分类: 未分类

  • 数据中心网络架构(叶脊网络,overlay网络)

    叶脊网络架构英文叫Spine-leaf architecture,如下图所示:


    Spine+Leaf两层设备的扁平化网络架构来源于CLOS网络,CLOS网络以贝尔实验室的研究人员Charles Clos命名,他在1952年提出了这个模型,作为克服电话网络中使用的机电开关的性能和成本相关挑战的一种方法。Clos用数学理论来证明,如果交换机按层次结构组织,在交换阵列(现在称为结构)中实现非阻塞性能是可行的,主要是通过组网来形成非常大规模的网络结构,本质是希望无阻塞。在此之前,要实现“无阻塞的架构”,只能采用 NxN 的 Cross-bar 方式。
    多年以来数据中心一直采用三层网络架构进行网络部署,一个典型的企业分层局域网(hierarchical LAN)包括三层:

    • 接入层:提供工作组/用户接入网络的功能
    • 汇聚层:提供基于策略的连接功能,控制接入层和核心层的边界
    • 核心层:提供汇聚层交换机之间的高速传输

    随着虚拟化技术的发展,节点虚机vm的数量增多,应用的部署方式越来越分布式,东西向流量( east-west-traffic)越来越大。这些流量需要被高效地处理,并且还要保证低的、可预测的延迟。而虚机互访需要通过层层的上行口,因此三层数据中心架构中的带宽成为了瓶颈。 三层架构的另一个问题是服务器到服务器延迟(server-to-server latency)随着流量路 径的不同而不同。

    由于传统三层网络架构存在的问题,在2008年一篇文章A scalable, commodity data center network architecture,提出将Clos架构应用在网络架构中。2014年,在Juniper的白皮书中,也提到了Clos架构。

    事实已经证明,基于 Clos 网络的 Spine-and-Leaf 架构(Clos network-based Spine-and-Leaf architecture)架构可以提供高带宽、低延迟、非阻塞的服务器到服务器连接。
    叶脊架构主要有两个特点:

    • 减少层级
      由三层变二层,这样就减少了跨交换机时的数据转发次数,有利于降低延迟
    • full mesh结构
      也就是全互联结构,每个spine都与所有leaf相连接,leaf之前的数据连接要经过spine,但具体经过哪个spine是按负载均衡策略选择的(ECMP协议),等于所有spine的带宽是共享的,这样提高了带宽也提高了可靠性(一条线路或spine损坏不影响通信)。扩容也方便,只要加入新的spine交换机即可。
    • 工作在第三层
      spine和leaf都是三层交换机工作在第三层,交换机之前通过ECMP协议负载均衡

    为了解决数据中心的另一个问题,即服务器/虚拟机的任意位置迁移,传统的解决方法是大二层网络,汇聚层和接入层交换机都工作在二层模式,但这样广播域太大,MAC地址表也太大,网络容易出现各种问题。新的解决方法是Overlay网络,在overlay模式下所有交换要工作在三层,都有IP地址,这样隔离了广播域。在后在这个spine-leaf架构的三层网络上再建一个大型虚拟二层局域网,就是overlay网络。目前数据中心主要使用VxLAN实现overlay网络。

    中国电信提出的实现固移融合的新型城域网就借鉴了数据中心采用的叶脊网络架构和overlay网络,不过城域网中是用SRv6 over EVPN实现的overlay网络,比VxLAN更复杂一些。

    数据中心里还有一项技术是网络虚拟化,其实就是NFV(只不过IT领域不常用NFV这个叫法,NFV主要是电信行业在叫)。比如VMware的网络虚拟化平台NSX,OpenStack Neutron。

    Views: 5

  • vBRAS在新型城域网中的应用讨论

    1 引言

    根据国务院关于印发“十四五”数字经济发展规划的通知中指出,推动我国数字经济健康发展中,要优化升级数字基础设施,加快建设信息网络基础设施,建设高速泛在、天地一体、云网融合、智能敏捷、绿色低碳、安全可控的智能化综合性数字信息基础设施。

    近年来互联网业务的迅速发展,网络流量呈井喷式增长,而宽带用户发展空间有限,规模竞争转向品质竞争、智家应用竞争。接应“十四五”数字经济发展规划,根据2B/2C/2H/各种业务的发展趋势,网络应能提供大容量、高带宽、低时延,网络弹性扩展,由封闭型转向开放型,并能适配云网标准化对接。

    现有的传统IP三层网络设计的结构发展已经很成熟,随着业务的发展,传统三层网络架构自身存在一些无法突破的限制与弊端无法无限扩展,瓶颈不断涌现。而Spine-Leaf 城域叶脊拓扑网络组成的“胖树”结构,很好地解决了三层网络存在的各种问题。

    2 网络现状及存在问题

    2.1 城域IP 网络现状

    现有城域网IP 网络一般由传输的三层架构组成,即核心—汇聚—接入。

    核心层一般设置两台核心路由器,分别设置在区域DC 机房,上连ChinaNet 和CN2,下联业务接入层,主要为接收全球路由表,承载国际互联网、政企等流量;汇聚层即业务接入层主要由MSE(多服务边缘设备)组成,下联接入层设备OLT,家庭宽带和政企客户由此接入城域网,网络结构如图1 所示。

