智简园区自动化技术白皮书

1、华为智简园区自动化技术白皮书华为智简园区自动化技术白皮书摘要摘要本文主要介绍华为园区解决方案的自动化技术。华为智简园区自动化技术白皮书目录目录 HYPERLINK l _bookmark0 摘要ii HYPERLINK l _bookmark1 概述1 HYPERLINK l _bookmark2 产生背景1 HYPERLINK l _bookmark3 传统部署流程1 HYPERLINK l _bookmark4 解决方案4 HYPERLINK l _bookmark5 基于VXLAN 架构的智简园区自动化方案4 HYPERLINK l _bookmark6 VXLAN 架构智简园区自动化部

2、署方案4 HYPERLINK l _bookmark7 Underlay 网络原理4 HYPERLINK l _bookmark8 Overlay 网络原理-数据平面4 HYPERLINK l _bookmark9 VXLAN 简介4 HYPERLINK l _bookmark11 VXLAN 关键概念5 HYPERLINK l _bookmark12 数据报文入VXLAN7 HYPERLINK l _bookmark13 VXLAN 三层网关部署7 HYPERLINK l _bookmark14 无线漫游9 HYPERLINK l _bookmark15 风暴抑制10 HYPERLINK l

3、 _bookmark16 Overlay 网络原理-控制平面10 HYPERLINK l _bookmark17 BGP-EVPN10 HYPERLINK l _bookmark18 Overlay 网络原理-业务平面11 HYPERLINK l _bookmark19 业务随行11 HYPERLINK l _bookmark20 策略联动12 HYPERLINK l _bookmark21 VXLAN 架构智简园区自动化原理14 HYPERLINK l _bookmark22 Underlay 自动化14 HYPERLINK l _bookmark23 Overlay 自动化14 HYPER

4、LINK l _bookmark24 策略自动化15 HYPERLINK l _bookmark25 MSP 自建云部署场景16 HYPERLINK l _bookmark26 方案简介16 HYPERLINK l _bookmark27 方案原理18 HYPERLINK l _bookmark28 组件说明18 HYPERLINK l _bookmark29 华为公有云部署场景或MSP 自建云部署场景中组件角色介绍18 HYPERLINK l _bookmark30 企业自建私有云场景中组件角色介绍19 HYPERLINK l _bookmark31 工作流程20 HYPERLINK l _

5、bookmark32 自动部署方案的工作流程20 HYPERLINK l _bookmark33 无法访问注册查询中心的工作流程22 HYPERLINK l _bookmark34 设备替换的工作流程23 HYPERLINK l _bookmark35 协议报文说明24 HYPERLINK l _bookmark36 WAN 侧自动化：24 HYPERLINK l _bookmark37 方案简介24 HYPERLINK l _bookmark38 WAN 出口设备的开局自动化：24 HYPERLINK l _bookmark39 WAN 侧 overlay 自动化25 HYPERLINK l

6、 _bookmark40 站点互访业务拓扑设计：25 HYPERLINK l _bookmark41 VPN 设计30 HYPERLINK l _bookmark42 方案优势32 HYPERLINK l _bookmark43 华为智简园区自动化解决方案优势32 HYPERLINK l _bookmark44 VXLAN 架构智简园区自动化解决方案32 HYPERLINK l _bookmark45 MSP 自建云解决方案优势33 HYPERLINK l _bookmark46 WAN 侧自动化方案优势331 概述华为智简园区自动化技术白皮书 1 概 述产生背景随着网络技术的飞速发展，企业网

7、络规模也在不断扩大，大中企业客户需要管理和维护少则几百台多则上千台的设备，消耗在前期规划和部署阶段的工作，如设备初始安装与配置、设备升级的时间占到整个网络管理运维周期的三分之一甚至更长的时间，而且， 这些工作中很大部分都是简单且重复的劳动。因此，客户对简化网络设备的安装、部署期管理及后期的业务调整，设备软件升级，进而提升效率的需求越来越迫切。而对于小型企业来说没有能力配置专门的网络运维队伍或企业是由大量小型网络组成的多分支网络，网络地域分散，传统网络运维方式成本太高，希望网络设备即插即用，实现网络业务快速、自动化部署。传统部署流程传统部署流程华为针对此需求也提出了一些设备空配置部署的方案，典型

8、的流程如错误!未找到引用源。所示。图1-1 传统的手抄 MAC/ESN 的自动部署方案管理员使用记事本等工具制作每台交换机的配置，然后上传至文件服务器。工程人员领取设备，进行布放连线，并抄写或者电话通知管理员设备的 ESN/MAC信息和布放位置。管理员记录下设备的ESN/MAC 信息和布放位置，并按照布放位置指定对应的配置文件。工程人员对设备进行现场上电。设备上电后通过 DHCP 协议获取到管理 IP 地址和 Commander 的地址信息。设备通过部署协议和 Commander 交互，并到文件服务器上下载相应的文件。设备使用下载的文件进行上线，完成部署。传统部署流程存在的问题图1-2 传统部

