Architettura di SAP HANA in istanze di grandi dimensioni di Azure
In questo articolo verrà esaminata l'architettura di rete per la distribuzione di SAP HANA in istanze Large di Azure (altrimenti nota come Infrastruttura BareMetal).
L'architettura dei servizi di rete di Azure è un componente chiave della corretta distribuzione di applicazioni SAP in istanze Large di HANA. In genere, le distribuzioni di SAP HANA in Azure (istanze Large) hanno un panorama SAP più ampio. Sono probabilmente incluse diverse soluzioni SAP con dimensioni variabili di database, utilizzo delle risorse cpu e uso della memoria.
È probabile che non tutti i sistemi IT si trovino già in Azure. Anche il panorama sap può essere ibrido. Il sistema di gestione di database (DBMS) e l'applicazione SAP possono usare una combinazione di NetWeaver, S/4HANA e SAP HANA. L'applicazione SAP potrebbe anche usare un altro DBMS.
Azure offre servizi diversi che consentono di eseguire i sistemi DBMS, NetWeaver e S/4HANA in Azure. Azure offre una tecnologia di rete per fare in modo che Azure sia simile a un data center virtuale alle distribuzioni software locali. La funzionalità di rete di Azure include:
- Reti virtuali di Azure connesse al circuito ExpressRoute che si connette agli asset di rete locali.
- Circuito ExpressRoute che si connette in locale ad Azure con una larghezza di banda minima di 1 Gbps o superiore. Questo circuito consente una larghezza di banda adeguata per il trasferimento di dati tra sistemi locali e sistemi eseguiti in macchine virtuali. e per la connessione degli utenti locali ai sistemi di Azure.
- Per comunicare tra loro, tutti i sistemi SAP in Azure devono essere configurati in reti virtuali.
- Active Directory e DNS ospitati in locale vengono estesi dall'ambiente locale ad Azure tramite ExpressRoute. Possono anche essere eseguiti completamente in Azure.
Quando si integrano istanze Large di HANA nell'infrastruttura di rete del data center di Azure, viene usata anche la tecnologia Azure ExpressRoute.
Nota
Una singola sottoscrizione di Azure può essere collegata a un solo tenant in un modulo per istanze Large di HAHA in un'area specifica di Azure. Viceversa, un singolo tenant del modulo di istanze Large di HANA può essere collegato a una sola sottoscrizione di Azure. Questo requisito è coerente con quello di altri oggetti fatturabili in Azure.
Se SAP HANA in Azure (istanze Large) viene distribuito in più aree di Azure, un tenant separato viene distribuito nel timbro di istanze Large di HANA. È possibile eseguire entrambe le istanze nella stessa sottoscrizione di Azure, purché queste istanze facciano parte dello stesso panorama SAP.
Importante
Solo il metodo di distribuzione azure Resource Manager è supportato con SAP HANA in Azure (istanze Large).
Informazioni aggiuntive sulla rete virtuale
Per connettere una rete virtuale a ExpressRoute, è necessario creare un gateway Azure ExpressRoute. Per altre informazioni, vedere Informazioni sui gateway Expressroute per ExpressRoute.
Un gateway Azure ExpressRoute viene usato con ExpressRoute verso un'infrastruttura esterna ad Azure o a un modulo di istanze Large di Azure. È possibile connettere il gateway Azure ExpressRoute a un massimo di quattro circuiti ExpressRoute, ma solo se tali connessioni provengono da router Microsoft Enterprise Edge diversi (MSEE). Per altre informazioni, vedere Infrastruttura e connettività a SAP HANA (istanze Large) in Azure.
Nota
La velocità effettiva massima che è possibile ottenere con un gateway ExpressRoute è di 10 Gbps usando una connessione ExpressRoute. La copia di file tra una VM che si trova in una rete virtuale e un sistema locale (come singolo flusso di copia) non raggiunge la totale velocità effettiva dei diversi SKU del gateway. Per sfruttare la larghezza di banda completa del gateway ExpressRoute, usare più flussi o copiare file diversi in flussi paralleli di un singolo file.
