SD-WAN Ana Protokol İncelemeleri

[Nizam-ı Alem]

Metin2 EP, Valorant VP dahil tüm oyun ürünlerini en uygun fiyatlarla bulabilir, Item ve Karakterlerinizi hızlıca satabilirsiniz. HEMEN TIKLA!

Cisco Yazılım Tanımlı Geniş Alan Ağı (SD-WAN) mimarisinin geleneksel WAN'ın verimsizliklerini çözmek için benimsediği temel prensipleri inceleyeceğiz. Çözüm, bazı iyi bilinen ve zamanla test edilmiş ağ teknolojilerini bazı yeni yenilikçi fikirlerle birlikte kullanır. Karmaşık eski WAN altyapısını güvenli ve ölçeklenebilir bir katman yapısına dönüştürür. Cisco SD-WAN bunu aşağıdaki teknikleri kullanarak başarır:
​

• Taşımacılığın ağın hizmet tarafından ayrılması​
• Kontrol, veri ve yönetim düzlemlerini ayırma​
• Veri Düzlemini Otomatik Olarak Güvence Altına Alın​
• Merkezi politikalar aracılığıyla yapıyı yönetmek​
• Yeni cihazların güvenli sıfır temaslı sağlanması ve sisteme dahil edilmesi​

Taşımacılığın ağın hizmet tarafından ayrılması​

Cisco SD-WAN'ın kullandığı ilk temel teknik, ağın servis ve taşıma taraflarının ayrılmasıdır.

Geleneksel WAN mimarisine sahip bir organizasyon büyüdüğünde, geniş alan ağı giderek daha pahalı ve yönetilmesi daha karmaşık hale gelir. Bunun başlıca nedenlerinden biri, ağın servis tarafındaki kullanıcılar, uygulamalar, anahtarlar ve yönlendiriciler ile taşıma tarafındaki WAN bağlantıları ve servis sağlayıcılarının cihazları arasında net bir ayrım olmamasıdır. Daha sonra,Taşıma yönlendiricilerinin taşıma dışı önekleri bilmesi gerekir, WAN yönlendirme kararlarını, üstte çalışan hizmetleri etkilemeden etkilemeyi zorlaştırır. Şekil 1, hizmet ve taşıma tarafları arasında net bir ayrım olmayan geleneksel bir WAN'ı gösterir ve ana verimsizlikleri vurgular.

Cisco SD-WAN, MPLS bulutunun yalnızca bir taşıma ağı olduğu tüm servis sağlayıcılarının ağlarında uygulanan, zamanla test edilmiş konsepti kullanırherhangi bir müşteri önekini bilmesi gerekmez. MPLS ağının işlevi yalnızca paketleri bir giriş noktasından taşıma bulutunun bir çıkış noktasına taşımaktır. Benzer şekilde, Cisco SD-WAN ağın taşıma tarafını özel bir taşıma segmentine ayırır - VPN0. Taşıma tarafının işlevi paketleri bir taşıma yönlendiricisinden diğerine yönlendirmektir. Taşıma tarafındaki bir yönlendiricinin yalnızca taşıma bulutunun diğer tarafındaki hedef yönlendiriciye nasıl ulaşacağını bilmesi gerekir. Herhangi bir hizmet tarafı öneki hakkında bilgi sahibi olması gerekmez.

Taşımayı ağın hizmet tarafından ayırmak, geniş alan ağını (WAN) üstünde çalışan uygulamalardan soyutlar. Bu yaklaşımın birçok faydası vardır, örneğin:
​

• Ağ yöneticileri, kullanıcılar veya uygulamalar arasındaki iletişimden bağımsız olarak WAN'a yönlendirme kararlarını etkileyebilir.​
• Çözüm, paketlere etiketler ekleyebilir ve en uygun politika tabanlı yönlendirme, yük dengeleme ve ağ segmentasyonu/dilimleme için WAN devrelerine nitelikler atayabilir.​
• Güvenlik, kullanıcı trafiğinden bağımsız olarak taşıma tarafına uygulanabilir.​
• Herhangi bir kamusal ve özel WAN iletim karışımı aktif-aktif, ECMP tarzında kullanılabilir.​

Kontrol, veri ve yönetim düzlemlerini ayırma​

Cisco SD-WAN'ın kullandığı ikinci temel teknik, kontrol, veri ve yönetim düzlemlerinin ayrılmasıdır.

