Avec le SD-WAN, FM Logistic réduit ses coûts réseaux et améliore sa disponibilité

Riverbed déployé pour l'optimisation réseau dans un premier temps

Michel Boulay s'est intéressé aux appliances Riverbed afin de diminuer les coûts liés au réseau. La compression de données et surtout la déduplication a permis à FM Logistic de réduire les volumes échangés sur le WAN de l'entreprise. Ce réseau est déployé sur 3 continents avec des liens MPLS du réseau international Verizon, secourus par des liens Internet loués auprès de multiples opérateurs. Outre le lien MPLS pour les flux de production, chaque site dispose d'une liaison Internet avec 3 VPN. Le premier pointe vers le datacenter principal de l'entreprise, le second vers un deuxième datacenter à Phalsbourg et le troisième vers le siège de chaque pays.

De l'aveu de l'expert, la mise en œuvre de Riverbed a permis de réduire les flux de certaines applications de 99,99%. Cela a permis à la DSI de centraliser beaucoup d'applications tout en réduisant la latence. « Sur du CIFS et du SMB, l'optimisation protocolaire et de la latence est extrêmement sensible ainsi que sur les flux Web et de base de données. » Une centaine d'appliances Riverbed SteelHead ont été déployées dans le but de réaliser une optimisation WAN sur les différents sites géographiques de l'entreprise. Une centaine de clients SteelHead Mobile ont été déployés en parallèle ainsi que des sondes SteelCentral NetProfiler pour avoir la visibilité et enfin un contrôleur SteelCentral.

L'IT de FM Logistic est très décentralisé, avec des serveurs en production sur la plupart des sites de production. Le principe qui a dicté l'élaboration du WAN est que tous les sites doivent pouvoir accéder à tous les sites, quelle que soit leur localisation. L'interconnexion des sites purement MPLS et VPN était réalisée au travers du datacenter principal qui jouait le rôle de gateway avec un système de routing dynamique. La chute d’un lien MPLS entrainait alors la bascule du trafic sur le lien Internet sans aucune garantie de service, ni monitoring. « C'est une approche qui fonctionnait il y a 10 ans, mais qui signifiait que nous payions des liens Internet exploités quelques minutes par an. Il y a 8 ans de cela, nous sommes passés au load balancing statique. C'est un peu la préhistoire du SD-WAN. Tout le trafic passe par le MPLS hormis les flux internet et de messagerie, des flux sans criticité en termes de latence et paquets perdus. » Cette approche avait toutefois quelques inconvénients puisque le routage MPLS statique impliquait une intervention manuelle à chaque rupture de lien ; ce qui générait une forte charge d'exploitation pour les équipes IT.

Des flux applicatifs répartis entre MPLS et les VPN

En 2014, Michel Boulay se rend à San Francisco pour travailler avec Riverbed afin de travailler sur la la capacité à ségréguer les données critiques des autres flux. « L’important, c'est que l'on ne route plus des paquets, mais des applications. Si demain mon équipe système ajoute un serveur Citrix, je n'ai rien à faire, cela reste un flux Citrix. Si j'installe un nouveau serveur de gestion d'entrepôt, celui-ci aura la même qualité de service, la même priorité, les mêmes règles que les autres services du même type. » Plus de 1600 applications sont pré-provisionnées par groupe et il est possible de configurer une application quelconque manuellement. « Cette approche nous a permis de réduire nos coûts car 90% de notre trafic a pu être délesté vers nos liens VPN, beaucoup moins onéreux que les liens MPLS. Nous pouvons faire du load balancing intelligent par applicatif et nous avons gagné en flexibilité par la standardisation de nos règles. Une règle mise en place pour la Russie pourra être réutilisée par l'Espagne ou l'Italie par la suite si le besoin apparaît. »

Les VPN assurent désormais un backup transparent des liens MPLS sans reset des sessions. Inversement, les VPN sont secourus par liens MPLS de façon automatique sans déconnexion des utilisateurs. Autre avantage, il est aussi possible de choisir les flux que l'on veut secourir et ne pas basculer les flux de vidéoconférence et le contenu sur le lien MPLS pour ne pas écrouler les liens. Désormais, les liens MPLS et VPN sont utilisés en mode actif/actif.

Le Full-Mesh VPN, un moyen de gommer les problèmes de peering internationaux

Outre cette évolution, Michel Boulay a fait évoluer l’architecture réseau pour aller vers un VPN full mesh. « Sur nos anciens équipements, nous avions 3 VPN, ce qui signifiait que 2 sites russes qui devaient échanger des données ensemble devaient transiter par la France. Cela pose des problèmes de latence difficilement supportables pour la voix. » En outre, même s’il bénéficie d’un plan de continuité d’activité, le datacenter constitue le point unique de défaillance (spof) de l’architecture, ce qui a poussé l’architecte à opter pour une topologie Full-Mesh entre tous ses sites. « On n'établit non pas un VPN entre chaque site, mais tous les VPN possibles entre tous les opérateurs disponibles sur chaque site. Cela représente un nombre exponentiel de VPN, mais si j'ai un VPN avec un opérateur qui vient à tomber, j'en ai encore 3 qui fonctionnent ; ce qui représente 100% de ma bande passante. La bascule est totalement transparente pour le business et cette approche permet de résoudre tous les problèmes de peering entre opérateurs internationaux. »

En outre, la solution Forcepoint Secure SD-WAN (héritière de Stonesoft Multi-Link) qui gère ces centaines de VPN permet d’agréger des liens de technologies différentes, qu’il s’agisse de la fibre, du DSL, de la 4G ou de liens satellite. « L'algorithme de l'équipement sait calculer à l'instant t le tunnel qui offre la meilleure latence, le moins de pertes de paquets, etc. Je peux ainsi qualifier mes applications en fonction de ces métriques et l'équipement décide si l'application doit passer par le MPLS ou le VPN et taggue ce flux. Ensuite, lorsque ce flux arrive sur le firewall, celui-ci lit ce tag et positionne sur la bonne règle de service. »

Le responsable estime que cette approche lui permet de répondre aux besoins métiers qui sont parfois très hétérogènes. En outre, cette approche a permis une diminution des coûts notamment via la suppression de certains liens MPLS tout en permettant une augmentation de la sécurité, de l'agilité, de la disponibilité, de l'efficacité et de la productivité des utilisateurs. « Je n'ai plus d'appels de permanence la nuit pour un lien MPLS qui tombe. Les utilisateurs ne s'en rendent plus compte et c’est maintenant aux opérateurs de gérer les pannes », conclut Michel Boulay.