1、Cisco技術SDN技術風靡全球，大佬們都想搞出一番噱頭，攀上這高大上的技術，也好給客戶吹吹火車。一直號稱網絡設備奠基石的Cisco針對企業網，推出一款爆品技術：DNA（數字化網絡架構，DigitalNetworkArchitecture）。主要的技術元素：數字化的理念，自動化的部署，安全性的防御。1.DNA簡述Cisco推出的這款產品主要目的是釋放IT管理人員的雙手，解決掉復雜的部署和策略安全等問題。主打降成本運營，簡單化部署和分支業務快速上線，號稱可以減少網絡部署和維護時間75%。Cisco從數據分析，中小企業和服務產商的網絡運營，75%的時間花費在策略安全配置和新設備加入的等。白Auto

2、mationAnalyticsAtastrattisn&PolleyCcntrelfromCeretoEdge白AutomationAnalyticsAtastrattisn&PolleyCcntrelfromCeretoEdgeStructuredC&nt&jctajalinslahrsOperaIStandards-BasedProgrammability&VirtualizationPi曾用lea，&VlhUH)Wrestructure|g及Hutlhg|SegmentrtlomClaudEnabledNetworkEnabledApplicationsClaborailon|Mobil

3、ity|kT|SecurityOpenAPIsIDevelopersEnvironmentSwitchesCiscoPlugandPlayMobileAppDeJiversbootstrapcanfiguration,andchecksstatusSwitchesCiscoPlugandPlayMobileAppDeJiversbootstrapcanfiguration,andchecksstatus.troubleshoozsPlugandPlayapplicationtogetitsconfigurazianandimaaeAccessPoints自動化部分就是APIC-EM控制器實現的

4、。（背景待繼續補充）2PNP(PlugandPlay)PNP，即插即用功能主要解決部署復雜、過程漫長、斷網斷電風險和成本高等問題。實現簡單化、自動化部署，必須與APCI-EM一起部署使用的。CiscoNeiworlcPlugandPlayapplicatianonAPIC-aiCentralcontrollernnanagesprojects,devites,andtheconnguradonsa-idGSimagesterdevicedeployment.PlugandPJavProtacal:Protocolbetwsentheagentandcontra11srlessganopensc

5、hemaoerHTTPS.PlugandPlayConnectThiscIolfcIserviceEllowsnEtwcrkdevicestodiscoverthelocstionoftheAPIC-EMtontroiler.主要的組件說明：APIC-EM：思科應用策略基礎架構控制器一企業模塊，專門用于企業網的SDN控制器，在PNP功能中，用于管理設備，升級設備，導入設備配置等功能；PNP代理：運行在思科設備上的代理程序，用于設備安全性接入，與思科PNP服務器通信，讓新增設備能夠無縫嵌入到環境中；PNP手機APP程序：在手機上安裝思科PNPAPP程序，APIC-EM可以通過手機3G/4G信號與

6、手機建立通信，手機通過物理串行接口連接新增設備，達到APIC-EM設置新增設備的配置和規則；PNP協議：是代理與控制器之間的https通信協議；PNP連接：如果DHCP或DNS方法不可用，則可以使用自動PNP服務器發現的可選云組件。PNP服務器是APIC-EM中思科網絡即插即用應用程序的后端部分。Cisco網絡設備通過與Cisco即插即用連接云服務聯系，以獲取為您的組織定義的適當PNP服務器的IP地址。遠程部署設備用PNP功能無非就兩個步驟：識別設備和配置設備。PN代理新增設備的發現識別，主要是通過PNP代理實現，發現的主要流程:啟動設備的PNP代理；PNP對新增網絡設備的識別部署;2.1.1

7、啟動2.1.1啟動PNP代理第一種是無配置啟動：新設備在沒有配置文件情況下啟動，通電時就會自動觸發PNP代理程序，用于發下PNP服務器的IP地址。采用的是vlan1作為三層口獲取IP地址，同時第二種是CLI配置啟動：管理員可以通過CLI配置啟動PNP代理。FactoryStatewith第二種是CLI配置啟動：管理員可以通過CLI配置啟動PNP代理。FactoryStatewithrunningserverllknownrunningwithnoPnPagentPnPagentgtanabut版幅togmtseiverIPaddressCLIconfiguredonthedevicewitht

