对于许多企业来说，Wi-Fi 已成为用户和终端的首选网络接入技术。与有线局域网相比，无线局域网具有许多优势，比如可靠灵活，还能降低拥有成本。无线局域网安装简单，可以移动，不受物理位置的限制，而且具有可扩展性。然而，这些优点也带来了一个非常明显的缺点：安全性。

Wi-Fi 的无边界特性，再加上一系列令人困惑的传统和现代身份验证、访问控制和加密技术，使 WLAN 的安全性问题成为企业网络运维团队普遍面临的重要挑战。

什么是 WLAN 安全？

WLAN 网络安全威胁可能导致数据被盗。为了防范这种风险，安全团队要建立机制，阻止通过无线介质读取传输或接收通信以及收集敏感信息（如个人信息、登录凭证或业务数据）的企图。

企业的IT团队可以使用多种方法保护 Wi-Fi 的安全通信。其中一些方法是在管理有线和无线通信的通用方法，比如企业级身份验证机制、通过MAC地址允许列表限制企业网络访问、基于网络和设备的防病毒和恶意软件服务，以及使用第三方 VPN。

什么是 WLAN 安全？

WLAN 网络安全威胁可能导致数据被盗。为了防范这种风险，安全团队要建立机制，阻止通过无线介质读取传输或接收通信以及收集敏感信息（如个人信息、登录凭证或业务数据）的企图。

企业的IT团队可以使用多种方法保护 Wi-Fi 的安全通信。其中一些方法是在管理有线和无线通信的通用方法，比如企业级身份验证机制、通过MAC地址允许列表限制企业网络访问、基于网络和设备的防病毒和恶意软件服务，以及使用第三方 VPN。

常见的WLAN威胁和漏洞

IP 和 MAC 欺骗

如果坏人成功连接到企业 WLAN，他们可以使用工具通过更改数据包头中的源 IP 地址或篡改允许列表设备的 MAC 地址来冒充或欺骗受信任的设备。反过来，接收设备可能会在不知情的情况下接受欺骗通信。DDoS 僵尸网络和中间人攻击是最常见的欺骗手段。

DNS 缓存欺骗/中毒

DNS 欺骗是指在 WLAN 上放置未经授权的设备，欺骗其他已连接客户端使用的 DNS 服务器。反过来，被欺骗的 DNS 服务器会将试图访问可信远程资源（如网站）的用户和设备重定向到恶意资源。

恶意接入点（AP）

当坏人部署了使用相同或外观相似的服务集标识符（SSID）的无线接入点时，就会出现这种情况。毫无戒备的用户连接到恶意设备，然后流量就会被捕获和监控，甚至被重定向到恶意目的地。这些非法接入点往往模仿公司 SSID，试图让公司设备连接到它，而不是合法接入点。

外部非法接入

当 WLAN 信号传播到公司围墙外的公共空间时，某些程序会自动搜索开放的或可利用的 WLAN，用于免费上网 不法分子可以利用这些来查找和窃取敏感的企业数据。

无线局域网安全最佳实践

企业应认真规划和执行统一的策略，以保护其 WLAN 免受数据丢失和未经授权的访问。虽然最终的安全选项取决于所需的保护级别和预算，但IT团队可以遵循一些重要的提示和技巧，比如明确谁需要访问什么以及何时访问？这里的对象包括集中办公人员以及远程办公人员。

按 SSID 区分 Wi-Fi 用户和设备

各部门和设备使用 WLAN 的方式各不相同。因此，团队不能使用相同的标准保护每台设备。例如，保护支持 WPA-Enterprise 的设备和只支持 WPA-Personal 的设备的一种方法是将传统设备逻辑地划分为单独的 SSID。分段后，团队就可以对安全性较低的端点实施访问策略。

访客 Wi-Fi。为只需要访问互联网的用户和设备设置一个单独的访客 Wi-Fi SSID。访问策略可以阻止这些设备与企业网络上的任何用户或设备通信，同时还能在网络边缘之外安全地传输互联网流量。

避免信号强度泄漏到不安全区域

安装在外墙附近的接入点应仔细设置其功率级别，以减少信号泄漏到附近的停车场或公共广场。这样做有助于防止外部无线干扰，减少未经授权的用户成功连接网络的机会。

恶意 AP 检测

大多数企业级 WLAN 平台都包含监控 802.11 无线频率范围的工具，以识别恶意 AP 或可能欺骗企业 SSID 的 AP。
802.1x 身份验证与 PSK。尽可能要求用户和设备使用 802.1x 而不是 PSK 进行身份验证。这减少了每年多次手动更改 PSK 的需要。它还能防止共享 PSK，因为共享 PSK 有可能导致黑客利用 Wi-Fi 未经授权访问企业网络。

网络局域网交换端口配置

在配置将无线接入点连接到企业局域网的交换端口时要考虑到安全性。将 AP 管理 IP 地址放在分段虚拟局域网上，只允许特定 VLAN 中继到 AP。使用静态或固定MAC 地址端口安全技术，防止有人拔下 AP 插头并将未经授权的设备连接到局域网。

新一代云化园区网络架构中的内生安全

结合新一代云化园区架构的内生安全特性，星融元云化园区网络可以提供多种接入终端安全管理能力，智能保障园区网络的安全性，为IT运维团队大大减少了花费在终端安全控制上的时间和人力成本。例如：交换机将主动跟踪任何接入终端与DHCP服务器之间的交互过程，并自动学习设备信息，非法终端产生的网络流量将在接入端口被直接丢弃，不再依赖手动配置安全策略。

