Решение

Лицензируйте полосу пропускания, которая вам реально нужна

Измерение объединённых RX и TX на клиентской границе vService — сетевые блокировки до vService и backend-транзит не входят в выбранный вами tier

Большинство ADC- и gateway-продуктов измеряют throughput на линии платформы. Учитывается каждый байт, прошедший через их инфраструктуру — включая дублирующийся трафик на стороне backend и трафик, уже заблокированный на сетевом уровне. Чтобы покрыть ту же реальную обслуживающую ёмкость, вам приходится брать более крупный лицензионный tier. TR7 измеряет на клиентской границе vService: объединённые RX и TX трафика, который ваш виртуальный сервис действительно обслуживает. Tier, который вы лицензируете, соответствует вашей реальной обслуживающей ёмкости.

Граница vService

Где стоит счётчик — клиентский край виртуального сервиса

RX + TX

Объединённый двунаправленный throughput, отраслевое стандартное измерение

Живой

Тот же показатель, что показывается операторам в слое отчётности

Почему общеплатформенное измерение подталкивает вас к tier-у больше нужного

Традиционные ADC-продукты измеряют throughput на линии платформы — как сумму каждого байта, протекающего через устройство, независимо от того, какую границу он пересёк. Один HTTP-запрос касается платформы несколько раз: от клиента к платформе, от платформы к backend, от backend к платформе, от платформы обратно к клиенту. Многие вендоры учитывают каждый из этих переходов, поэтому один и тот же запрос отражается в throughput счётчика до четырёх раз.

Вдобавок защита сетевого уровня, срабатывающая до того, как запрос достигнет vService — блокировка L3/L4 DDoS, правила firewall сетевого уровня, понижения по IP reputation — потребляет байты, которые снова отражаются в том же счётчике. Чем лучше работает защита сетевого уровня, тем больше нагрузка, тихо добавляемая к вашему расчёту throughput.

В ADC полоса пропускания лицензируется не побайтно, а tier-ами. Но выбранный tier должен быть достаточно высоким, чтобы покрыть всё, что видит счётчик — поэтому измерение на линии платформы подталкивает вас к tier-у больше, чем требует ваша реальная обслуживающая ёмкость. Модель TR7 проводит границу на клиентском крае vService. Измеряется трафик, который ваш виртуальный сервис обслуживает к клиенту и от него. Внутренний транзит к backend не измеряется. Трафик, остановленный на сетевом уровне без захода на vService, не измеряется. Лицензируемый вами tier совпадает с полосой пропускания, которую вы реально используете.

Граница vService, двунаправленно, прозрачно

Измерение throughput непрерывно работает в слое отчётности TR7 ADC. Тот же показатель, который определяет, укладываетесь ли вы в свой лицензионный tier, в реальном времени показывается операторам — нет отдельной биллинговой платформы, нет непрозрачного расчёта на стороне вендора.

Измерение на границе vService

Счётчик стоит на клиентском крае vService. Учитывается трафик, достигающий vService и обрабатываемый им. Трафик, остановленный до vService — на сетевом firewall или защитой L3/L4 DDoS — не учитывается.

Объединённые RX и TX

Суммируются как сторона запроса от клиента к vService (RX), так и сторона ответа от vService к клиенту (TX). Это отраслевой стандартный способ выразить реальный двунаправленный throughput, и он совпадает с тем, как обслуживающая ёмкость отражается на пользовательском опыте.

Backend-транзит вне учёта

Когда vService передаёт запрос на backend и ответ возвращается, этот внутренний трафик не учитывается. На ваш лицензионный tier влияет только клиентская сторона.

Живая видимость для оператора

Тот же показатель throughput, что используется для лицензионного tier, показывается в реальном времени в слое отчётности ADC. Операторы могут отслеживать накопление использования, насколько заполнен tier, и планировать изменения ёмкости tier до периода продления.

Что не учитывается в лицензионном tier

Измерение выполняется на клиентской границе vService. Есть три вида трафика, которые не включаются в лицензионный tier, потому что вовсе не достигают этой границы:

Блокировки firewall сетевого уровня

Пакеты, отброшенные правилами firewall сетевого уровня прежде, чем vService их увидит, не попадают в окно измерения. Они вовсе не пересекли границу vService.

L3/L4 DDoS, заблокированный на сетевом уровне

Волюметрический flood-трафик, заблокированный защитой сетевого уровня до достижения vService, исключается. Частое попадание в цель атак не подталкивает вас к более крупному лицензионному tier.

Транзит между vService и backend

Когда vService передаёт запрос на backend и получает ответ, этот внутренний трафик не измеряется. Один и тот же запрос не учитывается второй раз на стороне backend.

Что это значит на практике

Большинство конкурирующих продуктов измеряют throughput на линии платформы — учитывается каждый байт, прошедший через их инфраструктуру, как клиентская, так и backend-сторона. TR7 учитывает только клиентскую сторону. Структурные следствия:

Нет двойного учёта одного и того же запроса

Запрос, обрабатываемый вашим виртуальным сервисом, пересекает две границы: от клиента к vService и от vService к backend. Вендоры, измеряющие обе, добавляют к тому же показателю throughput и второй переход, структурно идентичный первому. TR7 учитывает только переход на клиентской стороне.

