ADCampus技术白皮书1.0(无权限)

ADCampus 技术白皮书 Copyright 2015 杭州华三通信技术有限公司 版权所有 保留一 切权利 非经本公司书面许可 任何单位和个人不得擅自摘抄 复制本文 档内容的部分或全部 并不得以任何形式传播 本文档中的信息可能变动 恕不另行通 知 i 目 录 1 当前园区网的问题 1 2 ADCampus 解决方案概述 2 3 ADCampus 方案亮点介绍 4 4 ADCampus 典型组网与应用 15 5 缩略语 17 1 1 当前园区网的问题 通常一个现代 IT 系统由三部分组成 云 管 和 端 云 通常指远端的公有云 私有云数 据中心 是企业应用的承载中心 端 就是需要接入网络 使用云服务的各种固定和移动终端 管 就是连接 端 和 云 的传送通道 主要包括广域网和园区网两部分 这三者之间相互影响 相互适应 对于园区网来说 作为连接 端 和 云 的中间管道 经常受 端 和 云 两方面的 影响 因为和终端的联系最紧密 因此受 端 的影响更大一些 目前包括 gartner 在内的主流研究机构都发布了对于 端 的趋势分析和预测 总结为两点 终端的移动化和无线化成为趋势 现在每个人都有不止一个移动终端 移动互联越来越深入 到人们的生活中 在企业中 BYOD 应用越来越广泛 无线移动办公成为主流 从咨询机构 的报告来看 无线产品出货量的增长速度远远高于有线产品的出货量 IOE 万物互联成为趋势 现今世界 99 的物体还没有联网 将来物联网会带来百亿级别的智 能物体接入 我们的灯泡 汽车 冰箱 微波炉 我们的家具未来都要上网 那么 端 的这些变化对园区网会带来哪些影响和冲击呢 1 移动化的冲击 策略如何跟随 体验如何保持不变 除了无线漫游 企业中还存在其他方式的移动 比如员工 从办公位跑到会议室里边开会 需要共享胶片和资源 相关的权限需要继续保持 员工从总部 出差到分支希望一些重要的业务权限不变 公司搬家后希望即插即用 业务不中断等等 但从 目前网络现状看 很难做到或者说 IT 需要花费很大的代价进行网络配置调整 用户的体验也 不够好 比如 某公司一部分员工分流搬家到新的办公大楼之后 预先做了大量的工作进行网 段重划和配置调整以保证业务连续性 但不幸的是搬家后 IP 电话 打印机等必须的办公设备依 旧长达近两周时间不能使用 对正常办公影响较大 如何方便的进行用户审计 传统网络状态下 用户移动 IP 地址发生变化 当审计的时候 由 于用户的 IP 地址不停变化 需要结合不同时间段内用户的 IP 地址情况综合去查 查询虽然可 以实现 但是比较麻烦 达不到所见即所得的状态 即见 IP 地址即见用户 单独审计 IP 的效 果 2 无线化的冲击 2 企业中无线技术出现之后 网络中始终存在着有线和无线两张不同的网络 虽然无线接入逐渐占 据主流 但是有线无线混跑的局面在未来一段时间还将长期存在 那么客户会面临有线无线两张网络 的割裂问题 管理割裂 有线无线两组不同的人来同时管理网络 数据转发割裂 有线走交换机转发 无线走 capwap 的 AC 集中式转发 策略执行点割裂 有线的执行点在交换机上 无线的策略执行点在 AC 上 这样网络的运维往往需要两套人马 带来了成本的上升和管理复杂问题 虽然业界对于有线无 线融合已经有呼声 并且也都提出了一些方案 但总是存在这样那样的问题 不能达到满意的效果 3 IOE 的冲击 IOE 带来了终端接入数量的爆炸式增长 IOE 接入园区网络的方式主要有两种 一种是直接接入 园区网 比如监控摄像头 移动 POS 终端等 另外一种是通过物联网关接入 比如楼宇自动化系统中 使用物联网关路由器 一侧使用 ethernet 端口接园区网络 网关其他端口接各种现场控制总线 IOE 终端接入园区网络之后 往往和园区网现有业务有不同的属性 需要进行安全隔离和 QOS 保证 同时 对于直接接入园区网的大量物联网终端 配置管理工作量较大 如何实现简单运维 快速部署也是园 区网需要考虑的课题 