Virtuální směrovač Cisco CSR1000V

Už nějakou dobu sleduju vývoj v oblasti virtuálních směrovačů a v prosinci jsme nasadili do ostrého provozu na CITu VŠB-TU Ostrava virtuální směrovač Cisco CSR1000V. V krátkosti uvedu důvody a prostředí nasazení tohoto virtuálního směrovače.


Přišel provozní požadavek na realizaci IPsec spojení do více lokalit. Z logiky provozovaného projektu nebylo vhodné ukončovat tato spojení na našich VPN koncetrátorech, které slouží k něčemu jinému.

V zásadě se nabízely tyto možnosti:

• Pořídít fyzické zařízení (ASA nebo směrovač ISR).

• Pořídit virtuální ASu Cisco ASA1000V je určena primárně pro site-to-site VPN a FW. Lze ji provozovat v prostředí VMWARE. Nicméně licenční podmínky Cisca IMHO nejsou v tuto chvíli úplně dobré, protože se licencuje na CPU socket, kterých je v našem případě cca 22. Licencování je podobné jako u Cisco Nexus 1000V, ale užití je trochu jiné.

• Cisco ASAv je klasická Cisco ASA, která je portovaná do virtuálního prostředí, nicméně má být dostupná až v průběhu roku 2014.

• Virtuální směrovač Cisco CSR1000V. Tento virtuální směrovač jsem zkoušel už před několika měsíci. Je to v podstatě směrovač z řady Cisco ISR (tedy funkcionálně řady 1900, 2900 a 3900), který lze provozovat v prostředí VMWARE.

Zde si dovolím malou odbočku - pro provoz Cisco CSR1000V (a i výše uvedených produktů Cisco ASA*V) je možná/vhodná (ale ne nutná) instalace do prostředí s virtuálním distribuovaným přepínačem Cisco Nexus1000V. Tento přepínač je i ve free verzi (používáme i u nás). Instalace Cisco Nexus1000V je podporována ve VMWARE pouze ve verzi VMWARE Enterprise Plus, tedy v nejvyšší možné. Nicméně Cisco Nexus1000V lze instalovat i v prostředích Hyper-V nebo KVM.

Už podle názvu příspěvku může bedlivý čtenář usoudit, že vyhrála instalace Cisco CSR1000V. CSR1000V se licencuje podle propustnosti a pro začátek lze použít 2-měsíční trial licenci. Probíral jsem to ze všech stran a po finanční stránce (OPEXové náklady) vyjde provoz Cisco CSR1000V a Cisco 2900 v podstatě velmi podobně. Výhody hovořící pro Cisco CSR1000V (minimálně v našem případě) jsou:

• Okamžité nasazení - stačí jen stáhnout OVF file, provést instalaci (oboje je otázka tak 30-ti minut) a máme plnohodnotný směrovač a není potřeba s někým řešit objednávku a čekat na dodávku fyzického boxu. Jen je potřeba během dvou měsíců dokoupit licenci, jinak propustnost klesne na 250kbps. Tedy službu jsme byli schopni realizovat (=rozšířit infrastrukturu a její služby) bez nějakých administrativních procesů v podstatě okamžitě.

• Škálovatelnost - budeme potřebovat licenci na 50Mbps. Vyvstane-li v budoucnu potřeba upgradovat propustnost, tak stačí jen dokoupit licenci. Takový upgrade u fyzického boxu neuděláte.

• Stabilita - naše virtuální infrastruktura je IMHO velmi dobře postavena, je stabilní a tak jsou z pohledu správce směrovače eliminovány klasické HW problémy.

Mimochodem, u toho mého cvičného směrovače vypršela licence a když jsem ho chtěl upgradnout na poslední IOS, tak jsem ten IOS nahrával do směrovače asi dvě hodiny :-). Samotný upgrade směrovače se řeší úplně stejně jako na fyzickém směrovači - tedy nahrát IOS na flash disk a pak směrovač reloadnout.

Virtuální směrovače se nehodí pro každý příklad. Ale kdybyste zvažovali podobné nasazení, tak taková aplikace virtuálních směrovačů je velmi vhodná a pěkná.

---

Odkazy:

• Cisco CSR1000v: Cisco Cloud Services Router 1000V
• Cisco ASAv: Cisco Adaptive Security Virtual Appliance
• Cisco ASA1000V: Cisco ASA 1000V Cloud Firewall

Celý článek......

Cisco UCS roadshow

V létě proběhla v rámci Cisco seminářů akce Cisco UCS roadshow v několika městech ČR, na které jsem přednášel.


Roadshow proběhla postupně v Ostravě, Praze, Brně a Plzni. Kromě Ostravy jsem na ostatních roadshow přednášel o nasazení Cisco UCS systémů na univerzitě VŠB-TU Ostrava. Na webu prezentace nejsou vystaveny, ale tu mou s názvem IT technologie datového centra VŠB-TU Ostrava si můžete prohlédnout zde.