8、heer(ErIPaddressPNP發現機制PNP代理發現階段是為了獲取PNP服務器IP地址，用于網絡設備的部署和管理，主要通過以下幾種機制實現的：1、DHCP發現PNP2、DHCPsnooping發現PNP3、通過DNS發現PNP4、通過二、三層設備發現PNP5、通過PCorphone發現PNP1、DHCP發現機制PNP代理啟動DHCP發現協議，從DHCP服務器獲取設備所需的IP配置；DHCP服務器在選項60中配置字符串“ciscopnp”，使用特定選項43插入供應商信息，將pnp服務器的IP地址或主機名發給請求設備，攜帶上分配的IP地址；請求設備接收到DHCP響應時，從43選項中提取PN

9、P服務器信息和分配的IP地址，PNP代理就可以與PNP服務器進行通信。這里的PNP服務器其實就是我們前面提到的APIC-EM控制器。Newdeviceispoweredon.Devi&estartsDHCPdiscovery色）DHCPserverrespondswithPnPserverIPInOption43alongwrthdevicePNewdevicesestablishesconnectstoPnPserver2、DHCPSNOOPING發現機制這種方式主要解決無法支持特定供應商43選項而實現，與第一種方案主要的區別點是在核心設備中開啟snooping,偵聽PNP代理的DHCP消息

10、是否來之cisco設備，從而修訂43選項增加附屬消息，剩余的都與上一種方式一致。3、DNS發現機制當客戶無法做到或者不愿意讓核心設備做DHCPsnooping功能，PNP代理將退回到DNS查找方法。PNP代理從客戶網絡中獲取到域名，并構建完全限定域名（FQDN）。PnP代理使用預設的部署服務器名稱和DHCP響應的部署名稱構建以下FQDN。然后，代理程序將查找本地名稱服務器，并嘗試解析上述FQDN的IP地址。DHCPServerPnPServerDHCPServerPnPServerQ*Newdeviceispoweredon.DevicestartsDHCPdtscoveryDHCPserve

11、rrespondswrthdev乃白IP,domainnameandDNSserverDevicereadsdomainnameandCreatespredefinedPnPs&rvername()andresotvesforIPaddressNewdevicesestablishesconnectstoPnPserver4、其他設備PNP代理發現在沒有DHCP或者DNS服務器的情況下，發現鄰接網絡中已經啟動了PNP代理設備，可以將鄰接設備充當PNP協議輔助的服務器，PNPNAPP（PNP鄰居輔助配置協議）。NAPP服務器是PNP發現階段的一個功能，在DHCPDNS、思科cloud都無法連接到

12、PNP服務器時，將調用此功能。5、PCorPhone發現機制使用移動設備，首先在移動設備上按照個APP軟件，添加APIC-EM的URL地址，先于控制器能夠連接上，再將另外一段通過連接器與設備通信。此方法一般用于遠程分支部署的比較多，需要通過互聯網進行升級。需要以下控制臺電纜，具體取決于設備是iOS還是Android設備：iOS設備：具有Lightening（8針）連接器的iOS設備的RedparkLightningConsoleCable(L2-RJ45V)或具有舊30針連接器的iOS設備的RedparkConsoleCable(C2-RJ45V)。Android設備：AirCOnSOie藍牙

13、適配器PNP代理安全機制一旦PNP代理發現PnP服務器，代理就會在傳輸層安全（TLS）握手中與服務器通信。為了向服務器進行身份驗證，代理程序會顯示其HTTPS證書。PNP服務器的管理員設置特定部署可接受的設備認證機制。部署服務器將其證書提供給部署代理，以便代理可以對服務器進行身份驗證。無論代理是否能夠驗證服務器證書，代理人都會在后TLS授權交換中與部署服務器配合使用。在此交換中，代理請求服務器呈現其服務器授權令牌。為響應此請求，服務器提供從思科獲得的授權令牌。代理驗證授權令牌上的簽名。如果授權令牌特定于唯一設備標識符（UDI），則代理還確保其UDI列在授權令牌中。在此步驟結束時，在部署代理和服

