下载文档原格式
SDN网络实施方案随着云计算、大数据和物联网等新兴技术的快速发展，传统网络架构已经无法满足日益增长的网络流量和对网络灵活性的需求。
软件定义网络（SDN）作为一种新型的网络架构，通过将网络的控制平面与数据平面分离，实现了网络的集中管理和灵活配置，为网络的实施和管理带来了全新的思路和方法。
SDN网络实施方案的核心是SDN控制器，它是整个SDN网络的大脑，负责集中管理和控制整个网络的行为。
在实施SDN网络时，首先需要选择合适的SDN控制器，常见的有OpenDaylight、ONOS、Floodlight等开源控制器，以及Cisco、VMware等厂商提供的商业控制器。
在选择控制器时，需根据实际网络规模、应用场景和厂商支持等因素进行综合考虑，确保选择到适合自身网络的控制器。
其次，SDN网络实施还需要考虑数据平面设备的选型和部署。
传统的网络设备如交换机、路由器等需要逐步替换为支持SDN协议的可编程交换机和路由器，以实现与SDN控制器的互联和统一管理。
同时，还需要考虑数据平面设备的部署位置和网络拓扑结构，合理规划网络架构，确保SDN网络的高可用性和可扩展性。
此外，SDN网络实施还需要考虑网络安全、性能优化和运维管理等方面的问题。
网络安全是SDN网络实施中需要重点关注的问题，通过对SDN控制器和数据平面设备进行安全加固和流量监测，以及制定完善的安全策略和应急预案，确保SDN网络的安全可靠。
同时，还需要对SDN网络进行性能优化，通过合理规划网络流量、部署负载均衡和缓存等技术手段，提高网络的传输效率和响应速度。
在运维管理方面，需要建立完善的监控和管理系统，实时监测网络运行状态和性能指标，及时发现和解决网络故障，确保SDN网络的稳定运行。
综上所述，SDN网络实施是一个系统工程，需要全面考虑网络设备选型、网络架构规划、安全性能优化和运维管理等方面的问题。
只有在充分理解SDN网络的原理和特点的基础上，结合实际网络需求，才能制定出科学合理的SDN网络实施方案，为企业和组织构建高效灵活的网络基础设施。
h3c sdn解决方案园区在现代信息时代，园区已经成为了企业进行生产与交流的重要场所。
然而，传统的园区网络架构面临着许多问题，如网络拓扑复杂、管理困难、安全性低等。
为了解决这些问题，H3C公司开发了一种基于SDN（软件定义网络）的园区解决方案，为企业提供了更高效、更安全、更稳定的网络环境。
H3C SDN解决方案基于"控制与数据分离"的设计理念，将网络控制平面与数据转发平面分开，使得网络的管理和配置更加灵活高效。
下面将从网络拓扑优化、资源管理与调度、安全性与可靠性、简化管理等方面阐述H3C SDN解决方案的优势。
首先，H3C SDN解决方案可以对园区网络拓扑进行优化。
传统的园区网络拓扑复杂，节点众多，管理难度大。
通过H3C SDN解决方案，可以实现网络设备的集中管理和控制。
管理员可以通过SDN控制器对网络设备进行集中配置和管理，简化了网络的维护和故障排查过程。
同时，SDN解决方案支持动态路由的调整，可以根据不同应用的需求自动调整网络拓扑，提升网络的传输性能和带宽利用率。
其次，H3C SDN解决方案可以实现对园区网络资源的灵活管理与调度。
通过SDN控制器的应用编程接口（API），管理员可以根据实时的业务需求对网络资源进行动态调度和管理。
例如，根据企业生产规模的变化，可以实现对网络带宽的动态分配和调整，确保每个业务流量都能得到充分的保障。
此外，SDN解决方案还支持网络功能的虚拟化，可以根据不同应用的需求灵活配置网络功能，提高了网络资源的利用效率。
第三，H3C SDN解决方案提供了更高的网络安全性与可靠性。
在传统的网络架构中，网络安全性常常面临挑战，例如，黑客攻击、病毒感染等。
通过SDN的中心控制器，可以对园区内的网络流量进行实时监控和管控，减少了网络入侵的风险。
同时，SDN解决方案支持流量的隔离和分流，可以将敏感数据和普通数据分开进行传输，提高了网络的安全性。
此外，SDN的冗余功能也能够提供更高的网络可靠性和容错性，当某个网络节点出现故障时，可以通过SDN控制器自动调整网络拓扑，保证业务的连续性。
