Cisco DNA技术学习报告

1、Cisco技术SDN技术风靡全球，大佬们都想搞出一番噱头，攀上这高大上的技术，也好给客户吹吹火车。一直号称网络设备奠基石的Cisco针对企业网，推出一款爆品技术：DNA（数字化网络架构，DigitalNetworkArchitecture）。主要的技术元素：数字化的理念，自动化的部署，安全性的防御。1.DNA简述Cisco推出的这款产品主要目的是释放IT管理人员的双手，解决掉复杂的部署和策略安全等问题。主打降成本运营，简单化部署和分支业务快速上线，号称可以减少网络部署和维护时间75%。Cisco从数据分析，中小企业和服务产商的网络运营，75%的时间花费在策略安全配置和新设备加入的等。白Auto

2、mationAnalyticsAtastrattisn&PolleyCcntrelfromCeretoEdge白AutomationAnalyticsAtastrattisn&PolleyCcntrelfromCeretoEdgeStructuredC&nt&jctajalinslahrsOperaIStandards-BasedProgrammability&VirtualizationPi曾用lea，&VlhUH)Wrestructure|g及Hutlhg|SegmentrtlomClaudEnabledNetworkEnabledApplicationsClaborailon|Mobil

3、ity|kT|SecurityOpenAPIsIDevelopersEnvironmentSwitchesCiscoPlugandPlayMobileAppDeJiversbootstrapcanfiguration,andchecksstatusSwitchesCiscoPlugandPlayMobileAppDeJiversbootstrapcanfiguration,andchecksstatus.troubleshoozsPlugandPlayapplicationtogetitsconfigurazianandimaaeAccessPoints自动化部分就是APIC-EM控制器实现的

4、。（背景待继续补充）2PNP(PlugandPlay)PNP，即插即用功能主要解决部署复杂、过程漫长、断网断电风险和成本高等问题。实现简单化、自动化部署，必须与APCI-EM一起部署使用的。CiscoNeiworlcPlugandPlayapplicatianonAPIC-aiCentralcontrollernnanagesprojects,devites,andtheconnguradonsa-idGSimagesterdevicedeployment.PlugandPJavProtacal:Protocolbetwsentheagentandcontra11srlessganopensc

5、hemaoerHTTPS.PlugandPlayConnectThiscIolfcIserviceEllowsnEtwcrkdevicestodiscoverthelocstionoftheAPIC-EMtontroiler.主要的组件说明：APIC-EM：思科应用策略基础架构控制器一企业模块，专门用于企业网的SDN控制器，在PNP功能中，用于管理设备，升级设备，导入设备配置等功能；PNP代理：运行在思科设备上的代理程序，用于设备安全性接入，与思科PNP服务器通信，让新增设备能够无缝嵌入到环境中；PNP手机APP程序：在手机上安装思科PNPAPP程序，APIC-EM可以通过手机3G/4G信号与

6、手机建立通信，手机通过物理串行接口连接新增设备，达到APIC-EM设置新增设备的配置和规则；PNP协议：是代理与控制器之间的https通信协议；PNP连接：如果DHCP或DNS方法不可用，则可以使用自动PNP服务器发现的可选云组件。PNP服务器是APIC-EM中思科网络即插即用应用程序的后端部分。Cisco网络设备通过与Cisco即插即用连接云服务联系，以获取为您的组织定义的适当PNP服务器的IP地址。远程部署设备用PNP功能无非就两个步骤：识别设备和配置设备。PN代理新增设备的发现识别，主要是通过PNP代理实现，发现的主要流程:启动设备的PNP代理；PNP对新增网络设备的识别部署;2.1.1

7、启动2.1.1启动PNP代理第一种是无配置启动：新设备在没有配置文件情况下启动，通电时就会自动触发PNP代理程序，用于发下PNP服务器的IP地址。采用的是vlan1作为三层口获取IP地址，同时第二种是CLI配置启动：管理员可以通过CLI配置启动PNP代理。FactoryStatewith第二种是CLI配置启动：管理员可以通过CLI配置启动PNP代理。FactoryStatewithrunningserverllknownrunningwithnoPnPagentPnPagentgtanabut版幅togmtseiverIPaddressCLIconfiguredonthedevicewitht

