XXX項(xiàng)目SDNVPC網(wǎng)絡(luò)解決方案技術(shù)建議

1、SDN VPO絡(luò)解決方案技術(shù)建議書杭州華三通信技術(shù)有限公司2020年 3月目錄第一章XXX目SDN1目需求分析 錯(cuò)誤!未定義書簽。項(xiàng)目背景 錯(cuò)誤!未定義書簽。項(xiàng)目目標(biāo) 錯(cuò)誤!未定義書簽。項(xiàng)目需求 錯(cuò)誤!未定義書簽。第二章投標(biāo)方案優(yōu)勢(shì) 錯(cuò)誤 !未定義書簽。選擇華三產(chǎn)品的幾大優(yōu)勢(shì) 錯(cuò)誤!未定義書簽。全球領(lǐng)先的國(guó)有品牌 錯(cuò)誤!未定義書簽。企業(yè)網(wǎng)市場(chǎng)的佼佼者 錯(cuò)誤!未定義書簽。SDN域標(biāo)準(zhǔn)倡導(dǎo)者與領(lǐng)導(dǎo)者 錯(cuò)誤！未定義書簽。經(jīng)過實(shí)踐檢驗(yàn)的穩(wěn)定性 錯(cuò)誤!未定義書簽。最完善的售后服務(wù)體系 錯(cuò)誤!未定義書簽。測(cè)試最嚴(yán)格的產(chǎn)品 錯(cuò)誤!未定義書簽。最適合XXX的產(chǎn)品與方案 錯(cuò)誤！未定義書簽。第三章XXX SDN

2、VPM絡(luò)解決方案 錯(cuò)誤!未定義書簽。總體設(shè)計(jì)原則 錯(cuò)誤!未定義書簽。建設(shè)方案 錯(cuò)誤!未定義書簽?？傮w方案 錯(cuò)誤!未定義書簽。H3c SDN VPM絡(luò)解決方案基礎(chǔ) 錯(cuò)誤！未定義書簽。Overlay的概念介紹 錯(cuò)誤!未定義書簽。Overlay的技術(shù)標(biāo)準(zhǔn) 錯(cuò)誤!未定義書簽。H3C SDN VPM絡(luò)解決方案 錯(cuò)誤！未定義書簽。典型組網(wǎng) 錯(cuò)誤!未定義書簽。網(wǎng)絡(luò)基礎(chǔ)架構(gòu) 錯(cuò)誤！未定義書簽。網(wǎng)絡(luò)部署需求 錯(cuò)誤！未定義書簽。VXLAN對(duì)基礎(chǔ)承載網(wǎng)絡(luò)的需求 錯(cuò)誤！未定義書簽。VXLAN網(wǎng)絡(luò)和傳統(tǒng)網(wǎng)絡(luò)互通的需求 錯(cuò)誤！未定義書簽。VXLAN網(wǎng)絡(luò)安全需求 錯(cuò)誤！未定義書簽。Overlay網(wǎng)絡(luò)虛機(jī)位置無(wú)關(guān)性 錯(cuò)誤！未

3、定義書簽。分布式網(wǎng)關(guān) 錯(cuò)誤 ！未定義書簽。Overlay網(wǎng)絡(luò)流表路由 錯(cuò)誤！未定義書簽。Overlay網(wǎng)絡(luò)轉(zhuǎn)發(fā)流程 錯(cuò)誤！未定義書簽。Overlay網(wǎng)絡(luò)虛機(jī)遷移 錯(cuò)誤！未定義書簽。Overlay網(wǎng)關(guān)高可靠性 錯(cuò)誤！未定義書簽。Overlay網(wǎng)關(guān)彈性擴(kuò)展升級(jí) 錯(cuò)誤！未定義書簽。Overlay網(wǎng)絡(luò)安全部署 錯(cuò)誤！未定義書簽。第四章 SDN VPCT案給XXX帶來(lái)的價(jià)值 錯(cuò)誤!未定義書簽。第一章XXX目SDN目需求分析項(xiàng)目背景項(xiàng)目目標(biāo)項(xiàng)目需求第二章 投標(biāo)方案優(yōu)勢(shì)選擇華三產(chǎn)品的幾大優(yōu)勢(shì)企業(yè)網(wǎng)市場(chǎng)的佼佼者Gartner 魔力四象限排名，華三在企業(yè)網(wǎng)市場(chǎng)，處于第一象限。SDN域標(biāo)準(zhǔn)倡導(dǎo)者與領(lǐng)導(dǎo)者華三通信是

4、SDN國(guó)際領(lǐng)先標(biāo)準(zhǔn)組織及開源控制器項(xiàng)目的成員，是SDN相關(guān)國(guó)際標(biāo)準(zhǔn)的倡導(dǎo)者、實(shí)踐者與領(lǐng)導(dǎo)者，華三通信從2009年起開始跟蹤SDN術(shù)的發(fā)展，并投入大量研發(fā)力量進(jìn)行相關(guān)產(chǎn)品的研制與開發(fā)， 截止目前已經(jīng)開發(fā)了全系列的產(chǎn)品和豐富的解決方案， 是 業(yè)界唯一能夠提供 SDN備、SDN$制器、SDN應(yīng)用、SDNt理與業(yè)務(wù)編排系統(tǒng)的廠商。ONFS織成員Daylight 組織成員經(jīng)過實(shí)踐檢驗(yàn)的穩(wěn)定性華三公司擁有我國(guó)最廣泛的網(wǎng)絡(luò)產(chǎn)品行業(yè)應(yīng)用案例，中央部委的應(yīng)用份額超過 70 ，各級(jí)電子政務(wù)國(guó)干、省干、地市城域網(wǎng)新增份額超過70；服務(wù)于三大行數(shù)據(jù)中心（中國(guó)農(nóng)業(yè)銀行、 中國(guó)銀行、 中國(guó)建行） 、 兩大行全國(guó)一級(jí)骨干網(wǎng)

