H3C SecPath TAP8000-SDN 控制平台

典型配置举例

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

目录

1 管理平台添加设备举例··· 1-3

1.1 简介·· 1-3

1.2 配置前提·· 1-3

1.3 添加设备到平台·· 1-3

1.4 TAP设备切换模式·· 1-4

2 管理平台添加网络设备拓扑/采集点/快照口举例··· 2-6

2.1 简介·· 2-6

2.2 配置前提·· 2-6

2.3 添加网络设备拓扑·· 2-7

2.4 管理平台添加采集点·· 2-11

2.5 设备内部互联接口配置·· 2-14

2.6 管理平台快照接口配置·· 2-16

3 复制\汇聚\过滤功能典型配置··· 3-19

3.1 组网需求·· 3-19

3.2 配置思路·· 3-19

3.3 配置步骤·· 3-19

3.3.1 步骤一（对应配置思路（1））·· 3-19

3.3.2 步骤二（对应配置思路（2））·· 3-21

3.3.3 步骤三（对应配置思路（3））·· 3-22

4 SDN HA部署功能举例··· 4-22

4.1 简介·· 4-22

4.2 配置前提·· 4-23

4.3 配置步骤·· 4-23

4.4 验证配置·· 4-27

5 跨设备的输入端口1+1主备部署配置指导··· 5-29

5.1 简介·· 5-29

5.2 配置前提·· 5-29

5.3 配置步骤·· 5-29

5.4 验证配置·· 5-31

6 跨设备的输出端口1+1主备部署配置指导··· 6-33

6.1 简介·· 6-33

6.2 配置前提·· 6-33

6.3 配置步骤·· 6-34

6.4 验证配置·· 6-36

7 管理平台大屏态势监控功能举例··· 7-38

7.1 简介·· 7-38

7.2 配置前提·· 7-38

7.3 配置步骤·· 7-38

7.4 验证配置·· 7-39

8 XE50设备模式切换配置举例··· 8-40

8.1 XE50出厂默认单机版·· 8-40

8.2 单机版切换到平台版·· 8-40

8.3 平台版切换到单机版（两种方式均可）·· 8-40

9 C32/CE54系列设备模式切换配置举例··· 9-41

9.1 local切换到remote模式：·· 9-41

9.2 remote模式切换到local模式：·· 9-42

9.3 local切换到local_sdn模式：（仅C32型号支持）·· 9-42

 

本文档主要介绍SDN作为管理平台特有的功能，若用户需要使用流量过滤/复制/汇聚/去重等功能时，可以参考CE54系列设备的典型配置文档即可。

1 管理平台添加设备举例

1.1  简介

SDN平台在web上添加TAP8000设备后，TAP设备侧也需要配置指向SDN server的地址，SDN平台的管理地址与设备管理地址网络可达，且配置完成后即可联动。

1.2  配置前提

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。建议保证输出/接入接口存在流量

1.3  添加设备到平台

1. 在“拓扑管理”—“采集平面”界面，使用鼠标左键选中“”设备图标后不放，直接拖曳到网格页面中，移到确定位置后松开鼠标，右侧会弹出“设备属性设置”对话框。

2. 在“设备属性设置”对话框中，填入对应的“*设备ip、描述、设备标签显示”配置，然后点击“确定”，设备添加完成，点击右上角“√”进行保存。

1.4  TAP设备切换模式

1. 若设备交换机型号为C32/CE54L/CE54/CE54H，通过串口线连接设备波特率115200（或ssh连接设备管理IP），进入设备命令行，输入以下命令可与平台进行连接：

enable

configure terminal

sdn mode remote controller X.X.X.X（平台IP地址）

service ntp server X.X.X.X（平台IP地址）

service ntp enable

exit

write  memory

2. 若设备交换机型号为XE50，需登录设备web界面升级平台软件包才可进行模式切换。如设备当前是E6601P01单机模式，升级E6601P01平台版升级包后，串口线连接设备波特率115200（或ssh连接设备管理IP），进入设备命令行，输入以下命令可与平台进行连接。

enable

configure terminal

sdn mode enable controller X.X.X.X（平台IP地址）

exit

write  memory

3. 以上操作完成后等待几分钟，可在SDN web上查看设备连接状态，若图标为彩色则是已经连接成功。

 