此外，星融元云化园区网络支持与多种主流安全认证系统的对接。

AAA（Authentication Authorization Accounting，认证/授权/计费）是目前主流的认证框架体系，由接入用户、接入设备、认证服务器三部分组成，接入用户是需要获取网络访问权限的实体，接入设备一般是交换机，负责验证用户身份和管理用户接入，认证服务器负责管理用户信息。AAA可以通过多种协议来实现。

在与接入用户交互阶段：星融元云化园区网络支持802.1x（有线终端）、MAC（哑终端）、Portal（无线终端）三种认证方式。

在与认证服务器交互阶段：星融元云化园区网络支持主流的RADIUS、TACACS+两种认证协议，支持认证/授权/计费功能。

实践应用中，星融元云化园区网络和知名的开源软件FreeRADIUS进行了全方位适配开发，也和ForeScout、ClearPass、ISE等主流商用认证系统成功对接。

更多有关企业园区网络的产品和方案信息，请参考：云化园区网络解决方案

什么是分布式机框DDC？

DDC，Disaggregated Distributed Chassis的概念指使用若干个低功耗盒式设备组成的集群替换框式设备业务线卡和网板等硬件单元，盒式设备间通过线缆互联形成集群。整个集群通过集中式或者分布式的NOS（网络操作系统）管理，以期突破DCI单框设备性能和功耗瓶颈的问题。

分布式机框方案的优势和劣势？

降低单点功耗：多台低功耗的盒式设备分散部署，解决了功耗集中的问题

传统的机框式交换机随着交换芯片技术的不断提升，交换容量越来越大，端口从 100G 逐步过渡到400G。但随之而来的是交换机功耗的大幅提升，16 槽位的机框交换机，全400G 端口需要4-5 万瓦的电力供应，这对老机房的设备选代升级带来巨大挑战，部分机房机柜电力无法满足需求。

突破框式设备扩容限制：通过多设备集群实现扩容，不受机框尺寸限制；

降低单点功耗：多台低功耗的盒式设备分散部署，解决了功耗集中的问题，降低机柜电力和散热的要求；

提升带宽利用率：与传统的ETH网Hash交换相比，DDC采用信元（Cell）交换，基于Cell进行负载均衡，有助于提升带宽利用率；

缓解丢包：使用设备大缓存能力满足DCI场景高收敛比要求。先通过VOQ（Virtual Output Queue）技术先将网络中接收到的报文分配到不同的虚拟出队列中，再通过Credit通信机制确定接收端有足够的缓存空间后再发送这些报文，从而减少由于出口拥塞带来的丢包。

当然，以上只是有关厂家对外宣称的说法，对此也有业内人士提出了质疑，总结了DDC方案的四大缺陷。

缺陷一：不可靠的设备管控平面

框式设备各部件通过硬件高度集成、可靠性极高的PCIe总线实现控制管理面互联，并设备都使用双主控板设计，确保设备的管控平面高可靠。DDC则使用“坏了就换”的易损模块线缆互联，构筑多设备集群并支撑集群管控平面运行。虽突破了框式设备的规模，但这种不可靠的互联方式给管控面带来了极大风险。两台设备堆叠，异常时会出现脑裂、表项不同步等问题。对于DDC这不可靠的管控平面而言，这种问题更容易发生。

缺陷二：高度复杂的设备NOS

SONiC社区已有基于VOQ架构下的分布式转发机框设计，并持续迭代补充和修改以便于满足对DDC的支持。虽然白盒确实已经有很多落地案例，但“白框”却少有人挑战。构筑一个拉远的“白框”，不仅仅需要考虑集群内多设备的状态、表项信息的同步和管理，还需要考虑到版本升级、回滚、热补丁等多个实际场景在多设备下的系统化实现。DDC对集群的NOS复杂度要求指数级提升，目前业界没有成熟商用案例，存在很大的开发风险。

缺陷三：可维护方案缺失

网络是不可靠的，因此ETH网络做了大量可维护和可定位的特性或工具，比如耳熟能详的INT、MOD。这些工具可以对具体的流进行监控，识别丢包的流特征，从而进行定位排障。但DDC使用的信元仅是报文的一个切片，没有相关IP等五元组信息，无法关联到具体的业务流。DDC一旦出现丢包问题，当前的运维手段无法定位到丢包点，维护方案严重缺失。

缺陷四：成本提升

DDC为突破机框尺寸限制，需要将集群的各设备通过高速的线缆/模块互联；互联成本是远高于框式设备线卡和网板之间通过PCB走线和高速链接器互联，且规模越大互联成本越高。

同时为降低单点功耗集中，通过线缆/模块互联的DDC集群整体功耗高于框式设备。相同一代的芯片，假设DDC集群设备之间用模块互联，集群功耗较框式设备高30%。

AI场景下，DDC方案能否应对？

AI网络支撑的业务其特征是流数量少，单条流的带宽大；同时流量不均匀，经常出现多打一或者多打多的情况（All-to-All和All-Reduce）。所以极易出现流量负载不均、链路利用率低、频繁的流量拥塞导致的丢包等问题，无法充分释放算力。

根据上文，DDC使用信元交换将报文切片成Cells，并根据可达信息采用轮询机制发送，流量负载会较为均衡的分配到每一条链路，实现带宽的充分利用，这可以解决DCN中大小流的问题，仍然存在相当多的缺陷。

缺陷一：硬件要求特定设备，封闭专网不通用

DDC架构中的信元交换和VOQ技术，均依赖特定硬件芯片实现。DCC依赖硬件并通过私有的交换协议构建了一张封闭的专网并不通用，给后续运维以及升级扩容造成困难。

缺陷二：大缓存设计增加网络成本，不适合大规模DCN组网

DDC方案除去高昂的互联成本外，还背负着芯片大缓存的成本负担。DCN网络当前均使用小缓存设备，最大仅64M；而源于DCI场景的DDC方案通常芯片的HBM达到GB以上。

