Architettura di rete di SAP HANA (istanze Large)
In questo articolo si esaminerà l'architettura di rete per la distribuzione di SAP HANA in istanze Large di Azure (nota come Infrastruttura BareMetal).
L'architettura dei servizi di rete di Azure è un componente chiave della corretta distribuzione di applicazioni SAP in istanze Large di HANA. In genere, le distribuzioni di SAP HANA in Azure (istanze Large) hanno un panorama SAP più ampio. Sono probabilmente incluse diverse soluzioni SAP con dimensioni variabili di database, utilizzo delle risorse della CPU e uso della memoria.
È probabile che non tutti i sistemi IT si trovino già in Azure. Anche il panorama SAP può essere ibrido. Il sistema di gestione di database (DBMS) e l'applicazione SAP possono usare una combinazione di NetWeaver, S/4HANA e SAP HANA. L'applicazione SAP potrebbe anche usare un altro DBMS.
Azure offre diversi servizi che consentono di eseguire i sistemi DBMS, NetWeaver e S/4HANA in Azure. Azure offre una tecnologia di rete per fare in modo che Azure sia simile a un data center virtuale alle distribuzioni software locali. La funzionalità di rete di Azure include:
- Reti virtuali di Azure connesse al circuito ExpressRoute che si connette agli asset di rete locali.
- Un circuito ExpressRoute che si connette in locale ad Azure con una larghezza di banda minima di 1 Gbps o superiore. Questo circuito consente una larghezza di banda adeguata per il trasferimento dei dati tra sistemi locali e sistemi eseguiti in macchine virtuali (VM). e per la connessione degli utenti locali ai sistemi di Azure.
- Per comunicare tra loro, tutti i sistemi SAP in Azure devono essere configurati in reti virtuali.
- Active Directory e DNS ospitati in locale vengono estesi dall'ambiente locale ad Azure tramite ExpressRoute. Possono anche essere eseguiti completamente in Azure.
Quando si integrano istanze Large di HANA nell'infrastruttura di rete del data center di Azure, viene usata anche la tecnologia Azure ExpressRoute.
Nota
Una singola sottoscrizione di Azure può essere collegata a un solo tenant in un modulo per istanze Large di HAHA in un'area specifica di Azure. Viceversa, un singolo tenant del modulo di istanze Large di HANA può essere collegato a una sola sottoscrizione di Azure. Questo requisito è coerente con quello di altri oggetti fatturabili in Azure.
Se SAP HANA in Azure (istanze Large) viene distribuito in più aree di Azure, un tenant separato viene distribuito nel timbro dell'istanza Large di HANA. È possibile eseguire entrambi nella stessa sottoscrizione di Azure, purché queste istanze facciano parte dello stesso panorama SAP.
Importante
Solo il metodo di distribuzione di Azure Resource Manager è supportato con SAP HANA in Azure (istanze Large).
Informazioni aggiuntive sulla rete virtuale
Per connettere una rete virtuale a ExpressRoute, è necessario creare un gateway Azure ExpressRoute. Per altre informazioni, vedere Informazioni sui gateway Expressroute per ExpressRoute.
Un gateway Azure ExpressRoute viene usato con ExpressRoute verso un'infrastruttura esterna ad Azure o a un modulo di istanze Large di Azure. È possibile connettere il gateway Azure ExpressRoute a un massimo di quattro circuiti ExpressRoute, ma solo se tali connessioni provengono da router Microsoft Enterprise Edge diversi(MSEE). Per altre informazioni, vedere Infrastruttura e connettività di SAP HANA (istanze Large) in Azure.
Nota
La velocità effettiva massima che è possibile ottenere con un gateway ExpressRoute è di 10 Gbps usando una connessione ExpressRoute. La copia di file tra una VM che si trova in una rete virtuale e un sistema locale (come singolo flusso di copia) non raggiunge la totale velocità effettiva dei diversi SKU del gateway. Per sfruttare la larghezza di banda completa del gateway ExpressRoute, usare più flussi o copiare file diversi in flussi paralleli di un singolo file.
