Arquitetura de rede do SAP HANA (Instâncias Grandes)

Neste artigo, veremos a arquitetura de rede para implantar o SAP HANA em Instâncias Grandes do Azure (também conhecida como infraestrutura bare-metal).

A arquitetura dos serviços de rede do Azure é um componente essencial da implantação com êxito dos aplicativos do SAP HANA em Instâncias Grandes. Normalmente, as implantações do SAP HANA no Azure (Instância Grandes) possuem uma estrutura SAP maior. Elas costumam incluir várias soluções SAP com tamanhos variados de bancos de dados, consumo de recursos de CPU e uso de memória.

É provável que nem todos os sistemas de TI já estejam localizados no Azure. Sua estrutura SAP também pode ser híbrida. O seu sistema gerenciador de banco de dados e o aplicativo SAP podem usar uma combinação de NetWeaver, S/4HANA e SAP HANA. Seu aplicativo SAP pode até usar outro gerenciador de banco de dados.

O Azure oferece diferentes serviços que permitem executar no Azure os sistemas gerenciadores de banco de dados, NetWeaver e S/4HANA. O Azure oferece tecnologia de rede para que o Azure pareça um data center virtual para suas implantações de software local. A funcionalidade de rede do Azure inclui:

• Redes virtuais do Azure conectadas ao circuito do ExpressRoute que se conecta a seus ativos da rede local.
• Um circuito do ExpressRoute que se conecta do local para o Azure deve ter uma largura de banda de 1 Gbps ou superior. Esse circuito permite largura de banda adequada para a transferência de dados entre sistemas locais e sistemas em execução nas máquinas virtuais (VMs). Também permite largura de banda adequada para conexão a sistemas do Azure a partir de usuários locais.
• Todos os sistemas SAP no Azure devem ser configurados em redes virtuais para que se comuniquem entre si.
• O Active Directory e o DNS hospedados no local são estendidos para o Azure por meio do ExpressRoute do local. Eles também podem ser totalmente executados no Azure.

Ao integrar o HANA em Instâncias Grandes à malha de rede do datacenter do Azure, a tecnologia Azure ExpressRoute também é usada.

Se o SAP HANA no Azure (Instâncias Grandes) for implantado em várias regiões do Azure, um locatário separado será implantado no selo de Instância Grande do HANA. É possível executar ambos sob a mesma assinatura do Azure, desde que essas instâncias façam parte da mesma estrutura do SAP.

Informações adicionais de rede virtual

Para conectar uma rede virtual ao ExpressRoute, um gateway do Azure ExpressRoute deve ser criado. Para obter mais informações, confira Sobre os gateways do ExpressRoute para ExpressRoute.

Um gateway do Azure ExpressRoute é usado com o ExpressRoute para uma infraestrutura fora do Azure ou para um stamp de Instância Grande do Azure. É possível conectar o gateway do Azure ExpressRoute a um máximo de quatro circuitos diferentes do ExpressRoute, desde que essas conexões sejam originadas de diferentes roteadores do Microsoft Enterprise Edge (MSEEs). Para obter mais informações, consulte Infraestrutura e conectividade do SAP HANA (Instâncias Grandes) do Azure.

Arquitetura de rede para SAP HANA em Instâncias Grandes

A arquitetura de rede para o SAP HANA em Instâncias Grandes pode ser separada em quatro partes:

• Rede local e conexão do ExpressRoute para o Azure. Essa parte é o seu domínio do cliente e é conectada ao Azure por meio do ExpressRoute. Esse circuito do ExpressRoute é pago integralmente por você. A largura de banda deve ser grande o suficiente para lidar com o tráfego de rede entre os ativos locais e a região do Azure à qual você está se conectando. Observe o canto inferior direito na figura a seguir.
• Serviços de rede do Azure, conforme abordado anteriormente, com redes virtuais, que também precisam da adição de gateways do ExpressRoute. Para essa parte, você precisa criar os designs apropriados para atender aos seus requisitos de aplicativo, segurança e conformidade. Considere se as Instâncias Grandes do HANA devem ser usadas de acordo com o número de redes virtuais e as SKUs de gateway do Azure para escolher. Observe a parte superior direita na figura.
• Conectividade de seu SAP HANA em Instâncias Grandes através do ExpressRoute no Azure. Essa parte é implantada e feita pela Microsoft. Tudo o que você precisa fazer é fornecer alguns intervalos de endereço IP após implantar seus ativos no SAP HANA em Instâncias Grandes e conectar o circuito do ExpressRoute às redes virtuais. Para obter mais informações, consulte Infraestrutura e conectividade do SAP HANA (Instâncias Grandes) do Azure. Não é cobrado nenhum valor adicional pela conectividade entre a malha de rede do data center do Azure e as unidades do HANA em Instâncias Grandes.
• Rede dentro do stamp do HANA em Instâncias Grandes, que é, na maior parte, transparente para você.

