AD-Campus

用户手册

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

资料版本：5W100-20230316

 

目  录

1 产品介绍··· 1

1.1 产品概述·· 1

1.2 产品特点·· 1

1.2.1 极简融合·· 1

1.2.2 智慧物联·· 2

1.2.3 网随人动·· 3

1.2.4 智能运维·· 3

1.3 产品价值·· 4

2 概念百科··· 5

2.1 业务场景·· 5

2.2 控制组件·· 8

2.2.1 组件相关概念·· 8

2.2.2 Fabric相关概念·· 8

2.2.3 网络设备相关概念·· 9

2.2.4 隔离域相关概念·· 10

2.2.5 私有网络相关概念·· 10

2.2.6 安全组相关概念·· 11

2.2.7 网络策略相关概念·· 11

2.2.8 应用策略相关概念·· 12

2.2.9 网络参数·· 13

2.3 用户业务·· 13

2.4 Fabric网络·· 15

3 业务编排··· 30

3.1 设备上线业务·· 30

3.1.1 增加Fabric· 30

3.1.2 增加DHCP服务器·· 31

3.1.3 增加IP地址池·· 32

3.1.4 设备上线配置（自动化）·· 33

3.1.5 设备上线配置（新自动化）·· 42

3.1.6 手工纳管·· 58

3.2 接入网络业务·· 63

3.2.1 增加隔离域·· 63

3.2.2 创建私有网络·· 67

3.2.3 增加安全组·· 72

3.2.4 增加网络策略·· 74

3.3 组播业务·· 81

3.3.1 二层组播·· 81

3.3.2 组播策略·· 82

3.3.3 SSM映射·· 84

3.3.4 三层组播·· 86

3.4 无线业务配置·· 91

3.4.1 增加AC设备·· 91

3.4.2 增加AP· 93

3.4.3 配置无线认证参数·· 96

3.5 PON业务·· 99

3.5.1 增加OLT设备·· 99

3.5.2 配置ONU设备·· 102

3.5.3 增加分光器·· 106

3.5.4 批量配置·· 109

3.6 隔离域互联业务·· 112

3.7 安全服务业务·· 114

3.8 Qos业务·· 116

3.8.1 全局开启Qos· 116

3.8.2 增加应用分类·· 116

3.8.3 增加应用策略·· 118

3.9 BRAS设备业务·· 123

3.9.1 增加BRAS设备·· 123

3.9.2 查看BRAS设备拓扑信息·· 124

3.9.3 通过ICC脚本给BRAS下发配置·· 125

3.10 园WAN互联业务·· 127

3.11 通用设备策略组·· 133

3.11.1 增加策略模板·· 133

3.11.2 增加通用策略组·· 135

3.12 增加接入策略·· 139

3.13 增加接入服务·· 141

3.14 增加接入用户·· 144

3.15 802.1X认证·· 145

3.15.1 证书安装·· 145

3.15.2 用户认证·· 146

3.16 MAC Portal认证·· 151

3.16.1 创建BYOD安全组·· 151

3.16.2 配置ACL3001· 153

3.16.3 启用MAC Portal认证·· 154

3.16.4 MAC Portal认证上线·· 156

3.17 MAC认证·· 159

3.17.1 配置MAC地址认证用户·· 159

3.17.2 MAC认证·· 161

3.18 哑终端配置·· 161

3.18.2 手动增加·· 163

3.18.3 批量导入·· 164

4 设备维护··· 166

4.1 设备替换·· 166

4.2 设备升级·· 166

4.2.1 设备版本升级以及支持升级的文件格式·· 166

4.3 设备扩容·· 171

5 运维巡检··· 175

5.1 控制组件一键巡检·· 175

5.2 告警监控·· 180

5.2.1 告警过滤、恢复与确认·· 180

5.2.2 全局资源监控总览·· 184

5.2.3 网元监控·· 187

5.2.4 日志信息监控·· 189

6 系统管理··· 190

6.1 机构管理·· 190

6.2 日志管理·· 191

6.2.1 操作日志·· 192

6.2.2 系统日志·· 192

6.2.3 运行日志·· 192

6.2.4 日志配置·· 192

6.3 License管理·· 193

6.3.1 概述·· 193

6.3.2 License申请及安装·· 193

6.3.3 获取License Server软件及配套资料·· 194

6.3.4 获取License授权·· 194

7 FAQ·· 195

7.1 产品授权的故障处理·· 195

7.1.1 集群重启后获取不到远端License信息·· 195

7.2 集群节点异常故障处理·· 195

7.2.1 集群节点服务器硬件故障无法恢复，必须更换节点服务器·· 195

7.3 NETCONF故障处理·· 196

7.3.1 NETCONF通信失败·· 196

7.4 SNMP故障处理·· 196

7.4.1 SNMP通信失败·· 196

7.5 LLDP故障处理·· 197

7.5.1 LLDP通信失败·· 197

7.6 用户认证故障处理·· 197

7.6.1 用户不存在·· 197

7.6.2 该用户有其它连接正在认证，请稍后重试·· 197

7.6.3 用户已被加入黑名单·· 198

7.6.4 用户状态非法·· 198

7.6.5 用户已失效·· 199

7.6.6 用户状态为注销·· 199

7.6.7 用户状态为停用·· 199

7.6.8 用户不存在或者用户没有申请该服务·· 199

7.6.9 服务状态无效·· 200

7.6.10 在线用户数量限制·· 200

7.6.11 用户密码错误·· 200

7.6.12 用户密码错误，您已经被加入黑名单·· 201

7.6.13 密码错误，您还可以重试#Count次·· 201

7.6.14 认证用户名为空·· 202

7.6.15 用户认证类型错误·· 202

7.6.16 RSA只支持以下认证类型：PAP,EAP-MD5,PEAP-MD5,PEAP-GTC· 202

7.6.17 缺少相应的哑终端配置·· 202

7.6.18 您的帐号未生效，请15分钟后重试·· 203

7.6.19 没有可用的哑终端预生成用户，请联系管理员·· 203

7.6.20 静态IPv6地址绑定检查失败·· 203

7.6.21 由于您已经连续%d次认证失败，这次认证被服务器丢弃，请过%d分钟后重试·· 204

7.6.22 访客密码过期，请找回密码·· 204

7.6.23 用户未生效·· 204

7.6.24 BYOD匿名用户禁止认证·· 205

7.7 用户上线故障处理·· 205

7.7.1 预开户用户不允许上线·· 205

7.7.2 预注销用户不允许上线·· 206

7.7.3 设备已丢失，禁止上线·· 206

7.7.4 接入用户无法使用当前终端上线·· 206

7.8 开关机指导·· 206

7.8.1 数据备份·· 207

7.8.2 备份恢复·· 207

8 术语··· 208

9 附录··· 210

9.1 Spine自动化模板·· 210

9.2 Leaf自动化模板·· 215

9.3 Access自动化模板·· 221

1 产品介绍

1.1  产品概述

H3C应用驱动园区网解决方案（AD-Campus）创新地引入了云原生架构，既实现了网络控制、编排、管理的入口统一，又实现了园区、数据中心和广域网场景的融合，同时通过精细化的数据采集及大数据、AI分析，为园区网络带来智能运维能力。在云原生架构之上，结合SDN+VXLAN的技术，通过构建基于VXLAN的新一代柔性园区基础网络，配合软件定义的相关技术，颠覆传统的园区网“人适应网”的现状，实现整个园区网范围内“网随人动”的效果，在不需要做任何网络配置调整、增加运维复杂度的基础上，让用户和终端可以在整个企业园区的任意角落移动，保持用户和终端始终处于既定的隔离网络、延续既定的网络策略，从而大大降低了园区运维的复杂度，满足智能化、移动化和物联网建设背景下对于园区网络的新诉求。

图1-1 园区网

 

1.2  产品特点

1.2.1  极简融合

1. 全流程自动化

AD-Campus提供园区全网、全流程自动化能力满足新建、改造、扩容、故障替换等多场景自动化部署需求。

图1-2 自动化部署

 

2. 多维融合

AD-Campus解决方案在引入云原生架构以后，可以支持多维融合，在多个维度解决传统园区存在的问题。

·     全场景融合：AD-Campus支持园区、数据中心、广域网多场景跨域融合，通过一套管理平台实现跨场景的网络控制、编排、管理的入口统一。

·     多园区融合：AD-Campus可以实现多园区场景下各园区网络自动部署、策略统一配置、业务随行，降低园区运维的复杂度；也可以实现各个园区本地认证、本地转发、区域自治，简化园区之间的互访复杂度，在员工跨园区出差时能够实现权限自动跟随，实现多园区统一管控、简化运维。

·     多网融合：AD-Campus支持对有线网络、无线网络、光网络融合管理，实现统一资源、统一拓扑、统一认证。

·     IP智能光网：不止于光，在场景融合上，做到以太光，EPON，GPON的全场景全产品的丰富融合，支持利旧兼容和网络平滑升级扩容。

1.2.2  智慧物联

在园区网络中物联终端的数量和类型呈快速增长趋势，其管理成为园区网络运维的重要内容。AD-Campus基于主动扫描和被动感知等技术，可以实现物联终端快速感知识别、自动分拣上线，第一时间捕捉并隔离仿冒入网终端，实现端网一体化管控，维护园区网络边界并提升园区网络安全可信水平。

图1-3 端网一体化管控

 

1.2.3  网随人动

AD-Campus颠覆了传统园区网络“人随网动”的现状，让网络接入不再拘泥于网络类型、入网方式、IP地址、接入位置等场景限制，跳脱出复杂的网络管理流程。当物理位置发生变化时，业务与用户对应的资源(如IP地址、安全资源、隔离通道等)和策略(如网络策略、安全策略等)可以动态跟随，从而实现了园区网络真正意义上的网随“人”动、业务随行。

图1-4 网随人动

 

1.2.4  智能运维

AD-Campus通过智能分析引擎(SeerAnalyzer)，结合Telemetry遥测等技术实现全息网络状态快速感知、园区网络可视化。基于大数据、AI学习算法等技术实现全网趋势预测及故障快速定位，从而提升运维管理的效率，让网络管理员从繁杂的网络运维工作中解脱出来，将更多的精力聚焦于业务本身。

图1-5 智能运维

 

1.3  产品价值

应用驱动园区网解决方案(AD-Campus)通过全息网络数据感知、全场景自动化赋能、端网一体化管控、AI大数据分析等领先技术为企业构建高速智慧园区网络，紧扣各行各业、不同层次的用户需求，在园区业务部署、用户终端管控、数据可视化以及全智能运维等方面不断创新，大大降低了园区运维的复杂度，满足智能化、移动化和物联网建设背景下对于园区网络的新诉求，为用户创造新价值。

图1-6 产品价值

 

2 概念百科

2.1  业务场景

1. 园区网络

在一个城市里面，除了街道和个人家庭住所之外，都可以被称为是园区。园区网络是园区信息化、数字化的基础设施，在日常工作和生活中起着很重要的作用。应用驱动园区网AD-Campus以应用驱动、汇智联接、构建数字化新联接为宗旨，基于云原生架构打造极简、智能、融合、可信，超宽的智能园区网络。

2. 设备自动化上线

AD-Campus全网设备自动化上线，将整网设备抽象成三类：Spine、Leaf、Access，仅需Spine、Leaf、Access三份配置文件，采用标准化的动态配置模板，实现各种类型设备的配置统一。各设备基于角色分类，下载动态配置文件，完成自动化上线。

在设备自动化上线的基础上，AD-Campus优化客户体验，提升易用性，由此推出了新自动化部署功能。原自动化和新自动化的差异主要体现在：原自动化需要依赖控制组件和设备共同实现，新自动化可以去除设备依赖，完全由控制组件实现。

新自动化部署的优点包括：

·     组网模型扩展：扩展可自动化的组网模型，对比当前的自动化模型，后期可增加其他设备节点及不同形式组网的自动化功能；

·     去除设备依赖：新的自动化完全由控制组件实现，不需要对设备强依赖，为以后控制组件上云奠定了基础；

·     控制管理清晰：新自动化的控制和配置下发都由控制组件完成，彻底解决了之前控制组件和设备同时自动化的时序差异导致自动化失败的问题；

·     自动化可视化：增加自动化过程的进度显示和正在进行的自动化任务内容日志，增强易用性。

3. 设备白名单

AD-Campus全网设备自动化上线，还能够实现设置白名单功能，设备白名单中的合规设备自动化上线，不在设备白名单内的设备无法入网，保证全网设备合规。

4. 网随人动

网随人动，即用户移动导致物理位置改变，但用户所属安全组不变、IP网段不变、访问策略不变。例如：办公和财务安全组属于相同私网的不同安全组，终端上线后，自动归属到对应安全组，分配对应网段的IP，两个安全组之间禁止互访。当办公和财务终端发生移动，仍然可以归属到对应安全组，分配对应网段的IP，两个完全组之间仍然不能互访。

5. 设备故障替换

在组网中原有设备发生故障等场景，需要用新设备替换原有设备的情况下，可以使用AD-Campus的设备替换功能。设备替换类型可分两类：

·     精确替换：新设备与故障设备型号完全一致，且新设备版本与故障设备版本一致。

·     异构替换：新设备与故障设备型号可以不一样。

6. 名址绑定

无论用户的物理位置、终端类型、接入场景如何改变，都可以实现用户所属安全组不变、IP地址不变、访问策略不变。

例如：办公和财务安全组属于相同私网的不同安全组，并开启名址绑定功能。终端上线后，自动归属到对应安全组，分配对应网段的IP，两个安全组之间禁止互访。当财务人员发生移动，仍然归属到对应的安全组，IP地址不变，两个安全组之间仍然不能互访。

7. 网络弹性扩容

AD-Campus方案中进行网络扩容，支持Underlay、Overlay以及互访策略配置自动扩散，无需手工配置。

8. 虚拟专网随行

虚拟专网随行即用户移动物理位置改变，但用户所属私网不变、安全组不变、IP网段不变、访问策略不变。

例如：办公和财务安全组分别属于不同的虚拟专网。办公和财务终端上线之后，自动归属到对应专网，分配对应网段的IP，两个安全组之间不能互访。办公和财务终端发生移动时，仍然可以归属到对应的安全组，分配对应网段的IP，两个安全组之间仍然不能互访。

9. 融合PON

AD-Campus方案中支持有线网络与光网络融合部署，支持设备自动化、支持网络部署、策略部署自动化。AD-Campus PON融合方案，即将PON本身当作和以太网交换机一样的物理设备，利用其组网简化的优点，同时AD-Campus保持上层的网随人动、网络自动化等SDN能力，满足用户业务升级、简化网络、降本增效的需求。

10. 智慧物联

AD-Campus方案支持基于MAC地址段、基于IP地址段、基于指纹识别等多种能力，实现海量哑终端智能识别，自动开户、自动上线、自动隔离。例如：打印机和摄像头分别属于不同的逻辑专网VRF。打印机和摄像头被智能识别上线后，自动归属到对应安全组，获取对应网段的IP地址，两种类型哑终端之间不能互访。

11. 多Fabric自动化

AD-Campus方案支持多Fabric场景，设备自动化上线，Underlay网络自动部署，Overlay网络/策略自动部署，用户移动，业务随行。

12. 网安融合

AD-Campus支持与安全控制组件融合，自动部署安全产品的访问策略、NAT策略、带宽策略等，实现统一运维，提高用户网络的安全性。

13. 有线、无线网络一体化

AD-Campus支持有线、无线网络一体化融合部署，实现有线、无线网络统一运维、统一转发、统一策略。园区控制组件实现有线无线网络自动化部署，同一用户采用有线或无线终端访问网络，业务权限可保持一致。

