Síťová architektura SAP HANA (velké instance)

V tomto článku se podíváme na síťovou architekturu pro nasazení SAP HANA ve velkých instancích Azure (jinak označovanou jako BareMetal Infrastructure).

Architektura síťových služeb Azure je klíčovou součástí úspěšného nasazení aplikací SAP ve velké instanci HANA. Nasazení SAP HANA v Azure (velké instance) obvykle mají větší prostředí SAP. Pravděpodobně zahrnují několik řešení SAP s různými velikostmi databází, spotřebou prostředků procesoru a využitím paměti.

Je pravděpodobné, že ne všechny IT systémy se už nacházejí v Azure. Prostředí SAP může být také hybridní. Váš systém pro správu databází (DBMS) a aplikace SAP můžou používat kombinaci netWeaver, S/4HANA a SAP HANA. Vaše aplikace SAP může dokonce používat jinou DBMS.

Azure nabízí různé služby, které umožňují spouštět systémy DBMS, NetWeaver a S/4HANA v Azure. Azure nabízí síťovou technologii, která azure vypadá jako virtuální datové centrum pro vaše místní nasazení softwaru. Mezi síťové funkce Azure patří:

• Virtuální sítě Azure připojené k okruhu ExpressRoute , který se připojuje k vašim místním síťovým prostředkům.
• Okruh ExpressRoute, který připojuje místní prostředí k Azure s minimální šířkou pásma 1 Gb/s nebo vyšší. Tento okruh umožňuje dostatečnou šířku pásma pro přenos dat mezi místními systémy a systémy, které běží na virtuálních počítačích. Umožňuje také dostatečnou šířku pásma pro připojení k systémům Azure od místních uživatelů.
• Všechny systémy SAP v Azure nastavené ve virtuálních sítích, které spolu vzájemně komunikují.
• Active Directory a DNS hostované místně se rozšiřují do Azure prostřednictvím ExpressRoute z místního prostředí. Můžou také běžet úplně v Azure.

Při integraci velkých instancí HANA do síťových prostředků infrastruktury datového centra Azure se používá i technologie Azure ExpressRoute.

Poznámka:

V určité oblasti Azure je možné propojit pouze jedno předplatné Azure s jediným tenantem v razítku velké instance HANA. Naopak jeden tenant s razítkem velké instance HANA je možné propojit pouze s jedním předplatným Azure. Tento požadavek je konzistentní s jinými fakturovatelnými objekty v Azure.

Pokud je SAP HANA v Azure (velké instance) nasazená ve více oblastech Azure, nasadí se v razítku velké instance HANA samostatný tenant. Obě instance můžete spustit ve stejném předplatném Azure, pokud jsou tyto instance součástí stejného prostředí SAP.

Důležité

Sap HANA v Azure (velké instance) podporuje pouze metodu nasazení Azure Resource Manageru.

Další informace o virtuální síti

Pokud chcete připojit virtuální síť k ExpressRoute, musí se vytvořit brána Azure ExpressRoute. Další informace najdete v tématu o branách ExpressRoute pro ExpressRoute.

Brána Azure ExpressRoute se používá s ExpressRoute k infrastruktuře mimo Azure nebo k razítku azure Large Instance. Bránu Azure ExpressRoute můžete připojit k maximálně čtyř okruhům ExpressRoute, ale pouze v případě, že tato připojení pocházejí z různých hraničních směrovačů Microsoft Enterprise (MSEEs). Další informace najdete v tématu Infrastruktura SAP HANA (velké instance) a možnosti připojení v Azure.

Poznámka:

Maximální propustnost, kterou můžete dosáhnout pomocí brány ExpressRoute, je 10 Gb/s pomocí připojení ExpressRoute. Kopírování souborů mezi virtuálním počítačem, který se nachází ve virtuální síti, a systémem v místním prostředí (jako jeden datový proud kopírování) nedosáhne plné propustnosti různých skladových položek brány. Pokud chcete využít úplnou šířku pásma brány ExpressRoute, použijte několik datových proudů nebo zkopírujte různé soubory v paralelních datových proudech jednoho souboru.