Architettura di rete per le istanze Large di HANA
L'architettura di rete per le istanze Large di HANA può essere separata in quattro parti:
- Rete locale e connessione ExpressRoute ad Azure. Questa parte è il dominio del cliente ed è connessa ad Azure tramite ExpressRoute. Questo circuito ExpressRoute è completamente pagato dall'utente. La larghezza di banda deve essere sufficientemente grande da gestire il traffico di rete tra gli asset locali e l'area di Azure con cui ci si connette. Nell'immagine seguente è riportata in basso a destra.
- Servizi di rete di Azure, come descritto in precedenza, con le reti virtuali, che richiedono di nuovo gateway ExpressRoute aggiunti. Per questa parte, è necessario creare le progettazioni appropriate per soddisfare i requisiti di applicazione, sicurezza e conformità. Valutare se usare istanze Large di HANA in base al numero di reti virtuali e SKU del gateway di Azure tra cui scegliere. Nell'immagine questa parte è riportata in alto a destra.
- Connettività dell'istanza large di HANA tramite ExpressRoute in Azure. Questa parte è distribuita e gestita da Microsoft. È sufficiente fornire alcuni intervalli di indirizzi IP dopo aver distribuito gli asset nell'istanza Large di HANA e aver connesso il circuito ExpressRoute alle reti virtuali. Per altre informazioni, vedere Infrastruttura e connettività a SAP HANA (istanze Large) in Azure. Non sono previsti costi aggiuntivi per la connettività tra l'infrastruttura di rete del data center di Azure e le unità di istanze Large di HANA.
- Rete all'interno del modulo di istanze Large di HANA, per lo più trasparente per il cliente.
I due requisiti seguenti sono ancora validi anche se si usano istanze Large di Hana:
- Gli asset locali devono connettersi tramite ExpressRoute ad Azure.
- Sono necessarie una o più reti virtuali che eseguono le macchine virtuali. Queste macchine virtuali ospitano il livello dell'applicazione che si connette alle istanze HANA ospitate in istanze Large di HANA.
Le differenze nelle distribuzioni SAP in Azure sono:
- Le istanze Large di HANA del tenant sono connesse tramite un altro circuito ExpressRoute nelle reti virtuali. I circuiti ExpressRoute da locale a rete virtuale di Azure e i circuiti tra le reti virtuali di Azure e le istanze Large di HANA non condividono gli stessi router. Le condizioni di carico rimangono separate.
- Il profilo del carico di lavoro tra il livello dell'applicazione SAP e l'istanza Large di HANA è di natura diversa. SAP HANA genera molte richieste di piccole dimensioni e picchi come i trasferimenti di dati (set di risultati) nel livello dell'applicazione.
- L'architettura delle applicazioni SAP è più sensibile alla latenza di rete rispetto agli scenari tipici con scambio dei dati tra ambiente locale e Azure.
- Il gateway Azure ExpressRoute ha almeno due connessioni ExpressRoute. Un circuito è connesso dall'ambiente locale e uno è connesso dall'istanza Large di HANA. Questa configurazione lascia spazio solo per altri due circuiti di msee diversi per connettersi al gateway ExpressRoute. Questa restrizione è indipendente dall'utilizzo di ExpressRoute FastPath. Tutti i circuiti connessi condividono la larghezza di banda massima per i dati in ingresso del gateway ExpressRoute.
Con la revisione 3 dei francobolli di istanze Large di HANA, la latenza di rete tra le macchine virtuali e le unità di istanze Large di HANA può essere superiore rispetto alle latenze di round trip della rete VM-to-VM tipiche. A seconda dell'area di Azure, i valori possono superare la latenza di round trip di 0,7 ms classificata come al di sotto della media nella nota SAP #1100926 - Domande frequenti: Prestazioni di rete. A seconda dell'area di Azure e dello strumento per misurare la latenza di round trip di rete tra una macchina virtuale di Azure e un'istanza Large di HANA, la latenza può essere fino a 2 millisecondi. Tuttavia, i clienti distribuiscono correttamente applicazioni SAP di produzione basate su SAP HANA in istanze Large di SAP HANA. Assicurarsi di testare accuratamente i processi aziendali con istanze Large di Azure HANA. Una nuova funzionalità, denominata ExpressRoute FastPath, può ridurre notevolmente la latenza di rete tra istanze Large di HANA e macchine virtuali a livello di applicazione in Azure (vedere di seguito).
