Como adicionar serviços de entrega de aplicativos F5 ao OpenStack

OpenStack é uma plataforma de software de código aberto usada para fornecer computação em nuvem. O OpenStack, que começou como um projeto conjunto entre a NASA e a RackSpace Hosting, atualmente é gerenciado pela fundação OpenStack com a missão de promover o software e a comunidade OpenStack.

Várias organizações comerciais agora produzem sua própria distribuição OpenStack ou oferecem serviços adicionais, como suporte, consultoria ou dispositivos pré-configurados.

O OpenStack é composto por vários componentes que fornecem os vários serviços necessários para criar um ambiente de computação em nuvem. Esses componentes estão amplamente documentados em outros lugares. No entanto, há uma série de módulos que são diretamente relevantes para uma implantação do F5 OpenStack.

Um elemento fundamental do OpenStack é a API RESTful , por meio da qual os componentes de infraestrutura podem ser configurados e automatizados. Em muitos casos de uso do OpenStack, como a construção de uma nuvem multilocatária de autoatendimento ou a criação de uma infraestrutura para dar suporte a práticas de DevOps, a orquestração orientada por API é essencial. A capacidade de reduzir o tempo de implantação de semanas para minutos, ou de implantar centenas de serviços por dia, geralmente é a força motriz por trás da mudança para uma plataforma de nuvem. Para que isso seja eficaz, todos os componentes da infraestrutura devem fazer parte da estrutura de automação. Muitos aplicativos exigirão serviços avançados de entrega de aplicativos (como segurança de aplicativos ou controle de acesso) para estarem realmente prontos para produção, por isso é essencial que os serviços de entrega de aplicativos se integrem às ferramentas de orquestração e provisionamento do OpenStack.

Multilocação é um conceito importante no OpenStack. No OpenStack, um grupo de usuários é chamado de projeto ou locatário. (Os dois termos são intercambiáveis.) Os projetos podem receber cotas para recursos como computação, armazenamento ou imagens. Um dos pontos de decisão mais importantes ao projetar para multilocação é como a rede é projetada para os locatários. As plataformas F5® BIG-IP® oferecem uma variedade de opções de multilocação e separação de rede para permitir a interoperabilidade com a multilocação OpenStack.

As redes de provedores geralmente usam redes planas (não marcadas) ou, mais comumente, VLAN (redes marcadas 802.1Q). Elas se assemelham muito às redes tradicionais de data centers. As redes OpenStack são definidas e criadas pelo administrador e compartilhadas entre os locatários.

Em alguns casos, as instâncias de computação de um locatário terão interfaces diretamente na rede do provedor. Os locatários não definem suas próprias redes, mas simplesmente se conectam às redes configuradas do provedor usando intervalos de endereços IP definidos pelo administrador do provedor. Em outros casos, os locatários criarão configurações de rede virtual dentro das redes do provedor.

Os administradores podem permitir que os locatários criem suas próprias arquiteturas de rede específicas, que são mais frequentemente controladas pelo OpenStack Neutron usando instâncias do Open vSwitch em nós de computação, embora outras soluções de rede definida por software (SDN) também possam ser usadas. VLANs ou túneis Ethernet transparentes usando tecnologia GRE ou VXLAN permitem a comunicação entre instâncias de computação de locatários e os isolam de outros locatários. Desde o início de 2016, o tunelamento GRE tem sido o método de implantação mais comum. Os locatários podem criar suas próprias redes e intervalos de endereços IP, que podem se sobrepor entre os locatários. Cada locatário pode ter um roteador OpenStack para permitir a comunicação fora de suas redes. Isso é feito alocando ao locatário um ou mais endereços IP flutuantes, que o roteador do locatário traduz para o endereço IP privado do locatário configurado. (Observe que os endereços IP flutuantes do OpenStack Neutron e do BIG-IP são coisas diferentes; como a plataforma BIG-IP gerencia o isolamento de locatários será discutido mais tarde.)

Os produtos F5 oferecem um espectro de serviços avançados de entrega de aplicativos projetados para fornecer escalabilidade, disponibilidade e segurança em várias camadas. Alguns exemplos importantes (mas não exaustivos) incluem:

A plataforma BIG-IP está disponível em edições física, virtual e em nuvem. A plataforma fornece serviços de aplicativos por meio de módulos de software BIG-IP. Uma plataforma BIG-IP pode executar um ou mais módulos de software para atender às necessidades dos aplicativos, e a plataforma pode ser implantada como uma unidade autônoma ou em clusters de alta disponibilidade.

