Introduction à IWAN et PfRv3

Introduction

Ce document décrit le WAN intelligent de Cisco (IWAN) et le routage des performances de Cisco (PfR).

IWAN

Cisco IWAN est un système qui améliore les performances des applications cloud et de collaboration, tout en réduisant les coûts d'exploitation du WAN. La solution IWAN fournit des conseils de conception et de mise en oeuvre aux entreprises qui cherchent à déployer un WAN indépendant du transport avec un contrôle intelligent des chemins, une optimisation des applications et une connectivité sécurisée à Internet et aux filiales, tout en réduisant les coûts d'exploitation du WAN. IWAN tire pleinement parti du WAN haut de gamme et des services Internet économiques pour augmenter la capacité de bande passante sans compromettre les performances, la fiabilité ou la sécurité des applications de collaboration ou basées sur le cloud. Les entreprises peuvent utiliser l'IWAN afin d'exploiter l'Internet en tant que transport WAN, ainsi que pour accéder directement aux applications de cloud public.

R1 préférera que le trafic voix et vidéo emprunte le meilleur chemin avec un délai, une gigue et/ou une perte relativement moindres parmi les deux liaisons disponibles. L'autre trafic est équilibré en charge afin d'optimiser la bande passante.

La voix et la vidéo sont réacheminées si le chemin actuel se dégrade (Multiprotocol Label Switching (MPLS)), puis la liaison DIA (Direct Internet Access) est choisie.

L’IWAN vous permet de le faire :

• Connectez-vous à un mode à moindre coût comme INTERNET pour les données moins importantes.
• Permet au WAN d'utiliser l'optimisation des applications, la mise en cache intelligente et le DIA hautement sécurisé.

Jusqu'à présent, la seule façon d'obtenir une connectivité fiable avec des performances prévisibles est de tirer parti d'un WAN privé utilisant MPLS ou un service de ligne louée. Cependant, les services MPLS et les services de ligne louée basés sur l'opérateur peuvent être coûteux et ne sont pas toujours rentables pour une entreprise qui souhaite utiliser le transport WAN pour prendre en charge les besoins croissants en bande passante pour la connectivité de site distant. Les entreprises recherchent des moyens de réduire leur budget d'exploitation tout en fournissant le transport réseau adéquat pour un site distant.

IWAN permet aux entreprises d'offrir une expérience sans concession sur n'importe quelle connexion. Grâce à Cisco IWAN, les services informatiques peuvent fournir davantage de bande passante aux connexions de leurs filiales avec des options de transport WAN moins coûteuses, sans affecter les performances, la sécurité ou la fiabilité. Grâce à la solution IWAN, le trafic est routé dynamiquement pour offrir l’expérience de meilleure qualité d’expérience en fonction du contrat par niveau de service d’une application, du type de point d’accès et des conditions du réseau.

Avec IWAN, vous pouvez rapidement déployer des applications gourmandes en bande passante, telles que la vidéo, l’infrastructure de bureau virtuel et les services Wi-Fi pour invités. Et peu importe le modèle de transport que vous préférez, qu'il s'agisse d'un modèle MPLS, Internet, cellulaire ou d'un modèle d'accès WAN hybride.

Cette figure présente les composants de la solution IWAN. Le routage haute performance est le fondement de cette initiative :

Les quatre composants d'un IWAN sont les suivants :

• Conception sécurisée et flexible, indépendante du transport : le réseau IWAN DMVPN (Dynamic Multipoint VPN) offre des fonctionnalités de multihébergement facile sur n'importe quelle offre de services de l'opérateur, notamment MPLS, haut débit et 3G/4G/LTE cellulaire.
  • Technologie : Conception par chevauchement DMVPN/IPsec.

• Contrôle intelligent des chemins : avec Cisco PfR, ce composant améliore la distribution des applications et l'efficacité du WAN. Le PfR contrôle de manière dynamique les décisions de transfert des paquets de données en tenant compte du type d’application, des performances, des politiques et de l’état du parcours. Il protège les applications d’exploitation contre les fluctuations des performances du WAN tout en équilibrant intelligemment le trafic vers le parcours le plus efficace en fonction de la politique applicative. Il surveille les performances du réseau – gigue, perte de paquets, retard – et prend les décisions de transférer les applications critiques sur le parcours le plus performant en fonction de la politique applicative. Cisco PfR se compose de routeurs périphériques qui se connectent au service haut débit et d'une application de contrôleur principal prise en charge par le logiciel Cisco IOS® sur un routeur. Les routeurs périphériques collectent des informations sur le trafic et le chemin et les envoient au contrôleur principal, qui détecte et applique les politiques de service pour répondre aux exigences de l'application. Cisco PfR peut sélectionner un chemin WAN de sortie pour équilibrer intelligemment la charge du trafic en fonction des coûts du circuit afin de réduire les dépenses globales de communication d'une entreprise. Le contrôle intelligent IWAN est la clé de la fourniture d’un réseau de transport WAN sur Internet de classe professionnelle.
  • Technologie : PfR. Une nouvelle version majeure (PfRv3) est en préparation.

