Xarxes definides per programari SDN: història, arquitectura i usos

Informatec Digital » Recursos » Xarxes definides per programari SDN: història, arquitectura i usos

Les xarxes definides per programari (SDN) han canviat completament la manera com es dissenyen, despleguen i administren les infraestructures de comunicacions . El que abans era un entramat rígid d'equips físics i configuracions manuals, ara es pot gestionar com si fos codi, amb molta més rapidesa, flexibilitat i visibilitat sobre el que està passant a cada racó de la xarxa.

Aquest nou enfocament no ha sorgit del no-res: és el resultat de dècades de recerca i de diverses fites tecnològices que van des de les xarxes actives dels 90 fins a l'estandardització d'OpenFlow i la creació d'un ecosistema complet de controladors, APIs i aplicacions. Vegem, pas a pas i amb calma, com hem arribat fins aquí, quins problemes resol SDN, com funciona per dins i en quins escenaris reals s'està usant avui dia.

Origen i història de les xarxes definides per programari (SDN)

La història de SDN arrenca fa uns 20 anys, als inicis d'Internet comercial , quan l'èxit de la xarxa global va fer evident que les infraestructures de comunicacions s'havien de poder modificar i evolucionar amb molta més facilitat. A partir de llavors es poden distingir tres grans etapes que van preparant el terreny allò que avui anomenem SDN.

La primera etapa correspon a les xarxes actives (aprox. 1995-2000) . La idea era obrir la xarxa a la programació, de manera semblant a com es programa un PC, però aplicada a cada node de comunicacions. Per això es definia una API als dispositius de xarxa que exposava recursos com a capacitat de còmput, emmagatzematge, cues de paquets o funcions de processament, permetent carregar codi que aplicava comportaments personalitzats a determinats fluxos de trànsit.

Aquest enfocament xocava amb la visió dels qui defensaven que l'única manera que Internet escalés i continués funcionant era mantenir la xarxa tan simple com sigui possible. Tot i així, el programa de xarxes actives va impulsar avenços clau: reducció del cost computacional, millores en llenguatges de programació, apogeu de les màquines virtuals i, sobretot, la idea que la xarxa es podia tractar com una plataforma programable i no només com un conjunt de caixes tancades.

Un catalitzador important d'aquella època va ser el suport d'agències com DARPA, que va llançar l' Active Networks Program , actiu des de mitjans dels 90 fins a principis dels 2000. Tot i que les xarxes actives mai van arribar a desplegar-se massivament, van sembrar conceptes que més tard serien fonamentals per a SDN: funcions programables a la xarxa, virtualització de recursos i virtualització de recursos IDS, NAT, etc.).

Amb el canvi de dècada i el creixement brutal del trànsit, va començar la segona fase, centrada en la separació del pla de control i el pla de dades (2001-2007) . Els routers i switches tradicionals combinaven al mateix equip la lògica de control (elecció de rutes, protocols d'encaminament) i el pla de dades (reenviament efectiu de paquets), cosa que feia molt complicat depurar errors, ajustar enginyeria de trànsit o introduir nous serveis.

Per bregar amb aquest escenari, les operadores van començar a implementar el reenviament de paquets en maquinari especialitzat , mentre el control es mantenia més separat, i alhora buscaven maneres de gestionar xarxes cada vegada més grans i complexes, amb serveis com VPN i altres funcions avançades. D'aquí neixen dues línies d'innovació: d'una banda, interfícies obertes entre control i reenviament, com ara ForCES (IETF) o Netlink a Linux; de l'altra, arquitectures amb control lògic centralitzat, com ara RCP, SoftRouter o el protocol PCE, que permetien prendre decisions d'encaminament amb una visió global.

