标签：科普-园区

交换机上的 DHCP 侦听（DHCP Snooping）功能和配置示例

近期文章

什么是 DHCP 侦听

DHCP侦听（DHCP snooping）是一种部署在以太网交换机上的网络安全机制，用于阻止未经授权的 DHCP 服务器为客户端分配 IP 地址。该机制通过检查 DHCP 消息并仅允许来自受信任端口的 DHCP 消息通过，从而防止非法 IP 地址分配，确保网络环境安全稳定。

为什么需要DHCP侦听？

在企业、校园甚至公共网络中，与 DHCP 相关的问题并不少见，而且它们可能会造成严重的网络中断。有时，仅仅是配置错误的设备意外地充当了 DHCP 服务器，分配了错误的 IP 地址，导致连接中断。有时，问题更为严重，例如攻击者设置了恶意 DHCP 服务器，通过虚假网关或 DNS 服务器重新路由用户，从而为中间人攻击打开了方便之门。即使是客户端手动为自己分配静态 IP 地址，也可能造成混乱，引发冲突，并使网络安全管理更加困难。

项目	DHCP	静态 IP
分配方法	由服务器自动分配	手动配置
管理努力	低，适合大规模部署	高，需要单独设置
解决稳定性问题	每次设备连接时可能会发生变化	固定不变
设置效率	快速、即插即用	速度慢，需要手动输入
适合	最终用户设备、动态环境	服务器、打印机、关键设备
安全	需要配合保护机制（例如 DHCP 侦听）	更可控，但有手动配置错误的风险

DHCP 侦听的好处：

阻止恶意 DHCP 服务器干扰网络。
确保客户端收到准确的 IP 地址和网络配置。
通过降低攻击风险来增强网络安全。

DHCP 侦听如何工作？

要真正理解DHCP 监听的工作原理，首先必须清楚了解DHCP（动态主机配置协议）的工作原理。当设备加入网络且尚未获得 IP 地址时，它会发起与 DHCP 服务器的对话——这是一个四步握手过程，包括：发现 (Discover )、提供 (Offer)、请求 (Request)和确认 (Acknowledge )。可以将其视为设备和服务器之间获取 IP 身份的快速协商过程。下图详细分析了此动态交换过程中每个步骤的具体细节。

在启用 DHCP Snooping 的网络中，交换机接口分为两个主要角色：可信端口和不可信端口。

可信端口：这些端口连接到合法的 DHCP 服务器或上行链路设备（例如路由器或核心交换机），并被允许发送 DHCP 服务器消息（例如 DHCP OFFER、DHCP ACK）。
不受信任的端口：这些端口连接到常规客户端（例如，PC 或打印机），并且仅限于发送 DHCP 客户端消息（例如，DHCP DISCOVER、DHCP REQUEST）。
默认情况下，所有端口都是不受信任的；必须手动配置受信任的端口。

DHCP 消息过滤：

来自不受信任端口的 DHCP 服务器消息（例如 DHCP OFFER、DHCP ACK）将被丢弃，以防止恶意 DHCP 服务器运行。
客户端请求（例如，DHCP DISCOVER、DHCP REQUEST）可以来自不受信任的端口，但服务器响应只允许来自受信任的端口。

DHCP绑定表：

DHCP 侦听维护一个绑定表，其中记录每个客户端的 MAC 地址、分配的 IP 地址、租用期限、VLAN 和端口信息。
该表用于验证后续流量，防止 IP 地址欺骗。

与 IP Source Guard 集成：

DHCP 侦听通常与 IP 源防护配合使用，根据绑定表过滤流量，仅允许分配的 IP 地址从客户端发送数据，阻止未经授权的 IP。

支持 DHCP option 82（可选）：

DHCP 侦听可以插入或处理 DHCP option 82（中继代理信息），为 DHCP 服务器提供有关客户端端口和交换机的详细信息，从而实现更精确的 IP 分配。

DHCP 侦听可以防范哪些常见网络攻击

DHCP 侦听可有效缓解以下网络威胁：

恶意 DHCP 服务器攻击：

工作原理：攻击者设置未经授权的 DHCP 服务器来分发不正确的 IP 地址、网关或 DNS 服务器。
影响：客户端流量被重定向到攻击者的设备，从而实现 MITM 攻击、流量拦截或 DNS 欺骗。
防御：DHCP 侦听会丢弃来自不受信任端口的服务器消息，仅允许受信任的端口发送 DHCP 响应。

DHCP 饥饿攻击：

工作原理：攻击者利用 DHCPDISCOVER 请求淹没网络，耗尽 DHCP 服务器的 IP 地址池。
影响：合法客户端无法获取IP地址，导致网络服务中断。
防御：当与端口安全或每个端口的速率限制 DHCP 请求相结合时，DHCP 侦听可以防止过多的流量压垮服务器。

中间人（MITM）攻击：

工作原理：恶意 DHCP 服务器分配虚假网关或 DNS 服务器，通过攻击者的设备路由客户端流量。
影响：攻击者可以监控、修改或重定向客户端通信。
防御：DHCP 侦听确保仅处理受信任的 DHCP 消息，从而阻止恶意配置。

IP欺骗攻击：

工作原理：客户端手动配置未经授权的 IP 地址来冒充合法主机。
影响：这可能导致 IP 冲突、网络中断，或成为进一步攻击的垫脚石。
防御：通过与 IP Source Guard 和 DHCP 绑定表集成，DHCP Snooping 可以阻止来自未经授权的 IP 地址的流量。

DHCP 侦听的应用场景

公共网络：在咖啡店、酒店或共同工作空间等环境中，恶意用户可能会部署恶意 DHCP 服务器来窃取数据或发起攻击。
企业网络：具有多个部门或 VLAN 的大型网络依靠 DHCP 侦听来确保客户端连接到正确的 DHCP 服务器。
高安全性环境：在需要遵守数据保护法规和其他有保密等级要求的环境中，DHCP 侦听功能有助于防止未经授权的访问。
防范 DHCP 欺骗：它减轻了客户端被重定向到恶意网关的风险，增强了整体网络安全性。

配置示例

传统方式-手动配置

configure Terminal #进入系统配置视图
dhcp snooping enable{v4|v6} #启用DHCP Snooping功能，默认禁用。
interface ethernet interface-id #进入接口视图
dhcp-snooping enable #启用DHCP Snooping功能，默认禁用。
dhcp-snooping trusted #设置端口的信任状态，默认不信任。

sonic# configure terminal
sonic(config)# dhcp snooping enable v4
sonic(config)# interface ethernet 20
sonic(config-if-20)# dhcp-snooping enable
sonic(config-if-20)# dhcp-snooping trusted

云化配置方式 – 图形化配置

星融元的云化园区网络解决方案，通过一个开源、开放架构（基于OpenWiFi）的网络控制器来为有线无线网络设备下发配置，进行开局配置时在交换机上会默认开启DHCP Snooping，有效防止 DHCP Server 仿冒者攻击，使 DHCP 客户端能够通过合法的DHCP 服务器获取 IP 地址，管理员无需关注不同设备的信任接口与非信任接口，而是通过控制器的拓扑信息自动生成。

ACC

根据当前网络的所需的安全等级，管理员可在控制器界面上自行选择是否还需要开启ARP检测(DAI)和IP源攻击防护(IPSG)功能，该功能主要是通过全局的 DHCP Snooping 表项判断主机是否合法，不仅可以防止恶意主机伪造合法主机访问网络，同时还能确保主机不通过自己指定 IP 地址的方式来访问或攻击网络，造成可能的IP 地址冲突。

更多配置流程请参考：完整流程揭秘：30分钟搞定中大型园区网络业务开通，可行吗？

返回资源中心

近期文章

随着现代企业园区网络和运营商级基础设施的不断发展，多协议标签交换（MPLS）已成为一项基础技术，这要归功于其高效的数据包转发、高级流量工程功能以及对多租户环境的强大支持。

什么是MPLS？

MPLS（多协议标签交换，Multiprotocol Label Switching）是一种基于标签的转发技术，结合了二层交换的简捷性与三层路由的灵活性。通过预分配的标签（Label）替代传统IP路由的逐跳查表，提升转发效率。

MPLS起源于IPv4（Internet Protocol version 4），其核心技术可扩展到多种网络协议，包括IPv6（Internet Protocol version 6）、IPX（Internet Packet Exchange）和CLNP（Connectionless Network Protocol）等。MPLS中的“Multiprotocol”指的就是支持多种网络协议。

由此可见，MPLS并不是一种业务或者应用，它实际上是一种隧道技术。这种技术不仅支持多种高层协议与业务，而且在一定程度上可以保证信息传输的安全性。

核心组件：LER（标签边缘路由器）、LSR（标签交换路由器）、FEC（转发等价类）。

工作原理

标签分配：入口路由器（LER）为数据包分配标签，标签对应转发路径（LSP）。
标签交换：中间路由器（LSR）根据标签转发表（LFIB）快速转发，无需解析IP头部。
标签移除：出口路由器（LER）剥离标签，恢复原始IP数据包。

标签结构

MPLS 标签是一个紧凑的 32 位报头，包含四个关键字段：

标签（20 位） — 标识通过 MPLS 网络的路径（LSP）
EXP（3 位）— 用于 QoS（服务质量）标记或流量优先级
S （1 bit） – 堆栈标志的底部;指示这是否是堆栈中的最后一个标签
TTL（8 位）– 生存时间;通过限制数据包的生命周期来防止路由循环

为什么需要MPLS？

在传统IP网络架构中，基于三层路由的转发机制逐渐暴露很多问题。

首先，转发效率低下的问题尤为突出，由于每台路由器都需要逐跳解析IP报文头部并查询路由表，这种反复查表的机制在大流量场景下会产生显著延迟，难以满足数据中心或运营商核心网的高吞吐需求。

其次，传统路由技术对路径控制能力薄弱，完全依赖OSPF、BGP等动态路由协议自动选路，既无法主动规避拥塞链路，也无法为特定业务指定优化路径，导致网络资源利用率低下。

更棘手的是多业务隔离难题，VLAN受限于4096个ID的规模上限，ACL策略管理复杂度随业务增长呈指数级上升，这种基于二层的隔离方案难以支撑跨地域、多租户的现代组网需求。

MPLS技术的核心功能

服务质量（QoS）

MPLS在QoS中的应用主要体现在其对网络流量优先级管理的精细化能力上，而EXP字段（Experimental Bits，后更名为Traffic Class字段）是两者结合的核心纽带。MPLS如何实现QoS保障？在MPLS网络入口（LER），根据业务类型（如语音、视频、普通数据）为流量分配EXP值，可通过手动配置或自动映射（如将IP层的DSCP值转换为EXP值）。LSR根据EXP值分为不同优先级队列，优先转发低延迟流量（SP）和按比例分配剩余带宽（WFQ）。当链路拥塞时，低EXP值的流量可能被丢弃（如TCP流量），而高EXP值的流量（如VoIP）始终保障带宽，此外，再结合RSVP-TE等协议实现关键业务（如语音、实时视频）的带宽保障和低抖动传输，构建起从转发效率到业务体验的全方位优化体系。

