SDN L4-L7服务及业务链设计

培训时间：2025年8月5日培训讲师：XXXSDNL4-L7服务及业务链设计培训课件

课堂规则Open—开放的心态、积极参与、勇敢发问

Close—封闭的环境，不要受外界的干扰，请将手机关机或静音请勿随意走动、交谈感谢您的配合SDNL4-L7服务及业务链设计本文介绍了L4-L7服务的VAS和ServiceChain的概念、价值、组网、DCN-SDN解决方案的实现；针对VAS和ServiceChain，围绕以下内容进行阐述：概念、价值、应用场景、部署、服务发放、转发模型，通过本文可以了解到华为SDN-DCN方案中L4-L7服务的功能及实现原理等。学完本课程后，您将能够：描述VAS基本概念掌握DCN-SDN方案中的VAS描述SFC基本概念掌握DCN-SDN方案中的SFC掌握VAS功能全景VAS概述DCN-SDN方案中的VASSFC概述DCN-SDN方案中的SFCVAS功能全景VAS是什么Value-addedservice，增值服务，简称VAS。VASFWLBVPNNATIPS……VAS能做什么FW安全防护ACL，提供基本的防火过滤；SNAT，私网IP到公网IP的地址转换服务；EIP，VM的弹性IP服务；Qos，流量管理服务；LBSLB，服务器负载分担；GSLB，全局服务负载分担；VPNIPSecVPN，VPN隧道接入，可以提供加密功能；SSLVPN，为地址不固定的用户提供VPN专线接入；WAFWeb应用防护，对web应用提供保护服务；Etc.…………VAS在DCN-SDN解决方案中的位置VAS位置Huawei第三方合作用户云平台或APP可集群的AC控制器第三方控制器L2-L3物理服务器虚拟化平台ESXiKVMHyper-VXEN业务呈现层网络控制层网络层物理网元vSwitchvRouterHuaweiL4-L7物理网元vFWvLB服务器第三方L4-L7物理网元vFWvLBVAS的架构-网络虚拟化场景AC控制器业务PortalL2/L3FabricHuaweiVAS3rdVAS3rd

管理系统3rd业务PortalVAS的架构-云网一体化场景OpenStackL2/L3FabricHuaweiVAS3rdVAS3rd

管理系统3rd业务PortalVAS概述DCN-SDN方案中的VASVAS的场景应用VAS的部署传统VAS服务发放传统VAS流量转发模型SFC概述DCN-SDN方案中的SFCVAS功能全景防火墙服务-内外网互访VPC标示用户/租户为业务划分的一个逻辑组网模型，一个VPC模型组成一个独立的网络安全域，单个租户或业务部署时可根据互访需要规划多个VPC，VPC与外网互访用VPC出口防火墙进行安全访问控制；VPCFWGWsubnetsubnet…ExternalNetFW2FW1FW3远程分支/园区远程用户Internet防火墙服务-VPC间互访VPC标示用户/租户为业务划分的一个逻辑组网模型，一个VPC模型组成一个独立的网络安全域，

单个租户或业务部署时可根据互访需要规划多个VPC，VPC间互访用VPC出口防火墙进行安全访问控制；VPC1FW1GWsubnetsubnet…VPC1FW2GWsubnetsubnet…防火墙服务-东西互访EPG：EndPointGroup，端点组；缺省情况下VPC内部网段间可以互访，当VPC内部网段间或网段内部有互访控制的情况下，可通过创建将成员加入端点组，然后定义组间安全策略来进行控制；VPCFWGWSubnet（EPG1）Subnet（EPG2）…SLB负载均衡当前VPC模型中VAS提供的另一个服务就是服务器负载均衡，管理员对需要进行负载均衡的业务配置一个对外的VIP，然后通过指定的负载均衡算法将对VIP的访问请求分担到多个实体member节点进行处理；访问模型VPCLBGWSubnetSubnet…3rdVAS当前场景模型中支持第三方VAS服务，AC不管理第三方VAS设备，只是开通到第三方VAS设备的网络，引流需要在CE设备上手工配置。访问模型VPC3rdVASGWSubnetSubnet…VAS概述DCN-SDN方案中的VASVAS的场景应用VAS的部署传统VAS服务发放传统VAS流量转发模型SFC概述DCN-SDN方案中的SFCVAS功能全景硬件FW直挂集中式网关LeafLeafVXLAN集中网关服务器LeafLeafLeafSpineL4-L7NVENVENVE交换层网关层Spineinternet广域网专线接入广域网出口PENVENVELeafLeafFW组2互联网出口PEVXLAN域FW组1硬件FW/LB旁挂集中式网关LeafLeafVXLAN集中网关服务器LeafLeafLeafSpineL4-L7NVENVENVE交换层网关层Spineinternet广域网专线接入广域网出口PENVENVELeafLeafFW组互联网出口PEVXLAN域LB组Leaf硬件或软件FW/硬件LB旁挂ServiceLeafLeafLeafVXLAN集中式或分布网关的BorderLeaf服务器ServiceLeafSpineL4-L7NVENVENVE交换层Spineinternet广域网专线接入广域网出口PENVENVELeafFW组互联网出口PEVXLAN域LB组LeafServiceLeaf其他硬件VAS设备旁挂集中式网关LeafLeafVXLAN集中网关服务器LeafLeafLeafSpineL4-L7NVENVENVE交换层网关层Spineinternet广域网专线接入广域网出口PENVENVELeafLeafVAS组2互联网出口PEVXLAN域VAS组1Leaf其他硬件VAS设备旁挂ServiceLeafLeafLeaf服务器ServiceLeafSpineL4-L7NVENVENVE交换层Spineinternet广域网专线接入广域网出口PENVENVELeafVAS组2互联网出口PEVXLAN域VAS组1LeafServiceLeaf部署方式比较部署方式支持的VAS设备流量特点部署VAS设备扩展性网关设备扩展性VAS直挂网关Huawei硬件FW1.所有南北流量都经过VAS；

