F5 und Containerisierung

Unternehmen stehen ständig vor der Herausforderung, einerseits den technologischen Wandel zu akzeptieren, um neue Geschäftschancen zu erschließen, und andererseits ihr Unternehmen vor neuen Herausforderungen und Risiken zu schützen. In diesem Dokument untersuchen wir die Containerisierung und wie sich die Einführung dieser Technologie in F5-Produkten auf IT-Experten, Architekten und geschäftliche Entscheidungsträger auswirkt.

In den letzten 20 Jahren hat die Virtualisierung das Server-Computing verändert und ermöglicht es, mehrere separate Betriebssysteme auf einer Hardwareplattform auszuführen. Ein modernerer Ansatz ist die Containerisierung (oder Betriebssystemvirtualisierung), die es ermöglicht, mehrere Apps auf einer einzigen Instanz eines Hostbetriebssystems auszuführen. Jede App-Instanz teilt dann die in der einzelnen Betriebssysteminstanz installierten Binärdateien und Bibliotheken. Abbildung 1 vergleicht diese Ansätze.

Im Gegensatz zu virtuellen Maschinen (VMs) können Container dasselbe Betriebssystem gemeinsam nutzen und die Virtualisierung erfolgt auf Betriebssystemebene statt auf Hypervisorebene.

Es überrascht nicht, dass Entwickler Container mögen, da sie die Entwicklung und Bereitstellung von Anwendungen sowie die Erstellung von Microservices schnell und einfach machen. Die Containerisierung ermöglicht auch eine bessere Portabilität, da sich Apps in Containern einfacher auf verschiedenen Betriebssystemen, Hardwareplattformen und Cloud-Diensten bereitstellen lassen. Container verbrauchen weniger Ressourcen als Anwendungen, die direkt auf Bare-Metal-gehosteten Betriebssystemen oder auf virtuellen Maschinen ausgeführt werden.

Im Allgemeinen konzentriert sich der Großteil der Diskussion (und Dokumentation) zu Containern auf die Programmier- oder DevOps-Perspektive. Als IT-Experte, Systemarchitekt oder geschäftlicher Entscheidungsträger schätzen Sie zwar die Flexibilität, die die Containerisierung mit sich bringen kann, haben jedoch möglicherweise berechtigte Bedenken hinsichtlich der Auswirkungen dieser Änderung auf die Verwaltung und Überwachung von Apps und Diensten in Ihrer Umgebung. Sie möchten außerdem sicherstellen, dass die Containerisierung die Netzwerk- und App-Sicherheit nicht beeinträchtigt.

In einem zunehmend wettbewerbsorientierten Markt müssen moderne IT-Systeme realisierbare Geschäftsvorteile bieten. Um dieser Anforderung gerecht zu werden, müssen die IT-Abteilungen ihr Anwendungskapital steigern, indem sie Architekturen entwerfen und erstellen, die nicht nur mehr Apps bieten, sondern Apps mit größerer Funktionalität, verbesserter Benutzerfreundlichkeit und einfacherer Integration.

Die Herausforderung für IT-Leiter besteht darin, dass ihre Abteilungen mehr Funktionalität bereitstellen müssen, ohne den Personalbestand zu erhöhen. Produktivitätssteigerungen lassen sich heute nicht mehr durch die Einstellung zusätzlicher Mitarbeiter erzielen, sondern durch technologische Fortschritte und die Automatisierung. So lässt sich die Zahl der den Kunden zur Verfügung stehenden Apps erhöhen, die von einem Team gleicher Größe verwaltet werden können.

Eine weitere Herausforderung stellt die einfache Bereitstellung von Containern dar. Entwickler müssen geschult und angeleitet werden, um bei der Erstellung von Anwendungen sowohl den Umfang als auch die Sicherheit zu berücksichtigen. IT-Experten können ihnen dabei helfen, diese Ergebnisse zu erzielen. Dabei müssen Sie die Auswirkungen von Containerplattformen wie Kubernetes und Docker auf die Produktion bedenken und darauf achten, dass die notwendige Agilität nicht zu unerwünschten Ergebnissen aufgrund mangelhafter Sicherheitspraktiken oder einer fehlenden Berücksichtigung der Produktionslasten führt. 

