标签： 科普-园区

传统网络运维的问题

1. 过于依赖人工。网络运维大多数是依靠网络团队在部署和维护交换机，而不是自动化；
2. 惧怕网络变更。运维人员认为在当前环境下做的变更会对整体网络环境造成极大运行风险；
3. 过于被动。大部分网络人员的精力都用于处理问题，而不是推进战略计划，而这些问题往往是手动更改配置时出错造成的。

传统网络运营实践的目标是最大限度地减少网络服务中断。因为从这些环境中发展出来的网络过于脆弱，无法适应服务的快速发展。经常进行变更就意味着会出现故障，这就导致了冗长的变更管理审查流程，网络团队对网络变化的普遍厌恶及日常存在大量补救性的被动工作。而NetOps 的主要目标就是解决这些长期存在的问题。

可编程网络NetOps 如何优化网络运维方式

理想情况下，它能帮助 NetOps 团队更成功地实现以下目标：

• 使运营更加自动化；
• 高度的敏捷迭代能力，而不是一味惧怕变化；
• 具有预见性，而不是仅做被动反应；
• 使网络具有弹性，脆弱。

NetOps 致力于在网络管理中使用更多维度自动化。比如临时的自动化脚本，通过代码管理、设置工具和实践标准，编写出可靠的脚本在网络中运行。另一些情况中则采用基于平台的自动化，如基于意图的网络（IBN）。

与传统的运维不同，NetOps下的网络团队反而是希望环境经常发生变化，不断将新服务投入生产并实现功能迭代，与其厌恶变化，这类团队会将注意力集中在尽量减少变化可能带来的副作用上。他们希望在测试部署中不断完善自动化后，在生产中使用自动化地启动新服务，并继续使用自动化工具快速纠正之前未遇到的问题，使环境的部署和更新变得更加顺畅和正确，使网络更加灵活弹性。

可编程网络NetOps与网络运维中心：非此即彼还是兼而有之？

NetOps 会取代现有的网络运营中心并使其过时，还是会重塑网络运营中心，使其更好地满足当前和新出现的需求？

当然是后者。尽管变化正在形成，但有两点是肯定的：网络运维中心是各个方面的核心。网络紧急事件仍会发生。如果没有网络团队的服务，大多数组织的业务都会迅速停止。设备和服务仍然会出现故障，外部不法分子仍然会发动攻击，不可预见的新问题仍然会出现。但是，随着 NetOps 的引入，传统的网络运维中心也将发生演变，主要是变得更加自动化。NetOps理念下的网络运维团队将随时准备好详细的自动化的指令编排手册。这些指令让团队以经过测试的并且可重复的方式尽快实施变更，而不会出现让事情变得更糟的错误。

最终，一个理想的自动化运维越来越有可能实现：针对检测到的问题，网络监控工具只需通过执行自动响应处理问题，同时向员工发出警报。虽然大多数企业的网络团队离全自动响应方案还有很长的路要走，但 NetOps 的迅速崛起正在使其成为一种趋势。

星融元的云化园区网络架构天然地支持NetDevOps。基于云化园区交换机所搭载的AsterNOS及其SDK、REST API，我们以下面一个安全运维场景来说明。

如上图所示，出于对安全的考虑，网络运维人员往往需要对重要的应用系统进行访问情况的审计与分析；针对这些应用系统，如果发生了访问控制的缺失、访问状况的异常，管理员希望第一时间得到通知，以便采取相应的动作。这些审计与分析的内容可能包括：网络对重要应用系统的访问是否进行了控制（以便判定该应用系统是否被保护）、对这些重要应用的访问情况是否发生了突然的变化（以便判定该应用系统是否处于可能的攻击中）等。

下面，我们就来看看通过AsterNOS SDK如何便捷、高效地实现这一需求。在网络中，访问控制一般是通过ACL（Access Control List，访问控制列表）实现的

AsterNOS支持ACL功能，并且能够提供所有ACL被命中过的统计数据；AsterNOS SDK所提供的REST API中，包含对ACL各个字段和统计数据的访问接口，通过调用这些接口，即可直接获得ACL的这些信息用以分析。具体思路如下：

1. 重要的应用系统可以用IP地址来标识（如果需要更精确地定义，还可以增加该应用所使用的TCP/UDP端口信息）；
2. 通过调用REST API，获得AsterNOS中当前配置的所有ACL的“目的IP地址”字段，以便判断所定义的重要应用系统是否被ACL进行访问控制；
3. 通过调用REST API，获得对这些重要应用系统的访问量的统计信息，以便判断是否出现异常状况；
4. 对于出现的访问控制缺失或访问异常状况，该程序自动通知管理员进行干预。

假设运行着AsterNOS的网络设备的管理接口IP地址和端口为192.168.1.200:4430，则上述思路的示意性伪代码可以如下：

这段伪代码仅用于示意，并未严格地写出循环、边界条件判断、具体日志与告警实现等。其中，“GET https://192.168.1.200:4430/rest/v3/acl/…”即AsterNOS SDK中获取ACL及其具体信息的REST API，“TABLE_y:RULEz:”dst_ip””和“TABLE_y:RULEz:“stats””即一条ACL的“目的IP地址字段”和“该ACL的命中数量统计”。需要强调的是，编程者通过AsterNOS SDK的REST API获得的已经是ACL的每一个具体字段及其值，无需再使用复杂的文本解析程序进行处理。
将这段非常简单的程序用Docker进行容器化封装，部署在AsterNOS中，并且自动化地定时运行，即可实现前文所述的运维需求，并且，通过对更多ACL字段与值的调用，即可实现更高级的运维功能。

