Инновационное SDN решение для ЦОД Cisco ACI Anywhere
2 likes257 views
Документ описывает решения Cisco ACI 3.0 для центров обработки данных с акцентом на инновации в сетевой инфраструктуре, автоматизации и безопасности. Он выделяет возможности управления через централизованный контроллер и интеграцию с облачными приложениями, а также обсуждает модели лицензирования и микросегментации для повышения уровня безопасности. Также рассматриваются новые функции оборудования и улучшения для обеспечения масштабируемости и простоты в эксплуатации.
Инновационное SDN решение для ЦОД Cisco ACI Anywhere
- 1. © 2015 Cisco and/or its affiliates. All rights reserved. 1 Инновационное SDN решение для ЦОД Cisco ACI 3.0 Anywhere Виктор Подкорытов Cisco SE vpodkory@cisco.com +38 044 3913600 Любая рабочая нагрузка, любой гипервизор, любое местоположение Сервера
- 2. 2© 2013-2014 Cisco and/or its affiliates. All rights reserved. Необходима НОВАЯ Операционная модель Традиционная СЕТЕВАЯ МОДЕЛЬ SDN МОДЕЛЬ НОВОЕ ПОКОЛЕНИЕ Существующая Модель 2 Сети вместо 1… Едины Сеть и Автоматизация Гибкость и HW производи-сть Software-Based Network Virtualization APP-CENTRIC INFRASTRUCTURE СЕТЬ КОРОБОК Applications Drive Development Network
- 3. 3 Cisco ACI на рынке ECOSYSTEM PARTNERS Nexus 9K Customers Globally ACI Customers Ecosystem Partners 12,000+ 65+4000+ Business Run Rate $3B 3
- 4. 4 4 Заказчики по всему миру! 4
- 5. 5© 2013-2014 Cisco and/or its affiliates. All rights reserved. Ориентированная на Приложения Инфраструктура Nexus 9000 Сервера Physical & Virtual Physical Networking Nexus 2K Nexus 7K Hypervisors and Virtual Networking Compute L4–L7 Services Storage Multi DC WAN and Cloud Integrated WAN Edge Сетевой Профиль Приложения Опорная сеть отделена от Сетей заказчика L3 IP VXLAN 40/100Gb Fabric APIC Контроллер
- 6. 6 Лицензирование ACI Advantage + Multi-Site + Large Scale Fabric Essential + Streaming Telemetry + PTP Current ACI leaf license Encryption/ Security Fiber Channel Foundation Essential Advantage Гибкость схем лицензирования Традиционный подход:Traditional License Option • «Вечные» лицензии • Essential & Advantage Tier + Add-Ons Временные Лицензии • Те же уровни • Стоимость на 1, 3, 5 лет ACI лицензируется на каждый leaf, без дополнительных лицензий для spines и APIC
- 7. 7© 2013-2014 Cisco and/or its affiliates. All rights reserved. Инновации в Оптике: цена 40Gb ≈ 10Gb Ре-использование обычной пары MM оптики Экономия при переходе на 40G (99% DC) 10G40G 40G BiDi Optics 40G Over 10G Multimode Fiber 100G 100G Over 10G Multimode Fiber 40/100G BiDi Optics Экономия при переходе на 40/100G
- 8. 8 Контроллер ACI Централизованная автоматизация и управление фабрикой • Единая точка управления сетью ЦОД на основе политик: • Профили приложений • Политики безопасности • Инициализация фабрики • Управление конфигурациями • Управление ПО коммутаторов • Накопление и экспорт статистики/телеметрии • Мониторинг приложений • Поиск и устранение неисправностей • Открытая модель данных для управления при помощи внешних средств оркестрации • Не принимает непосредственное участие в передаче данных • Единое управление наложенным транспортом и фабрикой • Кластеризация для масштабирования и доступности (от 3 до 5 и более узлов)
- 9. 9 Разнообразие методов управления ACI APIC GUI API - автоматизация Плагин для vCenter NX-OS-подобный CLI