14、務器之間建立安全通信通道。設備與服務器之間先建立通信，一旦通信完成設備先安裝證書，再與服務器發送UDI進行身份確認。如果設備自身有攜帶簽名證書，可以不需要獲取證書，直接與服務器進行UDI身份驗證。自帶簽名發現過程：DHCP選項安裝證書過程：DHCP43/60選項是供應商特定的標識符，以此自定義格式作為識別和傳輸關鍵信息。當然還有其他的身份驗證過程，例如移動設備發現過程，是通過移動APP將證件傳給設備進行安裝的；DNS過程則通過到服務區默認的文件夾阿阿阿口阿阿阿阿口阿阿阿口阿阿阿的中獲取的。這些不是我們關注的重點，有興趣的童鞋可以查看皿皿open加lug-n-Piay皿ent皿figuratio

15、n皿ide皿isco皿s近加eiease皿中的“安全發現過程”這一章節。API-EM與PNPPNP功能中識別設備只是其中一部分，主要的還是如何與APIC-EM一起實現遠程升級、配置設備。主要的部署有兩種，一是遠程部署，例如隔著兩個城市的新增網絡設備；二是本地網絡的部署，有DHCP服務器或DNS發現的場景，一般是校園網或者企業網本地。遠程部署：MeTworradminearmanitorinstallstatus.OnsteinstallerAitnmobileappinstgltsand口。we$ondevic&s,triggersdptoym&nt,sciCiscoNetworkPlugan

16、dP：ayapplicationtogeprovisioned.NetworlcadminpreprovisionsdeFtesInCiscoNetworkPlugandPlsyapplication.MeTworradminearmanitorinstallstatus.OnsteinstallerAitnmobileappinstgltsand口。we$ondevic&s,triggersdptoym&nt,sciCiscoNetworkPlugandP：ayapplicationtogeprovisioned.NetworlcadminpreprovisionsdeFtesInCisco

17、NetworkPlugandPlsyapplication.IOptionallyconfigureHTTPJProxyscdevicescan，eac.CiscoAPIC-EMcorcroiir本地部署（服務器的校園網）:國a校同和南Nsd玲icesconaccCiSCQNenwcrkPiuQandPlaytO9琪pfVuf50qKlstepz.trworkadnrinpr&-prcyisionsden/iGesinCiscoNcr.wrkPlugandPim1口口口liMnnstp1：ConfigureCHOPso召取icesCBrrescnGisccAPIOELIcontroller.I

18、nsU.lerin&tsl&cable,ancpcwe*苫cndelcefi.r.tworlcsd.incanremotelyeqEotInQlEWg.*,AdmnAdmin不管是什么部署場景，都在2.1章節中詳細描述過PNP與PNP服務器（APIC-EM）的發現過程，使用得什么協議發現的。我們現在看下APIC-EM控制器上如何使用PNP功能。PNP儀表板PNP儀表板可以一目了然查看網絡中的數據，包括項目、設備等信息。通過每個餅圖查看項目或者設備的詳細信息。儀表板包括搜索選項：搜索項目：允許搜多項目列表，并加載項目；搜索設備：允許根據名稱、序列號和MAC地址搜多設備。項目ProjectPNP通

19、過常見項目可以輕松創建IWAN站點。項目的資源包括配置文件、image文件和設備ID證書。同時，項目是可以復制的，從而編輯新的項目，達到編輯簡單化。；金APlC-EntacprisfiMadult/KsiworicFUgardPLay網|2dm；：；，ImjgtsradonsTcspaDKaklkimpmSenlnPfljBCtNamElfittdwc在PNP界面的導航欄上，選擇“Project”，將顯示添加項目的對話框，輸出新項目名稱，配置設備image文件的指定位置URL，為添加設備時，升級設備image備用（升級設備image不是從APIC-EM到設備，而是設備從指定的URL進行下載升級

20、）。添加設備device在“項目”中可以添加設備，需要輸入以下信息：設備名稱產品ID設備序列號設備MAC地址（僅僅用于接入設備）-不是很明白為什么接入設備需要填MAC地址。1、添加設備后，需要關聯到對應的image文件，便于后續判斷版本是否一致進行升級；2、選擇配置文件或者模板；配置文件是運用在與設備通信后，進行配置刷新。思科有提供模板給管理員，簡化操作；（模板可以升級多個設備，主要給新建分支時使用，避免大量創建配置文件）3、設備身份的驗證是否運用等一些功能；先在項目中添加設備的信息，后續在網絡設備上電后加入到網絡，APIC-EM控制器就識別到此設備，從而進行版本、配置的升級。其他主要功能點：