更多有关星融元云化园区网络相关咨询，请参考：https://asterfusion.com/campus/

loT 为企业提供了更高的可见性、自动化和运营效率。已经开始研究部署 loT 的潜力的企业，必须了解各种 loT 传感器 以及这些设备如何与 loT 服务器应用程序连接和通信。

大多数人认为，loT 网络只需连接到传统的企业局域网即可。虽然这在某些情况下是正确的，但 loT 网络连接采用了更广泛的网络方法，并扩展了连接选项。

什么是传统网络？

传统企业网络通常由以下部分组成：

• 企业局域网。
• 无线局域网 (WLAN)。
• 广域网。
• 边缘互联网。

局域网和无线局域网是专用有线和 Wi-Fi 网络，通常部署在企业办事处和分支机构内。

广域网负责局域网和分支机构之间的安全连接；边缘互联网是入口和出口流量可以到达互联网的一个或多个点。

什么是物联网loT？

loT是一组与互联网相连的自主设备，企业可以部署这些设备来自动执行一系列与业务相关的任务。然后，数据通过互联网传输到中央存储库管理应用程序进行分析。根据 loT系统的作用，它可以利用分析后的数据启动自动响应或做出各种与业务相关的决策。

loT设备可以使用标准以太网、Wi-Fi 或大量其他有线或无线连接方式，以及基于标准或专有的网络协议。由于 loT 设备通常可以在低带宽链路上运行，因此这种多样性使部署具有更大的灵活性。

传统网络与 物联网（IoT）的区别？

loT 系统也需依仗网络连接来运行——loT 系统中的设备一般是依靠网络连接来捕获数据，并将数据传送到中央服务器进行分析。loT 设备还可以根据集中式 loT 管理系统驱动的流程，对各种反馈做出反应。然而，与传统的企业组件不同，loT 架构和设备可以分布在广泛的地理范围内。

企业通常在传统的企业有线和 Wi-Fi 网络上安装 loT 传感器，以实现通信接入。不过，企业也可以在非传统网络上安装 loT 传感器，包括公共和专用蜂窝网络、蓝牙、Zigbee 和长距离广域网。

用户还可以在家庭网络中放置 loT 设备，只要它们能通过互联网接入 loT 管理服务。正因为如此，loT 的扩展范围远远超出了传统网络的覆盖范围，使其成为网络部署的灵活选择。

物联网（IoT）对企业基础网络的需求

传输层是物联网设备实现连接的通道，承担连接终端设备、边缘、云端的职责。随着物联网设备数量快速增加，应用场景日益丰富，市场对网络连接能力提出了更高的要求。

无线传输通信技术是物联网行业的主要发展趋势。物联网的传输层负责将感知层识别和采集的信息进一步传递，其中涉及到多种网络通信技术，通信技术可分为无线传输技术和有线传输技术，而根据实际应用发展情况，无线传输是主要发展趋势。

星融元云化园区方案将先进的云网络技术引入园区，创新性的分布式网关技术革新无线漫游的效率和工作方式，结合有线网络架构的高带宽、高可靠、高弹性扩展设计，为海量用户终端、物联网设备以及后端服务平台提供稳定的高速互联能力。

凭借在底层架构上的革新和对网络运行机制层面的创新优化，星融元的云化园区网络大大简化了网络开局阶段的配置工作和日常运维工作，对比传统的园区网可降低TCO（总拥有成本）超过40%。

此外，与市面上大多数厂商不同，星融元的园区网络设备采用容器化的架构，并提供了丰富的软件可编程接口（API）。这些特性为网络应用的扩展、对接集成各类网络自动化工具和后端AI驱动的物联网运营分析平台创造了绝佳条件。

云化园区网络解决方案

随着数字化转型的需求变得日益明显，企业也需要重新考虑自身的网络基础设施。

现企业网络已成为许多公司的焦点，显然，数据中心战略需要改变，尽管新冠大流行已趋于温和，很多员工也回到了办公室工作，但本地和远程双线并存的工作环境依然存在，继续给网络现代化项目带来压力。

企业需要新的网络架构来推动更高的带宽、更精简及易扩展的网络。换言之，现代化的网络和应用对于保持企业竞争力至关重要。以下是几个需要考虑的重要方向：

云化转型

企业将网络基础设施和应用迁移到云平台，如公有云或混合云环境。云化转型可以提供更高的灵活性、可扩展性和可靠性，同时降低成本和管理复杂性。

云计算使企业能够从资本支出和折旧的模式转变为基于消费的 IT 模式，从而提升效率，开发和部署时间都有很大程度的缩短。向云计算迁移往往是一项艰巨的挑战。但是，从托管服务入手是一种不错的转型手段，它同时还能让运行在本地的应用程序为未来的迁移做好准备。在这方面，除了软件即服务（SaaS），网络即服务（NaaS）也是一种值得考虑的产品，它通过将一些网络功能转移到云中来减少对基础设施的需求。于此同时，围绕多云战略构建业务应用程序变得更加重要。

