Software Defined Networking, het nieuwe netwerk?

Software Defined Networking, het nieuwe netwerk? De moderne Data Center Het is zonder twijfel dat de hedendaagse data centers een periode doormaken van snelle veranderingen. Consolidatie, server virtualisatie en een groeiend aantal web applicaties, het zijn maar enkele van de vele nieuwe technologieën die in snel tempo worden doorgevoerd. Daarbij komt, al bijna de helft van de ondernemingen draaien hun applicaties via geografische verspreide gedistribueerde data centers. Cloud computing is de nieuwe trend dat de integratie van interne en externe cloud services mogelijk maakt. In de nieuwe data center architectuur moeten daartoe duizenden fysieke devices, virtuele servers, en zakelijke applicaties via IP netwerken met elkaar kunnen communiceren. De nieuwste trend is Bring Your Own Device (BYOD). Gebruikers willen voor elk meegebracht type device op elke plaats toegang tot hun data met een gegarandeerde QoS en beveiliging. Dit vereist een dynamische en schaalbare netwerkarchitectuur, eisen waaraan onze huidige statische netwerkarchitecturen slecht aan kunnen voldoen. Netwerk leveranciers doen wel hun best om enige veranderingen aan te brengen. Maar leveranciers zijn gehouden aan de bestaande netwerkstandaarden die weinig ruimte bieden voor fundamentele veranderingen. Bovendien moeten ze rekening houden met wereldwijd genade investeringen in netwerken en devices. De huidige netwerk infrastructuur De traditionele leveranciers van data netwerk producten delen hun proprietary producten in verticaal geïntegreerde stacks in. Complexe functies zijn daarbij in de hardware (firmware) ingebakken. Deze functies blijven gesloten voor de ‘buitenwereld’ en laten geen of weinig ruimte over om nieuwe netwerk methodes en functies in een bestaande productie omgeving te testen. Het is een lastig en tijdrovend proces om veranderingen in de functionaliteit van netwerkproducten via standaardisatie door te voeren. Ook werpt het een drempel op voor nieuwe netwerk leveranciers die met nieuwe ideeën aankomen. De enorme installed base van netwerkapparatuur en protocollen en de terughoudendheid om met netwerk productieverkeer te experimenteren werpt een hoge drempel op voor innovaties. Nieuwe ideeën en concepten maken in de traditionele netwerkomgevingen weinig kans om de praktijk te kunnen testen. Vandaag de dag bestaat er, behalve in een testomgeving, nauwelijks mogelijkheden om met nieuwe netwerkprotocollen te experimenteren (bijvoorbeeld voor nieuwe routing protocollen, of alternatieven voor IP) en deze in een realistische setting te testen. Het resultaat is dat onderzoek en nieuwe ideeën op de plank blijven liggen omdat de algemene (mis)opvatting is dat onze huidige IP netwerkinfrastructuur klaar is, definitief en onveranderbaar in het standaard netwerk OSI-model vastgelegd. Onze huidige starre netwerken In de praktijk worden moderne data centers steeds vaker confronteert met twee belangrijke uitdagingen op het gebied van netwerken. Ten eerste, de mogelijkheid om in te kunnen spelen op een wisselende netwerkbelasting, netwerkcapaciteit en serviceniveau. Onder meer het toenemend gebruik van VMs heeft als gevolg dat netwerkbelastingen voortdurend en onvoorspelbaar veranderen. Dit vereist dat verkeersstromen, netwerkdiensten, en configuraties zich snel moeten kunnen aanpassen. © Copyright 2012 Bram Dons IT-TrendWatch