La tercera etapa arriba amb el projecte 4D i el posterior Ethane , que cristal·litzen la idea d'un controlador lògic central amb quatre plànols clarament definits: dades (processament de paquets segons regles), descobriment (recollida d'informació topològica i de trànsit), disseminació (instal·lació de regles de processament) i decisió (polítiques globals traduïdes). Ethane, desplegat en entorns reals com la Universitat de Stanford, va aportar un disseny de switch extremadament simple que es convertiria en la base del que avui coneixem com a OpenFlow.

Mentrestant, l'ecosistema d'experimentació també avançava: infraestructures com ara PlanetLab o Emulab, projectes com GENI o el programa europeu FIRE, i el Clean Slate Program de Stanford van fomentar proves a gran escala amb arquitectures de xarxa alternatives. En aquest brou de cultiu neix OpenFlow com una forma pràctica d'exposar capacitats de reenviament dels switches a un controlador extern mitjançant una API estàndard.

Una fita industrial rellevant va ser la demostració d' Avaya el 2014 , on es combinava Shortest Path Bridging amb OpenStack per construir xarxes definides per programari gairebé sense configuració manual. I, a poc a poc, gràcies a simples actualitzacions de microprogramari, molts switches comercials van començar a suportar OpenFlow sense necessitat de canviar el maquinari.

Problemes de les xarxes tradicionals que resol SDN

Les xarxes convencionals, basades gairebé en exclusiva en equips físics configurats un per un , estan arribant als seus límits davant de les necessitats actuals d'empreses, proveïdors de serveis i usuaris finals. El seu taló principal d'Aquil·les és la complexitat acumulada durant anys.

Per cobrir totes les casuístiques, la indústria ha anat sumant protocols de xarxa cada cop més específics que solucionen problemes concrets (seguretat, eficiència, redundància…), però normalment dissenyats en aïllament. El resultat és un embull de mecanismes que cal coordinar a mà, sense capa d'abstracció comuna que simplifiqui el conjunt.

Quan una organització vol aplicar polítiques coherents a tota la xarxa -per exemple, qui pot accedir a quins recursos-, els administradors han de tocar centenars o milers de dispositius . Una cosa tan simple com afegir una màquina virtual nova pot implicar modificacions en nombroses llistes de control d'accés (ACL) repartides per tot l'entorn, amb risc d'errors humans i retards d'hores.

La manca d'escalabilitat és un altre problema seriós. L'auge dels centres de dades, el creixement d'usuaris i l'augment del trànsit obliguen a sumar cada cop més dispositius. Cada equip addicional implica més configuració, més gestió i més punts potencials de fallada. Mantenir tot això alineat amb les necessitats de negoci es torna una tasca hercúlia.

A nivell econòmic, les organitzacions pateixen una forta dependència dels cicles de producte dels fabricants . Si es necessita una funcionalitat nova a la xarxa, sovint no n'hi ha prou amb actualitzar programari: cal esperar que el proveïdor llanci el model adequat, passin les certificacions internes, s'adquireixi l'equip, es desplegarà... Un procés que es pot allargar anys i frenar la innovació.

Per si no n'hi hagués prou, les tendències recents compliquen encara més la foto: apareixen patrons de trànsit molt més heterogenis , amb fluxos màquina a màquina, bases de dades distribuïdes, microserveis i usuaris que es connecten des de qualsevol lloc amb mòbils, tablets i portàtils. La càrrega de treball dels administradors augmenta, intentant protegir dades sensibles mentre el perímetre clàssic de la xarxa pràcticament desapareix.

A això se suma el creixement dels serveis al núvol (SaaS, IaaS, PaaS) , que demanen provisió ràpida, escalat dinàmic de còmput, emmagatzematge i xarxa, així com requisits de seguretat més sofisticats. L'auge de big data exigeix ​​amplades de banda massives i una capacitat de transport entre milers de servidors que les xarxes tradicionals no sempre poden seguir.

Què és realment SDN i com ho soluciona

SDN apareix com una nova arquitectura pensada per donar flexibilitat, control centralitzat i programabilitat a la xarxa, traspassant la complexitat al programari i traient-la al maquinari. Ja no es tracta d'anar-hi dispositiu per dispositiu, sinó de definir el comportament desitjat de la xarxa des d'una capa lògica superior.