缺陷三：静态时延增加

DDC的大缓存能力将报文缓存，势必增加硬件转发静态时延。同时信元交换，对报文的切片、封装和重组，同样增加网络转发时延。通过测试数据比较，DDC较传统ETH网转发时延增大1.4倍。显然不适应AI计算网络的需求。
缺陷四：DC规模增大，可靠性下降

DDC进入DCN需要满足更大的一个集群，至少要满足一个网络POD。这意味着这个拉远的“框“，各个部件距离更远。那么对于这个集群的管控平面的可靠性、设备网络NOS的同步管理、网络POD级的运维管理要求更高。

全盒式的分布式组网方案

区别于DDC方案本质上仍是一个被拆解的”机框”，星融元的分布式组网则将解耦这件事做得更彻底——依靠高密度、大容量的盒式设备+专利的分布式算法，将禁锢在机箱内的CLOS架构分布到网络中，将网络的规划、部署、调整、优化，这些的主动权交还给用户，大幅降低建设成本，提升可扩展性，轻松实现千万级虚机规模的网络部署

数据面：支持专利的分布式路由算法PICFA，所有交换机能力整合为一个超级的“分布式虚拟路由表”，支持大规模组网扩展

在部署了PICFA的云网络中，所有租户的所有虚拟网络信息被动态、智能、均衡地分布在全网的所有Spine和Leaf交换机上，充分利用所有交换机的所有表项空间，由此，单台网络设备的FIB容量不再成为云的容量限制，虚拟机数量获得量级的提升，服务器计算力被充分利用。

控制面：采用ARP转主机路由的去堆叠方案，将路由分布到全网，Leaf仅保留直接接入VM的MAC表项，降低表项空间要求

Leaf交换机以上均采用L3路由，Leaf交换机仅需保存直接接入的虚机的MAC表项，有效的降低了Leaf交换机上的表项空间要求，也从另一个角度解决了Leaf交换机表项空间不足的问题

管理面：全网统一配置模板，支持ZTP零配置上线，即插即用，提高运维效率，全网分层简化配置，只需两个配置模板（Spine、Leaf）上线即插即用。

星融元全盒式组网在时延敏感网络场景的应用（以AIGC网络为例）

1、接入能力：网络架构横向扩展与存算分离

由于GPU资源本身稀缺的特性，尽可能多的把GPU资源集中在一个统一的资源池里面，将有利于任务的灵活调度，减少AI任务的排队、减少资源碎片的产生、提升GPU的利用率。要组成大规模GPU集群，网络的组网方式需要进行优化

ToR交换机用于和GPU Server直接连接，构成一个Block；ToR交换机向上一层是Leaf交换机，一组ToR交换机和一组Leaf交换机之间实现无阻塞全连接架构，构成一个Pod；不同Pod之间使用Spine交换机连接。

• Block是最小单元，包括256个GPU
• Pod是典型集群规模，包括8个Block，2048个GPU
• 超过2048个GPU，通过Fabric-Pod模式进行扩展

2、高可用设计

可用性问题在GPU集群中要求不高，因为大规模分布式的AI任务基本都是离线的训练任务，网络中断不会对主业务造成直接影响。但是这不意味着网络可用性无需关注，因为一个AI训练持续的时间可能会很长，如果没有中间状态保存的话，网络中断就意味着前面花费时间训练出来的成果全部失效，所使用的GPU资源也全部被浪费。

考虑到AI训练任务对网络拓扑的高度敏感性，某一处网络的中断会导致其他节点网络的非对称，无限增加上层处理的复杂度，因此在设计集群的时候需要考虑中断容忍的网络架构。

存储双上联

由于网络中断，导致一个存储节点下线，可能会在网络内触发大量数据恢复流量，增加网络负载，因此，建议采用双上联设计，确保某个交换机或上联链路中断不会影响存储节点的可用性。

计算单上行

如上文提及，综合性能与成本考虑，计算网暂不考虑双上联设计。

GPU网卡连接方式：同一个GPU Server上的8块卡连接到8个ToR，可以节省机间网络的流量，大部分都聚合在轨道内传输（只经过一级ToR），机间网络的流量大幅减少，冲击概率也明显下降，从而提供了整网性能。但是上面的方案，GPU Server上任何一个网卡或链接中断都会导致网络的非对称，整个GPU Server都会受到影响。所以干脆让所有网卡共享同一个交换机，好处是如果ToR交换机故障，影响到的GPU Server会尽可能少，从整个系统的角度出发，可用性反而提高了。

更多相关资讯：
客户案例：高性能、大规模、高可靠的AIGC承载网络
全以太网超低时延HPC网络方案 – 星融元Asterfusion
全闪分布式存储网络解决方案 – 星融元Asterfusion

本文参考：
http://www.cww.net.cn/article?id=577516
https://www.odcc.org.cn/download/24 DDC 技术白皮书2021

2021 年，云数据中心交换机的销售额以两位数增长，而非云领域的销售额则以中等个位数增长。到 2026 年，全球数据中心交换机市场的价值预计将达到 199 亿美元，年复合增长率为 5.6%。近年来，数据中心交换机市场的云计算部分预计将以几乎是非云计算市场两倍的速度扩张。以下是促成如此强劲的市场预测的主要因素：