8、heer(ErIPaddressPNP发现机制PNP代理发现阶段是为了获取PNP服务器IP地址，用于网络设备的部署和管理，主要通过以下几种机制实现的：1、DHCP发现PNP2、DHCPsnooping发现PNP3、通过DNS发现PNP4、通过二、三层设备发现PNP5、通过PCorphone发现PNP1、DHCP发现机制PNP代理启动DHCP发现协议，从DHCP服务器获取设备所需的IP配置；DHCP服务器在选项60中配置字符串“ciscopnp”，使用特定选项43插入供应商信息，将pnp服务器的IP地址或主机名发给请求设备，携带上分配的IP地址；请求设备接收到DHCP响应时，从43选项中提取PN

9、P服务器信息和分配的IP地址，PNP代理就可以与PNP服务器进行通信。这里的PNP服务器其实就是我们前面提到的APIC-EM控制器。Newdeviceispoweredon.Devi&estartsDHCPdiscovery色）DHCPserverrespondswithPnPserverIPInOption43alongwrthdevicePNewdevicesestablishesconnectstoPnPserver2、DHCPSNOOPING发现机制这种方式主要解决无法支持特定供应商43选项而实现，与第一种方案主要的区别点是在核心设备中开启snooping,侦听PNP代理的DHCP消息

10、是否来之cisco设备，从而修订43选项增加附属消息，剩余的都与上一种方式一致。3、DNS发现机制当客户无法做到或者不愿意让核心设备做DHCPsnooping功能，PNP代理将退回到DNS查找方法。PNP代理从客户网络中获取到域名，并构建完全限定域名（FQDN）。PnP代理使用预设的部署服务器名称和DHCP响应的部署名称构建以下FQDN。然后，代理程序将查找本地名称服务器，并尝试解析上述FQDN的IP地址。DHCPServerPnPServerDHCPServerPnPServerQ*Newdeviceispoweredon.DevicestartsDHCPdtscoveryDHCPserve

11、rrespondswrthdev乃白IP,domainnameandDNSserverDevicereadsdomainnameandCreatespredefinedPnPs&rvername()andresotvesforIPaddressNewdevicesestablishesconnectstoPnPserver4、其他设备PNP代理发现在没有DHCP或者DNS服务器的情况下，发现邻接网络中已经启动了PNP代理设备，可以将邻接设备充当PNP协议辅助的服务器，PNPNAPP（PNP邻居辅助配置协议）。NAPP服务器是PNP发现阶段的一个功能，在DHCPDNS、思科cloud都无法连接到

12、PNP服务器时，将调用此功能。5、PCorPhone发现机制使用移动设备，首先在移动设备上按照个APP软件，添加APIC-EM的URL地址，先于控制器能够连接上，再将另外一段通过连接器与设备通信。此方法一般用于远程分支部署的比较多，需要通过互联网进行升级。需要以下控制台电缆，具体取决于设备是iOS还是Android设备：iOS设备：具有Lightening（8针）连接器的iOS设备的RedparkLightningConsoleCable(L2-RJ45V)或具有旧30针连接器的iOS设备的RedparkConsoleCable(C2-RJ45V)。Android设备：AirCOnSOie蓝牙

13、适配器PNP代理安全机制一旦PNP代理发现PnP服务器，代理就会在传输层安全（TLS）握手中与服务器通信。为了向服务器进行身份验证，代理程序会显示其HTTPS证书。PNP服务器的管理员设置特定部署可接受的设备认证机制。部署服务器将其证书提供给部署代理，以便代理可以对服务器进行身份验证。无论代理是否能够验证服务器证书，代理人都会在后TLS授权交换中与部署服务器配合使用。在此交换中，代理请求服务器呈现其服务器授权令牌。为响应此请求，服务器提供从思科获得的授权令牌。代理验证授权令牌上的签名。如果授权令牌特定于唯一设备标识符（UDI），则代理还确保其UDI列在授权令牌中。在此步骤结束时，在部署代理和服

