【The Cisco SD-WAN Solution】

最新推荐文章于 2023-08-23 14:22:57 发布

GLAB-Mary

最新推荐文章于 2023-08-23 14:22:57 发布

阅读量5.3k

点赞数 1

分类专栏：思科文章标签：网络 cisco

本文链接：https://blog.csdn.net/mengmeng_921/article/details/123630302

版权

思科专栏收录该内容

153 篇文章 17 订阅

订阅专栏

The Cisco SD-WAN Solution
在这里插入图片描述

为什么需要实现 Cisco SD-WAN SEN 传统的网络已经变得越来越复杂，不能满足现有的企业扩展的需求 Cisco SD-WAN
Secure Extensible Network (SEN),可以提供快速部署降低企业成本，部署简单，快速安全
灵活应对复杂企业site之间的数据安全传输需求传统网络带来的设计上的挑战
成本高：传统网络面临很多设备的配置和维护；互联需要考虑昂贵的传输链路太复杂：每个节点都要配置安全策略，尤其远程站点管理起来更加复杂
网络主机、网路设备、传输设备之间的流量没有明显的界限策略是配置在网络中的每一个节点上的
安全是复杂耗时的部署过程，当然也是分布式在每个节点上做的安全策略
周期长：多站点互联依赖中间的传输链路，申请使用周期很长
难管理：传输链路归ISP管理，出问题需要ISP配合监控和配置
面对新形势下的需求，传统网络更加不能承受
严格的端到端安全
不通的传输网络
托管在多个数据中心的云应用高带宽的需求
移动终端用户持续增长
拓扑中不固定的any到any的连接
特殊业务的特殊需求

在这里插入图片描述

SD-WAN解决方案特点

思科SD-WAN是基于软件来定义广域网的连接，将数据和控制分开
重新定义了企业的广域网连接，使用通用的路由架构来实现网络的三层连接
虚拟化了企业边界原先使用硬件的路由设备
以Overlay的方式，运行在基础架构中的物理设备（路由器、交换机、防火墙），也可以是虚拟设备（vEdge、vRouter、vFw）
使用路由通告来形成整个网络控制层需要的表项
将网络传输从上层的网络服务分离出来，让管理员专注于用户和用户，或者主机之间的应用
使用VRF隔离三层流量，实现同一客户不通业务流量隔离，或者不同客户不通业务的隔离
端到端的双向连接、安全加密通讯
可以实现控制层面的策略和数据层面的策略集中配置
Overylay网络保证不会收到传输端的攻击
策略可以在控制器上灵活配置，实现各种应用需求
集中管理、集中配置策略，简化运维步骤，提供了可视化的排错视图

在这里插入图片描述

SD-WAN重要组件介绍

vSmart Controllers（控制层面）
集中控制的大脑，管理、配置、监控SD-WAN的控制层面
收集路由信息，通过控制层把信息反射给其他路由器（注意：不处理任何数据层面的流量，主要参与控制层的信息）
解决了传统网络中full-mesh的路由架构带来复杂架构下的挑战
保证整个Overlay网络安全传输（RSA和证书实现数据的加密保护）
考虑冗余，可以部署多个vSmart Controllers，多个也可以实现负载均衡，一个domain最多可以配置20个controllers
部署多个vSmart的时候，所有vSmart配置要保持同步，接口和地址、system ID、hostname可以不一致
vBond负载协调监控多个vSmart之间的状态，负责控制vSmart之间的切换
vEdge验证成功，会跟vSmart之间建立一个永久的DTLS隧道，建立加密的安全通讯
DTLS隧道中的信息包含，形成网络拓扑所需要的路由信息和计算到达每个目标的最佳路由
OMP(Overylay Management Protocol)协议来实现SD-WAN的路由收敛，形成OMP路由
OMP协议跟BGP很像，在DTLS中传递，包含：routers、next-hop、keys、policy
通过预安装的证书，配合vBond对online的vEdge设备进行验证，验证通过才能建立DTLS隧道，才能传输OMP
接受数据层面加密数据需要用到的key，并把key反射给相关的其他vEdge路由器
强大的policy引擎，可以提供入站和出站的策略来影响：路由信息、访问控制、分段、外联网等其他网络需求
可以支持Netconf and CLI的管理方式
vSmart以虚拟机的方式安装在ESXi虚拟化平台上
vSmart初始启动的时候，可以配置最小信息：比如IP地址和vBond，让vSmart和vManage建立连接同步CFG配置，也可以手动通过console进行vSmart的配置