Qu'est-ce qu'un responsable du traitement ?

Un contrôleur – le contrôleur « Versa » – est un dispositif VOS qui assure la fonction de plan de contrôle d’un réseau SD-WAN en superposition : il termine les tunnels IPsec et les sessions MP-BGP provenant des dispositifs des succursales, répartit le routage entre eux et, dans les déploiements SD-LAN, gère les commutateurs auxquels ces succursales se connectent. Les contrôleurs sont généralement déployés en paires redondantes de type actif-actif.

Points clés à retenir

• Un contrôleur assure la fonction de plan de contrôle d'un réseau SD-WAN en superposition.
• Il met fin aux tunnels IPsec et aux sessions MP-BGP provenant des équipements des succursales.
• Les contrôleurs sont généralement déployés sous forme de paires de pairs redondantes, en mode actif-actif.
• L'un des trois volets du complexe DCA, aux côtés de « Director » et « Analytics ».
• Un contrôleur de mise en service authentifie les nouveaux appareils lors de la mise en service sans intervention.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Modèles de déploiement des contrôleurs · Le contrôleur et la plateforme d’ VersaONE · FAQ

Pourquoi les contrôleurs sont-ils importants ?

Une superposition SD-WAN a besoin d’un emplacement où héberger son plan de contrôle, distinct du plan de données acheminant le trafic des applications. Le contrôleur remplit ce rôle : sans lui, les périphériques VOS des succursales n’auraient aucun moyen de se détecter mutuellement, d’échanger des routes ou d’établir les tunnels sécurisés dont dépend une superposition. Les sessions IPsec et MP-BGP de chaque succursale aboutissent à un contrôleur, ce qui permet de transformer un ensemble de périphériques configurés individuellement en une structure de routage cohérente.

Le contrôleur est également généralement le premier élément de l'infrastructure de tête de réseau avec lequel un nouvel appareil communique. Lors du provisionnement sans intervention (zero-touch provisioning), un appareil en cours de démarrage est redirigé vers un nœud « staging » du contrôleur, qui l’authentifie et lui fournit les paramètres de configuration nécessaires pour se connecter au réseau – avant même que le modèle de production complet de Director ne soit appliqué. La perte de capacité du contrôleur n’entraîne pas seulement une dégradation du routage ; elle peut empêcher complètement l’intégration de nouvelles succursales, c’est pourquoi la redondance à ce niveau est considérée comme une exigence fondamentale, et non comme une option.

Qu'est-ce qu'un responsable du traitement ?

Un nœud « Controller » s'exécute soit sur un serveur physique, soit sur une machine virtuelle. Une fois déployé, il établit des tunnels IPsec et des sessions MP-BGP à partir des périphériques VOS des succursales, en échangeant les informations de routage qui permettent aux succursales de communiquer entre elles, d'accéder à la tête de réseau et aux ressources partagées. Une interface réseau de contrôle dédiée relie le nœud « Controller » au nœud « Director », acheminant le trafic d'orchestration qui permet au nœud « Director » de configurer les périphériques via le nœud « Controller » et d'en assurer la surveillance.

Dans les déploiements SD-LAN, les périphériques de périphérie WAN d’une succursale relient ses commutateurs d’accès et centraux à un nœud de contrôleur de gestion, que Director utilise ensuite pour provisionner ces commutateurs via un provisionnement sans intervention (zero-touch) ; le rôle du contrôleur s’étend ainsi au-delà du routage WAN pour inclure la gestion des commutateurs LAN. Les organisations multi-locataires peuvent également configurer un plan de contrôle partagé, permettant ainsi à une sous-organisation de réutiliser l’instance de routage VR de contrôle et les tunnels IPsec de son organisation parente vers le contrôleur, au lieu de provisionner les siens.

Modèles de déploiement des contrôleurs

Les paires « actif-actif » constituent le modèle de production standard : deux nœuds contrôleurs de même niveau sont configurés ensemble, et le déploiement de l’un d’entre eux entraîne la propagation de la configuration vers les deux. La paire établit entre elle un tunnel IPsec et une session MP-BGP, formant ainsi un maillage de réflecteurs de routes, ce qui permet à la connectivité et au routage des succursales de perdurer même en cas de défaillance de l’un des nœuds.

Les rôles de « staging » et de « post-staging » sont des indicateurs définis sur un nœud contrôleur plutôt que sur du matériel distinct : un même nœud, ou des nœuds différents, peuvent être désignés comme contrôleur de « staging » (qui authentifie et active les nouveaux appareils lors du provisionnement « zero-touch ») et comme contrôleur de « post-staging » (sur lequel l’appareil s’appuie une fois que sa configuration de production complète est en place). Le choix de la plateforme – serveur physique ou machine virtuelle – est indépendant de ces deux rôles : chaque plateforme prend en charge le même rôle au niveau du plan de contrôle et peut faire partie d’une paire active-active.