Architettura di rete per le istanze Large di HANA
L'architettura di rete per le istanze Large di HANA può essere separata in quattro parti:
- Rete locale e connessione ExpressRoute ad Azure. Questa parte è il dominio del cliente ed è connessa ad Azure tramite ExpressRoute. Questo circuito ExpressRoute è completamente pagato dall'utente. La larghezza di banda deve essere sufficientemente grande da gestire il traffico di rete tra gli asset locali e l'area di Azure con cui ci si connette. Nell'immagine seguente è riportata in basso a destra.
- I servizi di rete di Azure, come descritto in precedenza, con le reti virtuali, che richiedono di nuovo l'aggiunta di gateway ExpressRoute. Per questa parte, è necessario creare le progettazioni appropriate per soddisfare i requisiti di applicazione, sicurezza e conformità. Valutare se usare istanze Large di HANA in base al numero di reti virtuali e SKU del gateway di Azure tra cui scegliere. Nell'immagine questa parte è riportata in alto a destra.
- Connettività dell'istanza Large di HANA tramite ExpressRoute in Azure. Questa parte è distribuita e gestita da Microsoft. È sufficiente fornire alcuni intervalli di indirizzi IP dopo aver distribuito gli asset nell'istanza Large di HANA e aver connesso il circuito ExpressRoute alle reti virtuali. Per altre informazioni, vedere Infrastruttura e connettività di SAP HANA (istanze Large) in Azure. Non sono previsti costi aggiuntivi per la connettività tra l'infrastruttura di rete del data center di Azure e le unità di istanze Large di HANA.
- Rete all'interno del modulo di istanze Large di HANA, per lo più trasparente per il cliente.
I due requisiti seguenti rimangono ancora validi anche se si usano istanze Large di Hana:
- Gli asset locali devono connettersi tramite ExpressRoute ad Azure.
- Sono necessarie una o più reti virtuali che eseguono le macchine virtuali. Queste macchine virtuali ospitano il livello dell'applicazione che si connette alle istanze HANA ospitate in istanze Large di HANA.
Le differenze nelle distribuzioni SAP in Azure sono le seguenti:
- Le istanze Large di HANA del tenant sono connesse tramite un altro circuito ExpressRoute nelle reti virtuali. I circuiti ExpressRoute da locale a rete virtuale di Azure e i circuiti tra reti virtuali di Azure e istanze Large di HANA non condividono gli stessi router. Le condizioni di carico rimangono separate.
- Il profilo del carico di lavoro tra il livello applicazione SAP e l'istanza Large di HANA è di natura diversa. SAP HANA genera molte richieste di piccole dimensioni e burst, ad esempio trasferimenti di dati (set di risultati) nel livello dell'applicazione.
- L'architettura delle applicazioni SAP è più sensibile alla latenza di rete rispetto agli scenari tipici con scambio dei dati tra ambiente locale e Azure.
- Il gateway Azure ExpressRoute ha almeno due connessioni ExpressRoute. Un circuito è connesso dall'ambiente locale e uno è connesso dall'istanza Large di HANA. Questa configurazione lascia spazio solo per altri due circuiti di diversi msee per connettersi al gateway ExpressRoute. Questa restrizione è indipendente dall'utilizzo di ExpressRoute FastPath. Tutti i circuiti connessi condividono la larghezza di banda massima per i dati in ingresso del gateway ExpressRoute.
Con la revisione 3 dei timbri di istanze Large di HANA, la latenza di rete tra le macchine virtuali e le unità di istanze Large di HANA può essere superiore rispetto alle latenze di andata e ritorno della rete DA VM a macchina virtuale tipiche. A seconda dell'area di Azure, i valori possono superare la latenza round trip di 0,7 ms classificata come inferiore nella nota SAP #1100926 - Domande frequenti: prestazioni di rete. A seconda dell'area di Azure e dello strumento per misurare la latenza di round trip di rete tra una macchina virtuale di Azure e un'istanza Large di HANA, la latenza può essere fino a 2 millisecondi. Tuttavia, i clienti distribuiscono correttamente applicazioni SAP di produzione basate su SAP HANA in istanze Large di SAP HANA. Assicurarsi di testare accuratamente i processi aziendali con istanze Large di Azure HANA. Una nuova funzionalità, denominata ExpressRoute FastPath, può ridurre notevolmente la latenza di rete tra le istanze Large di HANA e le macchine virtuali a livello di applicazione in Azure (vedere di seguito).