Ein wesentlicher Faktor zur Erzielung realisierbarer Geschäftsvorteile besteht in der Minimierung der Wertschöpfungszeit. Faktoren wie Leistung und Latenz treten gegenüber der einfachen Einfügung zunehmend in den Hintergrund. Wenn also zwei Komponenten nahezu die gleiche Funktionalität aufweisen, die eine jedoch eine höhere Leistung hat und die andere leichter zu integrieren ist, entscheiden sich Unternehmen eher für die Komponente, die sich leichter in die aktuelle Umgebung integrieren lässt. Angesichts der zunehmenden Komplexität der Umwelt wird sich diese Tendenz wahrscheinlich fortsetzen.

Wenn Sie eine Technologie wie die Containerisierung implementieren möchten, müssen Sie den Wert dieses neuen Ansatzes irgendwie messen können. Zu den wertbeeinflussenden Faktoren zählen typischerweise Eignung, Fähigkeit, Aufwand und Kosten. Die folgende Gleichung zeigt ein Beispiel, wie auf der Grundlage dieser Faktoren ein relativer Wert zugewiesen wird.

Die Einheiten, die Sie in der Gleichung verwenden, sind irrelevant. Wichtig ist, dass sie für alle Elemente, die Sie auswerten, gleich sind.

Diese Gleichung unterstreicht, dass sich die Technologie nahtlos integrieren lassen muss und dass Vertrautheit (d. h. einfache Einbindung) wichtiger sein kann als erstklassige Funktionen oder Leistung. Folglich hat der Bereitstellungsaufwand einen ausgleichenden Effekt bei der Berechnung des Gesamtwerts. Dies kann dazu führen, dass weniger leistungsfähige Produkte aufgrund ihrer einfachen Einbindung für den Kunden attraktiver sind.

Ein Beispiel für diesen Effekt könnten zwei konkurrierende Überwachungslösungen sein. Produkt A verfügt über fantastische Spezifikationen mit erstklassiger Protokollierung und Berichterstellung. Es verfügt über Sicherheit auf Militärniveau und ist äußerst einfach zu verwalten. Leider erschweren die proprietäre Befehlszeilenschnittstelle, die mangelhafte Unterstützung offener Standards und das Fehlen von Integrationsfunktionen die Installation. Es ist auch teurer als die meisten anderen Produkte auf dem Markt.

Im Vergleich dazu verfügt Produkt B bei weitem nicht über die Fähigkeiten seines Konkurrenten, bietet aber dennoch ein akzeptables Maß an Überwachung und Sicherheit. Allerdings kann es im Vergleich zum Konkurrenzprodukt sowohl hinsichtlich der Kosten als auch hinsichtlich der einfachen Installation punkten. Durch die tabellarische Auflistung der Bewertungen für jedes Produkt ergibt sich die folgende Tabelle mit Noten von 1 bis 10 für Eignung, Leistungsfähigkeit und Installationsaufwand, wobei 1 die niedrigste und 10 die höchste Bewertung ist.

Wenn wir diese Zahlen in die obige Gleichung einsetzen, erhalten wir den Wert, der in der unteren Zeile der Tabelle aufgeführt ist.

Sie sehen, dass das weniger geeignete und leistungsfähige Produkt, das fünfmal einfacher zu installieren ist und nur die Hälfte kostet, im Vergleich zu seinem besten Konkurrenten schätzungsweise den dreifachen Wert bietet. Viele Unternehmen sind sich dieser Überlegungen bewusst und betrachten die einfache Installation und Integration bei der Einführung und Bereitstellung neuer Technologien zunehmend als Schlüsselfaktor. Containerbasierte Ansätze können den Bereitstellungsaufwand und die Kontrollkosten erheblich reduzieren, während gleichzeitig Eignung und Leistungsfähigkeit erhalten bleiben.

Da Apps den Geschäftswert zunehmend steigern, bietet die Containerisierung eine logische Lösung für die Herausforderungen DevOps-zentrierter IT-Implementierungspraktiken. Container sorgen für die Isolation von der Plattform, auf der sie ausgeführt werden, sowie voneinander, ohne dass der Verwaltungsaufwand für den Betrieb virtueller Maschinen entsteht. Entwickler können problemlos App-Umgebungen erstellen, die alle benötigten Binärdateien und Bibliotheken enthalten und über die erforderlichen integrierten Netzwerk- und Verwaltungsfunktionen verfügen. Darüber hinaus vereinfacht die Containerisierung das Testen und Bereitstellen von Anwendungen.