El principi clau és la separació del pla de control i el pla de dades . El plànol de dades (data plane) s'encarrega de moure els paquets a tota velocitat entre els punts finals; el pla de control (control plane) decideix com i per on han de circular aquests paquets, aplicant polítiques, rutes i regles. A SDN aquests plans es desacoblen i el control es concentra en un o diversos controladors lògics.

Entre tots dos s'estableix una interfície ben definida, habitualment mitjançant un protocol estàndard com OpenFlow . Gràcies a aquesta interfície, el controlador pot instal·lar, modificar o eliminar regles de reenviament als switches i routers, que passen a comportar-se com a dispositius programables i no com a caixes tancades. OpenFlow no és l'únic protocol possible, però sí el més estès i el que ha marcat l'estàndard de facto.

Damunt dels controladors, les aplicacions SDN usen APIs cap al nord (northbound APIs) per expressar quin comportament necessiten de la xarxa : prioritzar cert trànsit, segmentar departaments, balancejar càrregues, millorar la qualitat de servei, reaccionar davant un atac de denegació de servei, etc. El controlador tradueix aquestes peticions d'alt nivell en regles concretes de reenviament que s'apliquen al plànol de dades.

En altres paraules, SDN converteix la xarxa en una plataforma on es poden desenvolupar aplicacions i serveis com si fossin programari pur , oblidant-se dels detalls de cada model d'equip o de cada protocol de baix nivell. Aquesta abstracció facilita l'automatització, redueix errors i permet adaptar-se molt més de pressa a canvis a la demanda.

Arquitectura SDN: controladors, APIs i components clau

Una xarxa SDN típica s'estructura en diverses capes lògiques i components ben diferenciats. El cor de tot és el controlador SDN , que actua com a cervell de la xarxa, recollint informació del plànol de dades i aplicant les decisions de les aplicacions.

El controlador manté una vista abstracta de la xarxa: topologia, capacitats de cada dispositiu, estadístiques de trànsit, estats dels enllaços, etc. Amb aquesta informació, i recolzant-se en mòduls plug-in que es poden activar o desactivar (gestió d'inventari, recol·lecció d'estadístiques, mòduls de seguretat, balanceig de càrrega…), pren decisions i les comunica als dispositius a través de la interfície cap al sud (southbound API), generalment OpenFlow o altres protocols com OV.

Els dispositius del pla de dades -switches físics, commutadors virtuals, routers- implementen el que l'ONF anomena SDN Datapath : un conjunt de motors de reenviament i funcions de processament de trànsit exposats de forma lògica. Dins de cada datapath hi ha un agent de la interfície de control (CDPI agent) que rep les instruccions del controlador i les tradueix a regles a les taules de flux oa accions específiques de maquinari.

A la part superior de l'arquitectura hi ha les aplicacions SDN . Són programes que parlen amb el controlador mitjançant APIs cap al nord (NBI) i expressen necessitats de negoci o tècniques: gestió d'adreces IP (IPAM), orquestració de serveis, control de qualitat de servei (QoS), sistemes de defensa davant d'atacs DoS, eines d'analítica avançada, etc. Cada aplicació conté la seva pròpia lògica i un o més NBI per interactuar amb el controlador.

Entre aquests blocs se situa la interfície de control a plànol de dades (CDPI) , que és la responsable d'oferir programabilitat sobre el reenviament, anunciar capacitats dels dispositius, exposar estadístiques i notificar esdeveniments. Els controladors implementen drivers daquesta interfície i els dispositius implementen agents, de manera que cada parell driver/agent configura una relació concreta entre la infraestructura física i les aplicacions.

