Hier sollten Sie sofort reservieren, dass DMVPN zusammen mit PfR vor dem Erscheinen von SD-WAN im Cisco-Portfolio einen wichtigen Bestandteil der Cisco IWAN- Architektur (Intelligent WAN) darstellteDies war wiederum der Vorgänger der vollwertigen SD-WAN-Technologie. Trotz der allgemeinen Ähnlichkeit sowohl der zu lösenden Probleme als auch der Methoden zu ihrer Lösung hat IWAN nicht den für SD-WAN erforderlichen Automatisierungsgrad, die Flexibilität und die Skalierbarkeit erhalten, und im Laufe der Zeit hat die Entwicklung von IWAN erheblich abgenommen. Gleichzeitig sind die Technologien, aus denen sich das IWAN zusammensetzt, nirgendwo hingegangen, und viele Kunden setzen sie weiterhin erfolgreich ein, auch bei modernen Geräten. Infolgedessen entwickelte sich eine interessante Situation: Mit derselben Cisco-Ausrüstung können Sie die am besten geeignete WAN-Technologie (klassisch, DMVPN + PfR oder SD-WAN) entsprechend den Anforderungen und Erwartungen der Kunden auswählen.
Der Artikel beabsichtigt nicht, alle Funktionen der Cisco SD-WAN- und DMVPN-Technologien (mit oder ohne Performance Routing) im Detail zu analysieren. Dafür steht eine große Menge verfügbarer Dokumente und Materialien zur Verfügung. Die Hauptaufgabe besteht darin, die wichtigsten Unterschiede zwischen diesen Technologien zu bewerten. Bevor wir uns jedoch mit diesen Unterschieden befassen, wollen wir uns kurz an die Technologien selbst erinnern.
Was ist Cisco DMVPN und warum wird es benötigt?
Cisco DMVPN löst das Problem der dynamischen (= skalierbaren) Verbindung eines Remote-Filialnetzwerks mit dem Netzwerk der Zentrale eines Unternehmens unter Verwendung beliebiger Arten von Kommunikationskanälen, einschließlich des Internets (= mit Verschlüsselung des Kommunikationskanals). Technisch wird dies erreicht, indem ein virtualisiertes O3-Overlay-VPN im Punkt-zu-Mehrpunkt-Modus mit einer logischen Topologie vom Typ "Star" (Hub-n-Spoke) erstellt wird. Zu diesem Zweck verwendet DMVPN eine Kombination der folgenden Technologien:
- IP-Routing
- Mehrpunkt-GRE-Tunnel (mGRE)
- Next Hop Resolution Protocol (NHRP)
- IPSec-Kryptoprofile
Was sind die Hauptvorteile von Cisco DMVPN im Vergleich zum klassischen Routing mit MPLS-VPN-Kanälen?
- – , IP- , ( ) ( )
- . – , – ( )
- IP- . mGRE , . , .
Cisco Performance Routing ?
Bei der Verwendung von DMVPN im branchenübergreifenden Netzwerk bleibt eine äußerst wichtige Frage ungelöst: Wie kann der Status jedes DMVPN-Tunnels dynamisch bewertet werden, um die für unser Unternehmen wichtigen Verkehrsanforderungen zu erfüllen, und auf der Grundlage dieser Bewertung kann dynamisch eine Umleitungsentscheidung getroffen werden? Tatsache ist, dass sich DMVPN in diesem Teil nicht wesentlich vom klassischen Routing unterscheidet. Am besten konfigurieren Sie QoS-Mechanismen, die den Verkehr in ausgehender Richtung priorisieren, aber in keiner Weise den Status des gesamten Pfads zu dem einen oder anderen Zeitpunkt berücksichtigen können.
Und was tun, wenn sich der Kanal teilweise, aber nicht vollständig verschlechtert - wie erkennt und bewertet er ihn? DMVPN selbst kann dies nicht. In Anbetracht der Tatsache, dass die Kanäle, die Zweigstellen verbinden, mit völlig unterschiedlichen Technologien völlig unterschiedliche Telekommunikationsbetreiber passieren können, ist diese Aufgabe äußerst trivial. Und hier kommt die Cisco Performance Routing-Technologie zum Einsatz, die zu diesem Zeitpunkt bereits mehrere Entwicklungsstufen durchlaufen hatte.
