锐捷网络极简X SDN——准入管控方案部署指导：方案部署_核心模式(普通vlan)

一、准入管控方案介绍当前锐捷“SDN准入管控方案”依据部署的场景不同可以范围两种场景：场景一：高职教场景，准入管控配置于核心N18K上，一般是每个supervlan属于一个业务网，一个业务网下有众多业务子网（根据不同IP段分配不同IP子网），针对每个业务子网开启准入管控。场景二：非高职教场景，管控位置的不同，分为“核心模式”和”接入模式“。所谓的”核心模式“即在核心交换机设备上做准入管控，而”接入模式“即在接入交换机设备上做准入管控。

SSH 为 Secure Shell 的缩写，由 IETF 的网络小组（Network Working Group）所制定；SSH 为建立在应用层基础上的安全协议。SSH 是目前较可靠，专为远程登录会话和其他网络服务提供安全性的协议。利用 SSH 协议可以有效防止远程管理过程中的信息泄露问题。SSH最初是UNIX系统上的一个程序，后来又迅速扩展到其他操作平台。SSH在正确使用时可弥补网络中的漏洞。SSH客户端适用于多种平台。几乎所有UNIX平台—包括HP-UX、Linux、AIX、Solaris、Digit

SDN就是一个垫付传统网络的东西，让人感受到了“科技发展”、“AI时代”的发展带来的产物，看线路的带宽、延迟、抖动更能直观地显示出来，而不再是在没有监控软件的情况下查看接口的详细信息，看到一串冰冷的数字还要根据时间单位进行换算，可太累了，也不用担心记不住命令，控制器纳管直接批量下发，使用鼠标在图形化界面点点点就行，也不用像传统一样去巡检点检设备，show display，直接在控制器上就能看到设备的状态，还能产生对应的告警，总之，这玩意很好用，不管是对谁来说，对甲方还是乙方，都是很有利的！

1.2 如果是割接，或者有业务的情况下进行配置调试，建议在业务低峰期操作，并且先使用测试业务进行引流操作，确认正常之后，再将实际业务引流。比如：某项目购买3个节点，每个节点分配2个硬盘（共6个硬盘），在实施时，需将序列号一致的硬盘进行配对，然后再分别插入节点所对应的硬盘槽位内。备注：部署接口线缆互联时，就需要明确哪条线路用于传输从引流交换机去往节点的报文（该线路的引流交换机端接口就叫做“引流端口“），哪条线路用于传输从节点去往引流交换机的报文（该线路的引流交换机端接口就叫做“回流端口“）

SDN实验环境配置（Vmware+mininet+RYU+WireShark）

极简X方案整网推荐一个supervlan业务网，所有需要终端任意接入网络的业务子网都必须在这个supervlan业务网下（业务网的网关IP为supervlan网关，则终端可任意vlan接入）

N18K(config)#of controller-ip (RG-INC-PRO ip) port 6653 interface (loopback 0) //指定RG-INC-PRO的ip地址及本端的出接口，SDN控制器为三台集群时候，需要配置of 命令3条，指定3个RG-INC-PRO ip。终端添加时，仅需要添加MAC和业务网即可，如果所对应的业务网，已经创建了用户组，则直接在该用户组下添加终端MAC，否则，在未分组列表中，添加用户MAC和对应业务网。

动态IP地址哑终端准入管控场景的特殊性l、由于哑终端没有认证终端组属性也没有AM规则等，常规接入网络将获取临时地址或者是普通地址，无法拿到该业务子网定义的网段IP，并且如何保证每次都能获取到同样的固定IP，以便准入管控确认终端身份是合法的，这些是动态IP场景下需要特殊考虑的。2、极简X方案要求人工主动收集这部分的动态准入终端的IP,MAC,名称等信息，通过Excel模板导入ONC控制器，下发设备端进行绑定生效。3、该场景终端支持泛载接入。

2.1.1 INC上区域的创建、设备凭证的添加、网络模板的创建，如下图几个模块2.1.2 交换机可以先纳管到INC中，如下模块【风险】以下页面红框的配置操作属于实施阶段的操作，若在运维阶段要进行相关配置操作，请评估风险影响且征得客户同意后再操作。若您不清楚造成的影响，请不要操作，请联系专业的锐捷售后工程师进行评估后再决定是否操作。1）方案需要交换机的版本必须是配套版本，请参考“方案组件及参数指标”章节，将交换机升级至对应版本，该过程会断网，请在业务低峰期操作。

