Einführung in IWAN und PfRv3

Einleitung

Dieses Dokument beschreibt Cisco Intelligent WAN (IWAN) und Cisco Performance Routing (PfR).

IWAN

Das Cisco IWAN ist ein System, das die Leistung von Collaboration- und Cloud-Anwendungen verbessert und gleichzeitig die Betriebskosten des WAN senkt. Die IWAN-Lösung bietet Design- und Implementierungsanleitungen für Unternehmen, die ein transportunabhängiges WAN mit intelligenter Pfadkontrolle, Anwendungsoptimierung und sicherer Anbindung an das Internet und Zweigstellen bereitstellen möchten, während sie gleichzeitig die Betriebskosten des WAN senkt. Das IWAN nutzt das Premium-WAN und kosteneffiziente Internetservices, um die Bandbreitenkapazität ohne Einbußen bei Leistung, Zuverlässigkeit oder Sicherheit von Collaboration- oder Cloud-basierten Anwendungen zu erhöhen. Organisationen können das IWAN nutzen, um das Internet als WAN-Transportmedium zu nutzen und direkten Zugriff auf Public Cloud-Anwendungen zu erhalten.

R1 bevorzugt den Sprach- und Videodatenverkehr auf dem besten Weg mit einer vergleichsweise geringeren Verzögerung, weniger Jitter und/oder weniger Verlust zwischen den beiden verfügbaren Verbindungen. Für den übrigen Datenverkehr wird ein Load Balancing durchgeführt, um die Bandbreite zu maximieren.

Sprache und Video werden umgeleitet, wenn der aktuelle Pfad abnimmt (Multiprotocol Label Switching (MPLS)) und dann die DIA-Verbindung (Direct Internet Access) ausgewählt wird.

IWAN bietet Ihnen folgende Vorteile:

• Stellen Sie für weniger wichtige Daten eine Verbindung zu einem kostengünstigeren Modus als INTERNET her.
• Anwendungsoptimierung, intelligentes Caching und hochsichere DIA im WAN

Bisher können zuverlässige Verbindungen mit vorhersehbarer Leistung nur dann hergestellt werden, wenn ein privates WAN mit MPLS oder einem Mietleitungsdienst genutzt wird. Carrier-basierte MPLS- und Mietleitungs-Services können jedoch kostspielig sein und sind nicht immer kosteneffizient für den Einsatz als WAN-Transportmedium, um die wachsenden Bandbreitenanforderungen für die Anbindung von Remote-Standorten zu erfüllen. Unternehmen suchen nach Möglichkeiten, ihr Betriebsbudget zu senken und gleichzeitig den Netzwerktransport für einen Remote-Standort ausreichend zu gewährleisten.

Mit IWAN können Organisationen eine uneingeschränkte Arbeitsumgebung über jede beliebige Verbindung bereitstellen. Mit dem Cisco IWAN können IT-Abteilungen ihren Zweigstellenverbindungen mehr Bandbreite mit kostengünstigeren WAN-Transportoptionen bereitstellen, ohne die Leistung, Sicherheit oder Zuverlässigkeit zu beeinträchtigen. Mit der IWAN-Lösung wird der Datenverkehr dynamisch geroutet, basierend auf dem Application Service Level Agreement (SLA), dem Endgerätetyp und den Netzwerkbedingungen. Dies sorgt für optimale Benutzerfreundlichkeit.

Mit IWAN können Sie bandbreitenintensive Anwendungen wie Video, Virtual Desktop Infrastructure (VDI) und Wi-Fi-Services für Gäste schnell bereitstellen. Dabei spielt es keine Rolle, welches Transportmodell Sie bevorzugen - MPLS, Internet, Mobilfunk oder ein Hybrid-WAN-Zugriffsmodell.

