Cisco SD-WAN
Cisco ofera doua produse SD-WAN diferite, prin achizitiile sale Meraki si Viptela.
Ambele sunt solutii SD-WAN complete si au mai multe functii comune. Totusi, Cisco a clarificat ca Meraki si Viptela sunt destinate pentru segmente de piata diferite:
• Meraki este proiectat pentru companii mici si mijlocii, care pun accent pe simplitate si usurinta in utilizare. Implementarea solutiei SD-WAN Cisco Meraki este mai usoara deat Viptela, iar daca organizatia nu are cerinte specifice de nisa, aceasta ar fi cu siguranta alegerea potrivita.
• Viptela ofera functii mai avansate si necesita un design si o arhitectura de retea sofisticata. Produsul este destinat retelelor mari de nivel enterprise si permite un grad ridicat de personalizare.
Ce este SD-WAN?
WAN-ul traditional a fost proiectat pentru a directiona traficul de la site-urile remote catre centrele de date ale companiei, folosind circuite private MPLS.
Cu toate acestea, tendintele de afaceri au mutat aplicatiile din centrul de date in cloud-uri publice precum Microsoft Azure si Amazon Web Services (AWS).
In prezent, directionarea traficului utilizatorilor de la filiale catre centrul de date al companiei si apoi catre cloud sau Internet si inapoi este ineficienta, costisitoare si nescalabila. De asemenea, transformarea digitala rapida a companiilor genereaza noi cerinte privind securitatea, conectivitatea la cloud si Internet, gestionarea WAN si performanta aplicatiilor.
Cisco SD-WAN este o arhitectura overlay pentru retele WAN care aplica principiile de Software-Defined Networking (SDN) in WAN-ul traditional. Este proiectat pentru a raspunde nevoilor aplicatiilor moderne din mediul enterprise si cerintelor tot mai mari de securitate.
Solutia Cisco Viptela SD-WAN ofera urmatoarele imbunatatiri fata de designul traditional al WAN:
• Conectarea oricarei locatii rapid, securizat si cu o disponibilitate ridicata utilizând Zero-Touch Provisioning (ZTP).
• Crearea unui WAN independent de transport, folosind orice tip de transport subadiacent.
• Abstrarea infrastructurii WAN de la serviciile si aplicatiile care ruleaza peste retea, cum ar fi rutarea WAN, segmentarea, analiza, IaaS si multitenancy.
• Oferirea unei securitati de la capat la capat de la site-urile remote pâna la Internet, Cloud si aplicatii SaaS.
• Asigurarea unei interfete unice de gestionare, analiza si politica de configurare pentru intreaga retea WAN.
• Oferirea de API-uri REST southbound care permit organizatiilor sa creeze servicii personalizate si sa indeplineasca cerinte specifice.
Componente Cisco SD-WAN
Solutia Cisco SD-WAN Viptela este formata din patru planuri separate: planul de orchestrare, planul de management, planul de control si planul de date.
Fiecare plan are functiile si responsabilitatile sale si este separat de celelalte planuri.
De exemplu, inlocuirea unui dispozitiv in planul de date nu afecteaza planul de control/management sau planul de orchestrare. La fel, daca se inlocuieste un controler in planul de control sau management, celelalte planuri ramân neafectate.
Comparati acest lucru cu designul traditional WAN, unde fiecare dispozitiv participa atât in planul de date (redirectionarea pachetelor), cât si in planul de control (de exemplu, rulând OSPF, BGP, PIM si participând la formarea topologiei) si in planul de management (fiind gestionat activ prin CLI).
Cisco vManage
Cisco vManage reprezinta planul de management al sistemului SD-WAN.
Acesta ofera interfata cu utilizatorul si este tabloul de bord cu care administratorii de retea interactioneaza zilnic. Este responsabil pentru colectarea datelor de telemetrie din retea, rularea analizei si alertarea asupra evenimentelor din reteaua SD-WAN. De asemenea, este unealta pe care administratorii o folosesc pentru a crea sabloane de dispozitive, a aplica configurari si a efectua ingineria traficului in overlay.
Cisco vManage poate fi implementat on-premise, in cloud-ul public sau in mediul gazduit de Cisco. Este o solutie intens consumatoare de resurse, motiv pentru care majoritatea clientilor opteaza pentru optiuni cloud.
Cisco vBond
Cisco vBond reprezinta planul de orchestrare al sistemului SD-WAN. Rolul sau este sa orchestreze procesul de integrare a noilor dispozitive neconfigurate in reteaua Cisco SD-WAN. Este responsabil pentru autentificarea si includerea in lista alba a routerelor vEdge si pentru distribuirea informatiilor de control/management.
