【正文】 安全資源旁掛在核心/匯聚設備 旁側（部分安全資源也可選作為 L3 網關）。在處理 OVS 發(fā) 往 GW 的流量時， 動態(tài)選擇 GW 組中的一個 GW，可以很好地起到負載分擔的作用。源 VM 關機后，遷移源主機上報端口刪 除事件，通知 給控制器，控制器判斷遷移標記，控制器根據信息刪除舊端口信息并同時刪除遷移前舊端口對應的流表信息。 網絡虛機遷移在虛擬化環(huán)境中，虛擬機故障、動態(tài)資源調度功能、服務器主機故障或計劃內停機等都會造成虛擬機遷移動作的發(fā)生。ARP 代答的大致流程：控制器收到 OVS 上送的 ARP 請求報文，做 IPMAC 防欺騙處理確認報文合法后，從 ARP 請求報文中獲取目的 IP，以目的 IP 為索引查找全局表獲取對應MAC，以查到的 MAC 作為源 MAC 構建 ARP 應答報文，通過 Packetout 下發(fā)給 OVS。分布式網關通過控制器創(chuàng)建和維護，當一個 OVS 分布式網關被創(chuàng)建時，每一個主機會創(chuàng)建一個隱藏的 OVS 與分布式網關連接。針對這種情況，可以考慮使用重定向的引流方法進行防 護，又或者直接基于虛擬機進行防護。如圖所示。? VSI（Virtual Switching Instance，虛擬交換實例）VTEP 上為一個 VXLAN 提供二層交換服務的虛擬交換實例。VTEP 之間建立隧道，在物理網絡上傳輸虛擬網絡 的數(shù)據幀，物理網絡不感知虛擬網絡。? 控制面實現(xiàn)可以由 H3C 高可靠的 SDN Controller 集群實現(xiàn)，提高了可靠性和可擴展性，避免了大規(guī)模的復雜部署。主機 Overlay 隧道封裝由虛擬設備完成，不用增加新的網絡設備即可完成 Overlay 部署，可以支持虛擬化的服務器之間的組網互通。VXLAN 可以基于已有的服務提供商或企業(yè) IP 網絡， 為分散的物理站點提供二層 互聯(lián)功能，主要 應用于數(shù)據中心網絡。? Overlay 網絡是指建立在已有網絡上的虛擬網， 邏輯節(jié) 點和邏輯鏈路構成了Overlay 網絡。經濟實用、節(jié)約成本原則無論在產品的選型、技術的選擇 中，我 們都要考慮成本的約 束，其中不僅考慮當前采購 的經濟性，還要考慮系統(tǒng)長期運 維的經濟性，即系 統(tǒng)的總擁 有成本，盡力選擇既經濟可行又長期保障的產品和技術。XXXX SDN VPC 網絡解決方案，首先要滿足業(yè)務需求，能夠實現(xiàn) XX 等需求，第二，要解決上述三大挑戰(zhàn)。而為了大規(guī)模網絡擴展的 TRILL/SPB/FabricPath/VPLS 等技 術， 雖然解決了上述技 術的不足，但對網絡有特殊要求，即網絡中的設備均要軟硬件升級，而支持此類新技術會帶 來部署成本的大幅度上升。注：Tolly Group 測試機構對所有產品均采用黑盒測試，測試結果無論好壞均直接在網站公布，所有測試內容和測試結 果均網上可查： 。? 500 家渠道認證合作伙伴，近 3000 名認證服務工程師 。目前華三已經與聯(lián)通研究院、電信廣州研究院 簽署了 SDN 合作協(xié)議成為合作伙伴，這是國內 SDN 領域最高規(guī)格的合作；聯(lián)通集團智慧城市項目正式采用華三 SDN 網絡虛擬化平臺，提高了其智慧城市平臺運維效率 95%以上，將網絡配置錯誤率降低為 0，這是國內首例運營商級的 SDN 應用案例，是業(yè)內最領先的。ONF 組織成員 Open Daylight 組織成員 經過實踐檢驗的穩(wěn)定性華三公司擁有我國最廣泛的網絡產品行業(yè)應用案例，中央部委的應用份額超過 70％，各級電子政務國干、省干、地市城域網新增份額超過 70％；服務于三大行數(shù)據中心（中國農業(yè)銀行、中國銀行、中國建行）、兩大行全國一級骨干網（中國農業(yè)銀行和中國人民銀行）、四大行（工、農、中、建）省行骨干網；服務于全部“211”高校，承建超過 80%的教育城域網，超過40 個平安校園，參與全國 1700 余所高校的信息化建設。? 