Skip to main content
开放网络的先行者与推动者—星融元
加入我们 | 技术支持(Support)  TEL:(+86)4000989811

标签： 科普-园区

DHCP：部署方式与典型应用场景详解

近期文章

我们已经简单了解了什么是DHCP Server。为什么网络需要DHCP服务器？

那么DHCP Server在实际生产环境中，部署起来复杂吗？DHCP（动态主机配置协议）的部署复杂度不能一概而论，它主要取决于你的网络规模、具体需求以及你对网络管理的熟悉程度。简单来说，小型网络部署DHCP非常直接，而大型企业网络则会复杂得多。

DHCP Server 不同场景下的部署有何不同？

快速了解不同规模网络部署DHCP的主要特点：

 小型网络/家庭网络中大型企业网络
​部署位置​家用路由器（内置功能）独立服务器（Windows Server / Linux）或高级网络设备
​配置复杂度​​低​（图形化界面，几步点击即可）​中到高​（需命令行或专业配置，涉及多项参数）
​主要考虑因素​地址池范围、租期​地址池精细规划、VLAN划分、中继代理​、高可用​、安全策略​
​核心挑战​基本无挑战​避免IP冲突、防止单点故障​、应对安全攻击​、跨网段分配​

DHCP的配置方式

DHCP（动态主机配置协议）的全局模式和接口模式是网络设备中常见的两种配置方式，它们在功能、适用场景和配置方法上存在差异。以下是两者的主要区别和特点：

全局模式（Global Mode）

在设备（如路由器或三层交换机）上创建全局地址池，通过该地址池为同一子网或多个子网的客户端分配IP地址。

  • 集中化管理：地址池在设备全局层面配置，可统一管理多个子网的IP分配策略，适用于需要跨子网分配IP的场景。
  • 灵活配置：可自定义地址池的网段、网关、DNS、租期等参数，满足复杂网络需求。
  • 跨子网支持：结合接口配置，可为不同子网的客户端分配IP，但需确保接口与地址池的关联配置正确。
  • 适用场景：企业网络中，多个部门（VLAN）需要不同网段的IP地址分配。需要集中管理IP地址资源，统一配置DNS、网关等参数的场景。

接口模式（Interface Mode）

直接在接口（如物理接口或VLAN接口）下启用DHCP服务，基于接口所在子网自动生成地址池，为连接到该接口的客户端分配IP地址。

  • 简单快捷：无需单独配置地址池，接口的IP地址和子网掩码自动作为地址池的网段和网关。
  • 适用于单子网：通常用于单一子网场景，配置简单，适合快速启用DHCP服务。
  • 参数有限：部分参数（如DNS、租期）需在接口下单独配置，灵活性相对较低。
  • 适用场景：家庭网络或小型办公网络，仅需为单个子网的设备分配IP。需快速配置DHCP服务，且对参数配置要求不高的场景。

下面是一个快速对比，帮助你了解主要的配置方式及其典型应用场景。

配置方式核心特点典型步骤主要适用场景
​基于接口的地址池​配置简单，地址池与接口IP在同一网段，适用于小型扁平网络在接口视图下直接配置DHCP参数（如IP地址、DNS、租期）小型网络、家庭办公网络、华为/锐捷设备常用
​基于全局的地址池​功能丰富，支持跨网段地址分配，需先创建全局地址池再到接口调用创建地址池 → 配置网络范围、网关、DNS、租期等 → 在接口上启用并调用全局地址池中大型企业网络、需要精细化管理IP地址的场景
​DHCP中继（Relay）​​允许DHCP客户端通过中继代理从不同子网的DHCP服务器获取IP地址，解决DHCP广播跨网段问题在接口视图下启用DHCP中继功能并指定远程DHCP服务器地址跨网段或VLAN的环境、大型企业网络部署

DHCP Server 自动化部署

随着企业网络规模的持续扩张、云化和物联网设备的激增，其局限性也日益凸显。网络管理员不得不频繁地登录每一台设备，进行大量重复且易出错的手工配置。尤其是在需要跨多个网段或VLAN部署DHCP中继、实现高可用性（如DHCP Failover）或实施精细化的安全策略时，传统方式不仅耗时费力，更难以保证配置的一致性和快速响应业务变更的需求。

为了克服这些挑战，网络管理向着智能化、自动化的方向演进成为了必然。DHCP的自动化部署通过集中化和自动化的方式分配IP地址及其他网络参数（如子网掩码、默认网关和DNS服务器），极大地提升了网络配置的效率和准确性。

这种自动化不仅显著减少了手动配置的工作量和潜在错误，还降低了企业的运营成本与管理复杂度。同时，DHCP支持灵活的地址管理（包括动态分配和静态保留）以及租期机制，能有效避免IP地址冲突，提高地址利用率，并简化网络扩展与设备变更的流程。此外，通过网络管理工具，DHCP实现了对IP地址分配的集中监控与维护，进一步增强了网络的稳定性和安全性。

CX-M园区交换机作为企业网络接入层和汇聚层的核心设备，通过控制器实现DHCP服务的自动化部署，是构建智能、可视、易运维的现代化园区网络的核心环节，它将网络管理员从繁琐的重复性劳动中解放出来，更专注于业务规划和策略优化。

DHCP Server 自动化部署详解，敬请期待……

返回资源中心

最新动态

为什么网络需要DHCP服务器？

近期文章

什么是DHCP？
DHCP是一种网络协议，全称为动态主机配置协议（Dynamic Host Configuration Protocol）。
它被用于在计算机网络中自动分配IP地址和其他网络配置信息给客户端设备。DHCP的主要目标是简化网络管理员对于IP地址管理的工作，并提供一种自动化的方式来配置网络设备。

什么是 DHCP 服务器？

DHCP服务器（Dynamic Host Configuration Protocol Server）是一种网络服务或设备，主要任务是自动分配和管理IP地址。当设备（称为DHCP客户端）接入网络时，DHCP服务器会从其预配置的IP地址池（Address Pool）中选择一个可用的IP地址“租借”给该设备，同时提供子网掩码、默认网关、DNS服务器等必要的网络配置信息。这种方式避免了手动为每台设备配置IP地址的繁琐，也减少了因手动配置可能导致的IP地址冲突。

DHCP服务器通过“租约”机制管理IP地址，即分配的IP地址有使用期限。租期到期后，客户端需要续租，否则地址会被服务器回收并重新分配，这有效提高了IP地址的利用率。

DHCP的工作流程

DHCP服务器分配IP地址的过程通常遵循一个经典的“四步握手”协议，如下图所示：

DHCP

1. DHCP发现（Discover）​​：当客户端设备（如电脑）接入网络并设置为自动获取IP时，它不知道DHCP服务器在哪里，所以会广播一个DHCP Discover消息，询问“网络里有DHCP服务器吗？”

2. DHCP提供（Offer）​​：网络中的DHCP服务器（比如你的路由器）收到这个广播后，会从预先配置好的IP地址池中挑选一个可用的IP地址，然后通过单播​（有时也可能是广播）方式回复一个DHCP Offer消息，告诉客户端“我这里有一个IP地址，你可以用”。如果网络中有多个DHCP服务器，客户端可能会收到多个Offer。

3. DHCP请求（Request）​​：客户端通常会选择它收到的第一个DHCP Offer，然后再次广播一个DHCP Request消息，明确告诉所有DHCP服务器“我选择接受某个服务器提供的地址”
这样做既是为了告知选中的服务器，也是为了告知其他未被选中的服务器，它们可以收回自己提供的预备地址。

4. DHCP确认（Acknowledge – ACK）​​：被选中的DHCP服务器收到Request后，会发送一个单播​（或广播）的DHCP ACK消息进行最终确认，意思是“这个IP地址正式分配给你了，附上完整的网络配置信息”。客户端收到ACK后，就会使用这个IP地址和其他参数来配置自己的网络接口。

DHCP地址分配的方式

HCP服务器分配IP地址主要有以下几种方式

  • 动态分配​：这是最常见的方式。服务器从地址池中分配一个IP地址给客户端，但这个地址是有“租期”的。租期到期前，客户端可以续租；到期后若未续租，服务器会收回该IP地址重新分配。这种方式高效且节省IP资源。
  • 自动分配​：类似于动态分配，但服务器一旦将某个IP地址分配给某个客户端后，就会永久将该地址分配给那台客户端。
  • 静态分配（固定地址）​​：网络管理员可以将特定的IP地址与客户端的MAC地址进行绑定。这样，当这个特定的客户端申请IP时，DHCP服务器就会始终将那个固定的IP地址分配给它。这对于网络打印机、服务器等需要固定IP的设备非常有用。