• Optimisation des applications - Cisco Application Visibility and Control (AVC) et Cisco Wide Area Application Services (WAAS) offrent une visibilité et une optimisation des performances des applications sur le WAN. Les applications devenant de plus en plus opaques en raison de la réutilisation croissante de ports bien connus (tels que le HTTP sur le port 80), la classification statique des ports des applications n’est plus suffisante. Les outils AVC fournissent une sensibilisation aux applications avec une inspection approfondie des paquets de trafic pour identifier et surveiller les performances des applications. La visibilité et le contrôle au niveau de l’application (couche 7) sont assurés par des technologies AVC telles que Network-Based Application Recognition 2 (NBAR2), NetFlow, qualité de service (QoS), la surveillance des performances, Medianet, et plus. 
  • Technologies : AVC, WAAS, Akamai Connect.

• Connectivité sécurisée : elle protège le WAN et transfère le trafic utilisateur directement sur Internet. Elle utilise un chiffrement IPsec puissant, des pare-feu basés sur des zones et des listes d’accès strictes pour protéger le WAN de l’Internet public. Le routage direct des utilisateurs des filiales/succursales vers Internet améliore la performance des applications infonuagiques publiques tout en réduisant le trafic sur le réseau étendu. Le service Cisco Cloud Web Security (CWS) fournit un proxy Web infonuagique pour gérer et sécuriser de manière centralisée le trafic des utilisateurs accédant à Internet.
  • Technologies : Cisco IOS Firewall/IPS, Cloud Web Security (CWS).

Pourquoi utiliser DMVPN ?

L’IWAN utilise une conception normative hybride indépendante du mode de transmission basée sur le VPN multipoint dynamique (DMVPN). Ce DMVPN est déployé sur MPLS et Internet Transport, ce qui simplifie grandement le routage en utilisant un seul domaine de routage qui englobe les deux transmissions. Les routeurs DMVPN utilisent des interfaces de tunnel qui prennent en charge le trafic de monodiffusion IP ainsi que le trafic de multidiffusion et de diffusion IP, ce qui inclut l'utilisation de protocoles de routage dynamique. Après l’activation du tunnel initial reliant le point central aux points d’accès, il est possible de créer des tunnels dynamiques entre les points d’accès lorsque les flux de trafic IP de site à site l’exigent.

La conception indépendante du mode de transmission utilise un nuage DMVPN pour chaque fournisseur. Dans ce guide, deux fournisseurs sont utilisés, l'un est considéré comme principal (MPLS) et l'autre comme secondaire (Internet). Les sites des filiales/succursales sont reliés aux deux nuages DMVPN et les deux tunnels sont en place.

Comme le montre le schéma, chaque routeur Branch est connecté aux deux fournisseurs, l’un est MPLS, qui est principal, et l’autre est INTERNET, qui est secondaire.

En fonction du type de trafic, chacun des fournisseurs est utilisé pour envoyer le trafic. Par exemple, les données de priorité plus élevée peuvent être envoyées via MPLS et les données de priorité moindre peuvent être acheminées sur INTERNET. Cela le rend plus rentable et libère les ressources disponibles qui peuvent être utilisées à des fins commerciales plus innovantes.

Conception indépendante du transport (DMVPN double)

Résumé de la conception

La conception offre des parcours WAN actifs-actifs qui tirent pleinement parti du DMVPN pour une superposition IPsec cohérente. Les connexions MPLS et Internet peuvent être acheminées à un seul routeur ou sur deux routeurs distincts pour plus de résilience. La même conception peut être utilisée sur les transports MPLS, Internet ou 3G/4G, ce qui rend la conception indépendante du transport.

Il est recommandé d’utiliser un point central DMVPN par fournisseur (PfRv3 BR) pour les transmissions, car cela facilite la configuration du routage.

DMVPN nécessite l’utilisation des intervalles « Keepalive » de la version 2 de l’Internet Key Management Protocol (IKEv2) pour la détection de pair hors ligne (DPD); ceci est essentiel pour faciliter une reconvergence rapide et pour que l’enregistrement des points d’accès fonctionne correctement au cas où un point central DMVPN est réinitialisé. Cette conception permet à un point d’accès de détecter qu’un pair de cryptage a échoué et que la session IKEv2 avec ce pair est périmée, ce qui permet d’en créer une nouvelle. Sans DPD, l’AS IPsec doit attendre la fin de son délai (la valeur par défaut est de 60 minutes) et lorsque le routeur ne peut pas renégocier une nouvelle AS, une nouvelle session IKEv2 est lancée. Le temps d’attente maximal est d’environ 60 minutes.

Résumé des phases DMVPN

DMVPN comporte plusieurs phases qui sont résumées ici :

La phase 1 du DMVPN est basée sur un réseau en étoile.

• Configuration réduite et simplifiée sur le point central
• Prise en charge de l’équipement des locaux d’abonné avec adressage dynamique (NAT)
• Prise en charge des protocoles de routage et de multidiffusion
• Les rayons n'ont pas besoin d'une table de routage complète, peuvent résumer sur le concentrateur

DMVPN Phase 2 n'a pas de résumé sur le concentrateur.

chaque préfixe de destination indique l’adresse du prochain point d’accès sur le parcours.

PfR dispose de toutes les informations pour appliquer le chemin avec le PBR dynamique et les informations de tronçon suivant correctes.

La phase 3 du DMVPN permet la synthèse du routage :

• Seul le parcours vers le point central est disponible lorsqu’on recherche le routage original.
• Le protocole NHRP installe un tunnel de raccourci lorsque requis et fournit donc les renseignements pour la base RIB/CEF.
• Le routage haute performance dispose des renseignements sur le prochain saut mais n’est pas au courant de changements pour ce saut. 

PfRv3 prend en charge toutes les phases du DMVPN.

Pour plus d'informations sur DMVPN, consultez Présentation de Cisco IOS DMVPN.