AD-Campus 6.5

IP策略基础配置指导

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

资料版本：5W104-20240911

 

目  录

1 注意事项(持续更新) 1-1

1.1 方案使用说明·· 1-1

2 简介··· 2-1

2.1 概述·· 2-1

2.2 单Fabric组网模型·· 2-1

2.2.1 双Spine/双Leaf组网·· 2-2

2.2.2 IRF组网·· 2-5

2.3 服务器与设备的连接方式·· 2-8

2.3.1 双Spine组网·· 2-9

2.3.2 Spine堆叠组网·· 2-10

2.4 组网说明·· 2-10

2.5 业务配置流程·· 2-11

3 配套应用及设备型号··· 3-1

3.1 配套应用·· 3-1

3.2 设备型号及角色·· 3-2

4 资源&IP地址规划··· 4-1

4.1 服务器资源规划·· 4-1

4.2 用户资源规划·· 4-7

4.3 用户VLAN规划·· 4-7

5 AD-Campus基础配置··· 5-1

5.1 登录AD-Campus控制组件页面·· 5-1

5.2 License注册·· 5-2

5.3 配置前提·· 5-4

5.3.1 终端管理参数配置·· 5-4

5.3.2 AAA· 5-5

5.3.3 DHCP服务器·· 5-6

5.3.4 静态服务实例按需生效·· 5-14

5.3.5 VXLAN按需下发·· 5-15

5.3.6 网络固化·· 5-17

5.3.7 环路检测优化·· 5-22

5.3.8 RRPP环网下配置ACL实现网络隔离·· 5-25

6 设备上线··· 6-1

6.1 原自动化上线·· 6-1

6.2 新自动化上线·· 6-1

6.3 手工纳管·· 6-1

6.3.1 Spine单机或堆叠组网手工配置·· 6-1

6.3.2 双Spine非M-LAG组网手工配置·· 6-26

6.3.3 双Spine场景下M-LAG组网手工配置·· 6-63

6.3.4 单Leaf组网下的特殊配置·· 6-105

6.3.5 硬件资源配置·· 6-110

6.3.6 Fabric· 6-111

6.3.7 设备纳管·· 6-113

7 AD-Campus业务配置··· 7-1

7.1 策略模板·· 7-1

7.1.2 设备策略模板-AAA· 7-3

7.1.3 设备策略模板-802.1X认证·· 7-5

7.1.4 设备策略模板-MAC/MAC Portal认证·· 7-5

7.1.5 接口策略模板-802.1X认证·· 7-6

7.1.6 接口策略模板-MAC/MAC-Portal认证·· 7-7

7.1.7 自定义策略模板·· 7-8

7.1.8 策略模板内容查看·· 7-8

7.1.9 设备组-组策略·· 7-9

7.1.10 接口组-组策略·· 7-10

7.2 接入网络·· 7-11

7.2.1 隔离域·· 7-11

7.2.2 私有网络·· 7-13

7.2.3 安全组·· 7-21

7.2.4 网络策略·· 7-23

7.3 用户上线·· 7-31

7.3.1 接入服务管理·· 7-31

7.3.2 接入设备管理·· 7-35

7.3.3 接入用户管理·· 7-35

7.3.4 接入场景管理（可选）·· 7-42

7.3.5 在线数量限制·· 7-44

7.3.6 在线用户·· 7-46

8 用户认证上线··· 8-1

8.1 802.1X认证·· 8-1

8.1.1 证书安装·· 8-1

8.1.2 用户认证·· 8-2

8.2 MAC Portal认证·· 8-7

8.2.1 创建BYOD安全组·· 8-7

8.2.2 配置ACL3001· 8-9

8.2.3 启用MAC Portal认证·· 8-10

8.2.4 MAC Portal认证上线·· 8-12

8.3 MAC认证·· 8-15

8.3.1 配置MAC地址认证用户·· 8-15

8.3.2 MAC认证·· 8-17

8.4 宽带物联业务配置·· 8-17

8.4.2 基于MAC快速上线·· 8-18

8.4.3 基于IP快速上线·· 8-21

8.4.4 基于终端识别快速上线·· 8-23

8.4.5 宽带物联终端保持长期在线·· 8-25

8.4.6 不主动发ARP的静态IP哑终端上线·· 8-27

8.5 免认证上线·· 8-27

8.5.1 免认证VLAN池·· 8-27

8.5.2 增加免认证接口组·· 8-28

8.5.3 安全组绑定免认证接口组·· 8-30

8.5.4 设备上下发的配置·· 8-31

8.6 Guest或认证失败上线·· 8-32

8.6.1 Guest上线·· 8-32

8.6.2 认证失败上线·· 8-35

8.7 访客业务·· 8-39

8.7.2 配置访客用户管理·· 8-40

8.7.3 页面推送策略配置·· 8-43

8.7.4 访客上线·· 8-43

9 分权分域··· 9-1

9.1 概述·· 9-1

9.2 基本概念·· 9-1

9.2.1 角色组列表·· 9-1

9.2.2 角色列表·· 9-2

9.2.3 权限列表·· 9-2

9.3 分权分域配置·· 9-4

9.3.1 新增特定区域权限·· 9-4

9.3.2 新增自定义区域角色·· 9-7

9.3.3 新增自定义组织·· 9-9

9.3.4 新增操作员·· 9-10

9.4 分权分域结果确认·· 9-11

9.4.2 [向导>园区向导>设备上线规划] 9-12

9.4.3 [监控>园区拓扑] 9-12

9.4.4 [自动化>园区网络>Fabric] 9-13

9.4.5 [自动化>园区网络>网络设备>交换设备] 9-13

9.4.6 [自动化>园区网络>隔离域>隔离域] 9-13

9.4.7 公共资源·· 9-15

10 Leaf直连终端设备的配置··· 10-1

10.1 接口组增加成员·· 10-1

10.2 接口组下发策略·· 10-2

11 逃生方案配置··· 11-1

11.1 动态AC逃生·· 11-1

11.1.1 用户逃生方案配置·· 11-1

11.1.2 创建逃生二层网络域·· 11-1

11.1.3 创建逃生安全组·· 11-3

11.1.4 配置策略模板·· 11-4

11.1.5 逃生IT资源访问设置·· 11-6

11.1.6 逃生DHCP Server配置·· 11-6

11.2 静态IP逃生·· 11-1

11.2.1 功能介绍·· 11-1

11.2.2 创建静态用户·· 11-1

11.2.3 EIA上配置静态用户的帐号信息·· 11-4

11.2.4 AAA正常时，静态IP终端正常认证上线·· 11-4

11.2.5 AAA故障时，静态IP终端进入逃生，仍然获得正常业务授权·· 11-5

11.2.6 注意事项·· 11-5

12 IT资源组··· 12-1

12.1 IT资源组创建·· 12-1

12.2 IT资源组访问配置·· 12-2

13 M-LAG跨设备聚合组配置··· 13-1

13.2 配置前提·· 13-2

13.2.1 跨设备聚合参数配置·· 13-2

13.2.2 M-LAG VLAN池配置·· 13-4

13.2.3 原自动化上线设备·· 13-5

13.3 双Spine配置M-LAG·· 13-6

13.4 Leaf设备/Single-Leaf 配置M-LAG·· 13-12

14 Border与外部路由设备对接配置··· 14-1

14.2 单Border出口配置·· 14-1

14.2.2 创建边界设备组·· 14-2

14.2.3 NQA策略配置·· 14-5

14.2.4 添加出口网关·· 14-7

14.2.5 出口网关关联私网·· 14-12

14.2.6 设备下发的出口网关配置·· 14-13

14.2.7 Border与外网连接的接口手动配置·· 14-15

14.2.8 与Border设备相连的Router设备上手动配置·· 14-16

14.2.9 单个私网多出口网关配置·· 14-16

14.3 双Border出口配置·· 14-21

14.3.2 创建边界设备组·· 14-22

14.3.3 NQA策略配置·· 14-27

14.3.4 添加出口网关·· 14-29

14.3.5 出口网关关联私网·· 14-36

14.3.6 设备下发的出口网关配置·· 14-37

14.3.7 Border与外部路由互连接口手动配置·· 14-41

14.3.8 与Border设备相连出口路由器手动配置·· 14-41

14.3.9 单个私网多出口网关配置·· 14-42

15 双Border与外部路由设备对接配置（手动）··· 15-1

15.1 Border1配置·· 15-1

15.2 Border2配置·· 15-3

15.3 与Border设备相连的Router设备上的配置·· 15-5

16 组播配置··· 16-1

16.2 组播业务基础配置·· 16-1

16.2.1 二层组播·· 16-2

16.2.2 三层组播·· 16-4

16.2.3 设备下发的组播配置·· 16-10

16.3 单Fabric组网，组播源或接收者从外网接入Spine时组播业务配置·· 16-13

16.3.2 组播源或接收者以AC方式接入Spine设备·· 16-14

16.3.3 组播源或接收者以VLAN方式接入Spine设备·· 16-16

16.4 多Fabric组网场景下组播业务配置·· 16-18

17 QoS· 17-1

17.1 全局开启QoS· 17-1

17.2 增加应用分类·· 17-2

17.3 增加应用策略·· 17-4

17.4 设备上查看下发配置·· 17-8

18 Voice VLAN·· 18-1

18.2 开启Voice VLAN· 18-2

18.2.1 全局开启Voice VLAN· 18-2

18.2.2 开启单台设备的Voice VLAN· 18-2

18.3 配置下发·· 18-3

18.4 IP话机逃生·· 18-4

19 BRAS纳管··· 19-1

19.1 功能介绍·· 19-1

19.2 组网拓扑·· 19-1

19.3 BRAS设备基础配置·· 19-1

19.4 控制组件纳管BRAS设备·· 19-2

19.5 查看BRAS设备告警、监控等信息·· 19-3

19.6 查看BRAS设备拓扑信息·· 19-4

19.7 通过ICC脚本给设备下发配置·· 19-5

19.7.1 上传ICC脚本·· 19-5

19.7.2 创建部署任务·· 19-5

20 运维监控··· 20-1

 