DHCP服务器的应用场景

DHCP服务器能适应不同规模和需求的网络环境。

形式类型​​特点描述​​典型应用场景​
​集成于网络设备​路由器、交换机等网络设备内置的功能。家庭、小型办公网络
​独立服务器软件​在服务器操作系统上安装并运行的专用软件。中型企业网络、机房
​基于防火墙/系统​一些防火墙系统或开源网络系统内置的DHCP服务。中小型网络
​云服务或企业级方案​提供高可用性、集中管理和高级功能的商业解决方案。大型企业、跨地域网络、数据中心

网络设备的DHCP服务器功能是一项非常实用且常见的网络服务，它能自动为网络中的设备分配 IP 地址等配置信息，大大简化了网络管理。

  • 家用/中小企业路由器​：这是最常见的形式。你家里的无线路由器就内置了DHCP服务器功能，它为连接到此路由器的手机、电脑、智能家居设备等自动分配IP地址。
  • 企业级网络设备​：如三层交换机、防火墙等也通常具备DHCP服务功能，可以为整个企业网的多个VLAN分配IP地址。
  • 服务器操作系统​：Windows Server或Linux系统（如使用ISC DHCP Server或dhcpd）可以安装并运行DHCP服务，将其转变为一台DHCP服务器。

深度融合DHCP，赋能智能园区网络

CX-M系列园区交换机在其搭载的企业级SONiC发行版AsterNOS中，集成了完备的DHCP功能（如DHCP Server、DHCP Snooping）和相关的安全与自动化特性，为核心园区网络提供了高效的IP地址管理、终端安全保障及极简运维体验。

DHCP服务与地址分配​：CX-M支持DHCP服务，能自动为园区终端分配IP地址。其DHCP Snooping功能可有效抵御仿冒DHCP服务器攻击，增强网络安全。

安全与运维增强​：通过DHCP Snooping配合其他安全特性（如IP源防护IPSG、动态ARP检测），CX-M为园区网络提供了多重安全防护。

CX-M系列还支持ZTP（零配置部署）​，新设备上电后能通过DHCP方式自动获取配置文件并加载，实现了网络的零配置开局，极大地简化了大规模网络的部署流程，降低了运维工作量。

网络架构优势​：CX-M支持构建全三层组网的园区网络，使得每个接口自成一个广播域，终端间二层隔离。这从根本上消除了二层广播风暴的风险，也为DHCP等服务的稳定运行提供了更简洁、安全的底层环境

CX-M通过深度融合DHCP相关功能与园区网络解决方案，在实现自动化IP管理的同时，显著增强了网络安全性和运维效率。

【参考文献】
https://mp.weixin.qq.com/s?__biz=MzIxMTA2ODE1OQ%3D%3D&chksm=8d07c44dca0e134b331c4a9477fc33652494e4f5fd2d6ded013787faee50294c2120db79b49b&idx=4&mid=2651151026&sn=c6ef9eb944e9f00622d9de85e8fcab90#rd

返回资源中心

最新动态

PTP多实例并发：PTP可配置性突破域冲突的关键技术

近期文章

这一篇来说说PTP的高度可配置性。

PTP之所以需要高度可配置的特性，是为了应对多样化的现实应用场景和网络环境的必然要求。没有一种“一刀切”的配置能在所有网络中同时实现最佳精度、最高稳定性和最低资源消耗。 PTP的可配置性正是为了在这些因素之间取得最佳平衡的方式。

PTP可配置性：适应多样化网络需求的关键

协议标准选择

PTP的可配置性最终体现在各种PTP Profile（标准协议）中。一个Profile是为特定应用领域（如电信、电力、音频视频桥接）定制的PTP参数集合，它规定了该领域必须使用和禁止使用的特性、默认的报文间隔、时钟精度要求等。例如：

配置文件主要应用行业关键要求/特点
SMPTE-2059-2广播电视、专业视频帧精确同步，一步式，E2E，常用于私有网络
1588v2通用工业、测试测量基础PTPv2标准，选项灵活，可作为其他基础
ITU-T G.8275.1电信（5G前传等）超高精度（<±100ns），要求全网设备支持PTP（BC/TC）
ITU-T G.8275.2电信（移动回传等）高精度（~±1μs），允许部分网络不支持PTP
AES67专业音频基于SMPTE-2059-2，实现不同音频协议互操作

PTP可配置性确保了设备在任意单一场景下都能发挥最佳性能。然而，当现代化网络要求将广电、5G、工业互联网等多种业务融合于同一张物理网络时，仅凭灵活的配置已无法解决不同PTP域之间的根本性冲突。

时钟节点类型

  • 普通时钟（OC）​​：单端口同步，支持主/从角色切换
  • 边界时钟（BC）​​：多端口，同时连接上游和下游设备，隔离同步误差
  • 透明时钟（TC）​​：转发报文并修正链路延迟（如E2ETC/P2PTC）
  • 混合类型（如TC+OC）：部分端口转发报文，部分端口同步时间

时间同步参数

  • 时钟源选择：支持外部参考源（如GPS、原子钟）、NTP或内部晶振，通过ptp clock source指定。
  • 时间戳模式：单步模式（one-step）​​：Sync报文直接携带时间戳，降低延迟。双步模式（two-step）​​：通过Sync+Follow_Up报文分步传递时间戳，兼容性更广。
  • 非对称延迟校正：使用ptp asymmetry-correction补偿链路单向延迟差异，提升精度。

什么是“域冲突”？

一个PTP域（Domain）就是一个独立的时间同步逻辑网络，它由一个域编号（Domain Number） 来标识（唯一）。不同域的PTP报文是相互隔离和独立的，就像VLAN隔离数据流量一样。传统上，一台PTP设备（如交换机）在同一个端口上只能参与一个PTP域。它只能监听、处理并转发一个域的时间同步报文。想象一下，一台核心交换机同时连接了：

  • 广电：使用 domain=127 (SMPTE-2059-2标准域) 进行视频帧同步。
  • 5G基站：使用 domain=24 (ITU-T G.8275.1标准域) 进行相位同步。

如果这台交换机是传统设备，它只能选择加入其中一个域（比如127），那么对于另一个域（24）的报文它就无法正确处理。这会导致：5G基站无法获得正确的时间同步，业务中断。又或者，交换机错误地处理了另一个域的报文，造成两个域的时间同步全部错乱。

这就是域冲突——不同应用、不同标准的PTP业务在同一网络基础设施上无法共存。

网络设备上的 “虚拟化”时间同步功能 — 并发多实例PTP

并发多实例PTP就是指在一台物理交换机上，同时创建多个独立的、虚拟的PTP引擎。每个引擎像一个“容器”，专门处理一个特定PTP域的所有事务。

工作方式

  1. 实例隔离：每个PTP实例独立运行，拥有独立的最佳主时钟算法（BMCA）、状态机（主时钟/从时钟状态）、端口状态和时间戳处理。实例A（负责domain=127）和实例B（负责domain=24）完全不知道对方的存在，互不干扰。
  2. 硬件辅助：高性能交换机，通常通过专用的DPU或芯片硬件来支持此功能。能够识别接收到的PTP报文属于哪个域（通过报文头中的domainNumber字段），并将其分发到对应的那个PTP实例进行处理。同样，发送时也能由正确的实例生成对应域的PTP报文。
  3. 资源独占：每个实例可以独立配置所有参数，如：PTP配置文件（SMPTE-2059-2 / G.8275.1）、延迟机制（E2E/P2P）、时钟模式（一步/两步）、报文间隔等。

集成PTP模块的高性能开放网络硬件

目前，星融元 CX-M 交换机产品 已经系列化地支持了 PTP ，兼容多种配置文件。

兼容 E2E 和 P2P 模式和多种配置文件

园区交换机

可在设备模拟器体验 PTP 功能特性。

返回资源中心

最新动态

企业级PTP部署必读：E2E与P2P延迟机制的选择指南

近期文章

阅读前文：PTP原理与实践：如何构建高精度时钟同步网络？

为什么要区分E2E和P2P？

PTP的核心目标是让网络中的所有时钟与最精确的时钟（Grandmaster Clock）同步。为了实现纳秒级的同步精度，PTP必须计算并补偿报文在网络中传输所产生的链路延迟（Link Delay）。