5、 （中國(guó)農(nóng)業(yè)銀行和中國(guó)人民銀行） 、四大行（工、農(nóng)、中、建）省行骨干網(wǎng)；服務(wù)于全部“ 211 ”高校，承建超過80%的教育城域網(wǎng)， 超過 40 個(gè)平安校園，參與全國(guó) 1700 余所高校的信息化建設(shè)。 服務(wù)包括寶鋼、 中國(guó)鋁業(yè)、一汽、海爾、長(zhǎng)虹在內(nèi)的超過300 家的中國(guó) 500 強(qiáng)企業(yè)。在SDN域，華三一直積極與各行業(yè)用戶進(jìn)行緊密的合作與研究，并結(jié)合用戶業(yè)務(wù)需求開發(fā)了大量SDN應(yīng)用，是國(guó)內(nèi)SDN域?qū)嵺`案例最為豐富的網(wǎng)絡(luò)廠商。目前華三已經(jīng)與聯(lián)通研究院、電信廣州研究院簽署了 SDN作協(xié)議成為合作伙伴，這是國(guó)內(nèi)SDN域最高規(guī)格的 合作；聯(lián)通集團(tuán)智慧城市項(xiàng)目正式采用華三SDN網(wǎng)絡(luò)虛擬化平臺(tái)，提高了其智慧

6、城市平臺(tái)運(yùn)維效率95%上，將網(wǎng)絡(luò)配置錯(cuò)誤率降低為0,這是國(guó)內(nèi)首例運(yùn)營(yíng)商級(jí)的 SDNS用案例，是業(yè)內(nèi)最領(lǐng)先的。最完善的售后服務(wù)體系35個(gè)區(qū)域技術(shù)支持中心，300余名雙華三SE級(jí)別或以上級(jí)別的一線技術(shù)服務(wù)工程師，提供貼近客戶的強(qiáng)大原廠區(qū)域服務(wù)力量，為客戶提供覆蓋網(wǎng)絡(luò)生命全周期的服務(wù)解決方案。在本項(xiàng)目實(shí)施的各個(gè)省份，華三均可提供快捷的本地服務(wù)。130余名技術(shù)中心總部產(chǎn)品技術(shù)專家，涵蓋網(wǎng)絡(luò)規(guī)劃、網(wǎng)絡(luò)測(cè)試驗(yàn)證、路由、交換、安全、無(wú)線、存儲(chǔ)、語(yǔ)音、視訊、監(jiān)控、網(wǎng)管等所有IP細(xì)分產(chǎn)品技術(shù)領(lǐng)域。30余名行業(yè)技術(shù)服務(wù)解決方案專家，全專全能，深入了解行業(yè)客戶需求，為客戶提供專業(yè)的咨詢顧問服務(wù)。2500名研發(fā)后援專

7、家，提供背靠背支持。華三呼叫中心配備 80個(gè)專業(yè)坐席，7*24小時(shí)響應(yīng)客戶需求。 客戶呼叫等待時(shí)間小于20秒，客戶服務(wù)滿意度高達(dá) 95%。500家渠道認(rèn)證合作伙伴，近 3000名認(rèn)證服務(wù)工程師。39個(gè)授權(quán)服務(wù)中心。雄厚的區(qū)域備件資源3個(gè)備件分撥中心（杭州、北京、深圳）82個(gè)區(qū)域備件中心（省會(huì)城市、直轄市、二級(jí)城市）專業(yè)第三方物流公司戰(zhàn)略合作伙伴測(cè)試最嚴(yán)格的產(chǎn)品華三擁有國(guó)內(nèi)最嚴(yán)格的測(cè)試保障流程，以保證出廠產(chǎn)品能夠滿足最苛刻的使用條件。獨(dú)立的產(chǎn)品測(cè)試中心，累積投資超過3億元人民幣。北京杭州兩地，各有一個(gè)大型專業(yè)測(cè)試實(shí) 驗(yàn)室。擁有業(yè)界領(lǐng)先的測(cè)試儀器N2X Testcenter 、IXIA XM、Sm

8、artbits、Avalanche、Ax4000、Abacus等儀器30余臺(tái)。對(duì)公司所有產(chǎn)品進(jìn)行嚴(yán)格的鑒定測(cè)試。公司全線產(chǎn)品均通過國(guó)際著名測(cè)試機(jī)構(gòu)Tolly Group 的嚴(yán)格測(cè)試。注：Tolly Group測(cè)試機(jī)構(gòu)對(duì)所有產(chǎn)品均采用黑盒測(cè)試，測(cè)試結(jié)果無(wú)論好壞均直接在網(wǎng) 站公布，所有測(cè)試內(nèi)容和測(cè)試結(jié)果均網(wǎng)上可查：。最適合XXX的產(chǎn)品與方案華三SDN VPCR絡(luò)解決方案，也與 XXX的XX業(yè)務(wù)的需求深度契合，可以在最大程度上 滿足XXX的XXX的需求。第三章 XXX SDN VPCR絡(luò)解決方案隨著企業(yè)業(yè)務(wù)的快速擴(kuò)展，IT作為基礎(chǔ)設(shè)施，其快速部署和高利用率成為主要需求。云計(jì)算可以為之提供可用的、便捷

9、的、按需的資源提供，成為當(dāng)前企業(yè)IT建設(shè)的常規(guī)形態(tài)，而在云計(jì)算中大量采用和部署的虛擬化幾乎成為一個(gè)基本的技術(shù)模式。部署虛擬機(jī)需要在網(wǎng)絡(luò)中無(wú)限制地遷移到目的物理位置，虛機(jī)增長(zhǎng)的快速性以及虛機(jī)遷移成為一個(gè)常態(tài)性業(yè)務(wù)。 傳統(tǒng)的網(wǎng)絡(luò)已經(jīng)不能很好滿足企業(yè)的這種需求，面臨著如下挑戰(zhàn)：虛擬機(jī)遷移范圍受到網(wǎng)絡(luò)架構(gòu)限制虛擬機(jī)遷移的網(wǎng)絡(luò)屬性要求，當(dāng)其從一個(gè)物理機(jī)上遷移到另一個(gè)物理機(jī)上，虛擬機(jī)需要不間斷業(yè)務(wù)，因而需要其IP地址、MAC地址等參數(shù)維持不變，如此則要求業(yè)務(wù)網(wǎng)絡(luò)是一個(gè)二層網(wǎng)絡(luò)，且要求網(wǎng)絡(luò)本身具備多路徑多鏈路的冗余和可靠性。傳統(tǒng)的網(wǎng)絡(luò)生成樹（STP,Spaning Tree Protocol）技術(shù)不僅部署繁