9、署方案的问题和改进上述传统的自动部署方案存在如下一些问题：网络规划设计和软/硬件安装、连线过程分离，需要人工通过MAC/ESN 来关联待部署文件，易出现关联错误，影响效率。逐台进行业务配置，效率低。无法使用同一套硬件/软件自适应注册。必须登录专有网络的管理软件来管理网络。2 解决方案华为智简园区自动化技术白皮书 2 解决方案本文是对华为智简园区解决方案网络自动化技术解决方案进行描述，包含 underlay 自动化，overlay 自动化和 WAN 侧自动化。基于 VXLAN 架构的智简园区自动化方案VXLAN 架构智简园区自动化部署方案Underlay 网络原理Underlay 网络，acce

10、ss 节点为二层设备，对流量做二层转发。Access 节点可以为堆叠，或者环网。但是 Access 到 Edge 必须是树形组网，因一个 Access 节点只能到一个 Edge 做认证。Underlay 其他节点都是三层设备，对流量做三层转发，Underlay 的路由可以部署OSPF/ISIS/BGP 等。Edge 设备跟 Border 设备间可以用 ECMP 冗余组网，提高三层网络可靠性及增加通道带宽。Overlay 网络原理-数据平面VXLAN 简介Overlay 的数据平面采用 VXLAN 封装，其报文格式如 HYPERLINK l _bookmark10 图 2-1 所示。图2-1 V

11、XLAN 封装结构VXLAN 关键概念图2-2 VXLAN 网络架构VNI类似于传统网络中的 VLAN ID，用于区分 VXLAN 段，不同 VXLAN 段的租户不能直接进行二层通信。一个租户可以有一个或多个 VNI，VNI 由 24 比特组成，支持多达 16M 的租户。VTEP（VXLAN Tunnel Endpoints）VXLAN 隧道端点，VTEP 可以对 VXLAN 报文进行封装和解封装，VXLAN 报文中源 IP 地址为源端 VTEP 的 IP 地址，目的IP 地址为目的端 VTEP 的 IP 地址。一对 VTEP 地址就对应着一条 VXLAN 隧道。NVE（Network Vir

12、tualization Edge）NVE 是实现网络虚拟化功能的网络实体。报文经过 NVE 封装转换后，NVE 间就可基于三层基础网络建立二层虚拟化网络。NVE 可以部署在交换机上，也可以部署在服务器的虚拟交换机上，本文按部署在交换机上描述。BD（Bridge Domain）BD 是 VXLAN 网络中转发数据报文的二层广播域。在 VXLAN 网络中，将 VNI 以 1:1 方式映射到广播域 BD，BD 成为 VXLAN 网络转发数据报文的实体。VBDIF 接口基于 BD 创建的三层逻辑接口。通过 VBDIF 接口配置IP 地址可实现不同网段的 VXLAN间，及 VXLAN 和非 VXLAN

13、的通信，也可实现二层网络接入三层网络。VAP（Virtual Access Point）虚拟接入点 VAP，即 VXLAN 业务接入点，可以是二层子接口或 VLAN。当接入节点是二层子接口时，通过在二层子接口上配置流封装类型实现不同的接口接入不同的数据报文，将二层子接口关联广播域 BD 后，可实现数据报文通过 BD 转发。当业务接入点是 VLAN 时，需要将 VLAN 绑定到广播域 BD，也可以实现数据报文通过BD 转发。网关（Gateway）和 VLAN 类似，不同 VNI 之间的 VXLAN，及 VXLAN 和非 VXLAN 之间不能直接相互通信。为了使 VXLAN 之间，以及 VXLAN

14、 和非 VXLAN 之间能够进行通信，VXLAN 引入了VXLAN 网关。VXLAN 网关分为：二层网关：用于同一 VXLAN 虚拟网络的子网内通信。三层网关：用于 VXLAN 虚拟网络的跨子网通信以及外部网络的访问。数据报文入 VXLAN在 VXLAN 架构智简园区方案中，有线流量在 Edge 节点和 Border 节点进出 VXLAN 隧道。无线流量上行在 AP 封装 CAPWAP 隧道后到随板 AC（Edge 节点）上，随板 AC 剥CAPWAP 封装后入 VXLAN 隧道。有线无线在同一个网络内。图2-3 VXLAN 架构智简园区 VXLAN 封装数据报文是根据 VLAN 入 VXLA