Herconfiguratie van netwerken moet ‘on-the-fly’ kunnen worden uitgevoerd. Bijvoorbeeld, wanneer virtual servers en applicaties zich tussen fysieke servers verplaatsen, in antwoord op een gebeurtenis als een systeemfout of dynamische resource allocatie. De tweede uitdaging betreft IT-beheer. Deze dient te allen tijde een goed inzicht te hebben in het gedrag en de besturing van netwerken, vooral wanneer netwerkconfiguraties en regels veranderen. Netwerken en virtualisatie Een van de belangrijkste problemen met het huidige IP netwerk is complexiteit. Bijvoorbeeld, wanneer een netwerkdevice moet worden verplaatst of toegevoegd dan is aanpassing en configuratie van meerdere switches, routers, firewalls, web authenticatie protocollen, en zo voort, noodzakelijk. De statische natuur van onze huidige netwerken is in sterk contrast met de dynamische natuur van de hedendaagse virtuele serveromgeving. Servervirtualisatie heeft als gevolg dat in grote mate het aantal hosts met meerdere netwerkverbinding doen toenemen. Want, vóór de komst van virtualisatie verbleven applicaties op dezelfde host en wisselden in hoofdzaak informatie uit met lokale clients. Nu worden applicaties steeds vaker gedistribueerd over meerdere virtual machines en servers waartussen datatransport via het netwerk plaatsvindt. De zich dynamische bewegende VMs migreren continue van plaats binnen of buiten de servers. Immers, het van servervirtualisatie is optimalisatie en herbalancering van serverwerkbelastingen. Maar het gevolg is wel dat de fysieke endpoints van bestaande verkeerstromen continue veranderen. VM migratie vormt op veel vlakken een uitdaging voor de traditionele netwerken, van adresseerschema’s, namespaces tot routing. Software-Defined Networking Voor een oplossing van alle hiervoor genoemde problemen is er een veelbelovend alternatief gekomen: Software-Defined Networking (SDN) genaamd. In dit netwerk processing model wordt een scheiding aangebracht tussen de netwerk control en het datapath. Het is vergelijkbaar met het concept van storage en server virtualisatie (zie figuur1). Een van de eerste implementaties van dit nieuwe open netwerkmodel heet OpenFlow. Met OpenFlow hebben netwerkbeheerders grote controle over de netwerk switches en routers binnen een geïntegreerd netwerk. Het maakt een efficiënter netwerkbeheer mogelijk dat is gebaseerd op een open management interface voor het beheer van routers en servers. In dit artikel bespreken we de OpenFlow architectuur, de eerste grootschalige implementaties en de eerste netwerkleveranciers die een op OpenFlow gebaseerd netwerkproduct op de markt hebben geïntroduceerd. Voordelen Software-Defined Networking SDN is een opkomende netwerkarchitectuur waarbij het network control wordt losgekoppeld van de traditionele netwerk forwarding techniek. De netwerkintelligentie is logisch gecentraliseerd in software-gebaseerde SDN controllers die een globaal overzicht van de netwerkomgeving geven. Met SDN ziet het netwerk er voor applicaties en policy engines er als een enkele, logische, switch uit. Via SDN heeft de beheerder vanuit een enkel beheerpunt een leveranciers-onafhankelijke toegang tot het complete netwerk. SDN verandert de traditionele meerlaagse netwerkarchitectuur naar een ‘plat’ netwerkmodel (vergelijkbaar met een cluster file system). De toepassing van SDN maakt ook de © Copyright 2012 Bram Dons IT-TrendWatch