Containerbasierte Umgebungen ermöglichen eine bessere Ressourcenauslastung als virtuelle Computer, indem sie die Anzahl der Anwendungsinstanzen, die auf einem Server ausgeführt werden können, massiv erhöhen. Ohne den Overhead von Host- und Gastbetriebssystemen nutzen Containerumgebungen Prozessorzeit und Speicherplatz effizienter, indem sie den Betriebssystemkernel gemeinsam nutzen. Die Containerisierung bietet auch mehr architektonische Flexibilität, da die zugrunde liegende Plattform entweder eine virtuelle Maschine oder ein physischer Server sein kann. Red Hat Produktstrategie¹ zeigt, dass fast die Hälfte der Kubernetes-Kunden, die künftig Apps in Containern bereitstellen, die Container-Engine direkt auf Bare Metal ausführen werden.

Die Containerisierung stellt den nächsten Fortschritt auf dem Weg vom hardwarebasierten Computing zur Virtualisierung und zur Multi-Cloud dar und ermöglicht eine Automatisierung von bis zu 100 %, Serviceerstellungszeiten von unter einer Sekunde sowie Servicelebensdauern, die in Sekunden gemessen werden können. Containerumgebungen wie Docker, OpenShift und Kubernetes ermöglichen dieses sofortige Bereitstellen und Aufheben der Bereitstellung von Diensten und Mikrodiensten innerhalb einer modernen IT-Architektur.

Wichtig ist, dass die Containerisierung einen entscheidenden Vorteil bietet, der in der heutigen Multiplattform- und Multi-Cloud-Welt von entscheidender Bedeutung ist: die Möglichkeit, Apps von lokalen Standorten in die Cloud, zu einem anderen Cloud-Anbieter und wieder zurück in die lokalen Standorte zu portieren, und zwar ohne Änderungen am zugrunde liegenden Code. Da die Interoperabilität ein zentraler Faktor für Architekturentscheidungen ist, ermöglicht diese Portabilität den IT-Abteilungen, wichtige Meilensteine bei der Bereitstellung von App-Diensten zu erreichen, und unterstützt DevOps-Teams bei der Erfüllung organisatorischer Ziele. Ein aktueller IBM-Bericht² hebt hervor, wie Unternehmen durch die Verwendung von Containern für die App-Bereitstellung auch die App-Qualität verbessern, Fehler reduzieren und Anwendungsausfallzeiten und die damit verbundenen Kosten minimieren können.

Derselbe Bericht listet auch Anwendungen auf, die sich besonders für containerbasierte Umgebungen eignen, darunter Datenanalyse, Webdienste und Datenbanken. Der Schlüsselfaktor ist hier die Leistung. Zu den weiteren relevanten Faktoren, die berücksichtigt werden müssen, gehört jedoch, ob die Anwendungen voraussichtlich in mehreren Umgebungen ausgeführt werden und ob sie Microservices verwenden, um mehrere parallel arbeitende DevOps-Teams zu unterstützen. Mit Containern können Sie Leistungsprobleme beheben, indem Sie einfach mehr Instanzen einer App hochfahren – vorausgesetzt, Sie implementieren ein zustandsloses Architekturdesign und stellen App-Dienste im großen Maßstab bereit.

Container bringen bei der Bereitstellung einige Herausforderungen mit sich und die noch junge Technologie hat noch nicht den Reifegrad der Virtualisierung erreicht. Der folgende Abschnitt beleuchtet einige der Herausforderungen, die Container mit sich bringen.