15、N 隧道的，VLAN 可以是动态授权，也可以静态配置到接入交换机端口上。VXLAN 三层网关部署VXLAN 三层网关按部署方式的不同，可以分为集中式网关和分布式网关。集中式网关图2-4 VXLAN 集中式三层网关集中式网关场景下，所有跨子网的流量都要到三层网关上转发，转发路径不是最优，网关流量处理压力大。分布式网关图2-5 VXLAN 分布式三层分布式网关场景下，同一个 edge 节点既做二层网关，也做三层网关。同一个 Edge 节点上不同子网流量通信直接在Edge 上转发，转发路径优。分布式网关场景下，各Edge 节点可以提供相同的网关 MAC 地址和 IP 地址，用户位置移动后，网关 IP

16、 和 MAC 不变，用户不感知实际接入网关的位置变化。无线漫游传统的三层无线漫游，用户从 HomeAC（HAC）漫游到邻居 AC（FAC）后，流量会通过CAPWAP 迂回到HAC上处理。在VXLAN 架构智简园区方案中，流量不需要迂回到HAC， 其原理如下：随板 AC 间组成 AC 组，AC 组提供 L3 分布式网关，用户在 HAC（AC1）上线。HAC 下发相关表项，进行用户授权，并同步用户信息给 FAC（AC2）。用户漫游到FAC，IP 地址不变。FAC 下发相关表项、授权，并通知 HAC 用户下线。漫游后的 AP 发布免费 ARP，触发用户路由更新。用户从 FAC 访问网络。图2-6 V

17、XLAN 架构智简园区无线用户跨 AC 漫游风暴抑制网络正常运行时，需要泛洪的 BUM 流量实际较少（主要是广播 ARP）。可在交换机设备的接入端口部署风暴抑制，减少异常情况下 VXLAN 域内大量泛洪对网络内主机性能的影响。Overlay 网络原理-控制平面BGP-EVPNEVPN（Ethernet Virtual Private Network）是一种用于二层网络互联的 VPN 技术。EVPN 技术采用类似于 BGP/MPLS IP VPN 的机制，在 BGP 协议的基础上定义了一种新的 NLR（I Network Layer Reachability Information，网络层可达信

18、息）即 EVPN NLRI，EVPN NLRI 定义了几种新的 BGP EVPN 路由类型，用于处在二层网络的不同站点之间的 MAC 地址学习和发布等。在 VXLAN 架构智简园区网络中，BGP-EVPN 作为 VXLAN 的控制平面，用到的路由类型包括：Inclusive Multicast该类型路由在 VXLAN 控制平面中主要用于 VTEP 的自动发现和 VXLAN 隧道的动态建立。作为 BGP EVPN 对等体的 VTEP，通过 Inclusive Multicast 路由互相传递二层 VNI 和 VTEP IP 地址信息。如果对端 VTEP IP 地址是三层路由可达的，则建立一条到对

19、端的 VXLAN 隧道。同时， 如果对端 VNI 与本端相同，则创建一个头端复制表，用于后续 BUM 报文转发。MAC/IP 路由MAC/IP 路由可以同时携带主机 MAC 地址+主机 IP 地址，因此该路由可以用来在 VTEP 之间传递主机 ARP 表项，实现主机 ARP 通告，此时的 MAC/IP 路由也称为 ARP 类型路由。MAC/IP 路由还用于主机 IP 路由通告。在分布式网关场景中，要实现跨子网主机的三层互访，两端 VTEP（作为三层网关）需要互相学习主机 IP 路由。作为 BGP EVPN 对等体的 VTEP 之间通过交换MAC/IP 路由，可以相互通告已经获取到的主机 IP

20、路由。IP 前缀路由IP 前缀路由可以实现 VXLAN 网络中的主机访问外部网络。VTEP 通过该类型路由发布和接收网段路由，动态创建三层 VXLAN 隧道。Overlay 网络原理-业务平面业务随行在 VXLAN 网络中，对业务随行方案做了增强，安全组在设备间通过 VXLAN 报文头传递，不需要通过控制面同步。源安全组嵌入在 VXLAN 头部（draft-smith-VXLAN-group-policy-04），其中 G bit 位置为 1 时，Group Policy ID 即为安全组 ID。图2-7 VXLAN Group Policy 封装头图2-8 VXLAN 网络业务随行VXLAN

21、 网络业务随行执行过程：终端通过MAC/802.1x/portal 认证接入网络，IAE 授权终端安全组。终端访问目的主机，在认证设备上入 VXLAN 隧道，VXLAN 隧道头中“Group Policy ID”以授权的安全组ID 封装，同时“G”bit 置 1。VXLAN 封装的报文到对端 VTEP 后，取出 Group Policy ID（源）。对端 VTEP 剥 VXLAN 封装后，查目的主机对应的 Group ID，查找组策略，根据匹配规则的动作决定报文是否丢弃。策略联动当部署 VxLAN 到汇聚或者集中式 VxLAN 的时候，Edge/Border 节点（策略联动中作为控制设备）和