Síťová architektura pro velkou instanci HANA

Síťovou architekturu pro velké instance HANA je možné rozdělit do čtyř částí:

• Místní sítě a připojení ExpressRoute k Azure Tato část je vaše doména (zákazníka) a je připojená k Azure prostřednictvím ExpressRoute. Tento okruh ExpressRoute je plně placený vámi. Šířka pásma by měla být dostatečně velká, aby zvládla síťový provoz mezi místními prostředky a oblastí Azure, se kterou se připojujete. Podívejte se vpravo dole na následujícím obrázku.
• Síťové služby Azure, jak jsme už dříve probírali, s virtuálními sítěmi, které znovu potřebují přidat brány ExpressRoute. V této části je potřeba vytvořit vhodné návrhy, které splňují požadavky vaší aplikace, zabezpečení a dodržování předpisů. Zvažte, jestli použít velké instance HANA s ohledem na počet virtuálních sítí a skladových položek brány Azure, ze které si můžete vybrat. Podívejte se vpravo nahoře na obrázku.
• Připojení velké instance HANA prostřednictvím ExpressRoute do Azure Tato část je nasazená a zpracována Microsoftem. Stačí zadat několik rozsahů IP adres po nasazení prostředků ve velké instanci HANA a připojení okruhu ExpressRoute k virtuálním sítím. Další informace najdete v tématu Infrastruktura SAP HANA (velké instance) a možnosti připojení v Azure. Za připojení mezi síťovými prostředky infrastruktury datového centra Azure a jednotkami velké instance HANA se neplatí žádný poplatek.
• Sítě v rámci razítka velké instance HANA, která je většinou pro vás transparentní.

Následující dva požadavky se pořád uchovávají, i když používáte velké instance Hana:

• Vaše místní prostředky se musí připojit přes ExpressRoute k Azure.
• Potřebujete jednu nebo více virtuálních sítí, na kterých běží vaše virtuální počítače. Tyto virtuální počítače hostují aplikační vrstvu, která se připojuje k instancím HANA hostovaným ve velkých instancích HANA.

Rozdíly v nasazeních SAP v Azure jsou:

• Velké instance HANA vašeho tenanta jsou připojené prostřednictvím jiného okruhu ExpressRoute do vašich virtuálních sítí. Místní okruhy ExpressRoute virtuální sítě Azure a okruhy mezi virtuálními sítěmi Azure a velkými instancemi HANA nesdílejí stejné směrovače. Jejich podmínky zatížení zůstávají oddělené.
• Profil úlohy mezi aplikační vrstvou SAP a velkou instancí HANA má jinou povahu. SAP HANA generuje mnoho malých požadavků a shluků, jako jsou přenosy dat (sady výsledků) do aplikační vrstvy.
• Architektura aplikace SAP je citlivější na latenci sítě než typické scénáře, kdy se data vyměňují mezi místním prostředím a Azure.
• Brána Azure ExpressRoute má alespoň dvě připojení ExpressRoute. Jeden okruh je připojený z místního prostředí a jeden je připojený z velké instance HANA. Tato konfigurace ponechá jen prostor pro dva další okruhy z různých prostředí MSEE pro připojení k bráně ExpressRoute. Toto omezení je nezávislé na použití ExpressRoute FastPath. Všechny připojené okruhy sdílejí maximální šířku pásma pro příchozí data brány ExpressRoute.

V případě kolků velkých instancí HANA verze 3 může latence sítě mezi virtuálními počítači a jednotkami velké instance HANA být vyšší než typická latence odezvy sítě typu VM-to-VM. V závislosti na oblasti Azure můžou hodnoty překročit latenci odezvy 0,7 ms klasifikovanou jako nižší průměr v SAP Note #1100926 – nejčastější dotazy: Výkon sítě. V závislosti na oblasti Azure a nástroji pro měření latence odezvy sítě mezi virtuálním počítačem Azure a velkou instancí HANA může latence být až 2 milisekundy. Zákazníci přesto úspěšně nasadí produkční aplikace SAP ZALOŽENÉ na SAP HANA ve velkých instancích SAP HANA. Ujistěte se, že vaše obchodní procesy důkladně testujete pomocí velkých instancí Azure HANA. Nová funkce označovaná jako ExpressRoute FastPath může podstatně snížit latenci sítě mezi velkými instancemi HANA a virtuálními počítači aplikační vrstvy v Azure (viz níže).

