Arquitetura de rede do SAP HANA (Instâncias Grandes)
Neste artigo, vamos analisar a arquitetura de rede para implementar o SAP HANA nas Instâncias Grandes do Azure (também conhecida como Infraestrutura BareMetal).
A arquitetura dos serviços de rede do Azure é um componente fundamental da implementação com êxito de aplicações SAP na Instância Grande do HANA. Normalmente, as implementações do SAP HANA no Azure (Instâncias Grandes) têm um panorama SAP maior. Provavelmente incluem várias soluções SAP com diferentes tamanhos de bases de dados, consumo de recursos da CPU e utilização da memória.
É provável que nem todos os sistemas de TI já estejam localizados no Azure. A sua paisagem SAP também pode ser híbrida. O sistema de gestão de bases de dados (DBMS) e a aplicação SAP podem utilizar uma mistura de NetWeaver, S/4HANA e SAP HANA. A sua aplicação SAP pode até utilizar outro DBMS.
O Azure oferece diferentes serviços que lhe permitem executar os sistemas DBMS, NetWeaver e S/4HANA no Azure. O Azure oferece tecnologia de rede para que o Azure pareça um datacenter virtual para as implementações de software no local. A funcionalidade de rede do Azure inclui:
- Redes virtuais do Azure ligadas ao circuito do ExpressRoute que se liga aos recursos de rede no local.
- Um circuito do ExpressRoute que liga no local ao Azure com uma largura de banda mínima de 1 Gbps ou superior. Este circuito permite uma largura de banda adequada para a transferência de dados entre sistemas e sistemas no local que são executados em máquinas virtuais (VMs). Também permite largura de banda adequada para ligação a sistemas do Azure de utilizadores no local.
- Todos os sistemas SAP no Azure configurados em redes virtuais para comunicar entre si.
- O Active Directory e o DNS alojados no local são expandidos para o Azure através do ExpressRoute a partir do local. Também podem ser executados completamente no Azure.
Ao integrar instâncias grandes do HANA nos recursos de infraestrutura de rede do datacenter do Azure, também é utilizada a tecnologia do Azure ExpressRoute.
Nota
Apenas uma subscrição do Azure pode ser associada a apenas um inquilino num carimbo de Instância Grande do HANA numa região específica do Azure. Por outro lado, um único inquilino de selo de Instância Grande do HANA só pode ser associado a uma subscrição do Azure. Este requisito é consistente com outros objetos faturáveis no Azure.
Se o SAP HANA no Azure (Instâncias Grandes) estiver implementado em várias regiões do Azure, será implementado um inquilino separado no carimbo de Instância Grande do HANA. Pode executar ambas na mesma subscrição do Azure, desde que estas instâncias façam parte do mesmo panorama sap.
Importante
Apenas o método de implementação do Azure Resource Manager é suportado com o SAP HANA no Azure (Instâncias Grandes).
Informações de rede virtual adicionais
Para ligar uma rede virtual ao ExpressRoute, tem de ser criado um gateway do Azure ExpressRoute. Para obter mais informações, veja About Expressroute gateways for ExpressRoute (Acerca dos gateways do Expressroute para ExpressRoute).
Um gateway do Azure ExpressRoute é utilizado com o ExpressRoute para uma infraestrutura fora do Azure ou para um carimbo de Instância Grande do Azure. Pode ligar o gateway do Azure ExpressRoute a um máximo de quatro circuitos do ExpressRoute, mas apenas se essas ligações forem provenientes de diferentes Routers do Microsoft Enterprise Edge (MSEEs). Para obter mais informações, veja Infraestrutura sap HANA (Instâncias Grandes) e conectividade no Azure.
Nota
O débito máximo que pode alcançar com um gateway do ExpressRoute é de 10 Gbps através de uma ligação do ExpressRoute. Copiar ficheiros entre uma VM que reside numa rede virtual e um sistema no local (como um único fluxo de cópia) não consegue obter o débito total dos diferentes SKUs de gateway. Para tirar partido da largura de banda completa do gateway do ExpressRoute, utilize vários fluxos ou copie diferentes ficheiros em fluxos paralelos de um único ficheiro.
