Controlware Automated Networks Roadshow 2018

Transkript

1 Controlware Automated Networks Roadshow 2018 Matthias Neumann Netzwerk Consultant Avaya Certified Expert #00050 Berlin,

2 Extreme Networks Fabric Connect auf Basis von Shortest Path Bridging (SPB) Folie 2 - Warum SPB? - Vorteile - SPB wie funktioniert es? - Stealth Networking

3 Extreme Networks Fabric Die Automatisierung des Netzwerkkerns basiert auf Extreme Networks erweitertem Shortest Path Bridging und ermöglicht sichere Zoneneinteilung von Netzwerken Vollständig integriertes und optimiertes IP-Routing- und Multicast-Dienste Fabric Connect Fabric Extend Ermöglicht die netzwerkweite Erweiterung von Extreme Networks Fabric Connect über private und Service-Provider-IP-Infrastrukturen für Interworkingund Multi-Site-Konnektivität von Drittanbietern Integriertes System zur Verwaltung und Orchestrierung der Ethernet Fabric mit offenen API s Folie 3 Fabric Orchestration Fabric Attach Ermöglicht die Automatisierung am Netzwerkrand und verwendet einen auf Standards basierenden Ansatz für die einfache und sichere Verbindung einer breiten Palette von Benutzer- und IoT- Geräten

4 IEEE 802.1Q (802.1Q-2014) Shortest Path Bridging (SPB) Bestandteil zu Bridges and Bridged Networks" Standard (IEEE Std 802.1Q-2014, Kapitel 27-28, Seite: ) Aufbauend auf Provider Backbone Bridging/Mac-In-Mac-Enkapsulierung nach IEEE 802.1ah Hohe Skalierbarkeit, da Mac-Adressen der Servicenetze im SPB Bereich nicht sichtbar Standardisiert 29. März 2012 Kontrollprotokoll für SPB ist IS-IS Nur zwischen SPB Switchen Ermittlung und Verbreitung der Netzwerktopologie und Service-IDs sowie Berechnung der Shortest- Path-Trees 4 Folie 4

5 Warum Shortest Path Bridging? Einfacher Betrieb Plug&Play Services durch End-Point Provisioning Maximale Netzwerkverfügbarkeit Vorhersagbares Netzwerkverhalten Optimale Bandbreiten-Nutzung Höchste Designflexibilität Immun gegen Fehlerzustände in der Kunden-Domain Schnelle Konvergenz (20ms 80ms) Reduziert Netzwerkfehler durch Administratoren Folie 5

6 Extreme Fabric Connect Vorteile der Fabric Einfache VLAN Erweiterungen (VLAN Extension) Offen und interoperabel (IEEE 802.1aq, IETF RFC 6329) Multiservice Netzwerkvirtualisierung plus optimiertes Routing und Multicast Mandantentrennung ohne Komplexität von MPLS (256 parallele VRFs) Dynamischer Auf- und Abbau von Services ~16 Millionen Services (I-SIDs) stehen innerhalb der Fabric zur Verfügung Nutzung aller Verbindungen für optimale Netzwerkbandbreite Maximale Flexibilität beim Netzwerk Design (Star, Ring, Mesh) Automatisierung des Netzwerkanschlusses - Auto-Attach (IEEE 802.1Qcj) 6 Vorteile der Extreme-Lösung Fabric kann parallel zu einer bestehenden L2/L3-Lösung betrieben werden Im gleichen Netz Auf dem gleichen Switch (Software unterstützt parallel L2/L3 und SPB) Keine Mehrkosten: SPB ist in Standard- und Premium-Software enthalten Integration in offene Management-Systeme durch XMC Gesamtheitliche Lösung für Datacenter, Core, Distribution und Edge Folie 6

