TheCiscoSD-WANSolution
思科SD-WAN各组件GLAB思科CCIE课程拓扑设计
为什么需要实现CiscoSD-WANSEN
传统的网络已经变得越来越复杂，不能满足现有的企业扩展的需求
CiscoSD-WANSecureExtensibleNetwork(SEN),可以提供快速部署
降低企业成本，部署简单，快速安全
灵活应对复杂企业site之间的数据安全传输需求
传统网络带来的设计上的挑战
成本高：传统网络面临很多设备的配置和维护；互联需要考虑昂贵的传输链路
太复杂：每个节点都要配置安全策略，尤其远程站点管理起来更加复杂
网络主机、网路设备、传输设备之间的流量没有明显的界限
策略是配置在网络中的每一个节点上的
安全是复杂耗时的部署过程，当然也是分布式在每个节点上做的安全策略
周期长：多站点互联依赖中间的传输链路，申请使用周期很长
难管理：传输链路归ISP管理，出问题需要ISP配合监控和配置
面对新形势下的需求，传统网络更加不能承受
严格的端到端安全
不通的传输网络
托管在多个数据中心的云应用高带宽的需求
移动终端用户持续增长
拓扑中不固定的any到any的连接
特殊业务的特殊需求
GLAB思科CCIE课程拓扑设计
SD-WAN解决方案特点
思科SD-WAN是基于软件来定义广域网的连接，将数据和控制分开
重新定义了企业的广域网连接，使用通用的路由架构来实现网络的三层连接
虚拟化了企业边界原先使用硬件的路由设备
以Overlay的方式，运行在基础架构中的物理设备（路由器、交换机、防火墙），也可以是虚拟设备（vEdge、vRouter、vFw）
使用路由通告来形成整个网络控制层需要的表项
将网络传输从上层的网络服务分离出来，让管理员专注于用户和用户，或者主机之间的应用
使用VRF隔离三层流量，实现同一客户不通业务流量隔离，或者不同客户不通业务的隔离
端到端的双向连接、安全加密通讯
可以实现控制层面的策略和数据层面的策略集中配置
Overylay网络保证不会收到传输端的攻击
策略可以在控制器上灵活配置，实现各种应用需求
集中管理、集中配置策略，简化运维步骤，提供了可视化的排错视图
SD-WAN重要组件介绍
vSmartControllers（控制层面）
集中控制的大脑，管理、配置、监控SD-WAN的控制层面
收集路由信息，通过控制层把信息反射给其他路由器（注意：不处理任何数据层面的流量，主要参与控制层的信息）
解决了传统网络中full-mesh的路由架构带来复杂架构下的挑战
保证整个Overlay网络安全传输（RSA和证书实现数据的加密保护）
考虑冗余，可以部署多个vSmartControllers，多个也可以实现负载均衡，一个domain最多可以配置20个controllers
部署多个vSmart的时候，所有vSmart配置要保持同步，接口和地址、systemID、hostname可以不一致
vBond负载协调监控多个vSmart之间的状态，负责控制vSmart之间的切换
vEdge验证成功，会跟vSmart之间建立一个永久的DTLS隧道，建立加密的安全通讯
DTLS隧道中的信息包含，形成网络拓扑所需要的路由信息和计算到达每个目标的最佳路由
OMP(OverylayManagementProtocol)协议来实现SD-WAN的路由收敛，形成OMP路由
OMP协议跟BGP很像，在DTLS中传递，包含：routers、next-hop、keys、policy
通过预安装的证书，配合vBond对online的vEdge设备进行验证，验证通过才能建立DTLS隧道，才能传输OMP
接受数据层面加密数据需要用到的key，并把key反射给相关的其他vEdge路由器
强大的policy引擎，可以提供入站和出站的策略来影响：路由信息、访问控制、分段、外联网等其他网络需求
可以支持NetconfandCLI的管理方式
vSmart以虚拟机的方式安装在ESXi虚拟化平台上
vSmart初始启动的时候，可以配置最小信息：比如IP地址和vBond，让vSmart和vManage建立连接同步CFG配置，也可以手动通过console进行vSmart的配置
vBondOrchestrator
当vEdge设备接入Overlay网络的时候，配合vSmart一起工作，进行自动验证
主要管理vEdge和vSmart之间的连通性，解决vEdge或者vSmart在NAT后面的网络情况
密钥是都是自动分发交换，简化维护密钥的工作
vBond负载协调监控多个vSmart之间的状态，负责控制vSmart之间的切换和负载均衡
vBond必须配置公网IP地址，才能保证NAT的环境vEdge和vSmart之间的连通性
vBond和vSmart之间的DTLS隧道是永久的；和vEdge之间的隧道是临时的，验证完成就不需要建立这个隧道，就是按需建立
可以部署多个vBond，实现冗余和负载
可以在其中一个vEdge上激活vBond功能
vManageNMS（管理层面）
提供简单但是功能强大的仪表板，用来监控Overlay网络中所有网络设备的性能
同时也可以提供内置的配置的模板，简单轻松实现配置，然后把配置推送给路由器
用来存储证书和配置文件，当vEdgeonline的时候，vManage会把配置和证书推给vEdge
对于vEdge来说，vManage还可以签署证书、生成引导配置，还可以注销vEdge设备
提供集中的软件安装、升级，可以单个也可以批量管理
集中配置和管理整个网络，一般建议安装在中心站点的DC的一台物理服务器上
vEdgeRouter（数据层面）
和vSmart之间建立DTLS隧道，协商控制层面的OMP协议
在各个远程Site的设备，可以在边界，也可以放在某个NAT设备的后面
可以是物理设备、或者虚拟机软件calledvEdgeClouldRouter
主要负责各个Site之间的数据层面的转发
支持和网络现有的设备之间运行OSPF、BGP路由协议、VLAN、Qos、VRRP、BFD、ACL、路由策略等标准协议
存放数据层转发必须的RIB/FIB（CPU转发的表）表项
可以支持NetconfandCLI的管理方式
SD-AVC（SD-ApplicationVisibilityandControl）
SD-AVC网络服务作为一个容器运行在vManage里面
使用NBAR2和其他组件作用在设备上
提供网络应用流量识别并可视化分析，基于应用感知的路由、防火墙和QOS策略等
是一个基于网络层次的分析工具
vContainerHost
为了解决单个vSmart的部署压力，可以部署基于容器的vSmart
vContainerHost是一个虚拟机，可以运行多个vSmart容器
且容器之间相互独立，可以部署在不同的网络中
一般是把vContainerHost部署在AWS上
也可以部署在ESXI和KVM（可以直接下到vmdk或qcow2的文件导入）
其他SaaS软件服务
CloudExpressservice：提供的SaaS服务，为每个应用程序提供清晰的定制服务，比如对office优化
vAnalytics：是一个思科托管的SaaS服务，主要帮助客户深入分析运营商、隧道、应用程序特征