E2E和P2P就是两种计算这个链路延迟的不同方法。它们的根本区别在于：延迟计算的范围和由谁来计算。

E2E (End-to-End) 端到端延迟机制

延迟是从主时钟（Master） 到从时钟（Slave） 的整条路径上测量的。它计算的是这两个端点之间的总延迟。在这种机制中，普通时钟（Ordinary Clocks） 和透明时钟（Transparent Clocks） 必须支持E2E模式。E2E机制

工作原理

  1. 路径延迟测量：主时钟和从时钟之间通过 Sync、Follow_Up、Delay_Req、Delay_Resp 报文交互，计算出它们之间的总路径延迟。
  2. 透明时钟的作用：网络中的E2E透明时钟（E2E-TC） 会侦听这些PTP报文。当它们转发报文时，会测量该报文在本设备内部的停留时间（驻留时间），并将这个时间值累加到一个专门的校正字段（correctionField）中。
  3. 从时钟的计算：从时钟最终收到报文时，会从报文的 correctionField 中获取所有经过的透明时钟的驻留时间之和。然后，它使用以下公式计算偏移：Offset = [(t2 – t1) – (总路径延迟)] / 2

（其中 总路径延迟 = 计算出的链路延迟 + 所有透明时钟的驻留时间之和）

P2P (Peer-to-Peer) 点对点延迟机制

延迟是在每一段相邻的链路上，由两个直接相连的P2P设备之间单独测量的。它不是计算端到端的延迟，而是计算“跳”到“跳”的延迟。在这种机制中，边界时钟（BC） 和对等透明时钟（P2P-TC） 必须支持P2P模式。

p2p测量机制

工作原理

  1. 逐段延迟测量：网络中的每一个支持P2P的设备（如P2P-TC或BC的每个端口），都会与它的直接上游邻居和直接下游邻居使用 Pdelay_Req、Pdelay_Resp、Pdelay_Resp_Follow_Up 报文进行交互，持续测量并维护它们之间这一段链路的延迟值。
  2. 传播时间校正：当主时钟发出的 Sync 报文经过一个P2P设备时，该设备会做两件事：
    – a) 像E2E-TC一样，测量并累加报文在本设备的驻留时间到 correctionField。
    – b) 再加上 从本设备到上游邻居设备的那段已经测量好的链路延迟，也累加到 correctionField 中。
  3. 从时钟的计算：从时钟最终收到的报文的 correctionField 中，已经包含了从主时钟到它自己整条路径上所有设备的驻留时间和所有链路的延迟之和。从时钟无需再单独计算路径延迟，可以直接使用这个校正值来精确计算偏移。

对比图

LinuxPTP

在 Linux 中，PTP 协议的实现称为 Linux PTP，它基于 IEEE 1588 标准，软件包有 ptp4l 和 phc2sys。

LinuxPTP

我们基于 ptp4l 和 Linux 网卡做了测试，可以看到：同步精度分布在 1000ns（1μs）以内，并且存在 8000ns（8μs）以上的不稳定跳变。

测试

在没有额外调优工作的前提下，这样的同步精度对于个人爱好者或一般实验环境或许足够，但离企业级商用场景还远远不够。

作为参考，此处列出 ITU（国际电信联盟）提出的时间同步能力分类，

  • A类：时间误差≤50ns，适用于对同步精度要求较低的一般电信网络。
  • B类：时间误差≤20ns，适用于更严格的时间同步场景，如5G基站同步。
  • C类：时间误差≤10ns，主要用于对同步精度要求极高的场景，例如5G前传。

SONiC（AsterNOS） PTP

下图是 AsterNOS 内的 PTP 子系统示意图，包含一个运行 Linux PTP / ptp4l 并与 RedistDB 和底层硬件驱动程序交互的 PTP 容器。此外这套系统还支持多种网络管理协议，例如 RESTful API、RESTconf 和 Netconf，给到更优的系统集成和互操作性。

AsterNOS 内的 PTP 子系统示意图

通过硬件加速和软件算法优化的星融元 PTP 交换机的时间同步精度分布在 20ns 以内，并且不同延迟测量模式获得的偏差结果几乎相同。

不同延迟测量模式

  • one-step：Sync 报文带报文发送时刻的时间戳
  • two-step：Sync 报文不带报文发送时刻的时间戳，只记录本报文发送时的时间，由Follow_Up报文带上该报文发送时刻的时间戳。
星融元 CX-M 交换机产品已经系列化地支持了 PTP ，兼容 E2E 和 P2P 模式。

园区交换机

      返回资源中心

      最新动态

      PTP原理与实践：如何构建高精度时钟同步网络？

      近期文章

      PTP是什么？——局域网内的“原子钟精度传递者”

      PTP，由IEEE 1588标准定义，是一种专门设计用于在分布式系统中通过网络（主要是以太网）同步时钟的协议。其核心目标是提供比NTP更高的时间同步精度。

      如果NTP是让城市里的大钟楼（服务器）为市民的手表（客户端）提供大致准确的报时，那么PTP则更像是在一个精密的实验室或工厂车间里，用一套高度校准的仪器，确保每一个关键设备上的“秒表”都与中央的“原子钟”达到几乎完全一致。

      PTP的关键特征

      • 高精度： 这是PTP最显著的特点。通过优化协议设计和依赖硬件时间戳等技术，PTP能够实现亚微秒级（sub-microsecond）甚至纳秒级（nanosecond）的同步精度。
      • 局域网优化： PTP主要针对局域网环境设计，充分考虑了局域网的拓扑结构和传输特性。
      • 硬件辅助： 为了达到极致精度，PTP强烈推荐（在很多高精度场景下是必须）使用硬件时间戳，即在物理层（PHY）或MAC层捕获PTP消息的发送和接收时刻。
      • 最佳主时钟算法(BMCA)： 自动选举网络中的最佳时间源。容错能力强（如果当前主时钟故障，BMCA会自动重新选举出新的最佳主时钟，确保同步不中断）
      • 多种消息类型： 通过精确定义的消息交换来实现时间同步和延迟测量。

      PTP网络中的“交通协管员”——透明时钟 (TC) 与边界时钟 (BC)

      在复杂的网络中，PTP消息可能会经过多个交换机。这些交换机如果不能正确处理PTP消息，就会引入额外的延迟，降低同步精度。为此，PTP定义了特殊的PTP感知交换机：

      透明时钟 (Transparent Clock, TC)：

      • 作用： PTP消息穿过TC时，TC会精确测量消息在其内部的驻留时间 (对于E2E TC) 或其出端口到下一跳的链路延迟 (对于P2P TC)。
      • 补偿方式： TC会将这个测量到的延迟值累加到PTP消息的correctionField字段中。
      • 效果： 从时钟在计算时，可以将correctionField中的值从总延迟中减去，从而消除了TC引入的延迟对同步精度的影响，使TC对于PTP同步而言如同“透明”。

      边界时钟 (Boundary Clock, BC)：

      • 作用： BC通常用在网络的边界或连接不同PTP域（或需要隔离的网段）。它的一端作为从时钟同步到上游的主时钟（或另一个BC），另一端则作为主时钟为下游的设备提供时间同步。
      • 效果： BC有效地将一个大的PTP网络划分成多个更小的、独立的同步段，有助于提高整个网络的稳定性和可管理性。它会终结上游的PTP消息，并重新生成新的PTP消息向下游广播。

      PTP如何工作？——精密的“四次握手”与硬件赋能

      PTP实现高精度的核心在于其精密的测量机制和对网络延迟的细致处理。我们以常见的端到端 (End-to-End, E2E) 延迟请求-响应机制为例，来剖析PTP的“对表”艺术：

      ptp工作流程

      1、最佳主时钟算法 – BMCA

      网络中所有PTP设备（时钟）通过交换Announce Message (通告消息)，运行BMCA。

      比较的依据包括用户配置的优先级 (Priority1, Priority2) 和时钟自身的质量参数 (ClockClass, ClockAccuracy, OffsetScaledLogVariance)，最后以唯一的时钟身份 (ClockIdentity，通常基于MAC地址) 作为决胜局。