什么是网络即服务（NaaS）？它的优势、特点及其替代品又是什么

引入容器架构

随着“以消费为中心的”业务模式的深入人心，无论是在企业本地设施还是通过云服务，容器架构都能以更高效的方式提供网络服务，供应用程序消费。 此外，与布满物理服务器甚至虚拟机的网络相比，容器网络的占用空间要小得多，更适合轻量级工作负载和基于服务的实例。

现在正是企业回顾其虚拟IT环境的大好时机，来确定哪些工作负载适合从虚拟机迁移到容器，从而降低对基础设施需求并提高资源利用率。

投资更大的带宽

像 SDN 这样的战略有助于网络的配置和管理。但有时问题并不仅仅在于路由够不够智能，而是简单地由于物联网和多媒体应用堵塞了网络管通路，因此企业需要更多的网络容量。

数据、应用和服务的激增，无论是服务器，还是服务器到客户端的流量，都给网络路由带来了压力。下一代有线的网络，即 2.5 Gbps 客户端网络和 10 Gbps 或 25 Gbps 服务器网络。这将为处理激增的数据和应用需求提供更快的网络路径。如果从核心网络入手，满足这一需求的成本通常会很高，而如果从边缘网络入手，影响则会较小。对大多数公司来说，真正物有所值的是汇聚层，在这里增加更多网络容量有助于优化整体流量拥塞状况。

一文梳理新一代云化园区网络建设方案-建网篇（2023版）

拥抱WiFi6

最新一代的无线接入点是对高速有线网络的补充，并为重新配置工作空间的公司提供了更灵活的部署方式。

没有必要对所有接入点进行全面更换。相反，企业应分析其当前模式和每个接入点的平均负载，首先重点升级流量最大的接入点。随着时间的推移，将所有设备都升级到 Wi-Fi 6 应能带来更好的管理效益。

重新思考 VPN

一些公司的现代化计划侧重于将 “在家办公 “模式转变为长期的战略。为了支持更多的远程工作员工，企业正在重新考虑他们的 VPN 和相关的云计算策略。企业可以考虑为高价值的远程员工提供软件定义的广域网（SD-WAN）或基于云的 VPN 或基于云的 VPN，以减轻当前网络终端的负担。

为远程用户部署 SD-WAN

SD-WAN 可为分支机构提供更好的访问、控制和弹性，并可优化对云应用的远程访问。远程访问云应用。一些企业甚至考虑为其高价值用户部署 SD-WAN 端点，因为与典型的 VPN 连接相比，SD-WAN 技术可提供更好的始终在线体验。

MPLS 与 SD-WAN的比较

网络自动化

随着管理任务的扩展速度超过资源的增长速度，企业需要更智能地工作，而不是更辛苦地工作。网络的自动化，尤其是与业务案例或业务规则处理相关联时，可使公司更高效更迅速地响应管理请求。

随着 Al 技术的迅速成熟，基于 Al 的自动化现在已成为一种可行的选择。由于许多任务（如部署和迁移）都是可预测的，因此 Al 可以帮助简化这些功能。即使是新产品，如 OpenAl 的 ChatGPT，也正在被集成到网络自动化工具中。

一文梳理新一代云化园区网络建设方案-运维篇（2023版）

Al 支持的网络报告

所有这些网络现代化进程和IT技术变化创造了一个更加复杂的，数据高度密集的企业环境。有了如此多的工具，输出高级报告项目对企业保持变革领先变得更加重要。随着现代化网络变得越来越复杂，用于帮助分析和识别趋势并提供网络安全问题预警的 Al 也变得越来越常见。如果企业目前依赖于来自多个不同工具的报告，那么现在正是研究聚合工具的好时机，这些工具可以关联多个领域的报告，通过为 IT 团队连接多维度数据来提高对网络的洞察力。

星融元携手商业地产运营商共同进入AI时代

网络安全

网络管理的变化是深刻的，对网络安全的影响也最大。

强大的网络安全需求对所有企业都至关重要，因为风险不仅仅存在于网络基础设施，它还会延伸到企业声誉、收入甚至客户。在这一安全领域，依靠专家往往比在公司内部解决问题更好，因为外包服务可能对许多网络漏洞和问题见得多了，能够在问题出现时更快地做出反应。

传统的医院信息化建设背景下，网络建设面临着各种各样的困难。

1. 传统网络出现故障无法快速恢复。传统网络面临故障无法快速恢复的问题，出现问题排查困难，有时候会严重影响医院业务的正常开展。
2. 传统网络穿透性不强。医院病房楼建筑结构通常较为复杂，导致病房内信号覆盖范围不全面，特别是对于电梯内等特殊位置，网络覆盖效果很不理想。对于移动医护设备，出现网络不佳等问题时，会严重影响救治效率与就诊体验。
3. 传统网络承载量不足。当医院同时就诊人数过多致使某一区域内上网人数较多时，会导致网络异常缓慢，病人无法上网或上网卡顿，影响就医体验。
4. 医疗数据敏感。医疗数据涉及个人隐私、安全和计费等多种敏感信息，而传统的医院网络无法满足信息安全的建设需求。

智慧医院的网络架构设计

在智慧医院里，网络需求场合包括门诊大厅、病房、手术室、办公区、餐厅等，医生、护士、病患及家属等不同角色对网络的需求也各不相同，需要一个高并发、高性能、信号覆盖好、稳定的网络环境，用来支撑智慧医院内各项应用系统的正常运行。同时，智慧医院建设会涉及不同医院之间的业务协同，对于跨院的网络体系建设同样应考虑在内。