21、上傳配置文件：在“配置”的選擇中，可以上傳配置文件，可預覽文件內容，可以刪除的配置文件；上傳配置模板：在“模板”的選項中，可以上傳配置模板，與配置文件類似的操作。上傳image文件：在“Image”的選擇中，添加各種不同設備的image文件，重新命名，統一管理。在前面講過，添加設備時需要關聯的此image文件；批量導入功能：在“批量導入”選項中，可以導入項目和設備屬性的CSV文件，用于批量導入項目和配置設備（特別是升級設備或者配置都丟失的時候特別好用）。同時，思科支持cloud同步設備，需要注冊思科賬號就是。其他的功能配置，詳細見： HYPERLINK /c/en/us/td/docs/sol

22、utions/Enterprise/Plug-and-Play/software/guide/ /c/en/us/td/docs/solutions/Enterprise/Plug-and-Play/software/guide/pnp_apic_em_config_guide/pnp_apic_em_config_guide_chapter_01.html?referring_site=RE&pos=1&page= HYPERLINK /c/en/us/td/docs/solutions/Enterprise/Plug-and-Play/solution/ /c/en/us/td/docs/

23、solutions/Enterprise/Plug-and-Play/solution/guidexml/b_pnp-solution-guide.html#task_2AB93A91FC78409789985933097C5909參考文檔：- HYPERLINK http:/www.cisco.eom/c/en/us/td/docs/ios-xml/ios/pnp/configuration/xe-3e/pnp-xe-3e-bo http:/www.cisco.eom/c/en/us/td/docs/ios-xml/ios/pnp/configuration/xe-3e/pnp-xe-3e-

24、book.html?referringsite=RE&pos=2&page= HYPERLINK /c/en/us/td/docs/solutions/Enter /c/en/us/td/docs/solutions/Enterprise/PluH-and-Plav/solution/Huidexml/bpnp-solution-guide.html#concept4A3D8AD59EAE4339B5E7FC7DA73C3594 HYPERLINK http:/www.cisco.eom/c/en/us/td/docs/solutions/Enterprise/Plug-and-Play/so

25、ftware/video/ http:/www.cisco.eom/c/en/us/td/docs/solutions/Enterprise/Plug-and-Play/software/video/cisconetworkplugnplay.html?referringsite=RE&pos=5&page= HYPERLINK /c/en/us/td/ /c/en/us/td/docs/solutions/Enterprise/Plug-and-Play/solution/guidexml/bpnp-solution-guide.html- HYPERLINK /cZen/us/td/doc

26、s/solutions/Enterprise/Plug-and-Play/software/guide/ /cZen/us/td/docs/solutions/Enterprise/Plug-and-Play/software/guide/pnpapicemconfigguide/pnpapicemconfigguidechapter01.html?referringsite=RE&pos=1&page=http:/c/en/us/td/docs/solutions/Enterprise/Plugand-Play/solution/guidexml/bpnp-solution-guide.ht

27、ml HYPERLINK /cZen/us/td/docs/solutions/Enterprise/Plug-and-Play/solution/guidex /cZen/us/td/docs/solutions/Enterprise/Plug-and-Play/solution/guidexml7bpnp-solution-guide.html3SD-Access(SoftwareDefineAccess)S-Access功能主要實現功能如圖所示：DNA控制器即企業SDN控制器提供GUI管理與抽象認證服務：外部認證系統，動態終端到組的映射與策略定義分析引擎：外部數據收集，終端到應用流監控與

28、服務狀態監控。3.1管理界面管理地圖地域可以是：區域樓棟區域分為：區域1區域2樓棟樓層添加新的樓層到樓棟并且更新地圖定義樓層屬性-邊界，區域以及障礙物中:阿|FlM-irpIfin7Ciriri口avWbfimThickWail2/iewDirtiftnSiieS.Afqki7War*口口目口FfoorUlonirFiaiimd:rstVrJjidiEnasdnnniiei1(jfnimnoi/LjiiilmQMe樓層的AP位置標注區域改變時自動引出配置更新AAA,DHCP,DNS,NTP,服務器配置管理收集器例如：Syslog,Netflow&Trap接收器在地域/區域/樓棟所有屬性被繼承以

