DCN笔记速记--02

二、补充知识点（无题号）

统一模型 / 分层

  • 应用层和控制层间用 Restful 接口通讯。
  • 在 CloudFabric 方案架构中，网络控制层指 nce-fabric 所在层次，它需要和网元对接，网元也可以是服务器上的 CE1800v 这种虚拟网元。
  • nova 负责计算资源管理；cinder 负责块存储管理；neutron 负责网络资源管理。
  • 计算资源架构层级由上而下依次为：Region, AZ, HostAggregate。
  • 控制器通过 SNMP 发现和获取物理设备的信息；通过 NETCONF 向物理设备下发配置；通过 OpenFlow 向物理设备下发流表，用于在运维功能中构建探测报文。

NCE-Fabric 接口 / 协议

  • gRPC 是 nce-fabricInsight 分析器与网元之间的协议，而非控制器与网元之间的协议。
  • 使用 SNMP 与 gRPC 与物理设备通讯，是 iMaster NCE-FabricInsight 分析器和物理交换机之间运行的接口协议。
  • ERSPAN 是镜像协议；gRPC 是 telemetry 机制中使用的协议；Netconf 是配置管理协议；syslog 是日志协议。
  • iMaster NCE-Fabric 基于 NETCONF/YANG 将配置下发到网络设备。
  • 在 cloudfabric 解决方案中，nce-fabric 不支持通过 openflow 给物理交换机下发业务，仅用于路径探测；但 openflow 可以给 ce1800v 下发配置。
  • iMaster NCE-FabricInsight 整体架构分为三部分：网络设备、采集器和分析器。
  • nce-fabric insight 可以管理华为 CE 交换机、NE 路由器及部分第三方设备，对第三方设备的支持仅限于 gRPC 的 KPI 数据统计，故障定位等功能不支持。
  • iMaster NCE-FabricInsight 是基于华为大数据平台构建，接收多种网络设备上报数据，运用智能算法分析，快速发现故障并实现故障快速定位。

云网联动 / 对接关系

  • 域控制器是指 DC 内的 NCE-fabric。对接 openstack 云和 vmm 由 NCE-fabric 完成。MDC 仅需和每个 DC 的 NCE-fabric 对接即可。
  • 计算联动场景中，nce-fabric 和 vmm(vcenter) 通过 webservice 接口对接，当 vm 上线后，vcenter 通过 webservice 报告事件给 nce-fabric。
  • 计算联动场景下，NCE-Fabric 是和虚拟化平台联动，不是和云平台联动。
  • CloudFabric 网络虚拟化场景中，没有云平台的直接参与，网络业务和计算业务间需要通过其他业务流协同，网络管理员和计算管理员通过协同完成新业务的部署或调整。
  • 计算管理员与网络管理员分别独立完成计算和网络的业务发放，并协商互相配合的方式。网络控制层不需要和 VMM 交互指令。
  • 在 MDC 的统一逻辑模型中，使用 Logic Router 映射为 AWS 的 VPC 路由表，一个 Logic Router 映射为一个 VPC 路由表。
  • 一个 Transit Router 映射为一个 TGW route table。
  • 在云端每创建一个 VM，VPC 中会有一个逻辑端口和其对应；云网一体化场景中，一个 VPC 对应一个路由器。
  • 两个 vpc 互通需要到 NCE 上进行二次编排，开源 openstack 不支持编排 vpc 互通。原因：openstack 上创建的路由不能下发到底层网元，需到 nce 上直接对 vpc 互通做编排；因 openstack 是开源产品，不能和华为 nce 的网络模型完全匹配。
  • 在 openstack 上编排时，每个路由都需要连接到外部网络。

VAS / 安全 / SecoManager

  • SecoManager(注意大小写) 是安全控制器，和 nce-fabric 融合部署，用于安全 VAS 设备下配置。
  • seco-manager 仅能纳管华为的设备，所以华为的 FW 仅能被 seco-manager 纳管。
  • 防火墙与 secomanager 之间的协议有：netconf 和 snmp；fw 不支持 netstream 和 openflow。
  • FW 的业务可以通过 SecoManager 自动下发；华为 VAS 设备可提供安全服务（见题 262）。
  • 集中式 VAS 资源池是指在业务 Fabric 区域外建设独立的 VAS 资源池，各 Fabric 共享资源，使资源利用最大化。
  • 租户自带网关场景，租户是可以有自己的 VAS 增值设备的。
  • 互访的两个 VPC 的虚拟防火墙分布在两个不同的物理防火墙上，流量双边过防火墙，两台物理防火墙接入不同的 Service Leaf 时，需要创建两个不同的互通 VRF。