1 注意事项(持续更新)

1.1  方案使用说明

(1)     S5560X-EI/S5560X-HI/S6520X-EI/S6520X-HI设备不支持做ED。

(2)     S5560X-HI/S6520X-HI设备作为Border，共享网关方式时，需要在回程流量的接口手动配置放通流量的PBR。

(3)     S5560X/S6520X系列的硬件转发资源有限，建议开启报文转发时下发主机路由FIB表项功能（IPv4、IPv6），命令如下：

¡     ip forwarding-conversational-learning

¡     ipv6 forwarding-conversational-learning（存在IPv6业务场景）

(4)     BYOD安全组必须使用vDHCP服务器。

(5)     IP策略模式下，不支持配置IPv6的IT资源组，且不支持安全组之间配置IPv6的组间策略。

(6)     Single Leaf场景下，控制组件不会自动下发LoopBack口的地址；若涉及到Fabric互联业务可通过在页面中修改Fabric的Underlay IP进行配置。

(7)     Access下接路由器时，禁止使用WAN口，需要使用LAN口，并且在路由器上关闭DHCP和NAT功能。

(8)     公共机场景下，IP地址名址绑定功能仅支持802.1x+iNode认证方式；不支持在多用户账户共用的公共机上使用MAC Portal认证。

(9)     微软DHCP Server仅支持单机模式下的松耦合方式分配IPv6地址。

(10)     微软DHCP Server单地址池的绑定数量需要小于2000。

(11)     微软DHCP主机故障之后，备机只能分配地址，不能生成绑定表项。故障恢复后，需要终端下线，重新认证上线后才能完成绑定。

(12)     当“组间策略”配置“默认策略”为拒绝的情况下，建议把“IT资源组”的物理服务器通过Spine连接，并且部署在vpn-default私网内。“IT资源组”部署在vpn-default私网内时，所有的私网默认允许访问所有“IT资源组”，通过在每个私网内配置不允许访问的IT资源组，然后通过下发Deny组间策略的方式，禁止资源的访问；

(13)     与服务器相连的三层交换机上，STP模式不能使用PVST，需要使用MSTP。

(14)     SeerBlade板卡的网口与Spine之间必须连接交换机。

(15)     如果使用非标准组网，特别是涉及防火墙的组网场景，请参考方案的端口矩阵文档，放通对应端口。

(16)     二层网络域使用从网段时，接入策略中不可以使用“绑定用户IP地址”功能。

(17)     用户认证支持802.1X认证和MAC/MAC Portal认证，实际组网中配置其中一种认证方式即可，请根据实际需求选择认证方式。非必须场景下不建议两种认证方式同时配置，但园区网也支持两种方式同时配置。

(18)     手动配置的Spine/Leaf/Access/AC堆叠环境，需下发irf mac-address persistent always命令，确保主备倒换时堆叠设备的桥MAC保持不变。

(19)     组播源以VLAN方式从设备接入时，目前仅支持S12500G-AF、S10500/S10500X系列的*SH板卡、 S6550XE、S6525XE设备。

(20)     有用户在线情况下，不允许DHCP Server的换绑。

(21)     同一组设备不允许被多套控制组件同时纳管。

(22)     同一套DHCP Server不允许被多套控制组件同时纳管。

(23)     存在ARP泛洪场景下，可参考《AD-Campus 6.5 维护手册》。

(24)     当环境中安全组较多时建议设备开启AC按需下发功能，具体请参考5.3.4  静态服务实例按需生效。

(25)     Leaf作为M-LAG组网时，Spine的VSI 4094接口下需配置arp send-gratuitous-arp interval ，时间建议30s以上。

(26)     针对[自动化>园区网络>网络参数>vDHCP]的DDI界面的终端IP冲突检测功能需要依赖syslog功能，对于手动上线的Leaf设备，增加info-center loghost vpn-instance vpn-default 100.1.0.100。

(27)     若同一Fabric内既有手工上线的设备又有原自动化上线的设备（不推荐此种混合上线设备场景），请确保两种方式上线的VLAN1的IPVSI/VLAN 4094的IP不重复且手工上线设备的Underlay IP和Undelay VLAN不在自动化模板的Underlay IP和Undelay VLAN范围内。

(28)     控制组件增加、删除跨设备聚合组时，Leaf设备会短暂失连，可以通过配置管理网段非对称IRB转发功能（evpn irb asymmetric）来避免该问题，同时在稳定情况下，需要去使能非对称IRB转发功能（undo evpn irb asymmetric）。

(29)     名址绑定不能和IP Source Guard（即IPv4接口绑定）或arp detection（即ARP检测）共存。

(30)     M-LAG组网下，M-LAG设备需要手工指定router id，保证全网唯一，避免冲突。

(31)     M-LAG组网需要全局下发VLAN1-VLAN4094。

(32)     微软DHCP Server硬件配置要求：方案推荐微软DHCP使用HA双机部署，如不考虑可靠性，也可单机部署。硬件配置要求如下所示：

表1-1 硬件配置要求

在线终端数量	Windows DHCP Server硬件资源
≤1 万	·     CPU：8核，2.0GHz ·     内存：16GB ·     硬盘：2* 300GB RAID1 ·      RAID卡：256MB Cache
1万~4万	·     CPU：16核，2.0GHz ·     内存：16GB ·     硬盘：2* 300GB RAID1 ·      RAID卡：256MB Cach
4万~6万	·     CPU：24核，2.0GHz ·      内存：32GB ·     硬盘：2* 500GB RAID1 ·     RAID卡：1GB Cache
6万~10万	·     CPU：24核，2.0GHz ·     内存：64GB ·     硬盘：2* 500GB RAID1 ·     RAID卡：1GB Cache

 

(33)     双Spine组网/双Leaf组网，服务器和设备之间连接的L3交换机，需支持ECMP功能和STP Ignored vlan命令，推荐使用S5560X-EI及以上款型以及方案配套版本

(34)     双Spine/双Leaf场景下，若要删除M-LAG组，需要先删除QoS模块、AP非直连Leaf接口组或其他相关应用场景下手工添加的聚合口，否则接口信息会残留，并导致设备审计亮红灯。

(35)     使用EVPN三层组播，请一定要使能二层组播，即在对应的VSI实例下使能igmp-snooping。

(36)     CAMPUS:E6701及之后&网管：E0711H04/E0713及之后版本，除spine\leaf外其他Campus纳管的设备（Access、Aggr、Bras）不会下发snmpv2 trap命令，请手动增加。若用户需配置snmpv3 trap，请根据实际情况进行配置。

Access/Aggr/Bras设备snmpv2 trap配置如下（xx.xx.xx.xx是北向IP）：

snmp-agent target-host trap address udp-domain xx.xx.xx.xx params securityname public v2c

snmpv3 trap配置如下（xx.xx.xx.xx指北向IP，wk3为snmpv3中配置的用户名）：

¡     认证模式可选择：（1）不认证（2）MD5（3）SHA

¡     加密模式可选择：（1）不加密（2）DES56（3）AES128（4）AES192（5）AES256

-     Spine/Leaf设备：

认证模式：不认证，加密模式：不加密

snmp-agent target-host trap address udp-domain xx.xx.xx.xx vpn-instance vpn-default params securityname wk3 v3

认证模式：MD5或SHA，加密模式：不加密

snmp-agent target-host trap address udp-domain xx.xx.xx.xx vpn-instance vpn-default params securityname wk3 v3 authentication

