Новая эра управления и работы корпоративной сети с Cisco DNA

Новая Эра Управления и
Работы Корпоративной
Сети с Cisco DNA
Дмитрий Казаков
Системный инженер, CISSP, CCIE Security, CEH

© 2017 Cisco and/or its affiliates. All rights reserved. Cisco Public
Программа
• Сложности Цифровизации
• DNA ведет Сетевую Трансформацию
• День 0 Сетевая Автоматизация
• Автоматизация с политикой бизнес-целей
• День N Мониторинг и Аналитика
• Заключение

Устройств на человека
3.64
Устройств на администратора
100K
Мобильный мир требует доступа
ко всему и отовсюду
Скорость и новая модель
потребления
Продвинутые угрозы
Мобильность Облака
IoT
Вещей соединено
7.5B
Количество непользовательских
устройств быстро растет
Корпоративные тренды двигающие цифровую трансформацию

Традиционные сети сложны и не могут следовать
требованиям Цифровой Сети
Сегментация,
Устройств и IOT
Включение
прозрачной
мобильности
Безопасная связь с
облаком
Установление
домена безопасности
во всей сети
VLAN 1 VLAN 2 VLAN 3
WAN
Филиал A
VLAN 1
Филиал A
VLAN 3
Удаленный офис
VLAN 2
Головной
офис
ACL 1 ACL 2
ACL 2 ACL 3

Почему компании так много тратят?
*
*McKinsey исследование для Cisco в 2016
95% 70% 75%
OpEx тратится на Сетевые
изменения и отладку
Нарушения политик
из-за человеческой
ошибки
Сетевые изменения
производятся
вручную
Стоимость Ведения Бизнеса в Цифровом Мире

Новые требования для Цифровой Сети
Мобильность Облака
Расширение домена доверия
до самого основания
Масштабируемая
классификация устройств и
Политики
IoT
Уменьшенная Сложность Сети и Увеличенное Масштабирование
Уменьшить площадь
атаки путем сегментации
Быстрое и
автоматическое
блокирование угроз
Безопасность
Автоматизация с помощью
контроллера масштаба
Облака
Оценка работы на основе
аналитики
Единая политика для
проводной и
беспроводной сети
Упрощенный цикл
Гостевой и Мобильной
работы

Почему не работают имеющиеся инструменты
Сеть DNA нуждается в платформе, которая Выполнит Цифровую Трансформацию
Фокус на Сети/Устройстве Сеть и её экосистема
Настройка Функции Цели и Процессы
Монолитно и
Централизованно
Распределённо и
Масштабируемо
Мониторинг сети Аналитика и Видение
Традиционные инструменты
управления
Управление для Цифровой Сети

Cisco DNA Campus Fabric
• Преимущества:
• Упрощенное развертывание – сейчас
с использованием SmartCLI (скоро
автоматизация, контроллер)
• Простая безопасная сегментация –
изоляция групп пользователей и
устройств (пересекающиеся IP адреса)
• Мобильность пользователей –
разделение местоположения
устройства и его IP адреса
(фундаментальное отличие)
• Политика – end-to-end на основе
данных о пользователе, а не на базе IP
адреса
Cisco Connect 2017 © 2017 Cisco and/or its affiliates. All rights reserved. 8

Expressing Intent in Human Language
Network
Consumer
Only Employees should have
access to Applications
Facilities & Things segmented
Segments: VLANs/VRFs,
ACLs,
Firewalls,
Service Chains

Трансформация сети с DNA

Архитектура Цифровой Сети (DNA)
Видение и
действия
Автоматизация
и наблюдение
Безопасность и
оценка
соответствия
DNA Возможности Программного Обеспечения
Управление облаком
Автоматизация Аналитика
Виртуализация
DNA Физическая и Виртуальная Инфраструктура
Безопасность

Проактивное
выявление
неисправностей и их
исправление
Мониторинг и Отладка
Отвязка Политики от
Топологии
Изменения в сети
движимые Бизнес
Целями
Сетевая
Фабрика
Лучшие практики
Индустрии и
соответствие
требованиям
Упростить
изменения от Дня 0
до Дня N
Автоматизация Аналитика
Предоставляем DNA Центр
Сеть на основе политик