那么当前园区网存在哪些问题呢 总结为两个词 僵化和复杂 僵化就是不灵活 网络往往与物理位置紧耦合 网管人员往往根据地理位置 楼栋 划分若干个 L3 网段 终端基本不能大范围移动 如果要移动 策略不能自动跟随 体验难以保持不变 复杂就是网络运维工作量巨大 网管人员 80 90 的时间都陷在网络运维的泥潭里不能自拔 只 有 10 20 的时间才能用于创新 2 ADCampus 解决方案概述 为了解决园区网存在的上述问题 H3C 提出了自己的 ADCampus 新园区架构 ADCampus 架构 最大的两个特征是柔性和极简 柔性一方面指网络架构本身非常灵活 业务部署 应用 终端 可以做到与位置无关 另一方面指 网络架构本身开放可编程 柔性具体包括如下 4 大亮点 1 位址分离 名址绑定 位指位置 址指 IP 地址 名指用户本身或者业务 位址分离就是 IP 地 址与位置解耦 名址绑定就是用户 业务和 IP 地址绑定 IP 地址不光从技术层面承载连通性 3 支撑路由转发 而且还具有了直接标识业务 用户的功能 策略可以直接根据 5 元组来实施 大大简化了传统网络策略的部署 最终达到所见即所得的效果 IP 即用户 网段即业务 同 时也大大简化了网络的审计 2 策略随行 指用户移动到哪里 策略就跟随到哪里 用户的体验不变 比如研发的员工从总 部出差到各个办事处 依旧能获得研发的权限 访问研发的相关资源 和在总部一样 3 业务按需交付 业务指 4 7 层服务 如防火墙 IPS ACG 等 这里引入了服务链概念 把 园区传统的通过策略路由方式的复杂引流策略转换为一种简单的按需使用 自由编排的引流 方式来快速实现 4 开放网络 指 ADCampus 除了基础网络架构之外 还提供 controller 提供软件定义能力 通过 controller 上层接口开放 允许第三方进行增值开发 快速提供新的功能 极简指网络管理大幅简化 真正将网管员从低价值劳动中解放出来 ADCampus 的目标是消灭命 令行 从 controller 一点进入管理网络 极简具体包括如下两大亮点 1 有线无线深度统一 将有线无线两张割裂的网络进行深度融合 一套网管 一种数据平面 一套策略 2 自动化上线 设备开箱 上电后自动加载版本 加载配置 网管员零干预启动 少量的基于 设备角色的配置模板 更简单 ADCampus 的网络架构如下所示 汇聚 接入 Campus Director核心 VXLAN VLAN VLAN VLAN 10 VXLAN 10 VLAN 20 VXLAN 20 策略执行点 4 网络由接入 汇聚 核心三层设备组成 外部搭配重要的园区控制器 Campus director 具体来 看 有如下一些特点 接入到汇聚使用 vlan 进行联通 在汇聚层设备上 不同 vlan 映射到不同 Vxlan 进行隔离 同 时汇聚和核心设备之间运行 Vxlan 构建 overlay 网络 构建一个逻辑上的大二层网络 同时采 用分布式 L3 网关并通过可靠的机制有效地抑制广播风暴 策略管理上采用了面向业务的分组模式 将属性或者访问权限相近的用户分到一个安全组中 同时也将服务器侧的资源划分到安全组进行统一管理 策略定义时 基于矩阵表格的方式简 单直观 具体策略可简单可复杂 实现各种高级复杂的策略控制功能 基于 5W1H 的灵活的用户认证接入机制 根据 who 谁 whose 谁的设备 what 什么 设备 when 什么时间 where 什么地点 how 什么方式 多个维度覆盖各种接入场 景 用户可根据自己的需求 灵活定制场景 满足自己个性化的需求 支持用户终端在整个生命周期中 mac 和 IP 的强绑定 终端不管移动到哪里 可以做到终端始 终绑定唯一固定的 IP 满足某些企业强安全需求 整网的核心是园区网控制器组件 Campus Director 所有对网络的自动化上线 接入管理 用户组 策略管理 业务配置管理全部在 director 上通过直观的图形化界面完成 Director 将管 