Uso de la tecnología de contenedores Docker con productos y servicios de F5

Las cambiantes necesidades de TI y el advenimiento de estrategias de desarrollo e implementación ágiles han llevado al surgimiento de la "contenedorización", una alternativa a la virtualización completa de la máquina en la que una aplicação se encapsula en un contenedor con su propio entorno operativo. La contenerización es una solución atractiva que permite a los desarrolladores iterar más rápido. También ofrece beneficios adicionales que abordan la sobrecarga asociada con las máquinas virtuales, lo que permite una mayor utilización de los recursos en el centro de datos definido por software (SDDC).

Si bien la contenerización no es un concepto nuevo, Docker, desarrollado por Docker, Inc. , ha sido ampliamente citado como la implementación preferida debido a su amplio soporte de la industria, estandarización y amplitud integral de capacidades. En palabras de la empresa, Docker es "una plataforma abierta para crear, enviar y ejecutar aplicações distribuidas". Proporciona a los programadores, equipos de desarrollo e ingenieros de operaciones la caja de herramientas común que necesitan para aprovechar la naturaleza distribuida y en red de las aplicações modernas". Como tal, Docker simplifica la gestión del ciclo de vida de las aplicaciones, desde el desarrollo hasta la implementación, y permite la portabilidad de las aplicação . Esta simplificación es fundamental para las empresas, considerando que existen múltiples opciones de alojamiento para una aplicação, ya sea en la nube pública o en la infraestructura de nube privada.

Este documento describe la dirección de F5 sobre el uso de contenedores dentro de la tecnología de F5 y para respaldar Docker para la entrega y seguridad de aplicação . Antes de analizar esta estrategia, es importante reconocer los puntos críticos del centro de datos y por qué estas tecnologías son fundamentales para la entrega de aplicação empresariales de próxima generación.

Nota: Este documento está dirigido a tomadores de decisiones de TI, arquitectos y desarrolladores. Se supone que el lector tiene conocimientos previos de tecnología de virtualización, desarrollo de software y el proceso del ciclo de vida de lanzamiento.

Varios estudios recientes sobre los puntos críticos de la infraestructura del centro de datos han identificado un conjunto consistente de necesidades para la evolución del centro de datos:

• Métodos de implementación de aplicação más rápidos
• Un proceso mejorado de gestión del flujo de trabajo
• Mayor disponibilidad y utilización de los recursos informáticos
• Mayor agilidad para mover cargas de trabajo según sea necesario

A medida que surgen nuevas tendencias en el desarrollo de aplicação , los clientes empresariales están cambiando su visión del modelo de gestión del ciclo de vida de las aplicaciones a lo siguiente:

• Las aplicações de próxima generación se diseñan cada vez más pensando en la nube.
• Linux se ha convertido en el sistema operativo (SO) de facto para el desarrollo de la nube.
• Aplicações en la nube de próxima generación:
  • Están diseñados para no tener estado y utilizar una arquitectura de microservicios acoplada de forma flexible.
  • Utilice marcos que permitan crear servicios de forma independiente, sin dependencias de versiones de software ni de servicios.
• Las empresas están adoptando cada vez más la automatización mediante el uso de herramientas de gestión de configuración (como Puppet, Chef y Ansible) y la orquestación de DevOps para aumentar la agilidad en el lanzamiento de software.
• A medida que las empresas desarrollan nuevas aplicações y migran las existentes a nubes públicas, la portabilidad es clave para evitar la dependencia de un proveedor. Aunque la tecnología de máquina virtual (VM) proporciona un nivel de abstracción, cada hipervisor implementa su entorno de manera diferente y, por lo tanto, no es totalmente portable.

Docker intenta abordar estos desafíos y, por lo tanto, ha surgido como una tecnología líder y convincente para virtualizar la infraestructura.

Los contenedores permiten la virtualización a nivel del sistema operativo al aislar cada aplicação como un proceso del sistema operativo. El concepto se ha utilizado de diversas formas en sistemas operativos como BSD con Jails, Oracle Solaris con Zones y, más recientemente, Linux con LXC. Docker se basa en LXC y ha añadido el botón "Easy Button" para que los desarrolladores puedan crear, empaquetar e implementar aplicações en la infraestructura de la nube sin necesidad de un hipervisor.