    目前IP 城域网主要承载如下业务。

    ①上网业务:主要是家庭客户利用宽带网络访问互联网及享受一切相关的网络服务。

    ② VoIP 业务:利用Internet 或局域网来实现新型电话通信的IP 技术。

    图1 传统IP 网络结构示意图

    ③ITV 业务:基于电信网并以电视为载体显示的双向通信手段。

    ④ 视频业务:家庭客户提供的视频业务主要是家庭视频监控。

    ⑤ IP VPN 业务:VPN 常用于大中型企业跨地域组网、同城互联、以及银行、福利彩票营业网点的组网。

    2.2 存在问题

    采用三层架构的传统城域网对于南北向流量的业务形态非常有效,但随着业务的发展存在越来越多的问题。

    (1)现有架构难以满足算力下沉带来的边缘云快速接入

    现有IP 城域网难以满足边缘云泛在接入的需求,同时STN 网络由于设备性能不足无法实现公众客户访问边缘云需求;云网对接未标准化,对接方案复杂。

    (2)难以满足东西向流量增长

    传统城域网(包括IP 光宽城域网与STN)以南北向流量为主,而随着数据中心下沉、私有云等业务带来的东西向流量井喷,树形网络架构难以适应,需占用大量核心资源,无法无限扩展。

    (3)带宽及设备利用率低

    用户处理与带宽接口紧耦合,导致并发用户数低,带宽利用率不均;无法形成资源池,可靠性得不到提升,设备分散且数量多,更大容量设备引入条件不充分。

    (4)多业务并发时带来的承载网设备session 不足

    单用户多业务并发时往往由于原有设备性能无法升级,session 数不足导致用户业务掉线。

    3 新型城域网介绍优势

    3.1 网络架构

    新型城域网采用积木式网络架构(如图2 所示),主要包含城域POD、云网POP、POD 出口功能区三大组件,可基于业务量进行灵活扩展,满足边缘云的快速接入及东西向流量增长。

    (1)城域POD

    城域POD 基于城域叶脊网络(Spine-Leaf)组建,每个POD 设置2 台Spine,下挂多对Leaf 设备,实现POD 内灵活扩展,Spine 和Leaf 设备对应STN 网络的ER 和B 设备。

    Spine 用于实现高速流量转发与Leaf 设备间流量互访;Leaf 设备包含几种不同类型,包括A-Leaf、S-Leaf 与B-Leaf。A-Leaf 作为公众、政企与移动业务的接入点,实现固、移、云等业务综合接入。A-Leaf 可采用多种厂家的设备,标准化对接,满足异厂家组网需求。S-Leaf 作为核心/边缘DC 及云资源池的网络对接点,实现云资源池的标准化对接。B-Leaf 用于实现与外部网络的对接。Leaf 原则上不直连城域外的网元,访问外部网元通过Spine 转发。

    (2)云网POP

    云网POP 包括云业务网络出口网元和基础网络接入网元,云业务网络出口网元为互联网、专线、VPN 等网关设备;基础网络接入网元包括Leaf、PE、ASBR 等基础网络专线终结设备。云网POP 中通过部署Leaf,连接云业务网络网元,实现云资源池的标准化对接。

    (3)POD 出口功能区

    POD 出口功能区由Spine、Super-Spine(CR)、Leaf(ASBR)组成,与骨干网、业务平台/核心网等外部网络对接,实现差异化业务疏导。

    Spine 定位实现国内流量疏导,不接受全球路由表。当一个区域设置多个POD 时,可通过Super-Spine(CR)进行汇聚。Super-Spine(CR)实现POD 间流量互访、政企互联网流量和国际流量疏导,接收全球路由表,通过细路由、策略路由等方式实现高质量、差异化和安全服务。Leaf(ASBR)定位实现跨域VPN 业务提供。

    POD 出口功能区内,不同局址的2 台Spine 设备交叉上连不同局址的2 台城域CR,Leaf(ASBR)与CR/Spine设备可采用口字型互联,随业务量增大采用交叉上连。

    3.2 关键技术

    ①城域Spine-Leaf 架构,模块化灵活扩展

    源于CLOS 网络的Spine-Leaf 架构,借鉴数据中心流量汇聚与横向弹性扩展优点,通过内部冗余实现任意两节点间无阻塞转发。

    ② 转控分离vBRAS,提升网络处理性能

    宽带业务集约化处理,控制面负责用户的控制与管理,转发面实现用户数据报文转发,提升网络可靠性;提升新业务上线效率,能力进一步开放。

    ③SRv6/EVPN 协议统一,以极简协议构筑业网分离网络,SRv6 被誉为下一代转发技术,基于源路由转发模型,能够实现控制/转发协议统一,实现快速收敛与负载分担。

    EVPN 实现二/三层业务承载的融合,从协议实现层面推进转控分离。

    基于SRV6/EVPN 技术实现业务融合承载,使能自动化连接能力,实现跨域自动化开通、一跳入云。

    ④ 网络自动智能管控

    城域新一代运营系统,实现城域编排、调度及控制。

    4 新型城域网的应用场景

    以“十四五”数字经济发展规划为指导原则,采用基于Spine-Leaf 架构对传统IP 城域网进行改造,以解决运营商在天地一体、云网融合中建网的实际问题,实现固移、云网业务融合承载和灵活组网。