1. Schlüsselverwaltung – Die Schlüsselverwaltung zwischen Containern kann problematisch sein, insbesondere weil ein Hauptvorteil von Containern die Portabilität ist. Ihre Schlüsselverwaltungsumgebung muss in der Lage sein, die Bewegung von Containern zwischen lokalen Hosts sowie in die Cloud und wieder zurück zu bewältigen.
2. Vernetzung – Container stellen aufgrund der Geschwindigkeit, mit der Container hoch- und heruntergefahren werden können, eine Herausforderung für traditionelle Vernetzungsmodelle dar. Folglich wären statische Netzwerkadressen in einer solchen Umgebung nicht praktikabel. Und obwohl Adressierungsmechanismen wie das Dynamic Host Configuration Protocol (DHCP) bei physischen Hosts und virtuellen Maschinen gut funktionierten, können Container-Workloads erscheinen und verschwinden, bevor die IP-Adresse des Containers sie registrieren kann und der Container selbst erkennbar wird. Die Trennung von der physischen Netzwerkhardware durch die Verwendung von containerbasiertem Software-Defined Networking (SDN) ist von entscheidender Bedeutung, damit Sie ganze Containertopologien von lokalen in private und öffentliche Cloudumgebungen migrieren können. Die meisten Containerumgebungen implementieren eine Form der Container Network Interface (CNI), um diese Funktion auszuführen.
3. Mehrere Containertechnologien – In Ihrer Organisation sind möglicherweise bereits mehrere unterschiedliche Containertechnologien in der Umgebung implementiert. Selbst bei diesen Implementierungen ist es wahrscheinlich, dass Ihren Mitarbeitern das tiefe technische Verständnis all dieser Umgebungen fehlt. Schulungen sind wichtig und Sie müssen Ihrem Team Zeit geben, sich mit diesen verschiedenen Containerimplementierungen vertraut zu machen. Auch die Verwaltung dieser verschiedenen Containertechnologien ist teurer. Verbesserungen bei der Verwaltbarkeit, insbesondere in der neuesten Kubernetes-Version, führen jedoch dazu, dass Unternehmen standardmäßig die einfachste und am häufigsten verwendete Umgebung verwenden.
4. Risiken der Standardkonfiguration – Da Apps in Containern entwickelt werden, steigt das Risiko falsch konfigurierter Container. Ein Beispiel ist die Bereitstellung von Containern in ihrer Standardkonfiguration. Globale Bedrohungsaufklärung von Unit 42 in Palo Alto³ Vor Kurzem wurden über 40.000 einzigartige Containergeräte identifiziert, die über die Standardkonfigurationseinstellungen verfügen. Natürlich sind nicht alle dieser Instanzen anfällig für Ausnutzungen, aber es zeigt, dass grundlegende Fehlkonfigurationspraktiken weit verbreitet sind und diese Organisationen zu Zielen für weitere Ausnutzungen machen.

Ein wichtiges Designkriterium bei der Containerisierung ist ein Gleichgewicht zwischen den drei Vektoren Leistung, Dichte und Zuverlässigkeit, wie in Abbildung 2 dargestellt.

Der Ansatz von F5 besteht darin, sich auf die Containerisierung auf Komponentenebene und nicht auf Systemebene zu konzentrieren. Dieser Ansatz bringt mehrere Vorteile mit sich, darunter:

• Reduzieren Sie den Speicherbedarf jedes Containers, indem Sie nicht verwendeten Netzwerkfunktionen keinen Speicher zuweisen.
• Minimieren Sie die Abhängigkeit vom Host-CNI und vermeiden Sie dadurch Netzwerkleistungsprobleme.
• Implementierung kleiner, leichtgewichtiger Komponenten, die den Fehlerbereich auf die Abonnenten-/Benutzerebene bringen.

Durch Containerisierung auf Komponentenebene können wir dieses Drei-Wege-Gleichgewicht durch Disaggregation, Planung und Orchestrierung erreichen. F5-Produkte, die Container implementieren, nutzen diese Funktionen dann, um die Vorteile der Containerisierung zu maximieren.

Um Unternehmen bei der Einführung containerbasierter Technologien zu unterstützen, bietet F5 F5® Container Ingress Services an, eine Open-Source-Containerintegration. Container Ingress Services bietet Automatisierungs-, Orchestrierungs- und Netzwerkdienste wie Routing, SSL-Offload, HTTP-Routing und robuste Sicherheit. Wichtig ist, dass es unsere Palette an BIG-IP-Diensten in native Containerumgebungen wie Kubernetes und Red Hat OpenShift integriert.

Architektonisch gesehen nehmen Container Ingress Services in Bezug auf Ihre containerisierten Apps die folgende Position ein: Sie fügen Front-Door-Ingress-Controller-Dienste hinzu und ermöglichen Sichtbarkeit und Analyse über BIG-IP.

Container Ingress Services befasst sich mit zwei der wichtigsten Probleme, die zuvor in diesem Dokument identifiziert wurden: Skalierbarkeit und Sicherheit. Sie können Apps skalieren, um Container-Workloads gerecht zu werden und Containerdaten durch die Aktivierung von Sicherheitsdiensten zu schützen. Mit der BIG-IP-Plattformintegration können Sie die Leistung von Self-Service-Apps in Ihrer Orchestrierungsumgebung implementieren. Durch die Verwendung von Container Ingress Services wird auch die Wahrscheinlichkeit verringert, dass Entwickler Kubernetes-Container mit Standardeinstellungen implementieren, indem Helm-Diagramme für vorlagenbasierte Bereitstellungen und Upgrades verwendet werden.