La revisione 4 dei timbri di istanze Large di HANA migliora la latenza di rete tra le macchine virtuali di Azure distribuite in prossimità del timbro dell'istanza Large di HANA. La latenza soddisfa la classificazione media o superiore alla media, come documentato nella nota SAP #1100926 - Domande frequenti: Prestazioni di rete se è configurato FastPath di Azure ExpressRoute (vedere di seguito).
Per distribuire macchine virtuali di Azure in prossimità delle istanze Large di HANA della revisione 4, è necessario applicare i gruppi di posizionamento di prossimità di Azure. I gruppi di posizionamento di prossimità possono essere usati per individuare il livello dell'applicazione SAP nello stesso data center di Azure delle istanze Large di HANA ospitate nella revisione 4. Per altre informazioni, vedere Gruppi di posizionamento di prossimità di Azure per una latenza di rete ottimale con le applicazioni SAP.
Per garantire una latenza di rete deterministica tra le macchine virtuali e l'istanza Large di HANA, l'uso dello SKU del gateway ExpressRoute è essenziale. A differenza dei modelli di traffico tra macchine virtuali e locali, i modelli di traffico tra le macchine virtuali e le istanze Large di HANA possono sviluppare piccoli picchi di richieste e volumi di dati. Per gestire tali picchi, è consigliabile usare lo SKU del gateway UltraPerformance. Per la classe Type II degli SKU di istanze Large di HANA, l'uso dello SKU del gateway UltraPerformance come gateway ExpressRoute è obbligatorio.
Importante
Considerato il traffico di rete generale tra il livello database e il livello applicazione SAP, per la connessione a SAP HANA in Azure (istanze Large) sono supportati solo gli SKU del gateway HighPerformance o UltraPerformance per le reti virtuali. Per gli SKU di tipo II di istanze Large di HANA, solo lo SKU del gateway UltraPerformance è supportato come gateway ExpressRoute. Le eccezioni si applicano quando si usa ExpressRoute FastPath (vedere di seguito).
ExpressRoute FastPath
Nel maggio 2019 è stato rilasciato ExpressRoute FastPath. FastPath riduce la latenza tra le istanze Large di HANA e le reti virtuali di Azure che ospitano le macchine virtuali dell'applicazione SAP. Con FastPath, i flussi di dati tra le macchine virtuali e le istanze Large di HANA non vengono instradati tramite il gateway ExpressRoute. Le macchine virtuali assegnate nelle subnet della rete virtuale di Azure comunicano direttamente con il router perimetrale aziendale dedicato.
Importante
ExpressRoute FastPath richiede che le subnet che eseguono le macchine virtuali dell'applicazione SAP si trovino nella stessa rete virtuale di Azure connessa alle istanze Large di HANA. Le macchine virtuali che si trovano nelle reti virtuali di Azure con peering con la rete virtuale di Azure connessa alle unità di istanza large di HANA non possono trarre vantaggio da ExpressRoute FastPath. Di conseguenza, le tipiche progettazioni di rete virtuale hub e spoke, in cui i circuiti ExpressRoute si connettono su una rete virtuale hub e reti virtuali contenenti il livello di applicazione SAP (spoke), l'ottimizzazione da ExpressRoute FastPath non funzionerà. ExpressRoute FastPath non supporta attualmente le regole di routing definite dall'utente. Per altre informazioni, vedere Gateway di rete virtuale ExpressRoute e FastPath.
Per altre informazioni su come configurare ExpressRoute FastPath, vedere Connettere una rete virtuale a istanze di grandi dimensioni di HANA.
Nota
È necessario un gateway ExpressRoute UltraPerformance per usare ExpressRoute FastPath.
Sistema SAP singolo
L'infrastruttura locale illustrata in precedenza è connessa ad Azure tramite ExpressRoute. Il circuito ExpressRoute si connette a un MSEE. Per altre informazioni, vedere Panoramica tecnica di ExpressRoute. Dopo aver stabilito la route, si connette al backbone di Azure.
Nota
Per eseguire panorami applicativi SAP in Azure, connettersi al router Enterprise Edge più vicino all'area di Azure nel panorama applicativo SAP. I francobolli di istanze large di HANA sono connessi tramite router perimetrali aziendali dedicati per ridurre al minimo la latenza di rete tra le macchine virtuali in Azure IaaS e i timbri di istanze large di HANA.
