Was ist ein Controller?

Ein Controller – der „ Versa “-Controller – ist ein VOS-Gerät, das die Control-Plane-Funktionen eines SD-WAN-Overlays bereitstellt: Er terminiert IPsec-Tunnel und MP-BGP-Sitzungen von Zweigstellen-Geräten, verteilt das Routing zwischen diesen und verwaltet in SD-LAN-Bereitstellungen die Switches, mit denen diese Zweigstellen verbunden sind. Controller werden in der Regel in redundanten Aktiv-Aktiv-Paaren bereitgestellt.

Die wichtigsten Erkenntnisse

• Ein Controller übernimmt die Steuerungsfunktionen eines SD-WAN-Overlays.
• Es beendet IPsec-Tunnel und MP-BGP-Sitzungen von Zweigstellen-Geräten.
• Controller werden in der Regel als redundante, aktiv-aktive Peer-Paare eingesetzt.
• Eine von drei Komponenten des DCA-Komplexes, neben „Director“ und „Analytics“.
• Ein Staging-Controller authentifiziert neue Geräte während der Zero-Touch-Bereitstellung.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Bereitstellungsmodelle für Controller · Controller und die „ VersaONE “-Plattform · Häufig gestellte Fragen

Warum sind Controller wichtig?

Ein SD-WAN-Overlay benötigt einen Ort, an dem seine Steuerungsebene angesiedelt ist – getrennt von der Datenebene, über die der Anwendungsdatenverkehr geleitet wird. Der Controller ist dieser Ort: Ohne ihn hätten die VOS-Geräte in den Zweigstellen keine Möglichkeit, sich gegenseitig zu erkennen, Routen auszutauschen oder die sicheren Tunnel aufzubauen, auf denen ein Overlay basiert. Die IPsec- und MP-BGP-Sitzungen jeder Zweigstelle enden bei einem Controller, der eine Gruppe individuell konfigurierter Geräte zu einer einheitlichen, gerouteten Struktur zusammenführt.

Der Controller ist in der Regel auch die erste Komponente der Kopfstelleninfrastruktur, mit der ein neues Gerät überhaupt kommuniziert. Während der Zero-Touch-Bereitstellung wird ein hochfahrendes Gerät an einen Staging-Controller-Knoten umgeleitet, der es authentifiziert und ihm genügend Konfigurationsdaten übermittelt, um online zu gehen – noch bevor die vollständige Produktionsvorlage von Director überhaupt angewendet wird. Der Verlust von Controller-Kapazität beeinträchtigt nicht nur das Routing, sondern kann auch das Onboarding neuer Zweigstellen gänzlich blockieren. Aus diesem Grund wird Redundanz auf dieser Ebene als Grundvoraussetzung und nicht als Option betrachtet.

Was ist ein Controller?

Ein Controller-Knoten läuft entweder auf einem Bare-Metal-Server oder einer virtuellen Maschine. Nach der Bereitstellung stellt er IPsec-Tunnel und MP-BGP-Sitzungen von VOS-Geräten in den Zweigstellen her und tauscht dabei die Routing-Informationen aus, die es den Zweigstellen ermöglichen, miteinander, mit der Zentrale und mit gemeinsam genutzten Ressourcen in Verbindung zu treten. Eine dedizierte Netzwerk-Schnittstelle für die Steuerung verbindet den Controller mit dem Director-Knoten und überträgt den Orchestrierungsdatenverkehr, der es dem Director ermöglicht, Geräte über den Controller zu konfigurieren und zu überwachen.

In SD-LAN-Bereitstellungen verbinden die WAN-Edge-Geräte einer Zweigstelle deren Access- und Core-Switches mit einem Management-Controller-Knoten, über den Director diese Switches dann per Zero-Touch-Provisioning einrichtet – die Rolle des Controllers erstreckt sich somit über das WAN-Routing hinaus bis hin zur Verwaltung der LAN-Switches. Mandantenfähige Organisationen können zudem eine gemeinsame Steuerungsebene (Shared Control Plane) konfigurieren, wodurch eine Unterorganisation die Control-VR-Routing-Instanz und die IPsec-Tunnel ihrer übergeordneten Organisation zum Controller wiederverwenden kann, anstatt eigene bereitzustellen.

Bereitstellungsmodelle für Controller

Aktiv-Aktiv-Paare sind das Standard-Produktionsmodell: Zwei gleichrangige Controller-Knoten werden gemeinsam konfiguriert, und bei der Bereitstellung eines der beiden wird die Konfiguration auf beide übertragen. Das Paar baut untereinander einen IPsec-Tunnel und eine MP-BGP-Sitzung auf und bildet so ein Netz aus Routenreflektoren, sodass die Konnektivität der Zweigstellen und das Routing auch beim Ausfall eines der beiden Knoten aufrechterhalten bleiben.

Staging- und Post-Staging-Rollen sind Kennzeichnungen auf einem Controller-Knoten und keine separate Hardware – derselbe Knoten oder verschiedene Knoten können als Staging-Controller (der neue Geräte während der Zero-Touch-Bereitstellung authentifiziert und aktiviert) und als Post-Staging-Controller (auf den das Gerät zurückgreift, sobald seine vollständige Produktionskonfiguration eingerichtet ist) festgelegt werden. Die Wahl der Plattform – Bare-Metal-Server oder virtuelle Maschine – ist von beiden unabhängig: Beide Plattformen unterstützen dieselbe Control-Plane-Rolle und können in einem Aktiv-Aktiv-Paar eingesetzt werden.