Revize 4 razítek velké instance HANA zlepšuje latenci sítě mezi virtuálními počítači Azure nasazenými v blízkosti razítka velké instance HANA. Latence splňuje průměrnou nebo lepší než průměrnou klasifikaci podle dokumentu SAP Note #1100926 – nejčastější dotazy: Výkon sítě, pokud je nakonfigurovaná služba Azure ExpressRoute FastPath (viz níže).

Pokud chcete nasadit virtuální počítače Azure v blízkosti velkých instancí HANA verze 4, musíte použít skupiny umístění bezkontaktní komunikace Azure. Skupiny umístění bezkontaktní komunikace je možné použít k vyhledání aplikační vrstvy SAP ve stejném datacentru Azure jako verze 4 hostované velké instance HANA 4. Další informace najdete v tématu Skupiny umístění bezkontaktní komunikace Azure pro zajištění optimální latence sítě s aplikacemi SAP.

K zajištění deterministické latence sítě mezi virtuálními počítači a velkou instancí HANA je použití skladové položky brány ExpressRoute nezbytné. Na rozdíl od vzorů provozu mezi místními a virtuálními počítači můžou vzorce provozu mezi virtuálními počítači a velkými instancemi HANA vyvíjet malé, ale vysoké nárůsty požadavků a objemů dat. Pokud chcete takové nárůsty zpracovat, důrazně doporučujeme použít skladovou položku brány UltraPerformance. Pro SKU typu II velkých instancí HANA je použití skladové položky brány UltraPerformance jako brány ExpressRoute povinné.

Důležité

Vzhledem k celkovému síťovému provozu mezi aplikačními vrstvami SAP a databázovými vrstvami se podporují pouze skladové položky brány HighPerformance nebo UltraPerformance pro virtuální sítě pro připojení k SAP HANA v Azure (Velké instance). V případě skladových položek Typu II velké instance HANA se jako brána ExpressRoute podporuje jenom skladová položka brány UltraPerformance. Výjimky platí při použití ExpressRoute FastPathu (viz níže).

ExpressRoute FastPath

V květnu 2019 jsme vydali ExpressRoute FastPath. FastPath snižuje latenci mezi velkými instancemi HANA a virtuálními sítěmi Azure, které hostují virtuální počítače aplikací SAP. U FastPathu se toky dat mezi virtuálními počítači a velkými instancemi HANA nesměrují přes bránu ExpressRoute. Virtuální počítače přiřazené v podsítích virtuální sítě Azure přímo komunikují s vyhrazeným hraničním směrovačem podniku.

Důležité

ExpressRoute FastPath vyžaduje, aby podsítě, na kterých běží virtuální počítače aplikace SAP, byly ve stejné virtuální síti Azure, která je připojená k velkým instancím HANA. Virtuální počítače umístěné ve virtuálních sítích Azure, které jsou v partnerském vztahu s virtuální sítí Azure připojenou k jednotkám velké instance HANA, nemají prospěch z ExpressRoute FastPath. Výsledkem je, že typické návrhy hvězdicových virtuálních sítí, kdy se okruhy ExpressRoute připojují k centrální virtuální síti a virtuálním sítím obsahujícím aplikační vrstvu SAP (paprsky), optimalizace ExpressRoute FastPath nebude fungovat. ExpressRoute FastPath v současné době nepodporuje uživatelsky definovaná pravidla směrování (UDR). Další informace najdete v tématu Brána virtuální sítě ExpressRoute a FastPath.

Další informace o tom, jak nakonfigurovat ExpressRoute FastPath, najdete v tématu Připojení virtuální sítě k velkým instancím HANA.

Poznámka:

Pro použití ExpressRoute FastPath se vyžaduje brána ExpressRoute UltraPerformance ExpressRoute.

Jeden systém SAP

Dříve zobrazená místní infrastruktura je připojená přes ExpressRoute do Azure. Okruh ExpressRoute se připojuje k MSEE. Další informace najdete v technickém přehledu ExpressRoute. Po navázání trasy se připojí k páteřní síti Azure.

Poznámka:

Pokud chcete spouštět prostředí SAP v Azure, připojte se k podnikovému hraničnímu směrovači, který je nejblíže oblasti Azure v prostředí SAP. Razítka velkých instancí HANA jsou propojená prostřednictvím vyhrazených podnikových hraničních směrovačů, aby se minimalizovala latence sítě mezi virtuálními počítači v razítkech Azure IaaS a hana Large Instance.