14. 策略随行

AD-Campus方案采用微分段技术，实现用户角色和IP解耦，用户移动业务随行。

·     相同安全组的用户，基于策略矩阵，允许互访，用户移动业务随行。

·     不同安全组的用户，基于策略矩阵，禁止互访，用户移动业务随行。

15. IPv6网络自动化

AD-Campus方案支持IPv6单栈网络设备自动化上线，支持IPv6 Overlay网络、策略自动部署。IPv6网络中，用户任意位置接入，均可获取安全组对应IPv6地址，并可实现用户移动、业务随行。

16. 园WAN融合

园WAN融合场景，支持园WAN控制组件融合部署，支持园WAN各站点网络自动部署，支持园WAN业务网络自动拉通。

17. 传统网IP-SGT业务

AD-Campus方案在传统网场景下，采取IP-SGT技术，将VLAN与用户业务解耦，通过设备订阅的方式，从AAA获取IP的角色（SGT）信息，从而实现传统网的大规模网络部署，以及策略随行特性。

18. 运维监控

AD-Campus解决方案中，可以实现硬件设备和AD-Campus系统软件自身的各项指标的监控，并可以自动产生告警，通过用户设置的告警转发方式通知给运维人员，方便运维人员及时发现网络和系统产生的故障并进行处理解决。通过两种方式进行运维监控：

·     使用统一数字底盘作为运维监控平台。

·     各设备和组件自行上报Syslog或Trap到第三方运维监控平台，由第三方运维监控平台实现监控功能。

同时AD-Campus方案的分析组件以用户体验保障为目的，通过Telemetry采集用户接入和使用网络的指标数据，使用大数据及AI技术分析用户体验健康度及体验问题，并结合网络设备健康度指标数据，关联分析影响用户体验的根因和处理建议。

19. 逃生方案

AD-Campus（应用驱动园区网）方案典型组网中，用户认证成功后，才能加入规划的业务安全组、进行互访及访问外部网络。若认证服务器突然不可达或者状态异常，将导致新接入的终端用户不能正常接入AD-Campus网络，进而不能访问外部网络资源，甚至不能实现用户间互访。

为了避免上述场景下导致的新用户业务不可用，AD-Campus引入了用户逃生方案。当认证服务提供方失效或异常时（认证服务器不可达或服务器状态异常），认证设备进入该状态，允许用户不经过认证直接访问受限或特定的网络资源，从而避免给新用户带来并非自身原因产生的上线失败体验。

20. 分权分域

园区控制组件支持分权分域管理功能，操作员登录控制组件后，控制组件根据用户所带有的角色属性，为该用户呈现其具有的功能权限。分权管理是保证系统安全可靠运行的有效手段，其核心思想是特定的人只能管理特定的业务，既职责分明，也不会互相越权。分权分域涉及功能点较多，对其相关基本概念介绍如下。

·     权限列表：用户对某一资源类型的操作权限和数据权限，如包含新增、修改、删除和查看权限。

·     角色列表：角色是同一类用户权限的集合。系统采用基于角色的权限控制，可以对用户的权限进行细化分组，便于用户的角色管理。

·     用户分组：管理员根据需要，可以将某些具有相同属性（如：同一个年级、申请了相同的接入服务等）的用户划分为一个组，以便进行管理。

·     业务分组：管理员根据需要，可以将系统中的业务数据（如：接入服务、安全策略等）划分到不同的分组中，只有与分组相关联的管理员和操作员才能对相应分组下的业务数据进行操作。

2.2  控制组件

2.2.1  组件相关概念

1. SeerEngine-Campus

SeerEngine-Campus是一款基于统一数字底盘开发的应用驱动园区网场景的SDN控制组件，支持有线、无线一体化；光、电网络管理统一化；实现网络简易部署；支持多Fabric，为用户面向模块化建设园区网络提供有效手段；支持名址绑定，策略随行；支持IPv6，助力用户落实IPv6国家行动计划；支持配合SeerAnalyzer等组件使用机器学习等手段提供网络数据分析和业务保障，提高智能运维能力。

2. EIA

终端智能接入（EIA，Endpoint Intelligent Access）用于终端用户的认证上线与接入策略的集中管理。EIA可以实现用户的AAA（Authentication、Authorization、Accounting，认证、授权、计费）功能，作为认证系统。可以按照用户角色、设备类型、接入时间、接入地点等条件自由定义不同的接入场景，对网络访问权限做精细化控制。满足企业多种接入形式、多种终端类型、多种用户角色的统一运维管理需求，确保终端安全策略在整个网络无缝地执行。

3. DHCP服务器

DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）用来为网络设备动态地分配IP地址等网络配置参数。DHCP采用客户端/服务器通信模式，由客户端向服务器提出配置申请，服务器返回为客户端分配的IP地址等相应的配置信息，以实现IP地址等信息的动态配置。

2.2.2  Fabric相关概念

1. Fabric

Fabric是一个虚拟的物理连通域，其中包含Spine设备、Leaf设备、物理接入设备和设备组，域内的所有设备均相互可达。

2. 隔离域

以VXLAN二层网络域为扩展边界的网络设备的集合，一个隔离域可以包含多个Fabric。

3. 设备纳管

添加需纳管的设备，以及设备自动发现。

4. 设备角色

在园区的网络架构中，设备在不同层次的网络中承担不同的角色，设备角色主要包含以下几类：Spine、Leaf、Aggregation、Access。

5. Spine

作为核心节点角色，南向和Leaf设备建立连接，北向可与外部网络连接实现外网通信。Spine对所有Leaf设备承担RR路由反射器的角色。Spine与Leaf会创建IBGP邻居。

6. Leaf

接入层设备，一般用于接入用户的服务器，也是EVPN网络中的VTEP端点的承载角色。

7. Aggregation

作为Spine和Leaf的中间层，主要用于一些特殊场景。用于拉通Spine和Leaf，扩充Spine接口。

8. Access

二层设备，工作在Leaf和Server之间，主要用于二层拉通Leaf和Server。Access没有Overlay层业务也不涉及Underlay协议。

9. 边界设备

该设备在部署EVPN协议的Overlay网络中承担边界网关的功能，设备在组网中作为边界设备。

2.2.3  网络设备相关概念

网络中所需的各类设备资源，包括交换设备、无线设备、安全设备、边界设备组、通用策略组等。

1. 交换设备

交换设备是指被控制组件纳管的物理网络设备。

2. 无线设备

无线设备是指无线业务管理平台纳管的无线设备，用于对无线设备进行监视和配置。

3. PON设备

PON：Passive Optical Network，无源光网络

·     OLT设备（Optical Line Terminal，光线路终端）：EPON系统的核心设备，一般放置在中心机房，用于统一管理ONU，并将接入业务汇聚和传递到IP网

·     ONU设备（Optical Network Unit，光网络单元）：PON系统的用户端设备，用于连接用户PC、机顶盒、交换机等，通常放置在用户家中、楼道或道路两侧，负责响应OLT发出的管理命令，并将用户数据转发到OLT。

·     分光器（Optical Splitter，无源光纤分支器）：用于将上行数据汇聚到一根光纤上，并将下行数据分发到各个ONU。

4. 安全设备

安全设备是指安全业务管理平台纳管的物理和虚拟防火墙设备。

5. 安全服务

通过将控制组件与安全服务器建立连接，为控制组件提供防火墙等安全服务。

6. BRAS设备

BRAS设备是指被控制组件纳管的宽带远程接入服务器。

7. 边界设备组

边界设备组主要用于选择边界设备和配置出口网络资源池，然后应用于出口网关、园WAN互联、Fabric间互联、隔离域互联等业务配置。

8. 通用策略组

通用策略组用于将组网中业务配置相同的设备和接口加入一个组内，然后绑定相应的策略，同步下发配置。

2.2.4  隔离域相关概念

1. 隔离域

隔离域主要用于隔离用户网络。配置隔离域时需指定Fabric以确定网络范围，该Fabric上线的设备将属于该隔离域。每个隔离域拥有独立的DHCP系统、认证系统、无线AC控制器。

2. 隔离域互联

该功能通过连接多个隔离域间的BGP路由，实现用户跨隔离域互通。

3. 策略模式

策略模式包括IP策略和组策略，IP策略即基于网段进行流量控制的策略，组策略即基于安全组进行流量控制的策略。

2.2.5  私有网络相关概念

1. 私有网络

私有网络用于对各虚拟子网间流量进行转发，以及负责虚拟网络到物理网络的流量转发。当虚拟网络和物理网络之间需要互相通信时，必须通过私有网络下配置的网关来实现。在配置私有网络时，需指定私有网络所属隔离域。

2. 二层网络域

用于定义用户和哑终端设备上线时使用的共享网络。

·     二层网络域的策略模式继承所选私有网络的策略模式，且隔离域与私有网络的策略模式需保持一致。

·     二层网络域使用方法包括独享、共享和静态接入，共享模式的二层网络域可以被多个安全组引用；独享模式仅可以被一个安全组引用；静态接入模式的二层网络域可以给指定私网内所有安全组使用，且无需手工绑定，仅普通类型二层网络域才允许配置静态接入。仅策略模式选择为组策略时支持。

3. 出口网关

用于用户网络和外部网络之间的互通。

4. 防火墙服务

防火墙服务应用用于控制组件和安全服务器侧创建策略下发任务，可以基于策略下发任务对防火墙资源下发安全策略。仅Fabric网络类型为VXLAN时支持。

5. 园WAN互联

用于实现园区网络和WAN网络之间的连接互通。仅IP策略（即基于网段进行流量控制的策略）的私有网络才可以配置园WAN互联，且园WAN互联仅支持IPv4业务。

6. 路由策略

路由策略是为了改变网络流量所经过的途径而修改路由信息的技术，主要通过改变路由属性（包括可达性）来实现。路由策略可以用来控制路由的发布、控制路由的接收、管理引入的路由和设置路由的属性。仅VXLAN网络支持。

7. NQA策略

NQA（Network Quality Analyzer，网络质量分析）是通过发送探测报文，对链路状态、网络性能、网络提供的服务及服务质量进行分析，并为用户提供标识当前网络性能和服务质量的参数，如时延、抖动时间、TCP连接建立时间、FTP连接建立时间和文件传输速率等。利用NQA的分析结果，用户可以及时了解网络的性能状况，针对不同的网络性能进行相应处理并对网络故障进行诊断和定位。

2.2.6  安全组相关概念

1. 用户安全组

·     普通安全组：主要用于普通用户上线。

·     BYOD安全组：主要在MAC Portal认证中使用。仅网络类型为VXLAN时支持。

·     逃生安全组：当认证服务器异常且暂时无法恢复时，上线用户进行逃生处理。当园区的认证设备自动切换到逃生模式时，用户不经过认证过程，可直接进入逃生安全组。

·     外网安全组：表示外部网络的安全组。

·     Guest安全组：表示允许用户在未认证的情况下，访问某一特定的资源，通常放置一些用于用户下载客户端软件或其他升级程序的服务器。

·     认证失败安全组：表示允许用户在认证失败的情况下访问某一特定的资源，这里的认证失败是认证服务器因某种原因明确拒绝用户认证通过，比如用户密码错误，而不是认证超时或网络连接等原因造成的认证失败。

·     逃生&认证失败安全组：承载逃生安全组和认证失败安全组的功能。仅网络类型为VXLAN时支持。

·     免认证安全组：主要用于免认证用户上线。仅网络类型为VLAN时支持。

·     无线安全组：用于绑定使用场景为AC管理网的二层网络域。仅支持IP策略。

2. IT资源组

IT资源组主要用于网络设备资源接入时使用的资源组。VXLAN网络类型的IT资源组需指定所属私有网络。IT资源组需指定允许加入设备的IP地址范围，属于该地址范围的设备才允许加入该资源组。

2.2.7  网络策略相关概念

1. 组间策略

各安全组间策略，通过相应的网络组间策略对安全组间的流量进行过滤，主要包括允许、拒绝以及重定向等操作。

2. 服务链

服务链（Service Chain）是一种引导网络业务报文按次序通过服务节点（Service Node）的转发技术。服务链基于Overlay技术，结合SDN（Software Defined Network，软件定义网络）集中控制理论，可以通过控制组件进行配置。

此处用于创建并管理服务链。仅VXLAN网络类型支持。当组间策略规则中的动作为“重定向”时，需指定服务链（表示匹配规则的流量将被导向相应的服务链）。

2.2.8  应用策略相关概念

1. 组播

作为一种与单播（Unicast）和广播（Broadcast）并列的通信方式，组播（Multicast）技术能够有效地解决单点发送、多点接收的问题，从而实现了网络中点到多点的高效数据传送，能够节约大量网络带宽、降低网络负载。

配置L2组播可以实现组播网络二层互通，配置L3组播、组播策略和SSM映射可以实现组播网络三层互通。

2. 组播策略

可以对组播报文进行过滤的策略。

3. SSM映射

通过创建SSM映射，并配置SSM静态映射规则，可以实现运行IGMPv1或IGMPv2的接收主机支持SSM模型。

4. QOS

QoS即服务质量。对于网络业务，影响服务质量的因素包括传输的带宽、传送的时延、数据的丢包率等。在网络中可以通过保证传输的带宽、降低传送的时延、降低数据的丢包率以及时延抖动等措施来提高服务质量。网络资源总是有限的，在保证某类业务的服务质量的同时，可能就是在损害其它业务的服务质量。因此，网络管理者需要根据各种业务的特点来对网络资源进行合理的规划和分配，从而使网络资源得到高效利用。

5. 应用策略

应用策略作用是在交换设备上采用QoS应用策略指定的流量策略，用于提高报文本地优先级队列，从而保证流量服务质量。

6. 应用分类

应用分类是将数据报文划分为多个优先级或多个服务类，基于输入接口、源IP地址、目的IP地址、MAC地址、IP协议或应用程序的端口号等创建应用的过滤规则，然后用于应用策略。

7. 应用集

用于展示支持动态流量保障的所有应用，即在应用策略中开启动态匹配后，对应配置的流量策略可以选择的应用分类。支持“SKYPE-MEETING”和“CYBER-THREAT”。“SKYPE-MEETING”是对Skype服务器的Skype对话做流量保障，CYBER-THREAT是根据接收到的态势感知系统内容要求做流量保障。

2.2.9  网络参数

1. DHCP

为方便用户快速地接入和退出网络、提高IP地址资源的利用率，IETF设计了一种自动机制来进行IP地址的分配。即DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）。

通过指定DHCP服务器的IP地址，可将控制组件与DHCP服务器建立连接并使用DHCP功能。

2. AAA

AAA（Authentication、Authorization、Accounting，认证、授权、计费）是网络安全的一种管理机制，提供了认证、授权、计费三种安全功能。

·     认证：确认访问网络的远程用户的身份，判断访问者是否为合法的网络用户。

·     授权：对不同用户赋予不同的权限，限制用户可以使用的服务。例如，管理员授权办公用户才能对服务器中的文件进行访问和打印操作，而其它临时访客不具备此权限。

·     计费：记录用户使用网络服务过程中的所有操作，包括使用的服务类型、起始时间、数据流量等，用于收集和记录用户对网络资源的使用情况，并可以实现针对时间、流量的计费需求，也对网络起到监视作用。

通过指定AAA服务器的IP地址，可将控制组件与AAA服务器建立连接并使用AAA功能。

2.3  用户业务

1. 接入服务

服务是最终用户使用网络的一个途径，它由预先定义的一组网络使用特性组成，其中具体包括基本信息和接入策略信息两部分。服务为用户提供了完善的接入策略，用户申请了特定的服务后，即可按照服务设定的属性访问网络。