DNA Центр: Дизайн, Политика, Развертывание, Аналитика
Лучшая стратегия управления сетью
DNA центр: Дизайн,
развертывание, автоматизация
политик и аналитика – всё в
одном месте
Логический процесс дизайна,
развертывания и применения
политик
Вносите изменения быстрее
Мониторинг
производительности сети
end-to-end
Предсказывать и решать
проблемы до их появления
Обнаруживать проблемы
быстрее
Уменьшить простои с
целостным взглядом
Hop-by-hop
Управление жизненным циклом
оборудования и ПО
Актуализируйте состояние,
соответствуйте требованиям и
планируйте обновления

DNA Решение
Cisco Корпоративное Портфолио
APIC-EM Network Data PlatformIdentity Services Engine
Маршрутизаторы Коммутаторы Беспроводные точки
DNA Center
ДИЗАЙН РАЗВЕРТЫ
АНИЕ
ПОЛИТИКА АНАЛИТИКА
DNA Центр
Простые процессы
БЛВС Контроллеры

APIC-EM | NDP
Абстракция и Контроль политик от Ядра до Доступа
SD ACCESS
Политика доступа | Оценка
состояния
AUTOMATION and ASSURANCE
Физическая и виртуальная инфраструктура |
Мониторинг и отладка
SD WAN
Политика приложений |
Оценка состояния
Открытые APIs
Открытые APIs Открытые APIs
Открытые APIs | Окружение Разработчика
• Brownfield и Greenfield поддержка с использованием
Netconf/Yang и CLI развертываний
• Движок Оркестрации и Развертывания
• Сбор данных Big Data и обработка стриминговых
данных с интегрированной аналитикой
• Развертывание политик на основании Целей – QoS
Приложений
• Развертывание устройств, Обновление ПО, День 2
Управление изменениями и Оценка соответствия
• Мониторинг сети с состоянием устройств и хостов
• Полное управление Доступом и Приложениями в
Архитектуре Фабрики
• Предиктивная аналитика и Политика основанная на
оценке сети
• ITSM интеграция
Netconf/Yang, CLI, SNMP
DNA Центр
Решение по Автоматизации и Аналитике для Сети

День 0
развертывания сети

Развертывание Корпоративной Сети
Автоматизированная
фабрика
Маршрутизируемый
доступ (ISIS)
Развертывание
Физического или
Виртуального
Роутера
Упрощенное
развертывание
WiFi

Дизайн сети
Стандартизация
Развертывания
Оценка
состояния сети
До
Во
Время
После
Основанное на профилях
§ Планируйте развертывание
сети
§ Функционал и Возможности
включаются основываясь на
требованиях
§ Топология сети
§ Автоматическое
развертывание День 0
§ Управление Версиями
профиля для Дня 2 –
управление изменениями
§ Проверка соответствия
конфигурация шаблону
§ Исправление настройки до
Эталонной настройки
Целостность настройки
Упрощенное
развертывание сети
Интегрированные
IT процессы
Целостное развертывание сети используя
Автоматизацию с профилями

Развертывание беспроводной сети просто
Автоматизация развертывания
Процессы
определяемые целью
Лучшие практики
Cisco
Профиль
привязан к
локации
WLC Привязана
к локациям
Точки
привязаны
к локации
Не требуется настройка WLC для Беспроводного развертывания

Демо беспроводного
развертывания

Создаем и управляем Беспроводными сетями

Создаем и управляем сетями

Сетевые профили

Создаем и управляем беспроводными профилями

Управляем всеми сетями через профиль

Назначим профиль на офис

Развертывание – назначим WLC на офис

Развертывание – назначим WLC на офис
• All the network settings is set on the
WLC based on the Site properties
• The credentials to access the device for
the site is pushed to the WLC

Развертывание – назначим Точки доступа на офис

Выберем радио-план для Офиса

Развертывание - итоги

с политиками
бизнес-целей

DNA Видение политики
Контрольна
уровнесети
Политикинаосновании
Приложения/Пользователя/
Бизнеса
“Только корпоративные устройства
в группе Group:FinExec могут
получать доступ к квартальным
данным в базеDB”
Динамическая сегментация
основанная на пользователе /
времени / локации / устройстве
Реализует декларативную бизнес цель
Переводит в специфический язык окружения