Cisco vSmart
Cisco vSmart reprezinta planul de control al sistemului SD-WAN. Controlerele vSmart sunt “creierul” retelei overlay. Ele distribuie rutarea, politicile si securitatea. Sunt pozitionate ca hub-uri in topologia planului de control si toate routerele vEdge stabilesc conexiuni cu controlerele vSmart.
Pentru inginerii de retea cu experienta, controlerele vSmart sunt similare cu BGP Route Reflectors sau routere NHRP din DMVPN. Totusi, este important de inteles ca aceste dispozitive nu fac parte din planul de date si nu participa la redirectionarea pachetelor.
Cisco vEdge
Dispozitivele Cisco vEdge reprezinta planul de date al sistemului SD-WAN. Ele se afla la marginea WAN-ului si stabilesc reteaua fabric si se alatura overlay-ului SD-WAN.
Tot ceea ce este sub routerele vEdge este retea traditionala – birouri, centre de date si filiale. Tot ceea ce este deasupra routerelor vEdge face parte din sistemul Cisco SD-WAN propriu-zis.
Routerele vEdge schimba informatii de rutare cu controlerele vSmart prin Overlay Management Protocol (OMP). De exemplu, daca avem o retea de campus care ruleaza OSPF, rutele OSPF sunt redistribuite in fabric-ul SD-WAN catre controlerele vSmart prin OMP, iar controlerele vSmart distribuie aceste informatii de rutare catre alte dispozitive vEdge daca este necesar in topologia WAN.
Overlay Management Protocol (OMP)
Controlerele Cisco vSmart folosesc Overlay Management Protocol (OMP) pentru a gestiona fabric-ul retelei overlay.
La conectarea la reteaua SD-WAN, fiecare router vEdge stabileste o conexiune securizata permanenta cu controlerul vSmart prin fiecare transport disponibil.
Aceste conexiuni, de obicei DTLS, sunt utilizate de routerele vEdge pentru a schimba informatii de control cu controlerul, cum ar fi prefixe, chei criptografice si informatii despre politici.
OMP nu este utilizat pentru peering intre routerele vEdge de la locatiile locale. Acest lucru este datorat separarii planului de control de planul de date in arhitectura Cisco SD-WAN.
Trei tipuri de rute sunt anuntate cu OMP:
1. Rute OMP (vRouter): Acestea sunt prefixe de la site-ul local care sunt redistribuite in OMP si anuntate catre controlere. Acestea pot fi rute OSPF sau BGP sau orice alte informatii de rutare prezente pe site.
2. Rute TLOC (Locatii de transport): Acestea reprezinta punctele finale de tunel de pe routerele WAN Edge care se conecteaza la retelele de transport. Aceste rute sunt reprezentate prin trei componente: adresa IP de sistem, culoarea linkului si tipul de capsulare.
3. Rute de servicii: Acestea sunt utilizate pentru a face schimb de servicii precum firewall, IPS (Sistem de Prevenire a Intruziunilor), optimizari specifice aplicatiilor si echilibratoare de sarcina (load-balancers).
Cum functioneaza Cisco SD-WAN?
Implementarea SD-WAN
Când o companie decide sa migreze de la o arhitectura WAN traditionala la o retea definita prin software (SD-WAN), primul pas intotdeauna este implementarea controlerelor. Urmatorul pas consta in migrarea centrelor principale de date si a locatiilor hub, iar in final, site-urile la distanta, cum ar fi campusurile si sucursalele.
Ordinea implementarii Cisco SD-WAN
Ideea principala este ca locatiile hub sa dirijeze traficul intre site-urile SD-WAN si non-SD-WAN pe perioada migrarii. Desigur, daca este o implementare complet noua, secventa nu conteaza atât de mult.
Unul dintre principalele avantaje ale SD-WAN este ca controlerele pot fi implementate in cloud public. Aceasta poate reduce semnificativ costurile CAPEX/OPEX si imbunatati disponibilitatea si redundanta planurilor de management si control.
Utilizând optiunile cloud, managementul/control plane poate fi consumat ca IaaS (Infrastructure-as-a-Service) sau chiar SaaS (Software-as-a-Service).
Cisco ofera urmatoarele optiuni clientilor:
1. Cloud gazduit de Cisco:
Majoritatea clientilor (peste 90%) aleg aceasta abordare. Este si modelul recomandat de furnizor, deoarece Cisco se ocupa de aprovizionarea controlerelor, backup si recuperare in caz de dezastru. Clientul consuma practic control plane-ul SD-WAN ca SaaS folosind vManage pentru a crea sabloane de configurare personalizate si a administra reteaua overlay.