fabricage van sterk vereenvoudigde netwerk devices mogelijk. Niet langer hoeven ze de talrijke standaard netwerkprotocollen te ondersteunen maar alleen nog maar die van de SDN controller afkomstige instructies. Waarschijnlijk het belangrijkst is dat beheerders zelf deze vereenvoudigde abstractie van het netwerk programmatisch kunnen beheren. De beheerder kan handmatig stuk voor stuk alle netwerk devices zelf programmeren. Het gedrag van het netwerk kan daarmee naar wens in real-time worden aangepast en zijn nieuwe applicaties en netwerk services in zeer korte tijd te installeren. SDN lost ook het schaalbaarheidsprobleem dat zich nu voordoet bij het beheer van honderden of duizenden in hoge mate gevirtualiseerde fysieke servers. Want, de schaalbaarheid van de huidige data centers vormt thans een enorme uitdaging bij het beheer van miljoenen VMs en hun mobiliteit. Zo zijn bijvoorbeeld de Layer 2 domains maar beperkt tot 4,000 VLANs en wordt het verkeer daarbinnen sterk begrensd door de VLAN boundaries. SDN netwerkarchitectuur De bestaande netwerkarchitectuur bestaat meestal uit een drietal werklagen (planes): management, control en data/forwarding. De management laag voert functies uit als device management, firmware updates, SNMP en externe configuratie via een CLI. Data/forwarding stuurt data packets en frames en de control plane regelt begeleiding van packets tussen switches. Daarvoor zijn talrijke netwerkprotocollen nodig, waaronder de routing protocollen als BGP, OSPF voor IP en switching protocollen als SFTP en TRILL voor Ethernet. De SDN netwerkarchitectuur bestaat ook uit een drietal soortgelijke lagen: Application, Control en Infrastructure (zie figuur 1). Het verschil met de traditionele netwerkarchitectuur is dat via de control layer netwerkbeheerders de centrale besturing van het netwerk uitvoeren. Daarmee biedt het beheerders de flexibiliteit om de netwerkdevices via dynamische, geautomatiseerde, SDN programma’s te configureren, beheren, beveiligen en optimaliseren. Beheerders kunnen ook zelf programma’s en scripts schrijven. Ze hoeven dan niet langer te wachten totdat de netwerkleveranciers de gewenste features via een toekomstige firmware upgrade in hun proprietary devices opnemen. Naast een abstractie van het netwerk ondersteunt de SDN architectuur een aantal APIs die het mogelijk maken om algemene netwerkservices te ondersteunen. Dit betreft routing, multicast, security, access control, bandwith management, traffic engineering, quality of service, policy management, en zo voort. De Open Networking Foundation studeert op de mogelijkheid om APIs voor multi-vendor beheer te promoten. Deze APIs moeten geavanceerde features als on-demand resource allocation, selfservice provisioning, truly virtualized networking en secure cloud services mogelijk gaan maken.

© Copyright 2012 Bram Dons IT-TrendWatch

Figuur 1: Software-Defined Networking architectuur (bron ONF)

Het OpenFlow Switch Consortium Er waren enkele academici op de Stanford University die wilde onderzoeken of naar nieuwe manieren waren om netwerken te bouwen, netwerkprestaties real-life te testen, schaalbaarheid, beveiliging en beheer van nieuwe netwerktechnologieën. Ze waren van mening dat het een software gedefinieerd en programmeerbaar netwerk moest zijn. Op basis van dynamische herprogrammering zou daarmee het netwerkverkeer efficiënter door het netwerk kunnen worden geleid. Het zou het ook mogelijk moeten gaan maken om nieuwe en betere netwerkfuncties te kunnen implementeren. Dit waren de uitdagingen en vragen waarop het OpenFlow Switch Consortium een antwoord op zocht. Het resultaat van dit onderzoek was OpenFlow, een open source project dat na zes jaar samenwerking van academici van de Stanford University en de California Berkeley universiteit tot stand is gekomen. OpenFlow architectuur OpenFlow is de eerste standaard gedefinieerde communicatie interface die zich tussen de control en forwarding layers van de SDN architectuur bevindt (zie figuur 1). OpenFlow biedt directe toegang voor het beheer van netwerk devices (als switches en routers). Deze devices kunnen zich zowel fysiek als virtueel (hypervisor-gebaseerd) in het netwerk bevinden. In de traditionele router of switch bevindt het data- en de control path zich binnen hetzelfde device. Bij OpenFlow worden deze functies nu gescheiden. Het data path blijft nog steeds op de switch aanwezig maar de high-level routing beslissingen worden verplaatst naar een aparte externe controller; dat is meestal een standaard server waarop de controllersoftware draait. Het protocol specificeert de basis primitives die door externe software applicaties kunnen worden gebruikt om netwerk devices te programmeren. De OpenFlow Switch Het meest ideale zou zijn om alle netwerkleveranciers zo ver te krijgen dat ze de OpenFlow standaard in hun bestaande switches gaan implementeren. Dat gaat op korte termijn natuurlijk niet gaan gebeuren. Het alternatief is om een gewone PC te gaan gebruiken met daarop netwerksoftware en OpenFlow geïnstalleerd. Nadeel is dat een dergelijk open systeem nooit de prestaties en poortdensiteit gaat halen die hardware © Copyright 2012 Bram Dons IT-TrendWatch