Las siguientes características diferencian a Docker de otras tecnologías de contenedores:

• Una capa de abstracción liviana (el motor Docker) sobre el sistema operativo para administrar el aislamiento y la red entre aplicações.
• Una interfaz de programación de aplicação (API) documentada para simplificar la implementación de aplicação basadas en Linux.
• El Registro Docker para compartir aplicações con otros usuarios y desarrolladores.
• Portabilidad de aplicação entre hosts habilitados para Docker, ya sean físicos, virtuales o alojados en la nube.
• Un sistema de archivos de unión que expone un sistema de archivos común a todos los contenedores Docker.
• Un ecosistema de empresas asociadas que ofrecen servicios y software de valor agregado, lo que permite que Docker se integre bien en una amplia variedad de estilos de trabajo de desarrollo.

Un sistema de archivos de unión permite que cada contenedor proporcione sus propios servicios específicos para ese contenedor, incluso si la ruta y el nombre de archivo subyacentes entran en conflicto con un archivo subyacente. Por ejemplo, un contenedor podría necesitar la versión 2.6 de una biblioteca de Python, mientras que otro podría requerir una versión posterior. El sistema de archivos subyacente podría proporcionar la versión 2.6, en cuyo caso se satisface un contenedor. Sin embargo, el contenedor que requiere la versión posterior puede suministrarla como parte de su imagen de contenedor. Esto genera un menor espacio para las imágenes de contenedor, ya que solo necesitan contener lo estrictamente necesario para su ejecución.

El diagrama de la Figura 1 ilustra los componentes utilizados en las implementaciones de aplicação VM y Docker. Tenga en cuenta que en este ejemplo, el enfoque VM tiene dos sistemas operativos invitados para soportar dos aplicações. En comparación, Docker solo requiere un sistema operativo host para lograr la misma densidad de aplicação pero, por supuesto, tiene una sobrecarga menor para hacerlo.

La siguiente tabla muestra la comparación entre las capacidades de VM y Docker.

Como se mencionó anteriormente, el objetivo principal de Docker es simplificar la gestión del ciclo de vida de las aplicaciones . Si bien Docker en hardware real es ciertamente una opción atractiva, ejecutar Docker en hipervisores tiene sus ventajas. Estos incluyen la capacidad de tomar instantáneas y permitir migraciones en vivo de un invitado completo, ambos pueden ser requisitos clave para la recuperación ante desastres sin perder el estado en vuelo.

Las principales soluciones de gestión y orquestación de infraestructura, como VMware vRealize Suite, OpenStack y nubes públicas como AWS y Azure, son compatibles con Docker en un tipo determinado de hipervisor, pero exponen un entorno común al contenedor de Docker, lo que permite la portabilidad de las aplicação independientemente del entorno. Este tipo de modelo de implementación heterogéneo permite a los clientes comenzar a usar Docker y obtener los beneficios de poder iterar más rápidamente sin tener que cambiar la infraestructura subyacente.

Al pasar a una única VM y sistema operativo por host, los clientes también pueden obtener beneficios en materia de recursos, ya que la VM no tiene que competir por ellos. Este aumento en la eficiencia se debe al hecho de que la memoria y el disco local se pueden asignar a ese único sistema operativo mientras que el hipervisor ya no tiene que arbitrar entre múltiples sistemas operativos.

La red le permite crear redes virtuales en Docker Engine que abarcan múltiples hosts. Los contenedores se pueden conectar a estas redes dondequiera que estén, lo que proporciona un control total sobre la topología de la red y qué contenedores pueden comunicarse con qué otros elementos de la red. No sólo eso, sino que el sistema que alimenta las redes se puede intercambiar con un complemento, lo que le permite integrarlo con cualquier sistema de red deseado sin tener que modificar la aplicação.

Para acomodar altas densidades de contenedores en un host determinado, es importante comprender el mecanismo mediante el cual cada contenedor se une a la red. De fábrica, Docker proporciona a cada contenedor una dirección privada a la que solo se puede acceder directamente desde otro contenedor que reside en el mismo host.

Para que los servicios lleguen a un contenedor desde otro host, deben enrutarse a través de la función de traducción de direcciones de red (NAT) basada en iptables de Docker. En la figura 2 se muestra un ejemplo.

La interfaz del host (Eth0) se expone utilizando otra dirección (en este caso, otra dirección RFC1918, 192.168.10.10). A cada contenedor Docker se le asigna automáticamente una dirección en el espacio 172.x.x/16 cuando se inicia. Para que un contenedor se comunique con entidades externas a su host de manera bidireccional, se le debe asignar un conjunto explícito de reglas a través de iptables.

En el ejemplo que se muestra en la Figura 2, las reglas se han configurado de tal manera que los contenedores pueden comunicarse a través de un mapeo de IP y puerto, exponiendo al contenedor A como 192.168.10.10/puerto 80 y al contenedor B como 192.168.10.10/puerto 81. Sin embargo, el contenedor C solo puede comunicarse con los otros dos contenedores utilizando la dirección 172.17.0.x.