A més d'aquestes tres capes principals, l'ONF identifica un pla de gestió i d'administració que cobreix tasques més estàtiques: assignació de recursos a clients, configuració bàsica d'equips físics, gestió de credencials i associacions entre entitats lògiques i físiques. Aquestes tasques solen gestionar-se fora del cicle dinàmic de control de trànsit.

Interfícies nord i sud, i models de programació de fluxos

L'API cap al sud (southbound API) és la que connecta el controlador amb el maquinari o els datapaths . OpenFlow va ser la primera interfície àmpliament adoptada: defineix com el controlador instal·la entrades a les taules de fluxos dels switches, com recull estadístiques, com es notifiquen esdeveniments com a paquets sense coincidència, etc. Altres alternatives com ara Cisco OpFlex proposen models diferents, però amb la mateixa idea bàsica de permetre a un element central influir en el comportament dels dispositius.

L'API cap al nord (northbound API) és la que permet a les aplicacions parlar amb el controlador i rebre una vista abstracta de la xarxa. Aquí no hi ha un estàndard tan consolidat com OpenFlow: hi ha moltes propostes i llibreries situades a diferents capes de la pila (REST, gRPC, SDKs específics, models basats en intent, etc.), i precisament per aquesta diversitat l'ONF ha posat molt èmfasi a definir millors pràctiques i convergir cap a enfocaments compatibles.

A nivell de funcionament, els controladors poden seguir un model proactiu, reactiu o híbrid per instal·lar regles de flux als dispositius. A l'enfocament reactiu, el switch consulta el controlador quan rep un paquet que no coincideix amb cap entrada de la taula; el controlador respon amb instruccions i, si escau, crea una regla nova per a futurs paquets similars.

En el model proactiu, el controlador instal·la per endavant regles per als fluxos esperables , de manera semblant a com s'emplenen les taules d'encaminament tradicionals. Així, es minimitzen les consultes en temps real i es redueix la latència de les primeres comunicacions. Molts desplegaments reals combinen tots dos models, sent reactius davant de trànsit imprevisible i proactius per als fluxos ben coneguts.

La veritable força de SDN està en la programabilitat que proporcionen aquestes API obertes . Gràcies a elles, és possible ajustar rutes dinàmicament segons la càrrega, prioritzar trànsit crític, automatitzar la resposta davant de fallades o incidents de seguretat, o fins i tot permetre que les pròpies aplicacions negociïn amb la xarxa les condicions que necessiten (amplada de banda, latència màxima, nivell de redundància, etc.).

Casos d'ús de la programabilitat a SDN

Per aterrar el concepte de programabilitat de la xarxa, se sol parlar de tres grans casos d'ús que il·lustren com s'aprofita SDN a la pràctica . El primer és l'ajust fi de fluxos: amb protocols tipus OpenFlow el controlador pot decidir, gairebé al vol, quins camins han de seguir determinats tipus de trànsit, equilibrant càrrega entre enllaços, evitant congestions o aplicant polítiques de seguretat més estrictes on calgui.

El segon gran cas està en el suport avançat a les aplicacions . En comptes que la xarxa sigui cega al que fan les aplicacions, aquestes poden exposar les seves necessitats (per exemple, baixa latència per a veu o vídeo, alta amplada de banda per a certes transferències, aïllament rígid entre clients) i el controlador adapta la configuració per complir-les. A més, l'automatització de desplegaments –especialment en entorns cloud i de virtualització massiva– permet aixecar ràpidament nous serveis sense que un administrador hagi d'anar canviant paràmetres a mà.

El tercer eix és l' automatització de l'operació de xarxa . En un escenari SDN ben dissenyat, la xarxa pot reaccionar sola davant de molts esdeveniments: si cau un enllaç, es recalculen rutes; si apareix un patró de trànsit sospitós, s'apliquen regles de bloqueig o redirecció cap a sistemes d'anàlisi; si s'activa una aplicació nova, la xarxa reserva recursos de forma automatitzada. El rol de l'administrador passa de canviar ordres a definir polítiques d'alt nivell i supervisar que tot es compleix.