10、瑣，且協(xié)議復(fù)雜，網(wǎng)絡(luò)規(guī)模不宜過大，限制了虛擬 化的網(wǎng)絡(luò)擴(kuò)展性?；诟鲝S家私有的IRF/vPC等設(shè)備級(jí)的（網(wǎng)絡(luò) N:1）虛擬化技術(shù)，雖然可以簡(jiǎn)化拓?fù)?、具備高可靠性，但是?duì)于網(wǎng)絡(luò)有強(qiáng)制的拓?fù)湫螤?，在網(wǎng)絡(luò)的規(guī)模和靈活性上有所欠缺，只適合小規(guī)模網(wǎng)絡(luò)構(gòu)建， 且一般適用于數(shù)據(jù)中心內(nèi)部網(wǎng)絡(luò)。而為了大規(guī)模網(wǎng)絡(luò)擴(kuò)展的TRILL/SPB/FabricPath/VPLS 等技術(shù)，雖然解決了上述技術(shù)的不足，但對(duì)網(wǎng)絡(luò)有特殊要求， 即網(wǎng)絡(luò)中的設(shè)備均要軟硬件升級(jí)，而支持此類新技術(shù)會(huì)帶來(lái)部署成本的大幅度上升。虛擬機(jī)規(guī)模受網(wǎng)絡(luò)規(guī)格限制在大二層網(wǎng)絡(luò)環(huán)境下，數(shù)據(jù)流均需要通過明確的網(wǎng)絡(luò)尋址以保證準(zhǔn)確到達(dá)目的地，因此網(wǎng)絡(luò)設(shè)備的二層地址

11、表項(xiàng)大小（即MACM址表），成為決定了云計(jì)算環(huán)境下虛擬機(jī)的規(guī)模上限，并且因?yàn)楸眄?xiàng)并非百分之百的有效性，使得可用的虛機(jī)數(shù)量進(jìn)一步降低。特別是對(duì)于低成本的接入設(shè)備而言，因其表項(xiàng)一般規(guī)格較小，限制了整個(gè)云計(jì)算數(shù)據(jù)中心的虛擬機(jī)數(shù)量， 但如果其地址表項(xiàng)設(shè)計(jì)為與核心或網(wǎng)關(guān)設(shè)備在同一檔次，則會(huì)提升網(wǎng)絡(luò)建設(shè)成本。雖然核心或網(wǎng)關(guān)設(shè)備的MACW ARP規(guī)格會(huì)隨著虛擬機(jī)增長(zhǎng)也面臨挑戰(zhàn)，但對(duì)于此層次設(shè)備能力而言， 大規(guī)格是不可避免的業(yè)務(wù)支撐要求。減小接入設(shè)備規(guī)格壓力的做法可以是分離網(wǎng)關(guān)能力，如 采用多個(gè)網(wǎng)關(guān)來(lái)分擔(dān)虛機(jī)的終結(jié)和承載，但如此也會(huì)帶來(lái)成本的巨幅上升。網(wǎng)絡(luò)隔離/分離能力限制當(dāng)前的主流網(wǎng)絡(luò)隔離技術(shù)為VLAN （

12、或VPN ,在大規(guī)模虛擬化環(huán)境部署會(huì)有兩大限制：一是VLAN數(shù)量在標(biāo)準(zhǔn)定義中只有 12個(gè)比特單位，即可用的數(shù)量為4K,這樣的數(shù)量級(jí)對(duì)于公有云或大型虛擬化云計(jì)算應(yīng)用而言微不足道，其網(wǎng)絡(luò)隔離與分離要求輕而易舉會(huì)突破4K;二是VLAN術(shù)當(dāng)前為靜態(tài)配置型技術(shù)（只有EVB/VEPA勺技術(shù)可以在接入層動(dòng)態(tài)部署 VLAN， 但也主要是在交換機(jī)接主機(jī)的端口為常規(guī)部署，上行口依然為所有 VLAN配置通過），這樣使得整個(gè)數(shù)據(jù)中心的網(wǎng)絡(luò)幾乎為所有VLAN被允許通過（核心設(shè)備更是如此），導(dǎo)致任何一個(gè)VLAN的未知目的廣播數(shù)據(jù)會(huì)在整網(wǎng)泛濫，無(wú)節(jié)制消耗網(wǎng)絡(luò)交換能力與帶寬。上述的三大挑戰(zhàn)，完全依賴于物理網(wǎng)絡(luò)設(shè)備本身的技術(shù)改

13、良，目前看來(lái)并不能完全解決大規(guī)模云計(jì)算環(huán)境下的問題，一定程度上還需要更大范圍的技術(shù)革新來(lái)消除這些限制，以滿足云計(jì)算虛擬化的網(wǎng)絡(luò)能力需求。在此驅(qū)動(dòng)力基礎(chǔ)上，逐步演化出Overlay網(wǎng)絡(luò)技術(shù)。XXXXSDNVPC網(wǎng)絡(luò)解決方案，首先要滿足業(yè)務(wù)需求，能夠?qū)崿F(xiàn)XX等需求，第二，要解決上述三大挑戰(zhàn)。下面將從XXX等XXX個(gè)章節(jié)，對(duì)該方案進(jìn)行闡述。3.1總體設(shè)計(jì)原則XXX系統(tǒng)建設(shè)項(xiàng)目從 XXX實(shí)際需求出發(fā)，充分利用信息技術(shù)優(yōu)勢(shì)，從大處著眼，小處著 手，與用戶共同建設(shè)一個(gè)目標(biāo)明確、管理清晰、執(zhí)行順利、平穩(wěn)運(yùn)行的項(xiàng)目，在系統(tǒng)的建設(shè) 和管理過程中，我們將遵循以下原則：1、注重頂層設(shè)計(jì)、統(tǒng)籌規(guī)劃，分步實(shí)施原則在項(xiàng)目