22、Access 节点（策略联动中作为接入设备）间需要配置策略联动，用户认证点在 Edge/Border。图2-9 策略联动流程接入设备（access）和控制设备（edge）间建立 CAPWAP 隧道，用于策略联动控制报文。接入设备探测到有新用户接入，建立用户关联表，保存用户与接入端口等基本信息。接入设备向控制设备发送用户关联请求消息。控制设备建立用户关联表，保存用户与接入设备的对应关系，并向接入设备发送用户关联回应消息用于通知接入设备关联成功。用户向控制设备发起认证，接入设备转发用户和控制设备之间的认证报文。控制设备删除用户关联表项，在认证成功后，控制设备上生成完整的用户表项，同时向接入设备发送

23、用户授权请求通知并下发用户的网络访问策略。接入设备保存用户关联表项，打开指定的用户网络访问权限并向控制设备发送用户授权请求回应消息。用户访问网络资源，在 edge 设备上根据 VLAN 进入虚拟网络，封装 VXLAN 报文。VXLAN 架构智简园区自动化原理Underlay 自动化Underlay 自动化通过AC3.0 部署零配置开局实现.支持先配置后安装和先安装后配置两种方式：先配置后安装：设备录入:Excel 导入或扫码录入；出口/核心设备上电，配置出口/核心设备，将核心设备注册到控制器；在控制器界面规划汇聚/接入的拓扑；在控制器指定汇聚/接入使用的资源：IP 地址池、核心设备、PNP V

24、LAN；安装汇聚/接入/AP 设备，并上电，设备自动到控制器注册并导入配置运行； 先安装后配置：安装核心/汇聚/接入/AP 设备并连线。在控制器界面录入设备：Excel 导入或 APP 扫码录入出口/核心设备上电，配置出口/核心设备，将核心设备注册到控制器；在控制器配置 eth-trunk。在控制器指定资源：IP 地址池、核心设备、PNP VLAN；设备按配置运行Overlay 自动化AC-Campus 作为 overlay 自动化功能的核心，实现将用户业务语言到网络具体配置的自动翻译与下发。首先，需要在控制器上创建站点并加入设备，为后续业务编排做准备。预留全局资源，包括 VLAN 和子网，后

25、续 VN 网络所用的 VLAN 和子网从配置的全局资源中分配。Fabric 网络的管理。首先，创建 Fabric，通常一个站点创建一个 Fabric，Fabric 中加入设备并标识角色（Border/edge/access），如果是 border 或 edge，需要指定环回口地址，用于 VTEP 地址。其次，配置策略联动，指定对应的控制设备和接入设备及通信所用 IP 地址。再次，指定Fabric 跟外部网关的连接，用于虚拟网络跟外部的通信。最后，指定DHCP server 地址，在 edge 上做DHCP relay。VN 网络的管理。首先创建 VN 网络。接着配置 VN 所关联的子网。最后指

26、定哪些端口可以接入该 VN 网络及这些端口认证的方式。策略自动化策略自动化的核心是 AC1.0，AC1.0 成安全组定义，安全组策略的定义与下发，用户认证后安全组授权。图2-10 5W1H 情景感知的安全组上下文定义图2-11 策略自动化过程MSP 自建云部署场景方案简介本章节仅针对 MSP 自建云部署方案中自动部署功能进行描述。目前华为在全球部署了注册查询中心，由华为负责运营，提供全球发货设备的统一查询， 可随需要尽快跨区域部署。所有云盒出厂设备预置注册查询中心域名，上电后先向华为注册查询中心查询设备的工作模式和实际归属的云管平台信息。客户将设备ESN 导入云管理平台后，云管理平台会立即将

27、ESN 和归属域名参数同步至注册查询中心，供设备查询归属平台使用。注册查询中心与设备，以及云管理平台都是建立在双向认证的 Http2.0 查询通道基础上交互的，降低了安全风险。图2-12 方案视图该方案主要前置功能：云管理平台支持设备的离线业务配置。云管理平台 已与注册查询中心互通。该方案聚焦实现如下基本功能：设备注册查询纳管所有云化设备出厂状态下可自动发起注册查询并纳管至云管理平台。故障设备替换在设备出现硬件故障不能够通过软件方式进行修复的时候，需要替换故障设备。通过 WEB 页面或手机 APP 进行扫码替换实现故障设备的替换。方案原理组件说明图2-13 自动部署方案逻辑图华为公有云部署场景