    Spine-Leaf 架构应用在数据中心时,一般可采用新建模式。而对于现有的城域网络,则需考虑进行升级改造,充分利用现有资源。

    4.1 网元及链路建设原则

    ①POD 区设置原则

    设置POD 区时,应根据地理、行政区域、用户数及光缆网现状对POD 区进行规划。单POD 用户数不低于80万为基准。

    业务量不大的地区,设置单POD,可考虑Spine 和CR 合设,实现统一网络出口。

    在业务量大的地区,可设置多个 POD,CR 作为Super Spine 实现POD 间流量疏导。

    ② Spine-Leaf 设置原则

    Spine-Leaf采用2级架构。1个POD区配置一对Spine设备,Leaf 设备原则上利旧升级STN-B 设备并进行适当补点。

    ③vBRAS 设置原则

    vBRAS-CP 应部署在2 个核心DC,实现异地灾备,满足对全区光宽业务集中管理和控制。

    按POD 集中部署转控分离vBRAS-pUP,旁挂Spine设备,实现宽带公众用户集中处理。vBRAS-pUP 设备部署时可采用1:1、1+1、N+1(应该指的是备份模式,1:1是一主一备,1+1是丙个设备负载均衡互为备份,N+1是N个设备负载均衡) 等模式,池内所有vBRAS-U设备工作在负载分担模式下,所有设备均承载业务。

    ④ 链路设置原则

    各网元成对配置时,可采用口字型组网方式,实现链路负荷分担。

    为了保证业务测试及部分业务割接,初期可考虑开通少量链路;当达到链路扩容门限时按需扩容。

    4.2 网络部署方案

    以XX 市XX 运营商IP 城域网为例,将XX 市城域网升级改造为基于Spine-Leaf 架构的新型城域网。

    XX 市XX 运营商承载约200 万带宽用户,根据如上建设原则,可将现有城域网规划为3 个POD 区。

    各网元部署建议如下。

    4.2.1 Super Spine

    设置多个POD 的区域,可利旧原有城域网核心层设备CR 兼作Super Spine,疏导POD 间固网宽带流量,并作为统一出口上联至163;可利旧现网STN 核心层设备,汇聚4G/5G 等流量。后期结合带宽流量,Spine 可按需直连163 和省级ER。

    4.2.2 B-leaf

    现网的ASBR 可利旧作为B-leaf,口字形对接STN 核心层,并利旧原有与城域网核心层、CN2 网络的链路,承载 L2/L3 VPN 业务,实现POD 间组网和跨域组网接入。

    4.2.3 Spine

    每个城域POD 均设置一对Spine 设备,上联至Super Spine 与城域ER,用于实现高速流量转发与Leaf 设备间流量互访、汇聚移动网流量;每个POD 区内的STN B 设备上联割接至Spine 设备,各POD 间互通流量通过Super Spine 进行疏导。

    同一个POD 的两台Spine 设备安装在不同的DC 机房内,具备异地容灾及负荷分担。

    4.2.4 A-leaf

    利旧现网STN B 设备(需具备SRV6 功能),实现宽带接入网设备和基站设备等接入,实现固网和移动网合并为一张新型城域网。

    4.2.5 vBRAS-CP

    在两个核心DC 节点分别部署一套转控分离池化vBRAS,每个POD 区的Spine 设备以10G 链路上联CP面的2 对Sleaf,实现1:1 热备和虚实共管,实现光宽等业务集中管理和控制,具备异地容灾、弹性扩容能力。

    4.2.6 vBRAS-pUP

    在每个POD 节点部署一套vBRAS-pUP 池,旁挂Spine设备;vBRAS-pUP 设备数量根据POD 内流量或Session 需求制定,需考虑流量转发需求、CGN 板卡、特通板卡等,可利旧现网较空闲的MSE 设备升级为vBRAS-pUP。

    每个POD 节点的vBRAS-pUP 池可与Spine 设备同节点部署,减轻网元互联的传输压力。

    4.2.7 OLT 上连

    城域POD 内,OLT 双归至一对ALeaf;若传输资源不足时也可采用单归至一台ALeaf 进行跨板聚合。

    4.3 网络规划方案

    仍以XX 市XX 运营商为例,现有用户结构如表1 所示。

    表1 用户结构

    链路带宽测算公式如下。

    重要链路应配置如表2 所示。

    表2 重要链路测算表

    根据建设原则及链路测算,网络设备数量应配置如表3 所示。

    表3 网络设备配置数量

    根据表3 配置,XX 市改造后的新型城域网络结构如图3 所示。

    图3 XX 市新型城域网目标网络结构示意图

    5 结束语

    采用“积木式”架构、模块化组件,可实现多业务融合承载、多厂商异构组网。以现有STN 网为基础,建设新型城域网,构建架构弹性扩展、云网标准化对接,业务快速提供的新型城域网络,统一承载固网宽带、无线宽带、政企专线、入云等云网融合业务,保障用户固定和无线接入体验一致性,降低建网成本,提升运营效率。