Os dois requisitos a seguir ainda se mantêm, mesmo que você use as Instâncias Grandes do HANA:

• Seus ativos locais devem se conectar ao Azure por meio do ExpressRoute.
• Você precisa de uma ou mais redes virtuais que executem suas VMs. Essas VMs hospedam a camada de aplicativo que se conecta às instâncias do HANA hospedadas no HANA em Instâncias Grandes.

As diferenças na implantações do SAP no Azure são:

• O HANA em Instâncias Grandes do locatário são conectadas por meio de outro circuito do ExpressRoute às suas redes virtuais. Os circuitos do ExpressRoute de rede virtual local para o Azure e os circuitos entre as redes virtuais do Azure e o HANA em Instâncias Grandes não compartilham os mesmos roteadores. Suas condições de carga permanecem separadas.
• O perfil de carga de trabalho entre a camada de aplicativo SAP e o HANA em Instâncias Grandes tem natureza diferente. O SAP HANA gera muitas solicitações pequenas e intermitências, como transferências de dados (conjuntos de resultados) na camada de aplicativo.
• A arquitetura de aplicativos do SAP é mais sensível à latência de rede que os cenários típicos em que os dados são trocados entre o local e o Azure.
• O gateway do Azure ExpressRoute tem pelo menos duas conexões do ExpressRoute. Um circuito está conectado no local e um circuito está conectado no HANA em Instâncias Grandes. Essa configuração deixa espaço para apenas dois circuitos adicionais de diferentes MSEEs se conectarem ao gateway do ExpressRoute. Essa restrição é independente do uso do ExpressRoute FastPath. Todos os circuitos conectados compartilham a largura de banda máxima para os dados de entrada do gateway do ExpressRoute.

Com a Revisão 3 dos selos do HANA em Instâncias Grandes, a latência de rede entre as VMs e as unidades do HANA em Instâncias Grandes pode ser maior que as latências de viagem de ida e volta típica de rede entre VMs. Dependendo da região do Azure, os valores podem exceder a latência de viagem de ida e volta de 0,7 ms, classificada como abaixo da média na Nota SAP 1100926 – Perguntas frequentes: desempenho de rede. Dependendo da ferramenta e da região do Azure para medir a latência da viagem de ida e volta da rede entre uma VM do Azure e a Instância Grande do HANA, a latência pode ser até 2 milissegundos. Ainda assim, os clientes implantam com êxito aplicativos do SAP de produção baseados no SAP HANA no SAP HANA em Instâncias Grandes. Certifique-se de testar completamente os processos empresariais no SAP HANA em Instâncias Grandes do Azure. O ExpressRoute FastPath, uma nova funcionalidade do Azure, pode reduzir substancialmente a latência de rede entre Instâncias Grandes do HANA e VMs da camada de aplicativo no Azure (confira abaixo).

A revisão 4 dos selos da Instância Grande do HANA melhora a latência de rede entre as VMs do Azure implantadas em proximidade com o selo da Instância Grande do HANA. A latência atende à classificação média ou melhor do que a média, conforme documentado na Nota SAP 1100926 – Perguntas frequentes: desempenho de rede, caso o Azure ExpressRoute FastPath esteja configurado (veja abaixo).

Para implantar VMs do Azure em proximidade às unidades do HANA em Instâncias Grandes de Revisão 4, você precisa usar os Grupos de Posicionamento por Proximidade do Azure. Os grupos de posicionamento por proximidade podem ser usados para localizar a camada de aplicativo SAP no mesmo datacenter do Azure que a Revisão 4 hospedada no HANA em Instâncias Grandes. Para obter mais informações, consulte Grupos de posicionamento de proximidade do Azure para obter a latência da rede ideal com aplicativos SAP.