In dieser Abbildung sind die Komponenten der IWAN-Lösung dargestellt. Performance Routing ist eine wichtige Säule dieser Initiative:

Die vier Komponenten von IWAN sind:

• Sicheres und flexibles transportunabhängiges Design - Dynamic Multipoint VPN (DMVPN) IWAN bietet Funktionen für einfaches Multihoming über beliebige Carrier-Serviceangebote, darunter MPLS, Breitband und 3G/4G/LTE für Mobilfunknetze.
  • Technologie: DMVPN/IPsec-Overlay-Design

• Intelligente Pfadkontrolle - Mit Cisco PfR verbessert diese Komponente die Anwendungsbereitstellung und die WAN-Effizienz. Der PfR steuert Entscheidungen zur Datenpaketweiterleitung dynamisch, indem er den Anwendungstyp, die Leistung, die Richtlinien und den Pfadstatus berücksichtigt. PfR schützt Geschäftsanwendungen vor Schwankungen der WAN-Leistung und sorgt für einen intelligenten Lastenausgleich des Datenverkehrs über den Pfad mit der besten Leistung, der auf der Anwendungsrichtlinie basiert. PfR überwacht die Netzwerkleistung - Jitter, Paketverlust, Verzögerung - und trifft Entscheidungen für die Weiterleitung kritischer Anwendungen über den Pfad mit der besten Leistung, basierend auf der Anwendungsrichtlinie. Cisco PfR besteht aus Grenzroutern, die eine Verbindung mit dem Breitbanddienst herstellen, und einer primären Controller-Anwendung, die von der Cisco IOS®-Software auf einem Router unterstützt wird. Die Grenzrouter erfassen Datenverkehr- und Pfadinformationen und senden diese an den primären Controller, der die Servicerichtlinien erkennt und durchsetzt, die mit den Anwendungsanforderungen übereinstimmen. Cisco PfR kann einen Ausgangs-WAN-Pfad zum intelligenten Lastausgleich des Datenverkehrs basierend auf den Schaltkreiskosten auswählen, um die Gesamtkommunikationskosten eines Unternehmens zu reduzieren. Die intelligente Pfadkontrolle des IWAN ist der Schlüssel zur Bereitstellung eines WAN der Business-Klasse über das Internet.
  • Technologie: PfR PfR entwickelt sich zu einer wichtigen neuen Version namens PfRv3.

• Anwendungsoptimierung - Cisco Application Visibility and Control (AVC) und Cisco Wide Area Application Services (WAAS) sorgen für Transparenz und Optimierung der Anwendungsleistung über das WAN. Da Anwendungen aufgrund der zunehmenden Wiederverwendung bekannter Ports wie HTTP (Port 80) immer undurchsichtiger werden, reicht die statische Port-Klassifizierung der Anwendung nicht mehr aus. Cisco AVC bietet Anwendungserkennung mit Deep Packet Inspection für den Datenverkehr zur Identifizierung und Überwachung der Anwendungsleistung. Transparenz und Kontrolle auf Anwendungsebene (Layer 7) werden durch AVC-Technologien wie Network-Based Application Recognition 2 (NBAR2), NetFlow, Quality of Service (QoS), Performance Monitoring, Medianet und andere ermöglicht. 
  • Technologien: Application Visibility and Control (AVC), WAAS, Akamai Connect

• Sichere Verbindungen - Schützt das WAN und lagert Benutzerdatenverkehr direkt an das Internet aus. Starke IPsec-Verschlüsselung, zonenbasierte Firewalls und strenge Zugriffslisten schützen das WAN über das öffentliche Internet. Das direkte Routing von Zweigstellenbenutzern zum Internet verbessert die Leistung von Public Cloud-Anwendungen und reduziert den Datenverkehr über das WAN. Der Cisco Cloud Web Security (CWS)-Service bietet einen Cloud-basierten Web-Proxy für die zentrale Verwaltung und Sicherung des Internetzugriffs durch die Benutzer.
  • Technologien: Cisco IOS Firewall/IPS, Cloud Web Security (CWS)

Gründe für die Verwendung von DMVPN

Das IWAN verwendet ein verbindliches Design mit einem Hybrid Transport Independent-Design, das auf DMVPN basiert. DMVPN wird über MPLS und Internet-Transport bereitgestellt. Dies vereinfacht das Routing erheblich, da eine einzige Routing-Domäne verwendet wird, die beide Transporte umfasst. Die DMVPN-Router verwenden Tunnelschnittstellen, die sowohl IP-Unicast als auch IP-Multicast und Broadcast-Datenverkehr unterstützen. Dies schließt die Verwendung dynamischer Routing-Protokolle ein. Wenn der ursprüngliche Spoke-to-Hub-Tunnel aktiviert ist, können dynamische Spoke-to-Spoke-Tunnel erstellt werden, wenn der standortübergreifende IP-Datenverkehr dies erfordert.

