Как развернуть и настроить ACI фабрику – основные шаги

Дмитрий Жечков
Системный инженер
CCIE R&S 42059
Какразвернутьи настроитьACI фабрику– основныешаги
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved.

Содержание
1.
Введение
2.
Инициализация ACI-фабрики (Install APIC, Device Discovery)
3.
Создание тенантов, контрактов, фильтров и профилей приложений
4.
Создание сервисных цепочек
5.
Автоматизация работы фабрики (интеграция с UCS Director)
6.
Заключение
7.
Вопросы и ответы
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved. 2

Введение
24.11.2014

Введение
Традиционная модель сети
Альтернативная
SDNмодель
Новая
модель сети
Проверенное решение
Существующая модель эксплуатации сети и приложений
Широкое распространение
Много точек управления
Негибкость
Остаётся сложность
Отдельные оверлей и транспортная сеть
Зависимость от гипервизора
Несколько точек управления
Программная виртуализация сети
Application CentricInfrastructure
Сумма устройств
Устраняет сложность
Управление по политикам
Аппаратные оверлеи
Автоматизация
Программируемая инфраструктура
Защита инвестиций

Эксперт определяет политику
1
Cisco ACI:модель ресурсов и политикПеренос опыта Cisco UCS в сетевую инфраструктуру
СИСТЕМНЫЙ ПОДХОД: Быстрое разворачивание приложений. Масшабируемость, безопасность и полный контроль
NetworkSME
SecuritySME
Application SME
APIC
2
Политика используется для создания модели приложения
3
Автоматическая конфигурация политики во всей инфраструктуре
Управление жизненным циклом политики вдень 1, день 2
4
Physical Networking
Compute
L4–L7
Services
Storage
Hypervisors and Virtual Networking
Multi DC WAN and Cloud
Nexus 2K
Nexus 7K
Integrated WAN Edge

Запуск ACI-фабрики
24.11.2014

ACI фабрика
IP сеть с интегрированным оверлеями
•
ACI фабрика базируется на IP фабрике, обеспечивающей маршрутизацию во внешние сети и интегрированных оверлеях для маршрутизации/коммутации между хостами фабрики
‒
весь трафик между конечными хостами внутри фабрики передается при помощи оверлеев
•
Почему интегрированные оверлеи?
‒
Мобильность, масштабируемость,поддержкаmulti-tenancyи интеграция с гипервизорами
‒
Вместе с трафиком данных можно передавать мета-данных необходимые для реализации распределенных политик
IP фабрика с оверлеями
Каждому узлу назначается IP loopback, который анонсируется IS-IS
IP un-numbered
40 Gb линки
APIC

ACI фабрика
Разъединение функций идентификации, расположения и политики
•
ACI фабрика производит разъединение функций адресации конечного хоста “identifier = IP- адрес” от расположения хоста, для которого используется точка терминацииVXLAN “locator= VTEP-адрес”
•
Передача внутри фабрики между VTEP используется преимущества “улучшенного VXLAN”
•
Отображение MAC адреса или IP адреса в место расположения производится при помощи VTEP и распределенной базы (mapping database)
VTEP
VTEP
VTEP
VTEP
VTEP
VTEP
Payload
IP
eVXLAN
VTEP
APIC

ACI фабрика: управление трафиком
Фокус на времени отклика приложения
•
ACI фабрика отслеживает перегрузки на всем пути передачи входящим и исходящим leaf(измерения в реальном времени)
‒
Перегрузка на внешних портах коммутаторов (external wires)
‒
Перегрузка на соединениях ASIC-to-ASIC (internal wires)
•
Фабрика балансирует потоки трафика по принципу ‘flowletswitching’
‒
Динамическоеперенаправление активных потоков с загруженного пути на менее загруженный путь передачи трафика
•
Фабрика приоритезируетнебольшие потоки
‒
Обеспечениеповедения как DC-TCP без модификации на конечном хосте
‒
Увеличениескорости передачи большихTCP потоков
APIC

ACI фабрика: возможности по телеметрии
•
Изменения в топологии и схеме распределения трафика заставляют пересмотреть традиционные подходы к поиску и устранения неисправностей, а так же планирования емкостей в ЦОД
•
Высокая степень разделяемостиинфраструктуры объединенная с распределенной сущность приложений требуют сбора статистки в контексте приложения
•
Возможности ACI фабрики
•
Atomic Counters–точный учёт переданных и потерянных пакетов по каждому пути
•
Измерение задержки–контроль матрицы задержек между всеми узлами
Необходимость мониторинга SLA в разделяемых ландшафтах
Фабрика больших размеров усложняет корреляцию собираемых статистических данных со специфическим приложением/tenant- ом
Увеличение распределенной нагрузки
VM
VM
VM
VM
VM
VM
APIC

ACI ФабрикаРаспределенный контроль за выполнением политик
Tenant
VRF -Context
VRF -Context
Bridge Domain
Bridge Domain
Bridge Domain
EPG
EPG
EPG
EPG
EPG
EPG
EPG
M/LB/SP
Flags
Flags/DRE
VNID
Source Group == EPG
DRE
MCAST
LB DL E SP DP
SP: Indicates Source Policy has been applied
DP: Indicates Destination Policy has been applied
•
ACI фабрика использует ориентированную на приложения модель политик
•
Поле VXLAN Source Group используется как тег/метка для идентификации конкретного конечного объекта (ВМ/физ. порт) принадлежащего определенномуEPG
•
Политика применяется в направлении от source application tier (EPG) в сторону egress/destination application tier (EPG)
•
Политика может применяться на источнике или получателе

ACI-фабрика. Иерархия внутри тенанта.