H3C SDN 数据中心解决方案（详细版）目录第1章H3C数据中心解决方案概述 (5)1.1数据中心演进节奏 (5)1.2 H3C数据中心解决方案架构组成 (6)1.3 H3C数据中心解决方案特点 (7)1.3.1新IT业务平面和运维平面无缝融合，支撑面向应用的自动化 (7)1.3.2开放、自动化、可编程的下一代网络架构，适用多种典型场景 (7)1.3.3完整的软件定义网络模型SDN＋，助力用户自描述网络 (8)第2章H3C SDN方案关键特性 (12)2.1组网模型 (12)2.1.1 EVPN分布式网关组网 (12)2.1.2多Border组网 (17)2.2 Underlay自动化 (18)2.2.1 Fabric规划 (18)2.2.2自动配置 (19)2.2.3可视化部署 (19)2.2.4资源纳管 (20)2.3 Overlay自动化–对接OpenStack (20)2.3.1支持OpenStack VLAN网络 (21)2.3.2层次化端口绑定 (23)2.3.3支持OpenStack VxLAN网络 (25)2.4 Overlay自动化–独立Fabric场景 (27)2.4.1软件定义网络模型 (27)2.4.2 Overlay配置下发到设备 (28)2.4.3 Fabric接入 (28)第3章H3C SDN方案典型组网 (29)3.1 Leaf Border (29)3.2 Spine Border (31)H3C SDN数据中心解决方案关键词：EVPN、VXLAN、Fabric、Underlay、Overlay、自动化摘要：本文档阐述了H3C数据中心解决方案的架构和特点，并针对H3C SDN解决方案，重点介绍了其关键特性和典型组网。
缩略语清单：第1章H3C数据中心解决方案概述1.1 数据中心演进节奏DC1.0是传统数据中心所采用模块化、层次化的建设模式，针对不同类型及批次的业务进行分区分期建设。
H3C SDN方案简介H3C SDN（Software-Defined Networking）方案是一种网络架构，旨在通过将网络控制平面和数据平面分离，实现网络的智能、灵活和可编程。
H3C SDN方案采用了开放的标准和协议，为企业提供了灵活、可扩展和可定制的网络架构。
关键特性H3C SDN方案具有以下关键特性：1. 网络虚拟化H3C SDN方案可以将物理网络划分为多个虚拟网络，实现网络资源的共享和隔离。
每个虚拟网络可以拥有自己的拓扑结构、路由策略和安全策略，从而满足不同部门或应用的需求。
2. 中央控制H3C SDN方案采用中央控制器的方式，通过集中管理和控制网络设备。
中央控制器可以对整个网络进行配置、监控和管理，提高运维效率和网络可靠性。
3. 智能路由H3C SDN方案支持智能路由功能，通过动态获取网络拓扑和流量信息，实现智能化的数据包转发和负载均衡。
智能路由可以根据实际网络情况进行动态调整，提高网络性能和可靠性。
4. 安全策略H3C SDN方案提供了多种安全策略，可以根据网络流量进行入侵检测和防御。
通过实时监控网络流量和应用行为，可以快速发现和应对潜在的安全威胁。
5. 应用可视化H3C SDN方案支持应用可视化功能，可以通过图形界面展示网络拓扑、流量状态和设备配置等信息。
应用可视化可以帮助管理员更直观地了解网络运行状态，快速定位和解决问题。
架构设计H3C SDN方案的架构设计分为三层：应用层、控制层和数据层。
每一层都具有不同的功能和特点。
1. 应用层应用层是H3C SDN方案的最上层，主要负责提供网络应用和服务。
应用层可以根据具体需求，开发和部署各种网络应用，如视频会议、云计算等。
应用层可以与控制层通过API进行交互，实现网络的可编程和自动化管理。
2. 控制层控制层是H3C SDN方案的核心，主要负责网络的管理和控制。
控制层包括中央控制器和网络应用控制器（Application Controller）。
1.基础环境说明
1.1.网络拓扑
1.2.部署说明：
1、南北向使用F5000和L5000分别作为安全资源和负载资源池，其中防火前资源按照租户进行分
配，负载均衡资源根据租户是否需要进行分配
2、底层Underlay网络使用OSPF构建，每个设备配置两个地址，互联接口使用借用地址技术，修
改OSPF接口网络类型，实现BGP的TCP可达