switches en routers nu eenmaal bieden. Als mogelijke oplossing beschrijft OpenFlow in een van haar white papers een ‘Type 0’, als referentie voor een OpenFlow switch; Type 0 is een switch die het header format en slechts vier basis flow acties ondersteund. De idee achter de OpenFlow Switch is eenvoudig. Er wordt gebruik gemaakt van het gegeven dat de meeste moderne Ethernet switches en routers al flow-tabellen bevatten voor de implementatie van firewalls, NAT, QoS en voor het verzamelen van statistische gegevens. De flow-tabellen van elke switch leverancier verschillen weliswaar van elkaar, maar er is wel een gemeenschappelijk basis set waar de meeste switches en routers gebruik van maken. De OpenFlow Switch nu maakt gebruik van deze gemeenschappelijke set functies. Een OpenFlow switch (zie figuur 2) bestaat uit drie onderdelen: flow table, secure channel en protocol. Elke flow entry binnen de flow table ‘vertelt’ de switch op welke wijze hij de data flow moet verwerken. Het secure channel verbindt de switch met een remote control proces (controller), via welke commando’s en packets worden uitgewisseld. Het protocol voorziet in een open en standaard manier voor een controller om met een OpenFlow switch te kunnen communiceren.

Figuur 2: OpenFlow Switch

OpenFlow Table Elke netwerkswitch bevat een of meer flow tabellen en een group tabel. Elke flow tabel bevat een aantal flow entries met daarin match fields, counters en een verzameling instructies die op matching packets worden uitgevoerd. De in elke flow entry opgenomen instructie geeft de uit te voeren bewerking aan: packet forwarding, modificatie, group table en pipeline processing (zie figuur 3). Als een ontvangen packet overeenkomt (matched) met een flow entry in de tabel dan wordt de overeenkomstige instructie set door de switch uitgevoerd. Het kan voorkomen dat de instructies in de flow entry expliciet het pakket direct doorstuurt naar een andere flow table, waar dan het verwerkingsproces opnieuw wordt gestart. Als de flow entry niet overeenkomt, dan betekent het een ‘table miss’. De afhandeling is dan afhankelijk van de tabelconfiguratie; default wordt het packet naar de controller teruggestuurd, een andere optie is om het packet te droppen.

© Copyright 2012 Bram Dons IT-TrendWatch

Figuur 3: "Type 0" Flow Table Entry (bron Stanford)

Commerciele implementaties van OpenFlow OpenFlow switches kunnen worden ingedeeld in dedicated OpenFlow switches (die geen Layer 2 en 3 ondersteunen) en OpenFlow-enabled, general purpose, commerciële Ethernet switches en routers. Bij de OpenFlow-enabled switches zijn het OpenFlow protocol en interfaces als een nieuwe feature toegevoegd. Een dedicated OpenFlow switch is een ‘dom’ datapath device dat alleen maar packets tussen poorten doorschuift, zoals gedefinieerd door de controller. Welk type flow wordt bepaald door de instelling van een flow tabel. Bijvoorbeeld, een TCP-verbinding waarbij alle packets van een bepaald MAC- of IP-adres komen, packets met dezelfde VLAN tag, of alle packets afkomstig van dezelfde switch-poort. Dedicated switches moeten tenminste drie basis acties kunnen uitvoeren: forwarding, encapsulate en dropping van flow packets. Een aantal bestaande commerciële devices zijn al uitgebreid met de OpenFlow features (zie hierna) waaronder:  IBM RackSwitch G8264, 10/ 40 GbE Ethernet switch  NEC PF5240 OpenFlow version 1.0 met 64K tot 160K flow entries  Brocade MLXe met 256x 10GbE en 32x 100GbE en NetIron CER routers Er is ook een OpenFlow firmware update voor bepaalde HP switches beschikbaar waarmee HP switches kunnen worden opgewaardeerd. Daarvoor is geen speciale licentie nodig en kan door klanten en partners rechtstreeks vanaf de HP website worden gedownload. Verder is er voor ontwikkelaars software beschikbaar voor het ontwikkelen van OpenFlow Controllers, waaronder die van NOX, Beacon en Maestro. OpenFlow PlugFest bijeenkomsten PlugTest of PlugFest is een onofficiële gebeurtenis waar ontwerpers de interoperability van hun netwerkproducten kunnen testen. IBM en NEC hebben op de Interop 2011 aangetoond dat hun G8264 en PF5410 switches op basis van SDN/OpenFlow in een endto-end data center fabric zijn te integreren (zie figuur 4). Vrij recentelijk heeft Brocade op ONFs eerste OpenFlow PlugFest met een pre-alpha versie van OpenFlow op hun CER router en MLXe switch uitgevoerd dat OpenFlow ondersteund. Later dit jaar denkt de firma dit als GA product op de markt te brengen. Tijdens deze Plugfest werd ook de © Copyright 2012 Bram Dons IT-TrendWatch