微分段 / 业务链

  • 业务链有 PBR 和 NSH 的两种方式。
  • SPI：Service Path Identifier，业务链路径编号，标识一条业务链；SFF 根据 SPI 确定具体业务链，根据 SI 确定转发给该业务链上的具体 SF。
  • SI：service index，业务功能索引，可以通过 SI 值计算出当前经过第几个业务功能点。
  • 业务链和微分段不能同时在 leaf 交换机上启动。
  • 微分段"微""分段"：分段指按规则划分子网络、子网络间隔离；微指分段粒度更细，可基于 IP 地址、IP 网段、MAC 地址、VM 名、容器、操作系统等实现分段。
  • Plug-in Agent 部署在每一个运行 Hypervisor 的主机上，提供本地虚拟交换机配置。

无损网络 / PFC / ECN / RoCE / 拥塞控制

  • PFC 死锁（PFC DeadLock）：当多个交换机之间因环路等原因同时拥塞，各自端口缓存消耗超过阈值，又相互等待对方释放资源，导致所有交换机上数据流永久阻塞的网络状态。
  • xon 是反压停止门限；xoff 是反压触发门限；反压触发门限必须高于反压停止门限。
  • PFC 反压停止门限不是按照概率来发送的。
  • 死锁在恢复阶段是忽略 PFC 反压帧的。
  • 为了避免死锁，在开启 PFC 的接口上必须同时开启死锁检测；为预防死锁，需要在上行链路开启预防功能，通过检测钩子流实现。
  • NPCC、AI ECN 都属于拥塞控制技术；PFC (port-based flow control) 属于流控技术。
  • ECN 拥塞标记使用 IP 报文头部中的 ToS 字段的最后两比特。ECN 含义：00-非ECT；10-ECT(0)；01-ECT(1)；11-CE(发送拥塞)。
  • ECN 在低和高阈值之间设置，越接近高阈值，标记量越大。
  • 802.1Qcz（CI，拥塞隔离）由华为主导，为解决 PFC 头阻问题（HOLB）新定义。
  • RoCE v1 基于以太网，仅支持同一广播域；RoCE v2 基于 UDP，可跨 IP 网段路由；没有基于 TCP 的 RoCE。
  • RDMA 需要服务器网卡支持 RoCE；RDMA 是减少 CPU 负载的。

NoF / 存储

  • NoF（NVMe over Fabric）包括：NVMe over FC、over TCP、over RDMA。
  • NoF 需要主机服务器操作系统支持并安装 NVMe 驱动。
  • 华为 CloudFabric NoF+ 解决方案基于 NVMe over RoCE，实现高吞吐、低时延、高可靠的高性能存储网络，兼具 FC 可靠性与以太网开放性、高性价比，可支持第三方存储。
  • NoF+ 集中式存储组网方案：单级（小规模）、两级（中大规模，Leaf+Spine）、三级（大规模，Leaf-Spine-Leaf）。
  • 存储网络类型分为 DAS、SAN 和 NAS：DAS 直连服务器；SAN 专用于主机和存储设备之间访问；NAS 通过 NFS/CIFS 提供文件访问服务。
  • FC 存储网络需用 FC SAN 交换机，而非以太网交换机构建 SAN。
  • RAID1 把一个磁盘中的数据镜像到另一个磁盘；RAID 不能提高单个硬盘的可靠性。

