Síťová architektura SAP HANA (velké instance)

V tomto článku se podíváme na síťovou architekturu pro nasazení SAP HANA ve velkých instancích Azure (označované také jako BareMetal Infrastructure).

Architektura síťových služeb Azure je klíčovou součástí úspěšného nasazení aplikací SAP ve velké instanci HANA. Nasazení SAP HANA v Azure (velké instance) mají obvykle větší prostředí SAP. Pravděpodobně zahrnují několik řešení SAP s různou velikostí databází, spotřebou prostředků procesoru a využitím paměti.

Je pravděpodobné, že v Azure se už nenachází všechny IT systémy. Vaše prostředí SAP může být také hybridní. Váš systém pro správu databází (DBMS) a aplikace SAP může používat kombinaci netWeaver, S/4HANA a SAP HANA. Vaše aplikace SAP může dokonce používat jinou databázi DBMS.

Azure nabízí různé služby, které umožňují spouštět v Azure systémy DBMS, NetWeaver a S/4HANA. Azure nabízí síťové technologie, aby azure vypadalo jako virtuální datové centrum pro vaše místní nasazení softwaru. Síťové funkce Azure zahrnují:

• Virtuální sítě Azure připojené k okruhu ExpressRoute , který se připojuje k místním síťovým prostředkům.
• Okruh ExpressRoute, který se připojuje místně k Azure s minimální šířkou pásma 1 Gb/s nebo vyšší. Tento okruh umožňuje dostatečnou šířku pásma pro přenos dat mezi místními systémy a systémy, které běží na virtuálních počítačích. Umožňuje také odpovídající šířku pásma pro připojení k systémům Azure od místních uživatelů.
• Všechny systémy SAP v Azure jsou nastavené ve virtuálních sítích pro vzájemnou komunikaci.
• Služba Active Directory a místně hostovaná služba DNS se rozšiřují do Azure prostřednictvím ExpressRoute z místního prostředí. Můžou také běžet úplně v Azure.

Při integraci velkých instancí HANA do síťových prostředků infrastruktury datacentra Azure se používá také technologie Azure ExpressRoute.

Poznámka

Pouze jedno předplatné Azure je možné propojit pouze s jedním tenantem v razítku velké instance HANA v konkrétní oblasti Azure. Naopak jednoho tenanta s razítkem velké instance HANA je možné propojit pouze s jedním předplatným Azure. Tento požadavek je konzistentní s jinými fakturovatelnými objekty v Azure.

Pokud se SAP HANA v Azure (velké instance) nasadí ve více oblastech Azure, nasadí se v razítku velká instance HANA samostatný tenant. Obojí můžete spustit ve stejném předplatném Azure za předpokladu, že jsou tyto instance součástí stejného prostředí SAP.

Důležité

Sap HANA v Azure (velké instance) podporuje pouze metodu nasazení Azure Resource Manager.

Další informace o virtuální síti

Pokud chcete připojit virtuální síť k ExpressRoute, musí být vytvořena brána Azure ExpressRoute. Další informace najdete v tématu O branách ExpressRoute pro ExpressRoute.

Brána Azure ExpressRoute se používá s ExpressRoute k infrastruktuře mimo Azure nebo k razítku velké instance Azure. Bránu Azure ExpressRoute můžete připojit maximálně ke čtyřem okruhům ExpressRoute, ale pouze v případě, že tato připojení pocházejí z různých hraničních směrovačů Microsoft Enterprise (MSEE). Další informace najdete v tématu Infrastruktura a připojení SAP HANA (velké instance) v Azure.

Poznámka

Maximální propustnost, které můžete dosáhnout s bránou ExpressRoute, je 10 Gb/s pomocí připojení ExpressRoute. Kopírování souborů mezi virtuálním počítačem, který se nachází ve virtuální síti, a místním systémem (jako jeden datový proud kopírování) nedosáhne plné propustnosti různých skladových položek brány. Pokud chcete využít celou šířku pásma brány ExpressRoute, použijte několik datových proudů nebo zkopírujte různé soubory do paralelních datových proudů jednoho souboru.

