1.1 背景描述

1.1.1 园区网络现状

**通讯成立于1997年，是全球领先的通讯与信息解决方案及服务提供商，当前广州科学城总部研发基地由于园区网络设备老旧需进行替换和改造，既有的老旧园区网络采用传统的组网方式，存在多个业务系统，没有按照信息安全规定要求进行系统间路由隔离，部门调动时，网络无及时进行匹配，耗时长，响应速度慢，对于网络中用户权限控制，一般采用用户认证加授权 VLAN 或 ACL 的方式实现用户访问资源或用户间的隔离，存在一定风险，此外网络的业务部署，一般都是采用手工配置命令行，或通过 SNMP 来配置。都是基于设备语言，效率低，业务上线速度慢，同时现网所运行的设备即将或者已经达到厂家建议使用年限，基于以上，**通讯对广州总部的园区网络进行数字化改造。

**通讯广州科学城总部研发基地

1.1.2 园区网络面临的问题

1. 1. 1. 50. 一网无法多用

企业各业务系统的终端实际部署位置在一起，这就很难再用传统的独立建网方式实现网络隔离，要求能做到物理网络共享，逻辑上隔离，降低成本。

1. 1. 1. 50. 隔离效果差

不同权限的用户有混坐的情况，如研发人员、外包人员等，且人员位置经常变动， 不同权限的用户间也有权限控制的需求，而传统的 VLAN 或 ACL 的隔离方式管理工作量巨大，策略数量也是大部分网络设备所无法承受的。

1. 1. 1. 50. 业务部署慢

园区部署新业务，按照传统的业务开通方法，需要在大量设备上配置大量命令，耗时耗力。

1.2 解决思路

华为的解决思路是：

1. 1. 50. 业务跟网络解耦

在物理网络（underlay)之上，创建逻辑上的叠加网络（overlay），以此实现业务跟网络的解耦，从而实现在不改变基础网络的情况下，实现一网多用和业务的灵活部署。

1. 1. 50. 用户身份跟网络 IP/VLAN 解耦

基于用户身份的访问控制，包括权限控制和优先级等。用户身份由用户接入网络时下发，跟 IP/VLAN 无绑定关系，实现业务随行。

1. 1. 50. 控制器自动化配置

网络中部署集中的控制器，基于上面两个解耦技术，将园区网络按照用户管理视角抽象，只需关注人、人的身份、虚拟网络，图形化的配置虚拟网络的业务和业务随行策略，实现业务的快速部署。

1.3 总体网络架构

1.3.1 总体网络设计原则

园区网通常是一种用户高密度的非运营网络，在有限的空间内聚集了大量的终端和用户。同时对于园区网而言，注重的是网络的简单可靠、易部署、易维护。因此在园区网中，拓扑结构通常以星型结构为主，较少使用环网结构（环网结构较多的运用在运营商的城域网络和骨干网络中，可以节约光纤资源）。

基于星型结构的园区网设计，通常遵循如下原则：

50. 层次化

将园区网络划分为核心层、汇聚层、接入层。每层功能清晰，架构稳定，易于扩展和维护。

50. 模块化

将园区网络中的每个部门或者每个功能区划分为一个模块，模块内部的调整涉及范围小，易于进行问题定位。

50. 冗余性

关键设备采用双节点冗余设计；关键链路采用Trunk方式冗余备份或者负载分担；关键设备的电源、主控板等关键部件冗余备份。提高了整个网络的可靠性。

50. 安全隔离

园区网络应具备有效的安全控制。按业务、按权限进行分区逻辑隔离，对特别重要的业务采取物理隔离。

50. 可管理性和可维护性

网络应当具有良好的可管理性。为了便于维护，应尽可能选取集成度高、模块可通用的产品。

1.3.2 园区网总体逻辑架构

华为SD-Campus园区网络的逻辑架构如下图所示

1. 1. 50. AC-Campus

云管理控制器，负责 overlay 网络的业务管理和自动化部署。

1. 1. 50. IAE

负责认证用户管理、业务随行策略配置和自动化下发。

1. 1. 50. eSight

负责园区及分支设备零配置开局、无线定位、设备 underlay 配置、设备监控等。

1. 1. 50. Route Node

路由出口节点，园区需要到数据中心或者 Internet 时通过此节点转发；如果路由出口节点是防火墙时，FW Node 可以复用此节点。

1. 1. 50. FW Node

安全节点，需要做 L4-L7 高级安全策略（如 IPS、AV 等）时需要部署该节点。

1. 1. 50. Border Node

L3 网关设备，用于 Fabric 网络和第三方网络间三层转发，用户跟第三方网络流量从这里出入 VXLAN 隧道。

1. 1. 50. Edge Node

用户的 VXLAN 网关，可能是 L2 网关也有可能是 L3 网关，接入用户的流量从这里进入 VXLAN 网络。Edge 节点同时也作为无线控制器，无线流量经由 CAPWAP 隧道到达 Edge 节点，Edge 节点剥 CAPWAP 隧道后进入 VXLAN 网络。

1. 1. 50. Transparency Node

Fabric 网络的透传节点，不感知 Fabric。透传节点不需要支持 VXLAN，可以是传统三层交换机。

1. 1. 50. Access Node(Wired)