流量工程（TE）

TE通过MPLS技术解决了传统IP网络无法实现的精细化流量控制需求，通过显式路径（Explicit Path）手动或策略驱动流量走向，均衡负载或避开瓶颈链路，从而优化网络性能。

业务隔离与VPN

传统VPN一般是通过GRE（Generic Routing Encapsulation）、L2TP（Layer 2 Tunneling Protocol）、PPTP（Point to Point Tunneling Protocol）等隧道协议来实现私有网络间数据在公网上的传送，而MPLS LSP是通过标签交换形成的隧道，数据报文不再经过封装或者加密，因此，用MPLS实现VPN具有天然的优势。

基于MPLS的VPN通过LSP将私有网络的不同分支联结起来，形成一个统一的网络，如图所示。基于MPLS的VPN还支持对不同VPN间的互通控制。这对于企业和运营商网络至关重要。

CE（Customer Edge）是用户边缘设备，可以是路由器，也可以是交换机或主机。
PE（Provider Edge）是IP/MPLS骨干网的边缘设备。
P（Provider）是IP/MPLS骨干网的骨干设备，不与CE直接相连。P设备只需要具备基本MPLS转发能力，不维护VPN信息。

如何基于业务场景与技术特性选择最优网络方案？

对比维度	MPLS	传统IP路由	SD-WAN	Segment Routing
转发效率	高（标签快速交换）	低（逐跳查表）	中（依赖隧道封装）	高（类似MPLS）
路径控制	支持显式路径和流量工程	依赖动态路由协议	动态智能选路	灵活源路由
多业务隔离	通过VPN实现逻辑隔离	VLAN/ACL，扩展性差	有限（依赖Overlay）	需结合其他技术（如VXLAN）
部署成本	高（依赖专用设备和运营商专线）	低	低（利用互联网链路）	中（需升级硬件支持）
适用场景	企业专网、运营商核心网	中小型园区网络	跨地域互联、云访问优化	数据中心、大规模骨干网
服务质量（QoS）	强（基于EXP/DSCP优先级标记）	弱	中（依赖链路质量监测）	中（需策略配合）

AsterNOS：软件定义架构下的MPLS转发技术革新

SONiC（Software for Open Networking in the Cloud）是开源社区的网络操作系统，其核心目标是构建开放、解耦的云数据中心网络架构。作为全球首个完全开源的网络操作系统，SONiC基于Linux内核设计，支持标准化硬件（如白盒交换机）与容器化微服务架构，通过模块化组件（如SAI——交换机抽象接口）实现灵活的功能扩展。其开源特性吸引了全球云服务商、运营商及企业的广泛参与，逐步成为云原生网络的事实标准。

尽管社区版 SONiC 通过模块化设计为云数据中心提供了开放灵活的基础架构，但其在复杂协议支持上的短板始终制约着企业级场景的深度应用。以MPLS为例，社区版本需依赖第三方扩展或定制化开发，导致功能碎片化、性能不稳定，难以满足金融专网、跨云互联等高可靠性需求。

AsterNOS基于 SONiC 的开放式园区交换机的完整产品组合现在完全支持 MPLS，它提高了数据包转发速度，支持精细的流量控制，并支持多协议环境，使其成为电信、企业 WAN 和云数据中心中的大规模网络不可或缺的工具。

这种“开源基因+商业级能力”的融合，使得AsterNOS既能继承开源生态的灵活性，又能以超前技术布局填补开源生态与商业需求间的鸿沟。

【参考文献】

https://www.fnetlink.com/hyzx/32732.html

https://wiki.mbalib.com/wiki/MPLS

https://info.support.huawei.com/info-finder/encyclopedia/zh/SR-MPLS.html

返回资源中心

近期文章

从WiFi 6到WiFi 7：技术升级的核心突破

WiFi7（IEEE 802.11be）作为新一代无线通信标准，在WiFi 6的基础上实现了多维度的技术跃迁，主要体现在以下4个方面：

带宽与速率的指数级提升

WiFi7的最大理论速率达到46Gbps，是WiFi6（9.6Gbps）的5倍。这一飞跃得益于320MHz信道带宽的引入（WiFi6为160MHz），相当于将数据传输的“高速公路”拓宽至双车道。

此外，4096-QAM调制技术的应用使单符号数据承载量从WiFi6的10比特提升至12比特，传输效率提高20%。例如，下载一部50GB电影，WiFi7仅需8秒，而WiFi6需42秒。

多链路操作（MLO）的革命性突破

WiFi7支持跨频段（2.4GHz、5GHz、6GHz）的多链路聚合传输，既可提升速率（如双频叠加实现翻倍带宽），又能增强抗干扰能力。例如，当某一频段受阻时，数据可自动切换至其他频段，显著降低断连风险。相比之下，WiFi6仅支持单频段传输，灵活性受限。

空间流与MIMO技术的扩展

WiFi7的16×16 MIMO（多输入多输出）技术可同时处理16条数据流，是WiFi6（8条）的两倍，大幅提升了高密度场景下的设备容量。这一特性尤其适用于机场、体育场馆等万人级并发场景。结合多链路操作（MLO），可跨2.4GHz/5GHz/6GHz频段同时调度16条空间流，理论容量翻倍。

标准	最大空间流数	典型MIMO配置	关键技术突破
WiFi6 (802.11ax)	8	8×8	OFDMA+MU-MIMO协同调度
WiFi7 (802.11be)	16	16×16	多频段协同MIMO

频谱利用与抗干扰优化

新增的6GHz频段与动态频谱分配技术，缓解了2.4GHz/5GHz频段的拥堵问题。同时，Multi-RU（资源单元聚合）技术允许将多个RU（如小规格RU或大规格RU）组合分配给同一用户，支持非连续频谱聚合，例如将两个80MHz频段合并为160MHz，或在复杂干扰环境中动态调整RU分配，以进一步提升频谱效率。

尽管WiFi 7的技术指标令人振奋，但其在国内的落地进程却面临多重现实挑战，需结合技术优势与市场环境探索破局路径。

国内WiFi7发展的困境

当前实际应用中，6GHz优先用于移动通信，WiFi 7 AP 无法使用该频段（国内仅限5GHz），导致其 320MHz 超宽频带、4096QAM 等技术优势难以完全发挥？

支持 WiFi 7 的手机、电脑等终端设备不足 10%，企业和家庭用户担心部署后因设备兼容性差，无法实现预期的高速体验，造成资源浪费？

破局之道：立足现有优势，挖掘场景化潜力

在当前的无线网络环境中，频段资源受限已成为制约性能提升的重要瓶颈，尤其在新建或扩容场景下，传统WiFi技术难以满足高密度接入和低时延的严苛需求。然而，随着WiFi 7技术的推出，这一问题得到了革命性突破——即便不依赖尚未全面开放的6GHz频段，其性能表现也已远超WiFi 6，为用户提供了更优的解决方案。

多链路操作（MLO），通过同时利用2.4GHz和5GHz双频段传输数据，WiFi 7实现了链路聚合与动态调度，大幅提升网络稳定性和抗干扰能力。这一技术尤其适用于复杂电磁环境，确保用户在多设备并发时仍能获得流畅体验。
增强TWT+节能调度，相比WiFi 6的固定时隙分配（如“定时闹钟”），WiFi 7的智能节能调度可根据设备需求动态调整唤醒时间，显著降低多设备场景下的功耗，同时保持更稳定的时延控制。这种优化对智能家居、物联网设备等高密度部署场景尤为重要。
4096QAM高密度传输，在现有5GHz频段中，WiFi 7通过更高阶的调制技术（4096QAM）实现数据密度提升，单链路速率较WiFi 6增加20%以上。这意味着无需依赖新频段，用户即可享受更快的传输速度和更高效的频谱利用率。
预支持6GHz频段，WiFi 7硬件已提前兼容6GHz频段，一旦政策开放，用户无需更换设备即可直接扩展至更宽裕的频谱资源。这种“一步到位”的设计既降低了未来升级成本，又为超高速、低延迟应用（如8K流媒体、元宇宙交互）提供了技术储备。

功能/型号	CAP7020-Z（双频）	CAP7030-Z（三频）产品链接
接口	1个10/100/1000/2500Mbps 自适应WAN 口	1个10/100/1000/2500Mbps 自适应WAN 口1个10/100/1000/2500Mbps自适应LAN 口1个10Gpbs的SFP+光口
存储	512M RAM + 128M NAND	1024M RAM + 128M NAND
频段	2.4GHz（688Mbps ）和 5GHz （2882Mbps）	2.4GHz（688Mbps ）和 5.1GHz （2882Mbps）和5.8Ghz（2882Mbps）
吞吐	3.6Gbps	6.4Gbps
用户数	128+	192+
SSID数量	8（2.4G）+8（5G）	8（2.4G）+8（5.1G）+8（5.8G）
天线	2 x 2	2 x 2 x 2
天线增益	2.4GHz：2×4dBi5GHz：2×4dBi	2.4GHz：2×1.7dBi5.1GHz：2×4dBi5.8Ghz：2x4dBi
功耗	< 20W	< 36W
供电	PoE 802.3at，DC2.0 12V/2A	PoE 802.3bt，DC2.0 12V/3A

云化园区无线接入点：新一代云化园区网络无线控制器

优先购买支持三频（含6GHz）的WiFi 7路由器，为未来政策开放预留升级空间。
在6GHz未开放地区，利用5.8GHz高频段低干扰特性优化现有网络。

【参考文献】

返回资源中心

近期文章

园区交换机运行起了 SONiC，是在卷生卷死的大环境下“杀鸡用牛刀”，还是引入了一场对园区传统建设运营范式的“降维打击”？与其猜测，不如亲自体验一番这款面向园区场景的 SONiC NOS —— AsterNOS Campus，一切自有答案。

当前，vAsterNOS Campus v6.0（GNS3/EVE-NG设备模拟器）已支持下载，全功能版本的试用/演示名额现正开放申请中。

下载和申请演示：https://asterfusion.com/d-vasternos/
技术交流支持：加入官方QQ群（群号：801700146），获取用户手册、配置案例及技术答疑服务。

AsterNOS 是星融元 Asterfusion 面向AI智算、通算云和企业园区等场景的一站式 SONiC 交钥匙解决方案的核心技术。其中 AsterNOS Campus v6.0是专为企业、校园及各类园区网络打造的企业级SONiC解决方案，具备丰富的L2/L3功能，如ACL、MSTP、QinQ、IGMP Snooping，OSPF/BGP等。

