Tweet
Hướng dẫn migrate từ Data Center truyền thống sang Cisco ACI
Một trong những ưu điểm lớn nhất của Cisco ACI là không yêu cầu "đập đi xây lại" toàn bộ Data Center. Doanh nghiệp có thể triển khai theo từng giai đoạn, cho phép mạng truyền thống và ACI cùng hoạt động song song trong suốt quá trình chuyển đổi.
Hình trên mô tả Day 0 Migration, tức giai đoạn đầu tiên khi đưa ACI vào hệ thống hiện hữu.
Kiến trúc trước khi Migration
Bên trái là Data Center truyền thống.
Thành phần gồm:
Ví dụ trong hình:
VLAN 10
10.10.10.0/24
Gateway:
10.10.10.1
và
VLAN 11
10.10.11.0/24
Gateway:
10.10.11.1
Hai VLAN được kéo qua Trunk giữa các switch.
Định tuyến sử dụng:
Triển khai ACI song song
Thay vì thay thế ngay mạng cũ, Cisco khuyến nghị triển khai ACI như một Fabric độc lập.
Trong hình bên phải là:
Lúc này ACI chưa thay thế Core Switch.
Nó chỉ được kết nối vào hệ thống hiện hữu thông qua các Leaf Switch.
Bước 1: Kết nối Layer 2 bằng vPC
Trong hình có dòng:
Đây là bước đầu tiên.
Hai Leaf Switch tạo thành một cặp vPC (Virtual Port Channel) và kết nối đến Core Switch hiện hữu.
Ví dụ:
Core Switch
||
||
vPC
||
Leaf 1
Leaf 2
Liên kết này truyền các VLAN hiện có sang ACI.
Ưu điểm:
Cisco ACI vẫn tương thích với Spanning Tree trong giai đoạn chuyển đổi.
Bước 2: Mapping VLAN sang Bridge Domain
Trong hình có ghi:
VLAN 10 maps to BD Blue_1
và
VLAN 11 maps to BD Blue_2
Đây là bước rất quan trọng.
Ví dụ:
Mạng truyền thống
VLAN 10
được ánh xạ thành
Bridge Domain Blue_1
Trong ACI.
Tương tự:
VLAN 11
↓
Bridge Domain Blue_2
Lưu ý:
Bridge Domain không phải VLAN.
Nó là Broadcast Domain logic trong ACI.
Bước 3: Tạo Tenant
Ví dụ trong hình:
Blue Tenant
Trong Tenant sẽ chứa:
Toàn bộ workload của ứng dụng sẽ được đặt trong Tenant này.
Bước 4: Tạo EPG
Trong hình:
EPG blue_1
và
EPG blue_2
Thông thường:
EPG blue_1
↓
Application ServersEPG blue_2
↓
Database Servers
EPG chính là nơi áp dụng:
Bước 5: Default Gateway vẫn nằm trên mạng cũ
Đây là điểm quan trọng nhất của Day 0.
Trong slide có ghi:
Có nghĩa là:
Gateway vẫn nằm trên Core Switch.
Ví dụ:
Gateway
10.10.10.1
↓
Core Switch
Chứ chưa chuyển sang Leaf ACI.
Điều này giúp:
Đây chính là lý do nhiều doanh nghiệp triển khai ACI mà người dùng gần như không nhận thấy sự thay đổi.
Bước 6: Kết nối Layer 3
Sau khi Layer 2 hoạt động ổn định.
ACI sẽ kết nối Layer 3 thông qua:
L3Out
Trong hình:
L3Out
L3Out là đối tượng cho phép Fabric trao đổi định tuyến với mạng bên ngoài.
Có thể chạy:
Ví dụ:
ACI
↓
OSPF
↓
Core Router
hoặc
ACI
↓
BGP
↓
WAN Router
L3Out chính là "cửa ngõ" giữa Fabric và các hệ thống bên ngoài.
Bước 7: Chính sách (Policies)
Sau khi workload được chuyển vào ACI.
APIC bắt đầu quản lý toàn bộ Policy.
Ví dụ:
Trong ACI:
Administrator không còn cấu hình ACL trên từng switch.
Thay vào đó:
Policy được định nghĩa một lần trên APIC.
Sau đó tự động triển khai xuống toàn bộ Fabric.
Bước 8: Di chuyển Workload
Lúc này từng Server sẽ được chuyển dần sang Leaf.
Ví dụ:
Ban đầu:
Server
↓
Classic Switch
Sau Migration:
Server
↓
Leaf Switch
Quá trình này có thể thực hiện:
Không cần di chuyển toàn bộ Data Center trong một lần.
Tích hợp dịch vụ Layer 4-7
Trong hình còn có:
Integrated L4-L7 Services
ACI hỗ trợ tích hợp trực tiếp với:
Thông qua Service Graph, lưu lượng có thể được tự động chuyển qua các thiết bị bảo mật hoặc cân bằng tải mà không cần cấu hình thủ công trên từng switch.