理员的操作在后台转化为网络设备的具体命令进行下发给设备执行 3 ADCampus 方案亮点介绍 1 位址分离 名址绑定 传统网络存在的问题 传统网络划分 L3 网段时往往与位置紧密关联 一个企业要根据不同的办公 室 不同的楼层 楼栋划分不同 L3 网段 这种模式下要想实现用户移动 比如员工出差 非常困难 因 为用户移动往往要跨越不同 L3 网段 IP 地址必须进行更换 往往会丧失原先的权限 给工作带来麻烦 比如研发的员工到市场部出差 往往只能获取市场人员的权限 丧失研发人员的权限 不能查看 研发的资料 如果要查看 只能通过其他的途径来进行 降低工作效率 5 再比如研发部有两栋大楼 由于工作关系 员工在这两栋大楼同时有 2 个办公位 由于 L3 网段的 划分 导致员工在这两个办公位办公时获得的 IP 地址不一样 那么网管就需要针对这个员工的策略控 制也得做两套 增加了网管的负担 也浪费了交换机的 acl 资源 还有同一个部门 工作组分散在不同的大楼里 使用不同的 IP 地址 虽然他们的权限完全一样 但 是还需要网管人员针对单个 IP 地址设置相同的控制策略 也明显增加了网管人员的负担 归根结底 是因为传统网络的设计 其设计理念就是和位置紧耦合 也不愿也不能方便地实现员 工的移动办公 IP 地址只提供技术上的路由连通性功能 没有身份或者业务标识的功能 导致审计也 变得复杂 ADCampus 网络采用创新的网络架构 可以做到网络无状态 接入无差别 IP 地址与位置解耦 不管用户移动到哪里 IP 地址都能随身携带 IP 地址不光能承担路由连通性的技术功能 还具有身份 和业务的标识功能 上例中员工出差 在 ADCampus 网络中 研发员工可以继续享受总部研发的权限 方便地查看研 发的相关资料 就像自己还身处于总部一样 即使该研发人员和某个市场人员的终端连接到同一个交 换机的相邻两个端口 依旧要受研发 市场两个部门之间的策略控制 同时该研发人员不管在哪里 可 以做到始终使用固定的 IP 地址 这样见 IP 地址就见该员工 审计只追踪该 IP 地址的行为即可 审计 大大简化 上例中员工在多个办公楼有多个工位 终端的情况 在新的架构下 用户不需要分派两个地址 只 需要一个固定的 IP 地址即可 不管在哪个工位办公都可以使用 网管做策略时只要对一个 IP 地址做策 略即可 网管的工作量降低 6 对于分散在不同大楼的同部门员工 完全可以分派同一个网段的地址 前缀一样 这样做策略时 可以针对 IP 前缀做一条策略即可 避免逐个 IP 地址做策略 网管大大简化 再比如 企业的监控摄像头一般上都分散在各处 在部署时需要根据具体位置分派各不相同的 IP 地址 导致对摄像头的业务识别需要深入到报文内部的 4 层端口号甚至应用层信息 对交换机的要求 较高 若采用 ADCampus 架构 由于地址的分派和位置无关 这些摄像头可以完全编入一个特定的网 段 以后对摄像头业务的识别不需要识别端口号或者应用层 只需要识别 IP 网段即可 这样对交换机 的要求大大降低 总之 在 ADCampus 架构下 IP 地址完全可以做到与位置解耦 真正实现 IP 即用户 网段即业 务 审计更简单 2 策略随行 在用户移动的过程中 如何保证策略随行 体验不变是用户最希望追求的效果 一般上要实现策略随行 都需要对用户进行分组 传统的分组方式与地理位置紧耦合 同一 个用户组位于一个办公区 一个楼层后者一个大楼之内 很难跨越地理的局限 这样用户一旦 移动起来 策略实施就非常复杂 想达到策略跟随或者体验一致也非常困难 以前文某公司搬 家为例 分出的一部分人员在新的办公区长达一周多时间 打印机 IP 电话等业务迟迟不能就绪 就是一个明显的例子 在我们的 ADCampus 架构下 用户分组完全打破地理的壁垒 可以跨越 整个企业网络 7 除了用户分组之外 策略的定义 动态跟踪也是策略随行的重要内容 一些友商虽然支持跨 地域的分组 支持策略动态跟随 但是由于基础网络是传统架构 没有办法实现 IP 