• 持续的供应链问题推动了冲动消费
• 各行业数字化转型速度加快
• AI的等新兴业务驱动下，网络基础设施建设进入一轮扩张周期

数据中心交换机市场的美好前景固然带来了巨大的机遇，但在向400G过渡的过程中也面临着挑战。

400G交换机的市场机遇

• 芯片平台的多样性： 芯片多样性是过去几年数据中心行业的主题，这也给半导体巨头 Broadcom 带来了一定的压力。
• 智能设备： 智能设备的技术进步推动了对复杂连接和增强型网络解决方案的需求。预计这一趋势将推动芯片在数据中心服务器中的集成，从而为全球数据中心交换机市场提供利润丰厚的增长机会。

400G交换机的市场挑战

• 数据中心运营成本： 数据中心需要考虑当地的能源价格，因为能源成本在整体运营成本中占很大比重。对于云服务提供商和超大规模数据中心来说，能源成本本身就会令人望而却步。此外，机器维护和人工等额外运营费用也阻碍了市场的扩张。
• 复杂的架构： 由于云计算、服务器虚拟化、计算和存储技术的发展，数据中心架构变得越来越复杂。虽然高性能和更高带宽的数据中心交换机可以处理巨大的工作负载，但在各种架构中实施高带宽解决方案仍面临诸多挑战。
• 此外，在数据中心使用的各种技术之间建立兼容性也变得十分困难，这可能会导致大量额外开支，并阻碍新的部署。

星融元推出的32x400G规格的低时延交换机在公有云、私有云等场景下都有着不俗的性能表现，可为云数据中心多业务融合、高性能计算、大数据分析、高频交易等多种业务场景提供卓越的网络服务。

除了400G规格以外，CX-N系列还有以下型号以供组网选择：

CX-N系列预装的网络操作系统为AsterNOS（基于SONiC），具备高度的功能定制和可扩展性，帮助实现网络运维自动化。对比社区版SONiC，AsterNOS在以下方面做了大量功能补充和增强：

值得一提的是，与MC-LAG 解决方案相比，EVPN Multi-homing不仅能更好地解决可扩展性和流量负载平衡方面的限制，还能提高 VXLAN 接入端的可靠性。

更多有关EVPN Multi-homing的介绍：

MC-LAG还是Multi-Homing？探讨网络通信高可用性的新选择

此外，AsterNOS 完全支持类似 Cisco 的命令行模式，大大降低了运维端的学习成本。

下面是我们在使用 AserNOS 的交换机上演示以 不同的命令行模式（Klish/Bash）配置 VLAN。

欢迎关注微信公众号“星融元Asterfusion”，获取更多技术分享和最新产品动态。

如今，数据中心交换机市场正在向 400G 迁移，主要原因是云计算和云服务的普及推动了对高带宽和低时延的需求，让高性能的交换机得到了更广泛的应用。我们从三个方面进行简单分析。

全球数据的爆炸式增长

数据中心存储着个人消费者、大中小型企业或组织的海量数据，随着互联网的发展，数据量也在不断增长。400G 数据中心交换机作为网络架构不可或缺的一部分，也开始从大型的云数据中心扩展到小型云服务提供商和大型企业。以下列表显示了全球数据使用的一些主要趋势。

• 社交媒体流量呈爆炸式增长
• 边缘小基站的部署和5G 服务的推出与应用
• 物联网和 IoT（工业物联网）的发展势头日益强劲
• 传统的办公室工作正转向远程方式

数据中心网络架构的升级

为满足数据中心对高带宽、高可用性和低延迟网络的发展要求，多级Spine-leaf网络架构的出现简化了数据中心网络，并提供了更高的网络容量，网络架构的变化也使数据中心具备了更灵活的连接和更高的扩展性——随着“东数西算”工程进入加速期，骨干光网络建设需求扩大，需要带宽更高的数据中心交换机来承载流量，以满足终端用户日益增长的需求。

超大规模数据中心和边缘数据中心的扩展

随着对低延迟性能需求的增长，超大规模服务提供商正在努力使云计算服务更靠近终端。这是因为用户与边缘数据中心网络之间的距离较短，能以更低的延迟提供应用和服务，所以边缘数据中心使用的交换机也日益受到重视，并推动数据中心的所有者和运营商改良其基础设施，以适应高速增长的流量。

新格局如何影响数据中心交换机

对于数据中心而言，性能问题实际上是服务器、存储与交换机和各类网络连接之间的问题。数据中心交换机会受到不断变化的数据中心格局的影响，为此所有网络运营商都在寻求可扩展、可靠和高效的交换解决方案。

架构从 ToR 转向 MoR/EoR

从机架顶部（ToR）架构转向MoR或EoR配置是一大重要变化。与 ToR 架构相比，MoR 和 EoR 所需的机架式数据中心交换机更少。这意味着占用更少的机架空间、更少的维护工作以及更少的电力和散热系统部署和能耗。
此外，升级到更高速度只需更换服务器的跳线，而无需更换更长的线缆。不过，为了方便行内服务器与 MoR/EoR 交换机之间的连接，这种转变需要采用结构化布线策略。

更高的交换机端口密度

与 ToR 向 MoR/EoR 转变密切相关的是数据中心交换机速度的提高。当 IEEE802.3ck 成为批准的标准时，为交换机专用集成电路 (ASIC) 提供电气 I/O 的串行器/解串器 (SerDes) 预计将达到 100G。这表明交换机专用集成电路也在提高 I/O 端口的密度。

通过更高的交换机端口密度支持更多的网络设备连接，就有可能减少机架顶部（ToR）交换机的数量。因此，数据中心架构所需的交换机数量总体上会减少。

数据中心使用 QSFP-DD 收发器模块、400G 光缆和 200G/400G 交换机的情况越来越普遍。在骨干网使用 400G 交换机，数据中心使用相同数量的交换机（机架空间）可提供更大的带宽速率（吞吐量）或支持更多网络节点。

