Overlay网络设计

外部网络的出口类型

外部网络资源定义了三种类型，如果用户网关位于Fabric内，主要采用L3共享出口或者L3独占出口两种类型，如图2-89所示。

• L3共享出口：Fabric网络的多个VN共享L3出口，与出口设备互通。由于VN与外部互访必须要在防火墙上配置到达业务子网的回程路由，这也间接导致不同VN间业务子网在防火墙上是可以互通的。如果不同VN间在防火墙仍需隔离，需基于VN内的业务网段配置策略。

  L3共享出口可以节省VLAN和IP等用于互联的资源，适用于不同VN间安全控制策略要求较低的场景。

• L3独占出口：Fabric网络的每个VN独占一个L3出口，与出口设备互通。此时，防火墙可以创建多个安全区域，安全区域与L3独占出口一一对应，到达防火墙的不同VN间业务子网流量是隔离的。如果不同VN间需要在防火墙实现互访，可以在不同安全区域间配置安全策略，配置的安全策略还能够控制互访的应用端口、限制带宽等。

  L3独占出口适用于不同VN间安全控制策略要求较高的场景。

图2-89 Fabric采用L3共享出口和L3独占出口的流量模型

外部网络的路由规划

VN与外部网络互通有两个关键点：在Border上，VN与外部网络资源的VRF间通过VPN Target实现路由互引；Border与防火墙间通过配置路由协议互通。如图2-90所示，Border与防火墙间的路由设计遵循传统园区内网与外部互通的路由设计原则：

• Border侧园区内网去往外部网络的路由：考虑需要访问的外部网络数量多、稳定性相对较低，一般采用缺省路由。

• 防火墙侧外部网络向园区内网的回程路由：一般采用明细路由。

图2-90 Border与防火墙间路由设计示例

Border在创建外部网络资源过程中，与防火墙互通的路由协议有3种可以选择。遵循前面讲述的路由设计原则，不同路由协议的建议配置及配置异同点如表2-50所示。

对于防火墙与Border间的路由协议选择，主要考虑防火墙部署双机热备时，在主备倒换场景下如何实现业务流量路径的切换，详细建议可参考出口网络设计中的出口路由设计。

Border侧路由是通过iMaster NCE-Campus创建外部网络资源时配置，防火墙侧路由需要登录其Web网管或者命令行界面配置。

接入端口设计

Fabric接入管理中，对交换机的接入端口定义了3种连接类型，如图2-27所示。

• Fabric扩展AP：下挂设备为华为AP，运行在Fit AP模式。主要在配置策略联动时使用。
• Fabric扩展交换机：下挂设备为华为交换机。主要在配置策略联动时使用。
• 终端（PC、话机、哑终端、非Fabric扩展接入交换机/AP）：下挂设备是终端。可以按接入控制设计中的“用户认证方式设计”，根据终端类型，绑定相应的认证模板，对终端进行接入控制。

图2-93 Fabric接入端口连接类型

策略联动设计

策略联动功能是指将认证控制点上移到汇聚层/核心层，而且汇聚层/核心层与接入层设备通过CAPWAP隧道能够进行策略的联动，从而在减少认证控制点配置数量的同时，终端接入仍可在接入层进行控制。在有线无线统一认证控制点场景中，AP还可以通过策略联动建立的CAPWAP隧道在作为无线认证控制点的WAC上线。

分布式网关方案中，通常采用推荐的VXLAN到汇聚组网，建议在Fabric的接入管理设计中，规划策略联动功能。如图2-94所示，在作为Edge节点的汇聚交换机与接入交换机部署策略联动功能。

图2-94 Fabric接入管理中规划策略联动功能示意图

Fabric接入管理中，配置策略联动功能时，需要：

• 在Edge节点配置策略联动管理VLAN和策略联动管理IP地址。

• 在Edge节点配置下挂接入交换机的端口连接类型为“Fabric扩展交换机”。设置该类型可实现Edge与接入交换机间的策略联动管理VLAN互通。
• 在接入交换机配置下挂AP的端口连接类型为“Fabric扩展AP”。设置该类型可实现接入交换机与AP间的策略联动管理VLAN互通。

配置完成后，可以实现：

• Edge节点与接入交换机间能够建立CAPWAP隧道。有线用户接入认证仍在Edge节点进行，但是有线认证执行点下移到接入交换机，用户只有认证通过后，才允许通过接入交换机访问网络。
• Edge节点与AP间能够建立CAPWAP隧道，AP能够在Edge节点上线，并作为无线用户认证执行点。

注意，交换机连接的AP端口选择了“Fabric扩展AP”类型后，该端口不能再部署自协商管理VLAN功能。

用户子网接入VN介绍

如图2-95所示，在分布式网关方案中，Fabric通常采用推荐的VXLAN到汇聚组网，并且Edge作为随板WAC，无线用户流量在到达Edge会完成CAPWAP解封装，因此有线无线用户流量可以统一在Edge节点进入VN，通过用户VLAN与BD建立关联关系，从而在相应的VN内转发。

用户接入VLAN的类型选择

用户接入VLAN的类型主要包括静态VLAN和动态授权VLAN两种，在VN内配置用户网关时需要选择。表2-51列出了两种接入方式的对比。

• 对于下联端口有话机的场景，可以在端口上配置语音VLAN为话机提供单独的语音VLAN接入。

• 动态授权VLAN适用于MAC和802.1X认证。如果Portal认证采用动态授权VLAN，需要用户二次上线，不推荐使用。
• 动态授权VLAN可以选择VLAN池方式授权，认证控制点可以根据授权的VLAN池信息，自动计算并分配VLAN池内的一个VLAN给接入端口或者SSID。VLAN池内VLAN对应的子网会接入同一个VN。

  VLAN池方式授权适用于用户子网数目特别多的场景，在分布式网关方案中，Edge之间没有二层隔离，在该场景下推荐使用。在进行VLAN池计算时，可能出现分配不均，出现个别VLAN分配用户数特别多，导致个别VLAN内用户终端因规划的IP地址池不足，申请不到IP地址的现象。在配置VN内配置用户网关时，如果接入VLAN采用VLAN池方式，建议规划相应子网的IP地址数量为实际用户数的5倍以上。