7 Traditionelles versus SPBm-basiertes Ethernet Herkömmliches Ethernet SPBm-basiertes Ethernet Flood & Learn als Routingprotokoll IS-IS als Routingprotokoll Erfordert Schleifenfreiheit Bedingt Spanning Tree Protocol (STP) und blockt damit redundante Wege Bietet Schleifenfreiheit durch Shortest Path + Reverse Path Forwarding Check (RPFC) Nutzt alle Wege Folie 7 Bringt Wege-Hierarchie und damit oft lange Wege (Baumtopologie) 2017 Extreme Networks, Inc. All rights reserved Ist Topologie-offen (Mesh, Ring, Stern) und nutzt immer kürzesten Weg

8 Shortest Path Bridging wie funktioniert es? Schritt 1 1. IS-IS ermittelt die Kernnetz-Topologie und baut automatisch Bäume (trees) von jedem Knoten zu allen anderen Knoten im Netz auf Unified Management Wichtige Eigenschaften: Shortest Path Tree basiert auf den Link Metriken ohne blockierte Pfade RPFC eliminiert Schleifen Symmetrischer Datenpfad zwischen beliebigen zwei Knoten bietet ein geschlossenes OAM System Unicast Pfad existiert nun von jedem Knoten zu jedem anderen Folie 8 RPFC Reverse Path Forwarding Check IS-IS Intermediate System Intermediate System I-SID Service Identifier in IEEE 802.1ah frame OAM Operation, Administration, Maintenance

9 Shortest Path Bridging Schritt 2 Unified Management 2. Ein VLAN, das am Anschlusspunkt (Edge) des Netzes konfiguriert ist, wird auf ein Virtual Service Network abgebildet durch Nutzung des Service Identifier (I-SID) Vlan CREATE I-SID=100 Wichtige Eigenschaften: Ein (oder mehrere) VLAN pro Virtual Service Network Ein Kommandofür Zuordnung VLAN zu I-SID Keine Konfiguration des/der VLANs in den Transitknoten vlan i-sid Vlan 20 vlan i-sid Folie 9 RPFC Reverse Path Forwarding Check IS-IS Intermediate System Intermediate System I-SID Service Identifier in IEEE 802.1ah frame OAM Operation, Administration, Maintenance

10 Shortest Path Bridging Schritt 3 3. IS-IS verbreitet alle neuen Services und communities of interest sowie die Topologie-, MAC-Adress-, und I-SID-Informationen im Netzwerk Wichtige Eigenschaften: IS-IS ist ein natürliches Layer 2 Routing Protokoll bietet any to any Konnektivität MAC-in-MAC Enkapsulierung (802.1ah) des customer Verkehrs bietet massive Skalierbarkeit im SPB Netzwerk Vlan Vlan 20 Unified Management Folie 10 RPFC Reverse Path Forwarding Check IS-IS Intermediate System Intermediate System I-SID Service Identifier in IEEE 802.1ah frame OAM Operation, Administration, Maintenance

11 Shortest Path Bridging Schritt 4 Unified Management 4. Knoten erhalten Kenntnis von einem neuen Service auf dem Shortest Path dann wird die Routingtabelle ( Forwarding Data Base ) aktualisiert mit den I-SID Service spezifischen Einträgen Vlan CREATE I-SID=100 Wichtige Eigenschaften: Alle Verkehrstypen nutzen den gleichen Pfad (Unicast und Broadcast) keine Chance für out of order Pakete Voll QoS-fähige Infrastruktur Vlan Vlan 20 Folie 11 RPFC Reverse Path Forwarding Check IS-IS Intermediate System Intermediate System I-SID Service Identifier in IEEE 802.1ah frame OAM Operation, Administration, Maintenance

12 Shortest Path Bridging Stealth Networking innerhalb einer Layer 2 Domain (L2VSN) oder eines dedizierten VRFs* (L3VSN) Alle SPB-Knoten, die keine Zuordnung des I-SID 100 haben, treten nicht in Erscheinung (Stealth Networking) und können somit auch aus dem L2-Virtual Services Network (VSN) mit dem I-SID 100 nicht erreicht oder attakiert werden UNI Extreme Fabric Connect Fabric Connect basiert nicht auf IP Routing, sondern auf geswitchten Ethernet Pfaden, die komplett unsichtbar gegenüber IP Forensik- Techniken sind. Vlan 30 I-SID100 SPBm NNI UNI Eine Erkennung von Core Komponenten vom Service-Endpunkt (UNI) aus ist im L2VSN nicht möglich Vlan 20 I-SID100 UNI Vlan 10 *VRF = Virtual Routing and Forwarding Instanz (Virtual Router) VSN = Virtual Services Network SPBm = Shortest Path Bridging (MAC-Based encapsulation) NNI = Network Node Interface UNI = User Network Interface Folie 12 Vlan-Translation möglich, entscheidend ist der gemeinsame I-SID I-SID100