VXLAN / Overlay / Underlay

  • 跨网段通讯使用 L3 VNI；前缀路由跨网段通讯仅用 L3 VNI，无 L2 VNI（L2 VNI 用于同网段通讯）。
  • L2 VNI 用于 VXLAN 报文同子网转发，不同 BD 用相同 L2 VNI 也可实现二层互通。
  • VXLAN 网络中 BD 是本地概念，不同 Leaf 上不同 BD 只要 L2 VNI 一致，就可认为处于同一大二层广播域。
  • 对连接在 VXLAN 隧道端点之外的设备，Underlay 网络是透明的；Underlay 与 Overlay 逻辑隔离，只要隧道端点间路由可达，Underlay 故障不直接影响 Overlay。
  • Type2、Type3、Type5 路由都可触发 VXLAN 隧道建立。BGP EVPN 是 VXLAN 控制平面协议。
  • 在同一个物理网络中需同时配置 Underlay 和 Overlay 的 RP。VRF 不是 vxlan 专有概念。
  • Multi-Site 实现 Site 互联三种方式：Segment VXLAN、L3 Underlay、VLAN Hand-off。L3 Underlay 方式：Fabric 间三层互通，通过 IGP/BGP 打通业务网段路由，在 Fabric Gateway 直接解封装 VXLAN 报文走 Underlay。

OpenStack 组件

  • Service Plug-In 提供 L3-L4-L7 服务；Core Plug-in 提供 L2 服务（Network、subnet、port 等二层网络服务）。
  • Ironic 负责裸金属服务管理。nova-scheduler 默认以计算节点空闲内存量计算权重。
  • Nova 调用 Neutron 的 API 创建 Port，是 VM 挂接到 vSwitch 的虚端口，包含 HostID、虚拟机 MAC/IP/VLAN 信息。
  • 网络节点往往和控制节点部署在一起，所以不正确是服务节点。
  • Glance 提供发现、注册和检索虚拟机镜像功能；Swift 一般用于存储虚拟机镜像、数据备份等。
  • subnet 和 network 的关系是 n:1，一个 subnet 必须关联一个 network。
  • 华为 FusionSphere 模型不支持 Share 模式，开源 OpenStack 模型中有此元素。
  • 原子 API：最基本的功能配置，如通过 API 创建 Eth-Trunk、配置接口 IP 地址、配置 VLAN、配置静态路由、配置日志主机地址。

容器 / 虚拟化

  • 容器镜像仅含运行应用必需依赖（可小到几十 MB、几 MB）；虚拟机镜像还需 Guest OS 内核（通常几百 MB）。虚拟机的隔离性更强；容器是操作系统级虚拟化。
  • DVS 可保证虚拟机迁移前后网络配置和策略一致。相同 DVS 相同 VLAN 相同主机在服务器内部直接通信；不同 VLAN/DVS 需物理交换机通信；不同 DVS 但相同 VLAN 端口组的 VM 不能直接经 DVS 通信。
  • Felix 主要存储 calico 元数据并作为 calico 各组件通信枢纽。Calico L3 路由方案不是纯软件方案，需要物理交换机。

业务自动化工具

  • Runbook 回滚模式：原子回滚（一个对象失败则整体失败，无变化）；尽力回滚（租户回滚分多个并行操作，互不影响，支持失败重试）。
  • AOC：以 YANG 模型驱动为基础，纳管异构网元，实现业务下发。
  • 设计态：在"业务仿真 APP"中做 VPC 编排、仿真验证，下发到设计态数据库，不真实下发；提交后才进入生产态下发设备。
  • 带内组网需根设备（已被纳管、作为待上线设备 DHCP Relay），带外组网不需根设备。
  • 华为 NCE-fabric 在网络虚拟化场景中，不支持对 3rd VAS 的业务自动化编排。

多DC / MDC / 容灾 / 混合云

  • 混合云方案基于 MDC，聚焦 VPN 和专线两种互通方式，对公有云、私有云统一模型、编排、运维；不支持第三方。
  • 两地三中心容灾：一个生产中心、一个同城灾备中心、一个异地灾备中心。
  • project 支持跨 POD 部署；Multi-PoD 时建议 iMaster NCE-Fabric 和中心 DC 设备拉远 RTT 时延 ≤50ms。
  • 主备网关场景，DC 间流量都通过主网关出去，即使主墙故障。Border leaf 主挂，流量经备访问外网。