- 10. 10 Представляем ACI App Center CLI Device Config Flexibility Usability Network Management ✔ Monitoring✔ Open APIs Build Your Own Solution ✔ SDN Controller Fabric-as-a- Programmable Device ✔ CLI NMT API SDN App Center Fabric-as-a- Smart Device ✔ App Center 10https://aciappcenter.cisco.com/ Cloud Apps Troubleshooting Apps Security Apps Networking Apps Monitoring Apps Optimization Apps
- 11. 11 11 BRKACI-1008 App Center Apps Programmable Infrastructure: Open APIs for Value Added Applications Get Your Fabric A Score On Security And Compliance. Path Analysis Connectivity and Compliance Route Visualizer Discover Application Dependencies and Define Application Network Profile Smart Tenant Deployment Keep A Pulse On Your Network Hardware Resources (TCAM, Memory Etc.) Across The Fabric Fabric Resource Inspector (NRI) AlgoSec Dimension Data Tetration Cisco DevNet ECOSYSTEM Sample Apps
- 12. 12 12 Масштабируемая интеграция ACI с WAN роутерами Обзор проекта GOLF WAN VRF-1 VRF-2 IP Network Web/App MP-BGP EVPN ‘GOLF’ Devices § Масштабирование уровня передачи данных и управления VXLAN инкапсуляция между ACI spines и WAN роутерами BGP-EVPN control plane между ACI spines и WAN роутерами OpFlex для обмена настройками (имена VRF, BGP Route-Targets и т.д.) § Применение политик на ACI коммутаторах (в обоих направлениях) § Поддержка маршрутизаторов : Nexus 7000, ASR9000 ASR1000 - рассматривается
- 13. 13© 2013-2014 Cisco and/or its affiliates. All rights reserved. Политика ACI “Разрешить WEB серверам коммуникацию с APP серверами” Сетевой профиль приложения = сетевая политика в ACI • Определяется разнообразные требования к инфраструктуре приложения: безопасность, QoS, SLA, L4-L7 сервисы, потоки в фабрике и т.д. • Политика абстрактна и не привязана к моделям коммутаторов (логический уровень) • Политика перемещаема, как и приложение она может применятся как внутри ЦОД так и в другом ЦОД
- 14. 14© 2013-2014 Cisco and/or its affiliates. All rights reserved. Инновационный подход к описанию сети Что такое Политика Приложения? Группа: Набор VM или физических серверов с одинаковой политикой1. Контракт: Набор правил (ACL) взаимодействия между группами2. Сервисная Цепочка: Набор сетевых сервисов между группами3. OUTSIDE WEBAPPDBCRM APP SLB F/W ADC
- 15. 15 Модель политик ACI различные методы определения элементов EPG Ø Интерфейс, при помощи которого конечное устройство подключается к сети Ø Имеет адрес (identity), местоположения, атрибуты (version, patch level) Ø Может быть физическим или виртуальным • Примеры критериев отнесения к EPG • Физический порт (на коммутаторе или FEX) • Логический порт (VM port group) • VLAN ID • Атрибуты виртуальных машин • IP адрес • MAC адрес • IP подсеть (применительно ко внешним подключениям) Сервер Виртуальные машины или контейнеры СХД Клиенты
- 16. 16© 2013-2014 Cisco and/or its affiliates. All rights reserved. ACI Политика по умолчанию “Zero Trust” TRUST BASED ON LOCATION (Traditional DC Switch) 1 42 3 ZERO TRUST ARCHITECTURE (Nexus 9000 with ACI) EPG 1 “WEB” EPG 2 “APP” 1 2 3 4 Whitelist policy = Explicitly configured ACI contract between EPG 1 and EPG 2 allowing traffic between their members ACI architecture allows flexible EPG membership, enabling wide range of security policies
- 17. 17© 2013-2014 Cisco and/or its affiliates. All rights reserved. УПРОЩЕНИЕ ACL / интеграции сетевых сервисов Cisco ASA / ASAv, SLB и т.п. Файл с описанием Возможностей Устройства Device Package Device Specification <dev type= “f5”> <service type= “slb”> <param name= “vip”> <dev ident“210.1.1.1” <validator=“ip” <hidden=“no”> <locked=“yes”> FW/SLB/DDoS Device Model Device-Specific Python Scripts APIC Script Interface Script Engine Device Interface: REST/CLI Service Device
