Cisco Connect 2018 Software-Defined Access. Henrik Møll, CTO Gustaf Hyllested Servé, System Engineer 12/4-2018

Transkript

1 Cisco Connect 2018 Software-Defined Access Henrik Møll, CTO Gustaf Hyllested Servé, System Engineer 12/4-2018

2 Agenda Hvorfor er Conscia Early Adopters Conscia og SDA Intent-based Network SDA Deep-dive SDA Lessons learned 2

3 Hvorfor er Conscia Early Adopters Kunderelevans En troværdig rådgiver Dybere Cisco engagement Motivationsfaktor for vores konsulenter En sund forretningsmodel 3

4 Conscia og SDA Joint kunde PoC mellem Cisco og Conscia Conscia EFT Kunde 1 pilotprojekt Kunde 2 pilotprojekt APIC EM EFT Conscia LAB Cisco launch Conscia EFT SDA lift-off 4

5 Intent-based Network

6 Typiske udfordringer i traditionelle netværk Svært at segmentere Hele tiden flere og flere brugere, og typer af endpoints. Konstant stigning i antal VLANs og IP-Subnets. Kompleks at administrere Mange steps (VM, Vlans, IP subnet) bruger-login, komplekse integrationer. Mange steder at konfigurere og deraf risiko for manuelle fejl. Løsning af problemer tager lang tid Forskellige regler for trådløs og kablet. Ved ikke, hvor en bruger er, når der skal løses problemer.

7 Software-Defined Access (SD-Access) Hvad nu hvis man kunne Konvertere IT-tid til forretningsfokus Spare tid på netværkskonfiguration Forbedre tiden for løsning af problemer Fleksibilitet og agilitet Reducere konsekvenser af sikkerhedsbrister Reducere omkostninger ved driften af netværket 7

8 Det intuitive netværk Constantly Oversættelse learning, og adapting validering af and hensigter: protecting. Input: Forretningskrav og politikker (Hvad) Output: Netværkskonfiguration (Hvordan) L E A R N I N G Policy DNA Center Automation Analytic s I N T E N T ( H E N S I G T E R ) Automatiseret implementering: Konfiguration af netværksændringer på tværs af infrastruktur, med automatisering og/eller orkestrering Sikring af regler og automatisk optimere/afhjælpe: Kontinuerlig validering (realtid) af hensigterne opretholdes, samt håndtering (blokere trafik, modificere kapacitet) C O N T E X T Intent-based Network Infrastructure Kendskab til netværksstatus: Realtids netværksstatus for system (Hvem, Hvad, Hvor, Hvornår), konfiguration af netværksændringer på tværs af infrastruktur, med automatisering og/eller orkestrering S E C U R I T Y

9 Software-Defined Access Identitets-baserede Regler & Segmentering Sikkerhedsregel-definitioner er afkoblet fra VLAN og IP-adresser for at muliggøre hurtig opdatering af regler Automatiseret Netværkskompleks Automatisering på tværs af kablet og trådløs for optimering af trafikflows og styrede arbejdsgange for at sikre konsistens, der kan skalere Insights & Telemetry Analyse og indsigt i bruger- og applikationsadfærd for proaktiv problemidentifikation og -løsninger

10 SDN i en nøddeskal Management-Plane Control-Plane Data-Plane 12

11 DNA udvider den traditionelle SDN-model Management-Plane Policy-Plane Control-Plane Data-Plane Data Insight / Telemetry 13

12 DNA henover de traditionelle afgrænsninger i netværket Campus DC/ACI WAN Cloud Management-Plane Policy-Plane Data Insight / Telemetry 14

13 SDA Deep-dive Byggeklodserne

14 SDA - byggeklodser Switche Routere WLC AP DNA-C, NDP ISE 16

15 SDA byggeklodser - Switche Fysiske switche med scale UADP 1 / 2.0 / 3.0 ASICs Catalyst 2960-X ikke understøttet Catalyst 9000-series med UADP2.0 ASICs og snart en model med UADP 3.0 Catalyst 9300 edge-node Catalyst 9400 edge-node (modular switch) Catalyst 9500 border + control-plane-node (eller aggregation / intermediate node) Nexus 7700 / SUP2E / M3 large scale border-node 17

16 SDA byggeklodser Switche fortsat [hw pr0n] 18

17 SDA byggeklodser Switche fortsat... Flere supporterede switche (begrænsninger på supporterede linecards/sups etc.). Vær opmærksom på scale! Cisco Catalyst 3K (3650/3850) Catalyst 4K (SUP8-E,SUP9-E) Catalyst 6500-E/6800 (SUP2-T/6-T/X6900-linecards) Catalyst 6840/

18 SDA byggeklodser - Routere Afhængig af scale og use-case CSR1000v (control-plane, virtual router) ISR4000 (border og control-plane-node) ASR1000-X/HX (border og large-scale control-plane-node) 21

