SD-WANを取り巻く技術要素
変わること・変わらないこと
MPLS JAPAN 2016
⽑利 元三 <genzo.mouri@nokia.com>
0© Nokia 2016

SD-WANを取り巻く技術バリエーション■ 2016年10⽉末時点で約30社のSD-WANベンダが存在■ それぞれユースケースや基礎とする要素技術が異なるため、画⼀的な技術⽅式の分類が難しい■ SD-WAN製品の数 ≒ 実装の数
M/C-Plane

独⾃・mpBGP(EVPN), (Configのみ: Netconf, SNMP)

D-PlaneIP, IPsec(独⾃,標準)
VXLAN, VXLAN over IPsec, MPLS over GRE

コントローラのモデル

クラウド提供型・オンプレミス⾃営型・ハイブリッド型

エッジ機能

物理アプライアンス・仮想(VM)版・ソフトクライアント

拠点間転送モデル

オーバーレイ型・従来型(IP/IPsecルーティング)

WANの開通⽅式

ゼロタッチ(装置・保守者認証・センタ側認証)

主な技術訴求エリア

DPIによるWAN利⽤効率の最適化, 可視化, セキュリティ
DC・クラウド連携, 任意通信のローカルブレークアウト

1© Nokia 2016

SD-WANにおけるマルチテナントについて

2© Nokia 2016

EVPN – C/Dセグメンテーションのひとつの⽅式
RFC 7432 : BGP MPLS-Based Ethernet VPN

draft-ietf-bess-dci-evpn-overlay(DCI for EVPN-overlay networks)
draft-ietf-bess-evpn-vpls-seamless-integ(Integration with VPLS and PBB-VPLS)

draft-ietf-bess-evpn-overlay(EVPN for overlay tunnels)
draft-ietf-l2vpn-pbb-evpn(EVPN for PBB)

draft-ietf-bess-evpn-vpws(ELINE services)draft-ietf-bess-evpn-etree(ETREE services)draft-snr-bess-proxy-arp-nd(proxy-arp/nd for BU reduction)
draft-rabadan-bess-evpn-optimized-ir(Optimized Ingress Replication)

draft-ietf-bess-evpn-inter-subnet-forwarding(EVPN for inter-subnet between hosts)
draft-ietf-bess-evpn-prefix-advertisement(ipv4/v6 prefix advertisement in EVPN)

PE-CE service
interfaces

Unicast and
BUM transport
over MPLStunnels

3© Nokia 2016

MP-BGP mainroutes(ELANservices)draft-ietf-bess-dci-evpn-overlay(DCI Gateway for EVPN-overlay networks)
draft-ietf-bess-evpn-overlay(DCI inter-as model B for overlay tunnels)

Multi-homingSingle and allactive

Mobility
Duplication
Protection

SD-WANにおけるマルチテナント性と抽象モデリング
単⼀システム・管理エンティティの範囲
マルチテナントと⾔われる概念

テナント(ユーザ単位)

組織・グループ単位
ネットワーク
(L2)

拠点装置
4

拠点装置
© Nokia 2016

組織・グループ単位
ネットワーク
(L3)
サブネット

サブネット

拠点装置

拠点装置

スライシングやセグメンテーションと⾔われる概念

テナント(ユーザ単位)

組織・グループ単位
ネットワーク
(L2)

拠点装置

拠点装置

組織・グループ単位
ネットワーク
(L3)
サブネット

サブネット

拠点装置

拠点装置

EVPNにおけるM/C プレーンマッピング
単⼀システム・管理エンティティの範囲

管理プレーン実装
テナント(ユーザ単位)

テナント(ユーザ単位)

テナント間通信 (RT import/exportによるextranet)
組織・グループ単位
ネットワーク(L2)

EVPN-L2
Subnet

(IRB)

サブネット

EVPN-L2
拠点
拠点 Subnet

拠点装置
5

組織・グループ単位
ネットワーク EVPN-L3 VRF(L3)装置© Nokia 2016

装置

組織・グループ単位ネットワーク
(L2)

