Wenn die Vorteile der Netzwerk-Virtualisierung nicht ausreichen

Treten bei der Netzwerk-Virtualisierung Fehler auf, können sie den gesamten IT-Betrieb lahmlegen. Ein Fallbeispiel zeigt, welche Konsequenzen das hat.

Jede neue Technologie oder Weiterentwicklung einer bestehenden soll die Dinge schneller und günstiger machen oder...

die Betriebskosten auf sonstige Weise reduzieren. Die Server-Virtualisierung hat in höchstem Maße zu diesen Ergebnissen geführt. Jetzt stehen die Vorteile der Netzwerk-Virtualisierung zunehmend im Mittelpunkt des Interesses. Allerdings haben einige Projekte in der jüngeren Vergangenheit gezeigt, dass die Argumente pro Virtualisierung nicht unbedingt in Stein gemeißelt sind.

Als Sicherheits- und IT-Berater habe ich immer wieder mit Kunden zu tun gehabt, die dem Zeitgeist folgend in die Sicherheits-Virtualisierung investierten und viele Dienste zu einer einzigen Plattform zusammenführten. Das sorgte für beträchtliche Energieeinsparungen und eine Senkung der Wartungskosten. Alles schien also gut: Ein Chor unsichtbarer Stimmen lobte die neue Technologie, die alles besser machte.

In einigen Fällen ging die Rechnung jedoch nicht auf – zumindest nicht von Anfang an.

Darauf will ich hinaus. Einmal, nicht lange nach dem produktiven Einsatz eines virtualisierten Frameworks, kam es bei einem Kunden zu einem gravierenden Bug auf Plattformebene. Die Einzelheiten sind nicht wichtig, die Folgen hingegen schon. Vor der Virtualisierung hätte ein solches Problem nur begrenzte Auswirkungen gehabt, aber ein kaskadierender Fehler in der geteilten Plattform führte dazu, dass viele Geschäftsbereiche offline waren.

Das Problem zu beheben erwies sich als schwierig, und eine Reihe von Patches waren nötig, bevor die Stabilität wieder hergestellt war. Doch der Schaden war bereits angerichtet. Die Führungsebene hatte das Vertrauen in die Vorteile der Netzwerk-Virtualisierung verloren. Das führte zu dem Vorschlag, das Netzwerk umzustrukturieren. An dieser Stelle begann meine Mitwirkung. Der Plan sah einen radikalen Neuanfang vor, um so die Abhängigkeit des Unternehmens von der geteilten physischen Infrastruktur zu verringern.

Es war nicht das erste Mal, dass ich Zeuge eines solchen Vorgehens war. Ich habe mehrere Fälle erlebt, bei denen Kunden von virtualisierten Netzwerkfunktionen (VNF) Abstand genommen und sich relativ konventionellen Netzwerkdesigns zugewandt haben. VNFs auf verteilten Clustern auszuführen, sollte attraktive Kosteneinsparungen ermöglichen – zumindest auf dem Papier. Allerdings habe ich erlebt, wie dies die Komplexität von Systemen drastisch erhöhen kann, insbesondere beim Monitoring und der Verwaltung.

Die Achillesferse von virtualisierten Systemen

Jeder Virtualisierungs-Ansatz enthält ein Risiko, das die Nutzer zwar entschärfen, aber nie vollständig eliminieren können. Virtualisierte Systeme teilen sich physische Ressourcen. Selbst wenn Ressourcenschutz, Ressourcenplanung und andere „sanfte“ Steuerungsmöglichkeiten vorhanden sind, können virtualisierte Systeme sich gegenseitig negativ beeinflussen. Das passiert in der Regel nicht, und bei einer sorgfältigen Systemverwaltung können viele Systeme dieselbe Hardware gemeinsam verwenden. Für die überwältigende Mehrheit der Endanwender bedeutet das Teilen von Ressourcen eine Verminderung der Betriebskosten.

Die Technologien für die Server-, Netzwerk- und Sicherheits-Virtualisierung haben alle die gleiche Schwachstelle: die Systemkomponenten, die jeder Knoten, Switch oder jede virtuelle Instanz gemein hat. Dabei kann es sich um den Hypervisor, eine geteilte Steuerungsschicht oder ein Clustering-Protokoll handeln. Netzwerk, Server und die Sicherheit hängen vom Funktionieren dieser Dienste ab. Und das ist in Ordnung so, denn sie arbeiten absolut zuverlässig – jedenfalls normalerweise.

