LIVRE BLANC www.brocade.com VIRTUALISATION DES FONCTIONS RÉSEAU Les cinq erreurs majeures de la virtualisation
La virtualisation prend littéralement d assaut le monde de l informatique. Après des années d aménagements, la virtualisation apparaît soudainement comme la panacée, résolvant tout...depuis la surcharge du data center jusqu aux taux de cholestérol excessifs... Mais nombreux sont les responsables informatiques qui n en sont qu au tout début de cette virtualisation et se contentent de l utiliser uniquement selon les méthodes les plus simples. Si vous êtes dans ce cas, vous risquez de laisser votre réseau vulnérable aux attaques, de compliquer inutilement votre Plan de Reprise d Activité (PRA) et de doubler les dépenses d infrastructure réseau. Ce document décrit cinq erreurs communes à de nombreuses mises en oeuvre de la virtualisation en entreprise. La plupart de ces erreurs sont liées à la virtualisation et à l infrastructure réseau. Idéalement, après la lecture de ce document, vous serez sensibilisé à ces questions et vous pourrez en tenir compte pour planifier vos projets de virtualisation et les rendre plus performants. LES CINQ ERREURS MAJEURES DE LA VIRTUALISATION Erreur n 1 : Laisser le réseau non segmenté La virtualisation représente à la fois une opportunité et une menace. Elle peut générer d énormes économies en termes de biens d équipement et simplifier la gestion. Elle introduit cependant un nouvel élément logiciel dans l infrastructure informatique : l hyperviseur ou gestionnaire des machines virtuelles. Comme tout nouveau logiciel, l hyperviseur est porteur de risques potentiels. 1 Virtual System, Real Risk, Network World, 20 août 2007, p. 30. 2
Un défaut du système d exploitation peut compromettre toute application qui s y exécute, de même, un défaut de l hyperviseur peut compromettre chaque machine virtuelle s exécutant sur un système matériel. Il est donc important de développer une stratégie de sécurité qui couvre les risques associés à l hyperviseur lui-même, en particulier là où il interagit avec le réseau. Dans un récent sondage de Network World 1 plus de la moitié des lecteurs ayant estimé que la technologie de virtualisation ajoutait une nouvelle menace de sécurité, ont indiqué qu ils contraient cette menace en augmentant la segmentation du réseau. Là où la plupart des solutions réseau exigeraient le déploiement d équipements additionnels pour résoudre ce problème, la solution de réseau logicielle de Brocade met en oeuvre des fonctions de routage et de sécurité avancées pour segmenter un réseau existant au sein d un environnement virtualisé. Vyatta filtre facilement le trafic entre les différents sous-réseaux et les différentes routes entre chaque VLAN. Avec ces fonctions vous pouvez allouer des segments réseau séparés à chacune des applications s exécutant dans un environnement virtualisé et empêcher ainsi qu une éventuelle violation de sécurité ne se propage au-delà de la première intrusion. La figure 1 montre un data center segmenté. Machines virtuelles Le routeur/coupe-feu connecte les VLAN et filtre le trafic de façon appropriée. Segment VLAN VLAN dédiés à des applications Figure 1. La solution Brocade Vyatta peut être utilisée pour renforcer la sécurité du data center en segmentant le réseau local en plusieurs VLAN séparés dédiés à des applications et en assurant des fonctions de pare-feu entre ces VLAN. S il est vrai que de nombreux routeurs et pare-feu peuvent vous aider à segmenter votre réseau, la solution de Brocade le fait quant à elle pour un coût largement inférieur à celui des autres solutions. En effet, comme la solution de Brocade repose sur des plates-formes x86, vous disposez de multiples options de déploiement et vous réalisez des économies de plusieurs façons : Vous bénéficiez du faible coût de l écosystème x86 ce qui vous permet d économiser sur l achat initial d un châssis, d interfaces réseau, de mémoire et d autres composants. Parce que vous utilisez du matériel standard, vous pouvez généralement partager les composants entre votre pare-feu/routeur et les autres serveurs du data center et réduire ainsi le coût des pièces tout en augmentant la disponibilité. Il est facile de déployer Brocade Vyatta sur des serveurs lame, des montages en racks ou des systèmes en tour ce qui vous permet d intégrer la solution Brocade à votre plan d infrastructure physique global. Avec des lames, vous pouvez partager les blocs d alimentation et les ventilateurs avec le reste de l infrastructure et améliorer ainsi l efficacité générale. 3
