Upload
cisco-russia
View
842
Download
8
Tags:
Embed Size (px)
Citation preview
Развитие решений Cisco Service Control. Использование DPI для контент-фильтрации. Денис Коденцев
Системный инженер, CCIE
Июнь 2014
2 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
§ Обзор решения Service Control § SCE 10000
§ vSCE
§ URL-фильтрация
§ Контент-фильтрация
3 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Абоненты
SCE 10000
4 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
§ 8x10G ports § 60 G and 480G (Cluster) § Support 20 million bi-
directional application flows § Up to 2M concurrent
subscribers and 2500 TPS § Backward compatible with
SM/ CM/ Insight and SCA BB
Subs
crib
ers
Throughput 5 Gbps 60 Gbps
1M
30 Gbps
2M
SCE10K
§ Pure SW Installable § Running on top of
hypervisor
Virtual SCE
§ 100 – 300G § 100G interfaces
SCE14K
300 Gbps
4M
SCE8000 § 1G/10G ports § 30G/240G (Cluster)
§ Up to 1M concurrent subscribers and 800 TPS
Сегодня
Июль’14
Середина’15
Июль’14
10 Gbps
20M
5 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
SCE10000 и vSCE станут доступны к заказу в Июле ’14!
Q3CY13 Q4CY13 Q1CY14 Q2CY14 Q3CY14 Q4CY14
5.0.0
4.2.0
4.1.0
PP35
4.0.0
PP37 PP38 PP39 PP40 PP41 PP42 PP43 ! ! !
5.1.0
PP42 PP43
SCE 8000
SCE10000 и vSCE
SCE 8000 SCE10000 и
vSCE ! !
!
Cisco Confidential 6 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Обзор SCE10000
7 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Производите-льность – 60G Больше абонентов– 2M
Меньше места в стойке – 2RU Меньше потребление – 1200W
Sca
le
Infra
Архитектура нового поколения
SCE10000 vSCE NG Cluster
SCE14000
Масштабируемость
Единая платформа
Быстрая интеграция
Быстрый выпуск новых продуктов и решений
Уменьшение Capex вложений
Уменьшение TTM сервисов
8 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
9 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
9
Cisco SCE10K
S:N pair is part of the same NIC
10 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
10
Автоматическая настройка интерфейса управления
11 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Позиционирование § SP/Enterprise/Public Sector/ Higher Education
customers looking for
§ Производительность до 60Gbps в одном устройстве
§ Кластер до 480 Gbps
Скорая доступность к заказу § Июль 2014
12 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Архитектура § SCE10000 использует архитектуру SCE8000
§ Результат: Уменьшение TTM до 12 месяцев в сравнении с 18-24 месяцами средними для индустрии
§ Программная архитектура SCE10000 использует аппаратную архитектуру SCE8000
§ Приоритезация трафика § Эффективность при большой пропускной
способности и сложности политик § Минимизация задержки
§ Эффективный пропуск трафика в случае congestion
13 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Совместимость с SCE8000 § 70% CLI SCE10000 аналогичны SCE8000. Только
30% CLI созданы дополнительно
§ Обратная совместимость с SM/ CM/ SCA BB и Broadhop QNS/ 3rd party Policy Servers/ OSS системами с минимальными затратами
§ Унифицированные SM/CM для всей линейки SCE
14 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Аппаратное обеспечение § Встроенные Optical Bypass и SFP
§ Хранилище большого объема § В дальнейшем планируется использовать эту
опцию для различных приложений SCE10000
§ Легко выбрать подходящее решение § Выбирается только тип оптики LR или SR NIC
вместо комбинации Line Card + Optical Bypass + Optics
§ Все фиксированные элементы объединены в бандлы – SCE10000-8x10G-E
§ Выбор при заказе
§ NICs (SR or LR)
§ Storage (SSD or HDD)
§ Power Module (AC or DC)
15 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Функциональность § Полная функциональная совместимость с SCE8K*
§ Встроенный оптический bypass
§ Возможность по внесению изменений в URL списки и Зоны без применения политики
§ Отказоустойчивость для БП и хранилища
§ Мониторинг в реальном времени
* Кроме CNR LEG и ISG-SCE BUS
16 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Компоненты Тип Память (512 GB) Фиксировано
Процессор (4 CPUs x 10 Cores каждый)
Фиксировано
NIC (4 карты каждая по 2x10G) Встроенный оптический байпас SFP встроенны
На выбор SR или LR
Блоки питания (Резервированные) На выбор AC или DC
Встроенное хранилище На выбор HDD или SSD
Cisco Confidential 17 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
SCE10000 vs SCE8000 Сравнение платформ
18 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
SCE10000 SCE8000
