Funcionalidades \u2013 o que uma tecnologia pode fazer que a outra n\u00e3o pode? E isso \u00e9 realmente t\u00e3o importante?<\/li>\n<\/ul>\n<\/p>\n
Quais s\u00e3o as diferen\u00e7as arquitet\u00f4nicas e qu\u00e3o importantes elas s\u00e3o?<\/h3>\n \nCada uma das tecnologias indicadas possui v\u00e1rias \"partes m\u00f3veis\", que n\u00e3o apenas t\u00eam pap\u00e9is diferentes, mas tamb\u00e9m princ\u00edpios de intera\u00e7\u00e3o entre si. A escalabilidade, resili\u00eancia e efici\u00eancia geral da solu\u00e7\u00e3o dependem diretamente de qu\u00e3o bem pensados s\u00e3o esses princ\u00edpios e a mec\u00e2nica geral da solu\u00e7\u00e3o. <\/p>\n
Vamos considerar diferentes aspectos da arquitetura com mais detalhes:<\/p>\n
Data-plane<\/b> \u2013 a parte da solu\u00e7\u00e3o respons\u00e1vel pela transfer\u00eancia do tr\u00e1fego do usu\u00e1rio entre a fonte e o destinat\u00e1rio. No DMVPN e SD-WAN, isso \u00e9 implementado de maneira semelhante nos pr\u00f3prios roteadores com base em t\u00faneis GRE Multipoint. A diferen\u00e7a est\u00e1 na forma como o conjunto necess\u00e1rio de par\u00e2metros desses t\u00faneis \u00e9 formado:<\/p>\n\nem DMVPN\/PfR<\/b> \u2013 \u00e9 exclusivamente uma hierarquia de n\u00f3s em dois n\u00edveis com uma topologia do tipo \"Estrela\" ou Hub-n-Spoke. \u00c9 obrigat\u00f3ria a configura\u00e7\u00e3o est\u00e1tica do Hub e a vincula\u00e7\u00e3o est\u00e1tica do Spoke ao Hub, assim como a intera\u00e7\u00e3o pelo protocolo NHRP para formar a conectividade do data-plane. Como consequ\u00eancia, as mudan\u00e7as no Hub s\u00e3o significativamente dificultadas<\/b>, relacionadas, por exemplo, \u00e0 altera\u00e7\u00e3o\/conex\u00e3o de novos canais WAN ou \u00e0s mudan\u00e7as nos par\u00e2metros existentes.<\/li>\nem SD-WAN<\/b> \u2013 \u00e9 um modelo totalmente din\u00e2mico de descoberta de par\u00e2metros dos t\u00faneis estabelecidos, com base no control-plane (protocolo OMP) e no orchestration-plane (intera\u00e7\u00e3o com o controlador vBond para tarefas de descoberta de controladores e travessia NAT). As topologias sobrepostas podem ser qualquer uma, inclusive hier\u00e1rquicas. Dentro da topologia sobreposta dos t\u00faneis, \u00e9 poss\u00edvel configurar de forma flex\u00edvel a topologia l\u00f3gica em cada VPN (VRF) separadamente.<\/li>\n<\/ul>\n Control-plane<\/b> \u2013 fun\u00e7\u00f5es de troca, filtragem e modifica\u00e7\u00e3o de informa\u00e7\u00f5es de roteamento e outras informa\u00e7\u00f5es entre os componentes da solu\u00e7\u00e3o. <\/p>\n\nem DMVPN\/PfR<\/b> \u2013 \u00e9 realizado apenas entre os roteadores Hub e Spoke. A troca direta de informa\u00e7\u00f5es de roteamento entre Spokes n\u00e3o \u00e9 poss\u00edvel. Como consequ\u00eancia, sem um Hub ativo, o funcionamento do control-plane e do data-plane n\u00e3o \u00e9 poss\u00edvel.<\/b>, o que imp\u00f5e ao Hub requisitos adicionais de alta disponibilidade que nem sempre podem ser atendidos.<\/li>\nem SD-WAN<\/b> \u2013 o controle da planea\u00e7\u00e3o nunca \u00e9 realizado diretamente entre os roteadores \u2013 a intera\u00e7\u00e3o ocorre com base no protocolo OMP e deve ser feita atrav\u00e9s de um tipo especializado de controlador vSmart, o que proporciona a possibilidade de balanceamento, geo-redund\u00e2ncia e gerenciamento centralizado da carga de sinaliza\u00e7\u00e3o. Outra caracter\u00edstica do protocolo OMP \u00e9 sua consider\u00e1vel resist\u00eancia \u00e0 perda e independ\u00eancia da velocidade do canal de comunica\u00e7\u00e3o com os controladores (dentro de limites razo\u00e1veis, claro). Isso permite com sucesso hospedar os controladores SD-WAN em nuvens p\u00fablicas ou privadas com acesso pela Internet.<\/li>\n<\/ul>\n Policy-plane<\/b> \u2013 parte da solu\u00e7\u00e3o respons\u00e1vel pela defini\u00e7\u00e3o, dissemina\u00e7\u00e3o e aplica\u00e7\u00e3o das pol\u00edticas de gerenciamento de tr\u00e1fego em uma rede distribu\u00edda.<\/p>\n\nDMVPN <\/b>\u2013 na verdade, \u00e9 limitado pelas pol\u00edticas de qualidade de servi\u00e7o (QoS), configuradas individualmente em cada roteador atrav\u00e9s da CLI ou por meio de templates do Prime Infrastructure.