Kontrol ve veri düzlemlerinin birbirinden ayrılması, yazılım tanımlı ağlar içinde iyi kabul görmüş bir kavramdır. " Kontrol düzlemi ", ağ altyapısını kontrol etmek için kullanılan protokol mesajları kümesidir. Genellikle şu şekilde temsil edilir topoloji ve bağlantı durumu bilgilerinin bant içi değişimi OSPF/BGP veya herhangi bir diğer yönlendirme protokolü güncellemesi biçiminde ağ aygıtları arasında. Geleneksel olarak her ağ aygıtı, aygıt yazılımında kendi kontrol düzlemi örneğini çalıştırır, bağımsız yönlendirme hesaplamaları yapar ve kendi Yönlendirme Bilgi Tabanını (RIB) belirler. Topoloji değişiklikleri, yönlendirme güncellemelerinin tüm ağ boyunca kutu kutu yayılmasını gerektirir. Bu süreç, birçok yönlendiricinin bulunduğu büyük ortamlarda hızla çok karmaşık ve verimsiz hale gelir.

Bu nedenle, ölçeklendirmek için çoğu geleneksel yönlendirme protokolü, büyük bir topolojiyi OSPF alanları, BGP konfederasyonları, IS-IS seviyeleri vb. gibi daha küçük yönlendirme alanlarına bölmek üzere tasarlanmış tekniklere sahiptir. Ek olarak, toplama ve yeniden dağıtım gibi teknikler genellikle topoloji ölçeğini daha da artırmaya yardımcı olmak için kullanılır. Çoğu ağ mühendisi, geleneksel yönlendirme protokollerinin ölçeklendirme verimsizliklerine acı bir şekilde aşinadır.

Cisco SD-WAN daha modern bir hale geldiSDN yaklaşımıağ mimarisine. Çözüm, tüm WAN uç yönlendiricilerinin kontrol düzlemini veri düzleminden ayırır ve tüm kontrol işlevlerini vSmart adlı merkezi bir yazılım denetleyicisine uygular. Ayrıca tüm yönetim işlevlerini ayırır ve bunları vManage adlı ayrı bir merkezi denetleyiciye uygular . Ek olarak, çözüm diğer iki düzlem boyunca dikey olarak çalışan başka bir ağ " düzlemi " sunar - vBond adlı özel bir denetleyiciye uygulanan merkezi bir orkestrasyon düzlemi . Cisco vBond, kaplama yapısına katılmasına izin verilen tüm cihazların kimlik doğrulamasından geçmesini ve beyaz listeye alınmasını sağlar. Altyapının güvenilir olduğundan ve kötü amaçlı cihazlara karşı iyi bir şekilde güvence altına alındığından emin olur.

Merkezi yönetim yaklaşımı, geleneksel dağıtılmış yönteme göre çok daha verimli bir şekilde ağı bir sistem olarak kontrol etmemize ve işletmemize olanak tanır:
​