ИнициализацияACI-фабрики
APIC bootstrap configuration
1)
Настройки APICкластера
2)
Имя фабрики (Fabric Name)
3)
TEP адресное пространство (Infra-VRF)
4)
…
Leaf коммутатор обнаруживаетсоседнийAPIC поLLDP, запрашивает TEP адреси boot file по DHCP
2
1
Spine коммутатор обнауживаетсоседний Leaf поLLDP, запрашивает TEP адрес и boot file по DHCP
3
Все узлы в одном APIC кластередолжны иметьодинаковуюbootstrap информацию, еслииз них планируется собрать кластер
4
5
6
APIC кластер
7
APIC кластер собирется когда члены кластера обнаружат друг друга
APIC
APIC
APIC

Инициализация ACI-фабрики
24.11.2014
Установка
APIC (часть 1)

24.11.2014
Установка
APIC (часть 2)

24.11.2014
Device discovery (
часть 1)

24.11.2014
Device discovery (
часть 2)
Далее установка
APIC N2 и APIC N3 …

24.11.2014

Создание тенанта
24.11.2014

Создание контекста
24.11.2014

Создание контейнера подсетей
24.11.2014

VM
VM
…
VM
VM
…
VM
VM
…
web
app
db
application
Внешние сети
Набор конечных объектов, которые подключаются к сети … вирт. машины, физические хосты, …
Уровни приложений
End Point Group
или VMware Port Group
Набор правил по которым компоненты приложения взаимодействуют друг с другом
Контакты
Правила доступа
QoS
Сетевые сервисы
Правила по которым приложение взаимодействует со внешними частными и публичными сетями
Сетевой профиль
Ориентированные на приложения политики
Сеть Виртуальная Коммутационная Панель
ACI –Сетевой профиль приложения

Сетевой профиль приложения и контракты

Использование контрактов дает возможность отделить чтоделает политика от того гдеполитика находится, таким образом расширяя действие политики (физ. –вирт.)
Сетевой профиль приложения
C
Контракт
Контракт определяет что и как EPG предоставляет другим EPGили внешним клиентам
Контракты можно использовать повторно для различных EPG или наследовать
C
C
EPG NFS
EPG MGMT
EPG DB
EPG App
EPG Web
C
C
C

Создание профиля приложения
24.11.2014

Контракты
EPG-WEB
EP 1
EP 2
EPG-APP
EP 1
EP 2
EPG-DB
EP 1
EP 2
Контракт
Контракт

Определение контракта
Subject-это комбинация следующих действий-filter, action*и label*
Контракты определяют правила взаимодействия между EPG
Filter | Action | Label
Subject
TCP Port 80
Фильтр
Permit
Действие
Web Access
Метка
Контракт 1
Subject 1
Subject 2
Subject 3
*roadmap

Создание контрактов
24.11.2014

Создание фильтра
24.11.2014

Демо N1
24.11.2014
Создание профиля приложения,
End Point Group и контрактов

24.11.2014

vSwitch (VMWare)
vSwitch (MSFT)
vSwitchинкапсулирует пакеты, ассоциированные с EPG при помощи назначенного VLAN/VXLAN/NVGRE идентификатора
2
Если коммутаторуLeaf известен исходящийEPG который ассоциирован с узлом назначения, то он реализует политику устанавливая в соответствующее значение бит в заголовке eVXLAN, показывающий, что входящая политика была применена к пакету
4
На основе классификации коммутаторLeafформирует значение поля Source Group в eVXLANзаголовке
3
Payload
IP
NVGRE
GRE IP
Коммутатор Leaf пересылает пакетvSwitch-уили подключенному напрямую физическому серверу.
7
Пакет идентифицируется как принадлежащий определенной end point group (EPG) на основе входящей классификации (port group, физический порт, IP адрес, VLAN)
1
Payload
VNID
Flags
aVTEP
SRC Group
Если политика приложения требует передачу пакета через сервисное устройство или цепочку таких устройств, то фабрика в качестве VTEP узла назначенияуказывает адрес коммутатора, в которому подключено сервисное устройство
5
Исходящий Leaf коммутатор проверяет был ли установлен policy флаг в заголовке eVXLANи если требуется применяет политику
6
Реализация политик в ACI фабрике
Payload
VNID
Flags
aVTEP
SRC Group


Установка “device packages”

Device packages выпускается вендоромсетевого сервиса (F5, Citrix, etc): кто знает их собственные продукты лучше?

