SD-WANとルータ実装例
Masahiko Suzuki
Sr. Systems Engineer
November 2016

Cisco SD-WAN ソリューション
[1] Intelligent WAN[2] IWAN in DNA Arch. (CY2017)

・ルータ機能：現IOS機能（DMVPN, PfR, AVC等）の組み合わせでSD-WANを実現
・マネジメント機能：APIC-EM、3rd Party等

・次世代エンタープライズ向けアーキテクチャ DNA(Digital Network Architecture) のフレームワーク
でSD-WANを実現

・対応プラットフォーム[3] Meraki
・MerakiにSD-WAN機能を追加
・管理/導入をシンプルに行うことが可能

・対応プラットフォーム
NEW!!
MXシリーズ

ASR1000シリーズ

ISR シリーズ* [1]はISR4Kのみ

ENCSシリーズ

CSR1000v(仮想ルータ)[1] Intelligent WAN

IWAN
SD-WANを実現するIOS機能
AVC

Private
Cloud

MPLS

ISR-AX
ASR1000-AXInternet
WAAS
Akamai

VirtualPrivate
CloudPublicCloud

PfRv3

マネージメント & オーケストレーション
トランスポートオーバーレイ

インテリジェントなパスコントロール

アプリケーション最適化

セキュアなインターネット接続

4

IPSec WAN オーバーレイ

4

全帯域の有効活用

4

アプリケーションの可視化

4

強力な暗号化4

一貫した運用モデル

4

遅延、ジッタ、損失に基づ いた
アプリケーション最適パス

4

WAN最適化・高速化 (Option)

4

4

Akamai Caching (Option)

IOS Firewall/IPS
包括的な脅威対策

DMVPN

パフォーマンスルーティング

AVC

セキュアブランチ1. IWAN オーバーレイ
DMVPN (Dynamic Multipoint VPN)•

HUB&SPOKE型のオンデマンドメッシュ型オーバーレイ•

HUB-SPOKE間はスタティックトンネル、SPOKE間はダイナミックトンネルをオンデマンドで生成•NHRP (Next-Hop Resolution Protocol) でアンダーレ
イとオーバーレイのアドレス解決を行う•

オーバーレイトンネルはMultipoint GREであり、単一のGREインターフェースで複数GRE/IPSecトンネルを終端•シンプルな設定で容易にSPOKEを追加することが可能

セキュア オンデマンドメッシュトンネルHUB

VPN
SPOKE-1

SPOKE-n

SPOKE-2

スタティックトンネル
スタティックな既知アドレス
ダイナミックトンネル
ダイナミックに解決するトンネル

1. IWAN オーバーレイ
MPLS, INETアンダーレイネットワーク イメージ図
BranchHUB
DMVPN
SPOKEPE

MPLS

DMVPN
HUB

PE

Branch
DMVPN
SPOKE

PE

Internet

DMVPN
HUB

1. IWAN オーバーレイ
DMVPNオーバーレイネットワーク イメージ図
BranchDMVPNSPOKEDMVPN GroupPE
MPLS
MPLS

PE
DMVPN
HUB

Branch
DMVPN
SPOKE

HUB

DMVPN Group
INET
INET

DMVPN
HUB

2. IWAN パスコントロール
PfR (Performance Routing)
音声/ビデオ/クリティカル
データは遅延, ジッタ, ロス無しの高品質な回線を経由

MPLS
プライベートクラウド

Branchその他のトラフィックは回線を最大限に活用するために
ロードバランス

仮想プライベートクラウドインターネット

音声/ビデオ/クリティカルデータは回線品質の劣化によってポリシー違反を起こすと、別の回線にリルートする• PfRはアプリケーションやDSCP単位のトラフィック毎のパフォーマンスの測定を行う• 重要なトラフィックは高品質な回線へ、それ以外のトラフィックはロードバランスを行う、等のポリシーを設定

IWAN パスコントロール
ルーティングレイヤの考え方
通常のルーティングプロトコルの上位からPfRでパスコントロールを実行！

パスセレクションポリシー
AVC/QoS

パフォーマンスルーティング

オーバーレイ - ルーティングプロトコル(iBGP, EIGRP等)
オーバーレイトンネル (DMVPN)

アンダーレイ - トランスポートレイヤ
MPLS-VPN/インターネットルーティング

AVC/QoS2. IWAN パスコントロール
PfR 動作概要
トラフィッククラス
データベース

ISR
ASR1K

MC

MC+BR

MC

トラフィッククラス学習

BR

BR

MC+BR

MC+BR

トラフィックパフォーマンスの測定とレポート

MC+BR

Step1:
トラフィックポリシーの定義

Step2:
トラフィッククラスの学習

・DSCPベースまたはアプリケーションベースでトラフィッククラスを定義
・求められるサービスレベルに応じて
パスコントロールポリシーを定義
・HUB Master Controller(HUB MC)
から各PfR Peerに分配される・現在WANを流れるトラフ ィック を、
DSCPまたはアプリケーションベースのマッチングポリシーに基づき学習・ HUB及びBranchのBorder Router
で動作する

