Cisco

Transkript

1 Cisco Dipl.-Ing. (FH) Holger Alix Lead Consultant / CCIE 6446 Competence Center Network Solutions Holger.Alix@controlware.de Folie 1 Roadshow Automated Networks Juni 2018

2 Projekt Ziele bei Controlware Cisco SD-Access im Überblick Cisco SD-Access im PoC Folie 2

3 Projekt Ziele bei Controlware Folie 3

4 Projektvorstellung Projekt Ziel: Erneuerung der LAN Infrastruktur in der Zentrale Dietzenbach - 14x User Access Port 1G mit PoE - Core 10G - Datacenter 10G Server / 40G DC Kopplung Folie 4

5 Projektvorstellung Projekt Ziel: - Flexible Nutzung der LAN Infrastruktur - Option für Mandanten wie Labor etc. Virtualisierung - Authentisierung der Endgeräte (802.1X / MacAuthBypass) - Automatisierung der Konfigurationen (Umzüge etc.) - Sichtbarkeit / Troubleshooting Tools für interne IT Folie 5

6 Projektvorstellung Warum SD-Access? - Automatisierung - Sicherheitsfunktionen X - Option für (encrypted) Traffic Analytics - Funktionale Trennung (Mandanten) Felderfahrung mit friendly Customer Folie 6

7 Projektvorstellung Projekt Ablauf (Phase1): - Planung - Proof-of-Concept (PoC) - (Parallel-)Installation - Migration Folie 7

8 Projektvorstellung Phase 2+: - Stealthwatch & ETA - WLAN (fabric-enabled) - SD-WAN (integriert mit Fabric) - Multisite Fabric(s) Folie 8

9 SD-Access Überblick Folie 9

10 Projektvorstellung Automatisierung Switch Rollout / Config Provisioning Endgeräte / User Identität als Basis der Portkonfiguration und/oder SG-Tag Sicherheit Policies ( wer mit wem ) = SGACL Port Authentisierung (802.1X) Optional Encrypted Traffic Analytics (ETA) Qualitätssicherung Datenanalyse Troubleshooting Tools Pfadanalyse SD-Access Überblick Folie 10

11 Projektvorstellung Basis ist eine IP-Fabric Transport: VxLAN / IP Controlplane: LISP / ISIS Fabric komplett Layer-3 Vorteile Bessere Handhabung im Vergleich zum traditionellen VLAN Design IP-Groups im SDA vgl. VLAN Existierten an versch. Access Switchen (FabricEdge) Lokales Routing am Edge Overlay Netze Ohne VRF-lite / MPLS Layer-3 und Layer-2 Overlays SD-Access Überblick Folie 11

12 SD-Access Überblick DNA Center Virtuell network Underlay Forwarding Physikalische Geräte und Verkabelung Intelligentes Packet Handling Maximale Netzwerk Verfügbarkeit Einfach und Managebar Flexible Overlay Services Segmentierung unternehmensweit Micro-Segmentierung Sicherheit Abbildung der notwendigen Unternehmensstruktur Folie 12

13 Projektvorstellung SD-Access Überblick Folie 13

14 Projektvorstellung SDA Rollen der Komponenten 1) FabricEdge: Access Switch Netzzugang lokales Routing Klassifizierung (QoS und SG-Tag) VxLAN Encapsulation Quelle: Cisco Systems; Digital Network Architecture Implementation Essentials v2.0 SD-Access Überblick Folie 14

15 Projektvorstellung SDA Rollen der Komponenten 2) Intermediate Node: IP Routing (Underlay Netz) nur Transport SD-Access Überblick Folie 15

16 Projektvorstellung 3) Fabric Border Node: Core / Distribution-Switch Übergang zwischen Fabric und externen Netzen Ankopplung Bestandsnetz (temporär) WAN; RZ & Internet (dauerhaft) Fabric Border: bekannte Netze Default Border: unbekannt DMZ / Internet Quelle: Cisco Systems; Digital Network Architecture Implementation Essentials v2.0 SD-Access Überblick Folie 16

17 Projektvorstellung 4) ControlplaneNode: Zusätzlich auf Bordernodes oder externe HW (Switch/Router/VM) Auflösung MAC/IP zu Fabric Edge Node Quelle: Cisco Systems; Digital Network Architecture Implementation Essentials v2.0 SD-Access Überblick Folie 17