Docker también admite IPv6 y permite el uso de direcciones totalmente enrutables. Esto permite que los contenedores se comuniquen con otros en diferentes hosts sin la necesidad de mapeo de direcciones. Sin embargo, esto sólo funcionará para IPv6, por lo que puede tener una aplicabilidad limitada para algunos entornos.

Muchos centros de datos definidos por software utilizan el concepto de redes definidas por software (SDN) para implementar de forma flexible sus invitados. SDN permite configurar túneles de red aislados para inquilinos independientes en el mismo hardware físico. También puede ser útil proporcionar una capa 2 tunelizada dentro de un centro de datos en la nube que de otro modo estaría completamente enrutada. La red Docker se basa en el concepto de Docker Bridge, que puede conectarse a un Open vSwitch para permitir la interoperabilidad con tecnologías como VXLAN o GRE.

El uso de Open vSwitch de esta manera permite la segregación de red de capa 2 para múltiples inquilinos, así como opciones para conectarse a otros entornos virtualizados. Por ejemplo, es probable que un centro de datos que utiliza Docker siga usando máquinas virtuales para servicios clave para los que se deberían reservar recursos dedicados conocidos. Estos podrían ser servicios de entrega de aplicação o recursos de alto rendimiento, como bases de datos y nodos de procesamiento. Estos recursos pueden conectarse a la red a través de tecnologías como VXLAN o GRE, de modo que el tráfico de un inquilino no sea visible para otro.

Escalar aplicações en este tipo de entorno requiere servicios ADC que también puedan participar de forma nativa en los protocolos de tunelización. F5 ofrece capacidades VXLAN y GRE para múltiples inquilinos para que funciones como equilibrio de carga, descarga de SSL, firewall, seguridad de aplicação , NAT y servicios DNS se puedan brindar a los clientes en la red a través de un túnel. Además, F5 proporciona interoperabilidad entre los tipos de encapsulación de túnel, incluidas las VLAN 802.1Q.

En el ejemplo que se muestra en la Figura 3, los niveles principales de la aplicação, como una base de datos, pueden estar ubicados en una parte diferente del centro de datos que los recursos utilizados para alojar instancias de Docker. En tal caso, la red del inquilino podría utilizar GRE o VXLAN para aislar y unir las dos subredes que de otro modo serían físicamente distintas.

Se puede insertar sin problemas una solución BIG-IP en la red a nivel de inquilino mediante la creación de un punto final de túnel VXLAN (VTEP) en la instancia BIG-IP. Luego pasa a formar parte de la red de inquilinos con conectividad a las instancias de Docker y de máquina virtual .

A partir de la versión 1.7, Docker comenzó a ofrecer algunas funciones experimentales que amplían las capacidades de red básicas de Docker con conceptos SDN. La arquitectura del complemento ofrece una oportunidad interesante para permitir que los servicios de entrega de aplicação y redes de F5 se inserten para una variedad de nuevos casos de uso, incluidos firewalls de última generación con contenedores con fluidez de aplicaciones, análisis de flujo de contenedores y aplicación de políticas, y administración de tráfico por flujo.

F5 ofrece una gama de productos que permiten la virtualización. Como líder del mercado de ADC con la cartera más amplia de servicios de seguridad y entrega de aplicação L4-L7 de la industria, F5 explora constantemente tecnologías innovadoras y las extiende a las plataformas BIG-IP, ya que todas comparten un marco subyacente común. La Figura 4 muestra la gama de ofertas de productos de F5, desde hardware personalizado hasta ofertas completas como servicio basadas en la nube para servicios L4 a L7. La plataforma BIG-IP está bien posicionada para soportar aplicações que se ejecutan en contenedores Docker.

Como se mencionó anteriormente, F5 reconoce los beneficios de Docker en diferentes casos de uso. Sin embargo, la implementación en infraestructura en contenedores aún es incipiente y existen múltiples opciones para el descubrimiento de servicios (como Consul, etcd y Mesos-DNS), la orquestación y la gestión del ciclo de vida de los servicios de contenedores (que incluyen Mesos, OpenStack, Kubernetes, Docker y Cloud Foundry). Si bien los servicios de red son un aspecto fundamental de este ecosistema, es importante tener una integración estrecha con el entorno de orquestación para garantizar una implementación sin problemas. Esta integración también es vital para que los servicios L4-L7 estén disponibles y sean transparentes para los usuarios que implementan aplicações basadas en microservicios en una infraestructura en contenedores. El enfoque de F5 está orientado a brindar una experiencia consistente en servicios, así como visualización en implementaciones físicas, virtualizadas o en contenedores.