14、的整體規(guī)劃和總體設(shè)計(jì)階段做好統(tǒng)一設(shè)計(jì)、統(tǒng)一標(biāo)準(zhǔn)、統(tǒng)一規(guī)范，然后分層、分階段、逐步建設(shè)，關(guān)注每個(gè)階段的產(chǎn)出和成果， 在統(tǒng)一的目標(biāo)下逐步完成整個(gè)項(xiàng)目的策略、 需求、分析、設(shè)計(jì)、研發(fā)、測(cè)試、部署、試運(yùn)行、培訓(xùn)、運(yùn)維等工作。同時(shí)充分發(fā)揮各類項(xiàng) 目相關(guān)人的知識(shí)能動(dòng)性，為XXX提供信息化建設(shè)的咨詢指導(dǎo)。2、強(qiáng)化應(yīng)用建設(shè)，突出應(yīng)用，關(guān)注實(shí)用原則XXX建設(shè)項(xiàng)目的建設(shè)效果和建設(shè)思路直接體現(xiàn)了XXX建設(shè)項(xiàng)目最直接的產(chǎn)出。 因此，我們?cè)诮ㄔO(shè)項(xiàng)目過程中，將重點(diǎn)突出項(xiàng)目的應(yīng)用目的，關(guān)注實(shí)用價(jià)值，以應(yīng)用和需求為主導(dǎo)， 并在建設(shè)的過程中基于 XXX業(yè)務(wù)服務(wù)的要求、IT技術(shù)的發(fā)展，邊建設(shè)、邊開發(fā)、邊應(yīng)用、 邊完善，讓應(yīng)用的實(shí)

15、際效果作為項(xiàng)目直接驅(qū)動(dòng)要素。3、追求架構(gòu)先進(jìn)、技術(shù)成熟，擴(kuò)展性強(qiáng)原則項(xiàng)目建設(shè)中所采用的技術(shù)架構(gòu)，在一定程度上影響著項(xiàng)目的穩(wěn)定性，也影響到項(xiàng)目未來(lái)的發(fā)展。 因此在實(shí)施過程中我們將放眼長(zhǎng)遠(yuǎn)， 在保證可靠的基礎(chǔ)上， 盡量采用先進(jìn)的網(wǎng)絡(luò)技術(shù)、應(yīng)用平臺(tái)和開發(fā)工具，使XXX系統(tǒng)建設(shè)項(xiàng)目具有較長(zhǎng)的生命周期。4、經(jīng)濟(jì)實(shí)用、節(jié)約成本原則無(wú)論在產(chǎn)品的選型、技術(shù)的選擇中，我們都要考慮成本的約束，其中不僅考慮當(dāng)前采購(gòu)的經(jīng)濟(jì)性， 還要考慮系統(tǒng)長(zhǎng)期運(yùn)維的經(jīng)濟(jì)性， 即系統(tǒng)的總擁有成本， 盡力選擇既經(jīng)濟(jì)可行又長(zhǎng)期保障的產(chǎn)品和技術(shù)。5、確保安全、保護(hù)隱私原則在系統(tǒng)建設(shè)中要充分考慮到系統(tǒng)安全性以及敏感信息的隱私性，避免數(shù)據(jù)出現(xiàn)在

16、共享信息里，從網(wǎng)絡(luò)系統(tǒng)、硬件子系統(tǒng)、 軟件子系統(tǒng)的設(shè)計(jì)都要充分考慮安全保密，采用安全可靠的技術(shù)，保證建成的系統(tǒng)穩(wěn)定運(yùn)行。6、重視資源、強(qiáng)調(diào)成長(zhǎng)原則在項(xiàng)目建設(shè)的過程中，注重信息資源和人力資源的管理，在數(shù)據(jù)資源方面，注重網(wǎng)絡(luò)資源共享的效率性，實(shí)現(xiàn)網(wǎng)絡(luò)互連、信息互通、資源共享，應(yīng)用交互與協(xié)同的網(wǎng)絡(luò)環(huán)境，同時(shí)注重各級(jí)人力資源配置的合理性， 做好培訓(xùn)工作， 與甲方的工作人員共同成長(zhǎng)， 充分發(fā)揮資源效能。7、保護(hù)投資、充分利舊原則在本項(xiàng)目建設(shè)過程中，充分利用現(xiàn)有資源，防止新鋪攤子和重復(fù)建設(shè)，所有建設(shè)內(nèi)容都依托現(xiàn)有條件和隊(duì)伍進(jìn)行建設(shè)，充分利用現(xiàn)有的資源、成果、設(shè)備，不搞重復(fù)建設(shè)。8、先進(jìn)性和成熟性遵守先進(jìn)性

17、、可行性、成熟性，以保證系統(tǒng)的互操作性、兼容性、可維護(hù)性、可擴(kuò)展性，并對(duì)前期投資有較好的保護(hù)。9、一致性和復(fù)用性本項(xiàng)目建設(shè)應(yīng)充分考慮業(yè)務(wù)需求，要最大限度利用已有的資源，以減少重復(fù)投資，提高投資收益率。10 、實(shí)施有序性統(tǒng)籌協(xié)調(diào)，建立相關(guān)管理制度，加強(qiáng)管理和指導(dǎo)，確保協(xié)調(diào)推進(jìn)，有序?qū)嵤ＷC項(xiàng) 目能夠順利、按時(shí)完成。建設(shè)方案為滿足XXX的XX等需要，需采購(gòu)產(chǎn)品硬件和軟件許可，主要實(shí)現(xiàn)（呼應(yīng)項(xiàng)目需求內(nèi)容）總體方案H3C SDN VPCW絡(luò)解決方案基礎(chǔ)Overlay的概念介紹Overlay在網(wǎng)絡(luò)技術(shù)領(lǐng)域，是一種網(wǎng)絡(luò)架構(gòu)上疊加的虛擬化技術(shù)模式，其大體框架是對(duì) 基礎(chǔ)網(wǎng)絡(luò)不進(jìn)行大規(guī)模修改的條件下，實(shí)現(xiàn)應(yīng)用

18、在網(wǎng)絡(luò)上的承載， 并能與其它網(wǎng)絡(luò)業(yè)務(wù)分離，并且以基于IP的基礎(chǔ)網(wǎng)絡(luò)技術(shù)為主。Overlay網(wǎng)絡(luò)是指建立在已有網(wǎng)絡(luò)上的虛擬網(wǎng)，邏輯節(jié)點(diǎn)和邏輯鏈路構(gòu)成了Overlay 網(wǎng)絡(luò)。Overlay網(wǎng)絡(luò)是具有獨(dú)立的控制和轉(zhuǎn)發(fā)平面，對(duì)于連接在overlay邊緣設(shè)備之外的終端系統(tǒng)來(lái)說，物理網(wǎng)絡(luò)是透明的。Overlay網(wǎng)絡(luò)是物理網(wǎng)絡(luò)向云和虛擬化的深度延伸，使云資源池化能力可以擺脫物理網(wǎng)絡(luò)的重重限制，是實(shí)現(xiàn)云網(wǎng)融合的關(guān)鍵。Overlay網(wǎng)絡(luò)概念圖Overlay的技術(shù)標(biāo)準(zhǔn)IETF在Overlay技術(shù)領(lǐng)域提出 VXLAN NVGRE STT三大技術(shù)方案。大體思路均是將以 太網(wǎng)報(bào)文承載到某種隧道層面，差異性在于選擇和構(gòu)造