Die Skalierungsstufen bauen aufeinander auf. Eine einzelne Controller-Instanz unterstützt bis zu 256 Mandanten. Bei sehr großen oder geografisch verteilten Netzwerken kommen Hub-Controller-Knoten (HCN) zum Einsatz – eine hierarchische Controller-Ebene zur Skalierung über etwa 2.500 SD-WAN-Geräte pro Mandant hinaus oder zur Versorgung isolierter Regionen und nicht kompatibler Transportdomänen, die eine flache Controller-Ebene nicht effizient abdecken kann. Multi-Tenant-Dienstanbieter können auch das Underlay selbst isolieren: Durch voneinander getrennte Underlay-Verbindungen erhält jeder Mandant sein eigenes Transport-VRF auf dem Controller, wodurch VRF-Lecks vermieden werden, ohne dass jedem Kunden eigene IP-Bereiche zugewiesen werden müssen.

Controller und die Plattform „ VersaONE “

Der Controller ist eine von drei Komponenten des DCA-Komplexes – Director, Controller und Analytics –, also die Kopfstelle, die Concerto bei „ SASE “-Bereitstellungen koordiniert. Der Director konfiguriert Geräte und überträgt Vorlagen über die Steuerungsnetzwerkschnittstelle des Controllers; der Controller sorgt dafür, dass die SD-WAN-Struktur verbunden bleibt und das Routing funktioniert; und Controller-Knoten können einen Application Delivery Controller (ADC) -Dienst hosten, der die Protokollübermittlung an Analytics steuert und Protokollverbindungen von einem primären Analytics-Cluster auf einen sekundären umleitet, falls der primäre ausfällt.

Die Zero-Touch-Bereitstellung hängt vom ersten Start an vom Controller ab: Bei der globalen ZTP-Bereitstellung wird ein neues Gerät vom cloudbasierten Staging-Server von VersaunterVersa zum Staging-Controller-Knoten des Kunden weitergeleitet, der das Gerät über eine IPsec-IKE-Verbindung authentifiziert – unter Verwendung des im TPM-Chip des Geräts gespeicherten, von Versa signierten Zertifikats – und dessen Staging-Konfiguration ausstellt. Das URL-basierte ZTP erreicht denselben Staging- oder Post-Staging-Controller-Knoten über einen Link, den ein Installateur vor Ort manuell öffnet, wie unter „VOS-Geräte aktivieren und Grundfunktionen konfigurieren“ beschrieben.

Häufig gestellte Fragen

Was ist der Unterschied zwischen dem Controller und dem Leiter der Abteilung „ Versa “?

Der Director ist die Managementebene – Vorlagen, Konfiguration, Überwachung. Der Controller ist die SD-WAN-Steuerungsebene: Die Geräte in den Zweigstellen bauen IPsec-Tunnel und MP-BGP-Sitzungen mit ihm auf und tauschen über ihn Routing-Informationen aus. Der Director gibt den Geräten vor, wie sie sich verhalten sollen; der Controller sorgt dafür, dass die SD-WAN-Struktur verbunden bleibt und das Routing funktioniert.

Warum werden Controller paarweise eingesetzt?

Zur Redundanz: Zwei gleichrangige Controller-Knoten, die im Aktiv-Aktiv-Modus laufen, tauschen untereinander einen IPsec-Tunnel und eine MP-BGP-Sitzung aus und bilden so ein Netz aus Routenreflektoren, während der Director die Konfiguration gleichzeitig an beide überträgt – sodass der Ausfall eines einzelnen Knotens die SD-WAN-Steuerungsebene nicht lahmlegt.

Was ist der Unterschied zwischen einem Staging-Controller und einem Post-Staging-Controller?

Es handelt sich dabei um Rollen, mit denen ein Controller-Knoten gekennzeichnet ist, nicht unbedingt um unterschiedliche Hardware. Ein Staging-Controller authentifiziert ein neues Gerät und stellt während der Zero-Touch-Bereitstellung dessen minimale Staging-Konfiguration bereit; ein Post-Staging-Controller ist derjenige, der dem Gerät anschließend die vollständige Produktionskonfiguration bereitstellt.

Verwaltet der Controller nicht nur das SD-WAN-Routing, sondern auch Switches?

Ja, bei SD-LAN-Implementierungen. WAN-Edge-Geräte verbinden Access- und Core-Switches mit einem Management-Controller-Knoten, über den der Director-Knoten diese Switches dann per Zero-Touch-Provisioning einrichtet – zusätzlich zu der Rolle des Controllers als zentrale SD-WAN-Steuerungsebene für die Zweigstelle selbst.

Kann ein Controller als virtuelle Maschine bereitgestellt werden?

Ja. Ein Controller-Knoten kann entweder auf einem Bare-Metal-Server oder auf einer virtuellen Maschine ausgeführt werden, und beide Varianten sind in der Produktion üblich. Beide Plattformen unterstützen dieselbe Rolle in der Steuerungsebene, und Redundanz wird in der Regel durch die Kopplung von zwei Controllern auf einer der beiden Plattformen im Aktiv-Aktiv-Modus erreicht.

Mehr zum „ Versa “-Controller

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über den Controller informieren, sollten Sie sich als Nächstes diese Themen ansehen.