28、或 MSP 自建云部署场景中组件角色介绍云管理平台-AC3.0云管理平台已导入 CA 证书，云管理平台与云化设备进行双向认证。创建租户账号，并加载和绑定 License，控制云化设备的使用期限。使用租户账号导入设备 ESN 信息，规划租户名下管理的云化设备。基于网络规划创建设备组，基于设备组进行网络业务配置。可针对导入云管理平台的ESN 是否同步注册查询中心进行控制。注册查询中心注册中心已导入 CA 证书，以便云管理平台、云化设备与注册中心进行双向认证。接收云管理平台的ESN 和纳管信息的同步。处理设备注册查询请求。云化设备设备在产线已注入注册查询中心域名。设备在产线已导入 CA 证书，云化设

29、备与云管理平台进行双向认证。设备支持工作模式切换。设备支持发起纳管请求。设备支持纳管后的云管理平台业务下发。在缺省配置下默认会向注册查询中心查询归属参数并纳管。目前云化设备出厂默认是传统模式。移动 APP扫码录入设备信息。支持对 AP 设备进行工作模式、纳管参数的下发。支持设备替换。支持开局验收。企业自建私有云场景中组件角色介绍云管理平台云管理平台创建后，由系统管理员导入 CA 证书，以便云管理平台与云化设备进行双向认证。创建租户账号，并加载和绑定 License，控制云化设备的使用期限。使用租户账号导入设备 ESN 信息，规划租户名下管理的云化设备。基于网络规划创建设备组，基于设备组进行网络

30、业务配置。云化设备设备支持 DHCP option148 字段解析。设备支持工作模式切换。设备支持发起纳管请求。设备支持纳管后的云管理平台业务下发。目前云化设备出厂默认是传统模式。DHCP 服务器为云化设备提供 DHCP 服务，分配地址。支持通过设置 DHCP 服务器 Option 148 字段，来设置内部云化设备需要切换为云模式的控制信息，及纳管域名/IP/端口。移动 APP扫码录入设备信息。支持对 AP 设备进行工作模式、纳管参数的下发。支持设备扫码替换。支持开局验收。工作流程自动部署方案的工作流程图2-14 自动部署方案工作流程图自动部署交互流程如下：步骤 1 开局前预备工作开局前云管理

31、平台的预备工作：导入云管理平台CA 证书，创建租户并绑定License； 云盒离线业务配置包括：安全域、VLANIF1、DHCP Server、DNS、NAT、SSID 的配置等。云管理平台同步ESN 和纳管参数至注册查询中心。步骤 2 手机 APP 扫码将设备ESN 绑定上传至云管理平台，云管理平台同步ESN 信息至注册查询中心。步骤 3 出口网关云化设备连线上电后，WAN 口DHCP 获取 IP 地址和 DNS 后，设备自动发起注册查询获取纳管域名参数，设备进行云模式切换，并完成纳管域名/端口设置。步骤 4 出口网关云化设备与云管理平台建立纳管通道后，下发业务配置（包括安全域、VLANIF

32、1、DHCP Server、DNS、NAT 等），云化设备保留配置，业务配置生效。步骤 5 手机 APP 扫码将内部设备 ESN 绑定上传至云管理平台，云管理平台同步ESN信息至注册查询中心。步骤 6 内部设备上电，WAN 口DHCP 获取 IP 地址和 DNS 后，设备自动发起注册查询获取纳管域名参数，设备进行云模式切换，并完成纳管域名/端口设置。步骤 7 内部设备与云管理平台建立纳管通道后，下发业务配置（包括 SSID 等），云化设备保留配置，业务配置生效。步骤 8 手机 APP 启动单点验收和漫游验收，并可现场查看报告。步骤 9 云管理平台定期对云化设备进行业务维护，云化设备性能数据会定

33、期上报云管理平台。无法访问注册查询中心的工作流程图2-15 无法访问注册查询中心的工作流程图无法访问注册查询中心交互流程如下： 步骤 1 开局前预备工作。开局前云管理平台的预备工作：导入云管理平台CA 证书，创建租户并绑定License； 云盒离线业务配置，包括 DHCP option148（云模式，纳管域名，端口）的配置等。局点出口 DHCP Server 配置 DHCP Option148 参数（云模式，纳管域名，端口）。步骤 2 手机 APP 扫码将设备ESN 绑定上传至云管理平台。步骤 3 出口网关设备连线完成后，WAN 口通过局点DHCP Sever 获取IP 地址、DNS 和 DH

34、CP Option148 参数，设备进行云模式切换，并完成纳管域名/端口设置。步骤 4 出口网关云化设备与云管理平台建立纳管通道后，下发业务配置（包括DHCP Option148 等），云化设备保留配置，业务配置生效。步骤 5 手机 APP 扫码将内部设备 ESN 绑定上传至云管理平台。步骤 6 内部设备上电，WAN 口通过局点 DHCP Sever 获取 IP 地址、DNS 和DHCP Option148 参数，设备进行云模式切换，并完成纳管域名/端口设置。步骤 7 内部设备与云管理平台建立纳管通道后，下发业务配置（包括 SSID 等），云化设备保留配置，业务配置生效。步骤 8 手机 APP