19、隧道的不同，而底層均是IP轉(zhuǎn)發(fā)。VXLAN STT對(duì)于現(xiàn)網(wǎng)設(shè)備而言對(duì)流量均衡要求較低，即負(fù)載鏈路負(fù)載分擔(dān)適應(yīng)性好，一般的網(wǎng)絡(luò)設(shè)備都能對(duì) L2-L4的數(shù)據(jù)內(nèi)容參數(shù)進(jìn)行鏈路聚合或等價(jià)路由的流量均衡，而 NVGRE 則需要網(wǎng)絡(luò)設(shè)備對(duì) GRE擴(kuò)展頭感知并對(duì)flow ID 進(jìn)彳T HASH需要硬彳升級(jí)；STT對(duì)于TCP 有較大修改，隧道模式接近 UDP性質(zhì)，隧道構(gòu)造技術(shù)屬于革新性，且復(fù)雜度較高，而 VXLAN 利用了現(xiàn)有通用的 UDP專輸，成熟性極高。所以總體比較，VLXANK術(shù)具有更大優(yōu)勢(shì)，而且當(dāng)前 VLXANfe得到了更多廠家和客戶的支持，已經(jīng)成為Overlay技術(shù)的主流標(biāo)準(zhǔn)，所以本文的后續(xù)介紹均以

20、VXLAN術(shù)作為標(biāo)準(zhǔn)進(jìn) 行介紹，NVGRE STT則不再贅述。VXLAN（Virtual extensible LAN可擴(kuò)展虛擬局域網(wǎng)絡(luò)） 是基于IP網(wǎng)絡(luò)、采用“MAOnUDP封裝形式的二層 VPN技術(shù)，具體封裝的報(bào)文格式如圖2所示。VXLAN可以基于已有的服務(wù)提供商或企業(yè)IP網(wǎng)絡(luò)，為分散的物理站點(diǎn)提供二層互聯(lián)功能，主要應(yīng)用于數(shù)據(jù)中心網(wǎng) 絡(luò)。VXLANM有如下特點(diǎn)：使用24位的標(biāo)識(shí)符，最多可支持 16M個(gè)VXLAN解決了傳統(tǒng)二層網(wǎng)絡(luò) VLAN資源不 足的問題?；贗P網(wǎng)絡(luò)組建大二層網(wǎng)絡(luò)，使得網(wǎng)絡(luò)部署和維護(hù)更加容易，并且可以好地利用 現(xiàn)有的IP網(wǎng)絡(luò)技術(shù)，例如利用等價(jià)路由負(fù)載分擔(dān)。只有邊緣設(shè)備需要

21、進(jìn)行 VXLANi理，VXLAN#務(wù)對(duì)網(wǎng)絡(luò)中間設(shè)備透明，只需根據(jù)IP頭轉(zhuǎn)發(fā)報(bào)文，降低了網(wǎng)絡(luò)部署的難度和費(fèi)用。根據(jù)客戶不同組網(wǎng)需求，Overlay的網(wǎng)絡(luò)部署分為以下三種組網(wǎng)模型，如下圖所示。Overlay的網(wǎng)絡(luò)部署圖網(wǎng)絡(luò)Overlay的隧道封裝在物理交換機(jī)完成。這種Overlay的優(yōu)勢(shì)在于物理網(wǎng)絡(luò)設(shè)備性 能轉(zhuǎn)發(fā)性能比較高， 可以支持非虛擬化的物理服務(wù)器之間的組網(wǎng)互通。它的缺點(diǎn)就是現(xiàn)網(wǎng)設(shè)備大都不支持VXLAN,需要大批量更換設(shè)備。主機(jī)Overlay隧道封裝由虛擬設(shè)備完成， 不用增加新的網(wǎng)絡(luò)設(shè)備即可完成 Overlay部署， 可以支持虛擬化的服務(wù)器之間的組網(wǎng)互通。它純粹由服務(wù)器實(shí)現(xiàn) Overlay功

22、能，對(duì)現(xiàn)有網(wǎng)絡(luò)改動(dòng)不大，但是可能存在轉(zhuǎn)發(fā)瓶頸?；旌螼verlay是Network Overlay 和Host Overlay 的混合組網(wǎng)，可以支持物理服務(wù)器 和虛擬服務(wù)器之間的組網(wǎng)互通。它融合了兩種Overlay方案的優(yōu)點(diǎn)，既可以發(fā)揮硬件GW勺轉(zhuǎn)發(fā)性能，又盡可能的減少對(duì)于現(xiàn)有網(wǎng)絡(luò)的改動(dòng)。H3C SDN VPCW絡(luò)解決方案典型組網(wǎng)主機(jī)Overlay主要利用泛洪或廣播機(jī)制實(shí)現(xiàn)網(wǎng)絡(luò)構(gòu)建和擴(kuò)展，它將虛擬設(shè)備作為Overlay網(wǎng)絡(luò)的邊緣設(shè)備和網(wǎng)關(guān)設(shè)備，Overlay功能純粹由服務(wù)器來(lái)實(shí)現(xiàn)，它的典型組網(wǎng)如下圖所示：圖1主機(jī)Overlay典型組網(wǎng)該組網(wǎng)方案：使用物理服務(wù)器的 vSwitch實(shí)現(xiàn)VXLANJ絡(luò)

