¿Qué es un responsable del tratamiento?

Un controlador —el controlador « Versa »— es un dispositivo VOS que proporciona la función de plano de control de una superposición SD-WAN: termina los túneles IPsec y las sesiones MP-BGP procedentes de los dispositivos de las sucursales, distribuye el enrutamiento entre ellos y, en las implementaciones SD-LAN, gestiona los conmutadores a los que se conectan dichas sucursales. Los controladores suelen implementarse en pares redundantes de tipo activo-activo.

Puntos clave

• Un controlador se encarga de la función del plano de control de una superposición SD-WAN.
• Interrumpe los túneles IPsec y las sesiones MP-BGP procedentes de los dispositivos de las sucursales.
• Los controladores suelen implementarse como pares redundantes de tipo «activo-activo».
• Uno de los tres componentes del Complejo DCA, junto con «Director» y «Analytics».
• Un controlador de puesta en marcha autentifica los nuevos dispositivos durante el aprovisionamiento sin intervención.

En esta página: Por qué es importante · Cómo funciona · Modelos de implementación de controladores · El controlador y la plataforma « VersaONE » · Preguntas frecuentes

¿Por qué son importantes los controladores?

Una red superpuesta SD-WAN necesita un lugar donde alojar su plano de control, separado del plano de datos que transporta el tráfico de las aplicaciones. El controlador es ese lugar: sin él, los dispositivos VOS de las sucursales no tendrían forma de detectarse entre sí, intercambiar rutas ni establecer los túneles seguros de los que depende una red superpuesta. Las sesiones IPsec y MP-BGP de cada sucursal terminan en un controlador, que es lo que convierte un conjunto de dispositivos configurados individualmente en una estructura coherente y enrutada.

El Controller suele ser también el primer elemento de la infraestructura de la cabecera con el que se comunica un dispositivo nuevo. Durante el aprovisionamiento sin intervención, un dispositivo que se está iniciando se redirige a un nodo del controlador de prueba, que lo autentica y le proporciona la configuración necesaria para conectarse a la red, antes de que se aplique la plantilla de producción completa del Director. La pérdida de capacidad del controlador no solo degrada el enrutamiento, sino que puede impedir por completo la incorporación de nuevas sucursales, por lo que la redundancia en esta capa se considera un requisito básico, no una opción.

¿Qué es un responsable del tratamiento?

Un nodo «Controller» se ejecuta en un servidor físico o en una máquina virtual. Una vez implementado, establece túneles IPsec y sesiones MP-BGP desde los dispositivos VOS de las sucursales, intercambiando la información de enrutamiento que permite a las sucursales comunicarse entre sí, con la cabecera y con los recursos compartidos. Una interfaz de red de control dedicada conecta el nodo «Controller» con el nodo «Director», transportando el tráfico de orquestación que permite al «Director» configurar los dispositivos a través del «Controller» y supervisarlos.

En las implementaciones de SD-LAN, los dispositivos de borde de la WAN de una sucursal conectan sus conmutadores de acceso y centrales a un nodo controlador de gestión, que Director utiliza a continuación para aprovisionar dichos conmutadores mediante aprovisionamiento sin intervención; de este modo, la función del controlador se extiende más allá del enrutamiento de la WAN hasta la gestión de los conmutadores de la LAN. Las organizaciones multitenant también pueden configurar un plano de control compartido, lo que permite a una suborganización reutilizar la instancia de enrutamiento VR de control y los túneles IPsec de su organización matriz hacia el controlador, en lugar de aprovisionar los suyos propios.

Modelos de implementación de controladores

Los pares «activo-activo» constituyen el modelo de producción estándar: se configuran conjuntamente dos nodos controladores equivalentes y, al implementar cualquiera de ellos, la configuración se aplica a ambos. El par establece un túnel IPsec y una sesión MP-BGP entre sí, formando una malla de reflectores de rutas, de modo que la conectividad y el enrutamiento de las sucursales se mantienen incluso si se produce la pérdida de cualquiera de los dos nodos.

Las funciones de «staging» y «post-staging» son indicadores en un nodo controlador, en lugar de hardware independiente: se puede designar al mismo nodo, o a nodos diferentes, como controlador de «staging» (que autentifica y activa los nuevos dispositivos durante el aprovisionamiento sin intervención) y como controlador de «post-staging» (del que depende el dispositivo una vez que su configuración completa de producción está establecida). La elección de la plataforma —servidor físico frente a máquina virtual— es independiente de ambos: cualquiera de las dos plataformas admite la misma función del plano de control y puede formar parte de un par activo-activo.

