Një stand që mund ta prekni te ne në laborator, nëse dëshironi.
SD-WAN dhe SD-Access janë dy qasje të ndryshme të reja proprietare për ndërtimin e rrjeteve. Në të ardhmen, ato duhet të bashkohen në një rrjet overlay, por për momentin po afromi vetëm. Logjika është e tillë: marrim rrjetin e shekullit të 1990 dhe e vendosim mbi të të gjitha patch-et dhe funksionalitetet e nevojshme, pa pritur që kjo të bëhet një standard i ri i hapur pas dhjetë vjetësh.
SD-WAN është një patch SDN për rrjetet e shpërndara korporative. Transporti është veçmas, kontrolli është veçmas, prandaj kontrolli lehtësohet.
Pikat pozitive - të gjitha kanalet e komunikimit përdoren aktivisht, përfshirë rezervat. Ka routing paketash deri te aplikacionet: çfarë, përmes cilit kanal dhe me cilin prioritet. Procesi i thjeshtuar i vendosjes së pikave të reja: në vend të instalimit të një konfigurations - vetëm të japim adresën e serverit Cisco në internetin e madh, në datacenterin KROK apo të klientit, nga ku merren konfigurimet pikërisht për rrjetin tuaj.
SD-Access (DNA) është automatizimi i menaxhimit të rrjetit lokal: konfigurimi nga një pikë, wizard-e, ndërfaqe të lehta për t'u përdorur. Në thelb, një rrjet tjetër me një transport të ndryshëm në nivelin e protokollit ndërtohet mbi të, dhe në kufijtë e perimetrit sigurohet përputhshmëria me rrjetet e vjetra.
Këtë do ta shpjegojmë më poshtë.
Tani pak demostrime në stendat më testuese në laboratorin tonë, si duket dhe funksionon.
Të fillojmë me SD-WAN. Mundësitë kryesore:
- Thjeshtimi i implementimit tĂ« pikave tĂ« reja (ZTP) â supozohet se ju ndonjĂ«herĂ« i jepni pikĂ«s adresĂ«n e serverit me konfigurimet. Pika lidhet me tĂ«, merr konfigurimin, e aplikon atĂ« dhe aktivizohet nĂ« panelin tuaj tĂ« kontrollit. KĂ«shtu sigurohet Zero-Touch Provisioning (ZTP). PĂ«r tĂ« instaluar njĂ« pajisje pĂ«rfundimtare, inxhinieri i rrjetit nuk ka nevojĂ« tĂ« shkojĂ« nĂ« vend. E rĂ«ndĂ«sishme Ă«shtĂ« qĂ« nĂ« vend tĂ« aktivizohet siç duhet pajisja dhe tĂ« lidhen tĂ« gjitha kabllot, mĂ« pas pajisja vetĂ« do tĂ« lidhĂ« me sistemin. Konfigurimet mund tĂ« ngarkohet pĂ«rmes kĂ«rkesave DNS nĂ« cloud-in e ofruesit nga njĂ« paisje USB e lidhur, ose mund tĂ« hapet njĂ« hiperlink nga njĂ« laptop i lidhur me pajisjen pĂ«rmes Wi-Fi ose Ethernet.
- ThjeshtĂ«simi i administratĂ«s rutinore tĂ« rrjetit â konfigurimi nga shabllone, politikat globale, tĂ« konfigurueshme qĂ«ndrorisht pĂ«r pesĂ« filiale apo deri nĂ« 5,000. TĂ« gjitha nga njĂ« vend tĂ« vetĂ«m. PĂ«r tĂ« shmangur rrugĂ«t e gjata â njĂ« opsion shumĂ« i dobishĂ«m pĂ«r rikthimin automatik nĂ« konfigurimin e mĂ«parshĂ«m.