A plataforma BIG-IP é um proxy de altíssimo desempenho, com estado, bidirecional e de cópia zero. Entender esse princípio arquitetônico básico pode ajudar a esclarecer como a plataforma BIG-IP fornece serviços e esclarecer escolhas arquitetônicas.

Os clientes se conectam ao dispositivo ou instância BIG-IP, que se conecta aos servidores de back-end (ou, em alguns casos, como serviços DNS, lida com o tráfego do aplicativo e responde diretamente ao cliente). Isso cria um “air gap” TCP, com regeneração completa da sessão TCP entre o cliente e o servidor. Dentro dessa lacuna lógica, a plataforma BIG-IP fornece serviços de entrega de aplicativos. À medida que o tráfego do aplicativo transita pela plataforma, ele pode ser inspecionado, alterado e controlado, de modo que a plataforma BIG-IP oferece controle total do tráfego de entrada e saída do aplicativo.

A plataforma BIG-IP também conta com a certificação ICSA Labs para firewalls de rede e de aplicativos web, para os quais a separação de tráfego e a segurança da plataforma são rigorosamente testadas, fornecendo garantia adicional de segurança da plataforma.

Os serviços e plataformas de entrega de aplicativos OpenStack e F5 se combinam para trazer serviços de nível de produção para aplicativos hospedados OpenStack. Os serviços de entrega de aplicativos F5 podem ser acessados de duas maneiras no OpenStack: O serviço Neutron Load Balancing as a Service (LBaaS) versão 2 e orquestração Heat. (O F5 também oferece suporte à integração do LBaaS versão 1 com o Neutron, mas a comunidade OpenStack tornou obsoleta a API versão 1 a partir do lançamento do OpenStack Liberty).

O Neutron LBaaS habilita serviços básicos de balanceamento de carga para instâncias de computação (e, portanto, de aplicativos). Esses serviços são limitados a um subconjunto principal de funções e recursos que são comuns a uma ampla variedade de plataformas de balanceamento de carga.

O modelo de entrega de serviços LBaaS abstrai os recursos que fornecem o serviço dos serviços em si. Os recursos que fornecem os serviços existem como parte da infraestrutura do OpenStack e não dentro dos recursos do locatário do OpenStack. Esse modelo às vezes é chamado de "sob a nuvem".

O OpenStack LBaaS depende de vários objetos lógicos para criar uma configuração de balanceamento de carga.

O modelo de objeto é mostrado na Figura 3.

Como em todas as operações do OpenStack, o LBaaS é gerenciado por meio de uma API RESTful. A API permite que os locatários façam chamadas REST para criar, atualizar e excluir objetos LBaaS, com uma série de etapas entre a chamada da API de um locatário e uma alteração de configuração ocorrendo em uma instância BIG-IP.

O mapeamento entre objetos LBaaS e as chamadas de API para criá-los ou atualizá-los em uma configuração em uma instância BIG-IP é manipulado pelo driver F5 OpenStack LBaaS . O driver LBaaS permite que uma instância BIG-IP se torne um provedor de serviços de balanceamento de carga dentro de uma nuvem com tecnologia OpenStack.

O driver F5 LBaaS é na verdade composto por dois componentes separados:

• O plug-in F5 LBaaS, que é instalado em um servidor que executa o serviço Neutron API
• O processo do agente F5 LBaaS (que inclui o driver), que é instalado no host que executará o processo do agente. Cada grupo de serviços de dispositivo (uma coleção de dispositivos BIG-IP em um cluster) requer um processo de agente separado.

O driver LBaaS recebe tarefas como resultado de chamadas de API LBaaS feitas pelo locatário e as traduz em chamadas de API F5 iControl® para criar ou atualizar objetos de configuração no dispositivo BIG-IP ou na edição virtual. Quando os locatários usam redes de locatários isoladas e túneis de sobreposição de rede ou VLANs, o driver LBaaS permite que vários locatários sejam atendidos a partir de uma única instância BIG-IP ou configuração de alta disponibilidade (HA). O plug-in F5 LBaaS cria as chamadas de API necessárias para a instância do BIG-IP e para o Nova para garantir que o tráfego do locatário seja roteado para o objeto ouvinte isolado do locatário (VIP em termos do BIG-IP) na instância compartilhada do BIG-IP.

