. Rozpowszechnianie polityk zakłada obowiązkową obecność IP połączenia między Hub a Spoke. Przy tym funkcja MC może być w razie potrzeby łączona z routerem DMVPN. Możliwe (ale nie wymagane) jest użycie szablonów Prime Infrastructure do centralnego tworzenia polityk. Ważną cechą jest to, że polityka jest tworzona globalnie w całej sieci w ten sam sposób – indywidualne polityki dla poszczególnych segmentów nie są wspierane..
SD-WAN Polityka zarządzania ruchem i jakością usług jest określana centralnie za pomocą interfejsu graficznego Cisco vManage, dostępnego również przez Internet (jeśli zajdzie taka potrzeba). Rozprzestrzenia się przez kanały sygnałowe bezpośrednio lub pośrednio przez kontrolery vSmart (w zależności od rodzaju polityki). Nie zależy od łączności data-plane między routerami, ponieważ wykorzystuje wszystkie dostępne ścieżki przesyłania ruchu między kontrolerem a routerem.
Dla różnych segmentów sieci możliwe jest elastyczne formułowanie różnorodnych polityk – zakres stosowania polityki jest określany przez wiele unikalnych identyfikatorów przewidzianych w rozwiązaniu – numer oddziału, typ aplikacji, kierunek ruchu itp.

Orkiestracja – mechanizmy umożliwiające komponentom dynamiczne odkrywanie się nawzajem, konfigurowanie i koordynowanie dalszej interakcji.

do DMVPN/PfR Wzajemne odkrywanie routerów opiera się na statycznej konfiguracji urządzeń Hub i odpowiednich ustawieniach urządzeń Spoke. Dynamiczne odkrywanie ma miejsce tylko dla Spoke, który informuje o swoich parametrach połączenia urządzenie Hub, które z kolei jest wcześniej wprowadzone do konfiguracji Spoke. Bez łączności IP Spoke z przynajmniej jednym Hubem niemożliwe jest utworzenie ani data-plane, ani control-plane.
do SD-WAN Orkiestracja komponentów rozwiązania zachodzi przy użyciu kontrolera vBond, z którym każdy komponent (routery i kontrolery vManage/vSmart) musi najpierw nawiązać łączność IP.
Początkowo komponenty nie znają parametrów połączenia z innymi – potrzebują do tego pośrednika-orkiestratora vBond. Ogólna zasada jest następująca – każdy komponent na wstępnym etapie dowiaduje się (automatycznie lub statycznie) tylko o parametrach połączenia z vBond, a następnie vBond informuje router o kontrolerach vManage i vSmart (wcześniej odkrytych), co umożliwia automatyczne ustanowienie wszystkich niezbędnych połączeń sygnałowych.
Następnym krokiem nowy router dowiaduje się o pozostałych routerach w sieci poprzez wymianę OMP z kontrolerem vSmart. Dzięki temu router, nie znając z góry parametrów sieci, jest w stanie całkowicie automatycznie odkryć i połączyć się z kontrolerami, a następnie również automatycznie odkryć i utworzyć połączenie z pozostałymi routerami. Przy tym parametry połączeń wszystkich komponentów są początkowo nieznane i w trakcie eksploatacji mogą się zmieniać.

Płaszczyzna zarządzania – część rozwiązania zapewniająca centralne zarządzanie i monitorowanie.

