RESEAU SAN IP - MEILLEURES PRATIQUES

Transcription

1 RESEAU SAN IP - MEILLEURES PRATIQUES Baie de stockage PowerVault MD3000i

2 TABLE DES MATIERES Table des matières INTRODUCTION... 3 OVERVIEW ISCSI... 3 IP SAN DESIGN... 4 BEST PRACTICE - IMPLEMENTATION... 5 REDUNDA NCY... 5 SECURITY... 6 IP SAN NETWORK CONFIGURATION... 7 IP SAN OPTIMIZATION... 8 SUMMARY Septembre 08Page 2

3 INTRODUCTION Le présent document a été rédigé pour vous aider à optimiser vos réseaux SAN IP intégrant une ou plusieurs baies de stockage Dell MD3000i. Les meilleures pratiques qu'il contient sont en fait des recommandations destinées à vous offrir un environnement SAN MD3000i hautes performances et résistant aux pannes, d'où la garantie de tirer le meilleur parti du stockage en réseau IP. Ces recommandations peuvent être appliquées en fonction des exigences propres à l'environnement dans lequel sont installées votre ou vos baies de stockage. Notez toutefois que l'ensemble des recommandations mentionnées peut ne pas convenir à toutes les installations. Ces meilleures pratiques ont été établies à partir de solutions s'appuyant sur les technologies Dell Inc. PRESENTATION DU PROTOCOLE iscsi Le protocole iscsi est un protocole de stockage de niveau bloc qui permet aux utilisateurs de créer un réseau de stockage à l'aide de la structure Ethernet. Le protocole iscsi se sert de cette dernière pour acheminer les données des serveurs jusqu'aux périphériques ou réseaux de stockage. Cette caractéristique avantageuse affranchit le protocole iscsi des problèmes de complexité et de limites en termes de distance que posent généralement les autres protocoles de stockage. Grâce à ce protocole, les commandes SCSI standard sont transformées en données TCP, puis transférées via le réseau Ethernet habituel. Un réseau SAN iscsi se compose des éléments suivants : serveurs (avec adaptateur de bus hôte ou carte d'interface réseau), unités multidisque et bibliothèques de bandes. A la différence des autres technologies SAN, le protocole iscsi utilise des commutateurs, routeurs et câbles Ethernet standard ainsi que le même protocole Ethernet que celui déployé pour l'acheminement du trafic sur les réseaux LAN, à savoir le protocole TCP/IP. Il peut par conséquent bénéficier de la même technologie de commutation, routage et câblage que celle utilisée pour ce type de réseau. Le protocole iscsi se servant de commandes SCSI et faisant appel à la structure Ethernet uniquement pour assurer leur transport, les périphériques connectés à la fonction iscsi sont considérés comme des périphériques SCSI par les systèmes d'exploitation, lesquels n'ont par ailleurs pas conscience, le plus souvent, qu'ils se trouvent à différents endroits. La plupart des composants iscsi sont en outre très connus des professionnels des réseaux ; contrôleurs RAID, disques SCSCI ou Fibre Channel. En fait, le protocole iscsi correspond à la seule fonctionnalité supplémentaire. Il peut être exécuté à partir de cartes d'interface réseau Septembre 08Page 3

