亚洲bbw老妇另类_无码高清视频在线观看_丝袜长腿aⅴ在线播放_亚洲国产成人午夜精华液_又爽又黄好刺激的视频_欧美人与物videos另_国产精品无码刺激性_精品国产一区二区不卡毛

1.1 背景描述

1.1.1 園區(qū)網(wǎng)絡現(xiàn)狀

**通訊成立于1997年，是全球領先的通訊與信息解決方案及服務提供商，當前廣州科學城總部研發(fā)基地由于園區(qū)網(wǎng)絡設備老舊需進行替換和改造，既有的老舊園區(qū)網(wǎng)絡采用傳統(tǒng)的組網(wǎng)方式，存在多個業(yè)務系統(tǒng)，沒有按照信息安全規(guī)定要求進行系統(tǒng)間路由隔離，部門調(diào)動時，網(wǎng)絡無及時進行匹配，耗時長，響應速度慢，對于網(wǎng)絡中用戶權限控制，一般采用用戶認證加授權 VLAN 或 ACL 的方式實現(xiàn)用戶訪問資源或用戶間的隔離，存在一定風險，此外網(wǎng)絡的業(yè)務部署，一般都是采用手工配置命令行，或通過 SNMP 來配置。都是基于設備語言，效率低，業(yè)務上線速度慢，同時現(xiàn)網(wǎng)所運行的設備即將或者已經(jīng)達到廠家建議使用年限，基于以上，**通訊對廣州總部的園區(qū)網(wǎng)絡進行數(shù)字化改造。

**通訊廣州科學城總部研發(fā)基地

1.1.2 園區(qū)網(wǎng)絡面臨的問題

1. 1. 1. 50. 一網(wǎng)無法多用

企業(yè)各業(yè)務系統(tǒng)的終端實際部署位置在一起，這就很難再用傳統(tǒng)的獨立建網(wǎng)方式實現(xiàn)網(wǎng)絡隔離，要求能做到物理網(wǎng)絡共享，邏輯上隔離，降低成本。

1. 1. 1. 50. 隔離效果差

不同權限的用戶有混坐的情況，如研發(fā)人員、外包人員等，且人員位置經(jīng)常變動， 不同權限的用戶間也有權限控制的需求，而傳統(tǒng)的 VLAN 或 ACL 的隔離方式管理工作量巨大，策略數(shù)量也是大部分網(wǎng)絡設備所無法承受的。

1. 1. 1. 50. 業(yè)務部署慢

園區(qū)部署新業(yè)務，按照傳統(tǒng)的業(yè)務開通方法，需要在大量設備上配置大量命令，耗時耗力。

1.2 解決思路

華為的解決思路是：

1. 1. 50. 業(yè)務跟網(wǎng)絡解耦

在物理網(wǎng)絡（underlay)之上，創(chuàng)建邏輯上的疊加網(wǎng)絡（overlay），以此實現(xiàn)業(yè)務跟網(wǎng)絡的解耦，從而實現(xiàn)在不改變基礎網(wǎng)絡的情況下，實現(xiàn)一網(wǎng)多用和業(yè)務的靈活部署。

1. 1. 50. 用戶身份跟網(wǎng)絡 IP/VLAN 解耦

基于用戶身份的訪問控制，包括權限控制和優(yōu)先級等。用戶身份由用戶接入網(wǎng)絡時下發(fā)，跟 IP/VLAN 無綁定關系，實現(xiàn)業(yè)務隨行。

1. 1. 50. 控制器自動化配置

網(wǎng)絡中部署集中的控制器，基于上面兩個解耦技術，將園區(qū)網(wǎng)絡按照用戶管理視角抽象，只需關注人、人的身份、虛擬網(wǎng)絡，圖形化的配置虛擬網(wǎng)絡的業(yè)務和業(yè)務隨行策略，實現(xiàn)業(yè)務的快速部署。

1.3 總體網(wǎng)絡架構

1.3.1 總體網(wǎng)絡設計原則

園區(qū)網(wǎng)通常是一種用戶高密度的非運營網(wǎng)絡，在有限的空間內(nèi)聚集了大量的終端和用戶。同時對于園區(qū)網(wǎng)而言，注重的是網(wǎng)絡的簡單可靠、易部署、易維護。因此在園區(qū)網(wǎng)中，拓撲結構通常以星型結構為主，較少使用環(huán)網(wǎng)結構（環(huán)網(wǎng)結構較多的運用在運營商的城域網(wǎng)絡和骨干網(wǎng)絡中，可以節(jié)約光纖資源）。