<\/li>\nDMVPN\/PfR<\/b> \u2013 as pol\u00edticas PfR s\u00e3o formadas em um roteador centralizado Master Controller (MC) atrav\u00e9s da CLI e, em seguida, s\u00e3o automaticamente disseminadas para os MCs filiais. Para isso, s\u00e3o utilizados os mesmos caminhos de transmiss\u00e3o de pol\u00edticas que para a data-plane. N\u00e3o h\u00e1 como separar a troca de pol\u00edticas, informa\u00e7\u00f5es de roteamento e dados do usu\u00e1rio. A dissemina\u00e7\u00e3o de pol\u00edticas pressup\u00f5e a obrigatoriedade de conectividade IP entre o Hub e o Spoke. Al\u00e9m disso, a fun\u00e7\u00e3o MC pode ser combinada com o roteador DMVPN, se necess\u00e1rio. \u00c9 poss\u00edvel (mas n\u00e3o obrigat\u00f3rio) utilizar templates do Prime Infrastructure para a forma\u00e7\u00e3o centralizada de pol\u00edticas. Uma caracter\u00edstica importante \u00e9 que a pol\u00edtica \u00e9 formada globalmente em toda a rede de forma id\u00eantica \u2013 pol\u00edticas individuais para segmentos espec\u00edficos n\u00e3o s\u00e3o suportadas<\/b>.<\/li>\nSD-WAN<\/b> As pol\u00edticas de gerenciamento de tr\u00e1fego e qualidade de servi\u00e7o s\u00e3o definidas centralmente atrav\u00e9s da interface gr\u00e1fica Cisco vManage, acess\u00edvel tamb\u00e9m pela internet (se necess\u00e1rio). Elas s\u00e3o propagadas por canais de sinal diretamente ou indiretamente atrav\u00e9s dos controladores vSmart (dependendo do tipo de pol\u00edtica). N\u00e3o dependem da conectividade do data-plane entre os roteadores, pois utilizam todos os caminhos dispon\u00edveis para transmiss\u00e3o de tr\u00e1fego entre o controlador e o roteador.\n Para diferentes segmentos da rede, \u00e9 poss\u00edvel a forma\u00e7\u00e3o flex\u00edvel de v\u00e1rias pol\u00edticas \u2013 a \u00e1rea de aplica\u00e7\u00e3o da pol\u00edtica \u00e9 determinada por um conjunto de identificadores \u00fanicos previstos na solu\u00e7\u00e3o \u2013 n\u00famero da filial, tipo de aplica\u00e7\u00e3o, dire\u00e7\u00e3o do tr\u00e1fego e assim por diante.\n<\/li>\n<\/ul>\n
Plano de orquestra\u00e7\u00e3o<\/b> \u2013 mecanismos que permitem que os componentes se descubram dinamicamente, configurem e coordenem a intera\u00e7\u00e3o subsequente.<\/p>\n\nem DMVPN\/PfR<\/b> A descoberta m\u00fatua entre os roteadores \u00e9 baseada na configura\u00e7\u00e3o est\u00e1tica dos dispositivos Hub e na configura\u00e7\u00e3o correspondente dos dispositivos Spoke. A descoberta din\u00e2mica ocorre apenas para o Spoke, que informa ao dispositivo Hub seus par\u00e2metros de conex\u00e3o, que, por sua vez, j\u00e1 est\u00e3o previamente configurados no Spoke. Sem conectividade IP do Spoke com pelo menos um Hub, n\u00e3o \u00e9 poss\u00edvel formar nem data-plane nem control-plane.<\/b><\/li>\nem SD-WAN<\/b> A orquestra\u00e7\u00e3o dos componentes da solu\u00e7\u00e3o ocorre com o uso do controlador vBond, com o qual cada componente (roteadores e controladores vManage\/vSmart) deve estabelecer previamente a conectividade IP.\n Inicialmente, os componentes n\u00e3o conhecem os par\u00e2metros de conex\u00e3o uns dos outros \u2013 para isso, eles precisam de um intermedi\u00e1rio-orquestrador vBond. O princ\u00edpio geral \u00e9 o seguinte \u2013 cada componente na fase inicial descobre (automaticamente ou estaticamente) apenas os par\u00e2metros de conex\u00e3o com o vBond, e depois o vBond informa ao roteador sobre os controladores vManage e vSmart (descobertos anteriormente), o que possibilita a configura\u00e7\u00e3o autom\u00e1tica de todas as conex\u00f5es de sinal necess\u00e1rias. <\/p>\n
No pr\u00f3ximo passo, o novo roteador aprender\u00e1 sobre os demais roteadores na rede por meio da troca OMP com o controlador vSmart. Assim, o roteador, ao n\u00e3o saber inicialmente nada sobre os par\u00e2metros da rede, \u00e9 capaz de descobrir e se conectar automaticamente aos controladores e posteriormente descobrir e formar conex\u00f5es com os outros roteadores. Al\u00e9m disso, os par\u00e2metros de conex\u00e3o de todos os componentes s\u00e3o inicialmente desconhecidos e podem mudar durante a opera\u00e7\u00e3o.\n<\/li>\n<\/ul>\n