认证模式：MD5或SHA，加密模式：DES56、AES128、AES192、AES256任意一种

snmp-agent target-host trap address udp-domain 192.169.231.45 vpn-instance vpn-default params securityname wk3 v3 privacy

-     Access/Aggr/Bras设备：

认证模式：不认证，加密模式：不加密：

snmp-agent target-host trap address udp-domain 192.169.231.45 params securityname wk3 v3

认证模式：MD5或SHA，加密模式：不加密

snmp-agent target-host trap address udp-domain 192.169.231.45 params securityname wk3 v3 authentication

认证模式：MD5或SHA，加密模式：DES56、AES128、AES192、AES256任意一种

snmp-agent target-host trap address udp-domain 192.169.231.45 params securityname wk3 v3 privacy

(37)     方案不推荐使用vpn-default部署用户业务，请新增私网配置相关业务。当用户业务部署在vpn-default下，设置vpn-default策略为默认拒绝时，会存在北向流程不通等问题。如若需vpn-default部署用户业务，请联系研发沟通。

(38)     AD-Campus方案推荐Spine、Leaf通过控制组件页面配置M-LAG，不推荐Leaf设备手动配置M-LAG。若Spine设备手动配置M-LAG，会出现审计差异，并且手动配置的M-LAG拓扑展示为非M-LAG形式，此为正常现象。

(39)     对于M-LAG组网结构，其中Leaf和Spine节点之间通过口字型（矩形）拓扑连接的网络环境，应特别注意逃生VLAN接口的cost值配置。避免在Spine节点和Leaf节点上设置相同的cost值，以防止形成等价路由、设备报错。需要注意的是，控制组件默认下发的cost值为20。

2 简介

2.1  概述

本文主要用于指导AD-Campus 6.5园区网方案的基础部署配置。包括：配套软件的安装部署、Underlay的手动配置、物理设备的手动纳管、SeerEngine-Campus园区控制组件的基础业务配置和用户配置，以及有线用户的认证上线等。

不同业务特性都有相应的文档，相关特性的配置请参考具体的配置文档，具体如下表。

表2-1 特性配置参考文档

业务特性	业务说明	参考文档
自动化	设备自动化上线	《AD-Campus 6.5 自动化配置指导》 《AD-Campus 6.5 新自动化配置指导》
半自动化	Spine/Leaf手工纳管，Access自动化纳管	《AD-Campus 6.5 基础配置指导》 《AD-Campus 6.5 自动化配置指导》 《AD-Campus 6.5 新自动化配置指导》
无线	AC纳管、无线用户认证上线	《AD-Campus 6.5 无线配置指导》
IPv6	设备IPv6纳管、用户获取IPv6地址	《AD-Campus 6.5 IPv6业务配置指导》
多园区互联	隔离域互联、单隔离域多Fabric互联	《AD-Campus 6.5 多园区多Fabric配置指导》
微软DHCP	微软DHCP紧耦合环境搭建及配置	《AD-Campus 6.5 微软DHCP紧耦合方案配置指导》
EPON	EPON组网搭建及业务配置	《AD-Campus 6.5 EPON组网配置指导》
故障替换	设备故障后的精准替换、异构替换	《AD-Campus 6.5 设备故障替换配置指导》
安全纳管	用户安全纳管、南北向和跨私网流量过防火墙	《AD-Campus 6.5 安全融合配置指导》
传统网IP-SGT	传统网设备上线、用户认证、IP-SGT业务配置	《AD-Campus 6.5 传统网IP-SGT配置指导》
传统网BRAS	传统网大二层BRAS业务配置	《AD-Campus 6.5 传统网Bras大二层配置指导》

 

2.2  单Fabric组网模型

AD-Campus园区网方案支持的组网模型：双Spine组网以及IRF组网。双Spine组网是指两台Spine设备之间组成M-LAG系统或两台Spine双上行，实现设备的冗余保护和流量负载分担。IRF组网则是指将两台设备虚拟化成一台设备，实现多台设备的协同工作、统一管理和不间断维护。这两种模型下根据设备架构又可以分为三层架构组网模型、二层架构组网模型以及单Leaf组网模型。

·     三层架构组网模型：指Spine->Leaf->Access三级设备的组网，是园区网中的典型组网。其中，Spine支持单台、两台双上行、两台组成M-LAG或两台堆叠，Leaf支持组成M-LAG或堆叠，Access支持堆叠并且支持多级级联。

·     二层架构组网模型：指Spine->Leaf二级设备的组网，没有Access接入设备。无线AP、有线用户直接从Leaf接入。

·     单Leaf组网模型：指Leaf->Access连接的组网，没有Spine设备，主要应用于一些小型网络。其中，Leaf可为两台组成M-LAG或两台堆叠，Access支持堆叠以及多级级联。

本文中介绍的三层架构组网模型、二层架构组网模型以及单Leaf组网模型都指单Fabric的网络组网连接，多个Fabric网络连接的多Fabric组网配置请参考《AD-Campus 6.5 多园区多Fabric配置指导》。

2.2.1  双Spine/双Leaf组网

1. 三层架构组网模型

图2-1 三层架构组网模型

 

三层架构组网模型包括Spine、Leaf、Access三层设备，是AD-Campus园区网方案的典型组网。

Spine设备需要支持VXLAN，主要作为路由反射器RR和路由转发设备，用于转发不同Leaf设备之间的路由，以及作为Border设备与各类服务器之间的互通；双Spine又可以分为M-LAG组网和非M-LAG组网，有线场景下，双Spine可根据用户需求选择是否配置M-LAG。若环境中有AC旁挂Spine设备，则两台Spine必须组成M-LAG，并且使用M-LAG接口与AC设备通信。Leaf设备需要支持VXLAN，用于用户认证和路由转发；Access设备作为接入设备，连接AP、终端设备，Access设备可支持多级Access的级联。

2. 二层架构组网模型

图2-2 二层架构组网模型

 

二层架构组网模型是AD-Campus园区网方案的一种特殊组网，只有Spine、Leaf二层设备，没有Access接入设备。无线AP和有线用户直连Leaf设备，Leaf设备与AP、用户的连接接口需要手动加入对应接口组。

Spine设备需要支持VXLAN，主要作为路由反射器RR和路由转发设备，用于转发不同Leaf设备之间的路由，以及作为Border设备与各类服务器之间的互通。双Spine又可以分为M-LAG组网和非M-LAG组网，有线场景下，双Spine可根据用户需求选择是否配置M-LAG。若环境中有AC旁挂Spine设备，则两台Spine必须组成M-LAG，并且使用M-LAG接口与AC设备通信。

3. 单Leaf组网（双Leaf）模型

图2-3 单Leaf组网（双Leaf）模型

 

单Leaf组网模型，没有Spine设备，Leaf设备下连接多台Access设备。网络部署非常简单，主要应用于小型网络。Leaf设备作为Border设备与各类服务器之间的互通。双Leaf必须配置M-LAG，否则可能出现Access无法激活的情况。若环境中有AC旁挂Leaf设备，则两台Leaf必须组成M-LAG，并且使用M-LAG接口与AC设备通信。

2.2.2  IRF组网

1. 三层架构组网模型

图2-4 三层架构组网模型

 

三层架构组网模型包括Spine、Leaf、Access三层设备，是AD-Campus园区网方案的典型组网。

Spine设备需要支持VXLAN，主要作为路由反射器RR和路由转发设备，用于转发不同Leaf设备之间的路由，以及作为Border设备与各类服务器之间的互通；Spine支持单机或堆叠。

Leaf设备需要支持VXLAN，用于用户认证和路由转发。

Access设备作为接入设备，连接AP、终端设备，Access设备需支持多级Access的级联。

2. 二层架构组网模型

图2-5 二层架构组网模型

 

二层架构组网模型是AD-Campus园区网方案的一种特殊组网，只有Spine、Leaf二层设备，没有Access接入设备。无线AP和有线用户直连Leaf设备，Leaf设备与AP、用户的连接接口需要手动加入对应接口组。

Spine设备需要支持VXLAN，主要作为路由反射器RR和路由转发设备，用于转发不同Leaf设备之间的路由，以及作为Border设备与各类服务器之间的互通，Spine支持单机或堆叠。

3. 单Leaf组网模型

图2-6 单Leaf组网模型

 

单Leaf组网模型，只有一台Leaf（或Leaf堆叠）设备，Leaf设备下连接多台Access设备，没有Spine设备。网络部署非常简单，主要应用于小型网络。Leaf设备作为Border设备与各类服务器之间的互通，Leaf支持单机或堆叠。

4. Aggr组网

图2-7 Aggr组网图

 