- Menaxhimi i trafikĂ«ve nĂ« nivelin e aplikacioneve â siguria e cilĂ«sisĂ« dhe pĂ«rditĂ«simi i vazhdueshĂ«m i nĂ«nshkrimeve tĂ« aplikacioneve. Politikat konfigurohen dhe aplikohen qĂ«ndrorisht (nuk nevojitet shkruajtur dhe pĂ«rditĂ«suar hartat e rrugĂ«ve pĂ«r çdo router, si mĂ« parĂ«). Shikohet se kush, ku dhe çfarĂ« dĂ«rgon.
- Segmentimi i rrjetit. VPN tĂ« pavarura dhe tĂ« izoluara mbi tĂ«rĂ« infrastrukturĂ«n â secila me rrugĂ«zim tĂ« saj. MĂ« default, trafiku ndĂ«rmjet tyre Ă«shtĂ« i mbyllur, Ă«shtĂ« e mundur tĂ« hapen qasje vetĂ«m pĂ«r forma tĂ« kuptueshme tĂ« trafikĂ«ve nĂ« nyjet e kuptueshme tĂ« rrjetit, pĂ«r shembull, duke kaluar gjithçka pĂ«rmes njĂ« firewall tĂ« madh ose proxy.
- DukshmĂ«ria e historisĂ« sĂ« cilĂ«sisĂ« sĂ« punĂ«s sĂ« rrjetit â si kanĂ« punuar aplikacionet dhe kanalet. ShumĂ« e dobishme pĂ«r analizin dhe korrigjimin e situatĂ«s para se tĂ« fillojnĂ« tĂ« vijnĂ« ankesat nga pĂ«rdoruesit pĂ«r punĂ«n e paqĂ«ndrueshme tĂ« aplikacioneve.
- DukshmĂ«ria sipas kanaleve â a ia vlen çmimi i tyre, a vijnĂ« realisht dy operatorĂ« tĂ« ndryshĂ«m nĂ« objektin tuaj, apo ata kalojnĂ« nĂ« tĂ« vĂ«rtetĂ« pĂ«rmes tĂ« njĂ«jtit rrjet dhe degradohen/rĂ«zojnĂ« njĂ«kohĂ«sisht.
- Dukshmëria për aplikacionet në cloud dhe steering-trafikun përmes kanaleve të ndryshme në baza të saj (Cloud Onramp).
- NjĂ« pajisje pĂ«rmban njĂ« router dhe njĂ« firewall (mĂ« saktĂ«sisht, NGFW). MĂ« pak pajisje â mĂ« lirĂ« pĂ«r tĂ« vendosur njĂ« filial tĂ« ri.
Komponentët dhe arkitektura e zgjidhjeve SD-WAN.
Pajisjet pĂ«rfundimtare â WAN-router qĂ« janĂ« tĂ« harduerizuar dhe virtuale.
OrkestratorĂ«t â mjete pĂ«r menaxhimin e rrjetit. Aty vendosen parametrat e pajisjeve pĂ«rfundimtare, politikat e rrugĂ«zimit tĂ« trafikĂ«ve, funksionaliteti i sigurisĂ«. Krijohen konfigurime qĂ« dĂ«rgohen automatikisht pĂ«rmes rrjetit tĂ« kontrollit nĂ« nyjat. Paralelisht, orkestratori dĂ«gjon rrjetin dhe bĂ«n monitorimin â disponueshmĂ«rinĂ« e pajisjeve, porteve, kanaleve tĂ« komunikimit, ngarkesĂ«n e interface-ve.
Mjetet analitike. Kreu raporte mbi baza të dhënash të grumbulluara nga pajisjet përfundimtare: historinë e cilësisë së punës së kanaleve, aplikacioneve rrjetore, disponueshmërisë së nyjeve, etj.
Kontrollerët përgjegjës për aplikimin e politikave të ruter të trafikut në rrjet. Analogjia më e afërt me to në rrjetet tradicionale mund të quhet BGP Route Reflector. Politikat globale që administratori konfiguroni në orkestrator çojnë në ndryshimin e përmbajtjes së tabelave të rrugëve nga kontrollerët dhe shpërndarjen e informacionit të përditësuar në pajisjet finale.