Il gateway ExpressRoute per le macchine virtuali che ospitano istanze dell'applicazione SAP sono connesse a un circuito ExpressRoute che si connette a locale. La stessa rete virtuale è connessa a un router perimetrale aziendale separato. Questo router perimetrale è dedicato alla connessione ai francobolli di istanza di grandi dimensioni. Anche in questo caso, con FastPath, il flusso di dati da istanze large DI HANA alle macchine virtuali a livello di applicazione SAP non viene instradato tramite il gateway ExpressRoute. Questa configurazione riduce la latenza round trip di rete.
Questo sistema è un esempio semplice di un sistema SAP singolo. Il livello applicazione SAP è ospitato in Azure. Il database SAP HANA viene eseguito su SAP HANA in Azure (istanze Large). Si presuppone che la larghezza di banda del gateway di ExpressRoute con velocità effettiva di 2 Gbps o 10 Gbps non rappresenti un collo di bottiglia.
Sistemi SAP multipli o sistemi SAP di grandi dimensioni
Se si distribuiscono più sistemi SAP o sistemi SAP di grandi dimensioni che si connettono a SAP HANA (istanze large), la velocità effettiva del gateway ExpressRoute potrebbe diventare un collo di bottiglia. In questo caso, suddividere i livelli dell'applicazione in più reti virtuali. È anche possibile suddividere i livelli dell'applicazione se si desidera isolare i sistemi di produzione e non di produzione in reti virtuali di Azure diverse.
È possibile creare una rete virtuale speciale che si connette a istanze large di HANA quando:
- Eseguire backup direttamente dalle istanze HANA in un'istanza large di HANA a una macchina virtuale in Azure che ospita condivisioni NFS.
- Copia di backup di grandi dimensioni o di altri file da istanze large di HANA nello spazio su disco gestito in Azure.
Usare una rete virtuale separata per ospitare macchine virtuali che gestiscono l'archiviazione per il trasferimento di massa di dati tra istanze large di HANA e Azure. Questa disposizione evita il trasferimento di file o dati di grandi dimensioni da istanze large di HANA ad Azure nel gateway ExpressRoute che gestisce le macchine virtuali che eseguono il livello applicazione SAP.
Per un'architettura di rete più espandibile:
Usare più reti virtuali per un livello applicazione SAP singolo e di dimensioni maggiori.
Distribuire una rete virtuale separata per ogni sistema SAP distribuito anziché combinare questi sistemi SAP in subnet separate nella stessa rete virtuale.
Il diagramma seguente mostra un'architettura di rete più espandibile per SAP HANA in Azure (istanze large):
A seconda delle regole e delle restrizioni da applicare tra le diverse reti virtuali che ospitano macchine virtuali di sistemi SAP diversi, è necessario eseguire il peering di tali reti virtuali. Per altre informazioni sul peering delle reti virtuali, vedere Peering di rete virtuale.
Routing in Azure
Per impostazione predefinita, tre considerazioni sul routing di rete sono importanti per SAP HANA in Azure (istanze large):
SAP HANA in Azure (istanze large) può essere accessibile solo tramite macchine virtuali di Azure e la connessione ExpressRoute dedicata, non direttamente dall'ambiente locale. L'accesso diretto dall'ambiente locale alle unità di istanze Large di HANA, come distribuite da Microsoft, non è consentito nell'immediato. Le restrizioni di routing transitive sono dovuto all'architettura di rete di Azure corrente usata per le istanze large di SAP HANA. Alcuni client di amministrazione e le applicazioni che richiedono l'accesso diretto, ad esempio SAP Solution Manager in esecuzione in locale, non possono connettersi al database SAP HANA. Per le eccezioni, vedere la sezione seguente, Routing diretto a istanze large di HANA.