2.南北带宽受VAS转发能力限制；简单差差VAS旁挂网关Huawei硬件FW

3rdVAS1.南北流量、东西流量按需经过VAS；

2.南北带宽不受VAS；简单中差ServiceLeaf接入VASHuawei硬件FW

Huawei软件FW

Huawei软件LB

3rdVAS1.南北流量、东西流量按需经过VAS；

2.南北带宽不受VAS；3.南北流量绕行；复杂好好HuaweivFW推荐部署-组网LeafLeafM-LAGNVE管理网TOR物理服务器2USG6KV备NIC2NIC3NIC1：MGT+HRPSRIOV网卡2VF0SRIOV网卡1VF0vSwitch管理网网卡trunk物理服务器1USG6KV主NIC2NIC3NIC1：MGT+HRPSRIOV网卡2VF0SRIOV网卡1VF0vSwitch管理网网卡trunkInternal&ExternalVlanInternal&ExternalVlanHuaweivFW推荐部署-流程配置准备上传VFW镜像、规格分类、CFG文件；定义VFW用户名、密码、AC建联配置、管理ip、SNMP、NTP、log-server；定义VFW设备name命名规则；宿主服务器、服务器各SRIOV网卡与连接的TOR（IP地址）端口对应关系；批量拉起规划在宿主服务器上要拉起的虚机规格、应用的防火墙模板；动态为每个VFW修改防火墙模板中需要个性化配置的参数（管理ip、路由、name等）；在指定服务器上使用指定模板拉起VM加载防火墙镜像，注入CFG文件；配置HRP指定需要配置为主备的两个VFW（不能位于同一HOST）；在VFW上分别下发HRP配置；导出报表导出报表上传AC主要参数包括：VFW管理ip、规格类别、NAME、TOR（IP）接口、VASdevice-groupID（主VFW管理实ip、备VFW管理实ip）；VAS概述DCN-SDN方案中的VASVAS的场景应用VAS的部署传统VAS服务发放传统VAS流量转发模型SFC概述DCN-SDN方案中的SFCVAS功能全景VAS服务全景特性VAS类型特性能力可发放的portal防火墙ACL南北向防火墙支持基于五元组的状态防火墙过滤FusionSphere/Openstack或者AC东西向防火墙支持基于五元组的状态防火墙过滤AC基于EPG发放SNAT南北向防火墙N:1SNATFusionSphere/Openstack或者ACEIP南北向防火墙1:1DNATFusionSphere/Openstack或者ACQos南北向防火墙支持针对SNATIP和EIP的上下行流量限速FusionSphere/Openstack或者ACIpsecVPN南北向防火墙具有固定隧道端点ip的点到点IPSecVPNFusionSphere/Openstack或者ACSLBLoadBalancer服务器负载均衡FusionSphere/Openstack或者AC其他VAS特性其他第三方VAS其他AC上配置网络或云平台层次化绑定配置网络及自然引流第三方portal手动发放VAS服务FusionSphere网络资源模型VDCVPC1vRouterSubnet1Subnet2ExtNetVPC2vRouterSubnet1Subnet2ExtNet概念解释FusionSphereTenant是用户或企业业务管理的基本单元。VDC：一个Tenant管理一个VDC一个VDC包含N个VPCVPCVPC能够为租户提供安全、隔离的网络环境。在VPC中，租户可以定义与传统网络无差别的虚拟网络，用来部署虚拟机和应用实例。VPC：1个外部网络1个vRouterN个Subnet外部网络外部网络是用于连接系统外网络的网络，系统外网络即为用户已有网络，可以是企业内部网络，也可以是公共网络（Internet）等。外部网络SubnetSubnet，Openstack定义的对象模型，为用户提供二层子网。Subnet为VPC的子网，一个VPC内可以有多个Subnet。同一Subnet内的VM默认互通，不同Subnet间可以设置ACL进行隔离。SubnetProjectVPC1vRouter1Subnet1Subnet2ExtNetVPC2vRouter2Subnet1Subnet2ExtNetOpenStack网络资源模型概念解释OpenStackTenant是用户或企业业务管理的基本单元。Project：一个Tenant管理一个Project一个Project包含N个网络VPCVPC能够为租户提供安全、隔离的网络环境。在VPC中，租户可以定义与传统网络无差别的虚拟网络，用来部署虚拟机和应用实例。1个外部网络1个RouterN个Subnet外部网络外部网络是用于连接系统外网络的网络，系统外网络即为用户已有网络，可以是企业内部网络，也可以是公共网络（Internet）等。外部网络SubnetSubnet，Openstack定义的对象模型，为用户提供二层子网。Subnet为VPC的子网，一个VPC内可以有多个Subnet。同一Subnet内的VM默认互通，不同Subnet间可以设置ACL进行隔离。Subnet租户VPC1LogicRouter1LogicSwitch1LogicSwitch2ExtNetVPC2LogicRouter2LogicSwitch1LogicSwitch2ExtNetlogicLinklogicLinklogicLinklogicLinklogicLinklogicLinkLogicPortAgileController-DCN网络资源模型概念解释ACTenant是用户或企业业务管理的基本单元。