Síťová architektura pro velkou instanci HANA

Síťovou architekturu pro velké instance HANA je možné rozdělit do čtyř částí:

• Místní sítě a připojení ExpressRoute k Azure. Tato část je vaše doména (zákazníka) a je připojená k Azure prostřednictvím ExpressRoute. Tento okruh ExpressRoute je plně placený vámi. Šířka pásma by měla být dostatečně velká, aby zvládla síťový provoz mezi místními prostředky a oblastí Azure, ke které se připojujete. Viz vpravo dole na následujícím obrázku.
• Síťové služby Azure, jak jsme už dříve probrali, s virtuálními sítěmi, které znovu vyžadují přidání bran ExpressRoute. Pro tuto část musíte vytvořit vhodné návrhy, které splňují požadavky vaší aplikace, zabezpečení a dodržování předpisů. Zvažte, jestli použít velké instance HANA s ohledem na počet virtuálních sítí a skladových položek brány Azure, ze které si můžete vybrat. Podívejte se na obrázek v pravém horním rohu.
• Připojení vaší velké instance HANA přes ExpressRoute k Azure. Tuto část nasazuje a zpracovává Microsoft. Stačí zadat rozsahy IP adres po nasazení prostředků ve velké instanci HANA a připojení okruhu ExpressRoute k virtuálním sítím. Další informace najdete v tématu Infrastruktura a připojení SAP HANA (velké instance) v Azure. Za připojení mezi síťovými prostředky infrastruktury datového centra Azure a jednotkami velkých instancí HANA se neplatí žádný další poplatek.
• Sítě v rámci razítka velké instance HANA, které jsou pro vás většinou transparentní.

Následující dva požadavky stále platí, i když používáte velké instance Hana:

• Vaše místní prostředky se musí připojit k Azure prostřednictvím ExpressRoute.
• Potřebujete jednu nebo více virtuálních sítí, ve kterých běží vaše virtuální počítače. Tyto virtuální počítače hostují aplikační vrstvu, která se připojuje k instancím HANA hostovaným ve velkých instancích HANA.

Rozdíly v nasazeních SAP v Azure jsou:

• Velké instance HANA vašeho tenanta jsou připojené prostřednictvím jiného okruhu ExpressRoute k vašim virtuálním sítím. Okruhy ExpressRoute z místní virtuální sítě do Azure a okruhy mezi virtuálními sítěmi Azure a velkými instancemi HANA nesdílejí stejné směrovače. Jejich zátěžové podmínky zůstávají oddělené.
• Profil úlohy mezi aplikační vrstvou SAP a velkou instancí HANA je jiné povahy. SAP HANA generuje mnoho malých požadavků a shluků, jako jsou přenosy dat (sady výsledků) do aplikační vrstvy.
• Aplikační architektura SAP je citlivější na latenci sítě než typické scénáře, kdy se data vyměňují mezi místním prostředím a Azure.
• Brána Azure ExpressRoute má aspoň dvě připojení ExpressRoute. Jeden okruh je připojený z místního prostředí a jeden z velké instance HANA. Tato konfigurace ponechá místo pro připojení k bráně ExpressRoute pouze pro dva další okruhy z různých prostředí MSE. Toto omezení je nezávislé na použití ExpressRoute FastPath. Všechny připojené okruhy sdílejí maximální šířku pásma pro příchozí data brány ExpressRoute.

S revizí 3 razítek velké instance HANA může být latence sítě mezi virtuálními počítači a jednotkami velkých instancí HANA vyšší než obvyklé latence odezvy sítě mezi virtuálními počítači. V závislosti na oblasti Azure můžou hodnoty překročit latenci odezvy 0,7 ms klasifikovanou jako podprůměrnou v sap Note #1100926 – nejčastější dotazy: Výkon sítě. V závislosti na oblasti Azure a nástroji pro měření latence sítě mezi virtuálním počítačem Azure a velkou instancí HANA může být latence až 2 milisekundy. Přesto zákazníci úspěšně nasazují produkční aplikace SAP založené na SAP HANA na velké instance SAP HANA. Nezapomeňte důkladně otestovat své obchodní procesy s využitím velkých instancí Azure HANA. Nová funkce s názvem ExpressRoute FastPath může výrazně snížit latenci sítě mezi velkými instancemi HANA a virtuálními počítači aplikační vrstvy v Azure (viz níže).