Aggr组网说明：

·     Aggr组网模型相较于原有标准三层/二层组网在Spine和Leaf之间增加了Aggr三层交换机，其无需支持VXLAN/EVPN。

·     Spine/Leaf/Access均支持单机或堆叠。

·     Spine/Leaf和Aggr之间连接多根连线构成ECMP（等价路由）。

·     Leaf和Access连接多根连线形成聚合。

2.3  服务器与设备的连接方式

前面介绍的三种组网模型是基于交换机设备角色Spine、Leaf、Access的组网连接方式，是目前AD-Campus园区网络的单个Fabric内基本的组网方式。

下面介绍统一数字底盘及组件（包含SeerEngine-Campus、vDHCP Server、EIA等）与交换机设备的连接方式：三层网络连接。

·     三层网络连接：指控制组件的管理IP与交换机设备的管理IP不是同一个网段，通过三层路由互通，控制组件可以部署在远端，主要应用于远程或本地。部署时使用一张、两张网卡均可。若使用一张网卡部署，SeerEngine-Campus和统一数字底盘共用该网卡；若使用两张网卡部署，则SeerEngine-Campus部署和统一数字底盘各使用一张网卡。

 

2.3.1  双Spine组网

图2-8 双Spine时服务器与设备的连接方式组网图

 

2.3.2  Spine堆叠组网

图2-9 Spine堆叠时服务器与设备的连接方式组网图

 

2.4  组网说明

(1)     AD-Campus组网中，SeerEngine-Campus、DHCP服务器和网络设备之间三层互联，若Spine为堆叠模式，则Spine设备的上行链路需要配置port trunk permit vlan 1 4094；

(2)     Spine设备需要支持VXLAN，主要作为路由反射器RR和路由转发设备，用于转发不同Leaf设备之间的路由，以及作为Border设备与各类服务器之间的互通。Spine设备与Leaf设备之间连接的链路为Underlay链路，配置Spine和Leaf设备之间路由可达即可；

(3)     Leaf与Access设备连接的接口为Leaf下行接口。Leaf下行接口配置为认证接口，用于用户认证。当用户上线时，Leaf设备通过“下行接口+VLAN ID”来识别不同的Access接口，并且根据不同的登录帐号进入到不同的用户安全组内；

(4)     Access设备作为二层接入设备，主要用于连接终端设备。Access与Leaf设备连接的链路为Access上行接口，配置为port trunk permit vlan all即可。Access设备之间支持级联，最多支持三级级联；

(5)     SeerEngine-Campus控制组件会为Access设备的每个下行接口分配一个VLAN ID，来标记每个终端的位置；从VLAN 101开始，多级级联的Access，接口VLAN分配依次递增。例如有二级Access，第一级从VLAN 101-VLAN 152，第二级则从VLAN 153开始分配，依次增加；同一台Leaf下不同下行接口连接的Access设备，每台Access设备的VLAN都是从VLAN 101开始分配；

(6)     Access设备连接用户的接口（与用户终端相连的接口）下发stp edged-port命令，设置成边缘端口。

# 

 interface GigabitEthernet1/0/31

 port link-mode bridge

 port access vlan 130

 stp edged-port

 #

 

2.5  业务配置流程

AD-Campus 6.5园区网解决方案，需要进行Underlay配置、设备纳管、Overlay配置和用户认证相关的配置。

·     Underlay配置为园区控制组件纳管设备之前的基础配置，主要是设备之间的物理连接相关的配置，通过设备自动化上线或者手动配置设备上线；

·     Overlay配置为用户业务相关配置，包括私网、二层网络域、安全组的创建，以及组间策略、服务链等配置；

·     用户认证相关的配置，包括用户管理、接入策略以及接入服务等用户认证相关的配置。用户认证相关配置通过EIA认证服务器实现。

图2-10 业务配置流程图

 

SeerEngine-Campus和EIA环境均支持单机部署和集群部署，具体参考《AD-Campus 6.5统一数字底盘及组件部署指导》。

 

3 配套应用及设备型号

3.1  配套应用

表3-1 配套应用

产品	名称	功能说明	说明
统一数字底盘（E0711）	GlusterFS	提供产品内本地共享存储功能	必选
	Portal	门户、统一认证、用户管理、服务网关、帮助中心	必选
	Kernel	权限、资源身份、License、配置中心、资源组、日志服务	必选
	Kernel-base	告警、访问参数模板、监控模板、报表、邮件短信转发服务	必选
	Network	基础网管（网络资源、网络性能、网络拓扑、iCC）	必选
	Dashboard	提供大屏框架	必选
	Widget	提供平台大屏功能	必选
	Websocket	提供传统设备自动化、新自动化功能	必选
	oneclickcheck	提供一键巡检功能	必选
	Syslog	Syslog相关功能，日志中心	可选
	Netconf	提供YANG能力集	可选
统一数字底盘（E0714）+基础网络管理	UDTP_Middle	中间件镜像库	必选
	UDTP_GlusterFS	提供产品内本地共享存储功能	必选
	UDTP_Core	门户、统一认证、用 户管理、服务网关、 帮助中心、权限、资源身份、License、配置中心、资源组、日 志服务	必选
	UDTP_IMonitor	提供自监控服务	必选
	BMP_Report	提供报表服务	必选
	BMP_QuickReport	提供快速报表服务	必选
	BMP_Alarm	提供告警服务	必选
	BMP_Dashboard	提供大屏框架	必选
	BMP_Widget	提供平台大屏Widget	必选
	BMP_OneClickCheck	提供一键巡检功能	必选
	BMP_Subscription	提供订阅服务	必选
	BMP_Template	访问参数模板、监控 模板	必选
	BMP_WebSocket	南向Websocket功能，实现新自动化	必选
	NSM_FCAPS-Res	网络设备的发现、纳管和基本信息管理	必选
	NSM_FCAPS-Perf	网络设备性能监控和展示	必选
	NSM_FCAPS-ICC	网络设备配置和软件部署、配置备份、配置审计	必选
	NSM_FCAPS-Topo	自定义拓扑、IP拓扑	必选
	NSM_FCAPS-Asset	网管资产管理	必选
园区场景所需的业务组件	SeerEngine-Campus	园区网管理园区控制组件—园区基础业务配置	必选
	vDHCP	DHCP服务器—自动化上线设备地址及终端用户地址分配	必选
	EIA	终端智能接入—用户认证业务配置	必选
	WSM	无线管理平台—提供无线接入网络服务	可选
	EAD	终端准入控制平台—控制终端受限接入	可选
	EPS	端点探测系统—主动识别终端、终端接入检测	可选
	SeerAnalyzer	先知分析器—网络数据采集、分析	可选
	SMP	提供防火墙管理功能	可选
支持紧耦合的DHCP服务器	vDHCP Server	H3C自研DHCP Server	必选
	微软DHCP Server	支持紧耦合、松耦合	/

 

3.2  设备型号及角色

表3-2 支持的设备型号及角色

设备型号	默认角色	支持的非默认角色
S12500G-AF（T系列）	Spine	Leaf/Access/Aggr
S12500G-AF（S系列，信创款型）	Spine	Leaf/Access/Aggr
H3C S12500G-EF系列交换机（信创款型）	Spine	Leaf/Access/Aggr
S12600-G（信创款型）	Spine	Leaf/Access/Aggr
S10500X-G（信创款型）	Spine	Leaf/Access/Aggr
S10600X-G（信创款型）	Spine	Leaf/Access/Aggr
S10500X	Leaf	Spine/Access/Aggr
S7500X	Leaf	Spine/Access/Aggr
S7500X-G（信创款型）	Leaf	Spine/Access/Aggr
S8600X-G（信创款型）	Leaf	Spine/Access/Aggr
S9800-G（信创款型） S6800-G（信创款型）	Leaf	Spine/Access/Aggr
S9600XP-G（信创款型） S7800XP-G（信创款型）	Leaf	Spine/Access/Aggr
S6800-G（信创款型） S9800-G（信创款型）	Leaf	Spine/Access/Aggr
S6530X	Leaf	Spine/Access/Aggr
S6550XE-HI S6525XE-HI	Leaf	Access/Aggr
S6520X-HI	Leaf	Access/Aggr
S5560X-HI	Leaf	Access/Aggr
S6520X-EI（不支持微分段）	Leaf	Access/Aggr
S5560X-EI（不支持微分段）	Leaf	Access/Aggr
S5590-HI（信创款型） S5590-EI（信创款型）	Leaf	Access/Aggr
S5590XP-G（信创款型）	Leaf	Access/Aggr
S5800X-G（信创款型） S5800XP-G（信创款型）	Leaf	Access/Aggr
FS5500	Leaf	Access
FS5300	Access	无
S6520X-SI（含S6520X-MC-SI）	Access	无
S5170-EI	Access	无
S5570S-EI	Access	无
S5130S-EI S5130S-HI	Access	无
S5130S-HI-G（信创款型） S5130S-EI-G（信创款型）	Access	无
S5560-G（信创款型）	Access	无
S5600-G（信创款型）	Access	无
S6520X-G（信创款型）	Access	无
S6600X-G（信创款型）	Access	无
S5200-HI-G S5200-EI-G	Access	无