MC+BR

BR

BR

MC+BR

MC+BR

MC+BR

Step3:
パフォーマンス測定
・BRにおいてトラフィッククラス毎のパフォーマンスを測定し、その結果をMCにレポートする

MC

ベスト
パス

MC+BR

BR

BR

MC+BR

BR

MC+BR

Step4:
パスエンフォースメント
トラフィックポリシーとパフォーマンス
測定結果に基づいて、MCはBRへベストパスの指示を出す

2. IWAN パスコントロール
Step1: トラフィックポリシーの定義
HUB MCにおけるトラフィックポリシー定義
HUB

HUB MCHUB BR2

HUB BR1

MPLS

ポリシー
分配

クラス

マッチング
ポリシー

パス優先度

パフォーマンス閾値

Voice

DSCP
アプリケーション

最優先: MPLS
次優先: INET
次々優先: 4G

遅延 閾値ロス 閾値
ジッタ 閾値

VideoDSCP
アプリケーション

最優先: MPLS
次優先: INET

遅延 閾値
ロス 閾値
ジッタ 閾値

Critical Data

DSCP
アプリケーション

最優先: MPLS
次優先: INET

遅延 閾値
ロス 閾値
ジッタ 閾値Best Effort

DSCP
アプリケーション

ロードバランス

遅延 閾値ロス 閾値
ジッタ 閾値INET

MC(Master Controller)の役割
・ポリシーの定義(HUB-MCのみ)
・各トラフィックのパフォーマンス評価とパスエンフォースメントの指示
・マネジメントへの統計情報のレポーティング(可視化)
MC/BR

MC/BR

BranchBranchMC/BR

BranchBR

BR(Border Router)の役割
・WANを流れるトラフィック種別の学習とパフォーマンス結果をMCへのレポート
・MCのパスエンフォースメントに従ったトラフィックフォワーディング2. IWAN パスコントロール
Step2: トラフィッククラスの学習
トラフィックの流れ

MC

MPLS

MC/BR

Site1010.1.10.0/24

MCへレポートBR

Performance
Monitor 機能

INET
MC/BR

Site1010.1.10.0/24

・WANインターフェースEgress方向で動作
・トラフィッククラスを学習及び生成

Prefix10.1.10.0/24
10.1.10.0/24
10.1.10.0/24
10.1.11.0/24

DSCP
EF
AF310
AF31

AppID
N/A
N/A
N/A
Skype

Dst Site
Site 10Site 10Site 10Site 11l トラフィッククラス：パスコントロールされる単位
l トラフィッククラスの要素
Ø 宛先プレフィクス
Ø DSCP、アプリケーション
Ø 宛先サイト2. IWAN パスコントロール
Step3: パフォーマンス測定
Ch : DSCP=AF31

WAN1, WAN2でChannelをあらかじめ生成(※ChannelはDSCP, サイト単位の論理パス)

MPLS
Ch : DSCP=EF
BR

BR

Ch : DSCP=EF

INET
Ch : DSCP=AF31
トラフィックの流れ

Performance
Monitor機能

・WANインターフェースIngress方向で動作
・トラフィッククラス毎の品質(遅延、ジッタ、ロス)を測定
・実トラフィック TCP, UDP, RTPのヘッダ情報から測定・実トラフィックで測定不可な場合はスマートプローブ(RTP)で測定

2. IWAN パスコントロール
Step4: パスエンフォースメント

WAN1, WAN2でChannelをあらかじめ生成(※ChannelはDSCP, サイト単位の論理パス)

Ch : DSCP=AF31

MPLS
Ch : DSCP=EF
BR

BR

Ch : DSCP=EF

INET
Ch : DSCP=AF31
トラフィックの流れ

トラフィッククラス評価(MC)Prefix10.1.10.0/24
10.1.10.0/24
10.1.10.0/24
10.1.11.0/24

DSCP
EF
AF310
AF31

AppID Dst Site
N/A
Site 10
N/A
Site 10
N/A
Site 10
Skype Site 11

Present Channel

Performance
Monitor機能

・WANインターフェースIngressで動作
・トラフィッククラス毎の品質(遅延、ジッタ、ロス)を測定
・実トラフィック TCP, UDP, RTPのヘッダ情報から測定・実トラフィックで測定不可な場合はスマートプローブ(RTP)で測定
Backup Channel

・Channelの割り当て(エンフォースメント)
・該当するChannelが無い場合、通常のルーティングに従う

PfR参考資料•PfRv3 Technology Overview Wiki•

http://docwiki.cisco.com/wiki/PfRv3:Technology_Overview

3. IWAN アプリケーション最適化
AVC – NBAR2によるアプリケーション識別
IOS
NBAR2

NBAR2: IOSが標準でサポートするDPI機能でアプリケーション識別可能• IOSアップグレードなしでプロトコルライブラリをアップデート可能• http://www.cisco.com/en/US/prod/collateral/iosswrel/ps6537/ps6558/
ps6616/product_bulletin_c25-627831.html•