Интерфейсы 2 or 4 - 10G
8 or 16 – 1GBE 8 x 10G
Интерфейсы управления 2 x 10/ 100/ 1000 4 x 10/ 100/ 1000
Хранилище 4 GB 2x200 GB SSD or 2x300 GB HDD
Шасси 5 RU 2 RU
Потребление 1600 W 1200 W
Производительность 30 Gbps 60 Gbps
Макс.абонентов 1,000,000 2,000,000 #
# The values would be increased to 4M in CY15 release
19 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
SCE10000 SCE8000
Макс. Flows (Bi-Directional) 16 M 20 M
TPS (Gx & SM) 850 3000#
Gx + Gy 850 1400#
Quota TPS - QM 1000 1400#
Зоны 20K for v4/ 5K for v6
32K for v4/ 8K for v6
Subscriber/ Global Counters 48/ 192 64/ 256
RDR Rate 35K/sec 70K/sec
# The values would be increased in subsequent release
20 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
• Одновременная поддержка максимального числа абонентов и flow SCE8000
250k Subs 16 M
500k Subs 15 M
750k Subs 14 M
1M Subs 13 M
SCE10000 2M Subs 20 M
21 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Ключевой фактор, влияющий на максимальную производительность
SCE8000 * Ограничение backplane16 Gbps безотносительно размера пакета
22 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Ключевые факторы для SCE10K • Max packets to be handled at FP, SP and PD
o PD – 16 mpps o FD – 16 mpps o SP – 14.5 mpps
• Max 10G links Actual BW is throughput
achieved at SP
core #k
CPU
Management NIC
SP
FP
core #n
core #m
core #n
core #m
core #k
Data Path NIC
CP+MTP
core #k
23 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Регион Тип SP SIMBA status
64-127
128-256
256-511
512-1023
1024-1518
1519 and above
Средний размер пакета
Европа Cable Single SIMBA
30.80 5.59 2.05 2.32 59.22 Not present 988.09
Япония Broadband Dual SIMBA
36.61 6.27 2.83 2.70 51.56 0.027 835.92
Средний восток Broadband Dual SIMBA
41.75 5.62 2.47 2.83 32.37 15.05 824.60
Европа Broadband Single SIMBA
43.77 4.78 2.51 2.90 44.32 1.69 782.75
Япония Mobile provider
Single SIMBA
46.44 4.80 3.34 3.13 42.27 Not present 693.88
The data is picked from support files for 36 hour interval to eliminate discrepancies due to peak-hour and off-peak-hour
24 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Source: Amsterdam Internet Exchange (https://www.ams-ix.net/technical/statistics/sflow-stats/frame-size-distribution)
Тенденция к увеличению среднего размера пакета
25 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Средний размер пакета Bandwidth
512 60 Gbps
576 (IPv4 Min MTU) 65 Gbps
620 70 Gbps
SCE10000 отлично сбалансирован для реальных применений
Cisco Confidential 26 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
SCE10000 Планы по развитию
27 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Решения
Parental Control
Video Caching
Targeted Advertisements
Infra
NG Clustering Solution
Improve TPS
2nd IP to Management Interface
DNS Assisted Classification
Аналитика
Quota Reporting
NG clustering architecture Design NG clustering solution without the need for exclusive load balancers. Targeted cluster throughput – 300 Gbps
TPS improvement – Both login/logout and Quota Improve the TPS of both login/logout and Quota for SM/QM and Gx/Gy
28 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
BRAS Internet Gateway
SCE 1
SCE 2
SCE 3
S to N
N to S
Cluster interface
Cluster interface Cluster
interface
• Flows redirected to the handling SCE based on the IP address load balancing
29 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Распределение интерфейсов
• 6 data ports and 12 cluster ports in each SCE10000 • 3 dual ports NICs for data
• 3 quad port NICs for cluster
• Max of 7 SCEs could be clustered
• All SCEs are connected in a mesh topology
• Max achievable throughput in 1st release is ~300 Gbps
• 6 data port à 3 S:N pair
• 45 Gbps throughput achievable in each SCE
• 2x10G connectivity between each pair of SCE in mesh topology
Cisco Confidential 30 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Обзор vSCE
31 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
• SDN/NFV are driving a shift to virtualized platforms running on standard servers or dedicated hardware
NFV/ SDN
• Preference for common HW and SW • To reduce CAPEX and power consumption • To reduce dependency on specialized skills to deploy custom HC
Generic HW
• Accelerate deployment of services by reducing procure-design-integrate-deploy cycle
Скорость внедрения
• Ability to rapidly scale up/down services as required Масштабируемость
32 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Позиционирование § SP/Enterprise/Public Sector/ Higher Education