Se si dispone di unità di istanze large HANA distribuite in due aree di Azure diverse per il ripristino di emergenza, le stesse restrizioni di routing temporanee si applicano in passato. In altre parole, gli indirizzi IP di un'istanza large di HANA in un'area (ad esempio, Stati Uniti occidentali) non sono stati indirizzati a un'istanza large di HANA distribuita in un'altra area,ad esempio Stati Uniti orientali. Questa restrizione è indipendente dall'uso del peering di rete di Azure tra aree o la connessione incrociata dei circuiti ExpressRoute che connettono istanze large DI HANA alle reti virtuali. Per una rappresentazione grafica, vedere la figura nella sezione Usare le unità di istanza large di HANA in più aree. Questa restrizione, che è stata fornita con l'architettura distribuita, ha vietato l'uso immediato della replica del sistema HANA per il ripristino di emergenza. Per le modifiche recenti, vedere Usare le unità di istanza large di HANA in più aree.
SAP HANA in istanze large di Azure ha un indirizzo IP assegnato dall'intervallo di indirizzi del pool IP del server inviato quando si richiede la distribuzione di istanze Large di HANA. Per altre informazioni, vedere Infrastruttura e connettività sap HANA (istanze large) in Azure. Questo indirizzo IP è accessibile tramite le sottoscrizioni di Azure e il circuito che connette le reti virtuali di Azure ad HANA in istanze Large. L'indirizzo IP assegnato al di fuori dell'intervallo di indirizzi del pool IP del server viene assegnato direttamente all'unità hardware. Non è più assegnato tramite nat (Network Address Translation), come accade nelle prime distribuzioni di questa soluzione.
Routing diretto alle istanze large di HANA
Per impostazione predefinita, il routing transitivo non funziona in questi scenari:
Tra le unità di istanza large di HANA e una distribuzione locale.
Tra le unità di istanza large di HANA distribuite in aree diverse.
Esistono tre modi per abilitare il routing transitivo in questi scenari:
- Un proxy inverso per instradare i dati in modo bidirezionale. Ad esempio, F5 BIG-IP, NGINX con Gestione traffico distribuito nella rete virtuale di Azure che si connette alle istanze large di HANA e all'ambiente locale come soluzione di routing del firewall/traffico virtuale.
- Regole di IPTables in una VM Linux per abilitare il routing tra le posizioni locali e le unità di istanze Large di HANA o fra tali unità in aree diverse. La macchina virtuale che esegue IPTables deve essere distribuita nella rete virtuale di Azure che si connette a istanze large di HANA e a locale. La macchina virtuale deve essere ridimensionata in modo che la velocità effettiva di rete della macchina virtuale sia sufficiente per il traffico di rete previsto. Per altre informazioni sulla larghezza di banda di rete della macchina virtuale, vedere l'articolo Dimensioni delle macchine virtuali Linux in Azure.
- Firewall di Azure sarebbe un'altra soluzione per abilitare il traffico diretto tra le unità di istanza locale e HANA Large.
Tutto il traffico di queste soluzioni verrà instradato attraverso una rete virtuale di Azure. Di conseguenza, il traffico potrebbe essere limitato anche dalle appliance soft usate o dai gruppi di sicurezza di rete di Azure. In questo modo, gli indirizzi IP specifici o gli intervalli di indirizzi IP provenienti da locale potrebbero essere bloccati o consentiti in modo esplicito l'accesso alle istanze large di HANA.
Nota
Tenere presente che Microsoft non fornisce l'implementazione e il supporto per soluzioni personalizzate che riguardano IPTables o appliance di rete di terze parti. Il supporto deve essere fornito dal fornitore del componente usato o dall'integratore.
Copertura globale di Express Route
Microsoft ha introdotto una nuova funzionalità denominata Copertura globale ExpressRoute. Copertura globale può essere usata per HANA in istanze Large in due scenari:
- Abilitare l'accesso diretto dall'ambiente locale alle unità di HANA in istanze Large distribuite in aree diverse.
- Abilitare le comunicazioni dirette tra le unità di HANA in istanze Large distribuite in aree diverse.
Accesso diretto da locale
Nelle aree di Azure in cui è disponibile Copertura globale, è possibile richiedere l'abilitazione di Copertura globale per il circuito ExpressRoute. Questo circuito connette la rete locale alla rete virtuale di Azure che si connette alle istanze large di HANA. Sono previsti costi per il lato locale del circuito ExpressRoute. Per altre informazioni, vedere i prezzi per il componente aggiuntivo Copertura globale. Non verranno addebitati costi aggiuntivi per il circuito che connette le istanze large di HANA ad Azure.