此外，AsterNOS Campus v6.0 还具备增强的MPLS L2VPN / L3VPN，PTP等高级功能，帮助企业和园区构建高效的多业务承载网络，实现跨域互联，并提供纳秒级别的时间同步，适用于对时间精度要求极高的业务场景。

星融元园区交换机及vAsterNOS虚拟化平台的开放生态中，PTP作为关键功能之一，为园区网络、工业自动化及AI算力场景提供了精准的时间同步能力，成为构建高可靠、低时延基础设施的核心支撑。

什么是PTP？

PTP（精确时间协议，Precision Time Protocol）是一种基于IEEE 1588标准的网络时间同步协议，旨在为分布式系统中的设备提供亚微秒级（甚至纳秒级）的高精度时钟同步。其核心目标是通过消除网络传输延迟的不确定性，确保跨设备的动作、数据采集或控制指令在严格统一的时间基准下执行。

什么领域需要PTP？

在园区网络中，随着物联网、工业自动化、金融交易和高清视频协作等应用的普及，设备间对高精度时间同步的需求日益增强。

传统网络时间协议（NTP）仅能提供毫秒级同步精度，难以满足微秒甚至纳秒级场景（如传感器协同、5G基站调度、分布式系统事务一致性）的严苛要求。

IEEE 1588定义的精确时间协议（PTP）通过硬件时间戳消除网络传输延迟误差，结合主从时钟架构动态补偿链路不对称性，可为园区内的摄像头、工业控制器、服务器集群等设备提供亚微秒级同步，保障实时业务时序精准性、故障诊断准确性及系统协同效率，成为智能园区低时延、高可靠组网的核心基础。

PTP的核心优势（对比NTP）

维度	PTP	NTP
同步精度	微秒/纳秒级（硬件支持）	毫秒级（软件实现）
延迟抖动	通过硬件时间戳和TC/BC消除抖动	受操作系统和网络波动影响
适用场景	工业控制、5G、金融高频交易等	办公、IT系统、通用服务
部署成本	高（需专用硬件）	低（纯软件）

PTP实现时间同步的核心机制

实现时间同步的两种核心机制：一步模式（单步模式）与两步模式（双步模式），主要区别在于时间戳的嵌入方式、网络开销及硬件依赖。以下是两者的对比解析：

两步模式（Two-Step）

兼容性高：适用于不支持硬件时间戳的设备，依赖软件处理。
网络开销大：需额外传输Follow_Up报文，增加带宽占用。
抗干扰性弱：在高负载网络中，Sync与Follow_Up报文可能因拥塞失序，导致同步误差。

PTP

主时钟先发送 Sync报文，记录其发送时刻 t1 ，随后通过 Follow_Up报文将 t1 传递给从时钟。从时钟接收Sync报文时记录接收时刻 t2 ，再发送 Delay_Req报文记录发送时刻 t3 ，主时钟响应 Delay_Resp报文返回接收时刻 t4。

在这些交换结束后，从属时钟拥有所有四个时间戳。因此，它可以计算出它的时钟相对于主时钟的偏移量为：偏移 = (t2 + t3 – t1 – t4) /2

一步模式（One-Step）

高精度：硬件级时间戳消除协议栈处理延迟，同步精度可达纳秒级。
低网络开销：减少50%的PTP报文数量，降低网络负载。
硬件依赖性强：需PHY/MAC芯片支持硬件时间戳嵌入功能，成本较高。

PTP

单步模式将时间戳直接嵌入Sync报文，无需Follow_Up报文：主时钟在发送Sync报文时，硬件芯片实时标记 t1 并写入报文字段。从时钟接收Sync报文后，直接提取 t1 与本地记录的 t2 计算偏移和延迟。

特性	一步模式	两步模式
同步精度	纳秒级（硬件时间戳）	微秒级（软件时间戳）
报文数量	少（无Follow_Up）	多（需Follow_Up）
硬件要求	需专用PHY/MAC芯片	通用网络设备兼容
适用场景	工业实时控制、高频交易	普通办公网络、传统音视频传输

星融元园区交换机多款产品支持PTP功能，同步精度可达20ns？！

作为新一代开放网络解决方案提供商，其多款园区级交换机深度集成 IEEE 1588 PTP（精确时间协议）功能，结合硬件加速、高精度时钟设计及基于SONIC自研AsterNOS网络操作系统，可为工业控制、金融交易、5G基站等场景提供纳秒级时间同步能力，最高精度可达 20ns，助力企业构建高可靠、低时延的智能网络底座。

园区产品

通过硬件与软件协同设计，星融元突破传统同步瓶颈：

基于SONiC生态的PTP协议：基于SONiC的企业级发行版AsterNOS，结合开源linuxPTP项目（遵循IEEE 1588标准的PTP协议实现），通过自主研发的PTP功能与SONiC深度集成，拥有高精度、高可靠的时间同步能力。
通过标准化接口实现灵活配置：AsterNOS提供丰富的RESTful API，用户可通过编程接口直接配置PTP参数（如主从时钟选择、同步间隔调整等），实现自动化运维。
面向超低时延场景的优化：硬件平台（如CX854E-N）采用的Marvell TL10支持PTP的芯片，结合AsterNOS的软件优化，可实现纳秒级时间同步精度。通过内存数据库Redis实现模块间状态同步，可能用于实时记录和分发PTP时间戳数据，提升同步效率和系统可靠性。
定制化开发与生态兼容性：支持多厂商芯片（如Marvell Teralynx（部分）、Prestera等），确保PTP在不同硬件平台上的兼容性，满足异构网络部署需求。

如需完整方案（含园区控制器）演示，欢迎拨打官方热线 400-098-9811 转产品咨询。

返回资源中心

最新动态

园区网前沿实践：基于开放网络架构的云化路由设计

关注星融元

底层物理网络设计

如下图所示，区别于传统的“接入-汇聚-核心”架构，新一代云化园区比照数据中心网络采用 Leaf-Spine 的 Clos 架构组网，Leaf 和 Spine 层都被设计成独立的 AS 并通过 eBGP 互联，支持终端设备以 1GE 及以上端口速率接入网络。

园区底层物理网的云化升级关键是将 EVPN 和 BGP 等能力下沉到接入级交换机。目前全功能的企业级SONiC（AsterNOS）可稳定运行在园区交换机上，完全支持将此类成熟的云网技术引入园区。

由此，我们构建了足够灵活、可靠的全三层网络来承载园区日益复杂、多变的网络业务，消除了原有传统架构用于业务分区管理的二层网络，也无需引入堆叠架构。

根据实际需求，我们有时也会在 Spine 和 Leaf 之间添加二层交换机，但其唯一功能是扩展端口容量，不会参与路由、EVPN 或 BGP 操作。

这种设计对大型园区的好处十分明显，例如杜绝内网广播风暴，降低网络架构复杂度（一键下发配置模板做到”全自动BGP”）；同时也具备一定的内生安全性（例如隔绝了依赖广播的病毒攻击等等），以及高度适应企业数字化转型的云原生特性。

终端IP地址规划和分配

回归到路由设计的话题，构建全三层路由网络的重难点是合理规划和分配 IP 地址。

我们知道，传统园区网络设计中不可避免的一大挑战来自交换机的表项资源，其大小决定了园区接入规模的上限，这也是为什么曾经我们需要大型机框作为核心路由来支持超大型网络。

而在上述的云化园区网里，我们并未引入任何昂贵的机框设备，那么仅凭全盒式的开放交换机设备是如何做到的呢？

简言之，通过聚合路由技术和合理的IP分配策略，我们可以有效节约路由表项资源，并结合多级的 Leaf-Spine 架构将网络平滑扩容到30K+终端接入规模。

两种不同类型的终端路由信息

园区网络中的终端大体可分为漫游和非漫游两种类型。

对于非漫游终端，我们可以使用聚合路由，即将多个终端设备 IP 地址聚合到一个子网路由，以减少交换机表项空间占用。

聚合路由的正常运行需要与 IP 地址分配策略紧密结合，而借助 DHCP Option 82，我们可以确保同一 Leaf 交换机下的所有非漫游终端设备聚合在同一子网内。

DHCP Option 82 即“中继代理信息选项”。园区Leaf交换机作为 DHCP 中继代理设备，会在客户端发起的DHCP请求报文中添加 Option 82 字段，将 DHCP 客户端的位置信息附加进去提供给DHCP 服务器，后者利用该字段信息为主机分配合适的IP地址和其他配置信息；中继代理设备会在将DHCP回复转发给客户端之前删除该字段。

对于漫游终端不会使用聚合路由，而是保留其原有的 IP 地址。即使终端漫游到不同的 Leaf 交换机，也将一直使用原有的主机路由信息接入网络。

Spine 层交换机负责正确维护这些漫游终端的主机路由信息，整网范围皆为“云漫游”域。这种新架构下我们无需建立CAPWAP隧道让流量绕行转发，配置管理上也做到了高度简化。

相关阅读：下一代园区网络，“分布式网关”实现更高效的无线漫游！

以上过程中所有二层数据帧都将被转发并转换为三层报文，ARP 侦听机制在其中起到了至关重要的作用。

ARP 侦听机制

终端发起 ARP 请求时，其接入的Leaf 交换机会通过 ARP 侦听机制生成 ARP 和 IP 地址之间的映射（将ARP表项转换为32位主机路由），将这些信息同步到直连的 Spine 设备上，并通过BGP重分发学到的主机路由使其在 Spine 层传播，但不会再发送到其他 Leaf 交换机上。

最终，各类主机的路由信息会以如下方式逐级汇总：

Leaf 交换机保存本地连接的主机路由和通往上层 Spine 交换机的默认路由
Spine 层交换机维护整个网络的路由，包括整网所有终端的主机路由信息
更上层的网络设备（如FW）路由表存放非漫游终端的聚合路由和漫游终端的主机路由

如此一来，无论是 MAC 地址表还是主机路由表，Leaf 交换机都只存储本地路由和默认路由，只有高性能的 Spine 层交换机维护全局路由信息，从而给后续网络扩容留有充足空间。

BGP 路由快速收敛

我们的整个网络采用 BGP 路由协议，利用 BFD （双向转发检测）实现快速路由收敛。BGP 使用 BFD 监控链路和节点状态，可在单链路或单节点故障时实现快速恢复，故障检测时间约为 150 毫秒，性能可调。发生故障时，流量会自动切换到备用交换机，确保快速恢复端到端服务。

EVPN Multihoming 技术确保终端高可靠接入

为了保证终端访问的可靠性，接入园区网络的服务器可采用 EVPN-Multihoming 技术，将其连接到两个 Leaf 交换机上作为主-主备份的双上行接入；对于无线AP也可以采用类似的设计，将它们连接到两个 Leaf 交换机，以确保在单链路故障时业务不中断。