Los niveles de escalabilidad se superponen. Una sola instancia del controlador admite hasta 256 clientes. Las flotas muy grandes o geográficamente dispersas añaden nodos de controlador-centro (HCN), un nivel jerárquico del controlador que permite escalar más allá de unos 2.500 dispositivos SD-WAN por cliente, o dar servicio a regiones aisladas y dominios de transporte incompatibles que una capa plana de controlador no puede cubrir de manera eficiente. Los proveedores de servicios multitenant también pueden aislar la propia red subyacente: las conexiones de red subyacente disjuntas proporcionan a cada cliente su propio VRF de transporte en el controlador, lo que evita las fugas de VRF sin necesidad de asignar rangos de IP únicos por cliente.

El controlador y la plataforma « VersaONE »

El Controller es uno de los tres componentes del complejo DCA —Director, Controller y Analytics—, la cabecera que Concerto coordina en las implantacione SASE . El Director configura los dispositivos y envía plantillas a través de la interfaz de red de control del Controlador; el Controlador mantiene la estructura SD-WAN conectada y enrutada; y los nodos del Controlador pueden alojar un servicio de controlador de entrega de aplicaciones (ADC) que gestiona la entrega de registros a Analytics, redirigiendo las conexiones de registros desde un clúster principal de Analytics a uno secundario si el principal falla.

El aprovisionamiento sin intervención (ZTP) depende del controlador desde el primer arranque: el ZTP global redirige un nuevo dispositivo desde el servidor de preparaciónVersa , alojado en la nube de Versa, al nodo del controlador de preparación del cliente, que autentica el dispositivo a través de una conexión IPsec IKE —utilizando el certificado firmado por Versa del dispositivo, almacenado en su chip TPM— y le asigna su configuración de preparación. El ZTP basado en URL llega al mismo nodo del Controller de preparación o posterior a la preparación a través de un enlace que un instalador in situ abre manualmente, tal y como se detalla en «Activar dispositivos VOS y configurar funciones básicas».

Preguntas frecuentes

¿Cuál es la diferencia entre el interventor y el director de l Versa ?

Director es el plano de gestión: plantillas, configuración y supervisión. El Controller es el plano de control de la SD-WAN: los dispositivos de las sucursales establecen túneles IPsec y sesiones MP-BGP con él e intercambian información de enrutamiento a través de él. Director indica a los dispositivos cómo deben comportarse; el Controller mantiene la estructura de la SD-WAN conectada y con enrutamiento.

¿Por qué se instalan los controladores por parejas?

Por motivos de redundancia. Dos nodos controladores en par, que funcionan en modo activo-activo, intercambian entre sí un túnel IPsec y una sesión MP-BGP, formando una malla de reflectores de rutas, y el Director envía la configuración a ambos simultáneamente, de modo que el fallo de un solo nodo no provoca la caída del plano de control de la SD-WAN.

¿Cuál es la diferencia entre un controlador de staging y un controlador de post-staging?

Se trata de funciones asignadas a un nodo controlador, no necesariamente de hardware diferente. Un controlador de preparación autentifica un nuevo dispositivo y le asigna su configuración mínima de preparación durante el aprovisionamiento sin intervención; un controlador posterior a la preparación es el que, posteriormente, proporciona al dispositivo la configuración completa de producción.

¿El controlador gestiona los conmutadores, y no solo el enrutamiento SD-WAN?

Sí, en implementaciones de SD-LAN. Los dispositivos de borde de la WAN conectan los conmutadores de acceso y centrales a un nodo controlador de gestión, que el nodo director utiliza a continuación para configurar dichos conmutadores mediante el aprovisionamiento sin intervención, además de la función del nodo controlador como plano de control central de la SD-WAN para la propia sucursal.

¿Se puede implementar un controlador como máquina virtual?

Sí. Un nodo de controlador puede ejecutarse tanto en un servidor físico como en una máquina virtual, y ambas opciones son habituales en entornos de producción. Cualquiera de las dos plataformas es compatible con la misma función del plano de control, y la redundancia se suele conseguir emparejando dos controladores, en cualquiera de las dos plataformas, en modo activo-activo.

Más información sobre el mando « Versa »

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre el «Controller», te conviene echar un vistazo a lo siguiente.