星融元推出的32x400G规格的低时延交换机，端口转发时延低至~400ns。软件方面则搭载了AsterNOS网络操作系统（基于SONiC），具备高度的功能定制和可扩展性，帮助实现网络运维自动化，可为云数据中心多业务融合、高性能计算、大数据分析、高频交易等多种业务场景提供卓越的网络服务。

除了400G规格以外，采用全开放架构的数据中心交换机CX-N系列还有以下型号以供组网选择，在公有云、私有云等场景下都有着不错的性能表现。

关注vx公号“星融元Asterfusion”，获取更多技术分享和最新产品动态。

Wi-Fi 一直是企业网络的重要组成部分。对于许多企业网络环境来说，WiFi 是大多数终端设备的主要接入方式。当终端用户连接到一个稳定的无线局域网时，最好的感知就是没有感知——因为一切都能顺畅运行。这就意味着无线局域网必须可靠，其设置必须能够支持运营目标，而这些目标可能因个别网络情况而异。

无线接入点的部署

任何无线局域网的成功配置都取决于从物理和逻辑角度对组成网络的接入点进行的科学布置。通常情况下，我们需要关注以下几点：

以空间需求和业务目的驱动 Wi-Fi 规划和设备选型

好的 Wi-Fi 设置并不是随随便便就能实现的，尤其是在大型或技术复杂的环境中。有时，IT 团队会将无线接入点（AP）安装在简单方便的区域，而不是将接入点放置在需要达到最佳性能的地方。一旦出现这种情况，最终用户体验不佳几率就会成倍增加。

不同的网络目的通常会产生不同的网络设计和接入点布局。例如，使用基于 Wi-Fi 的定位服务、提供访客访问的WLAN和为终端提供服务的 WLAN 会产生不同的设计，正确的 Wi-Fi 接入点布置取决于每个网络设置的政策、具体情况和运营目标。

灵活规划无线接入点的物理位置

不同组织在规划无线接入点的布置和物理安全时并没有一套统一的指导方针或建议可供遵循。比如有些环境需要带锁的机柜或单独的隔绝外部的空间。而在另一些环境中，机柜则是一种浪费，因为机柜的成本甚至都会高于无线接入点本身，或者已有安全摄像头覆盖了该区域，或者该空间本就不对公众开放。

在放置无线接入点时，经常出现的错误是过分关注隐藏无线AP，这使得以后很难对其进行维护。另一个错误是将接入点安装在易受攻击的区域，它们可能会被容易被非官方人员操作修改或被机器或其他设备以外撞到。

根据业务类型考虑接入点的合理布局

如今，大多数无线网络都是多用途的，它们可能会生成不同的SSID分别用于提供语音服务，供访客或受管理的企业笔记本电脑接入使用，但所有这些其实都由相同的接入点设备提供服务。每个 SSID 通常相当于一个特定的虚拟局域网，需要根据使用该 SSID 的客户类型进行安全配置。

严格控制设备管理权限

在企业网络环境中，很少会在客户端设备使用的网络上管理 AP。AP、交换机、闭路电视摄像机和一系列其他设备通常在严格控制的 IP 地址空间内进行管理，无论是使用防火墙还是访问控制列表，这些设备通常都与互联网和网络的其他部分隔绝，只有一小部分管理员可以访问这些设备，而且只有在满足双因素身份验证要求后才能访问。

监测非法接入点

无论 WLAN 如何满足操作要求，有些人可能会将无线路由器或 AP 连接到企业网络内的局域网，而他们根本没有必要这样做。个人的无知、对政策的无视或纯粹的恶意都可能促使非法无线网络设备的加入。无论这些设备出现的原因是什么，都必须提前制定应对策略。哪怕不并非寻找安全漏洞，不受控的无线接入点也会产生高强度干扰，阻碍合法用户使用企业 Wi-Fi 系统。

要最大限度地减少非法接入设备的出现，首先要制定并传达明确的政策。在这之后检测是关键，这就需要持续监控 Wi-Fi 频谱，查找可疑的信号来源。

更深层次的优化思路——架构升级

在无线接入点部署以外，我们也可以深层次地从网络架构的优化来提升无线网络的使用体验，并简化企业网络中的安全管理。例如采用分布式网关提升无线漫游的效率，简化前期部署和后期的动态维护工作。此外，架构本身自带的内生安全特性也可大大减少手动配置安全策略等枯燥又易错的运维工作。

什么是分布式网关？

星融元云化园区网络解决方案搭建是一个全三层的IP网络，一个子网的网关会以分布式的形式存在于每一个接入交换机上。它充分利用每一个接入层设备的能力，所有的跨子网转发动作在最近的分布式网关上完成，让网关功能不再成为压垮网络中某一台设备的潜在风险，同时大幅度提升整网的转发效率。

对比传统的无线方案，设备发生AP漫游后的流量不再需要绕道转发，也无需在配置前期考虑网络划分的问题——网络管理员只需要在网络初始化时一次性配置好所有分布式网关的信息即可，无需在运行过程中动态调整，进一步降低运维的复杂度。

接入终端安全控制

结合认证系统和内生安全特性，星融元云化园区网络可以提供多种接入终端安全管理能力，智能保障园区网络的安全性。例如：交换机将主动跟踪任何接入终端与DHCP服务器之间的交互过程，并自动学习设备信息，非法终端产生的网络流量将在接入端口被直接丢弃，不再依赖手动配置安全策略。