2. 接入策略

接入策略是最终用户使用网络必须符合的要求。其中具体包括基本信息、授权信息、认证绑定信息、用户客户端配置等。配置完的接入策略可以被服务引用。用户申请服务并接入网络时，受到服务中接入策略的限制。

3. 接入条件

为了让同一个接入用户在不同接入条件接入网络时使用不同的接入策略，同时对用户的访问权限进行控制，EIA推出了接入条件管理的功能。

·     如果用户接入的条件与服务中的某个接入条件匹配，则用户认证时使用该条件对应的接入策略。

·     如果用户接入的条件与服务中的多个接入条件匹配，则用户认证时使用优先级高的条件对应的接入策略。

·     如果用户接入的条件与服务中的任何接入条件都不匹配，使用缺省的、安全策略和下发缺省的私有属性，私有属性下发策略。

4. 接入用户

接入用户中可以快速查询申请了接入帐号的用户。管理员查询接入用户时，查询出的用户均为该管理员所能管理/查看的用户。

5. 访客用户

访客用户可以显示了已经通过注册的访客。访客的简单查询功能可以让操作员快速找到特定的访客。

6. IP地址管理

IP地址管理提供全生命周期地址管理能力，包括IP地址规划、分配、回收、统计。IP地址管理是对网络资源管理功能的完善，其作用是统一管理认证终端的IP地址，解决人工维护管理成本高以及缺乏有力的IP地址管控手段，造成大量的在网问题。

7. Portal服务

Portal是一种认证客户端和BAS设备之间的信息交互协议，主要应用于基于WEB的宽带接入认证系统中，完成用户的认证和授权。

Portal服务器通过实现Portal协议来控制Portal客户端与设备之间的交互来完成用户认证过程，用户只有认证通过后才能在运营商的管理下访问网络资源。

8. LDAP业务

LDAP服务器是一种以目录树结构存储用户信息的服务器。LDAP服务器中存储的用户称为LDAP用户。

EIA组件可以将本系统中的接入用户和LDAP用户相关联。当接入用户发起认证请求时，本系统确认存在此用户后，根据配置执行本地LDAP用户的验证或将验证工作转交给LDAP服务器。实现此功能后，在相对稳定的网络中引入本系统时，不需要重建用户信息数据库，节省了大量的维护成本。

9. 名址绑定

无论用户的物理位置、终端类型、接入场景如何改变，都可以实现用户所属安全组不变、IP地址不变、访问策略不变。该功能用于为帐号绑定IP地址。

10. EIA分级管理

对分级服务的节点进行管理，包含上级节点、下级节点、当前节点。

(1)     上级节点：包含上级节点的基本信息，并提供对用户同步、全量同步等基本功能。

(2)     下级节点：包含所有直系下级节点信息，并提供增加下级节点、查看下级节点详细信息、策略同步配置、用户同步配置、查看同步用户、查看用户同步历史、修改下级节点、删除下级节点等功能。

(3)     当前节点：包含当前节点的基本信息，可进行节点名称和协议类型的配置。

 

2.4  Fabric网络

1. EVPN

EVPN（Ethernet Virtual Private Network，以太网虚拟专用网络）是一种基于Overlay技术的二层网络互联技术，具有部署简单、扩展性强等优点。EVPN采用MP-BGP协议通告MAC/IP的可达性和组播等信息，通过生成的MAC表项和路由表项进行二/三层报文转发，以实现二层网络互联。

2. VXLAN

VXLAN（Virtual eXtensible LAN，可扩展虚拟局域网络）是基于IP网络、采用“MAC in UDP”封装形式的二层VPN技术。VXLAN可以基于已有的服务提供商或企业IP网络，为分散的物理站点提供二层互联，并能够为不同的租户提供业务隔离。VXLAN主要应用于园区和数据中心网络接入网络。

技术优点

·     虚拟机迁移IP、MAC不变：采用了MAC in UDP的封装方式，实现原始二层报文在IP网络中的透明传输，保证虚拟机迁移前后的IP和MAC不变。

·     易于维护：基于IP网络组建大二层网络，使得网络部署和维护更加容易，并且可以充分地利用现有的IP网络技术，例如利用等价路由进行负载分担等；只有IP核心网络的边缘设备需要进行VXLAN处理，网络中间设备只需根据IP头转发报文，降低了网络部署的难度和费用。

网络模型

图2-1 VXLAN网络模型示意图

 

如图2-1所示，VXLAN的典型网络模型中包括如下几部分：

·     用户终端（Terminal）：用户终端设备可以是PC机、无线终端设备、服务器上创建的VM（Virtual Machine，虚拟机）等。不同的用户终端可以属于不同的VXLAN。属于相同VXLAN的用户终端处于同一个逻辑二层网络，彼此之间二层互通；属于不同VXLAN的用户终端之间二层隔离。

 

·     VTEP（VXLAN Tunnel End Point，VXLAN隧道端点）：VXLAN的边缘设备。VXLAN的相关处理都在VTEP上进行，例如识别以太网数据帧所属的VXLAN、基于VXLAN对数据帧进行二层转发、封装和解封装报文等。VTEP可以是一台独立的物理设备，也可以是虚拟机所在的服务器。VTEP可以划分为VTEP和GW两种角色：

¡     VTEP：只支持VXLAN二层转发功能的设备，即只能在相同VXLAN内进行二层转发。

¡     GW：可以进行跨VXLAN或者访问外部IP网络等三层转发的设备。根据部署方式，GW可以分为集中式网关和分布式网关两种。

·     VXLAN隧道：两个VTEP之间的点到点逻辑隧道。VTEP为数据帧封装VXLAN头、UDP头和IP头后，通过VXLAN隧道将封装后的报文转发给远端VTEP，远端VTEP对其进行解封装。

·     核心设备：IP核心网络中的设备（如图2-1中的P设备）。核心设备不参与EVPN处理，仅需要根据封装后报文的外层目的IP地址对报文进行三层转发。

·     VXLAN网络：用户网络可能包括分布在不同地理位置的多个站点内的用户终端。在骨干网上可以利用VXLAN隧道将这些站点连接起来，为用户提供一个逻辑的二层VPN。这个二层VPN称为一个VXLAN网络。VXLAN网络通过VXLAN ID来标识，VXLAN ID又称VNI（VXLAN Network Identifier，VXLAN网络标识符），其长度为24比特。不同VXLAN网络中的用户终端不能二层互通。

·     VSI（Virtual Switch Instance，虚拟交换实例）：VTEP上为一个VXLAN提供二层交换服务的虚拟交换实例。VSI可以看作是VTEP上的一台基于VXLAN进行二层转发的虚拟交换机。它具有传统以太网交换机的所有功能，包括源MAC地址学习，MAC地址老化，泛洪等。VSI与VXLAN一一对应。

·     VSI-Interface（VSI的虚拟三层接口）：作为VXLAN内虚拟机的网关，用于处理跨VXLAN网络的报文转发。一个VXLAN网络对应一个VSI-Interface。

3. IRF

IRF（Intelligent Resilient Framework，智能弹性架构）是H3C自主研发的软件虚拟化技术。它的核心思想是将多台设备连接在一起，进行必要的配置后，虚拟化成一台设备。使用这种虚拟化技术可以集合多台设备的硬件资源和软件处理能力，实现多台设备的协同工作、统一管理和不间断维护。

IRF的优点

IRF主要具有以下优点：

·     简化管理：IRF形成之后，用户通过任意成员设备的任意端口都可以登录IRF系统，对IRF内所有成员设备进行统一管理。

·     1:N备份：IRF由多台成员设备组成，其中，主设备负责IRF的运行、管理和维护，从设备在作为备份的同时也可以处理业务。一旦主设备故障，系统会迅速自动选举新的主设备，以保证业务不中断，从而实现了设备的1:N备份。

·     跨成员设备的链路聚合：IRF和上、下层设备之间的物理链路支持聚合功能，并且不同成员设备上的物理链路可以聚合成一个逻辑链路，多条物理链路之间可以互为备份也可以进行负载分担，当某个成员设备离开IRF，其它成员设备上的链路仍能收发报文，从而提高了聚合链路的可靠性。

·     强大的网络扩展能力：通过增加成员设备，可以轻松自如地扩展IRF的端口数、带宽。因为各成员设备都有CPU，能够独立处理协议报文、进行报文转发，所以IRF还能轻松自如的扩展处理能力。

网络模型

如图2-2所示，两台设备组成IRF，对上、下层设备来说，它们就是一台设备——IRF。所有成员设备上的资源归该虚拟设备IRF拥有并由主设备统一管理。

图2-2 IRF组网应用示意图

 

如图2-3所示，Device A和Device B组成IRF后，IRF拥有四块主控板（一块主用主控板，三块备用主控板），两块接口板。IRF统一管理Device A和Device B的物理资源和软件资源。（分布式）

图2-3 IRF虚拟化示意图

 

4. M-LAG

如图2-4所示，普通聚合的链路只能够在一台设备上，只能提供链路级的保护，当设备故障以后，普通聚合将无法工作，所以需要设备级保护的技术。M-LAG（Multichassis link aggregation，跨设备链路聚合）是基于IEEE P802.1AX协议的跨设备链路聚合技术。M-LAG将两台物理设备虚拟成一台设备来实现跨设备链路聚合，从而提供设备级冗余保护和流量负载分担。

图2-4 链路聚合和M-LAG对比示意图

 

技术优点

M-LAG作为一种跨设备链路聚合的技术，除了具备增加带宽、提高链路可靠性、负载分担的优势外，还具备以下优势：

·     无环拓扑

M-LAG提供无环拓扑，即使在M-LAG组网中部署STP，M-LAG组网中的接口也不会被STP阻塞。

·     更高的可靠性

把链路可靠性从单板级提高到了设备级。

·     双归接入

允许设备双归接入，将两台设备的链路进行聚合，实现流量负载分担。

·     用户流量不中断

M-LAG组网中的接口、链路或者设备发生故障时，可将用户流量快速切换到正常设备/链路转发，确保用户业务不中断。

·     简化组网及配置

提供了一个没有环路的二层拓扑，同时实现冗余备份，不再需要繁琐的防环协议配置，极大地简化了组网及配置。

·     独立升级

两台设备可以分别进行升级，保证有一台设备正常工作即可，对正在运行的业务几乎没有影响。

M-LAG基本概念

如图2-5所示，Device D接入到Device A和Device B组成的M-LAG系统，通过Device A和Device B共同进行流量转发，保证网络的可靠性。

图2-5 M-LAG组网示意图

 

M-LAG涉及的相关概念如下：

·     M-LAG主设备：部署M-LAG且状态为Primary的设备。

·     M-LAG备设备：部署M-LAG且状态为Secondary的设备。

·     peer-link链路：M-LAG设备间的交互M-LAG协议报文及传输数据流量的链路。peer-link可以是聚合链路，也可以是Tunnel隧道，管理员需要根据不同组网环境选择peer-link链路。当采用聚合链路作为peer-link链路时，建议将多条链路进行聚合。一个M-LAG系统只有一条peer-link链路。

·     peer-link接口：peer-link链路对应的接口，可以是聚合接口，也可以是Tunnel接口。每台M-LAG设备只有一个peer-link接口。

·     Keepalive链路：M-LAG主备设备间的一条三层互通链路，用于M-LAG主备设备间检测邻居状态，即通过交互Keepalive报文来进行peer-link链路故障时的双主检测。

·     M-LAG组：用于部署M-LAG设备之间的配对，M-LAG设备上相同编号的M-LAG接口属于同一M-LAG组。

·     M-LAG接口：M-LAG主备设备与外部设备相连的二层聚合接口。为了提高可靠性，需要使用动态聚合。M-LAG设备上相同编号的M-LAG接口属于同一M-LAG组。M-LAG组ID为M-LAG接口编号。

 

M-LAG网络模型

·     双归接入M-LAG网络模型

如图2-6所示，Device D设备和Server分别双归接入Device A与Device B组成的M-LAG系统。Device A与Device B形成负载分担，共同进行流量转发，当其中一台设备发生故障时，流量可以快速切换到另一台设备，保证业务的正常运行。

图2-6 双归接入M-LAG网络模型示意图

 

·     单归接入M-LAG网络模型

单归接入是指一台外部设备仅接入M-LAG系统的其中一台M-LAG设备。该外部设备称为单挂设备。

根据接入接口的不同，单归接入分为：

¡     M-LAG单归接入：通过M-LAG接口接入M-LAG系统的其中一台M-LAG设备。

¡     非M-LAG单归接入：通过非M-LAG接口接入M-LAG系统的其中一台M-LAG设备。

如图2-7所示，Device D设备以M-LAG单归接入方式接入M-LAG系统，Device E设备以非M-LAG单归接入方式接入M-LAG系统。Device D和Device E以单归方式接入M-LAG系统，Device D和Device E的MAC地址、ARP/ND等表项会M-LAG系统间进行备份，为南北向流量提供备份路径，提高可靠性。

图2-7 单归接入M-LAG网络模型示意图

 

5. 设备角色

设备角色：在园区的网络架构中，设备在不同层次的网络中承担不同的角色，设备角色主要包含以下几类：

·     Spine：作为核心节点角色，南向和Leaf设备建立连接，北向可与外部网络连接实现外网通信。Spine对所有Leaf设备承担RR路由反射器的角色。Spine与Leaf会创建IBGP邻居。

·     Leaf：接入层设备，一般用于接入用户的服务器，也是EVPN网络中的VTEP端点的承载角色。

·     Aggregation：作为Spine和Leaf的中间层，主要用于一些特殊场景。用于拉通Spine和Leaf，扩充Spine接口。

·     Access：二层设备，工作在Leaf和终端之间，主要用于二层拉通Leaf和终端。Access没有Overlay层业务也不涉及Underlay协议。

6. NETCONF

NETCONF简介

NETCONF（Network Configuration Protocol，网络配置协议）是一种基于XML的网络管理协议，它提供了一种可编程的、对网络设备进行配置和管理的方法。用户可以通过该协议设置属性、获取属性值、获取统计信息等。这使得它在第三方软件的开发上非常便利，很容易开发出在混合不同厂商、不同设备的环境下的特殊定制的网管软件。

NETCONF协议结构

NETCONF协议采用分层结构，分为内容层（Content）、操作层（Operations）、RPC（Remote Procedure Call，远程调用）层和通信协议层（Transport Protocol）等。

表2-1 XML分层与NETCONF分层模型对应关系

 

7. SNMP

SNMP简介

SNMP（Simple Network Management Protocol，简单网络管理协议）广泛用于网络设备的远程管理和操作。SNMP允许管理员通过NMS对网络上不同厂商、不同物理特性、采用不同互联技术的设备进行管理，包括状态监控、数据采集和故障处理。

SNMP的网络架构

SNMP网络架构由三部分组成：NMS、Agent和MIB。NMS、Agent和MIB之间的关系如图2-8所示。

·     NMS（Network Management System，网络管理系统）是SNMP网络的管理者，能够提供友好的人机交互界面，来获取、设置Agent上参数的值，方便网络管理员完成大多数的网络管理工作。

·     Agent是SNMP网络的被管理者，负责接收、处理来自NMS的SNMP报文。在某些情况下，如接口状态发生改变时，Agent也会主动向NMS发送告警信息。

·     MIB（Management Information Base，管理信息库）是被管理对象的集合。NMS管理设备的时候，通常会关注设备的一些参数，比如接口状态、CPU利用率等，这些参数就是被管理对象，在MIB中称为节点。每个Agent都有自己的MIB。MIB定义了节点之间的层次关系以及对象的一系列属性，比如对象的名称、访问权限和数据类型等。被管理设备都有自己的MIB文件，在NMS上编译这些MIB文件，就能生成该设备的MIB。NMS根据访问权限对MIB节点进行读/写操作，从而实现对Agent的管理。