基于星型結構的園區(qū)網(wǎng)設計，通常遵循如下原則：

50. 層次化

將園區(qū)網(wǎng)絡劃分為核心層、匯聚層、接入層。每層功能清晰，架構穩(wěn)定，易于擴展和維護。

50. 模塊化

將園區(qū)網(wǎng)絡中的每個部門或者每個功能區(qū)劃分為一個模塊，模塊內(nèi)部的調(diào)整涉及范圍小，易于進行問題定位。

50. 冗余性

關鍵設備采用雙節(jié)點冗余設計；關鍵鏈路采用Trunk方式冗余備份或者負載分擔；關鍵設備的電源、主控板等關鍵部件冗余備份。提高了整個網(wǎng)絡的可靠性。

50. 安全隔離

園區(qū)網(wǎng)絡應具備有效的安全控制。按業(yè)務、按權限進行分區(qū)邏輯隔離，對特別重要的業(yè)務采取物理隔離。

50. 可管理性和可維護性

網(wǎng)絡應當具有良好的可管理性。為了便于維護，應盡可能選取集成度高、模塊可通用的產(chǎn)品。

1.3.2 園區(qū)網(wǎng)總體邏輯架構

華為SD-Campus園區(qū)網(wǎng)絡的邏輯架構如下圖所示

1. 1. 50. AC-Campus

云管理控制器，負責 overlay 網(wǎng)絡的業(yè)務管理和自動化部署。

1. 1. 50. IAE

負責認證用戶管理、業(yè)務隨行策略配置和自動化下發(fā)。

1. 1. 50. eSight

負責園區(qū)及分支設備零配置開局、無線定位、設備 underlay 配置、設備監(jiān)控等。

1. 1. 50. Route Node

路由出口節(jié)點，園區(qū)需要到數(shù)據(jù)中心或者 Internet 時通過此節(jié)點轉發(fā)；如果路由出口節(jié)點是防火墻時，FW Node 可以復用此節(jié)點。

1. 1. 50. FW Node

安全節(jié)點，需要做 L4-L7 高級安全策略（如 IPS、AV 等）時需要部署該節(jié)點。

1. 1. 50. Border Node

L3 網(wǎng)關設備，用于 Fabric 網(wǎng)絡和第三方網(wǎng)絡間三層轉發(fā)，用戶跟第三方網(wǎng)絡流量從這里出入 VXLAN 隧道。

1. 1. 50. Edge Node

用戶的 VXLAN 網(wǎng)關，可能是 L2 網(wǎng)關也有可能是 L3 網(wǎng)關，接入用戶的流量從這里進入 VXLAN 網(wǎng)絡。Edge 節(jié)點同時也作為無線控制器，無線流量經(jīng)由 CAPWAP 隧道到達 Edge 節(jié)點，Edge 節(jié)點剝 CAPWAP 隧道后進入 VXLAN 網(wǎng)絡。

1. 1. 50. Transparency Node

Fabric 網(wǎng)絡的透傳節(jié)點，不感知 Fabric。透傳節(jié)點不需要支持 VXLAN，可以是傳統(tǒng)三層交換機。

1. 1. 50. Access Node(Wired)

有線接入節(jié)點，用戶從這里接入有線網(wǎng)絡并最終接入 Fabric 網(wǎng)絡，可以和 Edge Node

合一。

1. 1. 50. Access Node(Wireless)

無線接入節(jié)點，用戶從這里接入無線網(wǎng)絡，并最終接入 Fabric 網(wǎng)絡。無線接入節(jié)點不需要支持 VXLAN，傳統(tǒng)的無線接入節(jié)點（AP）都可以。

1.3.3 園區(qū)網(wǎng)總體物理架構

對應邏輯架構，園區(qū)網(wǎng)絡的物理架構如圖2-2所示。

園區(qū)網(wǎng)絡的物理架構 

50. 核心層

在核心層部署兩臺核心交換機S12708，集群方式部署提高可靠性，同時S12708作為VxLAN網(wǎng)絡分布式三層網(wǎng)關。核心層與匯聚層10G互聯(lián)。

核心交換機旁掛兩臺防火墻，實現(xiàn)園區(qū)內(nèi)部業(yè)務訪問隔離、安全管控等功能。

50. 匯聚層

改造后的園區(qū)最終有3個匯聚節(jié)點，分別位于A、B、E三棟樓；每個匯聚點部署兩臺匯聚交換機S7706，通過集群方式提高可靠性，同時S7706作為VxLAN網(wǎng)絡分布式二層網(wǎng)關。匯聚層與接入層千兆互聯(lián)。

50. 接入層

部署接入交換機，滿足園區(qū)內(nèi)有線終端接入需求。建議每4臺接入組成一個堆疊組，提高可靠性的同時節(jié)省了光纖資源。

50. 數(shù)據(jù)中心區(qū)

部署2臺數(shù)據(jù)中心萬兆接入交換機CE6856HI和6臺數(shù)據(jù)中心千兆接入交換機CE5855EI，實現(xiàn)服務器的萬兆及千兆接入需求。同時數(shù)據(jù)中心接入交換機支持SDN功能演進。

50. 網(wǎng)絡管理區(qū)