ĂfarĂ« merr shĂ«rbimi IT nga SD-WAN:
- Kanal rezervë përdoret gjithmonë (nuk është i papunë). Bëhet më e lirë, pasi mund të lejojmë dy kanale më pak të shëndosha.
- Kalim automatik i trafikut të aplikacioneve midis kanaleve.
- Koha e administratorit: mund të zhvilloni rrjetin globalisht, në vend që të lëvizni për çdo pajisje me konfigurime.
- Shpejtësia e ngritjes së degëve të reja. Ajo është shumë më e lartë.
- Më pak ndaljesh për kohë zëvendësimi të pajisjeve të vdekura.
- Rikornizim të shpejtë të rrjetit për shërbime të reja.
ĂfarĂ« merr biznesi nga SD-WAN:
- Punë e garantuar e aplikacioneve të biznesit në rrjet të shpërndarë, përfshirë përmes kanaleve të hapura të internetit. Kjo ka të bëjë me parashikueshmërinë e biznesit.
- Mbështetje të menjëhershme për aplikacionet e reja të biznesit në të gjithë rrjetin e shpërndarë pavarësisht nga numri i degëve. Kjo ka të bëjë me shpejtësinë e biznesit.
- Koneksion të shpejtë dhe të sigurt të degëve në çdo lokacion të largët duke përdorur çdo teknologji lidhëse (Internet ka kudo, ndërsa linjat e dedikuara dhe VPN nuk janë gjithmonë të pranishme). Kjo ka të bëjë me fleksibilitetin e biznesit në zgjedhjen e lokacionit.
- Kjo mund të jetë një projekt me dorëzim dhe vendosje, ose mund të jetë një shërbim
me pagesa mujore nga kompania IT, operatori i komunikimeve ose operatori i cloud. Siç e do secili më mirë.
Përfitimet e biznesit nga SD-WAN mund të jenë krejtësisht të ndryshme, për shembull, një klient na tha se një menaxher i lartë kishte kërkuar për të organizuar një linjë të drejtpërdrejtë me të gjithë punonjësit e një kompanie shumë të madhe dhe mundësinë e shpërndarjes së përmbajtjes.
Për ne ishte një "operacion ushtarak". Në atë moment ne ishim duke zgjidhur problemin e modernizimit të KSPD. Dhe kur kuptojmë se në parim duhet të merremi me rinovimin e pajisjeve, ndërsa stoku teknologjik është avancuar, përse të merremi me rinovimin e teknologjive dhe shërbimeve të njëjta, nëse mund të hedhim një hap më tej.
SD-WAN instalohet nĂ« vend nga forcat e enikejve. Kjo Ă«shtĂ« e rĂ«ndĂ«sishme pĂ«r degĂ«t e largĂ«ta, ku mund tĂ« mos ketĂ« njĂ« administrator tĂ« mirĂ«. DĂ«rgoni me postĂ«, thoni: "Kabulli 1 futet nĂ« kutinĂ« 1, kabulli 2 - nĂ« kutinĂ« 2, dhe mos i ngatĂ«rroni! Mos i ngatĂ«rroni, #@$@%!". Dhe nĂ«se ata nuk i ngatĂ«rrojnĂ«, pajisja lidhet automatikisht me serverin qendror, merr dhe zbaton konfigurimet e saj, dhe kjo zyrĂ« bĂ«het pjesĂ« e rrjetit tĂ« sigurt tĂ« kompanisĂ«. ĂshtĂ« kĂ«naqĂ«si kur nuk Ă«shtĂ« e nevojshme tĂ« udhĂ«tosh dhe Ă«shtĂ« e lehtĂ« tĂ« justifikosh nĂ« buxhet.
Ja skema e stendës:
Pak shembuj konfigurimi:
Politika - rregullat globale për menaxhimin e trafikut. Redaktimi i politikës.