La revisione 4 dei francobolli di istanze Large di HANA migliora la latenza di rete tra le macchine virtuali di Azure distribuite in prossimità del timbro dell'istanza Large di HANA. La latenza soddisfa la classificazione media o superiore alla media, come documentato nella nota SAP #1100926 - Domande frequenti: Prestazioni di rete se è configurato FastPath di Azure ExpressRoute (vedere di seguito).
Per distribuire macchine virtuali di Azure in prossimità delle istanze Large di HANA della revisione 4, è necessario applicare gruppi di posizionamento di prossimità di Azure. I gruppi di posizionamento di prossimità possono essere usati per individuare il livello dell'applicazione SAP nello stesso data center di Azure delle istanze Large ospitate della revisione 4 di HANA. Per altre informazioni, vedere Gruppi di posizionamento di prossimità di Azure per una latenza di rete ottimale con le applicazioni SAP.
Per garantire una latenza di rete deterministica tra le macchine virtuali e l'istanza Large di HANA, è essenziale usare lo SKU del gateway ExpressRoute. A differenza dei modelli di traffico tra macchine virtuali e locali, i modelli di traffico tra le macchine virtuali e le istanze Large di HANA possono sviluppare picchi di richieste e volumi di dati di piccole dimensioni ma elevati. Per gestire tali picchi, è consigliabile usare lo SKU del gateway UltraPerformance. Per la classe Type II degli SKU di istanze Large di HANA, l'uso dello SKU del gateway UltraPerformance come gateway ExpressRoute è obbligatorio.
Importante
Considerato il traffico di rete generale tra il livello database e il livello applicazione SAP, per la connessione a SAP HANA in Azure (istanze Large) sono supportati solo gli SKU del gateway HighPerformance o UltraPerformance per le reti virtuali. Per gli SKU di tipo II di istanze Large di HANA, solo lo SKU del gateway UltraPerformance è supportato come gateway ExpressRoute. Le eccezioni si applicano quando si usa ExpressRoute FastPath (vedere di seguito).
ExpressRoute FastPath
Nel maggio 2019 è stato rilasciato ExpressRoute FastPath. FastPath riduce la latenza tra istanze Large di HANA e le reti virtuali di Azure che ospitano le macchine virtuali dell'applicazione SAP. Con FastPath, i flussi di dati tra le macchine virtuali e le istanze Large di HANA non vengono instradati tramite il gateway ExpressRoute. Le macchine virtuali assegnate nelle subnet della rete virtuale di Azure comunicano direttamente con il router perimetrale aziendale dedicato.
Importante
ExpressRoute FastPath richiede che le subnet che eseguono le macchine virtuali dell'applicazione SAP si trovino nella stessa rete virtuale di Azure connessa alle istanze Large di HANA. Le macchine virtuali che si trovano in reti virtuali di Azure con peering con la rete virtuale di Azure connessa alle unità di istanze Large di HANA non traggono vantaggio da ExpressRoute FastPath. Di conseguenza, le tipiche progettazioni di reti virtuali hub-spoke, in cui i circuiti ExpressRoute si connettono a una rete virtuale hub e a reti virtuali contenenti il livello applicazione SAP (spoke), l'ottimizzazione di ExpressRoute FastPath non funzionerà. ExpressRoute FastPath non supporta attualmente le regole di routing definite dall'utente. Per altre informazioni, vedere Gateway di rete virtuale ExpressRoute e FastPath.
Per altre informazioni su come configurare ExpressRoute FastPath, vedere Connettere una rete virtuale alle istanze Large di HANA.
Nota
Per usare ExpressRoute FastPath è necessario un gateway ExpressRoute UltraPerformance.
Sistema SAP singolo
L'infrastruttura locale illustrata in precedenza è connessa ad Azure tramite ExpressRoute. Il circuito ExpressRoute si connette a un MSEE. Per altre informazioni, vedere Panoramica tecnica di ExpressRoute. Dopo aver stabilito la route, si connette al backbone di Azure.
Nota
Per eseguire panorami applicativi SAP in Azure, connettersi al router Enterprise Edge più vicino all'area di Azure nel panorama applicativo SAP. Gli indicatori di istanze Large di HANA sono connessi tramite router perimetrali aziendali dedicati per ridurre al minimo la latenza di rete tra le macchine virtuali nei moduli di istanze Large di Azure IaaS e HANA.
