Sanal Ortamlarda Ağ Görünürlüğünü Dengeleme: Anahtar Stratejiler

Dijital dönüşüm hızlandıkça sanallaştırma teknolojisi, çekirdekten uca, altyapıdan uygulama hizmetlerine kadar ağ mimarisinin her yönüne nüfuz etmiştir. Ağ işlevi sanallaştırmasının (NFV) ana akım haline gelmesi ve kapsayıcılaştırmanın ilgi çekmesiyle birlikte kritik bir soru ortaya çıkıyor: Kuruluşlar bu yüksek düzeyde sanallaştırılmış ortamda ağ trafiğinin kapsamlı görünürlüğünü nasıl koruyabilir? Hangi trafik akışlarının fiziksel olarak mı sanal olarak mı yakalanması gerekiyor? Yanıtlar yalnızca performans izlemeyi değil aynı zamanda siber güvenlik duruşunu da etkiliyor.

Sanallaştırma yadsınamaz esneklik ve verimlilik kazanımları sağlarken, benzeri görülmemiş bir karmaşıklık da getiriyor. Fiziksel ağlarla karşılaştırıldığında, artan açıklık ve dinamik yapılandırmalar nedeniyle sanal ortamlarda trafiğin izlenmesi ve güvenliğinin sağlanması daha kritik ve daha zorlu hale geliyor. Açık ve kapsamlı trafik görünürlüğüne ulaşmak, her türlü dijital dönüşüm stratejisi için, özellikle de 5G mobil çekirdek ağları gibi kritik görev senaryoları için çok önemlidir.

O zaman asıl soru şu oluyor: Görünürlüğü sağlayan temel bileşenler olan ağ trafiği yakalama (TAP) ve paket komisyonculuğu da sanallaştırılmalı mı?

Birçok ağ ve güvenlik operatörü, sanallaştırılmış ağ işlevlerinin sanallaştırılmış izleme araçları gerektirdiğini varsaymaktadır. Bu yaklaşım mantıklı görünse de mutlak değildir. Hem fiziksel hem de sanal ağ işlevleri, özel donanım veya sanallaştırılmış araçlar kullanılarak izlenebilir. Trafik yakalamayı ve paket iletmeyi sanallaştırma kararı, ağ işlevlerinin sanallaştırılmasından daha dikkatli bir değerlendirme gerektirir.

NFV ortamlarında trafik yakalamanın ve paket komisyonculuğunun sanallaştırılması çoğu zaman mantıklıdır, ancak üzerinde düşünülmüş ödünler verilmesini gerektirir. Bu işlevlerin sanal ana bilgisayarlar içinde gerçekleştirilmesi, hem ana bilgisayarın kendisini hem de diğer sanal ağ işlevlerini (VNF'ler) önemli ölçüde etkileyebilir. NIC yansıtma gibi bazı çözümler, vSwitch bant genişliği baskısını azaltabilir ancak belirli donanım ve sanallaştırma ortamı desteğine bağlıdır.

Kuruluşlar aşağıdakileri analiz ederek sanallaştırılmış trafik yakalamaya yönelik hedefli, pragmatik bir yaklaşım benimsemelidir:

• İzleme hedefleri:Hangi trafiğin izlenmesi gerekiyor? Neden? Kaç izleme uygulamasına erişim gerekiyor? Bu yanıtlar gerekli işlem kaynaklarını (CPU, bellek) ve üretim kapasitesini (bps, pps) belirler.
• Sanal ortam kısıtlamaları:Birçok VNF satıcısı, potansiyel olarak yerleşik yansıtma yeteneklerini engelleyerek veya üçüncü taraf aracı kurulumunu yasaklayarak ortamları kilitler. Hipervizör API sınırlamaları, otomatik yakalama düzenlemesini de engelleyebilir.
• Kaynak tüketimi:Dahili trafik çoğaltma, vSwitch kapasite taleplerini artırır. Büyük paket tünelleme, MTU sınırlarının aşılması durumunda parçalanmaya neden olabilir.
• Şifrelenmiş trafik yönetimi:Şifre çözme işlemleri, güvenlik görünürlüğü açısından kritik öneme sahip önemli miktarda kaynak tüketir.
• Araç uyumluluğu:Mevcut izleme veya güvenlik araçları yeniden kullanılabilir mi? Zaten sanallaştırıldılar mı?
• Taşıma sınırlamaları:Sanal örnekler veya kapsayıcılar belirli fiziksel konumlarla sınırlı mı?
• Dağıtım mimarisi:Özel sanal ana bilgisayarlar, VNF kaynak çekişmesini önlemek için paket aracılık ve izleme araçlarını çalıştırmalı mıdır?