1、 极简 X 方案里，有些业务子网的终端如果没有访问外网的需求则可以不认证，但是需要认证前同 IP 网段内可以进行互访即可。（比如机房终端，需要进行认证，但是认证前，教师中控可能需要访问学生的终端） 2、 认证前，仅限业务子网内可以相互访问 3、 基于 netconf 下发 CLI 给设备，自动配置安全通道放通策略，定义源 IP 为本业务子网，目的 IP 也为本业务子网的 permit 语句，同时默认 arp 都放通

控制器发送Flow Mod消息来控制流表项的添加，交换机将数据包发送给控制器的Packet In消息，控制器处理数据包并可以发送自定义的Packet Out消息来实现数据包的转发。Packet Out消息是控制器向交换机发送数据包的消息，用于实现自定义的数据包处理逻辑。从控制器的准备、交换机的准备，到握手过程和消息交换流程，我们了解了SDN中这一关键过程的实现原理，并提供了相应的Python代码示例。在SDN中，交换机与控制器之间的交互流程至关重要，本文将详细介绍这个过程，并提供相应的源代码示例。

注意：以下均为控制器首次登录的方法，默认ip地址为192.168.1.2，后期运维请使用实际的业务ip进行登录。

在设备上配置IP访问列表，添加基于源IP或者网段的规则，并全局应用生效。用户在WEB认证或者DOT1X认证后通过用户组信息获取对应网段的IP地址，实现基于网段ACL对用户的策略控制。如果想让某些端口不受全局网段策略ACL的控制，可以在这些接口上独立开启全局网段策略例外口功能。

1、 业务 网是极简 X 方案针对网络中各类终端资源、应用类型的 一种抽象性归纳的笼统称呼，代表具备相同策略的业务集合 2、 客户可以根据实际的业务分类、管理界面等来划分创建需要的业务网 3、通常网管业务（交换机 /AP 等）不用 INC 上规划业务网，设备端 CLI 配置 vlan /SVI/DHCP 即可

不发ARP报文的哑终端建议开启子网准入管控。通过准入管控下发静态ARP后，后续打印机反复开关机就不需要每次都进行主动打通。二、说明：1、准入管控是依赖于终端主动的发送ARP报文，而后才能被网关设备packin，所以在配置割接初期，或者哑终端等可能无法及时主动发送ARP，这样设备跟控制器均无法感知到终端的存在，也就无法收集到它们的IP+MAC信息。主要用于项目初期就能主动发现所有在线终端，主动管控审批，无需被动响应。2、在ARP。

设备通过认证获取终端MAC与用户组的绑定信息，然后根据终端组信息分配不同的IP网段地址。如果设备整机发生重启（或升级），会造成DHCP在线租约表项信息丢失可能造成IP地址冲突，并且终端与用户组绑定信息表丢失，所有认证终端都要再进行一次获取临时IP地址认证的情况。为了避免出现上述问题，需要把DHCP表项信息和终端的用户组信息绑定表写入到FLASH文件中，一旦设备发生整机重启，设备启机后就会从FLASH文件中恢复这些重要信息。

N18K(config)#of controller-ip (RG-INC-ip) port 6653 interface (loopback 0) //指定RG-INC的ip地址及本端的出接口，SDN控制器为三台集群时候，需要配置of 命令3条，指定3个RG-INC ip。业务网开启准入管控后，新终端入网，ARP报文会被packet in到控制器，控制器的待审批列表，有相应的表项，并提示原因为“首次接入”，首次入网终端MAC显示为黄色，点击绿色勾图标，“同意“即可上网。

OpenFlow是一种南向接口协议，用于控制器与交换机之间的通信，定义了一种通用转发模型，将交换机的流表、安全通道和OpenFlow协议组合在一起。OpenFlow是ONF主推的SDN南向接口协议之一，目前已有多个版本的规范被发布。

3. 通过SDN控制器手工给S5下发一条流表项名称为drop的流表，执行动作为丢弃，并在交换机上查看流表，测试普通PC禁止ping通高性能PC。\2. 使用S4/S5/S6构建SDN网络，S5/S6连接SDN控制器的6653端口。S5/S6所有业务流转发需经SDN控制器统一控制管理。\1. SDN控制器登录地址：192.168.1.2/24，默认用户密码为admin/test@123。\4. 通过SDN控制器流表管理实现PC1/PC2与省行各核心网段互联互通。