Avantatges de SDN per a les organitzacions

La proposta de valor de SDN es tradueix en una sèrie d' avantatges molt clars per a empreses i proveïdors de serveis . Una de les més destacades és la gestió centralitzada: des del controlador es poden definir polítiques daccés, regles de seguretat, prioritats de trànsit o aprovisionament de serveis per a tota la xarxa, sense anar dispositiu per dispositiu ni dependre de la interfície particular de cada fabricant.

En termes d'escalabilitat, SDN ofereix una enorme agilitat. Els administradors poden afegir o treure dispositius virtuals, segmentar xarxes, connectar sucursals o centres de dades i ajustar rutes gairebé en temps real, sovint integrats amb plataformes d'orquestració cloud. Tot això sense gairebé tocar la infraestructura física subjacent, que es manté com un substrat relativament estable.

Un altre avantatge important és la visibilitat global del comportament de la xarxa . En centralitzar la informació al controlador o en un domini de controladors coordinats, s'obté un panell complet del rendiment, dels colls d'ampolla, dels fluxos actius i de possibles amenaces. Aquesta visibilitat facilita no només l'operació del dia a dia, sinó també la planificació de capacitat i la detecció primerenca de problemes.

Des de la perspectiva econòmica, SDN ajuda a reduir tant el CAPEX com lOPEX. D'una banda, permet reutilitzar gran part del maquinari existent , ja que molts switches poden habilitar funcions SDN amb simples actualitzacions de microprogramari. Per altra banda, l'automatització disminueix el temps que el personal dedica a tasques repetitives de configuració, redueix errors humans i simplifica el manteniment i les actualitzacions.

L'últim gran bloc de beneficis té a veure amb la innovació i la rapidesa de resposta . En desacoblar maquinari i programari, les organitzacions poden crear nous serveis, experimentar amb models de negoci diferents o adaptar la xarxa a nous requeriments (cloud híbrida, IoT, informàtica perimetral, big data) sense estar lligades al ritme de llançament de productes d'un fabricant concret.

Desavantatges i reptes de les xarxes SDN

SDN no és una panacea i també arrossega desafiaments que cal tenir molt presents a l'hora de dissenyar i operar aquest tipus de xarxes. Un dels més citats és la vulnerabilitat potencial del controlador: en concentrar tanta lògica i decisions, es converteix en un punt crític la caiguda o compromís del qual pot arrossegar tot el sistema.

Això obliga a desplegar mecanismes d'alta disponibilitat, redundància i commutació per error , així com controls d'accés molt estrictes. Els atacs de denegació de servei (DDoS) contra el controlador, per exemple, s'han de mitigar amb capacitat suficient perquè la xarxa no quedi “cega” davant d'esdeveniments importants.

Un altre repte és el possible augment de latència i complexitat quan creix el nombre de dispositius i fluxos. Si el controlador ha de gestionar massa interaccions amb el plànol de dades, es pot veure sobrecarregat. Una arquitectura SDN ben dimensionada ha de repartir funcions, mantenir part del control en els elements distribuïts quan té sentit (per exemple, recuperació ràpida davant errors locals) i escalar horitzontalment els controladors.

En el pla de seguretat, encara que SDN aporta millor visibilitat, també no té per defecte alguns mecanismes que solien venir integrats en routers, switches o tallafocs físics tradicionals. És imprescindible protegir les comunicacions entre controlador, aplicacions i dispositius, garantir autenticitat i integritat, i dissenyar un entorn robust de definició de polítiques que permeti verificar que s'aplica exactament allò que es pretén.

A més, resulta crític establir processos per a anàlisis forenses de la xarxa : registre detallat d'esdeveniments, traçabilitat de canvis i capacitat de reconstruir què va passar en cas d'incident. Tot això ha de conviure amb el dinamisme propi de SDN, evitant que la seguretat es converteixi en un coll dʻampolla però sense deixar zones fosques.

