ADCampus技术白皮书1.0(无权限)

ADCampus技术白皮书HBCCopyright©2015杭州华三通信技术有限公司版权所有，保留一切权利。非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。本文档中的信息可能变动，恕不另行通知。HBC#1当前园区网的问题通常一个现代IT系统由三部分组成：“云”，“管”和“端”“云”通常指远端的公有云/私有云数据中心，是企业应用的承载中心；“端”就是需要接入网络，使用云服务的各种固定和移动终端；“管”就是连接“端，和“云，的传送通道，主要包括广域网和园区网两部分。这三者之间相互影响，相互适应。对于园区网来说，作为连接“端，和“云，的中间管道，经常受“端，和“云，两方面的影响，因为和终端的联系最紧密，因此受“端，的影响更大一些。目前包括gartner在内的主流研究机构都发布了对于“端”的趋势分析和预测。总结为两点：终端的移动化和无线化成为趋势。现在每个人都有不止一个移动终端，移动互联越来越深入到人们的生活中。在企业中，BYOD应用越来越广泛，无线移动办公成为主流。从咨询机构的报告来看，无线产品出货量的增长速度远远高于有线产品的出货量。IOE万物互联成为趋势。现今世界99%的物体还没有联网，将来物联网会带来百亿级别的智能物体接入，我们的灯泡，汽车，冰箱，微波炉，我们的家具未来都要上网。那么“端，的这些变化对园区网会带来哪些影响和冲击呢？移动化的冲击：策略如何跟随，体验如何保持不变？除了无线漫游，企业中还存在其他方式的移动，比如员工从办公位跑到会议室里边开会，需要共享胶片和资源，相关的权限需要继续保持；员工从总部出差到分支希望一些重要的业务权限不变；公司搬家后希望即插即用，业务不中断等等。但从目前网络现状看，很难做到或者说IT需要花费很大的代价进行网络配置调整，用户的体验也不够好。比如，某公司一部分员工分流搬家到新的办公大楼之后，预先做了大量的工作进行网段重划和配置调整以保证业务连续性，但不幸的是搬家后IP电话/打印机等必须的办公设备依旧长达近两周时间不能使用，对正常办公影响较大。如何方便的进行用户审计？传统网络状态下，用户移动，IP地址发生变化，当审计的时候，由于用户的IP地址不停变化，需要结合不同时间段内用户的IP地址情况综合去查，查询虽然可以实现，但是比较麻烦，达不到所见即所得的状态，即见IP地址即见用户，单独审计IP的效果。无线化的冲击：企业中无线技术出现之后，网络中始终存在着有线和无线两张不同的网络，虽然无线接入逐渐占据主流，但是有线无线混跑的局面在未来一段时间还将长期存在，那么客户会面临有线无线两张网络的割裂问题，管理割裂：有线无线两组不同的人来同时管理网络；数据转发割裂：有线走交换机转发，无线走capwap的AC集中式转发；策略执行点割裂：有线的执行点在交换机上，无线的策略执行点在AC上。这样网络的运维往往需要两套人马，带来了成本的上升和管理复杂问题。虽然业界对于有线无线融合已经有呼声，并且也都提出了一些方案，但总是存在这样那样的问题，不能达到满意的效果。3.IOE的冲击：IOE带来了终端接入数量的爆炸式增长，IOE接入园区网络的方式主要有两种，一种是直接接入园区网，比如监控摄像头，移动POS终端等；另外一种是通过物联网关接入，比如楼宇自动化系统中，使用物联网关路由器，一侧使用ethernet端口接园区网络，网关其他端口接各种现场控制总线。IOE终端接入园区网络之后，往往和园区网现有业务有不同的属性，需要进行安全隔离和QOS保证；同时对于直接接入园区网的大量物联网终端，配置管理工作量较大，如何实现简单运维，快速部署也是园区网需要考虑的课题。那么当前园区网存在哪些问题呢？总结为两个词：僵化和复杂。僵化就是不灵活，网络往往与物理位置紧耦合。