有线接入节点，用户从这里接入有线网络并最终接入 Fabric 网络，可以和 Edge Node

合一。

1. 1. 50. Access Node(Wireless)

无线接入节点，用户从这里接入无线网络，并最终接入 Fabric 网络。无线接入节点不需要支持 VXLAN，传统的无线接入节点（AP）都可以。

1.3.3 园区网总体物理架构

对应逻辑架构，园区网络的物理架构如图2-2所示。

园区网络的物理架构 

50. 核心层

在核心层部署两台核心交换机S12708，集群方式部署提高可靠性，同时S12708作为VxLAN网络分布式三层网关。核心层与汇聚层10G互联。

核心交换机旁挂两台防火墙，实现园区内部业务访问隔离、安全管控等功能。

50. 汇聚层

改造后的园区最终有3个汇聚节点，分别位于A、B、E三栋楼；每个汇聚点部署两台汇聚交换机S7706，通过集群方式提高可靠性，同时S7706作为VxLAN网络分布式二层网关。汇聚层与接入层千兆互联。

50. 接入层

部署接入交换机，满足园区内有线终端接入需求。建议每4台接入组成一个堆叠组，提高可靠性的同时节省了光纤资源。

50. 数据中心区

部署2台数据中心万兆接入交换机CE6856HI和6台数据中心千兆接入交换机CE5855EI，实现服务器的万兆及千兆接入需求。同时数据中心接入交换机支持SDN功能演进。

50. 网络管理区

在网管区部署esight网管系统，实现全网设备可视化管理；

部署园区SDN控制器Agile Controller-Campus，实现基于园区Vxlan架构下的业务随行、业务快速部署等SDN特性；

该组网结构具有如下特点：

50. 以核心节点为“根”的星型分层拓扑，架构稳定，易于扩展和维护。
50. 各部门和功能分区模块清晰，模块内部调整涉及范围小，易于进行问题定位。
50. 双节点冗余设计，关键链路均采用Trunk链路，保证网络的可靠性。
50. 支持各种业务终端接入，一张IP网络承载所有业务。
50. 支持分支接入、员工远程接入、合作伙伴接入、外部用户访问等各种外联场景。

1.4 SD-Campus 网络原理

1.4.1 Underlay 网络原理

Underlay 网络，access 节点为二层设备，对流量做二层转发。Access 节点可以为堆叠， 或者环网。但是 Access 到 Edge 必须是树形组网，因一个 Access 节点只能到一个 Edge 做认证。

Underlay 其他节点都是三层设备，对流量做三层转发，Underlay 的路由可以部署

OSPF/ISIS/BGP 等。

Edge 设备跟 Border 设备间可以用 ECMP 冗余组网，提高三层网络可靠性及增加通道带宽。

1.4.2 Overlay 网络原理--数据平面

1.4.2.1 VXLAN 三层网关部署

VXLAN 三层网关按部署方式的不同，可以分为集中式网关和分布式网关。

图2-7  VXLAN 集中式三层网关

集中式网关场景下，所有跨子网的流量都要到三层网关上转发，转发路径不是最优，网关流量处理压力大。、

图2-8  VXLAN 分布式三层

分布式网关场景下，同一个 edge 节点既做二层网关，也做三层网关。同一个 Edge 节点上不同子网流量通信直接在 Edge 上转发，转发路径优。

分布式网关场景下，各 Edge 节点可以提供相同的网关 MAC 地址和 IP 地址，用户位置移动后，网关 IP 和 MAC 不变，用户不感知实际接入网关的位置变化。

1.4.3 SD-Campus 自动化原理

1.4.3.1 Underlay 自动化

Underlay 自动化通过 eSight 部署零配置开局实现。

1.4.3.2 Overlay 自动化

AC-Campus 作为 overlay 自动化功能的核心，实现将用户业务语言到网络具体配置的自动翻译与下发。

图2-13  Overlay 自动化

1. 首先，需要在控制器上创建站点并加入设备，为后续业务编排做准备。
2. 预留全局资源，包括 VLAN 和子网，后续 VN 网络所用的 VLAN 和子网从配置的全局资源中分配。
3. Fabric 网络的管理。
   • 首先，创建 Fabric，通常一个站点创建一个 Fabric，Fabric 中加入设备并标识角色（Border/edge/access），如果是 border 或 edge，需要指定环回口地址，用于

VTEP 地址。

• • 其次，配置策略联动，指定对应的控制设备和接入设备及通信所用 IP 地址。
  • 再次，指定 Fabric 跟外部网关的连接，用于虚拟网络跟外部的通信。

3. • 最后，指定 DHCP server 地址，在 edge 上做 DHCP relay。
4. VN 网络的管理。
   • 首先创建 VN 网络。
   • 接着配置 VN 所关联的子网。
   • 最后指定哪些端口可以接入该 VN 网络及这些端口认证的方式。

1.4.3.3 策略自动化

策略自动化的核心是 IAE，IAE 完成安全组定义，安全组策略的定义与下发，用户认证后安全组授权。

图2-14  5W1H 情景感知的安全组上下文定义

图2-15  策略自动化过程