4 standard intégrées à des logiciels ou à partir de puces iscsi ou d'adaptateurs de bus hôte dédiés, chargés du déchargement des protocoles TCP/IP et iscsi. Le protocole ISCSI a été développé à partir des deux protocoles les plus largement répandus : SCSI d'une part pour le stockage, et TCP d'autre part pour le réseautage. La maîtrise, le développement et l'intégration de l'un comme de l'autre sont le résultat de nombreuses années de recherche. Les réseaux IP offrent quant à eux le nec plus ultra en termes de facilité d'administration, d'interopérabilité et de rentabilité. CONCEPTION D'UN RESEAU SAN IP Dans la réalité, l'infrastructure réseau des réseaux SAN IP se compose d'un ou plusieurs commutateurs réseau ou dispositifs équivalents (routeurs, commutateurs, etc.). Dans le cadre du présent livre blanc, nous supposerons qu'elle comporte au moins un périphérique de commutation ou de routage. Bien qu'il soit possible de connecter les baies de stockage MD3000i aux hôtes sans recourir à un réseau, ce type de connexion ne sera pas abordé dans le présent livre blanc, ce thème ne faisant pas partie de ses objectifs. En résumé, les réseaux SAN IP se composent d'un ou plusieurs hôtes connectés à une ou plusieurs baies de stockage via un réseau IP et intègrent au moins un commutateur dans leur infrastructure. Plusieurs paramètres sont à prendre en compte lors de la conception des réseaux SAN IP. L'importance qui doit être accordée à chacun de ces paramètres varie en fonction de la mise en œuvre choisie pour ces réseaux. Ces paramètres sont notamment les éléments suivants : 1. Redondance : si les données doivent être disponibles en permanence, le réseau SAN IP doit être résistant aux pannes. 2. Sécurité : selon la mise en œuvre choisie pour le réseau SAN IP, différents mécanismes de sécurité peuvent être pris en compte, entre autres les réseaux dédiés, l'authentification CHAP, les mots de passe pour baies, etc. 3. Infrastructure réseau : les composants de l'infrastructure réseau tels que les cartes d'interface réseau, les adaptateurs de bus hôte, les commutateurs, les câbles, les routeurs, etc., sont susceptibles de modifier les performances et la facilité de maintenance des réseaux SAN IP. 4. Optimisation : en fonction de l'application envisagée, les performances des réseaux SAN IP peuvent être améliorées grâce à divers réglages, entre autres en permettant l'utilisation de moteurs de déchargement matériels, de trames jumbo, etc. Septembre 08Page 4

5 MEILLEURES PRATIQUES MISE EN ŒUVRE En fonction des exigences auxquelles ils doivent répondre, des ressources disponibles et de l'application envisagée, les réseaux SAN IP peuvent être mis en œuvre d'un grand nombre de manières différentes. L'utilisation d'une procédure cohérente et représentative pour attribuer un nom aux baies de stockage constitue par exemple un point important, mais facilement occulté, qui permet pourtant de simplifier la gestion de la mise en œuvre des réseaux SAN IP. Une telle procédure peut se révéler particulièrement utile dans le cadre de réseaux SAN auxquels plusieurs baies de stockage sont connectées. La fonctionnalité de clignotement du gestionnaire MD Storage Manager peut quant à elle être utilisée pour l'identification physique de chaque baie de stockage connectée. Certaines des directives générales à suivre lors de la mise en œuvre des réseaux SAN IP sont présentées ci-dessous. S'agissant uniquement de directives générales, elles peuvent ne pas convenir à toutes les applications. Redondance La fonction de redondance est en principe assurée via un second ensemble d'unités matérielles et voies de communication qui prennent le relais en cas de panne de l'un des éléments du système principal. Dans le cadre des réseaux SAN IP, cette fonction peut être assurée en utilisant deux contrôleurs au niveau des baies et deux commutateurs distincts pour le réseau iscsi. Le schéma ci-dessous illustre, de manière simplifiée, comment doter une baie Dell PowerVault MD3000i d'une fonction de redondance. Les explications données ensuite présentent plus en détail les avantages d'une telle solution. Septembre 08Page 5

6 2650 PowerEdge 2650 PowerEdge RESEAU SAN IP - MEILLEURES PRATIQUES Schéma 1 : Configuration entièrement redondante de la baie MD3000i Infrastructure réseau physique : les réseaux SAN IP entièrement redondants sont caractérisés par l'existence de plusieurs chemins d'accès des données iscsi indépendants reliant les hôtes aux baies de stockage. Chaque chemin d'accès des données doit figurer sur un sous-réseau distinct. Configuration iscsi : dans le cadre d'une cible iscsi telle que la baie MD3000i, nous vous recommandons d'établir, à partir de chaque hôte, plusieurs sessions jusqu'au sous-système de stockage. A cette fin, une session par port doit être configurée, reliant chaque carte réseau à chaque contrôleur RAID. Cette méthode permet de redémarrer une session en cas de panne de l'une des liaisons sans qu'aucune autre des liaisons établies ne soit affectée. RAID : le niveau RAID le plus adapté doit être choisi en fonction des applications utilisées. Le niveau RAID 1 ou supérieur offre un certain degré de redondance, utile en cas de défaillance des disques physiques. Le niveau RAID à adopter dépend des applications utilisées. Cet aspect doit être pris en compte lors de la configuration des baies de stockage MD3000i. Alimentation : chaque composant redondant des chemins d'accès des données doit être alimenté par une source d'alimentation distincte. Le respect de cette consigne garantit qu'en cas de défaillance de l'un des composants suite à un problème au niveau de l'alimentation électrique, le chemin auxiliaire correspondant pourra continuer à fonctionner. De la même manière, les deux blocs d'alimentation des baies MD3000i doivent être connectés à deux sources d'alimentation également distinctes. Septembre 08Page 6