    个人总结:
    – vBRAS-CP一个城域网部署一对在核心DC,两个设备异地灾备部署
    – vBRAS-UP按POD集中部署在汇聚机房,也就是与Spine同机房部署,vBRAS-UP可以和A-Leaf由同一台设备充当
    – 一个POD一般覆盖1-2个行政区/县
    – 汇聚机房可以由附近的DC,边缘云机房充当或者独立的机房
    – 以上只是一种可行的组网方案,不同的域域网根据情况会有自己的组网方案

    转发:
    https://m.fx361.com/news/2022/0917/14354409.html

    Views: 13

  • vBRAS和vCPE

    • BRAS 宽带远程接入服务器
      是一种用于管理和控制带宽接入用户的网络设备。通常被安装在互联网服务提供商(Internet Service Provider)的核心节点,允许用户通过不同的接入方式(如DSL、光纤、卫星等)连接到网络,并提供认证、授权、计费、流量控制等功能,保证用户的网络连接质量和安全性。
      说白了,主要俩功能,一个是计费,另一个是充当用户的网关
    • vBRAS 虚拟宽带远程接入服务器
      vBRAS新架构引入了SDN和NFV技术,它由控制平面网元vBRAS-CP和转发平面网元vBRAS-UP两类网络实体共同提供BRAS服务。在该架构中,vBRAS-CP统一部署,负责用户的接入控制及策略;vBRAS-UP分散部署,负责用户业务流量的转发。实际上相当于软件SDN再加上虚拟化技术。
      还有一种全NFC化的vBRAS方案,转发面也用NFV来实现,不过鉴于x86虚拟化实现的NFV性能低下,这种方案并不流行。
    • vCPE 虚拟客户终端设备
      CPE对应的就是运营商安装在家庭或企业的上网网关,属称光猫。vCPE是把CPE中的软功能通过NFV技术虚拟化,现有的CPE只保留交换机和光收发器的功能。vCPE部署在边缘云中,而边缘云并没有确定的位置,可以在接入机房,也可以在汇聚机房,甚到可以在核心机房。
      电信的云宽带指的就是vCPE,由vCPE给用户分配192.168.71.0/24段的IP地址,原来的CGN网段的IP地址由vCPE持有。
      同样的把转发面的功能NFV化只会造成性能下降,延迟增加,vCPE的存在还增加了一跳路由,因为家庭内部还会部署自己的Wifi路由器。如果vCPE的部署位置过于靠上(部署在中心机房)还会造成访问本地流量时绕路。

    Views: 11

  • NFV(网络功能虚拟化)和VNF(虚拟网络功能)

    网络功能虚拟化(Network Functions Virtualization,NFV)是一种关于网络架构的概念。我们平时使用的x86服务器由硬件厂商生产,在安装了不同的操作系统以及软件后实现了各种各样的功能。而传统的网络设备并没有采用这种模式,路由器、交换机、防火墙、负载均衡等设备均有自己独立的硬件和软件系统。NFV借鉴了x86服务器的架构,它将路由器、交换机、防火墙、负载均衡这些不同的网络功能封装成独立的模块化软件,通过在硬件设备上运行不同的模块化软件,在单一硬件设备上实现多样化的网络功能。
    NFV可以把链路层以上的功能都用纯软件实现。

    NFV套用了企业软件开发的理念
    – NFV Infrastructure,NFV基础设施
    包括所需的硬件及软件。对应的是物理服务器,KVM,Docker
    – VNF
    Virtual Network Functions,指虚拟机及部署在虚拟机上的业务网元、网络功能软件等。
    对应的是微服务中的一个服务
    – MANO
    Management and Orchestration,NFV的管理和编排。包括VIM,VNFM及NFVO,提供对VNF和NFVI资源的统一管理和编排功能。
    对应OpenStack和K8S。

    NFV可以实现部分链路层及以上层次的虚拟化,网络硬件只保留通道和二层交换功能。但是如果用NFV实现转发面的功能必然会带来性能下降和延迟提高,软件实现的东西(又套了一层虚拟化)怎么也比不上ASIC芯片的性能,而且NFV是集中化的,远离实际的业务位置造成延迟增加,只有一些对性能不敏感的功能才适合NFV化。

    NFV的定义和SDN有重合之处,SDN分硬件SDN和软件SDN,软件SDN是要求控制面功能软件化的(实际上就是虚拟化),而NFV涵盖了软发面和控制面的虚拟化。只不过NFV强调的是虚拟化和微服务化,而SDN强调的是集中化。在实际中也是NFV和SDN一起使用,起到相辅相成的作用。

    Views: 11

  • 加密算法中的随机数

    • TRNG
      真随机数生成器,将随机的源作为输入,称为熵源。熵源可以是CPU温度,放射源,噪音等。Linux中/dev/random就是一个TRNG。使用TPM2.0模块也可以产生真随机数。
    • PRNG
      伪随机数生成器,将种子作为输入,使用确定算法产生位输出序列,输出仅和种子有关,用于产生不限长位流的算法。线性同余法,BBS就是常见的PRNG。
    • CPRNG
      密码安全伪随机数生成器,又称作确定性随机比特生成器(DRBG)。因为有些RNG生成的随机数具有可预测性,不能用于密码学,比如线性同余法。常用的CPRNG有NIST定义的Hash_DRBG,HMAC_DRBG,CTR_DRBG和以经废除的Dual_EC_DRBG以及微软的CryptGenRandom函数。大多数的CSPRNG结合使用来自OS的熵与高质量的PRNG。
    • PRF
      伪随机函数,PRF用于产生某个固定长度的伪随机比特串。PRF不是随机数生成器,而是给定输入返回一个看似随机的结果,如果输入相同输出也是相同的。通常用于密钥派生,比如通过多种来源作为种子,然后生成固定长度的密钥。常用的PRF是HMAC簇算法。IPsec和TLS中都需要配置PRF算法。
    • PRP
      伪随机置换,与PRF类似,但是PRP生成的结果是一对一的,通常用对称加密算法产生。只用于一些特殊场合。