DMVPN/PfR – nie przewiduje się specjalizowanego rozwiązania dla płaszczyzny zarządzania. Do podstawowej automatyzacji i monitorowania można wykorzystać takie produkty, jak Cisco Prime Infrastructure. Każdy router ma możliwość zarządzania przez interfejs wiersza poleceń CLI. Integracje z zewnętrznymi systemami przez API nie są przewidziane.
SD-WAN – całe standardowe interakcje i monitorowanie odbywają się centralnie przez graficzny interfejs kontrolera vManage. Wszystkie funkcjonalności rozwiązania bez wyjątku są dostępne do konfiguracji przez vManage oraz przez w pełni udokumentowaną bibliotekę interfejsu programistycznego REST API.
Wszystkie ustawienia sieci SD-WAN w vManage sprowadzają się do dwóch głównych konstrukcji – tworzenia szablonów urządzeń (Device Template) i tworzenia polityki, która określa logikę działania sieci i przetwarzania ruchu. Przy tym vManage, transmitując politykę uformowaną przez administratora, automatycznie wybiera jakie zmiany i na jakich indywidualnych urządzeniach/kontrolerach należy wprowadzić, co znacznie zwiększa efektywność i skalowalność rozwiązania.
Przez interfejs vManage dostępna jest nie tylko konfiguracja rozwiązania Cisco SD-WAN, ale także pełne monitorowanie stanu wszystkich komponentów rozwiązania, aż do aktualnego stanu metryk poszczególnych tuneli oraz statystyk wykorzystania różnych aplikacji na podstawie analizy DPI.
Mimo zcentralizowanej interakcji, wszystkie komponenty (kontrolery i routery) posiadają pełnoprawny interfejs wiersza poleceń CLI, który jest niezbędny na etapie wdrażania lub w przypadku sytuacji wyjątkowych do lokalnej diagnostyki. W trybie normalnym (przy istnieniu kanału sygnałowego między komponentami) na routerach interfejs wiersza poleceń jest dostępny tylko do celów diagnostycznych i nie jest dostępny do wprowadzania lokalnych zmian, co zapewnia zarówno lokalne bezpieczeństwo, jak i jedyne źródło zmian w takiej sieci – vManage.

Zintegrowane bezpieczeństwo – w tym przypadku należy mówić nie tylko o ochronie danych użytkowników podczas przesyłania przez otwarte kanały, ale także o ogólnym bezpieczeństwie sieci WAN opartej na wybranej technologii.

do DMVPN/PfR przewiduje się możliwość szyfrowania danych użytkowników i protokołów sygnałowych. Przy użyciu określonych modeli routerów dodatkowo dostępne są funkcje zapory sieciowej z inspekcją ruchu, IPS/IDS. Istnieje możliwość segmentacji sieci oddziałowych z wykorzystaniem VRF. Istnieje możliwość uwierzytelniania (jednoetapowego) protokołów kontrolnych.
Przy tym zdalny router domyślnie uznawany jest za zaufany element sieci – tzn. nie przewiduje się i nie uwzględnia przypadków fizycznej kompromitacji poszczególnych urządzeń oraz możliwości nieautoryzowanego dostępu do nich, nie ma uwierzytelniania dwuskładnikowego komponentów rozwiązania, co w przypadku geograficznie rozproszonej sieci może wiązać się z poważnymi dodatkowymi ryzykami.
do SD-WAN na wzór DMVPN przewidziano możliwość szyfrowania danych użytkowników, ale z znacznie rozszerzonymi funkcjami bezpieczeństwa sieci i segmentacji L3/VRF (MSE, IPS/IDS, filtrowanie URL, filtrowanie DNS, AMP/TG, SASE, proxy TLS/SSL itp.). Przy tym wymiana kluczy szyfrowania odbywa się bardziej efektywnie przez kontrolery vSmart (a nie bezpośrednio), przez wcześniej ustalone kanały sygnałowe, chronione szyfrowaniem DTLS/TLS na podstawie certyfikatów bezpieczeństwa. Co z kolei gwarantuje bezpieczeństwo tej wymiany i zapewnia lepszą skalowalność rozwiązania nawet do dziesiątek tysięcy urządzeń w jednej sieci.
Wszystkie połączenia sygnałowe (kontroler-kontroler, kontroler-router) są również zabezpieczone na podstawie DTLS/TLS. Routery są wyposażane w certyfikaty bezpieczeństwa podczas produkcji z możliwością wymiany/odnowienia. Podwójna weryfikacja tożsamości osiągana jest poprzez jednoczesne spełnienie dwóch warunków dla funkcjonowania routera/kontrolera w sieci SD-WAN:
- Aktywny certyfikat bezpieczeństwa
- Jawne i świadome dodawanie przez administratora każdego komponentu do białej listy dozwolonych urządzeń.