Il gateway ExpressRoute per le macchine virtuali che ospitano le istanze dell'applicazione SAP è connesso a un circuito ExpressRoute che si connette all'ambiente locale. La stessa rete virtuale è connessa a un router perimetrale aziendale separato. Il router perimetrale è dedicato alla connessione a indicatori di istanze Large. Anche in questo caso, con FastPath, il flusso di dati dalle istanze Large di HANA alle macchine virtuali del livello applicazione SAP non viene instradato attraverso il gateway ExpressRoute. Questa configurazione riduce la latenza di round trip di rete.
Questo sistema è un esempio semplice di un sistema SAP singolo. Il livello applicazione SAP è ospitato in Azure. Il database SAP HANA viene eseguito su SAP HANA in Azure (istanze Large). Si presuppone che la larghezza di banda del gateway di ExpressRoute con velocità effettiva di 2 Gbps o 10 Gbps non rappresenti un collo di bottiglia.
Sistemi SAP multipli o sistemi SAP di grandi dimensioni
Se si distribuiscono più sistemi SAP o sistemi SAP di grandi dimensioni che si connettono a SAP HANA (istanze Large), la velocità effettiva del gateway ExpressRoute potrebbe diventare un collo di bottiglia. In tal caso, suddividere i livelli dell'applicazione in più reti virtuali. È anche possibile suddividere i livelli dell'applicazione se si vogliono isolare i sistemi di produzione e non di produzione in reti virtuali di Azure diverse.
È possibile creare una rete virtuale speciale che si connette a istanze Large di HANA quando:
- Esecuzione di backup direttamente dalle istanze HANA in un'istanza Large di HANA a una macchina virtuale in Azure che ospita condivisioni NFS.
- Copia di backup di grandi dimensioni o di altri file da istanze Large di HANA nello spazio su disco gestito in Azure.
Usare una rete virtuale separata per ospitare macchine virtuali che gestiscono l'archiviazione per il trasferimento di massa dei dati tra istanze Large di HANA e Azure. Questa disposizione evita il trasferimento di file o dati di grandi dimensioni da istanze Large di HANA ad Azure nel gateway ExpressRoute che gestisce le macchine virtuali che eseguono il livello dell'applicazione SAP.
Per un'architettura di rete più espandibile:
Usare più reti virtuali per un livello applicazione SAP singolo e di dimensioni maggiori.
Distribuire una rete virtuale separata per ogni sistema SAP distribuito anziché combinare questi sistemi SAP in subnet separate nella stessa rete virtuale.
Il diagramma seguente illustra un'architettura di rete più espandibile per SAP HANA in Azure (istanze Large):
A seconda delle regole e delle restrizioni da applicare tra le diverse reti virtuali che ospitano macchine virtuali di sistemi SAP diversi, è necessario eseguire il peering di tali reti virtuali. Per altre informazioni sul peering delle reti virtuali, vedere Peering di rete virtuale.
Routing in Azure
Per impostazione predefinita, tre considerazioni sul routing di rete sono importanti per SAP HANA in Azure (istanze Large):
È possibile accedere a SAP HANA in Azure (istanze Large) solo tramite macchine virtuali di Azure e la connessione ExpressRoute dedicata, non direttamente dall'ambiente locale. L'accesso diretto dall'ambiente locale alle unità di istanze Large di HANA, come distribuite da Microsoft, non è consentito nell'immediato. Le restrizioni di routing transitivo sono a causa dell'architettura di rete di Azure corrente usata per le istanze Large di SAP HANA. Alcuni client di amministrazione e le applicazioni che richiedono l'accesso diretto, ad esempio SAP Solution Manager in esecuzione in locale, non possono connettersi al database SAP HANA. Per le eccezioni, vedere la sezione seguente Instradamento diretto a istanze Large di HANA.
Se sono state distribuite unità di istanze Large di HANA in due aree di Azure diverse per il ripristino di emergenza, si applicano le stesse restrizioni di routing temporanee del passato. In altre parole, gli indirizzi IP di un'istanza Large di HANA in un'area (ad esempio, Stati Uniti occidentali) non venivano instradati a un'istanza Large di HANA distribuita in un'altra area, ad esempio Stati Uniti orientali. Questa restrizione è indipendente dall'uso del peering di rete di Azure tra aree o la connessione incrociata dei circuiti ExpressRoute che connettono istanze Large di HANA alle reti virtuali. Per una rappresentazione grafica, vedere la figura nella sezione Usare le unità di istanze Large di HANA in più aree. Questa restrizione, con l'architettura distribuita, vietava l'uso immediato della replica di sistema HANA per il ripristino di emergenza. Per le modifiche recenti, vedere Usare le unità di istanze Large di HANA in più aree.