23、VTEP部署 VCF Controller 后可以集中控制 VXLAN VTEP/GWVCF Controller 配合 Hypervisor 平臺(tái)管理多形態(tài) Gateway。該組網(wǎng)方案有以下優(yōu)點(diǎn)：適用于服務(wù)器虛擬化的場(chǎng)景，成本較低，VXLANB理GW既可以用在核心位置，也可以在現(xiàn)有核心旁掛，保護(hù)已有投資?？刂泼鎸?shí)現(xiàn)可以由 H3c高可靠的SDN Controller 集群實(shí)現(xiàn)，提高了可靠性和可擴(kuò) 展性，避免了大規(guī)模的復(fù)雜部署。網(wǎng)關(guān)組部署可以實(shí)現(xiàn)流量的負(fù)載分擔(dān)和高可靠性傳輸。支持分布式網(wǎng)關(guān)功能，使虛機(jī)遷移后不需要重新配置網(wǎng)關(guān)等網(wǎng)絡(luò)參數(shù)，部署簡(jiǎn)單、 靈活。網(wǎng)絡(luò)基礎(chǔ)架構(gòu)Overlay網(wǎng)絡(luò)的基礎(chǔ)架構(gòu)如

24、下圖所示：Overlay網(wǎng)絡(luò)的基礎(chǔ)架構(gòu)VM （Virtual Machine ,虛擬機(jī)）在一臺(tái)服務(wù)器上可以創(chuàng)建多臺(tái)虛擬機(jī)，不同的虛擬機(jī)可以屬于不同的VXLAN屬于相同VXLANB勺虛擬機(jī)處于同一個(gè)邏輯二層網(wǎng)絡(luò)，彼此之間二層互通。兩個(gè)VXLAN可以具有相同的 MACM址，但一個(gè)段不能有一個(gè)重復(fù)的MAC%址。VTEP （VXLAN Tunnel End Point , VXLAN隧道端點(diǎn)）VXLANB勺邊緣設(shè)備，進(jìn)行 VXLAWk務(wù)處理：識(shí)別以太網(wǎng)數(shù)據(jù)幀所屬的 VXLAN基于VXLAN寸數(shù)據(jù)幀進(jìn)行二層轉(zhuǎn)發(fā)、封裝/解封裝VXLANO:等。VXLAN!過在物理網(wǎng)絡(luò)的邊緣設(shè)置智能實(shí)體VTEP實(shí)現(xiàn)了虛擬網(wǎng)

25、絡(luò)和物理網(wǎng)絡(luò)的隔離。VTEP之間建立隧道，在物理網(wǎng)絡(luò)上傳輸虛擬網(wǎng)絡(luò)的數(shù)據(jù)幀，物理網(wǎng)絡(luò)不感知虛擬網(wǎng)絡(luò)。VTEP將從虛擬機(jī)發(fā)出/接受的幀封裝/解封裝，而虛擬機(jī)并不區(qū)分VNI和VXLAN隧道。,VXLAN網(wǎng)絡(luò)標(biāo)識(shí)符）VNI(VXLAN Network IdentifierVXLA豚用24比特標(biāo)識(shí)二層網(wǎng)絡(luò)分段，使用 VNI來(lái)標(biāo)識(shí)二層網(wǎng)絡(luò)分段，每個(gè) VNI 標(biāo)識(shí)一個(gè)VXLAN類似于VLANID作用。VNI占用24比特，這就提供了近 16M可以使用 的VXLANs VNI將內(nèi)部的幀封裝（幀起源在虛擬機(jī)） 。使用VNI封裝有助于 VXLAN1立 隧道，該隧道在第 3層網(wǎng)絡(luò)之上覆蓋率第二層網(wǎng)絡(luò)。VXLAN1道

26、在兩個(gè)VTEP之間完成VXLANfej裝報(bào)文傳輸?shù)倪壿嬎淼?。業(yè)務(wù)入隧道進(jìn)行 VXLAN、UDP頭、IP頭封裝后，通過三層轉(zhuǎn)發(fā)透明地將封裝后的報(bào)文轉(zhuǎn)發(fā)給遠(yuǎn)端VTEP遠(yuǎn)端VTEP對(duì)其進(jìn)行出隧道解封裝處理。VSI （Virtual Switching Instance ,虛擬交換實(shí)例）VTEP上為一個(gè)VXLANS供二層交換服務(wù)的虛擬交換實(shí)例。網(wǎng)絡(luò)部署需求VXLAN對(duì)基礎(chǔ)承載網(wǎng)絡(luò)的需求MTUVXLANS要增加50字節(jié)用于封裝VM發(fā)出的報(bào)文，需要更大的IP網(wǎng)絡(luò)端到端的MTUVXLAN卸載由于VXLANrn入了新的VXLANm文頭，VXLANS絡(luò)報(bào)文不能再利用網(wǎng)卡的硬件卸載能力， 這會(huì)導(dǎo)致支持VXLAN的

27、vSwitch進(jìn)一步占用CPUVXLAN網(wǎng)絡(luò)和傳統(tǒng)網(wǎng)絡(luò)互通的需求為了實(shí)現(xiàn) VLAN和VXLANS間互通，VXLAINt義了 VXLAN網(wǎng)關(guān)。VXLAN同時(shí)存在 VXLAN 端口和普通端口兩種類型端口，它可以把VXLAN網(wǎng)絡(luò)和外部網(wǎng)絡(luò)進(jìn)行橋接和完成VXLAN ID和VLAN ID之間的映射和路由，和VLAN一樣，VXLAN網(wǎng)絡(luò)之間的通信也需要三層設(shè)備的支持，即VXLANS由的支持。同樣 VXLAN網(wǎng)關(guān)可由硬件和軟件來(lái)實(shí)現(xiàn)。當(dāng)收到從VXLAN網(wǎng)絡(luò)到普通網(wǎng)絡(luò)的數(shù)據(jù)時(shí)，VXLANS關(guān)去掉外層包頭，根據(jù)內(nèi)層的原始 幀頭轉(zhuǎn)發(fā)到普通端口上；當(dāng)有數(shù)據(jù)從普通網(wǎng)絡(luò)進(jìn)入到VXLAN網(wǎng)絡(luò)時(shí)，VXLAN網(wǎng)關(guān)負(fù)責(zé)打上外層

