Comment CBP a vidé ses succursales de leur informatique

Connecter les succursales en VPN : trop de latence

« Nous étions convaincus du bien-fondé de sortir l’informatique des succursales dès 2008, lorsque nous avons ouvert nos premiers bureaux étrangers, à Milan et Barcelone. Mais monde de l’assurance oblige, il n’était pas question de mettre les bases de données de nos clients dans le Cloud. Alors, nous avons fait un WAN. Nous avons mis en place un VPN sur chacun de nos sites pour qu’ils accèdent à distance aux applications métier (basées sur Exchange) qui sont exécutées dans le datacenter du siège », raconte Olivier Lavry.

Il déchante assez rapidement. Les sites sont reliés au siège au travers d’une ligne spécialisée en 2 Mbits/s sur laquelle transite, en plus du réseau informatique, la téléphonie. « L’affichage n’était acceptable que pour un ou deux utilisateurs par site. Ce n’était pas tant une question de débit ; c’est surtout que la latence était trop grande pour voir s’ouvrir rapidement des documents », dit-il.

Olivier Lavry cherche alors un boîtier qui fasse office de cache local sur chacun des sites, c’est-à-dire qui conserve en mémoire les données récemment ouvertes pour ne pas avoir à les télécharger à chaque accès utilisateur. Plusieurs boîtiers Proxy existent chez les équipementiers réseau. Mais, à l’époque, le SteelHead de Riverbed est le seul qui sache mettre en cache les partages Windows et le protocole MAPI d’Exchange. En l’occurrence, les données circulent entre le siège et les sites sous forme de blocs que ces appliances compressent et indexent. Mais il faut que les dites appliances interprètent le contenu de ces blocs pour, dans le cas présent, ne pas télécharger dans un nouveau bloc un fichier Windows ou des données Exchange qui avaient déjà été récupérés dans un bloc précédent.

« Nous avons testé plusieurs solutions. L’appliance prêtée par Riverbed au titre de démonstration s’installait en une matinée et répondait exactement à nos attentes. Du coup, nous ne leur avons même pas rendue, nous l’avons directement achetée », s’amuse Olivier Lavry. Dans les faits, il achète cinq appliances : une pour chacun des trois sites distants d’alors (Paris, Barcelone, Milan) et une en double, c’est-à-dire redondante, pour le siège de Nantes.

Le défi de déporter aussi les serveurs locaux

De 2009 à 2014, Olivier Lavry est ravi. Les apppliances SteelHead continuent à tenir la charge au fur et à mesure que les équipes des sites distants s’étoffent. Elles chiffrent même les données à la volée à partir de 2010, lorsque la réglementation l’exige.

« Pour autant, la croissance de notre activité avait fait naître dans nos succursales de nouveaux besoins informatiques, typiquement des serveurs d’impression très sollicités pour publier les documents de nos clients et aussi des NAS pour conserver localement leurs dossiers. Si bien qu’un datacenter s’était constitué malgré nous sur nos sites distants. Nous avons décidé de remédier à cela en 2014, au moment où nous apprêtions à ouvrir notre bureau de Düsseldorf. Nous devions trouver une nouvelle solution et, pour des questions d’amortissement, il était préférable de le faire partout en même temps », se souvient le responsable réseaux & télécoms.

Problème, un serveur d’impression ne s’utilise pas à distance et le partage des dossiers d’emprunteurs italiens, espagnols ou allemands n’a aucune raison d’être administré depuis Nantes. 

A force de réflexion, Olivier Lavry et son équipe trouvent la solution : ils vont exécuter le serveur d’impression et le NAS sous forme de machine virtuelle sur chacun des sites, mais leur capacité de stockage sera hébergée à Nantes. « Riverbed nous a présenté son appliance EX plus puissante et qui, dotée de la couche logicielle SteelFusion, intègre l’hyperviseur ESXi de VMware. Avec cette configuration, il n’est même plus nécessaire d’installer un serveur physique pour exécuter la VM du NAS et du serveur d’impression dans chaque succursale », explique-t-il.

Une appliance qui intègre du cache et du VMware

Dans le détail, l’ESXi est configuré dans SteelFusion pour voir le stockage du siège comme s’il s’agissait de LUNs configurées sur une baie SAN installée alentour. Tout comme SteelHead, SteelFusion découpe les transferts entre le siège et la succursale en blocs optimisés, avec l’avantage de comprendre qu’il s’agit de données de stockage VMware. « L’utilisateur a l’impression d’avoir un NAS de 1 To sur son site alors que son appliance ne dispose que d’un disque de 500 Go, partagé entre le cache et la couche VMware. A l’épreuve, tous les dossiers en cours s’ouvrent aussi rapidement que s’ils étaient sur le NAS local. Les ralentissements ne surviennent que lorsqu’on rouvre d’anciens dossiers », commente Olivier Lavry. Du côté du siège, pas besoin d’investir dans une appliances EX. SteelFusion est fourni par Riverbed sous la forme d’une machine virtuelle SteelFusion Core, à exécuter sur un cluster vSphere existant et qui sert à router les requêtes des succursales vers du stockage local.

Au final, Olivier lavry a non seulement soulagé ses succursales de plusieurs équipements informatiques, mais il les a rendues aussi plus faciles à déménager. « Il suffit de reconnecter l’appliance ailleurs pour avoir immédiatement accès au NAS et au serveur d’impression. Ce sont plus de 20U de tiroirs racks qu’il n’y a plus à déménager », se félicite-t-il.

A noter que l’histoire ne s’arrête pas là : chaque succursale contient toujours un IPBX pour la téléphonie. « Inutile de vous dire que j’ai hâte de trouver un moyen de le virtualiser et de connecter les postes à l’appliance Riverbed. Le projet est à l’étude », conclut-il.