Richtlinienbasiertes Routing

Die richtlinienbasierte Weiterleitung leitet den Netzwerkverkehr basierend auf Richtlinienregeln, die die Quelle, Anwendung, Benutzerklasse, Ports oder Verkehrsart berücksichtigen können. Dies unterscheidet sich von der traditionellen Netzwerkweiterleitung, bei der die gewählte Route größtenteils auf der kürzesten oder bevorzugtesten Route zum Ziel basiert.

Die richtlinienbasierte Weiterleitung kann verwendet werden, um verschiedene Ziele zu erreichen, wie z. B. die Verbesserung der Leistung und Zuverlässigkeit oder die Implementierung von Segmentierung. Diese Entscheidungen können auf der Identifizierung von Anwendungen basieren, was eine hochgradig granulare Weiterleitung auf Anwendungsebene ermöglicht.

Wichtige Highlights

• Die richtlinienbasierte Weiterleitung steuert den Verkehr mithilfe von Regelkriterien, die über die reine Zielweiterleitung hinausgehen.
• Die Kriterien umfassen häufig Quelle, Ziel, Ports, Protokoll, DSCP und Anwendungsidentität (sofern verfügbar).
• Einige Plattformen kombinieren die Absicht der Richtlinie mit Pfadtelemetrie, um SLA-basierte Steuerung zu unterstützen (zum Beispiel: Latenz, Verlust, Jitter). Dies steht im Zusammenhang mit PBR, ist jedoch nicht für klassisches PBR erforderlich.
• PBR steuert häufig Anwendungsgruppen (zum Beispiel: Echtzeit-Zusammenarbeit vs. Massentransfer) zu bevorzugten Ausgangspunkten oder Transportmitteln.
• Schlecht gestaltete Richtlinien können asymmetrische Weiterleitung, instabiles Failover-Verhalten und schwer zu beheben Ergebnisse über Standorte hinweg erzeugen.
• Erfolgreiche Programme behandeln die Routingrichtlinie als kontrollierte Logik mit klarer Regelreihenfolge, Tests, Beobachtbarkeit und Rückrollmöglichkeiten.

Richtlinienbasiertes Routing

Die richtlinienbasierte Weiterleitung ermöglicht es einer Organisation, zu steuern, wie bestimmte Arten von Verkehr über das Netzwerk fließen. Dies wird erreicht, indem Richtlinien und Netzwerkregeln definiert werden, die festlegen, wohin der Verkehr auf seinem nächsten Sprung zu seinem Ziel gehen soll.

Diese Regeln verwenden verschiedene Felder innerhalb eines Pakets, um Pakete mit Richtlinien abzugleichen. Häufig verwendete Abgleichfelder umfassen:

• Quelle/Ziel
• Ports
• Protokoll
• DSCP
• Anwendungskategorie

Basierend auf diesen Feldern wird der Verkehr einer Richtlinie zugeordnet, die die nächste Aktion spezifizieren kann, die der Verkehr ausführen soll. Häufige Aktionen umfassen:

• Auswahl des nächsten Hops
• Auswahl der Schnittstelle oder des Ausgangs, der verwendet wird, um das Netzwerk zu verlassen
• Auswahl des Tunnels oder des Transportprotokolls
• Auswahl einer Routingtabelle oder VRF
• Bevorzugung eines Pfades mit einem expliziten Fallback (wenn unterstützt)

Die policybasierte Weiterleitung konzentriert sich darauf, wo der Datenverkehr geroutet werden soll, und ermöglicht es Firewalls oder Zugriffskontrolllisten (ACLs), Erlauben/Verweigern-Regeln umzusetzen. Richtlinien werden oft als geordnete Regel-Listen implementiert – wobei die erste Übereinstimmung gewinnt – um Konflikte zu lösen, wenn der Datenverkehr mehreren Regeln entspricht.

Die policybasierte Weiterleitung ist kein Routingprotokoll wie Border Gateway Protocol (BGP) oder Open Shortest Path First (OSPF). Es kann auch keine Probleme der letzten Meile magisch beheben, da es nur definiert, wie der Datenverkehr die verfügbaren Routen und Bandbreiten nutzen sollte.

Warum nutzen Organisationen die policybasierte Weiterleitung?