      专业数据： Priority1/2是0-255的整数，越小越优先。ClockClass指示时钟的可追溯性，如6代表同步到GPS，248代表未同步。ClockAccuracy和OffsetScaledLogVariance则更细致地描述了时钟的精度和稳定性。

      最终，网络中所有设备会一致地选举出一个最佳主时钟 (Grandmaster Clock, GM)。

      2、主时钟“发令” (Sync & Follow_Up)

      GM开始周期性地向网络中的从时钟（Slave Clocks）发送Sync Message (同步消息)。

      关键点： Sync消息中（或紧随其后的Follow_Up Message中）携带了GM发送该Sync消息的精确发送时间戳 t1。

      硬件时间戳的应用： 为了获得精确的t1，这个时间戳必须在数据包即将离开GM网卡的物理层时由硬件捕获。（软件捕获会引入操作系统调度等不确定延迟。）

      单步 vs. 两步：

      • 单步时钟 (One-Step Clock)： 硬件能力强，t1 直接在Sync消息中。
      • 两步时钟 (Two-Step Clock)： 先发Sync（可能含近似时间），再发Follow_Up携带精确t1。

      从时钟“接收并记录”：从时钟接收到Sync消息，同样在硬件层面记录下精确的接收时间戳 t2。

      3、从时钟“请求测量距离” (Delay_Req)

      从时钟向GM发送一个Delay_Req Message (延迟请求消息)，并硬件记录其精确的发送时间戳 t3。

      4、主时钟“回应距离测量” (Delay_Resp)

      GM接收到Delay_Req消息，硬件记录其精确的接收时间戳 t4。GM将t4封装在Delay_Resp Message (延迟响应消息)中回复给从时钟。

      5、从时钟“计算并校准”

      从时钟集齐了t1, t2, t3, t4四个关键时间戳。

      核心假设：路径延迟对称 (Master到Slave的延迟 ≈ Slave到Master的延迟)。

      6、计算平均单向路径延迟 (Mean Path Delay)

      MeanPathDelay = [(t2 – t1) + (t4 – t3) – correctionField_sum] / 2
      (这里的 correctionField_sum 是Sync/Follow_Up和Delay_Resp消息中correctionField字段的累加值，用于补偿路径上透明时钟引入的延迟)

      7、计算时间偏差 (Offset From Master, OFM)

      OFM = (t2 – t1) – MeanPathDelay – correctionField_Sync

      集成PTP模块的高性能开放网络硬件

      精度范围：从亚微秒到纳秒级

      • 软件部署（普通服务器+普通交换机）：微秒级（μs） 到 数百微秒
        （这是最基础的部署方式，精度受操作系统调度、协议栈处理、网络拥堵等不确定因素影响很大。）
      • 硬件时间戳（支持PTP的网卡+普通交换机）：百纳秒级（100+ ns） 到 微秒级（μs）
        （通过在网络接口硬件上打时间戳，消除了操作系统的大部分抖动，精度显著提升。）
      • 全PTP网络（硬件时间戳+边界时钟/透明时钟交换机）：几十纳秒（ns） 到 百纳秒级
        （这是实现高精度的标准方式。网络中的交换机作为边界时钟（BC） 或透明时钟（TC），可以终止或补偿网络抖动，将误差累积降到最低。）
      • 没有硬件时间戳，PTP的精度会大幅下降到NTP的水平。
      • 在无拥塞、无干扰的专用网络中，使用最先进的硬件，可以达到的极限精度。

      SONiC（AsterNOS） PTP

      下图是企业级 SONiC 发行版AsterNOS内的 PTP 子系统示意图，包含一个运行 Linux PTP / ptp4l 并与 RedistDB 和底层硬件驱动程序交互的 PTP 容器。此外这套系统还支持多种网络管理协议，例如 RESTful API、RESTconf 和 Netconf，给到更优的系统集成和互操作性。

      AsterNOS 内的 PTP 子系统示意图

      通过硬件加速和软件算法优化的星融元 PTP 交换机的时间同步精度分布在 20ns 以内，并且不同延迟测量模式获得的偏差结果几乎相同。

      不同延迟测量模式

      星融元 CX-M 交换机产品已经系列化地支持了 PTP ，兼容 E2E 和 P2P 模式和多种配置文件。

      园区交换机

      可在GNS3设备模拟器体验 PTP 功能特性。

      资料参考：https://blog.csdn.net/shmexon/article/details/148761212

      返回资源中心

      最新动态

      分布式网关技术 + BGP EVPN，解锁真正的无缝漫游

      近期文章

      无线漫游的核心挑战与标准化协议支持

      在构建高性能无线网络时，实现用户终端（STA）在不同接入点（AP）之间平滑、快速的漫游是核心目标之一。我们的无线AP产品原生支持业界标准的802.11k/v/r协议（常称为“快速漫游三协议”），为降低漫游时延奠定了坚实基础：

      • 802.11k (邻居报告)： 解决“去哪漫游”的问题。AP主动向关联的终端提供周边优质AP的列表（包括信道、信号强度等信息），使终端能快速发现并评估潜在的目标AP，避免盲目扫描带来的延迟。
      • 802.11v (网络辅助漫游)： 解决“何时漫游”的问题。网络侧（通常通过AP或控制器）可以基于负载均衡、信号质量等策略，主动向终端发送漫游建议（BSS Transition Management Request），引导终端在最佳时机触发漫游，减少因终端粘滞在弱信号AP上造成的性能下降。
      •  802.11r (快速基本服务集转换)： 解决“如何快速接入”的问题。通过在漫游发生前预先完成部分或全部认证/密钥协商过程（FT Initial Mobility Domain Association），使得终端连接到新AP时能实现近乎“瞬间”的重关联，大幅缩减了链路层切换时间。

      这三项协议协同工作，显著优化了无线链路层（L2）的切换效率，是降低整体漫游时延的关键第一步。

      超越链路层：IP地址保持的必要性与挑战

      然而，成功关联到新AP（完成L2切换）仅是漫游过程的上半场。要真正恢复业务连续性，终端必须能够快速、可靠地使用原有的IP地址进行三层（L3）通信。 这意味着漫游后的IP层连通性同样至关重要。

      传统L3漫游（如图）：

      传统漫游

      在漫游场景下，终端从一个AP切换到另一个AP后，其是否需要重新发起DHCP请求以获取IP地址，主要由终端自身的操作系统和驱动策略决定，网络侧无法强制干预。 常见情况是：

      • 普遍行为： 绝大多数移动终端厂商（如智能手机、平板）倾向于采用一种简单且保守的策略：无论新老AP是否在同一IP子网内（即无论是L2还是L3漫游），只要检测到关联的AP发生了变更，就会主动发起一次DHCP请求（通常是DHCP REQUEST或DISCOVER）。 这对终端来说是最直接、最可靠的判断IP状态变化的方法。
      • 例外情况： 当然，并非所有终端在所有场景下都会这样做。某些终端或特定操作系统版本可能仅在检测到IP子网变更（即L3漫游）时才发起DHCP请求，或者在IP租期未过半时选择续租而非重新请求。这种终端行为的差异性，正是导致不同设备实测漫游时延存在波动的原因之一，也是我们强调“平均漫游时延”指标的现实基础。
      • 租期到期： 显而易见，如果漫游发生时，终端IP地址的DHCP租期恰好到期，则必然触发完整的DHCP流程（DISCOVER, OFFER, REQUEST, ACK）。

      因此，即使链路层切换再快，如果IP地址获取过程（无论是必要的重新获取还是冗余的请求）耗时过长，整体漫游体验仍会大打折扣。

      所以，802.11k/v/r三个协议解决的是同一个二层域内的漫游问题，在同一个二层域内网关是不会改变的。而要解决跨二层域的漫游（L3），就需要我们的分布式网关技术，让终端无论漫游到哪个AP，这个AP连接在哪个接入交换机上，都能获得同样的网关，分配到同样的IP，从而实现无缝漫游。

      分布式网关

      分布式网关与BGP EVPN：消除冗余DHCP时延的关键

      作为网络设备提供商，我们通过创新的分布式网关架构结合BGP EVPN技术，从根本上解决了漫游后IP地址保持和快速可达的问题，有效规避或极大压缩了冗余DHCP请求带来的时延：