14、务器之间建立安全通信通道。设备与服务器之间先建立通信，一旦通信完成设备先安装证书，再与服务器发送UDI进行身份确认。如果设备自身有携带签名证书，可以不需要获取证书，直接与服务器进行UDI身份验证。自带签名发现过程：DHCP选项安装证书过程：DHCP43/60选项是供应商特定的标识符，以此自定义格式作为识别和传输关键信息。当然还有其他的身份验证过程，例如移动设备发现过程，是通过移动APP将证件传给设备进行安装的；DNS过程则通过到服务区默认的文件夹阿阿阿口阿阿阿阿口阿阿阿口阿阿阿的中获取的。这些不是我们关注的重点，有兴趣的童鞋可以查看皿皿open加lug-n-Piay皿ent皿figuratio

15、n皿ide皿isco皿s近加eiease皿中的“安全发现过程”这一章节。API-EM与PNPPNP功能中识别设备只是其中一部分，主要的还是如何与APIC-EM一起实现远程升级、配置设备。主要的部署有两种，一是远程部署，例如隔着两个城市的新增网络设备；二是本地网络的部署，有DHCP服务器或DNS发现的场景，一般是校园网或者企业网本地。远程部署：MeTworradminearmanitorinstallstatus.OnsteinstallerAitnmobileappinstgltsand口。we$ondevic&s,triggersdptoym&nt,sciCiscoNetworkPlugan

16、dP：ayapplicationtogeprovisioned.NetworlcadminpreprovisionsdeFtesInCiscoNetworkPlugandPlsyapplication.MeTworradminearmanitorinstallstatus.OnsteinstallerAitnmobileappinstgltsand口。we$ondevic&s,triggersdptoym&nt,sciCiscoNetworkPlugandP：ayapplicationtogeprovisioned.NetworlcadminpreprovisionsdeFtesInCisco

17、NetworkPlugandPlsyapplication.IOptionallyconfigureHTTPJProxyscdevicescan，eac.CiscoAPIC-EMcorcroiir本地部署（服务器的校园网）:国a校同和南Nsd玲icesconaccCiSCQNenwcrkPiuQandPlaytO9琪pfVuf50qKlstepz.trworkadnrinpr&-prcyisionsden/iGesinCiscoNcr.wrkPlugandPim1口口口liMnnstp1：ConfigureCHOPso召取icesCBrrescnGisccAPIOELIcontroller.I

18、nsU.lerin&tsl&cable,ancpcwe*苫cndelcefi.r.tworlcsd.incanremotelyeqEotInQlEWg.*,AdmnAdmin不管是什么部署场景，都在2.1章节中详细描述过PNP与PNP服务器（APIC-EM）的发现过程，使用得什么协议发现的。我们现在看下APIC-EM控制器上如何使用PNP功能。PNP仪表板PNP仪表板可以一目了然查看网络中的数据，包括项目、设备等信息。通过每个饼图查看项目或者设备的详细信息。仪表板包括搜索选项：搜索项目：允许搜多项目列表，并加载项目；搜索设备：允许根据名称、序列号和MAC地址搜多设备。项目ProjectPNP通

19、过常见项目可以轻松创建IWAN站点。项目的资源包括配置文件、image文件和设备ID证书。同时，项目是可以复制的，从而编辑新的项目，达到编辑简单化。；金APlC-EntacprisfiMadult/KsiworicFUgardPLay网|2dm；：；，ImjgtsradonsTcspaDKaklkimpmSenlnPfljBCtNamElfittdwc在PNP界面的导航栏上，选择“Project”，将显示添加项目的对话框，输出新项目名称，配置设备image文件的指定位置URL，为添加设备时，升级设备image备用（升级设备image不是从APIC-EM到设备，而是设备从指定的URL进行下载升级

20、）。添加设备device在“项目”中可以添加设备，需要输入以下信息：设备名称产品ID设备序列号设备MAC地址（仅仅用于接入设备）-不是很明白为什么接入设备需要填MAC地址。1、添加设备后，需要关联到对应的image文件，便于后续判断版本是否一致进行升级；2、选择配置文件或者模板；配置文件是运用在与设备通信后，进行配置刷新。思科有提供模板给管理员，简化操作；（模板可以升级多个设备，主要给新建分支时使用，避免大量创建配置文件）3、设备身份的验证是否运用等一些功能；先在项目中添加设备的信息，后续在网络设备上电后加入到网络，APIC-EM控制器就识别到此设备，从而进行版本、配置的升级。其他主要功能点：