浅谈VPP与DPDK技术以及产业界应用实例

VPP（Vector packet processing）是 Linux 基金会下FD.io项目的一部分。VPP 的目标是提供一个快速的L2-L4 用户态网络堆栈，该堆栈可在x86、Arm 和 Power 等常见架构上运行。VPP 从网络 IO 层读取最大可用数据包矢量，然后通过数据包处理图(Packet Processing graph)处理这个矢量。VPP集成了DPDK(Data Plane Development Kit)项目，通过它直接访问硬件网卡资源。

什么是矢量包处理？

与矢量包处理相对的是传统的“标量（scalar）”处理。在标量处理模式下，系统一次仅处理一个数据包，完成整个包处理流程后再处理下一个包。在这种模式下，每个数据包都需要独立分配计算资源、缓存管理、并经历上下文切换。当网络I/O速度很高时，这些额外的开销与处理单个包的时间相近，导致效率低下。

矢量处理通过引入以下改进克服了标量处理的不足：

批量处理多个数据包：VPP通过将一组数据包（典型为64个或更多）组合成一个“矢量”，在每个节点中一次性对这些数据包进行处理。与逐个包处理相比，这种方式分摊了资源准备和上下文切换的开销，从而显著提升了矢量中每个数据包的处理速度。
利用SIMD并行处理能力：现代CPU的Single Instruction Multiple Data（SIMD）指令集能够通过单条指令同时对多个数据执行相同的操作。相比于传统的“每次仅处理一个数据”的方式，SIMD显著提高了运算速度。例如，Marvell OCTEON 10 ARM Neoverse N2处理器支持的SVE2（Scalable Vector Extensions Version 2）允许灵活配置128位到2048位的矢量长度。在2048位配置下，一条指令可以同时处理高达64个IPv4地址，从而大幅提升网络数据流的处理能力。
优化缓存利用：现代CPU通常具备较大的L1/L2缓存。矢量处理可以将多个数据包一次性加载到高速缓存中，减少对内存的频繁访问。例如，Marvell OCTEON 10 ARM Neoverse N2处理器拥有64KB的L1缓存，可以一次存储约42个1500字节的完整数据包或3276个IPv4包头，从而减少了多次的缓存-内存交换，进一步提高了包处理效率。

简言之，矢量包处理通过批量化、并行计算和缓存优化，有效提升了处理速度，特别适用于高性能网络环境。

VPP的优势：用户态网络协议栈

传统的Linux网络协议栈工作在内核态，注重通用性和软件灵活性，但在高性能网络中存在瓶颈，主要问题包括：

内核态与用户态切换开销：用户态程序处理网络数据时需要频繁切换到内核态，带来显著的延迟，特别是在高流量场景下。
逐层处理开销：协议栈按OSI模型逐层处理，每层都涉及协议解析和数据拷贝，导致效率低下。
软中断和单线程限制：Linux内核的网络栈主要依赖软中断和单线程处理，无法充分利用多核CPU的优势，特别是高并发时。即使通过RSS（Receive Side Scaling）将不同的数据流分配到多个CPU核心，仍然存在调度和同步的开销，无法实现完全并行处理。

VPP在用户态实现了完整的网络协议栈，包括IP, TCP, Session层和应用层公共库。

它解决了传统Linux协议栈的一些问题：

减少上下文切换：VPP在用户态运行，避免了用户态和内核态之间的切换，利用DPDK直接访问网卡，跳过了内核的网络协议栈。
融合协议处理：VPP将IP、TCP、Session等协议层结合在一起，减少了协议层之间的冗余数据传递，数据包不需要在每层之间进行反复的数据拷贝和传递，因为这些协议层的处理是在同一内存区域中完成的。
用户态多线程处理：与内核态的单线程处理模型不同，VPP充分利用现代CPU的多核和多线程能力，并在用户态中通过线程池并行处理多个数据流。用户态的线程调度开销更小，任务分配更灵活，借助多线程，VPP能够将网络流量有效地分布到多个CPU核心，近乎线性地提升网络吞吐量。

简言之，用户态网络协议栈技术使得VPP通过减少内核态与用户态切换、融合协议层处理、多线程优化和直接硬件访问，显著提升了高并发和高吞吐量场景下的网络性能。

DPDK与VPP的集成

数据平面开发套件 (DPDK) 是由 Linux 基金会主办的一个开源项目，它提供了一组用户态的库和驱动程序，可提高各种 CPU 架构（如 Intel x86、ARM 和 PowerPC）上的数据包处理速度。

DPDK 绕过 Linux 内核，在用户态执行数据包处理以最大限度地提高网络性能。DPDK 通过使用在用户态运行的轮询模式驱动程序 (PMD) 来实现这一点，该驱动程序不断检查传入的数据包队列以查看新数据是否已到达，从而实现高吞吐量和低延迟。PMD 在数据链路层（第 2 层）工作。

VPP 专注于从第 2 层到第 7 层的网络协议，并使用 DPDK 作为其网络驱动程序。这种集成将 DPDK 的 L2 性能与 VPP 在 L3 到 L7 上的灵活性相结合。

它们的结合带来如下好处：

直接硬件访问：VPP使用用户态的 DPDK来直接访问网络硬件，从而避免了传统Linux网络协议栈中的内核态与用户态切换，消除了大部分与内核相关的开销。
直接内存访问：VPP通过将网络设备的DMA内存区域映射到用户态，减少了内存拷贝和上下文切换。

通过与DPDK相结合，VPP实现了完整的用户态网络协议栈，并大幅度提升网络处理性能。

VPP这一开源技术在通用CPU的基础上，实现了传统上需要专门的网络硬件设备（如路由器）和专业的网络操作系统才能达到的性能，以极高的性价比为广大用户带来了开放网络技术的红利。

星融元借助VPP和DPDK的应用实例

小型边缘云网关

凭借VPP 技术，星融元即将正式推出的一款采用Marvell OCTEON 10 ARM Neoverse2 8核处理器的小盒子（ET2500），在加载全部BGP路由（约100万条）的情况下，仍具备高达48Gbps的路由性能，足以同时处理3000个4K高清视频通话的流量，满足企业、小型城域网和小型云边缘网关的需求。相比未采用VPP的同等处理器的网关设备，性能提升了10倍以上。

整个ET系列开放计算平台提供一站式的软件开发环境，包括FusionNOS-Framework基座操作系统、容器虚拟化环境及丰富的应用开发套件。客户可以将跑在X86服务器上的应用便捷的迁移到ET系列开放计算平台，同时也可以快速的进行自研应用的开发，充分满足边缘计算、大数据处理、物联网及人工智能等场景的多样化业务需求。

DPU架构的智能网卡

星融元Asterfusion自主研发的Helium DPU网卡基于高性能DPU芯片设计，符合PCle及以太网协议，提供PCle x 8 Gen3.0/4.0通道接口并支持高达100Gbps多功能业务处理能力，对网络、计算、存储等功能进行卸载和加速，充分释放服务器CPU资源。基于x86开发的各种DPDK应用、VPP应用和一般Linux驱动应用，仅需要简单编译就可以迅速移植到Helium DPU网卡上。

基于x86开发的各种应用（DPDK、VPP）移植到Helium DPU网卡上的架构图

WiFi 6、WiFi 7的无线漫游技术及方案实现

关注星融元

WiFi 6 无线漫游技术

WiFi 6实现的无缝漫游主要基于802.11k/v/r协议。

802.11k/v/r是WiFi 6中三个与WLAN相关的协议，又称为“快速漫游三协议”，用于解决传统漫游过程中的丢包严重、漫游触发不及时、选择漫游的目标AP不合适等问题。以下是对这三个协议的详细解析：

分别解决了何时漫游，漫游到何处以及如何快速重连的问题。

802.11k协议

802.11k协议，又称无线局域网频谱资源测量协议(Radio Resource Measurement of Wireless LANs,RRM)，解决了何时漫游的问题。

该协议定义了AP和STA如何协同工作，以确定STA在移动时能够漫游到最佳AP的时机。在漫游开始前，802.11k协议通过AP与STA之间的信息交换，提前告知STA漫游时可选择的AP列表。这是因为AP会定期或根据STA的请求收集周围邻居AP的信息，包括信号强度、吞吐量、可用频道等，并整理成邻居报告。当STA检测到当前连接的AP信号不佳时，会向AP发起请求，请求AP提供可漫游AP的列表和相关信息。AP将邻居报告发送给STA，STA根据报告中的信息评估周围AP的状态，并确定是否需要漫游。同时，STA也可以向AP发送自己的测量报告，包括当前连接的AP的信号质量、丢包率等参数，以便AP评估STA的连接状态。STA根据接收到的邻居报告和自己的测量报告，评估当前连接的AP和其他潜在漫游目标的AP之间的优劣。在802.11k之前，STA通常只会连接到信号最强的AP，而802.11k协议则提供了更多的信息，帮助STA做出更合理的漫游选择。

802.11v协议

802.11v协议，又称无线网络管理协议(Wireless Network Management,WNM)，解决了漫游到何处的问题。

该协议允许STA与AP之间交换网络拓扑信息，包括信号环境、拓扑状态等，以促进无线网络的整体优化。AP响应STA的报告请求后，会评估无线终端的连接质量，引导终端漫游到能提供更优网络体验的AP，从而实现负载均衡，提升整个无线网络的性能和用户漫游体验。简单来说，802.11v的作用是让STA可以请求到漫游目标AP，而AP给STA一个建议漫游的目标AP。

802.11r协议

802.11r协议，又称快速漫游协议（Fast Roaming），解决了如何快速重连的问题。

该协议定义了STA在不同AP间漫游时的交互细则，提供了实现BSS快速切换的标准。它使用了FT（快速基本服务集转换）功能来简化认证，省略了802.1x认证过程和四次握手过程，使STA能够快速且安全地漫游至新AP。在此之前，无线终端每次在加密网络中漫游时都需要重新关联验证无线密码，而通过该协议简化认证流程后，大幅缩短漫游切换时间，减少用户感知到的中断时间，确保在漫游过程中业务数据流的低延时传输，提高用户上网体验。

WiFi 7在无线漫游方面的优势

尽管WiFi 7 的标准尚未完全批准，但已有产品上市。WiFi 7 与WiFi 6 的对比如下：

	WiFi 6	WiFi 7
IEEE标准	802.11ax	802.11be
最大传输速率	9.6Gbps	23Gbps
频段	2.4GHz、5GHz、6GHz(仅WiFi 6E)	2.4GHz、5GHz、6GHz
安全协议	WPA3	WPA3
信道带宽	20MHz、40MHz、80MHz、 160MHz、80+80MHz	最大可到320MHz
调制方式	1024-QAM OFDMA	4096-QAM OFDMA