Camada de gerenciamento<\/b> \u2013 parte da solu\u00e7\u00e3o que fornece gerenciamento e monitoramento centralizados.<\/p>\n\nDMVPN\/PfR<\/b> \u2013 n\u00e3o est\u00e1 prevista uma solu\u00e7\u00e3o especializada para a camada de gerenciamento. Para automa\u00e7\u00e3o b\u00e1sica e monitoramento, \u00e9 poss\u00edvel utilizar produtos como Cisco Prime Infrastructure. Cada roteador pode ser gerenciado atrav\u00e9s da linha de comando CLI. Integra\u00e7\u00f5es com sistemas externos atrav\u00e9s de API n\u00e3o est\u00e3o previstas.<\/b><\/li>\nSD-WAN<\/b> \u2013 toda a intera\u00e7\u00e3o e monitoramento padr\u00e3o \u00e9 realizado de forma centralizada atrav\u00e9s da interface gr\u00e1fica do controlador vManage. Todas as funcionalidades da solu\u00e7\u00e3o, sem exce\u00e7\u00e3o, podem ser configuradas atrav\u00e9s do vManage, bem como pela biblioteca de interface de programa\u00e7\u00e3o REST API completamente documentada.\n Todas as configura\u00e7\u00f5es da rede SD-WAN no vManage se resumem a dois conceitos principais \u2013 a forma\u00e7\u00e3o de modelos de dispositivos (Device Template) e a forma\u00e7\u00e3o de pol\u00edticas que definem a l\u00f3gica de opera\u00e7\u00e3o da rede e o tratamento do tr\u00e1fego. Nesse processo, o vManage, ao transmitir a pol\u00edtica formulada pelo administrador, seleciona automaticamente quais altera\u00e7\u00f5es devem ser feitas e em quais dispositivos\/controladores individuais, aumentando significativamente a efici\u00eancia e escalabilidade da solu\u00e7\u00e3o.<\/p>\n
Atrav\u00e9s da interface do vManage, n\u00e3o apenas a configura\u00e7\u00e3o da solu\u00e7\u00e3o Cisco SD-WAN est\u00e1 dispon\u00edvel, mas tamb\u00e9m um monitoramento completo do estado de todos os componentes da solu\u00e7\u00e3o, at\u00e9 o estado atual das m\u00e9tricas de t\u00faneis individuais e estat\u00edsticas de uso de v\u00e1rios aplicativos com base na an\u00e1lise DPI.<\/p>\n
Apesar da centraliza\u00e7\u00e3o da intera\u00e7\u00e3o, todos os componentes (controladores e roteadores) tamb\u00e9m possuem uma linha de comando CLI totalmente funcional, que \u00e9 necess\u00e1ria na fase de implementa\u00e7\u00e3o ou em caso de situa\u00e7\u00f5es anormais para diagn\u00f3stico local. No modo normal (com um canal de sinaliza\u00e7\u00e3o entre os componentes), a linha de comando nos roteadores est\u00e1 dispon\u00edvel apenas para diagn\u00f3stico e n\u00e3o pode ser usada para fazer altera\u00e7\u00f5es locais, garantindo tanto a seguran\u00e7a local quanto a \u00fanica fonte de altera\u00e7\u00f5es nessa rede \u2013 vManage.<\/li>\n<\/ul>\n
\nSeguran\u00e7a Integrada<\/b> \u2013 aqui a quest\u00e3o n\u00e3o deve se limitar apenas \u00e0 prote\u00e7\u00e3o dos dados do usu\u00e1rio durante a transmiss\u00e3o por canais abertos, mas tamb\u00e9m \u00e0 prote\u00e7\u00e3o geral da rede WAN com base na tecnologia escolhida.<\/p>\n\nem DMVPN\/PfR<\/b> prev\u00ea a possibilidade de criptografia dos dados do usu\u00e1rio e dos protocolos de sinaliza\u00e7\u00e3o. Ao utilizar determinados modelos de roteadores, fun\u00e7\u00f5es adicionais de firewall com inspe\u00e7\u00e3o de tr\u00e1fego, IPS\/IDS tamb\u00e9m est\u00e3o dispon\u00edveis. H\u00e1 possibilidade de segmenta\u00e7\u00e3o das redes filiais usando VRF. Existe a possibilidade de autentica\u00e7\u00e3o (unifatorial) dos protocolos de controle.\n Nesse caso, o roteador remoto \u00e9 considerado um elemento confi\u00e1vel da rede por padr\u00e3o \u2013 ou seja, n\u00e3o se presume nem se consideram casos de comprometimento f\u00edsico de dispositivos individuais e a possibilidade de acesso n\u00e3o autorizado a eles, n\u00e3o h\u00e1 autentica\u00e7\u00e3o de dois fatores dos componentes da solu\u00e7\u00e3o, o que em caso de uma rede geograficamente distribu\u00edda pode acarretar s\u00e9rios riscos adicionais.<\/b> <\/li>\nem SD-WAN<\/b> de forma an\u00e1loga ao DMVPN, \u00e9 prevista a possibilidade de criptografia dos dados do usu\u00e1rio, mas com fun\u00e7\u00f5es de seguran\u00e7a de rede e segmenta\u00e7\u00e3o L3\/VRF significativamente ampliadas (MPLS, IPS\/IDS, filtragem de URL, filtragem de DNS, AMP\/TG, SASE, proxy TLS\/SSL, etc.). Nesse caso, a troca de chaves de criptografia \u00e9 realizada de forma mais eficaz atrav\u00e9s dos controladores vSmart (e n\u00e3o diretamente), por meio de canais de sinaliza\u00e7\u00e3o previamente estabelecidos, protegidos pela criptografia DTLS\/TLS baseada em certificados de seguran\u00e7a. O que, por sua vez, garante a seguran\u00e7a dessa troca e proporciona melhor escalabilidade da solu\u00e7\u00e3o, at\u00e9 dezenas de milhares de dispositivos em uma \u00fanica rede.\n Todas as conex\u00f5es de sinal (controlador-controlador, controlador-routeador) tamb\u00e9m s\u00e3o protegidas com base em DTLS\/TLS. Os roteadores s\u00e3o equipados com certificados de seguran\u00e7a na fabrica\u00e7\u00e3o, com possibilidade de substitui\u00e7\u00e3o\/extens\u00e3o. A autentica\u00e7\u00e3o de dois fatores \u00e9 alcan\u00e7ada por meio da execu\u00e7\u00e3o obrigat\u00f3ria e simult\u00e2nea de duas condi\u00e7\u00f5es para que o roteador\/controlador funcione na rede SD-WAN:<\/p>\n