21、上传配置文件：在“配置”的选择中，可以上传配置文件，可预览文件内容，可以删除的配置文件；上传配置模板：在“模板”的选项中，可以上传配置模板，与配置文件类似的操作。上传image文件：在“Image”的选择中，添加各种不同设备的image文件，重新命名，统一管理。在前面讲过，添加设备时需要关联的此image文件；批量导入功能：在“批量导入”选项中，可以导入项目和设备属性的CSV文件，用于批量导入项目和配置设备（特别是升级设备或者配置都丢失的时候特别好用）。同时，思科支持cloud同步设备，需要注册思科账号就是。其他的功能配置，详细见： HYPERLINK /c/en/us/td/docs/sol

22、utions/Enterprise/Plug-and-Play/software/guide/ /c/en/us/td/docs/solutions/Enterprise/Plug-and-Play/software/guide/pnp_apic_em_config_guide/pnp_apic_em_config_guide_chapter_01.html?referring_site=RE&pos=1&page= HYPERLINK /c/en/us/td/docs/solutions/Enterprise/Plug-and-Play/solution/ /c/en/us/td/docs/

23、solutions/Enterprise/Plug-and-Play/solution/guidexml/b_pnp-solution-guide.html#task_2AB93A91FC78409789985933097C5909参考文档：- HYPERLINK http:/www.cisco.eom/c/en/us/td/docs/ios-xml/ios/pnp/configuration/xe-3e/pnp-xe-3e-bo http:/www.cisco.eom/c/en/us/td/docs/ios-xml/ios/pnp/configuration/xe-3e/pnp-xe-3e-

24、book.html?referringsite=RE&pos=2&page= HYPERLINK /c/en/us/td/docs/solutions/Enter /c/en/us/td/docs/solutions/Enterprise/PluH-and-Plav/solution/Huidexml/bpnp-solution-guide.html#concept4A3D8AD59EAE4339B5E7FC7DA73C3594 HYPERLINK http:/www.cisco.eom/c/en/us/td/docs/solutions/Enterprise/Plug-and-Play/so

25、ftware/video/ http:/www.cisco.eom/c/en/us/td/docs/solutions/Enterprise/Plug-and-Play/software/video/cisconetworkplugnplay.html?referringsite=RE&pos=5&page= HYPERLINK /c/en/us/td/ /c/en/us/td/docs/solutions/Enterprise/Plug-and-Play/solution/guidexml/bpnp-solution-guide.html- HYPERLINK /cZen/us/td/doc

26、s/solutions/Enterprise/Plug-and-Play/software/guide/ /cZen/us/td/docs/solutions/Enterprise/Plug-and-Play/software/guide/pnpapicemconfigguide/pnpapicemconfigguidechapter01.html?referringsite=RE&pos=1&page=http:/c/en/us/td/docs/solutions/Enterprise/Plugand-Play/solution/guidexml/bpnp-solution-guide.ht

27、ml HYPERLINK /cZen/us/td/docs/solutions/Enterprise/Plug-and-Play/solution/guidex /cZen/us/td/docs/solutions/Enterprise/Plug-and-Play/solution/guidexml7bpnp-solution-guide.html3SD-Access(SoftwareDefineAccess)S-Access功能主要实现功能如图所示：DNA控制器即企业SDN控制器提供GUI管理与抽象认证服务：外部认证系统，动态终端到组的映射与策略定义分析引擎：外部数据收集，终端到应用流监控与

28、服务状态监控。3.1管理界面管理地图地域可以是：区域楼栋区域分为：区域1区域2楼栋楼层添加新的楼层到楼栋并且更新地图定义楼层属性-边界，区域以及障碍物中:阿|FlM-irpIfin7Ciriri口avWbfimThickWail2/iewDirtiftnSiieS.Afqki7War*口口目口FfoorUlonirFiaiimd:rstVrJjidiEnasdnnniiei1(jfnimnoi/LjiiilmQMe楼层的AP位置标注区域改变时自动引出配置更新AAA,DHCP,DNS,NTP,服务器配置管理收集器例如：Syslog,Netflow&Trap接收器在地域/区域/楼栋所有属性被继承以

