WHITE PAPER

Diseños multi-tenancy para el mesh de servicios de alto rendimiento de F5

Updated January 14, 2015
  • Share via AddThis

Introducción

La explosión del número de dispositivos conectados y el crecimiento previsto de las comunicaciones entre máquinas están planteando nuevas exigencias a la infraestructura actual centrada en las aplicaciones. Al reconocer la necesidad de contar con una capacidad más flexible, una mayor disponibilidad y una mayor rapidez en la obtención del valor, las organizaciones están adoptando soluciones innovadoras como la computación en la nube híbrida, las redes definidas por software y las técnicas de entrega ágil influenciadas por DevOps. El reto que plantea este entorno impulsado por la nube a los departamentos de TI y a sus proveedores es crear nuevas arquitecturas de entrega de aplicaciones que aumenten y se integren con estos cambios subyacentes en la infraestructura. Al mismo tiempo, estas arquitecturas deben seguir suministrando los servicios de aplicación de capa 4-7, como la seguridad, la aceleración o la disponibilidad que requieren las aplicaciones.

Para afrontar el reto de crear un nuevo modelo de entrega de aplicaciones, F5 ha transformado el diseño de red tradicional de pares de dispositivos de hardware de alta disponibilidad para crear una nueva arquitectura: un mesh de servicios de alto rendimiento y de multi-tenancy.


¿Qué forma un mesh de servicios?

El mesh de servicios de F5 crea un contenedor ampliable y activo de servicios de aplicaciones de capa 4-7 que se entregan como un conjunto de recursos flexibles. Diseñado para ampliarse hacia arriba (mediante actualizaciones de hardware y licencias) como hacia fuera (añadiendo más dispositivos), el mesh ofrece una capacidad flexible, una alta disponibilidad más eficiente y está listo para integrarse en los sistemas de automatización a través de una potente API.

Los tejidos pueden crearse tanto en centros de datos tradicionales como en entornos de nube, y pueden conectarse a través de muchos subyacentes y superpuestos de red. Además, los tejidos pueden contener dispositivos BIG-IP físicos y virtuales y pueden alojar servicios suministrados por los componentes de proxy de aplicaciones LineRate Point Load Balancer y LineRate Precision.

Con los servicios de aplicaciones que ahora se ofrecen mediante una estructura consolidada y multidispositivo, es esencial que estos servicios puedan compartirse eficazmente entre varias aplicaciones, unidades de negocio o clientes con los niveles adecuados de seguridad y aislamiento para adaptarlos a la organización. Por lo tanto, las capacidades flexibles del multi-tenancy son un componente fundamental del tejido de servicios de F5.

Ventajas del multi-tenancy

Los diseños multi-tenancy se suelen centrar en el beneficio obvio del ahorro de costos que supone una mejor utilización de la infraestructura subyacente, los mismos beneficios que se prometían en un principio con la virtualización de servidores y las plataformas en la nube. Al consolidar más servicios en menos dispositivos (físicos o virtuales), se puede ahorrar en la adquisición, el soporte continuo y la administración. Al igual que en la virtualización y la nube, la agilidad es un beneficio significativo que se obtiene del tejido de servicios y el multi-tenancy.

Una vez que se pueden aprovisionar nuevos servicios en una infraestructura existente sin necesidad de comprar o crear nuevos componentes, el tiempo para aprovisionar (y desprovisionar) nuevos servicios se reduce drásticamente. Con un aislamiento seguro de las redes y las cargas de trabajo, los nuevos clientes, proyectos o unidades de negocio pueden ser atendidos por un conjunto ampliable de recursos que suministran los servicios de capa 4-7 que requieren sus aplicaciones.

Aunque todo este rápido (y a menudo de autoservicio) aprovisionamiento de infraestructura aporta valor a las líneas de negocio que consumen los servicios, también debe facilitar el control y la supervisión para el departamento de TI. Mediante la creación de servicios estandarizados disponibles en el tejido de servicios y la asignación de controles de recursos a los inquilinos, el departamento de TI puede prorratear los costes de la infraestructura a inquilinos específicos. Aunque la devolución de los gastos es una decisión empresarial y organizativa, algunas «devoluciones» deberían considerarse una necesidad para los requisitos del multi-tenancy. Esto es especialmente cierto en las organizaciones que tienen una gran demanda de TI sin explotar, que las infraestructuras de autoservicio al estilo de la nube suelen desatar.


Oferta de multi-tenancy

Las organizaciones tienen diferentes requisitos empresariales y técnicos para el multi-tenancy en función de factores como la naturaleza de sus negocios (por ejemplo, requisitos normativos o de mercado en torno a la seguridad de los datos), sus modelos de financiación o su estrategia de TI más amplia. F5 ofrece varios modelos de multi-tenancy para que los clientes puedan crear la arquitectura que mejor se adapte a sus necesidades individuales. A continuación se presentan cuatro modelos de multi-tenancy, seguidos de sugerencias sobre cómo adaptar cada uno de ellos a un conjunto concreto de requisitos empresariales.