7 Sécurité Dans le cadre des réseaux SAN IP, la meilleure solution pour garantir la sécurité des données consiste à mettre en œuvre un réseau indépendant, isolé physiquement, réservé au trafic iscsi. Outre optimiser la sécurité des données, le fait de disposer d'un réseau spécialement dédié au trafic lié au stockage présente l'avantage d'éviter les encombrements réseau résultant du reste du trafic. VLAN : lorsque, pour une raison ou une autre, il n'est pas possible de déployer ce type de réseau isolé physiquement, l'utilisation de réseaux virtuels peut permettre d'isoler le trafic iscsi du reste du trafic réseau. Il est alors conseillé d'activer le marquage VLAN. Les baies de stockage MD3000i prennent en charge cette fonction. Un port spécifique peut être chargé de l'acheminement de tous les paquets IP marqués ou de tous les paquets IP non marqués. Remarque : pour éviter tous risques de comportements non cohérents, les réseaux VLAN doivent être activés sur l'ensemble des composants du réseau SAN iscsi, à savoir sur ses cartes d'interface réseau, commutateurs et ports iscsi. Afin de simplifier la résolution des problèmes susceptibles de survenir lors de déploiements initiaux, assurez-vous du parfait fonctionnement des cartes d'interface réseau, commutateurs et baies de stockage MD3000i avant d'activer la fonctionnalité VLAN sur la totalité du réseau. Authentification CHAP : pour un accès sécurisé entre les hôtes et baies de stockage, l'authentification CHAP mutuelle cible doit être activée sur les premiers comme sur les seconds. Gage d'une sécurité optimale, les directives standard de définition des mots de passe CHAP doivent être respectées. Nous vous recommandons d'attribuer un mot de passe à chacun des périphériques appartenant au réseau SAN IP. Nous vous conseillons également de définir des mots de passe robustes, conformes aux directives informatiques standard définies dans ce domaine. Infrastructure réseau des réseaux SAN IP Certaines des directives générales à suivre lors de la mise en œuvre des réseaux SAN IP sont présentées ci-dessous. S'agissant uniquement de directives générales, elles peuvent néanmoins ne pas convenir à toutes les applications. Pratiques générales appliquées au réseau : assurez-vous que le calibre des câbles choisis est conforme aux exigences de la structure Ethernet gigabit (CAT5e, CAT6). Concevez votre réseau de telle sorte que le nombre de sauts entre baies et hôtes soit le moins élevé possible. Le respect de cette consigne présente de nombreux avantages puisqu'elle permet de réduire considérablement les points de défaillance, de simplifier l'administration et de diminuer la latence et complexité de l'architecture réseau, en particulier dans le domaine de la redondance. Nous vous recommandons de faire appel à des commutateurs gérés car ils sont pourvus de fonctionnalités avancées qui vous aideront à optimiser votre réseau en fonction de l'application Septembre 08Page 7