Para fornecer a latência de rede determinística entre VMs e o SAP HANA em Instâncias Grandes, o uso da SKU do gateway do ExpressRoute é essencial. Diferentemente dos padrões de tráfego entre VMs locais e VMs, o padrão de tráfego entre as VMs e o SAP HANA em Instâncias Grandes pode desenvolver pequenas, mas elevadas intermitências de solicitações e volumes de dados. Para lidar com essas intermitências, é recomendável usar a SKU do gateway UltraPerformance. Para a classe do Tipo II de SKUs do SAP HANA em Instâncias Grandes, o uso da SKU do gateway UltraPerformance como um gateway do ExpressRoute é obrigatório.

ExpressRoute FastPath

Em maio de 2019, lançamos o ExpressRoute FastPath. O FastPath reduz a latência entre as Instâncias Grandes do HANA e as redes virtuais do Azure que hospedam as VMs do aplicativo SAP. Com o Fastpath, os fluxos de dados entre as VMs e o HANA em Instâncias Grandes não são mais roteados pelo gateway do ExpressRoute. As VMs atribuídas nas sub-redes da rede virtual do Azure comunicam-se diretamente com o roteador de borda corporativa dedicado.

Para obter mais informações sobre como configurar o ExpressRoute FastPath, confira Conectar uma rede virtual a Instâncias Grandes do HANA.

Único sistema SAP

A infraestrutura local mostrada anteriormente é conectada por meio do ExpressRoute no Azure. O circuito do ExpressRoute conecta-se a um MSEE. Para obter mais informações, consulte Visão geral técnica do ExpressRoute. Após o estabelecimento da rota, ela se conecta ao backbone do Azure.

O gateway do ExpressRoute para as VMs que hospedam instâncias de aplicativos SAP é conectado a um circuito do ExpressRoute que se conecta ao local. A mesma rede virtual é conectada a um roteador de borda corporativa separado. Esse roteador de borda é dedicado à conexão com os selos de Instância Grande. Novamente, com o FastPath, o fluxo de dados do HANA em Instâncias Grandes para as VMs da camada de aplicativo SAP não é roteado pelo gateway do ExpressRoute. Essa configuração reduz a latência de ida e volta da rede.

Esse sistema é um exemplo direto de um único sistema SAP. A camada de aplicativo do SAP é hospedada no Azure. O banco de dados do SAP HANA é executado no SAP HANA do Azure (Instâncias Grandes). A hipótese é que a largura de banda do gateway do ExpressRoute com taxa de transferência de 2 Gbps ou 10 Gbps não representa um gargalo.

Vários sistemas SAP ou grandes sistemas SAP

Se você implantar vários sistemas SAP ou sistemas SAP grandes para se conectar ao SAP HANA (Instâncias Grandes) no Azure, a taxa de transferência do gateway do ExpressRoute poderá se tornar um gargalo. Nesse caso, divida as camadas do aplicativo em várias redes virtuais. Você também pode dividir as camadas de aplicativo se quiser isolar sistemas de produção e não produção em diferentes redes virtuais do Azure.

Também é possível criar uma rede virtual especial que se conecta ao SAP HANA em Instâncias Grandes quando:

• Fazer backups diretamente das instâncias do HANA na Instância Grande do HANA para uma VM no Azure que hospeda compartilhamentos NFS.
• Cópia de backups grandes ou de outros arquivos de Instâncias Grandes do HANA para o espaço em disco gerenciado no Azure.

Use uma rede virtual separada para hospedar VMs que gerenciam o armazenamento para transferência em massa de dados entre o HANA em Instâncias Grandes e o Azure. Essa disposição evita arquivos grandes ou transferência de dados do SAP HANA em Instâncias Grandes para o Azure no gateway do ExpressRoute que atende às VMs executando a camada de aplicativo do SAP.

Para ter uma arquitetura de rede mais expansível:

• Use várias redes virtuais para uma camada de aplicativo SAP individual e maior.

• Implante uma rede virtual separada para cada sistema SAP implantado, em comparação à combinação desses sistemas SAP em sub-redes separadas sob a mesma rede virtual.

  O diagrama a seguir mostra uma arquitetura de rede mais expansível para o SAP HANA no Azure (Instâncias Grandes):

Dependendo das regras e restrições que você quiser aplicar entre as diferentes redes virtuais que hospedam VMs de diferentes sistemas SAP, você deverá emparelhar essas redes virtuais. Para obter mais informações sobre o emparelhamento de rede virtual, consulte Emparelhamento de rede virtual.