Aktivizimi i politikës për menaxhimin e trafikut.
Konfigurimi masiv i parametrave të përgjithshëm të pajisjeve (adresa IP, grupe DHCP).
Screenshot-et e monitorimit të performancës së aplikacioneve
Për aplikacionet në re.
Në detaje për Office365.
Për aplikacionet në vend. Fatkeqësisht, në stendën tonë nuk arritëm të gjenim aplikacione me gabime (FEC Recovery rate kudo është zero).
Për më tepër - performanca e kanaleve të transmetimit të të dhënave.
Cilat pajisje mbështeten në SD-WAN
1. Platformat harduerike:
- Ruterët Cisco vEdge (emri i mëparshëm - Viptela vEdge), që punojnë nën sistemin operativ Viptela.
- Ruterët e Integruar të Shërbimeve (ISR) seritë 1 000 dhe 4 000, që punojnë nën IOS XE SD-WAN.
- Ruterët Aggregation Services Router (ASR) seria 1 000, që punojnë nën IOS XE SD-WAN.
2. Platformat virtuale:
- Ruterët Cloud Services Router (CSR) 1 000v, që punojnë nën IOS XE SD-WAN.
- Ruterët vEdge Cloud Router, që punojnë nën sistemin operativ Viptela.
Platformat virtuale mund të vendosen në platforma llogaritushe Cisco x86, siç janë Enterprise Network Compute System (ENCS) seria 5 000, Unified Computing System (UCS) dhe Cloud Services Platform (CSP) seria 5 000. Platformat virtuale mund të punojnë gjithashtu në çdo pajisje x86 që përdor një hipervizor, të tillë si KVM ose VMware ESi.
Si instalohet një pajisje e re
Lista e pajisjeve të licencuara për vendosje shkarkohet ose nga llogaria smart në Cisco, ose ngarkohet si një skedar CSV. Më shumë screenshot-e do të përpiqem të marr më vonë, tani nuk kemi pajisje të reja për vendosje.
Sekuenca e hapave përmes të cilave kalon pajisja gjatë vendosjes.
Si instalohet një pajisje e re / mënyra e dorëzimit të konfigurimit
Regjistrimi i pajisjeve në Smart Account.
Mund të ngarkohet një skedar CSV, ose një nga një:
Plotësojmë parametrat e pajisjes:
Pastaj në vManage sinkronizojmë të dhënat me Smart Account. Pajisja shfaqet në listë:
Në menunë e rënë përballë pajisjes klikojmë Generate Bootstrap Configuration
dhe marim konfigurimin fillestar:
Ky konfiguruar duhet t'i jepet pajisjes. Mënyra më e thjeshtë është të lidhni një flash drive me skedarin e ruajtur me emrin ciscosd-wan.cfg. Gjatë ngarkimit, pajisja do të kërkojë këtë skedar.
Pas marrjes së konfigurimit fillestar, pajisja do të mund të arrijë orkestratorin dhe të marrë prej tij një konfigurim të plotë.
Shikojmë SD-Access (DNA)
SD-Access thjeshton konfigurimin e porteve dhe të drejtave të aksesit për lidhjen e përdoruesve. Kjo bëhet përmes wizard-ëve. Parametrat e porteve përcaktohen në lidhje me grupe si "Administratoret", "Kontabiliteti", "Shkarkuesit", dhe jo me VLAN dhe nënrrjetat IP. Kjo minimizon gabimet e shkaktuara nga faktori njerëzor. Nëse, për shembull, një kompanie i ka shumë degë në Rusi, dhe zyra qendrore është e mbingarkuar, atëherë SD-Access lejon zgjidhjen e më shumë problemeve në vend. Për shembull, po këto probleme të trajtimit të problemeve.
Për Sigurinë e Informacionit, është e rëndësishme që SD-Access parashikon një ndarje të qartë të përdoruesve dhe pajisjeve në grupe dhe përcaktimin e politikave të bashkëveprimit mes tyre, autorizimin për çdo lidhje klienti me rrjetin dhe sigurimin e "të drejtave të aksesit" në të gjithë rrjetin. Nëse ndiqet një qasje e tillë, administrimi bëhet shumë më i lehtë.
