Monitoring / Allot Communications

Allot Communications

Allot Communications (www.allot.com) je přední světový výrobce v oblasti QoS (Quality of Service), formování provozu (traffic shapping) a policy networkingu.

V současné době nelze přehlédnout stále větší požadavky na rychlost spojení - ať už v lokálních sítích nebo ve WAN, pro připojení k internetu, propojování poboček atd. Praxe však ukazuje, že seberychlejší spoj lze zahltit a upgrade na vyšší rychlost není právě levnou záležitostí, zvláště pokud by se měl provádět každých pár měsíců.

Jednou z možností jak se tomu vyhnout, je stanovit pravidla (policy) jak bude pásmo - které máme k dispozici - využito. Jaká pravidla? Například, pro kritickou aplikaci typu SAP nebo Oracle bude vždy k dispozici minimálně 256 Kbps, pro mail pak maximálně 32 Kbps a pro browsování na internetu zbytek. Z pohledu uživatele (např. podle IP nebo MAC adresy) lze definovat např., že účetní oddělení bude mít pro přístup do SAPu větší prioritu než uživatelé z jiných oddělení. Jinými slovy, jde o bandwith management neboli řízení šířky pásma.

Skutečnost je samozřejmě poněkud složitější a je potřeba zohlednit i jiné faktory. Různé aplikace mají rozdílné požadavky nejen na potřebné pásmo, ale i na jiné parametry. Například hlas přes IP nepotřebuje příliš velké pásmo (při použití komprese je to kolem 20 Kbps), ale je velice citlivý na zpoždění paketů.

Může být zajímavé definovat i pravidla podle času. Nechci, aby zaměstnanci stahovali v pracovní době od 6-18 hodin MP3 soubory, ale večer to není důležité a není důvod jim to neumožnit. Stejně tak lze i konkrétní aplikace, jako je internetové rádio nebo Napster, zakázat úplně.

Cílem je tedy optimalizovat požadavky uživatelů a nároky aplikací s možnostmi (zdroji) sítě (viz obr.1).

Částečně to lze řešit i na některých směrovačích nebo pomocí LINUXu, taková řešení jsou však zpravidla limitována 3. a 4. vrstvou OSI. Ale pokud je potřeba garantovat kvalitu služeb aplikacím, je potřeba jít až na 7. vrstvu. V případě rozsáhlejší aplikace je nutný centrální management (pokud možno s podporou adresářových služeb (LDAP)) a možnost zpětně prokázat, že nasmlouvaná kvalita služeb (SLA – Service Level Agreement) byla dodržena – jinými slovy průběžné monitorování a záznam toho, co se v síti stalo (accounting). V tomto okamžiku je vhodné se porozhlédnout po specializovaných produktech a k takovým řešením patří nabídka firmy Allot Communications.

Základem řešení Allot Communications je hardwarový "trafic shapper“ s názvem NetEnforcer. Samotný název (angl. enforce = vynutit) napovídá, že se jedná o zařízení, které aplikuje (vynucuje) stanovená pravidla v síti. Je dostupný v několika variantách podle podporované rychlosti:

• AC402 a AC404 pro rychlosti 10, 45, 100 Mb/s a MO (Monitoring Only)
• AC802, AC804 a AC808 pro rychlosti 45, 100, 155 a 310 Mb/s
• AC1010, AC1020 a AC1040 pro rychlosti 155, 310, 622 Mb/s a 1 Gb/s
• AC2520 a AC2540 pro rychlosti 310 Mb/s, 1, 2 a 2,5 Gb/s
• Service Gateway Omega A14 az do 20 Gb/s

Uvedené rychlosti umožňují nasadit toto řešení nejen ve WAN, ale i v lokálních sítích. Jak je vidět na obr. č. 2, jde o hardwarové zařízení se dvěma Ethernet porty. Chová se de facto jako bridge (pracuje na 2. vrstvě OSI) a díky tomu dokáže garantovat QoS i pro jiné protokoly než IP (DECNET, IPX, SNA, ...). Na druhé straně se dokáže "dívat“ až na 7. vrstvu. Rodina protokolů IP je samozřejmě nejpropracovanější a NetEnforcer dokáže pracovat nejen s definovanými protokoly (http, ftp) a aplikacemi (SAP, Oracle, Citrix, ...), ale umožňuje definovat i vlastní „služby“ podle obsahu paketu.

"V ceně“ je samotný traffic shaping, on-line monitoring (viz obr. č.3), řízení přístupu (povolení/zakázání provozu protokolů, aplikací i uživatelů) a TOS gateway, tzn. že NetEforcer dokáže pracovat s TOS políčkem v hlavičce IP paketu a měnit jeho obsah. Díky tomu může spolupracovat i s řešením jiných výrobců.

Pomocí tohoto řešení lze tedy garantovat pásmo (CIR/MIR), vytvářet virtuální pevné linky (CBR – Constant Bit Rate), přidělovat až 10 úrovní priorit (zjednodušeně – na 1 paket s nejnižší prioritou je odesláno 10 paketů s prioritou nejvyšší), povolovat a zakazovat provoz aplikací v síti, pracovat se standardními mechanismy kvality služeb (TOS) a monitorovat provoz sítě. To vše na úrovni protokolů, aplikací i uživatelů. Navíc jsou podporovány adresářové služby pomocí LDAP, takže např. k profilu uživatele v Novell NDS lze doplnit jako parametr i garantované parametry sítě. Pro uživatelé VoIP je určitě zajímavé, že dokáže zajistit kvalitní spojení díky fragmentaci dlouhých paketů.

Pro jednotlivé služby jsou vytvářeny tzv. virtuální kanály, které mohou obsahovat libovolný počet pravidel. Protokoly a aplikace, které nejsou definovány v některém z kanálů, patří do tzv. loopback kanálu. Díky tomu pak lze jedním kliknutím myši zakázat veškerý nechtěný provoz. Veškerá konfigurace probíhá přes grafické rozhraní (z browseru přes JAVA applet).

Důležitá je otázka zabezpečení proti poruchám. Zde Allot Communications nabízí zajímavé řešení, kdy při vypnutí nebo libovolné poruše zařízení dojde k sepnutí kontaktu mezi dvěma ethernet porty a z NetEforceru se stane transparentní "kus drátu“. Uživatel tak sice přijde o kvalitu služeb, v žádném případě však nepřijde o spojení. V případě nutnosti lze použít dva boxy v redundantní konfiguraci.

Jako samostatné softwarové moduly lze pořídit:

• NetAccountant – pro dlouhodobé monitorování provozu (jedná se vlastně o obdobu RMON2 sondy) například pro účtování služeb,
• NetBalancer – pro vyvažování zátěže mezi servery (např. farmou web serverů),
• CacheEnforcer – pro transparentní přesměrování provozu do cache a to bez nutnosti konfigurace jednotlivých browserů uživatelů a s možností definovat, který provoz půjde přes cache a který přímo.

Celé řešení lze zastřešit centrálním managementem NetPolicy, pomocí kterého lze konfigurovat vše z jednoho místa a to i ve spolupráci s prvky jiných výrobců (CISCO, RADGuard, ...).

A jaké jsou typické aplikace? Propojování poboček, připojení k internetu, internet přes kabelovou televizi atd. Z těch méně obvyklých např. web hosting, kdy lze na jednom fyzickém serveru provozovat více web serverů a garantovat jim nasmlouvanou propustnost (viz obr. č. 4). Ale i v rámci jednoho web serveru lze rozlišovat až na úroveň jednotlivých stránek (např. přidělit maximální prioritu při vyplňování formuláře pro nákup zboží).