2. Cloud public:
Clientul poate gazdui controlerele in clouduri publice precum Azure sau AWS. In acest scenariu, controlerele pot fi gestionate de un furnizor de servicii sau direct de catre client.
3. On-premises:
Controlerele pot fi implementate si in centrele de date ale companiei sau in clouduri private. In acest caz, clientul este responsabil pentru backup-uri si recuperari in caz de dezastru. Aceasta optiune este frecvent utilizata de institutiile financiare si guvernamentale.
Dupa ce controlerele sunt operationale, acestea trebuie sa stabileasca conexiuni securizate intre ele. In prezent, exista doua optiuni pentru protocolul securizat subadiacent:
• TLS (Transport Layer Security): Foloseste transport TCP
• DTLS (Datagram Transport Layer Security): Foloseste transport UDP
In mod implicit, toate controlerele utilizeaza optiunea DTLS.
Daca SD-WAN este implementat intr-un mediu cu incredere zero (zero-trust), figura de mai jos prezinta informatiile Layer 4 pentru toate conexiunile permanente intre controlere.
• Patru conexiuni intre vManage si vBond
• Doua conexiuni intre vSmart si vBond
Principiile de baza
Solutia utilizeaza tehnologii de retea bine cunoscute si testate in timp, combinate cu idei noi si inovatoare, transformând infrastructura WAN complexa intr-o retea suprapusa, sigura si scalabila.
• Separarea transportului de partea de servicii a retelei
• Separarea planurilor de control, date si management
• Asigurarea automata a securitatii pentru planul de date
• Gestionarea retelei suprapuse prin politici centralizate
• Configurarea automata securizata si inrolarea dispozitivelor noi
Separarea transportului de partea de servicii a retelei
Primul principiu fundamental al Cisco SD-WAN este separarea intre serviciile retelei si partea de transport.
Intr-o organizatie cu o arhitectura WAN traditionala, cresterea implica costuri mai mari si o complexitate sporita in gestionare. Un motiv principal este lipsa separarii clare intre utilizatori, aplicatii, switch-uri si routere din partea de servicii si legaturile WAN sau echipamentele furnizorilor de transport. Acest lucru face dificila influentarea deciziilor de rutare WAN fara a afecta serviciile.
Cisco SD-WAN implementeaza conceptul utilizat de retelele MPLS, unde transportul nu are nevoie sa cunoasca prefixele clientilor. Similar, partea de transport in Cisco SD-WAN este segmentata in VPN0, care are ca unic scop rutarea pachetelor intre routerele de transport.
Beneficii ale separarii transportului de servicii:
• Deciziile de rutare in WAN pot fi influentate independent de comunicatia intre utilizatori sau aplicatii.
• Permite rutare bazata pe politici, echilibrare a sarcinii si segmentare a retelei.
• Aplicarea securitatii pe partea de transport independent de traficul utilizatorilor.
• Permite utilizarea mixului de transporturi WAN publice si private intr-o configuratie activ-activ.
Separarea planurilor de control, date si management
Beneficii ale arhitecturii centralizate:
1. Planul de management (vManage):
o Vizualizare completa a retelei, configurare standardizata prin sabloane.
o Actualizari software si integrare cu servicii cloud.
o Un singur punct de acces pentru gestionarea si depanarea retelei.
2. Planul de control (vSmart):
o Calculeaza si distribuie o tabela de rutare centralizata tuturor dispozitivelor.
o Elimina calculul de rutare independent pe fiecare dispozitiv, reducând complexitatea.
3. Planul de date:
o Mai multe resurse hardware disponibile pentru redirectionarea pachetelor.
o Edge-urile trimit telemetrie catre controlere pentru monitorizare.
Asigurarea automata a securitatii pentru planul de date
Cisco SD-WAN creeaza tuneluri IPsec automat intre toate interfetele de transport ale routerelor vEdge. Cheile pentru aceste tuneluri sunt gestionate de controlerul vSmart, eliminând complexitatea gestionarii cheilor IPsec traditionale (de exemplu, prin IKE).
Beneficii ale fabricii suprapuse de tuneluri IPsec:
• Asigura confidentialitatea si integritatea datelor intre toate locatiile.
• Traficul utilizatorilor este criptat si protejat impotriva atacurilor din reteaua de transport.
• Reteaua poate utiliza orice transport fizic disponibil (cunoscute ca retele underlay).