Funkcjonalne różnice między SD-WAN a DMVPN/PfR

Przechodząc do omówienia różnic funkcjonalnych, należy zaznaczyć, że wiele z nich stanowi kontynuację różnic architektonicznych – nie jest tajemnicą, że przy formułowaniu architektury rozwiązania, deweloperzy bazują na możliwościach, które chcą uzyskać na końcu. Przyjrzyjmy się najważniejszym różnicom między tymi dwiema technologiami.

AppQ (Jakość Aplikacji) – funkcje zapewnienia jakości transmisji ruchu aplikacji biznesowych

Kluczowe funkcje rozważanych technologii mają na celu, w miarę możliwości, poprawę doświadczeń użytkowników podczas korzystania z aplikacji krytycznych dla biznesu w zdystrybuowanej sieci. Jest to szczególnie istotne w warunkach, gdy część infrastruktury nie jest kontrolowana przez IT lub nie gwarantuje pomyślnej transmisji danych.

DMVPN samodzielnie nie zapewnia takich mechanizmów. Najlepsze, co można zrobić w klasycznej sieci DMVPN, to klasyfikować wychodzący ruch według aplikacji i priorytetować go podczas przesyłania w kierunku kanału WAN. Wybór tunelu DMVPN w tym przypadku jest uzależniony jedynie od jego dostępności oraz wyników działania protokołów trasowania. Przy tym w żaden sposób nie uwzględnia się stanu łączności tunelu i jego ewentualnej częściowej degradacji z punktu widzenia kluczowych metryk istotnych dla aplikacji sieciowych – opóźnienia, wariacji opóźnienia (jitter) i strat (%). W związku z tym bezpośrednie porównywanie klasycznego DMVPN z SD-WAN w kontekście rozwiązywania problemów AppQ traci sens – DMVPN nie może rozwiązać tego problemu. Wprowadzenie w ten kontekst technologii Cisco Performance Routing (PfR) zmienia sytuację, a porównanie z Cisco SD-WAN staje się bardziej zasadne.

Zanim przejdziemy do omówienia różnic, krótko o tym, w czym technologie są podobne. Tak więc obie technologie:

mają mechanizm, który pozwala na dynamiczną ocenę stanu każdego zainstalowanego tunelu w odniesieniu do określonych metryk – przynajmniej opóźnienia, wariacji opóźnienia i straty pakietów (%)
używają określonego zestawu narzędzi do tworzenia, rozpowszechniania i stosowania reguł (polityk) zarządzania ruchem z uwzględnieniem wyniku pomiaru stanu kluczowych metryk tuneli.
klasyfikują ruch aplikacji na poziomach L3-L4 (DSCP) modelu OSI lub według sygnatur L7 aplikacji na podstawie wbudowanych w router mechanizmów DPI.
pozwalają zdefiniować akceptowalne wartości progowe metryk dla znaczących aplikacji, domyślne reguły przesyłania ruchu, reguły przekierowywania ruchu, gdy progowe wartości są przekraczane.
podczas enkapsulacji ruchu w GRE/IPSec stosują już ustabilizowany w branży mechanizm przenoszenia wewnętrznego oznaczenia DSCP do zewnętrznego nagłówka pakietu GRE/IPSEC, co pozwala synchronizować polityki QoS organizacji i operatora telekomunikacyjnego (przy istnieniu odpowiedniego SLA).

Jak różnią się mechanizmy oceny metryk end-to-end SD-WAN i DMVPN/PfR?