Arquitetura de rede da Instância Grande do HANA
A arquitetura de rede das Instâncias Grandes do HANA pode ser separada em quatro partes:
- Rede no local e ligação do ExpressRoute ao Azure. Esta parte é o seu domínio (do cliente) e está ligada ao Azure através do ExpressRoute. Este circuito do ExpressRoute é totalmente pago por si. A largura de banda deve ser suficientemente grande para processar o tráfego de rede entre os recursos no local e a região do Azure com a qual se está a ligar. Veja a parte inferior direita na seguinte figura.
- Os serviços de rede do Azure, conforme discutido anteriormente, com redes virtuais, que precisam novamente de gateways do ExpressRoute adicionados. Para esta parte, tem de criar os designs adequados para cumprir os requisitos de aplicação, segurança e conformidade. Considere se deve utilizar Instâncias Grandes do HANA, dado o número de redes virtuais e SKUs de gateway do Azure à escolha. Veja o canto superior direito na figura.
- Conectividade da Instância Grande do HANA através do ExpressRoute para o Azure. Esta parte é implementada e processada pela Microsoft. Tudo o que precisa de fazer é fornecer alguns intervalos de endereços IP depois de implementar os seus recursos na Instância Grande do HANA e ligar o circuito do ExpressRoute às redes virtuais. Para obter mais informações, veja Infraestrutura sap HANA (Instâncias Grandes) e conectividade no Azure. Não existe uma taxa adicional para a conectividade entre os recursos de infraestrutura de rede do datacenter do Azure e as unidades da Instância Grande do HANA.
- Rede no carimbo de Instância Grande do HANA, que é maioritariamente transparente para si.
Os dois requisitos seguintes ainda se mantêm, apesar de utilizar o Hana Large Instances:
- Os recursos no local têm de se ligar através do ExpressRoute ao Azure.
- Precisa de uma ou mais redes virtuais que executem as VMs. Estas VMs alojam a camada de aplicação que se liga às instâncias HANA alojadas em Instâncias Grandes do HANA.
As diferenças nas implementações sap no Azure são:
- As Instâncias Grandes do HANA do seu inquilino estão ligadas através de outro circuito do ExpressRoute às suas redes virtuais. Os circuitos expressRoute da rede virtual no local para o Azure e os circuitos entre as redes virtuais do Azure e as Instâncias Grandes do HANA não partilham os mesmos routers. As condições de carga permanecem separadas.
- O perfil de carga de trabalho entre a camada da aplicação SAP e a Instância Grande do HANA é de natureza diferente. O SAP HANA gera muitos pedidos pequenos e rajadas, como transferências de dados (conjuntos de resultados) para a camada da aplicação.
- A arquitetura da aplicação SAP é mais sensível à latência de rede do que os cenários típicos em que os dados são trocados entre o local e o Azure.
- O gateway do Azure ExpressRoute tem, pelo menos, duas ligações do ExpressRoute. Um circuito está ligado a partir do local e um está ligado a partir da Instância Grande do HANA. Esta configuração deixa apenas espaço para mais dois circuitos de DIFERENTES MSEEs para ligar ao Gateway do ExpressRoute. Esta restrição é independente da utilização do ExpressRoute FastPath. Todos os circuitos ligados partilham a largura de banda máxima para os dados recebidos do gateway do ExpressRoute.
Com a Revisão 3 dos selos de Instância Grande do HANA, a latência de rede entre as VMs e as unidades de Instância Grande do HANA pode ser superior às latências de ida e volta de rede VM a VM típicas. Dependendo da região do Azure, os valores podem exceder a latência de ida e volta de 0,7 ms classificada como abaixo da média na Nota SAP #1100926 - FAQ: Desempenho da rede. Dependendo da Região do Azure e da ferramenta para medir a latência de ida e volta da rede entre uma VM do Azure e uma Instância Grande do HANA, a latência pode ter até 2 milissegundos. Ainda assim, os clientes implementam com êxito aplicações SAP de produção baseadas em SAP HANA em Instâncias Grandes do SAP HANA. Certifique-se de que testa cuidadosamente os seus processos empresariais com as Instâncias Grandes do Azure HANA. Uma nova funcionalidade, denominada ExpressRoute FastPath, pode reduzir substancialmente a latência de rede entre as Instâncias Grandes do HANA e as VMs de camada de aplicação no Azure (veja abaixo).