Les niveaux d’évolutivité s’empilent les uns sur les autres. Une seule instance de contrôleur prend en charge jusqu’à 256 locataires. Les parcs très importants ou géographiquement dispersés intègrent des nœuds Hub-Controller (HCN) – un niveau hiérarchique de contrôleur permettant d’évoluer au-delà d’environ 2 500 appareils SD-WAN par locataire, ou de desservir des régions isolées et des domaines de transport incompatibles qu’une couche de contrôleur plate ne peut pas couvrir efficacement. Les fournisseurs de services multi-locataires peuvent également isoler la couche sous-jacente elle-même : des connexions sous-jacentes disjointes attribuent à chaque locataire son propre VRF de transport sur le contrôleur, ce qui empêche les fuites de VRF sans avoir à allouer des plages d’adresses IP uniques à chaque client.

Le contrôleur et la plateforme « VersaONE »

Le « Controller » est l’un des trois composants du complexe DCA (Director, Controller et Analytics), la tête de réseau que Concerto coordonne dans les déploiements d’ SASE . Le « Director » configure les appareils et diffuse des modèles via l’interface réseau de contrôle du « Controller » ; le « Controller » assure la connexion et le routage de la structure SD-WAN ; enfin, les nœuds du « Controller » peuvent héberger un service de contrôleur de livraison d’applications (ADC) qui gère la transmission des journaux vers « Analytics », en redirigeant les connexions de journaux d’un cluster « Analytics » principal vers un cluster secondaire en cas de défaillance du premier.

Le provisionnement sans intervention (ZTP) dépend du contrôleur dès le premier démarrage : le ZTP global redirige un nouvel appareil depuis le serveur de préparation hébergé dans le cloud d’ Versa( Versa ) vers le nœud de contrôleur de préparation du client, qui authentifie l’appareil via une connexion IPsec IKE – à l’aide du certificat signé par l’ Versa, stocké dans sa puce TPM – et lui attribue sa configuration de préparation. Le ZTP basé sur une URL accède au même nœud Controller de mise en place ou de post-mise en place via un lien ouvert manuellement par un installateur sur site, comme détaillé dans la section « Activer les appareils VOS et configurer les fonctionnalités de base ».

Questions fréquentes

Quelle est la différence entre le contrôleur et le directeur d'Versa ?

Le « Director » correspond au plan de gestion : modèles, configuration, surveillance. Le « Controller » correspond au plan de contrôle du SD-WAN : les équipements des succursales établissent des tunnels IPsec et des sessions MP-BGP avec lui, et échangent des informations de routage par son intermédiaire. Le « Director » définit le comportement des équipements ; le « Controller » assure la connectivité et le routage au sein de la structure SD-WAN.

Pourquoi les contrôleurs sont-ils déployés par paires ?

À des fins de redondance. Deux nœuds contrôleurs de même niveau fonctionnant en mode actif-actif échangent entre eux un tunnel IPsec et une session MP-BGP, formant ainsi un maillage de réflecteurs de routes, tandis que le Director transmet la configuration aux deux simultanément ; de cette manière, la défaillance d’un seul nœud n’entraîne pas la mise hors service du plan de contrôle du SD-WAN.

Quelle est la différence entre un contrôleur de mise en production et un contrôleur de post-mise en production ?

Il s'agit de rôles attribués à un nœud contrôleur, et non pas nécessairement de matériel différent. Un contrôleur de préparation authentifie un nouvel appareil et lui fournit sa configuration minimale de préparation lors du provisionnement sans intervention ; un contrôleur post-préparation est celui qui fournit ensuite à l'appareil sa configuration de production complète.

Le contrôleur gère-t-il les commutateurs, et pas seulement le routage SD-WAN ?

Oui, dans les déploiements SD-LAN. Les périphériques de périphérie WAN relient les commutateurs d'accès et centraux à un nœud « Controller » de gestion, que le nœud « Director » utilise ensuite pour configurer ces commutateurs via une configuration automatique (« zero-touch provisioning ») – parallèlement au rôle de plan de contrôle SD-WAN central du nœud « Controller » pour la succursale elle-même.

Un contrôleur peut-il être déployé sous forme de machine virtuelle ?

Oui. Un nœud « Controller » peut fonctionner aussi bien sur un serveur physique que sur une machine virtuelle, ces deux configurations étant courantes en production. Quelle que soit la plateforme choisie, celle-ci prend en charge le même rôle au niveau du plan de contrôle, et la redondance est généralement assurée en associant deux nœuds « Controller », sur l’une ou l’autre plateforme, en mode actif-actif.

En savoir plus sur la manette « Versa »

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous renseignez sur le contrôleur, voici quelques liens qui pourraient vous intéresser.