13 Kurzvorstellung: - VSP-Serie und ERS-Serie Management - Netzwerkmanagement-Systeme Extreme EFO / Com Plus & XMC Folie 13

14 VSP-Serie und ERS-Serie Kurzvorstellung Management Integrierte und einheitliche Web-GUI zur Konfiguration aller Parameter und Live-Darstellung aller Zustände Nahezu gleiches CLI nach Industrie-Standard Lifetime Warranty aller nicht-modularen Chassis der VSP- und ERS-Serie 60 Tage Testlizenz aller Premier-Features auf der VSP-Plattform automatisch aktiviert MACSEC-fähig an allen Ports (Premier-Lizenz) ERS-Serie kann im SPBM-Modus (Fabric Connect) oder im Fabric Attach-Modus betrieben werden Folie 14

15 Netzwerkmanagement: EFO / COM Plus Extreme Fabric Orchestrator und Configuration Orchestration Manager Plus sind aktuell noch die Plattform für die vollständige Administration der VSP- und ERS-Serie, sowie der Netzwerkservices Folie 15

16 Netzwerkmanagement: Extreme Management Center (XMC) Das Extreme Management Center (XMC) wird die Funktionen des EFO / COM Plus zukünftig übernehmen und stellt aktuell das Management der EXOS-Serie dar und in Grundlagen die der VSP- und ERS-Serie Folie 16 XMC - Analytics

17 Controlware Kundenprojekte auf Basis SPB (Auszug) Folie 17

18 Controlware Kundenprojekte Die Umsetzung dieser kritischen Infrastruktur eines Kunden im Energiesektor erfolgte bereits im Jahr 2015 auf Basis von Fabric Connect nur in Layer 2. Die bereits vorher bestehende Infrastruktur wird parallel zur neuen Infrastruktur weiter betrieben, bis die Migration aller Services in die neue Infrastruktur abgeschlossen ist. Das Routing innerhalb der ~1000 Segmente (Services) übernehmen vier Fortinet Firewalls als ein Cluster. Die Wahl der Topologie unterliegt den jeweilgenörtlichen Gegebenheiten und ist grundsätzlich frei wählbar. Alle Verbindungen sind aktiv, in der finalen Ausbaustufe durch die SPB-Knoten selbst via MACSec Layer 2 verschlüsselt. Die Provisionierung der jeweiligen Layer 2 Services erfolgt ausschließlich an den Endpunkten der Fabric und an den Übergabepunkten zu den Firewall-Systemen. Die Stromversorgung der ERS5900 ist redundant, jeweils durch ein AC- Netzteil und DC-Netzteil, welches batteriegepuffert gespeist wird. Zum Einsatz kommen hier jeweils für den Core die VSP8400 und im Produktionsumfeld die ERS5900, die sich besonders für die ringförmige Anbindung der Standorte über Fabric Connect und Layer 2 Verschlüsselung bewährt haben. Folie 18