并行计算 / AI / HPC

  • 常见并行编程模型有消息传递、共享存储和数据并行等。
  • 智能无损网络通过 AI Ready 硬件架构及应用 AI ECN 等无损特性。

其它

  • 不推荐 server leaf 融合部署，但可以和 spine 等设备角色融合部署；有些客户场景不需要完整 spine-leaf 结构。
  • fabric 的 OSPF 设计：fabric 是 OSPF 非骨干区域，fabric 之间为 area0 骨干。
  • iMaster NCE-Fabric 单路径发送的是单个探测报文。
  • 动态负载分担有三种模式：Eligible、Spray、Fixed。
  • iMaster NCE-Fabric 承载部分运维能力：网管、路径探测、网络可达性校验、故障 1-3-5 闭环。

三、论述题（8848版）【笔误已用【】标注】

第一题：数据中心网络基础知识

1.1 M-LAG

1.1.1 M-LAG 相比于堆叠有什么优势？答：堆叠 iStack 指多台交换机用堆叠线缆连接，逻辑上变成一台设备整体转发。M-LAG（跨设备链路聚合组）是一种实现跨设备链路聚合的机制，将 SwitchA、SwitchB 通过 peer-link 连接并以同一状态和 Switch 做链路聚合协商，把可靠性从单板级提高到设备级。相比堆叠的优势：

  1. 1.     两台设备分别升级，保证一台工作即可，对运行业务几乎无影响；
  2. 2.     成本低，不需要专用堆叠线缆；
  3. 3.     兼容性好，支持不同型号和品牌，组网灵活；
  4. 4.     可靠性更高，控制面独立、故障域隔离。

1.1.2 Lab中CNA3单归连在Leaf1B上，访问CNA3的流量到Leaf1A时能否正常转发？有何问题？答：可以正常转发。三层流量：到 Leaf1A 查实例路由表进 BD，经 peer-link 转发到 Leaf1B 到达 CNA3，回程直接由 Leaf1B 转发，造成来回路径不一致；二层流量同理，同样造成来回路径不一致。

1.1.3 Lab中若Leaf1A上行down，流量到Leaf1A有何问题？怎么解决？答：未部署 monitor-link【原文笔误 morlink-link】时，流量到 Leaf1A 经 underlay 逃生链路/peer-link 到 Leaf1B 转发，造成次优路径；部署了 monitor-link 时，上行 down 联动下行 down，流量直接经 Leaf1B 转发，无次优路径。

1.1.4 若peer-link也down，流量到Leaf1A如何转发？怎么解决？答：未部署 monitor-link 时，流量到 Leaf1A 后上联、peer-link 都 down，DAD 心跳中断出现双主，流量直接丢弃；部署 monitor-link 时，上行 down 联动下行 down，流量直接经 Leaf1B 转发。

DAD链路和peer-link链路的作用答：DAD 链路又称心跳链路，是三层互通链路，用于主备间发送双主检测报文，避免 peer-link 故障后出现双主；peer-link 用于传输 DFS-Group 报文、同步报文、MAC 表和 ARP 表，并转发跨设备二层流量。

Leaf1A和Leaf1B之间的DAD链路是哪一条？答：二者用 loopback1【原文笔误 lookback1】建立 DAD 链路，用业务网转发 DAD 链路流量。

DAD链路是否参与转发？答：不参与。

部署m-lag设备组通常伴随部署monitor-link和逃生链路，这样部署的场景是？答：设备上线链路全部 down 时通过 monitor-link 联动下行 down，切到另一台 Leaf；设备上行链路全部 down 时通过 Leaf 间逃生链路转发给另一台 Leaf。

m-lag设备间物理链路不够用时如何部署逃生链路？答：逃生链路复用 peer-link，逃生路由指向 peer-link 相应 VLAN 的 VLANIF 接口。

underlay部署BGP、m-lag设备组成员配相同AS号，会有什么问题？如何解决？答：Leaf1A 收到 Leaf1B 路由发现有自己的 AS 号，按防环原则丢弃，导致 Leaf1B 学不到 Leaf1A 路由。解决：在 Leaf 上针对 EBGP 配置 peer allow-as-loop，允许自己的 AS 号出现 X 次不丢弃。

1.2 VXLAN / EVPN

1.2.1 EVPN控制平面协议相比VPLS/MPLS VPN等协议在VXLAN中有什么优点？答：EVPN 能传 Type2 和 Type3 解决同网段通讯，也能传 Type2 IRB 和 Type5 前缀路由解决跨网段问题；为二三层路由提供统一路由协议，数据平面是 VXLAN，VXLAN 工作在 IP 网络之上。