    参考:
    https://datatracker.ietf.org/doc/rfc2409/
    https://en.wikipedia.org/wiki/Pseudorandom_function_family
    https://thiscute.world/posts/practical-cryptography-basics-4-secure-random-generators/
    NIST SP 800-90A R1,2015年更新
    https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-90Ar1.pdf

    Views: 1

  • AES的加密模式

    仅加密模式

    • AES-ECB 电码本模式
      是最基本的模式,就是一块一块的单独加密,除了安全性差其它全是优点,速度最快。
    • AES-CBC 密码分组链接模式
      链式加密,前面的密钥与后面的明文异或运算后再加密,依次进行,直到最后一块。安全性好,但速度慢,不支持并行运算,比带AEAD的GCM模式还要慢。
    • AES-CTR 计数器模式
      设一个累加的计数器,一个计数对应一个加密块,对计数进行加密然后与明文异或运算。安全性好,速度仅次于ECB模式,支持并行运算。但不支持随机访问(对任意一块进行加解决)。CTR实际上是流式加密,并且不需要填充。
    • AES-XTS 基于XEX的密文窃取算法的可调整密码本模式
      具体算法略复杂,特点是安全性好,速度快,可并行运算,速度仅次于CTR模式,最关键的是可随机访问,而其它大多数模式,像CBC,CTR仅支持从前往后顺序加解密,无法处理指定位置的块,速度略慢于CTR模式。主要用于存储设备加密,比如磁盘加密,内存加密。

    仅验证模式

    • AES-GMAC Galois消息认证码
      Galois消息认证码
    • AES-CMAC 基于密码的消息认证码
      基于密码的MAC

    AE/ADAD模式

    • AES-CCM 带有CBC-MAC 的CTR模式
      支持AE,先MAC后加密
    • AES-GCM 结合CTR模式和GMAC的分组加密模式
      支持AEAD,先加密后MAC

    AD/AEAD算法要慢于纯加密算法。

    Views: 3

  • 数字签名算法

    数字签名算法分为两种一种是对称签名算法,一种是非对称签名算法

    • 非对称签名算法

      DSA,RSA,ECDSA这些都是非对称签名算法,先用SHA算法对明文做hash运算获取摘要信息,然后用私钥对摘要信息进行加密,接收方用公钥对加密后的摘要信息解密并与明文的摘要信息进行对比。非对称签名算法可以在不安全通道中进行。
      非对称签名算法通常用于身份认证和数字证书。
      签名算法要与Hash算法一起使用,一般写作RSA-SHA256,ECDSA-SHA512。

    • 对称签名算法

      HMAC,CMAC,GMAC这些都是对称签名算法,使用一个对称的共享密钥和消息(可以加密前hash也可以加密后hash,CCM是加密前验证,GCM是加密后验证)作为输入(类似加盐,其实就是标准化的加盐算法)生成摘要信息,然后把摘要信息发送给对方,对方也使用共享的密钥和消息(通常是加密后的)作为输入生成摘要信息。
      HMAC是基于Hash的MAC算法,CMAC和GMAC是基于对移加密的MAC算法(在加密的同时生成MAC),HMAC速度更快。
      AES-GMAC(CTR模式)是一个仅生成MAC然后把加密后的密文给丢掉的算法,是AES-GCM去掉了加密功能。但在有的资料中指去掉了AE功能的GCM(可能是误用)。
      AES-CMAC(CBC模式)是通过对前一段密文进行异或然后做AES加密来生成MAC,过程与CBC模式一致,仅支持签名,不支持加密。
      对称签名算法通常与其它加密算法一起使用,如用密钥交换算法生成共享密钥,使用AES算法加密消息。
      对称签名算法运算速度快,通常用于数据完整性验证。
      签名算法要与Hash算法一起使用,一般写作HMAC-SHA256,HMAC-SHA512。
      HMAC的定义可以查看RFC2104

    Views: 6

  • SDN和SD-WAN

    • SDN(软件定义网络)
      把控制面和数据面分离,使用集中式的控制器对网络进行编排和管理。
      SDN分硬件SDN和软件SDN,硬件SDN开放API接口,控制器调用API对硬件进行统一配置,而软件SDN是把控制面功能移到了控制器中实现,硬件只保留软发面功能。软件SDN已经与NFV的定义模糊化了。
    • SD-WAN(软件定义广域网)
      使用SDN的方式组建一个运行在WAN上的全互联overlay网络。overlay网络指的是覆盖网络,就是在现在有网络上叠加一层网络,像tor,VPLS,VxLAN就是这样的网络。如果为VxLAN引入控制面分离机制就能就是EVPN VxLAN,再引入集中控制就是SD-WAN。