      1、分布式网关架构： 在这种架构中，终端网关（Default Gateway）不再集中部署在核心或汇聚层，而是下沉到每一个接入交换机（或分布式网关节点）上。 接入交换机直接作为本地终端的网关，并承担DHCP Relay Agent的角色。

      2、BGP EVPN的核心作用： BGP EVPN (Ethernet VPN) 是一种强大的控制平面协议。它不仅仅用于构建Overlay网络，其核心能力在于高效地分发和同步二层（MAC地址）和三层（IP地址、主机路由）信息。

      在我们的方案中：

      当终端首次接入网络并通过某个接入交换机（作为网关/DHCP Relay）成功获取IP地址后，该交换机会通过BGP EVPN协议，将终端的IP地址、MAC地址以及对应的主机路由信息（/32或/128）快速通告给网络中的所有其他接入交换机（网关节点）。

      无论终端漫游到哪个AP下（无论该AP连接的是否是同一个接入交换机），新的接入交换机（网关节点）在BGP EVPN控制平面中都已经预先学习到了该终端的完整IP和MAC绑定信息及其主机路由。

      3、优化DHCP流程： 当漫游后的终端（遵循其自身策略）发起DHCP REQUEST（或DISCOVER）时：

      • 新的接入交换机（作为DHCP Relay Agent）收到该请求。
      • 由于它已通过BGP EVPN知晓该终端的IP/MAC绑定关系，它能够立即判断出该终端已经拥有一个有效的、未过期的IP地址。
      • 因此，该接入交换机无需将请求转发给远端的DHCP服务器，而是直接以DHCP Relay Agent的身份，模拟DHCP服务器的行为，向终端回复一个DHCP ACK报文，明确告知终端“继续使用你原有的IP地址”（即包含原有的IP地址信息）。

      这个过程将原本可能需要数百毫秒的多跳DHCP交互（Relay->Server->Relay->Client），压缩为一次本地化的、毫秒级的交换处理（Relay直接回复ACK），彻底消除了向中心DHCP服务器请求所带来的潜在网络拥塞、服务器处理延迟以及多跳传输时延。

      流量转发优化：直达路径提升业务体验

      在成功保持IP地址后，确保业务流量能高效转发同样重要：

      传统集中转发瓶颈

      在传统集中式无线架构（如FAT AP + AC或部分云管理方案）中，即使用户数据流量（User Traffic）在漫游后仍需先回传（Tunnel）到无线控制器（AC）进行集中处理和转发。对于跨AC的大规模漫游，流量甚至需要在不同AC之间隧道绕行，最终才能到达出口网络。这种“三角形路由”（Hairpinning）显著增加了传输路径和时延。

      集中式网关方案

      分布式网关+云化架构优势

      分布式网关架构天然支持本地转发。结合去中心化的云化管理架构（控制管理面云化，数据转发面分布式）：

      • 漫游成功后，终端的业务流量直接在新的接入交换机（作为其网关）完成三层路由查找。
      • 流量无需绕行任何集中式控制器（AC），即可通过该接入交换机直连的上层汇聚/核心交换机以及出口设备访问互联网或企业内网资源。

      极致漫游体验的技术基石

      我们综合运用标准化的802.11k/v/r协议实现快速链路层切换，并通过分布式网关架构结合BGP EVPN技术智能处理IP层连续性，最后依托本地化、最优化的流量转发路径，成功实现了业界领先的超低漫游时延。

      实测表明，我们的方案能够稳定地将平均漫游时延控制在<10ms以内。 这不仅显著超越了依赖传统集中式网关和DHCP处理流程的解决方案（其额外DHCP交互和集中转发路径极易引入数十甚至上百毫秒的延迟），更能满足医疗、工业物联网、高密度场馆等对漫游性能要求极为苛刻的场景需求，为客户带来真正无缝、极致的无线漫游体验。

      漫游实测

      相关产品

      相关方案

      返回资源中心

      最新动态

      ECMP路由场景下哈希极化（哈希不均）现象的解析

      近期文章

      相关概念

      1. ECMP (Equal-Cost Multi-Path Routing – 等价多路径路由)： 当路由器发现到达同一目的网络存在多条具有相同“代价”（如带宽、跳数、管理距离等）的最佳路径时，它会将这些路径都加入路由表。为了充分利用带宽并实现负载均衡，ECMP使用一种机制（通常是哈希算法）将不同的数据流分配到不同的下一跳路径上。

      2. 哈希算法： 哈希算法将一个输入（如数据包的五元组：源IP、目的IP、源端口、目的端口、协议号）映射为一个固定范围的输出值（哈希桶/索引）。在ECMP中，这个输出值决定了数据流应该走哪条路径（例如，有4条路径，哈希输出范围就是0-3）。

      3. 流的概念： ECMP通常基于“流”进行负载均衡。一个“流”通常指具有相同五元组（或其中关键几项）的数据包序列。哈希算法保证同一个流的所有数据包走同一条路径，以避免乱序问题。不同的流则可能被哈希到不同的路径。

      什么是Hash极化

      理解ECMP路由方式下的Hash极化现象，需要结合ECMP的工作原理和哈希算法的特性来分析。

      Hash极化，又称hash不均，具体的表现是在ECMP进行多路径负载均衡时，流量并没有像预期那样均匀地分布到所有可用的等价路径上，而是呈现出明显的偏向性，导致某些路径负载过重（拥塞），而其他路径负载很轻（闲置）的现象。

      为什么会出现Hash极化？

      Hash极化现象的根本原因在于哈希算法的一致性与网络拓扑结构和流量模式特性之间的相互作用：

      1. 哈希算法的一致性

        • 网络设备（路由器、交换机）通常使用相同或非常相似的哈希算法（如Toeplitz哈希）和相同的输入参数（如标准的五元组）。

        • 当流量经过多个使用ECMP的网络设备（尤其是在层次化网络如Clos架构的数据中心中）时，如果这些设备使用相同的哈希算法和参数，它们对同一个数据流计算出的哈希结果（即选择的路径索引）高度一致。

      2. 网络拓扑的层次化

        数据中心常见的Clos架构是Hash极化最常见的发生场景。

        • 想象一个典型的三层Clos架构：服务器 -> Leaf交换机 -> Spine交换机 -> … -> 目的地。

        • 第一层ECMP (Leaf -> Spine): 假设Leaf有4个上行端口连接到4个不同的Spine交换机。Leaf使用ECMP和哈希算法H1将服务器流量分配到4个Spine上。目标是均匀分布。

        • 第二层ECMP (Spine -> 下一跳/Leaf): Spine交换机接收到来自Leaf的流量后，它自己也需要使用ECMP（假设也是基于相同的哈希算法H1和相同的五元组输入）将流量转发到其下一跳（可能是另一组Leaf或核心路由器）。

        • 极化发生： 问题就在这里！Leaf交换机已经基于五元组和H1把流A哈希到了Spine 1。当Spine 1收到流A的数据包后，它再次使用相同的H1算法和相同的五元组计算哈希，决定将流A发送到它的哪个下一跳。由于输入（五元组）和哈希函数（H1）都没变，Spine 1计算出的哈希结果（路径索引）极大概率会与Leaf计算出的哈希结果（选择Spine 1这个事实）具有某种相关性，甚至是相同的模式。

        • 结果： 原本在Leaf层被“均匀”分配到4个Spine的流量，在Spine层再次被哈希时，所有来自Spine 1的流量（无论它在Leaf层是从哪个端口来的）都可能被Spine 1的哈希算法再次集中分配到其少数几个下一跳路径上，而不是均匀分散到所有可用路径。 其他Spine上的情况类似。最终导致Spine交换机到其下一跳的链路上，只有少数几条承载了绝大部分来自其上游Leaf的流量，而其他链路则很空闲。这就是极化——流量在下一层被“集中”而非“分散”了。

      3. 流量模式的不均衡：

        • 哈希算法的均匀分布依赖于输入（流标识/五元组）本身的随机性。如果实际流量中存在大量具有相似特征的流（例如，大量流共享相同的源IP或目的IP），而这些特征恰好是哈希算法的主要输入，那么这些相似的流就非常可能被哈希到相同的路径上（哈希碰撞），导致该路径过载。