8 choisie et faciliteront sa maintenance. Nous vous conseillons également d'utiliser uniquement la négociation automatique, les réseaux Ethernet gigabit étant conçus pour que cette fonction soit toujours activée. Modifier les options d'annonce des commutateurs permet de répondre aux exigences spécifiques de certaines applications, notamment en termes de vitesse et de mode bidirectionnel. Spanning Tree Protocol : nous vous conseillons de désactiver le protocole STP (Spanning-Tree Protocol) sur les ports de commutateur qui relient les nœuds terminaux (initiateurs iscsi et interfaces réseau des baies de stockage). Si vous choisissez, en dépit de cette recommandation, d'activer le protocole STP, la fonctionnalité FastPort STP devra être également activée sur les ports concernés afin que ces derniers puissent basculer immédiatement en mode Transfert. Remarque : la fonctionnalité FastPort permet en effet de faire basculer immédiatement, c'est-àdire dès l'établissement des liaisons, les ports de commutateur en mode Transfert. Les ports continuent dans le même temps de prendre part aux échanges STP. Par conséquent, lorsqu'ils doivent être intégrés à une boucle, ils finissent par basculer en mode Blocage STP. Remarque : les commutateurs PowerConnect utilisent par défaut le protocole RSTP (Rapid Spanning Tree Protocol). Fruit d'améliorations apportées au protocole STP, ce nouveau protocole offre une interconnexion arborescente par chemin critique plus rapide et doit donc à ce titre être préféré à son prédécesseur. Remarque : pour les commutateurs reliés à l'aide d'un seul câble, l'utilisation d'une interconnexion arborescente par chemin critique est conseillée. Pour les commutateurs connectés à l'aide de plusieurs câbles, c'est en revanche le recours à l'agrégation qui est conseillé. TCP Congestion Avoidance : protocole de contrôle de flux de bout en bout, le protocole TCP Congestion Avoidance permet de limiter la quantité de données transmises entre les expéditeurs et récepteurs TCP. Afin de dimensionner les données envoyées aux récepteurs TCP, ce protocole fait appel à des fenêtres dynamiques. Il commence par les segments de petite taille, puis augmente progressivement la dimension des paquets à chaque segment envoyé dont la réception est acquittée, et ce jusqu'à ce que l'un des segments soit abandonné. Le protocole TCP Congestion Avoidance reprend alors l'opération depuis le début. Contrôle de flux Ethernet : nous vous recommandons d'activer le contrôle de flux sur les ports de commutateur chargés du trafic iscsi. En outre, lorsque les serveurs utilisent à la fois des initiateurs iscsi logiciels et des cartes d'interface réseau pour gérer le trafic iscsi, le contrôle de flux doit également être activé sur les cartes d'interface réseau pour bénéficier de l'amélioration des performances. Sur de nombreux réseaux, des déséquilibres peuvent survenir entre les périphériques qui expédient le trafic et les périphériques auxquels le trafic est destiné. Ce phénomène est souvent observé dans le cadre de configurations SAN où un grand nombre d'hôtes (initiateurs) est amené à communiquer avec les périphériques de stockage. Lorsque les expéditeurs envoient simultanément de grandes quantités de données, ces volumes peuvent excéder les capacités de débit des récepteurs. Dans un tel cas, il peut arriver que les récepteurs Septembre 08Page 8