Denken Sie an die zwei unumstößlichen Fakten des IT-Betriebs: Es wird immer Bugs und immer Patches geben (auf der Liste der unvermeidlichen Tatsachen gleich hinter Tod und Steuern). Wenn Sie Glück haben, gibt es von beidem nur wenig. Wenn Sie sehr viel Glück haben, lassen sich Ursache und Wirkung klar auseinanderhalten. Die Anbieter von Hardware und Software haben bei Rolling Upgrades und Hitless Failover Fortschritte gemacht, aber unausweichlich geht dabei doch etwas schief. Im Fall des oben erwähnten Kunden ließ sich das Problem auf ein Speicherleck zurückführen – ein Fehler, der bei jedem Anbieter auftreten kann (und auch wird). Aber nachdem die Entscheidung einmal getroffen war, mussten wir den Plan in die Tat umsetzen.

Aus virtuellen wieder physische Links machen

Die kurzfristige Auswirkung, das Netzwerk zu restrukturieren, war vorhersehbar: Eine Menge Kupferleitungen und Rack-Fläche wurden benötigt, um virtuelle Links wieder in physische umzuwandeln. Abgesehen von den technischen Herausforderungen eines großen ausgefallenen Chassis ist ein erhebliches Maß an Parallelverarbeitung zu einem Spottpreis verfügbar. Die gesamte Infrastrukturkapazität wurde im Vergleich zur ersetzten „modernen“ Lösung sogar aufgestockt. Durch den starken Zuwachs an Prozessoren und Schnittstellen wurde es allerdings zu einer erheblichen Aufgabe, ein einzelnes Paket durch die Infrastruktur zu verfolgen.

In einer virtualisierten Umgebung entspricht ein einzelner Cluster im Allgemeinen einer einzigen Verwaltungsschnittstelle. In der physischen Welt sorgte die Bereitstellung von Dutzenden separater Verwaltungsschnittstellen für große administrative Sorgen. Mit Element-Management-Tools ist es möglich, Richtlinien zu erstellen, die die physische Infrastruktur umfassen, aber dadurch wird die Verwaltungsschicht selbst nicht vollständig abgedeckt.

Beispielsweise bedingte eine kleine Änderung an der administrativen rollenbasierten Zugriffssteuerung das Erstellen einer Änderungsanforderung, die sich auf 80 Geräte auswirkte. Um solche Vorlagenprobleme in den Griff zu bekommen, liegt der Einsatz von Automatisierungs-Tools auf der Hand. Da aber die Chefetage vor einer „ausgereiften“ Technologie wie der Virtualisierung zurückschreckte, dürfte ihre Reaktion auf eine Systemverwaltung im NetOps-Stil kaum überraschen.

In der Zwischenzeit traten mehrere kleinere Probleme an die Stelle des einen großen Problems, mit dem der Nutzer sich herumschlug. Der Kunde entschied sich dafür, lieber 100 Bugs im Miniaturformat zu bekämpfen, anstatt einen einzigen großen Bug zu eliminieren. Es steht außer Zweifel, dass diese Firma gegen den Strom schwamm, indem sie die Vorteile der Netzwerk-Virtualisierung nicht wahrnahm. Aber in diesem Fall verdrängte die Frage der Verfügbarkeit (beinahe) alle sonstigen Bedenken. Man muss nicht verrückt sein, wenn man die Virtualisierung vermeidet, aber ein bestimmtes Maß an Beharrlichkeit ist erforderlich. Außerdem muss man dann bereit sein, zu akzeptieren, dass eine Menge Hardware und Software nicht ausgelastet ist und womöglich viele kleine Bugs einem das Leben schwer machen.

Über den Autor:
Glen Kemp ist Enterprise-Solutions-Architekt beim Services-Provider Fortinet. Er designt und installiert Netzwerk- und Anwendungs-Security-Tools. Dazu gehören Zugriffskontrolle, Remote-Zugriffe, Firewalls und ähnliche Technologien. Zudem hat er Erfahrung als professioneller Service-Consultant. Sie finden seine Blogs unter sslboy und Packet Pushers Podcast. Auf Twitter ist er unter @ssl_boy erreichbar.

Folgen Sie SearchNetworking.de auch auf Twitter, Google+ und Facebook!

Artikel wurde zuletzt im Oktober 2015 aktualisiert

Pro+

Premium-Inhalte

Weitere Pro+ Premium-Inhalte und andere Mitglieder-Angebote, finden Sie hier.

Erfahren Sie mehr über Software Defined Networking (SDN)

Diskussion starten

Schicken Sie mir eine Nachricht bei Kommentaren anderer Mitglieder.

Mit dem Absenden dieser Daten erklären Sie sich bereit, E-Mails von TechTarget und seinen Partnern zu erhalten. Wenn Ihr Wohnsitz außerhalb der Vereinigten Staaten ist, geben Sie uns hiermit Ihre Erlaubnis, Ihre persönlichen Daten zu übertragen und in den Vereinigten Staaten zu verarbeiten. Datenschutz

Bitte erstellen Sie einen Usernamen, um einen Kommentar abzugeben.

- GOOGLE-ANZEIGEN

SearchSecurity.de

SearchStorage.de

SearchDataCenter.de

SearchEnterpriseSoftware.de

Close