Die policybasierte Weiterleitung bietet eine größere Granularität und Kontrolle als die traditionelle zielbasierte Weiterleitung. Organisationen können sie nutzen, um verschiedene Ergebnisse zu erzielen, einschließlich:

• Verbesserte Leistung für latenzempfindliche Anwendungen
• Verbesserte Resilienz
• Deterministische Segmentierung
• Kostenkontrolle

Die traditionelle Netzwerkweiterleitung verfolgt einen „One-Size-Fits-All“-Ansatz für das Routing und behandelt Sprach-/Video-, SaaS-, Bulk-Backup- und Administrationsverkehr gleich. Durch die Definition spezifischer Richtlinien für diese kann sichergestellt werden, dass wichtigere und sensiblere Datenverkehr angemessen behandelt wird.

Die Definition und Implementierung zusätzlicher Richtlinien führt jedoch zu zusätzlicher Komplexität und Overhead. Governance und Tests sind entscheidend, um sicherzustellen, dass die Richtlinien wie vorgesehen funktionieren und dass die Anzahl der Richtlinien nicht außer Kontrolle gerät.

Wie funktioniert die richtlinienbasierte Weiterleitung?

Die richtlinienbasierte Weiterleitung funktioniert über einen mehrstufigen Prozess. Wichtige Schritte sind:

• Identifizierung und Klassifizierung des Datenverkehrs
• Extraktion der Übereinstimmungsfelder
• Finden der passenden Richtlinien und Anwenden der ersten
• Anwenden der festgelegten Richtlinienaktion (nächster Hop, Ausgang, Tunnel usw.)
• Anwenden der Rückfallaktion, falls erforderlich
• Überprüfen des Erfolgs mit Protokollen oder Telemetrie

Die Implementierung der richtlinienbasierten Weiterleitung erfordert die Auswahl der Bedingungen, die verwendet werden, um den Datenverkehr den Richtlinien zuzuordnen, die Definition der Maßnahmen, die als Reaktion auf eine Übereinstimmung ergriffen werden, und die Durchsetzung der Richtlinien im gesamten Netzwerk.

Definieren der Übereinstimmungsbedingungen

Die richtlinienbasierte Weiterleitung verwendet eine Vielzahl von Übereinstimmungsfeldern, um geeignete Richtlinien auszuwählen, anstatt einfach nur das Ziel des Datenverkehrs zu berücksichtigen. Bei der Implementierung ist der erste Schritt, die Übereinstimmungsbedingungen zu definieren, die verwendet werden, um eine geeignete Richtlinie auszuwählen.

Richtlinien können mithilfe einer Vielzahl von verschiedenen Feldern abgeglichen werden, wie z.B. Quelle/Ziel, Ports, Protokoll und DSCP. Moderne Systeme verlassen sich zunehmend auf die Klassifizierung von Anwendungen, um spezifische Richtlinien auf Anwendungsdatenverkehr anzuwenden, selbst wenn der Großteil des Datenverkehrs über dieselben Ports und Protokolle (443/HTTPS) fließt. Bei der Definition von Kriterien sind konsistente Identitätsquellen (Apps, Geräte und Benutzer) entscheidend, um eine konsistente Durchsetzung im gesamten Unternehmens-WAN sicherzustellen.

Bei der Definition von Übereinstimmungskriterien für Richtlinien ist es ratsam, diese so weit wie möglich gegenseitig ausschließend zu halten, um die Anzahl der Übereinstimmungen für ein bestimmtes Paket zu begrenzen. Wenn mehrere Richtlinien übereinstimmen, werden Konflikte durch die Reihenfolge der Regeln gelöst, was eine sorgfältige Berücksichtigung dieser Prioritäten unerlässlich macht, um sicherzustellen, dass die geeignete Richtlinie auf den Datenverkehr angewendet wird.

Wählen Sie eine Aktion (nächster Hop, Ausgang, Tunnel, Transport)

Richtlinien können definiert werden, um verschiedene Maßnahmen für übereinstimmenden Datenverkehr zu ergreifen. Im Allgemeinen fallen diese in zwei Hauptkategorien:

• Deterministische Aktionen: Der Datenverkehr kann zu einem festen nächsten Hop, Ausgang oder Tunnel geleitet werden.
• Richtlinien- und gemessene Pfadauswahl: Kombiniert richtlinienbasiertes Routing mit gemessener Pfadauswahl, um SLA-basiertes oder anwendungsbewusstes Steering zu unterstützen.