DMVPN/PfR

Do oceny standardowych metryk stanu tunelu wykorzystuje się zarówno aktywne, jak i pasywnie programowe czujniki (Probes). Aktywne – na podstawie ruchu użytkowników, pasywne emulują taki ruch (w jego braku).
Drobna regulacja timerów i warunków wykrywania degradacji jest nieobecna – algorytm jest stały.
Dodatkowo dostępne jest pomiar używanej przepustowości w kierunku wychodzącym. Co dodaje DMVPN/PfR dodatkową elastyczność zarządzania ruchem.
W tym przypadku niektóre mechanizmy PfR w przypadku przekroczenia metryk polegają na zwrotnej sygnalizacji w postaci specjalnych komunikatów TCA (Threshold Crossing Alert), które powinny pochodzić od odbiorcy ruchu w kierunku źródła, co z kolei sugeruje, że stany mierzone kanały powinny być przynajmniej wystarczające do przesyłania takich komunikatów TCA. Co w większości przypadków nie stanowi problemu, ale oczywiście nie może być gwarantowane.

SD-WAN

Do oceny standardowych metryk stanu tunelu w trybie echo używany jest protokół BFD. W tym przypadku nie jest wymagana specjalna informacja zwrotna w postaci TCA lub podobnych komunikatów – zachowywana jest izolacja domen awarii. Nie jest również konieczna obecność ruchu użytkownika do oceny stanu tunelu.
Istnieje możliwość zaawansowanego dostosowania timerów BFD do regulacji prędkości wyzwalania i reakcji algorytmu na degradację łącza od kilku sekund do minut.
W momencie pisania artykułu w każdym z tuneli przewidziana jest tylko jedna sesja BFD. Potencjalnie może to stworzyć mniejszą granularność przy analizie stanu tunelu. W praktyce może to stać się ograniczeniem tylko w przypadku wykorzystania połączenia WAN opartego na MPLS L2/L3 VPN z uzgodnionym SLA QoS — jeżeli znakowanie DSCP ruchu BFD (po enkapsulacji w IPSec/GRE) zgadza się z kolejką o wysokim priorytecie w sieci operatora, może to wpłynąć na dokładność i szybkość wykrywania degradacji dla ruchu niskoprzywilejowanego. Istnieje jednak możliwość zmiany domyślnego znakowania BFD w celu zmniejszenia ryzyka wystąpienia takich sytuacji. W następnych wersjach oprogramowania Cisco SD-WAN oczekiwane jest wprowadzenie bardziej zaawansowanego dostosowania BFD oraz możliwość uruchomienia kilku sesji BFD w ramach jednego tunelu z indywidualnymi wartościami DSCP (dla różnych aplikacji).
BFD umożliwia również ocenę maksymalnego rozmiaru pakietu, który można przesłać przez dany tunel bez fragmentacji. Pozwala to SD-WAN dynamicznie dostosować takie parametry, jak MTU i TCP MSS Adjust, aby maksymalnie efektywnie wykorzystać dostępne pasmo na każdym kanale.
W SD-WAN dostępna jest także opcja synchronizacji QoS z operatorami nie tylko na podstawie pola L3 DSCP, ale również na podstawie wartości L2 CoS, które mogą być automatycznie formowane w sieci lokalnej przez specjalistyczne urządzenia — na przykład, telefony IP.

Jak różnią się możliwości, metody określania i stosowania polityk AppQ?

Polityki DMVPN/PfR:

Określane na routerze(-ach) centralnej siedziby (CFS) za pomocą interfejsu wiersza poleceń CLI lub szablonów konfiguracji CLI. Tworzenie szablonów CLI wymaga przygotowania i znajomości składni polityk.
Określone globalnie bez możliwości indywidualnej konfiguracji/zmiany zgodnie z wymaganiami poszczególnych segmentów sieci.
Interaktywne tworzenie polityk w interfejsie graficznym nie jest przewidziane.
Śledzenie zmian, dziedziczenie, tworzenie wielu wersji polityk do szybkiego przełączania nie jest przewidziane.
Są automatycznie rozpowszechniane na routery zdalnych oddziałów. Używają tych samych kanałów komunikacyjnych, co do przesyłania danych użytkowników. W przypadku braku kanału komunikacyjnego między centralą a zdalnym oddziałem, rozpowszechnienie/zmiana polityk jest niemożliwe.
Stosowane na każdym routerze i w razie potrzeby modyfikują wyniki standardowych protokołów routingu, mając wyższy priorytet.
W przypadkach, gdy wszystkie kanały WAN oddziału doświadczają znacznych strat ruchu, mechanizmy rekompensacji nie są przewidziane.

