酷应用

对付传统网络“六宗罪”，此SDA非彼SDN！

百家作者：数据分析 2017-07-27 08:02:16

从十年前 SDN 开始，业界一直在探索一条道路——如何自动化驱动网络，但想真正做到这一步并不简单，经过长时间探索，思科认为园区网络自动化道路应该分为以下三步：

设备自动上线，无需人工干预，自动注册到园区网控制器 APIC-EM 上，由控制器统一推送配置，升级软件；
将网络抽象为矩阵，一次配置，全网部署。无需 CLI 命令，全部图形化配置；
利用大数据分析，结合人工智能，让网络自我学习、自我驱动。

在接下来的两篇内容中，将继续由思科资深顾问工程师谢清为大家分享干货，今天与大家谈谈第二步，下一篇展望第三步！（第一步请访问：APIC-EM）

传统网络园区的“六宗罪”

在网络向数字化转型的过程中，还有众多挑战需要 IT 面对：

在网络部署方面：

设置或部署网络设备耗时过长。由于 IT 需要制定计划，或与不同的基础设施团队进行合作，导致即使部署单个交换机也会需要几个小时。在某些情况下，部署一批交换机可能需要数周时间；
安全性是现代网络管理中的关键因素。为了实时响应各种需求，组织需要有效实施变更。与此同时，组织需要以适当的方式保护资源。不过，要通过跟踪 VLAN、访问控制列表 (ACL) 和 IP 地址来确保策略和安全合规性达到最佳状态，也是一项艰巨的任务。
由于不同部门分管不同系统，网络往往较为分散。通常情况下，建筑物管理系统、安全系统和其他生产系统都会独立于主 IT 网络独立运行。这就造成网络硬件重复采购以及管理措施不一致等问题。

在网络运营方面：

变更管理受限：对网络运营而言，定期升级软件和配置是一项基本的例行活动。但是，在典型的网络中进行此类更改时，仅物流工作就需要 6 个月以上的时间。
工作效率低下：经验表明，改善服务质量可能需要数月时间进行规划和实施，而且如果实施过程中出现欠缺，还会导致业务关键应用出现性能问题。
问题解决缓慢：由于当前网络管理模式下的网络规模庞大，而且极其复杂，一旦出现故障，很可能需要投入大量的时间和精力来查明并解决问题。网络中可能还存在大量未正确关联的数据，IT 就无法利用这些数据来了解网络情景和用户行为。

网络需要全智慧

你需要一种以体验为基础，能够将情景转化为情报的网络，一种响应速度更快、更为人性化的网络。

想象一下：

如果能为 IT 节省更多时间，结果会怎样？
如果能在几分钟内为任何用户或任何设备提供对任何应用的网络访问权限，而且丝毫不会影响安全性，结果又会怎样？

思科软件定义接入 (SD-Access) 可以为全数字化网络奠定坚实基础。

怎么说？

它采用了思科全数字化网络架构(思科 DNA)的设计理念，是业内首个涵盖从边缘到云的策略型自动化接入解决方案。SD-Access 可提供端到端的网络分段，确保无需重新设计网络，即可将用户、设备和应用流量分离。它可以自动实施用户访问策略，因此组织可以确保为网络中访问任何应用的任何用户或设备设置正确的策略。所有操作都由单一网络交换矩阵执行，以确保在不影响安全性的情况下，为任何位置的用户提供一致的用户体验。这意味着局域网、广域网和云将采用共同的用户策略。

SDA 基本组件

基于控制器的网络：SDA 使用软件控制器架构，通过对网络元素进行协调和操作来促进实现业务目标。它能够在用户、设备和终端连接到网络时立即配置与之相关的设备和策略。在这个过程中，软件控制器会提供一个网络抽象层，用于对各种网络元素的特性进行仲裁。另外，思科 DNA 控制器还可以提供基于 REST 的北向 API 接口，这有助于第三方或企业内部在网络中开发更多的服务；
网络交换矩阵：设计好控制器要素后，下一步就要考虑在逻辑块(即交换矩阵)中构建网络。在 SD- Access 中，交换矩阵是设备的逻辑组，可作为单一实体在一个或多个位置进行管理。构建交换矩阵有助于实现多种功能，例如创建虚拟网络和用户及设备组、SD-WAN 集成和高级报告。不仅如此，交换矩阵还能提供用于应用识别、流量分析、流量优先级和流量控制的智能服务，从而帮助实现最佳性能和运营效益。
现代设备软件堆叠：为了构建现代化网络基础设施，思科将各种高级功能集成到已经推出和即将推出的交换机、路由器和无线控制器产品中，以实现开放、基于标准和可扩展的完整生命周期管理。这些重要技术包括：自动化设备调配(用于支持各种广为人知的功能，如零接触调配、即插即用和预启动执行环境等)；开放式 API 接口(用于支持 NETCONF 和 YANG 模型)；精细可视性(用于支持 NetFlow 和 YANG 操作模型等遥测功能)；通过实时软件补丁实现无缝软件升级。

SDA 解决方案组件

SD-Access 采用行业领先的软件和硬件组件构建而成。其核心组成部分包括：

应用策略基础设施控制器企业模块(APIC-EM) 2.0 版(包括思科 DNA中心)
身份服务引擎 (ISE)
网络数据平台
网络设备

SDA 的优势

提供革命性的管理解决方案，在降低运营成本的同时提高业务灵活性；
以一致的方式管理有线和无线网络的资源调配及策略实施；
自动执行网络分段和基于用户组的策略；
提供基于情景的洞察力，从而加快问题解决和系统容量规划的速度；
采用开放式可编程接口，可与各种第三方解决方案实现集成。

SDA能为你做些什么？

网络设计与部属：思科 DNA 中心为网络架构师或管理员提供了一个设计中心，除了可以用于设计网络外，还能为相关设备生成配置命令。
网络分段：利用 SD-Access 即可实现将多个网络整合到一个管理平面，并按照业务部门或职能板块对网络进行分段。
灵活的身份验证选项：SD-Access 可提供灵活的身份验证选项，包括 802.1X、Active Directory 和静态身份验证方案。
基于组的策略：SD-Access 使用行业领先且久经验证的思科 TrustSec® 技术，可在整个企业范围内实现不受 IP 地址或 VLAN 成员关系限制即为用户或设备分组这一功能
网络保证：思科 DNA 中心保证功能可从网络中的多个来源 (例如系统日志和 NetFlow)收集数据，对用户和网络活动提供基于情景的见解。