La primera parte de la solución del problema es proporcionar servicios de red para el tráfico norte-sur (N-S) (es decir, tráfico para los “microservicios orientados al cliente”). La mayoría de las plataformas de orquestación líderes manejan la implementación, el escalamiento y la exposición de la conectividad de los servicios en contenedores al mundo exterior. Al permitir una integración estrecha con las principales plataformas de orquestación de contenedores, F5 garantiza que los sistemas BIG-IP puedan descubrir automáticamente los microservicios N-S y luego administrar el tráfico de esos servicios. Por ejemplo, Mesosphere Marathon y Kubernetes ofrecen la opción de “etiquetar” los servicios. Estas etiquetas se pueden usar para descubrir servicios del lado del cliente (puesta en marcha, desmantelamiento o escalado) y se pueden agregar automáticamente como miembros del grupo al sistema BIG-IP.

El uso del enfoque anterior con hardware BIG-IP o ediciones virtuales (VE) permite la centralización de funciones críticas con aceleración de hardware como:

• Descarga de SSL con gestión de certificados centralizada.
• Aceleración como compresión, optimización de TCP y SPDY/HTTP2.
• Cortafuegos sofisticado con protección DoS.
• Fluidez de la aplicação para frustrar ataques a la capa de aplicação .
• Visibilidad de todas las conexiones de red entrantes y salientes.
• Depuración muy mejorada mediante registro inteligente y detección de anomalías.

Las soluciones de F5 brindan la capacidad de escalar aplicações en contenedores, así como de realizar la traducción de IPv4 a IPv6 y DNS entre la infraestructura de Docker y la red externa. Para utilizar una infraestructura de contenedores Docker totalmente enrutable, las organizaciones necesitarán no solo una función de red IPv4 a IPv6 eficiente, sino también soporte para traducir solicitudes DNS. La infraestructura de contenedores Docker puede operar puramente en IPv6, completamente aislada de IPv4 y, al mismo tiempo, mantener una ruta fluida hacia la conectividad IPv4.

En el ejemplo que se muestra en la Figura 5, se han aprovisionado los servicios NAT64 y DNS64 (nuevamente, en cualquier forma, física o virtual). El contenedor Docker intenta una conexión a www.example.com, para el cual, en este ejemplo, no existe ninguna dirección IPv6.

El sistema BIG-IP está configurado para ser el solucionador de DNS para la instalación de la plataforma Docker. Está configurado con una dirección IPv6 para el propio solucionador de DNS, así como una dirección de prefijo IPv6 especial (que se muestra en rojo) para la traducción de IPv4 a IPv6.

Una vez que el dispositivo BIG-IP recibe la consulta DNS IPv6, primero realiza una operación recursiva para ver si hay una dirección IPv6 disponible. Sin embargo, en este ejemplo, el servidor DNS autorizado para www.example.com responde con un registro vacío para la solicitud AAAA. A continuación, el dispositivo BIG-IP realiza una consulta IPv4, para la cual recibe un registro DNS A. Antepone la dirección del prefijo especial a la dirección IPv4 y la envía de vuelta al cliente Docker.

El cliente Docker ahora tiene su dirección resuelta e inicia una conexión TCP. Debido a que Docker usa el prefijo especial, la función NAT64 reconoce que se requiere la traducción de IPv6 a IPv4.

La función NAT64 crea un enlace para la conexión entre la dirección IPv6 de Docker, la dirección NAT64 con prefijo especial para este servidor IPv4 y el servidor IPv4. La solicitud de conexión se envía al servidor IPv4. Todas las respuestas de ese servidor, que responde a través de IPv4, son traducidas por la función NAT64 para la conectividad entre el contenedor Docker y el servidor IPv4.

El siguiente paso crítico para crear una integración estrecha es brindar servicios para el tráfico este-oeste (E-O), es decir, el paso de datos entre microservicios que requieren servicios ADC. Teniendo en cuenta la necesidad de poner en marcha servicios en segundos y la naturaleza efímera de los microservicios, el enfoque de F5 es habilitar un ADC liviano. (Para servicios avanzados como autenticación o L7, protección a nivel de aplicación, el tráfico se redirigirá a la instancia BIG-IP en el borde N-S).