9 abandonnent certains paquets de données, contraignant ainsi les expéditeurs à renvoyer les données concernées à échéance d'un certain délai. Bien que ce phénomène ne provoque pas de pertes des données, il provoque une augmentation de la latence à cause de la quantité de données renvoyées, d'où une détérioration des performances E/S. Remarque : le contrôle de flux est désactivé par défaut sur les commutateurs PowerConnect. Lorsque le flux de contrôle est activé, les baies de stockage MD3000i se configurent automatiquement en fonction des commutateurs. Contrôle de saturation des flux d'unidiffusion : la saturation des flux se produit suite à l'envoi d'un trop grand nombre de paquets sur le réseau, d'où alors un trafic trop important et donc une dégradation des performances. Beaucoup de commutateurs sont pourvus de fonctionnalités de contrôle de saturation du trafic qui empêchent que le fonctionnement des ports ne soit perturbé pas la survenue de ce genre de problème (saturation des flux diffusés, multidiffusés ou unidiffusés) au niveau des interfaces physiques. En général, ces fonctionnalités sont conçues pour se débarrasser des paquets de données réseau lorsque le trafic au niveau des interfaces atteint un certain pourcentage de la charge totale (ce taux est en principe défini par défaut à 80 %). Le trafic iscsi correspondant à des flux unidiffusés et étant capable d'utiliser l'intégralité des liaisons, nous vous recommandons de désactiver le contrôle de saturation des flux d'unidiffusion sur les commutateurs en charge du trafic iscsi. L'activation des contrôles de saturation des flux de diffusion et de multidiffusion est en revanche conseillée. Reportez-vous à la documentation fournie avec les commutateurs utilisés pour en savoir plus sur la procédure à suivre pour désactiver le contrôle de saturation des flux d'unidiffusion. Trames jumbo : nous vous recommandons d'activer les trames jumbo sur les ports de commutateur chargés du trafic iscsi. En outre, lorsque les hôtes utilisent à la fois un initiateur iscsi logiciel ainsi qu'un ensemble de cartes d'interface réseau pour gérer le trafic iscsi, les trames jumbo doivent également être activées sur ces cartes pour permettre l'amélioration des performances (ou bénéficier de la réduction du temps CPU) et garantir des comportements cohérents. Remarque : pour éviter tous risques de comportements non cohérents, les trames jumbo doivent être activées sur l'ensemble des composants du réseau SAN iscsi, à savoir sur ses cartes d'interface réseau, commutateurs et ports de baie de stockage. Afin de simplifier la résolution des problèmes susceptibles de survenir dans le cadre de déploiements initiaux, assurez-vous du parfait fonctionnement des cartes d'interface réseau, commutateurs et baies de stockage MD3000i avant d'activer les trames jumbo. Optimisation des réseaux SAN IP Lors de la conception des réseaux SAN IP, divers facteurs doivent être pris en compte, ainsi que l'application en cours. Dans ce domaine, un certain nombre de règles génériques peuvent être Septembre 08Page 9

10 observées. Afin d'optimiser le débit des données des baies de stockage, tous les ports doivent être utilisés. Si l'application est à forte intensité E/S, le recours à des cartes d'interface réseau chargées du déchargement du trafic iscsi est conseillé. Envisagez d'équilibrer manuellement l'appartenance des disques virtuels afin que le traitement des charges E/S soit bien réparti entre les différents contrôleurs. Sur les baies de stockage MD3000i, plusieurs contrôleurs peuvent être actifs simultanément, ce qui signifie que les accès E/S peuvent être traités en simultané par ces derniers. La conception asymétrique des contrôleurs signifie également que les disques virtuels ou unités logiques (LUN) sont leur «propriété». Par conséquent, les accès E/S à ces disques ne sont possibles que par leur intermédiaire. Pour utiliser au maximum les deux contrôleurs disponibles dans le cadre des accès E/S, la responsabilité de l'accès aux disques virtuels peut être répartie entre l'un et l'autre. L'appartenance des disques virtuels peut être modifiée pour mieux équilibrer les accès E/S, gage d'une meilleure utilisation de chacun de deux contrôleurs. L'accès redondant aux disques virtuels est assuré par des hôtes configurés à cette fin : lorsque l'accès E/S d'un hôte à un disque virtuel ne peut plus être assuré par le contrôleur propriétaire, le disque de basculement transfère alors la propriété à un autre contrôleur à même d'assurer l'accès E/S. Le schéma ci-dessous illustre l'architecture asymétrique active/active des baies de stockage MD3000i. La configuration présentée par ce schéma comporte deux disques virtuels, à savoir le disque virtuel 0 et le disque virtuel 1, propriété du contrôleur 0 et du contrôleur 1, respectivement. Le disque virtuel 0 est attribué à l'hôte 1 tandis que le disque virtuel 1 est attribué à l'hôte 2. Schéma 2 : Configuration des contrôleurs sur les baies de stockage MD3000i Septembre 08Page 10

