锐捷网络极简X SDN——RG INC PRO基础功能介绍：控制器与设备对接_openflow1.3 ruijie 配置

00 【区域划分】

一、区域规划与创建

1）修改默认区域为“锐捷大学”

2）根据规划，添加锐捷大学的各个子区域，以下是配置宿舍区域的案例，父级区域选择“锐捷大学”

3）为宿舍区域新建楼栋

4）为宿舍楼添加楼层

【必配】创建机房区域，用于后续关联“业务网关”交换机和“业务网”

机房区域的要求：

1、仅继承于最顶级的父级区域；与其他子区域无继承关系。

2、如果有多个核心交换机，那么需要创建多个机房区域用来分别关联不同的核心交换机。

5）所有区域创建完成后的效果

一、原理介绍：

n  SNMP  概述

ü  简单网络管理协议  （  SNMP  ）：用以监测连接到网络上的设备是否有任何引起管理上关注的情况。

ü  1988  年  发展至今，已有三个版本  v1  、  v2  、  v3  （认证加密）

ü  控制者通过  GET  、  GETNEXT  、  GETBULK  获取数据  。

ü  控制者通过  SET  设置数据  。

ü  设备通过  TRAP  和  INFORM  主动回传数据  。

ü  数据：  MIB  对象（  OID  键值对）

n  优点：协议简单易实现，历史悠久，基本厂商设备都支持。

n  缺点：私有  MIB  库问题，安全性较弱，性能容易瓶颈，表达能力弱，  UDP  的不可靠性。

【极简X方案中snmp的作用】  

接入、汇聚、核心设备都需要配置snmp与SDN控制器对接。用于实现：  

1、CPU/内存/链路健康的/认证用户信息等监控  

2、交换机端口流量统计，自动防环路功能  

3、非认证终端位置定位信息显示  

二、配置解析：  
 

【核心N18K配置】  

Ruijie(config)#snmp-server enable version v2c

Ruijie(config)#snmp-server enable version v3

Ruijie(config)#snmp-server if-index persist //固定snmp端口索引值

Ruijie(config)#snmp-server community  (key) rw //团体字根据实际配置

Ruijie(config)#snmp-server enable traps

Ruijie (config)#snmp-server host(radius ip) informs version 2c (key)  udp-port 161 //INC地址和团体字根据实际配置

Ruijie (config)#snmp-server host (radius ip) informs version 2c  (key)  // INC地址和团体字根据实际配置

 【汇聚交换机配置】

snmp-server community (key) rw

【接入交换机配置】

snmp-server community (key) rw

snmp-server enable traps

snmp-server host (onc-ip) informs version 2c (key)      //必配traps，informs

mac-address-table notification                          //全局使能mac地址消息通告

mac-address-table notification interval (time)  //修改mac通告间隔，缺省2s

interface x/x

 snmp trap mac-notification added   //mac地址添加消息使能

 snmp trap mac-notification removed  //mac地址删除消息使能

【INC相关配置】

设备凭证是基于分区来配置的，在配置设备凭证前先规划好分区。

路径：设计--》网络分区

路径：设计--》以太网规划--》设备凭证--》SNMPV2

三、注意事项：

子级区域未配置协议凭证时默认继承父级区域凭证，当子级区域配置协议凭证则使用自身的协议凭证。当添加设备选择区域时，如果该区域配置了协议凭证则使用该区域的协议凭证，否则从父区域选择协议凭证。可以针对某台设备单独  修改snmp，netconf，telnet  等属性修改，配置见后面章节内容。

四、抓包

 02  【必配】netconf协议

  一、原理介绍：

  NETCONF-network configuration概述

1）一种网管协议，主要目的是弥补SNMP无法配置设备的不足，希望可以取代SNMP协议，CLI

2）2003年成立netconf工作组，2006年（RFC4741等）成型，2011年（RFC6241等）完善，2014年发展壮大

3）早于SDN产生，初期发展缓慢，后面伴随SDN的火热兴起而焕发新生命

4）NETCONF 协议分成四层：安全传输层，消息层，操作层和内容层

5）配置数据和协议消息都用XML 表示

6）当前协议主要通过SSH加密实现传输通道

 netconf协议架构：

1）安全传输层

Netconf规定需要安全加密通道，如SSH、TLS等，当前一般用SSH（SDN-controller 连接设备端的TCP dport 830）。

2）消息层（PRC层）

RPC层提供传输协议无关的机制，定义了三种报文类型：hello， rpc和rpc-reply, notification。

hello完成客户端&服务器会话建立能力交换；rpc完成请求和响应数据封装；notification以订阅方式完成消息通知。

3）操作层

netconf全面地定义了9种基础操作。get、get- config用来对设备进行取值操作；edit- config、copy- config、delete- config则是用于配置设备参数；lock和unlock 则是在对设备进行操作时为防止并发产生混乱的锁行为，close- session和kill- session则结束一个会话。

4）内容层

Netconf使用YANG对数据建模，使用XML传输数据。

【极简X方案中netconf的作用】

1、INC下发配置给设备，比如业务子网，DHCP，准入管控，安全策略，环路检测等功能

二、配置详解：

【设备端配置】

N18K(config)#enable service ssh-server      //全局使能ssh server

N18K(config)#username key password key     //配置ssh用的账号密码

N18K(config)#crypto key generate dsa       //加密方式选择DSA或者RSA均可

% You already have DSA keys.

