思科架構(gòu)師 黃兆基
思享家
是一個介紹如何利用思科先進(jìn)技術(shù)解決客戶難題的欄目。每期聚焦一個技術(shù)熱點或應(yīng)用場景，邀請資深思科技術(shù)專家深入淺出地介紹，為讀者提供實用性強的建議。
在前面的幾篇文章里，我為大家介紹了基于意圖的網(wǎng)絡(luò)(IBN)的架構(gòu)及其優(yōu)點、以AI工具精準(zhǔn)梳理業(yè)務(wù)意圖并運用DevOps手段快速部署到ACI等IBN之上。相信大家已經(jīng)充分了解了IBN在自動化部署、持續(xù)運維等方面的突出優(yōu)勢，也掌握了一些部署方法，但鑒于每家企業(yè)的業(yè)務(wù)和網(wǎng)絡(luò)環(huán)境千差萬別、歷史包袱有輕有重，所以仍然會碰到新問題。
比如為了充分體現(xiàn)IBN的優(yōu)點，首先要把網(wǎng)關(guān)遷移到IBN內(nèi)的Anycast Gateway。這樣IBN在識別所有負(fù)載(即其IP與MAC地址)后，除了把他們歸類到不同的群組(Group)并以策略(Policy)來作零信任管控外，還可以利用新一代具備Telemetry功能的芯片，獲得包括網(wǎng)絡(luò)流(Flow)、延時(latency)、丟包(Drop)等在內(nèi)的全棧可視化(Full Stack Observability)，再配合Nexus Dashboard Insights人工智能整合和分析，可以加快運維特別是排錯流程。
用戶一般都會把服務(wù)器網(wǎng)關(guān)配置在防火墻或負(fù)載均衡上，他們希望在遷移網(wǎng)關(guān)時讓負(fù)載保留在原來的子網(wǎng)內(nèi)，以減少對應(yīng)用和其他團(tuán)隊的影響。但如何保證在網(wǎng)關(guān)遷移后負(fù)載的防火墻訪問需求不變呢？這是一個令很多用戶頭疼的問題。
Policy Based Redirect (PBR)能夠很好的解決這個問題。下面我們來看一個簡單的演示。
以ACI為例，在初始階段，圖中負(fù)載A與B原來的網(wǎng)關(guān)還是停留在防火墻內(nèi)，他們所屬的ACI EPG群組因而被設(shè)定為純二層。
在這個設(shè)定下，ACI Fabric只能識別到最基本的MAC地址而不包括IP和其他信息。路由管控還在防火墻上而不在Fabric范圍內(nèi)。從ACI的拓?fù)鋱D上也顯示負(fù)載A與B兩個群組之間沒有被任何ACI策略所規(guī)范。IBN高可視性的優(yōu)點無法體現(xiàn)。
實施PBR第一步是在遷移網(wǎng)關(guān)的同時，將L4-L7 Service Graph和ACI Contract綁定，把原來的防火墻訪問需求以Contract的方式配置。
更新后的拓?fù)鋱D顯示負(fù)載A與B兩個群組之間改為由L4-L7策略所規(guī)范。
負(fù)載A與B的網(wǎng)關(guān)已遷移至ACI 內(nèi)的Anycast網(wǎng)關(guān)，所屬子網(wǎng)保留不變。
通過PBR的設(shè)置，把數(shù)據(jù)包由負(fù)載A轉(zhuǎn)發(fā)至防火墻指定的IP與MAC地址組合(圖例的3.3.3.254)，同時在防火墻上以靜態(tài)路由等方式轉(zhuǎn)發(fā)至下一站或是回到Fabric內(nèi)。
PBR不僅可以在網(wǎng)關(guān)遷移后保持子網(wǎng)和防火墻訪問需求不變，配合多路徑對稱式導(dǎo)流和防火墻健康性檢查等功能，PBR還能實現(xiàn)多臺防火墻的冗余和負(fù)載均衡，實現(xiàn)具備彈性伸縮能力的防火墻資源池。而且在多活數(shù)據(jù)中心環(huán)境下，還可以解決多出口的非對稱路由(Asymmetric Routing)等復(fù)雜問題，一舉多得。還有一點值得留意的地方是ACI PBR的“R”是“Redirect”而不是“Routing”。顧名思義跟一般Policy Based Routing不同的地方是ACI PBR的Redirect 可以以L1,L2或是L3的模式配合不同場景需求來部署，彈性更大。除了能在ACI上實現(xiàn)，也可以通過最新發(fā)布的Nexus Dashboard Fabric Controller（從前的DCNM）在NXOS VxLAN上部署。
思科把一般人認(rèn)為的PBR加強成為PB Redirect, 不單可以對應(yīng)L3，L1/L2也可以支持，因此可以適合更多不同場景。
下次我會和大家分享如何利用NDFC簡化配置NXOS版本的 VxLAN。