Dominios de ruta y particiones administrativas

Los dominios de ruta y las particiones administrativas, dos tecnologías básicas de BIG-IP, pueden utilizarse para crear un diseño flexible de multi-tenancy que ofrezca tanto aislamiento del tráfico de las aplicaciones como la separación administrativa entre inquilinos. Los dominios de ruta y las particiones administrativas están disponibles en todas las plataformas BIG-IP.

Los dominios de ruta crean espacios de direcciones estrictamente definidos dentro de una red. Cada dominio de ruta contiene espacios de direcciones IP, información de enrutamiento y VLAN. Los espacios de direcciones IP pueden duplicarse entre dominios, lo que permite una fácil reutilización del direccionamiento privado RFC 1918 para múltiples clientes o proyectos. Los dominios de ruta pueden estar estrictamente aislados unos de otros, o tener un acceso explícitamente controlado entre ellos. Esto permite presentar una conexión frontal común a una red de acceso, pero con servicios que se ejecutan dentro de espacios dedicados de inquilinos. Aunque los recursos del sistema no están explícitamente dedicados, cada dominio puede tener una tasa limitada por las conexiones o el rendimiento para proporcionar alguna restricción de recursos. Este diseño permite el uso más eficiente de los recursos del sistema, ya que cada dominio consumirá solo los recursos que necesite.

Las particiones administrativas garantizan que usuarios específicos tengan acceso solo a las particiones para las que están autorizados. Esto se suma al acceso basado en funciones que restringe a los usuarios a operaciones específicas. Con las particiones administrativas, los objetos de configuración se colocan en particiones específicas a las que solo pueden acceder los usuarios autorizados. Aunque este diseño tiene algunos límites en cuanto al número de objetos y particiones, es bastante capaz de mantener cientos de particiones administrativas y dominios de ruta, lo que lo convierte en un candidato adecuado para el multi-tenancy a gran escala.

vCMP

El Virtual Clustered Multiprocessing (vCMP) crea varias instancias aisladas del software BIG-IP en una única plataforma de hardware F5. Cada instancia tiene su propia CPU, memoria y disco, y puede aprovechar los múltiples núcleos de CPU asignados utilizando el mismo diseño de multiprocesamiento en grupo1 utilizado en todas las plataformas F5. Los invitados de BIG-IP se ejecutan en el hardware habilitado para vCMP de F5 utilizando un hipervisor basado en estándares y diseñado específicamente para proporcionar una seguridad y un aislamiento sólidos.2
 

Cada invitado vCMP puede ejecutar una versión aislada e independiente del software BIG-IP, lo que permite diferenciar los servicios utilizados por los inquilinos y actualizarlos o reiniciarlos sin interrumpir a los demás invitados. Además, en las plataformas VIPRION, las instancias invitadas pueden escalarse dinámicamente para consumir más recursos según sea necesario. Se pueden asignar diferentes números de núcleos a los invitados que se ejecutan en una plataforma para permitir la creación de inquilinos con diferente capacidad. Además, los invitados pueden asignarse a redes dedicadas o compartir redes comunes.

La visibilidad de la infraestructura de red está controlada por el hipervisor: los invitados solo pueden ver y acceder a sus redes asignadas. La autenticación y el acceso son controlados individualmente por cada invitado, al igual que el diseño de alta disponibilidad, que puede variar entre los invitados. Dado que cada invitado es una versión completa del sistema BIG-IP, se puede habilitar un multi-tenancy adicional utilizando dominios de ruta y particiones de administración, dentro de cada uno. Esto podría permitir a un proveedor de servicios (que podría ser un equipo de TI con clientes empresariales internos) ofrecer diferentes niveles de multi-tenancy, diferenciados por niveles de aislamiento o acceso de clientes.

El número máximo de invitados vCMP que pueden crearse en una plataforma BIG-IP concreta viene determinado por la memoria de los núcleos de la CPU y otros recursos del sistema disponibles.3 Dado que los invitados son núcleos de la CPU asignados de forma rígida, sin sobreaprovisionamiento, este diseño fomenta un menor número de invitados de mayor capacidad a la vez que permite mayores niveles de aislamiento y seguridad que otros modelos. Los chasis VIPRION y algunos modelos BIG-IP están disponibles con la tecnología vCMP.

Ediciones virtuales y LineRate

El uso de un hipervisor de uso general y de un marco de gestión de máquinas virtuales permite a los equipos de TI y a los proveedores de servicios crear entornos informáticos multi-tenancy con máquinas virtuales que comparten una infraestructura informática subyacente. Con las ediciones del software de BIG-IP y F5 LineRate4 para los hipervisores más populares,5 las organizaciones pueden crear soluciones de tenencias utilizando ediciones virtuales dedicadas de la misma manera que lo han hecho para los servidores.