2 管理平台添加网络设备拓扑/采集点/快照口举例

2.1  简介

支持将TAP设备/SDN平台/采集设备/分析设备等添加到网络拓扑图中，使网络流量清晰展示，下文具体说明如何添加拓扑及配置连线。

2.2  配置前提

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。建议保证输出/接入接口存在流量

2.3  添加网络设备拓扑

1. 在“拓扑管理”—“网络分析平面”界面，使用鼠标左键在网络设备处中选择“”网元设备图标后不放，直接拖曳到网格页面“网络设备”浅蓝色框中，移到确定位置后松开鼠标，右侧会弹出“网络设备属性设置”对话框。

2. 在“网络设备属性设置”对话框中，填入对应的“*设备IP、*设备名、设备型号”，点击“确定”，设备添加完成，点击右上角“√”进行保存。

3. 按照步骤1和步骤2再添加1台网络设备，如下图：

4. 对两台网络设备进行连线操作，鼠标选中页面中“”连线图标，点击网格页面中“网络设备”处添加的设备A，此时会有虚线连接，然后再选择设备B，右侧弹出“属性设置”对话框。

5. 在“属性设置”对话框中，设置“连线类型（光纤 | 电缆）、带宽（选择为10Gbps）”，点击“确定”。点击右上角“√”进行保存。

2.4  管理平台添加采集点

1. 在“拓扑管理”—“网络分析平面”界面，将已创建好的拓扑设备添加采集点，鼠标点击“”采集点图标，在到网格页面中网络设备处点击设备图标，则会弹出“采集点属性设置”对话框。

2. 在“采集属性设置”对话框中，填入对应的“*采集点编号、采集点速率”，点击“确定”，则采集点添加完成。

3. 同理，按照步骤1和步骤2在另外一台网络设备添加采集点，最后点击右上角“√”进行保存。如下图：

4. 对已添加的采集点进行与TAP设备连线操作，鼠标选中页面中“”连线图标，点击网格页面中“网络设备”处添加的设备A的采集点图标，此时会有提示“采集点列表”显示，选择对应采集点名称后，带有绿色线缆，鼠标拖动到“TAP设备”，右侧弹出“属性设置”对话框。

5. 在“属性设置”对话框中，若TAP设备已上线（为蓝色图标），可在“SDN输入端口选择”中选择对应的端口，点击“确定”。

2.5  设备内部互联接口配置

1. 在“拓扑管理”—“采集平面”界面，鼠标双击网格页面中已添加的TAP设备，右侧会弹出“设备属性设置”对话框。

2. 在“设备属性设置”对话框中，展示对应的“*设备ip、描述、设备型号、设备标签显示、当前连接”等信息，在“内部互联接口”处，如果是两台设备互联接口，则勾选商对应接口即可，点击“确定”。

3. 若是两台或以上TAP设备之间存在聚合互联接口，则在“设备属性设置”对话框中，勾选“内部互联接口”处，勾选商对应多个接口，同时还需要在“ICLAG聚合接口”中选择勾选的端口，作为聚合接口，然后点击“确定”，等待一段时间后，两台设备之间聚合互联线缆会刷新显示。

4. 也可以切换到“流量分发配置”—“接口组配置”界面，选择“ICLAG组”，打开此项“功能开关”（默认功能开关是打开的），如果两台TAP之间端口正常link，则会在此处显示一条ICLAG聚合组列表信息。

2.6  管理平台快照接口配置

1. 在“系统配置”—“网络接口/HA配置”界面，右侧页面下拉到“流量快照配置”处。

2. 选择“SDN侧快照端口（通过下拉列表端口进行选择）”。

 

3. 选择“采集单元侧快照端口（点击文本框弹出端口列表进行选择）”。

4. 点击“确定”，快照端口配置完成。

 

5. 在“拓扑管理”—“统一拓扑”界面，则会看到SDN平台与设备之间存在一根黄色快照线缆，鼠标移动到线缆上，则会提示相应快照接口信息。

6. 快照使用限制

MTU值：

本地快照：MTU均是1514字节

远程快照：CE54、CE54H是6000字节左右、XE50是16000字节左右（实际抓取下来会自动截短至1988字节）

说明：本地快照，抓取的包是保存到平台的；远程快照是支持快照的设备（如：CE54/CE54H/XE50），通过远程快照后保存在设备侧，上传到平台。

支持快照端口速率：

端口速率：千兆、万兆均支持。

3 复制\汇聚\过滤功能典型配置

3.1  组网需求

如下图所示，由SDN平台控制CE54，核心SW对应设备XE0，汇聚SW对应设备XE1，接入SW对应设备XE2/XE3；日志审计对应设备XE10，IDS对应设备XE11,APM对应设备XE12，NPM对应设备XE13.