Die Aufgabe von Cisco Performance Routing (im Folgenden: PfR) besteht darin, den Status der Pfade (Tunnel) des Datenverkehrs anhand der für Netzwerkanwendungen wichtigen Schlüsselmetriken zu messen - Latenz, Verzögerungsschwankungen (Jitter) und Paketverlust (in Prozent).... Zusätzlich kann die verwendete Bandbreite gemessen werden. Diese Messungen finden so zeitnah wie möglich statt und sind gerechtfertigt. Das Ergebnis dieser Messungen ermöglicht es einem Router, der PfR verwendet, dynamisch Entscheidungen über die Notwendigkeit zu treffen, das Routing eines bestimmten Verkehrstyps zu ändern.
Somit kann das Problem der Kombination von DMVPN / PfR kurz wie folgt beschrieben werden:
- Ermöglichen Sie dem Kunden, alle Kommunikationskanäle im WAN-Netzwerk zu verwenden
- Stellen Sie die höchstmögliche Qualität kritischer Anwendungen auf diesen Kanälen sicher
Was ist Cisco SD-WAN?
Cisco SD-WAN ist eine Technologie, die einen SDN-Ansatz verwendet, um das WAN eines Unternehmens aufzubauen und zu betreiben. Dies bedeutet insbesondere den Einsatz von sogenannten Controllern (Softwareelementen), die eine zentralisierte Orchestrierung und automatisierte Konfiguration aller Lösungskomponenten ermöglichen. Im Gegensatz zum kanonischen SDN (Clean Slate-Stil) verwendet Cisco SD-WAN mehrere Arten von Controllern gleichzeitig, von denen jeder seine eigene Rolle spielt. Dies geschieht absichtlich, um eine bessere Skalierbarkeit und Georedundanz zu gewährleisten.
Im Fall von SD-WAN bleibt die Aufgabe, alle Arten von Kanälen zu nutzen und den Betrieb von Geschäftsanwendungen sicherzustellen, gleichzeitig steigen die Anforderungen an Automatisierung, Skalierbarkeit, Sicherheit und Flexibilität eines solchen Netzwerks.
Diskussion der Unterschiede
Wenn wir nun beginnen, die Unterschiede zwischen diesen Technologien zu analysieren, fallen sie in eine der Kategorien:
- Architekturunterschiede - Wie sind die Funktionen auf die verschiedenen Komponenten der Lösung verteilt, wie ist das Zusammenspiel dieser Komponenten organisiert und wie wirkt sich dies auf die Fähigkeiten und die Flexibilität der Technologie aus?
- Funktionalität - was kann eine Technologie, eine andere nicht? Und ist es so wichtig?
Was sind die architektonischen Unterschiede und sind sie wirklich wichtig?
Jede der bezeichneten Technologien hat viele "bewegliche Teile", die sich nicht nur in ihrer Rolle, sondern auch in den Prinzipien der Interaktion miteinander unterscheiden. Die Skalierbarkeit, Fehlertoleranz und Gesamteffizienz der Lösung hängen direkt davon ab, wie gut diese Prinzipien und die allgemeine Mechanik der Lösung durchdacht sind.
Lassen Sie uns verschiedene Aspekte der Architektur genauer betrachten:
Die Datenebene ist Teil der Lösung, die für die Übertragung des Benutzerverkehrs zwischen der Quelle und dem Ziel verantwortlich ist. In DMVPN und SD-WAN ist die Implementierung auf den Routern selbst, die auf Multipoint-GRE-Tunneln basieren, im Allgemeinen dieselbe. Der Unterschied besteht darin, wie der erforderliche Parametersatz für diese Tunnel gebildet wird:
- DMVPN/PfR – «» Hub-n-Spoke. Hub Spoke Hub, NHRP data-plane . , Hub, , / WAN- .
- In SD-WAN handelt es sich um ein vollständig dynamisches Modell zum Erkennen der Parameter etablierter Tunnel auf der Grundlage der Steuerebene (OMP-Protokoll) und der Orchestrierungsebene (Interaktion mit dem vBond-Controller für Controller-Erkennung und NAT-Durchquerungsaufgaben). In diesem Fall können die überlagerten Topologien beliebig sein, einschließlich hierarchischer Topologien. Innerhalb der etablierten überlagerten Tunneltopologie ist eine flexible Konfiguration der logischen Topologie in jedem einzelnen VPN (VRF) möglich.