网管人员往往根据地理位置，楼栋，划分若干个L3网段，终端基本不能大范围移动；如果要移动，策略不能自动跟随，体验难以保持不变。复杂就是网络运维工作量巨大，网管人员80%-90%的时间都陷在网络运维的泥潭里不能自拔，只有10%-20%的时间才能用于创新。2ADCampus解决方案概述为了解决园区网存在的上述问题，H3C提出了自己的ADCampus新园区架构。ADCampus架构最大的两个特征是柔性和极简。柔性一方面指网络架构本身非常灵活，业务部署（应用/终端）可以做到与位置无关；另一方面指网络架构本身开放可编程。柔性具体包括如下4大亮点：1）位址分离/名址绑定：位指位置，址指IP地址，名指用户本身或者业务。位址分离就是IP地址与位置解耦，名址绑定就是用户/业务和IP地址绑定，IP地址不光从技术层面承载连通性，支

撑路由转发，而且还具有了直接标识业务/用户的功能，策略可以直接根据5元组来实施，大大简化了传统网络策略的部署。最终达到所见即所得的效果：IP即用户，网段即业务。同时也大大简化了网络的审计。2）策略随行：指用户移动到哪里，策略就跟随到哪里，用户的体验不变，比如研发的员工从总部出差到各个办事处，依旧能获得研发的权限，访问研发的相关资源，和在总部一样。3）业务按需交付：业务指4-7层服务，如防火墙，IPS,ACG等，这里引入了服务链概念，把园区传统的通过策略路由方式的复杂引流策略转换为一种简单的按需使用，自由编排的引流方式来快速实现。4）开放网络：指ADCampus除了基础网络架构之外，还提供controller,提供软件定义能力，通过controller上层接口开放，允许第三方进行增值开发，快速提供新的功能。极简指网络管理大幅简化，真正将网管员从低价值劳动中解放出来。ADCampus的目标是消灭命令行，从controller一点进入管理网络。极简具体包括如下两大亮点：1）有线无线深度统一：将有线无线两张割裂的网络进行深度融合，一套网管，一种数据平面，一套策略。2）自动化上线：设备开箱，上电后自动加载版本，加载配置，网管员零干预启动。少量的基于设备角色的配置模板，更简单。ADCampus的网络架构如下所示:核心VXLAN接入LANVLAn]Campu核心VXLAN接入LANVLAn]CampuVXLAN10网络由接入，汇聚，核心三层设备组成，外部搭配重要的园区控制器：Campusdirector。具体来看，有如下一些特点：接入到汇聚使用vlan进行联通，在汇聚层设备上，不同vlan映射到不同Vxlan进行隔离，同时汇聚和核心设备之间运行Vxlan构建overlay网络，构建一个逻辑上的大二层网络，同时采用分布式L3网关并通过可靠的机制有效地抑制广播风暴。策略管理上采用了面向业务的分组模式，将属性或者访问权限相近的用户分到一个安全组中，同时也将服务器侧的资源划分到安全组进行统一管理。策略定义时，基于矩阵表格的方式简单直观。具体策略可简单可复杂，实现各种高级复杂的策略控制功能。基于5W1H的灵活的用户认证接入机制，根据who（谁）whose（谁的设备），what（什么设备），when（什么时间），where（什么地点），how（什么方式）多个维度覆盖各种接入场景。用户可根据自己的需求，灵活定制场景，满足自己个性化的需求。支持用户终端在整个生命周期中mac和IP的强绑定，终端不管移动到哪里，可以做到终端始终绑定唯一固定的IP，满足某些企业强安全需求。整网的核心是园区网控制器组件：CampusDirector。所有对网络的自动化上线，接入管理，用户组/策略管理，业务配置管理全部在director上通过直观的图形化界面完成。Director将管理员的操作在后台转化为网络设备的具体命令进行下发给设备执行。3ADCampus方案亮点介绍1.位址分离/名址绑定传统网络存在的问题：传统网络划分L3网段时往往与位置紧密关联。