图3-1 组网部署

 

3.2  配置思路

(1)     从XE0口采集核心SW的流量，通过设备的复制功能，把所采集到的流量复制成2份，然后通过XE10\XE13分别发送给日志审计、NPM

(2)     从XE1口采集汇聚SW的流量，通过设备的过滤功能，把其中源ip为192.168.1.22的流量通过XE12口发送给APM

(3)     从XE2/XE3口采集接入SW的流量，通过设备的汇聚功能，通过XE11口，把流量发送给IDS

3.3  配置步骤

3.3.1  步骤一（对应配置思路（1））

首先确定输出端口，在“接口组配置”界面，将输出端口创建为一个组播组ID为100的成员端口组

在聚合策略>报文输入筛选界面，点击新建规则

填写策略名称如“核心核心SW采集到的流量发送给日志审计、NPM”，勾选输入端口XE0,输出接口选择mc_100组播组

选择添加规则，点击确定，默认为permit any，再点击确定完成配置

策略下发灯变绿，验证配置成功，完成从XE0口采集核心SW的流量，通过设备的复制功能，把所采集到的流量复制成2份，然后通过XE10\XE13分别发送给日志审计、NPM

3.3.2  步骤二（对应配置思路（2））

继续在“聚合策略>报文输入筛选”界面，点击新建规则

填写策略名称如“汇聚SW采集到的流量其中源ip为192.168.1.22的流量发送给APM”，勾选输入端口XE1,勾选输出端口XE12，并配置ACL匹配条件源ip地址为192.168.1.22，掩码为255.255.255.255，点击确定

策略下发灯变绿，验证配置成功，完成从XE1口采集汇聚SW的流量，通过设备的过滤功能，把其中源ip为192.168.1.22的流量通过XE12口发送给APM

 

3.3.3  步骤三（对应配置思路（3））

继续在“聚合策略>报文输入筛选”界面，点击新建规则

填写策略名称如“SW采集流量发送给IDS”，勾选输入端口XE2-XE3,勾选输出端口XE13,点击确定

策略下发灯变绿，验证配置成功，完成从XE2\XE3口采集接入SW的流量，通过设备的汇聚功能，通过XE11口，把流量发送给IDS

 

4 SDN HA部署功能举例

4.1  简介

H3C SecPath TAP8000-SDN流量可视化设备SDN控制平台提供HA部署，意思是为了减少系统停工时间，最大限度地保持平台服务的高度可用性。

4.2  配置前提

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。建议保证输出/接入接口存在流量。同时，需要两台H3C SecPath TAP8000-SDN流量可视化设备SDN控制平台，且所有硬盘分区数量和大小需完全一致。

4.3  配置步骤

1. 设备连线，将SDN1和SDN2的物理口HA1和HA2连线，如下图指导为网口角色可参考。

图4-1 R4900G5服务器SDN网口角色

 

2. 开启HA部署，设置master平台与slave平台，保证master平台与slave平台IP的主机名不一致。进入平台依次点击系统配置---网络接口/HA配置页面进行配置

图4-2 设置master平台

图4-3 设置slave平台

 

3. 进行VIP配置（举例VIP 192.168.1.16，保证网络与master平台，slave平台可通），选择master平台与slave平台HA端口（心跳检测主用接口与备用接口），并物理接线。

图4-4 设置Master平台的VIP配置和心跳检测主用接口与备用接口

图4-5 设置Slave平台的VIP配置和心跳检测主用接口与备用接口

 

4. 同时快速点击master平台与slave平台的“开启HA服务”按钮，等待平台进行HA服务

图4-6 开启HA服务

 

5. 关闭HA部署，登录VIP，点击“停止HA服务”，确认停止服务，等待平台执行。

图4-7 关闭HA部署

 

4.4  验证配置

1. 开启HA部署，登录VIP，最后耐心等待master平台与slave平台数据同步

图4-8 成功开启HA部署

 

2. 关闭HA部署，停止HA服务成功后，分别登录master平台与slave平台IP

图4-9 登录master平台IP，查看“网络接口/HA配置”

图4-10 登录slave平台IP，查看“网络接口/HA配置”

 