SAP HANA in istanze Large di Azure ha un indirizzo IP assegnato dall'intervallo di indirizzi del pool IP del server inviato quando si richiede la distribuzione di istanze Large di HANA. Per altre informazioni, vedere Infrastruttura e connettività a SAP HANA (istanze Large) in Azure. Questo indirizzo IP è accessibile tramite le sottoscrizioni di Azure e il circuito che connette le reti virtuali di Azure ad HANA in istanze Large. L'indirizzo IP assegnato al di fuori dell'intervallo di indirizzi del pool IP del server viene assegnato direttamente all'unità hardware. Non è più assegnato tramite NAT (Network Address Translation), come accade nelle prime distribuzioni di questa soluzione.
Routing diretto a istanze Large di HANA
Per impostazione predefinita, il routing transitivo non funziona in questi scenari:
Tra le unità di istanze Large di HANA e una distribuzione locale.
Tra le unità di istanze Large di HANA distribuite in aree diverse.
Esistono tre modi per abilitare il routing transitivo in questi scenari:
- Un proxy inverso per instradare i dati in modo bidirezionale. Ad esempio, F5 BIG-IP, NGINX con Gestione traffico distribuito nella rete virtuale di Azure che si connette a istanze Large di HANA e all'ambiente locale come soluzione di routing del firewall virtuale/traffico.
- Regole di IPTables in una VM Linux per abilitare il routing tra le posizioni locali e le unità di istanze Large di HANA o fra tali unità in aree diverse. La macchina virtuale che esegue IPTables deve essere distribuita nella rete virtuale di Azure che si connette a istanze Large di HANA e in locale. La macchina virtuale deve essere ridimensionata in modo che la velocità effettiva di rete della macchina virtuale sia sufficiente per il traffico di rete previsto. Per altre informazioni sulla larghezza di banda di rete delle macchine virtuali, vedere l'articolo Dimensioni delle macchine virtuali Linux in Azure.
- Firewall di Azure sarebbe un'altra soluzione per abilitare il traffico diretto tra le unità di istanze Large locali e HANA.
Tutto il traffico di queste soluzioni verrebbe instradato attraverso una rete virtuale di Azure. Di conseguenza, il traffico potrebbe anche essere limitato dalle appliance soft usate o dai gruppi di sicurezza di rete di Azure. In questo modo, specifici indirizzi IP o intervalli di indirizzi IP dall'ambiente locale possono essere bloccati o consentiti in modo esplicito l'accesso alle istanze Large di HANA.
Nota
Tenere presente che Microsoft non fornisce l'implementazione e il supporto per soluzioni personalizzate che riguardano IPTables o appliance di rete di terze parti. Il supporto deve essere fornito dal fornitore del componente utilizzato o dall'integratore.
Copertura globale di ExpressRoute
Microsoft ha introdotto una nuova funzionalità denominata Copertura globale di ExpressRoute. Copertura globale può essere usata per HANA in istanze Large in due scenari:
- Abilitare l'accesso diretto dall'ambiente locale alle unità di HANA in istanze Large distribuite in aree diverse.
- Abilitare le comunicazioni dirette tra le unità di HANA in istanze Large distribuite in aree diverse.
Accesso diretto dall'ambiente locale
Nelle aree di Azure in cui è disponibile Copertura globale è possibile richiedere l'abilitazione di Copertura globale per il circuito ExpressRoute. Questo circuito connette la rete locale alla rete virtuale di Azure che si connette alle istanze Large di HANA. Sono previsti costi per il lato locale del circuito ExpressRoute. Per altre informazioni, vedere i prezzi per il componente aggiuntivo Copertura globale. Non verranno addebitati costi aggiuntivi per il circuito che connette le istanze Large di HANA ad Azure.