A revisão 4 dos selos da Instância Grande do HANA melhora a latência de rede entre as VMs do Azure implementadas nas proximidades do carimbo de Instância Grande do HANA. A latência cumpre a classificação média ou superior à média, conforme documentado no SAP Note #1100926 - FAQ: Desempenho da rede se o FastPath do Azure ExpressRoute estiver configurado (veja abaixo).
Para implementar VMs do Azure nas proximidades do HANA Large Instances of Revision 4, tem de aplicar Grupos de Colocação de Proximidade do Azure. Os grupos de colocação por proximidade podem ser utilizados para localizar a camada da aplicação SAP no mesmo datacenter do Azure que o HANA Large Instances alojado na Revisão 4. Para obter mais informações, veja Grupos de Colocação de Proximidade do Azure para obter uma latência de rede ideal com aplicações SAP.
Para fornecer latência de rede determinista entre as VMs e a Instância Grande do HANA, é essencial utilizar o SKU do gateway do ExpressRoute. Ao contrário dos padrões de tráfego entre as VMs no local e as VMs, os padrões de tráfego entre VMs e Instâncias Grandes do HANA podem desenvolver pequenas, mas elevadas rajadas de pedidos e volumes de dados. Para lidar com tais rajadas, recomendamos vivamente a utilização do SKU do gateway UltraPerformance. Para a classe Tipo II de SKUs de Instância Grande do HANA, a utilização do SKU do gateway UltraPerformance como um gateway do ExpressRoute é obrigatória.
Importante
Tendo em conta o tráfego de rede geral entre a aplicação SAP e as camadas de base de dados, apenas os SKUs de gateway HighPerformance ou UltraPerformance para redes virtuais são suportados para ligar ao SAP HANA no Azure (Instâncias Grandes). Para SKUs de Tipo II de Instância Grande HANA, apenas o SKU do gateway UltraPerformance é suportado como um gateway do ExpressRoute. Aplicam-se exceções ao utilizar o ExpressRoute FastPath (veja abaixo).
ExpressRoute FastPath
Em maio de 2019, lançámos o ExpressRoute FastPath. O FastPath reduz a latência entre as Instâncias Grandes do HANA e as redes virtuais do Azure que alojam as VMs da aplicação SAP. Com o FastPath, os fluxos de dados entre VMs e Instâncias Grandes do HANA não são encaminhados através do gateway do ExpressRoute. As VMs atribuídas nas sub-redes da rede virtual do Azure comunicam diretamente com o router de limite de empresa dedicado.
Importante
O ExpressRoute FastPath requer que as sub-redes que executam as VMs da aplicação SAP estejam na mesma rede virtual do Azure que está ligada às Instâncias Grandes do HANA. As VMs localizadas em redes virtuais do Azure em modo de peering com a rede virtual do Azure ligada às unidades de Instância Grande do HANA não beneficiam do ExpressRoute FastPath. Como resultado, os designs de rede virtual hub-and-spoke típicos, em que os circuitos do ExpressRoute se ligam a uma rede virtual hub e as redes virtuais que contêm a camada da aplicação SAP (spokes) estão em modo de peering, a otimização do ExpressRoute FastPath não funcionará. O ExpressRoute FastPath também não suporta atualmente regras de encaminhamento definidas pelo utilizador (UDR). Para obter mais informações, veja Gateway de rede virtual do ExpressRoute e FastPath.
Para obter mais informações sobre como configurar o ExpressRoute FastPath, veja Ligar uma rede virtual a instâncias grandes do HANA.
Nota
É necessário um gateway do ExpressRoute UltraPerformance para utilizar o ExpressRoute FastPath.
Sistema SAP único
A infraestrutura no local apresentada anteriormente está ligada através do ExpressRoute ao Azure. O circuito do ExpressRoute liga-se a um MSEE. Para obter mais informações, veja Descrição geral técnica do ExpressRoute. Após a rota ser estabelecida, liga-se à estrutura principal do Azure.
Nota
Para executar paisagens SAP no Azure, ligue-se ao router de limite empresarial mais próximo da região do Azure na paisagem sap. Os selos da Instância Grande do HANA são ligados através de routers de limite de empresa dedicados para minimizar a latência de rede entre VMs nos selos IaaS do Azure e HANA Large Instance.