- 18. 18 Интеграция FMC с APIC: Rapid Threat Containment FMC Remediation Module для APIC DB EPG ACI Fabric App EPG Infected App1 Шаг 4: APIC быстро перемещает заражённый узел в карантинную микросегментационную uSeg EPG Шаг 1: Заражённый узел начинает атаку, обнаруживаемую и блокируемую NGFW(v), FirePOWER Services в ASA или FirePOWER appliance Шаг 2: Событие о попытке вторжения генерируется и передаётся на FMC с информацией о заражённом хосте Шаг 3: На основании события атаки срабатывает remediation модуль для APIC, использующий API для сообщения APIC о зараженном узле 1 FMC App2 2 34
- 19. 19
- 20. 20 Enabling Group-based Policies in each Domain Web App DB ACI FabricSD-Access Fabric Voice Employee Supplier BYOD Data Center APIC Policy Domain APICCampus / Branch SD-Access Policy Domain Voice VLAN Data VLAN Shared Policy Groups DB SG-ACL Contract DB SG-FW BRK DCN -248 9 2 0 WEB
- 21. 21 Политики безопасности с учетом уровня угрозы DEFCON (аббревиатура, англ. DEFense readiness CONdition — готовность обороны) — шкала готовности вооружённых сил Соединённых Штатов Америки. Стандартный протокол в мирное время — DEFCON 5. DEFCON 1 соответствует ожиданию немедленной полномасштабной атаки Global DEFCON Use Case 5 4 3 2 1 Policies Apply Local policy sets for high-risk locations, compliance-critical environments 1 2 3 4 5 Policies 1. London DCs 2. High Risk Sites 3 PCI Zones 4. Development locations 5. NY Data Centers ü Сегментация
- 22. 22 Политики DefCon для сети Ограничение распространения Multiple levels of policy sets Applied globally Сегментация
- 23. 23 Инструментарий (микро)сегментации Cisco ACI EPG и контракты Модель политик ACI Изоляция внутри EPG Микросегментация с использованием атрибутов Интеграция с сервисами L4/L7
- 24. 24 Для физических и виртуализованных серверов Intra-EPG Изоляция: • DVS • AVS µSeg EPG с Атрибутами: • DVS 9300-EX • AVS Intra-EPG Изоляция: • Microsoft Virtual Switch µSeg EPG с Атрибутами: • Microsoft Virtual Switch Intra-EPG Изоляция: • Поддерживается µSeg EPG с Атрибутами: • Roadmap Intra-EPG Изоляция: • Поддерживается µSeg EPG с Атрибутами: • IP EPG 9300-EX • MAC EPG планируется
- 25. 25 ACI Stateful Distributed Firewall with AVS OpFlex VM VMware ESXi Server VM VM VM VMware ESXi Server OpFlex AVS AVS VM VM
- 26. © 2015 Cisco and/or its affiliates. All rights reserved. 26 Cisco AVS and Nexus 1000v Evolution Guy Brunsdon Session ID
- 27. 27 NG AVS Не зависит от VMware Kernel API Текущий AVS Hypervisor Dependent Policy Enforcement, Services, Telemetry NG AVS Hypervisor Agnostic Native vSwitch VM Switching + Policy Enforcement VM VM VM VM VM AVS AVE
- 28. 28 NG AVS Гипервизор-независимый ToR Switch APIC Server1 Hypervisor Switch Server2 Hypervisor Switch Server3 Hypervisor Switch Virtual Service Engine Hypervisor Switch VMware vCenterOpenStack Microsoft SCVMM Virtual Service Engine Virtual Service Engine Virtual Service Engine
- 29. 29 NG Application Virtual Switch (AVS) Сервисная VM APIC Policy Manager (PM) Leaf PE + OE ESX OpFlex Library Northbound APIs AVS VEM AVS Agent Leaf PE + OE ESX VMware VDS AVS DP CentOS DPDK Opflex+Agent • CentOS Service VM • DVS PVLAN перенаправляет трафик • DPDK ускоряет обработку данных AVS • Гипервизор pass-through • Полный функционал AVS • Не зависит от Гипервизора • Migration workflow • Идентичные EPG, политики • vMotion через DVS