Ve zkratce, prezentace se zaměřuje na komponenty:

• L3 přepínače Cisco Catalyst 6500
• datacentrové přepínače Cisco Nexus 5500UP
• disková úložiště Netapp FAS3240
• serverové systémy Cisco UCS
• virtualizační infrastruktura VMWARE
• virtuální přepínače Cisco Nexus 1000V

Celý článek......

Best Practice Document: Infrastruktura datových center

Po nějaké době sbírání zkušeností a studování jsem se sebral a po troškách času a sepsal jsem po večerech best-practice dokument o infrastrukturách datových center.


Dokument byl publikován v rámci GEANT projektu, který sbírá a publikuje best-practice dokumenty. V dokumentu jsem popsal v podstatě zkušenosti s implementací našeho datového centra na VŠB-TU Ostrava, konvergovaného ethernetu, Cisco UCS serverů a diskových úložišť. Díky LEGO konceptu lze v podstatě libovolnou komponentu (směrovače - přepínače - servery - storage - VI) nahradit jinou, takže jako inspirace a praktickou orientaci to myslím bude dobré :-)

A nakonec, dokument v angličtině naleznete zde.

Celý článek......

Cisco Nexus1000V je i ve free verzi

Cisco uvolnilo virtuální switch pro virtuální VMware a Hyper-V infrastruktury i ve free verzi. Jaké jsou rozdíly mezi free/essential a Advanced (placenou) verzí?


Doposud Cisco virtuální switch Nexus1000V pouze prodávalo. Nově vydalo i free verzi. Podívejme se tedy, jaké jsou rozdíly mezi oběma verzemi.

Společné vlastnosti:

• podpora VLAN, ACL, QoS
• VXLAN, vPath
• LACP
• multicast
• NetFlow, ERSPAN
• Management
• vTracker
• vCenter plugin

V Advanced verzi pak jsou dostupné i tyto vlastnosti:

• podpora Cisco TrustSec
• DHCP snooping, IP source guard, ARP inspection
• VSG - Virtual Security Gateway

VSG byl předtím samostatný produkt, který je nyní dodáván v rámci Advanced balíčku N1K.

Vyplatí se nasadit N1K ve free verzi? IMHO by to nemuselo být špatné, protože vlastnosti advanced verze nejsou ani v přepínači integrovaném ve VMWARE a navíc jsou k dispozici další vlastnosti a lze sjednotit správu sítě. Správa sítě, která nezajišťuje správu virtuální infrastruktury. má možnost případně omezit i jednotlivé systémy tak, jako ve fyzické infrastruktuře.

Update 29.3.2013: Cisco Nexus 1000V je možno využít pouze s VMWARE Enterprise+. Viz informace např. na Cisco support community fóru.

Celý článek......

Přepínače Cisco NEXUS 5000 II.

Dnes tedy o tom, jak jsme přepínače Cisco Nexus 5000 zapojovali...


Nexusy jsou velké. Tedy lépe řečeno hluboké. Ano, jsou vysoké 1U, ale nepočítejte, že se vlezou do racku, kde máte 6500. Ano, opravdu počítejte s metrovým rackem. Takže jsem je musel položit na stůl. Jak je vidět, tak FEXy (=Nexus 2000) už mají "normální" rozměry (jeden FEX je položen vlevo na jednom Nexusů).

Nenechte se mást monitorem a klávesnicí na fotce. Ty patří k serverům umístěným za stolem. I když v Nexusech je Linux, tak se k přepínačům přistupuje přes normální konzolový přístup (9600N1). Nexusy mají management Ethernet port, který se v konfiguraci tváří jako mgmt0 a nelze jej použít k ničemu jinému.

Všiměte si těch černých Twinax kabelů. Mají omezení na 5m a obsahují metalický kabel a jejich konce jsou SFP+ rozhraní, které rovnou vložíte do Nexusů, popř. do SPF+ portů síťových karet. A jejich cena je velmi nízká v porovnání s jinými alternativami. Bez problémů jsem je používal na propojení Nexusů, FEXů i koncových serverů.

Nexusy mají pouze SFP+ porty. I když jsem se dočetl, že ve vybraných portech Nexusů lze provozovat klasické SFPčka, tak se mi to bohužel nepodařilo zprovoznit.

FEXy jsou pěkný koncept. Prostě vezmete jedno (údajně) hloupé zařízení a prohlásíte ho za modul hlavního přepínače. Ten modul spojíte s hlavním přepínačem jedním nebo více 10Gbps okruhy. A aby byl celý systém odolnější proti výpadkům, tak lze FEXy připojit ke dvěma Nexusům. Konfiguruje-li se nějaký port, příslušného modulu, tak se musí nakonfigurovat na obou Nexusech. Žádná výměna informací o konfiguraci portu FEXu zde neexistuje. Při ztrátě spojení FEXu s jedním z Nexusů začne FEX spolupracovat se záložním Nexusem a koncové zařízení je stále dostupné. Prakticky jsem to zkoušel, pár paketů se ztratilo, ale konvergence byla rychlá. Alespoň z pohledu IP sítě.