Em ambientes com vários inquilinos, uma parte fundamental do Nova é garantir que os inquilinos fiquem isolados uns dos outros. Os componentes do BIG-IP LBaaS usam vários recursos de multilocação do BIG-IP para garantir a separação do tráfego do locatário.

Para entender mais detalhadamente como e quando esses recursos de multilocação são usados, consulte o arquivo Leia-me do driver e agente do F5 OpenStack LBaaS .

O LBaaS fornece um sistema simples, orientado por API, para implantar serviços de balanceamento de carga no OpenStack, fornecendo balanceamento de carga básico para um grande número de clientes. No entanto, a API fornece apenas um subconjunto das funções de um Application Delivery Controller (ADC) abrangente. Esta tabela compara serviços LBaaS e BIG-IP nativos em algumas propriedades importantes de entrega de aplicativos, como suporte a protocolos, serviços adicionais e monitores de integridade.

Quando os recursos avançados de um proxy de camada de aplicativo completo são necessários, a implantação de serviços de entrega de aplicativos F5 usando o serviço de orquestração OpenStack Heat e os modelos associados pode combinar a criação de serviços simples e automatizada com configurações de serviços mais complexas.

O OpenStack Heat é um serviço de orquestração que gera aplicativos em execução com base em modelos. O modelo Heat descreve a infraestrutura em um ou mais arquivos de texto e o serviço Heat executa as chamadas de API apropriadas para criar os componentes necessários. O serviço Heat pode ser estendido além dos módulos principais por meio do uso de plug-ins personalizados.

O plug-in F5 Heat permite que os modelos Heat criem configurações avançadas de entrega de aplicativos em qualquer dispositivo BIG-IP ou edição virtual com acesso à rede que pode ser acessado pelo servidor que executa o serviço Heat. A instância do BIG-IP também precisará de conectividade e roteamento para as instâncias do locatário, pois essa conectividade não é configurada pelo plug-in Heat.

Os modelos de calor usam uma linguagem de marcação simples, YAML, que foi projetada para ser legível por humanos e fácil de trabalhar. Os modelos de calor são declarativos, o que significa que você simplesmente define os componentes de infraestrutura desejados e confia nos provedores subjacentes para criar a configuração definida.

Os modelos de calor permitem a criação de cenários de entrega de aplicativos mais avançados, especialmente quando combinados com o sistema de modelos F5 iApps®. Os modelos iApps permitem a criação repetível de configurações de entrega de aplicativos simplesmente passando os valores específicos de modelo e instância necessários. Configurações de entrega complexas usando recursos avançados, como serviços de firewall de aplicativo da Web, aceleração de aplicativo e algoritmos avançados de balanceamento de carga, podem ser implementadas com chamadas de API simples .

Os modelos de calor funcionam com instâncias de edições virtuais do BIG-IP dentro do ambiente de rede do locatário individual (“pela nuvem”), bem como com dispositivos BIG-IP implantados na rede física subjacente. O dispositivo BIG-IP não precisa participar de nenhuma chamada de API de rede Neutron, pois é tratado como qualquer outro nó de computação dentro do locatário.

O plug-in F5 Heat está disponível no repositório F5 Github . Este repositório contém o plug-in Heat, que é instalado no servidor que executa o mecanismo Heat, e modelos Heat de amostra.

Os serviços de entrega de aplicativos F5 estão disponíveis em diversas plataformas, todas oferecendo os mesmos recursos de entrega de aplicativos, pois executam o mesmo sistema operacional principal e o microkernel F5.

As plataformas de hardware F5 oferecem alto desempenho e escalabilidade massiva para ambientes que exigem um grande número de clientes ou locatários ou casos de uso de alto rendimento. Um único par de HA pode atender centenas de locatários e milhões de clientes. Os dispositivos de hardware F5 fornecem acordos de nível de serviço (SLAs) de taxa de conexão e descarregamento significativo para o ambiente de computação subjacente por meio do uso de hardware especializado para processamento SSL e TCP. Quando são necessários serviços de segurança de rede e mitigação de negação de serviço distribuída (DDoS), as plataformas de hardware F5 oferecem excelente desempenho e altos níveis de proteção. O suporte para múltiplos espaços de endereço sobrepostos e protocolos de sobreposição de rede permite que dispositivos de hardware sejam usados na maioria dos ambientes multilocatários.

