人民银行业务网广域网SDN应用实践

李 坚

（中国人民银行武汉分行，湖北武汉 430071）

一、概述

武汉分行湖北全辖业务网广域网采用核心、汇聚、接入分层的网络架构。县支行作为接入层通过专线至地市中支进行汇聚，再接入作为核心层的省级数据中心。随着网络技术的快速发展和业务承载量的逐步增大，这种传统网络架构的弊端也日益显现。

为解决传统网络架构的痛点，简化运维难度、节省运维成本，满足未来“数字央行”建设的需求。武汉分行在保持现有物理拓扑结构情况下，开展了业务网广域网由传统架构到广域网软件定义网络（SD-WAN）的改造实施。新上线的SD-WAN系统基于全局视角，通过统一整合辖内广域网网络资源、多角度观测网络运行状态、对运行数据实施智能分析，实现对湖北辖内业务网广域网网络运行情况的多层次、全方位可视化显示，并根据用户策略和业务连续性保障需求实现网络流量集中管控、全局调度、实时优化分流，提升网络运维管理智能化水平。

二、业务网SD-WAN系统架构

（一）业务网广域网网络架构

武汉分行SD-WAN控制器通过分三级进行纳管武汉分行、分行营业管理部及湖北辖内12个地市中支（含营管部）、67个支行的路由器（路由交换一体机），构建SR（Segment Routing，分段路由）网络架构；梳理分析武汉分行业务数据流，定义业务分组，对重要业务进行实时流量调度和QoS保障，保障业务的连续性；网络拓扑及业务的可视化，实时呈现网络设备和业务的健康程度，提高运维效率。各广域网网络设备接收SD-WAN控制器控制和管理，支持SNMP、NETCONF、BGP-LS、OpenFlow等协议，和Controller进行通信。同时在转发层面进行优化，支持Segment Routing、Openflow硬件转发。

（二）SD-WAN控制器架构

SD-WAN控制器基于开源ODL平台开发，具备支持各类APP集成的能力；根据广域网不同业务场景开发，满足用户的实际需求；南向基于标准协议与硬件设备互通；北向面向用户提供定制化的API接口，实现与编排系统的集成。通过调用APP提供的API接口，实现对各类业务的策略定义和管理编排，以及对辖内业务网广域网的实时监控、可视化呈现、故障排查等，进而简化网络运维管理。系统整体如图1所示分为南向接口、ODL、ADWAN APP、北向接口四个逻辑平面，各逻辑平面详细介绍如下：

图1 SD-WAN控制器架构

南向接口平面主要用于控制器与设备信息的交互、控制器采集网络信息、控制器下发业务转发信息等功能。

ODL平面又称为控制器平台层，提供基本网络服务功能模块，包括拓扑管理、统计管理模块、转发管理模块、主机追踪模块、ARPHandler模块、交换机管理模块。

ADWAN APP平面：又称控制器功能层，基于ODL平面的基础数据库生成面向运维人员的APP功能，以便提供新一代智能运维、管控、可视等方面的需求。

北向接口平面提供面向业务的RESTful API接口，第三方系统通过调用这些API接口，就可以很方便将ADWAN丰富的网络能力集成进来，而不用关心网络技术细节和设备上的差异，从而能更多的聚焦用户业务编排和创新上。

三、主要做法

（一）完成广域网设备硬件更新及软件升级

武汉分行经过多年的前期准备，分步实施网络设备替换工作，先后更新分行下联路由器、地市中支核心路由器及支行骨干路由交换设备，确保硬件设备均支持SDN。在此基础上经厂商实验环境严格测试，确认了网络设备最终适用的操作系统软件版本，并完成湖北辖内业务网路由器（路由交换一体机）的设备Comware软件升级，为广域网SDN正式实施提供基础设施支撑。