5 跨设备的输入端口1+1主备部署配置指导

5.1  简介

H3C SecPath TAP8000-SDN流量可视化设备SDN控制平台提供跨设备的输入端口1+1主备部署配置，当主端口出现故障时，备用端口可以立即接管服务，确保系统的连续运行，从而避免数据的中断，减少因故障导致的损失。

5.2  配置前提

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。建议保证输出/接入接口存在流量

5.3  配置步骤

1. 进入平台依次点击“流量分发配置”---“接口组管理”---“接口热备组”，新增1+1输入组

图5-1 新增1+1输入组

 

2. 设置热备组名称test1，选择组类型为1+1输入组，根据确定的输入端口，生产接口/组选择端口192.168.1.178设备的XGE0/0，热备接口选择端口192.168.1.179设备的HGE0/0，并点击确定。

图5-2 1+1输入组创建成功

3. 在聚合策略中的报文输入筛选界面新增策略，并在输入接口出选择输入备份组为创建的test1，并选择输出接口为192.168.1.178设备XGE0/1接口，添加规则permit any，最后点击确定完成数据转发策略的创建。

图5-3 使用test1为输入接口并完成数据的转发策略

5.4  验证配置

在接口热备组界面处，当主用接口192.168.1.178的XGE0/0正常时，选择创建的1+1输入组，在可视化状态处为热备-不可恢复，此时为主用接口192.168.1.178的XGE0/0输入。

图5-4 主用接口状态

在接口热备组界面处，当主用接口192.168.1.178的XGE0/0异常时，选择创建的1+1输入组，在可视化状态处为接管-不可恢复，此时为备用接口192.168.1.179的HGE0/0输入。

图5-5 备用接口状态

在接口热备组界面处，当主用接口192.168.1.178的XGE0/0重新恢复正常时，选择创建的1+1输入组，在可视化状态处为接管-可恢复，此时点击热备恢复，重新恢复为主用接口192.168.1.178的XGE0/0输入。

图5-6 可恢复状态

6 跨设备的输出端口1+1主备部署配置指导

6.1  简介

H3C SecPath TAP8000-SDN流量可视化设备SDN控制平台提供 跨设备的输出端口1+1主备部署配置，当主端口出现故障时，备用端口可以立即接管服务，确保系统的连续运行，从而避免数据的中断，减少因故障导致的损失。

6.2  配置前提

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。建议保证输出/接入接口存在流量

 

6.3  配置步骤

1. 进入平台依次点击“流量分发配置”---“接口组管理”---“接口热备组”，新增1+1输出组

图6-1 新增1+1输出组

2. 设置热备组名称test_out，选择组类型为1+1输出组，根据确定的输出端口，生产接口/组选择端口192.168.1.178设备的XGE0/3，热备接口选择端口192.168.1.179设备的HGE0/3，并点击确定。

图6-2 1+1输出组创建成功

3. 在聚合策略中的报文输入筛选界面新增策略，并在输入接口出选择192.168.1.178设备XGE0/47，并选择输出接口为输出备份组test_out，添加规则permit any，最后点击确定完成数据转发策略的创建。

图6-3 使用输出备份组test_out为输出接口并完成数据的转发策略

 

6.4  验证配置

1. 在接口热备组界面处，当主用接口192.168.1.178:XGE0/3正常时，选择创建的1+1输出组test_out，在可视化状态处为热备-不可恢复，此时为主用接口192.168.1.178的XGE0/3输出。

图6-4 主用输出接口状态

2. 在接口热备组界面处，当主用接口192.168.1.178:XGE0/3异常时，选择创建的1+1输出组test_out，在可视化状态处为接管-不可恢复，此时为备用接口192.168.1.179的HGE0/3输出。

图6-5 备用输出接口状态

3. 在接口热备组界面处，当主用接口192.168.1.178:XGE0/3重新恢复正常时，选择创建的1+1输出组，在可视化状态处为接管-可恢复，此时点击热备恢复，重新恢复为主用接口192.168.1.178的XGE0/3输出。

图6-6 可恢复状态

 

7 管理平台大屏态势监控功能举例

7.1  简介

H3C SecPath TAP8000-SDN流量可视化设备SDN控制平台提供Dashboard（仪表盘）大屏态势实时监控，用户可以依据自己的业务考虑或者重点关注对象实现定制的综合监控视图，通过大数据的图形化综合展示，极大方便用户的运维工作。