19 Controlware Kundenprojekte - Detail L3VSN - Stealth hyper-segmented network mit GRT (VRF0) Isolation DC 1 DC 2 Alternative Konfiguration als L3VSN (IP-VPN): conf t router vrf vrf-blue ipvpn i-sid ipvpn enable mvpn enable (optionales Multicast-Routing aktiviert) exit Stealth Layer 2 Network (L2VSN) I-SID vrf-blue Firewall Stealth Layer 2 Network (L2VSN) I-SID vrf-red Vlan / L2VSN User Data Planes Firewall GRT (VRF0) Base IP Forwarding Plane IT Management only! = Virtual Routing and Forwarding Instanz (Virtual Router) GRT = Global Routing Table VSN = Virtual Services Network Folie 19 Stealth Layer 2 Network (L2VSN) I-SID Stealth Layer 2 Network (L2VSN) I-SID Layer 2 VSN I-SID 100 (GRT) vrf-green vrf-yellow GRT IPv4 Shortcuts I-SID 500 (Device Mgmt-Vlan) Vlan / L2VSN Das IP-Management von Core Komponenten kann aus einem VRF heraus nicht erreicht, evaluiert oder attakiert werden. Die Bewegungsfreiheit ist grundsätzlich nur innerhalb eines VRF möglich und durch Firewalls in andere VRFs erheblich nach Vorgaben der IT eingeschränkt. Der mögliche erfolgreiche Angriff auf IT-Ressourcen innerhalb eines dedizierten VRF s betrifft hier lediglich ein Subnetz und nicht das gesamte Netzwerk, was sich unterscheidet zwischen einer lokalen Störung oder einem Desaster.

20 Controlware Kundenprojekte Extreme Fabric Connect Shortest Path Bridging SPBM - IEEE 802.1Q-2014 Für unseren langjährigen Kunden aus dem Bereich Automobilzulieferer haben wir im Jahr 2014 den Core-Cluster, wie auch das gesamte Datacenter auf Basis von Fabric Connect am Hauptstandort in Deutschland erneuert. Die Implementierung erfolgte parallel zur bisherigen Infrastruktur im laufenden Betrieb, ohne Ausfall, der für die Produktion notwendigen Ressourcen. CDP virtueller InterSwitchTrunk vist Etherchannel CDP Im Jahr 2017 sind an 6 weiteren Standorten des Kunden redundante Core-Cluster auf Basis von FabricConnect durch die Controlware vor Ort installiert und in Betrieb genommen worden, an denen, die zum Teil noch ursprüngliche Infrastruktur eines anderen Herstellers terminiert, bis der vollständige Austausch erfolgt ist. Das zentrale Netzwerk-Management aller weltweiten FabricConnect Komponenten erfolgt mandantenbasiert in Deutschland. Zum Einsatz kommen hier jeweils für den Core die VSP8200 / VSP8400, im Datacenter die VSP7254 und im Produktionsumfeld die ERS4900, die sich besonders im Umfeld mit höheren Temperaturen gut bewährt haben, sowie zusätzlich eine ringförmige Anbindung innerhalb der Standorte ermöglicht. Folie 20

21 Controlware Kundenprojekte - Detail Active-ActiveAnbindung nicht-spb-fähiger Geräte Koexistenz von Switch Cluster und SPBM Active Standby LAN A BEB SPBM Fabric IS-IS Routing Virtual IST SMLT/MLAG optional CDP LAN A Mit welchem Flugzeug würden Sie lieber fliegen? Split BEB Active Active Switch-Clustering ermöglicht Active-Active Anbindung eines Nicht-SPB-fähigen Switches (MLAG) mit Lastverteilung des Verkehrs sowohl zum SPBM Backbone, als auch in Richtung des traditionellen LANs Moderne Switches nutzen für die Synchronisierung im Cluster einen virtuellen Inter-Switch Trunk (Virtual IST), welcher auf einem L2 VSN basiert IST Switch Cluster SPBM Knoten Folie 21 SPBM Shortest Path Bridging MAC-in-MAC VSN Virtual Services Network SMLT Split Multi-Link Trunking IST Inter Switch Trunk BEB Backbone Edge Bridge MLAG Multi-Chassis Link Aggregation Group LAN Switch (ohne SPB)

22 Controlware Kundenprojekte Für unseren langjährigen Kunden aus dem Bereich Governmenthaben wir im Jahr 2017 über eine EU-weite Ausschreibung die Erneuerung der gesamten Switching Infrastruktur gewonnen. Die Implementierung der Core und Datacenter Komponenten erfolgte parallel zur bisherigen Infrastruktur. Im Zuge dieses Projektes wurde auch flächendeckend 802.1x implementiert. Zum Einsatz kommen hier jeweils für den Core die VSP8200, im Datacenter die VSP7254und im Produktionsumfeld die ERS5900, die sich besonders für die ringförmige Anbindung der Standorte über Fabric Connect bewährt haben. In der Ausgangssituation sind hier mehrere Ringe mit OSPF verbunden, die aber schrittweise auf Fabric Connect umgestellt werden. Folie 22