现代医院的网络架构可以分为院内和院间网络两部分。

1. 院内网络主要以有线网络为主并搭配无线网络，联通医院的各个部分，用以支撑智慧医院的HIS、LIS等典型系统，更好地服务医务人员及患者，是智慧医院运行的基础。
2. 院外网络是指可用于远程医疗、远程教育等区域医疗应用及与政府管理系统的对接。在智慧医院的建设中，这两种网络的稳定性和高效性将直接影响到整体运行的各个方面，因此网络架构设计在智慧医院中是十分必要的。

无缝漫游：基于分布式网关的漫游方案替代路径冗长的隧道转发

园区网络中的分布式网关设计，具体指的是：一个子网的网关以分布式的形式存在于每一个接入交换机上。它充分利用每一个接入层设备的能力，所有的跨子网转发动作在最近的分布式网关上完成，让网关功能不再成为压垮网络中某一台设备的潜在风险，同时大幅度提升整网的转发效率。

对比传统的无线方案，设备发生AP漫游后的流量不再需要绕道转发，也无需在配置前期考虑网络划分的问题——网络管理员只需要在网络初始化时一次性配置好所有分布式网关的信息即可，无需在运行过程中动态调整，从而进一步降低运维的复杂度。

了解更多：下一代园区网络，“分布式网关”实现更高效的无线漫游！

海量接入：引入云计算先进网络架构设计，网络扩展无瓶颈

区别于传统的三层拓扑，采用了开放网络架构的园区网络中，全部采用的是Clos结构的组网模型（Spine/Leaf）。这种架构早已广泛应用于云计算场景，它足够扁平，并且可以抛弃大机框设备用全盒式的单芯片交换机来组网，横向扩展十分灵活。

如图所示，随着规模的从小到大，这个Clos网络能够从一级横向扩展至多级，使得网络能够接入的终端数量从几十个到几十万个不等，并且，扩展的过程中原有的网络架构完全保持不变，新扩展的模块与原有模块架构完全一致，从而最大限度地降低了维护的复杂度。

了解更多：下一代园区网络，用Leaf/Spine架构替代传统“接入-汇聚-核心”三层架构

超高可靠：抛弃二层交换彻底隔绝广播风暴，比“堆叠”更可靠的“超堆叠”

我们都知道，在需要高可靠的网络场景中我们往往需要进行冗余设计，但由此会产生网络环路并导致广播风暴影响整网的正常运行。所以在组网实践中我们有了生成树协议（STP），通过一定的算法人为阻塞链路来打破环路。
链路的阻塞无疑是对资源的浪费，在新一代的园区网络设计中，我们完全有能力抛弃二层网络（即消除网络中的广播），通过纯三层路由转发+ECMP来实现100%的链路利用率，并且这样的网络同时也具备相当的高可靠特性。

另一方面，园区网络为提高网络可靠性避免链路/设备单点故障，还往往采用堆叠组的架构。堆叠技术将多台设备虚拟成一台，对外呈现出统一的控制平面，简化了管理和配置也提升了性能和吞吐量，但堆叠组的升级复杂度和设备替换问题却也成为了让一线网工头疼的问题。

新一代基于Spine/Leaf架构的园区网络，我们得到的是一个集群化的网络，在保证了高可靠和运维简单的前提下，网络升级和稳定性也得到了本质的提升。

了解更多：新一代云化园区网络架构，根除网络广播风暴难题

极简运维：单一配置模板+简单易用的网络集群+轻量控制器，更适合小规模网络场景

新一代云园区交换机支持零配置部署，同层设备采用同一套配置模板，并且开局自动加载配置文件、升级文件，实现设备的免现场配置和部署。

和传统园区SDN控制器相比，新一代云园区控制器的最大特点是“轻量”，它不会将路由计算、 QoS策略/安全策略下发、接入安全检测等计算任务集中在控制器上，而是分布式在每个交换机上计算，控制器只进行简单的状态查看和配置管理。

原生安全：出口安全设备池化，高效利用安全资源

在网络出口架构方面，新一代园区网络引入了资源池方案，结合SDN流量编排技术，可将各类安全资源池化，避免了传统串联模式的单点故障和升级调整困难的问题。

校园网络正在面临的哪些挑战？

• 无线覆盖和漫游
• 高带宽高并发
• 物联网设备的引入

分场景的无线网络设计原则

普通教室等场景

此类场景属于学校内常见场景，比如普通教室、开阔办公室、会议室、实验室、图书馆等。这类区域师生人数较多，环境相对开阔且面积较大；无线不仅要承载师生办公业务、同时学员还会使用无线访问流媒体、游戏、下载文件等，对无线设备的性能提出了较高要求。因此，推荐在此类环境中使用支持802.11 ax协议的吸顶式AP。既满足此类环境对无线性能的要求，满足老师、学员、访客的日常上网需求。

小型办公室场景

对于学校内小型的隔间办公室，此类环境一般房间密集且数量较多，每个房间2~3个用户，同时无线建设时要求尽量减少对环境的影响。因此在此类场景推荐使用面板式的无线AP。

面板式AP采用国标86面板尺寸设计，满足办公室等建筑施工规范性要求施，快速安装，直接替换掉原有有线面板即可。此外，面板式AP在提供无线信号覆盖的同时，还能提供有线网络和电话口，符合办公室等对有线无线网络的共同需求。