Con instancias virtuales separadas que proporcionan servicios de aplicación dedicados a inquilinos específicos, los servicios de capa 4-7 que requieren las aplicaciones de los inquilinos pueden estar estrechamente acoplados a los servidores de aplicaciones. Esto crea un paquete de configuración que se puede replicar o migrar fácilmente a otras ubicaciones para aumentar la escala o la disponibilidad. Con una selección de plataformas F5 compatibles, las organizaciones pueden elegir la mejor para un inquilino en función de su tecnología o de los impulsores del negocio.

Plataforma Atributos
BIG-IP Virtual Edition Todas las funciones de la plataforma BIG-IP: módulos de software, iRules, plantillas de aplicaciones, base de datos de análisis. Mayores requisitos de recursos de disco, CPU y memoria.
LineRate Point Un equilibrador de carga sencillo, de alto rendimiento y ligero. Adecuado para despliegues a gran escala en los que se requieren cientos de instancias. Preparado para la orquestación con una API REST completa.
LineRate Precision Amplía LineRate Point para convertirlo en un proxy de aplicaciones de alto rendimiento que ofrece una ruta de datos totalmente programable mediante node.js con acceso a miles de módulos node.js.

Toda la gestión de recursos, al igual que la de los componentes del servidor, es gestionada por el marco de virtualización subyacente. Los dispositivos virtuales BIG-IP y LineRate están disponibles en diferentes capacidades de rendimiento (actualizables mediante licencia), de modo que los inquilinos pueden disponer de tanta capacidad como necesiten. Los entornos virtualizados promueven la rápida creación, despliegue y destrucción de la infraestructura virtual, lo que permite metodologías como DevOps y la entrega continua.

El modelo de edición virtual de multi-tenancy ofrece una capacidad de ampliación casi ilimitada, ya que se pueden crear dispositivos VE adicionales según sea necesario. Con la elección de plataformas (véase la barra lateral), las organizaciones pueden elegir entre dispositivos ligeros con funciones básicas o plataformas que ofrecen una amplia gama de funciones (como cortafuegos de aplicaciones web, gestión de acceso remoto y aceleración de la capa de aplicaciones) que, de forma envidiable, requieren más recursos de la infraestructura subyacente.

La gestión de los múltiples dispositivos virtuales creados por este modelo de inquilinos debe ser una prioridad, ya que probablemente habrá más instancias de software separadas que en los modelos de dominio de ruta o vCMP. La plataforma BIG-IQ6 puede gestionar la creación, la concesión de licencias y la gestión de los dispositivos virtuales BIG-IP a través de una GUI intuitiva y una API RESTful.

Aunque todos los tipos de dispositivos virtuales de F5 ofrecen una amplia gama de servicios de aplicaciones, carecen del hardware especializado de las plataformas físicas BIG-IP y VIPRION.

Híbrido

Cuando las organizaciones necesitan mitigar los ataques de denegación de servicio distribuidos (DDoS), los servicios de cortafuegos a escala, el descifrado de sesiones SSL de gran volumen y el hardware dedicado pueden ser más rentables que la infraestructura informática básica. Al mismo tiempo, las ventajas del modelo de dispositivo virtual altamente escalable y flexible de multi-tenancy son muy atractivas. Un modelo híbrido ofrece lo mejor de ambos mundos. Permite que los servicios centrados en la red y la separación básica del tráfico sean gestionados por un dispositivo de hardware especializado de gran capacidad, y que los servicios centrados en las aplicaciones, como la gestión del tráfico, el cortafuegos de aplicaciones o la lógica de las aplicaciones reales, sean gestionados por grupos de dispositivos virtuales adecuados.

Además de las ventajas de capacidad y flexibilidad, el modelo híbrido ofrece una limpia separación de funciones, con servicios de la capa de red administrados en un componente y servicios de la capa de aplicación en otro.

Los equipos de aplicación pueden tener un control administrativo total de todos los dispositivos de la capa de aplicación, pero con aislamiento de otros inquilinos, creando límites de fallo en caso de mala configuración u otro error humano. Al utilizar las capacidades de equilibrio de carga del dispositivo de la capa de red, se pueden utilizar múltiples dispositivos virtuales de la capa de aplicación más pequeños para escalar horizontalmente, con el tráfico de las aplicaciones distribuido aún más por debajo de esa capa.

Este modelo es altamente escalable ya que muchas de las plataformas BIG-IP están equipadas con hardware de procesamiento de red que permite cientos de gigabits de rendimiento en un solo dispositivo. En la capa inferior de los servicios de aplicación, las organizaciones pueden elegir la plataforma que se adapte a sus necesidades empresariales y técnicas.