更高的带宽和传输速率：

从表格中可以看出WiFi 7的最大传输速率为23Gbps，支持最大320MHz带宽，相比WiFi 6又有所提高。对于无线漫游来说，高速率的数据传输能够确保在AP切换过程中数据传输的连续性和流畅性，避免因延迟或速率不足导致的卡顿、掉线等问题。

更低的业务时延

Wi-Fi 7支持Multi-RU机制，允许将多个RU分配给单用户。而在WiFi 6 中同一周期单用户只能分配到单个特定RU ，存在部分 RU 资源被闲置的情况。WiFi 7相比WiFi 6 大大提升了频谱资源调度的灵活性并降低了业务时延。与高速率相通，低时延也是无线漫游中保障数据传输完整和稳定的重要因素。

增强的多用户性能：

WiFi 7引入了16x16MIMO和更高阶的4096-QAM调制技术。数据流由原来的8条变为16条，每个符号位传输数据由原来的10bit变为12bit，相比Wi-Fi 6 提升20%。WiFi 7进一步增强了多用户性能和高并发能力，能够更好地处理大量设备同时连接和漫游的情况，减少冲突和延迟。

更可靠的链路机制

WiFi 7 引入Multi-Link多链路机制，定义了多链路聚合相关的技术。即AP和客户端之间同时建立多个链路进行数据通信，多发选收，负载均衡以提高链路的可靠性，从整体上提高用户在无线漫游中的体验。

更精简的无缝漫游方案

基于前文提到的快速漫游三协议以及传统组网方案的局限性，星融元在此提出无线网新架构。

基于分布式网关的无线网

在无线漫游工作原理篇我们提到集中式网关极易成为整网性能瓶颈，那不妨试试将一个子网的网关分布于每一个接入交换机上。这样做可以分担数据流量，充分利用每一个接入交换机的能力，实现负载均衡。进而提升整网转发速率，并避免了单一设备导致整网瘫痪的风险。

除此以外，该方案还能够提高转发效率。因为相比传统集中式网关，分布式网关方案中的业务报文无需到某个集中式网关上“兜圈子”，而是直接在本地接入交换机以最短路径完成漫游后的转发。这种高效的转发路径大大提高了流量转发效率。

用标准VXLAN替代CAPWAP的集中式转发

鉴于上述分布式无线方案依赖于云化后的有线网络，我们又提出了在不改变现网架构基础上单独升级无线网络的另一方案——无CAPWAP的集中式转发。

该方案借助VXLAN实现了极简的无线漫游，即AP和网关交换机之间建立的是VXLAN 隧道。AP上运行 VTEP 对用户原始数据帧进行封装和解封装，并且用不同的VNI实现网络隔离。

除了无需改变现网外，该方案还可以打破CAPWAP协议的厂商锁定。这是因为方案中用VXLAN替代了CAPWAP隧道，而VXLAN是更加标准化的技术。该方案也可应用于园区网络，客户只需引入一对具备一定可编程能力的“网关交换机”以及合适的AP即可。

方案测试

值得注意的是，不管是基于分布式网关的无线网还是用标准VXLAN替代CAPWAP的集中式转发，星融元都是基于开放的软硬件实现，即：SONiC+OpenWiFi+白盒化的接入交换机和AP。

对于该组合，我们进行了无线漫游的实际测试。

测试区域：单层办公空间（约180平米，有墙面硬隔断，日常办公场景存在一定网络干扰） 交换机：星融元CX-M系列（CX206P），其上运行AsterNOS（企业级SONiC发行版）

AP配置：SSID-Asterfusion，射频参数设置为5G，40MHz，加密方式WPA2-PSK

测试终端：同时支持802.11k/v/r、WiFi5、WiFi6的华为 mate60 pro和联想win10专业版 Comfast CF-952AX

测试结果显示，在智能手机的漫游过程中，发生了20次AP切换数据，漫游耗时稳定在10ms上下，平均8.7ms，丢包率为0；在笔记本电脑的漫游过程中，发生了5次漫游，漫游耗时稳定在10ms左右。该测试结果足以说明无线网新架构的可靠性，更详细的测试内容可参考小于10ms！基于SONIC+白盒AP的WiFi无缝漫游实测

什么是无线漫游？无线漫游的工作原理是什么？

关注星融元

什么是无线漫游

无线漫游是指在相同SSID（Service Set Identifier，服务集标识）的无线网络中，确保无线终端STA（如手机、电脑等终端设备）在移动过程中能够保持不间断网络连接的技术。因为在无线局域网中，每个AP(Access Point，无线访问接入点)设备的信号覆盖范围都有限，无线终端用户在通信过程中会从一个AP信号覆盖区进入到另一个AP覆盖区域，为了避免用户在不同的AP之间切换时，网络通讯中断，需要借助无线漫游技术，确保用户设备与新的AP自动关联，与原有AP断开关联，同时保持网络连接的连续性，使用户在移动通信的过程中自由切换且无感知地保持对网络的持续访问。

无线漫游分类

根据无线终端STA是否在同一子网内漫游，可将其分为二层漫游和三层漫游。如果STA在不同的AP间漫游切换时始终处在一个VLAN子网中，则为二层漫游；如果STA漫游前后处于不同的子网，则为三层漫游。

根据无线终端STA是否在同一个AC（Access Controller，无线控制器）管理的不同AP之间移动，可将其分为AC内漫游和AC间漫游。如果STA在同一个AC管理的AP之间移动，则为AC内漫游；如果STA在不同AC管理的AP之间移动，则为AC间漫游。值得注意的是，由于AC间漫游涉及到不同AC之间的数据同步和转发，可能需要借助隧道技术（如CAPWAP隧道）来实现数据的跨AC转发，在下文“无线漫游的工作原理”中会详细讲解。

无线漫游的工作原理

无线漫游阶段

漫游过程中，当STA进行通信时，会持续寻找其他无线AP，并与信号覆盖范围内的多台无线AP进行认证，但只和其中一台AP进行关联。终端远离其原本关联的AP后，信号强度会逐渐降低，当低于预设信号阈值时，它将尝试连接到周围信号最强的另一台AP，从当前的BSS（Basic Service Set）漫游到新的BSS，并提供终端的无缝切换。

根据以上工作原理，我们可以将漫游过程分为如下四个阶段：

信号检测：STA在移动过程中持续检测周围AP的信号强度。当其移动到两个AP覆盖范围的临界区域时，开始评估哪个AP的信号更强、更稳定。
漫游决策：根据信号检测结果，STA会做出漫游决策。如果新的AP信号强度明显高于当前连接的AP，且满足漫游条件（如信号强度阈值、漫游延迟等），设备将开始漫游过程。
认证与关联：STA向新AP发送认证请求，并进行必要的认证过程（如WPA/WPA2的PSK、EAP认证）。认证成功后与新AP建立关联，与原AP断开连接。
数据转发：漫游过程中STA的数据传输不会中断。对于AC内漫游的设备，数据可以直接在本地转发，无需经过额外的隧道或路由。而对于AC间漫游，可能需要通过隧道技术（如CAPWAP隧道）进行数据转发。

隧道协议CAPWAP

在隧道转发模式下，AP和AC之间需要建立隧道用以传输管理报文和数据报文，数据包被封装在CAPWAP隧道中，然后由AC转发到上层网络。CAPWAP协议本身并不包括任何无线技术，协议目前由两部组成，一是我们常说的CAPWAP隧道协议，二是无线BINDING协议。CAPWAP隧道协议主要负责完成AP发现AC等基本协议功能并规定各个阶段需要完成的任务，无线BINDING协议则说明了在各种接入方式下如何完成CAPWAP协议规定的任务。

CAPWAP建立需要经历以下六个过程：

AP获取AC的IP地址，AP本身IP地址有两种，静态地址和动态地址，并且AC通过广播的方式让AP获取自己的Loopback地址，为Discovery阶段。
AC和AP建立控制信道的交互，称为Join状态。
AC通过镜像下发使AP升级，称为Image Data状态。
AC下发配置至AP,称为Configuration状态。
AP发送Data Check报文确认配置，称为Data Check。
AP与AC控制和数据信道均建立成功后进入Run状态。

星融元园区无线网新架构——基于SONiC+OpenWiFi+白盒硬件的无CAPWAP集中式转发

星融元借助VXLAN实现了极简的无线漫游，即AP和网关交换机之间建立的是VXLAN 隧道。AP上运行 VTEP 对用户原始数据帧进行封装和解封装，并且用不同的VNI实现网络隔离。

该方案可应用于园区网络，客户只需引入一对具备一定可编程能力的“网关交换机”以及合适的AP即可。在此我们推荐Asterfusion CX-M系列园区交换机和基于OpenWiFi 的白盒AP设备。

总结

上述的经典“AP+AC”组网解决了STA的无线漫游问题。AC统一管理AP和下发配置，能给无线用户统一做认证，无疑做到了方便管理。除此之外，该模式在很多成熟方案中可以通过设置漫游阈值来促使终端自动切换到信号更好的AP，保证漫游过程中信号不中断。

但随着物联网加速普及、网络规模不断扩大，这种传统的无线漫游设计也存在一定的问题。在大规模网络下不仅多台AC的部署，冗余的设备、链路和交换策略的设计会使运维难度逐渐增加到难以掌控的地步，无线网络中心节点AC也极易成为整网性能瓶颈。除此之外，CAPWAP大多为厂商的私有协议，不同厂商的协议标准仍在修改迭代中，这就导致不同厂家产品，甚至同厂商的一些新旧产品都无法混合组网。要想突破这些局限性，还需要对现网升级，做到精简和高效。

具体升级方案会在后续文章中讨论，详情可参考园区无线网新架构：无CAPWAP的集中式转发

一文读懂：企业园区无线网技术及部署指南

掌握Wi-Fi 6/7核心技术与组网规划

前言：无线网络直接影响整体网络性能，在当今企业网环境中，已有超过一半的数据流量通过无线信道传输，随着物联网技术的普及，无线网将承载更多的关键业务流量。企业/园区场景的无线网络值得考虑的关键因素有很多，例如终端移动性，AP 漫游能力和覆盖范围、带宽和吞吐量、延迟、信道、射频干扰等。当然，还有网络安全配置和用户认证等等。

无论是新建还是升级无线网络，在采取行动之前回顾并更新有关无线网的关键知识是绝对必要的，我们将从以下几个方面入手，希望这篇文章帮助您做出更好的选择。

无线网络基础概念和参数速查
无线标准/协议的演进
不同无线组网模式和适用场景：常见的园区无线组网、新一代云化网络
无线AP部署要点

无线网基础概念和参数速查

在无线通信系统中，信息可以是图像、文字、声音等。信息需要先经过信源编码转换为便于电路计算和处理的数字信号，再经过信道编码和调制，转换为无线电波发射出去。其中，发送设备和接收设备使用接口和信道连接，对于有线通信很容易理解，设备上的接口是可见的，连接可见的线缆；而对于无线通信，接口是不可见的，连接着不可见的空间，称为空口(空间接口)