\nCertificado de seguran\u00e7a ativo<\/li>\n Inclus\u00e3o expl\u00edcita e intencional de cada componente na lista \u2018branca\u2019 de dispositivos permitidos pelo administrador.<\/li>\n<\/ul>\n\n<\/li>\n<\/ul>\n
Diferen\u00e7as funcionais entre SD-WAN e DMVPN\/PfR<\/h2>\n \nAo discutir as diferen\u00e7as funcionais, \u00e9 importante notar que muitas delas s\u00e3o uma extens\u00e3o das arquitet\u00f4nicas \u2013 n\u00e3o \u00e9 segredo que, ao formar a arquitetura da solu\u00e7\u00e3o, os desenvolvedores se baseiam nas capacidades que desejam obter no final. Vamos examinar as diferen\u00e7as mais significativas entre as duas tecnologias.<\/p>\n
AppQ (Application Quality) \u2013 fun\u00e7\u00f5es que garantem a qualidade de transmiss\u00e3o do tr\u00e1fego de aplicativos empresariais<\/h3>\n \nAs principais fun\u00e7\u00f5es das tecnologias em an\u00e1lise visam melhorar, tanto quanto poss\u00edvel, a experi\u00eancia do usu\u00e1rio ao utilizar aplicativos cr\u00edticos para os neg\u00f3cios em uma rede distribu\u00edda. Isso \u00e9 especialmente importante em um cen\u00e1rio onde parte da infraestrutura n\u00e3o \u00e9 controlada pelo TI ou mesmo n\u00e3o garante a transmiss\u00e3o bem-sucedida de dados.<\/p>\n
O DMVPN n\u00e3o fornece tais mecanismos por conta pr\u00f3pria. O melhor que pode ser feito em uma rede DMVPN cl\u00e1ssica \u00e9 classificar o tr\u00e1fego de sa\u00edda por aplicativos e prioriz\u00e1-lo ao transmiti-lo na dire\u00e7\u00e3o do canal WAN. A escolha do t\u00fanel DMVPN, nesse caso, \u00e9 baseada apenas em sua disponibilidade e no resultado do funcionamento dos protocolos de roteamento. N\u00e3o h\u00e1 considera\u00e7\u00e3o do estado cont\u00ednuo do caminho\/t\u00fanel e sua poss\u00edvel degrada\u00e7\u00e3o parcial em termos de m\u00e9tricas-chave significativas para aplicativos de rede \u2013 lat\u00eancia, varia\u00e7\u00e3o de lat\u00eancia (jitter) e perda (%). Portanto, comparar diretamente o DMVPN cl\u00e1ssico com o SD-WAN em termos de resolu\u00e7\u00e3o de tarefas AppQ n\u00e3o faz sentido \u2013 o DMVPN n\u00e3o pode resolver essa tarefa. Com a adi\u00e7\u00e3o da tecnologia Cisco Performance Routing (PfR) a este contexto, a situa\u00e7\u00e3o muda e a compara\u00e7\u00e3o com o Cisco SD-WAN torna-se mais apropriada. <\/p>\n
Antes de discutirmos as diferen\u00e7as, vamos falar brevemente sobre as semelhan\u00e7as das tecnologias. Portanto, ambas as tecnologias:<\/p>\n
\npossuem um mecanismo que permite avaliar dinamicamente o estado de cada t\u00fanel estabelecido com base em m\u00e9tricas espec\u00edficas - no m\u00ednimo, lat\u00eancia, varia\u00e7\u00e3o de lat\u00eancia e perda de pacotes (%)<\/li>\n utilizam um conjunto de ferramentas para formar, distribuir e aplicar regras (pol\u00edticas) de gerenciamento de tr\u00e1fego, levando em considera\u00e7\u00e3o o resultado da medi\u00e7\u00e3o do estado das m\u00e9tricas-chave dos t\u00faneis.<\/li>\n classificam o tr\u00e1fego de aplicativos nos n\u00edveis L3-L4 (DSCP) do modelo OSI ou pelas assinaturas de L7 dos aplicativos, com base em mecanismos DPI incorporados ao roteador.<\/li>\n permitem que aplicativos significativos estabele\u00e7am limites aceit\u00e1veis para as m\u00e9tricas, regras padr\u00f5es de transmiss\u00e3o de tr\u00e1fego e regras de redirecionamento de tr\u00e1fego ao ultrapassar esses limites.<\/li>\n ao encapsular o tr\u00e1fego em GRE\/IPSec, utilizam um mecanismo j\u00e1 estabelecido na ind\u00fastria para transferir a marca\u00e7\u00e3o DSCP interna para o cabe\u00e7alho externo do pacote GRE\/IPSec, permitindo sincronizar as pol\u00edticas de QoS da organiza\u00e7\u00e3o e do provedor de servi\u00e7os (quando existe um SLA correspondente).<\/li>\n<\/ul>\n\n