Gestión

Todos los dispositivos de F5 ofrecen acceso CLI, GUI y RESTful API, lo que permite una gestión de la configuración manual o programática. Se recomienda la orquestación a través de BIG-IQ u otra herramienta de orquestación que utilice la API para garantizar operaciones fiables y repetidas. Sin embargo, cuando los inquilinos necesitan una personalización más amplia y única, se utiliza la GUI.

En las infraestructuras de multi-tenancy, la segregación y el control del acceso a la gestión suelen ser una preocupación primordial, ya que el impacto de una mala configuración puede afectar a más servicios, unidades de negocio o clientes. La gestión de los sistemas que abarcan múltiples aplicaciones presenta objetivos de alto valor para el compromiso y debe recibir una protección adecuada, especialmente cuando se expone a redes externas.

BIG-IP Access Policy Manager (APM) ofrece un conjunto completo de herramientas para autenticar el acceso a la red, la API o la GUI de los dispositivos. Con funciones como la tunelización de aplicaciones, la inspección de puntos finales y un editor de políticas visual altamente configurable, BIG-IP APM puede utilizarse para crear controles de seguridad adecuados para proteger las infraestructuras compartidas y, al mismo tiempo, permitir la administración de los inquilinos.

Elegir el modelo adecuado

Cada una de las arquitecturas descritas anteriormente ofrece un diseño multi-tenancy válido, pero diferente. ¿Cómo deben seleccionar las organizaciones el mejor modelo para sus empresas? En primer lugar, deben comprender sus prioridades en cuanto a los atributos clave del multi-tenancy:

Atributo Descripción
Separación y aislamiento ¿Cómo de aislados están los inquilinos? ¿Puede la carga de trabajo de un inquilino afectar a los recursos disponibles para otros inquilinos? ¿En qué medida está separado el acceso a la gestión entre los inquilinos? Tenga en cuenta que todos los diseños ofrecen una separación de tráfico muy sólida si es necesario.
Eficiencia de los recursos ¿Qué niveles de utilización se pueden alcanzar? Esto suele ser inverso al parámetro de aislamiento mencionado anteriormente: cuantos más recursos se compartan entre los inquilinos, menor será el exceso de aprovisionamiento.
Simplicidad ¿Qué grado de complejidad tendrá la gestión y qué grado de coordinación entre dispositivos será necesario? ¿Cuántas acciones tendrán que realizar las herramientas de orquestación para suministrar nuevos servicios?
Flexibilidad ¿Cuántos servicios o tipos de inquilinos diferentes puede soportar el diseño? ¿Puede haber diferentes capacidades de software entre los inquilinos o diferentes versiones? ¿Qué usos soportará la infraestructura?

Valorando estos atributos, podemos ver los cuatro diseños y puntuarlos en cada categoría. La siguiente tabla puntúa las arquitecturas en relación con cada una de ellas,no en relación con la ponderación particular de un cliente en función de sus requisitos. Para obtener una guía amplia y sencilla, multiplique la puntuación de abajo por la ponderación de arriba en cada categoría.

Diseño Separación y aislamiento Eficiencia de los recursos Simplicidad Flexibilidad
Dominios de ruta ●●● ●●●
vCMP ●●● ●● ●●
Dispositivos virtuales ●● ●● ●● ●●
Diseño híbrido ●● ●●●

Esto produce un indicador muy básico y puede eliminar algunos diseños de la consideración para un escenario particular. Evidentemente, será necesario un análisis más profundo para poder elegir con conocimiento de causa un diseño en lugar de otro, o incluso un diseño personalizado construido a partir de componentes de cada modelo.

Resumen

Los diferentes modelos de multi-tenancy que ofrece el tejido de servicios de alto rendimiento de F5 permiten ofrecer un conjunto coherente de servicios de aplicaciones a través de múltiples aplicaciones, unidades de negocio o clientes, pero con los niveles de separación y aislamiento adaptados a las necesidades de la organización. Como resultado, las empresas pueden lograr una mayor eficiencia, menores costes y una mayor agilidad, todo lo cual será necesario para aprovechar los beneficios de los cambios en curso en el panorama de TI.

1http://www.f5.com/pdf/white-papers/vcmp-wp.pdf

2http://www.f5.com/pdf/white-papers/multi-tenancy-security-vcmp-tb.pdf

3https://support.f5.com/kb/en-us/solutions/public/14000/200/sol14218.html

4https://linerate.f5.com

5https://support.f5.com/content/kb/en-us/products/big-ip_ltm/manuals/product/ve-supported-hypervisor-matrix/_jcr_content/pdfAttach/download/file.res/VE%20Supported%20Hypervisor%20Matrix.pdf

6https://f5.com/products/big-iq