O gateway do ExpressRoute para as VMs que alojam instâncias de aplicações SAP está ligado a um circuito do ExpressRoute que se liga ao local. A mesma rede virtual está ligada a um router de limite empresarial separado. Esse router edge dedica-se a ligar a selos de Instância Grande. Mais uma vez, com o FastPath, o fluxo de dados de Instâncias Grandes do HANA para as VMs de camada de aplicação SAP não é encaminhado através do gateway do ExpressRoute. Esta configuração reduz a latência de ida e volta da rede.
Este sistema é um exemplo simples de um único sistema SAP. A camada da aplicação SAP está alojada no Azure. A base de dados SAP HANA é executada no SAP HANA no Azure (Instâncias Grandes). O pressuposto é que a largura de banda do gateway do ExpressRoute de débito de 2 Gbps ou 10 Gbps não representa um estrangulamento.
Vários sistemas SAP ou grandes sistemas SAP
Se implementar vários sistemas SAP ou grandes sistemas SAP ligados ao SAP HANA (Instâncias Grandes), o débito do gateway do ExpressRoute poderá tornar-se um estrangulamento. Nesse caso, divida as camadas da aplicação em várias redes virtuais. Também pode dividir as camadas da aplicação se quiser isolar sistemas de produção e não produção em diferentes redes virtuais do Azure.
Pode criar uma rede virtual especial que se liga a Instâncias Grandes do HANA quando:
- Fazer cópias de segurança diretamente das instâncias HANA numa Instância Grande do HANA para uma VM no Azure que aloja partilhas NFS.
- Copiar cópias de segurança grandes ou outros ficheiros de Instâncias Grandes do HANA para o espaço em disco gerido no Azure.
Utilize uma rede virtual separada para alojar VMs que gerem o armazenamento para transferência em massa de dados entre o HANA Large Instances e o Azure. Esta disposição evita a transferência de ficheiros ou dados grandes do HANA Large Instances para o Azure no gateway do ExpressRoute que serve as VMs que executam a camada da aplicação SAP.
Para uma arquitetura de rede mais expansível:
Utilize várias redes virtuais para uma única camada de aplicação SAP maior.
Implemente uma rede virtual separada para cada sistema SAP implementado, em comparação com a combinação destes sistemas SAP em sub-redes separadas na mesma rede virtual.
O diagrama seguinte mostra uma arquitetura de rede mais expansível para o SAP HANA no Azure (Instâncias Grandes):
Dependendo das regras e restrições que pretende aplicar entre as diferentes redes virtuais que alojam VMs de diferentes sistemas SAP, deve colocar essas redes virtuais em modo de peering. Para obter mais informações sobre o peering de rede virtual, veja Peering de rede virtual.
Encaminhamento no Azure
Por predefinição, três considerações de encaminhamento de rede são importantes para o SAP HANA no Azure (Instâncias Grandes):
O SAP HANA no Azure (Instâncias Grandes) só pode ser acedido através de VMs do Azure e da ligação dedicada do ExpressRoute, não diretamente a partir do local. O acesso direto do local às unidades da Instância Grande do HANA, conforme fornecido pela Microsoft, não é possível imediatamente. As restrições de encaminhamento transitivos devem-se à arquitetura de rede do Azure atual utilizada para Instâncias Grandes do SAP HANA. Alguns clientes de administração e quaisquer aplicações que precisem de acesso direto, como o SAP Solution Manager em execução no local, não conseguem ligar-se à base de dados SAP HANA. Para obter exceções, veja a secção seguinte, Encaminhamento Direto para Instâncias Grandes do HANA.
Se tiver unidades de Instância Grande do HANA implementadas em duas regiões diferentes do Azure para recuperação após desastre, aplicam-se as mesmas restrições transitórias de encaminhamento que no passado. Por outras palavras, os endereços IP de uma Instância Grande do HANA numa região (por exemplo, E.U.A. Oeste) não foram encaminhados para uma Instância Grande do HANA implementada noutra região (por exemplo, E.U.A. Leste). Esta restrição é independente da utilização do peering de rede do Azure entre regiões ou da ligação cruzada dos circuitos do ExpressRoute que ligam instâncias grandes do HANA a redes virtuais. Para obter uma representação gráfica, veja a figura na secção Utilizar unidades de Instância Grande do HANA em várias regiões. Esta restrição, fornecida com a arquitetura implementada, proibiu a utilização imediata da replicação do sistema HANA para recuperação após desastre. Para obter alterações recentes, veja Utilizar unidades de Instância Grande do HANA em várias regiões.