        • 即使没有层次化拓扑，仅在一个ECMP组内，如果流量模式本身高度偏斜（少数大流主导），哈希极化也会导致负载不均。

      4. 路径数量与哈希范围：

        • 哈希算法输出范围（桶的数量）需要与可用路径数量匹配。如果算法设计的哈希空间分布不均匀，或者路径数量不是2的幂次而哈希桶分配不合理，也可能导致某些路径被选中的概率更高。

      Hash极化的影响

      1. 负载不均衡： 这是最直接的影响。部分链路拥塞，部分链路闲置，浪费了宝贵的带宽资源。

      2. 网络性能下降： 拥塞链路导致数据包丢失、延迟增加、抖动增大，影响应用性能（特别是对延迟敏感的应用）。

      3. 吞吐量瓶颈： 整体网络吞吐量受限于那些被过度使用的链路，无法达到理论上的多路径叠加带宽。

      4. 可靠性潜在风险： 过载的链路和设备故障风险更高。同时，当一条过载链路故障时，其承载的大量流量瞬间切换到其他链路，可能引发新的拥塞。

      如何缓解Hash极化

      1. 使用不同的哈希因子： 这是最常用且有效的方法。为网络中的不同设备（或同一设备的不同ECMP组）配置不同的随机哈希种子。即使算法相同，不同的种子会导致相同的输入产生完全不同的哈希结果，打破了哈希结果在不同层级间的相关性。例如，Spine交换机使用与Leaf交换机不同的种子。

      2. 使用不同的哈希算法： 在支持的情况下，让不同层级的设备使用不同的哈希算法。

      3. 使用更丰富的哈希输入： 增加哈希算法的输入字段，如加入MAC地址、VLAN标签、MPLS标签、GTP TEID（移动网络）、NVGRE/VXLAN VNI（Overlay网络）、甚至包内特定偏移的字节等。这增加了输入空间的随机性，减少了因五元组相似导致的碰撞。现代设备通常支持灵活选择哈希字段。

      4. 层次化感知的哈希/负载均衡： 在Leaf层，除了五元组，可以加入Spine交换机的信息（如出端口ID或Spine的IP）作为哈希输入的一部分。这样，当流量到达Spine时，其哈希输入已经包含了路径信息，有助于Spine层更均匀地分布。这需要设备支持更复杂的哈希策略。

      5. 动态负载均衡： 超越静态的基于流的哈希，采用基于实时链路利用率或队列深度的动态负载均衡机制（如一些厂商的“自适应路由”或类似CONGA的思想）。这种方法直接感知拥塞并调整路径选择，能有效避免极化，但实现更复杂。

      6. 调整网络拓扑/路径数量： 有时增加路径数量或调整拓扑结构也能缓解问题，但成本较高。

      Hash极化是ECMP在多层级网络（尤其是数据中心Clos架构）中使用相同哈希算法和参数时，流量在逐层转发过程中被反复集中到少数路径上，导致负载严重不均衡的现象。其核心原因在于哈希算法在不同层级设备上计算结果的相关性。解决的关键在于打破这种相关性，主要方法包括为不同设备配置不同的哈希种子、使用更丰富多样的哈希输入字段，以及采用更先进的动态负载均衡技术。理解Hash极化对于设计和优化高性能数据中心网络至关重要。

      返回资源中心

      最新动态

      交换机上的 DHCP 侦听（DHCP Snooping）功能和配置示例

      近期文章

      什么是 DHCP 侦听

      DHCP侦听（DHCP snooping）是一种部署在以太网交换机上的网络安全机制，用于阻止未经授权的 DHCP 服务器为客户端分配 IP 地址。该机制通过检查 DHCP 消息并仅允许来自受信任端口的 DHCP 消息通过，从而防止非法 IP 地址分配，确保网络环境安全稳定。

      为什么需要DHCP侦听？

      在企业、校园甚至公共网络中，与 DHCP 相关的问题并不少见，而且它们可能会造成严重的网络中断。有时，仅仅是配置错误的设备意外地充当了 DHCP 服务器，分配了错误的 IP 地址，导致连接中断。有时，问题更为严重，例如攻击者设置了恶意 DHCP 服务器，通过虚假网关或 DNS 服务器重新路由用户，从而为中间人攻击打开了方便之门。即使是客户端手动为自己分配静态 IP 地址，也可能造成混乱，引发冲突，并使网络安全管理更加困难。

      项目 DHCP 静态 IP
      分配方法 由服务器自动分配 手动配置
      管理努力 低，适合大规模部署 高，需要单独设置
      解决稳定性问题 每次设备连接时可能会发生变化 固定不变
      设置效率 快速、即插即用 速度慢，需要手动输入
      适合 最终用户设备、动态环境 服务器、打印机、关键设备
      安全 需要配合保护机制（例如 DHCP 侦听） 更可控，但有手动配置错误的风险

      DHCP 侦听的好处：

      • 阻止恶意 DHCP 服务器干扰网络。
      • 确保客户端收到准确的 IP 地址和网络配置。
      • 通过降低攻击风险来增强网络安全。

      DHCP 侦听如何工作？

      要真正理解DHCP 监听的工作原理，首先必须清楚了解DHCP（动态主机配置协议）的工作原理。当设备加入网络且尚未获得 IP 地址时，它会发起与 DHCP 服务器的对话——这是一个四步握手过程，包括：发现 (Discover )、提供 (Offer)、请求 (Request)和确认 (Acknowledge )。可以将其视为设备和服务器之间获取 IP 身份的快速协商过程。下图详细分析了此动态交换过程中每个步骤的具体细节。

      在启用 DHCP Snooping 的网络中，交换机接口分为两个主要角色：可信端口和不可信端口。

      • 可信端口：这些端口连接到合法的 DHCP 服务器或上行链路设备（例如路由器或核心交换机），并被允许发送 DHCP 服务器消息（例如 DHCP OFFER、DHCP ACK）。
      • 不受信任的端口：这些端口连接到常规客户端（例如，PC 或打印机），并且仅限于发送 DHCP 客户端消息（例如，DHCP DISCOVER、DHCP REQUEST）。
      • 默认情况下，所有端口都是不受信任的；必须手动配置受信任的端口。

      DHCP 消息过滤：

      • 来自不受信任端口的 DHCP 服务器消息（例如 DHCP OFFER、DHCP ACK）将被丢弃，以防止恶意 DHCP 服务器运行。
      • 客户端请求（例如，DHCP DISCOVER、DHCP REQUEST）可以来自不受信任的端口，但服务器响应只允许来自受信任的端口。

      DHCP绑定表：

      • DHCP 侦听维护一个绑定表，其中记录每个客户端的 MAC 地址、分配的 IP 地址、租用期限、VLAN 和端口信息。
      • 该表用于验证后续流量，防止 IP 地址欺骗。

      与 IP Source Guard 集成：

      DHCP 侦听通常与 IP 源防护配合使用，根据绑定表过滤流量，仅允许分配的 IP 地址从客户端发送数据，阻止未经授权的 IP。

      支持 DHCP  option 82（可选）：

      DHCP 侦听可以插入或处理 DHCP option 82（中继代理信息），为 DHCP 服务器提供有关客户端端口和交换机的详细信息，从而实现更精确的 IP 分配。

      DHCP 侦听可以防范哪些常见网络攻击

      DHCP 侦听可有效缓解以下网络威胁：

      恶意 DHCP 服务器攻击：

      • 工作原理：攻击者设置未经授权的 DHCP 服务器来分发不正确的 IP 地址、网关或 DNS 服务器。
      • 影响：客户端流量被重定向到攻击者的设备，从而实现 MITM 攻击、流量拦截或 DNS 欺骗。
      • 防御：DHCP 侦听会丢弃来自不受信任端口的服务器消息，仅允许受信任的端口发送 DHCP 响应。

      DHCP 饥饿攻击：

      • 工作原理：攻击者利用 DHCPDISCOVER 请求淹没网络，耗尽 DHCP 服务器的 IP 地址池。
      • 影响：合法客户端无法获取IP地址，导致网络服务中断。
      • 防御：当与端口安全或每个端口的速率限制 DHCP 请求相结合时，DHCP 侦听可以防止过多的流量压垮服务器。