Brána ExpressRoute pro virtuální počítače, které hostují instance aplikací SAP, jsou připojené k jednomu okruhu ExpressRoute, který se připojuje k místnímu prostředí. Stejná virtuální síť je připojená k samostatnému hraničnímu směrovači organizace. Tento hraniční směrovač je vyhrazený pro připojení k razítkům velkých instancí. V případě FastPathu se tok dat z velkých instancí HANA do virtuálních počítačů aplikační vrstvy SAP nesměruje přes bránu ExpressRoute. Tato konfigurace snižuje latenci odezvy sítě.

Tento systém je jednoduchým příkladem jednoho systému SAP. Aplikační vrstva SAP je hostovaná v Azure. Databáze SAP HANA běží na SAP HANA v Azure (velké instance). Předpokladem je, že šířka pásma brány ExpressRoute s rychlostí 2 Gb/s nebo 10 Gb/s nepředstavuje kritický bod.

Více systémů SAP nebo velkých systémů SAP

Pokud nasadíte více systémů SAP nebo velkých systémů SAP, které se připojují k SAP HANA (velké instance), může se propustnost brány ExpressRoute stát kritickým bodem. V takovém případě rozdělte aplikační vrstvy do několika virtuálních sítí. Vrstvy aplikací můžete také rozdělit, pokud chcete izolovat produkční a neprodukční systémy v různých virtuálních sítích Azure.

Můžete vytvořit speciální virtuální síť, která se připojuje k velkým instancím HANA v těchto případech:

• Zálohování přímo z instancí HANA ve velké instanci HANA na virtuální počítač v Azure, který hostuje sdílené složky NFS.
• Kopírování velkých záloh nebo jiných souborů z velkých instancí HANA do místa na disku spravovaném v Azure

K hostování virtuálních počítačů, které spravují úložiště pro hromadný přenos dat mezi velkými instancemi HANA a Azure, použijte samostatnou virtuální síť. Toto uspořádání zabraňuje rozsáhlému souboru nebo přenosu dat z velkých instancí HANA do Azure na bráně ExpressRoute, která obsluhuje virtuální počítače, na kterých běží aplikační vrstva SAP.

Pro rozšiřitelnější síťovou architekturu:

• Pro jednu větší aplikační vrstvu SAP použijte více virtuálních sítí.

• Nasaďte jednu samostatnou virtuální síť pro každý nasazený systém SAP v porovnání s kombinováním těchto systémů SAP v samostatných podsítích ve stejné virtuální síti.

  Následující diagram znázorňuje rozšiřitelnější síťovou architekturu pro SAP HANA v Azure (velké instance):

V závislosti na pravidlech a omezeních, která chcete použít mezi různými virtuálními sítěmi hostujícími virtuální počítače různých systémů SAP, byste měli tyto virtuální sítě propojit. Další informace o partnerském vztahu virtuálních sítí najdete v tématu Partnerské vztahy virtuálních sítí.

Směrování v Azure

Ve výchozím nasazení jsou důležité tři aspekty směrování sítě pro SAP HANA v Azure (velké instance):

• K SAP HANA v Azure (velké instance) se dá přistupovat jenom přes virtuální počítače Azure a vyhrazené připojení ExpressRoute, ne přímo z místního prostředí. Přímý přístup z místního prostředí k jednotkám velké instance HANA, jak vám Microsoft doručuje, není možný okamžitě. Omezení tranzitivního směrování jsou způsobená aktuální architekturou sítě Azure používanou pro velké instance SAP HANA. Někteří klienti pro správu a všechny aplikace, které potřebují přímý přístup, jako je SAP Solution Manager spuštěný místně, se nemůžou připojit k databázi SAP HANA. Výjimky najdete v následující části Směrování do velkých instancí HANA.