Papers de l'ONF i altres actors a l'ecosistema SDN

L' Open Networking Foundation (ONF) té un paper fonamental en l'evolució de SDN. És una organització impulsada per usuaris finals (operadores, grans corporacions) amb l'objectiu de promoure l'adopció de xarxes definides per programari mitjançant estàndards oberts i processos col·laboratius.

L'ONF ha estat l'encarregada de definir, mantenir i evolucionar l'estàndard OpenFlow , que va ser el primer estàndard SDN reconegut i continua essent un element central a moltes arquitectures. Però la seva tasca va més enllà: lidera grups de treball que analitzen requeriments de desplegaments comercials, proposen noves interfícies, models de dades i terminologia i fomenten un ecosistema de múltiples proveïdors.

Paral·lelament, empreses tecnològiques i fabricants d'equips han desenvolupat les seves pròpies plataformes SDN i enfocaments híbrids. Alguns, com a solucions basades en controladors lògicament centralitzats tipus Blue Planet de Ciena, combinen funcions centralitzades (visibilitat extrem a extrem, polítiques, ample de banda) amb capacitats distribuïdes en els elements de xarxa per a recuperació de fallades, monitorització local o seguretat.

Aquest enfocament híbrid reflecteix una realitat pràctica: no tot el control ha de pujar al controlador central, i és convenient que certs mecanismes de reacció ràpida continuïn residint a prop del trànsit, mentre que la intel·ligència més complexa i l'orquestració es gestionen de manera centralitzada i programable.

SDN, virtualització de xarxa i casos dús reals

A moltes organitzacions, SDN s'adopta juntament amb tècniques de virtualització de xarxa per crear xarxes superposades (overlays) sobre la infraestructura física existent. Aquestes xarxes virtuals poden segmentar diferents entorns (producció, desenvolupament, clients diferents) aprofitant el mateix maquinari subjacent, o bé interconnectar diverses xarxes físiques com si fossin una sola entitat lògica.

Aquest enfocament és especialment potent quan s'integra amb serveis de cloud computing tipus SaaS, IaaS i PaaS . La xarxa definida per programari es coordina amb plataformes d'orquestració perquè el cicle complet d'aprovisionament -màquines virtuals, emmagatzematge, xarxa, seguretat- es faci de manera coherent, ràpida i automatitzada, moltes vegades mitjançant APIs.

En grans empreses i operadors, SDN s'utilitza per construir WAN corporatives més intel·ligents , en què es gestiona de forma fina el trànsit entre seus, centres de dades i núvols públics. Google, per exemple, fa anys que utilitza SDN per interconnectar els seus centres de dades globals i ha col·laborat amb l'ONF en la definició de noves interfícies de control més enllà d'OpenFlow.

A l'entorn de centres de dades, SDN és una peça clau per aconseguir escalat ràpid i eficient : permetre que un nou centre de dades quedi operatiu en hores i que els recursos de xarxa es provisionin en minuts. També facilita la implantació dentorns IoT a gran escala, gestionant milers de dispositius i sensors distribuïts sense que la complexitat es dispari.

Finalment, SDN s'emmarca en una tendència més àmplia d' infraestructures definides per programari , on no només la xarxa sinó també l'emmagatzematge (SDS) i altres recursos es controlen des de plànols de control lògics, independents del maquinari específic. Això dóna a les organitzacions més portabilitat, agilitat i capacitat per moure càrregues de treball entre el núvol i les instal·lacions pròpies segons convingui en cada moment.

Amb tot aquest recorregut històric, tècnic i pràctic, SDN es consolida com una manera diferent d'entendre les xarxes: més propera al món del programari, centrada en l'automatització i la programabilitat, i capaç de respondre al repte del creixement del trànsit, el núvol, el big data i l'IoT sense obligar a multiplicar indefinidament el maquinari ni la complexitat operativa.