2500 名研發(fā)后援專家，提供背靠背支持。擁有業(yè)界領先的測試儀 器 N2X、Testcenter 、IXIA XM 、Smartbits、Avalanche、Ax4000、Abacus 等儀器 30 余臺。傳統(tǒng)的網絡已經不能很好滿足企業(yè)的這種需求，面 臨著如下挑戰(zhàn)：? 虛擬機遷移范圍受到網絡架構限制虛擬機遷移的網絡屬性要求，當其從一個物理機上遷移到另一個物理機上，虛擬機需要不間斷業(yè)務，因而需要其 IP 地址、 MAC 地址等參數(shù)維持不 變，如此則要求業(yè)務網絡是一個二層網絡，且要求網絡本身具 備多路徑多 鏈路的冗余和可靠性。? 網絡隔離/分離能力限制當前的主流網絡隔離技術為 VLAN（或 VPN），在大 規(guī)模虛擬化環(huán)境部署會有兩大限制：一是 VLAN 數(shù)量在 標準定義中只有 12 個比特單位，即可用的數(shù)量為 4K，這樣的數(shù)量級對于公有云或大型虛擬化云計算應用而言微不足道，其網絡 隔離與分離要求輕而易舉會突破4K；二是 VLAN 技術當前為靜 態(tài)配置型技術（只有 EVB/VEPA 的 技術可以在接入層動態(tài)部署 VLAN，但也主要是在交 換機接主機的端口為 常規(guī)部署，上行口依然為所有 VLAN 配置通 過) ，這樣使得整個數(shù)據中心的網絡幾乎為所有 VLAN 被允許通過( 核心設備更是如此)，導致任何一個 VLAN 的未知目的廣播數(shù)據會在整網泛 濫，無 節(jié)制消耗網絡交換能力與帶寬。因此，我們在建設項目過程中，將重點突出項目的應用目的，關注實用價值，以應用和需求為主導，并在建設的過程中基于 XXX 業(yè)務 服務的要求、 IT 技術的 發(fā)展，邊建設、邊開發(fā)、邊應用、 邊完善，讓應用的實際效果作為項 目直接 驅動要素。一致性和復用性本項目建設應充分考慮業(yè)務需求，要最大限度利用已有的 資源，以減少重復投 資，提高投資收益率。VXLAN 和 STT 對于現(xiàn)網設備而言對流量均衡要求較低，即負載鏈路負載分擔適應性好，一 般的網絡設備都能對 L2L4 的數(shù)據內容參數(shù)進行鏈路聚合或等價路由的流量均衡，而NVGRE 則需要網絡設備對 GRE 擴展頭感知并對 flow ID 進行 HASH，需要硬件升級；STT對于 TCP 有較大修改，隧道模式接近 UDP 性質，隧道構造技術屬于革新性，且復雜度較高，而 VXLAN 利用了 現(xiàn)有通用的 UDP 傳輸，成熟性極高。 Overlay 的網絡部署圖網絡 Overlay 的隧道封裝在物理交換機完成。? 部署 VCF Controller 后可以集中控制 VXLAN VTEP/GW。兩個 VXLAN 可以具有相同的 MAC 地址，但一個段不能有一個重復的 MAC 地址。使用 VNI 封裝有助于VXLAN 建立隧道，該隧道在第 3 層網絡之上覆蓋率第二 層網絡。同 樣 VXLAN 網關可由硬件和軟件來實現(xiàn)。VXLAN 網絡的安全 資源部署需要考慮兩個需求：? VXLAN 和 VLAN 之間互通的安全控制傳統(tǒng)網絡和 Overlay 網絡中存在流量互通，需要 對進出互通的網 絡流量進行安全控制，防止網絡間的安全問題。如此以來，可以支持虛擬機隨時隨地接入， 不受實際所在物理位置的限制。 網絡流表路由? ARP 代答對于虛擬化環(huán)境來說，當一個虛 擬機需要和另一個虛擬機 進行通信時，首先需要通 過ARP 的廣播 請 求獲得對方的 MAC 地址。本地MAC 地址通過 接收到數(shù)據幀中的源 MAC 地址動態(tài)學習，即 VTEP 接收到本地虛擬機發(fā)送的數(shù)據幀后，判斷該數(shù)據幀所屬的 VSI，并將數(shù)據 幀中的源 MAC 地址（本地虛擬機的 MAC地址）添加到該 VSI 的 MAC 地址表中，該 MAC 地址對應的出接口為接收到數(shù)據幀的接口。啟動后目的主機上報端口添加事件，通知 給控制器，控制器判斷遷移標記，遷移端口，保存新上報端口和舊端口信息。當控制