Steuerebene - Funktionen des Austauschs, Filterns und Änderns von Routing und anderen Informationen zwischen Lösungskomponenten.
- DMVPN/PfR – Hub Spoke. Spoke . , Hub control-plane data-plane, Hub , .
- In SD-WAN - die Steuerebene wird niemals direkt zwischen Routern ausgeführt - basiert die Interaktion auf dem OMP-Protokoll und wird notwendigerweise über einen separaten speziellen Typ von vSmart-Controller ausgeführt, der die Möglichkeit des Ausgleichs, der Georedundanz und der zentralen Steuerung der Signalisierungslast bietet. Ein weiteres Merkmal des OMP-Protokolls ist sein erheblicher Widerstand gegen Verluste und seine Unabhängigkeit von der Geschwindigkeit des Kommunikationskanals mit den Steuerungen (natürlich innerhalb angemessener Grenzen). Dies ist gleichermaßen erfolgreich beim Hosten von SD-WAN-Controllern in öffentlichen oder privaten Clouds mit Internetzugang.
Richtlinienebene - Der Teil der Lösung, der für die Definition, Verteilung und Durchsetzung von Verkehrssteuerungsrichtlinien in einem WAN verantwortlich ist.
- DMVPN – (QoS), CLI Prime Infrastructure.
- DMVPN/PfR – PfR Master Controller (MC) CLI MC. , data-plane. , . IP- Hub Spoke. MC DMVPN . ( ) Prime Infrastructure . — – .
- SD-WAN – Cisco vManage ( ). vSmart ( ). data-plane , .. .
– , – , , ..
Orchestrierungsebene - Mechanismen, mit denen Komponenten sich dynamisch erkennen, nachfolgende Interaktionen konfigurieren und koordinieren können.
- In DMVPN / PfR basiert die gegenseitige Erkennung durch Router auf der statischen Konfiguration von Hub-Geräten und der entsprechenden Konfiguration von Spoke-Geräten. Die dynamische Erkennung erfolgt nur für Spoke, das seine Hub-Verbindungsparameter an das Gerät übermittelt, das wiederum in der Spoke-Konfiguration vorkonfiguriert ist. Ohne IP-Konnektivität kann ein Spoke mit mindestens einem Hub weder eine Datenebene noch eine Steuerebene bilden.
- SD-WAN vBond, ( vManage/vSmart) IP-.
– - vBond. – ( ) vBond, vBond vManage vSmart ( ), .
Im nächsten Schritt lernt der neue Router über den OMP-Austausch mit dem vSmart-Controller die restlichen Router im Netzwerk kennen. Somit kann der Router, der zunächst überhaupt nichts über die Netzwerkparameter weiß, die Steuerungen vollautomatisch erkennen und eine Verbindung zu ihnen herstellen und dann auch automatisch die Verbindung mit anderen Routern erkennen und herstellen. Gleichzeitig sind die Verbindungsparameter aller Komponenten zunächst unbekannt und können sich während des Betriebs ändern.
Die Managementebene ist Teil der Lösung, die eine zentrale Verwaltung und Überwachung ermöglicht.
- DMVPN/PfR – management-plane . , Cisco Prime Infrastructure. CLI. API .
- SD-WAN – vManage. vManage, REST API.
SD-WAN vManage – (Device Template) , . vManage, , / , .
vManage Cisco SD-WAN, DPI .
, ( ) CLI, . ( ) , – vManage.
Integrierte Sicherheit - hier sollten wir nicht nur über den Schutz von Benutzerdaten bei der Übertragung über offene Kanäle sprechen, sondern auch über die Gesamtsicherheit des WAN-Netzwerks basierend auf der ausgewählten Technologie.
- DMVPN/PfR . , IPS/IDS. VRF. () .
- – .. , , . - SD-WAN DMVPN , L3/VRF (, IPS/IDS, URL-, DNS-, AMP/TG, SASE, TLS/SSL proxy ..). vSmart ( ), , DTLS/TLS . .
(-, ) DTLS/TLS. /. / SD-WAN :
- «» .