（二）SD-WAN功能实施

1.增加网络配置。

由于湖北辖内业务网路由器设备均需纳管到SD-WAN控制器上，需要设备能注册到控制器上，由控制器进行统一管理；因此在所有需要SDWAN控制器管理的路由器上配置SNMP、BGP、Netconf等功能。在引入路由至SD-WAN网络时，为防止路由环路，避免使用直接引入方式，通过network方式发布路由。

2.SD-WAN控制器部署。

梳理湖北辖内各类业务系统涉及的数据流，在SD-WAN控制器上对数据流进行匹配实现对湖北辖内网络设备的纳管。通过构建辖内网络拓扑，并开启智能化、可视化、自动化功能，使其物理网络结构、逻辑网络结构、业务流以及管理数据流向直观的投射在SD-WAN控制器上。

四、实施成效

（一）实时保障业务连续性

在传统网络架构下，如某条广域网线路出现时延过大、抖动过大、线路拥塞、丢包率高等问题，路由层面无法动态感知底层链路质量，数据流到达设备后依然将数据流由故障线路转发，必然造成相应业务不稳定。部署SD-WAN后SDN控制器能实时感知底层网络时延、抖动、带宽、丢包等情况，通过智能分析广域网线路质量，实现业务数据流的智能调度，通过优化数据流转发路径实时保障重要业务的连续性。

（二）提高运维效率

传统网络运维依靠网管软件等方式辅助运维人员进行维护，运维效率受限于个人能力差异以及响应时效等因素。特别是网络业务割接或者故障处理时，往往因为运维人员个人经验以及能力等原因影响割接或处置进度，最终导致严重后果，增加运维的负担。此外，在进行某个新业务的全网部署往往需要进行全网业务配置、发生安全问题需要进行快速端口控制、进行特定业务管控配置下发与收回等场景下，传统的配置手段往往耗费大量人力且易出现人为故障，采用SDWAN技术可以通过业务配置自动化部署，降低操作失误风险，缩短上线周期，减轻运维人员工作量。当网络出现故障时，SDN控制器可实时查看网络设备和业务流量的健康状态，还可采用历史图表、报表的方式对广域网链路质量和业务健康状况进行分析，缩短故障处理时间，提高运维效率。

（三）提高主备线路的利用率

传统网络环境下为保障分行重要业务，通常采用分流及QoS的方式实现业务流在广域网上主备线路的负载均衡，在实际的运维中往往会出现这样的情况，比如当广域网某条线路拥塞时,QoS通过尾丢弃的方式丢弃部分数据包，然而此时另一条广域网线路可能负载不足20%；在SD-WAN环境中，可以通过自动化方式，快速开通或调整业务，提高大量网络节点的业务管控效率，可动态或手动操作的方式实现业务流到不同广域网线路上进行流量负载，从而提高广域网线路利用率及业务体验。

（四）实现业务可视化

由于人民银行分支机构主要租用运营商MSTP线路组网，运营商传输往往会提供环路保护，并与用户签订链路质量SLA。一般情况下即使主用链路出现故障还会由环链路保障连通性（当然，也有个别区域因为成本限制，运营商并没有提供传输保护）。一旦运营商链路出现老化（传输层频繁切换链路）、故障（工程施工导致的链路故障，由冗余链路接管），由于用户端IP层应用无法感知底层质量劣化，仍按照IGP的Metric设计值进行转发，如果此时有电视会议、保卫监控视频传输等对网络质量要求较高的业务，即使用户网络设备等信息基础设施均完好，仍会出现视频卡顿等问题，且传统运维方式无法快速满足问题定位、问题复现的需求。通过部署SDN控制器纳管业务网广域网设备，可以实时感知底层网络时延、丢包、抖动、带宽利用率情况，并采用历史图表、报表方式统计，基于软件界面方式方便用户快速查验某个时间段的广域网链路问题，让用户时刻了解网络整体健康状态。通过业务可视化，实时呈现业务的健康程度。不仅能满足运维管理人员对业务的连通质量进行掌握需求，更能监控到各业务的流量带宽占用，方便后续广域网链路提速扩容。一旦业务出现问题，运维人员可以快速识别和排查故障，让网络更易于运维。