3、Overlay的BGP分为两级RR,每个机房两台Spine作为本地RR，反射来自核心的路由信息
4、部署分布式网关
5、东西向SC使用H3C的虚拟化平台，CloudOS和CAS系统，CAS包括CVM和CVK，CVK对接到
CVM进行虚拟化平台统一纳管，CloudOS纳管CVM，最后通过VCFC控制器对接CloudOS下发VFW和VLB运行在CVK上面
6、CloudOS以容器化方式不是，全程自动化，先部署K8S，然后部署Openstack
2.准备工作-创建VDS
Note:控制器默认有个VDS1，转发模式是控制器流表转发（即强控模式），本次方案使用的弱控方案，需要重新建立一个VDS2，转发模式使用数据平面自转发，后续使用VDS2即可
3.准备工作-添加物理网元
将所有的leaf节点和border节点加入VCFC控制器。
Note：设备类型需要根据实际情况进行选择包括：
网关设备：可以理解为集中式场景下的spine节点
L2VTEP接入设备：可以理解为集中式场景下的leaf节点
接入设备：分布式场景下的leaf节点
Underlay物理设备：物理网络设备，透传VXLAN数据
边界设备：连接VXLAN外部网络的设备
本次项目Underlay物理设备是spine节点，没有VTEP IP地址，如下
网元增加完成后，登录对应交换机查看配置，多了如下配置
使用命令：display openflow instance 查看openflow相关信息
4.准备工作-添加NFGW资源池
本次项目添加了F5000和L5000两种资源，作为南北向服务资源，已经操作完成
5.准备工作-创建地址池（承载网络->地址池）
5.1.安全外网
Note：F5000和CE连接网段，F5000上产生VFW，为VFW连接CE的接口下发一个地址，配置网关地址为CE侧得接口地址。
5.2.安全内网
Note：承载租户需要进行负载的业务流量网段，是VFW和VLB设备之间的互联地址段
5.3.租户承载网
Note：承载租户流量的网段，主要是VFW和Border设备之间的互联地址段5.4.虚拟设备管理网
Note：为南北向的VFW和VLB下发的管理地址段，网关地址是管理网网关地址
6.准备工作-创建网关组（承载网络->网关组）
Note：网关组成员（配置网关设备类型的网元）、地址池、VLAN池全部选择后，确认按钮才能从灰色变为可用状态。
此时Border状态由Inactive变为active。
工作模式：
服务网关组：一般是在有 vfw vlb 时使用
独立网关组：
点击确定后下发如下配置：
#
openflow instance 1
default table-miss permit
description SDN_INSTANCE_1de3d0b2-7ad1-4fa8-8ad5-15f161594bbe
flow-table mac-ip 0 extensibility 1 extensibility 2
classification global
controller 1 address ip 20.39.3.2 local address ip 20.39.3.22 vrf mgmt controller 2 address ip 20.39.3.3 local address ip 20.39.3.22 vrf mgmt active instance
#
注意：没有创建地址池，无法在租户里绑定网关资源
7.创建租户配置
7.1.创建租户
租户是为了更好的管理网络，按照租户进行网络隔离，每个租户可以通常绑定一个vRouter（即一个三层VNI），也可以绑定多个vRouter（vRouter总数最多不超过16
个，因为使用的南北向防火墙最多可以创建16个VFW），可以根据实际情况进行设置，
一个3层VNI下可以关联多个2层VNI
本次项目使用的租户如下
7.2.为租户绑定网关组
在租户里绑定“网关组”（虚拟网络->租户管理[SXDL_1]->网关资源）
7.3.服务资源创建
针对每个租户可以绑定相关的服务资源，VFW和VLB，后续的虚拟路由器绑定服务资源（南北向），东西向需要根据实际的业务需求进行配置。
