数据中心SDN VXLAN技术方案.pdf

数据中心SDN VXLAN 技术方案 1. 需求说明 随着 IT 组织向聚合基础架构和面向服务的模式转移，很多人逐渐发现目前 的数据中心网络连接体系结构是一个限制因素。基于VLAN 的交换模式由来已久， 但他们在数据中心内遭遇了以下难题：缺乏灵活性，VLAN 和交换边界既不灵活， 也不易延展；容错操作率低，高可用性技术（如VMware Fault Tolerance ）在平展 的第2 层网络上最为有效，但是创建和管理该体系结构在操作上却十分困难，尤 其是在大规模操作时更是如此；VLAN 和IP 地址管理的局限性，IP 地址的维护和 VLAN 限制称为数据中心扩展的难题，特别是要求强有力的隔离或处于服务提供 商环境的时候。 为了解决此难题，VMware 与领先的网络连接和电子设备供应商合作，创建 了VXLAN 技术。VXLAN 是一种在常用的网络和虚拟基础架构的顶层“浮动”虚拟 域的方法。通过利用行业标准的以太网技术，在现有网络上可以创建大量虚拟域， 并且他们彼此之间以及与底层网络之间完全隔离。随着VMware 和其他供应商推 出基于VXLAN 的解决方案，企业可以充分利用更高的数据中心自动化程度、敏 捷性和效率所带来的优势。 2. 组网描述 两台S125X 做 IRF2 堆叠成一台设备，S125X 和S6800 通过SDN 控制器实现 VXLAN 之间流量以及 VXLAN 与普通流量之间的转发，两台防火墙做双机热备。 PC1 到PC4 流量走向如下：PC1 发起到PC4 ARP 请求，S68 没有流表指导转发， 于是将报文封装在管理报文中发送给SDN 控制器，SDN 控制器下发流表到S68 、 S125X 上指导流量转发，S125X 通过PBR 将流量引流到防火墙后再绕回到S125X ， 并最后通过二层或三层(OSPF/BGP)到达SR88 。VXLAN 之间的流量上防火墙需要先 出VXLAN 走普通流量上防火墙。 软件版本：S1251X （E1131L02）、S6800 （D2414）、F1000 （R3733 ）、SR8804 （B7139 ）、VCF 控制器（D2111,需要申请HA、overlay 授权）、Ubuntu （12.04.3 桌 面版） 3. 配置步骤 （1） 升级版本 所有设备需要升级到指定版本，S68 、S125X 需要支持VXLAN ，VCF 控制安 装前需要加载依赖包，且需要在Linux 系统下创建默认用户，否则无法登 陆控制器。目前防火墙各区域之间互访都是禁止的，所有需要通过console 口登陆配置域间策略使能Management 域能够访问Local 域，以便上传版 本。 （2 ） 基本网络互通配置 S125X 和S68 之间实现互通配置OSPF #S125X 路由配置 ospf 1 router-id area network network 55 network 55 network 55 #S6800-1 路由配置(S6800-2 同理) ospf 1 router-id area network network 55 （3 ） VCF 控制配置 1）建立VCF 控制器集群，增加控制器实现HA。控制器IP 地址：(主)、 (备)、(成员)，集群名称：1，IP:00，Region 名称： region。 2 ）添加物理网络信息到VCF 控制器，启用L2GW、L3GW。GETWAY 在S125X 上 管理 IP 地址为 54(互联口)，VTEP-IP 为 (环回口)；VTEP 在 S6800 上管理IP 地址为、，VTEP-IP 为、。注： 详细配置请见”L3GW APP 配置举例”、“L2VTEP 配置举例”。其中，S125X 可以预留 9100 个隧道，但S6800 只能预留1000+个隧道。 S125X/S6800 配置信息： #添加一个本地用户 local-user h3c password simple h3