Datacenter-Analyse
Akkurates Netzmonitoring trotz Datenflut
Fortsetzung des Artikels von Teil 2
Eine Fabric für die Monitoring-Daten
Ein neuartiger Ansatz könnte hier Abhilfe schaffen: eine den Tools vorgeschaltete Filterschicht, eine „Visibility Fabric“, entlastet das Netzwerk von Transportaufgaben und die Tools von Unmengen für sie jeweils unnützer Daten.
Doch wie funktioniert das im Detail? Traditionell werden Datenströme über statische Links beispielsweise vom Mirror-Port auf die Ports der Tools geleitet. Man kann nur wählen, ob ein Datenstrom insgesamt zum jeweiligen Port und damit Werkzeug geführt wird oder nicht. Allerdings passen meist nur Bruchteile dieses Datenstroms zur spezifischen Analyseaufgabe – die überflüssigen Daten erschweren lediglich dessen Arbeit und belasten das Netzwerk.
Hier setzt die Filterschicht an. Ihre in Hardware realisierten Knoten umfassen zwei Verarbeitungsschritte. Im Zentrum der Technologie steht die intelligente, regelbasierte Filterung eingehender Datenströme. Hinter den Eingangsports von Verarbeitungsknoten der Filterschicht werden die parallel einlaufenden Datenströme, die von Sonden oder Spiegelports ausgehen können, vorverarbeitet: Eine Engine identifiziert sie, filtert sie nach vom Administrator vordefinierten Regeln und leitet sie an die unterschiedlichen Ausgangsports, an denen jeweils ein Tool hängt, weiter. So entstehen neue Datenströme, die auf das Tool am Ausgangsport zugeschnitten sind und sich aus zur Analyseaufgabe passenden Teilen aller einlaufenden Datenströme zusammensetzen können.
Auf diesem Weg können die Daten optional eine zweite Verarbeitungsinstanz passieren, die die neu zusammengesetzten Datenströme mit Technologien optimiert, die man aus der Netzwerktechnik kennt: Sie werden dedupliziert und überflüssige Header werden entfernt. Zeitstempel und VLAN-Tagging ermöglichen eine exakte Zuordnung. Die Tools analysieren also vorgefilterte, bei Nachbearbeitung mit Optimierungstechnologien auch volumenreduzierte, genau charakterisierte Datenströme. Diese Flows bestehen exakt aus den Informationen, welche der Administrator durch das Flow-Mapping-Regelwerk für den jeweiligen Analysezweck ausgewählt hat.
Umfangreiche Regelsätze mit mehreren tausend Regeln gestatten eine außerordentlich genaue Spezifikation der gewünschten Daten: Anwender können ihr anwendungsspezifisches Regelset aus 13 Einzelkriterien zusammensetzen, die sich auf über 30 vordefinierte Parameter der Netzwerkschichten 2, 3 und 4 beziehen – MAC- oder IP-Adressen, Portnummern, VLAN-IDs, TOS (Type of Service) und so weiter. Auch nach spezifischen Bitfolgen, die dann als Auswahlkriterium für Daten dienen, kann man suchen. Weil die Regeln durch die Hardware in den hochskalierbaren Verarbeitungsknoten der Filterschicht abgearbeitet werden, verlangsamt der Filtervorgang die Tools nicht.
Außerdem lässt sich ein virtueller Mülleimer (Virtual-Drop-Port) einrichten, in den Daten, die bestimmte Kriterien erfüllen, etwa unliebsame Datentypen, Protokolle oder Absender, sofort versenkt werden. Ergänzend lässt sich ein Port einrichten, auf dem aller Verkehr gesammelt wird, den keine der vorhandenen Filterregeln erfasst. So verhindert man, dass Auffälliges von der Bildfläche verschwindet, nur weil keiner an diesen spezifischen Fall gedacht hat oder es sich um eine neue Erscheinung handelt.
Die einzelnen Netzknoten der Filterschicht können Datenströme mit 1, 10, 40 oder 100 GBit/s verarbeiten. Die Ports auf der Netzwerk- und der Tool-Seite der Knoten transportieren Daten jeweils mit Leitungsgeschwindigkeit. Eine statische Verbindung zwischen spezifischen Ports auf der Netz- und der Toolseite gibt es nicht mehr. Nur Daten, die den Knoten durchlaufen haben, gelangen zu den Analysewerkzeugen. Wird die Filterschicht um neue Knoten erweitert, lassen alle Knoten sich logisch zu einer Einheit zusammenfassen und gemeinsam verwalten, so dass auch späteres Netzwachstum die Analysefähigkeiten nicht beeinträchtigt.
Auf diese Weise werden die immer stärker anschwellenden Datenströme handhabbar. Die Lösung dringlicher Aufgaben scheitert nicht mehr an fehlenden Ressourcen oder überforderten Werkzeugen. Damit begrenzt eigentlich nur noch der Einfallsreichtum der Administratoren bei der Entwicklung eines wirksamen Regelsets die Monitoring-Leistungen der an die neuartige Filterschicht angeschlossenen Spezialwerkzeuge.
- Akkurates Netzmonitoring trotz Datenflut
- Tools ertrinken in Daten
- Eine Fabric für die Monitoring-Daten
Lesen Sie mehr zum Thema