- 30. © 2017 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Инновации в ACI фабрике CY14 CY15 CY16 CY17 ACI Мульти-Под Мульти-Сайт Стретч Фабрика
- 31. © 2017 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Области конкурентного превосходства Инфраструктура и Управление фабрикой Виртуализация Сетевая Безопасность Открытая Экосистема
- 32. © 2017 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Новинки в ACI 3.0 Оборудование, безопасность, масштабирование, удобство использования, расширение Policy-Driven Infrastructure Управление Фабрикой • Multi-Site • Обновленный графический интерфейс APIC • Изящная вставка и удаление • QinQ мапинг в EPG • TCAM Tile Infra • Протокол времени задержки и точности Инфраструктура • Nexus 9364C (Фиксированный Spine) • Nexus 9348GC-FXP (1G Leaf) • N9K-X9736C-FX (Spine LC) • Входящий QoS на EPG Virtualization • Поддержка Kubernetes • VMM: Отложенное подключение EP для DVS и AVS • AVS: Маркировка QoS Marking Безопасность • Улучшения микросегментации • 802.1X – Аутентификация • 2-х факторная Аутентификация • Безопасность первого хопа
- 33. © 2017 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 100G линия MACSEC и VTEP-VTEP шифрования на 16 портах * 40 МБ интеллектуального буфера Гибкие шаблоны TCAM Маршруты 1M + IPv4 Маршрутизация VXLAN QSFP28 - совместим с 40G QSFP + Гибкая скорость 1,10,25,40,50,100G 6.4 Tб L2/3 ASIC Nexus 9364C 64p 40/100G - ACI Фиксированный Spine * future Идеально подходит для небольших фабрик Поддержка смешанных конструкций Leaf 1-го и 2-го поколения Поддержка смешанных 40/100G фабрик
- 34. © 2017 Cisco and/or its affiliates. All rights reserved. Cisco Confidential N95k Линейная карта 36p 40/100G Spine N9K-X9736C-FX: • ACI Spine, 36x100G портов • MACSEC и VTEP-VTEP криптование
- 35. © 2017 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Nexus 9348GC-FXP ACI Leaf: 48p 100M/1G, 4p 10/25G, 2p 40/100G Гибкие скорости 100M, 1,10, 25, 40,100G L2/L3 ASIC 40 MB 40 МБ интеллектуального буфера Два блока питания • Приложение для Gigabit Ethernet • Ширина полосы пропускания 696 Гбит/с 250 Mpps
- 36. © 2017 Cisco and/or its affiliates. All rights reserved. Cisco Confidential VM VM VM ЦОД A ЦОД B ЦОД C ЦОД D VM VM VM ACI Мульти-сайт Multi-Site контроллер Целостная политика на сайтах Бесшовная миграция нагрузки Единая точка оркестрации Полная изоляция сбоев
- 37. © 2017 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Де-комиссия узела от фабрики Устранение проблем Ре-комиссия узла 1 2 3 L2/L3 GIR перенаправляет трафик данных на альтернативные пути и позволяет устранять неполадки, обслуживание и обновление узла. Упрощенная вставка и удаление (GIR)
- 38. 38 WAN Core or Dark Fiber Link MACSEC Link MACSEC Nexus 9000 MACSEC Encryption Portfolio Q3CY17 X9736-FX Line Card Q3CY17 N9K-C9364C Switch Nexus 9300-FX Access Series Mid CY17 MACSEC Interoperability • NCS500/ASK9K • 3rd Party Platforms
- 39. © 2017 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Унифицированная сеть: «Контейнеры, виртуальные машины и физические сервера Интеграция сетевых политик Kubernetes и политик ACI Видимость: статистика в реальном времени в APIC для каждого контейнера и показатели здоровья Интеграция Контейнеров Node OpFlex OVS Node OpFlex OVS ACI и Контейнеры
- 40. © 2017 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Zero Trust Security Dot1X Аутентификация End Point Аутентификация для классификации EPG Поддерживается только на физических хостах Поддержка на ‘-EX’ и ‘-FX’ Гипервизоры и КонтейнерыРазвитие ü ACI 3.0 ACI 3.0 Bare-Metalü Hypervisor Radius Аутефикация dot1x Secure EPG Bare-Metal ü Pass Fail Pass