地址与位置 解耦 IP 地址移动过程中不停变化 导致其不停地维护刷新 IP 地址到用户组的映射关系 并且 在本地没有映射关系时需要向控制器进行查询 而且要引入防火墙来辅助实现东西向隔离策略 的实施 并且要引入 NP 线卡才能支持 实现流程复杂 组网成本高昂 网管人员理解复杂 在 我们的 ADCampus 架构中 用户分组和 IP 网段严格对应 用户未入网 整个网络的策略控制 内容已经完整清晰地确定下来 无论东西向策略还是南北向策略 与其叫做策略 随 行 不 如叫做策略 先 行 8 不需要使用 NP 因为我们网段即用户组 组间策略就是网段到网段的 acl 现有的任何 ASIC 芯片都支持此功能 不需要维护 IP 到组的对应关系 组间策略只需要 一条 acl 即搞定 极大降低了对设备的 acl 需求 不需要防火墙来辅助 不需要查询机制 一切从简 组网成本下降 那么 ADCampus 的策略随行是怎么工作的呢 Step1 管理员定义安全组 包括用户安全组和资源安全组 以及组间策略 集中式策略管 理 矩阵式表格 一目了然 清晰直观 策略可以是简单的 permit deny 也可以是复杂的针对 应用层端口号的策略 还可以是高级的防火墙策略 比传统方式简化的就是全部都转换为简单 的网段到网段的 acl Step2 使用 ADCampus 的 SDN 控制器 Director 将矩阵表格显示的组间策略转化为 acl 下 发到指定的策略执行点 所有的汇聚层交换机 一键下发 实时生效 Step3 用户上线时根据 5W1H 进入相应的用户安全组 分配 IP 并绑定 用户的业务流将 匹配矩阵表格定义的策略 获得相应的访问权限 用户移动后 5W1H 条件若没有发生变化 用户仍然会进入相同的安全组并获取绑定的固定 IP 访问权限不变 真正实现体验跟随 如上例中 小绿人在移动前和移动后对资源组 1 不可 访问 对资源组 2 可以访问 和小蓝人之间不能互访 在小绿人移动后 其依旧保持这样的权 限 体验不变 3 业务按需交付 9 这里的 业务 指网络提供的 4 7 层服务 这里的 按需 体现了一种灵活性 指 4 7 层服 务组件可以自由扩展 部署位置不受限 用户的业务流可以灵活地自定义穿越 4 7 层服务的路 径 即服务链 传统网络中部署 4 7 层服务存在哪些问题呢 用一句话总结 就是 4 7 层服务节点不能和位 置解耦 这些节点成为网络拓扑的一个网元 和基本网络部分紧耦合 服务节点的增删改都会 导致网络拓扑发生较大的变化 需要不停地调整网络的配置以适应 导致维护非常困难 比如 下图中传统的两种服务节点部署方式 一种是 in line 方式 一种是旁挂方式 In line 方式的问 题在于串接在整个转发路径上 容易成为性能瓶颈 而且对于不想过服务节点的流量无法绕开 造成带宽的浪费 让本就捉襟见肘的性能更雪上加霜 旁挂方式的问题在于要逐跳配置复杂的 策略路由 一旦网络节点增删改 就需要调整很多策略路由的配置 而且理解困难 又复杂又 容易出错 在 ADCampus 网络中 可以做到服务节点的部署和底层网络位置无关 可以任意位置部署 可以形成资源池 可以方便地增删改 在园区控制器 Campus Director 上直观的图形化拖拽编排方式 定义一条流的起点和终点 中间直观地拖拽插入需要经过的 4 7 层组件 然后一键下发 director 将把这个图形化界面翻译 成网络语言配置到网络设备上 真正实现随心所欲地部署 比如下例 用户组 A 和用户组 B 访 问数据中心经过的 4 7 层组件不同 可以在 director 上图形化方式编排两条服务链 然后一键下 发 实现图中红绿两条服务链 A 仅经过防火墙到数据中心 B 经过防火墙和 ACG 上网管理组 件再到数据中心 10 4 开放网络 传统的园区网基本是封闭和僵化的系统 如果用户想做定制化开发 需要提需求给网络厂家 网络厂家进行需求分析 设计 开发 交付 然后用户再上线验证 加上中间沟通的时间 周 期非常长 对于某些市场竞争来说 