29、及重写0IPAddwaSharadSacracCiSM-COffllPfwntFn.i密码配置符合标准Norfri%&与由门uominiN$nw0IPAddwaSharadSacracCiSM-COffllPfwntFn.i密码配置符合标准Norfri%&与由门uominiN$nwOdcStlonalMlGP设备证书：管理设备证书(CLI),SNMP读写证书以及Https(s)证书在地域/区域/楼栋所有属性被继承以及重写将定义在将定义在Infoblox中的IP池拉至UDNACenter里EKiOssjUSRsgionEKiOssjUSRsgion/dmnLdt|比陋1bEMWr闻EREdtIg

30、atSWPCrederdislsCKBUMfli1巾AuhPrtvscyIEHpglnnAdmin3mtw3号烟选5Fdt|DaImaHTTpMCredemlalsNomaUawhbmnLGRegtriJuimti匈Edt|DeteieIP地址管理本地管理内部IP地址池管理存储与查看IP池状态在Parent/Global级别下定义通用IP池从Parent池分配地域级别池可用IP池类型：通用，LAN,管理，服务，WANInfoblox集成在DNACenter里定义Global级别的IP池并推送到Infoblox里软件镜像管理可视化软件镜像，对于给定的设备类别包含：所有镜像镜像版本号使用一个特定版

31、本镜像的设备数镜像仓库集中存储软件镜像，VNF镜像以及网络容器镜像；DMAcemer自动下载,部署fihirFImiCDrGlrnage/5MU与更新软骄竞像FnmiiIrangHMaimIlKlnoilimgnniJcinid岛.亡hiviJlfRi(YHU以ngwImlid岛.亡hiviJlfRi(YHU以ngwIml、-UhkMftHeQiH.DvV1fiKHTUDiQ0卦鼻咽匚总国仁时祈航ER9Q-JIM-FcmSfiUN*pqaruiaEkj/pa1*CMoENpTEmceM廿rr卜配猱ifGMiuMMBLCLUlii5klMcmu虫O5CUUiufilpulAIR-GT5S30*f

32、l-FY-r.4.iK.ai3r44unirijHU.BLD_S,1iBg_TlffiOB|0与huv*n，抵方d6nm管理软件镜像SoftwareMaintenanceUpgrade(SMU)软件维护升级从以下地址载入镜像：CURL(http/ftp)其他网络设备远程文件服务器本地文件服务器来分发软件映射到区域级别的的文件服务器ImportImage/SMUasrlDOix-unim电力唔刀LD_V1&6_THR01TLE_LATEST_20170?1B_081032_V166_O_233,SSA.blnEnterURLtocolloctimagehft#orfipMarkGolden?曲力

33、RTTOJTingt*wsM即日麻口片丁修叫3CW*壮犍匕。EEwMf即rfthr5Wn丹用CloseImport软件维护升级在DNA-Center中的SMU详情设备影响-启动/暂停设备系列：每个设备系列U（包括路由器，交换机和WLC）一个GoldenImage设备角色：在同一系列中的设备根据角色分类，比如CAT3850作为一个接入交换机还是分布式交换机地域映射：地域层次提供goldenimage重写，比如美洲人使用V16.1版本还是亚太地区使用V3.8版本。不符合GoldenImage的设备PiSIqPnsltiniInvefilDiy(9J口匕行一感，例居QmtwDcsigr*3MM.迎兰

34、tonIPAJniW.IIA471时不符合GoldenImage的设备PiSIqPnsltiniInvefilDiy(9J口匕行一感，例居QmtwDcsigr*3MM.迎兰tonIPAJniW.IIA471时WIJR-raii内置适应生检迎r自动标记费备ms9“IDIftiW.TDKCCli!MSHftewHS-IB口3痴Em使用DNACenter的SWIM/SMU工作流1.选择需要更新镜像/SMU的设备DNACenterDNACenter的无线配置工作流程2.自动预检查RAM&Flash,并且如果预检查失败就中止DNACecwr曲的用.必蜒DNACecwr曲的用.必蜒nInwrrlnry(f