Caracteristici cheie ale Cisco SD-WAN
Aceasta sectiune va explora diferitele caracteristici si capabilitati ale Cisco SD-WAN, care fac solutia distincta fata de WAN-ul traditional. Sectiunea va aborda urmatoarele subiecte majore:
• Calitatea Experientei Aplicatiei (AppQoE)
• Interconectarea mai multor clouduri
• Acces direct la internet (DIA)
• API-uri RESTful
• Cloud OnRamp
• Securitate integrata
Fiecare set de capabilitati face ca solutia Cisco SD-WAN sa se pozitioneze ca un furnizor lider de retele WAN in era cloud. Vom trece pe scurt peste fiecare subiect major.
Calitatea Experientei Aplicatiei (AppQoE)
Oferirea unei excelente calitati a experientei aplicatiei (AppQoE) utilizatorilor, oriunde si oricand.
Pe masura ce organizatiile adopta o strategie IT orientata spre cloud, oferirea unei experiente excelente de utilizare a aplicatiilor (AppQoE) devine semnificativ mai dificila si diferita. Cand o aplicatie este gazduita in centrul de date al organizatiei, este mult mai usor sa controlezi toti parametrii necesari retelei pentru a asigura o experienta excelenta utilizatorilor care lucreaza cu o aplicatie critica pentru afacere.
Totusi, acum, aplicatiile critice pentru afaceri sunt gazduite in cloud-ul public sau consumate ca un serviciu prin internet, iar echipele de retea se confrunta cu o provocare imensa de a asigura AppQoE oriunde si oricand.
Cisco SD-WAN a fost proiectat avand in vedere cloud-ul public si SaaS. Acesta ofera un set complet de caracteristici si capabilitati axate pe calitatea experientei aplicatiilor critice pentru afaceri. Veti invata mai multe despre acest subiect in prima lectie din aceasta sectiune.
Interconectarea mai multor clouduri
Conectarea sucursalelor si a angajatilor remote la aplicatiile multi-cloud intr-un mod fara intreruperi, cu management unificat, vizibilitate si securitate.
Majoritatea organizatiilor mari au aplicatii critice pentru afaceri gazduite in mai multe clouduri publice in prezent.
Overlay-ul WAN nativ cloud al Cisco SD-WAN asigura ca organizatiile pot adopta puterea multi-cloud si securitatea integrata, cu configurari minime din partea echipelor de retea si securitate. Solutia are un set de capabilitati care imbunatatesc performanta retelei, reduc costurile operationale si protejeaza datele critice pentru afacere.
Exploatarea beneficiilor aplicatiilor SaaS si native internet.
In prezent, majoritatea clientilor, contractorilor si angajatilor de la sucursale remote acceseaza aplicatii bazate pe internet. Arhitectura WAN traditionala redirectioneaza traficul de internet catre un centru de date sau hub regional pentru inspectarea securitatii, ceea ce duce la o latenta mai mare si costuri mai mari.
Functionalitatea Cisco SD-WAN DIA permite rutarea anumitor tipuri de trafic din sucursala direct catre internet, ocolind astfel centrul de date al organizatiei, ceea ce reduce latenta si imbunatateste performanta aplicatiilor.
Adoptarea automatizarii personalizate.
Dezvoltatorii pot integra solutia Cisco SD-WAN in fluxurile lor de lucru personalizate utilizand API-urile RESTful.
Cloud OnRamp
Exploatarea beneficiilor cloud-ului public.
Cisco SD-WAN Cloud OnRamp este un set de capabilitati care optimizeaza reteaua de arie larga pentru o mai buna vizibilitate, predictibilitate si performanta in cloud-ul public.
Cloud OnRamp pentru SaaS (software ca serviciu) foloseste datele de telemetrie in timp real pentru a ghida traficul utilizatorilor catre cel mai bun drum disponibil catre aplicatii native internet, cum ar fi Microsoft 365 si Salesforce.
Cloud OnRamp pentru IaaS (infrastructura ca serviciu) simplifica fluxurile de implementare pentru clouduri publice precum AWS, Azure si GCP. Permite utilizarea politicilor de rutare constiente de aplicatie, care pot alege drumul optim catre sarcinile de lucru care ruleaza in cloudul public.
Cloud OnRamp Interconnect automatizeaza conectivitatea catre principalii furnizori de Software-Defined Cloud Interconnect (SDCI) precum Megaport si Equinix.
Securitate integrata
Fundatia pentru securitate unificata livrata prin cloud si transformarea SASE.