O SAP HANA nas Instâncias Grandes do Azure tem um endereço IP atribuído a partir do intervalo de endereços do conjunto de IP do servidor que submeteu ao pedir a implementação da Instância Grande do HANA. Para obter mais informações, veja Infraestrutura sap HANA (Instâncias Grandes) e conectividade no Azure. Este endereço IP é acessível através das subscrições e circuitos do Azure que ligam redes virtuais do Azure a Instâncias Grandes do HANA. O endereço IP atribuído a partir desse intervalo de endereços do conjunto de IP do servidor é atribuído diretamente à unidade de hardware. Já não é atribuído através da tradução de endereços de rede (NAT), como aconteceu nas primeiras implementações desta solução.
Encaminhamento Direto para Instâncias Grandes do HANA
Por predefinição, o encaminhamento transitivo não funciona nestes cenários:
Entre unidades de Instância Grande do HANA e uma implementação no local.
Entre unidades de Instância Grande do HANA implementadas em diferentes regiões.
Existem três formas de ativar o encaminhamento transitivo nesses cenários:
- Um proxy inverso para encaminhar dados de e para. Por exemplo, F5 BIG-IP, NGINX com Gestor de Tráfego implementado na rede virtual do Azure que se liga a Instâncias Grandes do HANA e ao local como uma solução de encaminhamento de firewall/tráfego virtual.
- Utilizar regras de IPTables numa VM do Linux para ativar o encaminhamento entre localizações no local e unidades de Instância Grande do HANA ou entre unidades de Instância Grande do HANA em diferentes regiões. A VM com IPTables tem de ser implementada na rede virtual do Azure que se liga às Instâncias Grandes do HANA e ao local. A VM tem de ser dimensionada para que o débito de rede da VM seja suficiente para o tráfego de rede esperado. Para obter mais informações sobre a largura de banda de rede da VM, veja o artigo Tamanhos das máquinas virtuais do Linux no Azure.
- Azure Firewall seria outra solução para ativar o tráfego direto entre unidades de instância grande no local e HANA.
Todo o tráfego destas soluções seria encaminhado através de uma rede virtual do Azure. Como tal, o tráfego também pode ser restringido pelas aplicações suaves utilizadas ou pelos Grupos de Segurança de Rede do Azure. Desta forma, os endereços IP ou intervalos de endereços IP específicos do local podem ser bloqueados ou explicitamente permitidos acesso a Instâncias Grandes do HANA.
Nota
Tenha em atenção que a implementação e o suporte para soluções personalizadas que envolvam aplicações de rede de terceiros ou IPTables não são fornecidos pela Microsoft. O suporte tem de ser fornecido pelo fornecedor do componente utilizado ou pelo integrador.
Alcance Global do Express Route
A Microsoft introduziu uma nova funcionalidade denominada Alcance Global do ExpressRoute. O Alcance Global pode ser utilizado para Instâncias Grandes do HANA em dois cenários:
- Ative o acesso direto a partir do local para as unidades da Instância Grande do HANA implementadas em diferentes regiões.
- Ative a comunicação direta entre as unidades da Instância Grande do HANA implementadas em diferentes regiões.
Acesso Direto a partir do local
Nas regiões do Azure onde o Alcance Global é oferecido, pode pedir a ativação do Alcance Global para o circuito do ExpressRoute. Esse circuito liga a sua rede no local à rede virtual do Azure que se liga às Suas Instâncias Grandes do HANA. Existem custos para o lado no local do circuito do ExpressRoute. Para obter mais informações, veja os preços do Suplemento Alcance Global. Não pagará custos adicionais para o circuito que liga as Instâncias Grandes do HANA ao Azure.