• Yönetim Düzlemi - Merkezi yönetim düzlemi (vManage), ağın tam bir görünümüne sahiptir ve şablonları ve politikaları tüm ortama gönderir. Yanlış yapılandırma ve insan hataları olasılığını önemli ölçüde azaltan ağ çapında bir yapılandırma standardizasyonu oluşturur. 1000'den fazla düğüme sahip büyük ölçekli ortamlarda, bir yapılandırma şablonunu vManage'de yalnızca bir kez düzenlemek ve 1000'den fazla cihazı kutudan kutuya önceden manuel olarak yapılandırmak yerine tüm cihazlara göndermek çok daha verimlidir. vManage ayrıca tüm SD-WAN yapısının yazılım güncellemelerinden ve diğer bulut hizmetleriyle entegrasyonlarından sorumludur. Bu denetleyici, tüm SD-WAN yapısını yönetmek, çalıştırmak ve sorunlarını gidermek için tek bir cam paneldir.​
• Kontrol Düzlemi - Merkezi kontrol düzlemi (vSmart), ortamdaki tüm düğümleri ve kullanılabilir yolları bilir. Ağda bir durum değişikliği olduğunda, denetleyici merkezi yönlendirme tablosunu yalnızca bir kez yeniden hesaplar ve bunu tek bir yönlendirme güncellemesi olarak tüm düğümlere dağıtır. Ayrı ağ cihazlarının yönlendirme hesaplamaları yapması veya aralarında herhangi bir kontrol düzlemi bilgisi alışverişi yapması gerekmez. Bu merkezi kontrol düzlemi yaklaşımı, her cihazın ağda bir durum değişikliği meydana geldiğinde her seferinde yeniden hesaplama yaptığı geleneksel yönlendirmeden çok daha verimlidir.​
• Veri Düzlemi - Ağ cihazlarının artık karmaşık yönlendirme hesaplamalarını depolaması ve gerçekleştirmesi gerekmediğinden, paket iletimi için daha fazla donanım kaynağı mevcuttur. Kenar cihazları, denetleyicilerden tüm gerekli kontrol ve yönetim bilgilerini indirir ve durumları için ağ telemetrisini geri gönderir.​

Ancak, kontrol ve yönetim düzleminin merkezi denetleyicilere uygulanmasının, geleneksel merkezi olmayan mimariye kıyasla birçok ek avantajı vardır:
​

• Merkezi denetleyicilerveri yolunda yatmaya gerek yokve taşıma tarafındaki herhangi bir yerde olabilir - şirket içinde, özel bir bulut sağlayıcısında veya bir MSP'den SaaS olarak tüketilebilir.​
• Merkezi kontrolörler şunlar olabilir:sanal cihazlar (VM'ler)veya hazır bilgi işlem ve depolama donanımlarını kullanan yazılım kapsayıcıları.​
• Ağın taşıma tarafındaki OSPF, IS-IS ve tam ağ BGP gibi dağıtılmış yönlendirme protokolleriyle ilişkili ölçek zorlukları ortadan kaldırılır. Ancak, SD-WAN çalışma modu cihazları, gerekirse bu protokolleri diğer SD olmayan cihazlarla çalıştırmaya devam edebilir.​
• Ağ, MP-BGP, VRF, MPLS gibi karmaşık sinyalizasyon protokollerine ihtiyaç duymadan segmentasyona ulaşabilir.​

Veri Düzlemini Otomatik Olarak Güvence Altına Alın​

Cisco SD-WAN'ın kullandığı bir diğer temel teknik, her WAN taşıması üzerinde IPsec tünellerinin otomatik olarak kurulmasıdır. Bir uç cihaz vEdge yönlendiricisi Cisco SD-WAN kontrol düzlemine katıldığında,otomatik olarak her diğer vEdge'e bir IPsec tüneli oluşturmaya çalışırbildiği taşıma arayüzü. Bu davranış, aynı konumda olmayan (aynı site kimliğine sahip) tüm vEdge'lerin tüm taşıma bağlantıları arasında tam bir IPsec tünel ağıyla sonuçlanır. IPSEC tünelleri daha iyi performans için önceden paylaşılmış anahtarlar kullanır. Anahtarlar cihazlara gönderilir ve vSmart denetleyicisi tarafından düzenli olarak döndürülür. Anahtarları tüm kenarlara indirmek için kurulan DTLS bağlantısının güvenli kanalını kullanır. Ek olarak, vEdge yönlendiricileri bu IPsec tünelleriyle ilişkili şifreleme anahtarlarını vSmart denetleyicisi aracılığıyla değiştirir; bu, geleneksel WAN'a kıyasla önemli bir gelişmedir.