Oft werden Richtlinien mit einem bevorzugten Pfad sowie einem Fallback definiert, falls etwas schiefgeht. Richtlinien können auch SLA-Schwellenwerte bezüglich Latenz, Verlust und Jitter im Entscheidungsprozess einbeziehen.

Bei der Definition von Richtlinien ist es wichtig, Richtlinien-Schleifen zu vermeiden, die Arbeitsabläufe unterbrechen können. Darüber hinaus kann die Verwendung von IP-Pinning in Richtlinien für Cloud-Anwendungen Fragilität einführen und Richtlinien brechen, wenn sich IP-Adressen ändern.

Global durchsetzen und Ergebnisse validieren

Richtlinienbasiertes Routing sollte konsistent im gesamten Unternehmen durchgesetzt werden, um die gleiche Absicht, vorhersehbares Verhalten und messbare Ergebnisse in allen Umgebungen sicherzustellen. Bei der Implementierung von richtlinienbasiertem Routing in großem Maßstab umfassen bewährte Praktiken:

• Testwerkzeuge und Simulationen zu verwenden, wo möglich, um Richtlinien vor der Bereitstellung zu testen
• Änderungskontrollrichtlinien zu implementieren, um die Erstellung neuer Richtlinien zu verwalten
• Die Auswirkungen des asymmetrischen Routings auf die zustandsbehaftete Verkehrsinspektion und Fehlersuche zu berücksichtigen
• Die Pfadauswahlraten, SLA-Verletzungen und Failover-Ereignisse zu überwachen, wenn der Erfolg von Richtlinien bewertet wird
• Richtlinienbasiertes Routing als gestaffelten Prozess zu implementieren, klein zu beginnen und sorgfältig zu erweitern

Welche Kriterien sollten Richtlinien für das Traffic Steering verwenden?

Richtlinien sollten bei der Steuerung des Datenverkehrs einige verschiedene Arten von Kriterien verwenden. Dazu gehören:

• Identität (Benutzer und Gerät)
• Anwendung oder Arbeitslast
• Netzwerkdaten (Quelle, Ziel und Ports)
• Qualität (Latenz, Verlust und Jitter)
• DSCP (QoS-Markierungen zur Identifizierung verschiedener Verkehrsarten)

Bei der Definition von Kriterien ist es wichtig, ein Gleichgewicht zwischen breiten und engen Übereinstimmungen zu finden. Breitere Übereinstimmungen sind einfacher umzusetzen, können jedoch unbeabsichtigt auch unerwünschten Verkehr lenken. Engere Übereinstimmungen haben ein geringeres Risiko, erhöhen jedoch die Anzahl der erforderlichen Regeln.

Richtlinien müssen auch priorisiert werden, um Konflikte zu lösen, wenn mehrere Richtlinien mit einem Paket übereinstimmen. Bei der Festlegung von Prioritäten wird eine empfohlene Reihenfolge angegeben:

• Geschäftskritische Echtzeitanwendungen
• Interaktive Geschäftsanwendungen
• Bulk- und Backup-Verkehr
• Best Effort

Was sind gängige Anwendungsfälle für richtlinienbasiertes Routing?

Richtlinienbasiertes Routing ist ein absichtsbasiertes Steuern, das darauf abzielt, Verkehr über einen bestimmten Pfad oder Ausgang basierend auf seinen Bedürfnissen und nicht auf seinem beabsichtigten Ziel zu leiten. Diese Anwendungsfälle umfassen:

• Echtzeitanwendungen: Empfindlich gegenüber Latenz, Verlust und Jitter
• Geschäftskritische SaaS: Benötigt zuverlässige Konnektivität
• Massive oder Hintergrundverkehr: Durchsatzhungrig, aber tolerant
• Segmentierter und kontrollierter Ausgangsverkehr: Der Ausgangspunkt und die Route sind wichtige Überlegungen

Richtlinienbasiertes Routing lenkt den Verkehr auf einen bestimmten Pfad, zwingt ihn jedoch nicht unbedingt durch spezifische Zwischenstationen. Darüber hinaus berücksichtigen Richtlinien häufig auch die Linkgesundheit und leiten den Verkehr auf einen alternativen Pfad, wenn der bevorzugte Link einen SLA-Schwellenwert nicht erfüllt. Die gleichen Anwendungsfälle, die PBR wertvoll machen, schaffen jedoch auch Risiken. Überlappende Kriterien, inkonsistente Regelreihenfolge und asymmetrisches Routing können zu fragilen Ergebnissen führen, wenn Richtlinien nicht sorgfältig entworfen und getestet werden.