Darüber hinaus ermöglichen Container Ingress Services Sicherheit mit erweitertem Angriffsschutz für Container-Anwendungen und Zugriffskontrolldiensten. Für App-Entwickler und DevOps-Experten, die mit Konfigurationen nicht vertraut sind, bieten die Anwendungsdienste von F5 neben DevCentral-Kunden- und Open-Source-Communitys auch sofort einsatzbereite Richtlinien und rollenbasierte Zugriffskontrolle (RBAC) mit Support auf Unternehmensniveau.

Die mit nativem Kubernetes verbundenen Herausforderungen bestehen darin, moderne Container-Apps ohne erhöhte Komplexität zu entwickeln und zu skalieren. Es kann Einschränkungen bei Leistung und Zuverlässigkeit geben und Dienste, die einen Zugang zu Kubernetes-Containern bieten, sind möglicherweise inkonsistent implementiert, sodass für Bereitstellung und Konfiguration ein größerer Integrationsaufwand erforderlich ist.

Die Lösung für diese Herausforderungen ist der NGINX Kubernetes Ingress Controller , der die grundlegende Kubernetes-Umgebung erweitert, indem er Bereitstellungsdienste für Kubernetes-Apps bereitstellt. Normalerweise können Kubernetes-Pods nur mit anderen Pods im selben Cluster kommunizieren. Abbildung 4 zeigt den Kubernetes Ingress Controller, der den Zugriff vom externen Netzwerk auf Kubernetes-Pods ermöglicht und über Ingress-Ressourcenregeln gesteuert wird, die Faktoren wie den URI-Pfad (Universal Resource Identifier), den Namen des zugrunde liegenden Dienstes und andere Konfigurationsinformationen steuern. Die verfügbaren Dienste hängen davon ab, ob Sie NGINX oder NGINX Plus verwenden. 

Unternehmen, die NGINX verwenden, erhalten Funktionen wie Lastausgleich, SSL- oder TLS-Verschlüsselungsbeendigung, URI-Umschreiben und Upstream-SSL- oder TLS-Verschlüsselung. NGINX Plus bietet zusätzliche Funktionen, wie z. B. Sitzungspersistenz für zustandsbehaftete Anwendungen und JSON Web Token (JWT)-API-Authentifizierung.

Wenn Unternehmen Microservices einführen, um die Flexibilität der Entwickler und die Cloud-native Skalierbarkeit zu verbessern, müssen sie eine Lernkurve durchlaufen, während die organisatorischen Fähigkeiten mit der Technologie Schritt halten müssen. Diese Unternehmen möchten die Vorteile von Microservices schnell nutzen und gleichzeitig die Stabilität bewahren, die die Grundlage ihres Kundenerlebnisses bildet.

Aspen Mesh ist eine vollständig unterstützte Version des Open-Source-Service-Mesh Istio , das Unternehmen dabei hilft, Microservices und Kubernetes in großem Maßstab einzuführen und die Sichtbarkeit, Kontrolle und Sicherheit von Microservice-Architekturen zu verbessern. Aspen Mesh fügt wichtige Service Mesh-Unternehmensfunktionen hinzu, darunter eine Benutzeroberfläche, mit der sich der Status und die Integrität Ihrer Dienste leicht visualisieren und verstehen lassen, feinkörniges RBAC sowie Richtlinien- und Konfigurationsfunktionen, die das Erzielen eines gewünschten Verhaltens in Ihren Containeranwendungen erleichtern.

Aspen Mesh bietet eine Kubernetes-native Implementierung, die in Ihrem Kubernetes-Cluster bereitgestellt wird und in Ihrer privaten oder öffentlichen Cloud oder vor Ort ausgeführt werden kann. Wichtig ist, dass es mit einem F5-basierten Ingress-Mechanismus zusammenarbeiten kann und Container Ingress Services verwendet, um tiefere Layer-7-Funktionen bereitzustellen.

In Bezug auf die Architektur nutzt Aspen Mesh ein Sidecar-Proxy-Modell, um containerisierten Anwendungen zusätzliche Funktionalität und Sicherheit zu verleihen (siehe Abbildung 5).