亚洲bbw老妇另类_无码高清视频在线观看_丝袜长腿aⅴ在线播放_亚洲国产成人午夜精华液_又爽又黄好刺激的视频_欧美人与物videos另_国产精品无码刺激性_精品国产一区二区不卡毛

1.1 背景描述

1.1.1 園區網絡現狀

**通訊成立于1997年，是全球領先的通訊與信息解決方案及服務提供商，當前廣州科學城總部研發基地由于園區網絡設備老舊需進行替換和改造，既有的老舊園區網絡采用傳統的組網方式，存在多個業務系統，沒有按照信息安全規定要求進行系統間路由隔離，部門調動時，網絡無及時進行匹配，耗時長，響應速度慢，對于網絡中用戶權限控制，一般采用用戶認證加授權 VLAN 或 ACL 的方式實現用戶訪問資源或用戶間的隔離，存在一定風險，此外網絡的業務部署，一般都是采用手工配置命令行，或通過 SNMP 來配置。都是基于設備語言，效率低，業務上線速度慢，同時現網所運行的設備即將或者已經達到廠家建議使用年限，基于以上，**通訊對廣州總部的園區網絡進行數字化改造。

**通訊廣州科學城總部研發基地

1.1.2 園區網絡面臨的問題

1. 1. 1. 50. 一網無法多用

企業各業務系統的終端實際部署位置在一起，這就很難再用傳統的獨立建網方式實現網絡隔離，要求能做到物理網絡共享，邏輯上隔離，降低成本。

1. 1. 1. 50. 隔離效果差

不同權限的用戶有混坐的情況，如研發人員、外包人員等，且人員位置經常變動， 不同權限的用戶間也有權限控制的需求，而傳統的 VLAN 或 ACL 的隔離方式管理工作量巨大，策略數量也是大部分網絡設備所無法承受的。

1. 1. 1. 50. 業務部署慢

園區部署新業務，按照傳統的業務開通方法，需要在大量設備上配置大量命令，耗時耗力。

1.2 解決思路

華為的解決思路是：

1. 1. 50. 業務跟網絡解耦

在物理網絡（underlay)之上，創建邏輯上的疊加網絡（overlay），以此實現業務跟網絡的解耦，從而實現在不改變基礎網絡的情況下，實現一網多用和業務的靈活部署。

1. 1. 50. 用戶身份跟網絡 IP/VLAN 解耦

基于用戶身份的訪問控制，包括權限控制和優先級等。用戶身份由用戶接入網絡時下發，跟 IP/VLAN 無綁定關系，實現業務隨行。

1. 1. 50. 控制器自動化配置

網絡中部署集中的控制器，基于上面兩個解耦技術，將園區網絡按照用戶管理視角抽象，只需關注人、人的身份、虛擬網絡，圖形化的配置虛擬網絡的業務和業務隨行策略，實現業務的快速部署。

1.3 總體網絡架構

1.3.1 總體網絡設計原則

園區網通常是一種用戶高密度的非運營網絡，在有限的空間內聚集了大量的終端和用戶。同時對于園區網而言，注重的是網絡的簡單可靠、易部署、易維護。因此在園區網中，拓撲結構通常以星型結構為主，較少使用環網結構（環網結構較多的運用在運營商的城域網絡和骨干網絡中，可以節約光纖資源）。

基于星型結構的園區網設計，通常遵循如下原則：

50. 層次化

將園區網絡劃分為核心層、匯聚層、接入層。每層功能清晰，架構穩定，易于擴展和維護。

50. 模塊化

將園區網絡中的每個部門或者每個功能區劃分為一個模塊，模塊內部的調整涉及范圍小，易于進行問題定位。

50. 冗余性

關鍵設備采用雙節點冗余設計；關鍵鏈路采用Trunk方式冗余備份或者負載分擔；關鍵設備的電源、主控板等關鍵部件冗余備份。提高了整個網絡的可靠性。

50. 安全隔離

園區網絡應具備有效的安全控制。按業務、按權限進行分區邏輯隔離，對特別重要的業務采取物理隔離。

50. 可管理性和可維護性

網絡應當具有良好的可管理性。為了便于維護，應盡可能選取集成度高、模塊可通用的產品。

1.3.2 園區網總體邏輯架構

華為SD-Campus園區網絡的邏輯架構如下圖所示

1. 1. 50. AC-Campus

云管理控制器，負責 overlay 網絡的業務管理和自動化部署。

1. 1. 50. IAE

負責認證用戶管理、業務隨行策略配置和自動化下發。

1. 1. 50. eSight

負責園區及分支設備零配置開局、無線定位、設備 underlay 配置、設備監控等。

1. 1. 50. Route Node

路由出口節點，園區需要到數據中心或者 Internet 時通過此節點轉發；如果路由出口節點是防火墻時，FW Node 可以復用此節點。

1. 1. 50. FW Node

安全節點，需要做 L4-L7 高級安全策略（如 IPS、AV 等）時需要部署該節點。

1. 1. 50. Border Node

L3 網關設備，用于 Fabric 網絡和第三方網絡間三層轉發，用戶跟第三方網絡流量從這里出入 VXLAN 隧道。

1. 1. 50. Edge Node

用戶的 VXLAN 網關，可能是 L2 網關也有可能是 L3 網關，接入用戶的流量從這里進入 VXLAN 網絡。Edge 節點同時也作為無線控制器，無線流量經由 CAPWAP 隧道到達 Edge 節點，Edge 節點剝 CAPWAP 隧道后進入 VXLAN 網絡。