3. IWAN アプリケーション最適化
AVC – アプリケーションパフォーマンスモニタ
アプリケーションフロー毎のパフォーマンスをトラック＆レポート
AVC

エンタープライズエッジ

CSR

AVC

AVC

WAN

ブランチ

NetFlow v9

AVC

PrivateCloudデータセンター

NetFlow v9/IPFIXのエクスポート

エクスポーティング
プロビジョニング
コレクティング

コレクティング

コレクティング

NetFlow/IPFIXのレコード• トラフィックのスタッツレコード• アプリケーションレスポンスタイムレコード• メディアモニタリングレコード(ジッタ, ロス等)

Cisco マネジメントソフトウェア
Prime, APIC-EM

3rd パーティ
LiveAction

Living Objects

4. IWAN セキュアなインターネット接続
セキュアブランチ* DIA: Direct Internet Access

IOSセキュリティ機能、仮想アプライアンス機能(vCPE)でセキュアなインターネット接続を実現
セキュアブランチユースケースと利用機能の例
クラウドアクセス DIA

フル DIAl ZBFW(Zone based FW)
l CWS(Cloud Web Security)
l URL-Filteringl ZBFW(Zone based FW)
l CWS(Cloud Web Security)
l Snort IPSl FirePowerl ZBFW(Zone based FW)l FirePowerl TrustSecl ISE• ゲストユーザのインターネットア
クセス• URLフィルタリングの適応• クラウドサービスへのインタネット
アクセス• 信頼されたクラウドのみアクセスを許可• 全インターネットトラフィックをDIA• HUBサイトと同レベルのSecurityをブランチに構築• TrustSecによる認証ベースのDIA• 信頼されるユーザのみインタ
ネットへリダイレクト

ゲスト DIA

認証ベース DIA

ゲスト

• VLANとZBFWのセグメンテー
ション

IWAN
SD-WANを実現するIOS機能
AVC

Private
Cloud

MPLS

ISR-AX
ASR1000-AX

Internet
WAAS
Akamai

VirtualPrivateCloud

Public
Cloud

PfRv3

マネージメント & オーケストレーション
トランスポート
オーバーレイ

インテリジェントな
パスコントロール

アプリケーション
最適化

セキュアなインターネット接続

4

IPSec WAN オーバーレイ

4

全帯域の有効活用

4

アプリケーションの可視化

4

強力な暗号化4

一貫した運用モデル

4

遅延、ジッタ、損失に基づ いた
アプリケーション最適パス

4

WAN最適化・高速化 (Option)

44Akamai Caching (Option)

IOS Firewall/IPS
包括的な脅威対策

DMVPN

パフォーマンスルーティング

AVC

セキュアブランチ

IWAN マネジメントソフトウェア
ネットワーク事業者向け

企業向け

IWAN APP

APIC-EM
Prime Infrastructure

サードパーティ

事業者向けに機能拡張中

NSO (Model Driven Provisioning)※tail-f社を買収

[2] IWAN in DNA Arch.
(CY2017)

Digital Network Architecture – ビジョン
サービスの定義付 & オーケストレーション
エンタープライズコントローラ(ポリシーの定義付)
APIs
WAN / ブランチ

キャンパス
PEP

PEP

BranchWAN Agg PEP

PEP

BranchSPEnterprise Fabric (Overlay)

データセンタ

PEP

PEP

Apps

Apps インターネット

PEP
Int. Acc

PEP

PEP

PEP

クラウド
WAN VNFs

Campus VNFs

DC VNFs

Network Function Virtualization

Cloud VNFs

AppsDigital Network Architecture – ビジョン
GUI

サービスの定義付 & オーケストレーション

規定

サービス追加Easy QoS
トポロジ

エンタープライズコントローラ(ポリシーの定義付)

カスタマイズ
モデル化

プラグ & プレイ

経路最適化
分析

APIs
WAN / ブランチ

キャンパス
PEP

PEP

BranchWAN Agg PEP

PEP

BranchSPEnterprise Fabric (Overlay)

データセンタPEPPEPApps インターネット

セグメント1

PEP

セグメント2

PEP

セグメント3Int. Acc

PEP

PEP

クラウド
WAN VNFs

Campus VNFs

DC VNFs

Network Function Virtualization
サービスチェイニング

Apps

Cloud VNFs

Apps

DNA Center
End-to-End Enterprise Experience•DNAアーキテクチャにおけるSD-WAN、SD-Accessの内容については当日のプレゼンテーションのみでのご提示となります。

•2017年のCiscoLive等で正式な発表がある予定です。

Key Takeaway

Key Takeaway•••

Web掲載用現IWANソリューション
Ø

IOS機能を駆使しSD-WANを実現するØ

既存エンタープライズルーティングの延長線上の機能(PfR, AVC等)を用いておりカスタマイズ性が高いØワールドワイドにおける導入実績が豊富であり、今後も継続的に開発投資を行う

IWAN in DNA Arch. ソリューション (CY2017)Ø

次世代エンタープライズアーキテクチャ DNA のフレームワークとしてSD-WANを展開する

ØSD-Accessとの親和性が高く、セグメンテーションをOverlayを超えて延伸可能

ニーズに合わせてSD-WANソリューションを選択可能