办公楼、图书馆区域

设计思路：在图书馆区域，里面有阅览室、自习室、接待室、报告厅，等场景，都使用吸顶AP进行覆盖，对于报告厅场景采用高密吸顶AP进行覆盖。除了确保人数承载外，还主要确保AP间的干扰。

宿舍楼，部分办公楼重要办公室

对于这两种区域，房间密集，单均为接入并发较少，每个隔墙都为水泥墙，需要考虑信号衰减问题。因此针对这种区域每个房间放置面板，用于信号覆盖和人员接入。

体育馆、食堂

食堂来说，场景比较空旷，接入并发相对较多，采用普通吸顶AP进行无线覆盖，单个设备的覆盖面积半径为15米。

会议中心

接入并发较多，固采取高密吸顶AP进行覆盖，一个会议室根据接入并发人数、场景大小，合理部署AP数量，另外还需要考虑信号干扰问题。

无线认证系统的设计原则

对于校园老师以及学生来说，推荐使用Portal账号密码认证，登录的账号可以为教师姓名、手机号、工号等具有唯一性信息，实现一人一账号自行登录；对于来访人员，推荐使用微信认证、短信认证的认证方式，方便快捷。对教学设备接入网络可以视情况而定。

另一方面，学校经常会有外部人员来访，例如上级领导视察工作、家长会议、对外开放参观、社会组织活动等，这部分人员经常有手机端和电脑端无线上网的需求。在无线校园网络设计的时候，针对外部人员，需要充分考虑访客无线接入的便利性以及安全性。例如外来人员重复询问WI-FI密码无疑会增加IT运维工作的繁琐性，而且影响无线体验感。因此，外部人员认证需要充分考虑用户体验。推荐可以使用微信、短信方式认证、账号密码认证。

对于图书馆、教室、办公室、报告厅等场景，推荐采用Portal账号密码认证，内部员工接入时即需要认证，登录的账号可以为姓名、手机号、工号等具有唯一性的信息，实现一人一账号自行登录。

分布式的无线网络解决方案

区别于传统的三层拓扑，星融元将云计算领域的网络设计理念引入到园区，推出了基于全三层IP Fabric的云化园区解决方案，将云化深入到底层网络架构，从而支撑起面向的校园高性能分布式无线网络。

整体方案请参阅

• 全新的网络规划思路：采用领先的开放网络理念，基于最新的数据中心级网络技术、开放的网络操作系统，“一网多用”地构建出能够同时承载多种业务的超大规模校园网络。
• 全新的网络建设架构：抛弃传统校园网络架构所背负的历史包袱，通过纯三层网络、统一路由结构、天然无环、去堆叠、自主内生安全等创新的技术，建设架构极简、更可靠、更安全、更高性能新一代校园网络；
• 全新的高效运维体系：将开放网络的集中控制器、软件可编程引入到校园网络的运维系统中以有效支持NetDevOps，同时通过简化配置、自动部署等创新性设计大幅度提升网络运维的效率。

覆盖全场景的wifi6

极简运维的高效率无线漫游

• 一个子网的网关以分布式的形式存在于每一个接入Leaf上，充分利用每一个接入Leaf的能力，所有的跨子网转发动作在最近的分布式网关上完成，让网关功能不再成为压垮网络中某一台设备的潜在风险，同时大幅度提升整网的转发效率；
• 当移动终端发生漫游时，分布式网关的作用尤为重要，因为漫游后的接入Leaf上已经配置了网关信息，并且自动学习和同步了漫游终端的IP/MAC信息，因此漫游后的终端可以平滑地重新接入网络（所发信息无需再到一个“集中的网关”上去兜圈子），并且漫游过程中业务不断连（即确保不丢包，因为漫游后的接入Leaf上已经有了该漫游终端的所有信息）；
• 网络管理员只需要在网络初始化时一次性配置好所有分布式网关的信息即可，无需在运行过程中动态调整，从而进一步降低运维的复杂度。

双机防火墙的概念和分类

双机热备技术可以将一组防火墙虚拟成一台防火墙。其中，仅有一台防火墙可以处于活动，称为主设备（Active），其余称为备设备（Backup）。防火墙可通过此技术实现将配置和会话表（协议的连接状态表）信息的同步，若主防火墙发生故障，备防火墙可以平滑的接替，保障网络的稳定运行。

主备双机部署

主备模式下的两台防火墙，其中一台作为主设备，另一台作为备份设备。主设备处理所有业务，并将产生的会话信息传送到备份设备进行备份；备份设备不处理业务，只用做备份（如下图所示，Firewall 1处理全部业务，Firewall 2用做备份）。当主设备故障，备份设备接替主设备处理业务，从而保证新发起的会话能正常建立，当前正在进行的会话也不会中断。

主主双机部署

负载分担模式下两台设备均为主设备，都处理业务流量，同时又作为另一台设备的备份设备，备份对端的会话信息（如下图所示，Firewall 1和Firewall 2均处理业务，互为备份）。当其中一台故障后，另一台设备负责处理全部业务，从而保证新发起的会话能正常建立，当前正在进行的会话也不会中断

相关技术：VRRP

由于防火墙多部署于企业网络的出口，内外网之间的业务都要通过防火墙进行转发。若防火墙出现宕机将造成业务中断，因此，防火墙的可靠性就显得格外重要。为了更好地应对单机设备运行的风险，防火墙通过使用双机热备技术实现冗余功能，类似于虚拟路由冗余协议（VRRP，Virtual Router Redundancy Protocol），当局域网内承担路由转发功能的设备失效后，另一台将自动接管，从而实现IP路由的热备份与容错。