35、 启动单点验收和漫游验收，并可现场查看报告。步骤 9 云管理平台定期对云化设备进行业务维护，云化设备性能数据会定期上报云管理平台。设备替换的工作流程图2-16 设备替换工作流程图设备替换交互流程如下：替换前工作：故障设备不能够通过软件方式进行修复，需要替换故障设备。故障设备在云管理平台已有业务配置。步骤 1 移动 APP 选择设备组，选择替换设备，完成故障设备ESN 扫描。步骤 2 移动 APP 完成新设备ESN 扫码。步骤 3 云管理平台后台移除故障设备，移入新设备 ESN，并同步 ESN 至注册查询中心。步骤 4 新云化设备连线完成后，WAN 口 DHCP 获取 IP 地址和 DNS 后，

36、设备自动发起注册查询获取纳管域名参数，设备进行云模式切换，并完成纳管域名/端口设置。步骤 5 内部设备与云管理平台建立纳管通道后，下发业务配置（包括 SSID 等），云化设备保留配置，业务配置生效。步骤 6 云管理平台定期对云化设备进行业务维护，云化设备性能数据会定期上报云管理平台。协议报文说明在华为自建或 MSP 自建公有云场景下，自动部署方案采用注册查询报文交互实现云化设备自动部署，注册查询中心与云化设备之间是基于 HTTP2.0 的双向认证安全通道交互的。在企业自建私有云场景下，采用 DHCP Option148 字段实现云化设备的自动部署。使用DHCP Option148 来指定云管理

37、平台的域名或者 IP 地址、端口号、设备工作模式。该Option 选项在 DHCP 服务器上进行配置。华为公有云的域名默认是 device- ，端口号为 10020。MSP 自建公有云的纳管域名和端口号由客户自定义。WAN 侧自动化：方案简介本章节主要描述 WAN 侧自动化方案包含 WAN 出口设备开局自动化与 WAN 链路互联的自动化。WAN 出口设备的开局自动化：传统站点开局方式一般要求专业的 IT 工程师到现场部署，设备分散、在线操作耗时长， 存在误操作风险，初始化配置手工操作，易出错等问题。华为 EVPN 互联方案提供 ZTP（Zero Touch Provisioning）开局方式解

38、决这些问题，支持邮件开局、U 盘开局、DHCP 开局。在开局过程中各角色职责定义如下：网络管理员：主要负责网络的部署规划和维护，配置开局邮件和发送开局邮件。邮件内容中默认包含用于激活开局流程的 URL 链接，建议补充指导开局人员执行开局的操作说明。设备管理员：主要负责对采购的设备进行管理，设备站点和发货设备信息管理，本文也指系统集成商的设备管理员，可以在设备发货前，通过批量开局的工具，对设备完成初始配置的导入。站点开局人员（网络安装/检修工程师）：主要负责在确认邮箱中已经收到开局邮件后，到开局现场，将开局终端接入网关设备，执行邮件开局操作。邮件开局对专业技能零要求，不需要专业的网络技术工程师到

39、现场开局，可以由现场的网络安装/检修工程师担任开局人员的角色完成开局。需要按顺序解决以下几个问题：CPE 的 WAN 接口获取 IP 地址，CPE 获得 SDN 控制器地址，SDN 控制器查找 CPE 位置下发离线配置以及开局人员自检开局是否成功。每个步骤说明如下：步骤 1：CPE 获得 WAN 链路的 IP，当前支持的 WAN 链路接入类型 Ethernet 链路（静态 IP，DHCP，PPPoE）、LTE 链路（APN）等。CPE 获取 WAN 链路IP 的主要方式有：邮件（URL）开局导入U 盘导入DHCP 可自动获取IP（LTE 公网也可以自动获取获取到地址，由于 LTE 流量计费的问

40、题以及企业大部分都是定制的 APN，需要进行 APN 参数配置，因此 CPE 出厂没有开启 LTE 数据）步骤 2：CPE 获得 SDN 控制器的 IP 地址，在 Underlay 网络存在到 SDN 控制器路由可达的链路，CPE 获取 SDN 控制器的 IP 地址（南向公网固定 IP 地址）后向 SDN 控制器发起注册，注册后 SDN 控制器可以管理在线的 CPE。步骤 3：CPE 获取 SDN 控制器的 IP 地址的主要方式有：邮件（URL）开局导入U 盘导入步骤 4：SDN 控制器获得设备的位置，下发离线配置，由于 SDN 控制器支持离线业务设计规划，即在 CPE 上线前进行站点的业务设