Importante
Quando si usa Copertura globale per abilitare l'accesso diretto tra le unità di istanza large di HANA e gli asset locali, i dati di rete e il flusso di controllo non vengono instradati attraverso le reti virtuali di Azure. Invece, i dati di rete e il flusso di controllo vengono indirizzati direttamente tra i router di scambio aziendali Microsoft. Pertanto, le regole del gruppo di sicurezza di rete o del gruppo di sicurezza di rete o del gruppo di sicurezza di rete o qualsiasi tipo di firewall, NVA o proxy distribuite in una rete virtuale di Azure, non verranno toccate. Se si usa ExpressRoute Global Reach per abilitare l'accesso diretto da locale a unità di istanza large di HANA, restrizioni e autorizzazioni per accedere alle unità di istanze large DI HANA devono essere definite nei firewall sul lato locale.
Connessione di istanze large DI HANA in aree di Azure diverse
Analogamente, ExpressRoute Global Reach può essere usato per connettere due tenant di istanze large DI HANA distribuiti in aree diverse. L'isolamento è i circuiti ExpressRoute usati dai tenant di istanze large di HANA per connettersi ad Azure in entrambe le aree. Non sono previsti costi aggiuntivi per la connessione di due tenant di istanze large di HANA distribuiti in aree diverse.
Importante
Il flusso di dati e il flusso di controllo del traffico di rete tra i tenant di istanze Large di HANA non verranno indirizzati attraverso le reti di Azure. Non è quindi possibile usare funzionalità di Azure o appliance virtuali di rete (NVA) per applicare restrizioni di comunicazione tra i tenant di istanze large di HANA.
Per altre informazioni su come abilitare La copertura globale di ExpressRoute, vedere Connettere una rete virtuale a istanze di grandi dimensioni di HANA.
Connettività Internet delle istanze Large di HANA
Le istanze large di HANA non dispongono di connettività Internet diretta. Questo limita ad esempio la possibilità di registrare l'immagine del sistema operativo direttamente con il relativo fornitore. Può quindi essere necessario usare il server SUSE Linux Enterprise Server Subscription Management Tool locale o Red Hat Enterprise Linux Subscription Manager.
Crittografia dei dati tra VM e istanze Large di HANA
I dati trasferiti tra istanze large di HANA e le macchine virtuali non vengono crittografati. Puramente per lo scambio tra il lato DBMS HANA e le applicazioni basate su JDBC/ODBC, tuttavia, è possibile abilitare la crittografia del traffico. Per altre informazioni, vedere Comunicazione sicura tra client SAP HANA e JDBC/ODBC.
Usare le unità di istanze Large di HANA in più aree
Per il ripristino di emergenza, è necessario disporre di unità di istanza large HANA in più aree di Azure. Usando solo il peering reti virtuali globali di Azure, per impostazione predefinita il routing transitivo non funzionerà tra tenant di istanze large DI HANA in aree diverse. La copertura globale, tuttavia, apre la comunicazione tra le unità di istanza large di HANA in aree diverse. Questo scenario con Copertura globale ExpressRoute abilita:
- Replica del sistema HANA senza altri proxy o firewall.
- Copia di backup tra unità di istanze large HANA in aree diverse per eseguire copie di sistema o eseguire aggiornamenti di sistema.
La figura precedente illustra come le reti virtuali in entrambe le aree sono connesse a due circuiti ExpressRoute. I circuiti vengono usati per connettersi a SAP HANA in Azure (istanze large) in entrambe le aree di Azure (linee grigie). Il motivo per cui le due connessioni incrociate è proteggere da un'interruzione delle istanze dell'entità servizio su entrambi i lati. Il flusso di comunicazione tra le due reti virtuali nelle due aree di Azure dovrebbe essere gestito tramite il peering globale delle due reti virtuali nelle due aree diverse (riga con punti blu). La linea rossa spessa descrive la connessione Di copertura globale ExpressRoute. Questa connessione consente alle unità di istanza large di HANA dei tenant in aree diverse di comunicare tra loro.
Importante
Se sono stati usati più circuiti ExpressRoute, usare le impostazioni BGP percorso AS in sospeso e Preferenza locale per garantire il routing appropriato del traffico.
Passaggi successivi
Informazioni sull'architettura di archiviazione di SAP HANA (istanze large).