    SDN和SD-WAN都是一种概念,并没有具体的技术或者网络协议,SDN/SD-WAN是对多种技术和协议组合形成的一整套解决方案。

    Views: 7

  • 传输网技术总结

    传输网技术总结

    物理层技术

    骨干网

    • PSTN-公众交换电话网络
      就是最早的模拟信号的电话网,使用程控交换机,可以通过Modeam传输数字信号,速率只有56Kbit/s(实际还要打折扣),打电话时不能上网。
      1962年美国贝尔在发布了第一台Modem,可以在电话线上传输数字信号。
      最早的电话线路是直连的,后来出现了人工电话交换,机电式交换机,程控交换机。
      1965年美国贝尔生产世界上第一台程控电话交换机。
      最早的数字电话信号传输使用PCM编码的TDM技术,主要有E1(欧洲,1962年)和T1(美国,1962年)两种技术标准,T1,E1线路用于电话交换机之前的互联。
      1970年,法国阿尔卡特推出了第一台数字程控交换机E10,使用PCM/TDM中继传输信号。
      2017年中国电信最后一台TDM交换机下线,标志着PSTN在中国彻底退出历史舞台。
    • PDH-准同步数字体系
      PDH是数字通信技术,可以把多路电话调制到一条数字线路上进行传输,是早期构成数字电话网的基础。
      1972年ITU-T的前身CCITT提出了第一批PDH建议,1976年和1988年又提出了两批建议,对原有建议进行补充完善。PDH没有统一的标准,主要有E1,T1,J1三个标准
      E1 32个时隙,速率2.048Mbit/s,我们一般称为2兆线或者30B+D,是目前我们主要的接入方式,主要用户欧洲,中国。
      T1 24个时隙,速率1.544Mbit/s。T1系统主要应用在美国、加拿大、香港、台湾和日本(日本有些特殊,所以有厂家称之为J1)等地。
      E1通过复用可以实现2.048Mbps(E1),8.448Mbps(E2),34.368Mbps(E3),139.264Mbps(E4),565.148Mbps(E5)
      T1通过复用可以实现1.544Mbps(T1),6.312Mbps(T2,44.736Mbps(T3),274Mbps(T4)
      E1标准采用32个时隙,支持30路语音通话(另外两个时隙有别的用途)。T1标准采用24个时隙支持24路语音通话。
      PDH的传输介质最初是市话双绞电缆,随后发展到同辆电缆和微波,随着光纤的发明,后来也支持光纤。
      PDH可以承载PPP,HDLC,Frame-relay,ATM,GFP等协义
      PDH现已补淘汰
    • SDH-同步数字体系
      1988年,国际电信组织(ITU-T)通过了第一批SDH提义,提供了全球统一的标准,使用统一的时钟,通过时分复用来聚合不同的业务。主要以光纤为传输介质,也支持微波和卫星。
      SDH以STM-1为基本速率,主要的速率等级有STM-0(51.84Mbits/s),STM-1(155MBit/s),STM-4(622Mbit/s),STM-16(2.5Gbit/s),STM-64(10Gbit/s),STM256(40Gbit/s)。
      SDH可以承载PPP,HDLC,Frame-relay,ATM,MPLS,MSTP等协义。SDH不能直接传输IP数据,需要封装为PPP后再传输。
      1996年中国第一个骨干网chinanet投入运营,采用SDH技术,提供622Mbps的连接速率。
      SDH正在被OTN取代,预计2030年以后会完全过渡到OTN网络。
    • OTN-光传送网
      基于波分复用的光传输网,由ITU-T于1998年提出。OTN支持光交叉和电交叉(属于光/电路交换),光交叉通过光交换机实现,利用光交叉可以组建全光网。
      OTN的速率等级:ODU0(1.24Gbps对应以太网1G),ODU1(2.49Gbps),ODU2(10.03Gbps),ODU2e(10.39Gbps对应以太网10G),ODU3(40.3Gbps,40G以太网),ODU4(104Gbps,100G以太网),OTUC4(421Gbps,400G以太网)。
      OTN是一个分层的架构,可以映身不同速率和协议的数据,如PPP,帧中继,SONET/SDH,ATM,Ethernet,IP,PDH,FibreChannel,GFP,MPLS,OTN虚级联,ODU复用等。OTN已经跟电话网没有关系了,在OTN上传输的就是单纯的比特流。
      虽然OTN可以直接传输IP数据,但是通常会提供以太网接口。
      参考:
      https://en.wikipedia.org/wiki/Optical_transport_network