当今的企业生存和死亡取决于他们快速构建、启动和改进应用和服务以实现业务目标的能力。NetOps和DevOps是支持软件持续集成，交付和部署的互补概念。

DevOps是什么？

DevOps 是一种与敏捷方法相关的软件开发方法，开发人员和系统管理员一起工作，不断构建、测试、交付和改进应用和服务。支持者表示，与使用传统的、市场缓慢的瀑布模型的孤立开发和运营团队相比，DevOps可以更好地跟上当今企业的数字需求。核心 DevOps 原则包括协作、自动化、持续集成 (CI)、持续测试和持续交付 (CD)。

NetOps是什么？

从历史上看，术语 NetOps 是网络操作的简写，即与维护、监视和排除网络故障相关的活动。但是，今天，NetOps通常是指在网络中使用DevOps原则和工具。这种现代方法也被称为NetOps 2.0，DevNetOps，NetDevOps，网络即代码和Super-NetOps。 NetOps 2.0 结合了网络自动化、编排和虚拟化，将基础架构视为代码 (IaC)。这将产生更灵活、可编程和可扩展的网络基础架构，需要更少的手动干预，并且可以跟上 DevOps 设置的加速步伐。 在某些情况下，IaC 使 DevOps 团队能够通过自动化和自助服务在整个开发和测试阶段管理应用程序的操作环境。通过将网络转移到 CI/CD 管道中，NetOps 有助于提高软件开发生命周期 (SDLC) 的效率，并最大限度地减少后期部署问题。

NetOps 和 DevOps 之间的主要区别

DevOps主要是软件开发人员和系统管理员的职权范围，而NetOps是受DevOps影响的网络方法。DevOps 有助于快速高效的应用程序开发，而 NetOps 支持快速有效地部署这些应用程序。

星融元Asterfusion对NetDevOps可编程网络的支持

NetDevOps对网络提出了软件编程、软件定义、按需定制、运营优化的要求，而开放网络的理念与架构方法恰恰能够满足这些要求。NOS作为网络设备的“灵魂”，NetDevOps要求NOS从封闭、黑盒的体系向开放、透明的体系演进。

AsterNOS是星融元基于标准的Linux、以SONiC/SAI作为内核，为云计算时代构建的新一代开放、开源、以业务为中心NOS。AsterNOS SDK是星融元为满足NetDevOps需求为AsterNOS设计的一套开放网络的开发环境，能够支持开放网络的使用者在AsterNOS之上高效地运维网络和开发自己的网络应用。

传统网络运维的问题

1. 过于依赖人工。网络运维大多数是依靠网络团队在部署和维护交换机，而不是自动化；
2. 惧怕网络变更。运维人员认为在当前环境下做的变更会对整体网络环境造成极大运行风险；
3. 过于被动。大部分网络人员的精力都用于处理问题，而不是推进战略计划，而这些问题往往是手动更改配置时出错造成的。

传统网络运营实践的目标是最大限度地减少网络服务中断。因为从这些环境中发展出来的网络过于脆弱，无法适应服务的快速发展。经常进行变更就意味着会出现故障，这就导致了冗长的变更管理审查流程，网络团队对网络变化的普遍厌恶及日常存在大量补救性的被动工作。而NetOps 的主要目标就是解决这些长期存在的问题。

可编程网络NetOps 如何优化网络运维方式

理想情况下，它能帮助 NetOps 团队更成功地实现以下目标：

• 使运营更加自动化；
• 高度的敏捷迭代能力，而不是一味惧怕变化；
• 具有预见性，而不是仅做被动反应；
• 使网络具有弹性，脆弱。

NetOps 致力于在网络管理中使用更多维度自动化。比如临时的自动化脚本，通过代码管理、设置工具和实践标准，编写出可靠的脚本在网络中运行。另一些情况中则采用基于平台的自动化，如基于意图的网络（IBN）。

与传统的运维不同，NetOps下的网络团队反而是希望环境经常发生变化，不断将新服务投入生产并实现功能迭代，与其厌恶变化，这类团队会将注意力集中在尽量减少变化可能带来的副作用上。他们希望在测试部署中不断完善自动化后，在生产中使用自动化地启动新服务，并继续使用自动化工具快速纠正之前未遇到的问题，使环境的部署和更新变得更加顺畅和正确，使网络更加灵活弹性。

可编程网络NetOps与网络运维中心：非此即彼还是兼而有之？

NetOps 会取代现有的网络运营中心并使其过时，还是会重塑网络运营中心，使其更好地满足当前和新出现的需求？

当然是后者。尽管变化正在形成，但有两点是肯定的：网络运维中心是各个方面的核心。网络紧急事件仍会发生。如果没有网络团队的服务，大多数组织的业务都会迅速停止。设备和服务仍然会出现故障，外部不法分子仍然会发动攻击，不可预见的新问题仍然会出现。但是，随着 NetOps 的引入，传统的网络运维中心也将发生演变，主要是变得更加自动化。NetOps理念下的网络运维团队将随时准备好详细的自动化的指令编排手册。这些指令让团队以经过测试的并且可重复的方式尽快实施变更，而不会出现让事情变得更糟的错误。

最终，一个理想的自动化运维越来越有可能实现：针对检测到的问题，网络监控工具只需通过执行自动响应处理问题，同时向员工发出警报。虽然大多数企业的网络团队离全自动响应方案还有很长的路要走，但 NetOps 的迅速崛起正在使其成为一种趋势。

星融元的云化园区网络架构天然地支持NetDevOps。基于云化园区交换机所搭载的AsterNOS及其SDK、REST API，我们以下面一个安全运维场景来说明。

如上图所示，出于对安全的考虑，网络运维人员往往需要对重要的应用系统进行访问情况的审计与分析；针对这些应用系统，如果发生了访问控制的缺失、访问状况的异常，管理员希望第一时间得到通知，以便采取相应的动作。这些审计与分析的内容可能包括：网络对重要应用系统的访问是否进行了控制（以便判定该应用系统是否被保护）、对这些重要应用的访问情况是否发生了突然的变化（以便判定该应用系统是否处于可能的攻击中）等。