Birden fazla NFV ortamına ve arayüz izleme gerektiren coğrafi konumlara sahip bir 4G LTE CUPS ağını düşünün. Tüm trafik yakalamanın sanallaştırılması gerekmez. Nispeten düşük trafik hacimlerine ve gecikme toleransına sahip kontrol düzlemi VNF'leri (örneğin, MME, SGW-C, PGW-C) için mantıksal arayüzlerde (S11, S5-C/S8-C) sanal yakalama ideal olduğunu kanıtlıyor. Harici mantıksal arayüzler (S1-MME, Sxa, Sxb), sanal ana bilgisayar bant genişliği tüketimini önlemek için fiziksel TAP'leri kullanabilir.

Kontrol düzlemleri için sanal yakalama yöntemleri şunları içerir:

• vAnahtar yansıtma
• Hipervizör aracısı yansıtma
• VNF'lerle birlikte konumlandırılan yansıtma aracıları
• Bağımsız VM/konteyner yansıtma aracıları
• NIC yansıtma

Ses/video gibi yüksek hacimli, gecikmeye duyarlı trafiği işleyen kullanıcı düzlemi VNF'leri (örneğin, SGW-U, PGW-U) için, arayüzlerdeki (S1U, SGi, VxLTE/RCS) fiziksel TAP'ler genellikle daha iyi çalışır. Düşük maliyetli NIC yansıtmanın öne çıktığı orta seviye sanal arayüzler (S5-U/S8-U), yine de sanal yakalama gerektirebilir. Olağanüstü durumlarda, VNF'lerin sanal ana bilgisayarlar arasında ayrılması, fiziksel TAP yerleşimine olanak sağlar.

Yakalama yöntemlerini belirledikten sonra kuruluşların paket komisyonculuğunun sanallaştırma gerektirip gerektirmediğine karar vermesi gerekir. Optimum çözüm, kaynaktan bağımsız olarak hem fiziksel hem de sanal trafik yakalama/iletme için birleşik yönetim sağlar.

Sanallaştırılmış ağ paket aracıları (vNPB'ler), birden fazla VNF'den/konteynerden gelen trafiği toplama konusunda uzmandır. Filtreleme ve yük dengeleme yetenekleri, anahtar bant genişliğini ve izleme aracı basıncını azaltır. Ancak her trafik çoğaltma örneği, NIC yansıtma gibi tekniklerle optimize edilmediği sürece vSwitch tüketimini artırır.

Protokol başlığı ayıklama, paket veri tekilleştirme, kontrol/kullanıcı düzlemi korelasyonu, NetFlow oluşturma gibi gelişmiş özellikler de aracılık gerektirebilir. Bu işlevlerin değişen kaynak ihtiyaçları olduğundan, yüksek trafikli senaryolar genellikle VNF'lerden işleme yükünü boşaltan özel fiziksel veya sanal paket aracılarından yararlanır.

Trafik yakalama ve iletme çözümlerini seçerken, fiziksel ve sanal trafik yönetimini birleştiren sistemlere öncelik verin. Ağ işlevi sanallaştırma kararları gibi, görünürlük bileşeni sanallaştırması da ölçülü stratejiler gerektirir. Pragmatik bir yaklaşım, kuruluşların sanal ana bilgisayar kapasitesi planlamasını optimize ederken, sanal olarak mı yoksa fiziksel olarak mı yakalanması gerektiğini belirlemelerine yardımcı olur.