サブネット

EVPN-L2
Subnet
拠点装置

拠点装置

拠点装置

組織・グループ単位ネットワーク
(L3)
サブネット

サブネット

拠点装置

拠点装置

SD-WANの M/C/Dプレーン実装の⼀例

XMPP
BGP EVPNBGP EVPNNW境界ルータ

Openflow
Openflow
IPファブリック

ToR - VTEPHYHPERVISOR

BAREMETALHYHPERVISOR

HW Appliance6© Nokia 2016

広域イーサ
フレッツ回線転送プレーン
テナントA
L3ドメイン

テナントA
L2ドメイン

Data PlaneHYHPERVISOR

他拠点
他DCなど

Control Plane

制御プレーンManagement Plane

管理プレーン

管理プレーンの役割
テナント⾃体の定義・プロファイル
テナント内のL2/L3 VPN設計、設定権限とセキュリティルール付与
ビジネスロジックを実装*A:VSC# show router 20001 route-table=====================================================
Route Table (Service: 20001)=====================================================
Dest Prefix[Flags]
Type Proto Age
Pref
Next Hop[Interface Name]
Metric------------------------------------------------------------------------------30.0.0.0/24
Local NVC 00h03m04s 0
10.1.1.235(to-evpn20485)0
100.0.0.0/24
Local NVC 00h03m04s 0
10.1.1.235(to-evpn20536)
0200.0.0.0/24
Remote BGP VPN 21h34m23s 170
16.41.248.207*(to-backhaul-evpn20002)0-------------------------------------------------------------------------------

制御プレーンの役割
・ 構成情報をEVPN NLRIとして対向Peer/RRに伝搬・ SD-WANデバイス(vSwitch)にOpenflowでプログラム*A:VSC# tools vswitch 10.1.1.72 command "ovs-appctl bridge/dump-flows alubr0"
duration=688014s, n_packets=14, cookie:0x1 n_bytes=925,
priority=1,actions=move:NXM_OF_VLAN_TCI[0..11]>NXM_NX_REG1[0..11],strip_vlan,resubmit(,22),resubmit(,23),move:NXM_OF_IN_PORT[]->NXM_NX_REG4[0..15],move:NXM_NX_REG1[0..15]>NXM_OF_IN_PORT[],resubmit(,4)
table_id=4, duration=688014s, n_packets=89963, cookie:0x1 n_bytes=7463758,priority=0,actions=resubmit(,7)
table_id=15, duration=688014s, n_packets=0, cookie:0x1 n_bytes=0,priority=0,actions=drop
table_id=20, duration=688014s, n_packets=0, cookie:0x1 n_bytes=0,priority=65535,reg7=0x1,actions=resubmit(,50),push_vlan:0x8100,move:NXM_OF_IN_PORT[]->NXM_NX_REG1[0..15],resubmit(,21),move:NXM_NX_REG1[0..11]>NXM_OF_VLAN_TCI[0..11],output:NXM_NX_REG0[0..15]

転送プレーンの役割
制御プレーンは持たずFlowEntryに従ったパケット転送のみを実施(IPsec または VXLANトンネル)

EVPNにおけるM/C プレーンとロール管理モデル
単⼀システム・管理エンティティの範囲

管理プレーン実装
全体管理者

テナント(ユーザ単位)

テナント(ユーザ単位)

テナント間通信 (RT import/exportによるextranet)
組織・グループ単位
ネットワーク(L2)

EVPN-L2
Subnet組織・グループ単位
ネットワーク
(L3)

サブネット

サブネット

サブネット

拠点装置

拠点装置

(IRB)

EVPN-L2
拠点
拠点 Subnet

拠点装置
7

組織・グループ単位
組織・グループ単位
ネットワーク EVPN-L3 VRF
ネットワーク(L3)(L2)
それぞれの要素で階層的にロールベース(権限)管理を付与

装置© Nokia 2016

装置

サブネット

EVPN-L2
Subnet
拠点装置

管理者
拠点装置

拠点装置

テナント・VPNスライス単位の移譲・委任• 事象者または全体管理者とは別にテナント毎の独⽴管理• テナント内の特定スライス(L2/L3VPN)の管理権をサブ管理者に渡す -> 運⽤委任
事業者/全体管理者
企業A 管理者

ログインすると
仮想NW Aだけ見えて管理できる

部分的に委任全てのNWが見えて管理可

部分的に 企業B 管理者
委任

企業B専用 仮想NW

企業A専用 仮想NW
関連企業 サブ管理者
L2

開発部門
NWスライス
8© Nokia 2016

ログインすると仮想NW Bだけ見えて管理できる

L2

L2
L2

販売部門
NWスライスマルチテナント間接続の課題: テナント跨ぎの通信
M&Aや拠点統合でテナント間接続が必要になった際、どのように繋ぐか？
企業B専用 仮想NW
V
M

