MANO : Management and Orchestration
Réseau
MANO : Management and Orchestration, couche de gestion et d'orchestration de l'architecture NFV (Network Functions Virtualisation) définie par l'ETSI. « Le chef d'orchestre qu'il a fallu embaucher le jour où les boîtiers réseau sont devenus des logiciels et se sont mis à jouer chacun leur partition », par analogie avec le régisseur de théâtre, qui fait entrer, sortir et éclairer les comédiens sans jamais monter sur scène.
Trois blocs : L'architecture de l'ETSI (European Telecommunications Standards Institute) la découpe en trois fonctions : le NFVO (NFV Orchestrator), qui compose les services réseau et répartit les ressources ; le VNFM (VNF Manager), qui gère le cycle de vie de chaque VNF ; le VIM (Virtualised Infrastructure Manager), qui pilote les serveurs, le stockage et le réseau de l'infrastructure, rôle souvent tenu par OpenStack.
Cycle de vie : Instanciation, montée ou baisse en charge, mise à jour, guérison après panne et retrait d'une fonction virtuelle passent par elle, à partir de descripteurs qui précisent ce que chaque VNF réclame et comment les enchaîner.
Mises en œuvre : OSM (Open Source MANO), hébergé par l'ETSI, et ONAP (Open Network Automation Platform), projet de la Linux Foundation, en sont les implémentations libres les plus connues. Avec les fonctions réseau conteneurisées, une partie de ce travail passe à Kubernetes, qui n'avait pas attendu l'ETSI pour orchestrer.
Point névralgique : Elle détient les accès d'administration de l'infrastructure et de toutes les fonctions qu'elle déploie. Compromettre l'orchestrateur, c'est obtenir d'un coup le pare-feu, le routeur et l'équilibreur de charge, sans avoir eu la peine de les attaquer un par un.
Ce qui arrive si on s'en passe
Sans couche MANO, la virtualisation des fonctions réseau se réduit à des machines virtuelles lancées à la main, avec des scripts maison, des configurations qui divergent d'un site à l'autre et des fonctions oubliées que personne ne met à jour. Le gain d'agilité promis par la NFV s'évapore, et l'inventaire avec lui. Avec une MANO mal protégée, le problème change de nature : ses interfaces de programmation et ses comptes de service ouvrent toute l'infrastructure réseau virtualisée. Elle doit être cloisonnée sur un réseau d'administration, avec authentification forte, droits séparés par rôle et journalisation de chaque action.
Explication de la marmotte
Dans les réseaux modernes, des équipements comme les pare-feu ou les routeurs ne sont plus des boîtiers mais des logiciels qui tournent sur des serveurs ordinaires. Il faut alors un logiciel chef d'orchestre pour les installer, les démarrer, leur donner plus de puissance quand il y a du monde, les réparer et les arrêter. Ce chef d'orchestre s'appelle MANO. Comme il commande tout le réseau, c'est aussi la pièce qu'il faut protéger le plus soigneusement.
Où ce terme est utilisé
- Virtualisation réseau, NFV et data planes ouverts (2 occurrences)