Cena FEXu je, co se týče ceny na port, výrazně nižší než u jiných Cisco alternativ. Ať už se porovnávají 1Gbps L2 přepínače (Catalyst 2960) nebo 10Gbps (Catalysty 4900).

VPCčka jsou plně funkční, s těmi k žádným problémům nedošlo. Ve zkratce - dvě zařízení se vůči jinému zařízení (tedy druhé straně port channelu) tváří jako jedno zařízení. Není to zcela optimální z hlediska výběru nejkratší cesty v L2 síti. V praxi dochází ke stavům, kdy rámec pro koncové zařízení připojené k přepínači NEXUS2 je posíláno v datovém spoji k zařízení NEXUS1. NEXUS1 pak pošle rámec na NEXUS2. K tomuto jevu dochází proto, že na odesílajícím přepínači je rozdělování provozu realizováno klasickou hash funkcí (obvykle src-dst-ip) a podle toho je rámec poslán příslušným spojem. Odchozí provoz z Nexus přepínačů je už pak posílán nejkratší cestou tak, jak ji vypočte SPT protokol.

Největší neznámou pro mě byly otázky kolem Fiber Channelu (FC). Trochu jsme se potrápili s HW zapojením karet (díky J.Benešovi vyřešeno :-). Server byl připojen do FEXu, diskové FC pole pak bylo duálně připojeno přímo do dvou Nexusů. Málem jsme testování FC nestihli, ale dva dny to R.Slíva testoval ze strany serveru a diskového pole a nevyjádřil nespokojenost :-) Jak se dívám na obrázek, tak FC pole není ve schématu zakreslené. Z CNA karet byly realizovány dva spoje, které by měly být v ideálním případě ukončeny na dvou FEXech, které jsou duálně připojeny ke dvěma Nexusům.

A protože se mi nechce schéma zapojení překreslovat, tak přikládám fotku zapojení.

Nexusy do datového centra mi přišly jako docela rozumné zařízení. V našem případě máme po sálech datacentra rozmístěno dvanáct L2 přepínačů. Některé jsou 10/100Mbps, některé 10/100/1000Mbps, jejich oddělená správa také není zcela ideální. Zapojením dvou přepínačů a několika FEXů bychom dosáhli lepší škálovatelnosti. A při nasazení 10Gbps portů nevidím v podstatě v portofoliu Cisca alternativu.

Celý článek......

Přepínače Cisco NEXUS 5000 I.

Tak jsme se domluvili s firmou Cisco a dostali jsme zapůjčeno k testování zařízení Cisco Nexus 5000. Teď je důležité to celé prodrátovat a spustit...


Tak jsme dostali, jako perspektivní univerzita :-), zapůjčeno zařízení Cisco Nexus 5000. Přepínače Cisco Nexus 5000 jsou určeny do datových center a tedy primárně jsou určeny pro připojení serverových systémů. Oproti klasickým L2 přepínačům umí ještě pracovat s technologií FCoE a lze k nim připojit i FC pole. Tedy žádná hračka domů nebo do normálního rozvaděče. Tomu propojení Ethernetenu a Fiber Channelu se říká konvergovaný ethernet.

Myšlenka konvergovaného ethernetu spočívá v použití jediné CNA karty v serveru, což má uspořit místo, kabelář a energii (všichni chceme být zelení, že?). CNA znamená Converged Network Adaptér. Tato karta má integrován řadič, který se v OS tváří jako FC řadič. Zároveň se karta tváří jako dvě klasické 10Gbps síťové karty. Samotná karta má dvě rozhraní, které lze připojit ke dvěma zařízením a posílá ethernetové rámce. Některé klasické, jiné jsou FC zabalený do ethernet rámce. Není tedy potřeba k serveru připojovat kabeláž počítačové sítě a zároveň kabeláž SAN sítě.

Naše sestava byla poskládána ze dvou zařízení Nexus 5020 a k dispozici máme tři FEXy a dva FC moduly, do každého Nexusu jeden. FEX znamená Fabric EXtender a je to fajn věc. Ta zařízení nemají z pohledu správy sítě v podstatě žádnou logiku a lze si je představit jako moduly, které jsou fyzicky připojeny jednou nebo více 10Gbps trasami.

Nexusy umí i technologii VPC - Virtuální Port-Channely. Na první pohled výborná věc. Jiné zařízení připojíte dvěma okruhy ke dměma Nexusům, ale pro to zařízení se bude jednat o jeden port-channel. S ním pak můžete pracovat jako s klasickým port-channelem. Nexusy se mezi sebou domlouvají a vůči tomu zařízení se tváří jako jedno zařízení. Uvnitř se ale každý Nexus chová jako samostatný přepínač, řídí se svými MAC address tabulkami, tak nečekejte žádný balancing vzhledem k tomu druhému zařízení. Takže zcela jistě vznikají v síti asymetrie a koncová zařízení je vhodné rozkládat na oba Nexusy.

Tak uvidíme, co vše zvládnou v provozu... :-)

Celý článek......