11 2650 PowerEdge 2650 PowerEdge 2650 PowerEdge RESEAU SAN IP - MEILLEURES PRATIQUES L'appartenance des disques virtuels telle qu'elle est définie par l'architecture asymétrique garantit que l'hôte 1 accède au disque virtuel 0 via le contrôleur 0 et que l'hôte 2 accède au disque virtuel 1 via le contrôleur 1. Agrégation de la bande passante : les baies de stockage MD3000i permettent de connecter un seul hôte à un seul contrôleur via deux ports Ethernet, leur bande passante respective étant ensuite cumulée. Configurer le pilote iscsi des baies de stockage MD3000i à l'aide d'un gestionnaire de file d'attente Round Robin permet d'agréger tous les paquets envoyés au contrôleur. Ces paquets sont placés sur chaque liaison présente, doublant ainsi la bande passante disponible. Septembre 08Page 11 Schéma 3 : Baies de stockage MD3000i au sein d'un réseau Contrôlez l'architecture de votre réseau afin de vous assurer qu'elle ne présente pas de goulets d'étranglement entre les hôtes et baies de stockage. Certains des points abordés à la section

12 consacrée à la sécurité vous aideront également à optimiser votre réseau SAN IP, notamment le recours à des commutateurs distincts pour isoler physiquement le trafic de données iscsi ainsi que l'utilisation de réseaux VLAN avec activation de la fonctionnalité FastPort. Optimisation de la couche 2 : lorsqu'un réseau VLAN est configuré sur votre réseau, le recours à la fonction de marquage des réseaux virtuels peut se révéler utile pour acheminer les données iscsi. Les priorités peuvent être définies au sein du réseau VLAN lui-même, mais vous devez prendre en compte le reste du trafic lors de leur définition. Par exemple, lorsque vos données VOIP transitent via ce même réseau, vous devez vous assurer que la qualité de leur transmission n'est pas affectée par les priorités définies. Vous devez également comparer le trafic Internet global aux trafics iscsi et VOIP. Optimisation de la couche 3 : faire appel aux services différenciés ou services DiffServ pour assurer la gestion du trafic constitue une bonne solution. Quality of Service ou QoS correspond à la mise en œuvre propriétaire de ce type de service sur certains commutateurs. Les services DiffServ font appel au codet DSCP (Differentiated Services Code Point) afin de différencier les niveaux de service de chaque connexion IP. Ces contrats de niveau de services s'appuient sur des comportements par saut (PHB, Per Hop Basis). A ce titre, les flux de trafic sur le réseau interne de l'entreprise sont prévisibles. En revanche, les contrats de service cessent d'être valables dès que les liaisons WAN quittent le réseau interne. Quatre niveaux distincts sont en principe utilisés dans le cadre des services DiffServ. 1. PHB par défaut : pour un trafic optimisé 2. Expedited Forwarding (EF) PHB : pour un trafic à faibles perte et latence 3. Assured Forwarding (AF) : groupe de comportements 4. Class Selector PHB : définis pour assurer la rétrocompatibilité avec les champs de précédence IP. Afin de déterminer le niveau de service à utiliser, vous devez étudier les besoins des différentes applications connectées aux baies de stockage. Par exemple, si vos hôtes sont configurés de sorte à utiliser l'amorçage iscsi ou utilisent la virtualisation pour «masquer» les baies et que le SE invité s'initialise à partir d'un disque C: situé sur ces dernières, vous devez sélectionner le niveau EF, car le plus important est que les données soient effectivement transmises, or si le retard est trop important les hôtes risquent de se verrouiller. D'un autre côté, vous pouvez également souhaiter que tout le trafic en provenance d'internet soit défini sur la classe AF la plus petite possible afin d'épargner vos données critiques. RESUME Adaptés aux entreprises de toutes tailles, les réseaux SAN IP constituent des solutions de stockage professionnelles flexibles, faciles à déployer et à utiliser. En respectant les directives énoncées dans le présent livre blanc ainsi que les meilleures pratiques informatiques existantes, Septembre 08Page 12

13 vous pourrez obtenir une solution de stockage hautement fiable et flexible pour vos données. Les réseaux professionnels doivent être conçus et édifiés dans la perspective de réseaux SAN IP, le trafic des données augmentant en même temps que les besoins dans ce domaine. Les recommandations figurant dans le présent livre blanc sont conçues précisément pour vous permettre de faire face plus facilement aux évolutions à venir. Septembre 08Page 13