Como os mecanismos de avalia\u00e7\u00e3o das m\u00e9tricas de ponta a ponta do SD-WAN diferem do DMVPN\/PfR?<\/h3>\n \nDMVPN\/PfR <\/b><\/p>\n\nPara avaliar m\u00e9tricas padr\u00e3o do estado do t\u00fanel, s\u00e3o utilizados sensores de software tanto ativos quanto passivos (Probes). Os ativos s\u00e3o baseados em tr\u00e1fego de usu\u00e1rios, enquanto os passivos emulam esse tr\u00e1fego (na sua aus\u00eancia). <\/li>\n N\u00e3o h\u00e1 ajuste fino dos temporizadores e das condi\u00e7\u00f5es de detec\u00e7\u00e3o de degrada\u00e7\u00e3o - o algoritmo \u00e9 fixo.<\/li>\n Al\u00e9m disso, \u00e9 poss\u00edvel medir a largura de banda utilizada na dire\u00e7\u00e3o de sa\u00edda. Isso d\u00e1 ao DMVPN\/PfR uma flexibilidade adicional no gerenciamento de tr\u00e1fego.<\/li>\n Entretanto, alguns mecanismos do PfR, ao ultrapassar as m\u00e9tricas, dependem de um feedback reverso na forma de mensagens especiais TCA (Threshold Crossing Alert), que devem ser enviadas do destinat\u00e1rio do tr\u00e1fego em dire\u00e7\u00e3o \u00e0 fonte, o que, por sua vez, pressup\u00f5e que o estado dos canais medidos deve ser pelo menos adequado para a transmiss\u00e3o dessas mensagens TCA. O que na maioria dos casos n\u00e3o \u00e9 um problema, mas claramente n\u00e3o pode ser garantido. <\/li>\n<\/ul>\n\nSD-WAN <\/b><\/p>\n\nPara a avalia\u00e7\u00e3o cont\u00ednua das m\u00e9tricas padr\u00e3o do estado do t\u00fanel, utiliza-se o protocolo BFD em modo echo. Nesse caso, n\u00e3o \u00e9 necess\u00e1ria uma retroalimenta\u00e7\u00e3o especial na forma de TCA ou mensagens semelhantes \u2014 a isola\u00e7\u00e3o dos dom\u00ednios de falha \u00e9 mantida. Tamb\u00e9m n\u00e3o \u00e9 necess\u00e1rio que haja tr\u00e1fego de usu\u00e1rios para avaliar o estado do t\u00fanel.<\/li>\n \u00c9 poss\u00edvel ajustar finamente os temporizadores do BFD para regular a velocidade de ativa\u00e7\u00e3o e a sensibilidade do algoritmo em rela\u00e7\u00e3o \u00e0 degrada\u00e7\u00e3o do canal de comunica\u00e7\u00e3o, variando de alguns segundos a minutos.\n
No momento da escrita deste artigo, cada t\u00fanel prev\u00ea apenas uma sess\u00e3o BFD. Potencialmente, isso cria uma granularidade menor na an\u00e1lise do estado do t\u00fanel. Na pr\u00e1tica, isso pode ser uma limita\u00e7\u00e3o apenas no caso de uso de conex\u00f5es WAN baseadas em VPNs MPLS L2\/L3 com SLA QoS acordado \u2014 se a marca\u00e7\u00e3o DSCP do tr\u00e1fego BFD (ap\u00f3s encapsulamento em IPSec\/GRE) coincidir com a fila de alta prioridade na rede do operador de telecomunica\u00e7\u00f5es, isso pode afetar a precis\u00e3o e a velocidade de detec\u00e7\u00e3o de degrada\u00e7\u00e3o para tr\u00e1fego de baixa prioridade. No entanto, h\u00e1 a possibilidade de alterar a marca\u00e7\u00e3o BFD padr\u00e3o para reduzir o risco de surgimento de tais situa\u00e7\u00f5es. Vers\u00f5es futuras do software Cisco SD-WAN esperam trazer um ajuste mais fino do BFD, al\u00e9m da possibilidade de iniciar v\u00e1rias sess\u00f5es BFD dentro de um \u00fanico t\u00fanel com valores DSCP individuais (para diferentes aplica\u00e7\u00f5es).<\/li>\n O BFD tamb\u00e9m permite avaliar o tamanho m\u00e1ximo do pacote que pode ser transmitido por um determinado t\u00fanel sem fragmenta\u00e7\u00e3o. Isso possibilita que o SD-WAN ajuste dinamicamente par\u00e2metros como MTU e TCP MSS Adjust para aproveitar ao m\u00e1ximo a largura de banda dispon\u00edvel em cada canal.<\/li>\n No SD-WAN, tamb\u00e9m est\u00e1 dispon\u00edvel a op\u00e7\u00e3o de sincroniza\u00e7\u00e3o de QoS com os operadores de telecomunica\u00e7\u00f5es, n\u00e3o apenas com base no campo L3 DSCP, mas tamb\u00e9m com base nos valores L2 CoS, que podem ser gerados automaticamente na rede filial por dispositivos especializados \u2014 por exemplo, telefones IP.<\/li>\n<\/ul>\n<\/p>\n
Quais s\u00e3o as diferen\u00e7as nas capacidades, formas de defini\u00e7\u00e3o e aplica\u00e7\u00e3o das pol\u00edticas AppQ?<\/h3>\n <\/p>\n
Pol\u00edticas DMVPN\/PfR:<\/h4>\n <\/p>\n
\nS\u00e3o definidas no(s) roteador(es) da filial central (CF) atrav\u00e9s da linha de comando CLI ou templates de configura\u00e7\u00e3o CLI. A forma\u00e7\u00e3o de templates CLI requer prepara\u00e7\u00e3o e conhecimento da sintaxe das pol\u00edticas.\n