23 Haben Sie noch Fragen oder gibt es Unklarheiten? Folie 23

24 Vielen Dank für Ihre Zeit und Aufmerksamkeit! Thank you very much for your time and attention!

25 IEEE 802.1ah Frame Format (MAC-in-MAC) SPBm nutzt diesen Standard Service Instance ID (3 Byte) Backbone Adressen B-DA B-SA B-VID I-SID DA SA C-VID Daten Nutzerdaten Nutzer/Edge Adressen Kein Lernen von Nutzer-MAC-Adressen Nutzer MAC-Adressen sind versteckt hinter dem Backbone MAC Header das Kernnetz lernt keine Kunden-MAC-Adressen Virtualisierung Service-Instanz (I-SID) ermöglicht die Trennung/Virtualisierung der Netzwerkinfrastruktur vom Netzwerkservice (VLAN, L2 VPN, L3 VPN, Routing) 3 Byte, daher ca. 16 Millionen von virtuellen Netzen möglich Kunden-VLAN (C-VID) wird auf Service-Instanz (I-SID) abgebildet Folie Extreme Networks, Inc. All rights reserved

26 SPBm nutzt IEEE 802.1ah MAC-in-MAC Encapsulation (Provider Backbone Bridging) Kunden LAN Kunden VLANs Folie 26 Payload SA DA or Payload VLAN ID SA DA 802.1Q Service Identifiers Tunnel Identifiers 2017 Extreme Networks, Inc. All rights reserved Consolidated Service and Tunnel C-VID SA DA I-SID B-VID B-SA B-DA Payload 802.1ah Provider Backbone Bridges Legende: SA = Source MAC address DA = Dest. MAC address VID = VLAN ID C-VID = Customer VID I-SID = 24 Bit Service ID B-VID = Backbone VID B-DA = Backbone DA B-SA = Backbone SA

27 Fabric Attach solution Elements Fabric Attach (802.1Qcj Auto Attach) VSP -Fabric edge (switch cluster) ERS Access EXOS-Access (wiring closet) ONA FA Client End devices/users Wired IoT device Non-FA device SPB & IS-IS Fabric Connect (FC) FA Server (BEB) vist FA Server (BEB) FA Proxy OVS / 3 rd Party FA Client WLAN AP FA Client Laptop/tablet/Smartphone Non-FA device IP Phone/PC/Printer/Camera Non-FA device PC/Server Switch (ERS3510) Non-FA device Non-FA device SPBM LLDP Control plane I-SID (MAC-in-MAC) VLAN (q-tag) Services Data plane FA Proxy & FA Clients are only concerned about attaching to the Fabric Service (I-SID) Fabric Attach attaches users to L2VSN I-SIDs only They have no need for to calculate a shortest path, as they all have a single logical uplink into the Fabric (stub connected) Folie Extreme Networks, Inc. All rights reserved

28 SPB Scalability Matrix SPB Capabilities VSP 8600 (6.1) VSP8000 (6.1) VSP7200 (6.1) VSP4450 (6.1) VSP4850 (6.1) ERS5900 (7.4) ERS4900 (7.4) ERS4800 (5.11) SPBM Operational Mode Chassis Chassis or Unit Unit Unit Unit Unit or Stack Unit or Stack Unit or Stack Number of SPBM regions SPBM Nodes per region Max distant BEBs I-SIDs can be shared with (see NOTE1) 1000? IS-IS adjacencies per node Logical IS-IS interfaces CVLAN / node (Normal/SMLT) SPBM L2VSN ISIDs per node 4000 Up to 4000 Up to 4000 Up to 1000 Up to SPBM L3VSN VRFs per node n/a n/a n/a NOTE1: This limit only applies to unicast traffic, which requires a MAC-in-MAC encapsulation applied, i.e. only applies to L2VSNs and L3VSNs. It does not hence apply to IP Shortcuts, nor does it apply to SPB Multicast. In practice IP Shortcuts and SPB Multicast over IP Shortcuts can scale beyond this limit up to the nodes per region limit While L2VSNs and L3VSNs (and SPB Multicast if enabled on them) is constrained to at most as many BEBs as this limit Folie 28 28