Erreur n 2 : Virtualiser uniquement les serveurs Aujourd hui, la plupart des gens considèrent la virtualisation comme une technologie de serveurs et c est en effet ainsi qu elle a commencé. Toutefois, si vous vous arrêtez au serveur, vous êtes loin de profiter de tous les avantages de la virtualisation. Pensez à virtualiser les fonctions réseau également. En fait, certaines des plus grandes économies en matière de dépenses d investissement proviendront de la virtualisation du réseau. Parce que Brocade Vyatta s exécute sur des plates-formes x86 standard, contrairement aux produits réseau propriétaires, la solution peut être virtualisée avec les mêmes hyperviseurs (VMware, XenSource, Hyper-V, Red Hat KVM, etc.) que les systèmes d exploitation de serveurs tels que Windows et Linux. Brocade Vyatta permet donc de virtualiser l ensemble de l infrastructure associée à une application donnée, y compris les composants réseau. Vous pouvez virtualiser Brocade Vyatta en plaçant plusieurs instances sur un seul élément matériel, chacune de ces instances servant une application différente, comme le montre la figure 2. Cette approche fonctionne bien pour les grands data centers et les applications mises en oeuvre avec plusieurs niveaux de serveurs, virtualisés ou non. Plusieurs machines virtuelles sur un seul système matériel, chacune exécutant Vyatta avec différents services configurés Plusieurs applications Figure 2. Avec la virtualisation, vous pouvez exécuter plusieurs copies de Brocade Vyatta sur le même élément matériel, chacune de ces copies servant une application différente. Si l ensemble de l application est déployé sur un seul serveur, la configuration illustrée sur la figure 3 peut être plus appropriée. Dans cette configuration, l infrastructure réseau virtualisée partage le matériel avec la machine virtuelle dédiée à l application. Ce type de déploiement de Brocade Vyatta peut fournir une solution de sécurité efficace, mettant en œuvre des services de pare-feu et de VPN. C est une technique particulièrement utile lors de l ajout de services de sécurité aux applications utilisées sur Internet, par exemple les serveurs de messagerie Microsoft Exchange. Cette technique peut également sécuriser les communications pour une application particulière en plaçant un VPN entre l application et les postes clients. 4
Figure 3. Vous pouvez virtualiser la solution Brocade Vyatta et la placer sur le même matériel qu une application pour fournir des services de réseau et de sécurité. Erreur n 3 : Oublier de virtualiser les agences Dans un rapport d octobre 2006 portant sur l évolution des agences, (The Evolving Branch Office: Intelligently Reducing Your Network Infrastructure Footprint), Forrester Research étudie l énorme poussée vers la consolidation des agences. En décrivant certaines des meilleures pratiques dans ce domaine, Forrester répertorie les défis associés à la consolidation de type prêt à l emploi des agences. S il existe effectivement des solutions permettant de réaliser une intégration substantielle des fonctions, Forrester, dans son étude, précise : de façon réaliste, nous ne voyons aucune solution tout-en-un pour la consolidation des agences. En dépit de cette estimation très pragmatique de Forrester, vous pouvez malgré tout vous rapprocher d une solution «prête à l emploi» et la virtualisation peut vous y aider. Serveur de fichiers/d'impression Serveur de messagerie LAN de l agence VPN Pare-feu Routeur Figure 4. Une agence typique avec plusieurs serveurs et des appliances réseau. Les responsables informatiques envisagent souvent la virtualisation dans le contexte du data center. Cependant, comme le montre la figure 5, la virtualisation dans une agence peut également vous aider à consolider plusieurs applications et systèmes disparates sur un même matériel. Par exemple, avec la virtualisation, les serveurs locaux de messagerie et de fichiers peuvent être consolidés sur un même serveur, même s ils s exécutent sur des systèmes d exploitation différents. 5
