가상화 핵심 전략에서 네트워크 가시성을 균형 잡는

디지털 트랜스포메이션이 가속화됨에 따라 가상화 기술은 네트워크 아키텍처의 모든 측면을 꿰뚫고 있습니다. 코어에서 엣지, 인프라에서 애플리케이션 서비스까지.네트워크 함수 가상화 (NFV) 가 주류가 되고 컨테이너화가 인기를 끌면서, 중요한 질문이 나타납니다: 어떻게 조직이이 매우 가상화된 환경에서 네트워크 트래픽의 포괄적인 가시성을 유지할 수 있습니까?어떤 트래픽 흐름을 물리적으로 캡처해야합니까?그 답은 성능 모니터링뿐만 아니라 사이버 보안 자세에도 영향을 미칩니다.

가상화는 유연성과 효율성을 보장하지만 전례 없는 복잡성을 제공합니다. 물리적 네트워크와 비교하면가상 환경에서 트래픽을 모니터링하고 보안하는 것은 개방성과 동적 구성의 증가로 인해 더욱 중요하고 더 도전적입니다.명확하고 포괄적인 트래픽 가시성을 달성하는 것은 디지털 전환 전략, 특히 5G 모바일 코어 네트워크와 같은 미션 크리티컬 시나리오에 필수적입니다.

따라서 핵심 질문은 다음과 같습니다. 네트워크 트래픽 캡처 (TAP) 와 패킷 중개 (the core components enabling visibility) 또한 가상화되어야 하는가?

많은 네트워크 및 보안 운영자는 가상화된 네트워크 기능에 가상화된 모니터링 도구가 필요하다고 가정합니다. 이 접근법은 논리적으로 보이지만 절대적인 것은 아닙니다.물리적 및 가상 네트워크 기능은 전용 하드웨어 또는 가상화 도구를 사용하여 모니터링 할 수 있습니다.트래픽 캡처와 패킷 전달을 가상화하기로 결정하는 것은 네트워크 기능을 가상화하는 것보다 더 신중한 고려가 필요합니다.

NFV 환경에서 트래픽 캡처와 패킷 브로커링을 가상화하는 것은 종종 의미가 있지만 신중한 타협이 필요합니다.가상 호스트 내에서 이러한 기능을 수행하면 호스트 자체와 다른 가상 네트워크 기능 (VNF) 에 크게 영향을 줄 수 있습니다.NIC 미러링과 같은 일부 솔루션은 vSwitch 대역폭 압력을 줄일 수 있지만 특정 하드웨어 및 가상화 환경 지원에 의존합니다.

조직은 다음과 같은 분석을 통해 가상화 트래픽 캡처에 대한 목표적이고 실용적인 접근 방식을 채택해야합니다.

• 감시목적:어떤 트래픽이 모니터링이 필요합니까? 왜? 얼마나 많은 모니터링 애플리케이션에 액세스해야합니까? 이러한 답변은 필요한 처리 자원 (CPU, 메모리) 및 처리 용량 (bps, pps) 을 결정합니다.
• 가상 환경 제약:많은 VNF 공급자가 환경을 잠그고, 내장된 미러링 기능을 차단하거나 제3자 에이전트 설치를 금지합니다.하이퍼바이저 API의 한계도 자동 캡처 오케스트레이션을 방해할 수 있습니다..
• 자원 소비:내부 트래픽 복제는 vSwitch 용량 요구를 증가시킵니다. 큰 패킷 터널링은 MTU 한계를 초과하면 분할을 일으킬 수 있습니다.
• 암호화된 교통 처리:암호 해독 프로세스는 보안 가시성을 위해 중요한 상당한 자원을 소비합니다.
• 도구 호환성:기존 모니터링이나 보안 도구는 재사용될 수 있나요? 이미 가상화 되었나요?
• 마이그레이션 제한가상 인스턴스 또는 컨테이너가 특정 물리적 위치에 제한되어 있습니까?
• 배포 아키텍처전용 가상 호스트는 VNF 자원 분쟁을 피하기 위해 패킷 중개 및 모니터링 도구를 실행해야합니까?

인터페이스 모니터링이 필요한 여러 NFV 환경과 지리적 위치와 함께 4G LTE CUPS 네트워크를 고려하십시오. 모든 트래픽 캡처가 가상화 될 필요는 없습니다. 제어 플레인 VNF (예: MME,SGW-C, PGW-C) 는 상대적으로 낮은 트래픽 볼륨과 지연 허용으로 논리적 인터페이스 (S11, S5-C/S8-C) 에서 가상 캡처가 이상적입니다.Sxb) 는 가상 호스트 대역폭 소비를 피하기 위해 물리적 TAP를 사용할 수 있습니다..

제어 플레인을 위한 가상 캡처 방법은 다음을 포함한다.

• vSwitch 미러링
• 하이퍼바이저 에이전트 미러링
• VNF를 가진 공동 위치 미러링 에이전트
• 독립적인 VM/컨테이너 미러링 에이전트
• NIC 미러링

사용자 플레인 VNF (예를 들어, SGW-U, PGW-U) 를 위해 음성/비디오와 같은 대용량, 지연 민감 트래픽을 처리하는 경우, 인터페이스 (S1U, SGi, VxLTE/RCS) 에서 물리적 TAP는 종종 더 잘 작동합니다.중간 가상 인터페이스 (S5-U/S8-U) 는 여전히 가상 캡처가 필요할 수 있습니다., 낮은 오버헤드 NIC 미러링이 빛나는 경우. 극단적인 경우, 가상 호스트에 걸쳐 VNF를 분리하면 물리적 TAP 배치가 가능합니다.

캡처 방법을 결정한 후, 조직은 패킷 중개가 가상화를 필요로하는지 여부를 결정해야합니다.최적의 솔루션은 원천에 관계없이 물리적 및 가상 트래픽 캡처 / 전송을 통합 관리합니다..

가상화된 네트워크 패킷 브로커 (vNPB) 는 여러 VNF/컨테이너에서 트래픽을 집계하는 데 탁월하다.필터링 및 로드 밸런싱 기능이 스위치 대역폭 및 모니터링 도구 압력을 줄입니다.그러나, 각 트래픽 복제 인스턴스는 NIC 미러링과 같은 기술을 통해 최적화되지 않는 한 vSwitch 소비를 증가시킵니다.

고급 기능은 프로토콜 헤더 제거, 패킷 중복, 제어/사용자 평면 상관관계, NetFlow 생성 또한 중개가 필요할 수 있습니다. 이러한 기능은 다양한 자원 필요를 가지고 있기 때문에,높은 트래픽 시나리오는 종종 VNF에서 처리 업로드 전용 물리적 또는 가상 패킷 브로커에서 이익을 얻을 수 있습니다..

트래픽 캡처 및 전송 솔루션을 선택할 때 물리적 및 가상 트래픽 관리를 통합하는 시스템에 우선 순위를 부여하십시오.가시성 구성 요소 가상화 측정 전략 요구실용적인 접근 방식은 조직이 가상 호스트 용량 계획을 최적화하는 동안 어떤 트래픽을 물리적으로 캡처해야하는지 결정하는 데 도움이됩니다.