对接场景：基于全三层IP路由的云化园区网络

星融元的云化园区网络架构是一个开放化的网络，虽然在多方面进行了创新设计，但仍可以比较方便地和传统园区网络无缝对接。

• Spine/Leaf的精简架构，天然无环路，无需堆叠。
• 全三层组网，消除二层广播风暴的同时，还有效地隔绝了内网病毒的广播。
• 一套配置模版，全网自动化部署，设备上线即插即用。
• 支持云原生操作系统环境和开放的RESTful API接口，让网络随需而动。

更多介绍：全三层组网消除二层广播风暴-云化园区解决方案-星融元

场景1：对接一对主备防火墙

配置思路：

• 每台Spine的两个上行口保持在同一VLAN，并配置一个三层SVI口
• 每台防火墙分别运行两对VRRP组，主墙的VRRP角色均为Master，备墙的VRRP角色均为Backup，每台Spine的SVI口和两台防火墙的VRRP虚接口通过BGP路由协议对接，即上下两个网段IP互联

流量转发路径：

• 上行：Leaf1—>Spine1和Spine2—> FW1
• 下行： FW1—>Spine1和Spine2—>Leaf1和Leaf2

典型故障分析：

• 无故障：两个VRRP组的虚接口均落在主墙
• ①或②故障： HA协议会控制两个VRRP组同时进行主备切换，确保业务流量统一切换到备墙，①+②故障同理
• ③故障：和CASE1③故障相同

场景2：对接一对主主防火墙

在HA+VRRP配置模式下，防火墙主主是通过两对VRRP组互为主备实现的（例如VRRP-1的Master是防火墙A，Backup是防火墙B，VRRP-2的Master是防火墙B，Backup是防火墙A）

对接思路：

配置思路：

• 每台Spine的两个上行口保持在同一VLAN，并配置一个三层SVI口
• 每台防火墙分别运行四对VRRP组，每两对VRRP组互为主备，每台Spine的SVI口和两台防火墙的两个VRRP虚接口通过BGP路由协议对接，上下仍是两个网段IP互联，但每台Spine有两个下一跳分别指向两台防火墙，实现ECMP负载分担

流量转发路径：

• 上行：Leaf1—>Spine1和Spine2—>FW1和FW2
• 下行：FW1—>Spine1和Spine2—>Leaf1和Leaf2

典型故障分析：

• 无故障；VRRP1的虚接口落在FW1，VRRP2的虚接口落在FW2
• ①故障：VRRP1主备切换，此时Spine1的上行流量切到FW2
• ①+②故障：相当于Spine1设备故障，Spine2接替上下行流量
• ③故障：和CASE1③故障相同

核心交换机在企业网络中承担了哪些作用？

核心交换机是一种高容量的交换机，作为通往广域网（WAN）或互联网的网关，为网络提供最后的聚合点，并允许多个模块一起工作。

在企业分层网络设计中，核心层交换机是顶层的，其他接入层和分布层都依赖它。它汇聚了来自分布层设备和接入层设备的所有流量，有时核心交换机还需要处理来自其他出口设备的外部流量。因此，对于核心交换机来说，吞吐量性能、高可用性是非常重要的。

所以，在经典的园区网络三层拓扑中，一般使用多模块设计的机框式设备作为核心层的交换机。

由于机箱交换机包含一定数量的固定插槽（通常每个插槽 1U），因此可以将各种类型的线卡插入其中。机箱交换机可以配置各种线卡，以提供相应类型和数量的所需网络端口（铜缆和光纤）。此外，这种基于机箱的网络交换机的核心具有适用于所有线卡的通用背板，背板上包括电源模块、冷却风扇模块、控制平面/处理模块等。

作为核心层交换机，盒式设备能否取代机框设备？

如果在企业网络中工作过，您可能已经很熟悉这类大型机框设备了。很长一段时间以来，在网络核心层使用这类机框式交换机设备已经快成了架构大型网络时的事实标准。但实际上，随着云计算的发展，云数据中心网络已经率先抛弃了机框型交换机，转而使用一种更为先进的分布式交换结构——Leaf-spine架构。

Leaf-spine是Clos网络的衍生产品，该架构允许网络中多达一半的交换设备离线，对网络的唯一影响仅仅是减少了冗余和吞吐量。在这架构下，我们可以采用全盒式的设备来组网，无需任何机框式设备，并且这套架构完全可以平移到园区网络。

高可用性

机箱交换的主要卖点之一是高可用性。在机箱内，每个组件都应以 N+1 冗余部署。并且会需要双机部署以确保高可靠性，但不怕一万就怕万一，核心层的机框交换机往往集中承担着路由和网关功能，一旦出现问题时受影响的设备数量多，故障域极大。

扩展性

其实，大多数机箱交换机都依赖于 Clos 网络技术来实现机箱内的可扩展性。通过高速背板和多个线卡插槽的组合，机箱交换机确实具有相当大的灵活性。但这里的挑战在于，为了应对交换机生命周期内的网络扩容需求，一开始就必须购买足够大的交换机，