下面，我们就来看看通过AsterNOS SDK如何便捷、高效地实现这一需求。在网络中，访问控制一般是通过ACL（Access Control List，访问控制列表）实现的

AsterNOS支持ACL功能，并且能够提供所有ACL被命中过的统计数据；AsterNOS SDK所提供的REST API中，包含对ACL各个字段和统计数据的访问接口，通过调用这些接口，即可直接获得ACL的这些信息用以分析。具体思路如下：

1. 重要的应用系统可以用IP地址来标识（如果需要更精确地定义，还可以增加该应用所使用的TCP/UDP端口信息）；
2. 通过调用REST API，获得AsterNOS中当前配置的所有ACL的“目的IP地址”字段，以便判断所定义的重要应用系统是否被ACL进行访问控制；
3. 通过调用REST API，获得对这些重要应用系统的访问量的统计信息，以便判断是否出现异常状况；
4. 对于出现的访问控制缺失或访问异常状况，该程序自动通知管理员进行干预。

假设运行着AsterNOS的网络设备的管理接口IP地址和端口为192.168.1.200:4430，则上述思路的示意性伪代码可以如下：

这段伪代码仅用于示意，并未严格地写出循环、边界条件判断、具体日志与告警实现等。其中，“GET https://192.168.1.200:4430/rest/v3/acl/…”即AsterNOS SDK中获取ACL及其具体信息的REST API，“TABLE_y:RULEz:”dst_ip””和“TABLE_y:RULEz:“stats””即一条ACL的“目的IP地址字段”和“该ACL的命中数量统计”。需要强调的是，编程者通过AsterNOS SDK的REST API获得的已经是ACL的每一个具体字段及其值，无需再使用复杂的文本解析程序进行处理。
将这段非常简单的程序用Docker进行容器化封装，部署在AsterNOS中，并且自动化地定时运行，即可实现前文所述的运维需求，并且，通过对更多ACL字段与值的调用，即可实现更高级的运维功能。

更多有关星融元云化园区网络相关咨询，请参考：https://asterfusion.com/campus/

loT 为企业提供了更高的可见性、自动化和运营效率。已经开始研究部署 loT 的潜力的企业，必须了解各种 loT 传感器 以及这些设备如何与 loT 服务器应用程序连接和通信。

大多数人认为，loT 网络只需连接到传统的企业局域网即可。虽然这在某些情况下是正确的，但 loT 网络连接采用了更广泛的网络方法，并扩展了连接选项。

什么是传统网络？

传统企业网络通常由以下部分组成：

• 企业局域网。
• 无线局域网 (WLAN)。
• 广域网。
• 边缘互联网。

局域网和无线局域网是专用有线和 Wi-Fi 网络，通常部署在企业办事处和分支机构内。

广域网负责局域网和分支机构之间的安全连接；边缘互联网是入口和出口流量可以到达互联网的一个或多个点。

什么是物联网loT？

loT是一组与互联网相连的自主设备，企业可以部署这些设备来自动执行一系列与业务相关的任务。然后，数据通过互联网传输到中央存储库管理应用程序进行分析。根据 loT系统的作用，它可以利用分析后的数据启动自动响应或做出各种与业务相关的决策。

loT设备可以使用标准以太网、Wi-Fi 或大量其他有线或无线连接方式，以及基于标准或专有的网络协议。由于 loT 设备通常可以在低带宽链路上运行，因此这种多样性使部署具有更大的灵活性。

传统网络与 物联网（IoT）的区别？

loT 系统也需依仗网络连接来运行——loT 系统中的设备一般是依靠网络连接来捕获数据，并将数据传送到中央服务器进行分析。loT 设备还可以根据集中式 loT 管理系统驱动的流程，对各种反馈做出反应。然而，与传统的企业组件不同，loT 架构和设备可以分布在广泛的地理范围内。

企业通常在传统的企业有线和 Wi-Fi 网络上安装 loT 传感器，以实现通信接入。不过，企业也可以在非传统网络上安装 loT 传感器，包括公共和专用蜂窝网络、蓝牙、Zigbee 和长距离广域网。

用户还可以在家庭网络中放置 loT 设备，只要它们能通过互联网接入 loT 管理服务。正因为如此，loT 的扩展范围远远超出了传统网络的覆盖范围，使其成为网络部署的灵活选择。

物联网（IoT）对企业基础网络的需求

传输层是物联网设备实现连接的通道，承担连接终端设备、边缘、云端的职责。随着物联网设备数量快速增加，应用场景日益丰富，市场对网络连接能力提出了更高的要求。

无线传输通信技术是物联网行业的主要发展趋势。物联网的传输层负责将感知层识别和采集的信息进一步传递，其中涉及到多种网络通信技术，通信技术可分为无线传输技术和有线传输技术，而根据实际应用发展情况，无线传输是主要发展趋势。

星融元云化园区方案将先进的云网络技术引入园区，创新性的分布式网关技术革新无线漫游的效率和工作方式，结合有线网络架构的高带宽、高可靠、高弹性扩展设计，为海量用户终端、物联网设备以及后端服务平台提供稳定的高速互联能力。

凭借在底层架构上的革新和对网络运行机制层面的创新优化，星融元的云化园区网络大大简化了网络开局阶段的配置工作和日常运维工作，对比传统的园区网可降低TCO（总拥有成本）超过40%。

此外，与市面上大多数厂商不同，星融元的园区网络设备采用容器化的架构，并提供了丰富的软件可编程接口（API）。这些特性为网络应用的扩展、对接集成各类网络自动化工具和后端AI驱动的物联网运营分析平台创造了绝佳条件。