SD-WAN DMVPN/PfR
Bei der Erörterung der funktionalen Unterschiede sollte angemerkt werden, dass viele von ihnen eine Fortsetzung der architektonischen Unterschiede sind. Es ist kein Geheimnis, dass Entwickler bei der Gestaltung der Architektur einer Lösung von den Fähigkeiten ausgehen, die sie am Ende erhalten möchten. Betrachten wir die wichtigsten Unterschiede zwischen den beiden Technologien.
AppQ (Application Quality) - Funktionen zur Sicherstellung der Qualität der Verkehrsübertragung von Geschäftsanwendungen
Die Schlüsselfunktionen dieser Technologien zielen darauf ab, die Benutzererfahrung bei Verwendung geschäftskritischer Anwendungen in einem verteilten Netzwerk so weit wie möglich zu verbessern. Dies ist besonders wichtig in einer Umgebung, in der ein Teil der Infrastruktur nicht von der IT kontrolliert wird oder sogar keine erfolgreiche Datenübertragung garantiert.
DMVPN bietet solche Mechanismen nicht für sich. Das Beste, was in einem klassischen DMVPN-Netzwerk getan werden kann, ist, den ausgehenden Verkehr nach Anwendung zu klassifizieren und ihn in Richtung der WAN-Verbindung zu priorisieren. Die Wahl eines DMVPN-Tunnels hängt in diesem Fall nur von seiner Verfügbarkeit und dem Ergebnis der Routing-Protokolle ab. Gleichzeitig werden der End-to-End-Zustand des Pfads / Tunnels und seine mögliche teilweise Verschlechterung unter dem Gesichtspunkt der für Netzwerkanwendungen wichtigen Schlüsselmetriken - Verzögerung, Verzögerungsvariation (Jitter) und Verlust (%) - nicht berücksichtigt. In dieser Hinsicht ist es nicht sinnvoll, das klassische DMVPN direkt mit SD-WAN zu vergleichen, um AppQ-Probleme zu lösen - DMVPN kann dieses Problem nicht lösen. Wenn diesem Kontext die PfR-Technologie (Cisco Performance Routing) hinzugefügt wird, ändert sich die Situation und der Vergleich mit Cisco SD-WAN wird angemessener.
Bevor wir mit der Erörterung der Unterschiede fortfahren, finden Sie hier eine kurze Zusammenfassung der Ähnlichkeit der Technologien. Also, beide Technologien:
- über einen Mechanismus verfügen, mit dem Sie den Status jedes eingerichteten Tunnels im Kontext bestimmter Metriken dynamisch bewerten können - zumindest Verzögerung, Verzögerungsvariation und Paketverlust (%)
- Verwenden Sie eine Reihe von Tools für die Bildung, Verteilung und Anwendung von Verkehrssteuerungsregeln (Richtlinien), wobei Sie das Ergebnis der Messung des Status der wichtigsten Metriken von Tunneln berücksichtigen.
- klassifiziert den Anwendungsverkehr auf L3-L4-Schichten (DSCP) des OSI-Modells oder L7-Anwendungssignaturen basierend auf den im Router integrierten DPI-Mechanismen
- Ermöglichen Sie wichtigen Anwendungen, akzeptable Schwellenwerte für Metriken zu definieren, standardmäßig Regeln für die Verkehrsübertragung und Regeln für die Umleitung von Verkehr, wenn die Schwellenwerte überschritten werden.
- GRE/IPSec DSCP GRE/IPSEC , QoS ( SLA).
SD-WAN DMVPN/PfR?
DMVPN/PfR
- , (Probes). — , ( ).
- – .
- . DMVPN/PfR .
- PfR TCA (Threshold Crossing Alert) , , , TCA-. , .
SD-WAN
- BFD echo-. TCA – . .
- BFD .
- BFD . . WAN- MPLS L2/L3 VPN QoS SLA — DSCP- BFD ( IPSec/GRE) , . BFD - . Cisco SD-WAN BFD, BFD DSCP- ( ).
- BFD , . SD-WAN , MTU TCP MSS Adjust, .
- SD-WAN QoS L3 DSCP , L2 CoS , — , IP-
, AppQ ?
DMVPN/PfR:
- (-) () CLI CLI- . CLI- .
- / .
- .
- , , .
- . , . / .
- , .
- , WAN- , .
SD-WAN:
- vManage .
- , , , .