对于一些公司来说，核心层交换机的使用寿命预计会超过 7-10 年。作为网络的运营管理者，要么需要足够的先见之明，精准拿捏未来五年的业务需求，要么就会在建设初期就大幅超额购买（这也是大多数人的选择），但随之带来了很长一段时间的性能资源浪费。

基于Spine-leaf的分布式交换架构在扩展性方面明显更灵活：如果需要更多接入端口，就增加Leaf交换机，如果需要更多网络吞吐容量，就添加更多spine交换机，并且可以做到平滑扩容。这种架构非常适应各个行业不断变化的网络需求。

可升级性

对于机箱交换机来说，如此多的服务如此紧密地打包在一个控制平面中，升级是一项非常复杂的任务。为了解决这个问题，很多机框式交换机供应商创建了专门的“热升级”方式。但是对于如此高度耦合，位置如此关键的网络设备来说，当每一次升级都高度依赖于这套控制平面的正常运行，尽管厂商提供了升级选项，但一线的工程师还是宁可不升级去确保稳定运行。

在分布式的园区网络架构（Spine/Leaf）之下则无需有此顾虑。由于服务都是分布在许多设备上（比如分布式的网关），因此，单设备的问题对网络的影响很小。另外，由于网络中的设备之间只有松散的耦合，并非所有设备都必须像机框式交换机那样处于相同的软件版本。这意味着，您完全可以先升级一小部分网络作为试点。如果效果不佳将其回滚即可。如果效果不错再应用到整网。

关注vx：星融元Asterfusion了解更多资讯。

什么是智慧园区？

相比传统商业地产运营模式，AI时代下的智慧园区运营结合了多种新兴技术手段：例如基于统一的平台，将办公协作、招商引资、工程项目、物业管理、产业分析、项目孵化等业务进行一体化的协调管理；通过标准化的接口，将智能设备及系统整合至园区内部运营平台，对数据统一监管，并运用大数据技术为客户提供个性化、定制化、智慧化服务。

智慧园区建设面临的挑战

智慧产业园区作为园区信息化和产业互联网的基础，是帮助企业向自动化、智能化转型的有力推动者。随着“互联网+园区管理”理念的实践不断深入，智慧产业园区建设也将从上层的应用软件平台的信息化、智慧化深入到数字经济转型的底层基础设施——园区基础网络。

终端接入数量和承载的业务复杂度剧增，对于园区基础网络的可靠性、规模和功能的扩展性都提出了更高要求，然而，上面提及的智慧园区应用都是在传统的租户自建网络模式下无法实现，或者部署起来相当受限的。

星融元云化园区解决方案

星融元的云化园区网络方案采用了先进的云网技术，基于Spine-Leaf架构的三层路由网络能为园区内的海量用户终端、园区物联网设备以及后端平台提供稳定的高速互联能力，轻松实现“一网多用”、Wifi“无缝漫游”等等实用功能，并且大大降低了租户和园区运营商的运维成本。

此外，星融元的园区网络设备开放出了丰富的软件可编程接口，可通过集成各类自动化工具和分析平台，赋能AI智能运维和精准的客户定位和大数据分析等等，推动运营服务的升级优化，甚至从中探索出新的商业增值点。

体验优化

• 毫秒级漫游切换，业务不中断
• 25G高速上行，海量数据并发接入无压力

超高可靠

• 天然无广播风暴，天然无环路
• 去堆叠/去MC-LAG，更低复杂度的多路径负载分担网络

极简运维

• 轻量级的网络集群管理
• 同层设备业务配置相同，开局自动下发

更多案例和方案详细信息，请关注微信公众号：@星融元Asterfusion

星融元于2023年4月加入电信基础设施项目 (TIP) 开放融合无线(OCW) 项目组，并已基于开源 TIP OpenWiFi 项目构建了云化园区网络解决方案中的控制器和无线AP部分。

与专有解决方案相比，OpenWiFi 结合了部署节省 (CAPEX) 和自动化驱动的运营节省 (OPEX)，显着降低了总体拥有成本 (TCO)；OpenWiFi支持多样化的供应商云控制器和接入点选择，为服务提供商提供了企业级 Wi-Fi 基础设施的选择和灵活性。

结合社区路标规划，星融元会在后续控制器版本中不断更新完善，更多信息请持续关注星融元官网和公众号。

星融元为什么要基于TIP OpenWiFi 开发园区控制器？

OpenWiFi是开放融合无线(OCW) 项目组贡献的第一个项目。它于 2021 年 5 月推出，包括接入点 (AP) 硬件、开源 AP 网络操作系统 (NOS) 和用于构建云原生 Wi-Fi 的 SDK面向 Wi-Fi 服务提供商和企业的控制器和管理软件。

借助于优秀的开源开放底层框架打造企业级产品已经是当前常见的产品创新模式，可以避免”重复造轮子”，集中精力在应用层面的创新，节约部署和开发成本。当前全球已有很多基于OpenWiFi的大规模商业部署案例。

OpenWiFi高度开放解耦的特性，云控制器SDK提供开放的北向API，支持无缝接入很多白盒硬件，应用广泛。来自不同供应商的AP、云控制器和 OTT 分析解决方案能够在同一网络上放心地互操作和协同工作。

Openwifi的架构

微服务组件

• 基于RBAC(角色访问控制)的安全框架
• 基于OpenAPI北向接口
• Kafka消息队列
• 固件管理
• 集中式仪表盘（WEBUI）
• 用户接口
• Docker Compose & Helm 自动化部署

