Що ми робимо · Мережа: Шифрований backbone між майданчиками: DMVPN mesh
Наші дата-центри в Афінах, Амстердамі та Торонто, наша корпоративна штаб-квартира на Кіпрі та наші регіональні точки присутності з’єднані overlay Cisco DMVPN: шифровані тунелі з динамічними шляхами spoke до spoke і маршрутизацією BGP зверху. Він переносить трафік керування, моніторингу, резервного копіювання та міжмайданчиковий трафік, і та сама технологія використовується для побудови виділених мереж site-to-site для клієнтів, яким потрібно з’єднати власні офіси з їхньою хостованою платформою.
Що це
DMVPN (Dynamic Multipoint VPN) є архітектурою Cisco для побудови однієї маршрутизованої шифрованої мережі через багато майданчиків. Для вас це означає дві речі: трафік між нашими майданчиками ніколи не йде через інтернет відкритим текстом, а ваші власні офіси можуть приєднатися до приватної мережі, що закінчується всередині вашої хостованої платформи.
Як ми це будуємо
- Сильна криптографія з автентифікацією. Багатоточкові тунелі GRE, захищені IPsec з AES-256 і SHA-256, автентифікований NHRP і BFD для швидкого виявлення відмов на кожному тунелі, з маршрутизацією BGP зверху.
- Резервовані hub у кожному дата-центрі. Резервні hub мають власну AS і навмисне зниження пріоритету вихідного трафіку, тож вони мовчать, доки основний справді не зникне, а потім перебирають роботу самостійно.
- Два канали, один маршрутизатор, обидва в роботі. Майданчик із двома каналами WAN тримає другу DMVPN cloud на тому самому маршрутизаторі. Tunnel key розділяє дві cloud на одному інтерфейсі, тож другий канал не потребує ні нової публічної адреси, ні нового правила firewall, ні змін на hub. Обидві cloud поділяють одну таблицю маршрутизації, а BGP multipath з хешем пересилання, що включає порти, розподіляє паралельні потоки між обома каналами.
- Апаратне обладнання там, де трафік це виправдовує. Ми виміряли апаратні маршрутизатори поруч із віртуальними на ідентичному живому трафіку. Апаратні виконували в багато разів більше роботи з пересилання на одиницю CPU, тож завантажені майданчики отримують апаратне обладнання.
- Розраховано за реальністю. Ми розраховуємо за тим, що справді може рушій шифрування, близько 11 Гбіт/с шифрованого трафіку на hub, а не за числом, надрукованим на ліцензії. Коли клієнту потрібно більше, ми масштабуємо за допомогою equal-cost multipath між hub до 30 до 40 Гбіт/с.
Від чого це вас захищає
- Від відмови одного каналу WAN чи оператора, що ізолює майданчик.
- Від того, що резервні копії, реплікація та сесії керування йдуть через публічний інтернет незашифрованими.
- Від відмови hub, після якої комусь треба вручну переналаштовувати кожну філію.
- Від другого каналу, за який ви платите, а він простоює.
- Від VPN, розрахованого за маркетинговими числами, що падає під першим реальним навантаженням.
На практиці
Приватна мережа компанії професійних послуг, перенесена між країнами. Приватна мережа клієнта, hub плюс кілька маршрутизаторів філій і віддалений доступ персоналу, мала переїхати в нову країну до жорсткого терміну. Ми клонували hub, підняли його паралельно в новому домі та переключилися. Кожен маршрутизатор філії перереєструвався самостійно, без жодної зміни в будь-якому офісі філії.
Обидва канали, доведено. На майданчику з двома каналами WAN тест пропускної здатності через дизайн із двома cloud виміряв у кожному напрямку більше, ніж міг би нести будь-який з каналів окремо. Це єдиний прийнятний доказ того, що multipath працює, а не просто налаштований.
Чому EuroVPS
- Cisco DMVPN з AES-256, BGP і BFD, так, як оператори зв’язку та великі підприємства будують приватні WAN.
- Резервовані hub у кожному дата-центрі.
- Ємність: близько 11 Гбіт/с на hub, 30 до 40 Гбіт/с з multipath, коли вам це потрібно.
- Той самий backbone і ті самі інженери обслуговують наші власні майданчики та вашу приватну мережу.
- Ваші філії опиняються всередині вашої хостованої платформи, а не у відкритому інтернеті.
Часті запитання
Чи можуть мої офіси приєднатися до цієї мережі? Так. Ми будуємо виділені мережі site-to-site для клієнтів, з вашим власним hub і вашими маршрутизаторами філій, що закінчуються всередині вашого хостованого середовища.
Чи потрібно переналаштовувати мої філії, якщо hub змінюється? Ні. Філії реєструються динамічно, а маршрутизація працює через BGP, тож зміна чи перемикання hub обробляється на нашому боці.
Яка доступна пропускна здатність шифрованого трафіку? Близько 11 Гбіт/с на hub. Коли клієнту потрібно більше, ми розподіляємо трафік між кількома hub за допомогою equal-cost multipath і досягаємо 30 до 40 Гбіт/с.
Чи можу я використовувати два інтернет-канали у філії? Так. Наш дизайн із двома cloud використовує обидва одночасно і автоматично перемикається між ними.
Якщо ви хочете з’єднати свої майданчики з платформою через приватну шифровану мережу, поговоріть з інженером.
Ваш наступний партнер з інфраструктури
Погляньмо на вашу інфраструктуру.
Розкажіть, що ви запускаєте сьогодні і що потребує покращення. Інженер розгляне ваш запит і допоможе спланувати наступний крок.
+357 222 32280
Почнімо з вашої інфраструктури.
Трохи контексту допомагає нам почати правильну розмову.