Защита сетевого уровня — это не tier-налог

Когда защита сетевого уровня блокирует L3/L4 DDoS или правило сетевого firewall отбрасывает flood, эти байты не отражаются в расчёте throughput. Быть ценной целью не должно вынуждать вас к лицензионному tier больше, чем требует ваша реальная обслуживающая ёмкость.

Заметно больше эффективной ёмкости на лицензионный tier

Поскольку дублирующийся трафик на стороне backend не измеряется, тот же лицензионный tier в TR7 несёт заметно больше реальной обслуживающей ёмкости по сравнению с тем же номинальным tier в продуктах, измеряющих на линии платформы. На типичных корпоративных нагрузках разница может достигать кратных значений.

Прозрачно и проверяемо оператором

Показатель throughput, по которому масштабируется ваш tier, тот же, что показывается в слое отчётности. Операторы могут проверять его в реальном времени, сравнивать с активностью per-vService и планировать ёмкость tier задолго до продления.

Контроль полосы пропускания per-vService (QoS)

Независимо от глобального лицензионного tier, отдельные vService могут получать применение QoS с автоматическим справедливым распределением и лимитами полосы пропускания per-vService. Развёртывания Service Provider автоматически распределяют лицензированную полосу пропускания между тенантами.

Сценарии, где модель даёт наибольшую разницу

Сайты под постоянным давлением атак

Банкинг, госсектор, ставки, коммунальные услуги — нагрузки, которые постоянно блокируют L3/L4 атаки на сетевом уровне. Защита сетевого уровня делает свою работу, и вам не приходится переходить на лицензионный tier больше, чем требуют ваши реальные пользователи.

E-commerce в пиковых кампаниях

Black Friday, флеш-распродажи, запуск билетов — окна, где волны ботов и легитимный трафик конкурируют за одну ёмкость. Throughput, который должен покрывать ваш tier, отражает то, что покупатели реально получают, а не попытки ботов, уже заблокированные системой на сетевом уровне.

Стриминг и доставка медиа

Исходяще-ориентированные сервисы, где профиль полосы пропускания определяется нагрузками ответов. Измерение RX + TX на клиентском крае совпадает с тем, как в этой категории выражается обслуживающая ёмкость.

Мультитенантные развёртывания Service Provider

Лицензированная полоса пропускания, распределённая между клиентскими тенантами с автоматическим справедливым распределением QoS. Лимиты per-vService позволяют провайдерам предлагать дифференцированные уровни сервиса; глобальная лицензия измеряет только клиентский итог по всем тенантам.

Часто задаваемые вопросы

В TR7 полоса пропускания лицензируется как tier или измеряется побайтно?

Как и в большинстве ADC-продуктов, она лицензируется как заранее выбранный tier. Вы выбираете tier при лицензировании; throughput остаётся в пределах этого tier на протяжении периода. Отличие TR7 — не модель лицензирования, а модель измерения: показатель throughput, который должен укладываться в ваш tier, учитывает только то, что ваш vService реально обслуживает на своей клиентской границе, так что выбранный tier покрывает реальную обслуживающую ёмкость, а не общеплатформенную нагрузку.

Блокировки WAAP и управления ботами действительно входят в измерение?

Да. WAAP и управление ботами работают внутри vService, поэтому проверяемый ими трафик — как пропущенный, так и заблокированный — является частью того, что обрабатывает vService, и включается. Граница проходит не по линии «разрешено или заблокировано», а по линии «достиг ли vService или был остановлен до него». Firewall сетевого уровня и защита L3/L4 DDoS стоят перед vService и исключаются; контроли L7 находятся внутри vService и включаются.

Как это сравнивается с измерением конкурентов?

Большинство ADC- и gateway-продуктов измеряют на линии платформы — каждый байт, прошедший через их инфраструктуру, включая дублирующийся трафик на стороне backend. Поскольку TR7 измеряет только клиентский край vService, один и тот же запрос, который конкуренты учитывают дважды (по разу с каждой стороны), учитывается один раз. Для той же реальной обслуживающей ёмкости нужный вам в TR7 лицензионный tier заметно меньше — разница может достигать кратных значений в зависимости от профиля нагрузки.

Могу ли я видеть измерение throughput в реальном времени?

Да. Тот же показатель, что используется для масштабирования вашего лицензионного tier, показывается в реальном времени в слое отчётности ADC. Операторы могут отслеживать накопление использования за период, сравнивать его с активностью per-vService и планировать ёмкость tier задолго до продления.

Что произойдёт, если мой трафик превысит лицензионный tier?

TR7 продолжает нормальную работу — нет жёсткого обрыва, останавливающего сервис. Превышение показывается в лицензионной панели. Операторы могут мгновенно повысить лицензионный tier на остаток периода с pro-rata тарификацией или дождаться периода продления.

Меняет ли ограничение полосы пропускания per-vService глобальный показатель?

Лимиты per-vService — это механизм справедливости внутри лицензионного tier. Они равномерно распределяют лицензированную полосу пропускания между vService и тенантами, но не меняют глобальное измерение — лицензия видит суммарный клиентский throughput по всем vService.

Увидьте в реальном времени throughput, по которому масштабируется ваш tier

Слой отчётности TR7 ADC показывает тот же показатель границы vService, который определяет ваш лицензионный tier — видимый, предсказуемый, очищенный от нагрузки до vService.