VM/serveur fichiers ou d'impression VM/serveur de messagerie VPN Pare-feu Routeur Postes client de l'agence Figure 5. Vous pouvez utiliser la virtualisation dans l agence pour consolider plusieurs serveurs sur un même système matériel. Vous pouvez même aller plus loin. Plutôt que d attendre un fournisseur unique, capable de vous apporter une solution d agence «tout-en-un et prête à l emploi», vous pouvez construire votre propre «agence de pointe, prête à l emploi» à partir d éléments individuels. Avec Brocade Vyatta et la virtualisation, vous pouvez virtualiser le routeur, le pare-feu et le VPN qui connectent l agence au siège, avec les serveurs de fichiers/impression et de messagerie. La figure 6 illustre cette configuration. Une agence prête à l'emploi innovante VM/serveur de fichiers ou d'impression VM/serveur de messagerie Postes client de l'agence VM Vyatta avec routeur, pare-feu et VPN Figure 6. Avec Brocade Vyatta et la virtualisation, vous pouvez créer une agence prête à l emploi innovante contenant plusieurs serveurs et des fonctions réseau. 6
Erreur n 4 : Oublier de virtualiser le réseau dans le cadre du Plan de Reprise d Activité (PRA) Les entreprises créent très soigneusement des plans pour faire face à toutes sortes de catastrophes, depuis les tremblements de terre jusqu au code malveillant. Les applications essentielles sont sauvegardées ; les data centers sont dotés d alimentations et d équipements redondants, tout ceci afin d assurer le retour le plus rapide possible à l activité. La virtualisation est une technologie idéale pour gérer votre PRA. Certains hyperviseurs supportent les snapshots et la migration automatique des machines virtuelles d un système physique vers un autre ce qui, en cas de sinistre, facilite énormément le déplacement quasi instantané de l essentiel de l infrastructure d un data center. Cette capacité de migration rapide, permet d élaborer un plan d urgence beaucoup plus facilement. Autre avantage, de telles fonctions accélèrent également les projets de migration de données de routine. Malheureusement, de nombreux responsables informatiques concentrent leurs efforts de planification pour la prévention des catastrophes sur les serveurs et les applications et supposent que le réseau leur fournira l ensemble des services dont ils ont besoin pour maintenir la connexion des utilisateurs. Or, en ce qui concerne les infrastructures de base des couches 2/3, telles que la commutation et le routage, vous voulez bien sûr provisionner la connectivité aussi bien pour le site principal que pour le site de sauvegarde. Mais les services réseau tels que les pare-feu et les VPN font-ils partie du réseau lui-même ou devraient-ils plutôt être considérés comme faisant partie des applications exécutées sur les serveurs? En clair, si vous avez un pare-feu sur votre site principal, vous assurez-vous de répliquer tous les changements relatifs aux règles de pare-feu sur le site réservé à la reprise après sinistre? Veillez-vous à ce que les mises à jour et les correctifs du microprogramme de votre pare-feu soit installés jusqu aux toutes dernières révisions sur le site de secours? Data center principal Data center de secours Figure 7. Avec Brocade Vyatta et la virtualisation, il est facile de répliquer la configuration du pare-feu et du VPN sur un site de reprise après sinistre, de même que l état d autres applications. 7