图2-8 NMS、Agent和MIB关系图

 

MIB和MIB视图

MIB以树状结构进行存储。树的每个节点都是一个被管理对象，它用从根开始的一条路径唯一地识别（OID）。如图2-9所示，被管理对象B可以用一串数字{1.2.1.1}唯一确定，这串数字是被管理对象的OID（Object Identifier，对象标识符）。

MIB视图是MIB的子集合，将团体名/用户名与MIB视图绑定，可以限制NMS能够访问的MIB对象。当用户配置MIB视图包含某个MIB子树时，NMS可以访问该子树的所有节点；当用户配置MIB视图不包含某个MIB子树时，NMS不能访问该子树的所有节点。

图2-9 MIB树结构

 

SNMP版本介绍

目前，设备运行于非FIPS（Federal Information Processing Standards，联邦信息处理标准模式时，支持SNMPv1、SNMPv2c和SNMPv3三种版本；设备运行于FIPS模式时，只支持SNMPv3版本。只有NMS和Agent使用的SNMP版本相同时，NMS才能和Agent建立连接。

·     SNMPv1采用团体名（Community Name）认证机制。团体名类似于密码，用来限制NMS和Agent之间的通信。如果NMS配置的团体名和被管理设备上配置的团体名不同，则NMS和Agent不能建立SNMP连接，从而导致NMS无法访问Agent，Agent发送的告警信息也会被NMS丢弃。

·     SNMPv2c也采用团体名认证机制。SNMPv2c对SNMPv1的功能进行了扩展：提供了更多的操作类型；支持更多的数据类型；提供了更丰富的错误代码，能够更细致地区分错误。

·     SNMPv3采用USM（User-Based Security Model，基于用户的安全模型）认证机制。网络管理员可以配置认证和加密功能。认证用于验证报文发送方的合法性，避免非法用户的访问；加密则是对NMS和Agent之间的传输报文进行加密，以免被窃听。采用认证和加密功能可以为NMS和Agent之间的通信提供更高的安全性。

8. SSH

SSH是Secure Shell（安全外壳）的简称，是一种在不安全的网络环境中，通过加密机制和认证机制，实现安全的远程访问以及文件传输等业务的网络安全协议。

SSH协议采用了典型的客户端/服务器模式，并基于TCP协议协商建立用于保护数据传输的会话通道。SSH协议有两个版本，SSH1.x和SSH2.0（本文简称SSH1和SSH2），两者互不兼容。SSH2在性能和安全性方面比SSH1有所提高。

设备支持的SSH应用

设备既可以支持SSH服务器功能，接受多个SSH客户端的连接，也可以支持SSH客户端功能，允许用户通过设备与远程SSH服务器建立SSH连接。

目前，设备支持以下几种SSH应用。

·     Secure Telnet：简称Stelnet，可提供安全可靠的网络终端访问服务，使得用户可以安全登录到远程设备，且能保护远程设备不受诸如IP地址欺诈、明文密码截取等攻击。设备可支持Stelnet服务器、Stelnet客户端功能。

·     Secure FTP：简称SFTP，基于SSH2，可提供安全可靠的网络文件传输服务，使得用户可以安全登录到远程设备上进行文件管理操作，且能保证文件传输的安全性。设备可支持SFTP服务器、SFTP客户端功能。

·     Secure Copy：简称SCP，基于SSH2，可提供安全的文件复制功能。设备可支持SCP服务器、SCP客户端功能。

·     NETCONF over SSH：基于SSH2，提供通过SSH连接给设备下发NETCONF指令的功能，使得用户可以安全登录到远程设备并直接进入到设备的NETCONF系统中进行配置和管理操作。设备仅支持作为NETCONF over SSH连接的服务器端。关于NETCONF系统的详细介绍，请参见“网络管理和监控配置指导”中的“NETCONF”。

目前，设备作为Stelnet服务器、SFTP服务器、SCP服务器时，非FIPS模式下支持SSH2和SSH1两个版本，FIPS模式下只支持SSH2版本；设备作为SSH客户端时，只支持SSH2版本；设备作为NETCONF over SSH服务器端时，只支持SSH2版本。

SSH工作过程

以SSH2为例介绍SSH工作的过程，具体分为表2-2所述的几个阶段。

表2-2 SSH工作过程

 

SSH认证方式

设备作为SSH服务器可提供以下几种对客户端的认证方式。

(1)     password认证

利用AAA（Authentication、Authorization、Accounting，认证、授权和计费）对客户端身份进行认证。客户端向服务器发出password认证请求，将用户名和密码加密后发送给服务器；服务器将认证请求解密后得到用户名和密码的明文，通过本地认证或远程认证验证用户名和密码的合法性，并返回认证成功或失败的消息。

客户端进行password认证时，如果远程认证服务器要求用户进行二次密码认证，则会在发送给服务器端的认证回应消息中携带一个提示信息，该提示信息被服务器端透传给客户端，由客户端输出并要求用户再次输入一个指定类型的密码，当用户提交正确的密码并成功通过认证服务器的验证后，服务器端才会返回认证成功的消息。

SSH1版本的SSH客户端不支持AAA服务器发起的二次密码认证。

(2)     keyboard-interactive认证

该认证方式与password认证方式类似，相较于password认证，该认证方式提供了可变的交互信息。客户端进行keyboard-interactive认证时，如果远程认证服务器要求用户进行交互认证，则远程认证服务器会在发送给服务器端的认证回应消息中携带一个提示信息，该提示信息被服务器端透传给客户端，在客户端终端上显示并要求用户输入指定的信息。当用户提交正确的信息后，若远程认证服务器继续要求用户输入其它的信息，则重复以上过程，直到用户输入了所有远程认证服务器要求的信息后，远程认证服务器才会返回认证成功的消息。

(3)     publickey认证

采用数字签名的方式来认证客户端。目前，设备上可以利用DSA、ECDSA、RSA三种公钥算法实现数字签名。客户端发送包含用户名、公钥和公钥算法或者携带公钥信息的数字证书的publickey认证请求给服务器端。服务器对公钥进行合法性检查，如果合法，则发送消息请求客户端的数字签名；如果不合法，则直接发送失败消息；服务器收到客户端的数字签名之后，使用客户端的公钥对其进行解密，并根据计算结果返回认证成功或失败的消息。

(4)     password-publickey认证

对于SSH2版本的客户端，要求同时进行password和publickey两种方式的认证，且只有两种认证均通过的情况下，才认为客户端身份认证通过；对于SSH1版本的客户端，只要通过其中任意一种认证即可。

(5)     any认证

不指定客户端的认证方式，客户端可采用keyboard-interactive认证、password认证或publickey认证，且只要通过其中任何一种认证即可。

9. gRPC

gRPC（Google Remote Procedure Call，Google远程过程调用）是Google发布的基于HTTP 2.0协议承载的高性能开源软件框架，提供了支持多种编程语言的、对网络设备进行配置和管理的方法。通信双方可以基于该软件框架进行二次开发。

gRPC协议栈

gRPC协议栈分层如图2-10所示。自下而上各层的含义为：

·     TCP传输层：TCP提供面向连接的、可靠的数据链路。

·     TLS（Transport Layer Security，传输层安全）传输层：该层是可选的，设备和采集器可以基于TLS协议进行通道加密和双向证书认证，实现安全通信。

·     HTTP 2.0应用层：gRPC承载在HTTP 2.0协议上，利用了该协议的首部数据压缩、单TCP连接支持多路请求、流量控制等性能增强特性。

·     gRPC层：定义了RPC（Remote Procedure Call，远程过程调用）的协议交互格式。公共RPC方法定义在公共proto文件中，例如grpc_dialout.proto。

·     内容层：用于承载编码后的业务数据。业务数据的编码格式包括：

¡     GPB（Google Protocol Buffer）：高效的二进制编码格式，通过proto文件描述编码使用的数据结构。在设备和采集器之间传输数据时，该编码格式的数据比其他格式（如JSON）的数据具有更高的信息负载能力。业务数据使用GPB格式编码时，需要配合对应的业务模块proto文件才能解码。

¡     JSON（JavaScript Object Notation）：轻量级的数据交换格式，采用独立于编程语言的文本格式来存储和表示数据，易于阅读和编写。业务数据使用JSON格式编码时，通过公共proto文件即可解码，无需对应的业务模块proto文件。

图2-10 gRPC协议栈分层

 

gRPC网络架构

如图2-11所示，gRPC网络采用客户端/服务器模型，使用HTTP 2.0协议传输报文。

图2-11 gRPC网络架构

 

gRPC网络的工作机制如下：

(1)     服务器通过监听指定服务端口来等待客户端的连接请求。

(2)     用户通过执行客户端程序登录到服务器。

(3)     客户端调用.proto文件提供的gRPC方法发送请求消息。

(4)     服务器回复应答消息。

H3C设备支持作为gRPC服务器或者gRPC客户端。

 

10. Websocket

WebSocket是一种在单个TCP连接上进行全双工通信的协议。WebSocket通信协议于2011年被

IETF定为标准RFC 6455，并由RFC7936补充规范。WebSocket API也被W3C定为标准。

WebSocket使得客户端和服务器之间的数据交换变得更加简单，允许服务端主动向客户端推送数

据。在WebSocket API中，浏览器和服务器只需要完成一次握手，两者之间就直接可以创建持久

性的连接，并进行双向数据传输。

具有如下特征：

·     一种应用层协议，基于TCP传输协议，复用HTTP的握手通道

·     支持双向通信

·     一次握手，创建持久性的连接

相对于HTTP协议的优势：

·     较少的控制开销。连接创建后，ws客户端、服务端进行数据交换时，协议控制的数据包头部较小。在不包含头部的情况下，服务端到客户端的包头只有2~10字节（取决于数据包长度），客户端到服务端的的话，需要加上额外的4字节的掩码。而HTTP协议每次通信都需要携带完整的头部。

·     更强的实时性。由于协议是全双工的，所以服务器可以随时主动给客户端下发数据。相对于HTTP请求需要等待客户端发起请求服务端才能响应，延迟明显更少；即使是和Comet等类似的长轮询比较，其也能在短时间内更多次地传递数据。

·     保持连接状态。与HTTP不同的是，WebSocket需要先创建连接，这就使得其成为一种有状态的协议，之后通信时可以省略部分状态信息。而HTTP请求可能需要在每个请求都携带状态信息（如身份认证等）。

·     更好的二进制支持。WebSocket定义了二进制帧，相对HTTP，可以更轻松地处理二进制内容。可以支持扩展。ws协议定义了扩展，用户可以扩展协议，或者实现自定义的子协议。（比如支持自定义压缩算法等）

·     更好的压缩效果。相对于HTTP压缩，WebSocket在适当的扩展支持下，可以沿用之前内容的上下文，在传递类似的数据时，可以显著地提高压缩率。

 

3 业务编排

3.1  设备上线业务

3.1.1  增加Fabric

(1)     登录SeerEngine-Campus，进入[自动化>园区网络>Fabrics]页面，单击<增加>按钮，进入Fabric配置页面进行创建Fabric。

(2)     在Fabric配置页面指定名称、AS号、业务自动化和业务随行开关等配置。

(3)     单击<确定>按钮，完成配置

图3-1 Fabric配置

 

表3-1 Fabric参数配置

 

3.1.2  增加DHCP服务器

(1)     进入[自动化>园区网络>网络参数>DHCP]页面，单击<增加>按钮，进入增加DHCP服务器页面。

(2)     在增加DHCP服务器页面配置管理方式、IPv4地址等配置。

(3)     单击<确定>按钮，完成配置。

图3-2 DHCP服务器

 

表3-2 DHCP服务器

 

3.1.3  增加IP地址池

园区VLAN1地址池:用于在自动化上线时分配管理IP，当控制组件在IPv6环境部署时，支持IPv6地址。对于IPv4地址池，支持是否绑定企业码的功能。如果选择绑定，企业码信息会随地址池一并下发到DHCP服务器上，如果终端具有优先从对应企业码获取IP的能力，则优先从该DHCP服务器获取地址。

园区VLAN4094地址池：此类型的IP地址池为业务使用。支持IPv4和IPv6地址。

(1)     进入[自动化>园区网络>网络设备>IP地址池]页面，单击<增加>按钮，进入增加IP地址池页面。

(2)     在增加IP地址池页面配置地址池类型、地址池、网关地址等配置。

(3)     创建VLAN1地址池，类型选择“园区VLAN1网络”，地址池填写在L3 Switch设备中设置的VLAN 1（88.88.88.0/24）网段的IP地址。“网关地址”是L3 Switch设置的VLAN 1的IP地址。

(4)     单击<确定>按钮，完成配置。

图3-3 IP地址池

 

(5)     创建VLAN4094地址池，类型选择“园区VLAN4094网络”，地址池填写在L3 Switch设备中设置的VLAN 4094（211.0.0.0/24）网段的IP地址。“网关地址”是L3 Switch设置的VLAN 4094的IP地址。

图3-4 新建VLAN4094地址池

 

(6)     单击<确定>按钮，完成配置。

3.1.4  设备上线配置（自动化）

1. 基础配置

(1)     进入[向导>园区向导>设备上线规划]页面，进入基础配置页面。

(2)     选择3.1.1  增加Fabric创建的Fabric，本例中“是否使用新自动化”选项选择“否”，填写RR MAC。

 

图3-5 基础配置

 

2. 地址池设置

(1)     单击<下一步>按钮，进入地址池配置页面。

(2)     DHCP服务器选择3.1.2  增加DHCP服务器创建的DHCP服务器器。

(3)     VLAN1地址池和VLAN4094地址池分别选择3.1.3  增加IP地址池创建的VlAN1和VLAN4094两个地址池。

图3-6 地址池设置

 

3. 设备角色模板

(1)     单击<下一步>按钮，进入设备配置模板页面，基于设备角色，配置设备模板，即自动化模板配置：

图3-7 新建设备角色模板

 

表3-3 设备角色模板

 

(2)     若为三层架构组网，模板角色区域需勾选“Spine模板”、“Leaf模板/Single Leaf模板”和“Access模板”，且“Leaf模板/Single Leaf模板”中勾选Leaf模板。

(3)     模板角色区域中各模板参数说明配置如下，结果如下图所示。

图3-8 Spine模板

 

图3-9 修改设备控制协议模板

 

表3-4 模板参数

 

图3-10 Spine模板

 

图3-11 Leaf模板

 

图3-12 Access模板

 

(4)     单击<下一步>按钮，进入设备上线清单页面。

4. 设备上线清单

(1)     设备清单用于设备白名单的设置。设备序列号是每台设备的唯一标识符，设备清单中设置设备序列号和设备角色的对应关系，可以规划每台设备在组网中的角色信息。注意每个设备清单对应一台设备，不能写入多台设备序列号信息。

¡     在设备自动化过程中使用，如果模板使能白名单，设备自动化过程中会检查设备白名单。

-     若设备序列号在设备清单内，设备可以通过白名单检查后获取到自动化模板，完成自动化上线。

-     若设备序列号不在设备清单内且设备模板中开启了白名单功能，设备将无法通过白名单检查获取自动化模板，无法完成自动化上线。

¡     在设备自动化过程中使用，模板未使能白名单，但设备序列号在设备清单内，设备优先按白名单设置的角色进行上线；若设备序列号不在设备清单内，则设备按照设备默认角色进行上线。

图3-13 设备上线清单

 