一个企业要根据不同的办公室，不同的楼层/楼栋划分不同L3网段，这种模式下要想实现用户移动（比如员工出差）非常困难。因为用户移动往往要跨越不同L3网段，IP地址必须进行更换，往往会丧失原先的权限，给工作带来麻烦。比如研发的员工到市场部出差，往往只能获取市场人员的权限，丧失研发人员的权限，不能查看研发的资料，如果要查看，只能通过其他的途径来进行，降低工作效率。再比如研发部有两栋大楼，由于工作关系，员工在这两栋大楼同时有2个办公位，由于L3网段的划分，导致员工在这两个办公位办公时获得的IP地址不一样，那么网管就需要针对这个员工的策略控制也得做两套，增加了网管的负担，也浪费了交换机的acl资源。还有同一个部门/工作组分散在不同的大楼里，使用不同的IP地址，虽然他们的权限完全一样，但是还需要网管人员针对单个IP地址设置相同的控制策略，也明显增加了网管人员的负担。归根结底，是因为传统网络的设计，其设计理念就是和位置紧耦合，也不愿也不能方便地实现员工的移动办公，IP地址只提供技术上的路由连通性功能，没有身份或者业务标识的功能，导致审计也变得复杂。AC10.11ZI.W1丽段10.10.1.10LM0.120AC10.11ZI.W1丽段10.10.1.10LM0.12010J1.1.1D10.11.1.20传塩网络ADCampus网络采用创新的网络架构，可以做到网络无状态，接入无差别，IP地址与位置解耦，不管用户移动到哪里，IP地址都能随身携带。IP地址不光能承担路由连通性的技术功能，还具有身份和业务的标识功能。上例中员工出差，在ADCampus网络中，研发员工可以继续享受总部研发的权限，方便地查看研发的相关资料，就像自己还身处于总部一样。即使该研发人员和某个市场人员的终端连接到同一个交换机的相邻两个端口，依旧要受研发/市场两个部门之间的策略控制；同时该研发人员不管在哪里，可以做到始终使用固定的IP地址，这样见IP地址就见该员工，审计只追踪该IP地址的行为即可，审计大大简化；上例中员工在多个办公楼有多个工位/终端的情况，在新的架构下，用户不需要分派两个地址，只需要一个固定的IP地址即可，不管在哪个工位办公都可以使用，网管做策略时只要对一个IP地址做策略即可，网管的工作量降低；对于分散在不同大楼的同部门员工，完全可以分派同一个网段的地址，前缀一样，这样做策略时，可以针对IP前缀做一条策略即可，避免逐个IP地址做策略，网管大大简化；再比如，企业的监控摄像头一般上都分散在各处，在部署时需要根据具体位置分派各不相同的IP地址，导致对摄像头的业务识别需要深入到报文内部的4层端口号甚至应用层信息，对交换机的要求较高；若采用ADCampus架构，由于地址的分派和位置无关，这些摄像头可以完全编入一个特定的网段，以后对摄像头业务的识别不需要识别端口号或者应用层，只需要识别IP网段即可，这样对交换机的要求大大降低。总之，在ADCampus架构下，IP地址完全可以做到与位置解耦，真正实现IP即用户，网段即业务，审计更简单。10.10J.1010.10.1.2010.10J.101D.10.1.20OveriayI10.10J.1010.10.1.2010.10J.101D.10.1.20OveriayICampusdirector网路2.策略随行在用户移动的过程中，如何保证策略随行，体验不变是用户最希望追求的效果。一般上要实现策略随行，都需要对用户进行分组，传统的分组方式与地理位置紧耦合，同一个用户组位于一个办公区，一个楼层后者一个大楼之内，很难跨越地理的局限。这样用户一旦移动起来，策略实施就非常复杂，想达到策略跟随或者体验一致也非常困难。以前文某公司搬家为例，分出的一部分人员在新的办公区长达一周多时间，打印机/ip电话等业务迟迟不能就绪就是一个明显的例子。在我们的ADCampus架构下，用户分组完全打破地理的壁垒，可以跨越整个企业网络。