无线网络分类

无线网络根据应用范围可分为个人网络、局域网、城域网和广域网。

	个人网络	局域网	城域网	广域网
协议标准	Bluetooth	IEEE802.11b,IEEE802.11a,IEEE802.11g，IEEE802.11n	IEEE 802.16，MMDS，LMDS	GSM, GPRS, CDMA, 2.5-3G-4G
传输速度	小于1Mbps	1Mbps~600Mbps	22+ Mbps	1-7Mbps-100Mbps
覆盖范围	10m	100~300m	十几公里	几十到几百公里
应用场景	点对点、设备对设备	企业、园区、学校、酒店等网络	最后一公里接入	移动电话

无线射频

无线电波是由振荡电路的交变电流产生的电磁波（日常使用中也被称为射频或无线电等），它能够通过天线发射和接收，无线电波的频率范围称为频段。所有的射频设备都有灵敏度等级，即无线终端在某个信号强度之上可以正确地解释和接收无线电信号。灵敏度单位是dBm。接收灵敏度值越小，说明接收性能越好。

常见无线频段
手机	GSM:900/1800MHz,CDMA:800MHz
5G方案	移动(2.6G 160MHz)/3.3G 100MHz室内共建，电信、联通3.5G 3400-3600MHz移动：4800-4900MHz，广电4900-5000MHz
调频	87.5MHz-108.0MHz（民用广播）
	70MHz-87.5MHz（校园广播）
	108-160MHz（业余无线电通讯）
	160MHz以上是对讲机和电视伴音通信频率，对讲机常集中在400~470MHz和136-174MHz
无绳电话	45~48MHz
无线网络	2.4GHz和5GHz( Wi-Fi 7还有6GHz )
蓝牙	2.4GHz

天线传播覆盖

天线是一种变换器，是在无线设备中用来发射或接受电磁波的部件，它可以将传输线上传播的导行波和在空间中传播的电磁波相互转换。天线一般有全向和定向两种信号覆盖模式（如下图所示）。

空间流和MIMO

无线电在同一时间发送多个信号，每一份信号都是一个空间流。通常情况下一组收发天线间可以建立一个空间流。

MIMO指多输入多输出技术，也称多天线技术，分别使用多个发射天线和接收天线，实现多发多收，成倍地提高信道容量。空间流数是决定最高物理传输速率的参数。我们常用(AxB:C)数据格式表示多天线技术支持的最大发射天线数量(A)、最大接收天线数量(B)和最大空间数据流数量(C)。当前主流的802.11ac和802.11ax协议规定一个射频最大8个空间流；大多数智能终端使用 2×2:2 或 3×3:3 MIMO 无线电。

MIMO系统中，发射端的多个天线可以各自独立发送信号（引入发射波束成形技术使多个天线的发射信号在接收机达到相同相位，从而增强信号强度），同时在接收端用多个天线接收信号并重组原始信息。

MIMO技术让1×1的客户端也能间接从中受益

传播衰减

⑴ 自由空间路径损耗

自由空间路径损耗(FSPL)是指无线电波因自然扩展导致信号强度下降，这是波传播的自然属性。我们可以通过以下近似公式算出。

FSPL=32.44+(20log 10 (f))+(20log 10 (D))

FSDL=路径损耗(dB) ；f =频率(MHz)；D=天线之间的距离(km)

实际部署时我们通常使用6dB法则进行估算，即：传输距离加倍将导致信号衰减6dB。

⑵ 穿透损耗（吸收）

电磁波穿过墙体、车体、树木等障碍物，被不同材质的吸收，导致信号衰减。下表总结了常见障碍物对无线信号的影响。

典型障碍物	厚度(毫米)	2.4G信号衰减(dB)	5G信号衰减(dB)
普通砖墙	120	10	20
加厚砖墙	240	15	25
混凝土	240	25	30
石棉	8	3	4
泡沫板	8	3	4
空心木	20	2	3
普通木门	40	3	4
实木门	40	10	15
普通玻璃	8	4	7
加厚玻璃	12	8	10
防弹玻璃	30	25	35
承重柱	500	25	30
卷帘门	10	15	20
钢版	80	30	35

⑶ 反射损耗

当波撞击到一个比波自身更大的光滑物体时，波可能会往另一个方向传递。当无线发射信号与接收位置需要经过多次反射才可触达，我们可以通过尝试调整信号源位置并辅以定向天线来改善通信。

⑷ 衍射损耗

由于射频信号被局部阻碍，射频信号在物体周边发生的弯曲。位于障碍物正后方的区域称为射频阴影，它可能成为覆盖死角，一般是可以通过另一个AP的无线信号去消除。

无线标准/协议的演进

WiFi与 IEEE 802.11

WiFi 通常是指基于 IEEE 802.11 标准的无线网络。“Wi-Fi”一词由Wi-Fi 联盟（WFA）创造，该联盟是一个全球性联盟，致力于促进和认证无线设备的互操作性。简单来说，Wi-Fi 是描述无线网络技术的流行术语，而 IEEE 802.11 是定义无线通信底层协议和规范的技术标准。

WiFi6 的核心技术

根据Wi-Fi联盟的报告，Wi-Fi 6 自2019年推出以来仅用3年就在全球市场份额超过了50%，而Wi-Fi 5用了4年时间。WiFi 6 为每个用户提供更大的总带宽，总频谱和信道，能够在高并发接入的环境下为每个用户较前代技术高 4 倍的吞吐量，其高带宽、高并发、低时延、低耗电的特点为未来的智能基础设施奠定基础。

⑴ 提升吞吐量：1024-QAM调制

802.11ax采用1024-QAM正交幅度调制，每个符号位传输10bit数据（2^(10)=1024）；相对于802.11ac（采用256-QAM正交幅度调制，每个符号传输8bit数据）来说，802.11ax的单条空间流数据吞吐量提高了25%。使用1024-QAM调制对信道条件有较高要求。

⑵ 改善多用户并发接入：OFDMA 和上行+下行的MU-MIMO

MU-MIMO 代表多用户的多输入多输出，它允许单个 AP 设备同时通过多个通道与多个用户进行通信，802.11ax（WiFi 6）在原有基础上进行了增强，提高了并发上行用户数量，理论上能够在上行和下行链路上为最多 8 个用户提供服务，并向单个客户端同时提供 4 个流。MU-MIMO生效需要通信双方都支持MU-MIMO。

OFDMA（正交频分多址）将信道进一步细分为可单独分配的“资源单元”，这是实现性能优势的关键。它允许多达 30 个用户同时共享一个信道，从而减少延迟、提高容量并提高效率。

OFDMA 和 MU-MIMO 的技术作为先进无线网络中的互补技术，可以基于所服务的应用类型来改善用户体验。

对于流媒体电影或游戏等高带宽应用，MU-MIMO 允许多个终端并发传输数据，建立高带宽网络以达到每个客户端的的最大速率。此外，MU-MIMO 使访问无线网络的队列从一个变为多个，多个设备可同时访问而无需等待。

对于即时消息、电子邮件或网页浏览等低带宽应用，分配给每个客户端的资源单元数量取决于数据包大小、终端设备限制以及流量服务质量（QoS）配置等因素，而OFDMA使用单个频段可以为多个用户提供这类低流量传输服务，起到类似“拼车”的效果，大大提高了网络资源利用率。

⑶ 降低信道间干扰：空分复用技术（SR） & BSS Coloring

当相同或相邻信道上的AP和终端检测到单个信道资源利用率偏高，噪声强度超过阈值时，则会需要排队等待（CCA功率调节机制）。

WiFi6协议里采用了空间复用和着色机制以提升信道利用率，减少排队。它可以类比为在客户端和AP之间建立起了虚拟的“高架桥”，根据不同目的地在空间上划分为互相独立不干扰的通路。不同的AP会各自给下连的终端着色（例如下图左，同为信道6的3个AP分别着色），只要信道资源没有完全占满，就依然会传输数据。

⑷ 降低能耗调度：目标唤醒时间 TWT

TWT（目标唤醒时间）最早出现在 802.11ah “Wi-Fi HaLow” 标准中，用于支持大规模物联网环境中的能效，并随着 IEEE 802.11ax 的发展而得到扩展。它使用计划机制来告诉客户端何时唤醒和睡眠，而不是让它们一直在某个频道上监听。

在 TWT 中，客户端和 AP 之间会商定一个时间表，该时间表由时间段组成。它通常包含一个或多个信标（例如几分钟、几小时，甚至长达几天）。当时间到了，客户端被唤醒，等待 AP 发送的触发帧并交换数据，然后重新进入休眠状态。AP 和终端设备会独立协商特定时间，或者 AP 可以将终端进行分组，一次连接到多个设备。

Wi-Fi 6E 及其他

在 Wi-Fi 6 标准发布一年后，由于频谱短缺，Wi-Fi 6e 应运而生，将现有技术扩展到 6GHz 频段。Wi-Fi 6E 使用 WPA3 代替传统的 WPA2 来增强安全性，但它仍然使用 802.11ax，因此它算作 WiFi 6 的附加增强功能，而不是下一代标准。
此外，Wi-Fi 的演进还包括几个小众项目。例如，毫米波 Wi-Fi (802.11ad/ay) 以极低的覆盖范围为代价，支持高达 275 Gbps 的标称数据速率。大量用户无线访问的新兴交互式应用和新服务，例如8K 流媒体、AR/VR、游戏、远程办公、工业物联网、云计算等等，正在推动行业支持更高吞吐量的无线网络。

WiFi 7 还有多远？

Wi-Fi 7在Wi-Fi 6的基础上引入了320MHz带宽、4096-QAM、Multi-RU、多链路操作、增强MU-MIMO、多AP协作等技术，使得Wi-Fi 7相较于Wi-Fi 6将提供更高的数据传输速率和更低的时延。

由于国内暂未开放6G频段给Wi-Fi使用，Wi-Fi 7特性未能完整发挥。目前Wi-Fi7实际生效的有以下几项：

4096QAM：每个符号位传输 12bit 数据，相比Wi-Fi 6 提升20%
16x16MIMO：由8×8提升到16×16空间流，增强高并发能力
多链路传输：AP 和客户端之间同时建立多个链路进行数据通信，可以利用多条链路进行负载分担，提升单用户峰值吞吐量；利用多条链路进行多发选收，提高链路可靠性。
Multi-RU：Wi-Fi 6 标准下同一周期单用户只能分配到 1 个 RU ，必然有部分 RU 资源被闲置。Wi-Fi 7 突破了限制，允许单用户同时占用多 RU，且不同大小的 RU 之间可以进行组合，使得业务延时降低25%。

前导码打孔：支持把受干扰的20M信道打孔、屏蔽，然后剩余的140MHz信道继续捆绑在一起传输信息，极大提高了信道利用率；Wi-Fi 6中的做法一般是将工作信道限制在20M内传输，剩余信道受阻。