1. 1. 50. Transparency Node

Fabric 網絡的透傳節點，不感知 Fabric。透傳節點不需要支持 VXLAN，可以是傳統三層交換機。

1. 1. 50. Access Node(Wired)

有線接入節點，用戶從這里接入有線網絡并最終接入 Fabric 網絡，可以和 Edge Node

合一。

1. 1. 50. Access Node(Wireless)

無線接入節點，用戶從這里接入無線網絡，并最終接入 Fabric 網絡。無線接入節點不需要支持 VXLAN，傳統的無線接入節點（AP）都可以。

1.3.3 園區網總體物理架構

對應邏輯架構，園區網絡的物理架構如圖2-2所示。

園區網絡的物理架構 

50. 核心層

在核心層部署兩臺核心交換機S12708，集群方式部署提高可靠性，同時S12708作為VxLAN網絡分布式三層網關。核心層與匯聚層10G互聯。

核心交換機旁掛兩臺防火墻，實現園區內部業務訪問隔離、安全管控等功能。

50. 匯聚層

改造后的園區最終有3個匯聚節點，分別位于A、B、E三棟樓；每個匯聚點部署兩臺匯聚交換機S7706，通過集群方式提高可靠性，同時S7706作為VxLAN網絡分布式二層網關。匯聚層與接入層千兆互聯。

50. 接入層

部署接入交換機，滿足園區內有線終端接入需求。建議每4臺接入組成一個堆疊組，提高可靠性的同時節省了光纖資源。

50. 數據中心區

部署2臺數據中心萬兆接入交換機CE6856HI和6臺數據中心千兆接入交換機CE5855EI，實現服務器的萬兆及千兆接入需求。同時數據中心接入交換機支持SDN功能演進。

50. 網絡管理區

在網管區部署esight網管系統，實現全網設備可視化管理；

部署園區SDN控制器Agile Controller-Campus，實現基于園區Vxlan架構下的業務隨行、業務快速部署等SDN特性；

該組網結構具有如下特點：

50. 以核心節點為“根”的星型分層拓撲，架構穩定，易于擴展和維護。
50. 各部門和功能分區模塊清晰，模塊內部調整涉及范圍小，易于進行問題定位。
50. 雙節點冗余設計，關鍵鏈路均采用Trunk鏈路，保證網絡的可靠性。
50. 支持各種業務終端接入，一張IP網絡承載所有業務。
50. 支持分支接入、員工遠程接入、合作伙伴接入、外部用戶訪問等各種外聯場景。

1.4 SD-Campus 網絡原理

1.4.1 Underlay 網絡原理

Underlay 網絡，access 節點為二層設備，對流量做二層轉發。Access 節點可以為堆疊， 或者環網。但是 Access 到 Edge 必須是樹形組網，因一個 Access 節點只能到一個 Edge 做認證。

Underlay 其他節點都是三層設備，對流量做三層轉發，Underlay 的路由可以部署

OSPF/ISIS/BGP 等。

Edge 設備跟 Border 設備間可以用 ECMP 冗余組網，提高三層網絡可靠性及增加通道帶寬。

1.4.2 Overlay 網絡原理--數據平面

1.4.2.1 VXLAN 三層網關部署

VXLAN 三層網關按部署方式的不同，可以分為集中式網關和分布式網關。

圖2-7  VXLAN 集中式三層網關

集中式網關場景下，所有跨子網的流量都要到三層網關上轉發，轉發路徑不是最優，網關流量處理壓力大。、

圖2-8  VXLAN 分布式三層

分布式網關場景下，同一個 edge 節點既做二層網關，也做三層網關。同一個 Edge 節點上不同子網流量通信直接在 Edge 上轉發，轉發路徑優。

分布式網關場景下，各 Edge 節點可以提供相同的網關 MAC 地址和 IP 地址，用戶位置移動后，網關 IP 和 MAC 不變，用戶不感知實際接入網關的位置變化。

1.4.3 SD-Campus 自動化原理

1.4.3.1 Underlay 自動化

Underlay 自動化通過 eSight 部署零配置開局實現。

1.4.3.2 Overlay 自動化

AC-Campus 作為 overlay 自動化功能的核心，實現將用戶業務語言到網絡具體配置的自動翻譯與下發。

圖2-13  Overlay 自動化

1. 首先，需要在控制器上創建站點并加入設備，為后續業務編排做準備。
2. 預留全局資源，包括 VLAN 和子網，后續 VN 網絡所用的 VLAN 和子網從配置的全局資源中分配。
3. Fabric 網絡的管理。
   • 首先，創建 Fabric，通常一個站點創建一個 Fabric，Fabric 中加入設備并標識角色（Border/edge/access），如果是 border 或 edge，需要指定環回口地址，用于

VTEP 地址。

• • 其次，配置策略聯動，指定對應的控制設備和接入設備及通信所用 IP 地址。
  • 再次，指定 Fabric 跟外部網關的連接，用于虛擬網絡跟外部的通信。

3. • 最后，指定 DHCP server 地址，在 edge 上做 DHCP relay。
4. VN 網絡的管理。
   • 首先創建 VN 網絡。
   • 接著配置 VN 所關聯的子網。
   • 最后指定哪些端口可以接入該 VN 網絡及這些端口認證的方式。

1.4.3.3 策略自動化

策略自動化的核心是 IAE，IAE 完成安全組定義，安全組策略的定義與下發，用戶認證后安全組授權。

圖2-14  5W1H 情景感知的安全組上下文定義

圖2-15  策略自動化過程