H3C-SDN项目实施分享

1.基础环境说明
1.1.网络拓扑
1.2.部署说明：
1、南北向使用F5000和L5000分别作为安全资源和负载资源池，其中防火前资源按照租户进行分
配，负载均衡资源根据租户是否需要进行分配
2、底层Underlay网络使用OSPF构建，每个设备配置两个地址，互联接口使用借用地址技术，修
改OSPF接口网络类型，实现BGP的TCP可达
3、Overlay的BGP分为两级RR,每个机房两台Spine作为本地RR，反射来自核心的路由信息
4、部署分布式网关
5、东西向SC使用H3C的虚拟化平台，CloudOS和CAS系统，CAS包括CVM和CVK，CVK对接到
CVM进行虚拟化平台统一纳管，CloudOS纳管CVM，最后通过VCFC控制器对接CloudOS下发VFW和VLB运行在CVK上面
6、CloudOS以容器化方式不是，全程自动化，先部署K8S，然后部署Openstack
2.准备工作-创建VDS
Note:控制器默认有个VDS1，转发模式是控制器流表转发（即强控模式），本次方案使用的弱控方案，需要重新建立一个VDS2，转发模式使用数据平面自转发，后续使用VDS2即可
3.准备工作-添加物理网元
将所有的leaf节点和border节点加入VCFC控制器。

Note：设备类型需要根据实际情况进行选择包括：
网关设备：可以理解为集中式场景下的spine节点
L2VTEP接入设备：可以理解为集中式场景下的leaf节点
接入设备：分布式场景下的leaf节点
Underlay物理设备：物理网络设备，透传VXLAN数据
边界设备：连接VXLAN外部网络的设备
本次项目Underlay物理设备是spine节点，没有VTEP IP地址，如下
网元增加完成后，登录对应交换机查看配置，多了如下配置
使用命令：display openflow instance 查看openflow相关信息
4.准备工作-添加NFGW资源池
本次项目添加了F5000和L5000两种资源，作为南北向服务资源，已经操作完成
5.准备工作-创建地址池（承载网络->地址池）
5.1.安全外网
Note：F5000和CE连接网段，F5000上产生VFW，为VFW连接CE的接口下发一个地址，配置网关地址为CE侧得接口地址。

5.2.安全内网
Note：承载租户需要进行负载的业务流量网段，是VFW和VLB设备之间的互联地址段
5.3.租户承载网
Note：承载租户流量的网段，主要是VFW和Border设备之间的互联地址段5.4.虚拟设备管理网
Note：为南北向的VFW和VLB下发的管理地址段，网关地址是管理网网关地址
6.准备工作-创建网关组（承载网络->网关组）
Note：网关组成员（配置网关设备类型的网元）、地址池、VLAN池全部选择后，确认按钮才能从灰色变为可用状态。

此时Border状态由Inactive变为active。

工作模式：
服务网关组：一般是在有 vfw vlb 时使用
独立网关组：
点击确定后下发如下配置：
#
openflow instance 1
default table-miss permit
description SDN_INSTANCE_1de3d0b2-7ad1-4fa8-8ad5-15f161594bbe
flow-table mac-ip 0 extensibility 1 extensibility 2
classification global
controller 1 address ip 20.39.3.2 local address ip 20.39.3.22 vrf mgmt controller 2 address ip 20.39.3.3 local address ip 20.39.3.22 vrf mgmt active instance
#
注意：没有创建地址池，无法在租户里绑定网关资源
7.创建租户配置
7.1.创建租户
租户是为了更好的管理网络，按照租户进行网络隔离，每个租户可以通常绑定一个vRouter（即一个三层VNI），也可以绑定多个vRouter（vRouter总数最多不超过16
个，因为使用的南北向防火墙最多可以创建16个VFW），可以根据实际情况进行设置，
一个3层VNI下可以关联多个2层VNI
本次项目使用的租户如下
7.2.为租户绑定网关组
在租户里绑定“网关组”（虚拟网络->租户管理[SXDL_1]->网关资源）
7.3.服务资源创建
针对每个租户可以绑定相关的服务资源，VFW和VLB，后续的虚拟路由器绑定服务资源（南北向），东西向需要根据实际的业务需求进行配置。