Các Tag trong hình
Ở phía dưới có:
Tag 2101
Tag 2102
Cisco ghi chú:
Tag could be VLAN ID or VNID
Điều này có nghĩa:
Trong quá trình Migration.
ACI có thể sử dụng:
hoặc
để nhận biết Endpoint.
Điều này giúp hệ thống dễ dàng chuyển đổi từ VLAN truyền thống sang VXLAN Fabric mà không làm gián đoạn dịch vụ.
Lộ trình Migration điển hình
Một dự án ACI thường được triển khai theo các bước sau:
Kết luận
Điểm quan trọng nhất của quá trình migration là ACI không thay thế ngay mạng truyền thống, mà được triển khai song song với hạ tầng hiện hữu. Giai đoạn đầu, Core Switch vẫn giữ vai trò Default Gateway, trong khi ACI học các VLAN hiện có thông qua vPC Trunk, ánh xạ chúng thành Bridge Domain và quản lý chính sách bằng Tenant, EPG và Contract. Khi hệ thống đã ổn định, doanh nghiệp sẽ chuyển dần các workload và cuối cùng đưa chức năng định tuyến Layer 3 về ACI thông qua Distributed Gateway và L3Out. Cách tiếp cận này giúp giảm thiểu rủi ro, hạn chế thời gian gián đoạn và cho phép triển khai ACI theo từng bước một cách an toàn trong môi trường sản xuất.
Một trong những ưu điểm lớn nhất của Cisco ACI là không yêu cầu "đập đi xây lại" toàn bộ Data Center. Doanh nghiệp có thể triển khai theo từng giai đoạn, cho phép mạng truyền thống và ACI cùng hoạt động song song trong suốt quá trình chuyển đổi.
Hình trên mô tả Day 0 Migration, tức giai đoạn đầu tiên khi đưa ACI vào hệ thống hiện hữu.
Kiến trúc trước khi Migration
Bên trái là Data Center truyền thống.
Thành phần gồm:
- Hai Core/Aggregation Switch
- Các Router kết nối WAN/DCI
- Máy chủ kết nối qua VLAN truyền thống
- Default Gateway nằm trên Core Switch
Ví dụ trong hình:
VLAN 10
10.10.10.0/24
Gateway:
10.10.10.1
và
VLAN 11
10.10.11.0/24
Gateway:
10.10.11.1
Hai VLAN được kéo qua Trunk giữa các switch.
Định tuyến sử dụng:
- Static Route
- OSPF
- BGP
Triển khai ACI song song
Thay vì thay thế ngay mạng cũ, Cisco khuyến nghị triển khai ACI như một Fabric độc lập.
Trong hình bên phải là:
- Spine
- Leaf
- APIC Controller
Lúc này ACI chưa thay thế Core Switch.
Nó chỉ được kết nối vào hệ thống hiện hữu thông qua các Leaf Switch.
Bước 1: Kết nối Layer 2 bằng vPC
Trong hình có dòng:
Layer 2 vPC Trunk
Đây là bước đầu tiên.
Hai Leaf Switch tạo thành một cặp vPC (Virtual Port Channel) và kết nối đến Core Switch hiện hữu.
Ví dụ:
Core Switch
||
||
vPC
||
Leaf 1
Leaf 2
Liên kết này truyền các VLAN hiện có sang ACI.
Ưu điểm:
- Không thay đổi sơ đồ mạng.
- Không ảnh hưởng STP.
- Có khả năng dự phòng.
- Có thể rollback nhanh nếu cần.
Cisco ACI vẫn tương thích với Spanning Tree trong giai đoạn chuyển đổi.
Bước 2: Mapping VLAN sang Bridge Domain
Trong hình có ghi:
VLAN 10 maps to BD Blue_1
và
VLAN 11 maps to BD Blue_2
Đây là bước rất quan trọng.
Ví dụ:
Mạng truyền thống
VLAN 10
được ánh xạ thành
Bridge Domain Blue_1
Trong ACI.
Tương tự:
VLAN 11
↓
Bridge Domain Blue_2
Lưu ý:
Bridge Domain không phải VLAN.
Nó là Broadcast Domain logic trong ACI.
Bước 3: Tạo Tenant
Ví dụ trong hình:
Blue Tenant
Trong Tenant sẽ chứa:
- VRF
- Bridge Domain
- EPG
- Contract
Toàn bộ workload của ứng dụng sẽ được đặt trong Tenant này.
Bước 4: Tạo EPG
Trong hình:
EPG blue_1
và
EPG blue_2
Thông thường:
EPG blue_1
↓
Application ServersEPG blue_2
↓
Database Servers
EPG chính là nơi áp dụng:
- Security Policy
- QoS
- Contract
- Micro-Segmentation
Bước 5: Default Gateway vẫn nằm trên mạng cũ
Đây là điểm quan trọng nhất của Day 0.
Trong slide có ghi:
Classic Devices are still the Default Gateway
Có nghĩa là:
Gateway vẫn nằm trên Core Switch.