市场韶吋务部市场韶吋务部硏垸韶传统组网中一亍部门的用户貝能位于同Y物理区域ADCarnpjsfT—门的用户屋于冋一T用户安全短.可収执网斟史任意便養接人除了用户分组之外，策略的定义，动态跟踪也是策略随行的重要内容。一些友商虽然支持跨地域的分组，支持策略动态跟随，但是由于基础网络是传统架构，没有办法实现IP地址与位置解耦，IP地址移动过程中不停变化，导致其不停地维护刷新IP地址到用户组的映射关系，并且在本地没有映射关系时需要向控制器进行查询，而且要引入防火墙来辅助实现东西向隔离策略的实施，并且要引入NP线卡才能支持，实现流程复杂，组网成本高昂，网管人员理解复杂。在我们的ADCampus架构中，用户分组和IP网段严格对应。用户未入网，整个网络的策略控制内容已经完整清晰地确定下来，无论东西向策略还是南北向策略。与其叫做策略“随”行，不如叫做策略“先”行！不需要使用NP,因为我们网段即用户组，组间策略就是网段到网段的acl,现有的任何ASIC芯片都支持此功能！不需要维护IP到组的对应关系，组间策略只需要一条acl即搞定！极大降低了对设备的acl需求！不需要防火墙来辅助，不需要查询机制，一切从简！组网成本下降。那么ADCampus的策略随行是怎么工作的呢?Stepl：管理员定义安全组：包括用户安全组和资源安全组；以及组间策略；集中式策略管理，矩阵式表格，一目了然，清晰直观。策略可以是简单的permit/deny,也可以是复杂的针对应用层端口号的策略，还可以是高级的防火墙策略。比传统方式简化的就是全部都转换为简单的网段到网段的acl。Step2：使用ADCampus的SDN控制器Director将矩阵表格显示的组间策略转化为acl下发到指定的策略执行点（所有的汇聚层交换机）；一键下发，实时生效。Step3：用户上线时根据5W1H进入相应的用户安全组，分配IP并绑定，用户的业务流将匹配矩阵表格定义的策略，获得相应的访问权限。用户移动后，5W1H条件若没有发生变化，用户仍然会进入相同的安全组并获取绑定的固定IP，访问权限不变，真正实现体验跟随。如上例中，小绿人在移动前和移动后对资源组1不可访问，对资源组2可以访问，和小蓝人之间不能互访，在小绿人移动后，其依旧保持这样的权限，体验不变。3.业务按需交付这里的“业务”指网络提供的4-7层服务，这里的“按需”体现了一种灵活性，指4-7层服务组件可以自由扩展，部署位置不受限，用户的业务流可以灵活地自定义穿越4-7层服务的路径，即服务链。传统网络中部署4-7层服务存在哪些问题呢？用一句话总结，就是4-7层服务节点不能和位置解耦，这些节点成为网络拓扑的一个网元，和基本网络部分紧耦合，服务节点的增删改都会导致网络拓扑发生较大的变化，需要不停地调整网络的配置以适应，导致维护非常困难。比如下图中传统的两种服务节点部署方式，一种是inline方式，一种是旁挂方式。Inline方式的问题在于串接在整个转发路径上，容易成为性能瓶颈，而且对于不想过服务节点的流量无法绕开，造成带宽的浪费，让本就捉襟见肘的性能更雪上加霜；旁挂方式的问题在于要逐跳配置复杂的策略路由，ES医圖口fW£用口砂titcmel一旦网络节点增删改，就需要调整很多策略路由的配置；而且理解困难，又复杂又容易出错。在ADCampusES医圖口fW£用口砂titcmel一旦网络节点增删改，就需要调整很多策略路由的配置；而且理解困难，又复杂又容易出错。在ADCampus网络中，可以做到服务节点的部署和底层网络位置无关，可以任意位置部署，传统组阖中服务节点MS…引鑽烈拓扌除赖奇sc翻中m谨节点芳空自阳.与扭盯曰世■引誌矚曲：舌烹麻启在环捷二上耳芸冃蛰由，-住區碗斋圣廿晞證的乏冃进出按匚.戟岀按口=彳療翻中」苗弓虫=基追网.存◎湘晅■-•豔斂：业召述性歪.床我劭廿成刘甄.:相心芫圧?忌且览磋立垂蹄.KJHS1S：i?F3EE3i5*l：-5ff&r■SP5SSSFS!f..Eft可以形成资源池，可以方便地增删改。