• Pokud máte jednotky velké instance HANA nasazené ve dvou různých oblastech Azure pro zotavení po havárii, platí stejná přechodná omezení směrování jako v minulosti. Jinými slovy, IP adresy velké instance HANA v jedné oblasti (například USA – západ) nebyly směrovány do velké instance HANA nasazené v jiné oblasti (například USA – východ). Toto omezení je nezávislé na použití partnerského vztahu sítí Azure napříč oblastmi nebo křížovým propojením okruhů ExpressRoute, které propojují velké instance HANA s virtuálními sítěmi. Grafické znázornění najdete na obrázku v části Použití jednotek velké instance HANA ve více oblastech. Toto omezení, které bylo součástí nasazené architektury, zakázalo okamžité použití replikace systému HANA pro zotavení po havárii. Nedávné změny najdete v tématu Použití jednotek velké instance HANA ve více oblastech.

• SAP HANA ve velkých instancích Azure má přiřazenou IP adresu z rozsahu adres fondu IP adres serveru, který jste odeslali při žádosti o nasazení velké instance HANA. Další informace najdete v tématu Infrastruktura SAP HANA (velké instance) a možnosti připojení v Azure. Tato IP adresa je přístupná prostřednictvím předplatných Azure a okruhu, který propojuje virtuální sítě Azure s velkými instancemi HANA. IP adresa přiřazená z rozsahu adres fondu IP adres serveru je přímo přiřazena k hardwarové jednotce. Už se nepřiřazuje prostřednictvím překladu síťových adres (NAT), jak tomu bylo v prvních nasazeních tohoto řešení.

Přímé směrování do velkých instancí HANA

Ve výchozím nastavení tranzitivní směrování nefunguje v těchto scénářích:

• Mezi jednotkami velké instance HANA a místním nasazením.

• Mezi jednotkami velké instance HANA nasazenými v různých oblastech

Existují tři způsoby, jak v těchto scénářích povolit tranzitivní směrování:

• Reverzní proxy server pro směrování dat do a z. Například F5 BIG-IP, NGINX s Traffic Managerem nasazeným ve virtuální síti Azure, která se připojuje k rozsáhlým instancím HANA a k místnímu prostředí jako řešení směrování virtuální brány firewall nebo provozu.
• Použití pravidel IPTables na virtuálním počítači s Linuxem k povolení směrování mezi místními umístěními a jednotkami velké instance HANA nebo mezi jednotkami velké instance HANA v různých oblastech. Virtuální počítač se spuštěnými tabulkami IPTables musí být nasazený ve virtuální síti Azure, který se připojuje k rozsáhlým instancím HANA a k místnímu prostředí. Virtuální počítač musí mít velikost, aby propustnost sítě virtuálního počítače byla dostatečná pro očekávaný síťový provoz. Další informace o šířce pásma sítě virtuálních počítačů najdete v článku Velikosti virtuálních počítačů s Linuxem v Azure.
• Azure Firewall by byl dalším řešením, které umožňuje přímé přenosy mezi místními a velkými jednotkami instancí HANA.

Veškerý provoz těchto řešení by byl směrován přes virtuální síť Azure. Provoz může být také omezen měkkými zařízeními používanými skupinami zabezpečení sítě Nebo skupinami zabezpečení sítě Azure. Tímto způsobem je možné blokovat konkrétní IP adresy nebo rozsahy IP adres z místního prostředí nebo explicitně povolit přístup k velkým instancím HANA.

Poznámka:

Mějte na paměti, že Microsoft neposkytuje implementace a podporu vlastních řešení zahrnujících síťová zařízení třetích stran nebo tabulky IPTables. Podporu musí poskytnout dodavatel komponenty, kterou používá nebo integrátor.

ExpressRoute Global Reach

Microsoft představil novou funkci s názvem ExpressRoute Global Reach. Global Reach se dá použít pro velké instance HANA ve dvou scénářích:

• Povolte přímý přístup z místního prostředí k jednotkám velké instance HANA nasazeným v různých oblastech.
• Povolte přímou komunikaci mezi jednotkami velké instance HANA nasazenými v různých oblastech.

Přímý přístup z místního prostředí

V oblastech Azure, kde je nabízena služba Global Reach, můžete požádat o povolení služby Global Reach pro okruh ExpressRoute. Tento okruh propojuje vaši místní síť s virtuální sítí Azure, která se připojuje k vašim velkým instancím HANA. Na místní straně okruhu ExpressRoute se účtují náklady. Další informace najdete v cenách doplňku Global Reach. Za okruh, který připojuje velké instance HANA k Azure, nebudete platit další náklady.