koppeling van de switches met controllers van onder meer NEC PFC, BigSwitch en FlowVisor getest. Alle controllers waren in staat om de topologie, van de met de CER en MLXe verbonden netwerken, te detecteren.

Figuur 4: IBM en NEC OpenFlow switch architectuur (bron IBM)

Eerste toepassingen van SDN/OpenFlow OpenFlow biedt lage kosten en flexibiliteit voordelen bij het bouwen van grote en hoogschaalbare netwerken. De meeste experts verwachten ook dat ondernemingen met de grootste en snelst groeiende netwerken als eerste OpenFlow gaan implementeren. Dat zullen hoogst waarschijnlijk service providers, telco ondernemingen en netwerken binnen academische centra zijn. Sommige data en cloud service providers zijn al op uitgebreide schaal bezig om het OpenFlow protocol te implementeren, waaronder: Google, Yahoo, Facebook en Microsoft. Google startte al in 2010 met het testen van SDN, de rollout volgde in 2011 en vanaf 2012 wordt het wereldwijd (inclusief hun eigen netwerk) toegepast. Daarmee zijn in een klap de misvattingen en vooroordelen over de bruikbaarheid en de mogelijkheid van grootschalige toepassing van SDN/OpenFlow uit de wereld genomen. Het toont aan dat betrouwbare software-gedefinieerde netwerken levensvatbaar zijn voor het beheer van productie netwerkomgevingen in een van de meest complexe infrastructurele netwerkomgevingen die er thans bestaan. De genoemde service providers zijn een enorme stimulans voor de promotie van het SDN ecosysteem. Hoewel service providers de early adopters zijn van OpenFlow, is het slechts een kwestie van tijd voordat meer ondernemingen de voordelen van OpenFlow gaan inzien en een begin maken met de implementatie van SDN oplossingen. In organisaties waar netwerkprestaties en schaalbaarheid kritisch zijn, zoals de zorg en financiële diensten, zullen organisaties van de voordelen profiteren. Ondernemingen kunnen geleidelijk SDN implementeren zonder dat gelijk alle bestaande switches in het netwerken hoeven te worden vervangen. Voor nieuw te installeren op OpenFlow gebaseerde switches zullen de kosten minimaal 70% minder zijn, in vergelijking met traditionele switches. © Copyright 2012 Bram Dons IT-TrendWatch

Epiloog Al vele jaren heeft de netwerkindustrie voorspeld dat de legacy data center netwerktechnologie gegeven moment een kritisch punt zal bereiken. De huidige netwerkarchitectuur is niet geschikt om de massale toename en sterk wisselende hoeveelheid netwerkverkeer te kunnen verwerken. De belangrijkste oorzaken zijn bekend: web applicaties en dynamische servervirtualisatie. Nieuwe netwerktechnologieën als switch clustering, ultra low latency switches, en 40/100 GbE kunnen maar voor een deel het prestatieprobleem oplossen. Net zoals hypervisors de onderbezette x86 servers in virtuele servers hebben veranderd, zo zal op termijn de SDN netwerksoftware de statisch verbonden netwerkdevices in virtuele netwerken gaan transformeren. De openheid van SDN/OpenFlow bezit de potentie om een nieuwe golf van netwerk innovatie in gang te zetten. De verwachting is dat SDN/OpenFlow niet langer meer het speeltje van de academische wereld blijft, maar op termijn zal uitgroeien tot dé netwerkstandaard voor de enterprise data center en daarbuiten. Informatie op Internet: http://www.openflow.org/ http://www.openflowswitch.org https://www.opennetworking.org/ http://www.nec.com/en/global/prod/pflow/index.html http://noxrepo.org www.openflowhub.org/

© Copyright 2012 Bram Dons IT-TrendWatch