- 41. © 2017 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Функции безопасности первого хопа • 5 поддерживаемых функций IPv4/v6 • Уровень BD 1. DHCP Snooping/Inspection 2. Dynamic ARP/ND Inspection 3. IP Source Guard 4. RA Guard v6 • Уровень EPG 1. Trusted EPG • FHS политики только для Leaf • ACI 3.0 поддерживает только PhyDoms • VMM поддержка в будущем
- 42. © 2017 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 2-х факторная аутентификация • Внешняя аутентификация APIC • SAML • IDP support Microsoft ADFS and Okta • Локальная аутентификация APIC • TOTP используя Google Authenticator для 2го фактора pin/баркод
- 43. © 2017 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Контракты внутри EPG • ACI 3.0 поддерживает“Intra-EPG Контракты” • Позволяет использовать политики «белого» трафика внутри EPG • Может сосуществовать с контрактами между EPG • Устраняет необходимость создания микро-EPG или развертывания внешних FW для сегментации внутри EPG • Применяется на Leaf (EX или выше) • Поддерживается для VMWare vDS и Физических серверов EPG Web EPG DB C1 C2 C3
- 44. © 2017 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Реализация контракта Intra-EPG • vDS реализация: • Intra-EPG Isolation + Contract allow rules (PVLAN + Proxy-ARP + Deny-All + Allow rule) • Физические хосты: • Intra-EPG Isolation + Contract allow rules (Proxy-ARP + Deny-All + Allow rule) Deny-All Allow SQL Allow SSH 22 Allow Https 443 Intra-EPG Policy-Cam Table Programming
- 45. © 2017 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Улучшение Масштабируемости FEX До 650 / Fabric До 20 / Leaf Leafs До 400 на Фабрику 8 Border Leafs per L3 Out Multicast Groups До 8,000 (S,G) routes with Convergence of 5 seconds Bridge Domains До 21,000 (L2), 15,000 (L3) До 1750 Bridge Domains/VRF 3967 VLANs per leaf 3967 VLANs + BDs EPGs До 15000 До1k L3 EPGs/EX-Leaf 4k L3 EPGs for one tenant и one context 250 Isolated EPGs Other До 200 vCenters До 2,000 Contracts До 61k TCAM Rules 500 Service Graphs Per Cluster До 12 Pods in Multi-Pod Tenants До 3000 Layer-3 50 VRFs Per Tenant , 1k Ips/MAC
- 46. 46 Удаленный PoD Удаленный Leaf Multi-Pod / Multi-Site Расширение в Мульти-Облако ACI Vision ONE Intent: Any Workload, Any Location, Any Cloud ACI Anywhere IP WAN IP WAN Удаленные Площадки Публичные ОблакаЛокальные сайты Безопасность Везде Политике ВездеАналитика Отовсюду
- 47. 47 Эволюция Сети ACI и Домена Политик ACI Fabric IPSite ‘A’ Site ‘n’ MP-BGP - EVPN Multi-Site Controller … ACI 1.0 Single Leaf Spine Fabric ACI 2.0 - Multiple Networks (Pods) in a single Availability Zone (Fabric) ACI 3.0 - Multiple Availability Zones in a Single Region ’and’ Multi-Region Policy Management ACI 1.1 Geographically Stretch a single fabric ‘and’ interconnect fabrics with IP based EPG’s ISE ISE 2.1 & ACI 1.2 – Federation of Identity and Interconnect TrustSec and ACI using IP based EPG/SGT
- 48. 48 Эволюция Сети ACI ACI 1.0(2m) ACI 1.2(1i) ACI 2.0(1m) ACI 2.2 ACI 3.0 Target Leafs per APIC Cluster 50 200 200 400 800 (with msite) Tenants 50 3k 3k 3k 3k Contracts/Filters 1k/10k 1k/10k 1k/10k 2k/10k 2k/10k Policy CAM per Leaf 4k 32k 32k 61k 61k EPGs/Endpoints 4k/100k 15k/180k 15k/180k 15k/180k 15k/180k vCenters per Fabric 5 10 50 200 200 Number of PODs in Multi-POD - - 4 6 12 Number of Sites - - - - 4
