Bausteine von Contrail Service Orchestration

Administratoren

CSO verwendet ein hierarchisches, domänenbasiertes Administrationsframework. Nach der CSO-Installation wird der erste Administrator standardmäßig cspadmin genannt. Dieser Administrator wird auch als Administrator des globalen Dienstanbieters (SP) bezeichnet. Dieser SP-Administrator verfügt über vollen Lese- und Schreibzugriff auf die gesamte CSO-Plattform aus der globalen Domäne. In CSOaaS ist die Rolle cspadmin Juniper Networks vorbehalten. Der SP-Administrator kann andere Administratoren und Operatoren erstellen, bearbeiten und löschen, die rollenbasierten Zugriffssteuerungen (RBAC) unterliegen, die ihnen Berechtigungen für die verschiedenen Objekte in CSO zuweisen.

Die nächste Ebene des Administrators ist der Operator Company oder OpCo-Administrator. In CSOaaS ist der OpCo-Administrator die höchste Administratorebene, die Abonnenten von Managed Service Providern zur Verfügung steht. Der erste Administrator für ein bestimmtes OpCo wird vom SP-Administrator erstellt. Dieser Benutzer verfügt über vollständige Administratorrechte innerhalb einer OpCo-Domäne. In einer CSO-On-Premises-Installation kann ein OpCo als regionsspezifischer Service Provider innerhalb des globalen Service Providers betrachtet werden. Der OpCo-Administrator kann andere Administratoren und Operatoren innerhalb der OpCo-Domäne und ihrer Mandanten erstellen, kann jedoch keine Elemente der globalen Domäne oder der Domäne anderer OpCos beeinflussen. Nach erfolgreicher Anmeldung durch den OpCo-Administrator wird er in das Administrationsportal seines OpCo aufgenommen.

Die andere Ebene des Administrators ist der Mandantenadministrator. Dieser Administrator hat Vollzugriff auf alle Objekte innerhalb eines einzelnen Mandanten und kann weitere Administrator- und Operatorbenutzer innerhalb dieses Mandanten erstellen. Durch die Anmeldung des Mandantenadministrators wird er im Kundenportal für diesen Mandanten platziert.

Es gibt auch OpCo- und Mandantenbetreiber-Benutzer. Operator-Benutzer werden von Administratoren in ihrer jeweiligen Domäne erstellt. Standardmäßig haben Operatoren schreibgeschützten Zugriff auf die Elemente in ihrer Domäne.

Dies ist in Tabelle 1 zusammengefasst:

Domänen

Jede CSO-Installation unterstützt eine einzelne globale Domäne, auf die der SP-Administrator zugreifen kann. Für CSOaaS ist diese Domäne für Abonnenten nicht zugänglich.

Innerhalb der globalen Domäne kann es mehrere OpCo-Domänen geben. In der lokalen CSO-Installation entsprechen diese Domänen den regionalen Dienstanbietern oder einem beliebigen Schema, das Sie zur Aufteilung der administrativen Zuständigkeiten verwenden. Ein einfacheres administratives Setup kann sich für nur eine einzige OpCo-Domäne entscheiden. Bei CSOaaS entspricht jede OpCo-Domäne einem einzelnen Managed-Service-Provider-Abonnenten.

Innerhalb jeder OpCo-Domäne befinden sich die Mandantendomänen. Dabei handelt es sich um die einzelnen Unternehmen, deren WAN-Konnektivität verwaltet wird. Bei der lokalen CSO-Installation handelt es sich bei diesen Mandanten entweder um die Kunden des regionalen Dienstanbieters oder des globalen Dienstanbieters. Bei CSOaaS kann es sich bei diesen Mandanten um Kunden eines Managed Service Providers handeln, der CSOaaS abonniert hat, oder die Mandanten können selbst direkte CSOaaS-Abonnenten sein.