这样长的周期等应用开发出来 市场机会也基本丧失 举一个例子 国外的高校曾经出现过希望选课系统和网络进行对接的需求 原因就是某些课 程访问特定服务器上的课件消耗的带宽较大 为保证学生的体验 当上这门课的时候需要调整 网络的 QOS 设置到满意值 当上完这门课的时候再恢复网络到原先的状态 这样希望选课系统 能自动和网络对接实现按时自动调整 按时自动撤销 并且能满足老师调课的需求 如果采用 现有的流程 业务人员提需求反馈 IT 管理人员 IT 管理人员再去分析需求 调整网络配置很多 情况下来不及 而且工作量很大 11 于是业界在近今年提出了 SDN 的概念 软件定义网络 这个定义不同的人有不同的理解 不同的角度有不同的理解 但有一点是大家的共识 就是网络要开放可编程 要方便地被第三 方应用来调用和改变其行为 SDN 的理念最先从数据中心网络实施 现在 SDN 对园区网一样 有用 H3C 的 ADCampus 实质上也是一种 SDN 网络 ADCampus 配套的 Director 是实施这一理 念的利器 我们在 director 上将开放标准化的 rest 接口 和第三方应用进行对接 方便客户进 行增值开发 快速交付 5 自动化 自动化是所有网管追求的终极目标 就是不用网管人员任何操作 网络自己就把自己配置好 把自己管理好 现实的情况是只能尽量增加网络自我配置的部分 减少网管人员参与配置的部 分 我们这里的自动化主要指设备自动化开局上线的功能 传统的网络开局一般都是手工的 需要网络维护人员一台一台地上电 更新版本 写配置 组网 调试 运行 工作辛苦冗长而且容易出错 网络开局上线的时间较长 仅以一个典型的 VPN 路由的典型配置来看 传统方式要逐台在核心 汇聚 接入上配置很多东西 12 在新的 ADCampus 网络中 自动化上线由于采用了新的网络架构得到了极大的简化 首先由于是一个无差别的网络 同样角色的设备配置基本是一样的 这样可以根据设备角色 设定少量的模板 一种角色的设备尽管数量很多 但由于共享同一个角色 因此共享一个配置 模板 整网模板数量只有少量几种 其次采用精心设计的自动化流程 确保设备开箱上电 即插即用 无人工干预即可自己完成 上电 加载版本 下载配置 基础共性的业务跑通 之后是少量的基于图形化界面的批量配置 个性化配置的工作 完成特定业务的部署 比如 下面的 Easy QOS 的配置 就是图形化界面配置 QOS 调度策略的例子 整个业务配置过程会感觉耳目一新 轻松自如 13 6 有线无线深度统一 传统有线 无线网络存在的问题 管理不统一 有线无线网络各自建设 各自网管 管理人员分开 转发不统一 无线的主流转发是采用 AC 集中式转发的方式 流量绕行不是最佳路径 而且 AC 集中式转发 AC 压力大 容易成为瓶颈 尤其现在以 802 11AC 为代表的新 一代高速率无线技术发展的趋势下 无线带宽的需求越来越高 而且 AP 到 AC 要打 capwap 封装 AC 要先拆解 capwap 封装再根据内层数据进行转发 进一步消耗了 AC 的转发性能 而有线采用的是交换机转发 有线无线流量路径不统一 策略控制不统一 无线的策略控制点在 AC 上 有线的策略控制点在交换机上 两者策 略不能统一 造成管理复杂 有线无线融合这块很多厂商都在提 由于采用了传统的网络架构 都存在这样那样的问题 比如跨 L3 网段漫游要不支持不了 要不需要在 AC 之间打隧道进行迂回 主要采用集中式 的 AC 转发 依旧存在流量绕行 AC 性能瓶颈等问题 14 ADCampus 的有线无线深度融合网络采用如下方式极大解放了 AC 和 AP 面向未来的高速 无线时代 统一管理 通过统一的 campus director 实现有线无线统一管理 一套管理系统 统一 的有线无线拓扑展示 有线无线用户统一认证 统一的基于 5W1H 划分安全组 统一转发 AC 仅负责控制和管理下辖的大量 AP AP 的数据转发不再上 AC 而是本 地转发 这样带来两个好处 1 