In prezent, securitatea este esentiala pentru toate organizatiile. Pe masura ce utilizatorii si aplicatiile devin din ce in ce mai distribuite, echipele de retea si securitate se confrunta cu provocari majore pentru a oferi conectivitate fiabila, mentinand in acelasi timp securitate de top pentru toti utilizatorii si aplicatiile.
Solutia Cisco SD-WAN ofera un set complet de capabilitati de securitate pentru aplicatiile publice si cele on-prem. Este conceputa pentru a combina configuratiile existente de securitate ale organizatiilor cu strategia lor SASE, oferind politici de securitate care pot fi implementate oricand, oriunde.
Licentiere Cisco SD-WAN
SD-WAN este o tehnologie emergenta si este bine cunoscuta pentru abordarea sa bazata pe abonamente.
Doua tipuri de licente: bazate pe timp si permanente
Cu ceva timp in urma, Cisco a creat abordarea de licentiere DNA (Digital Network Architecture) pentru arhitecturi de rutare, switching si wireless.
Pentru zona WAN – rutare (unde se afla SD-WAN), Cisco propune trei tipuri de licente, denumite niveluri de abonament DNA:
• Essentials
• Advantage
• Premier
Toate licentele de mai sus sunt bazate pe timp.
Al doilea tip este licentierea perpetua, un element permanent care ramane cu hardware-ul, care este:
• Network Essentials
• Network Advantage
Functionalitatea SD-WAN este o oferta pur bazata pe abonament, ceea ce inseamna ca poti folosi dispozitivele de rutare dupa expirarea abonamentului SD-WAN bazat pe timp, dar cu capabilitatile standard de rutare (actualizarea imaginii la Cisco IOS XE este necesara sau trecerea in modul autonom incepand cu IOS-XE 17.2 rel.).
Functionalitati SD-WAN vs. Niveluri de abonament
Functionalitatile fundamentale de conectivitate, securitate si monitorizare sunt parte din planul Essentials. Acestea includ (dar nu se limiteaza la):
• Dimensiune nelimitata (pe baza de abonament) a overlay-ului SD-WAN securizat prin IPSec
• Suport EIGRP, OSPF, BGP pe partea de serviciu
• Suport Dual Stack
• Suport pentru topologiile Hub-Spoke, Full mesh si partial mesh
• ACL, firewall de tip stateful si IPS alimentat de Talos
Mai departe, ai nevoie de licenta Advantage pentru a utiliza orice dintre caracteristicile de securitate de mai jos:
• Cisco AMP
• Filtrare URL
• Implementare Public Cloud (cum ar fi routerul vEdge Cloud, Cloud on Ramp in AWS sau Azure)
• Suport BGP avansat sau multicast
• Voice avansat (SRST, porturi de voce FXS/FXO, SIP trunk)
Pentru a beneficia de Umbrella SIG (Secure Internet Gateway) si functionalitatile sale, trebuie sa investesti in nivelul Premier.
Un alt aspect de mentionat este izolarea traficului. Probabil ca stii conceptul de VRF sau VRF-Lite (virtualizarea tabelelor de rutare si separarea planului de date), iar SD-WAN permite pastrarea traficului separat pe WAN.
Drepturi de utilizare a latimii de banda
Urmatorul pas dupa alegerea platformei hardware (sau software) corecte pentru locatiile companiei tale si a nivelului corect de abonament este alegerea drepturilor de utilizare a latimii de banda.
Amestecarea abonamentelor Cisco
Sa presupunem ca reteaua ta cuprinde diferite locatii – fiecare cu propriile cerinte.
Ultimul, dar nu cel din urma, este faptul ca, atunci cand cumperi Cisco SD-WAN, poti alege intre o optiune de management cloud si una on-premises, iar totul depinde de locatia controlerelor si responsabilitatea pentru intretinerea infrastructurii acestora.
SAM Romania este partener oficial Cisco
Aveti nevoie de ajutor?
Echipa noastra este formata din ingineri certificati cu experienta in implementarea de proiecte complexe.
Combinand cunostintele tehnice si cunostintele de afaceri cu portofoliul nostru de servicii in securitate si retelistica, suntem capabili sa evaluam orice fel de cerinte, sa concepem solutii eficiente si sa le implementam pentru Dvs.
Daca doriti sa aflati mai multe despre SAM Romania, serviciile si solutiile noastre sau daca aveti nevoie de informatii specifice, va rugam sa ne contactati.
Verifica competentele noastre
Verifica certificarile inginerilor nostri
Verifica proiectele noastre
Solicita oferta de pret
Doresti sa primesti informatii prin email despre noutati, oferte, invitatii la webinarii, traininguri si alte evenimente?
Aboneaza-te la newsletterul nostru.