云化园区网络解决方案

随着数字化转型的需求变得日益明显，企业也需要重新考虑自身的网络基础设施。

现企业网络已成为许多公司的焦点，显然，数据中心战略需要改变，尽管新冠大流行已趋于温和，很多员工也回到了办公室工作，但本地和远程双线并存的工作环境依然存在，继续给网络现代化项目带来压力。

企业需要新的网络架构来推动更高的带宽、更精简及易扩展的网络。换言之，现代化的网络和应用对于保持企业竞争力至关重要。以下是几个需要考虑的重要方向：

云化转型

企业将网络基础设施和应用迁移到云平台，如公有云或混合云环境。云化转型可以提供更高的灵活性、可扩展性和可靠性，同时降低成本和管理复杂性。

云计算使企业能够从资本支出和折旧的模式转变为基于消费的 IT 模式，从而提升效率，开发和部署时间都有很大程度的缩短。向云计算迁移往往是一项艰巨的挑战。但是，从托管服务入手是一种不错的转型手段，它同时还能让运行在本地的应用程序为未来的迁移做好准备。在这方面，除了软件即服务（SaaS），网络即服务（NaaS）也是一种值得考虑的产品，它通过将一些网络功能转移到云中来减少对基础设施的需求。于此同时，围绕多云战略构建业务应用程序变得更加重要。

什么是网络即服务（NaaS）？它的优势、特点及其替代品又是什么

引入容器架构

随着“以消费为中心的”业务模式的深入人心，无论是在企业本地设施还是通过云服务，容器架构都能以更高效的方式提供网络服务，供应用程序消费。 此外，与布满物理服务器甚至虚拟机的网络相比，容器网络的占用空间要小得多，更适合轻量级工作负载和基于服务的实例。

现在正是企业回顾其虚拟IT环境的大好时机，来确定哪些工作负载适合从虚拟机迁移到容器，从而降低对基础设施需求并提高资源利用率。

投资更大的带宽

像 SDN 这样的战略有助于网络的配置和管理。但有时问题并不仅仅在于路由够不够智能，而是简单地由于物联网和多媒体应用堵塞了网络管通路，因此企业需要更多的网络容量。

数据、应用和服务的激增，无论是服务器，还是服务器到客户端的流量，都给网络路由带来了压力。下一代有线的网络，即 2.5 Gbps 客户端网络和 10 Gbps 或 25 Gbps 服务器网络。这将为处理激增的数据和应用需求提供更快的网络路径。如果从核心网络入手，满足这一需求的成本通常会很高，而如果从边缘网络入手，影响则会较小。对大多数公司来说，真正物有所值的是汇聚层，在这里增加更多网络容量有助于优化整体流量拥塞状况。

一文梳理新一代云化园区网络建设方案-建网篇（2023版）

拥抱WiFi6

最新一代的无线接入点是对高速有线网络的补充，并为重新配置工作空间的公司提供了更灵活的部署方式。

没有必要对所有接入点进行全面更换。相反，企业应分析其当前模式和每个接入点的平均负载，首先重点升级流量最大的接入点。随着时间的推移，将所有设备都升级到 Wi-Fi 6 应能带来更好的管理效益。

重新思考 VPN

一些公司的现代化计划侧重于将 “在家办公 “模式转变为长期的战略。为了支持更多的远程工作员工，企业正在重新考虑他们的 VPN 和相关的云计算策略。企业可以考虑为高价值的远程员工提供软件定义的广域网（SD-WAN）或基于云的 VPN 或基于云的 VPN，以减轻当前网络终端的负担。

为远程用户部署 SD-WAN

SD-WAN 可为分支机构提供更好的访问、控制和弹性，并可优化对云应用的远程访问。远程访问云应用。一些企业甚至考虑为其高价值用户部署 SD-WAN 端点，因为与典型的 VPN 连接相比，SD-WAN 技术可提供更好的始终在线体验。

MPLS 与 SD-WAN的比较

网络自动化

随着管理任务的扩展速度超过资源的增长速度，企业需要更智能地工作，而不是更辛苦地工作。网络的自动化，尤其是与业务案例或业务规则处理相关联时，可使公司更高效更迅速地响应管理请求。

随着 Al 技术的迅速成熟，基于 Al 的自动化现在已成为一种可行的选择。由于许多任务（如部署和迁移）都是可预测的，因此 Al 可以帮助简化这些功能。即使是新产品，如 OpenAl 的 ChatGPT，也正在被集成到网络自动化工具中。

一文梳理新一代云化园区网络建设方案-运维篇（2023版）

Al 支持的网络报告

所有这些网络现代化进程和IT技术变化创造了一个更加复杂的，数据高度密集的企业环境。有了如此多的工具，输出高级报告项目对企业保持变革领先变得更加重要。随着现代化网络变得越来越复杂，用于帮助分析和识别趋势并提供网络安全问题预警的 Al 也变得越来越常见。如果企业目前依赖于来自多个不同工具的报告，那么现在正是研究聚合工具的好时机，这些工具可以关联多个领域的报告，通过为 IT 团队连接多维度数据来提高对网络的洞察力。

星融元携手商业地产运营商共同进入AI时代

网络安全

网络管理的变化是深刻的，对网络安全的影响也最大。

强大的网络安全需求对所有企业都至关重要，因为风险不仅仅存在于网络基础设施，它还会延伸到企业声誉、收入甚至客户。在这一安全领域，依靠专家往往比在公司内部解决问题更好，因为外包服务可能对许多网络漏洞和问题见得多了，能够在问题出现时更快地做出反应。