18 Projektvorstellung 5) Management / Controller: DNA-Center Appliance Design Provisionierung Management 6) Policy& Authentication: Identity Services Engine (ISE) AAA Service (Radius / TACACS) Policy / SGACL Definition 7) IPAM (optional): z.b. Infoblox in unserem PoC Betrieb (fast) komplett über DNA-Center! SD-Access Überblick Folie 18

19 Folie 19

20 DNA-Center im Controlware PoC Design Workflow (1) Folie 20

21 DNA-Center im Controlware PoC Design Workflow (1a) Folie 21

22 DNA-Center im Controlware PoC Design Workflow (2) Folie 22

23 DNA-Center im Controlware PoC Design Workflow (2) Folie 23

24 DNA-Center im Controlware PoC Alle Parameter die im Design-Workflow festgelegt wurden (AAA,NTP, IP-Adressen ) Für PnP-Geräte oder manuell inventarisierte Geräte Provisionierung Folie 24

25 DNA-Center im Controlware PoC Fabric Provisionierung Folie 25

26 DNA-Center im Controlware PoC Contracts: Filter Listen Groups: SGTs die bei der Endgeräte Autorisierung zugewiesen werden Traffic Policies Folie 26

27 Segmetierungs Varianten Folie 27

28 DNA-Center im Controlware PoC- Unsere Eindrücke: - Plug-n-Play und Fabric-Deployment - Echte Arbeitserleichterung X / NAC - Port-Profile: OK - Integration in ISE weitgehend automatisch OK - Fabric Bordernodes: - Manuelle Nacharbeit zur DC Kopplung nötig - Assurance: - Guter Ansatz, derzeit (getestet mit DNAC1.1.6) noch einige offene Punkte save time with automation oder waste time with automation Folie 28

29 DNA-Center im Controlware PoC- Unsere Eindrücke: - Plug-n-Play und Fabric-Deployment - Echte Arbeitserleichterung - IOS Upgrades - Golden Image pro Plattform / Usecase OK - Rollout OK - Fabric Bordernodes: - Manuelle Nacharbeit zur DC Kopplung nötig - Derzeit VRF-Lite mit BGP; andere Varianten auf Roadmap save time with automation oder waste time with automation Folie 29

30 DNA-Center im Controlware PoC- Unsere Eindrücke: X / NAC - Port-Profile: OK - Policy Design DNA-Center, kleinere Anpassungen manuell auf ISE - Integration in ISE weitgehend automatisch OK - Troubleshooting weiterhin (auch) auf ISE möglich (live log etc.) - Assurance: - Guter Ansatz, derzeit (getestet mit DNAC1.1.6) - noch einige offene Punkte save time with automation oder waste time with automation Folie 30

31 DNA-Center im Controlware PoC- Unsere Eindrücke: - WLAN (fabric): - Funktioniert, gut automatisiert - Noch nicht abschließend getestet - WLAN (klassische Controller Lösung): - Möglich (auch 3rd Party) - Manuelle Kopplung zur Fabric (Bordernode) save time with automation oder waste time with automation Folie 31

32 DNA-Center im Controlware PoC- Unsere Eindrücke: save time with automation oder waste time with automation Folie 32

33 DNA-Center im Controlware PoC Zeitsparen kostet erstmal Zeit!? Nötig für ein erfolgreiches Setup: Planung & Design Integration / Grundsetup DNA-Center ISE IPAM (optional) save time with automation oder waste time with automation Folie 33

34 Vielen Dank für Ihre Aufmerksamkeit! Thank you very much for your attention! Folie 34

35 1 Backup Slides Folie 35

36 Quelle: Cisco Systems; Digital Network Architecture Implementation Essentials v2.0 Virtual Networks (VN) Folie 36

37 Quelle: Cisco Systems; Digital Network Architecture Implementation Essentials v2.0 Scalable Group Tags im VN Folie 37

38 Host Pools Folie 38

39 Anycast Gateway Folie 39

40 Streched Subnets / Campusweite VLANs Folie 40

41 Quelle: Cisco Systems; Digital Network Architecture Implementation Essentials v2.0 VXLAN Group Policy Option (GPO) Folie 41

42 Quelle: Cisco Systems; Digital Network Architecture Implementation Essentials v2.0 SGT Folie 42

43 Quelle: Cisco Systems; Digital Network Architecture Implementation Essentials v2.0 SGT Folie 43

44 Vielen Dank für Ihre Aufmerksamkeit! Thank you very much for your attention! Folie 44