Portale

CSO stellt ein Verwaltungsportal für den SP und die OpCos bereit, um ihre jeweiligen Domänen zu verwalten, und ein Kundenportal, in dem Mandanten ihre jeweiligen Domänen verwalten können. Der Zugriff auf ein bestimmtes Portal in einer bestimmten Domäne wird durch die Anmeldeberechtigungen eines Benutzers gesteuert. Wenn Sie mit Ihrer Anmeldung keinen Zugriff auf das Verwaltungsportal gewähren, können Sie keines der Elemente dieses Portals sehen oder darauf zugreifen.

Verwaltungsportale ermöglichen die Erstellung von Mandanten und andere übergeordnete Objekte, die Mandanten in den Kundenportalen verwenden.

Kundenportale bieten Mandantenzugriff auf eine Teilmenge der Objekte, die in Verwaltungsportalen vorhanden sind. Ein OpCo-Administrator kann auf das Kundenportal für einen Mandanten zugreifen, indem er im Verwaltungsportal auf der Seite Mandanten auf den Mandantenlink klickt .

Pächter

CSO verwendet das tenant-Element, um einen Kunden logisch von einem anderen zu trennen. Ein OpCo-Administrator erstellt einen Mandanten, der jeden Kunden repräsentiert, für den er Netzwerkservices bereitstellt.

Mithilfe von RBAC und anderen Mitteln, wie z. B. virtuellen Routing- und Weiterleiten-Instanzen (VRF), sorgt CSO dafür, dass alle Mandanten- und OpCo-Objekte in ihrem eigenen Bereich eingemauert sind. Dazu gehört letztlich auch der Datenverkehr, der die Kundennetzwerke durchläuft. Kein einzelner Mandant, seine Administratoren, Betreiber oder Kunden können die Objekte eines anderen Mandanten oder Kunden sehen oder mit ihnen interagieren. Mandanten können so benannt werden, wie es für den SP- oder OpCo-Administrator am sinnvollsten ist.

Points of Presence (POPs)

Ein POP ist ein physischer Standort, in der Regel am Edge des Anbieternetzwerks, der als Abgrenzungs- oder Austauschpunkt zwischen zwei oder mehr Netzwerken dient. POPs werden in SD-WAN-Bereitstellungen verwendet, um Netzwerkzugänge und Netzwerkservices näher an den Benutzern zu platzieren, die sie benötigen. An jedem POP können je nach Bedarf und Verfügbarkeit unterschiedliche Netzwerkservices und unterschiedliche Verbindungsarten angeboten werden.

In CSO liegt ein POP in der Regel vor, wenn der Mandantendatenverkehr aus dem Mandanten-Overlay-Netzwerk in das Provider-Underlay-Netzwerk oder Internet ausbricht. Der SP- oder OpCo-Administrator ist für die Erstellung des POP und das Hinzufügen von PE-Routern und Provider-Hub-Geräten zu diesem POP verantwortlich. Sobald ein Provider-Hub-Gerät hinzugefügt wird, steht das Gerät für die Verwendung in einem Mandantennetzwerk zur Verfügung. POPs können so benannt werden, wie es für den SP- oder OpCo-Administrator am sinnvollsten ist.

Anbieter-Hub

Der SP- oder OpCo-Administrator fügt den Provider-Hub zum POP hinzu. Der Provider-Hub kann eine oder beide der folgenden Rollen haben:

• OAM - Ein OAM-Hub befindet sich logisch zwischen den CPEs und der CSO-Installation. Seine Aufgabe besteht darin, OAM-Datenverkehr von CSO zu empfangen und ihn innerhalb sicherer Tunnel an die CPE-Zielgeräte weiterzuleiten. In die andere Richtung empfängt der OAM-Hub OAM-Datenverkehr von CPE-Geräten in sicheren Tunneln und leitet ihn an CSO weiter. Diese Rolle existiert nur in einer lokalen CSO-Bereitstellung. In CSOaaS ist diese Rolle Teil des bereitgestellten Dienstes.