(2)     增加设备序列号，可通过单击<增加>按钮，在页面中手动配置；也可以单击<导入>按钮下载导入模板，批量导入。此处以手动增加为例进行介绍。

图3-14 增加设备清单

 

表3-5 设备清单

 

 

5. 设备自动化上线

(1)     进入[自动化>园区网络>Fabrics]页面，单击右上角的<自动化部署>按钮，进入增加自动化模板页面。

(2)     选择[自动化任务运行信息]页签，可查看设备上线任务。

图3-15 自动化任务运行信息

 

(3)     进入[自动化>园区网络>Fabrics]页面，单击Fabric操作列的设置按钮，进入交换设备页面，可查看已纳管的设备。

图3-16 交换设备

 

 

3.1.5  设备上线配置（新自动化）

1. 基础配置

(1)     进入[向导>园区向导>设备上线规划>基础配置]页面，单击“选择Fabric”下拉框，选择“创建Fabric”，打开“创建Fabric”页面，配置以下参数后，单击<确定>按钮，完成配置。

图3-17 创建Fabric

 

表3-6 Fabric参数配置

 

2. 地址池配置

(1)     地址池配置，首先要绑定DHCP服务器。单击“DHCP服务器”下拉框，选择“新建DHCP服务器”，打开“增加DHCP服务器”页面，输入vDHCP相关的参数。

图3-18 增加DHCP服务器配置

 

表3-7 DHCP服务器

 

 

(2)     新建VLAN 1地址池：单击“VLAN1地址池”下拉框，选择“新建VLAN1地址池”，打开“增加IP地址池”页面，如图3-19所示。

图3-19 VLAN1地址池

 

表3-8 VLAN1地址池

 

(3)     新建VLAN 4094地址池：单击“VLAN4094地址池”下拉框，选择“新建VLAN4094地址池”，打开“增加IP地址池”页面。

图3-20 VLAN 4094地址池

 

表3-9 VLAN1地址池

 

(4)     服务器IPv4管理网段：设备自动化上线时，SeerEngine-Campus控制组件会向设备下发配置的IP地址段的静态路由，选择在L3 Switch设备中设置的控制组件所在的VLAN1010网段（110.1.0.0/24）和统一数字底盘所在的VLAN 30网段（100.1.0.0/24）（支持多个网段添加，中间用英文“,”隔开）。

图3-21 服务器IPv4管理网段

 

3. 设备角色模板

(1)     单击<下一步>按钮，进入设备配置模板页面，基于设备角色，配置设备模板，即自动化模板配置，在页面上面可以选择组网模型：分为三层组网、二层组网、单Leaf组网、AGGR 二层和AGGR三层组网。

图3-22 设备配置模板

 

表3-10 设备配置模板

 

(2)     三层组网需要配置Spine、Leaf、Access模板，二层组网需要配置Spine、Leaf模板，单Leaf组网需要配置Leaf、Access模板，AGGR三层组网需要配置Spine、Leaf、Access、Aggregation模板，AGGR二层组网需要配置Spine、Leaf、Aggregation模板。

表3-11 设备配置模板

 

图3-23 三层组网配置模板

 

 

图3-24 二层组网配置模板

 

图3-25 单Leaf组网配置模板

 

 

图3-26 AGGR 三层组网配置模板

 

图3-27 AGGR 二层组网配置模板

 

4. 设备版本升级配置（按需）

 

设备版本升级配置页面通过针对设备角色和型号指定版本升级文件以实现自动化上线过程中的版本自动升级功能。配置此项之前需要先在软件库上传版本文件。

(1)     进入[自动化>配置部署>软件库]菜单项，单击左上角<导入>按钮，进入导入软件页面，该页面可导入用于设备升级的版本文件。导入来源可选从文件导入和从设备导入，从文件导入的软件类型可选复合软件包套件（IPE包）、软件包组和补丁文件。

图3-28 IPE包导入

 

¡     软件包组导入方式需要同时选择boot和system文件，导入完成后需要指定适用设备型号。

图3-29 软件包组导入

 

¡     补丁文件方式导入完成后需要指定适用设备型号，Feature包也以补丁文件方式导入。

图3-30 补丁文件导入

 

¡     从设备导入功能为直接读取设备启动文件，需要[监控>监控列表>网络]中设备在线。

图3-31 从设备导入

 

导入完成后，在软件库查看。

图3-32 软件库查看

 

 

适用设备添加示例

图3-33 单击修改按钮

 

图3-34 选择型号

 

图3-35 增加设备型号

 

图3-36 确定提交

 

图3-37 适用设备查看

 

(2)     进入[自动化>配置部署>部署参数]菜单项，单击<文件传输方式>按钮，进入文件传输配置页，该页面可选择文件传输的协议。缺省为TFTP，推荐修改为FTP传输方式。

图3-38 文件传输方式

 

(3)     进入[向导>园区向导>设备上线规划>设备版本升级配置]页面，进行版本升级配置。

图3-39 设备版本升级配置

 

单击<增加>按钮，配置设备角色、型号以及版本文件，根据型号自动显示匹配的版本文件。

图3-40 配置设备角色、型号以及版本文件

 

 

图3-41 选择型号

 

图3-42 根据型号自动显示匹配的版本文件

 

图3-43 IPE方式升级配置完成

 

 

5. 设备上线清单

新自动化上线要求必须添加设备清单，否则设备无法上线。设备清单的主要作用包括：

·     指定设备角色，为设备开始自动化预配置角色信息。

·     设备注册Websocket。若指定序列号不在设备设备清单内，设备将无法建立Websocket连接，无法完成自动化上线；若指定序列号在设备清单内，设备可以通过设备清单注册Websocket，完成自动化上线。

上面设备版本升级配置完成后，进入设备上线清单配置步骤。在[向导>园区向导>设备上线规划>设备上线清单]页面，增加/导入设备清单。

图3-44 增加设备清单

 

表3-12 设备清单

 

图3-45 设备清单查看

 

3.1.6  手工纳管

手工纳管设备有如下两种方式：手工增加、自动发现。

1. 手动增加

进入[向导>增加设备]页面，填写设备名称等信息。

·     增加Spine/Leaf设备：

图3-46 增加交换设备

 

表3-13 交换设备

 

设备增加完成后，“在线状态”初始为“未激活”，需一段时间进行数据同步，同步完成后，单击<刷新>按钮，状态更新为“激活”，表示设备已连接。

图3-47 查看交换设备

 

·     增加Access设备：

图3-48 设备角色

 

表3-14 Access设备

 

 

·     增加Aggr设备：

¡     Aggr设备作为Spine和Leaf之间连接的中间设备，设备纳管前需要做基础配置用于控制组件纳管。

¡     Aggr连接的Leaf设备的基础配置与AD-Campus方案标准组网的基础配置相同。

图3-49 设备角色

 

表3-15 Aggr设备

 

Aggr设备纳管成功后，设备状态为“激活”，设备角色为“aggregation”。

图3-50 查看设备信息

 

进入[监控>拓扑视图>网络拓扑]页面，可以查看到aggr连接拓扑视图。

图3-51 查看aggr连接拓扑视图

 

2. 自动发现

进入[向导>自动发现]页面，输入IP地址范围和SNMP参数，单击<创建设备扫描任务>按钮，会创建一个扫描任务，自动执行扫描。在“设备列表中”列出所有扫描到的未纳管的设备，如下图所示。

图3-52 创建设备扫描任务

 

若SNMP和NETCONF参数都配置，先扫描NETCONF信息再扫描SNMP信息。在“设备列表”中选择设备，单击“设备纳管”按钮，进入“添加交换设备”页面；参数设置请参考3.1.6  1. 手动增加。

3.2  接入网络业务

3.2.1  增加隔离域

选择[向导>园区向导>接入网络规划]菜单项进入接入网络规划配置向导页面。

1. 网络类型为VXLAN

(1)     在隔离域页面，选择网络类型，单击<增加>按钮，进入增加隔离域页面。

图3-53 增加隔离域（VXLAN）

 

表3-16 增加隔离域

 

(2)     单击[Fabrics]页签，可选择相应的Fabric与隔离域绑定，同时可配置Fabric连接功能。Fabric连接用于连接两个Fabric间的BGP路由,实现用户跨Fabric互通。Fabric连接分为全互联、自定义和路由服务器三种方式。其中，自定义连接方式的Fabirc连接需手动指定互联的源和目的Fabric相关配置，路由服务器连接方式的Fabric连接需要指定路由服务器和路由服务器客户端。Fabric下授权开关为关闭状态时不允许加入隔离域。

图3-54 增加Fabric连接

 

表3-17 增加Fabric连接

 

(3)     单击[DNS]页签，可以为隔离域配置DNS模板。DNS IP地址支持IPv4和IPv6版本，且每个版本最多支持配置8个DNS服务器的IP地址。

(4)     单击[高级]页签，可以配置无线转发模式、主机路由抑制开关、IP安全组信息订阅开关、ARP扫描探测速率、ND扫描探测速率、VXLAN按需下发、环路检测上报控制组件和二级DHCP中继。

图3-55 高级

 

表3-18 高级

 

2. 网络类型为VLAN

·     DHCPv4服务器为该隔离域下的二层网络域默认的DHCPv4服务器。

·     认证服务器为隔离域关联的认证服务器，分为主认证服务器和备认证服务器，隔离域相关业务推送至该认证服务器上，以便用户认证上线。隔离域可以同时绑定主认证服务器和备认证服务器，用户上线会优先在主认证服务器上进行认证，当主认证服务器出现故障时，在备认证服务器上进行认证。仅主认证服务器支持名址绑定。

·     策略模式仅支持组策略模式。

(1)     单击[Fabrics]页签，可选择相应的Fabric与隔离域绑定。Fabric下授权开关为关闭状态时不允许加入隔离域。

(2)     单击[DNS]页签，可以为隔离域配置DNS模板。DNS IP地址支持IPv4版本，最多支持配置8个DNS服务器的IP地址

(3)     单击[高级]页签，可以配置无线转发模式。无线转发模式包含AC集中转发和AP本地转发两种，默认为AP本地转发。

3.2.2  创建私有网络

1. 增加私有网络

(1)     单击<下一步>按钮，进入私有网络页面。

(2)     单击<增加>按钮，增加私有网络。

图3-56 私有网络

 

表3-19 私有网络

 

2. 增加二层网络域

(1)     私有网络创建完成后，选择[二层网络域]页签，进入二层网络域配置界面。

图3-57 二层网络域

 

(2)     单击<增加>按钮，进入增加二层网络域页面，创建用户私网的二层网络域。

表3-20 二层网络域

 

图3-58 增加二层网络域

 

(3)     配置[子网]页签，单击<增加>按钮，进入增加子网页面，在该页面可以指定子网的名称、子网段的和网关IP、IP版本，并需要指定该子网是否为从网段。选择是，则该子网为从网段，不支持配置DNS信息；选择否，则该子网为主网段，并支持配置DNS信息。DNS IP地址支持IPv4和IPv6版本。

表3-21 子网

 

 

图3-59 增加子网

 

(4)     增加子网页面中“DNS”配置，可指定二层网络域的DNS服务器IP地址。

图3-60 配置DNS

 

(5)     子网配置完成后，单击<确定>按钮，返回增加二层网络域页面。在该页面中切换至[高级]页签，可根据实际组网按需进行参数配置，本文档以默认配置为例进行介绍。

表3-22 高级

 

图3-61 高级配置

 

图3-62 DHCPv6及环路检测配置

 

3.2.3  增加安全组

(1)     单击<下一步>按钮进入安全组页面。

(2)     单击<增加>按钮，进入增加安全组页面。

¡     网络类型为VXLAN时，在该页面可指定名称、类型、标签等配置，安全组的策略模式直接继承所选私网的策略模式。

-     当策略模式为IP策略时，为安全组分配VLAN ID。分配方式分为自动分配和手动指定，若为手动指定，需指定VLAN ID；

-     当策略模式为组策略时，为安全组分配SGT。增加安全组时，SGT为自动分配，页面不显示。修改安全组时，可以看到已分配的SGT。可以根据需求选择是否启用安全子组，若启用安全子组，需选择子组容量，即一个安全组下允许有多少个安全子组。在该模式下，安全组需要关联隔离域，主要是为了安全组下的用户可以在选择的隔离域中上线。

-     在[二层网络域]页签下，可增加二层网络域。单击<增加>按钮，在弹出的对话框中可指定二层网络域。

-     启用安全子组后，页面将会出现[安全子组]页签，在该页签下，单击<增加>按钮，在弹出的对话框中可指定安全子组的名称。

-     在[免认证]页签下，单击<增加>按钮，可以指定安全组、二层网络域，并可以勾选需要绑定在指定安全组下的免认证接口组，绑定成功后，当用户从免认证接口组中的接口上线时不需要进行认证。ARP检测信任默认为开启。开启时会在免认证业务下发的服务实例下，下发ARP Detection Trust配置。

¡     网络类型为VLAN时，在该页面可指定名称、类型、SGT等配置，安全组的策略模式直接继承所选隔离域范围的策略模式，目前仅支持组策略模式。

-     增加安全组时，SGT支持自动分配和手动指定。修改安全组时，可以看到已分配的SGT。可以根据需求选择是否启用安全子组，若启用安全子组，需选择子组容量，即一个安全组下允许有多少个安全子组。安全组需要关联隔离域，主要是为了安全组下的用户可以在选择的隔离域中上线。

-     启用安全子组后，页面将会出现[安全子组]页签，在该页签下，单击<增加>按钮，在弹出的对话框中可指定安全子组的名称。

-     在[策略执行设备组]页签下，选择策略执行设备组，配置安全组的组间策略生效的设备列表。

-     如果需要更改绑定本隔离域的策略执行组，需要先解绑定，再绑定。

图3-63 增加安全组

 

表3-23 用户安全组

 

3.2.4  增加网络策略

单击<下一步>按钮，进入组间策略页面。

1. 时间范围

选择“时间范围”页签，进行时间范围的配置。“时间范围”为非必配项，可按需进行设置。

单击<增加>按钮，进入增加时间范围页面，在该页面中设置时间范围，设置完成后，单击图标保存配置，并单击<确定>按钮保存。

图3-64 增加时间范围

 

2. 策略模板

(1)     选择“策略模板”页签，进行策略模板的配置。其中，系统默认已有两个模板，全部允许和全部拒绝，如下图所示。

图3-65 策略模板

 

(2)     单击<增加>按钮，进入增加策略模板页面。

¡     内网策略：用户安全组的组间策略以及东西向服务链，选择“内网策略”；

¡     外网策略：南北向服务链，选择“外网策略”。

图3-66 增加策略模板

 

(3)     单击<增加规则>按钮，进入增加规则页面。设置参数，单击<确定>按钮保存配置。

表3-24 增加规则

 

图3-67 增加规则

 

(4)     策略模板增加完成后，单击<确定>按钮，保存策略模板。

3. 默认访问策略

选择“组间策略”页签，进入组间策略页面。在该页面“访问策略”区域“默认”项（以下简称默认访问策略）的下拉框中，可设置私网内用户的访问权限。设置组间策略时，需先选择“私网”，再设置默认访问策略。

组间策略页面中设置的默认访问策略与私有网络页面中设置的“默认组间策略”相同，选择其中一个页面设置即可。

·     允许：表示私网内所有用户之间默认可以互相访问；

·     拒绝：表示私网内所有用户之间都不能互相访问，同一私网下的安全组和同一安全组下的不同用户之间默认不可互相访问。

图3-68 选择默认访问策略

 

4. 组间策略

(1)     选择“组间策略”页签，进入组间策略页面。先选择“私网”，自动切换到私网的矩阵中，如下图所示。

图3-69 组间策略

 