租户：管理多个网络VPCVPC能够为租户提供安全、隔离的网络环境。在VPC中，租户可以定义与传统网络无差别的虚拟网络，用来部署虚拟机和应用实例。VPC：1个外部网络、1个LogicRouter、N个LogicSwitch、N个LogicLink、N个LogicPort外部网络外部网络是用于连接系统外网络的网络，系统外网络即为用户已有网络，可以是企业内部网络，也可以是公共网络（Internet）等。外部网络SubnetSubnet，Openstack定义的对象模型，为用户提供二层子网。Subnet为VPC的子网，一个VPC内可以有多个Subnet。同一Subnet内的VM默认互通，不同Subnet间可以设置ACL进行隔离。LogicSwitch：N个LogicLinkN个LogicPortLogicPortAC准备VAS资源池-硬件FW启动FW物理链路搭建启动设备纳管FW自动发现或手工添加设备添加管理IP建立Netconf连接创建FW设备组可选配置2台FW组成HA组（1:1镜像模式）FW加入资源池单节点VAS或VAS设备组加入资源池需要指定直挂/旁挂、需要指定所属的Fabric、可以被多个Fabric关联需要指定内外部链路类型vlanif/subifvsys/子接口/tunnel接口/以及整机带宽、Session资源、策略数等资源池化AC准备VAS资源池-软件FW部署VFW在iDeploy上批量拉起VFW导出报表并上报ACVFW加入资源池根据iDeploy导出报表生成VAS资源池建立与VAS的netconf连接发放VAS服务-FWPortal上业务模型建立Openstack创建FW关联Router或者FusionSphere创建FW关联VPC或者AC上创建LogicFW关联LogicRouter在VPC上创建ACL、SNAT、EIP、Qos、IPsecVPN等服务AC上逻辑模型建立选定VAS资源池，创建LogicFW创建LogicFW和LogicRouter间的逻辑网络在LogicFW上创建ACL、SNAT、EIP、Qos、IPsecVPN等设备上物理模型建立在物理FW，创建vSYS;创建物理FW和物理Router间的网络在vSYS上配置securitypolicy、Natpolicy、NatServer、TrafficPolicy等logicportLogicRouterLogicFWlogicportExternalLinkVASlogicportLogicRouterlogicportInternalLinkvlanifVRFvSYSvlanifExternalvlanPolicyvlanifVRFvlanifInternalvlanvRoutervFWACL服务SNAT服务EIP服务Qos服务IPSec服务发放VAS服务-LBPortal上业务模型建立Openstack创建LB关联Router或者FusionSphere创建LB关联VPC或者AC上创建LogicLB关联LogicRouter配置LB的vip、member、负载均衡算法、健康监测等AC上逻辑模型建立选定VAS资源池，创建LogicLB创建LogicLB和LogicRouter间的逻辑网络在LogicLB上配置LB的vip、member、负载均衡算法、健康监测等设备上物理模型建立在物理LB，创建VS（VirtualServer）创建物理LB和物理Router间的网络在VS上配置vip、member、负载均衡算法、健康监测等vRoutervLBLB服务logicportLogicRouterLogicLBlogicportExternalLinklogicportLogicRouterlogicportInternalLinkvlanifVRFvlanifExternalvlanvlanifVRFvlanifInternalvlanVS发放VAS服务-其他VAS服务Portal上业务模型建立AC上创建3rdLogicVAS关联LogicRouterAC上逻辑模型建立L2BR创建LogicLB和LogicRouter间的网络如果需要引流到3rdVAS，则在CE设备上手工添加引流策略设备上物理模型建立物理Router到3rd物理VAS的网络及PBR流量重定向在3rdVAS管理界面上手工开通到物流Router的网络在3rdVAS管理界面上手工开通特性业务vRouterLogicVASlogicportLogicRouterLogicVASlogicportExternalLinklogicportLogicRouterlogicportInternalLinkvlanifVRF3rdVASvlanifExternalvlanvlanifVRFvlanifInternalvlanPBRPBRVAS概述DCN-SDN方案中的VASVAS的场景应用VAS的部署传统VAS服务发放传统VAS流量转发模型SFC概述DCN-SDN方案中的SFCVAS功能全景VAS旁挂ServiceLeaf物理组网LeafLeaf服务器ServiceLeafSpineL4-L7NVENVENVE交换层Spineinternet广域网专线接入广域网出口PENVENVELeafFW组/3rdVAS组2互联网出口PEVXLAN域LB组/3rdVAS组1LeafServiceLeaf外网访问VPC-逻辑网络LogicRouter(VPC1)ExternalNetworkCentralizedGateWayLogicPort2LogicPort3EndPortLogicPort7LogicPort8EndPortLogicPort6LogicRouter(Internet/Intranet)LogicSwitch5LogicSwitch1ServerLeafLogicPort1BorderLeafLogicPort9LogicPort10LogicFWLogicSwitch3LogicSwitch2ServiceLeafLogicPort4集中式网关RootSYSVRF1CentralizedGateWayBDIF1BDIF2VM/BM1VLAN200VLAN300VM/BM2BDIF5Internet/IntranetPublicVRF1BD5BD1ServerLeafVLAN100BorderLeafBDIF3VLAN1000VLAN1001vSYS1BD3BD2ServiceLeaf2345PE公网/私网VRFInternet/Intranet1外网访问VPC-物理网络集中式网关VPC访问外网-逻辑网络LogicRouter(VPC1)ExternalNetworkCentralizedGateWayLogicPort2LogicPort3EndPortLogicPort7LogicPort8EndPortLogicPort6LogicRouter(Internet/Intranet)LogicSwitch5LogicSwitch1ServerLeafLogicPort1BorderLeafLogicPort9LogicPort10LogicFWLogicSwitch3LogicSwitch2ServiceLeafLogicPort4集中式网关RootSYSVRF1CentralizedGateWayBDIF1BDIF2VM/BM1VLAN200VLAN300VM/BM2BDIF5Internet/IntranetPublicVRF1BD5BD1ServerLeafVLAN100BorderLeafBDIF3VLAN1000VLAN1001vSYS1BD3BD2ServiceLeaf1234PE公网/私网VRFInternet/Intranet5VPC访问外网-物理网络集中式网关VPC间互访-逻辑网络LogicRouter2(VPC2)CentralizedGateWayLogicPort11LogicPort8EndPort1LogicPort15LogicPort16EndPort2LogicPort12LogicRouter1(VPC1)LogicSwitch6LogicSwitch1ServerLeafLogicPort14LogicPort3LogicPort4LogicFWLogicSwitch4LogicSwitch3ServiceLeafLogicPor9ServerLeafLogicPort13EndPort4EndPort3集中式网关VPC间互访-物理网络vSYS2VRF2CentralizedGateWayBDIF1BDIF3VM/BM1Vlan100Vlan200VM/BM2BDIF6VRF1BD6BD1ServerLeafVlan400Vlan2000Vlan2001vSYS1BD4BD3ServiceLeafBDIF4ServerLeafVlan300VM/BM4VM/BM312345集中式网关VPC不同子网按需隔离互访-逻辑网络CentralizedGateWayLogicPort11LogicPort8EndPort1LogicPort15LogicPort16EndPort2LogicPort12LogicRouter1(VPC1)LogicSwitch6LogicSwitch1ServerLeafLogicPort14LogicPort3LogicPort4LogicFWLogicSwitch4LogicSwitch3ServiceLeafLogicPor9ServerLeafLogicPort13EndPort4EndPort3集中式网关VPC不同子网按需隔离互访-物理网络CentralizedGateWayBDIF1BDIF3VM/BM1Vlan100Vlan200VM/BM2BDIF6VRF1BD6BD1ServerLeafVlan400Vlan2000Vlan2001vSYS1BD4BD3ServiceLeafBDIF4ServerLeafVlan300VM/BM4VM/BM31423集中式网关3rdVAS旁挂ServiceLeaf-逻辑网络CentralizedGateWayLogicPort11LogicPort8LogicPort12LogicRouter1(VPC1)LogicPort3LogicPort4LogicVASLogicSwitch4LogicSwitch3ServiceLeafLogicPor9集中式网关3rdVAS旁挂ServiceLeaf-物理网络CentralizedGateWayBDIF1BDIF3BDIF6VRF1Vlan2000Vlan20013rd