Polityki SD-WAN:

Określane w interfejsie graficznym vManage za pomocą interaktywnego kreatora szablonów.
Wspierają tworzenie wielu polityk, kopiowanie, dziedziczenie, przełączanie między politykami w czasie rzeczywistym.
Wspierają indywidualną konfigurację polityk dla różnych segmentów (oddziałów) sieci
Rozpowszechniane, wykorzystując jakikolwiek dostępny kanał sygnałowy między kontrolerem a routerem i/lub vSmart – nie są bezpośrednio zależne od łączności data-plane między routerami. Wymagana jest jednak łączność IP między samym routerem a kontrolerami.
W przypadkach, gdy wszystkie dostępne kanały oddziału doświadczają znacznych strat danych, przekraczających dopuszczalne wartości progowe dla krytycznych aplikacji, możliwe jest wykorzystanie dodatkowych mechanizmów zwiększających niezawodność przesyłu:
- FEC (Korekcja błędów na poziomie przekazywania) – wykorzystuje specjalny algorytm nadmiarowego kodowania. Przy przesyłaniu krytycznego ruchu przez kanały o znacznych procentach strat, FEC może być automatycznie aktywowany i pozwala na ewentualne przywrócenie utraconej części danych. Przy tym niewielko zwiększa się wykorzystywana szerokość pasma, ale znacznie zwiększa niezawodność.
- Duplicacja strumieni danych Oprócz FEC polityka może przewidywać automatyczne duplikowanie ruchu wybranych aplikacji w przypadku jeszcze poważniejszych strat, których nie da się skompensować za pomocą FEC. W takim przypadku wybrane dane będą przesyłane przez wszystkie tunele w kierunku filii odbiorczej, z późniejszym odduplication (odrzucaniem zbędnych kopii pakietów). Mechanizm znacząco zwiększa wykorzystanie kanałów, ale także znacznie podnosi niezawodność przesyłu.

Możliwości Cisco SD-WAN, bez bezpośrednich odpowiedników w DMVPN/PfR

Architektura rozwiązania Cisco SD-WAN w niektórych przypadkach pozwala na uzyskanie możliwości, których realizacja w ramach DMVPN/PfR jest albo niezwykle trudna, albo nieopłacalna ze względu na konieczne nakłady pracy, albo w ogóle niemożliwa. Przyjrzyjmy się najciekawszym z nich:

Inżynieria ruchu (TE)

TE obejmuje mechanizmy, które pozwalają na odgałęzianie ruchu od standardowej ścieżki, uformowanej przez protokoły routingu. TE jest często wykorzystywana do zapewnienia wysokiej dostępności usług sieciowych, dzięki zdolności do szybkiego i/lub wcześniejszego przekierowania istotnego ruchu na alternatywną (nieprzecinającą się) ścieżkę przesyłu, w celu zapewnienia lepszej jakości usługi lub szybkości jej przywracania w przypadku awarii na głównym szlaku.