Revize 4 razítek velké instance HANA zlepšuje latenci sítě mezi virtuálními počítači Azure nasazenými v blízkosti razítka velké instance HANA. Latence splňuje průměrnou nebo lepší než průměrnou klasifikaci, jak je popsáno v tématu SAP Note #1100926 – nejčastější dotazy: Výkon sítě , pokud je nakonfigurovaná služba Azure ExpressRoute FastPath (viz níže).

Pokud chcete nasadit virtuální počítače Azure v blízkosti velkých instancí HANA revize 4, musíte použít skupiny umístění bezkontaktní komunikace Azure. Skupiny umístění bezkontaktní komunikace je možné použít k vyhledání aplikační vrstvy SAP ve stejném datacentru Azure jako velké instance HANA hostované v revizi 4. Další informace najdete v tématu Skupiny umístění bezkontaktní komunikace Azure pro optimální latenci sítě s aplikacemi SAP.

K zajištění deterministické latence sítě mezi virtuálními počítači a velkou instancí HANA je nezbytné použít skladovou položku brány ExpressRoute. Na rozdíl od vzorů provozu mezi místním prostředím a virtuálními počítači můžou vzorce provozu mezi virtuálními počítači a velkými instancemi HANA vyvinout malé, ale vysoké shluky požadavků a objemů dat. Pokud chcete takové shluky zpracovat, důrazně doporučujeme použít skladovou položku brány UltraPerformance. Pro třídu typu II skladových položek velkých instancí HANA je povinné používat skladovou položku brány UltraPerformance jako bránu ExpressRoute.

Důležité

Vzhledem k celkovému síťovému provozu mezi aplikační vrstvou SAP a databází se pro připojení k SAP HANA v Azure (velké instance) podporují pouze skladové položky brány HighPerformance nebo UltraPerformance pro virtuální sítě. U skladových položek velkých instancí HANA typu II se jako brána ExpressRoute podporuje pouze skladová položka brány UltraPerformance. Při použití ExpressRoute FastPath platí výjimky (viz níže).

ExpressRoute FastPath

V květnu 2019 jsme vydali ExpressRoute FastPath. FastPath snižuje latenci mezi velkými instancemi HANA a virtuálními sítěmi Azure, které hostují virtuální počítače aplikací SAP. V případě FastPath se toky dat mezi virtuálními počítači a velkými instancemi HANA nesměrují přes bránu ExpressRoute. Virtuální počítače přiřazené v podsítích virtuální sítě Azure přímo komunikují s vyhrazeným podnikovým hraničním směrovačem.

Důležité

ExpressRoute FastPath vyžaduje, aby podsítě, na kterých běží virtuální počítače aplikace SAP, byly ve stejné virtuální síti Azure, která je připojená k velkým instancím HANA. Virtuální počítače umístěné ve virtuálních sítích Azure, které jsou v partnerském vztahu s virtuální sítí Azure připojenou k jednotkám velkých instancí HANA, nemají výhodu ExpressRoute FastPath. Výsledkem je, že typické návrhy hvězdicových virtuálních sítí, kde se okruhy ExpressRoute připojují k centrální virtuální síti a virtuální sítě obsahující aplikační vrstvu (paprsky) SAP jsou v partnerském vztahu, nebude optimalizace expressRoute FastPath fungovat. ExpressRoute FastPath také v současné době nepodporuje uživatelem definovaná pravidla směrování (UDR). Další informace najdete v tématu Brána virtuální sítě ExpressRoute a FastPath.

Další informace o konfiguraci ExpressRoute FastPath najdete v tématu Připojení virtuální sítě k velkým instancím HANA.

Poznámka

K použití ExpressRoute FastPath se vyžaduje brána ExpressRoute UltraPerformance.

Jeden systém SAP

Dříve zobrazená místní infrastruktura je připojená k Azure prostřednictvím ExpressRoute. Okruh ExpressRoute se připojuje k MSEE. Další informace najdete v technickém přehledu ExpressRoute. Po vytvoření se trasa připojí k páteřní síti Azure.

Poznámka

Pokud chcete spustit prostředí SAP v Azure, připojte se k podnikovému hraničnímu směrovači, který je nejblíže k oblasti Azure v prostředí SAP. Razítka velké instance HANA jsou propojená prostřednictvím vyhrazených podnikových hraničních směrovačů, aby se minimalizovala latence sítě mezi virtuálními počítači v razítecích Azure IaaS a velká instance HANA.