VASBD4BD3ServiceLeafBDIF41423集中式网关VIP为外网IP-逻辑网络LogicRouter(VPC1)ExternalNetworkCentralizedGateWayLogicPort2LogicPort3EndPortLogicPort7LogicPort8EndPortLogicPort4LogicRouter(Internet/Intranet)LogicSwitch3LogicSwitch1ServerLeafLogicPort1BorderLeafLogicPort9LogicPort10LogicLBVIP=LogicSwitch3LogicSwitch2ServiceLeafEndPortLogicPort7LogicPort8EndPortLogicSwitch4ServerLeafLogicPort5集中式网关VIP为外网IP-物理网络VRF1CentralizedGateWayBDIF1BDIF2VM/BM1VLAN200VLAN300VM/BM2BDIF5Internet/IntranetPublicVRF1BD3BD1ServerLeafVLAN100BorderLeafVLAN1000VLAN1001VSVIP=BD3BD2ServiceLeafPE公网/私网VRFInternet/Intranet12VM/BM3VLAN400VLAN500VM/BM4BD4ServerLeafBDIF63集中式网关VIP为内网IP-逻辑网络LogicRouter(VPC1)ExternalNetworkCentralizedGateWayLogicPort2LogicPort3EndPortLogicPort7LogicPort8EndPortLogicPort4LogicRouter(Internet/Intranet)LogicSwitch3LogicSwitch1ServerLeafLogicPort1BorderLeafLogicPort9LogicPort10LogicLBVIP=LogicSwitch3LogicSwitch2ServiceLeafEndPortLogicPort13LogicPort14EndPortLogicSwitch4ServerLeafLogicPort5LogicPort11LogicPort12LogicFWLogicSwitch6LogicSwitch5LogicPort15LogicPort16集中式网关VIP为内网IP-物理网络VRF1CentralizedGateWayBDIF1BDIF3VM/BM1VLAN200VLAN300VM/BM2BDIF5Internet/IntranetPublicVRF1BD5BD1ServerLeafVLAN100BorderLeafVLAN1000VLAN1001VSVIP=BD5BD4ServiceLeafPE公网/私网VRFInternet/IntranetVM/BM3VLAN400VLAN500VM/BM4BD6ServerLeafBDIF6VLAN2000VLAN2001vSYSBD3BD2BDIF4BDIF2123集中式网关外网访问VPC-逻辑组网LogicFWLogicRouter(VPC1Distribut)EndPortLogicPort10LogicPort11EndPortLogicPort12LogicSwitch5ServerLeafExternalNetworkLogicPort2LogicRouter(Internet/IntranetDistribut)LogicSwitch1LogicPort1BorderLeafLogicRouter(VPC1Distribut)LogicPort7ServiceLeafLogicPort4LogicSwitch3LogicPort6LogicSwitch2LogicRouter(Internet/IntranetDistribut)LogicPort3分布式网关外网访问VPC-物理组网RootSYSVRF1(Distribut)VM/BM1Vlan200Vlan300VM/BM2BDIF5BD5ServerLeafBDIF1Internet/IntranetPublicVRF1(Distribut)BD1Vlan100BorderLeafVRF1(Distribut)Vlan1001ServiceLeafvSYSBDIF3BD3Vlan1000BD2Internet/IntranetPublicVRF1(Distribut)BDIF2PE公网/私网VRFInternet/Intranet1235674分布式网关VPC访问外网-逻辑网络LogicFWLogicRouter(VPC1Distribut)EndPortLogicPort10LogicPort11EndPortLogicPort12LogicSwitch5ServerLeafExternalNetworkLogicPort2LogicRouter(Internet/IntranetDistribut)LogicSwitch1LogicPort1BorderLeafLogicRouter(VPC1Distribut)LogicPort7ServiceLeafLogicPort4LogicSwitch3LogicPort6LogicSwitch2LogicRouter(Internet/IntranetDistribut)LogicPort3分布式网关VPC访问外网-物理网络RootSYSVRF1(Distribut)VM/BM1Vlan200Vlan300VM/BM2BDIF5BD5ServerLeafBDIF1Internet/IntranetPublicVRF1(Distribut)BD1Vlan100BorderLeafVRF1(Distribut)Vlan1001ServiceLeafvSYSBDIF3BD3Vlan1000BD2Internet/IntranetPublicVRF1(Distribut)BDIF2PE公网/私网VRFInternet1235674分布式网关VPC间互访-逻辑网络LogicFWLogicRouter(VPC2Distribut)EndPortLogicPort10LogicPort11EndPortLogicPort12LogicSwitch5ServerLeafEndPortLogicPort2LogicRouter(VPC1Distribut)LogicSwitch1LogicPort1ServerLeafLogicRouter(VPC2Distribut)LogicPort7ServiceLeafLogicPort4LogicSwitch3LogicPort6LogicSwitch2LogicRouter(VPC1Distribut)LogicPort3分布式网关VPC间互访-物理网络vSYS1VRF2(Distribut)VM/BM1Vlan200Vlan300VM/BM2BDIF5BD5ServerLeafBDIF1VRF1(Distribut)BD1Vlan100ServerLeafVRF2(Distribut)Vlan1001ServiceLeafvSYS2BDIF3BD3Vlan1000BD2VRF1(Distribut)BDIF2VM/BM31235674分布式网关VPC不同子网按需隔离互访-逻辑网络LogicFWLogicRouter(VPC1Distribut)EndPortLogicPort10LogicPort11EndPortLogicPort12LogicSwitch5ServerLeafEndPortLogicPort2LogicRouter(VPC1Distribut)LogicSwitch1LogicPort1ServerLeafLogicPort7ServiceLeafLogicPort4LogicSwitch3LogicPort6LogicSwitch2LogicRouter(VPC1Distribut)LogicPort3分布式网关VPC不同子网按需隔离互访-物理网络vSYS1VRF1(Distribut)VM/BM1Vlan200Vlan300VM/BM2BDIF5BD5ServerLeafBDIF1VRF1(Distribut)BD1Vlan100ServerLeafVlan1001ServiceLeafBDIF3BD3Vlan1000BD2VRF1(Distribut)BDIF2VM/BM3123456分布式网关VIP为外网IP-逻辑网络LogicLBLogicRouter(VPC1Distribut)EndPortLogicPort10LogicPort11EndPortLogicPort4LogicSwitch3ServerLeafExternalNetworkLogicPort2LogicRouter(Internet/IntranetDistribut)LogicSwitch1LogicPort1BorderLeafLogicRouter(VPC1Distribut)LogicPort7ServiceLeafLogicPort4LogicSwitch3LogicPort6LogicSwitch2LogicRouter(Internet/IntranetDistribut)LogicPort3LogicSwitch4LogicPort5分布式网关VIP为外网IP-物理网络VRF1(Distribut)VM/BM1Vlan200Vlan300VM/BM2BDIF3BD3ServerLeafBDIF1Internet/IntranetPublicVRF1(Distribut)BD1Vlan100BorderLeafVRF1(Distribut)Vlan1001ServiceLeafVSVIP=BDIF3BD3Vlan1000BD2Internet/IntranetPublicVRF1(Distribut)BDIF2PE公网/私网VRFInternet/Intranet12BD4BDIF434分布式网关VIP为内网IP-逻辑网络LogicFWLogicRouter(VPC1Distribut)EndPortLogicPort10LogicPort11EndPortLogicPort4LogicSwitch3ServerLeafExternalNetworkLogicPort2LogicRouter(Internet/IntranetDistribut)LogicSwitch1LogicPort1BorderLeafLogicRouter(VPC1Distribut)LogicPort9ServiceLeafLogicPort13LogicSwitch6LogicPort8LogicSwitch5LogicRouter(Internet/IntranetDistribut)LogicPort12LogicSwitch4LogicPort5LogicLBLogicPort7LogicSwitch3LogicPort6LogicSwitch2LogicPort4LogicPort3分布式网关VIP为内网IP-物理网络VRF1(Distribut)VM/BM1Vlan200Vlan300VM/BM2BDIF3BD3ServerLeafBDIF1Internet/IntranetPublicVRF1(Distribut)BD1Vlan100BorderLeafVRF1(Distribut)Vlan2001ServiceLeafVSVIP=BDIF6BD6Vlan2000BD5Internet/IntranetPublicVRF1(Distribut)BDIF5PE公网/私网VRFInternet/IntranetBD4BDIF4Vlan1001VSVIP=BDIF3BD3Vlan1000BD2BDIF2123分布式网关VAS概述DCN-SDN方案中的VASSFC概述DCN-SDN方案中的SFCVAS功能全景传统VAS业务的局限与应对传统VAS特点静态配置引流策略、部署复杂，无法实现复杂引流场景VAS服务依赖物理拓扑，拓扑固定，业务不灵活业务的新诉求FW/LB功能NFV化，部署动态性增强、功能单一化导致引流复杂网关分布式、同子网东西向安全控制增多，引流更加复杂业务自助服务和部署、位置不确定应对VAS业务功能与物理拓扑解耦在SDN控制器的控制下，使用Overlay技术将VAS服务链映射和物理服务设备解耦，只要承载网IP可达，即可将虚拟层服务链映射到承载层服务设备的技术，即：ServiceFunctionChain。SFC的概念业务链定义：是一个业务功能（一种对数据报文实现特定的检查和处理的网络功能，可以设备上的一种模块或者虚拟实例。)有序图，保证指定的业务流按顺序通过这些业务功能节点典型业务链的例子：Internet->防火墙->IDS->负载均衡器->WEB服务器

