Netwerkzichtbaarheid in virtualisatie balanceren: Belangrijke strategieën

Naarmate de digitale transformatie versnelt, heeft virtualisatietechnologie elk aspect van de netwerkarchitectuur doordrongen, van kern tot rand, van infrastructuur tot applicatiediensten.Met netwerksfunctievirtualisatie (NFV) die mainstream wordt en containerisatie die steeds meer aandacht krijgt, komt een cruciale vraag naar voren: hoe kunnen organisaties in deze sterk gevirtualiseerde omgeving een uitgebreide zichtbaarheid van het netwerkverkeer behouden?Welke verkeersstromen virtueel of fysiek moeten worden vastgelegdDe antwoorden hebben niet alleen invloed op de monitoring van de prestaties, maar ook op de houding ten aanzien van cyberbeveiliging.

Hoewel virtualisatie onmiskenbare flexibiliteit en efficiëntiewinsten oplevert, brengt het een ongekende complexiteit met zich mee.Het monitoren en beveiligen van verkeer in virtuele omgevingen wordt kritischer en uitdagender vanwege de toegenomen openheid en dynamische configuraties.Het bereiken van een duidelijke, uitgebreide verkeerszichtbaarheid is essentieel voor elke digitale transformatiestrategie, met name voor kritieke scenario's zoals 5G-mobiele kernnetwerken.

De centrale vraag is dan: moeten netwerkstraffic capture (TAP) en packet brokering - de kerncomponenten die zichtbaarheid mogelijk maken - ook worden gevirtualiseerd?

Veel netwerk- en beveiligingsoperators gaan ervan uit dat gevirtualiseerde netwerkfuncties gevirtualiseerde monitoringtools vereisen.Zowel fysieke als virtuele netwerkfuncties kunnen worden gecontroleerd met behulp van zowel toegewijde hardware als gevirtualiseerde toolsDe beslissing om de opslag van verkeer en de doorstuur van pakketten te virtualiseren, vereist nog meer zorgvuldige overweging dan het virtualiseren van de netwerkfuncties zelf.

Het virtualiseren van verkeersopname en pakketmakelaars in NFV-omgevingen is vaak zinvol, maar vereist wel doordachte afwegingen.Het uitvoeren van deze functies binnen virtuele hosts kan zowel de host zelf als andere virtuele netwerkfuncties (VNF's) aanzienlijk beïnvloedenSommige oplossingen zoals NIC-mirroring kunnen de bandbreedte van vSwitch verminderen, maar zijn afhankelijk van specifieke hardware- en virtualisatieomgevingsondersteuning.

Organisaties moeten een gerichte, pragmatische aanpak nemen voor gevirtualiseerde verkeersopname door te analyseren:

• Doelstellingen van de monitoring:Wat voor verkeer moet worden gecontroleerd? Waarom? Hoeveel monitoringtoepassingen moeten worden gecontroleerd? Deze antwoorden bepalen de vereiste verwerkingsmiddelen (CPU, geheugen) en de doorvoercapaciteit (bps, pps).
• Beperkingen van virtuele omgeving:Veel VNF-leveranciers vergrendelen omgevingen, waardoor mogelijk ingebouwde spiegelingsmogelijkheden worden geblokkeerd of de installatie van agenten van derden wordt verboden.Beperkingen van de hypervisor API kunnen ook de geautomatiseerde opname orchestreren belemmeren.
• Gebruik van hulpbronnen:Intern verkeer replicatie verhoogt vSwitch capaciteit eisen. Grote pakket tunneling kan fragmentatie veroorzaken als het overschrijden van MTU limieten.
• Versleutelde verkeersbeheer:Decryptieprocessen verbruiken aanzienlijke middelen die van cruciaal belang zijn voor de zichtbaarheid van de beveiliging.
• Werktuigcompatibiliteit:Kunnen bestaande bewakings- of beveiligingsinstrumenten hergebruikt worden?
• Migratiebeperkingen:Zijn virtuele instanties of containers beperkt tot specifieke fysieke locaties?
• Implementatiearchitectuur:Moeten toegewijde virtuele hosts pakketmakelaars- en bewakingstools uitvoeren om een VNF-bronconflict te voorkomen?

Denk aan een 4G LTE CUPS-netwerk met meerdere NFV-omgevingen en geografische locaties die interfacebewaking vereisen.SGW-C, PGW-C) met relatief lage verkeersvolumes en latentievertrouwen, blijkt virtuele opname op logische interfaces (S11, S5-C/S8-C) ideaal.Sxb) zou fysieke TAP's kunnen gebruiken om bandbreedteverbruik van virtuele hosts te voorkomen.

Virtuele opvangmethoden voor besturingsvlakken omvatten:

• vSwitch-spiegeling
• Hypervisor-agents spiegeling
• Co-localized mirroring agents met VNF's
• Onafhankelijke VM/container spiegelingsmiddelen
• NIC-mirroring

Voor VNF's op het gebruikersvlak (bijv. SGW-U, PGW-U) die omgaan met hoog volume, latentiegevoelig verkeer zoals spraak/video, werken fysieke TAP's bij interfaces (S1U, SGi, VxLTE/RCS) vaak beter.Intermediate virtuele interfaces (S5-U/S8-U) kunnen nog steeds virtuele opname vereisenIn extreme gevallen maakt het scheiden van VNF's tussen virtuele hosts fysieke TAP-plaatsing mogelijk.

Na het bepalen van de opname methoden, moeten organisaties beslissen of pakket brokerage virtualisatie vereist.Een optimale oplossing voor een eenvormig beheer van zowel fysiek als virtueel verkeer, ongeacht de bron.

Gevirtualiseerde netwerkpakketmakelaars (vNPB's) zijn uitstekend in het aggregeren van verkeer van meerdere VNF's / containers.Hun filter- en belastingbalansingsmogelijkheden verminderen de bandbreedte van de schakelaar en de druk van het monitortoolEchter, elke traffic replicatie instantie verhoogt vSwitch verbruik tenzij geoptimaliseerd via technieken zoals NIC mirroring.

Geavanceerde functies – protocol header stripping, pakket deduplicatie, control/user plane correlatie, NetFlow generatie – kunnen ook brokerage vereisen.High-traffic scenario's profiteren vaak van toegewijde fysieke of virtuele pakketmakelaars die verwerking van VNF's afladen.

Bij het selecteren van oplossingen voor het vastleggen en doorsturen van verkeer, geef prioriteit aan systemen die fysiek en virtueel verkeersbeheer verenigen.Virtualisatie van de zichtbaarheidskomponent vereist gemeten strategieënEen pragmatische aanpak helpt organisaties om te bepalen welk verkeer virtueel of fysiek moet worden vastgelegd, terwijl ze de virtuele gastheercapaciteitsplanning optimaliseren.