Definidos globalmente sem possibilidade de personaliza\u00e7\u00e3o ou modifica\u00e7\u00e3o para atender \u00e0s demandas de segmentos espec\u00edficos da rede.<\/b><\/li>\nA forma\u00e7\u00e3o interativa de pol\u00edticas na interface gr\u00e1fica n\u00e3o \u00e9 prevista.<\/li>\n O rastreamento de altera\u00e7\u00f5es, heran\u00e7a e cria\u00e7\u00e3o de v\u00e1rias vers\u00f5es de pol\u00edticas para r\u00e1pida troca n\u00e3o \u00e9 previsto.<\/li>\n S\u00e3o automaticamente distribu\u00eddas para os roteadores de filiais remotas. Utilizam os mesmos canais de comunica\u00e7\u00e3o que para a transmiss\u00e3o de dados do usu\u00e1rio. Na aus\u00eancia de canal de comunica\u00e7\u00e3o entre a sede e a filial remota, a distribui\u00e7\u00e3o ou altera\u00e7\u00e3o de pol\u00edticas n\u00e3o \u00e9 poss\u00edvel.<\/li>\n Aplicadas em cada roteador e, se necess\u00e1rio, modificam o resultado dos protocolos de roteamento padr\u00e3o, tendo prioridade mais alta. <\/li>\n Para casos em que todos os canais WAN da filial sofrem perdas significativas de tr\u00e1fego, mecanismos de compensa\u00e7\u00e3o n\u00e3o s\u00e3o previstos.<\/b>.<\/li>\n<\/ul>\n <\/p>\n
Pol\u00edticas SD-WAN:<\/h4>\n <\/p>\n
\nDefinidas na interface gr\u00e1fica do vManage atrav\u00e9s de um assistente interativo de modelos.<\/li>\n Suportam a cria\u00e7\u00e3o de v\u00e1rias pol\u00edticas, c\u00f3pia, heran\u00e7a e troca entre pol\u00edticas em tempo real.<\/li>\n Suportam a configura\u00e7\u00e3o personalizada de pol\u00edticas para diferentes segmentos (filiais) da rede.<\/li>\n S\u00e3o distribu\u00eddas usando qualquer canal de sinaliza\u00e7\u00e3o dispon\u00edvel entre o controlador e o roteador e\/ou vSmart \u2013 n\u00e3o dependem diretamente da conectividade do plano de dados entre os roteadores. No entanto, \u00e9 necess\u00e1ria conectividade IP entre o roteador e os controladores.\n
Em casos em que todos os canais dispon\u00edveis da filial sofrem perdas significativas de dados acima dos limites aceit\u00e1veis para aplica\u00e7\u00f5es cr\u00edticas, podem ser utilizados mecanismos adicionais para melhorar a confiabilidade da transmiss\u00e3o:\n\nFEC (Corre\u00e7\u00e3o de Erros de Forma Direta)<\/b> \u2013 utiliza um algoritmo especial de codifica\u00e7\u00e3o redundante. Ao transmitir tr\u00e1fego cr\u00edtico sobre canais com uma porcentagem significativa de perdas, o FEC pode ser ativado automaticamente e permite, se necess\u00e1rio, recuperar a parte perdida dos dados. Isso aumenta levemente a largura de banda utilizada, mas melhora significativamente a confiabilidade.\n
Duplica\u00e7\u00e3o de fluxos de dados<\/b> Al\u00e9m da pol\u00edtica FEC, pode haver a duplica\u00e7\u00e3o autom\u00e1tica do tr\u00e1fego de aplicativos selecionados em caso de perdas ainda mais s\u00e9rias que n\u00e3o podem ser compensadas com FEC. Nesse caso, os dados selecionados ser\u00e3o transmitidos por todos os t\u00faneis em dire\u00e7\u00e3o \u00e0 filial receptora, seguida da deduplica\u00e7\u00e3o (remo\u00e7\u00e3o de c\u00f3pias excessivas de pacotes). O mecanismo aumenta consideravelmente a utiliza\u00e7\u00e3o dos canais, mas tamb\u00e9m eleva significativamente a confiabilidade da transmiss\u00e3o.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n <\/p>\n
Recursos do Cisco SD-WAN, sem \u0430\u043d\u0430\u043b\u043e\u0433 \u0448\u043e\u0432 \u0432 DMVPN\/PfR<\/h3>\n \nA arquitetura da solu\u00e7\u00e3o Cisco SD-WAN, em alguns casos, permite obter funcionalidades cuja implementa\u00e7\u00e3o no DMVPN\/PfR \u00e9 ou extremamente dif\u00edcil, ou n\u00e3o \u00e9 vi\u00e1vel devido ao trabalho necess\u00e1rio, ou mesmo imposs\u00edvel. Vamos considerar as mais interessantes delas:<\/p>\n
Engenharia de Tr\u00e1fego (TE)<\/h4>\n \nTE inclui mecanismos que permitem desviar o tr\u00e1fego do caminho padr\u00e3o, formado pelos protocolos de roteamento. TE \u00e9 frequentemente utilizado para garantir alta disponibilidade dos servi\u00e7os de rede, devido \u00e0 capacidade de rapidamente e\/ou previamente redirecionar tr\u00e1fego importante para um caminho alternativo (n\u00e3o cruzado), visando garantir melhor qualidade de servi\u00e7o ou velocidade de recupera\u00e7\u00e3o em caso de falha no caminho principal. <\/p>\n