Ví dụ:
Gateway
10.10.10.1
↓
Core Switch
Chứ chưa chuyển sang Leaf ACI.
Điều này giúp:
- Không phải đổi Gateway của Server.
- Không phải đổi IP.
- Không ảnh hưởng Routing.
- Có thể rollback trong vài phút.
Đây chính là lý do nhiều doanh nghiệp triển khai ACI mà người dùng gần như không nhận thấy sự thay đổi.
Bước 6: Kết nối Layer 3
Sau khi Layer 2 hoạt động ổn định.
ACI sẽ kết nối Layer 3 thông qua:
L3Out
Trong hình:
L3Out
L3Out là đối tượng cho phép Fabric trao đổi định tuyến với mạng bên ngoài.
Có thể chạy:
- Static Route
- OSPF
- EIGRP
- BGP
Ví dụ:
ACI
↓
OSPF
↓
Core Router
hoặc
ACI
↓
BGP
↓
WAN Router
L3Out chính là "cửa ngõ" giữa Fabric và các hệ thống bên ngoài.
Bước 7: Chính sách (Policies)
Sau khi workload được chuyển vào ACI.
APIC bắt đầu quản lý toàn bộ Policy.
Ví dụ:
- Security
- QoS
- Contract
- Service Graph
- Micro-Segmentation
Trong ACI:
Administrator không còn cấu hình ACL trên từng switch.
Thay vào đó:
Policy được định nghĩa một lần trên APIC.
Sau đó tự động triển khai xuống toàn bộ Fabric.
Bước 8: Di chuyển Workload
Lúc này từng Server sẽ được chuyển dần sang Leaf.
Ví dụ:
Ban đầu:
Server
↓
Classic Switch
Sau Migration:
Server
↓
Leaf Switch
Quá trình này có thể thực hiện:
- Theo từng Rack.
- Theo từng Pod.
- Theo từng ứng dụng.
- Theo từng Tenant.
Không cần di chuyển toàn bộ Data Center trong một lần.
Tích hợp dịch vụ Layer 4-7
Trong hình còn có:
Integrated L4-L7 Services
ACI hỗ trợ tích hợp trực tiếp với:
- Cisco Secure Firewall
- F5 BIG-IP
- Citrix ADC
- Palo Alto Networks
- Load Balancer
- IPS
Thông qua Service Graph, lưu lượng có thể được tự động chuyển qua các thiết bị bảo mật hoặc cân bằng tải mà không cần cấu hình thủ công trên từng switch.
Các Tag trong hình
Ở phía dưới có:
Tag 2101
Tag 2102
Cisco ghi chú:
Tag could be VLAN ID or VNID
Điều này có nghĩa:
Trong quá trình Migration.
ACI có thể sử dụng:
- VLAN ID
hoặc
- VXLAN VNID
để nhận biết Endpoint.
Điều này giúp hệ thống dễ dàng chuyển đổi từ VLAN truyền thống sang VXLAN Fabric mà không làm gián đoạn dịch vụ.
Lộ trình Migration điển hình
Một dự án ACI thường được triển khai theo các bước sau:
- Khảo sát hạ tầng hiện tại: thu thập VLAN, Subnet, VRF, giao thức định tuyến, chính sách bảo mật và lưu lượng giữa các ứng dụng.
- Triển khai Fabric ACI: cài đặt Spine, Leaf và APIC, đồng thời kiểm tra Underlay hoạt động ổn định.
- Kết nối ACI với mạng hiện hữu thông qua vPC Trunk và L3Out, cho phép hai môi trường hoạt động đồng thời.
- Xây dựng mô hình logic trên ACI: tạo Tenant, VRF, Bridge Domain, EPG và Contract tương ứng với kiến trúc hiện tại.
- Di chuyển workload theo từng giai đoạn, ưu tiên theo ứng dụng, rack hoặc tenant thay vì di chuyển toàn bộ Data Center cùng lúc.
- Chuyển Default Gateway từ Core Switch sang ACI (Distributed Anycast Gateway) sau khi các workload đã được di chuyển và kiểm thử thành công.
- Loại bỏ dần hạ tầng truyền thống, để ACI trở thành nền tảng vận hành chính của Data Center.
Kết luận
Điểm quan trọng nhất của quá trình migration là ACI không thay thế ngay mạng truyền thống, mà được triển khai song song với hạ tầng hiện hữu. Giai đoạn đầu, Core Switch vẫn giữ vai trò Default Gateway, trong khi ACI học các VLAN hiện có thông qua vPC Trunk, ánh xạ chúng thành Bridge Domain và quản lý chính sách bằng Tenant, EPG và Contract. Khi hệ thống đã ổn định, doanh nghiệp sẽ chuyển dần các workload và cuối cùng đưa chức năng định tuyến Layer 3 về ACI thông qua Distributed Gateway và L3Out. Cách tiếp cận này giúp giảm thiểu rủi ro, hạn chế thời gian gián đoạn và cho phép triển khai ACI theo từng bước một cách an toàn trong môi trường sản xuất.
Attached Files