Das Transport Independent Design basiert auf einer DMVPN-Cloud pro Provider. In diesem Leitfaden werden zwei Anbieter verwendet, einer gilt als primärer (MPLS) und einer als sekundärer (Internet). Zweigstellen sind mit beiden DMVPN-Clouds verbunden, und beide Tunnel sind aktiv.

Wie im Diagramm gezeigt, ist jeder Zweigstellen-Router mit beiden Providern verbunden, einer davon ist MPLS (primär) und der andere INTERNET (sekundär).

Je nach Art des Datenverkehrs wird jeder Anbieter zum Senden des Datenverkehrs verwendet. So können beispielsweise Daten mit höherer Priorität über MPLS ausgesendet und Daten mit geringerer Priorität über das INTERNET geroutet werden. Dadurch wird die Lösung kosteneffizienter, und die verfügbaren Ressourcen können für innovativere Geschäftszwecke genutzt werden.

Transport Independent Design (Dual-DMVPN)

Zusammenfassung des Designs

Das Design bietet Aktiv-Aktiv-WAN-Pfade, die DMVPN für ein konsistentes IPsec-Overlay nutzen. Die MPLS- und Internetverbindungen können auf einem einzelnen Router oder auf zwei separaten Routern terminiert werden, um die Ausfallsicherheit zu erhöhen. Dasselbe Design kann für MPLS-, Internet- oder 3G/4G-Transportnetze verwendet werden, wodurch die Transportunabhängigkeit des Designs gewährleistet ist.

Es wird empfohlen, einen DMVPN-Hub (PfRv3 BR) pro Provider und Transport auf dem Hub zu verwenden. Dies erleichtert die Routing-Konfiguration erheblich.

DMVPN erfordert die Verwendung von IKEv2-Keepalive-Intervallen (Internet Key Management Protocol Version 2) für die Dead Peer Detection (DPD). Diese Intervalle sind wichtig, um eine schnelle Rekonvergenz zu ermöglichen und die Spoke-Registrierung beim erneuten Laden eines DMVPN-Hubs ordnungsgemäß zu ermöglichen. Mit diesem Design kann ein Spoke erkennen, dass ein Verschlüsselungs-Peer ausgefallen ist und die IKEv2-Sitzung mit diesem Peer abgelaufen ist. Auf diese Weise kann ein neuer Peer erstellt werden. Ohne DPD muss die IPsec-SA eine Zeitüberschreitung aufweisen (der Standardwert ist 60 Minuten). Wenn der Router keine neue SA aushandeln kann, wird eine neue IKEv2-Sitzung initiiert. Die maximale Wartezeit beträgt ca. 60 Minuten.

DMVPN-Phasenzusammenfassung

DMVPN hat mehrere Phasen, die hier zusammengefasst werden:

DMVPN Phase 1 basiert auf der Hub-and-Spoke-Funktionalität.

• Vereinfachte und kleinere Konfiguration auf Hubs
• Unterstützung dynamisch adressierter CPEs (NAT)
• Unterstützung für Routing-Protokolle und Multicast
• Spokes benötigen keine vollständige Routing-Tabelle; Zusammenfassung auf Hub möglich

DMVPN Phase 2 enthält keine Zusammenfassung auf dem Hub.

Jeder Spoke hat den Next-Hop (Spoke-Adresse) für jedes Spoke-Zielpräfix.

PfR verfügt über alle Informationen, um den Pfad mit dynamischem PBR und den richtigen Next-Hop-Informationen durchzusetzen.

DMVPN Phase 3 ermöglicht Routenzusammenfassung:

• Bei der Suche nach der übergeordneten Route ist nur die Route zum Hub verfügbar.
• NHRP installiert den Shortcut-Tunnel dynamisch und füllt daher RIB/CEF auf.
• Der PfR verfügt weiterhin über die Hub-Next-Hop-Informationen und hat derzeit keine Kenntnis von der Next-Hop-Änderung. 

PfRv3 unterstützt alle DMVPN-Phasen.

Weitere Informationen zu DMVPN finden Sie unter Cisco IOS DMVPN Overview.