在網(wǎng)管區(qū)部署esight網(wǎng)管系統(tǒng)，實現(xiàn)全網(wǎng)設備可視化管理；

部署園區(qū)SDN控制器Agile Controller-Campus，實現(xiàn)基于園區(qū)Vxlan架構下的業(yè)務隨行、業(yè)務快速部署等SDN特性；

該組網(wǎng)結構具有如下特點：

50. 以核心節(jié)點為“根”的星型分層拓撲，架構穩(wěn)定，易于擴展和維護。
50. 各部門和功能分區(qū)模塊清晰，模塊內(nèi)部調(diào)整涉及范圍小，易于進行問題定位。
50. 雙節(jié)點冗余設計，關鍵鏈路均采用Trunk鏈路，保證網(wǎng)絡的可靠性。
50. 支持各種業(yè)務終端接入，一張IP網(wǎng)絡承載所有業(yè)務。
50. 支持分支接入、員工遠程接入、合作伙伴接入、外部用戶訪問等各種外聯(lián)場景。

1.4 SD-Campus 網(wǎng)絡原理

1.4.1 Underlay 網(wǎng)絡原理

Underlay 網(wǎng)絡，access 節(jié)點為二層設備，對流量做二層轉發(fā)。Access 節(jié)點可以為堆疊， 或者環(huán)網(wǎng)。但是 Access 到 Edge 必須是樹形組網(wǎng)，因一個 Access 節(jié)點只能到一個 Edge 做認證。

Underlay 其他節(jié)點都是三層設備，對流量做三層轉發(fā)，Underlay 的路由可以部署

OSPF/ISIS/BGP 等。

Edge 設備跟 Border 設備間可以用 ECMP 冗余組網(wǎng)，提高三層網(wǎng)絡可靠性及增加通道帶寬。

1.4.2 Overlay 網(wǎng)絡原理--數(shù)據(jù)平面

1.4.2.1 VXLAN 三層網(wǎng)關部署

VXLAN 三層網(wǎng)關按部署方式的不同，可以分為集中式網(wǎng)關和分布式網(wǎng)關。

圖2-7  VXLAN 集中式三層網(wǎng)關

集中式網(wǎng)關場景下，所有跨子網(wǎng)的流量都要到三層網(wǎng)關上轉發(fā)，轉發(fā)路徑不是最優(yōu)，網(wǎng)關流量處理壓力大。、

圖2-8  VXLAN 分布式三層

分布式網(wǎng)關場景下，同一個 edge 節(jié)點既做二層網(wǎng)關，也做三層網(wǎng)關。同一個 Edge 節(jié)點上不同子網(wǎng)流量通信直接在 Edge 上轉發(fā)，轉發(fā)路徑優(yōu)。

分布式網(wǎng)關場景下，各 Edge 節(jié)點可以提供相同的網(wǎng)關 MAC 地址和 IP 地址，用戶位置移動后，網(wǎng)關 IP 和 MAC 不變，用戶不感知實際接入網(wǎng)關的位置變化。

1.4.3 SD-Campus 自動化原理

1.4.3.1 Underlay 自動化

Underlay 自動化通過 eSight 部署零配置開局實現(xiàn)。

1.4.3.2 Overlay 自動化

AC-Campus 作為 overlay 自動化功能的核心，實現(xiàn)將用戶業(yè)務語言到網(wǎng)絡具體配置的自動翻譯與下發(fā)。

圖2-13  Overlay 自動化

1. 首先，需要在控制器上創(chuàng)建站點并加入設備，為后續(xù)業(yè)務編排做準備。
2. 預留全局資源，包括 VLAN 和子網(wǎng)，后續(xù) VN 網(wǎng)絡所用的 VLAN 和子網(wǎng)從配置的全局資源中分配。
3. Fabric 網(wǎng)絡的管理。
   • 首先，創(chuàng)建 Fabric，通常一個站點創(chuàng)建一個 Fabric，Fabric 中加入設備并標識角色（Border/edge/access），如果是 border 或 edge，需要指定環(huán)回口地址，用于

VTEP 地址。

• • 其次，配置策略聯(lián)動，指定對應的控制設備和接入設備及通信所用 IP 地址。
  • 再次，指定 Fabric 跟外部網(wǎng)關的連接，用于虛擬網(wǎng)絡跟外部的通信。

3. • 最后，指定 DHCP server 地址，在 edge 上做 DHCP relay。
4. VN 網(wǎng)絡的管理。
   • 首先創(chuàng)建 VN 網(wǎng)絡。
   • 接著配置 VN 所關聯(lián)的子網(wǎng)。
   • 最后指定哪些端口可以接入該 VN 網(wǎng)絡及這些端口認證的方式。

1.4.3.3 策略自動化

策略自動化的核心是 IAE，IAE 完成安全組定義，安全組策略的定義與下發(fā)，用戶認證后安全組授權。

圖2-14  5W1H 情景感知的安全組上下文定義

圖2-15  策略自動化過程