Důležité

Při použití služby Global Reach k povolení přímého přístupu mezi vašimi jednotkami velké instance HANA a místními prostředky se síťová data a tok řízení nesměrují přes virtuální sítě Azure. Místo toho se síťová data a tok řízení směrují přímo mezi směrovači exchange Microsoftu. Žádná pravidla NSG nebo ASG ani jakýkoli typ brány firewall, síťového virtuálního zařízení nebo proxy serveru, které jste nasadili ve virtuální síti Azure, se tedy nedotknou. Pokud používáte ExpressRoute Global Reach k povolení přímého přístupu z místního prostředí k jednotkám velkých instancí HANA, omezení a oprávnění pro přístup k velkým instancím HANA je potřeba definovat v branách firewall na místní straně.

Připojení velkých instancí HANA v různých oblastech Azure

Podobně je možné použít ExpressRoute Global Reach k propojení dvou tenantů velkých instancí HANA nasazených v různých oblastech. Izolace je okruhy ExpressRoute, které tenanti velké instance HANA používají pro připojení k Azure v obou oblastech. Za připojení dvou tenantů velké instance HANA nasazených v různých oblastech se neúčtují žádné další poplatky.

Důležité

Tok dat a tok řízení síťového provozu mezi tenanty velkých instancí HANA nebude směrován přes sítě Azure. Nemůžete proto používat funkce Azure ani síťová virtuální zařízení (NVA) k vynucení omezení komunikace mezi tenanty velkých instancí HANA.

Další informace o tom, jak povolit ExpressRoute Global Reach, najdete v tématu Připojení virtuální sítě k velkým instancím HANA.

Připojení k internetu velké instance HANA

Velké instance HANA nemají přímé připojení k internetu. Toto omezení může například omezit vaši schopnost zaregistrovat image operačního systému přímo u dodavatele operačního systému. Možná budete muset pracovat s místním serverem SUSE Linux Enterprise Server Subscription Management Tool nebo správcem předplatného Red Hat Enterprise Linux.

Šifrování dat mezi virtuálními počítači a velkou instancí HANA

Data přenášená mezi velkými instancemi HANA a virtuálními počítači se nešifrují. Čistě pro výměnu mezi stranou HANA DBMS a aplikacemi založenými na JDBC/ODBC však můžete povolit šifrování provozu. Další informace najdete v tématu Zabezpečená komunikace mezi klienty SAP HANA a JDBC/ODBC.

Použití jednotek velkých instancí HANA ve více oblastech

Pokud chcete zotavení po havárii, musíte mít jednotky velké instance HANA ve více oblastech Azure. Použití pouze globálního partnerského vztahu virtuálních sítí Azure ve výchozím nastavení nebude tranzitivní směrování fungovat mezi tenanty velkých instancí HANA v různých oblastech. Global Reach ale otevře komunikaci mezi jednotkami velké instance HANA v různých oblastech. Tento scénář s využitím ExpressRoute Global Reach umožňuje:

• Replikace systému HANA bez dalších proxy serverů nebo bran firewall.
• Kopírování záloh mezi jednotkami velké instance HANA v různých oblastech za účelem vytvoření systémových kopií nebo aktualizací systému

Předchozí obrázek ukazuje, jak jsou virtuální sítě v obou oblastech připojené ke dvěma okruhům ExpressRoute. Okruhy se používají k připojení k SAP HANA v Azure (velké instance) v obou oblastech Azure (šedé čáry). Důvodem těchto dvou křížových spojení je ochrana před výpadkem prostředí MSEE na obou stranách. Komunikační tok mezi dvěma virtuálními sítěmi ve dvou oblastech Azure se má zpracovávat přes globální partnerský vztah těchto dvou virtuálních sítí ve dvou různých oblastech (modrá tečkovaná čára). Tlustá červená čára popisuje připojení ExpressRoute Global Reach. Toto připojení umožňuje vzájemné komunikaci jednotek velkých instancí HANA vašich tenantů v různých oblastech.

Důležité

Pokud jste použili více okruhů ExpressRoute, použijte předpending AS Path a nastavení BGP místních předvoleb, abyste zajistili správné směrování provozu.

Další kroky

Přečtěte si o architektuře úložiště SAP HANA (velké instance).

Architektura úložiště SAP HANA (velké instance)