Brána ExpressRoute pro virtuální počítače, které hostují instance aplikací SAP, jsou připojené k jednomu okruhu ExpressRoute, který se připojuje k místnímu prostředí. Stejná virtuální síť je připojená k samostatnému podnikovému hraničnímu směrovači. Tento hraniční směrovač je vyhrazený pro připojení k razítkům velkých instancí. Při použití FastPath se tok dat z velkých instancí HANA do virtuálních počítačů aplikační vrstvy SAP nesměruje přes bránu ExpressRoute. Tato konfigurace snižuje latenci sítě po dobu odezvy.

Tento systém je jednoduchým příkladem jednoho systému SAP. Aplikační vrstva SAP je hostovaná v Azure. Databáze SAP HANA běží v SAP HANA v Azure (velké instance). Předpokládá se, že šířka pásma brány ExpressRoute s propustností 2 Gb/s nebo 10 Gb/s nepředstavuje kritický bod.

Více systémů SAP nebo velkých systémů SAP

Pokud nasadíte více systémů SAP nebo velkých systémů SAP, které se připojují k SAP HANA (velké instance), může se propustnost brány ExpressRoute stát kritickým bodem. V takovém případě rozdělte aplikační vrstvy do několika virtuálních sítí. Aplikační vrstvy můžete také rozdělit, pokud chcete izolovat produkční a neprodukční systémy v různých virtuálních sítích Azure.

Speciální virtuální síť, která se připojí k velkým instancím HANA, můžete vytvořit v těchto případech:

• Zálohování přímo z instancí HANA ve velké instanci HANA na virtuální počítač v Azure, který je hostitelem sdílených složek NFS.
• Kopírování velkých záloh nebo jiných souborů z velkých instancí HANA do místa na disku spravovaném v Azure

K hostování virtuálních počítačů, které spravují úložiště pro hromadný přenos dat mezi velkými instancemi HANA a Azure, použijte samostatnou virtuální síť. Toto uspořádání zabraňuje přenosu velkých souborů nebo dat z velkých instancí HANA do Azure v bráně ExpressRoute, která obsluhuje virtuální počítače s aplikační vrstvou SAP.

Rozšiřitelnější síťovou architekturu:

• Použijte více virtuálních sítí pro jednu větší aplikační vrstvu SAP.

• Nasaďte jednu samostatnou virtuální síť pro každý nasazený systém SAP ve srovnání s kombinováním těchto systémů SAP v samostatných podsítích ve stejné virtuální síti.

  Následující diagram znázorňuje rozšiřitelnější síťovou architekturu pro SAP HANA v Azure (velké instance):

V závislosti na pravidlech a omezeních, která chcete použít mezi různými virtuálními sítěmi hostujícími virtuální počítače různých systémů SAP, byste měli tyto virtuální sítě propojit. Další informace o partnerském vztahu virtuálních sítí najdete v tématu Partnerský vztah virtuálních sítí.

Směrování v Azure

Ve výchozím nasazení jsou pro SAP HANA v Azure (velké instance) důležité tři aspekty směrování sítě:

• K SAP HANA v Azure (velké instance) je možné přistupovat pouze prostřednictvím virtuálních počítačů Azure a vyhrazeného připojení ExpressRoute, nikoli přímo z místního prostředí. Přímý přístup z místního prostředí k jednotkám velkých instancí HANA, jak vám doručuje Microsoft, není možný okamžitě. Omezení tranzitivního směrování jsou způsobená aktuální architekturou sítě Azure používanou pro velké instance SAP HANA. Někteří klienti správy a žádné aplikace, které potřebují přímý přístup, například SAP Solution Manager spuštěný místně, se nemůžou připojit k databázi SAP HANA. Výjimky najdete v následující části Přímé směrování do velkých instancí HANA.