La cantidad de servicios en contenedores en una arquitectura de microservicios será mucho mayor que en una arquitectura tradicional, con múltiples rutas de comunicación entre microservicios. El posible efecto secundario de esta arquitectura puede ser la complejidad, haciendo más difícil solucionar problemas de rendimiento. Por ejemplo, si una aplicação muestra un rendimiento deficiente, es importante tener visibilidad de extremo a extremo en los diferentes servicios desde el borde del NS. Por lo tanto, un enfoque de visualización centralizada que pueda correlacionar los patrones de tráfico entre el sistema BIG-IP en el dominio N-S y el ADC liviano en el dominio E-O es extremadamente crítico para la resolución de problemas.

También se pueden insertar instancias de soluciones F5 BIG-IP entre aplicações para proporcionar equilibrio de carga o servicios de seguridad, abordando así las preocupaciones de seguridad del tráfico EW. Por ejemplo, un host Docker se puede configurar para dirigir el tráfico desde un contenedor para atravesar un sistema BIG-IP para su análisis antes de ingresar a otro contenedor. Esto se puede realizar utilizando BIG-IP Aplicação Security Manager™ (ASM), que es fluido en aplicaciones y puede detectar si el contenedor en cuestión está siendo objeto de un ataque, como por ejemplo la explotación de una vulnerabilidad.

En la actualidad, muchas implementaciones exitosas realizadas por clientes de F5 utilizan la contenedorización a escala masiva. Estas organizaciones abarcan muchos mercados verticales, incluidos los proveedores financieros, de telecomunicaciones y de SaaS. El papel de las soluciones de F5 en estos entornos incluye actualmente proporcionar un servicio ADC en estos entornos para garantizar aplicações rápidas, seguras y disponibles. Estos servicios se pueden integrar para permitir el autoservicio para los propietarios de aplicação o DevOps, o para orquestar esos servicios a través del sistema de gestión de contenedores.

F5 planea ampliar estos servicios a la propia infraestructura en contenedores para abordar el descubrimiento de servicios, la gestión del tráfico E-O y la seguridad. F5 también planea aprovechar la contenerización dentro de su suite de productos, aprovechando la tecnología en plataformas físicas, ofreciendo servicios de software en contenedores y utilizando la arquitectura contenedorizada dentro de la plataforma de servicios basada en la nube F5 Silverline®.

La siguiente tabla ofrece una visión de las direcciones que F5 está explorando o desarrollando activamente:

Docker presenta oportunidades claras para mejorar la eficiencia del centro de datos, ya sea físico o basado en la nube. Al mismo tiempo, los usuarios de Docker pueden tener más confianza en que sus aplicações son portables a nuevos entornos. Fundamentalmente, Docker permite a los desarrolladores de aplicação ser más ágiles y entregar aplicações al mercado más rápidamente. Al evolucionar su DevOps al modelo Docker, los clientes a menudo aprovechan la oportunidad para introducir nuevos flujos de trabajo de autoservicio basados ​​en servicios estandarizados más pequeños en los que los desarrolladores pueden colocar sus aplicações.

Docker permite que las aplicações escalen rápidamente a través de la creación de instancias de contenedores livianos, y los productos de entrega de aplicação de F5 son totalmente compatibles con dichos entornos. Al utilizar las soluciones F5 BIG-IP, los clientes pueden orquestar el ciclo de vida completo de una aplicação. Esto se puede hacer a través de API REST integrales para operaciones críticas, como la creación y el mantenimiento de VIP, administración centralizada de certificados/SSL, servicios de firewall y seguridad de aplicação con alta disponibilidad en una arquitectura de múltiples inquilinos.

Docker se puede utilizar en una variedad de modelos, incluidas implementaciones de nube pública y privada. F5 está a la vanguardia en la provisión de interoperabilidad y soporte para estos entornos, ofreciendo una funcionalidad clave dirigida específicamente a OpenStack, VMware y los principales proveedores de nube como Amazon AWS y Microsoft Azure.

Los clientes que migran a un modelo DevOps evolucionado en el que Docker es un componente principal reconocen que las mejoras operativas que se pueden lograr potencialmente dependen de una plataforma que escale, sea segura, tenga alta disponibilidad y sea tan ágil como lo exigen los nuevos flujos de trabajo. Los productos y servicios de F5 están diseñados para funcionar con el conjunto más amplio de tecnologías y socios tecnológicos de la industria para cumplir la promesa de la visión de Docker. El compromiso de F5 con Docker está respaldado por sólidas inversiones en la hoja de ruta y una mejora continua del producto para garantizar el éxito de lo que se convertirá en uno de los modelos de implementación dominantes para el centro de datos definido por software.