29、及重寫0IPAddwaSharadSacracCiSM-COffllPfwntFn.i密碼配置符合標準Norfri%&與由門uominiN$nw0IPAddwaSharadSacracCiSM-COffllPfwntFn.i密碼配置符合標準Norfri%&與由門uominiN$nwOdcStlonalMlGP設備證書：管理設備證書(CLI),SNMP讀寫證書以及Https(s)證書在地域/區域/樓棟所有屬性被繼承以及重寫將定義在將定義在Infoblox中的IP池拉至UDNACenter里EKiOssjUSRsgionEKiOssjUSRsgion/dmnLdt|比陋1bEMWr聞EREdtIg

30、atSWPCrederdislsCKBUMfli1巾AuhPrtvscyIEHpglnnAdmin3mtw3號煙選5Fdt|DaImaHTTpMCredemlalsNomaUawhbmnLGRegtriJuimti匈Edt|DeteieIP地址管理本地管理內部IP地址池管理存儲與查看IP池狀態在Parent/Global級別下定義通用IP池從Parent池分配地域級別池可用IP池類型：通用，LAN,管理，服務，WANInfoblox集成在DNACenter里定義Global級別的IP池并推送到Infoblox里軟件鏡像管理可視化軟件鏡像，對于給定的設備類別包含：所有鏡像鏡像版本號使用一個特定版

31、本鏡像的設備數鏡像倉庫集中存儲軟件鏡像，VNF鏡像以及網絡容器鏡像；DMAcemer自動下載,部署fihirFImiCDrGlrnage/5MU與更新軟驕競像FnmiiIrangHMaimIlKlnoilimgnniJcinid島.亡hiviJlfRi(YHU以ngwImlid島.亡hiviJlfRi(YHU以ngwIml、-UhkMftHeQiH.DvV1fiKHTUDiQ0卦鼻咽匚總國仁時祈航ER9Q-JIM-FcmSfiUN*pqaruiaEkj/pa1*CMoENpTEmceM廿rr卜配猱ifGMiuMMBLCLUlii5klMcmu蟲O5CUUiufilpulAIR-GT5S30*f

32、l-FY-r.4.iK.ai3r44unirijHU.BLD_S,1iBg_TlffiOB|0與huv*n，抵方d6nm管理軟件鏡像SoftwareMaintenanceUpgrade(SMU)軟件維護升級從以下地址載入鏡像：CURL(http/ftp)其他網絡設備遠程文件服務器本地文件服務器來分發軟件映射到區域級別的的文件服務器ImportImage/SMUasrlDOix-unim電力唔刀LD_V1&6_THR01TLE_LATEST_20170?1B_081032_V166_O_233,SSA.blnEnterURLtocolloctimagehft#orfipMarkGolden?曲力

33、RTTOJTingt*wsM即日麻口片丁修叫3CW*壯犍匕。EEwMf即rfthr5Wn丹用CloseImport軟件維護升級在DNA-Center中的SMU詳情設備影響-啟動/暫停設備系列：每個設備系列U（包括路由器，交換機和WLC）一個GoldenImage設備角色：在同一系列中的設備根據角色分類，比如CAT3850作為一個接入交換機還是分布式交換機地域映射：地域層次提供goldenimage重寫，比如美洲人使用V16.1版本還是亞太地區使用V3.8版本。不符合GoldenImage的設備PiSIqPnsltiniInvefilDiy(9J口匕行一感，例居QmtwDcsigr*3MM.迎蘭

34、tonIPAJniW.IIA471時不符合GoldenImage的設備PiSIqPnsltiniInvefilDiy(9J口匕行一感，例居QmtwDcsigr*3MM.迎蘭tonIPAJniW.IIA471時WIJR-raii內置適應生檢迎r自動標記費備ms9“IDIftiW.TDKCCli!MSHftewHS-IB口3癡Em使用DNACenter的SWIM/SMU工作流1.選擇需要更新鏡像/SMU的設備DNACenterDNACenter的無線配置工作流程2.自動預檢查RAM&Flash,并且如果預檢查失敗就中止DNACecwr曲的用.必蜒DNACecwr曲的用.必蜒nInwrrlnry(f