As edições virtuais do F5 BIG-IP estão disponíveis para a maioria dos hipervisores (incluindo KVM) e para uso em provedores de infraestrutura como serviço (IaaS) de nuvem pública, como Amazon AWS e Microsoft Azure. As edições virtuais (VEs) do BIG-IP também estão disponíveis em uma variedade de capacidades, desde uma edição de laboratório até versões prontas para produção com atualizações de pagamento conforme o crescimento para taxas de transferência que variam de 25 Mb a 10 Gb. O licenciamento por volume e os pools de licenças flexíveis permitem o gerenciamento dinâmico do ciclo de vida de instâncias BIG-IP em ambientes de teste e desenvolvimento. O faturamento de serviços públicos também está disponível em ambientes de nuvem pública. As edições virtuais do BIG-IP oferecem os mesmos serviços de entrega de aplicativos que as plataformas de hardware, mas não têm o hardware especializado nem a escala dos dispositivos.

As edições virtuais do BIG-IP podem ser totalmente contidas em uma rede de locatários. Vistos pelo OpenStack como simplesmente outra instância de computação, eles são configurados por modelos Heat ou podem ser usados como um provedor para LBaaS.

¹Consulte o Guia de Integração F5 e OpenStack para obter informações detalhadas.

Como o plug-in F5 LBaaS pode acomodar várias instâncias de agente e driver F5, é possível misturar dispositivos de hardware e edições virtuais BIG-IP na mesma configuração LBaaS.

Como em todas as decisões arquitetônicas, a opção certa é aquela que melhor se adapta aos requisitos individuais da solução. Soluções escaláveis e de alto desempenho podem ser criadas usando hardware BIG-IP ou edições virtuais. Os requisitos gerais de escala e serviços devem ajudar a orientar os arquitetos de infraestrutura em direção a hardware, software ou uma combinação dos dois. Para um consumidor ou locatário que deseja apenas fornecer serviços, a escolha entre LBaaS ou Heat é mais significativa do que a plataforma de entrega em si.

Alta disponibilidade é essencial em pilhas de aplicativos e redes de missão crítica e, como esperado, a plataforma BIG-IP tem uma arquitetura HA robusta. Os dispositivos BIG-IP e edições virtuais podem ser implantados como dispositivos autônomos (por exemplo, para ambientes de teste e desenvolvimento), pares de alta disponibilidade ou em grupos de dispositivos ativos N-way de até quatro dispositivos. Todos esses tipos de implantação são suportados em plataformas OpenStack.

Ser capaz de adicionar capacidade adicional aos recursos LBaaS ou BIG-IP do locatário permite que administradores ou locatários lidem com aumentos na taxa de transferência de aplicativos ou no número de locatários. Aumentar ou diminuir a escala sem interromper os serviços é essencial para construir uma nuvem ágil e escalável.

A plataforma BIG-IP pode ser dimensionada verticalmente ou horizontalmente: Os dispositivos e edições virtuais podem ser ampliados por meio de atualizações de licença, e o chassi VIPRION pode ser ampliado por meio da adição de blades de hardware adicionais. O plug-in BIG-IP LBaaS gerenciará vários agentes e drivers (cada um dos quais gerencia uma única instância ou cluster BIG-IP), permitindo escala horizontal. Quando vários agentes estão em uso, o plug-in F5 LBaaS manterá, por padrão, todos os objetos do balanceador de carga LBaaS para um locatário específico atribuído a um dispositivo BIG-IP (ou cluster).

Ao usar instâncias BIP-IP VE em um locatário, as instâncias podem ser novamente ampliadas por meio de licença ou instâncias adicionais adicionadas para cobrir novas cargas de trabalho.

À medida que as implantações do OpenStack hospedam cada vez mais aplicativos de produção críticos, cresce a necessidade de serviços de entrega de aplicativos robustos e de alta qualidade dentro do OpenStack. Os serviços de entrega de aplicativos da F5 fornecem a capacidade, a segurança e os recursos avançados que esses aplicativos críticos precisam, juntamente com a agilidade e a baixa sobrecarga operacional que uma nuvem com tecnologia OpenStack oferece.

F5 Github

Documentação do F5 OpenStack

Projetos de multilocação F5

Guia de integração F5 OpenStack