customers looking for
§ Производительность до 5Gbps для одной VM
§ Service chaining (NFV/SDN)
Скорая доступность к заказу
§ Июль 2014
33 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Функциональность § ПО запускается над гиперпизором KVM на любой x86 платформе
§ Полное функциональное соответствие с SCE10000
§ Network Function Virtualization (NFV) ready
§ Возможность опробовать решение до приобретения больших платформ – SCE8K, SCE10K
34 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Standalone Application
vSCE running as standalone application
on any COTS HW
Suitable for customers opting for ‘try-before-
you-buy’ solution
Facilitates customer to trial new solutions/
services
NFV Solution vSCE acting as VNF component running in
VM
vSCE is officially part of Cisco Evolved Services
Platform
HW agnostic support
35 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Абоненты
vSCE is compatible with external elements such as SM/ CM and SCA BB Virtualization of external elements (SM/CM) is currently possible
Виртуальная среда
36 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Subscribers
Part of vSCE Virtual Appliance – On demand elasticity of independent elements is possible
Load
Bal
ance
r
37 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
§ Virtualization lends itself well for Functions that have high control plane complexity, require low Data Plane bandwidth, and where higher latency is acceptable
§ In DPI, examples are: – Where DPI function is already centralized (e.g
GiLAN) – Where Data Plane requirement is low (e.g
enterprise customers, managed services)
§ Complexity moves from the operational burden of managing hardware appliances to the software mediation layer
Cloud Datacenter
GI-LAN | Consumer
DPI CGN WWW
FW CDN IPS
Virtual Private Cloud
NfV Services
DPI CPE WAAS
FW NAM IPS
Evolved Programmable Network
SP Data Center
Service Controller
38 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
§ The mobile core of today is comprised of "many boxes" built on "constrained" sheet metal NEs often using custom "computer" blades
§ NfV maps those functions to ‒ COTS computer blades (no “custom” blade pricing) ‒ Unbounded data center (no chassis)
§ NfV also replaces ‒ Physical connectivity with flexible software defined
network
‒ Physical hosts with flexible virtualized compute
§ NfV results in lower TCO which allow the operators cost structure to align with OTT competitors ‒ Lower capex structure ‒ Simplified cloud based operations
GGSN/PGW
VRF Internet VRFPhysical Compute, Network Storage
Virtualized Compute, Network Storage
MME/SGSN
PCRF
QSB
VO
WO
Classification
SDNControl
NATFW
IDS/IDP
SON
...LTE
12ABC3DEF
4GHI5JKL6MNO
7PQRS
8TUV9WXYZ
*0#
Signal Strength
RAN
3G
2G
Wi-‐Fi
Virtualization
QuantumService Bus
QuantumPolicy Server
PDN
REST
PDN-‐GW/GGSN
Rx
Sd/Gx+Gx
REST
SPR/UDR
NEAF
Gx
API-‐GW REST/XMPP
Quantum vGi-‐LAN
WOVO
NATDPI
URLFilteringPolicy
VPNFW
MediaNet Services
Quantum SON
RATM CDE
WiFi3G
LTESmall Cell
12ABC3DEF
4GHI5JKL6MNO
7PQRS
8TUV9WXYZ
*0#
Signal Strength
MSI
RANMSI
QuantumAnalytics
AnalyticsDashboard
Data
AnalyticsEngine
39 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
40 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
10G* 5G
# Performance is obtained using Intel NICs leveraging DPDK and CPU speed is 2.9 Ghz * Will be available only in future releases, tentatively Dec ’14
Интерфейсы 8x1G 2x10G
Абоненты 225,000 450,000
Ядра CPU# 10 16
TPS (Login/ Logout) 300 500
VLinks 2048 2048
Flow Introduction/ Acquisition Rate
195,000 flows/sec
390,000 flows/sec
41 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
• Ядра: 10 @ 2.9 Ghz • Память: 32 GB • Сетевые карты: 8x1G
Пример конфигурации UCS (UCS C220)#
UCSC-C220-M3L= UCS C220 M3 LFF w/o CPU, mem, HDD, PCIe, PSU, rail kit 1 Unit
UCS-CPU-E5-2667= 2.90 GHz E5-2667/130W 6C/15MB Cache/DDR3 1600MHz/NoHeatSink 2 Units
UCSC-PCIE-IRJ45= Intel Quad GbE adapter 2 Units
UCS-MR-1X162RZ-A= 16GB DDR3-1866-MHz RDIMM/PC3-14900/dual rank/x4/1.5v 2 Units
UCSC-PSU-450W= 450W power supply for C-series rack servers 1 Unit
# The above configuration only lists essential components
Cisco Confidential 42 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Использование DPI для контент-фильтрации
43 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
§ Задача фильтрации контента § URL-фильтрация (blacklisting)