19 SDA byggeklodser - Wireless Access-points ac wave1 eller wave2 supporteret (vær opmærksom på caveats ift. wave1-aps) 1700, 2700, 3700 (wave1, some caveats) 1800, 2800, 3800 (wave2) Wireless LAN Controllers WLCs fysisk placeret udenfor Fabric ved hjælp af Multichassis EtherChannel (VSS/vPC) for redundans 22

20 SDA byggeklodser DNA-C DNA-Center appliance en Cisco UCS-server Meget kraftig server, så den kan håndtere store Campus-Fabrics med Assurance 24

21 SDA byggeklodser ISE Cisco Identity Services Engine server ISE med DNA Center for dynamisk mapping af brugere og enheder til SGTs via pxgrid og REST APIs Usecase: Integration med ServiceNow 27

22 SDA Deep-dive Fabric Components

23 Underlay Giver connectivity og transport mellem SDA devices SDA unaware! Eksempel - Internet er underlay for DMVPN IPv4 only (i dag) MTU 1550 (9k) Custom underlay Brownfield Non-Cisco Automatiseret underlay Greenfield PnP modul fra APIC-EM 30

24 Overlay Benytter underlay Det er her, konnektiviteten i SDA skabes 31

25 SDA Fabric Components 32

26 SDA Fabric Components border node 33

27 SDA Fabric Components control-plane node (aka. cp) 35

28 SDA Fabric Components intermediate-node 36

29 SDA Fabric Components edge-node (aka. fe) 37

30 SDA Deep-dive Policy Constructs

31 SDA (DNA) Policy Constructs Macro Segmentering Virtual Networks Micro Segmentering SGTs Contracts Policies 40

32 Macro Segmentering Virtual Networks er top-level security containers Implementeret som VRFs Inter-VN trafik bliver (i øjeblikket) forwardet og enforcet udenfor Fabric Fx ekstern firewall med interfaces i relevante VNs/VRFs Simpel use-case: Medarbejdere vs Guests 41

33 Macro Segmentering Forwarding/Enforcement B VN Orange VN Blue E 42

34 Micro Segmentering Segmentering indenfor et VN SGTs er Identifieren Et endpoint tilhører én SGT Uafhængig af IP-adressen To IP-adresser i samme subnet kan tilhøre forskellige SGTs Kan assignes statisk (pr switchport) Kan assignes dynamisk (dot1x/mab/ise) 43

35 Micro Segmentering Policies knytter Contracts mellem SGT er Fx Src SGT Employees => Contract Permit something => Dst SGT Servers Uni-directional Optional - automatisk oprettelse af reverse policy Caveats apply! Det er ikke en statefull firewall! 45

36 Micro Segmentering B Policy BLACK-BLUE src: BLACK dst: BLUE Contract: Permit-Something Forwarding/Enforcement VN Green Policy BLACK-BLUE-Rev src: BLUE dst: BLACK Contract: Permit-Something E SGT Black SGT Blue 46

37 SDA Deep-dive Protokoller

38 LISP - fordele Host mobility Abstraction 48

39 LISP Control Plane Locator/ID Separation Protocol Routing architecture Seperation af address-space fra identitet og lokation Endpoint Identifier (EID) IPv4 address IPv6 address MAC address Routing locators (RLOC) Loopback af SDA node Control Plane Map EIDs til nuværende RLOCs 49

40 LISP Devices Border/CP Node Fabric Edge Node SDA WLC 53

41 VXLAN Data Plane Det Magiske ved SDA! Indeholder VNI (VRF) og Group Policy (SGT) IETF Draft 54

42 Policy: Application-centric (micro segmentering) Map business intent to new policy model Start with users and applications, map existing strategy to new policy model loosely (w/ transition edge node/policy enforcer) Migrate users and applications to new policy model Migrate access networks to new policy model T-minus X SDA deployed 61

43 Policy: Network-centric (macro segmentering) Use DNAC to rapidly provision virtual networks (VRFs) and subnets Use external fusion device (firewall) to enforce policy on traffic flowing between virtual networks Leverage NDP to gain insight into the application and traffic flows in the network Formulate increasingly granular policies based on accumulated traffic insight SDA deployed 62

44 SDA Lessons learned

45 SDA Lessons learned Policy-based access er helt sikkert fremtiden. Skal det skalere bør man kigge på SDA/DNA Start med et ISE-projekt, profilering af brugere osv. (hvis man ikke allerede er der) Lav en pilot / PoC - det er ny teknologi med mange bevægelige dele bliv komfortabel med teknologien evt. et hjørne af infrastrukturen, i prod. Vær opmærksom på roadmaps fra Cisco, ikke alle features er tilgængelige fra dag ét Kigger man ind i hardware-investeringer, så vælg SDA-ready hardware, byg evt. et lækkert underlay (routed access) hvis muligt (DNAC kan automatisere underlay provisionering) 64

46 Tak 65