A complexidade da implementa\u00e7\u00e3o de TE reside na necessidade de calcular e reservar antecipadamente (verificar) um caminho alternativo. Nas redes MPLS dos operadores de telecomunica\u00e7\u00f5es, essa tarefa \u00e9 resolvida utilizando tecnologias como Engenharia de Tr\u00e1fego MPLS com extens\u00f5es de protocolos IGP e do protocolo RSVP. Al\u00e9m disso, recentemente, a tecnologia de Roteamento por Segmento tem ganhado popularidade, sendo mais otimizada para configura\u00e7\u00e3o e orquestra\u00e7\u00e3o centralizadas. Em redes WAN cl\u00e1ssicas, essas tecnologias geralmente n\u00e3o est\u00e3o dispon\u00edveis ou s\u00e3o reduzidas ao uso de mecanismos hop-by-hop, como Roteamento Baseado em Pol\u00edticas (PBR), que s\u00e3o capazes de desviar o tr\u00e1fego, mas implementam isso em cada roteador individualmente - sem considerar o estado geral da rede ou o resultado do PBR em etapas anteriores ou subsequentes. O resultado da aplica\u00e7\u00e3o dessas op\u00e7\u00f5es de TE \u00e9 desanimador - o TE MPLS, devido \u00e0 complexidade de configura\u00e7\u00e3o e opera\u00e7\u00e3o, geralmente \u00e9 utilizado apenas na parte mais cr\u00edtica da rede (n\u00facleo), enquanto o PBR \u00e9 utilizado em roteadores isolados, sem a possibilidade de formar uma pol\u00edtica de PBR unificada em toda a rede. Obviamente, isso tamb\u00e9m se aplica a redes baseadas em DMVPN.<\/p>\n
Service-chaining <\/h4>\n \nA forma\u00e7\u00e3o de cadeias de servi\u00e7os \u00e9 uma tarefa ainda mais trabalhosa na rotea\u00e7\u00e3o cl\u00e1ssica do que o mecanismo de Engenharia de Tr\u00e1fego j\u00e1 descrito. Nesse caso, \u00e9 necess\u00e1rio n\u00e3o apenas criar uma rota especial para um determinado aplicativo de rede, mas tamb\u00e9m garantir a possibilidade de direcionar o tr\u00e1fego da rede em determinados (ou em todos) n\u00f3s da rede SD-WAN para processamento por um aplicativo ou servi\u00e7o espec\u00edfico (MPLS, Balanceamento, Cache, Inspe\u00e7\u00e3o de Tr\u00e1fego, etc.). \u00c9 preciso poder controlar o estado desses servi\u00e7os externos para evitar situa\u00e7\u00f5es de black-holing, al\u00e9m de mecanismos que permitam alocar esses servi\u00e7os externos homog\u00eaneos em diversas geo-localiza\u00e7\u00f5es, possibilitando que a rede escolha automaticamente o n\u00f3 de servi\u00e7o mais otimizado para o processamento do tr\u00e1fego de uma filial espec\u00edfica. No caso do Cisco SD-WAN, isso \u00e9 bastante f\u00e1cil de alcan\u00e7ar, criando uma pol\u00edtica centralizada correspondente que<\/p>\n
Qual \u00e9 o resultado?<\/h2>\n \n\u00c9 evidente que tanto o DMVPN (juntamente ou sem Performance Routing) quanto o Cisco SD-WAN resolvem, no final das contas, tarefas muito semelhantes<\/b> no que diz respeito \u00e0 rede WAN distribu\u00edda da organiza\u00e7\u00e3o. Com isso, as diferen\u00e7as arquitet\u00f4nicas e funcionais significativas da tecnologia Cisco SD-WAN elevam o processo de resolu\u00e7\u00e3o dessas tarefas a um n\u00edvel qualitativo diferente<\/b>. Resumindo, podemos observar as seguintes diferen\u00e7as significativas entre as tecnologias SD-WAN e DMVPN\/PfR:<\/p>\n\nO DMVPN\/PfR utiliza tecnologias comprovadas para a constru\u00e7\u00e3o de redes VPN sobrepostas, sendo semelhante, em parte, \u00e0 tecnologia SD-WAN mais moderna no que diz respeito ao data-plane. No entanto, existem algumas limita\u00e7\u00f5es com rela\u00e7\u00e3o \u00e0 configura\u00e7\u00e3o est\u00e1tica obrigat\u00f3ria dos roteadores, e a escolha de topologias \u00e9 restrita ao modelo Hub-n-Spoke. Por outro lado, o DMVPN\/PfR possui algumas funcionalidades que atualmente n\u00e3o est\u00e3o dispon\u00edveis no \u00e2mbito do SD-WAN (como o BFD por aplicativo).<\/li>\n Em termos de controle, as tecnologias diferem fundamentalmente. Com o processamento centralizado dos protocolos de sinaliza\u00e7\u00e3o, o SD-WAN permite, entre outras coisas, reduzir significativamente os dom\u00ednios de falha e \"desvincular\" o processo de transmiss\u00e3o do tr\u00e1fego do usu\u00e1rio da intera\u00e7\u00e3o de sinaliza\u00e7\u00e3o \u2013 a indisponibilidade tempor\u00e1ria dos controladores n\u00e3o afeta a capacidade de transmiss\u00e3o do tr\u00e1fego do usu\u00e1rio. Ao mesmo tempo, a indisponibilidade tempor\u00e1ria de qualquer filial (incluindo a central) n\u00e3o impacta a capacidade das demais filiais de interagir entre si e com os controladores.<\/li>\n A arquitetura de forma\u00e7\u00e3o e aplica\u00e7\u00e3o das pol\u00edticas de gest\u00e3o de tr\u00e1fego no caso do SD-WAN tamb\u00e9m supera a do DMVPN\/PfR \u2013 o geo-redund\u00e2ncia \u00e9 implementado de forma significativamente mais eficaz, n\u00e3o h\u00e1 depend\u00eancia do Hub e h\u00e1 mais op\u00e7\u00f5es para o ajuste fino das pol\u00edticas. Al\u00e9m disso, a lista de cen\u00e1rios de gest\u00e3o de tr\u00e1fego implement\u00e1veis \u00e9 muito mais extensa.