 

4 资源&IP地址规划

4.1  服务器资源规划

服务器与设备之间连接的中间交换机称为L3交换机。无论是设备是自动化部署还是手动配置纳管，中间连接的L3交换机上都需要进行手动配置，保证设备和控制组件之间的连通。

配置之前需先规划好网络，SeerEngine-Campus控制组件和统一数字底盘可以共用一张网卡，也可以分别使用不同网卡。

 

1. 双Spine上行组网

SeerEngine-Campus和统一数字底盘共用网卡

图4-1 SeerEngine-Campus控制组件和统一数字底盘共用网卡

 

表4-1 服务器IP列表&L3-Switch网段规划

规划项	数据示例	说明
VLAN 1 网段（网关）	120.1.0.0/24(120.1.0.1)	VLAN 1的网络，用于自动化上线
VLAN 4094 网段（网关）	130.1.0.0/24(130.1.0.1)	VLAN 4094的网络，用于控制组件和设备通信
VLAN 10 网段（网关）	10.0.0.0/24(10.0.0.1)	VLAN10用于与Spine三层互通
VLAN 11 网段（网关）	11.0.0.0/24(11.0.0.1)	VLAN11用于与Spine三层互通
VLAN 30 网段（网关）	100.1.0.0/24(100.1.0.1)	统一数字底盘&SeerEngine-Campus&vDHCP使用的网段
Underlay IP 网段	200.1.1.0/24	Spine与Leaf环回口地址网段
统一数字底盘北向业务IP	100.1.0.100	登录统一数字底盘的地址
EIA	100.1.0.100	EIA服务器的地址，融合部署时EIA复用统一数字底盘的北向业务IP
SeerEngine-Campus集群IP	100.1.0.200	SeerEngine-Campus的集群地址
SeerEngine-Campus节点IP	Node1：100.1.0.201 Node2：100.1.0.202 Node3：100.1.0.203	SeerEngine-Campus集群包含的三个节点地址
vDHCP集群IP	100.1.0.204	vDHCP服务器的集群地址，实际不使用
vDHCP节点IP	Node1：100.1.0.205 Node2：100.1.0.206	vDHCP服务器使用的两个节点地址
微软DHCP的IP	8.0.1.171	微软DHCP服务器使用地址

 

SeerEngine-Campus和统一数字底盘分别使用网卡

图4-2 SeerEngine-Campus控制组件和统一数字底盘分别使用网卡

 

本例以SeerEngine-Campus控制组件和统一数字底盘各使用一张网卡为例，做如下地址规划：

表4-2 服务器IP列表&L3-Switch网段规划

规划项	数据示例	说明
VLAN 1 网段（网关）	120.1.0.0/24(120.1.0.1)	VLAN 1的网络，用于自动化上线
VLAN 4094网段（网关）	130.1.0.0/24(130.1.0.1)	VLAN 4094的网络，用于控制组件和设备通信
VLAN 10 网段（网关）	10.0.0.0/24(10.0.0.1)	VLAN10用于与Spine三层互通
VLAN 11网段（网关）	11.0.0.0/24(11.0.0.1)	VLAN11用于与Spine三层互通
VLAN30网段（网关）	100.1.0.0/24(100.1.0.1)	统一数字底盘使用的网段，用于PC和统一数字底盘的通信
VLAN 1010（网关）	110.1.0.0/24(110.1.0.1)	SeerEngine-Campus&vDHCP使用的网段，用于设备和控制组件的通信（SeerEngine-Campus使用独立网卡时配置）
Underlay IP网段	200.1.1.0/24	Spine与Leaf环回口地址网段
统一数字底盘北向业务IP	100.1.0.100	登录统一数字底盘的地址
EIA	100.1.0.100	EIA服务器的地址
SeerEngine-Campus集群IP	110.1.0.100	SeerEngine-Campus的集群地址
SeerEngine-Campus节点IP	Node1：110.1.0.101 Node2：110.1.0.102 Node3：110.1.0.103	SeerEngine-Campus集群包含的三个节点地址
vDHCP集群IP	110.1.0.104	vDHCP服务器的集群地址,实际不使用
vDHCP节点IP	Node1：110.1.0.105 Node2：110.1.0.106	vDHCP服务器使用的两个节点地址
微软DHCP的IP	8.0.1.171	微软DHCP服务器使用地址

 

2. Spine堆叠上行组网

SeerEngine-Campus和统一数字底盘共用网卡

SeerEngine-Campus控制组件和统一数字底盘可以共用一张网卡，此时统一数字底盘、SeerEngine-Campus、vDHCP、EIA使用相同网段的IP地址。

图4-3 SeerEngine-Campus控制组件和统一数字底盘共用网卡

 

表4-3 服务器IP列表

规划项	数据示例	说明
VLAN 1 网段（网关）	120.1.0.0/24(120.1.0.1)	VLAN 1的网络，用于自动化上线
VLAN 4094网段（网关）	130.1.0.0/24(130.1.0.1)	VLAN 4094的网络，用于控制组件和设备通信
VLAN30网段（网关）	100.1.0.0/24(100.1.0.1)	统一数字底盘&SeerEngine-Campus&vDHCP使用的网段
VLAN 91 网段	91.1.0.0/24	手工纳管时Spine与Leaf通信使用的VLAN
Underlay IP网段	200.1.1.0/24	Spine与Leaf环回口地址网段
统一数字底盘北向业务IP	100.1.0.100	登录统一数字底盘的地址
EIA	100.1.0.100	EIA服务器的地址，融合部署时EIA复用统一数字底盘的北向业务IP
SeerEngine-Campus集群IP	100.1.0.200	SeerEngine-Campus的集群地址
SeerEngine-Campus节点IP	Node1：100.1.0.201 Node2：100.1.0.202 Node3：100.1.0.203	SeerEngine-Campus集群包含的三个节点地址
vDHCP集群IP	100.1.0.204	vDHCP服务器的集群地址，实际不使用
vDHCP节点IP	Node1：100.1.0.205 Node2：100.1.0.206	vDHCP服务器使用的两个节点地址
微软DHCP的IP	8.0.1.171	微软DHCP服务器使用地址

 

SeerEngine-Campus和统一数字底盘分别使用网卡

SeerEngine-Campus控制组件和统一数字底盘可以使用不同网卡，使用两个网段的IP地址，此时EIA和统一数字底盘集群使用一个网段，SeerEngine-Campus、vDHCP使用一个网段。

图4-4 SeerEngine-Campus控制组件和统一数字底盘分别使用网卡

 

本例以SeerEngine-Campus控制组件和统一数字底盘各使用一张网卡为例，做如下地址规划：

表4-4 服务器IP列表

规划项	数据示例	说明
VLAN 1 网段（网关）	120.1.0.0/24(120.1.0.1)	VLAN 1的网络，用于自动化上线
VLAN 4094 网段（网关）	130.1.0.0/24(130.1.0.1)	VLAN 4094的网络，用于控制组件和设备通信
VLAN 30 网段（网关）	100.1.0.0/24(100.1.0.1)	统一数字底盘使用的网段，用于PC和统一数字底盘的通信
VLAN 1010 网段（网关）	110.1.0.0/24(110.1.0.1)	SeerEngine-Campus&vDHCP使用的网段，用于设备和控制组件的通信（SeerEngine-Campus使用独立网卡时配置）
VLAN 91 网段	91.1.0.0/24	手工纳管时Spine与Leaf通信使用的VLAN
Underlay IP网段	200.1.1.0/24 201.1.1.0/24	Spine与Leaf环回口地址网段
统一数字底盘北向业务IP	100.1.0.100	登录统一数字底盘的地址
EIA	100.1.0.100	EIA服务器的地址
SeerEngine-Campus集群IP	110.1.0.100	SeerEngine-Campus的集群地址
SeerEngine-Campus节点IP	Node1：110.1.0.101 Node2：110.1.0.102 Node3：110.1.0.103	SeerEngine-Campus集群包含的三个节点地址
vDHCP集群IP	110.1.0.104	vDHCP服务器的集群地址,实际不使用
vDHCP节点IP	Node1：110.1.0.105 Node2：110.1.0.106	vDHCP服务器使用的两个节点地址
微软DHCP的IP	8.0.1.171	微软DHCP服务器使用地址

 

4.2  用户资源规划

本文中用户业务的资源规划如下表所示。

表4-5 用户业务资源规划

规划项	数据示例	说明
教师安全组网段（网关）	20.0.0.0/16(20.0.0.1)	教师安全组用户使用的网络
BYOD安全组网段（网关）	50.0.0.0/16(50.0.0.1)	BYOD用户使用的网络
Guest网段（网关）	22.2.2.0/24(22.2.2.1)	Guest用户使用的网络
认证失败网段（网关）	33.3.3.0/24(33.3.3.1)	认证失败用户使用的网络
逃生网段（网关）	40.0.0.0/16(40.0.0.1)	逃生用户使用的网络