35、l)Ura554QneclDmncesTargetInageTargtVarsItMiTM琳HE酎SumW3A110.1.CCMiraWQ.524MB,77MB4.3.升级过程中的详细状态信息，SMU激活前后检查带详细日志信息-CPU,硬盘空间，路由汇总，在镜像升级或前后检查失败时，提供失败原因并回溯。imageuagrzcietari$r440Q-univrsalkg,BLDl的-THROTTLEjUfftSTZO170E1ajBIT56(LZ33,SSA.m力：Jun21201705:49:31Oh：25m:3ZsSuccessfulaDistributeOperation.SlwScri

36、ptsDistrbudcnof:rraoe：isr440O-universaIkS.BLD.VI66.THROTTLE_LATEST_20170&1.061032_V1S_6_0_233.5SA,binandevice:IQ.13,249.33completedsuccessfully.ActivateOperation/ActivartiDnofinage:sr44OC-univarsaIk9,BLD_V166_THROTTLE_LATEST_20170fifB_0B1O32_V1fi_6_0_233SSA.binondevice10194,249.33compleiedsuccessful

37、lyDistributeOperationdShowScriptsDiiitributicfi口.usage.isr440O-universaIk9.2017-06-19_10.C4_eoaDcuts.1,CSCvg73517.SSA.smu.bircriacr/ice:3complslodsuccessfjlly.DistributeOperation*/She性ScriptsDistributionofmace：ieM400-umversalk9.2017-06-19_10,C6_eoapcbiB.3.C5G20.55dsmuu】dej.eo:W1042dg33comntetedsuccp

38、ssfjlySMUActiuatEOperation.H汨口Strip怛SMUArtivatinnofimageisr44OO-universaIk9,2017-06-19_10,C4_&p3pcts.1C5CV&73517,35Asmu5ron.W104.249.33comp3eienhiOrwwftAlpliaLEVEL白F百目H.HTYPEN9WFA2tNILHFHTbPENMe-scsecure：MoresecureMe-scsecure：MoresecureLessrsecure:Pnqvidg-5追higherluvqlPnqvidg-5追higherluvqlgFswurity3

39、ngEAP住1口2ikloSKithenbcaleu1lxnzereworkijfierswish启心in&l己RADIUSscrvnr1中不如5gx?dcocunilyij5ing追qr(PSK)ioeuth&iriticateireiesagrtnecb力nsPnqviclQ导nococunly无线接口配置，映射动态接口到VLAN。全域确定一次配置，它的叶节点与地域会自动继承配置。川i“|mCISC口DNAC川i“|mCISC口DNAC岳ntaDs5ignPcilicvProvisioriadminImEffaces1AddWLANIDWLANIDSfa?wni)Ig1#1RF配置：开箱即

40、用的RF配置，可以为2.4与5Ghz客户端，数据速率定制DCA频道网络配置基于意图的楼栋绘制包括：路由器与WLC的标准化配置只需要创建与绘制一次就能给多个地域使用可以是一个全分支办公室或独立设备的蓝图可以根据网络中设备的角色或位置提供标准配置。维护网络的绘制到部署的网络单元的映射网络配置文件的版本管理来跟踪变化。公司办公室远程分支办公iTffmQEgjfIIAccessrouterMlan步骤如下：1.Fabric/NonFabric选择，本地与集中交换，一个单独的网络配置可以关联到多个地域来达到配置标准化。比*DNACenterDesignPnlcyFYmisranadiriiiEdIJet

41、rlcPmfileCancelmeMcfre11vrelessSSIDAdriS：iDT,pfl5511nTriflte5Mr，m咐AmIanAphaQLuaMliVJVjOukimimefface2.管理WLC:使用CDP/IP发现WLC,使用SNMP&CLI证书关联WLC,查看设备清单的详细信息。嘿比,DN4Centercrulc#Inuanti3y网rwh+ArtJDcwc氏*卜wnlWWE9GM事题tWil!9ML上心明3海4.11QI.i1-Jfl22.W谓W5&idSCM2fcHi将WLC分配给地域以上步骤配置完，会自动进行如下配置。Global设置包括AAA配置WLAN创建包括创建SSID与动态接口创建CgtitrollrcI5COMOWITDR帆期1CWMTRM-tERWNEISE