§ Контент-фильтрация § Родительский контроль § Автоматизация URL-фильтрации
§ О чем стоит помнить
44 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
§ Выполнение ФЗ-139 § http://78.rkn.gov.ru/directions/p4592/p11530/
§ Родительский контроль
Cisco Confidential 45 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
URL-фильтрация на базе SCE
46 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Cisco SCE
Абоненты
Сеть Интернет
HTTP GET Разрешенный URL
HTTP GET Разрешенный URL Запрещенный URL
DROP
Cisco SCE – Обработка только исходящего HTTP трафика (ассиметричный режим) – Контроль на основе статических URL/Domain/IP списков – Высокая масштабируемость
47 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
§ Предполагает, что список фильтруемых ресурсов статический либо обновляется редко и не требует мгновенного применения оператором
§ Метод применим для выполнения ФЗ-139 § Список обновляется 2 раза в сутки § ФЗ требует применить ограничение к ресурсу в течение суток с момента появления ресурса в списке
§ Описание процесса настройки: § http://www.cisco.com/c/en/us/td/docs/cable/serv_exch/serv_control/broadband_app/
rel41x/scabbug/scabbug/07_SCA_BB_UG.html#wp1175199
48 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
§ Шаг 1. Получение списка запрещенных ресурсов § Шаг 2. Формирование CSV файла в требуемом формате
§ http://www.cisco.com/c/en/us/td/docs/cable/serv_exch/serv_control/broadband_app/rel41x/scabbrg/scabbrg/05_SCA_BB_RG.html#wp998977
§ Два варианта CSV - Standard (расширенный) и Easy (упрощенный) § Standard
§ flavor name,flavor index,flavor type,host suffix,params prefix,URI suffix,URI prefix § например - NEWS,0,HTTP_URL,*.reuters.com,,,/news/*
§ Easy § например http://*.rapidshare.com/cgi-bin/upload*
49 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
§ Шаг 3. Создание Flavor в SCA-BB
50 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
§ Шаг 3. Создание Flavor в SCA-BB
51 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
§ Шаг 4. Импорт CSV-файла
52 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
§ Шаг 5. Создание сервиса для URL-фильтрации
53 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
§ HTTPS трафик § Глубина поиска HTTP GET в одном TCP потоке – влияет на точность блокировки и производительность DPI
§ ClickStream – что делает сам абонент, а не web страница?
54 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
§ Простой процесс настройки § Высокая масштабируемость
§ Требуется адаптация списка Роскомнадзора в формат «понятный» SCE § Возможно реализовать с помощью различного рода скриптов-парсеров для текстовых/csv файлов
§ При изменении списка требует применения сервисной политики на SCE § в следующих версиях ПО это ограничение будет снято
Cisco Confidential 55 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Использование DPI для контент-фильтрации
56 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Динамическая URL-фильтрация
• Cisco SCE • Управление абонентскими контекстами • экспорт URL для анализа с использованием специального вида RDR
• контроль HTTP трафика абонентов в соответствии с заданной сервисной политикой и текущим состоянием URL кэша
• Внешняя система категоризации • Определение категории URL, полученных от Cisco SCE
• Обновление URL кэша на Cisco SCE через API
57 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Родительский контроль
• Cisco SCE • Управление абонентскими контекстами
• экспорт URL для анализа • контроль HTTP трафика абонентов
• ЦАИР • Определение категории URL, полученных от Cisco SCE
• Обновление URL кэша на Cisco SCE
58 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Динамическая URL-фильтрация. Выводы.
• При наличии возможности внешняя система может быть реализована оператором самостоятельно.
• Необходимо реализовать всего 2 функции при взаимодействии с SCE:
• Интерпретировать URL RDR • По окончании процесса категоризации запустить API функцию
Cisco Confidential 59 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
Заключение и выводы
60 © 2013-2014 Cisco and/or its affiliates. All rights reserved.
§ Линейка Cisco SCE получила долгожданное развитие § SCE10K и vSCE, которые дополняют, а НЕ замещают существующее решение SCE8K!
§ Богатые планы по дальнейшему развитию линейки – SCE14K, vSCE на ASR9K VSM
§ Реализация контентной и URL фильтрации § статической или динамической § самостоятельно или с помощью партнеров Cisco
Вопросы?
Спасибо!