 

4.3  用户VLAN规划

SeerEngine-Campus预置了部分VLAN池，路径：[自动化>园区网络>网络设备]，单击右上角“VNID池”链接，进入VNID池配置页面，单击“VLAN”页签进入VLAN池页面，在该页面可查看系统当前所有VLAN池信息。

系统默认创建了8个资源池：无线管理网VLAN池（default_wireless_manage）、环网控制VLAN池(default_circle_control)、无线业务VLAN池（default_wireless）、有线业务VLAN池（default_wired）、安全组VLAN池（default_security_group）、QinQ VLAN池（default_qinq）、园区Access VLAN池（default_access）和M-LAG VLAN池（default_mlag）。这8个资源池名称不允许修改。

支持手动创建的VLAN池类型：园区出口VLAN池、安全外网出口VLAN池、园区静态接入VLAN池、园区免认证VLAN池、管理网出口VLAN池、园WAN互联VLAN池。

表4-6 资源池列表

VLAN池	取值范围	网络类型	说明
无线管理网VLAN池	默认值4093	VLAN	用于无线AC、AP的管理通道
无线业务VLAN池	默认值3501-3600	VLAN	用于为VLAN网络类型的隔离域下的无线用户分配VLAN ID
有线业务VLAN池	默认值101-3000	VLAN	用于为VLAN网络类型的隔离域下的有线用户分配VLAN ID
环网控制VLAN池	默认值98-99	VXLAN/VLAN	用户Access环网配置
QinQ VLAN池	默认值 20	VLAN	用户QinQ配置
安全组VLAN池	默认值3501-4000	VLAN	用于安全组VLANID分配
园区Access VLAN池	默认值101-3000	VXLAN	给接入设备Access与终端连接接口分配VLAN ID
M-LAG VLAN池	默认值 2	VXLAN	M-LAG的逃生VLAN，用于2台设备之间Underlay互通
默认Underlay VLAN（非VNID池）	VLAN3001-3500	VXLAN	用于设备自动化上线Spine-Leaf间互联的，系统默认值，不可修改
园区出口VLAN池	手动配置	VXLAN	园区出口业务，Border与外网连接使用
安全外网出口VLAN池	手动配置	VXLAN	园区安全出口业务，与FW连接使用
园区静态接入VLAN池	手动配置	VXLAN	静态AC认证配置使用
园区免认证VLAN池	手动配置	VXLAN	免认证业务使用
管理网出口VLAN池	手动配置	VXLAN	双Spine/双Leaf与L3交换机连接使用
园WAN互联VLAN池	手动配置	VXLAN	园数融合业务使用

 

 

图4-5 VLAN池信息

 

若用户需调整各资源的VLAN池范围，单击上图列表操作列的修改图标，进入VLAN池编辑页面。在“VLAN范围”区域，单击列表操作列的修改图标，进入修改VLAN范围页面，根据用户规划修改VLAN范围。

图4-6 修改VLAN范围

 

5 AD-Campus基础配置

5.1  登录AD-Campus控制组件页面

(1)     安装部署完成后，在浏览器地址栏中输入AD-Campus控制组件登录地址，进入AD-Campus控制组件登录页面，如下图所示。其中，登录地址格式为：http://100.1.0.100:30000/central，登录IP为“统一数字底盘的集群北向业务虚IP”，默认登录的用户名/密码：admin/Pwd@12345。

图5-1 登录界面

 

(2)     用户名、密码输入完成后，单击<登录>按钮，进入AD-Campus控制组件配置页面，如下图所示。

图5-2 首页

 

(3)     单击页面左上角AD-Campus图标，可查看所有菜单，如下图所示。

图5-3 所有菜单项

 

(4)     自动化功能模块用于园区网业务的配置。单击页面中“自动化”页签，展开左侧导航树中菜单项，如下图所示。

¡     配置部署：用于设备备份、配置恢复以及软件库等相关业务的配置；

¡     园区网络：主要用于SeerEngine-Campus控制组件业务相关的配置菜单，包括设备上线的自动化模板创建、隔离域、Fabric、安全组、用户组间策略及服务链等业务的配置；

¡     用户业务：EIA认证服务器的业务配置菜单，包括接入服务、接入策略以及接入用户的配置。

图5-4 自动化菜单

 

5.2  License注册

 

(1)     路径：[系统>License管理>License信息]。

(2)     系统安装部署后，默认提供一个试用License，可临时使用，如下图所示。

图5-5 License server

 

(3)     在该页面License server信息区域配置License server信息，具体参数说明如下：

¡     IP地址：License server的IP地址，需确保集群的北向IP和License server互通；

¡     端口号：本例为5555；

¡     客户端名称：License server中配置的客户端名称，本例为admin；

¡     客户端密码：License server中配置的客户端密码，本例为admin@123。

(4)     License server配置完成后，单击<连接>按钮，连接License server服务器。License注册完成后，在License信息区域会列出注册的授权信息，如下图所示：

图5-6 License信息

 

5.3  配置前提

在使用配置向导配置业务之前，需对终端管理参数、认证服务器及DHCP服务器进行配置。

5.3.1  终端管理参数配置

此章节按需配置，若EIA融合部署于控制组件，则此处无需配置。

若需配置终端管理参数，以启用用户认证服务器上的VXLAN组网功能，具体配置步骤如下：

(1)     路径：[自动化>用户业务>业务参数>接入参数>系统配置]，如下图所示。

图5-7 终端管理参数配置

 

(2)     在列表中找到模板名称为“终端管理参数配置”的模板，单击相应配置列的修改图标，进入终端管理参数配置页面，如下图所示。在该页面中需配置“终端管理参数配置”区域及“控制组件配置”区域的参数。

终端管理参数配置区域的参数说明如下：

¡     VXLAN组网：选择“是”；

¡     MAC Portal认证：选择“启用”；

¡     无感知认证：选择“启用”；

¡     同名账号强制解除IP绑定：默认为“否”。

-     否：选择“否”表示IP地址不抢占，已生成的IP绑定不会被复用。

-     是：选择“是”表示IP绑定可进行IP地址抢占，IP绑定的终端下线时，其他终端上线会复用已下线终端的IP绑定IP地址。

¡     单帐号最大绑定终端数：用于限制一个帐号最多能支持的认证终端数量，默认为10。例如，设置“单帐号最大绑定终端数”10，则最多可以有10个终端使用该帐号认证上线。

图5-8 终端管理参数配置

 

控制组件配置区域的参数说明如下：

¡     内置控制器：默认选择“是”，指的是SeerEngine-Campus和EIA部署在同一平台上，此时不需要手工填写参数；若选择“否”，则需要填写如下参数：

¡     IP地址：登录SeerEngine-Campus控制组件的地址；

¡     端口：30000（登录统一数字底盘的端口号）；

¡     用户名/密码：默认为“admin”/“Pwd@12345”；

¡     通信协议：HTTP或HTTPS（默认为HTTP，根据部署统一数字底盘时设置的协议填写）。

图5-9 控制组件配置

 

5.3.2  AAA

AAA服务器支持H3C的EIA V9（容器化EIA）和第三方认证服务器。

路径：[自动化>园区网络>网络参数>AAA]，单击<增加>按钮，增加EIA服务器。

·     名称：与当前环境中已有的AAA服务器名称不重复即可；

·     服务器类型：

¡     EIA V9：基于统一数字底盘平台部署的EIA服务器；

¡     第三方认证：用于Web Portal的认证接口业务；

·     协议：登录EIA服务器时使用的协议，默认HTTP；

·     IPv4地址：EIA服务器的地址；

·     GUI端口：根据选择的服务器类型系统自动填充；

·     用户名：登录EIA服务器时使用的用户名；

·     密码：登录EIA服务器时使用的密码。

图5-10 增加认证服务器

 

2. EIA V9

EIA V9容器化部署，在统一数字底盘集群环境中若勾选了“融合EIA”，则此处默认添加“Default EIA”。

3. 第三方认证

第三方认证用于Web Portal认证业务，SeerEngine-Campus控制组件只添加第三方服务器的IP地址，不做任何数据同步，需保证第三方认证服务器与设备互通。

图5-11 增加第三方认证服务器

 

5.3.3  DHCP服务器

路径：[自动化>园区网络>网络参数>DHCP]。

单击<增加>按钮，进入增加DHCP服务器页面。

图5-12 增加DHCP服务器

 

增加DHCP服务器页面中，增加DHCP服务器的“管理方式”支持“紧耦合”和“松耦合”两种方式。

图5-13 选择管理方式

 