Типы политик
Политики доступа
↓
Аутентификация/
Авторизация
Назначение группы
основываясь на методе
аутентификации
Политика контроля
доступа
↓
Кто может получать
доступ куда
Правила доступа группы Х
Permit group to app
Permit group to group
Политика
приложений
↓
Действия с
трафиком
QoS приложений
Оптимизация пути
Компрессия трафика
Кэширование приложений
DB
✓

Политика

Настройка QoS за минуты
Улучшить
Опыт
Общения
300% 50%
Уменьшение
voice jitter
Улучшение
качества видео
Улучшенная отзывчивость
Без вмешательства оператора
“The Easy QoS App драматически уменьшает время
развертывания QoS в сети. Мы можем отвечать
меняющимся требованиям приложения через
автоматизацию политик за минуты или даже
секунды.”
Cisco ONE
Foundation
Выбор из
преднастрое
нных политик
Автоматизирова
нное
QoS
Оптимизировано
для любой
инфраструктуры
“Проекты по изменению QoS проходили раз в 6 месяцев и
стоили более $200K. С Cisco APIC EM Easy QoS, мы уйдем с
месяцев до минут с нормальными костами.”
Brian McEvoy, Sr. Network Engineer
Symantec
Политика приложений: Упрощение
развертывания QoS глобально

EasyQoS в DNAC незаметно свяжет все типы
аппаратных и программных очередей для
достижения целостной и совместимой модели
описывающей бизнес-цель
Catalyst 9300
Политика приложений: Развертывание End-to-
End DSCP основанных политик
3

Демо Политика приложений
3

Реестр наборов политик приложений

Реестр политик – собственные приложения

Создание политик

Политика приложений – изложение целей
California Policy

Application Policy Authoring – Scope Definition
California Policy
San Francisco

Политики приложений – настройки WAN
California Policy

Политики приложений – LAN профили
California Policy

Политики приложений – LAN Профили
California Policy

Политики приложений – DSCP Профили
California Policy

Политики приложений – Провайдерские профили
California Policy

Политики приложений – Развертывание

Политики приложений – планировщик

Политики приложений – Статус развертывания

Обзор разрветывания – Итоги развертывания

Политика Контроля
Доступа

Программно-задаваемая сегментация
Единая сетевая
фабрика
пользовательских
политик доступа
Целостная
сегментация
Сегментация трафика
пользователя, устройств и
приложений без редизайна сети
Применить нужные политики для
пользователей или устройств к
любому приложению в сети
Единство пользовательского
доступа не жертвуя
безопасностью
Целостная политика доступа в филиалах, кампусе, WAN и облаке

Как TrustSec упрощает сегментацию сети
Уровень доступа
Корпоративная
сеть
Голосовой
VLAN
Голос
Данные
VLAN
Сотрудник
Уровень агрегации
Поставщик
Гостевой
VLAN
BYOD
BYOD
VLAN
Карантин
Карантин
VLAN
VLAN
Address
DHCP Scope
Redundancy
Routing
Static ACL
VACL
Политика безопасности основанная на Топологии
Высокая стоимость и сложность управления
Голосовой
VLAN
Голос
Данные
VLAN
Сотрудник Поставщик BYODКарантин
Использование имеющейся топологии
и автоматизация политики
безопасности с уменьшением OpEx
ISE
Нет изменения VLAN
Нет изменения топологии
Централизованная политика
Микро/Макро Сегментация
Сотрудник Tag
Поставщик Tag
Карантин Tag
Уровень доступа
Корпоративная
сеть
МСЭ ЦОД / Коммутатор ЦОД
ЦОД
Сервера
Политика
TrustSecТрадиционная сегментация

© 2017 Cisco and/or its affiliates. All rights reserved. Cisco PublicBRKCRS-3811
Authentication Policy
DNA-Center
62

Традиционная
§ VLAN и IP адреса
§ Создать IP основанные ACLы для политики
доступа
§ Вручную устранять ошибки политик и их
нарушение
Программно-определяемая
§ Нет зависимости от IP адреса для
сегментации
§ Политика следует за пользователем от
доступа в ЦОД и облако
§ Полностью автоматизированные процессы
Add Policy
-- Search for policy --
1 Employee_permit
2 Guest_deny
3 Contractor_deny
4 Isolated_quarantine
Employees
Guest
Building Management
Virtual Network
Default Access Permit
Bandwidth Limit Disabled
Internet Access Enabled
Policy Details
Add Policy Entry
Drag
and Drop
Employees
Virtual Network
Finance SalesMarketing
HR Operations Strategy
Facilities
1 1 1
1 1 1
1
Полная
автоматизация
Политика
основанная на
группах
Политика от
доступа до
облака
DNA Автоматизация
SD-Access: Простая сегментация и применение политик