41、计，因此在 CPE 上线后，需要能够查找到 CPE 归属哪个站点，然后下发预先设计好的业务，CPE 上线后业务即立即开通了。步骤 5：开局人员检查开局是否成功，CPE 安装，连线，上电完成后，现场开局人员能够通过 CPE 指示灯或 WEB UI 来判断 CPE 是否开局成功，如果连错线需要及时修复。WAN 侧 overlay 自动化Overlay 组网主要是在站点之间构建一张 Overlay 网络，用于承载站点间互访业务，主要涉及到：企业站点互访业务拓扑的设计，包括：Hub-Spoke，Full-Mesh，Partial-Mesh 等。两个站点间 Overlay 隧道编排的设计，根据站点的上行

42、链路个数，以及连接的网络不同可以构建多条 Overlay 隧道。站点互访业务拓扑设计：在规划 EVPN 互联网络时，要根据企业业务及部署模型，选择对应的拓扑模型，以满足企业互联的业务诉求。从总的网络拓扑模型看，可以支持单层和分层网络模型。单层网络模型：单层网络模型也可以叫做扁平网络模型，特点是企业的广域站点之间可以直接互联或者通过一个或者多个中心站点进行互联。中小企业以及站点数量不大（100 个）的大企业，一般都采用单层网络模型组网。按照网络的拓扑进行细分，单层网络进一步又可以划分为 Hub-Spoke、Full-Mesh 和 Partial-Mesh 等方式。Hub-Spoke 拓扑：在 H

43、ub-Spoke 拓扑下，一般由企业总部和数据中心作为 Hub 站点，企业各分支通过WAN 集中访问部署在总部或者 DC 站点的服务器应用；同时，企业的分支之间如果需要互通，也经过 Hub 站点中转，因此所有的分支站点外部访问流量都首先要发送到 Hub 站点。图2-17 图 1 Hub-Spoke 组网Hub-Spoke 拓扑一般适用于主要以分支到总部 Hub 为主要互访业务的企业中，这类企业的应用服务器集中存放在少数的总部站点和 DC 站点服务器中，主要业务流量是分支访问 Hub 站点的流量，而分支之间互访的东西流量较少，比如连锁企业，每个连锁分支主要是南北访问总部/DC 的流量，而连锁门店

44、之间几乎不存在协同工作互访的流量。Hub-Spoke 拓扑组网简单，扩展性较好，能够组建比较大的分支网络，需要注意的是， 随着网络规模的增大，Hub 站点设备的性能面临比较大的挑战，对 Hub 站点设备的转发和控制面性能产生压力。Full-Mesh 拓扑在 Full-Mesh 拓扑下，企业的分支站点之间如果存在业务互访关系，则数据直接交互， 不需要经过中间节点。图2-18 图 1 Full-Mesh 组网Full-Mesh 主要适用于站点规模不多的小企业，或者在分支间需要进行协同工作的大企业中部署。大企业的协同业务，如 VOIP 和视频会议等高价值的统一通信应用，对于网络丢包、时延和抖动等网络

45、性能存在很高的要求，因此这类业务更适宜于分支站点直接进行互访。Partial-Mesh 拓扑：Full-Mesh 拓扑组网简单，业务互访效率高，但是同时组网扩展性一般，一般适用于小于 100 个分支站点网络规模。由于不是所有的分支站点之间都具备 Underlay 的 WAN 网络直接互联，因此 Full-Mesh 组网可以衍生一个特殊的拓扑模型 Partial-Mesh（部分 mesh），Partial-Mesh 可以看做一个特殊的 Full-Mesh 组网，当站点之间存在直接互联的 Underlay 组网时，流量直接互访；否则，两个站点会经过一个共同连接的中转站点（Redirect）进行互访

46、。例如下图中 Branch2 和 Branch4 之间通信需要绕行中转站点 Branch1。图2-19 图 1 Partial-Mesh 组网分层网络模型图2-20 图 1 分层网络模型如果网络的规模比较大，地域分布比较广，跨越多个国家与大洲，扁平的网络就无法适用，其管理复杂度及租用网络开销都会线性的增加。单一扁平的网络模型就很难解决， 这时候就需要用到分层网络模型。分层网络模型可以看做是单层网络模型的叠加，WAN 被划分成多个区域，多个区域又通过集中的骨干区域进行互联，从而实现跨区域、海量站点之间的互访。以某个跨国企业H 为例，可以根据企业管理结构，划分为中国、欧洲、美洲、非洲等区域，每个区