2. 紧耦合

 

vDHCP Server

(1)     在增加DHCP服务器页面中，填写参数如下所示，单击<确定>按钮完成配置。

¡     管理方式：选择“紧耦合”，vDHCP Server只支持紧耦合。

¡     使用高可用：集群环境时需勾选；若是单机环境，则不需要勾选。

¡     启用双栈：涉及IPv6自动化或者用户IPv6业务时开启，具体配置请参考《AD-Campus 6.5 IPv6业务配置指导》

¡     IP地址：填写的是部署vDHCP时分配的IP，可在部署vDHCP的页面查看，查看路径：[系统>部署管理]，在列表中展开“公共服务”项，单击查看详情。集群IP默认不使用。

图5-14 查看详情

 

¡     厂商：选择“H3C”。

图5-15 增加DHCP服务器

 

(2)     增加DHCP Server后，需在DHCP列表页面中单击按钮同步DHCP Server，同步完成后“审计状态”会显示“审计成功”。

图5-16 同步

 

(3)     单击名称（上图中的vDHCP），可以查看DHCP服务器的地址池以及IP地址分配等情况。

图5-17 查看DHCP服务器信息

 

Microsoft DHCP Server

微软DHCP Server的硬件配置，请参考表1-1硬件配置要求。

1.     增加DHCP Server。

a.     在增加DHCP服务器页面中，“厂商”选择“Microsoft”，具体参数如下所示，单击<确定>按钮完成配置。

-     管理方式：选择“紧耦合”。

-     使用高可用：微软DHCP HA主备环境时需勾选；若是单机环境，则不需要勾选。

-     IPv4地址：微软DHCP的IP地址。若HA环境，则需要分别填写两台微软DHCP Server的IP地址。

-     厂商：选择“Microsoft”。

图5-18 增加微软DHCP服务器

 

b.     增加DHCP Server后，在增加中单击按钮，会同步DHCP Server，并且在“审计状态”会显示“审计成功”。

c.     DHCP列表页面右上角的按钮，用于监控微软DHCP HA的状态，缺省“开启”。SeerEngine-Campus控制组件会定期监测DHCP HA的状态，若检测到微软DHCP备作用域状态故障，则控制组件会自动拉起微软DHCP备作用域。

图5-19 微软DHCP服务器

 

(4)     配置VXLAN4094地址池。

 

在DHCP列表中单击微软DHCP名称链接，进入DHCP服务器信息页面。

图5-20 DHCP服务器信息

 

切换至“地址池”页签，单击<增加>按钮，增加地址池。

¡     子网网段：与设备的VXLAN4094的网段一致，该地址池不用于用户实际业务。

¡     网关地址：设置与VXLAN4094同网段IP即可。

¡     其他参数使用默认值。

图5-21 增加地址池

 

创建完成，部署成功后，在微软的DHCP Server上可以查看到创建的作用域，如下图所示。

图5-22 查看作用域

 

3. 松耦合

 

不同DHCP Server的配置方式不同，微软DHCP Server的配置请参考11.1.6  逃生DHCP Server配置。

松耦合的DHCP Server，不能进行同步，没有按钮，审计状态为“--”。

图5-23 松耦合的DHCP Server

 

4. DHCP配置查看

在DHCP配置页面，单击DHCP服务器名称的链接，打开“DHCP服务器信息”页面。

“DHCP服务器信息”页面可支持地址池信息、已分配地址等信息的查看，以及支持手动配置地址池、增加保留IP地址、禁止分配IP地址等配置。

图5-24 DHCP链接

 

图5-25 DHCP服务器信息页面

 

5. IP地址冲突检测

IP地址冲突检测，有2种方式：

开启IP地址冲突探测

vDHCP Server，有一个“服务器配置”页面，默认已勾选“开启IP地址冲突探测”。

勾选“开启IP地址冲突探测”，控制组件会向vDHCP Server下发如下命令：

#

dhcp server ping timeout 501   //配置DHCP服务器等待ICMP回显响应报文的超时时间

dhcp server ping packet 2   //配置DHCP服务器发送ICMP回显请求报文的最大数目

#

上述命令实现如下功能：

DHCP服务器为客户端分配地址前，需要先对该地址进行探测，以防止IP地址重复分配导致地址冲突。

DHCP服务器的地址探测是通过ping功能实现的，通过检测是否能在指定时间内得到ping响应来判断是否存在地址冲突。DHCP服务器从地址池中选择IP地址，如果在指定时间内收到ICMP回显响应报文，则认为存在地址冲突；如果未收到ICMP回显响应报文，则将地址分配给客户端，从而确保客户端获得的IP地址唯一。

图5-26 服务器配置

 

IP地址冲突显示

设备纳管后控制组件会向设备下发如下命令，开启IP地址冲突订阅功能：

info-center loghost vpn-instance vpn-default IP  （Spine/Leaf设备）

info-center loghost IP （Access设备）

当组网中出现IP冲突后，设备会向控制组件上报冲突信息，在DHCP地址分配展示页面中显示冲突信息。

图5-27 地址池信息

 

5.3.4  静态服务实例按需生效

如果组网中有S6520X系列或S5560X系列设备，则建议在路径[自动化>园区网络>网络参数>参数]的全局配置页签下开启静态服务实例按需生效功能，节省硬件资源。

图5-28 全局配置

 

开启后，只有当静态服务实例接收到业务流量时，设备才会将服务实例的转发信息下发到驱动资源，使配置生效。Leaf接口对应的静态服务实例下下发如下配置：

#                                                                              

interface Bridge-Aggregation1024                                               

 port link-type trunk                                                          

 port trunk permit vlan 1 101 to 3000 4094                                    

 link-aggregation mode dynamic                                                 

 stp tc-restriction                                                            

 mac-based ac

dot1x                                                                          

 undo dot1x multicast-trigger                                                  

 dot1x unicast-trigger                                                         

 dot1x critical vsi vsi9                                                        

 dot1x critical eapol                                                          

 mac-authentication                                                            

 mac-authentication domain                     

 port-security free-vlan 1 3501 to 3505 4094                                   

 #                                                                             

 service-instance 3501                                                         

  encapsulation s-vid 3501                                                     

  xconnect vsi vsi3 on-demand   //按需下发                                                

  arp detection trust

#

5.3.5  VXLAN按需下发

VXLAN按需下发功能支持用户灵活组网，用户VXLAN网关支持按需指定生效设备，三层VPN流量自动打通，安全组间的策略按需下发，减少对设备资源的消耗。用户需要在配置二层网络域之前确认是否开启此功能，配置了二层网络域以后无法再次修改。以下仅介绍差异项，隔离域配置和二层网络域配置请参考7.2  接入网络。VXLAN按需下发功能目前仅支持IP策略，暂不支持组策略。

1. 隔离域开启VXLAN按需下发

在隔离域下下开启VXLAN按需下发的路径：[自动化>园区网络>隔离域]，单击，进入修改隔离域页面，单击进入<高级>页面，开启VXLAN按需下发功能。

图5-29 开启VXLAN按需下发功能

 

2. 配置网关设备

隔离域开启VXLAN按需下发后，该隔离域内二层网络域页面会增加网关设备配置选项

图5-30 网关设备

 

单击<增加>按钮，选择需要下发该二层网络域的设备，配置完成后，控制组件仅在指定的设备上下发VXLAN网关，属于该二层网络域的用户，仅能在对应的网关设备上线。二层网络域所属的私有网络，即用户VPN也会按需下发在对应的网关设备，以及本Fabric的Spine设备上，控制组件自动打通跨VXLAN的三层路由。通过以上操作，避免设备上VSI和VPN相关资源的浪费。

图5-31 增加网关设备

 

如果二层网络域网关设备仅选择单台设备，用户可以选择在高级参数页面关闭该二层网络域的ARP通告或ND通告，减少占用设备的路由资源。

5.3.6  网络固化

Underlay网络固化默认为关闭。开启状态下，控制组件不允许纳管新设备和删除设备（含无线设备），不允许自动化上线等操作，当网络处于非稳态时，比如有设备在纳管中、上线中、配置恢复中，不允许开启/关闭固化。

1. 全局开启网络固化

路径：[向导>园区网络 >Fabrics]，单击进入Fabric修改页面，切换到[设置]页签。

图5-32 开启Underlay网络固化

 

若此处勾选了“同步开启当前Fabric下的Spine/Aggregation/Leaf设备Underlay网络固化”，则此Fabric下的Spine/Aggregation/Leaf设备都会自动开启Underlay网络固化功能，若此处未勾选，则可以在[向导>园区网络>网络设备]下，选择具体的设备，单击进入设备修改页面，开启该设备的Underlay网络固化功能。

图5-33 开启设备Underlay网络固化

 

2. 配置固化例外接口（可选）

针对Leaf设备，可以配置固化外例外接口，配置了该接口以后，该接口的自动化功能仍然可用。

图5-34 固化例外接口

 