常见的无线组网模式

自治AP（胖AP）

此类AP设备是最早进入无线网络市场的类型，因其可以近乎“即插即用”的方式工作且无需额外的控制器，建网成本极低，非常适合例如家庭、小型商户和办公室等小型无线网场景，

正如其名，每个自治AP都可独立工作并且内置了基础的网络配置、流量控制、认证等功能的完整逻辑，所以每个 AP 都需要单独手动配置。

瘦AP+ AC（无线AP控制器）

这种集中式方法涉及 2 个无线产品，包括 AP 和无线 AP 控制器 (AC)。AC在该解决方案中扮演着最重要的角色，AP 仅提供基本的无线电频率，在物理层传输 802.11 数据包，并通过无线接入点控制和配置协议（CAPWAP）与控制器建立通信。

AC 可处理多种功能，例如访问控制、AP 配置和监控、数据包转发、漫游、安全控制。它的工作原理就像无线网络的大脑一样，允许在一个地方配置和管理整个无线网络。这些使其适用于具有许多接入点的大型企业网络。

⑴ AC部署模式

串联模式：AC 串接进网络，现在比较少见。
旁路模式：AC只管理AP，旁路连接到汇聚交换机，让数据包经由AC集中转发再传输到上层网络，适合在不改变现有网络的情况下对无线网络进行改造。

⑵ 数据转发模式：直接转发和隧道转发

并不是所有的数据包都需要经过集中式AC的封装和处理。某些情况下，数据包可以直接转发到网络的上层，但这仅适用于二层网络。隧道转发模式下，数据包被封装在CAPWAP隧道中，然后由AC转发到上层网络。如下图所示，CAPWAP隧道可能是控制数据隧道，也可能是业务数据隧道。

⑶ VLAN 规划和 AC 备份

VLAN规划主要包括两个方面，一是划分管理VLAN和业务VLAN，二是根据需要映射业务VLAN和SSID。由于是集中式部署，需要考虑冗余的设备、链路、交换策略，确保单点故障不影响整个系统功能，所以AP+AC架构中往往还需要多个AC互为备份。如果要为大量无线接入用户实现AP漫游，这对网络工程师来说可能是一个巨大的挑战。

方案一：尽量在二层网络中规划漫游区域，但二层网络越大，安全性越差。
方案二：建立连接两个WAC的隧道，将漫游流量传回原AC，但这会导致网络配置复杂，流量绕行，影响漫游性能。

除了配置相对复杂之外，多家供应商都有自己的专有协议，并在自己的产品中不断更改这些协议以改善通信。一般来说不同供应商的产品无法实现通信和交互。

属性	胖AP	瘦AP
技术模式	传统	新型，管理加强
安全性	单点安全，无整网统一安全能力	统一的安全防护体系，无线入侵检测
网络管理能力	单台管理	统一管理
配置管理	每个AP需要单独配置，管理复杂	配置统一下发，AP零配置
自动RF调节	没有射频自动调节能力	自动优化无线网络配置
漫游能力	支持2层漫游功能，适合小规模组网	支持2层、3层快速安全漫游
可扩展性	无扩展能力	方便扩展，对于新增AP无需任何配置管理
高级功能	对于基于WiFi的高级功能，如安全、语音等支持能力很差	可针对用户提供安全、语音、位置业务、个性化页面推送、基于用户的业务/完全/服务质量控制等等

无线Mesh网络（WMN）

无线mesh网络最初是为军事应用而开发的，它是一种由无需连接到有线端口的无线电设备组成的架构。无线Mesh网络中的每个设备都像路由器一样工作，其中各个节点不仅可以增强信号，还可以计算网络拓扑并进行路由，将长距离数据传输划分为多个短跳。当配置好主节点信息后，配置将⾃动同步给整个网络中其他的节点。

Mesh组网在难以或无法布线的情况下特别有用，例如临时的室内或室外区域、老旧历史建筑内等。目前已有不少厂商提供了面向企业和家庭的Mesh网络解决方案，不过一般来说无线 Mesh AP 不兼容多供应商。

在为较小的区域设计无线Mesh网络时，我们可能只需要将一两个Mesh AP连接到有线网络，如果范围扩大，我们仍然需要将多个Mesh AP 插入有线网络以确保网络可用性。部署Mesh AP 时，应综合考虑数量、传输距离和电源位置，并且应将它们放置得更近以获得更好的信号，因此往往需要更多的 AP 来覆盖给定的区域，成本随之上升（甚至会抵消其他方面节省的费用）。

值得注意的是该种组网方式最大的问题：带宽损耗。因为无线mesh组网会占用一半的带宽（还有无线传输本身的损耗），经过中继后的AP的吞吐量一般会下降约50%。

新一代云化园区无线组网模式

分布式网关转发

云网络很早就开始采用分布式的网关架构，将网关部署到更靠近终端的接入/边缘层。这种架构在转发路径、网络运维、表项空间、安全性等方面都有着显著的优势，也为企业网络的创新提供了一种很好的思路。

在这样的 IP Fabric 中，分布式网关意味着所有子网都存在于每个接入交换机上，它们会自动同步整个网络的端点 IP/MAC 和安全策略。这样，每个接入交换机都得到充分利用，所有跨子网流量的转发/漫游都由最近的交换机处理，而无需经过很长的路径到达集中式 AC。

更多信息请参阅：下一代园区网络，“分布式网关”实现更高效的无线漫游！

	集中式网关（CAPWAP隧道）	分布式网关
转发路径	数据包经过隧道封装，通过集中网关统一转发	数据包在本地访问交换机上转发
运维	部署需要大量手动配置（如AP组规划、单独SSID/VLAN等），复杂且难以维护	只需在部署开始时配置一次分布式网关信息，无需采取其他措施
可靠性	网关功能过于集中，一旦发生故障，影响风险较大	网关功能分散到所有接入交换机；单台设备故障对服务影响不大
可扩展性	承载整个网络的网关业务，需要高性能、大容量的设备，但也容易成为网络扩展的瓶颈	接入层交换机只需要存储本地表项，对设备容量要求低，更易于扩展网络接入规模

去CAPWAP的集中式转发

这种新型WLAN的设计同样基于云网络技术，相比上文的“分布式网关”其最大的优势在于无需改变现有的有线网络架构，只需部署一台可编程交换机接入核心交换机作为集中式网关，然后将旧AP替换为新AP即可完成无线网络的升级。

每台网关交换机拥有 3.2Tbps 吞吐量，轻松支持 10K+ 接入点 100K+ 无线终端。接入点通过 VXLAN 隧道与网关通信，接入点上运行多个 VTEP 以实现网络隔离。此外，接入点可以是完全基于开源技术的白盒硬件，而且相对于CAPWAP，VXLAN 技术也更加开放和标准化。

至于惯常思路里的无线AC，在新一代云化园区的无线网络中已经不存在了，取而代之的是使用云原生控制器（Cloud SDK）来统一管理园区内的有线和无线网络设备并下发配置——它既可以融合部署在网关交换机或其他本地设备上，也可以灵活部署在云端，从手机、电脑随时随地通过加密域名访问。

更多信息请参阅：园区无线网新架构：无CAPWAP的集中式转发

无线接入点（AP）部署要点

影响AP覆盖范围的因素

无线电发射功率：室内AP不超过100mW/20dBm，室外AP不超过500mW/27dBm
天线增益：室内天线增益一般在3-5dBi，室外天线增益一般大于10dBi
部署环境：周围环境是否有强电磁场、障碍物遮挡、同类型Wi-Fi干扰、相似类型无线干扰，金属或者电子设备等干扰，相同信道频谱干扰
天线和终端接收灵敏度：与终端设备有关

影响AP接入量的因素

芯片性能：同等无线速率下，如果是不同的芯片等级，能同时并发的用户数也不一样
射频：

单射频AP最大接入128/512
双射频AP最大接入256/1024
三射频AP最大接入384/1536

用户流量模型：不同的用户流量也直接影响了能同时并发多少用户。比如办公场景每人4M，推荐人数在30人；公共上网场景每人1M，推荐人数在60-100人。

所需无线带宽估算

估算带宽时可以根据人数模糊概论（尤其适用高密场景），假如要求有1000人同时接入，实际使用时同时接入的人数在600人；接入的600人并非所有终端同时并发，算下来约会在200左右。

并发用户数=估算接入人数 * 并发比率

根据用户数与单用户速率需求分析可以得到总带宽需求：

总带宽＝并发用户数 * 单用户速率

下表仅供参考（单用户速率参考）

场景	终端类型	并发比率（按100人算)	最低标准	推荐标准	良好体验标准
办公室	笔记本	20%—50%	100KB/S下行 20KB/S上行	200KB/S下行 40KB/S上行	300KB/S下行 100KB/S上行
酒店
会议室
商超	手机	5%—30%	20KB/S下行 20KB/S上行	50KB/S下行 20KB/S上行	80KB/S下行 40KB/S上行
室外

应用	速率要求	时延要求
网页浏览	160-512Kbps	200KB 的页面需要3~10s
P2P 流媒体	1Mbps	实时
IM(如微信等)	32-64Kbps	2KB/Session，0.5s
Email	400Kbps	100KB/Session，2s
SNS(如微博等)	200Kbps	50KB/Session，2s
VoIP	512Kbps	实时
游戏	1Mbps	125KB，100ms
视频服务(标清)	2Mbps	125KB，100ms
视频服务(高清)	4Mbps	实时

AP通用部署原则

尽量保证 AP 与终端之间可视无障碍物;
优先考虑 AP 面积覆盖与间距合理，后考虑接入人数要求。
AP 以正六边形方式呈蜂窝状部署(同楼层平面，上下楼层同样）

AP的覆盖部署

尽量减少信号穿过障碍物数量，一般建议最多穿透单层墙体(典型120mm砖墙)设计，部分特殊场景(如石膏墙、玻璃墙体等) 可考虑穿过2层墙体
240mm厚砖墙、混凝土墙体和金属材质墙体不建议穿透覆盖，如在不满足约束条件时仍采用AP穿透覆盖方案，则会导致穿墙后弱信号和漫游不连续问题，针对此种情况，如需保障良好覆盖和漫游，网络规划时需要基于客户墙体结构新增部署AP点位
重点区域、VIP区域尽量保证单独部署AP以保障用户体验。
路口或拐角单独部署AP，保证信号覆盖连续性(大于-65dBm )，相邻AP可建立邻居关系表，保障良好漫游体验。
AP安装位置远离承重柱3米以上