在园区控制器CampusDirector上直观的图形化拖拽编排方式。定义一条流的起点和终点,中间直观地拖拽插入需要经过的4-7层组件，然后一键下发，director将把这个图形化界面翻译成网络语言配置到网络设备上，真正实现随心所欲地部署。比如下例，用户组A和用户组B访问数据中心经过的4-7层组件不同，可以在director上图形化方式编排两条服务链，然后一键下发,实现图中红绿两条服务链，A仅经过防火墙到数据中心；B经过防火墙和ACG上网管理组件再到数据中心。

FW数菇中苕31医出口用户用AFW数菇中苕31医出口用户用A阳户更B苫」;卒上网尊耳ADGmpg中的S已rvi%匚辰油CampusD叱如4.开放网络传统的园区网基本是封闭和僵化的系统，如果用户想做定制化开发，需要提需求给网络厂家，网络厂家进行需求分析，设计，开发，交付，然后用户再上线验证，加上中间沟通的时间，周期非常长，对于某些市场竞争来说，这样长的周期等应用开发出来，市场机会也基本丧失。举一个例子，国外的高校曾经出现过希望选课系统和网络进行对接的需求，原因就是某些课程访问特定服务器上的课件消耗的带宽较大，为保证学生的体验，当上这门课的时候需要调整网络的QOS设置到满意值，当上完这门课的时候再恢复网络到原先的状态。这样希望选课系统能自动和网络对接实现按时自动调整，按时自动撤销，并且能满足老师调课的需求。如果采用现有的流程：业务人员提需求反馈IT管理人员，IT管理人员再去分析需求，调整网络配置很多情况下来不及，而且工作量很大。僵化封闭的传统网络■M]■僵化封闭的传统网络■M]■应用対网貉需求-幵发-豌-占陌■咅層单兰配逢，毘杂「周期忙于是业界在近今年提出了SDN的概念，软件定义网络，这个定义不同的人有不同的理解，不同的角度有不同的理解，但有一点是大家的共识，就是网络要开放可编程，要方便地被第三方应用来调用和改变其行为。SDN的理念最先从数据中心网络实施，现在SDN对园区网一样有用。H3C的ADCampus实质上也是一种SDN网络。ADCampus配套的Director是实施这一理念的利器，我们在director上将开放标准化的rest接口，和第三方应用进行对接，方便客户进行增值开发，快速交付。I3SOverlay开放的ADCa■开放■可繪程■I3SOverlay开放的ADCa■开放■可繪程■灵舌/简单■HreMPP或习有APP亘厨滔姿证・理荃网配琶,简兰.同朝短m—3rdftFFAPPCampusdirecwr自动化自动化是所有网管追求的终极目标，就是不用网管人员任何操作，网络自己就把自己配置好，把自己管理好。现实的情况是只能尽量增加网络自我配置的部分，减少网管人员参与配置的部分。我们这里的自动化主要指设备自动化开局上线的功能。传统的网络开局一般都是手工的，需要网络维护人员一台一台地上电，更新版本，写配置，组网，调试，运行，工作辛苦冗长而且容易出错，网络开局上线的时间较长。仅以一个典型的VPN+路由的典型配置来看，传统方式要逐台在核心/汇聚/接入上配置很多东西。传貌网络基础配置上:刪豐VRF三融口-IPW肚戸单禰霧由廊爼在毎一MZKsm±:ffl^VLAN»VLANSJAWRF下厅口trunlcl目養删LA胖ISA曲一台播入交姗上：郎哇廿LANI±SntmnkHrW^VLAN逐台，手工在新的ADCampus网络中，自动化上线由于采用了新的网络架构得到了极大的简化。首先由于是一个无差别的网络，同样角色的设备配置基本是一样的，这样可以根据设备角色设定少量的模板，一种角色的设备尽管数量很多，但由于共享同一个角色，因此共享一个配置模板，整网模板数量只有少量几种。其次采用精心设计的自动化流程，确保设备开箱上电，即插即用，无人工干预即可自己完成上电，加载版本，下载配置，基础共性的业务跑通。之后是少量的基于图形化界面的批量配置/个性化配置的工作，完成特定业务的部署。