Контекст управления
зданием
Сеть
Контекст
Кампусных пользователей
Сегментация Первого Уровня
Сегментации без возможности
связи между Системами здания и
Пользователями
1
2
Virtual Network (VN)
Второй уровень Микро-
Сегментация внутри VN которая
предоставляет Ролевой
контроль доступа между
красной и оранжевой группой
Scalable Group
1
2
Политика безопасности
SD-Access: Двухуровневая иерархия политики

Rules Profiles
Authorization Policies
SD-Access: Политика Авторизации

DNA Automation
Виртуальные сети

Политика Контроля доступа: Контракты (Шаг 1)

DNA Automation
Политика Контроля доступа – создаем правила (Шаг 2)

Политика Контроля доступа – создаем правила (Шаг 2)

SDA Политика – Матричный вид

День 2 Автоматизация
с управление
жизненным циклом и
управлением ПО

Управление жизненным циклом устройств – Активные рекомендации

День 2
изменения:
Обновление ПО

Процесс ручного обновления ПО сегодня
Выбор
образа
ПО
Устройств
требующи
е апдейт
Копирова
ния ПО
на
устройст
во
Проверка
образа
для
обновлен
ия
Активаци
я образа
Проверки
после
разверты
вания

Сценарии использования:
• Убедиться в целостности ПО
для всех сетевых устройств
(по типу платформы)
• Реагирование на PSIRT и баги
• Уверенно развертывать ПО
Автоматическое управление жизненным циклом ПО
Достоинства:
• Целостность инфраструктуры
с эталонными образами ПО
• Проверки до и после
развертывания убеждают в
отсутствии влияния на сеть
• Патчинг дает малые апдейты
для быстрого исправления
проблем безопасности
Image
Update
(With Pre
and Post
Checks)
Complian
ce Drift
Golden
Image
Definition
2
3
1

Процесс обновления софта
Проверка
свободной
памяти/диска для
нового ПО
Сбор сетевых
параметров для
проверки после
установки
Копирование образа
на сетевые
устройства
Активация нового
ПО на утройствах
Убедиться в том что
ПО развернуто
успешно
Запуск проверок
сетевых
параметров,
убедиться что они
коррелируют с
проверками ДО.
Предвари
тельные
проверки
Обновление
ПО
Проверки
после
обновления

Демо обновление софта

Обновление ПО: Репозиторий образов

Обновление ПО: Патчи и Эталонные отметки

Обновление ПО: Несоответствующие устройства

Обновление ПО: Выбор устройств для обновления

Обновление ПО: Обновление ПО

Обновление ПО: Результаты обновления

DNA N Мониторинг и
Аналитика

Качество Сети это сложная комплексная задача
APs
WAN
Local WLCs
Network Services DCOffice Site
ISE
DHCP
Mobile Clients
CUCM
Client Firmware
AP Coverage
WAN Uplink Usage
WAN QoS, Routing, ...
End-User Services
RF Noise/Interf.
Client Density
...
Prime
Configuration
Addressing
Authentication
Impacts Join/Roam
Impacts Quality/Throughput
WLC Capacity
Impacts Both*
Impacts Both*Impacts Both*
Impacts Both*
Impacts Both*
Impacts Quality/Throughput
Impacts Quality/Throughput Impacts Join/Roam
Impacts Join/Roam
* Both = Join/Roam and Quality/Throughput

Рассмотрим пример WiFi
Клиенты
Сетевая Инфраструктура Приложения
Подключение
Покрытие и
емкость
Мониторинг
инфраструктуры
Проактивно
Ассоциация
Аутентификация
IP адреса
Время подключения
Покрытие
Количество лицензий
Возможности клиента
Утилизация радио
Изменения каналов
Доступность,
CPU, Memory, Temp
Количество клиентов
Сбойные устройства
Роуминг
Радио
Помехи
Пропускная
способность
Подключенные
устройства
Производительность
Подключение
пользователей
DNS, DHCP
Сетевые Сервисы