Geleneksel IPsec ortamlarında, yönlendiriciler anahtar değişimini İnternet Anahtar Değişimi (IKE) protokolünü kullanarak gerçekleştirir. IKE'nin nasıl çalıştığına dair ayrıntılara girmeyeceğiz, ancak asıl nokta her yönlendiricinin (n) ağdaki diğer her uzak yönlendiriciyle benzersiz bir anahtar üretmesi ve değiştirmesidir. Bu, tamamen örgülü bir ağda, her yönlendiricinin n 2 anahtar değişimini ve (n-1) anahtarı yönetmesi gerektiği anlamına gelir. Örneğin, 1000 yönlendiricinin olduğu bir ağda, her yönlendirici 1.000.000 anahtar değişimini yönetmeli ve 999 anahtarı korumalıdır .Cisco SD-WAN IKE'yi hiç kullanmaz, Bunun yerine, yönlendiriciler anahtarları merkezi kontrol düzlemi aracılığıyla değiştirirler.

Otomatik olarak kurulan IPsec tünellerinin tam örgüsü Cisco SD-WAN kaplama yapısı olarak adlandırılır. Tüm konumlar arasında giden veri trafiğinin güvenli olmasını sağlar.

Bu yaklaşımın birçok faydası vardır:
​

• IPsec tünellerinin üst yapısı, ağın taşıma tarafından gelebilecek saldırılara ve istismarlara maruz kalmamasını sağlar.​
• Yapı, kullanıcı ve uygulama akışının yeni başlıklarla kapsüllenmiş ve şifrelenmiş ISP ağlarını geçmesini sağlar. Ayrıca iletilen verilerin bütünlüğünü de sağlar.​
• Merkezi orkestralama düzlemi (vBond), kaplama yapısına katılmasına izin verilen tüm cihazların doğrulanmasını ve beyaz listeye alınmasını sağlar. Merkezi orkestratör, altyapının güvenilir ve sahte cihazlara karşı güvenli olduğundan emin olur.​
• Kaplama, cihazların bağlandığı herhangi bir fiziksel taşımanın üzerine kurulabilir. Bu taşımalar, alt katman ağı olarak bilinir.​

Merkezi politikalar aracılığıyla yapıyı yönetmek​

Ayrı bir kontrol düzlemine sahip olmak, Politikalar ve Şablonlar aracılığıyla çözümü merkezi bir şekilde yönetmemizi sağlar . vSmart üzerinde yapılandırılan Merkezi bir politika, denetleyici yönlendirme bilgilerinin WAN uç yönlendiricileri arasında nasıl duyurulacağını etkiler. Bu, ağ yöneticilerinin her cihazı manuel olarak yapılandırmak zorunda kalmadan ağ genelinde yönlendirme değişiklikleri uygulamasına olanak tanır.

Bu yaklaşımın birçok faydası vardır:
​

• Merkezi denetleyici, ortamın tüm görünümünü görebilir ve SLA politikaları, uygulama türleri, segment türleri vb. gibi yardımcı bilgilere dayanarak yönlendirme kararları verebilir.​
• Ağ yöneticileri, iş mantığını tek bir pencereden uygulayabilir , ölçekte verimlilik elde edebilir ve sağlama için gereken temas noktalarının sayısını en aza indirebilir.​
• WAN ağı yatay olarak ölçeklenebilir ; daha fazla WAN kenar yönlendiricisi ve uzak site eklemek, merkezi denetleyicilerin tüm kontrol düzlemi hesaplamalarını yönetmesi nedeniyle ağdaki diğer cihazları etkilemez.​