- 49. 49 Fabric Wide Segmentation Multi-tenancy at Scale Macro Segmentation 2K VRF + 6K TCAM ACI Micro-Segmentation at Scale 140K Security Policies per switchMacro Segmentation at Scale 16K VRF per switch PROD POD DMZ SHARED SERVICES Basic DC Segmentation DEV TEST PROD Application Lifecycle Segmentation SUB NET WEB WEB WEB SUB NET DB DB DB SUB NET APP APP APP SUB NET WEB WEB WEB SUB NET DB DB DB SUB NET APP APP APP SUB NET WEB WEB WEB SUB NET DB DB DB SUB NET APP APP APP SUB NET WEB WEB WEB SUB NET DB DB DB SUB NET APP APP APP SUB NET WEB WEB WEB SUB NET DB DB DB SUB NET APP APP APP SUB NET WEB WEB WEB SUB NET DB DB DB SUB NET APP APP APP SUB NET WEB WEB WEB SUB NET DB DB DB SUB NET APP APP APP SUB NET WEB WEB WEB SUB NET DB DB DB SUB NET APP APP APP SUB NET WEB WEB WEB SUB NET DB DB DB SUB NET APP APP APP SUB NET WEB WEB WEB SUB NET DB DB DB SUB NET APP APP APP SUB NET WEB WEB WEB SUB NET DB DB DB SUB NET APP APP APP SUB NET WEB WEB WEB SUB NET DB DB DB SUB NET APP APP APP ASE-2, ASE-3, LSE LSE
- 50. 50 Пример: Онлайн магазин Acme Co. Web Приложение (Пример основан на Open Source Joomla CMS)
- 51. 51 WAN Дизайн приложения для Acme Web App WAN http://172.16.1.100 VIP - 172.16.1.100 Web Application protected by a NGFW at the perimeter 172.16.10.0/24 Web VM1 DB VM Web VM2 Single Subnet to simplify IPAM tcp/3306 tcp/80 tcp/80 Web VM1 Web VM2 VM MySQL Joomla Web Application Web Database Production Load Balancer can reach web servers, but not the DB Web Servers reach DB via NGFW, but do not need to talk to each other
- 52. 52 JoomlaAppServers Ansible Server Provisioning Tools Web Database Dev WAN Онлайн магазин Acme Co. tcp/80 tcp/80 Web VM1 Web VM2 VM MySQL Joomla Web Application Web Database Prod Web VM3 tcp/3306 http://172.16.1.100/acme 172.16.1.100 Test vDesktops VM MySQL 172.16.10.200
- 53. 53 Web Database Dev WAN Acme Co. – Web App for online Shop tcp/80 tcp/80 We b VM 1 We b VM 2 VM MySQL Joomla Web Application Web Database Prod tcp/3306 http://172.16.1.100/acme 172.16.1.100 Test vDesktops VM MySQL Web Database Test VM MySQL HAProxy 172.16.1.200 Test Site: http://172.16.1.200/acme Web VM3 Pool automatically updated by APIC when VM moves into uEPG New VM added to NGFW rules allowing DB access
- 54. 54 54 ! ! С чего можно начать? Минимальная конфигурация инфраструктуры ACI Nexus 9364С 64x40/100Gb Spine Nexus 9364с 64x40/100Gb Spine Nexus 93180YC-EX 48x 10/25Gb SFP+ 6x 40/100Gb QSFP Nexus 93180YC-EX 100G 10G Кластер APIC (3 контроллера) GPL $194k APIC Cluster100G
- 55. 55 OPERATION DESIGN OPERATION DESIGN OPERATION DESIGN same VLAN / Подсети в EPG Знания о Приложениях/ Безопасность/ Жизненный цикл… Миграция в новую модель EPG Гибридный дизайн Знания о Приложениях/ Безопасность/ Жизненный цикл… VLAN / Подсети в EPG 2 1 3
- 56. 56 Облачная автоматизация - ACI с vRealize Интеграция ACI c vRealize для внедрений под vSphere Day Zero Operations Инициализация фабрики Развёртывание инфраструктуры Домены безопасности Day 1/ Day 2 Operations Shared Services Plans Virtual Private Cloud Сети, подсети, безопасность ACI Policy Driven vRealize Automation Blueprints to Accelerate Application Deployment С релиза 1.2 vRealize Suite APIC REST APIvSphere SDK Compute Network & Services vRealize Orchestrator (vRO 6.x) vRealize Automation (vRA 6.x) vCenter Plugin APIC Plugin