3. 扩容场景处理

对于已开启网络固化的Fabric，后续如需扩容Leaf或Access设备上线，需打开扩容设备互联的设备的自动化进程，并且针对不同的场景需要进行不同的操作，具体如下：

扩容Leaf场景

自动化上线场景：需关闭Spine、Aggregation和Fabric的网络固化功能，完成扩容后，再开启Spine、Aggregation、扩容Leaf和Fabric的网络固化功能。

手工纳管上线场景：需关闭Fabric全局网络固化，完成扩容后，再开启扩容Leaf和Fabric的网络固化功能。

(1)     关闭Fabric全局网络固化，不要勾选“同步关闭当前Fabric下的Spine/Aggregation/Leaf设备Underlay网络固化”。

图5-35 关闭Fabric全局网络固化

 

(2)     关闭Spine和Aggregation设备网络固化，以Spine为例，手工纳管上线场景请跳过该步骤。

图5-36 关闭Spine和Aggregation设备网络固化

 

(3)     完成扩容之后，开启Spine、Aggregation、扩容Leaf和Fabric的网络固化功能。

扩容一级Access（原自动化场景或手工纳管场景）

自动化上线或手工纳管场景均需关闭Fabric全局网络固化。

Leaf自动化上线，扩容一级Access设备自动化上线：需要关闭Leaf设备的网络固化功能。（Leaf设备会开启自动化进程）

Leaf自动化上线，扩容一级Access设备手动纳管：关闭Leaf设备的网络固化功能（Leaf设备会开启自动化进程），扩容的一级Access使能自动化拓扑功能。Leaf下行口会自动下发4094服务实例以及trunk permit vlan的配置。

Leaf自动化上线，扩容一级Access设备手动纳管：开启Leaf设备网络固化功能，Leaf下行口添加到固化例外接口，Leaf设备需要手动配置Leaf下行口4094服务实例以及trunk permit vlan all的配置。

Leaf设备手动纳管，扩容一级Access设备自动化上线，开启Leaf设备网络固化功能，Leaf下行口添加到固化例外接口。Leaf设备需要手动将自动化拓扑使能并手动配置Leaf下行口4094服务实例以及trunk permit vlan all的配置。

Access设备完成上线后，删除Leaf固化例外接口的Leaf下行口，并开启Fabric全局网络固化功能，以及Leaf设备网络固化功能。

具体步骤如下截图：

1.     关闭Fabric全局网络固化，不要勾选“同步关闭当前Fabric下的Spine/Leaf设备Underlay网络固化”。

图5-37 关闭Fabric全局网络固化

 

2.     将扩容的Access对应的互联Leaf的下行接口加入到固化例外接口中。

图5-38 增加固化例外接口

 

3.     完成扩容之后，再开启Fabric的网络固化功能，删除互联Leaf的固化例外接口。

扩容一级Access（新自动化场景）

新自动化上线场景下需关闭Fabric全局网络固化，并将此一级Access互联的Leaf下行口加入到固化例外接口中，Access设备完成上线后，删除Leaf固化例外接口的Leaf下行口，并开启Fabric全局网络固化功能，具体步骤如下截图：

1.     关闭Fabric全局网络固化，不要勾选“同步关闭当前Fabric下的Spine/Aggregation/Leaf设备Underlay网络固化”。

图5-39 关闭Fabric全局网络固化

 

(4)     将扩容的Access对应的互联Leaf的下行接口加入到固化例外接口中。

图5-40 增加固化例外接口

 

(5)     完成扩容之后，再开启Fabric的网络固化功能，删除互联Leaf的固化例外接口。

扩容二级/三级Access

自动化上线或手工纳管场景均需关闭Fabric全局网络固化，并将此二级/三级Access上联的一级Access互联的Leaf下行口配置为例外接口。完成设备自动化上线后，删除Leaf固化例外接口的Leaf下行口，并开启Fabric全局网络固化功能。

1.     关闭Fabric全局网络固化，不要勾选“同步关闭当前Fabric下的Spine/Aggregation/Leaf设备Underlay网络固化”。

图5-41 关闭Fabric全局网络固化

 

(6)     将二级/三级Access上联的一级Access互联Leaf的下行接口加入到固化例外接口中。

图5-42 增加固化例外接口

 

(7)     完成扩容之后，再开启Fabric的网络固化功能，删除互联Leaf的固化例外接口。

5.3.7  环路检测优化

环路检测优化作为STP的补充，与STP并存部署。主要用于解决组网中连接了一些无法透传STP或LLDP报文的设备（HUB或第三方设备），STP无法阻塞环路的场景，如下图所示：

图5-43 STP环路使用场景

 

 

2. STP黑洞探测

STP黑洞探测主要用于解决组网中连接的设备无法透传STP场景下的环路问题。设备启用黑洞探测后端口会定时发送环路探测报文，当端口收到发送的环路探测报文时block端口。

(1)     路径：[自动化>园区网络>Fabric>设置]，在Fabric设置页面，STP黑洞探测设置为“开启”。发包周期和超时时间推荐保持默认值。

图5-44 开启STP黑洞探测

 

(2)     开启STP黑洞探测后，控制组件会向Spine、Leaf和Access下发全局的STP黑洞探测命令。

#

stp global timer blackhole-detection-interval 2

stp global timer rx-blackhole-timeout 16

stp global blackhole-detection enable                                                     

#

(3)     当端口探测到环路时，通过命令可查看block端口信息。

[Access-28S1]display stp blackhole-detection blocked-port

 Blocked port: GigabitEthernet1/0/1

               GigabitEthernet1/0/2

[Access-28S1]

3. LLDP跨域检测

LLDP跨域检测，通过扩展LLDP协议，在LLDP协议中携带区域ID进行链路连接的检测。以Leaf为单位划分区域，不同Leaf的区域ID值不同，当端口接收到不同区域的LLDP报文时，则认为端口连接为错误连接进行阻塞。

(1)     路径：[自动化>园区网络>Fabric>设置]，在Fabric设置页面，LLDP跨域检测设置为“开启”。

图5-45 开启LLDP跨域探测

 

(2)     开启LLDP跨域检测后，控制组件会在通用策略组页面增加一个“LLDP跨域接口组”的通用策略组,并将Leaf下行物理接口自动加入到该组中。

图5-46 LLDP跨域接口组

 

(3)     开启LLDP跨域检测后，控制组件会向Leaf和Access 设备下发LLDP跨域探测命令。

Leaf设备：

Leaf与Access连接的物理接口下发lldp cross-domain-detection的命令。

#

interface Ten-GigabitEthernet0/0/2

 port link-mode bridge

 description SDN_LAGG_MLAG

 port link-type trunk

 port trunk permit vlan 1 101 to 3000 4094

 stp instance 0 port priority 16

 stp instance 0 cost 1

 stp tc-restriction

 lldp cross-domain-detection enable

 lldp cross-domain-detection domain-id 2  //区域ID，同一台Leaf的不同下行接口下发的domain-id 相同，不同Leaf下发的domain-id不同。（M-LAG设备，2台Leaf下发的domain-id相同）

 port link-aggregation group 3

 #

 service-instance 4094

  encapsulation s-vid 4094

  xconnect vsi vxlan4094

#

Access设备：

Access设备，下发全局的lldp cross-domain-detection的命令

#

lldp global cross-domain-detection enable

#

当端口检测到环路时，通过命令可查看端口是否block。

[Access-28S1]display lldp status interface GigabitEthernet 1/0/5 

LLDP status information of port 5 [GigabitEthernet1/0/5]:

LLDP agent nearest-bridge:

Port status of LLDP            : Enable

Admin status                   : TX_RX

Trap flag                      : No

MED trap flag                  : No

Polling interval               : 0s

Number of LLDP neighbors       : 1

Number of MED neighbors        : 0

Number of CDP neighbors        : 0

Number of sent optional TLV    : 12

Number of received unknown TLV : 0

Neighbor protection status     : Port blocked (diffrent domain)

5.3.8  RRPP环网下配置ACL实现网络隔离

RRPP环网下，建议关闭Fabric中的Access端口隔离，此时若配置了静态接入业务或免认证业务，需要在Access上配置ACL允许网关MAC实现网络隔离。

全局配置：

#

traffic classifier 1 operator and                                              

 if-match source-mac 0000-0000-0001 //网关MAC                                           

#                                                                              

traffic classifier 2 operator and                                              

 if-match any                                                                   

#                                                                              

traffic behavior 1                                                             

 filter permit                                                                  

#                                                                              

traffic behavior 2                                                             

 filter deny                                                                    

#                                                                              

qos policy 1                                                                   

 classifier 1 behavior 1                                                       

 classifier 2 behavior 2

Access连接用户终端的接口上配置：

#                                                                              

interface GigabitEthernet1/0/22 

qos apply policy 1 outbound

#