(2)     选择右侧的“访问策略”拖拽到需要设置的相应位置，弹出“策略方向”对话框，根据实际业务选择。选择完成后，单击<确定>按钮，保存配置。其中，“策略方向”分为“单向”和“双向”。

¡     单向：表示设置源到目的的访问策略；单向可以节省ACL资源，但若要配置安全组之间的用户互访，需要配置双向。

¡     双向：表示设置源到目的和目的到源的访问策略。

图3-70 策略方向

 

(3)     本案例设置了源为“学生安全组”、目的为“教师安全组”的“全部拒绝”配置，如下图所示。组间策略配置完成后，单击页面左上角<确定>按钮，保存配置。

图3-71 配置互访策略

 

5. 例外

组间策略中还可进行“例外”配置，“例外”顾名思义就是特殊处理。通过设置例外策略，让特定流量做特殊处理。

(1)     把鼠标移到安全组中间，会显示“+”，单击“+”，进入编辑组间策略页面。

图3-72 例外

 

(2)     若安全组间已存在访问策略，则需要单击图标进入组间策略编辑页面。

图3-73 组间策略编辑页面

 

(3)     切换至“例外策略”页签，单击<增加>按钮，进入增加规则页面，在该页面中设置规则，配置“协议”、“源网段”、“目的网段”、“动作”等配参数后，单击<确定>按钮，保存配置。

图3-74 增加例外策略

 

表3-25 增加规则

 

(4)     例外配置完成后，在组间策略矩阵中，会显示例外策略图标。

图3-75 查看例外策略

 

3.3  组播业务

3.3.1  二层组播

1. 开启组播网络

二层组播需要全局使能组播，Fabric的组播网络勾选“开启”。

单击[自动化>园区网络>Fabrics]菜单项，单击列表中Fabric名称对应操作列的设置图标，进入对应Fabric页面。切换至“设置”页签，将“组播网络”项置为“开启”，单击右上角<确定>按钮，保存配置。

图3-76 开启组播网络

 

2. 配置组播业务

进入[自动化>园区网络>应用策略>组播>L2组播]，单击<增加>按钮，进入增加二层组播页面，进行参数配置。

图3-77 增加L2组播

 

表3-26 L2组播

 

3.3.2  组播策略

(1)     单击[自动化>园区网络>应用策略>组播>组播策略]菜单项，进入组播策略页面。

图3-78 组播策略

 

(2)     在该页面单击<增加>按钮，进入增加组播策略页面。在该页面可以指定名称、类型和描述信息等。

图3-79 增加组播策略

 

表3-27 增加组播策略

 

(3)     单击<增加ACL规则>按钮，在弹出的对话框中指定源IP地址、目的IP地址和动作。

图3-80 增加ACL规则

 

表3-28 增加ACL规则

 

(4)     配置完成后，单击<确定>按钮完成配置组播策略的操作。

3.3.3  SSM映射

通过创建SSM映射，并配置SSM静态映射规则，实现运行IGMPv1或IGMPv2的接收主机支持SSM模型。

(1)     单击[自动化>园区网络>应用策略>组播>SSM映射]菜单项，进入SSM映射页面。

图3-81 SSM映射

 

(2)     在该页面单击<增加>按钮，进入增加SSM映射页面，以指定名称、类型和描述信息等。

图3-82 增加SSM映射

 

表3-29 增加SSM映射

 

(3)     单击<增加SSM映射规则>按钮，在弹出的对话框中指定组播组IP、组播源IP地址。

图3-83 增加SSM映射规则

 

表3-30 增加SSM映射规则

 

(4)     配置完成后，单击<确定>按钮完成配置SSM映射的操作。

3.3.4  三层组播

通过为L3组播绑定私有网络、配置RP地址、MDT、PIM协议和策略、IGMP协议和策略，实现相同VPN下的三层组播流量互通。

三层组播在二层组播的基础上，还需要进行如下配置。

进入[自动化>园区网络>应用策略>组播>L3组播]菜单项，单击<增加>按钮，进入增加L3组播页面，配置如下参数：

图3-84 增加L3组播

 

表3-31 L3组播

 

2. MDT页签

MDT页签中可以指定默认组、源端口和数据组等参数。其中，数据组掩码的取值范围因不同的设备而不同，具体取值范围以设备为准。

图3-85 MDT

 

表3-32 MDT

 

3. PIM协议页签

选择[PIM协议]页签，配置PIM协议。

图3-86 PIM协议

 

表3-33 PIM协议

 

4. PIM策略页签

选择PIM策略页签，配置PIM策略。

图3-87 PIM策略

 

表3-34 PIM策略

 

5. IGMP协议页签

选择IGMP协议页签，配置IGMP协议。

图3-88 IGMP协议

 

表3-35 PIM策略

 

6. IGMP策略页签

选择IGMP策略页签，配置IGMP策略

图3-89 IGMP策略

 

表3-36 IGMP策略

 

以上配置均完成后，可以实现同一VPN实例下的三层组播流量传输。

 

3.4  无线业务配置

3.4.1  增加AC设备

(1)     在统一数字底盘中纳管AC，进入[监控>监控列表>网络>SNMP设备]菜单项，单击<增加>按钮添加无线AC设备。将AC纳管到数字底盘中，如下图所示。

图3-90 添加无线AC设备

 

图3-91 配置无线AC设备

 

表3-37 AC设备

 

(2)     AC纳管后，选中AC设备，单击<同步>按钮。

图3-92 同步无线AC设备

 

(3)     AC纳管成功后，进入[自动化>园区网络>网络设备>无线设备]菜单项，如下图所示。

图3-93 查看无线设备

 

(4)     单击设备标签，跳转至AC设备详情界面。

图3-94 单击设备标签

 

(5)     进入AC设备详情界面，单击<配置>按钮，然后再单击<修改NETCONF参数>按钮，进入修改NETCONF页面，填写如下参数：

图3-95 修改NETCONF参数

 

表3-38 修改NETCONF参数

 

(6)     单击<确定>按钮配置完成。

3.4.2  增加AP

1. WSM组件中配置AP模板

(1)     进入[自动化>园区网络>网络设备>无线设备>相关链接>配置管理]页面，单击“AP模板配置”链接创建AP模板，如下图所示。

图3-96 创建AP模板

 

(2)     进入AP模板列表页面，单击<增加>按钮，进入增加AP模板页面，进行参数配置。

图3-97 增加AP模板

 

表3-39 AP模板

 

(3)     配置完成后，单击<确定>按钮，返回Fit AP列表，AP上线并注册成功后，状态会变为在线。

图3-98 AP上线

 

(4)     AP上线并注册成功后，在[监控>监控列表>网络]>SNMP设备]界面选中AC，单击<同步>按钮，再去[自动化>园区网络>网络设备>无线设备]页面查看，AP状态会变为在线，如下图所示。

图3-99 查看状态

 

 

2. Radio批量配置

AP注册成功后，需要将Radio的状态改为Up，如下所示：

(1)     进入[自动化>园区网络>网络设备>无线设备>相关链接>配置管理]页面。

(2)     单击<Radio批量配置>按钮，进入Radio批量配置界面。

(3)     配置参数管理状态设置为Up，单击<增加>按钮，选中需要增加的Radio，最后单击<确定>按钮完成配置。

图3-100 配置Radio

 

3.4.3  配置无线认证参数

1. 配置无线服务策略

AC设备上的无线服务模板（对应WSM页面的无线服务策略）即一类无线服务属性的集合，如无线网络的SSID、认证方式等。需要通过WSM组件进行配置，如下所示：

进入[自动化>园区网络>网络设备>无线设备>相关链接>配置管理]菜单项，单击“服务策略配置”链接进行配置。

图3-101 配置服务策略

 

无线服务策略参数说明：

·     对于802.1X认证方式：

图3-102 配置服务策略

 

表3-40 802.1X认证方式

 

·     对于MAC/MAC Portal认证方式：

图3-103 配置服务策略

 

表3-41 MAC/MAC Portal认证方式

 

 

2. 无线服务策略绑定Radio

服务策略创建之后，需要跟Radio绑定，进入[自动化>园区网络>无线>AC配置>服务策略管理]页面，首先勾选模板，然后增加Radio，最后单击<绑定服务策略>按钮即可，如下图所示。

图3-104 绑定服务策略

 

3.5  PON业务

·     OLT设备（Optical Line Terminal，光线路终端）：PON系统的核心设备，一般放置在中心机房，用于统一管理ONU，并将接入业务汇聚和传递到IP网。

·     ONU设备（Optical Network Unit，光网络单元）：PON系统的用户端设备，用于连接用户PC、机顶盒、交换机等，通常放置在用户家中、楼道或道路两侧，负责响应OLT发出的管理命令，并将用户数据转发到OLT。

·     分光器（Optical Splitter，无源光纤分支器）：用于将上行数据汇聚到一根光纤上，并将下行数据分发到各个ONU。

3.5.1  增加OLT设备

(1)     单击[自动化>园区网络>网络设备>交换设备]菜单项，单击<增加>按钮，进入增加网络设备页面。

图3-105 增加交换设备

 

表3-42 增加交换设备

 

(2)     配置完成后，单击<确定>按钮，选择[PON设备]页签，然后选择[OLT]页签，进入OLT设备页面。在该页面可查看OLT接口列表、ONU列表、分光器、OLT单板列表等信息。

图3-106 OLT设备

 

(3)     单击列表中OLT设备的<OLT接口列表>链接进入当前OLT设备的OLT接口列表页面，可查看OLT设备的接口列表，包括冗余口和物理口。其中冗余口可进行增加、修改和查看详情等操作。当OLT口在Leaf下行口组或者OLT接口组时，如果要把此接口加入到冗余口中，则控制组件会自动把OLT口从接口组移除，之后再加到冗余口，且会把生成的冗余口自动加到OLT接口组。单击OLT接口列表页面操作栏的修改按钮，可以配置接口的最大往返时间。

图3-107 OLT接口

 

表3-43 OLT接口

 

(4)     单击列表中的<OLT单板列表>链接进入OLT单板列表页面，展示当前OLT设备的所有OLT单板，单击OLT单板列表中的<OAM配置信息>链接，可以配置单板的OAM配置，单击OLT单板列表中的<单板配置>链接，可以配置单板的单板配置信息。

图3-108 OAM配置信息

 

图3-109 单板配置

 

表3-44 OLT单板列表配置

 

(5)     在OLT列表操作栏可完成查看详情、修改和同步操作。

3.5.2  配置ONU设备

(1)     选择[ONU设备]页签进入ONU设备页面。在该页面可对ONU设备进行移动、批量删除、批量同步和查看UNI列表等操作。在ONU列表操作栏可完成查看详情、修改、删除和重启操作。

图3-110 ONU设备

 

(2)     单击<刷新>按钮，可刷新ONU设备列表信息。控制组件会自动识别连接在OLT设备的ONU并添加到列表中，无需手动配置。

(3)     勾选列表中多个ONU，单击<批量删除>按钮即可批量删除ONU。

图3-111 批量删除

 

(4)     勾选列表中多个ONU，单击<移动>按钮，之后选择对应的源分光器，可以把ONU移动到某分光器下。如果选择的ONU不属于同一个设备下的同一个OLT接口，则不允许移动。

图3-112 移动

 

(5)     单击列表中ONU设备的<UNI列表>链接，可查看ONU对应的UNI列表信息。单击UNI列表操作栏的修改按钮可修改UNI接口配置。

图3-113 UNI信息

 

表3-45 UNI信息

 

(6)     单击操作栏的修改按钮，在修改页面可修改ONU基础配置和ONU DBA配置。

¡     ONU基础配置页面支持修改站点、描述、ONU FEC功能、ONU下行加密。

图3-114 OUN基础配置

 

表3-46 ONU基础配置

 

¡     在ONU DBA配置页面可配置ONU上行带宽范围。

图3-115 ONU DBA配置

 

表3-47 ONU DBA配置

 

3.5.3  增加分光器

(1)     选择[分光器]页签进入分光器页面。在该页面可对分光器进行增加、修改、删除和查看详情等操作。

(2)     单击<增加>按钮，进入增加分光器页面。在该页面配置分光器的名称、备注、插损值、厂商等信息。

图3-116 增加分光器

 

表3-48 增加分光器

 

(3)     增加分光器页面单击源分光器后面的<选择>按钮选择源分光器，进入选择源分光器页面，选择列表中的分光器作为源分光器。

(4)     增加分光器页面单击下级设备的<增加>按钮，可以添加分光器的下级设备，目前分光器可选的下级设备只包含ONU。

(5)     单击<确定>按钮，配置成功。

图3-117 分光器

 

(6)     单击“ONU列表”图标，可以查看该分光器下直连的ONU。

图3-118 OUN列表

 

(7)     单击“拓扑”图标，可以跳转至该分光器的拓扑页面。

图3-119 拓扑

 

3.5.4  批量配置

单击[批量配置]链接进入批量配置页面。在该页面配置OLT单板配置、OLT接口配置、ONU配置、UNI口配置。

图3-120 批量配置

 

·     OLT单板配置：可批量修改OAM配置或单板配置，单击<批量修改>按钮批量修改。

图3-121 OAM配置

 

图3-122 单板配置

 

·     OLT接口配置：可批量修改最大往返时间，单击<批量修改>按钮批量修改。

图3-123 最大往返时间

 

·     ONU配置：可批量修改ONU基础配置或ONU DBA配置，单击<批量修改>按钮批量修改。

图3-124 ONU基础配置

 

图3-125 ONU DBA配置

 

·     UNI口配置：可批量修改UNI接口配置，单击<批量修改>按钮批量修改。

图3-126 UNI接口

 

3.6  隔离域互联业务

该功能通过连接多个隔离域间的BGP路由，实现用户跨隔离域互通。配置隔离域互联时成员至少配置2个，多个成员之间为全互联。

1. 增加边界设备组

(1)     进入[自动化>园区网络>网络设备]菜单项，选择[边界设备组]页签，单击<增加>按钮，进入增加边界设备页面。

图3-127 边界设备组

 

(2)     增加边界设备组页面中，在网络位置区域勾选“Fabric间互联”。

图3-128 增加边界设备组

 

表3-49 边界设备组

 

 

(3)     参考上述步骤再新增一个边界设备组。

2. 增加隔离域互联

(1)     单击[自动化>园区网络>隔离域]菜单项，选择[隔离域互联]页签，进入隔离域互联页面。

(2)     单击<增加>按钮，进入增加隔离域互联页面。在该页面可以配置隔离域互联的名称、描述信息和连接方式等。其中，连接方式分为自定义和路由服务器。

(3)     当连接方式为自定义时，在隔离域互联成员区域，单击<增加>按钮，弹出增加隔离域互联成员页面。其中，隔离域互联成员至少配置2个，多个成员之间为全互联。

图3-129 完成多园区多Fabric增加隔离域互联

 

(4)     当连接方式为路由服务器时，在路由服务器区域，选择隔离域的名称和边界设备，在路由服务器客户端区域，单击<增加>按钮，在弹出的对话框中选择隔离域的名称和边界设备。

图3-130 增加隔离域互联

 

(5)     配置完成后，单击<确定>按钮完成增加隔离域互联的操作。

表3-50 隔离域互联

 

3.7  安全服务业务

1. 功能简介

本页面主要用于配置安全服务器。通过将控制组件与安全服务器建立连接，可为控制组件提供防火墙等安全服务。

2. 操作步骤

(1)     选择[自动化>园区网络>网络设备>安全设备]菜单项，单击右上方链接，进入安全服务页面。

(2)     单击<增加>按钮，在弹出的对话框中配置服务器地址、端口等参数，单击<确定>按钮完成安全服务器配置。

图3-131 增加安全服务

 