<\/li>\n O processo de orquestra\u00e7\u00e3o da solu\u00e7\u00e3o tamb\u00e9m difere significativamente. O DMVPN pressup\u00f5e a exist\u00eancia de par\u00e2metros previamente conhecidos que devem ser de alguma forma refletidos na configura\u00e7\u00e3o, o que limita um pouco a flexibilidade da solu\u00e7\u00e3o e a possibilidade de mudan\u00e7as din\u00e2micas. Por outro lado, o SD-WAN parte da paradigma em que, no momento inicial da conex\u00e3o, o roteador \"n\u00e3o sabe nada\" sobre seus controladores, mas sabe \"quem pode perguntar\" \u2013 isso \u00e9 suficiente n\u00e3o apenas para o estabelecimento autom\u00e1tico de conex\u00e3o com os controladores, mas tamb\u00e9m para a forma\u00e7\u00e3o autom\u00e1tica de uma topologia de data-plane totalmente interconectada, que pode ent\u00e3o ser ajustada\/modificada de forma flex\u00edvel por meio de pol\u00edticas.<\/li>\n Na parte de gerenciamento centralizado, automa\u00e7\u00e3o e monitoramento, o SD-WAN supera as capacidades do DMVPN\/PfR, que s\u00e3o resultado da evolu\u00e7\u00e3o de tecnologias cl\u00e1ssicas e, em grande parte, dependem da linha de comando CLI e da aplica\u00e7\u00e3o de sistemas NMS baseados em templates. <\/li>\n Em compara\u00e7\u00e3o com o DMVPN, os requisitos de seguran\u00e7a no SD-WAN alcan\u00e7aram um novo n\u00edvel de qualidade. Os principais princ\u00edpios s\u00e3o: confian\u00e7a zero, escalabilidade e autentica\u00e7\u00e3o em duas etapas.<\/li>\n<\/ul>\n\nDesses simples insights, pode-se formar a impress\u00e3o errada de que a cria\u00e7\u00e3o de redes baseadas em DMVPN\/PfR perdeu a relev\u00e2ncia nos dias atuais. Claro que isso n\u00e3o \u00e9 exatamente verdade. Por exemplo, em casos onde a rede utiliza muitos equipamentos legados e n\u00e3o h\u00e1 possibilidade de substitu\u00ed-los, o DMVPN pode permitir integrar dispositivos \"antigos\" e \"novos\" em uma \u00fanica rede geograficamente distribu\u00edda com muitos dos benef\u00edcios mencionados acima.<\/p>\n
Por outro lado, \u00e9 importante lembrar que todos os roteadores corporativos Cisco atuais baseados em IOS XE (ISR 1000, ISR 4000, ASR 1000, CSR 1000v) hoje suportam qualquer modo de opera\u00e7\u00e3o \u2013 desde a rotea\u00e7\u00e3o cl\u00e1ssica at\u00e9 DMVPN e SD-WAN. A escolha \u00e9 determinada pelas necessidades atuais e pela compreens\u00e3o de que, a qualquer momento, na mesma infraestrutura, \u00e9 poss\u00edvel migrar para uma tecnologia mais avan\u00e7ada.<\/b>habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"\u0421 \u0430\u0432\u0433\u0443\u0441\u0442\u0430 2017 \u0433\u043e\u0434\u0430, \u043a\u043e\u0433\u0434\u0430 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cisco \u043f\u0440\u0438\u043e\u0431\u0440\u0435\u043b\u0430 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044e Viptela, \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u0435\u043c\u043e\u0439 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u0435\u0439 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438 \u0440\u0430\u0441\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u044b\u0445 \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u044b\u0445 \u0441\u0435\u0442\u0435\u0439 \u0441\u0442\u0430\u043b\u0430 Cisco SD-WAN. \u0417\u0430 \u043f\u0440\u043e\u0448\u0435\u0434\u0448\u0438\u0435 3 \u0433\u043e\u0434\u0430 SD-WAN \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f \u043f\u0440\u043e\u0448\u043b\u0430 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0439, \u043a\u0430\u043a \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0433\u043e, \u0442\u0430\u043a \u0438 \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0433\u043e \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u0430. \u0422\u0430\u043a \u0437\u043d\u0430\u0447\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0440\u0430\u0441\u0448\u0438\u0440\u0438\u043b\u0438\u0441\u044c \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u044b\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438 \u0438 \u043f\u043e\u044f\u0432\u0438\u043b\u0430\u0441\u044c \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0430 \u043d\u0430 \u043a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440\u0430\u0445 \u0441\u0435\u0440\u0438\u0439 Cisco ISR 1000, ISR 4000, ASR 1000 \u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":91349,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-91348","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t