Note1：对于南北向的防火墙来说使用的硬件防火墙（F5030）每个租户对应一个VFW，VLB资源需要根据实际业务需求确定是否需要添加
Note2：对于东西向SC的防火墙和负载均衡使用的是软件方式，通过SDN控制器调用CloudOS，由CloudOS调用底层的CAS虚拟化平台，生成VLB和VFW，并且VLB和VFW以IRF模式部署。
Note3：在创建东西向的VFW/VLB的时候，可以采用复用资源的方式进行，但是前提是该租户下是存在VFW/VLB资源的
8.虚拟路由器配置
8.1.创建虚拟路由器
VDS：选择VDS2
Segmet ID：三层VNI
VRF名称：可以自动生成，也可以手动指定，建议手工指定，方便后续查找8.2.虚拟链路层网络配置
如果有同一个虚拟路由器下有新业务上线，重复该步骤操作即可
8.2.1.创建网络
这里添加的是实际的业务地址段，Segment ID表示2层VNI，二层VNI的具体数值和网段的第三个8位对应即可（例如：20.38.32.0/24 2层VNI就是32），创建好的虚拟链路层网络以接口形式和虚拟路由器关联
点击对应的虚拟链路层网络中的子网按钮，创建子网，一个虚拟链路层网络创建一个子网，下图中为了测试，创建了两个子网
8.2.2.绑定接口
这里的绑定接口就是将虚拟链路层网络增加到相应的虚拟路由器VPN实例中，实际就是2层VNI和3层VNI绑定
虚拟路由器绑定接口（虚拟网络->虚拟路由器[二级域]->接口）
绑定完成后Leaf节点生成如下配置，
Note：可以在创建的同一个网络增加多个子网，实际部署的时候一个虚拟链路层网络部署一个子网
8.3.绑定服务资源（南北向）
虚拟路由器绑定服务资源（虚拟网络->虚拟路由器）
注意事项：
➢需要先创建FW、LB才能关联服务资源，才能出外网和进行负载均衡。
➢本步骤只需要一次配置即可
9.配置VLAN-VXLAN映射
配置一个VLAN -VXLAN的映射表，映射关系为一对一映射，例如，VLAN 10 的数据接入Leaf节点后会封装为VXLAN10
Note：这里的VXLAN ID是2层VNI
分为两种情况
第一种业务接入方式：Leaf下联5130交换机，5130交换机需要配置VLAN，并在链接6800交换机的接口配置trunk，允许业务VLAN通过（本次项目6800和5130互联全部使用聚合），物理口只需要加入聚合组即可，配置省略
Leaf节点交换机只需要在接口配置 VTEP acces port 让控制器发现业务口
interface Bridge-Aggregation1
vtep access port
在SDN控制器界面增加AC口，下发业务
后续业务上线后，会触发leaf节点AC口的配置上线
第二种业务接入方式：服务器直接连接在leaf节点，直接在该接口上配置PVID即可
相应的接口产生如下红框中关键配置
10.添加防火墙
1、选择网络服务，防火墙选项
防火墙工作思路和普通硬件墙思路基本一致，防火墙调用策略，策略调用规则，规则里面可以包含对象
2、增加规则
2、增加策略，策略绑定规则
3、增加防火墙，绑定虚拟路由器
Note：防火墙模式共有四种：GATEWAY ;GATEWAY_SERVICE ,SERVICE-CHAIN,PBR- SERVICE-CHAIN
4、测试统计信息
11.东西向SC
本次服务链使用的是VXLAN方案，利用了VXLAN预留字段，填充Path-ID构建服务链。
11.1.创建规则
两个规则，一个放行ICMP（规则名字ICMP），一个拒绝所有TCP（规则名字SSH）
11.2.创建Policy
创建policy，关联规则
11.3.流量特征组
创建流量特征组，即SC的源目
11.4.创建防火墙，
创建防火墙绑定Policy和东西向的VFW资源（VFW资源是在租户下面创建的）
11.5.创建服务链
类型选择PBRFirewall，服务实例就是上一步创建的防火墙
11.6.测试后看统计信息
11.7.相关设备配置
11.7.1.S ervice leaf配置
Service-leaf节点
配置（包括SC配置）.l
11.7.2.东西向VFW配置
SC-FW.log
11.7.3.L eaf节点SC相关配置
leaf节点_控制器下
发SC相关配置.txt。