% Do you really want to replace them? [yes/no]:y

Choose the size of the rsa key modulus in the range of 512 to 2048

and the size of the dsa key modulus in the range of 360 to 2048 for your

Signature Keys. Choosing a key modulus greater than 512 may take

a few minutes.

How many bits in the modulus [512]:

% Generating 512 bit DSA keys ...[ok]

推荐方式一：vty指定采用本地的用户名+密码登入，可以ssh就可以实验配置的username+password的账号连接设备

N18K(config)#line vty 0 4

N18K(config-line)#login local

  //注意：如果ONC是3台以上的集群，由于集群ONC的SSH连接，默认就占用了3个以上的vty线路，因此为了不影响普通网管登入，vty建议配置0 6

方式二：vty指定仅password方式校验，则ssh或者onc只能使用vty下面配置的pwd密码进入登入了（用户名随意），而不能采用全局配置的username+password账号连接设备

N18K(config)#line vty 0 4

N18K(config-line)#password pwd

  //注意：如果ONC是3台以上的集群，由于集群ONC的SSH连接，默认就占用了3个以上的vty线路，因此为了不影响普通网管登入，vty建议配置0 6

【INC相关配置】

路径：设计--》网络设置--》设备凭证--》NETCONF

【状态信息查看】

N18K#show tcp connect

Number Local Address         Foreign Address       State         Process name   

8      10.0.1.1:830          172.18.157.134:46356  ESTABLISHED   rg-sshd        

ps：Netconf当前仅能通过rg-sshd进程的tcp（established）状态来确认是否成功 

三、注意事项：

子级区域未配置协议凭证时默认继承父级区域凭证，当子级区域配置协议凭证则使用自身的协议凭证。当添加设备选择区域时，如果该区域配置了协议凭证则使用该区域的协议凭证，否则从父区域选择协议凭证。可以针对某台设备单独  修改snmp，netconf，telnet  等属性修改，配置见后面章节内容。

四、抓包

一、原理介绍：

【起源】  

1、起源于斯坦福大学的“Clean Slate”计划，2007年被提出。  

2、2008年成立OpenFlow论坛，由该论坛推广OpenFlow。  

3、2011年成立ONF，后续OpenFlow合并到ONF中统一管理。  

【标准化组织】  

1、ONF(Open Networking Foundation)成立于2011年  

2、定义了控制与转发分离的概念  

3、创造了标准控制协议Openflow  

4、创造了与其相适配的协议转换芯片  

5、创造了SDN基础体系框架  

6、发布了OpenFlow1.1, 1.2, 1.3, 1.4, 1.5标准，目前业界支持最广泛是OpenFlow v1.3协议。  

【openflow仅用于SDN架构中南向接口的交互协议】  

【Openflow的流表】    

         Ruijie#show         of        flowtable                       

/******************* openflow flow table[0]---flow number[1] ********************/

{table="0", duration_sec="1000", priority="500", flags ="0x0",idle_timeout="0", hard_timeout="0", cookie="0xdbd96e68a0000", packet_count="29", byte_count="1972".match=oxm{eth_type="0x806", arp_spa="10.3.1.0", arp_sha_mask="255.255.255.0"} instructions=[apply{acts=[output{port="controller", max_len="65535"}, output{port="normal"}]}]}

xid=129222, sync_flag=0x0, ss_index=0x1

匹配域：源IP为10.3.1.0/24的arp报文

动作：送到ONC控制器处理

计数：报文命中29 

【Openflow的报文】

1、Controller-to-Switch    

–由控制器发起、设备端接收并处理的消息,这些消息主要由控制器用来对设备端进行状态查询和修改配置等操作。    

2、Asynchronous    

–由设备端发送给控制器、用来通知设备端上发生的某些异步事件的消息    

3、Symmetric    

–由设备端或者控制器发起    

【极简X方案中openflow的作用】    

1、准入管控功能中针对管控网段的ARP流表的匹配    

2、业务网关设备与SDN控制器间ARP packin packout报文的交互     

二、配置解析：    

【设备端配置】    

N18K(config)#of controller-ip (inc-ip)  port 6653 interface (loopback 0)    