SF(Physical)

SF(VM)

SF(Physical)

SF(VM)

SCSC交换机交换机网络overlayVXLAN应用A应用BSFFSFFSFC的价值图形化部署、降低OPEX▲根图形化业务功能部署，简化部署流程▲椐业务流申请业务链，部署和回退方便▲支持业务路径可视化，方便运维和诊断VAS资源弹性伸缩、按需分配▲资源池化，业务按需分配▲资源池化，资源弹性伸缩VAS部署灵活、按需扩展▲业务功能与Fabric解藕，灵活部署▲支持业务功能按需扩展SFC在DCN-SDN解决方案中的位置SFC位置Huawei第三方合作用户云平台或APP可集群的AC控制器第三方控制器L2-L3物理服务器虚拟化平台ESXiKVMHyper-VXEN业务呈现层网络控制层网络层物理网元vSwitchvRouterHuaweiL4-L7物理网元vFWvLB服务器第三方L4-L7物理网元vFWvLB网络虚拟化场景中SFC的架构AC控制器业务PortalL2/L3FabricHuaweiVAS3rdVAS3rd

管理系统3rd业务Portal云网一体化场景中SFC的架构OpenStackL2/L3FabricHuaweiVAS3rdVAS3rd

管理系统3rd业务PortalAC控制器业务PortalVAS概述DCN-SDN方案中的VASSFC概述DCN-SDN方案中的SFCSFC场景及业务模型SFC服务发放PBR引流及流量模型NSH引流及流量模型VAS功能全景场景需求外网和VPC内网互访VPC间互访VPC内互访VPC-BFWLBGWsubnetsubnet…入口VPCSSLFW/NATIPS/IDSIPsecFW/NATIPS/IDSNATFW/NATIPS/IDS远程分支/园区远程用户InternetVPC-AFWLBGWsubnetsubnet…VPC-CFWLBGWsubnetsubnet…基于GBP的SFC服务编排映射VAS服务consumerprovider应用ConsumerEPGProviderEPGPolicyRulesSetServiceFunctionChainSF1SF2SFn……PolicyRuleClassifierAction=RedirectAC的GBP模型providerconsumerSCSFSFFSFFSFSFSFF转发应用场景1：外网和VPC内网互访ConsumerEPG=ExternalNetworkFieldProviderEPG=Tenant.vRouterPolicyRulesSetServiceFunctionChainSF1SF2SFn……PolicyRuleClassifierAction=Redirect应用场景2：同租户VPC间互访ConsumerEPG=Tenant.vRouter1ProviderEPG=Tenant.vRouter2PolicyRulesSetServiceFunctionChainSF1SF2SFn……PolicyRuleClassifierAction=Redirect应用场景3：同VPC子网间互访ConsumerEPG=vRouter.vSwitch1ProviderEPG=vRouter.vSwitch2PolicyRulesSetServiceFunctionChainSF1SF2SFn……PolicyRuleClassifierAction=RedirectVAS概述DCN-SDN方案中的VASSFC概述DCN-SDN方案中的SFCSFC场景及业务模型SFC服务发放PBR引流及流量模型NSH引流及流量模型VAS功能全景SFC服务发放Portal上建立EPG创建CounsumerEPG创建ProviderEPGAC上建立业务链模板创建SFC模板添加SF实例AC上配置业务策略配置业务过滤策略;配置动作：重定向；AC上应用业务链应用业务链；ConsumerEPGProviderEPGConsumerEPGProviderEPGServiceFunctionChainSF1……SF2SFnConsumerEPGProviderEPGPolicyRulesSetPolicyRuleClassifierAction=RedirectServiceFunctionChainSF1……SF2SFnConsumerEPGProviderEPGPolicyRulesSetPolicyRuleClassifierAction=RedirectServiceFunctionChainSF1……SF2SFnVAS概述DCN-SDN方案中的VASSFC概述DCN-SDN方案中的SFCSFC场景及业务模型SFC服务发放PBR引流及流量模型NSH引流及流量模型VAS功能全景基于PBR引流的SFCAgileControllerSFF1SF1SF2SFF2SF4SF3ConsumerProvider引流点下发PBR访问流量下发PBR引流策略SCVXLAN转发隧道外网访问VPCVPCFWLBGWsubnetsubnet…入口VPCSSLFW/NATIPS/IDSIPsecFW/NATIPS/IDSNATFW/NATIPS/IDS远程分支/园区远程用户Internet集中式网关-访问模型LogicRouter(VPC1)ExternalNetworkCentralizedGateWayLogicPort2LogicPort3EndPortLogicPort12LogicPort13EndPortLogicPor116LogicRouter(Internet/Intranet)LogicSwitch6LogicSwitch1ServerLeafLogicPort1BorderLeafLogicPort5LogicPort6LogicVAS1LogicSwitch3LogicSwitch2ServiceLeafLogicPort4LogicPort7LogicPort9LogicPort10LogicVAS2LogicSwitch5LogicSwitch4LogicPort8集中式网关-逻辑网络PE公网/私网VRFInternet/IntranetVRF1CentralizedGateWayBDIF1BDIF2VM/BM1Vlan100BDIF6Internet/IntranetPublic

VRFBD6BD1ServerLeafVlan300BorderLeafVlan1000Vlan1001VAS1BD3BD2ServiceLeafBDIF3BDIF4Vlan2000Vlan2001VAS2BD5BD4BDIF5业务VXLAN隧道业务VXLAN隧道VRF1路由交叉业务VXLAN隧道业务VXLAN隧道业务VXLAN隧道业务VXLAN隧道PBR：Src/dstnhvas1PBR：Src/dstnhvas22341567集中式网关-

SFC模型VPC访问外网VPCFWLBGWsubnetsubnet…入口VPCSSLFW/NATIPS/IDSIPsecFW/NATIPS/IDSNATFW/NATIPS/IDS远程分支/园区远程用户Internet集中式网关-访问模型LogicRouter(VPC1)ExternalNetworkCentralizedGateWayLogicPort2LogicPort3EndPortLogicPort12LogicPort13EndPortLogicPor116LogicRouter(Internet/Intranet)LogicSwitch6LogicSwitch1ServerLeafLogicPort1BorderLeafLogicPort5LogicPort6LogicVAS1LogicSwitch3LogicSwitch2ServiceLeafLogicPort4LogicPort7LogicPort9LogicPort10LogicVAS2LogicSwitch5LogicSwitch4LogicPort8集中式网关-逻辑网络PE公网/私网VRFInternet/IntranetVRF1CentralizedGateWayBDIF1BDIF2VM/BM1Vlan100BDIF6Internet/IntranetPublic

VRFBD6BD1ServerLeafVlan300BorderLeafVlan1000Vlan1001VAS1BD3BD2ServiceLeafBDIF3BDIF4Vlan2000Vlan2001VAS2BD5BD4BDIF5业务VXLAN隧道业务VXLAN隧道默认路由到Public业务VXLAN隧道业务VXLAN隧道业务VXLAN隧道业务VXLAN隧道PBR：Src/dstnhvas1PBR：Src/dstnhvas25473216集中式网关-