Roteamento no Azure

Por implantação padrão, três considerações de roteamento de rede são importantes para o SAP HANA no Azure (Instâncias Grandes):

• O SAP HANA no Azure (Instâncias Grandes) pode ser acessado somente por meio de VMs do Azure e pela conexão do ExpressRoute dedicada, não diretamente do local. O acesso direto do local para as unidades do SAP HANA em Instâncias Grandes, conforme fornecido pela Microsoft a você, não é possível imediatamente. As restrições de roteamento transitivas devem-se à arquitetura de rede atual do Azure usada para o SAP HANA em Instâncias Grandes. Alguns clientes de administração e quaisquer aplicativos que precisam de acesso direto, como o SAP Solution Manager em execução no local, não podem conectar ao banco de dados do SAP HANA. Para exceções, verifique a seguinte seção, Roteamento direto para o HANA em Instâncias Grandes.

• Se você tiver unidades do SAP HANA em Instâncias Grandes implantadas em duas regiões diferentes do Azure para recuperação de desastre, as mesmas restrições de roteamento transitório se aplicam tal como antes. Em outras palavras, os endereços IP do SAP HANA em Instâncias Grandes em uma região (por exemplo, Oeste dos EUA) não eram roteados para o SAP HANA em Instâncias Grandes implantado em outra região (por exemplo, Leste dos EUA). Essa restrição é independente do uso do emparelhamento de rede do Azure entre as regiões ou da conexão cruzada dos circuitos do ExpressRoute que conectam o SAP HANA em Instâncias Grandes a redes virtuais. Para uma representação gráfica, consulte a figura na seção Usar unidades do SAP HANA em Instâncias Grandes em várias regiões. Essa restrição, que veio com a arquitetura implantada, proibia o uso imediato da replicação do sistema HANA para recuperação de desastre. Para alterações recentes, novamente, consulte Usar unidades do HANA em Instâncias Grandes em várias regiões.

• O SAP HANA em Instâncias Grandes no Azure tem um endereço IP atribuído do intervalo de endereços do pool de IPs do servidor que você enviou ao solicitar a implantação do HANA em Instâncias Grandes. Para obter mais informações, consulte Infraestrutura e conectividade do SAP HANA (Instâncias Grandes) do Azure. Esse endereço IP é acessível por meio das assinaturas do Azure e do circuito que conecta as redes virtuais do Azure ao HANA em Instâncias Grandes. O endereço IP atribuído fora desse intervalo de endereços do pool de IP do servidor é atribuído diretamente à unidade de hardware. Elenão é mais atribuído pela conversão de endereços de rede (NAT), como foi o caso nas primeiras implantações dessa solução.

Roteamento direto para o HANA em Instâncias Grandes

Por padrão, o roteamento transitivo não funciona nestes cenários:

• Entre as unidades do HANA em Instâncias Grandes e uma implantação local.

• Entre as unidades do HANA em Instâncias Grandes implantadas em regiões diferentes.

Há três maneiras de habilitar o roteamento transitivo nesses cenários:

• Um proxy reverso para rotear dados, de e para. Por exemplo, F5 BIG-IP, NGINX com o Gerenciador de Tráfego implantado na rede virtual do Azure que se conecta ao HANA em Instâncias Grandes e ao local como uma solução de roteamento de tráfego/firewall virtual.
• Usar regras IPTables em uma VM Linux para habilitar o roteamento entre localidades locais e as unidades do SAP HANA em Instâncias Grandes ou entre unidades do SAP HANA em Instâncias Grandes em regiões diferentes. A VM que executa IPTables deve ser implantada na rede virtual do Azure que se conecta ao HANA em Instâncias Grandes e ao local. A VM deve ser dimensionada de modo que sua taxa de transferência de rede seja suficiente para o tráfego de rede esperado. Para obter informações sobre a largura de banda de rede da VM, confira o artigo Tamanhos das máquinas virtuais do Linux no Azure.
• O Firewall do Azure pode ser outra solução para habilitar o tráfego direto entre o local e as unidades do HANA em Instâncias Grandes.

Todo o tráfego dessas soluções seria roteado por meio de uma rede virtual do Azure. Assim, o tráfego também pode ser restrito pelos dispositivos de software usados ou pelos Grupos de Segurança de Rede do Azure. Desta forma, endereços IP ou intervalos de endereços IP do local específicos podem ser bloqueados ou ser explicitamente permitidos para acessar o HANA em Instâncias Grandes.