- ()
- , / vSmart – data-plane . IP- .
- , , , , :
- FEC (Forward Error Correction) – . , FEC . , .
- Duplizieren von Datenströmen - Zusätzlich zu FEC kann die Richtlinie eine automatische Duplizierung des Datenverkehrs ausgewählter Anwendungen für den Fall eines noch schwerwiegenderen Verlusts vorsehen, der durch die Verwendung von FEC nicht kompensiert werden kann. In diesem Fall werden die ausgewählten Daten durch alle Tunnel zum empfangenden Zweig mit anschließender Deduplizierung übertragen (unnötige Kopien von Paketen werden verworfen). Der Mechanismus erhöht die Kanalauslastung erheblich, erhöht aber auch die Übertragungszuverlässigkeit erheblich.
- FEC (Forward Error Correction) – . , FEC . , .
Cisco SD-WAN-Funktionen, keine direkten Analoga in DMVPN / PfR
In einigen Fällen bietet Ihnen die Architektur der Cisco SD-WAN-Lösung Möglichkeiten, deren Implementierung im Rahmen von DMVPN / PfR entweder äußerst schwierig oder aufgrund der erforderlichen Arbeitskosten unpraktisch oder völlig unmöglich ist. Betrachten wir die interessantesten von ihnen:
Verkehrstechnik (TE)
TE enthält Mechanismen, mit denen der Verkehr von dem durch Routing-Protokolle gebildeten Standardpfad umgeleitet werden kann. TE wird häufig verwendet, um eine hohe Verfügbarkeit von Netzwerkdiensten bereitzustellen, da wichtiger Verkehr schnell und / oder auf einen alternativen (nicht überlappenden) Übertragungspfad weitergeleitet werden kann, um im Falle eines Ausfalls auf dem Hauptpfad eine bessere Dienstqualität oder Geschwindigkeit seiner Wiederherstellung bereitzustellen.
Die Komplexität der TE-Implementierung liegt in der Notwendigkeit, einen alternativen Pfad im Voraus zu berechnen und zu reservieren (zu überprüfen). In MPLS-Netzen von Telekommunikationsbetreibern wird dieses Problem mithilfe von Technologien wie MPLS Traffic-Engineering mit Erweiterungen der IGP-Protokolle und des RSVP-Protokolls gelöst. In jüngster Zeit gewinnt die Segment-Routing-Technologie, die für die zentralisierte Konfiguration und Orchestrierung optimiert ist, immer mehr an Beliebtheit. In klassischen WAN-Netzwerken werden diese Technologien in der Regel nicht dargestellt oder auf die Verwendung von Hop-by-Hop-Mechanismen wie Policy-Based Routing (PBR) reduziert, die den Datenverkehr verzweigen können, dies jedoch auf jedem Router separat implementieren - ohne Berücksichtigung des Gesamtzustands des Netzwerks oder Die Züchterrechte führen zu den vorherigen oder nachfolgenden Schritten.Das Ergebnis der Verwendung dieser TE-Optionen ist enttäuschend: MPLS TE wird aufgrund der Komplexität der Konfiguration und des Betriebs in der Regel nur im kritischsten Teil des Netzwerks (Kern) verwendet, und PBR wird auf einzelnen Routern verwendet, ohne dass eine bestimmte einheitliche PBR-Richtlinie für das gesamte Netzwerk erstellt werden kann. Dies gilt natürlich auch für Netzwerke, die auf DMVPN basieren.
SD-WAN bietet in dieser Hinsicht eine viel elegantere Lösung, die nicht nur einfach zu konfigurieren, sondern auch wesentlich besser skalierbar ist. Dies ist ein Ergebnis der verwendeten Steuerungs- und Richtlinienebenenarchitekturen. Die Implementierung der SD-WAN-Richtlinienebene ermöglicht eine zentralisierte Definition der TE-Richtlinien. Welcher Datenverkehr ist von Interesse? für welches VPN? Durch welche Knoten / Tunnel ist es notwendig oder im Gegenteil verboten, eine alternative Route zu bilden? Durch die Zentralisierung der Steuerungsebene auf der Basis von vSmart-Controllern können Sie die Routing-Ergebnisse ändern, ohne auf die Einstellungen einzelner Geräte zurückgreifen zu müssen. Die Router sehen bereits nur das Ergebnis der Logik, die in der vManage-Schnittstelle erstellt und zur Anwendung auf vSmart übertragen wurde.