• Pokud máte jednotky velkých instancí HANA nasazené ve dvou různých oblastech Azure pro zotavení po havárii, platí stejná přechodná omezení směrování jako v minulosti. Jinými slovy, IP adresy velké instance HANA v jedné oblasti (například USA – západ) nebyly směrovány na velkou instanci HANA nasazenou v jiné oblasti (například USA – východ). Toto omezení je nezávislé na použití partnerského vztahu sítě Azure napříč oblastmi nebo křížovému propojení okruhů ExpressRoute, které propojují velké instance HANA s virtuálními sítěmi. Grafické znázornění najdete na obrázku v části Použití jednotek velkých instancí HANA ve více oblastech. Toto omezení, které bylo součástí nasazené architektury, zakázalo okamžité použití replikace systému HANA pro zotavení po havárii. Informace o nedávných změnách najdete v tématu Použití velkých jednotek instancí HANA ve více oblastech.

• SAP HANA ve velkých instancích Azure má přiřazenou IP adresu z rozsahu adres fondu IP adres serveru, který jste odeslali při žádosti o nasazení velké instance HANA. Další informace najdete v tématu Infrastruktura a připojení SAP HANA (velké instance) v Azure. Tato IP adresa je přístupná prostřednictvím předplatných Azure a okruhu, který propojuje virtuální sítě Azure s velkými instancemi HANA. IP adresa přiřazená mimo rozsah adres fondu IP adres serveru je přímo přiřazená hardwarové jednotce. Už se nepřiřazuje prostřednictvím překladu adres (NAT), jak tomu bylo v případě prvních nasazení tohoto řešení.

Přímé směrování do velkých instancí HANA

Ve výchozím nastavení přechodné směrování nefunguje v těchto scénářích:

• Mezi jednotkami velkých instancí HANA a místním nasazením.

• Mezi jednotkami velkých instancí HANA nasazenými v různých oblastech

V těchto scénářích existují tři způsoby, jak povolit přechodné směrování:

• Reverzní proxy server pro směrování dat do a z. Například F5 BIG-IP, NGINX s Traffic Managerem nasazeným ve virtuální síti Azure, která se připojuje k velkým instancím HANA a k místnímu prostředí jako virtuální brána firewall nebo řešení směrování provozu.
• Použití pravidel IPTables na virtuálním počítači s Linuxem k povolení směrování mezi místními umístěními a jednotkami velkých instancí HANA nebo mezi jednotkami velkých instancí HANA v různých oblastech Virtuální počítač s IPTables musí být nasazený ve virtuální síti Azure, která se připojuje k velkým instancím HANA a k místnímu prostředí. Virtuální počítač musí mít velikost tak, aby propustnost sítě virtuálního počítače byla dostatečná pro očekávaný síťový provoz. Další informace o šířce pásma sítě virtuálních počítačů virtuálních počítačů s Linuxem najdete v článku Velikosti virtuálních počítačů s Linuxem v Azure.
• Azure Firewall by bylo dalším řešením umožňujícím přímý provoz mezi místními a velkými jednotkami instancí HANA.

Veškerý provoz těchto řešení by se směroval přes virtuální síť Azure. Provoz proto můžou omezit také použitá soft zařízení nebo skupiny zabezpečení sítě Azure. Tímto způsobem může být blokovaný nebo explicitně povolený přístup k velkým instancím HANA konkrétní IP adresy nebo rozsahy IP adres z místního prostředí.

Poznámka

Mějte na paměti, že microsoft neposkytuje implementaci a podporu vlastních řešení zahrnujících síťová zařízení nebo iptables třetích stran. Podporu musí poskytovat dodavatel použité komponenty nebo integrátor.

Express Route Global Reach

Microsoft představil novou funkci s názvem ExpressRoute Global Reach. Global Reach je možné použít pro velké instance HANA ve dvou scénářích:

• Povolte přímý přístup z místního prostředí k jednotkám velkých instancí HANA nasazeným v různých oblastech.
• Povolte přímou komunikaci mezi jednotkami velkých instancí HANA nasazenými v různých oblastech.

Přímý přístup z místního prostředí

V oblastech Azure, kde je služba Global Reach nabízena, můžete požádat o povolení služby Global Reach pro váš okruh ExpressRoute. Tento okruh připojí vaši místní síť k virtuální síti Azure, která se připojuje k vašim velkým instancím HANA. Na místní straně okruhu ExpressRoute se účtují náklady. Další informace najdete v cenách doplňku Global Reach. Nebudete platit další náklady za okruh, který připojuje velké instance HANA k Azure.