H3C SecPath TAP8000-SDN流量可视化设备SDN控制平台提供亲和的基于大数据的图形化管理和展示界面，可以实现策略管理、平面间数据关联、图表分析、多个维度的数据组合对比与展示。利用全网络流量采集、业务系统定义、业务流量行为分析、业务访问趋势分析等多维度的数据分析与可视化呈现，帮助用户直观掌控全网流量，业务与非业务访问行为。

 

7.2  配置前提

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。建议保证输出/接入接口存在流量

7.3  配置步骤

1. 进入平台点击右上角齿轮图标。

图7-1 大屏展示配置入口

2. 通过左树来添加相应的数据展示类型，添加图标并通过右侧调整展示细节参数后，把图标拖拽到合适的位置来规划大屏面板的展示内容，编辑完成点击右下角保存。

图7-2 大屏展示配置界面

 

7.4  验证配置

大屏展示界面配置完成后，点击界面左上角的“H3C SecPath TAP8000-SDN”图样，可以切回到大屏展示最终效果的页面。（可自定义展示内容包括组网拓扑、用户网络拓扑、分析系统、输入输出流量趋势、系统时间、输入输出节点数量、流量告警等信息）

 

8 XE50设备模式切换配置举例

XE50的模式切换需要升级对应版本实现，下文以E6601P03版本举例说明：

8.1  XE50出厂默认单机版

如E6601P03单机版需要切换为平台版，可在单机版web界面上传E6601P03平台版的升级文件进行升级，升级成功后web界面无法登录，需在后台配置SDN的地址；

如E6601P03平台版需要切换为单机版，可在SDN界面上传E6601P03单机版的升级文件进行升级，升级成功后单机版的web界面可以登录；

注意，模式切换后，原模式的配置无法保留，建议切换成导出配置备份。

8.2  单机版切换到平台版

(1)     web界面升级SecPathTAP8000XE50-SDN-IMW310-E6601P03.kernel.pkg包；

(2)     等待升级完成，进入后台；

(3)     输入en，进入可编辑状态；再输入configure terminal进入终端模式；

(4)     设置SDN服务器，命令：sdn mode enable controller 服务器ip；

(5)     输入exit（ex）退出config模式，再输入write memory将配置保存；

等待几分钟后，即可在SDN平台添加设备并显示在线

操作命令截图如下：

 

8.3  平台版切换到单机版（两种方式均可）

1. 通过SDN平台web切换：

(1)     登录SDN平台，进入系统配置-SDN单元升级界面，选中XE50设备，上传升级文件SecPathTAP8000XE50-IMW310-E6601P03.kernel.pkg，选中文件并升级；

(2)     等待提示升级已完成后，点击重启设备进行重启；

(3)     等待几分钟设备完全起来后，即可在浏览器通过设备ip访问web。

操作截图如下：

 

2. 通过XE50命令行切换：

(1)     开启TFTP服务器，并选择单机版程序路径；

(2)     通过串口或ssh等登录设备，使用命令copy tftp://tftp服务器ip/单机版文件名 mainboard firmware（可参考命令行手册）；

(3)     等待提示成功后，输入reload进行重启；

(4)     等待几分钟设备完全起来后，即可在浏览器通过设备ip访问web。

操作命令截图如下：

9 C32/CE54系列设备模式切换配置举例

9.1  local切换到remote模式：

(1)     输入en，进入可编辑状态；再输入configure terminal进入终端模式；

(2)     设置SDN服务器，命令：sdn mode remote controller 服务器ip；

(3)     等待几分钟后，即可在SDN平台添加设备并显示在线。

(4)     等待几分钟后，输入do write memory将配置保存

图9-1 local切换到remote模式

 

9.2   remote模式切换到local模式：

(1)     输入en，进入可编辑状态；再输入configure terminal进入终端模式

(2)     命令：sdn mode local

(3)     等待几分钟后，输入do write memory将配置保存；

(4)     等待几分钟后，即可在浏览器通过设备ip访问web。

图9-2 remote模式切换到local模式

 

9.3  local切换到local_sdn模式：（仅C32型号支持）

(1)     a. 输入en，进入可编辑状态；再输入configure terminal进入终端模式

(2)     b. 命令：sdn mode local_sdn

(3)     c. 等待几分钟后，输入do write memory将配置保存；

(4)     d. 等待几分钟后，即可在浏览器通过设备ip访问web，此时已切换为可纳管设备的SDN模式。

图9-3 local切换到local_sdn模式