47、域是一个单层网络模型，可以是 Hub-Spoke 或者 Full-Mesh，同时各个区域选择一个或多个站点来作为区域边界站点，各个区域边界站点就构成了区域之间互联的骨干区域，即第一级网络。区域边界站点同时连接二级区域网络，也连接着一级骨干网络。一级普通区域的 WAN 网络的建设一般基于本地的运营商提供的本地公用网络或区域 MPLS， 而一级 WAN 网络由于地域跨度广、性能要求高，一般使用国际或者国内精品的运营商专线，如传输或 MPLS 专线网络来组建，组网的费用也相应较高。企业站点互访业务拓扑设计：用户通过 SDN 控制器界面指定相关站点间的拓扑模式，SDN 控制器根据对应的拓扑模式生成对应

48、的网络模型，转换为 BGP 路由策略下发给 RR。RR 按照控制器下发的路由策略控制不同站点的路由收发，最终实现站点间按照用户规划的拓扑模式进行互访。图2-21 图 1 Overlay 拓扑编排原理Overlay 拓扑基于不同的 VPN 进行构建。通过对各站点的路由收发控制来实现Overlay 拓扑。通过在 RR 上配置路由策略来影响 Site 上的路由学习，RR 上的路由策略由 SDN控制器根据用户配置的拓扑模式自动编排生成。路由策略基于 Site ID 进行匹配，进行路由过滤或者是修改路由下一跳的 Site ID。拓扑组网基于区域构建，不同的区域内的站点可以构建不同的组网模式。Hub-Sp

49、oke 组网：对于 Spoke 站点，接收其他 Spoke 站点路由时，下一跳需要修改为 Hub 站点。Full-Mesh 组网：允许接收所有站点的路由，如果存在 Redirect 站点，需要在所有站点发送的路由里增加 Redirect 站点作为备份下一跳。分层组网：对于区域内非 border 站点接收其他区域站点路由时，修改下一跳 Site ID 为本区域的 border Site。对于区域的 border 站点，接收其他区域的路由时，下一跳指向其他区域的border站点或者是指向区域互联的Hub 站点。VPN 设计EVPN 互联方案通过 VPN 功能实现单租户多部门间的业务隔离。VPN 是

50、 EVPN 互联方案中虚拟隔离网络的简称，每个 VPN 是一个独立的 IP 三层私有网络，多个不同的 VPN 端到端从连接站点的Tunnel 到站点的 CPE 设备，都实现了彼此的逻辑隔离，互相无法直接访问。具体到企业的多个部门隔离，就是针对每个部门分别规划定义一个 VPN。图2-22 图 1 VPN 方案原理从实现角度，VPN 的端到端的隔离体现在站点和 Overlay 隧道 VPN 隔离两个部分。站点上实现VPN 标识的方式通常是采用传统的VRF 方式，每个部门对应创建一个VRF， 并且将该 VPN，即企业相关部门的 LAN 侧接口放入到对应的 VRF 中。由于不同的 VRF 之间的转发表

51、是独立的，互相无法访问，因此就能实现该站点上 VPN 之间的业务隔离。图2-23 图 1 站点内 VPN 方案设计Underlay VPN：CPE 的所有的 WAN 接口，即Transport Port，都各自单独部署在一个独立的 VPN 中， 也可以称之为 Underlay VPN，这样做的目的一个是实现了 CPE 上不同 Underlay 域之间以及 Underlay 域和 Overlay 域之间的隔离，此外还规避了不同的运营商分配 WAN IP 地址可能的发生冲突的问题。同时，CPE 设备向 SDN 控制器进行注册，也是从 Underlay VPN 发起的，因此 Underlay VPN

52、 域需要有通往 SDN 控制器的 IP 地址的缺省或者精确路由，这部分在 CPE 使用 ZTP 开局时会自动配置。管理 VPN：站点的 CPE 设备需要和 RR 设备建立通道，接受 RR 的路由下发，为此，专门在站点CPE 上规划了一个独立的管理 VPN（SDN 控制器自动创建），其中包含了一个 Loopback接口，该接口的 IP 地址在企业 WAN 网络内唯一标识，也是该 CPE 的 Router ID。分支CPE 上电后，为了能够对远端的 RR 进行访问，需要开局阶段在管理 VPN 内预先配置到 RR 的缺省路由或者精确路由。业务 VPN：除了上述两种基础的 VPN，还有业务 VPN，业务 VPN 负责和本地 LAN 侧的相应业务网络联通，同时实现和远端 VPN 的互访。在业务 VPN 里，可以通过 SDN 控制器配置 LAN 侧的多种路由协议，如静态路由、OSPF 和 BGP 等；可以在 LAN 侧部署 VRRP，也可以部署 QoS、应用选路、安全和广域加速等网络增值服务。业务 VPN 可能是多个，根据企业实际需要隔离的业务数量而定。在两个需要进行通信的分支站点之间，建立一条或者多条 EVPN Tunnel， Tunnel 的外层源和目的隧道封装IP 地址分别是源站点 CPE 和目的站点 C