Subnet A

V
M
Subnet A

vRouterSubnet B

企業A専用 仮想NW

VM

Subnet C

vRouterSubnet B

Subnet C

Subnet D

V
M

VM
V
M

VXLAN

VXLAN
VLAN

VTEP

VLAN

VTEP

各企業のVXLANトンネルをVTEPで⼀旦終端し、UnderlayにVLAN接続した後にSwitchでVLAN変換？？
9© Nokia 2016

マルチテナント間接続の実装例
VLANに落とさずネットワークレベルのテナント間を接続
企業B専用 仮想NW
V
M

Subnet A

vRouterSubnet B

企業A専用 仮想NW
V
M
Subnet A

V
M
Subnet B

Subnet C

V
M

Subnet C

vRouterSubnet DVMVM

NSG-BR

企業B DomainLink設定

SD-WAN ボーダールータ機能
1. VXLAN to VXLAN
2. VXLAN to IPsec

双⽅向でDomainLink設定

管理プレーンとの連携によるEVPN RT import/export
10© Nokia 2016

企業A DomainLink設定

マルチテナント間接続の課題: アドレス重複構成
アドレス空間が重複しているNWにおいて、共有リソースにどのように繋ぐか？
企業B専用 仮想NW
V
M

Subnet A

vRouterSubnet B

企業A専用 仮想NW
V
M
Subnet A

VM
Subnet B

Subnet C

共有リソース用 仮想NW

VM

Subnet C

vRouterSubnet D

Subnet A

V
M
VM

DC Fabric

物理Router

各企業NWをVLANでUnderlayNWに接続し、物理RouterでVRF終端し、BaseVRFへNAT接続？？
11© Nokia 2016

V
M
Subnet B

vRouterSubnet C

V
M
VM

アドレス重複構成の実装例: PAT to Overlay
オーバーレイ専⽤のPAT処理により共有リソースにアクセスさせる
企業B専用 仮想NW
V
M

Subnet AvRouter
Subnet B

企業A専用 仮想NW
VM
Subnet C

Subnet A

vRouter

VM
Subnet B

Subnet C

VM

共有リソース用 仮想NW

Subnet DVM
Subnet A

VM
VM

Subnet B

vRouterSubnet C

VM
VM

Domain Linking with PAT Overlay

企業B PAT Pool12

© Nokia 2016

企業B DomainLink設定

企業A PAT Pool

企業A DomainLink設定

複数トランスポートのインターワーク
本社

NSG

Data Center / Private Cloud
閉域専⽤線・広域イー
サ
⽀社

VRS

NSG
VXLA
N
VXLANoIPSec

⽀社

13

NSG

インターネットVRS
VXLAN
NSGBorderRouter

・同じSDN ControllerからSD-WAN / SD-DCの両デバイスを管理
・拠点からServerのvPortまで仮想NWを延伸することで途中経路のNW分断がない
・NSG-BorderRouterでIPSecの終端とVXLANのServer延伸© Nokia 2016

DC Fabric
VRS

複数トランスポートのインターワーク
本社

仮想NW / OverlayNW

NSG
VSC

Data Center / Private Cloud
閉域専⽤線・広域イーサ
⽀社

VRS

NSG

Subnet B
⽀社

Subnet A

NSG

インターネット

vRouter

VRS

Subnet C
NSGBorderRouter

DC Fabric

各エッジ箇所で1つのvRouterを形成

SD-WAN / SD-DCを跨いだRouting/Switchingが可能となりSecurityPolicyを統⼀化
14© Nokia 2016

VRS

まとめ
■ SD-WAN専⽤の要素技術は存在しない■ テナント内L2/L3セグメンテーションにはEVPNも有効な⽅式のひとつになり得る■ マルチテナントの実現には管理プレーン連携が必須■ 管理プレーンを適切に発展させ、組み合わせることで標準ネットワーク技術を超えた⾼度なビジネスロジックを実装できる可能性がある
15© Nokia 2016

Thank you
Nuage Networks from NOKIA

16© Nokia 2016