    城域网

    • M-OTN
      基于OTN的域域网,中国电信提出,主要引入了OSU(在ODU Flex的基础上支持无损速率调整 ),ODU25,ODU50。M-OTN应该主要用于固网政企客户。
    • STN
      是中国电信在5G时代用于移动回传、固网接入、边缘CDN以及应对MEC下沉的承载技术。是从4G时代的IPran技术演进而来。STN的L1层是FlexE,L2层是SRv6 EVPN。
    • PTN
      分组传送网,是以以太网(也可以是SDH,OTN,中国移动应该是以以太网为主)为基础结合MPLS-TP形成的分组传送网。
    • MTN
      是以分片以太网为基础,在4G/5G移动承载网场景发展出来的城域网技术。可以对以太网链路进行切片拆分为多个子通道。在接入层用灰光,汇聚层用彩光DWM。传输介质使用FlexE。MTN最低速率粒度是5Gbps,细粒度的fgMTN与fgOTN一致可以做到10Mbps。
    • 细粒度OTN
      在ODU上增加一个时分复用层
      OSUFlex/OSU:是中国厂商推出的方案,支持2.6Mbps的粒度划分速率等级,但没有完全基于TDM,时隙和时延不固定。
      fgOTN: 是ITU-T标准化的方案,支持10Mbps的粒度划分速率等级,完全基行TDM,时延固定。fgOTN标准于2024年正式发布。
    • 细粒度MTN
      fgMTN,是ITU-T标准化的方案,支持10Mbps的粒度划分速率等级,完全基行TDM,时延固定。fgOTN标准于2024年正式发布。
    • 固移融合城域网(新型城域网)
      以前的城域网是公网互联网,4G/5G移动承载网,云网(数据中心)分开建设(可能因为以前没有成熟的分片技术),这样建设成本高,不同网间互联延迟高。
      中国电信基于STN(FlexE+SRV6 EVPN)构建了融合固移云的新型城域网,固网,移动,和云网实现全互联无阻塞转发,减少了网络跳数,号称一跳入云。中国电信的新型城域网目前只有小规模的试点,于2024年5月16日发布的”智云上海”就是此类技术。
      中国联通的融合城域网叫智能型城域网,中国联通也是基于SRv6 EVPN技术在深圳,青岛等地有试点。
      中国移动还未见相关计划。

    分组交换技术

    X.25,帧中继,ATM,MPLS都属于分组交换技术,可以在各种物理层上提供虚电路服务。X.25和帧中继主要在电 话线上运行,MPLS主要在光纤线路上运行。

    • X.25
      X.25由ITU-T在1976年定义,以电话线或ISDN线路作为传输介质提供永久虚电路服务,在X.25上可以承载IP协议,但是也可以直接在X.25上传输应用数据(IP协议1981年才提出)。
      X.25是一个三层协议,涵盖了物理层,链路由,网络层。X.25本身是以分组传输数据的,但是可以向上层提供面向连接的服务。
      在X.25网络中当设备作为终端通信设备时称为DCE,DTE,作为交换机使用时称为PSE,PSE由运营商来部署。
    • 帧中继

      帧中继兴起于1992年,是在X.25的基础上改进而来,去掉了X.25的网络层和数据纠错功能,所以帧中继是一个二层协议。帧中继可以动态的调整每个虚电路的带宽,所以会存在带宽超卖的问题。
      帧中继可以在ISDN,PDH网络上运行。

    • ATM-异步传输模式
      1992年6月被ITU-T指定为B-ISDN的传输和交换模式。采固定的信元长度,数据交换实现起来更简单。与帧中继一样可以提供面向连接的分组交换服务,可以承载IP,PPP,以太网等多种上层协议。现在已被MPLS取代。
      ATM信元以固定长度,固定速率发送,没有数据要传输时则发送空闲信元(听着很耗电)。ATM交换机通过识别VPI/VCI标识进行数据交换,不同的标识代表了不同的虚连接。
    • MPLS-多协议标签交换

      MPLS是1998年由IETF提出的。
      ATM(Asynchronous Transfer Mode)技术采用定长标签(即信元),并且只需要维护比路由表规模小得多的标签表,能够提供比IP路由方式高得多的转发性能。然而,ATM协议相对复杂,且ATM网络部署成本高,这使ATM技术很难普及。传统的IP技术简单,且部署成本低。为了结合IP与ATM的优点,多协议标签交换技术MPLS(Multiprotocol Label Switching)就此产生。
      MPLS最初是为了提高设备的转发速度而提出的。与传统IP路由方式相比,它在数据转发时,只在网络边缘分析IP报文头,而不用在每一跳都分析IP报文头,节约了处理时间。
      随着ASIC技术的发展,路由查找速度已经不是阻碍网络发展的瓶颈。这使得MPLS在提高转发速度方面不再具备明显的优势。但是MPLS支持多层标签和转发平面面向连接的特性,使其在VPN(Virtual Private Network)、流量工程、QoS(Quality of Service)等方面得到广泛应用。
      MPLS使用一个20bit的标签,MPLS交换机根据标签值进行数据转发。MPLS的转发是依懒于路由表的,属于2.5层协议。
      MPLS只能承载IPv4,IPv6,IPX等三层协议,不像ATM还可以承载二层协议。

    • MPLS-TP/PTN/P-OTN/MS-OTN

      2008年IETF和ITU-T开始合作开发MPLS-TP,于2010开始陆续发布相关标准。
      MPLS-TP是MPLS去掉了对三层的依懒,同时增加了OAM功能,然后又融合了PWE3(L2VPN,可以仿真ATM、帧中继、以太网、低速TDM等,提供了承载二层业务的能力)。以太网(或FlexE)+MPLS-TP称为PTN,OTN+MPLS-TP称为MS-OTN或P-OTN。

