O que fazemos · Rede: Backbone encriptado multi-site: a mesh DMVPN
Os nossos datacenters em Atenas, Amesterdão e Toronto, a nossa sede corporativa no Chipre e os nossos pontos de presença regionais estão unidos por um overlay Cisco DMVPN: túneis encriptados com caminhos dinâmicos spoke-to-spoke e encaminhamento BGP por cima. Transporta tráfego de gestão, monitorização, backup e tráfego entre sites, e a mesma tecnologia é usada para construir redes site-to-site dedicadas para clientes que precisam de ter os seus próprios escritórios ligados à sua plataforma alojada.
O que é
- h2: O que é
O DMVPN (Dynamic Multipoint VPN) é uma arquitetura da Cisco para construir uma única rede encaminhada e encriptada entre muitos sites. Para a sua empresa, significa duas coisas: o tráfego entre os nossos sites nunca atravessa a internet em claro, e os seus próprios escritórios podem juntar-se a uma rede privada que termina dentro da sua plataforma alojada.
Como o construímos
-
h2: Como o construímos
-
Criptografia forte e autenticada. Túneis multipoint GRE protegidos por IPsec com AES-256 e SHA-256, NHRP autenticado e BFD para deteção rápida de falhas em cada túnel, com encaminhamento BGP por cima.
- Hubs redundantes em cada datacenter. Os hubs de standby têm o seu próprio AS e uma despreferência de saída deliberada, pelo que ficam calados até o primário estar realmente indisponível e, nessa altura, assumem por si sós.
- Dois circuitos, um router, ambos usados. Um site com dois circuitos WAN executa uma segunda cloud DMVPN no mesmo router. A tunnel key separa as duas clouds numa única interface, pelo que o segundo circuito não precisa de novo endereço público, de nova regra de firewall nem de alterações nos hubs. As duas clouds partilham uma tabela de encaminhamento, e o BGP multipath com um hash de forwarding que inclui as portas distribui os fluxos paralelos pelos dois circuitos.
- Hardware onde o tráfego o justifica. Medimos routers de hardware lado a lado com routers virtuais com o mesmo tráfego real. O hardware fez muitas vezes mais trabalho de forwarding por unidade de CPU, pelo que os sites com mais tráfego recebem hardware.
- Dimensionado face à realidade. Dimensionamos de acordo com o que o motor de encriptação consegue realmente fazer, cerca de 11 Gbit/s encriptados por hub, e não com o número impresso numa licença. Quando um cliente precisa de mais, escalamos com equal-cost multipath entre hubs até 30 a 40 Gbit/s.
Do que o protege
-
h2: Do que o protege
-
Uma falha num único circuito WAN ou carrier que isole um site.
- Cópias de backup, replicação e sessões de gestão a atravessar a internet pública sem encriptação.
- Uma falha de hub que obrigue alguém a reconfigurar cada filial à mão.
- Um segundo circuito que paga e que fica parado.
- Uma VPN dimensionada por números de marketing que cai à primeira carga real.
Na prática
- h2: Na prática
A rede privada de uma empresa de serviços profissionais, movida entre países. A rede privada de um cliente, um hub mais vários routers de filiais e acesso remoto do pessoal, teve de mudar para um novo país antes de um prazo rígido. Clonámos o hub, levantámo-lo em paralelo na sua nova casa e fizemos a comutação. Cada router de filial voltou a registar-se por si só, sem qualquer alteração em qualquer filial.
Os dois circuitos, comprovados. Num site com dois circuitos WAN, um teste de throughput sobre o desenho de dupla cloud mediu mais em cada direção do que qualquer dos circuitos conseguiria transportar sozinho. Essa é a única prova aceitável de que o multipath está a funcionar e não apenas configurado.
Porquê a EuroVPS
-
h2: Porquê a EuroVPS
-
Cisco DMVPN com AES-256, BGP e BFD, tal como os carriers e as grandes empresas constroem WAN privadas.
- Hubs redundantes em cada datacenter.
- Capacidade: cerca de 11 Gbit/s por hub, 30 a 40 Gbit/s com multipath quando precisar.
- O mesmo backbone e os mesmos engenheiros servem os nossos próprios sites e a sua rede privada.
- As suas filiais terminam dentro da sua plataforma alojada, não na internet aberta.
Perguntas frequentes
- h2: Perguntas frequentes
Os meus escritórios podem juntar-se a esta rede? Sim. Construímos redes site-to-site dedicadas para clientes, com o seu próprio hub e os seus routers de filial, a terminar dentro do seu ambiente alojado.
As minhas filiais precisam de ser reconfiguradas se um hub mudar? Não. As filiais registam-se dinamicamente e o encaminhamento corre sobre BGP, pelo que uma mudança ou um failover de hub é tratado do nosso lado.
Quanto throughput encriptado está disponível? Cerca de 11 Gbit/s por hub. Quando um cliente precisa de mais, distribuímos o tráfego por vários hubs com equal-cost multipath e chegamos aos 30 a 40 Gbit/s.
Posso usar dois circuitos de internet numa filial? Sim. O nosso desenho de dupla cloud usa os dois em simultâneo e faz failover entre eles automaticamente.
Se quer os seus sites unidos à sua plataforma por uma rede privada e encriptada, fale com um engenheiro.
O seu próximo parceiro de infraestrutura
Vamos analisar a sua infraestrutura.
Diga-nos o que executa hoje e o que precisa de melhorar. Um engenheiro vai analisar o seu pedido e ajudar a planear o passo seguinte.
+357 222 32280
Comecemos pela sua infraestrutura.
Um pouco de contexto ajuda-nos a começar a conversa certa.