Echtzeitkommunikation und Zusammenarbeit

Ein häufiger Anwendungsfall für richtlinienbasiertes Routing besteht darin, die Leistung und Zuverlässigkeit von latenzsensitivem Verkehr zu verbessern. Zum Beispiel sollte Sprach- und Videoverkehr auf den besten Qualitätsweg geleitet werden, um das Risiko zu verringern, dass Jitter und Verlust die Sprachqualität beeinträchtigen. Der Verkehr sollte jedoch während eines Anrufs nicht ohne Sicherheitsvorkehrungen übersteuert werden, da das Risiko besteht, dass der Verkehr dadurch verloren geht.

Richtlinienbasiertes Routing kann auch die Priorisierung ergänzen. In diesem Fall würde dieser Verkehrstyp auch innerhalb des ausgewählten Pfades priorisiert.

Segmentierung und kontrollierter Ausgang

Richtlinienbasiertes Routing kann auch verwendet werden, um Segmentierung und kontrollierten Zugang zu implementieren, wobei Administrator-, regulierte oder sensible Arbeitsabläufe durch spezifische Inspektionspunkte oder Ausgangsstandorte geleitet werden müssen. Zum Beispiel kann es erforderlich sein, dass der Verkehr aus einem bestimmten Subnetz durch einen Durchsetzungspunkt auf dem Weg zu einem anderen Subnetz geleitet wird.

Bei der Implementierung von Segmentierung und kontrolliertem Ausgang ist es wichtig zu beachten, dass der Rückverkehr nicht unbedingt denselben Pfad folgen muss. Darüber hinaus kann dieser Anwendungsfall das Risiko der Einführung von Richtlinienüberflutung bergen, es sei denn, er wird über Werkzeuge wie Benennungen, Tags und Vorlagen verwaltet.

Kostenkontrolle und Kapazitätsmanagement

Eine dritte Anwendung des policy-basierten Routings besteht im Kosten- und Kapazitätsmanagement, wobei Premium- und teurere Pfade für kritische Anwendungen und günstigere Verbindungen für Massendatenverkehr reserviert werden. Beispielsweise sollten Backups, Patches und große Dateiübertragungen über kosteneffiziente Pfade geleitet werden, da geringfügige Erhöhungen der Netzwerkverzögerung einen vernachlässigbaren Einfluss auf sie haben.

Diese Anwendungsfälle werden häufig durch Probleme im Zusammenhang mit Netzwerküberlastung und steigender Latenz auf Netzwerkpfaden angetrieben, die die Leistung geschäftskritischer Anwendungen beeinträchtigen. Die Wirksamkeit der Umleitung weniger kritischer Datenströme zu günstigeren Verbindungen kann offensichtlich werden, wenn die Leistung des geschäftskritischen Datenverkehrs während Überlastereignissen vor und nach der Implementierung dieser Richtlinien verglichen wird.

Was kann beim policy-basierten Routing schiefgehen?

Bei der Implementierung des policy-basierten Routings umfassen häufige Fehlerquellen und Fallstricke:

• Asymmetrisches Routing: Eine Organisation kann wählen, über welchen Ausgangspunkt oder Pfad der ausgehende Datenverkehr gesendet wird, aber der eingehende Datenverkehr innerhalb der Sitzung kann einen anderen Pfad nehmen. Dies kann Probleme verursachen, wenn Sicherheitswerkzeuge und Durchsetzungsstellen nur die Hälfte des Gesprächs sehen.
• Richtlinienkonflikte: Beim Abgleichen von Paketen mit Richtlinien ist es möglich, dass mehrere Richtlinien übereinstimmen. Die Reihenfolge der Regeln wird verwendet, um diese Konflikte zu lösen, was bedeuten kann, dass die richtige Richtlinie nicht die ausgewählte ist.
• Regelüberschattung: Regelüberschattung ist eine Art von Richtlinienkonflikt, bei dem eine allgemeine Richtlinie in der Reihenfolge höher eingestuft ist als eine spezifischere. Das bedeutet, dass die spezifische niemals angewendet wird.
• Empfindliches Matching: Empfindliches Matching kann ein Problem darstellen, wenn die Richtlinienübereinstimmungen zu eng definiert sind. In diesem Fall können kleine Abweichungen in den Übereinstimmungsfeldern dazu führen, dass die Richtlinie nicht mehr übereinstimmt und nicht angewendet wird.