Důležité

Při použití služby Global Reach k povolení přímého přístupu mezi jednotkami velkých instancí HANA a místními prostředky se tok síťových dat a řízení nesměruje přes virtuální sítě Azure. Místo toho se síťová data a tok řízení směrují přímo mezi směrovači podnikového exchange Microsoftu. Pravidla NSG nebo ASG ani žádný typ brány firewall, síťového virtuálního zařízení nebo proxy serveru, které jste nasadili ve virtuální síti Azure, se tedy nedotkne. Pokud používáte ExpressRoute Global Reach k povolení přímého přístupu z místního prostředí do HANA Velké jednotky instancí, je potřeba v branách firewall na místní straně definovat omezení a oprávnění pro přístup k velkým jednotkám instance HANA.

Připojení velkých instancí HANA v různých oblastech Azure

Podobně je možné použít ExpressRoute Global Reach k propojení dvou tenantů velkých instancí HANA nasazených v různých oblastech. Izolací jsou okruhy ExpressRoute, které vaši klienti velké instance HANA používají pro připojení k Azure v obou oblastech. Za připojení dvou tenantů velkých instancí HANA nasazených v různých oblastech se neúčtují žádné další poplatky.

Důležité

Tok dat a tok řízení síťového provozu mezi tenanty velké instance HANA se nebude směrovat přes sítě Azure. Proto nemůžete pomocí funkcí Azure nebo síťových virtuálních zařízení (NVA) vynucovat omezení komunikace mezi vašimi tenanty velkých instancí HANA.

Další informace o tom, jak povolit ExpressRoute Global Reach, najdete v tématu Připojení virtuální sítě k velkým instancím HANA.

Připojení velké instance HANA k internetu

Velké instance HANA nemají přímé připojení k internetu. Toto omezení může například omezit vaši možnost zaregistrovat image operačního systému přímo u dodavatele operačního systému. Možná budete muset pracovat s místním serverem nástroje pro správu předplatného serveru SUSE Linux Enterprise Server nebo se správcem předplatného Red Hat Enterprise Linux.

Šifrování dat mezi virtuálními počítači a velkou instancí HANA

Data přenášená mezi velkými instancemi HANA a virtuálními počítači nejsou šifrovaná. Čistě pro výměnu mezi aplikací HANA DBMS a aplikacemi založenými na JDBC/ODBC však můžete povolit šifrování provozu. Další informace najdete v tématu Zabezpečená komunikace mezi klienty SAP HANA a klienty JDBC/ODBC.

Použití velkých jednotek instancí HANA ve více oblastech

Pro zotavení po havárii musíte mít jednotky velkých instancí HANA v několika oblastech Azure. Při použití pouze globálního partnerského vztahu virtuálních sítí Azure ve výchozím nastavení nebude přechodné směrování fungovat mezi tenanty velkých instancí HANA v různých oblastech. Global Reach ale otevírá komunikaci mezi jednotkami velkých instancí HANA v různých oblastech. Tento scénář s využitím ExpressRoute Global Reach umožňuje:

• Replikace systému HANA bez dalších proxy serverů nebo bran firewall.
• Kopírování záloh mezi jednotkami velkých instancí HANA v různých oblastech za účelem kopírování systému nebo aktualizací systému

Předchozí obrázek ukazuje, jak jsou virtuální sítě v obou oblastech připojené ke dvěma okruhům ExpressRoute. Okruhy se používají k připojení k SAP HANA v Azure (velké instance) v obou oblastech Azure (šedé čáry). Důvodem těchto dvou křížových propojení je ochrana před výpadkem msee na obou stranách. Komunikační tok mezi dvěma virtuálními sítěmi ve dvou oblastech Azure se má zpracovávat přes globální partnerský vztah těchto dvou virtuálních sítí ve dvou různých oblastech (modrá tečkovaná čára). Silná červená čára popisuje připojení ExpressRoute Global Reach. Toto připojení umožňuje, aby jednotky velkých instancí HANA vašich tenantů v různých oblastech vzájemně komunikují.

Důležité

Pokud jste použili více okruhů ExpressRoute, použijte k zajištění správného směrování provozu předsunutí cesty AS a nastavení BGP místních předvoleb.

Další kroky

Přečtěte si o architektuře úložiště SAP HANA (large instances).

Architektura úložiště SAP HANA (velké instance)