//指定inc的ip地址及本端的出接口

SDN控制器为三台集群时候，需要配置of 命令3条，指定3个inc ip

【INC相关配置】

        openflow      显示连接成功      

   注意：ONC2.0/INC-PRO版本中，openflow协议可以自动发现设备，但是不会在设备管理界面显示出来，可以直接到SC的配置页面去配置SC，这时候可以选择自动发现的openflow交换机。如果需要做完全纳管，并且监控设备状态，建议将四个协议都配置上去。

openflow显示连接失败：表示协议连接失败

【状态信息查看】

N18K#show of
version:openflow1.3, controller[0]:tcp:172.29.2.182 port 6653 interface Loopback 0, main is connected, aux is disable, role is master.
Current controller mode : multiple.
Current packet process mode : Lookup all flow.
Datapath 

172.29.2.182：INC的IP地址

TCP port 6653：Openflow TCP协议目的端口

connect：控制器与设备连接建立成功

disconnect：控制器与设备失去连接

三、报文

一、网络拓扑

二、需求

控制器需要对设备能管理  ，  包括对设备的信息查看、建立  openflow/netconf/snmp  等连接。

三、配置步骤概述

1、访问https://ip:8089/onc，用户/密码【默认为admin/rgsdn】登录Web控制器首页    

2、点击上侧菜单【设计】，在展开的二级菜单中点击【网络分区】进入网络分区页面，根据物理位置划分区域（如：根据楼宇划分区域，1号楼、2号楼等），分区可以划分为区域、楼宇、楼层。    

3、点击上侧菜单【设计】，在展开的二级菜单中点击【网络设置】进入网络设置页面，点击【设备凭证】页面配置基于区域的设备凭证：对netconf默认配置进行用户名密码配置、snmpv2进行团体名配置、telnet配置模板进行用户名密码配置     

注：此处的配置为基于区域的公共属性，需要与网络设备配置一致，若有不一致的配置则需要对单台设备进行属性配置修改    

4、点击上侧菜单【部署】，在展开的二级菜单中点击【设备管理】进入设备管理页面，点击“新增”按钮，可选择“单个新增”或“文件导入”。填写相应的内容。    

注：添加其余非业务接入设备，如汇聚/核心设备，设备类型选择通用网络设备

1、设备配置

aaa new-model 

aaa authentication login default local 

username ruijie2018 password ruijie2018 

enable service ssh-server                     //【必配】开启ssh登录服务，设备和控制器建立netconf协议连接

crypto key generate rsa                       //产生SSH秘钥

snmp-server community ruijie2018 rw       //【必配】设备和控制器建立snmp协议连接

of controller-ip 172.18.31.3 port 6653 interface VLAN 31     //【必配】设备和控制器建立openflow协议连接，172.18.31.3为控制器

2、控制器配置

3、批量导入其他设备，支持SDN功能的汇聚，接入交换机设备类型选择为业务汇聚，业务接入，不支持SDN功能的设备选择设备类型为通用网络设备                

4、控制器单独修改某台设备对应的snmp、netconf，telnet协议属性值

点击设备名或者设备IP跳转到设备全景

 点击协议链接信息的编辑按钮，选择各个协议的模板，如果是自定义模板则手动输入设备凭证信息。

5、查看设备添加详情                  

（若添加成功，那么在“连接状态”的栏目里，snmp、openflow、netconf是都是显示连接成功），并且在线状态图标为绿色打勾。如果协议显示为连接失败则代表该协议设备端与控制器端存在问题，需要进行排查

6、查看拓扑                

四、注意事项

    添加核心设备需要添加为业务网关，只有业务网关才能同时建立openflow、netconf、snmp、ssh三种协议连接

    通用网络设备，需要建立snmp、ssh连接

    以上连接都建立成功之后，设备健康度管理页面才能看到设备的CPU、内存使用率、端口带宽、 丢包、错帧等情况。

一、设备添加

ü  支持  SDN  功能的设备，比如  N18K  ，  S6220  ，  S5750C-H  ，  S29XS/EV3  ，需要完整的在设备端与控制器端都配置  snmp  ，  netconf  ，  openflow  ，使能三种协议，设备选择为业务型。

 ü  N18K—  业务网关，  S57H—  业务汇聚，  S29XS/EV3—  业务接入，其他不支持  SDN  的设备选择为通用设备。  设备类型必须选择正确，否则配置的极简  X  功能可能不生效。

ü  针对普通设备或者友商设备，仅需要设备端与控制器配置  snmp  协议  网管即可，设备选择为通用型。

ü  INC  可以纳管的设备数量取决于购买的  RG-INC-PRO-SW-DEVICE-XXX  授权数。

ü  针对需要启用  SDN  业务的设备（比如  N18K  ）必须添加，需要监控设备健康度的推荐添加，剩余其他设备可选添加。

二、拓扑关系

ü  支持  LLDP  协议的设备，可以通过邻居发现，建立彼此的关系，通过   snmp  通告给  INC  呈现拓扑关系。

ü  不支持  LLDP  协议的设备，比如路由器，无线控制器，则在   INC  上面呈现孤立的单台设备，并且也无法手动连线。

路径：监控--》拓扑