      中间人（MITM）攻击：

      • 工作原理：恶意 DHCP 服务器分配虚假网关或 DNS 服务器，通过攻击者的设备路由客户端流量。
      • 影响：攻击者可以监控、修改或重定向客户端通信。
      • 防御：DHCP 侦听确保仅处理受信任的 DHCP 消息，从而阻止恶意配置。

      IP欺骗攻击：

      • 工作原理：客户端手动配置未经授权的 IP 地址来冒充合法主机。
      • 影响：这可能导致 IP 冲突、网络中断，或成为进一步攻击的垫脚石。
      • 防御：通过与 IP Source Guard 和 DHCP 绑定表集成，DHCP Snooping 可以阻止来自未经授权的 IP 地址的流量。

      DHCP 侦听的应用场景

      1. 公共网络：在咖啡店、酒店或共同工作空间等环境中，恶意用户可能会部署恶意 DHCP 服务器来窃取数据或发起攻击。
      2. 企业网络：具有多个部门或 VLAN 的大型网络依靠 DHCP 侦听来确保客户端连接到正确的 DHCP 服务器。
      3. 高安全性环境：在需要遵守数据保护法规和其他有保密等级要求的环境中，DHCP 侦听功能有助于防止未经授权的访问。
      4. 防范 DHCP 欺骗：它减轻了客户端被重定向到恶意网关的风险，增强了整体网络安全性。

      配置示例

      传统方式-手动配置

      configure Terminal #进入系统配置视图
      dhcp snooping enable{v4|v6} #启用DHCP Snooping功能，默认禁用。
      interface ethernet  interface-id  #进入接口视图
      dhcp-snooping enable #启用DHCP Snooping功能，默认禁用。
      dhcp-snooping trusted #设置端口的信任状态，默认不信任。

      sonic# configure terminal
sonic(config)# dhcp snooping enable v4
sonic(config)# interface ethernet 20
sonic(config-if-20)# dhcp-snooping enable
sonic(config-if-20)# dhcp-snooping trusted

      云化配置方式 – 图形化配置

      星融元的云化园区网络解决方案，通过一个开源、开放架构（基于OpenWiFi）的网络控制器来为有线无线网络设备下发配置，进行开局配置时在交换机上会默认开启DHCP Snooping，有效防止 DHCP Server 仿冒者攻击，使 DHCP 客户端能够通过合法的DHCP 服务器获取 IP 地址，管理员无需关注不同设备的信任接口与非信任接口，而是通过控制器的拓扑信息自动生成。

      ACC

      根据当前网络的所需的安全等级，管理员可在控制器界面上自行选择是否还需要开启ARP检测(DAI)和IP源攻击防护(IPSG)功能，该功能主要是通过全局的 DHCP Snooping 表项判断主机是否合法，不仅可以防止恶意主机伪造合法主机访问网络，同时还能确保主机不通过自己指定 IP 地址的方式来访问或攻击网络，造成可能的IP 地址冲突。

      更多配置流程请参考：完整流程揭秘：30分钟搞定中大型园区网络业务开通，可行吗？

      返回资源中心

      最新动态

      高效转发+智能管理：MPLS技术如何应对多业务挑战？

      近期文章

      随着现代企业园区网络和运营商级基础设施的不断发展，多协议标签交换 （MPLS） 已成为一项基础技术，这要归功于其高效的数据包转发、高级流量工程功能以及对多租户环境的强大支持。

      什么是MPLS？

      MPLS（多协议标签交换，Multiprotocol Label Switching）是一种基于标签的转发技术，结合了二层交换的简捷性与三层路由的灵活性。通过预分配的标签（Label）替代传统IP路由的逐跳查表，提升转发效率。

      MPLS起源于IPv4（Internet Protocol version 4），其核心技术可扩展到多种网络协议，包括IPv6（Internet Protocol version 6）、IPX（Internet Packet Exchange）和CLNP（Connectionless Network Protocol）等。MPLS中的“Multiprotocol”指的就是支持多种网络协议。

      由此可见，MPLS并不是一种业务或者应用，它实际上是一种隧道技术。这种技术不仅支持多种高层协议与业务，而且在一定程度上可以保证信息传输的安全性。

      核心组件：LER（标签边缘路由器）、LSR（标签交换路由器）、FEC（转发等价类）。

      工作原理

      1. 标签分配：入口路由器（LER）为数据包分配标签，标签对应转发路径（LSP）。
      2. 标签交换：中间路由器（LSR）根据标签转发表（LFIB）快速转发，无需解析IP头部。
      3. 标签移除：出口路由器（LER）剥离标签，恢复原始IP数据包。

      MPLS工作原理

      标签结构

      MPLS 标签是一个紧凑的 32 位报头，包含四个关键字段：

      MPLS标签结构

      • 标签 （20 位） — 标识通过 MPLS 网络的路径 （LSP）
      • EXP（3 位）— 用于 QoS（服务质量）标记或流量优先级
      • S （1 bit） – 堆栈标志的底部;指示这是否是堆栈中的最后一个标签
      • TTL（8 位）– 生存时间;通过限制数据包的生命周期来防止路由循环

      为什么需要MPLS？

      在传统IP网络架构中，基于三层路由的转发机制逐渐暴露很多问题。

      首先，转发效率低下的问题尤为突出，由于每台路由器都需要逐跳解析IP报文头部并查询路由表，这种反复查表的机制在大流量场景下会产生显著延迟，难以满足数据中心或运营商核心网的高吞吐需求。

      其次，传统路由技术对路径控制能力薄弱，完全依赖OSPF、BGP等动态路由协议自动选路，既无法主动规避拥塞链路，也无法为特定业务指定优化路径，导致网络资源利用率低下。

      更棘手的是多业务隔离难题，VLAN受限于4096个ID的规模上限，ACL策略管理复杂度随业务增长呈指数级上升，这种基于二层的隔离方案难以支撑跨地域、多租户的现代组网需求。

      MPLS技术的核心功能

      服务质量（QoS）

      MPLS在QoS中的应用主要体现在其对网络流量优先级管理的精细化能力上，而EXP字段（Experimental Bits，后更名为Traffic Class字段）是两者结合的核心纽带。MPLS如何实现QoS保障？在MPLS网络入口（LER），根据业务类型（如语音、视频、普通数据）为流量分配EXP值，可通过手动配置或自动映射（如将IP层的DSCP值转换为EXP值）。LSR根据EXP值分为不同优先级队列，优先转发低延迟流量（SP）和按比例分配剩余带宽（WFQ）。当链路拥塞时，低EXP值的流量可能被丢弃（如TCP流量），而高EXP值的流量（如VoIP）始终保障带宽，此外，再结合RSVP-TE等协议实现关键业务（如语音、实时视频）的带宽保障和低抖动传输，构建起从转发效率到业务体验的全方位优化体系。

      流量工程（TE）

      TE通过MPLS技术解决了传统IP网络无法实现的精细化流量控制需求，通过显式路径（Explicit Path）手动或策略驱动流量走向，均衡负载或避开瓶颈链路，从而优化网络性能。

      业务隔离与VPN

      传统VPN一般是通过GRE（Generic Routing Encapsulation）、L2TP（Layer 2 Tunneling Protocol）、PPTP（Point to Point Tunneling Protocol）等隧道协议来实现私有网络间数据在公网上的传送，而MPLS LSP是通过标签交换形成的隧道，数据报文不再经过封装或者加密，因此，用MPLS实现VPN具有天然的优势。

      基于MPLS的VPN通过LSP将私有网络的不同分支联结起来，形成一个统一的网络，如图所示。基于MPLS的VPN还支持对不同VPN间的互通控制。这对于企业和运营商网络至关重要。

      • CE（Customer Edge）是用户边缘设备，可以是路由器，也可以是交换机或主机。
      • PE（Provider Edge）是IP/MPLS骨干网的边缘设备。
      • P（Provider）是IP/MPLS骨干网的骨干设备，不与CE直接相连。P设备只需要具备基本MPLS转发能力，不维护VPN信息。