28、包頭，并卞!據(jù)原始 VLAN ID對(duì)應(yīng)到一個(gè) VNI,同時(shí)去掉內(nèi)層包頭的 VLAN ID信息。相應(yīng)的 如果VXLANR關(guān)發(fā)現(xiàn)一個(gè)VXLAN&的內(nèi)層幀頭上還帶有原始的二層VLANID,會(huì)直接將這個(gè)包丟棄。如圖所示。VXLANJ關(guān)最簡(jiǎn)單的實(shí)現(xiàn)應(yīng)該是一個(gè)Bridge設(shè)備，僅僅完成 VXLAMU VLAN的轉(zhuǎn)換，包含 VXLAN至ij VLAN的1: 1、N: 1轉(zhuǎn)換，復(fù)雜的實(shí)現(xiàn)可以包含 VXLANMapping功能 實(shí)現(xiàn)跨VXLAN發(fā)，實(shí)體形態(tài)可以是 vSwitch、TO戲換機(jī)。如圖所示。VXLAN由器最簡(jiǎn)單的實(shí)現(xiàn)可以是一個(gè) Switch設(shè)備，支持類似VLANMapping 的功能，實(shí)現(xiàn)VXLANI

29、D之間的Mapping,復(fù)雜的實(shí)現(xiàn)可以是一個(gè) Router設(shè)備，支持跨VXLAN 轉(zhuǎn)發(fā)，實(shí)體形態(tài)可以是 vRouter、TO戲換機(jī)、路由器。VXLAN關(guān)和VXLAN各由簡(jiǎn)單實(shí)現(xiàn)VXLAN網(wǎng)絡(luò)安全需求同傳統(tǒng)網(wǎng)絡(luò)一樣，VXLANR絡(luò)同樣需要進(jìn)行安全防護(hù)。VXLANR絡(luò)的安全資源部署需要考慮兩個(gè)需求：VXLAN VLAN間互通的安全控制傳統(tǒng)網(wǎng)絡(luò)和Overlay網(wǎng)絡(luò)中存在流量互通，需要對(duì)進(jìn)出互通的網(wǎng)絡(luò)流量進(jìn)行安全控制，防止網(wǎng)絡(luò)間的安全問題。針對(duì)這種情況，可以在網(wǎng)絡(luò)互通的位置部署VXLAN火墻等安全資源，VXLAN火墻可以兼具VXLAN網(wǎng)關(guān)和VXLAN由器的功能。VXLAN ID對(duì)應(yīng)的不同 VXLAN域

30、之間互通的安全控制VM之間的橫向流量安全是在虛擬化環(huán)境下產(chǎn)生的特有問題，在這種情況下，同一個(gè)服務(wù)器的不同 VM之間的流量可能直接在服務(wù)器內(nèi)部實(shí)現(xiàn)交換，導(dǎo)致外部安全資源失效。針對(duì)這種情況，可以考慮使用重定向的引流方法進(jìn)行防護(hù)，又或者直接基于虛擬機(jī)進(jìn)行防護(hù)。網(wǎng)絡(luò)部署中的安全資源可以是硬件安全資源，也可以是軟件安全資源， 還可以是虛擬化的安全資源。Overlay網(wǎng)絡(luò)虛機(jī)位置無(wú)關(guān)性通過使用MAC-in-UDP封裝技術(shù)，VXLAN虛擬機(jī)提供了位置無(wú)關(guān)的二層抽象，Underlay網(wǎng)絡(luò)和Overlay網(wǎng)絡(luò)解耦合。終端能看到的只是虛擬的二層連接關(guān)系，完全意識(shí)不到物理網(wǎng)絡(luò)限制。更重要的是，這種技術(shù)支持跨傳統(tǒng)網(wǎng)絡(luò)

31、邊界的虛擬化，由此支持虛擬機(jī)可以自由遷移，甚至可以跨越不同地理位置數(shù)據(jù)中心進(jìn)行遷移。如此以來(lái)，可以支持虛擬機(jī)隨時(shí)隨地接入, 不受實(shí)際所在物理位置的限制。所以VXLAN位置無(wú)關(guān)性，不僅使得業(yè)務(wù)可在任意位置靈活部署， 緩解了服務(wù)器虛擬化 后相關(guān)的網(wǎng)絡(luò)擴(kuò)展問題；而且使得虛擬機(jī)可以隨時(shí)隨地接入、 遷移，是網(wǎng)絡(luò)資源池化的最佳 解決方式，可以有力地支持云業(yè)務(wù)、大數(shù)據(jù)、虛擬化的迅猛發(fā)展。分布式網(wǎng)關(guān)分布式網(wǎng)關(guān)把分布在多臺(tái)主機(jī)的單一OV滋輯上組成一個(gè)“大”交換機(jī)，原來(lái)每個(gè)OVS需要分別配置，而現(xiàn)在 OV的布式網(wǎng)關(guān)可在控制器管理界面集中配置、管理。分布式網(wǎng)關(guān)通過控制器創(chuàng)建和維護(hù)，當(dāng)一個(gè)OV的布式網(wǎng)關(guān)被創(chuàng)建時(shí)，每一

32、個(gè)主機(jī)會(huì)創(chuàng)建一個(gè)E1藏的OVS與分布式網(wǎng)關(guān)連接。分布式網(wǎng)關(guān)主要具備以下幾個(gè)功能：可以實(shí)現(xiàn)OVSB中管理的功能，在控制器管理界面對(duì) OV既中配置管理，無(wú)需對(duì)每 個(gè)OV卯獨(dú)配置、管理。OV的布式網(wǎng)關(guān)可以通過流表實(shí)現(xiàn)VXLANB勺二三層轉(zhuǎn)發(fā)。虛擬機(jī)遷移時(shí)可以使得虛擬機(jī)網(wǎng)絡(luò)端口狀態(tài)在從一個(gè)主機(jī)移到另一個(gè)主機(jī)時(shí)保持 不變，這樣就能支持對(duì)虛擬機(jī)持續(xù)地統(tǒng)計(jì)監(jiān)控并促進(jìn)安全性監(jiān)控。虛擬機(jī)遷移后，不需要重新配置網(wǎng)關(guān)等網(wǎng)絡(luò)參數(shù)，部署簡(jiǎn)單、靈活。Overlay網(wǎng)絡(luò)流表路由ARP代答對(duì)于虛擬化環(huán)境來(lái)說，當(dāng)一個(gè)虛擬機(jī)需要和另一個(gè)虛擬機(jī)進(jìn)行通信時(shí)，首先需要通過ARP的廣播請(qǐng)求獲得對(duì)方的 MACfe址。由于VXLA刖絡(luò)復(fù)雜，