• DATEN: Für Mandantendatenverkehr, der innerhalb des Mandantennetzwerks bleibt, fungiert der Datenhub als Transithub für den Datenverkehr von Standort zu Standort. Für Mandantendatenverkehr, der für das Provider-Netzwerk bestimmt ist, fungiert der Daten-Hub als Demarkationspunkt zwischen dem Overlay-Tenant-Netzwerk und dem Underlay-Provider-Netzwerk. Der Anbieterdatenhub ist optional für Mandanten, die über eigene Unternehmensdatenhubs verfügen. Wenn ein Mandant sowohl über einen Enterprise Data Hub als auch über einen Data Hub eines zugewiesenen Anbieters verfügt, fungiert der Data Hub des zugewiesenen Anbieters als Backup.

Nachdem der Provider-Hub zum POP hinzugefügt wurde, kann der SP- oder OpCo-Administrator den Provider-Hub-Standort einem Mandanten zuordnen.

Lagen

Bevor CSO das Overlay-Mandanten-Netzwerk aufbauen kann, muss CSO alle Standorte in diesem Netzwerk kennen. Bei einem Standort kann es sich um einen Provider-Hub-Standort, einen Unternehmenshub-Standort, einen lokalen Spoke-Standort oder einen Cloud-Spoke-Standort handeln (Tabelle 2).

Topologien

CSO unterstützt die folgenden Netzwerktopologien:

• Standalone Topology — Bei dieser Topologie bleiben die Kunden oder Nutzer von Netzdiensten voneinander getrennt und haben keine Kommunikationsmöglichkeiten untereinander, wie bei der NGFW-Lösung. Die NGFW-Lösung sorgt mit Firewall-Geräten der nächsten Generation der SRX-Serie für Sicherheit an Remote-Standorten (Abbildung 1).

  Abbildung 1: Eigenständige NGFW

• Hub–and–Spoke Topology — Diese Topologie wird für SD-WAN-Bereitstellungen unterstützt. Der gesamte Datenverkehr, einschließlich Spoke-to-Spoke-Datenverkehr, wird über den Hub-Standort geleitet.

  Abbildung 2 zeigt das Hub-and-Spoke-Konzept.

  Abbildung 2: Hub-and-Spoke-Topologie

• Dynamic Mesh Topology — Diese Topologie wird für SD-WAN-Bereitstellungen unterstützt. Abbildung 3 zeigt ein Beispiel für eine dynamische Mesh-Topologie, bei der der Datenverkehr direkt von einem beliebigen Standort zu einem beliebigen Standort fließen kann. Site-to-Site-Tunnel werden dynamisch auf der Grundlage von Datenverkehrsschwellenwerten erstellt, wodurch Ressourcen geschont und die Gesamtleistung verbessert wird. Mesh-Tags werden verwendet, um zu bestimmen, welche Standorte miteinander verbunden werden können.

  Abbildung 3: Dynamische Mesh-Topologie

Virtueller Routenreflektor (VRR)

Der VRR ist Teil des SD-WAN-Controllers von CSO. Es handelt sich um eine der virtuellen Maschinen, die während des Installationsvorgangs bereitgestellt und installiert werden. Um das bei der SD-WAN-Bereitstellung erforderliche Routing zu erleichtern, überlagern die VRR-Formulare BGP-Sitzungen mit CPE-Spokes und Hub-Geräten über die für die OAM-Funktion vorgesehene Underlay-Schnittstelle. Diese Auswahl treffen Sie mit dem Workflow "Website konfigurieren " für das Site-Onboarding. Abbildung 4 veranschaulicht das Konzept des VRR