SFC模型VPC间互访VPC-1FWLBGWsubnetsubnet…VPC-2FWLBGWsubnetsubnet…集中式网关-访问模型LogicRouter(VPC1)EndPort3CentralizedGateWayLogicPort2LogicPort3EndPortLogicPort12LogicPort13EndPortLogicPort16LogicRouter(VPC2)LogicSwitch6LogicSwitch1ServerLeafLogicPort1ServerLeafLogicPort5LogicPort6LogicVAS1LogicSwitch3LogicSwitch2ServiceLeafLogicPort4LogicPort7LogicPort9LogicPort10LogicVAS2LogicSwitch5LogicSwitch4LogicPort8集中式网关-逻辑网络VRF1CentralizedGateWayBDIF1BDIF2VM/BM1Vlan100BDIF6VRF2BD6BD1ServerLeafVlan300BorderLeafVlan1000Vlan1001VAS1BD3BD2ServiceLeafBDIF3BDIF4Vlan2000Vlan2001VAS2BD5BD4BDIF5业链VXLAN隧道业务VXLAN隧道到VRF1的交叉路由业务VXLAN隧道业链VXLAN隧道业链VXLAN隧道业链VXLAN隧道PBR：Src/dstnhvas1PBR：Src/dstnhvas2345672VM/BM31集中式网关-SFC模型同VPC子网间互访VPCFWLBGWsubnetsubnet…集中式网关-访问模型LogicRouter(VPC1)EndPort3CentralizedGateWayEndPort1LogicPort12LogicPort13EndPort2LogicPort16LogicSwitch6LogicSwitch1ServerLeafLogicPort1ServerLeafServiceLeafLogicPort7LogicPort9LogicPort10LogicVASLogicSwitch5LogicSwitch4LogicPort8LogicPort2集中式网关-逻辑网络VRF1CentralizedGateWayVM/BM1Vlan100BDIF6BD6BD1ServerLeafVlan300BorderLeafServiceLeafBDIF4Vlan2000Vlan2001VASBD5BD4BDIF5业务VXLAN隧道业务VXLAN隧道业务VXLAN隧道业务VXLAN隧道PBR：Src/dstnhvasVM/BM3BDIF13421分布式网关-SFC模型外网访问VPCVPCFWLBGWsubnetsubnet…入口VPCSSLFW/NATIPS/IDSIPsecFW/NATIPS/IDSNATFW/NATIPS/IDS远程分支/园区远程用户Internet分布式网关-访问模型LogicVAS1LogicRouter(VPC1Distribut)EndPortLogicPort10LogicPort11EndPortLogicPort12LogicSwitch4ServerLeafExternalNetworkLogicPort2LogicRouter(Internet/IntranetDistribut)LogicSwitch1LogicPort1BorderLeafLogicRouter(VPC1Distribut)LogicPort7ServiceLeafLogicPort4LogicSwitch3LogicPort6LogicSwitch2LogicPort3LogicVAS2LogicPort14LogicPort9LogicSwitch6LogicPort13LogicSwitch5LogicPort8LogicRouter(Internet/IntranetDistribut)分布式网关-逻辑网络VAS1VRF1(Distribut)VM/BM1Vlan100BDIF4BD4ServerLeafBDIF1Internet/IntranetPublicVRF(Distribut)BD1Vlan300BorderLeafVRF1(Distribut)Vlan1001ServiceLeafBDIF3BD3Vlan1000BD2BDIF2VAS2Vlan2001BDIF6BD6Vlan2000BD5BDIF5Internet/IntranetPublicVRF(Distribut)PE公网/私网VRFInternet/IntranetPBR：Src/dstnhL3VNI到VRF1的交叉路由PBR：Src/dstnhvas213456L3VNI互联7L3VNI互联2PBR：Src/dstnhvas1分布式网关-SFC模型VPC访问外网VPCFWLBGWsubnetsubnet…入口VPCSSLFW/NATIPS/IDSIPsecFW/NATIPS/IDSNATFW/NATIPS/IDS远程分支/园区远程用户Internet分布式网关-访问模型LogicVAS1LogicRouter(VPC1Distribut)EndPortLogicPort10LogicPort11EndPortLogicPort12LogicSwitch4ServerLeafExternalNetworkLogicPort2LogicRouter(Internet/IntranetDistribut)LogicSwitch1LogicPort1BorderLeafLogicRouter(VPC1Distribut)LogicPort7ServiceLeafLogicPort4LogicSwitch3LogicPort6LogicSwitch2LogicPort3LogicVAS2LogicPort14LogicPort9LogicSwitch6LogicPort13LogicSwitch5LogicPort8LogicRouter(Internet/IntranetDistribut)分布式网关-逻辑网络VAS1VRF1(Distribut)VM/BM1Vlan100BDIF4BD4ServerLeafBDIF1Internet/IntranetPublicVRF(Distribut)BD1Vlan300BorderLeafVRF1(Distribut)Vlan1001ServiceLeafBDIF3BD3Vlan1000BD2BDIF2VAS2Vlan2001BDIF6BD6Vlan2000BD5BDIF5Internet/IntranetPublicVRF(Distribut)PE公网/私网VRFInternet/IntranetPBR：Src/dstnhvas1到VRF1的交叉路由PBR：Src/dstnhL3VNIL3VNI互联134567L3VNI互联2PBR：Src/dstnhvas2分布式网关-SFC模型VPC间互访VPC-1FWLBGWsubnetsubnet…VPC-2FWLBGWsubnetsubnet…分布式网关-访问模型LogicVAS1LogicRouter(VPC1Distribut)EndPortLogicPort10LogicPort11EndPortLogicPort12LogicSwitch4ServerLeafEndPortLogicPort2LogicRouter(VPC2Distribut)LogicSwitch1LogicPort1ServerLeafLogicRouter(VPC1Distribut)LogicPort7ServiceLeafLogicPort4LogicSwitch3LogicPort6LogicSwitch2LogicPort3LogicVAS2Lo