35、l)Ura554QneclDmncesTargetInageTargtVarsItMiTM琳HE酎SumW3A110.1.CCMiraWQ.524MB,77MB4.3.升級過程中的詳細狀態信息，SMU激活前后檢查帶詳細日志信息-CPU,硬盤空間，路由匯總，在鏡像升級或前后檢查失敗時，提供失敗原因并回溯。imageuagrzcietari$r440Q-univrsalkg,BLDl的-THROTTLEjUfftSTZO170E1ajBIT56(LZ33,SSA.m力：Jun21201705:49:31Oh：25m:3ZsSuccessfulaDistributeOperation.SlwScri

36、ptsDistrbudcnof:rraoe：isr440O-universaIkS.BLD.VI66.THROTTLE_LATEST_20170&1.061032_V1S_6_0_233.5SA,binandevice:IQ.13,249.33completedsuccessfully.ActivateOperation/ActivartiDnofinage:sr44OC-univarsaIk9,BLD_V166_THROTTLE_LATEST_20170fifB_0B1O32_V1fi_6_0_233SSA.binondevice10194,249.33compleiedsuccessful

37、lyDistributeOperationdShowScriptsDiiitributicfi口.usage.isr440O-universaIk9.2017-06-19_10.C4_eoaDcuts.1,CSCvg73517.SSA.smu.bircriacr/ice:3complslodsuccessfjlly.DistributeOperation*/She性ScriptsDistributionofmace：ieM400-umversalk9.2017-06-19_10,C6_eoapcbiB.3.C5G20.55dsmuu】dej.eo:W1042dg33comntetedsuccp

38、ssfjlySMUActiuatEOperation.H汨口Strip怛SMUArtivatinnofimageisr44OO-universaIk9,2017-06-19_10,C4_&p3pcts.1C5CV&73517,35Asmu5ron.W104.249.33comp3eienhiOrwwftAlpliaLEVEL白F百目H.HTYPEN9WFA2tNILHFHTbPENMe-scsecure：MoresecureMe-scsecure：MoresecureLessrsecure:Pnqvidg-5追higherluvqlPnqvidg-5追higherluvqlgFswurity3

39、ngEAP住1口2ikloSKithenbcaleu1lxnzereworkijfierswish啟心in&l己RADIUSscrvnr1中不如5gx?dcocunilyij5ing追qr(PSK)ioeuth&iriticateireiesagrtnecb力nsPnqviclQ導nococunly無線接口配置，映射動態接口到VLAN。全域確定一次配置，它的葉節點與地域會自動繼承配置。川i“|mCISC口DNAC川i“|mCISC口DNAC岳ntaDs5ignPcilicvProvisioriadminImEffaces1AddWLANIDWLANIDSfa?wni)Ig1#1RF配置：開箱即

40、用的RF配置，可以為2.4與5Ghz客戶端，數據速率定制DCA頻道網絡配置基于意圖的樓棟繪制包括：路由器與WLC的標準化配置只需要創建與繪制一次就能給多個地域使用可以是一個全分支辦公室或獨立設備的藍圖可以根據網絡中設備的角色或位置提供標準配置。維護網絡的繪制到部署的網絡單元的映射網絡配置文件的版本管理來跟蹤變化。公司辦公室遠程分支辦公iTffmQEgjfIIAccessrouterMlan步驟如下：1.Fabric/NonFabric選擇，本地與集中交換，一個單獨的網絡配置可以關聯到多個地域來達到配置標準化。比*DNACenterDesignPnlcyFYmisranadiriiiEdIJet

41、rlcPmfileCancelmeMcfre11vrelessSSIDAdriS：iDT,pfl5511nTriflte5Mr，m咐AmIanAphaQLuaMliVJVjOukimimefface2.管理WLC:使用CDP/IP發現WLC,使用SNMP&CLI證書關聯WLC,查看設備清單的詳細信息。嘿比,DN4Centercrulc#Inuanti3y網rwh+ArtJDcwc氏*卜wnlWWE9GM事題tWil!9ML上心明3海4.11QI.i1-Jfl22.W謂W5&idSCM2fcHi將WLC分配給地域以上步驟配置完，會自動進行如下配置。Global設置包括AAA配置WLAN創建包括創建SSID與動態接口創建CgtitrollrcI5COMOWITDR帆期1CWMTRM-tERWNEISE