Abbildung 4: VRR-Übersicht

SLA-basierte Steuerungsprofile und -richtlinien

CSO ermöglicht die Erstellung von SLA-basierten Steuerungsprofilen, die SD-WAN-Richtlinienabsichten für das Datenverkehrsmanagement in einer SD-WAN-Bereitstellung zugeordnet werden können. Die Profile sind so konzipiert, dass sie den Datenverkehr basierend auf SLA-Parametern wie Paketverlust, Round-Trip-Zeit (RTT) und Jitter-Schwellenwerten zu einer bestimmten WAN-Verbindung leiten. SLA-Steuerungsprofile werden für globale Anwendungsdatenverkehrstypen für alle Mandanten erstellt. Ein SLA-Profil besteht aus einer Reihe konfigurierbarer Einschränkungen, die im Verwaltungsportal definiert werden können.

Sie können Folgendes festlegen:

• Pfadpräferenz für jeden Verbindungspfad von Standort zu Standort

• Pfadeinstellung für jeden Verbindungspfad von Standort zu Hub

• Schwellenwertparameter für den Durchsatz

• Schwellwertparameter für Paketverluste

• Schwellenwertparameter für die Latenz

• Schwellwertparameter für Jitter

• Class of Service für verschiedene Datenverkehrsarten

• Ratenbegrenzer zur Steuerung von Upstream- und Downstream-Datenverkehrsraten und Burst-Größen

Sobald das Steuerungsprofil vorhanden ist, kann eine absichtsbasierte SD-WAN-Richtlinie erstellt werden, die dieses Profil auf bestimmte Standorte oder Abteilungen und auf bestimmte Arten von Anwendungsdatenverkehr wie SSH und HTTP anwendet.

Weitere Informationen finden Sie unter Übersicht über SLA-Profile und SD-WAN-Richtlinien .

Pfadbasierte Lenkprofile

Pfadbasierte Steering-Profile sind eine vereinfachte Methode, um globale Anwendungsdatenverkehrstypen auf einen bestimmten WAN-Pfad zu lenken. Bei diesen Profilen müssen Sie keine SLA-Parameter konfigurieren. Alles, was Sie tun müssen, ist anzugeben, welchen verfügbaren Pfad ein bestimmter Datenverkehrstyp nehmen soll. Genau wie bei SLA-Lenkprofilen können Sie für diese Profile Parameter für die Ratenbegrenzung festlegen. Außerdem müssen Sie diese Profile einer SLA-Richtlinie zuweisen, bevor sie wirksam werden.

Absichtsbasierte Firewall-Richtlinien

CSO greift über das Kundenportal auf und stellt Firewall-Richtlinien als absichtsbasierte Richtlinien dar. Firewall-Richtlinien bieten Sicherheitsfunktionen, indem sie Absichten für den Datenverkehr erzwingen, der ein Gerät passiert. Der Datenverkehr wird basierend auf der Aktion zugelassen oder verweigert, die als Firewall-Richtlinienabsicht definiert ist. Wenn Sie beabsichtigen, HTTP-basierten Datenverkehr von Social-Media-Websites zu blockieren, aber HTTP-basierten Datenverkehr von Microsoft Outlook zuzulassen, können Sie dazu eine Absichtsrichtlinie erstellen.

Weitere Informationen finden Sie unter Übersicht über Firewall-Richtlinien .

Software-Image-Management

Das CSO-Verwaltungsportal ermöglicht SP-Administratoren (cspadmin) das Hochladen von Gerätesoftware-Images und VNF-Images auf der Seite Ressourcen > Images . Der cspadmin-Benutzer in einer lokalen CSO-Bereitstellung kann Geräte-Images für unterstützte Firewalls der SRX-Serie (einschließlich der virtuellen Firewall vSRX), Geräte der NFX-Serie und Geräte der EX-Serie hochladen.

Bei CSOaaS kann ein OpCo-Administrator die Bilder sehen, die von Juniper Networks in CSO hochgeladen wurden. Er kann auch hochgeladene Geräte-Images auf CPE-Geräten und Zugriffs-Switches der EX-Serie bereitstellen und bereitstellen.