29 Rollen der Geräte innerhalb eines SPB Enterprise Network Design Folie Extreme Networks, Inc. All rights reserved

30 Layer 2 Virtualisierung mit SPB als L2 VSN (Virtual Services Network) Folie Extreme Networks, Inc. All rights reserved

31 Layer 3 Virtualisierung mit SPB als L3 VSN (Virtual Services Network) Folie Extreme Networks, Inc. All rights reserved

32 Customer VLAN CVLAN UNI Folie Extreme Networks, Inc. All rights reserved

33 Switched UNI Für den VSP7254 könnten hier für jeden der 48 User- Ports jeweils 4000 Vlans, jedoch pro Port mit unterschiedlichen I-SIDs provisioniertund dediziert zur Verfügung gestellt werden: Port 1 I-SID 1000 Vlan 10 Port 2 I-SID 2000 Vlan 10 Der Service für das Vlan 10 des Port wäre komplett isoliert gegenüber dem gleichen Vlan 10 am Port Vlans * 48 Ports = Services könnten hier an einem Switch bereitgestellt werden. Folie Extreme Networks, Inc. All rights reserved

34 Transpartent UNI Folie Extreme Networks, Inc. All rights reserved

35 Infrastruktur GRT IP Shortcut vlan / :13/64 SPBM Access BEB Backbone Edge Bridge Extreme Fabric Connect SPBM Backbone BCB Backbone Core Bridge IP Multicast Routing GRT IPv4 Shortcuts (Mgmt of devices) GRT IPv6 Shortcuts BEB Backbone Edge Bridge SPBM Access vlan / :14/64 Endsystem Endsystem Virtualisierte Dienste L2VSN vlan 10 IP Multicast Snooping I-SID vlan 10 vlan 9 IP Multicast Snooping I-SID vlan 19 L3VSN vlan /24 vlan /24 IP Multicast Routing IP Multicast Routing I-SID I-SID vlan /24 vlan /24 L2VSN L2VSN Folie 35 vlan /24 vlan /24 I-SID I-SID vlan 11 I-SID vlan 12 Inter-VSN L3VSN (oder IP Shortcuts) vlan /24

36 Traffic Tromboning DC Core R Spine Leaf Subnet yellow Subnet green Hosts Beim traditionellen Netzwerkdesign mit zentralem Routerkonzept kreuzt der Verkehr das Netz mehrfach, selbst wenn Quell- und Zielstation des Flows am gleichen Switch angeschlossen sind! Mit VRRP Backup_Masterinstanzen (BM) lässt sich dies etwas verbessern Folie 36 Das ändert sich auch mit einer SPB Fabric nicht! VRRP Backup Master hilft in einer Fabric-Umgebung nicht.

37 Distributed Virtual Routing (DVR) DC Core C C C C Spine Leaf L L L L L L L L L L L L Subnet yellow Subnet green Hosts Controller Nodes (C ) and Leaf Nodes (N) => Host Routes distributed Shortest Path Routing zwischen Servern in unterschiedlichen RZ, aber auch wenn Server am gleichen Switch in unterschiedlichen Subnetzen angeschlossen sind Eine DVR Domain wird über mehere Lokationen ausgedehnt sinnvoll insbesondere, wenn eine Verbindung der Lokationen über die Spine Ebene vorhanden ist (kein Routing/Switching über den DC Core ) Folie 37

38 Netzwerkarchitektur im Unternehmen Konventioneller Kern mit Switch-Cluster Kernbereich Verteilerebene Zugangsebene Rechenzentrum Switch Clustering Folie 38 Active Standby Active Active Mit welchem Flugzeug würden Sie lieber fliegen?