Wyzwanie związane z wdrożeniem TE polega na konieczności wcześniejszego obliczenia i zarezerwowania (sprawdzenia) alternatywnej ścieżki. W sieciach MPLS operatorów telekomunikacyjnych problem ten rozwiązują, wykorzystując takie technologie jak MPLS Traffic Engineering z rozszerzeniami protokołów IGP i RSVP. Ostatnio rosnącą popularność zyskuje technologia Segment Routing, która jest lepiej zoptymalizowana do centralnej konfiguracji i orkiestracji. W klasycznych sieciach WAN technologie te zazwyczaj nie są dostępne lub ograniczają się do mechanizmów hop-by-hop, takich jak Policy-Based Routing (PBR), które mogą przekierować ruch, ale realizują to na każdym routerze z osobna — bez uwzględnienia ogólnego stanu sieci lub wyniku PBR na poprzednich lub kolejnych krokach. Rezultat zastosowania tych wariantów TE jest niezadowalający — MPLS TE, ze względu na skomplikowaną konfigurację i eksploatację, zazwyczaj stosuje się tylko w najbardziej krytycznych częściach sieci (jądro), a PBR używa się na poszczególnych routerach bez możliwości stworzenia jednorodnej polityki PBR w całej sieci. Oczywiste, że dotyczy to również sieci opartych na DMVPN.

SD-WAN w tym zakresie oferuje znacznie bardziej eleganckie rozwiązanie, które nie tylko jest łatwe w konfiguracji, ale również znacznie lepiej skalowalne. To jest efektem zastosowania architektur control-plane i policy-plane. Wdrożenie policy-plane w SD-WAN pozwala na centralne określenie polityki TE — jaki ruch nas interesuje? dla jakich VPN? przez które węzły/tunele należy, lub odwrotnie, zabronić tworzenie alternatywnej trasy? Z kolei centralizacja zarządzania control-plane na podstawie kontrolerów vSmart pozwala na modyfikację wyników routingu, nie sięgając do konfiguracji poszczególnych urządzeń — routery widzą tylko wynik tej logiki, która została stworzona w interfejsie vManage i przekazana do zastosowania na vSmart.

Service-chaining (Sercisowe łańcuchy)

Tworzenie łańcuchów usług to znacznie bardziej pracochłonne zadanie w klasycznym routingu niż wcześniej opisany mechanizm Traffic-Engineering. W tym przypadku trzeba nie tylko stworzyć specjalną trasę dla określonej aplikacji sieciowej, ale również zapewnić możliwość wydobywania ruchu z sieci na określonych (lub wszystkich) węzłach sieci SD-WAN, aby był on przetwarzany przez specjalną aplikację lub usługę (MPLS, Balansowanie, Kaskadowanie, Inspekcja ruchu itp.). Należy przy tym mieć możliwość monitorowania stanu tych zewnętrznych usług, aby unikać sytuacji black-holing, a także potrzebne są mechanizmy pozwalające umieszczać takie jednorodne zewnętrzne usługi w różnych lokalizacjach geograficznych z możliwością automatycznego wyboru najbardziej optymalnego węzła serwisowego do przetwarzania ruchu dla danego oddziału. W przypadku Cisco SD-WAN można to osiągnąć stosunkowo łatwo, tworząc odpowiednią centralną politykę, która „połączy” wszystkie aspekty docelowego łańcucha usług w całość i automatycznie zmieni logikę data-plane i control-plane tylko tam i wtedy, gdzie jest to potrzebne.

Zdolność do zorganizowania geograficznie rozproszonego przetwarzania ruchu wybranych rodzajów aplikacji w określonej kolejności na wyspecjalizowanym (ale niepowiązanym z samą siecią SD-WAN) sprzęcie to chyba najbardziej wymowna demonstracja przewag Cisco SD-WAN nad klasycznymi technologiami, a nawet niektórymi alternatywnymi rozwiązaniami SD-WAN innych producentów.

Co z tego wynika?