Diese Herausforderungen können nur durch die Analyse einer Paketaufnahme des Netzwerkverkehrs gelöst werden. Dies kann helfen zu bestimmen, ob die richtigen Richtlinien in verschiedenen Situationen angewendet wurden. Im Allgemeinen ist eine gute Minderungstrategie, Regeln zu vereinfachen, Protokollierung zu implementieren, Richtlinien zu testen, Änderungen schrittweise einzuführen und pro Standort zu validieren.

Über die technischen Fehlermodi hinaus können Organisationen mit der Governance kämpfen. Häufige Fallstricke sind unmanaged Ausnahmen, fehlende Dokumentation, kein Testplan und kein Rollback.

FAQ

Was ist der Unterschied zwischen policy-basiertem Routing und dynamischem Routing?

Policy-basiertes Routing verwendet vordefinierte Richtlinien und Kriterien, um zu definieren, wie der Datenverkehr geroutet werden soll. Im Gegensatz dazu basiert dynamisches Routing hauptsächlich auf der Ziel-IP-Adresse und der Gesundheit verschiedener Netzwerkverbindungen.

Ist policy-basiertes Routing dasselbe wie anwendungsbewusstes Routing?

Policy-basiertes Routing und anwendungsbewusstes Routing berücksichtigen beide verschiedene Faktoren bei der Entscheidungsfindung für das Routing. Allerdings werden Richtlinien im Allgemeinen unter Verwendung statischer Übereinstimmungsfelder (Port, Protokoll usw.) definiert, während anwendungsbewusstes Routing SLA-Faktoren wie Latenz, Jitter und Paketverlust bei der Entscheidungsfindung für das Routing berücksichtigt.

Welche Übereinstimmungskriterien sind für Cloud-Anwendungen am zuverlässigsten?

Die Anwendungsidentifikation ist das zuverlässigste Übereinstimmungskriterium für Cloud-Anwendungen, da die Cloud-Infrastruktur vergänglich ist. IP-Pinning ist in diesen Kontexten unzuverlässig, da sich wichtige IP-Adressen ändern können.

Wie testen Teams Routing-Richtlinien sicher?

Wenn möglich, sollte das Testen in einer Testumgebung oder durch Simulation erfolgen. Bei der Einführung in die Produktion sollten Änderungen schrittweise mit umfangreicher Validierung und Tests implementiert werden.

Was sind die größten Anzeichen dafür, dass ein PBR-Design zu komplex ist?

Anzeichen dafür, dass ein PBR-Design zu komplex ist, sind eine große Anzahl von Richtlinienausnahmen, inkonsistente Ergebnisse und häufige Notfalländerungen. Wenn dies der Fall ist, vereinfachen Sie, validieren Sie Änderungen und implementieren Sie Änderungsmanagementregeln für die Erstellung von Richtlinien.

Implementierung von Policy-Based Routing mit Cato Networks

Die Cato SASE Cloud-Plattform wird als globales Netzwerk von SASE PoPs implementiert, das durch ein dediziertes privates Backbone unterstützt wird. Administratoren können Netzwerkregeln definieren, die festlegen, wie bestimmte Arten von Datenverkehr über das Netzwerk geleitet werden sollen, um die Leistung zu verbessern oder Kosten zu kontrollieren. Darüber hinaus bietet Catos privates Backbone von Natur aus eine höhere Zuverlässigkeit, Leistung und Kontrolle als das öffentliche Internet.

Die Cato SASE Cloud-Plattform bietet sowohl Sicherheitsintegration als auch granulare Kontrolle über Netzwerk-Routing und Leistung. Um mehr über die potenziellen Vorteile für Ihr Unternehmen zu erfahren, vereinbaren Sie eine Demo.