Нет ограничений на презентацию уникальных для производителя сервисного устройства функций

Включает в себя:

Конфигурацию сервисного устройства

Проверку конфигурации на корректность

Мониторинг состояния сервисного устройства
Шаг 1. Научить ACI говорить на языке сетевых сервисов

Импортирование device package вAPIC


Файл с integration packageбольше не нужен

OpFlexразрабатывается как открытый стандарт, который может быть реализован любым инфраструктурным элементом (коммутатор, L4-L7 устройство, маршрутизатор)

OpFlexIETF: http://tools.ietf.org/html/draft-smith-opflex-00

OpFlexтак же интегрируется вOpenDaylight: https://wiki.opendaylight.org/view/OpFlex:Main

OpFlexагент с открытым исходным кодом разрабатывается

Вендорыподдержавшие OpFlex:(список расширяется)
L4-L7 устройство может говорить на языке ACI! OpFlex: an open declarative protocol


Определение порядка в котором сервисы должны быть добавлены при помощи графического интерфейса

Объект “service graph” может быть использован повторно и ассоциирован с несколькими приложениями
Шаг 2. Определить «сервисный граф» который можно использовать повторно

Шаг 3. Сообщить ACI как подключиться к сервисному устройству


Сервисный граф является частью контракта, который «заключается» между EPG (End-Point Group)

Cервисноеустройство настраивается при помощи указанных атрибутов при помощи скриптов, которые являются часть «device package»
Шаг 4. Ассоциировать “сервисный граф”с приложением

Шаг 5. Подключить серверы к сети
Серверы ассоциируются с End-Point-Group (EPGs) при помощи VLAN, портовой группы VMware на момент FCS. Другие атрибуты –имя виртуальной машины,DNS илиIP адрес/подсеть(roadmap)
Как только сервер попадает в нужный EPG, все необходимое (сетевой QoS, cетевыеACL, L4-L7 сервисы) настраиваются автоматически
Никаких дополнительных действий со стороны администратора сети и администратора сервисного устройства не требуется

Демо N2
Место сервисной цепочки в контракте
Графический вид сервисной цепочки

24.11.2014

L4-L7 Services
Server Load Balancer
Инфраструктура приложения:развертывание сUCS-Director : 100% VMs
Пользователь
Self-Service User
1
Выбор из каталога App
Применение
Профиля приложения
UCS Director
ACI Fabric
UCSDirector
APIC сетевой
Профиль приложения
Профиль
приложения
Compute
Network
Storage
L/B
APP
DB
F/W
L/B
WEB
Storage
Storage
App
DB
Web
Автоматизация APIC и UCS сUCS Director
Infrastructure Provisioning for Applications : 100% Virtual (VM’s)

L4-L7 Services
Self-Service User
1
UCS Director
ACI фабрика
UCSDirector
Deploy App Network
Админ вирт. машин
vCenter
Публикация сетевого профиля
Модуль БД
Модуль App
Модуль Web
3
VLAN to BD/EPG &
FI Topology
5
Обновление
сервис. проф. на FI
UCSM
Обновлениесервис. профиля
Виртуализированный сетевой профиль приложения
APP
Port
Profile/
Group
Веб
Port
Profile/ Group
БД
Port
Profile/
Group
Обнаружение сети
Security/QoS Policies
DB
End
Point Group
APP
End Point Group
WEB
End Point Group

L4-L7 Services
Self-Service User
1
UCS Director
ACI фабрика
UCSDirector
DB
End
Point Group
APP
End Point Group
WEB
End Point Group
Deploy App Network
Админ вирт. машин
vCenter
Публикация сетевого профиля
Модуль БД
Модульtier
Модуль Web
3
VLAN to BD/EPG &
FI Topology
5
Обновление
сервис. проф. на FI
UCSM
Обновление сервис. профилей
Виртуализированный сетевой профиль приложения
APP
Port
Profile/
Group
Web
Port
Profile/ Group
Database
Port
Profile/
Group
Обнаружение сети
8
Разворачивание приложения
L/B
APP
DB
F/W
L/B
WEB

24.11.2014

1.
Инициализация ACI-фабрики (Install APIC, Device Discovery)
2.
3.
4.
24.11.2014

Вопросы и ответы
24.11.2014

CiscoRu Cisco CiscoRussia
Ждем ваших сообщений с хештегом
#CiscoConnectRu
Пожалуйста, используйте код для оценки доклада
3263
Ваше мнение очень важно для нас
Спасибо за внимание!
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved.

Как развернуть и настроить ACI фабрику – основные шаги

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Viewers also liked

Viewers also liked (20)

Similar to Как развернуть и настроить ACI фабрику – основные шаги

Similar to Как развернуть и настроить ACI фабрику – основные шаги (20)

More from Cisco Russia

More from Cisco Russia (20)

Как развернуть и настроить ACI фабрику – основные шаги