Note1：对于南北向的防火墙来说使用的硬件防火墙（F5030）每个租户对应一个VFW，VLB资源需要根据实际业务需求确定是否需要添加
Note2：对于东西向SC的防火墙和负载均衡使用的是软件方式，通过SDN控制器调用CloudOS，由CloudOS调用底层的CAS虚拟化平台，生成VLB和VFW，并且VLB和VFW以IRF模式部署。

Note3：在创建东西向的VFW/VLB的时候，可以采用复用资源的方式进行，但是前提是该租户下是存在VFW/VLB资源的
8.虚拟路由器配置
8.1.创建虚拟路由器
VDS：选择VDS2
Segmet ID：三层VNI
VRF名称：可以自动生成，也可以手动指定，建议手工指定，方便后续查找8.2.虚拟链路层网络配置
如果有同一个虚拟路由器下有新业务上线，重复该步骤操作即可
8.2.1.创建网络
这里添加的是实际的业务地址段，Segment ID表示2层VNI，二层VNI的具体数值和网段的第三个8位对应即可（例如：20.38.32.0/24 2层VNI就是32），创建好的虚拟链路层网络以接口形式和虚拟路由器关联
点击对应的虚拟链路层网络中的子网按钮，创建子网，一个虚拟链路层网络创建一个子网，下图中为了测试，创建了两个子网
8.2.2.绑定接口
这里的绑定接口就是将虚拟链路层网络增加到相应的虚拟路由器VPN实例中，实际就是2层VNI和3层VNI绑定
虚拟路由器绑定接口（虚拟网络->虚拟路由器[二级域]->接口）
绑定完成后Leaf节点生成如下配置，
Note：可以在创建的同一个网络增加多个子网，实际部署的时候一个虚拟链路层网络部署一个子网
8.3.绑定服务资源（南北向）
虚拟路由器绑定服务资源（虚拟网络->虚拟路由器）
注意事项：
➢需要先创建FW、LB才能关联服务资源，才能出外网和进行负载均衡。

➢本步骤只需要一次配置即可
9.配置VLAN-VXLAN映射
配置一个VLAN -VXLAN的映射表，映射关系为一对一映射，例如，VLAN 10 的数据接入Leaf节点后会封装为VXLAN10
Note：这里的VXLAN ID是2层VNI
分为两种情况
第一种业务接入方式：Leaf下联5130交换机，5130交换机需要配置VLAN，并在链接6800交换机的接口配置trunk，允许业务VLAN通过（本次项目6800和5130互联全部使用聚合），物理口只需要加入聚合组即可，配置省略
Leaf节点交换机只需要在接口配置 VTEP acces port 让控制器发现业务口
interface Bridge-Aggregation1
vtep access port
在SDN控制器界面增加AC口，下发业务
后续业务上线后，会触发leaf节点AC口的配置上线
第二种业务接入方式：服务器直接连接在leaf节点，直接在该接口上配置PVID即可
相应的接口产生如下红框中关键配置
10.添加防火墙
1、选择网络服务，防火墙选项
防火墙工作思路和普通硬件墙思路基本一致，防火墙调用策略，策略调用规则，规则里面可以包含对象
2、增加规则
2、增加策略，策略绑定规则
3、增加防火墙，绑定虚拟路由器
Note：防火墙模式共有四种：GATEWAY ;GATEWAY_SERVICE ,SERVICE-CHAIN,PBR- SERVICE-CHAIN
4、测试统计信息
11.东西向SC
本次服务链使用的是VXLAN方案，利用了VXLAN预留字段，填充Path-ID构建服务链。

11.1.创建规则
两个规则，一个放行ICMP（规则名字ICMP），一个拒绝所有TCP（规则名字SSH）
11.2.创建Policy
创建policy，关联规则
11.3.流量特征组
创建流量特征组，即SC的源目
11.4.创建防火墙，
创建防火墙绑定Policy和东西向的VFW资源（VFW资源是在租户下面创建的）
11.5.创建服务链
类型选择PBRFirewall，服务实例就是上一步创建的防火墙
11.6.测试后看统计信息
11.7.相关设备配置
11.7.1.S ervice leaf配置
Service-leaf节点
配置（包括SC配置）.l
11.7.2.东西向VFW配置
SC-FW.log
11.7.3.L eaf节点SC相关配置
leaf节点_控制器下
发SC相关配置.txt。