几条重要规则

不要采取在走廊部署吸顶AP去覆盖房间，除非拿设备验证过。像学校宿舍这种场景，如果有运营收费更不能放走廊。
任何场景 AP 间距不少于 8 米。同信道 AP 间距不少于 15 米。
AP 吸顶安装时，需考虑吊顶材质，若为无机复合板、石膏板，衰减较小，可安装于吊顶内，若为铝制板，衰减较大，建议安装在吸顶安装于天花上，或用美化天线。
空旷的空间工勘时，一定要考虑后期放什么东西。比如宿舍，前期是空的，但之后可能放了金属桌子;空旷的仓库，之后可能放了很多金属货架。这些都会导致信号覆盖风险。
部署前务必先去现场工勘测试。不要“看图说话”。
室外项目中，为了保证使用效果，需使用定向天线，少用全向天线。不确定的情况找当地客服咨询。
室外项目务必要求施工方做好防水防雷，否则容易造成故障。

产品型号： 星融元（Asterfusion）ET3600系列智能网关平台
支持协议：PTP，IPSec，SSL/TLS……

应用场景：企业路由器，路由器，防火墙，VPN网关，负载均衡器，IDS/IPS，网络流量分析器
最后更新：2026-05-18

产品型号： 星融元（Asterfusion）ET2500系列智能网关平台
支持协议：PTP，IPSec，SSL/TLS……

应用场景：路由器，防火墙，VPN网关，负载均衡器，IDS/IPS，网络流量分析器
最后更新：2026-05-18

星融元(Asterfusion)

星融元数据技术有限公司是领先的开放网络解决方案提供商，产品包括网络操作系统、数据中心交换机、AI智算交换机、园区交换机、开放式企业级路由和新一代网络可视化产品等。为行业企业、数据中心和云运营商提供基于通用解耦硬件和 SONiC 软件框架的全场景交钥匙网络解决方案，帮助用户构建AI时代中立、透明，易于运维、高性价比的基础网络。

🔺关注 @星融元Asterfusion 微信公众号
WeChat QR Code

开源网络监控工具Prometheus，有哪些优势？

一、盘点好用的开源网络监控工具

1、开源网络监控工具盘点

工具	描述	主要特点
Cacti	一种图形解决方案，可与 RRDTool 一起收集 LAN 中的性能数据。	–简单的网络管理协议（SNMP）支持 –绘制交通数据图表 –易于设置的模板 –用于数据存储的MySQL数据库
Nagios Core	一种流行的监控工具，具有可扩展性和易用性的界面。	– 自动发现设备 – 复杂的性能图 – 通过附加组件进行定制 – PHP Web 界面（Nagios V-Shell） – RESTful API
Icinga 2	一个灵活的工具，建立在Nagios Core之上，提供可定制的仪表板和出色的可视化功能。	– 用于自定义配置的RESTful API – 实时性能数据监控 – 对 Graphite 和 InfluxDB的原生支持 – 通过电子邮件或文本发出警报和通知
Zabbix	涵盖网络、服务器、云、应用、业务监控的综合监控工具。	– 网络带宽使用情况跟踪 – 网络运行状况和配置更改监控 – SNMP、IPMI 和 IPv6 支持 – 用于轻松发现设备的模板 – 警报和通知 – 支持广泛的平台
Prometheus	一种用于监控时间序列数据的流行工具，拥有大量社区追随者。	– 时间序列数据监控 – 用于事件通知的警报管理器 – 与各种数据源（Docker、StatsD、JMX）集成 – 用于可视化的 Grafana 集成

2、对比展现Prometheus优势

作为发行时间最晚（Prometheus发行于2016年）的开源网络监控工具，Prometheus有哪些优势呢？以传统的Zabbix为例，一起来对比吧！

	Zabbix	Prometheus
监控规模	集群规模上限为10000个节点	支持更大的集群规模
监控对象	物理机环境	云环境
存储	关系型数据库	时间序列的数据库
服务发现	Push	Pull/Push
配置	配置复杂	一个核心Server组件，配置简单
社区活跃度	国内比较活跃，社区活跃度相对较低	开源社区非常活跃CNCF支持

二、Prometheus 是做什么的？

Prometheus 是一款免费软件，可帮助监控和发送有关计算机系统的警报，2012年已经产生并一直存在，并在公司和组织中变得非常流行。许多开发人员和用户积极为它做出贡献。它不属于任何特定公司，由共同工作的社区管理。2016 年，Prometheus 成为云原生计算基金会的一部分。

《Prometheus》-配图-01

《Prometheus》-配图-02

核心组件：

Prometheus Server
Exporter
Alertmanager
Pushgateway
Service discovery

Prometheus Server是Prometheus组件中的核心部分，负责实现对监控数据的获取，存储以及查询。

1、工作流程

Exporter将监控数据采集的端点通过HTTP服务的形式暴露给Prometheus Server；
在Prometheus Server中支持基于PromQL创建告警规则，如果满足PromQL定义的规则，则会产生一条告警，而告警的后续处理流程则由AlertManager进行管理；
Prometheus Server与Push网络需求无法直接满足时，就可以利用PushGateway来进行中转；
Service discovery：监控系统而言就意味着没有了一个固定的监控目标，所有的监控对象(基础设施、应用、服务)都在动态的变化。

2、Exporter

定义：广义上来讲，任何向Prometheus提供监控样本数据的程序都可以被称为一个Exporter，Exporter的一个实例称为Target。

《Prometheus》-配图-03

若要从Target (host or service)收集监视数据，首先必须在要收集的Target上安装收集组件，称为Exporter，他们的官网（http://prometheus.io）上有很多Exporter：

– Consul exporter (official)
– Memcached exporter (official)
– MySQL server exporter (official)
– Node/system metrics exporter (official)
– HAProxy exporter (official)
– RabbitMQ exporter
– Grok exporter
– InfluxDB exporter (official)

可根据所监控的对象选取特定的Exporter：

范围	Exporter
数据库	MySQL exporter, Redis exporter, MongoDB exporter, MSSQL exporter等
硬件	Apcupsd exporter, IoT Edison exporter, IPMI exporter, Node exporter等
消息队列	Beanstalkd exporter, Kafka exporter, NSQ exporter, RabbitMQ exporter等
存储	Ceph exporter, Gluster exporter, HDFS exporter, RabbitMQ exporter等
HTTP服务	Apache exporter, HAProxy exporter, ScaleIO exporter等
API服务	AWS ECS exporter, Docker Cloud exporter, Docker Hub exporter, GitHub exporter等
日志	Fluentd exporter, Grok exporter等
监控系统	Collected exporter, Graphite exporter, InfluxDB exporter, Nagios exporter, SNMP exporter等
其他	Blockbox exporter, JIRA exporter, Jenkins exporter, Confluence exporter等

工作方式：

– 注册指标：exporter需要定义要导出的指标及其相关信息
– 数据收集：exporter定期从系统或应用程序中收集指标数据
– 指标转换：exporter将收集到的指标数据转换为Prometheus的指标类型
– 暴露指标：exporter提供一个HTTP接口，通过该接口将转换后的指标暴露给Prometheus

《Prometheus》-配图-04

3、告警产生以及推送

《Prometheus》-配图-05

Prometheus会周期性的对告警规则进行计算，如果满足告警触发条件就会向Alertmanager发送告警信息
Alertmanager根据配置推送给对接的平台，支持对接多种平台告警推送

流程：

告警路由：会根据事先定义的路由配置对告警进行路由。路由配置规定了如何处理不同的告警，包括将告警发送到不同的接收者（如电子邮件、PagerDuty、Slack等）、进行静默处理或者进行其他操作。
告警抑制：Alertmanager会对接收到的告警进行去重处理，以避免重复通知。
告警分组：Alertmanager会将具有相同标签或属性的告警进行分组，以便进行更有效的通知和处理。这样可以避免发送大量重复的告警通知，提供更清晰的告警视图。

三、示例：将Prometheus与AsterNOS结合

1、为什么使用Prometheus监控AsterNOS

《Prometheus》-配图-06

2、效果展示

以星融元CX-M园区网络为例，使用Prometheus + SNMP + Grafana组合方案进行监控，能够采集系统运行数据，实现网络数据可视化以及网络架构拓扑展示。

园区方案

《Prometheus》-配图-07

在AsterNOS设备上部署Node exporter，以HTTP接口的形式暴露AsterNOS的系统运行数据，Prometheus将主动Pull数据。Prometheus获取到数据后一方面用于评估告警规则——若产生告警将由Alertmanager推送给所对接的服务；另一方面落地到Prometheus服务器本地存储中。Grafana可以利用Prometheus所存储的监控数据来进行可视化展示。

《Prometheus》-配图-08

以Node exporter所采集的数据作为来源展示

《Prometheus》-配图-10

《Prometheus》-配图-09

返回资源中心

园区智网

网络操作系统（SONiC）

网络可视化（NPB）

开放硬件平台

标签： 科普-园区

近期文章

什么是 DHCP 侦听

为什么需要DHCP侦听？

DHCP 侦听如何工作？

DHCP 侦听可以防范哪些常见网络攻击

DHCP 侦听的应用场景

配置示例

传统方式-手动配置

云化配置方式 – 图形化配置

最新动态

近期文章

什么是MPLS？

工作原理

标签结构

为什么需要MPLS？

服务质量（QoS）

流量工程（TE）

业务隔离与VPN

最新动态

近期文章

从WiFi 6到WiFi 7：技术升级的核心突破

带宽与速率的指数级提升

多链路操作（MLO）的革命性突破

空间流与MIMO技术的扩展

频谱利用与抗干扰优化

国内WiFi7发展的困境

破局之道：立足现有优势，挖掘场景化潜力

最新动态

近期文章

什么是PTP？

什么领域需要PTP？

PTP实现时间同步的核心机制

两步模式（Two-Step）

一步模式（One-Step）

星融元园区交换机多款产品支持PTP功能，同步精度可达20ns？！

最新动态

关注星融元

底层物理网络设计

终端IP地址规划和分配

两种不同类型的终端路由信息

ARP 侦听机制

BGP 路由快速收敛

EVPN Multihoming 技术确保终端高可靠接入

什么是矢量包处理？

VPP的优势：用户态网络协议栈

DPDK与VPP的集成

星融元借助VPP和DPDK的应用实例

小型边缘云网关

DPU架构的智能网卡

关注星融元

WiFi 6 无线漫游技术

802.11k协议

802.11v协议

802.11r协议

WiFi 7在无线漫游方面的优势

更高的带宽和传输速率：

更低的业务时延

增强的多用户性能：

更可靠的链路机制

更精简的无缝漫游方案

基于分布式网关的无线网

用标准VXLAN替代CAPWAP的集中式转发

方案测试

关注星融元

什么是无线漫游

无线漫游分类

无线漫游的工作原理

无线漫游阶段

隧道协议CAPWAP

星融元园区无线网新架构——基于SONiC+OpenWiFi+白盒硬件的无CAPWAP集中式转发

总结

无线网基础概念和参数速查

无线网络分类

无线射频

天线传播覆盖

标签：科普-园区