比如下面的EasyQOS的配置，就是图形化界面配置QOS调度策略的例子整个业务配置过程会感觉耳目一新，轻松自如。Campui□ireetorQverlayRJfiSBfrfklMS:环眾隔钳帕初程立歴叵盛切忙泰左1®机白妣整个业务配置过程会感觉耳目一新，轻松自如。Campui□ireetorQverlayRJfiSBfrfklMS:环眾隔钳帕初程立歴叵盛切忙泰左1®机白妣SiitJi址口比卯1专同培自动恍耶@|;自动鬧定时鶴哲阴1L羸卫换阳越快老踏由请惜入交颐自动昭互连接门翩d:数仙整网'自动传蜿网塔Q0*配置E传蜿网塔Q0*配置EMEasy配置BuflnessaHd[?widb«rwIndanti!security有线无线深度统传统有线/无线网络存在的问题：■管理不统一。有线无线网络各自建设，各自网管,■管理不统一。有线无线网络各自建设，各自网管,管理人员分开。转发不统一。无线的主流转发是采用AC集中式转发的方式，流量绕行不是最佳路径，而且AC集中式转发，AC压力大，容易成为瓶颈，尤其现在以802.11AC为代表的新一代高速率无线技术发展的趋势下,无线带宽的需求越来越高;而且AP到AC要打capwap封装，AC要先拆解capwap封装再根据内层数据进行转发，进一步消耗了AC的转发性能。而有线采用的是交换机转发，有线无线流量路径不统一。策略控制不统一。无线的策略控制点在AC上，有线的策略控制点在交换机上，两者策略不能统一，造成管理复杂。有线无线融合这块很多厂商都在提，由于采用了传统的网络架构，都存在这样那样的问题，比如跨L3网段漫游要不支持不了，要不需要在AC之间打隧道进行迂回；主要采用集中式的AC转发，依旧存在流量绕行，AC性能瓶颈等问题。有践園苣AC2核心■有践園苣AC2核心■当制园医有线/无经网搐存在的问題■■磁«-■亍点分离ADCampus的有线无线深度融合网络米用如下方式极大解放了AC和AP,面向未来的高速无线时代。统一管理：通过统一的campusdirector实现有线无线统一管理。一套管理系统，统一的有线无线拓扑展示，有线无线用户统一认证，统一的基于5W1H划分安全组。统一转发：AC仅负责控制和管理下辖的大量AP，AP的数据转发不再上AC，而是本地转发。这样带来两个好处：1）由于AC不再负责数据转发，性能瓶颈完全消除，完全顺应将来高速无线的趋势，而且AC成本可以大幅降低。甚至将来AC完全可以做成软件集成到director中作为一个功能管控模块。2）从AP转发出来的报文不再封转capwap，而是802.3格式的ethernet报文，L3网关也都设置在交换机上。这样消除了capwap的加减封装的处理消耗，效率更高。AP发送出来的无线流量和从交换机/PC发送出来的有线流量一模一样，有线/无线流量完全混跑在一起，其他设备无法区分也不需要区分。统一策略：由于无线的数据转发完全从AC卸载到交换机上，之前我们策略随行矩阵定义的业务策略完全适用于有线和无线流量，也不需要单独给无线再定义组间访问策略。此外，在AP本地转发模式下，AP依旧可以跨整个园区大范围漫游，而且不需要在AC侧做复杂的处理。这是传统组网方式所不具备的。

Overlay核心接人■Overlay核心接人■新方密的特创net势；■OneMandgeniefll--Sc—网经官哩■OneMetwork--跳TSLCB^蛍■OnePolky--鈍一采硕行4ADCampus典型组网与应用ADcampus目前典型的组网模型如下■分布式Vxlan网关组网：核心VXLftN:匸幕接入L20EE核心VXLftN:匸幕接入L20EEVXLAN桓型®布元网关）适用于大规模的单园区组网核心、汇聚、接入三层架构✓汇聚层为VTEP和用户网关

同EL园区2园区n分支1分支n✓适用于大型企业的总部+多分支接入场景，或者多个主园区接入场景✓