33、廣播流量浪費(fèi)帶寬，所以需要 在控制器上實(shí)現(xiàn)ARP代答功能。即由控制器對(duì)ARP請(qǐng)求報(bào)文統(tǒng)一進(jìn)行應(yīng)答，而不創(chuàng)建廣播流 表。ARP代答的大致流程：控制器收到OVS上送的ARP請(qǐng)求報(bào)文，做IP-MAC防欺騙處理確認(rèn)報(bào)文合法后，從ARP請(qǐng)求報(bào)文中獲取目的IP,以目的IP為索引查找全局表獲取對(duì)應(yīng) MAC 以查到的MAC乍為源MAC勾建ARP應(yīng)答報(bào)文，通過 Packetout下發(fā)給OVSOverlay網(wǎng)絡(luò)轉(zhuǎn)發(fā)流程報(bào)文所屬VXLANim別VTEP只有識(shí)別出接收到的報(bào)文所屬的VXLAN才能對(duì)該報(bào)文進(jìn)行正確地處理。VXLAN隧道上接收?qǐng)?bào)文的識(shí)另1J:對(duì)于從VXLAN1道上接收到的 VXLAN報(bào)文，VTEP根據(jù)報(bào)文

34、中攜帶的VNI判斷該報(bào)文所屬的 VXLAN本地站點(diǎn)內(nèi)接收到數(shù)據(jù)幀的識(shí)別：對(duì)于從本地站點(diǎn)中接收到的二層數(shù)據(jù)幀，VTEP通過以太網(wǎng)服務(wù)實(shí)例（Service Instance ）將數(shù)據(jù)幀映射到對(duì)應(yīng)的VSI, VSI內(nèi)創(chuàng)建的 VXLAN即為該數(shù)據(jù)幀所屬的 VXLANMACM址學(xué)習(xí)本地MACM址學(xué)習(xí)：指本地 VTEP連接的本地站點(diǎn)內(nèi)虛擬機(jī) MAC地址的學(xué)習(xí)。本地 MAC 地址通過接收到數(shù)據(jù)幀中的源MAC&址動(dòng)態(tài)學(xué)習(xí)，即 VTEP接收到本地虛擬機(jī)發(fā)送的數(shù)據(jù)幀后，判斷該數(shù)據(jù)幀所屬的 VSI,并將數(shù)據(jù)幀中的源 MAC%址（本地虛擬機(jī)的 MACM址）添加 到該VSI的MACM址表中，該 MAC%址對(duì)應(yīng)的出接口為

35、接收到數(shù)據(jù)幀的接口。遠(yuǎn)端MACM址學(xué)習(xí)：指遠(yuǎn)端 VTEP連接的遠(yuǎn)端站點(diǎn)內(nèi)虛擬機(jī) MACM址的學(xué)習(xí)。遠(yuǎn)端 MAC 學(xué)習(xí)時(shí)，VTEP從VXLAN隧道上接收到遠(yuǎn)端 VTEP發(fā)送的VXLAN文后，根據(jù) VXLAN ID判斷 報(bào)文所屬的VXLAN對(duì)報(bào)文進(jìn)行解封裝，還原二層數(shù)據(jù)幀，并將數(shù)據(jù)幀中的源MAC*址（遠(yuǎn)端虛擬機(jī)的MACM址）添加到所屬 VXLANX寸應(yīng)VSI的MACM址表中，該MAC%址對(duì)應(yīng)的出接 口為VXLAN1道接口。Overlay網(wǎng)絡(luò)虛機(jī)遷移在虛擬化環(huán)境中，虛擬機(jī)故障、動(dòng)態(tài)資源調(diào)度功能、服務(wù)器主機(jī)故障或計(jì)劃內(nèi)停機(jī)等都 會(huì)造成虛擬機(jī)遷移動(dòng)作的發(fā)生。虛擬機(jī)的遷移，需要保證遷移虛擬機(jī)和其他虛擬機(jī)直

36、接的業(yè) 務(wù)不能中斷，而且虛擬機(jī)對(duì)應(yīng)的網(wǎng)絡(luò)策略也必須同步遷移。虛擬機(jī)遷移及網(wǎng)絡(luò)策略如圖所示：虛擬機(jī)遷移及網(wǎng)絡(luò)策略跟隨網(wǎng)絡(luò)管理員通過虛擬機(jī)管理平臺(tái)下發(fā)虛擬機(jī)遷移指令，虛擬機(jī)管理平臺(tái)通知控制器預(yù)遷移，控制器標(biāo)記遷移端口，并向源主機(jī)和目的主機(jī)對(duì)應(yīng)的主備控制器分布發(fā)送同步消息，通知遷移的VPort ,增加遷移標(biāo)記。同步完成后，控制器通知虛擬機(jī)管理平臺(tái)可以進(jìn)行遷移了。虛擬機(jī)管理平臺(tái)收到控制器的通知后，開始遷移，創(chuàng)建VM分配IP等資源并啟動(dòng) VM 啟動(dòng)后目的主機(jī)上報(bào)端口添加事件， 通知給控制器，控制器判斷遷移標(biāo)記， 遷移端口， 保存新上報(bào)端口和舊端口信息。然后控制器向目的主機(jī)下發(fā)網(wǎng)絡(luò)策略。源VM和目的執(zhí)行內(nèi)

37、存拷貝，內(nèi)存拷貝結(jié)束后，源VM關(guān)機(jī)，目的VM上線。源VM關(guān)機(jī)后，遷移源主機(jī)上報(bào)端口刪除事件， 通知給控制器， 控制器判斷遷移標(biāo)記， 控制器根據(jù)信息刪除舊端口信息并同時(shí)刪除遷移前舊端口對(duì)應(yīng)的流表信息。主控制器完成上述操作后在控制器集群內(nèi)進(jìn)行刪除端口消息的通知。 其他控制器收到刪除端口信息后， 也刪除本控制器的端口信息， 同時(shí)刪除對(duì)應(yīng)端的流表信息。 源控制器需要把遷移后新端口通知控制器集群的其他控制器。 其他控制器收到遷移后的端口信息， 更新端口信息。當(dāng)控制器重新收到 Packet-in 報(bào)文后，重新觸發(fā)新的流表生成。Overlay 網(wǎng)關(guān)高可靠性O(shè)verlay 網(wǎng)關(guān)的高可靠性原理如圖所示：Overlay 網(wǎng)關(guān)高可靠性網(wǎng)關(guān)組中網(wǎng)關(guān)的 V