Procesi i nisjes për zyrat e reja gjithashtu është thjeshtuar falë agjentëve Plug-and-Play në switch-a. Nuk është e nevojshme të shëtitni me një konsolë nëpër kryqëzime, e as të dilni për në objekt.
Ja disa shembuj të konfigurimit:
Statusi i përgjithshëm.
Incidentet që administratorët duhet t'i shqyrtojnë.
Rekomandime automatike për atë që duhet ndryshuar në konfigurime.
Plani për integrimin e SD-WAN me SD-Access
Kam dĂ«gjuar se ka kĂ«toplane nĂ« Cisco â SD-WAN dhe SD-Access. Kjo duhet tĂ« zvogĂ«lojĂ« ndjeshĂ«m problemet nĂ« menaxhimin e SD-WAN dhe KSPDN-ve tĂ« shpĂ«rndara gjeografikisht dhe atyre lokale.
vManage (orkestratori SD-WAN) menaxhohet përmes API nga DNA Center (kontrolluesi SD-Access).
Politikat e mikro- dhe makro-segmentimit përputhen në këtë mënyrë:
Në nivelin e paketave, gjithçka duket kështu:
Kush dhe çfarë mendon për këtë
Ne jemi duke u marrë me SD-WAN që nga viti 2016 në një laborator të veçantë, ku testojmë mundësi të ndryshme zgjidhjesh për nevojat e shitjeve me pakicë, bankave, transportit dhe industri.
Flasim shumë me klientë realë.
Mund të them se shitja me pakicë tashmë po teston me siguri SD-WAN, disa e bëjnë këtë me ofruesit (më shpesh me Cisco), por ka edhe ata që përpiqen ta zgjidhin problemin vetë: krijojnë versionin e tyre të softuerit, që funksionalisht i ngjan SD-WAN.
TĂ« gjithĂ«, ndoshta, dĂ«shirojnĂ« tĂ« arrijnĂ« menaxhimin e centralizuar tĂ« gjithĂ« pajisjeve tĂ« ndryshme. Kjo Ă«shtĂ« njĂ« pikĂ« administrimi pĂ«r instalimet jo standarde dhe ato standarde pĂ«r ofrues tĂ« ndryshĂ«m dhe teknologji tĂ« ndryshme. ĂshtĂ« e rĂ«ndĂ«sishme tĂ« minimalizosh punĂ«n manuale, sepse, nga njĂ«ra anĂ«, zvogĂ«lon rrezikun e faktorĂ«ve njerĂ«zorĂ« gjatĂ« konfigurimit tĂ« pajisjeve, dhe nga ana tjetĂ«r, çliron burimet e IT nĂ« zgjidhjen e detyrave tĂ« tjera. Zakonisht, kuptimi i nevojĂ«s vijon nga ciklet shumĂ« tĂ« gjata tĂ« pĂ«rditĂ«simit nĂ« tĂ« gjithĂ« vendin. Dhe, pĂ«r shembull, nĂ«se shitja me pakicĂ« merret me alkool, i nevojitet lidhje e vazhdueshme pĂ«r shitjet. PĂ«rditĂ«simi ose pezullimi gjatĂ« ditĂ«s ka njĂ« ndikim direkt nĂ« tĂ« ardhurat.
Tani, në shitjen me pakicë, është formuar qartë kuptimi se për cilat detyra IT do të përdorë SD-WAN:
- Zhvillimi i shpejtë ( shpesh nevojitet në LTE deri sa të vijë ofruesi i kabllit, shpesh nevojitet që pika e re të ngrihej nga administratori në qytet përmes GPH, dhe pastaj qendra thjesht vështron dhe konfiguron).
- Menaxhim i centralizuar, lidhje për objektet ndërkombëtare.