      业务隔离与VPN

      如何基于业务场景与技术特性选择最优网络方案？
      对比维度MPLS传统IP路由SD-WANSegment Routing
      转发效率高（标签快速交换）低（逐跳查表）中（依赖隧道封装）高（类似MPLS）
      路径控制支持显式路径和流量工程依赖动态路由协议动态智能选路灵活源路由
      多业务隔离通过VPN实现逻辑隔离VLAN/ACL，扩展性差有限（依赖Overlay）需结合其他技术（如VXLAN）
      部署成本高（依赖专用设备和运营商专线）低低（利用互联网链路）中（需升级硬件支持）
      适用场景企业专网、运营商核心网中小型园区网络跨地域互联、云访问优化数据中心、大规模骨干网
      服务质量（QoS）强（基于EXP/DSCP优先级标记）弱中（依赖链路质量监测）中（需策略配合）

      AsterNOS：软件定义架构下的MPLS转发技术革新

      SONiC（Software for Open Networking in the Cloud） 是开源社区的网络操作系统，其核心目标是构建开放、解耦的云数据中心网络架构。作为全球首个完全开源的网络操作系统，SONiC基于Linux内核设计，支持标准化硬件（如白盒交换机）与容器化微服务架构，通过模块化组件（如SAI——交换机抽象接口）实现灵活的功能扩展。其开源特性吸引了全球云服务商、运营商及企业的广泛参与，逐步成为云原生网络的事实标准。

      尽管社区版 SONiC 通过模块化设计为云数据中心提供了开放灵活的基础架构，但其在复杂协议支持上的短板始终制约着企业级场景的深度应用。以MPLS为例，社区版本需依赖第三方扩展或定制化开发，导致功能碎片化、性能不稳定，难以满足金融专网、跨云互联等高可靠性需求。

      AsterNOS基于 SONiC 的开放式园区交换机的完整产品组合现在完全支持 MPLS，它提高了数据包转发速度，支持精细的流量控制，并支持多协议环境，使其成为电信、企业 WAN 和云数据中心中的大规模网络不可或缺的工具。

      这种“开源基因+商业级能力”的融合，使得AsterNOS既能继承开源生态的灵活性，又能以超前技术布局填补开源生态与商业需求间的鸿沟。

      返回资源中心

      最新动态

      预支持6GHz频段设计：WiFi 7硬件已为未来政策开放做好技术储备

      近期文章

      从WiFi 6到WiFi 7：技术升级的核心突破

      WiFi7（IEEE 802.11be）作为新一代无线通信标准，在WiFi 6的基础上实现了多维度的技术跃迁，主要体现在以下4个方面：

      带宽与速率的指数级提升

      WiFi7的最大理论速率达到46Gbps，是WiFi6（9.6Gbps）的5倍。这一飞跃得益于320MHz信道带宽的引入（WiFi6为160MHz），相当于将数据传输的“高速公路”拓宽至双车道。

      WiFi 7 - 320MHz

      此外，4096-QAM调制技术的应用使单符号数据承载量从WiFi6的10比特提升至12比特，传输效率提高20%。例如，下载一部50GB电影，WiFi7仅需8秒，而WiFi6需42秒。

      Wi-Fi7 -4096-QAM

      多链路操作（MLO）的革命性突破

      WiFi7支持跨频段（2.4GHz、5GHz、6GHz）的多链路聚合传输，既可提升速率（如双频叠加实现翻倍带宽），又能增强抗干扰能力。例如，当某一频段受阻时，数据可自动切换至其他频段，显著降低断连风险。相比之下，WiFi6仅支持单频段传输，灵活性受限。

      WiFi 7 - MLO

      空间流与MIMO技术的扩展

      WiFi7的16×16 MIMO（多输入多输出）技术可同时处理16条数据流，是WiFi6（8条）的两倍，大幅提升了高密度场景下的设备容量。这一特性尤其适用于机场、体育场馆等万人级并发场景。结合多链路操作（MLO），可跨2.4GHz/5GHz/6GHz频段同时调度16条空间流，理论容量翻倍。

      标准最大空间流数典型MIMO配置关键技术突破
      WiFi6 (802.11ax)88×8OFDMA+MU-MIMO协同调度
      WiFi7 (802.11be)1616×16多频段协同MIMO

      频谱利用与抗干扰优化

      新增的6GHz频段与动态频谱分配技术，缓解了2.4GHz/5GHz频段的拥堵问题。同时，Multi-RU（资源单元聚合）技术允许将多个RU（如小规格RU或大规格RU）组合分配给同一用户，支持非连续频谱聚合，例如将两个80MHz频段合并为160MHz，或在复杂干扰环境中动态调整RU分配，以进一步提升频谱效率。

      WiFi 7

      尽管WiFi 7的技术指标令人振奋，但其在国内的落地进程却面临多重现实挑战，需结合技术优势与市场环境探索破局路径。

      国内WiFi7发展的困境

      当前实际应用中，6GHz优先用于移动通信，WiFi 7 AP 无法使用该频段（国内仅限5GHz），导致其 320MHz 超宽频带、4096QAM 等技术优势难以完全发挥？

      支持 WiFi 7 的手机、电脑等终端设备不足 10%，企业和家庭用户担心部署后因设备兼容性差，无法实现预期的高速体验，造成资源浪费？

      破局之道：立足现有优势，挖掘场景化潜力

      在当前的无线网络环境中，频段资源受限已成为制约性能提升的重要瓶颈，尤其在新建或扩容场景下，传统WiFi技术难以满足高密度接入和低时延的严苛需求。然而，随着WiFi 7技术的推出，这一问题得到了革命性突破——即便不依赖尚未全面开放的6GHz频段，其性能表现也已远超WiFi 6，为用户提供了更优的解决方案。

      1. 多链路操作（MLO），通过同时利用2.4GHz和5GHz双频段传输数据，WiFi 7实现了链路聚合与动态调度，大幅提升网络稳定性和抗干扰能力。这一技术尤其适用于复杂电磁环境，确保用户在多设备并发时仍能获得流畅体验。
      2. 增强TWT+节能调度，相比WiFi 6的固定时隙分配（如“定时闹钟”），WiFi 7的智能节能调度可根据设备需求动态调整唤醒时间，显著降低多设备场景下的功耗，同时保持更稳定的时延控制。这种优化对智能家居、物联网设备等高密度部署场景尤为重要。
      3. 4096QAM高密度传输，在现有5GHz频段中，WiFi 7通过更高阶的调制技术（4096QAM）实现数据密度提升，单链路速率较WiFi 6增加20%以上。这意味着无需依赖新频段，用户即可享受更快的传输速度和更高效的频谱利用率。
      4. 预支持6GHz频段，WiFi 7硬件已提前兼容6GHz频段，一旦政策开放，用户无需更换设备即可直接扩展至更宽裕的频谱资源。这种“一步到位”的设计既降低了未来升级成本，又为超高速、低延迟应用（如8K流媒体、元宇宙交互）提供了技术储备。
      功能/型号CAP7020-Z（双频）CAP7030-Z（三频）产品链接
      接口1个10/100/1000/2500Mbps 自适应WAN 口1个10/100/1000/2500Mbps 自适应WAN 口1个10/100/1000/2500Mbps自适应LAN 口1个10Gpbs的SFP+光口
      存储512M RAM + 128M NAND1024M RAM + 128M NAND
      频段2.4GHz（688Mbps ） 和 5GHz （2882Mbps）2.4GHz（688Mbps ） 和 5.1GHz （2882Mbps）和5.8Ghz（2882Mbps）
      吞吐3.6Gbps6.4Gbps
      用户数128+192+
      SSID数量8（2.4G）+8（5G）8（2.4G）+8（5.1G）+8（5.8G）
      天线2 x 2 2 x 2 x 2
      天线增益2.4GHz：2×4dBi5GHz：2×4dBi2.4GHz：2×1.7dBi5.1GHz：2×4dBi5.8Ghz：2x4dBi
      功耗< 20W< 36W
      供电PoE 802.3at，DC2.0 12V/2APoE 802.3bt，DC2.0 12V/3A
      • 优先购买支持三频（含6GHz）的WiFi 7路由器，为未来政策开放预留升级空间。
      • 在6GHz未开放地区，利用5.8GHz高频段低干扰特性优化现有网络。

      返回资源中心

      最新动态

      对星融元产品感兴趣？

      立即联系！

      电话咨询
      联系表单
      返回顶部

      如何联系我们？

      产品中心

      快速导航

      订阅我们获取最新资讯。

      订阅邮件

      关注星融元

      企业二维码

      © 星融元数据技术（苏州）有限公司 苏ICP备17070048号-2