Importante
Ao utilizar o Alcance Global para ativar o acesso direto entre as unidades da Instância Grande do HANA e os recursos no local, os dados de rede e o fluxo de controlo não são encaminhados através de redes virtuais do Azure. Em vez disso, os dados de rede e o fluxo de controlo são encaminhados diretamente entre os routers de intercâmbio empresarial da Microsoft. Assim, quaisquer regras NSG ou ASG, ou qualquer tipo de firewall, NVA ou proxy que tenha implementado numa rede virtual do Azure, não serão tocadas. Se utilizar o Alcance Global do ExpressRoute para ativar o acesso direto do local a unidades de instância grande do HANA, as restrições e as permissões para aceder a unidades de Instância grandes do HANA têm de ser definidas em firewalls no lado no local.
Ligar Instâncias Grandes do HANA em diferentes regiões do Azure
Da mesma forma, o Alcance Global do ExpressRoute pode ser utilizado para ligar dois inquilinos da Instância Grande do HANA implementados em diferentes regiões. O isolamento são os circuitos do ExpressRoute que os inquilinos da Instância Grande do HANA utilizam para ligar ao Azure em ambas as regiões. Não existem custos adicionais para ligar dois inquilinos da Instância Grande do HANA implementados em diferentes regiões.
Importante
O fluxo de dados e o fluxo de controlo do tráfego de rede entre os inquilinos da Instância Grande do HANA não serão encaminhados através das redes do Azure. Por isso, não pode utilizar a funcionalidade do Azure ou as aplicações virtuais de rede (NVAs) para impor restrições de comunicação entre os inquilinos de Instâncias Grandes do HANA.
Para obter mais informações sobre como ativar o Alcance Global do ExpressRoute, veja Ligar uma rede virtual a instâncias grandes do HANA.
Conectividade à Internet da Instância Grande do HANA
As Instâncias Grandes do HANA não têm conectividade direta à Internet. Por exemplo, esta limitação pode restringir a sua capacidade de registar a imagem do SO diretamente com o fornecedor do SO. Poderá ter de trabalhar com o servidor local da Ferramenta de Gestão de Subscrições do SUSE Linux Enterprise Server ou com o Gestor de Subscrições do Red Hat Enterprise Linux.
Encriptação de dados entre VMs e Instância Grande do HANA
Os dados transferidos entre Instâncias Grandes e VMs do HANA não são encriptados. No entanto, apenas para a troca entre o lado do DBMS HANA e as aplicações baseadas em JDBC/ODBC, pode ativar a encriptação de tráfego. Para obter mais informações, veja Secure Communication Between SAP HANA and JDBC/ODBC Clients (Comunicação Segura Entre Clientes SAP HANA e JDBC/ODBC).
Utilizar unidades de Instância Grande do HANA em várias regiões
Para a recuperação após desastre, precisa de ter unidades de Instância Grande do HANA em várias regiões do Azure. Utilizando apenas o Azure Global Vnet Peering, por predefinição, o encaminhamento transitivo não funcionará entre inquilinos de Instância Grande do HANA em regiões diferentes. No entanto, o Alcance Global abre a comunicação entre unidades de Instância Grande do HANA em diferentes regiões. Este cenário com o Alcance Global do ExpressRoute permite:
- Replicação do sistema HANA sem mais proxies ou firewalls.
- Copiar cópias de segurança entre unidades de Instância Grande do HANA em regiões diferentes para fazer cópias do sistema ou fazer atualizações do sistema.
A figura anterior mostra como as redes virtuais em ambas as regiões estão ligadas a dois circuitos do ExpressRoute. Os circuitos são utilizados para ligar ao SAP HANA no Azure (Instâncias Grandes) em ambas as regiões do Azure (linhas cinzentas). O motivo para as duas ligações cruzadas é proteger contra uma falha dos MSEEs em ambos os lados. O fluxo de comunicação entre as duas redes virtuais nas duas regiões do Azure deve ser processado através do peering global das duas redes virtuais nas duas regiões diferentes (linha pontilhada azul). A linha vermelha espessa descreve a ligação de Alcance Global do ExpressRoute. Esta ligação permite que as unidades de Instância Grande do HANA dos seus inquilinos em diferentes regiões comuniquem entre si.
Importante
Se utilizou vários circuitos do ExpressRoute, utilize as definições predefinidas caminho AS e Preferência Local BGP para garantir o encaminhamento adequado do tráfego.
Passos seguintes
Saiba mais sobre a arquitetura de armazenamento do SAP HANA (Instâncias Grandes).