由于 AC 不再负责数据转发 性能瓶颈完全消除 完 全顺应将来高速无线的趋势 而且 AC 成本可以大幅降低 甚至将来 AC 完全可以做成 软件集成到 director 中作为一个功能管控模块 2 从 AP 转发出来的报文不再封转 capwap 而是 802 3 格式的 ethernet 报文 L3 网关也都设置在交换机上 这样消除了 capwap 的加减封装的处理消耗 效率更高 AP 发送出来的无线流量和从交换机 PC 发送出来的有线流量一模一样 有线 无线流量完全混跑在一起 其他设备无法区分也 不需要区分 统一策略 由于无线的数据转发完全从 AC 卸载到交换机上 之前我们策略随行矩阵定 义的业务策略完全适用于有线和无线流量 也不需要单独给无线再定义组间访问策略 此外 在 AP 本地转发模式下 AP 依旧可以跨整个园区大范围漫游 而且不需要在 AC 侧 做复杂的处理 这是传统组网方式所不具备的 15 4 ADCampus 典型组网与应用 ADcampus 目前典型的组网模型如下 分布式 Vxlan 网关组网 适用于大规模的单园区组网 核心 汇聚 接入三层架构 汇聚层为 VTEP 和用户网关 16 适用于大型企业的总部 多分支接入场景 或者多个主园区接入场景 Director DHCP 服务器集中部署在一个主园区 AC 可集中部署在一个主园区 所有的 AP 都注册到该 AC 也可在每个园区 分 支分布式部署 每个园区 分支的 AP 注册到各自的 AC 集中式 Vxlan 网关两层结构组网 适用于中型园区或者中大型分支 核心 IRF2 或者单台 接入两层架构 核心层为 VTEP 和用户网关 支持多园区 多分支场景 Vlan 方案 17 适用于中小型网络 只支持单园区场景 核心 IRF2 接入两层架构 核心层为用户网关 无 VXLAN 核心往下使用 vlan 构建二层网络 ADCampus 应用情况总结 目前 ADCampus 方案还在推广的早期 我们已经和教育 政府 金融 企业等很多客户进行了交流和沟通 客户对方案展示出的柔性和极简两大特征印象深刻 尤其是对位址分离 名址绑定 策略跟随 自动化部署印象深刻 应用的案例后续逐渐补充 5 缩略语 IOE internet of everything 万物互联 即通常所指的物联网 BYOD Bring Your Own Device 带着你自己的设备 使用自己的移动终端到公司办公的一种 无线办公方式 IPS Intrusion Prevention Syste 入侵防御系统 是一种处理能力深达 7 层的安全设备 ACG Application control gateway 应用控制网关 一种安全设备 可实现精细化的应用识别 统计和过滤等策略 Capwap AP AC 是无线局域网里边紧密相关的几个概念 capwap 为一种无线报文封装方 式 AP 和 AC 是无线局域网里边两种最主要的设备角色 AP 叫接入点 AC 叫接入控制器 AP 受 AC 管控 Vxlan Virtual Extensible Lan 是 RFC 定义的一种标准协议 数据平面采用 mac over UDP 的 封装格式 是现在主流使用的一种网络 overlay 虚拟化技术 18 VTEP virtual tunnel endpoint 虚拟隧道端点 是 Vxlan 里边的角色 该角色主要完成 Vxlan 报文的加减封装 Rest 接口 REST 即表述性状态传递 英文 Representational State Transfer 简称 REST 是 Roy Fielding 博士在 2000 年他的博士论文中提出来的一种软件架构风格 它是一种 针对网络应用的设计和开发方式 可以降低开发的复杂性 提高系统的可伸缩性 它是设计风 格而不是标准 只是提供了一组设计原则和约束条件 它主要用于客户端和服务器交互类的软 件 基于这个风格设计的软件可以更简洁 更有层次 更易于实现缓存等机制 遵循这一设计 风格的接口叫 rest 接口