Пример: Проблема с подключением пользователя
1
Увидеть что не так и посмотреть детали
2
h
h
Поиск пользователя с проблемами
подключения, пример George Baker
Анализ того почему пользовать не может соединиться всего в 2-3 щелчках мыши
Ну нужны дополнительные инструменты или информация – Аналитика проверяет все шаги для подключения клиента

Проблема в подключении офиса
Service Provider WAN link down ad site SFO
Увидеть детали проблемы для
понимания о степени воздействия и
методах решения
1
2
Перейдем к сайту из отчета по здоровью, проверим
что случилось

Отладка трафика приложений
Application Health показывает топ приложений с
проблемами.
Аналитика проверяет весь путь приложения
определяя какой сегмент имеет проблемы (в
этом случае где появились задержки)
1
2С обзорной страницы посмотреть
здоровье приложения

Что меняется с DNA Центром
Контекстная
отладка сети и
связанная
информация
Потоковая
Телеметрия

Source IP: 1.1.1.2
Dest IP: 2.2.2.2
Dest Port: 80
?
?
Dest IP: 3.2.2.2
?
netflow
AVC
DDI
ISE
Topology
Location
Device
NDP
Stream
Processing
Dest Port: 80
Контекстная корреляция и Модель Графа со свойствами

Source IP: 1.1.1.2
Dest IP: 2.2.2.2
Dest Port: 80
?
?
Dest IP: 3.2.2.2
netflow
AVC
DDI
ISE
Topology
Location
Device
NDP
Stream
Processing
Dest Port: 80

Source IP: 1.1.1.2
Dest IP: 2.2.2.2
Dest Port: 80 ?
Dest IP: 3.2.2.2
netflow
AVC
DDI
ISE
Topology
Location
Device
NDP
Stream
Processing
Dest Port: 80

Source IP: 1.1.1.2
Dest IP: 2.2.2.2
Dest Port: 80 ?
Dest IP: 3.2.2.2
netflow
AVC
DDI
ISE
Topology
Location
Device
NDP
Stream
Processing
Dest Port: 80
Пользователь:
George BakerГруппа: Marketing

Source IP: 1.1.1.2
Dest IP: 2.2.2.2
Dest Port: 80 ?
Dest IP: 3.2.2.2
netflow
AVC
DDI
ISE
Topology
Location
Device
NDP
Stream
Processing
Dest Port: 80
George BakerГруппа: Marketing
Здание 24 1st Этаж

Source IP: 1.1.1.2
Dest IP: 2.2.2.2
Dest Port: 80
?
Dest IP: 3.2.2.2
NDP
Stream
Processing
Dest Port: 80
George Baker
Группа: Marketing
Здание 24 1st Этаж
WAN QoS
проблемы...
Плотность
клиентов
проблемная...
Доступ: Applications
Владеет: endClients
Соединен: Devices
netflow
AVC
DDI
ISE
Topology
Location
Device

NETCONF RESTconf GNMI
Потоковая Телеметрия
Device Features
Interface BGP QoS ACL …
SNMP
YANG Data Model
Open Native Open Native
Configuration OperationalPhysical and Virtual Network Infrastructure
Programmable
Interfaces
Публикация
• Периодическая или по запросу
• Структурированные данные
• Приоритетные подписки
• Настраиваемые под получателя
• XML или JSON кодировка
• NETCONF или HTTP/2
транспорт
• Улучшенное масштабирование
• Уменьшенное CPU и
потребление полосы
Подписка

Ключевые выводы
Развертывание основанное на политике упрощает
управление изменениями от Дня 0 до Дня 2
Аналитика должна приносить преимущества, а не
основываться на проблемах
Интуитивная сеть начинается с политики
Автоматизация должна целостно быть продумана,
поскольку простые задачи занимают большую часть
времени

Новая эра управления и работы корпоративной сети с Cisco DNA

Recomendados

Recomendados

Más contenido relacionado

La actualidad más candente

La actualidad más candente (20)

Similar a Новая эра управления и работы корпоративной сети с Cisco DNA

Similar a Новая эра управления и работы корпоративной сети с Cisco DNA (20)

Más de Cisco Russia

Más de Cisco Russia (20)

Новая эра управления и работы корпоративной сети с Cisco DNA