Importante
Quando si usa Copertura globale per abilitare l'accesso diretto tra le unità di istanze Large di HANA e gli asset locali, i dati di rete e il flusso di controllo non vengono instradati attraverso le reti virtuali di Azure. I dati di rete e il flusso di controllo vengono invece instradati direttamente tra i router di scambio aziendali Microsoft. Pertanto, qualsiasi gruppo di sicurezza di rete o regole del gruppo di sicurezza di rete o qualsiasi tipo di firewall, appliance virtuale di rete o proxy distribuito in una rete virtuale di Azure, non verrà toccato. Se si usa Copertura globale di ExpressRoute per abilitare l'accesso diretto dalle unità di istanza Large di HANA alle unità di istanze Large di HANA, è necessario definire restrizioni e autorizzazioni per accedere alle unità di istanze Large di HANA nei firewall sul lato locale.
Connessione di istanze Large di HANA in aree di Azure diverse
Analogamente, è possibile usare Copertura globale di ExpressRoute per connettere due tenant di istanze Large di HANA distribuite in aree diverse. L'isolamento è costituito dai circuiti ExpressRoute usati dai tenant di istanze Large di HANA per connettersi ad Azure in entrambe le aree. Non sono previsti costi aggiuntivi per la connessione di due tenant di istanze Large di HANA distribuiti in aree diverse.
Importante
Il flusso di dati e il flusso di controllo del traffico di rete tra i tenant di istanze Large di HANA non verranno instradati attraverso le reti di Azure. Non è quindi possibile usare le funzionalità di Azure o le appliance virtuali di rete (APPLIANCE virtuali di rete) per applicare restrizioni di comunicazione tra i tenant di istanze Large di HANA.
Per altre informazioni su come abilitare Copertura globale di ExpressRoute, vedere Connettere una rete virtuale a istanze Large di HANA.
Connettività Internet delle istanze Large di HANA
Le istanze Large di HANA non hanno connettività Internet diretta. Questo limita ad esempio la possibilità di registrare l'immagine del sistema operativo direttamente con il relativo fornitore. Può quindi essere necessario usare il server SUSE Linux Enterprise Server Subscription Management Tool locale o Red Hat Enterprise Linux Subscription Manager.
Crittografia dei dati tra VM e istanze Large di HANA
I dati trasferiti tra istanze Large di HANA e le macchine virtuali non vengono crittografati. Esclusivamente per lo scambio tra il lato HANA DBMS e le applicazioni basate su JDBC/ODBC, tuttavia, è possibile abilitare la crittografia del traffico. Per altre informazioni, vedere Comunicazione sicura tra client SAP HANA e JDBC/ODBC.
Usare le unità di istanze Large di HANA in più aree
Per il ripristino di emergenza, è necessario avere unità di istanze Large di HANA in più aree di Azure. Usando solo il peering reti virtuali globali di Azure, per impostazione predefinita il routing transitivo non funzionerà tra i tenant di istanze Large di HANA in aree diverse. Copertura globale, tuttavia, apre la comunicazione tra le unità di istanze Large di HANA in aree diverse. Questo scenario che usa Copertura globale di ExpressRoute abilita:
- Replica di sistema HANA senza altri proxy o firewall.
- Copia di backup tra unità di istanze Large di HANA in aree diverse per eseguire copie di sistema o eseguire aggiornamenti di sistema.
La figura precedente mostra come le reti virtuali in entrambe le aree sono connesse a due circuiti ExpressRoute. I circuiti vengono usati per connettersi a SAP HANA in Azure (istanze Large) in entrambe le aree di Azure (linee grigie). Il motivo per cui le due connessioni incrociate è proteggere da un'interruzione del servizio gestito su entrambi i lati. Il flusso di comunicazione tra le due reti virtuali nelle due aree di Azure dovrebbe essere gestito tramite il peering globale delle due reti virtuali nelle due aree diverse (linea blu punteggiata). La linea rossa spessa descrive la connessione Copertura globale di ExpressRoute. Questa connessione consente alle unità di istanze Large di HANA dei tenant in aree diverse di comunicare tra loro.
Importante
Se sono stati usati più circuiti ExpressRoute, usare le impostazioni AS Path prepending e Local Preference BGP per garantire il routing corretto del traffico.
Passaggi successivi
Informazioni sull'architettura di archiviazione di SAP HANA (istanze Large).