LIVRE BLANC www.brocade.com Encore une fois, la virtualisation peut nous aider à résoudre le problème. Comme le montre la figure 7, au lieu de provisionner un équipement de pare-feu propriétaire identique sur les deux sites et de veiller à maintenir la synchronisation du microprogramme et des configurations à chaque changement, il suffit de répliquer une machine virtuelle de pare-feu d un emplacement à un autre, tout comme vous le feriez pour un serveur d applications. Selon la façon dont vous avez construit votre réseau, la configuration devrait être relativement compatible avec le nouveau site (avec peut-être certains ajustements d adresses IP). Élaborez une courte série d instructions, étape par étape, pour effectuer les modifications requises dans le cadre de votre plan d urgence. Avec cette technique, votre site de sauvegarde est entièrement à jour par rapport aux révisions du microprogramme et aux configurations du site principal car il s exécute sur la même machine virtuelle que le site principal. Erreur n 5 : Oublier de revendre votre ancien matériel sur ebay. Une fois votre plan de virtualisation mis en œuvre, n oubliez pas de revendre sur ebay vos anciens équipements réseau propriétaires. Vous pourrez ainsi récupérer au moins une partie de votre investissement initial et l utiliser pour financer l expansion de votre stratégie de virtualisation. CHECK-LISTE FINALE Pour tirer le meilleur parti de votre projet de virtualisation et éviter les erreurs courantes, voici une check-liste à utiliser pour la planification. 1. Rechercher les réseaux non segmentés qui pourraient être en risque du fait de la virtualisation et utilisez les outils de virtualisation pour les segmenter. 2. Déterminez quelles fonctions réseau sont associées aux serveurs que vous prévoyez de virtualiser et virtualisez ces fonctions également. 3. Prenez en compte les fonctions réseau telles que routage, pare-feu et VPN dans le cadre des projets de virtualisation d agences. Le fait de les placer sur le même matériel que les autres applications vous permettra de faire un grand pas vers «l agence prête à l emploi.» 4. Utilisez la virtualisation pour inclure les fonctions réseau dans les plans de reprise d activité (PRA). En cas de catastrophe, vos fonctions de routage, pare-feu et VPN reviendront en ligne avec le reste de vos ressources de traitement.. 5. Revendez le matériel réseau spécialisé sur ebay et LeBonCoin. Avec du matériel x86 et la virtualisation, vous économiserez sur l achat, le fonctionnement et la maintenance. Pour plus d informations, visitez www.brocade.com Siège international San Jose, Californie USA T: +1-408-333-8000 info@brocade.com Siège européen Genève, Suisse T: +41-22-799-56-40 emea-info@brocade.com Siège Asie Pacifique Singapour T: +65-6538-4700 apac-info@brocade.com 2014 Brocade Communications Systems, Inc. Tous droits réservés. 03/14 GA-WP-1804-00 ADX, AnyIO, Brocade, Brocade Assurance, le symbole B-wing, DCX, Fabric OS, ICX, MLX, MyBrocade, OpenScript, VCS, VDX et Vyatta sont des marques déposées et HyperEdge, The Effortless Network, et The On-Demand Data Center sont des marques de Brocade Communications Systems, Inc., aux Etats-Unis et/ou dans d autres pays. Les autres marques, produits ou services mentionnés peuvent être des marques appartenant à leurs détenteurs respectifs. Avis : Ce document est fourni à titre informatif uniquement et n établit aucune garantie, expresse ou implicite, concernant tout équipement, fonction d équipement ou service offert ou à offrir par Brocade. Brocade se réserve le droit d apporter des modifications à ce document à tout moment, sans préavis et n assume aucune responsabilité quant à son utilisation. Ce document informatif décrit des fonctions qui peuvent ne pas être disponibles actuellement. Contactez l équipe commerciale de Brocade pour plus d informations sur les fonctions et la disponibilité des produits. L exportation des données techniques contenues dans ce document peut nécessiter une licence d exportation du gouvernement des États Unis.