OpeWiFi采用的是基于微服务的架构。通过微服务，可将大型应用分解成多个独立的组件，其中每个组件都有各自的责任领域。在处理一个用户请求时，基于微服务的应用可能会调用许多内部微服务来共同生成其响应。现代云原生应用通常使用容器构建微服务，Docker是微服务架构的绝佳示例，因为它们可让您专注于开发服务，而无需担心依赖项。

星融元园区控制器的微服务界面预览

OpenWiFi 的ucentral数据模型

• OpenWiFi 2.0 设备管理数据模型基于uCentral 协议实现

• uCentral 组件集成到OpenWrt，具备通用性
• 消息交互采用 JSON 消息体
• 支持通过 WEBUI 根据配置项自动生成配置文件

OpenWiFi的部署

OpenWiFi采用Docker Compose部署管理，该工具用于定义和运行多容器 Docker 应用程序的工具， YML 文件来配置应用程序需要的所有服务；Docker处于同一OpenWiFi网桥下，容器之间可以通过IP互访，也可以通过别名互访。

星融元园区控制器容器部署页面预览

附录：电信基础设施项目 (TIP)简介

电信基础设施项目 (TIP) 是一个致力于推动基础设施解决方案以促进全球连接的社区组织，成员包括数百家参与公司——从服务提供商和技术合作伙伴到系统集成商和其他连接利益相关者，共同致力于加速开放、分类和基于标准的技术解决方案的开发和部署，以提供世界现在和未来几十年所需的高质量网络连接。
鉴于世界上一半的人口仍然没有连接到互联网，而对于那些已经连接到互联网的人来说，连接往往是不够的。这限制了互联网提供的众多消费者和商业利益，从而影响了全球 GDP 增长。然而，当前解决方案缺乏灵活性（由于技术提供商的选择有限而加剧这种矛盾），使得运营商高效构建和升级网络面临挑战。

为了保证网络的可靠性，我们往往会对关键链路进行冗余设计，而这难免就会产生一个封闭的物理环路，但是以太网的转发机制又决定了不能有物理环路，一有环路，发给所有主机的广播就会在环路反复传播，这便是广播风暴，此时网络及应用的访问将会变得缓慢，发生网络丢包等，甚至导致网络完全中断。

广播帧泛洪对交换机的CPU影响巨大，会导致不能从本地或远程登录交换机，唯一的选择就是重启或拔线。然而，通常大型的网络中定位和发现网络环路的位置又是相当困难的事情。

为解决网络环路问题，一系列环路保护协议应运而生。其中比较有代表性便是STP（生成树协议）。

什么是STP（生成树协议）

生成树协议是计算机网络中用于构建网络拓扑的一种协议。它通过选择网络中的某些连接来构建一棵无环图，从而避免了网络中的环路，保证了网络的正常运行。
生成树协议的运行比较复杂，简单来说，生成树算法(STA)会首先创建一个拓扑库，找出并关闭网络中的冗余链路。运行STP后，数据帧就只能在STP选定的最优链路上传输。

其中值得注意也最让人诟病的是，诸如STP这类防环协议的核心思想都是通过人为阻塞端口来破坏环路，代价就是冗余的链路只能闲置下来做备份。

随着技术进步，人们逐渐开始采用可堆叠交换机和MC-LAG等方式来实现网络的高可靠，它们在一定程度上改善了网络环境，不过也带来了新的问题。

交换机堆叠的优势和弊端

交换机堆叠技术可以将不同物理交换机的端口进行链路聚合，使得下行链路具备更高的带宽和弹性，因为参与堆叠的交换机在逻辑上已经虚拟成一台交换机，所以也不需要为避免产生环路而去人为阻塞线路。

尽管堆叠技术为堆叠组内的多台交换机提供统一的管理界面，但由于堆叠技术高度依赖于软件控制，设备软件升级以及故障替换极易影响业务正常运行，一旦发生软件故障，整个网络节点都将瘫痪。此外，堆叠交换机的厂商锁定问题也较严重，私有的协议和专用线缆，给扩容改造增加了限制或者额外支出。

MC-LAG技术的优势和弊端

堆叠方案逐渐被MC-LAG所取代。

MC-LAG方案是一种采用多个物理连接和多个设备的链路聚合方案，MC-LAG设备在提供统一转发面的时，控制面板是独立的，可以轻松地添加或删除物理连接，从而提供更好的扩展性。

但是，MC-LAG下的peerlink互联同样会占用端口资源，并且相对于堆叠，MC-LAG下两台设备逻辑上仍然是两台，运维复杂度更高。

去STP/堆叠/MC-LAG的新一代高可靠园区网络设计

为了追求网络的高可靠和高可用，大规模部署的二层以太网结构变得越来越复杂、但是健壮性变得越来越差，建设和维护成本都高居不下，那么有没有一种高可靠组网下的更简化的网络架构呢？

一个可行的思路便是压缩二层域，将云数据中心全三层的IP路由组网技术平移到园区网络。

星融元云化园区网络架构从设计之处充分地考虑了环路规避、多路径转发、高可靠、多路径等因素，采用天然无环路的Leaf/Spine架构和轻量级的ECMP机制，基于L3的网络能力，在保证最高链路利用率和最低复杂度的前提下实现组网的可靠性。底层的网络架构得到了全面优化，传统的STP，堆叠，MC-LAG都不再需要了。