Alcance Global do ExpressRoute

A Microsoft introduziu uma nova funcionalidade chamada Alcance Global do ExpressRoute. O Alcance Global pode ser usado para o HANA em Instâncias Grandes em dois cenários:

• Habilitar o acesso direto do local às unidades do HANA em Instâncias Grandes implantadas em regiões diferentes.
• Habilitar a comunicação direta entre as unidades do HANA em Instâncias Grandes implantadas em regiões diferentes.

Acesso direto do local

Nas regiões do Azure onde há oferta de Alcance Global, é possível solicitar a habilitação do Alcance Global para seu circuito do ExpressRoute. Esse circuito conecta sua rede local à rede virtual do Azure que se conecta às Instâncias Grandes do HANA. Há custos para o lado local do circuito do ExpressRoute. Para obter mais informações, confira os preços no Complemento do Alcance Global. Você não pagará custos adicionais para o circuito que conecta as Instâncias Grandes do HANA ao Azure.

Conectar o HANA em Instâncias Grandes em diferentes regiões do Azure

Da mesma forma, o Alcance Global do ExpressRoute pode ser usado para conectar dois locatários do HANA em Instâncias Grandes implantados em regiões diferentes. O isolamento é os circuitos do ExpressRoute que os locatários do HANA em Instâncias Grandes usam para se conectar ao Azure em ambas as regiões. Não há encargos adicionais para conectar dois locatários do HANA em Instâncias Grandes implantados em regiões diferentes.

Para obter mais informações sobre como habilitar o Alcance Global do ExpressRoute, confira Conectar uma rede virtual a Instâncias Grandes do HANA.

Conectividade com a Internet do SAP HANA em Instâncias Grandes

As Instâncias Grandes do HANA não têm conectividade direta com a Internet. Por exemplo, essa limitação pode restringir a capacidade de registrar a imagem do SO diretamente com o fornecedor do SO. Talvez seja necessário trabalhar com o servidor da Ferramenta de Gerenciamento de Assinaturas do SUSE Linux Enterprise Server ou com o Gerenciador de Assinaturas do Red Hat Enterprise Linux.

Criptografia de dados entre VMs e o SAP HANA em Instâncias Grandes

Os dados transferidos entre o HANA em Instâncias Grandes e as VMs não são criptografados. No entanto, apenas para a troca entre o lado do gerenciador de banco de dados do HANA e os aplicativos baseados em JDBC/ODBC é possível habilitar a criptografia do tráfego. Para obter mais informações, consulte Comunicação segura entre o SAP HANA e clientes JDBC/ODBC.

Usar unidades do SAP HANA em Instâncias Grandes em várias regiões

Para a recuperação de desastre, você precisa ter unidades de Instâncias Grandes do HANA em várias regiões do Azure. Usando apenas o Emparelhamento Vnet Global do Azure, o roteamento transitivo por padrão não funciona entre locatários do HANA em Instâncias Grandes em regiões diferentes. O Alcance Global, no entanto, abre a comunicação entre as unidades do HANA em Instâncias Grandes em regiões diferentes. Esse cenário que usa o Alcance Global do ExpressRoute permite:

• A replicação do sistema HANA sem quaisquer outros proxies ou firewalls.
• Copiar backups entre unidades do HANA em Instâncias Grandes em regiões diferentes para fazer cópias ou atualizações do sistema.

A imagem anterior mostra como a rede virtual em ambas as regiões estão conectadas a dois circuitos do ExpressRoute. Os circuitos são usados para se conectar ao SAP HANA no Azure (Instâncias Grandes) em ambas as regiões do Azure (linhas cinza). O motivo para essas duas conexões cruzadas é proteger contra uma interrupção do MSEEs nos dois lados. O fluxo de comunicação entre as duas redes virtuais nas duas regiões do Azure deve ser tratado com o emparelhamento global das duas redes virtuais nas duas regiões diferentes (linha pontilhada azul). A linha vermelha mais grossa descreve a conexão do Alcance Global do ExpressRoute. Essa conexão permite que as unidades do HANA em Instâncias Grandes de seus locatários em regiões diferentes se comuniquem entre si.

Próximas etapas

Saiba mais sobre a arquitetura de armazenamento do SAP HANA (Instâncias Grandes).