Service-Verkettung
Die Bildung von Serviceketten ist im klassischen Routing eine noch mühsamere Aufgabe als der bereits beschriebene verkehrstechnische Mechanismus. In diesem Fall ist es nicht nur erforderlich, eine bestimmte spezielle Route für eine bestimmte Netzwerkanwendung zu bilden, sondern auch die Möglichkeit bereitzustellen, Datenverkehr vom Netzwerk an bestimmte (oder alle) Knoten des SD-WAN-Netzwerks zur Verarbeitung durch eine spezielle Anwendung oder einen speziellen Dienst (ITU, Balancing, Caching, Inspection) auszugeben Verkehr usw.). Gleichzeitig ist es erforderlich, den Status dieser externen Dienste steuern zu können, um Black-Holing-Situationen zu verhindern, und es sind auch Mechanismen erforderlich, um solche externen Dienste desselben Typs in verschiedenen Geolokalisierungen zu platzieren, wobei das Netzwerk automatisch den optimalsten Dienstknoten für die Verarbeitung des Verkehrs eines bestimmten Zweigs auswählen kann. ...Im Fall von Cisco SD-WAN ist dies einfach zu erreichen, indem eine geeignete zentralisierte Richtlinie erstellt wird, die alle Aspekte der Ziel-Servicekette zu einem Ganzen zusammenfasst und die Logik der Daten- und Steuerebene nur dort automatisch ändert, wo und wann sie benötigt wird.
Die Möglichkeit, die geoverteilte Verarbeitung des Datenverkehrs ausgewählter Anwendungstypen in einer bestimmten Reihenfolge auf speziellen Geräten (die jedoch nicht mit dem SD-WAN-Netzwerk selbst zusammenhängen) zu erstellen, ist möglicherweise die anschaulichste Demonstration der Vorteile von Cisco SD-WAN gegenüber klassischen Technologien und sogar einigen alternativen SD-Lösungen -WAN von anderen Herstellern.
Was ist das Endergebnis?
Offensichtlich lösen sowohl DMVPN (mit oder ohne Performance Routing) als auch Cisco SD-WAN letztendlich sehr ähnliche Probleme in Bezug auf das verteilte WAN-Netzwerk des Unternehmens. Gleichzeitig bringen signifikante architektonische und funktionale Unterschiede der Cisco SD-WAN-Technologie den Prozess der Lösung dieser Probleme auf ein anderes Qualitätsniveau . Zusammenfassend können die folgenden signifikanten Unterschiede zwischen SD-WAN- und DMVPN / PfR-Technologien festgestellt werden:
- DMVPN/PfR VPN data-plane SD-WAN , Hub-n-Spoke. , DMVPN/PfR , SD-WAN ( per-application BFD).
- control-plane . SD-WAN , , «» – . - ( ) .
- SD-WAN DMVPN/PfR – -, Hub, , .
- . DMVPN , - , . SD-WAN , « » , « » – , data-plane , / .
- , SD-WAN DMVPN/PfR, CLI NMS .
- SD-WAN DMVPN . – , .
Aus diesen einfachen Schlussfolgerungen kann der falsche Eindruck entstehen, dass die Schaffung eines auf DMVPN / PfR basierenden Netzwerks heute an Relevanz verloren hat. Dies ist sicherlich nicht ganz richtig. In Fällen, in denen beispielsweise viele ältere Geräte im Netzwerk verwendet werden und diese nicht ersetzt werden können, kann DMVPN die Kombination von "alten" und "neuen" Geräten zu einem einzigen geoverteilten Netzwerk mit vielen der oben beschriebenen Vorteile ermöglichen.
Andererseits sollte beachtet werden, dass alle aktuellen Cisco-Unternehmensrouter, die auf IOS XE basieren (ISR 1000, ISR 4000, ASR 1000, CSR 1000v), heute jeden Betriebsmodus unterstützen - sowohl klassisches Routing als auch DMVPN und SD-WAN -.Die Wahl hängt von den aktuellen Anforderungen und dem Verständnis ab, dass Sie jederzeit mit derselben Ausrüstung auf fortschrittlichere Technologien umsteigen können.