Oczywiście zarówno DMVPN (wspólnie lub bez Performance Routing), jak i Cisco SD-WAN rozwiązują w końcu bardzo podobne zadania w odniesieniu do rozproszonej sieci WAN organizacji. Przy tym istotne różnice architektoniczne i funkcjonalne technologii Cisco SD-WAN podnoszą proces rozwiązywania tych zadań na wyższy, jakościowy poziom. Podsumowując, można wskazać na następujące istotne różnice między technologiami SD-WAN i DMVPN/PfR:

DMVPN/PfR w zasadzie korzystają ze sprawdzonych technologii budowy nakładanych sieci VPN, a w zakresie data-plane są podobne do nowocześniejszej technologii SD-WAN, z pewnymi ograniczeniami w postaci obowiązkowej statycznej konfiguracji routerów oraz ograniczonymi topologiami, które muszą być Hub-n-Spoke. Z drugiej strony, DMVPN/PfR mają pewne funkcjonalności, które na razie nie są dostępne w ramach SD-WAN (mowa o per-application BFD).
W ramach technologii control-plane różnią się one zasadniczo. Biorąc pod uwagę scentralizowane przetwarzanie protokołów sygnalizacyjnych, SD-WAN pozwala w szczególności znacznie zawęzić domeny awarii i 'rozwiązać' proces przesyłania ruchu użytkowników od interakcji sygnalizacyjnej - czasowa niedostępność kontrolerów nie wpływa na możliwość przesyłania ruchu użytkownika. Z drugiej strony, czasowa niedostępność któregokolwiek z oddziałów (w tym centralnego) nie wpływa na możliwość interakcji pozostałych oddziałów z sobą nawzajem i z kontrolerami.
Architektura formułowania i stosowania polityk zarządzania ruchem w przypadku SD-WAN również przewyższa tę w DMVPN/PfR - znacznie lepiej zrealizowano geo-redundancję, brak jest powiązania z Hubem, więcej możliwości drobnego dostosowywania polityk, lista realizowanych scenariuszy zarządzania ruchem jest również znacznie większa.
Proces orkiestracji rozwiązania także znacznie się różni. DMVPN zakłada obecność z góry znanych parametrów, które muszą być w jakiś sposób odzwierciedlone w konfiguracji, co nieco ogranicza elastyczność rozwiązania i możliwość dynamicznych zmian. Z drugiej strony, SD-WAN opiera się na paradygmacie, że w momencie początkowego połączenia router 'nie wie nic' o swoich kontrolerach, ale wie 'od kogo można zapytać' - to wystarczy nie tylko do automatycznego nawiązania połączenia z kontrolerami, ale także do automatycznego tworzenia w pełni połączonej topologii data-plane, którą następnie można elastycznie dostosować/zmienić przy użyciu polityk.
W zakresie centralnego zarządzania, automatyzacji i monitorowania SD-WAN niespodziewanie przewyższa możliwości DMVPN/PfR, które stały się wynikiem rozwoju klasycznych technologii i w większym stopniu polegają na interfejsie wiersza poleceń CLI oraz stosowaniu systemów NMS opartych na szablonach.
W SD-WAN w porównaniu do DMVPN wymagania dotyczące bezpieczeństwa osiągnęły nowy poziom. Główne zasady to zaufanie zerowe, skalowalność i uwierzytelnianie dwuskładnikowe.

Z tych prostych wniosków może powstać mylne wrażenie, że tworzenie sieci na bazie DMVPN/PfR straciło dzisiaj na znaczeniu. Oczywiście nie do końca jest to prawda. Na przykład w przypadkach, gdy w sieci używane jest wiele przestarzałych urządzeń i nie ma możliwości ich wymiany, DMVPN może umożliwić połączenie 'starych' i 'nowych' urządzeń w jedną geo-rozproszoną sieć z wieloma opisanymi wyżej korzyściami.

Z drugiej strony należy pamiętać, że wszystkie aktualne korporacyjne routery Cisco oparte na IOS XE (ISR 1000, ISR 4000, ASR 1000, CSR 1000v) dzisiaj wspierają każdy tryb pracy – zarówno klasyczną routingu, jak i DMVPN oraz SD-WAN – wybór zależy od bieżących potrzeb oraz zrozumienia, że w każdej chwili na tym samym sprzęcie można zacząć przechodzić w kierunku bardziej zaawansowanej technologii.

Źródło: habr.com