- Reduktimi i kostove të telekomit.
- Shërbime shtesë të ndryshme (Karakteristikat DPI ofrojnë mundësinë për të çuar përparësi trafikut nga aplikacionet e rëndësishme si ato të arkëtimit).
- Puna me kanalet automatikisht, e jo manualisht.
Dhe ka gjithashtu një kontroll për përputhshmërinë - të gjithë flasin për të, por askush nuk e sheh si një problem. Mbështetje e asaj që gjithçka punon siç duhet gjithashtu funksionon në këtë paradigëm. Shumë mendojnë se çdo treg do të lëvizë në këtë drejtim në tërësi.
Bankat, sipas mendimit tim, për momentin po testojnë SD-WAN si një tipar të ri teknologjik. Po presin përfundimin e mbështetjes për brezat e mëparshëm të pajisjeve dhe vetëm atëherë do të ndryshojnë. Bankat kanë një atmosferë të veçantë për kanalet e komunikimit, kështu që gjendja aktuale e industrisë nuk i shqetëson shumë. Problemet më shumë qëndrojnë në fusha të tjera.
Në krahasim me tregun rus, në Evropë SD-WAN po implementohet aktivisht. Ata kanë kanale komunikimi më të shtrenjta, dhe prandaj kompanitë evropiane sjellin paketën e tyre në degët ruse. Në Rusi ka një stabilitet të caktuar, sepse kostoja e kanaleve (edhe kur rajoni është 25 herë më e shtrenjtë se qendra) duket mjaft normale dhe nuk ngre shqetësime. Nga viti në vit, buxheti për kanalet e komunikimit planifikohet pa përjashtim.
Ja një shembull nga praktika globale, kur një kompani përmes SD-WAN në Cisco kurseu kohë dhe para.
Ka njĂ« kompani â National Instruments. NĂ« njĂ« moment tĂ« caktuar ata filluan tĂ« kuptonin se rrjeti global i llogaritjes, "i marrĂ«" si rezultat i bashkimit tĂ« 88 pika tĂ« ndryshme nĂ« tĂ« gjithĂ« botĂ«n, ishte joefektiv. PĂ«rveç kĂ«saj, kompanisĂ« i mungonte kapaciteti dhe performanca e nevojshme. Nuk kishte njĂ« balancĂ« midis rritjes sĂ« vazhdueshme tĂ« kompanisĂ« dhe buxhetit tĂ« kufizuar tĂ« TI.
SD-WAN ndihmoi National Instruments të reduktonte shpenzimet për MPLS me 25% (kursim prej 450,000 dollarësh në përfundim të vitit 2018), duke zgjeruar gjerësinë e bandës me 3,075%.
Pas implementimit tĂ« SD-WAN, kompania mori njĂ« rrjet tĂ« zgjuar tĂ« programuar dhe menaxhim tĂ« centralizuar tĂ« politikave pĂ«r tĂ« optimizuar automatikisht trafikun dhe performancĂ«n e aplikacioneve. â rast i detajuar.
njĂ« rast krejt pĂ«r tĂ« çmendur pĂ«r zhvendosjen e S7 nĂ« njĂ« zyrĂ« tjetĂ«r, kur fillimisht gjithçka filloi e vĂ«shtirĂ«, por interesante â duhej tĂ« riparoheshin 1,500 portet. Pastaj ndodhi diçka e papritur dhe pĂ«rfundimisht administratorĂ«t u gjendĂ«n si ata tĂ« fundit pĂ«rpara afatit, mbi tĂ« cilĂ«t ra çdo vonesĂ« e akumuluar.
Lexoni më shumë në anglisht:
- .
- .
- .
- .
- Por në trendet e rrjeteve në botë.
NĂ« rusisht:
- .
- .
- .
- .
- E-maili im, nëse keni ndonjë pyetje ose dëshironi të testoni detyrat tuaja në stendën tonë, është mkazakov@croc.ru.
Burimi: habr.com