    • OMPLS

      OMPLS是一项光分组交换技术,把MPLS标签映射到不同的波长上光交换机根据波长进行光信号交换。是一项还在发展中的技术,可以实现全光网络。目前主要使用的光路交换,光分组交换能不能成为主流还要看未来的发展。

    • SRv6

      基于IPv6的分段路由技术,可以用于骨干网的数据转发,这样就实现了IPv6技术一统天下,不需要在骨干网专门搞一套分组交换技术了,取代现在使用的MPLS,华为,中兴等厂商都在积极推进。不过SRv6只是刚出现的新技术,还没有大规模使用,将来能不能取代MPLS还不一定。

    其它协议

    • MSTP-多业务传送平台
      因为SDH是为电话网设计的,并不能承载各种数据业务,只能把其它业务封装为MSTP帧然后在SDH线路上传输。MSTP可以封装以太网,IP,TDM,ATM等。MSTP只是转换协议格式以方便在SDH上传输,不提供虚线路。
    • VPLS,VxLAN
      VPLS就是在MPLS网络上传输标准的以太网数据,把MPLS模拟成一个以太网交换机来转发以太网数据,VPLS是Mesh结构的网络,不同于二层VPN的点到点连接,VPLS报文在VSI节点间中继发转,就像帧中继一样。VPLS是一个在分组交换层上构建的overlay以太网。使用PBB报文封装的VPLS称为PBB VPLS。
      VxLAN则是在IP网络上上构建的Overlay以太网或者说虚拟以太网,VxLAN使用UDP报文封装。VXLAN多使用于云计算场景中,新型互联网交换中心也使用了VxLAN。不同于VPLS,VxLAN不会模拟以太网交换机功能,NVE(Network Virtualization Edge)并不会把VxLAN报文转发到下一个NVE,所以就要求同一BD下的NVE能通过IP点对点完全连接。
    • EVPN
      EVPN是把网络节点的MAC地址学习用BGP协议来实现,分离了控制面和转发面,更易于实现大规模的虚拟以太网。EVPN可以基于MPLS实现也可以基于SRv6实现。VPLS结合EVPN称为EVPN VPLS也简称为EVPN,VxLAN与EVPN结合称为EVPN VxLAN。
      基于MPLS的EVPN于2015年由IETF(RFC7432)发布,基于SRv6的EVPN于2023年由IETF(RFC9252)发布。

    总结:
    – ATM,MPLS-TP等分组交换技术提供的是虚电路服务,可以把一条物理线路模拟成多个不同的虚线路,其实就是二层VPN。如果虚拟的线路过多就会造成带宽超卖,网络质量不达标。
    – SDH,OTN数据帧是以因定长度,固定速率发送的,即使没有数据也会发送空数据。
    – 骨干网属于运营商组建的局域网,不支持不同网络间的互联,数据进入或离开骨干网时需要依懒IP协义进行互联,在同一骨干网内部使用分组交换或电路交换技术进行数据转发。
    – 新型互联网交换中心(IXP) 由中立机构建立的互联网交换中心,可以让企业与企业之间互相联接,不再仅限于运营商管道,也可以用BGP方式与运营商联接,IXP只收取很低的端口中占用率。目前已有上海,深圳,杭州,中卫4个IXP,北京在建中。

    Views: 3

  • 华为AR系列路由器PPPOE拨号上网

    • 创建dialer接口
    acl 3998
     rule 10 permit ip
    interface Dialer1
     link-protocol ppp
     ppp ipcp default-route
     ppp chap user pppoe-user
     ppp chap password cipher 123456
     ppp pap local-user pppoe-user password cipher 123456
     ppp ipcp dns admit-any
     ppp ipcp dns request
     ipv6 enable
     tcp adjust-mss 1452
     ip address ppp-negotiate
     dialer user pppoe-user
     dialer bundle 1
     dialer number 1 autodial
     ipv6 address auto link-local
     ipv6 address auto global default
     ipv6 mtu 1492
     nat outbound 3998
     dhcpv6 client pd v6pd1
     sa application-statistic enable
    
    • 绑定pppoe会话到wan 0/0/9端口
    interface GigabitEthernet0/0/9
     pppoe-client dial-bundle-number 1
     ip address 192.168.1.2 255.255.255.0
     nat outbound 3997
     ip accounting input-packets
     ip accounting output-packets
     sa application-statistic enable
    
    • 配置lan口
    dhcpv6 pool pool1
     dns-server FD11::1
    interface Vlanif101
     mtu 1492
     ipv6 enable
     ip address 192.168.101.1 255.255.255.0
     ipv6 address v6pd1 ::1:0:0:0:1/64
     ipv6 address FD11::1/64
     ipv6 address auto link-local
     ipv6 address auto global
     ipv6 mtu 1492
     undo ipv6 nd ra halt
     ipv6 nd autoconfig other-flag
     dhcp select interface
     dhcpv6 server pool1
     dhcp server dns-list 192.168.101.1
    

    注意:
    如果ipv6不稳定可以添加以下配置:
    tcp ipv6 max-mss 1432
    在lan口上配置mtu是因为路由器的path mtu不能正常起作用,正常情况下是不需要的。

    Views: 1