Yeni cihazların güvenli sıfır temaslı sağlanması ve sisteme dahil edilmesi​

Cisco SD-WAN, yeni WAN uç cihazlarının yerleştirilmesi için tamamen otomatik bir süreç sunar. Ağ yöneticilerinin minimum çaba ve katılımla yeni siteler sağlamasına olanak tanır. Yeni yapılandırılmamış bir vEdge, aşağıdaki işlemlerden birini kullanarak ağı otomatik olarak keşfeder - cihaz Viptela OS çalıştırıyorsa Sıfır Dokunma Sağlama (ZTP) veya cihaz IOS-XE çalıştırıyorsa Cisco Tak ve Çalıştır (PNP). Şekil 6, yerleştirme sürecinin üst düzey bir genel görünümünü göstermektedir.

Kırmızıyla vurgulanan WAN edge yönlendiricisinin Viptela OS çalıştıran vEdge Cloud olduğunu varsayalım. Yerleştirme süreci şu şekilde olacaktır:
​

• WAN edge yönlendiricisi ztp.viptela.com adresindeki ZTP bulut hizmetiyle iletişim kurar. ZTP sunucusu, kuruluş adının ZTP veritabanında olup olmadığını kontrol eder ve cihazı seri numarasına göre doğrular. Daha sonra ilgili vBond orkestratörünün IP adresini geri gönderir.​
• vEdge vBond'a bağlanır ve bir şasi numarası ve sertifika seri numarasıyla kimlik doğrulaması yapar. Başarılı olursa, vBond vSmart ve vManage IP adreslerini geri gönderir.​
• WAN uç yönlendiricisi vManage ile kalıcı bir kontrol bağlantısı kurar ve denetleyici gerekli yapılandırmayı cihaza gönderir.​
• Cihaz, her kullanılabilir WAN taşıması üzerinden kontrol düzlemi bağlantıları kurar ve vSmart denetleyicisiyle bir OMP eşleşmesi oluşturur. Sonunda, kaplama yapısına katılır ve veri trafiğini iletmeye başlar.​

Önemli Noktalar​

Bu bölümün temel çıkarımı, kontrol ve yönetim düzleminin merkezi yazılım denetleyicilerine uygulanmasının, geleneksel merkezi olmayan mimariye kıyasla birçok önemli avantaja sahip olduğudur:
​

• Merkezi denetleyicilerin veri yolunda bulunmasına gerek yoktur ve taşıma tarafında herhangi bir yerde bulunabilirler.​
• Denetleyiciler, sanal makinelerde (VM'ler) veya kapsayıcılarda çalışan yazılım görüntüleridir . Standart hesaplama ve depolama donanımı kullanılarak şirket içinde veya genel bulutta dağıtılabilirler.​
• Ağın taşıma tarafındaki OSPF, IS-IS ve tam ağ BGP gibi dağıtılmış yönlendirme protokolleriyle ilişkili ölçeklendirme zorlukları, merkezi kontrol düzlemi denetleyicisinin tüm yönlendirme hesaplamalarını yönetmesi nedeniyle ortadan kalkar .​
• MP-BGP, VRF, MPLS gibi karmaşık sinyalizasyon protokollerine ihtiyaç duyulmadan ağ segmentasyonu gerçekleştirilebilmektedir.​
• Merkezi yönetim düzlemi, ağ ekiplerinin WAN'ı tek tek ağ cihazlarının bir koleksiyonu olarak değil, bir sistem olarak yönetmesine olanak tanır.​
• Benim için en önemli avantaj şu ki;geniş alan ağı artık yatay olarak ölçeklenebilir- daha fazla uzak site ve vEdge yönlendiricisi eklemek, merkezi denetleyicilerin tüm kontrol düzlemi hesaplamalarını yönetmesi nedeniyle ağın geri kalanını etkilemez. Veri merkezlerinin DC yapısının yatay ölçeklenmesine izin veren kapalı topolojilere taşındığını gördük. SD-WAN, WAN'ın yatay ölçeklenmesine izin verir.​

 

[Tolstoy]

Eline sağlık