- 57. 57 Интеграция решений Microsoft и ACI Два режима интеграции • Управление политиками: посредством APIC • Software / License: Windows Server с HyperV, SCVMM • Обнаружение виртуальных машин: OpFlex • Инкапсуляция: VLAN, NVGRE (План) • Установка plugin-а: в ручную Интеграция с SCVMM APIC Интеграция с Azure Pack APIC • Расширение возможностей SCVMM • Управление политиками: посредством APIC или через Azure Pack • Software / License: Windows Server с HyperV, SCVMM, Azure Pack (бесплатно) • Обнаружение виртуальных машин: OpFlex • Инкапсуляция: VLAN, NVGRE (План) • Установка plugin-а: интегрирована +
- 59. 59© 2013-2014 Cisco and/or its affiliates. All rights reserved. Анализ Аналитика позволяет принимать правильные решения Что происходит? Почему это произошло? Что скорее всего может произойти? Что следует делать по этому поводу? Объяснить Диагностировать Предсказать Подсказать Данные Raw & Processed Network/Ops Data Mobile Internet CRM & ERP Events AlarmsSocial MediaVideo Email and Messaging Usage Machine and Sensors Geolocation Relationships and Social Influence Технологии Больших Данных собрать, объединить, обработать, обобщить, визуализировать
- 60. 60© 2013-2014 Cisco and/or its affiliates. All rights reserved. Это НЕ узкоспециализированный инструмент Это аналитическая платформа на базе машинного самообучения Она может использоваться разными департаментами, для разных целей.
- 61. 61 Приложения и автоматизация политик © 2017 Cisco and/or its affiliates. All rights reserved. 61 Разворачивается за несколько часов; автоматически предложенная политика на основе данных в реальном времени менее чем через неделю Возможность промоделировать результат применения политики на реальном историческом трафике до внедрения Традиционный TETRATION 1 2 3 4 Нанять консультанта Собрать логи, побеседовать с командами … Выявить зависимости приложения Проверить с каждой группой пользователей Стоимость $1M-$5M; несколько мес 70% сокращения расходов и времени (Cisco IT) 5 Статичная карта, запросы на изменения 6 Применить политику, убедиться, что приложения после этого работают
- 62. 62 Tetration Analytics: варианты развертывания Cisco Tetration Analytics (Large Form Factor) • Подходит для внедрений с более чем 1000 серверов • Встроенная отказоустойчивость • Масштабируется до 10 000 серверов Включает в себя: • 36 серверов UCS C-220 • 3 коммутатора Nexus 9300 Cisco Tetration-M (Small Form Factor) • Подходит для внедрений с не более чем 1000 серверов Включает в себя: • 6 серверов UCS C-220 • 2 коммутатора Nexus 9300 Cisco Tetration Cloud • Платформа располагается в облаке Amazon AWS • Подходит для внедрений с менее чем 1000 серверов • Ресурсы используемые в облаке AWS принадлежат заказчику Варианты размещения на месте В публичном облаке
- 63. 63 Обзор зависимостей - c точки зрения потоков Анализируемое приложение Потоки к другим приложениям (внутри ЦОД) Потоки в пределах внутренней сети Потоки в / из Интернета
- 64. 64 Практические примеры использования • Высокая наглядность • Миграция ЦОД • Переход на услуги предоставляемые из облака • Слияния, поглощения и отчуждения • Безопасность • Микросегментация с контролем применения • Проверка соответствия • Изоляция устаревших приложений • Поиск • Проверка потоков Картографирование зависимостей приложений Автоматическое создание политик «белого списка» Проверка соответствия политиками и моделирование Расследование событий (пример: поиск потока и аномалии потока) Обеспечение соблюдения политик
- 65. 65
- 66. © 2017 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Optimize Your Network Protect Your Business Integrate Hybrid IT С помощью Cisco ACI вы можете создать лучшую сеть ... anywhere.
- 67. Thank you.