表3-51 增加安全服务

 

(3)     控制组件与安全服务器连接成功后，单击“数据同步状态”中图标可将安全服务器侧的安全资产同步到控制组件。同步完成后单击图标，弹出安全资产列表窗口，在该页面可查看资产相关信息，包括资产名称、IP地址、单个物理资产同步状态等信息。

图3-132 安全资产列表

 

(4)     在安全资产列表中，单击单个资产的同步按钮，可将安全服务器侧和控制组件侧单个资产信息进行数据同步。

3.8  Qos业务

3.8.1  全局开启Qos

进入[自动化>园区网络>Fabrics]菜单项开启全局QoS策略，单击列表中Fabric名称对应操作列的设置图标，进入对应Fabric页面。切换至“设置”页签，将“QoS策略”项置为“开启”，单击右上角<确定>按钮，保存配置。

(1)     单击[自动化>园区网络>应用策略>QoS]菜单项，单击[端对端保障]页签，进入应用分类展示页面。端到端保障用于Fabric内纳管的所有设备互联口队列设置以及接口报文默认优先级设置。

图3-133 开启端到端保障

 

(2)     单击<修改>按钮，进入修改端对端保障页面，将“端到端保障”项设置为“开启”，

图3-134 修改端对端保障

 

(3)     设置完成之后，单击<确认>按钮。开启端到端保障后，该Fabric内纳管的所有设备互联口队列都会下发QoS相关配置，用于保障特定流量的优先级。

3.8.2  增加应用分类

(1)     单击[自动化>园区网络>应用策略>QoS]菜单项，单击[应用分类]页签，进入应用分类展示页面。

(2)     单击<增加>按钮进入增加应用分类页面，该页面分为基本设置和规则信息两个区域。

(3)     在基本设置区域可以配置应用名称、描述信息。

表3-52 增加应用分类

 

(4)     在规则信息区域，单击<增加>按钮，在弹出的对话框中配置规则的名称，并选择协议类型。可根据需求配置源IP地址、目的IP地址、源端口、目的端口。配置完成后单击<确定>按钮，完成增加规则的操作。

图3-135 增加应用分类

 

表3-53 增加规则

 

(5)     规则增加完成后，单击增加应用分类页面的<确定>按钮，完成增加应用分类的操作。

(6)     本文以下图的规则为例，所有匹配“源IP网段”为20.0.0.0/16和“目的IP网段”为225.0.0.1/32的报文都符合这个规则，将自动被归为一类。

图3-136 增加规则

 

(7)     单击<确定>按钮，返回增加应用分类页面。单击<确定>按钮，保存配置，返回应用分类列表中可以看到刚刚配置的应用分类，该应用分类未被引用时的状态是Ready状态，并且可以对该应用分类进行详情查看、修改或删除操作。

图3-137 应用分类

 

3.8.3  增加应用策略

(1)     单击[自动化>园区网络>应用策略>QoS]菜单项，单击[应用策略]页签，进入应用策略展示页面。

图3-138 应用策略

 

(2)     单击<增加>按钮进入增加应用策略页面，输入名称和描述。

(3)     选择开启动态匹配或关闭动态匹配，开启后不需要配置[网络范围]，动态识别应用集对应应用的报文，并执行流量保障策略。

图3-139 网络范围

 

表3-54 增加应用策略

 

(4)     单击[网络范围]页签，设置采用流量策略的交换设备信息。

(5)     单击<增加>按钮，选择设备或接口选项。进入设备或端口选择页面，用户可以根据实际需求选择选该应用策略下发到哪些设备或端口上。只有应用了策略的设备或端口才会匹配应用分类后执行策略动作。

(6)     在左侧设备列表中选择设备，单击图标，在右侧显示已选择的设备或接口。

图3-140 选择设备

 

(7)     单击<确定>按钮，网络范围增加完成。

(8)     单击[流量策略]页签，将应用分类和优先级进行关联形成全局流量策略，然后应用到设备或者接口上。

图3-141 流量策略

 

(9)     单击<增加>按钮，进入增加流量策略页面。

图3-142 应用优先级

 

表3-55 增加流量策略

 

应用优先级：不同的应用对应不同的优先级，设备根据报文的优先级将报文上送至不同的队列中，一般有0-7共8个队列。SP方式下数值越大，优先级越高，设备严格按照优先级从高到低的次序优先发送较高优先级队列中的报文，当较高优先级队列为空时，再发送较低优先级队列中的报文。WRR方式会给每个优先级的队列分配一个权重，设备按照权重在各个队列中进行轮询调度。

下表为不同的应用对应的不同队列值。其中，队列6-7为系统预留，不会给用户使用。

表3-56 应用优先级

 

流量限速：默认关闭，可根据需求开启，进行流量的速度限制配置。开启流量限速后，需配置流量监管参数。配置参数包括：

¡     CIR：承诺信息速率。流量的平均速率，单位为kbps。

¡     PIR：峰值速率，单位为kbps，PIR和CIR速率单位必须保持一致。

¡     CBS：承诺突发尺寸，单位为byte。

¡     EBS：超出突发尺寸，单位为byte。

图3-143 流量限速

 

(10)     单击<确定>按钮，返回增加应用策略页面。单击<确定>按钮，返回应用策略页面，在列表中可以查看添加的应用策略，可对该策略进行详情查看、修改或删除操作。

图3-144 查看应用策略

 

(11)     切换至[应用分类]页签，可以看到在应用策略中引用的应用分类的状态会切换成“In use”，处于“In use”状态的应用分类不允许被删除。

图3-145 应用分类

 

3.9  BRAS设备业务

3.9.1  增加BRAS设备

(1)     进入[自动化>园区网络>网络设备>BRAS设备]菜单项，单击<增加>按钮，进入增加BRAS设备。

图3-146 BRAS设备

 

表3-57 BRAS设备

 

(2)     纳管后，BRAS设备状态显示为“激活”，表示纳管成功。

图3-147 纳管成功

 

(3)     单击操作列的<详情>图标，可以查看BRAS设备的详情、接口列表、告警、监控等信息。

图3-148 查看详情

 

图3-149 查看BRAS设备详细信息

 

3.9.2  查看BRAS设备拓扑信息

进入[监控>拓扑视图>园区拓扑]菜单项，单击BRAS设备连接的Border的fabric，可以查看拓扑信息。

图3-150 BRAS设备拓扑信息

 

3.9.3  通过ICC脚本给BRAS下发配置

1. 上传ICC脚本

进入[自动化>配置部署>配置库]菜单项，进入配置库页面，根据实际业务需求，联系控制组件研发获取最新的配套ICC脚本，然后上传到配置库。

图3-151 上传ICC脚本

 

2. 创建部署任务

(1)     进入[自动化>配置部署>设备配置]菜单项，单击<部署设备配置>按钮，创建部署任务，通过ICC脚本给BRAS设备下发业务配置。

图3-152 部署设备配置

 

图3-153 选择部署设备

 

表3-58 部署设备

 

(2)     进入[自动化>配置部署>部署任务]菜单项，查看部署任务执行情况，“完成-成功”表示任务执行成功。

图3-154 部署完成

 

3.10  园WAN互联业务

该功能用于配置园WAN互联参数，实现园区网络和WAN网络之间的连接互通。仅IP策略的私有网络才可以配置园WAN互联，且园WAN互联仅支持IPv4业务。

(1)     单击[自动化>园区网络>私有网络]菜单项，单击[园WAN互联]页签进入园WAN互联页面。

(2)     单击<增加>按钮，进入增加园WAN互联页面。在该页面可以配置园WNN互联的名称、描述、私有网络和站点间VPN流量访问模型信息。站点间VPN流量访问模型分为HUB-SPOKE和FULL-MESH两种。

图3-155 增加园WAN互联

 

表3-59 增加园WAN互联

 

(3)     单击<增加园WAN互联成员>按钮，进入公共配置页面。在该页面可以配置成员的名称、隔离域和资源分配模式信息。资源分配模式分为自动分配和手动指定两种。

图3-156 公共配置

 

表3-60 增加园WAN互联成员

 

(4)     单击<下一步>按钮，进入园区互联口页面。若资源分配模式为手动指定，在该页面需要指定Fabric、边界设备组、VLAN接口IPv4地址、互联VLAN、边界设备和接口 。互联VLAN范围为101-4089。若资源分配模式为自动分配，在该页面需要指定Fabric、边界设备组、边界设备和接口，VLAN接口IPv4地址和互联VLAN不在该页面进行展示，由系统自动进行分配，分配完成后，可以在园WAN互联成员页面单击<修改>按钮进行查看。

图3-157 增加园区互联口（自动分配）

 

图3-158 增加园区互联口（手动指定）

 

图3-159 增加接口

 

表3-61 增加园区互联口

 

(5)     单击<下一步>按钮，进入WAN互联口页面。若资源分配模式为手动指定，在该页面需要指定站点、互联VLAN、网关设备、接口和接口IPv4地址。互联VLAN无需指定，直接继承园区互联VLAN的值。若资源分配模式为自动分配，在该页面需要指定站点、网关设备和接口，互联VLAN和接口IPv4地址不在该页面进行展示，由系统自动进行分配，分配完成后，可以在园WAN互联成员页面单击<修改>按钮进行查看。

图3-160 增加WAN互联口（自动分配）

 

图3-161 增加WAN互联口（手动指定）

 

表3-62 增加WAN互联口

 

(6)     单击<下一步>按钮，进入路由协议页面。在该页面可以配置路由协议、进程号ID、区域ID、园区引入路由、WAN引入路由、园区接口配置和WAN接口配置信息。当前路由协议仅支持OSPF。

图3-162 路由协议

 

表3-63 路由协议

 

(7)     在该页面单击园区引入路由下的<增加>按钮，在弹出的对话框中可以指定路由协议、路由开销、引入IBGP和AS号。园区引入路由协议支持直连、静态和BGP三种。

图3-163 增加园区引入路由

 

表3-64 增加园区引入路由

 

(8)     在该页面单击WAN引入路由下的<增加>按钮，在弹出的对话框中可以指定路由协议、路由开销和AS号。WAN引入路由支持直连、静态和BGP三种。

图3-164 增加WAN引入路由

 

表3-65 增加WAN引入路由

 

(9)     在该页面单击WAN接口配置或园区接口配置下的<修改>按钮，可以配置路由开销和BFD使能。

图3-165 接口配置

 

表3-66 接口配置

 

(10)     单击<完成>按钮，跳转到增加园WAN互联页面。在该页面单击<确定>按钮，完成增加园WAN互联的操作。

图3-166 园WAN互联

 

3.11  通用设备策略组

3.11.1  增加策略模板

(1)     单击[自动化>园区网络>网络设备]菜单项，单击[通用策略组]页签进入通用策略组页面。

图3-167 通用策略组

 

(2)     单击<策略模板>按钮，进入策略模板页面。

图3-168 策略模板

 

(3)     单击<增加>按钮，选择“设备策略模板”选项。

图3-169 设备策略模板

 

(4)     进入增加设备策略模板界面，填写模板名称、模板类型和认证方式。

图3-170 增加设备策略模板

 

表3-67 策略模板

 

(5)     配置完成后，单击<确定>按钮返回策略模板页面。

图3-171 新增策略模板

 

3.11.2  增加通用策略组

(1)     配置完策略模板后，单击<返回>按钮，返回通用策略组页面。

图3-172 通用策略组

 

(2)     单击<增加>按钮，进入增加通用策略组页面。

图3-173 增加通用策略组

 

表3-68 通用策略组

 

(3)     在[成员]页签，单击<增加>按钮，进入增加设备成员页面。

图3-174 增加设备成员

 

(4)     在设备列表区域勾选要选择的设备，单击中间按钮，将选择的设备移动到已选设备区域。

图3-175 选择设备

 

(5)     配置完成后，单击<确定>按钮，返回增加通用策略组页面，然后选择[策略]页签。

图3-176 策略

 

(6)     单击<增加>按钮，进入增加设备组策略页面。

图3-177 增加设备组策略

 

(7)     在可选策略模板区域勾选802.1X认证模板，在可选可选802.1x认证策略区域选择3.11.1  增加策略模板增加的策略模板“aa”。

图3-178 选择策略模板

 

(8)     单击<增加>按钮，将选择的策略增加到已选策略中。

图3-179 已选策略

 

(9)     单击<确定>按钮，返回增加通用策略组页面。

图3-180 策略

 

(10)     单击<确定>按钮，完成通用设备策略组的配置。

图3-181 通用策略组

 

3.12  增加接入策略

为方便您快速体验该业务功能，以配置不进行任何接入控制的接入策略为例，增加接入策略的方法如下：

(1)     选择“自动化”页签，单击导航树中的[用户业务>接入服务]菜单项，进入接入服务页面。选择“接入策略”页签，如图3-182所示。

图3-182 接入策略管理

 

(2)     单击<增加>按钮，进入增加接入策略页面，如图3-183所示。由于不需要任何接入控制，所以只需输入接入策略名，其他参数保持默认即可。

图3-183 增加接入策略

 

表3-69 接入策略

 

 

(3)     单击<确定>按钮，接入策略增加完毕。返回接入策略管理页面，可在接入策略列表中查看新增的接入策略，如图3-184所示。

图3-184 查看新增的接入策略

 

3.13  增加接入服务

(1)     选择“自动化”页签，单击导航树中的[用户业务>接入服务]菜单项，进入接入服务页面，如图3-185所示。

图3-185 接入服务页面

 

(2)     单击<增加>按钮，进入增加接入服务页面，配置接入服务的基本信息，如图3-186所示。

图3-186 接入服务参数配置

 

各参数介绍请参见表3-70，表格外的其他参数在配置过程中可保持缺省值。

表3-70 接入服务配置参数说明

 

表3-71 EIA中服务后缀的选择

 

(3)     单击<确定>按钮，完成增加接入服务操作，返回接入服务页面。可在接入服务列表中查看新增的接入服务，如图3-187所示。

图3-187 查看新增的接入服务

 

3.14  增加接入用户

(1)     选择“自动化”页签，单击导航树中的[用户业务>接入用户]菜单项，进入接入用户页面，如图3-188所示。

图3-188 接入用户页面

 

(2)     单击<增加>按钮，进入增加接入用户页面，配置接入用户的基本信息、接入信息，选择接入服务，如图3-189所示。

图3-189 接入用户参数配置

 

各参数介绍请参见表3-72，表格外的其他参数在配置过程中可保持缺省值。

表3-72 接入用户配置参数说明

 

(3)     单击<确定>按钮，完成增加接入用户操作，返回接入用户页面。可在接入用户列表中查看新增的接入用户，如图3-190所示。

图3-190 查看新增的接入用户

 

3.15  802.1X认证

3.15.1  证书安装

 

(1)     路径：[自动化>用户业务>业务参数>接入参数>证书配置]，单击<导入预置证书>按钮，会自动导入我司预置的证书，如下图所示。

(2)     配置完成后，非我司iNode作为客户端的802.1X认证能够成功认证。

(3)     若客户需要使用自己的证书，则可以通过下述两种方式导入：

¡     选择该页面“根证书配置”页签，单击<导入EAP根证书>按钮进行证书导入。

¡     选择该页面“服务器证书配置”页签，单击<导入EAP服务器证书>按钮进行证书导入。

图3-191 导入证书

 

3.15.2  用户认证

1. iNode客户端

上述配置过程完成后，用户就可以通过iNode客户端进行认证上线。

(1)     打开iNode客户端，输入接入用户中创建/导入的帐号、密码。

图3-192 输入用户名密码

 

(2)     设置“属性”。单击“连接”右侧向下箭头会显示“属性”。“属性设置”页面默认如下：

可以使用“单播”或者“多播”报文触发认证。配置静态IP时，勾选“上传IPv4地址”。建议勾选上“连接断开后自动更新IP地址”。

图3-193 iNode属性设置

 

(3)     单击<连接>按钮，终端PC上可以看到用户已成功上线。路径：[监控>监控列表>在线用户>本地在线用户]也可以查看在线用户信息。

图3-194 用户上线

 

图3-195 查看在线用户

 

2. 非我司iNode作为客户端

(1)     设备策略模板-802.1X认证，认证方式：选择“EAP”认证方式。

(2)     Leaf下行口配置关闭握手功能。

#

interface Bridge-Aggregation1024                                                                                                   

 port link-type trunk                                                                                                               

 port trunk permit vlan1 101 to 3000 4094                                                                                                        

 link-aggregation mode dynamic                                                                                                                                                                                                                      

 mac-based ac                                                                                                                       

 dot1x                                                                                                                             

 undo dot1x handshake                         //关闭握手功能                                                                                                              

 undo dot1x multicast-trigger   

#                                                                                                  

(3)     客户端配置，在[服务]中启动Wired Autoconfig服务。

图3-196 启动Wired Autoconfig服务

 

(4)     在[网卡>属性>身份验证]页面，启用802.1X身份验证，勾选回滚到未经授权的网络访问。

(5)     在[网卡>属性>身份验证>设置]页面，去勾选验证服务器证书，其他默认即可。

(6)     在[网卡>属性>身份验证>其他设置]页面，勾选指定身份验证模式，在下拉框选择用户身份验证，在保存凭据页面输入认证用户名和密码。

图3-197 802.1X设置

 

图3-198 保存凭据

 

(7)     确定之后，用户可以认证成功。

(8)     某些终端认证时，会带前缀信息，导致认证不成功，提示用户不存在，解决办法：AAA认证配置，增加带后缀的域名，或者修改用户名前缀转换方式为去除。（路径：[自动化>用户业务>业务参数>接入参数>系统参数配置]）

图3-199 系统配置

 

3.16  MAC Portal认证

 

MAC Portal认证，主要针对没有客户端的用户，不能直接输入用户名和密码进行认证。通过用户接入时推送一个Portal页面，用户在页面中输入用户名、密码进行认证。

当终端设备接入到交换机端口UP后，会发送携带MAC地址的报文从而触发MAC地址认证，作为BYOD匿名用户先进入到BYOD的安全组，并获取该网段的IP地址，可以理解为第一次认证。当用户上网打开网页时，会重定向到MAC Portal的推送页面，输入用户名和密码，登录成功后进入到用户安全组，再获取用户安全组对应的IP地址，可理解为第二次认证。

BYOD安全组在DHCP Server上的默认租约时间为1分钟，终端设备第一次认证获取的IP地址租约为1分钟，当用户通过Web页面输入用户名/密码登录时，进入到对应的用户安全组，等待BYOD租约到期，重新申请IP地址，此时设备会获取到用户安全组的IP地址段地址，终端设备的IP地址从BYOD安全组切换到用户安全组。

3.16.1  创建BYOD安全组

在SeerEngine-Campus上配置：

(1)     路径：[自动化>园区网络>私有网络>二层网络域]，单击<增加>按钮，进入增加二层网络域页面。其中，“私有网络”必须选择“vpn-default”，“类型”选择“BYOD”，BYOD地址池租约默认为1分钟，建议不要低于30s，可根据实际需求进行修改，BYOD安全组必须选择我司的DHCP服务器vDHCP

图3-200 二层网络域

 

(2)     其他未介绍的参数说明参考2.2.5  2. 二层网络域。

图3-201 增加二层网络域

 

(3)     切换至“子网”页签，单击<增加>按钮，填写名称、IP版本、网段和网关后，单击<确定>按钮。

图3-202 增加子网

 

(4)     返回到二层网络域后再次单击<确定>按钮，便可以在二层网络域页面看到增加的BYOD二层网络域。

图3-203 查看二层网络域

 

(5)     增加完BYOD二层网络域后，在路径：[自动化>园区网络>安全组>用户安全组]，单击<增加>按钮，进入增加安全组页面。其中，“类型”选择“BYOD”，“私有网络”必须选择“vpn-default”，单击“二层网络域”页签中的<增加>按钮，选择刚刚添加的BYOD对应的二层网络域，单击确定后便可在安全组列表看到BYOD安全组。

图3-204 增加安全组

 

图3-205 查看用户安全组

 

3.16.2  配置ACL3001

ACL3001的详细信息请参见3.2.4  2. 策略模板章节。

设备策略模板配置中的“免认证IP”填写的是EIA服务器的IP地址，设备策略模板应用到“设备组”中时，会向设备下发ACL3001。增加、修改、删除“免认证IP”，会向设备下发相应的操作。

图3-206 免认证IP

 

按照设备组策略配置下发ACL策略

#                                                                              

<Leaf1>display acl all                                                            

Advanced IPv4 ACL 3001, 2 rules,                                               

SDN_ACL_AUTH                                                                   

ACL's step is 5, start ID is 0                                                 

 rule 0 permit udp destination-port eq dns                                     

 rule 1 permit ip destination 100.1.0.100 0             

#

3.16.3  启用MAC Portal认证

(1)     EIA上配置路径：[自动化>用户业务>业务参数>接入参数>系统配置]，在该页面列表单击模板名称为“终端管理参数配置”相应配置列的图标，页面上有一个“MAC Portal认证”，选择“启用”，打开“MAC Portal快速配置”页面（若默认已“启用，则需要先设置为“禁用”，再“启用”），同时需要启用无感知认证。

图3-207 启用MAC Portal认证

 

(2)     在“MAC Portal快速配置”页面，单击<确定>按钮。

系统会自动创建如下一整套配置，包括：BYOD接入策略、BYOD接入服务关联接入策略和BYOD安全组，创建BYOD用户并绑定BYOD接入服务等一系列操作。

图3-208 MAC Portal快速配置

 

系统自动创建的接入策略：

图3-209 系统创建BYOD安全组接入策略

 

系统自动创建的接入服务，接入服务关联接入策略和安全组：

图3-210 自动关联

 

系统自动创建的BYOD用户：

图3-211 系统创建BYOD用户

 

3.16.4  MAC Portal认证上线

(1)     当终端设备端口UP时，会触发MAC地址认证，先进行BYOD认证过程，首先使用匿名账号byodanonymous进行登录上线，上线成功后加入到BYOD安全组，并获取BYOD网段对应的IP地址。

图3-212 查看在线用户

 

接入认证交换机上可以看到MAC地址认证的信息如下：

 <Leaf1>display mac-authentication connection                                      

Total connections: 1                                                           

Slot ID: 1                                                                     

User MAC address: 000c-29b2-2f11                                              

Access interface: Bridge-Aggregation1024                                       

Username: 000c29b22f11                                                       

User access state: Successful                                                   

Authentication domain: isp                                                     

IPv4 address: 50.0.0.2                                                      

IPv4 address source: IP Source Guard                                            

Initial VLAN: 111                                                              

Authorization untagged VLAN: N/A                                               

Authorization tagged VLAN: N/A                                                 

Authorization VSI: vsi5                                                        

Authorization ACL number/name: 3001                                            

Authorization user profile: N/A                                                

Authorization CAR: N/A                                                         

Authorization URL: http://100.1.0.100:30004/byod/index.html?usermac=%m&userip=

%c&userurl=%o&original=%o                                                       

Start accounting: Successful                                                   

Real-time accounting-update failures: 0                                        

Termination action: Default                                                     

Session timeout period: 86400 sec                                              

Online from: 2020/10/20 11:38:07                                               

Online duration: 0h 19m 53s                                                     

Port-down keep online: Disabled (offline)                                    

(2)     在用户PC上，打开网页输入任何一个IP地址如：1.1.1.1，用户PC上会自动跳转到如下BYOD URL重定向页面。若用户使用域名访问网络来实现重定向跳转认证页面功能（对于DHCP方式获取IP地址的用户，需要在隔离域或二层网络域设置DNS服务器IP；对于静态配置IP地址的用户，则需要手工配置DNS服务器IP），并且Spine/Leaf设备需要保证到DNS服务器路由可达。

图3-213 重定向页面

 

(3)     输入用户名及密码，单击<上线>按钮，认证通过后客户端页面显示如下，表示用户已认证上线。

图3-214 用户上线

 

(4)     EIA上可以看到用户上线信息，进入对应的接入服务，获取接入服务对应的IP地址。

图3-215 查看在线用户

 

接入设备上可以看到对应的MAC地址认证信息：

<leaf10510> dis mac-authentication connection user-name 000c29b22f11                        

Total connections: 1                                                           

Chassis ID: 2                                                                  

Slot ID: 10                                                                     

User MAC address: 000c-29b2-2f11                                               

Access interface: Bridge-Aggregation1024                                       

Username: 000c29b22f11                                                          

User access state: Successful                                                  

Authentication domain: hz1                                                     

IPv4 address: 20.0.0.7                                                          

IPv6 address: FE80::18AD:C0E3:497B:84BA                                        

IPv4 address source: IP Source Guard                                           

IPv6 address source: User packet                                                

Initial VLAN: 120                                                              

Authorization untagged VLAN: N/A                                               

Authorization tagged VLAN: N/A                                                  

Authorization VSI: vsi3                                                        

Authorization microsegment ID: N/A                                             

Authorization ACL number/name: N/A                                              

Authorization dynamic ACL name: N/A                                            

Authorization user profile: N/A                                                

Authorization CAR: N/A                                                         

Authorization URL: N/A                                                         

Authorization IPv6 URL: N/A                                                    

Start accounting: Successful                                                   

Real-time accounting-update failures: 0                                        

Termination action: Default                                                    

Session timeout period: 86400 sec                                              

Online from: 2021/08/24 10:36:48                                               

Online duration: 0h 2m 5s                                                      

Port-down keep online: Disabled (offline)                                      

                                                                                                             

3.17  MAC认证

MAC认证主要用于用户没有客户端，想直接通过终端MAC地址触发认证上线的场景。

3.17.1  配置MAC地址认证用户

配置路径：[自动化>用户业务>接入用户]，单击<增加>按钮，增加接入用户，支持手动增加及批量导入两种方式。

1. 手动增加

(1)     单击<增加>按钮，进入增加接入用户页面。在“接入信息”区域，输入帐号名，并勾选“MAC地址认证用户”选项，服务器会自动配置该用户的密码。其中，帐号名为xxxxxxxxxxxx格式的MAC地址，如下图所示。

图3-216 接入用户

 

(2)     在该页面“接入服务”区域勾选接入服务后，单击<确定>按钮，成功新增MAC地址用户。

图3-217 查看新增用户信息

 

2. 批量导入

(1)     单击<批量导入>按钮，进入批量导入接入用户页面。可通过单击“提示”区域中的“帐号导入文件模板”链接，下载导入模板。可根据模板填写相关信息。

(2)     单击<上传>按钮，选择批量导入的文件。其中，文件中的用户名和密码应该都填写为MAC地址，格式为xxxxxxxxxxxx，如下图所示。

图3-218 导入模板

 

(3)     文件上传完成，并选择文件中列分隔符，单击<下一步>按钮，进入接入用户信息配置页面，在“接入信息”区域中的帐号名和密码需确保均为MAC地址。

图3-219 配置接入信息

 

(4)     选择接入服务后单击<确认>按钮，可以看到成功导入新增的用户。

图3-220 查看接入用户

 

3.17.2  MAC认证

当PC接入到交换机端口UP后，会发送携带MAC地址的报文从而触发MAC地址认证，认证成功后可以在[监控>监控列表>用户>本地在线用户]查看到成功上线的MAC地址认证用户。

图3-221 查看在线用户

 

3.18  哑终端配置

配置路径：[自动化>用户业务>接入用户>哑终端用户配置]，进入哑终端用户配置页面。

图3-222 哑终端用户配置

 

当前支持三种配置方式，分别为：

·     基于MAC段：设置MAC地址段，认证上线时若匹配设置的MAC地址段，则自动创建帐号，认证上线进入设置的用户安全组，获取用户安全组对应的IP地址。

·     基于IP段：设置IP地址段，需要在Leaf设备下行接口配置mac-authentication carry user-ip exclude-ip acl ***命令。

·     基于终端识别：设置终端设备参数信息，客户端认证上线时会携带终端指纹信息，若客户端携带的终端指纹信息匹配设置的终端设备参数信息，则自动创建帐号，认证上线进入设置的用户安全组，获取用户安全组对应的IP地址。

 

该章节以配置基于MAC段为例，其余配置方式请参见“AD-Campus 6.4组策略基础配置指导”的“7 宽带物联业务配置”章节。基于OUI MAC段，支持手动“增加”和“批量导入”两种方式。

如图3-222所示，单击<增加>按钮，在弹出的下拉框中选择“基于MAC段”，进入基于MAC段页面，如图3-223所示。

图3-223 基于MAC段增加哑终端用户

 

该页面“基本信息”区域中的参数“优先级”，默认为“0”，有效范围为[0-999]，数值越小优先级越高。

在该页面“MAC地址段”区域支持手动增加和批量导入两种方式。

3.18.2  手动增加

单击<增加>按钮，进入增加MAC地址段页面，输入MAC地址段，单击<确定>按钮，完成配置。其中，MAC地址段可以增加多个，每一个地址段都可以根据需求进行配置。

图3-224 增加MAC地址段

 

该页面参数说明如下：

·     自动开户：可选择“允许”和“禁止”。

¡     允许：终端设备认证时匹配MAC地址段，会自动创建帐号，进入对应的安全组，获取用户IP地址。

¡     禁止：不会自动创建帐号，认证用户会触发MAC Portal认证进入BYOD安全组。管理员通过路径[监控>监控列表>终端>接入终端]，单击列表操作列的“开户”图标，进行开户。

图3-225 接入终端

 

·     老化：可选择“允许”和“禁止”。

¡     允许：在终端无流量、NAS重启、NAS-Port-down等情况下，EIA允许已认证的哑终端超时后老化下线。

¡     禁止：在终端无流量、NAS重启、NAS-Port-down等情况下，EIA不会让哑终端老化下线，EIA上哑终端一直保持在线状态。当Leaf设备恢复正常，Leaf主动向EIA请求在线信息，以恢复哑终端的在线状态，以防止哑终端一直不发流量而无法恢复上线状态。

3.18.3  批量导入

(1)     单击<批量导入>按钮，打开批量导入哑终端MAC地址段页面。批量导入时，支持模板下载。单击“哑终端MAC地址段导入模板”链接，下载模板。根据下载的模板填写要导入的MAC地址段。模板格式如下：

图3-226 批量导入

 

(2)     单击<上传>按钮导入文件，并选择文件中列分隔符，单击<下一步>按钮，进入批量导入哑终端MAC地址段配置页面，配置完成后单击<确定>按钮完成配置。

(3)     在“接入服务”区域勾选接入服务，单击<确定>按钮，保存配置。

图3-227 接入服务

 

(4)     配置完成后，需要勾选增加的MAC地址段，单击<立即生效>按钮，创建的MAC地址段才能起作用。若不单击<立即生效>按钮，则需要等系统轮询时间（10分钟内）到了才会生效。

图3-228 立即生效

 

MAC地址段配置成功后，终端设备通过流量触发认证上线，匹配设置的MAC地址段，自动创建用户帐号，进入用户对应的安全组获取IP地址。