1.2.2 业务流量进入CE交换机，VXLAN报文能同时有L2 VNI和L3 VNI吗？二者区别？答：不可以同时有，只能有一个 L2 VNI 或 L3 VNI。L2 VNI 用于同网段通信，L3 VNI 用于跨网段通信。

1.2.3 EVPN Type3路由携带L2还是L3 VNI？建隧道靠哪种EVPN路由？有哪些场景？答：携带 L2 VNI；靠 Type2、Type3、Type5 建隧道；Type2/Type3 建立二层隧道，Type5 前缀路由建立三层隧道。

1.2.4 VXLAN中两个VTEP下接同一个SW出现环路，怎么解决？答：将两个 VTEP 配置成相同桥 ID，指定根桥，用生成树防环。

1.3 微分段 / 业务链

1.3.1 相比传统ACL和VNI两种隔离技术，微分段怎么工作？答：微分段是基于精细分组的安全隔离，把服务器按原则分组、基于分组部署流量控制策略，简化运维、安全管控。传统基于 VLAN/VNI 的子网隔离只能隔子网间、不能隔同一子网内不同服务器，且子网共用网关时也无法隔离。微分段提供比子网更细的分组规则（如 IP 地址/IP 段），只需按规则把 VXLAN 网络中服务器分组、基于分组部署策略，即可实现服务器间隔离。

1.3.2 EPG怎么在VTEP间传递？答：跨 VTEP 时 EPG 通过 VXLAN 报文头部携带。

1.3.3 同主机2个VM接同一Leaf、用同样软件交换机即可互访，怎么对其应用微分段？答：用 ARP 代理 + PVLAN 实现。

1.3.4 业务链有几种引流方式？区别？哪种会修改原始报文结构？答：PBR 和 NSH 两种。PBR：数据流在每个业务节点做流分类和策略转发，依次经过所有 SF 节点，需大量调用 ACL、对设备规格有要求，现网均支持。NSH：在分类器节点统一流分类和 NSH 封装，按 SPI、SI 和 NSH 转发表在分类器/业务转发/业务节点间转发，不需调用 ACL，但需支持 NSH。NSH 会修改报文结构。

1.3.5 业务链和微分段有什么区别？答：业务链是引流技术，把流量引流至 VAS 设备提供 L4-L7 服务；微分段是交换机上实现的安全技术，通过 GBP 策略在最靠近服务器的交换机上做细颗粒安全控制，不需调用 ACL、不需绕行 VAS。

第二题：数据中心网络高阶技术

2.1 容器与 OpenStack 及虚拟化

2.1.1 服务器虚拟化技术与容器技术有什么区别？答：虚拟化提高硬件资源利用率，适用运行多个独立操作系统；容器省去 Hypervisor 和 GuestOS 资源消耗，同硬件下可运行更多实例。区别：①隔离性（容器弱/虚拟机强）；②独立内核（容器无/虚拟机有）；③镜像可移植性（容器平台无关/虚拟机平台相关）；④启动速度（容器秒级毫秒级/虚拟机数秒至数分钟）；⑤运行性能损耗（容器<2%/虚拟机约15%）；⑥镜像大小（容器最小几MB/虚拟机几百MB~几GB）；⑦密度（单node容器100~1000/虚拟机10~100）。

2.1.2 OpenStack与云计算什么关系？答：OpenStack 是云计算系统的基础框架和核心组件，集成并管理多个基础设备，构建成完整云计算系统。

2.1.3 OpenStack与虚拟化有什么区别？答：OpenStack【原文笔误 openatack】管理物理/虚拟化资源、实现池化调度；虚拟化是底层技术，把单个物理机虚拟成多个虚拟机。

2.1.4 OpenStack与容器什么关系？答：二者【原文笔误 二则】相互补充，OpenStack 管理容器，容器是轻量虚拟化，是管理与被管理的关系。

简述OVS、DVS、端口组、上行链路端口组的概念和区别？答：OVS 是开源虚拟以太网交换机；DVS 是分布式虚拟交换机，在物理服务器上创建的软件程序，实现同/异服务器上 VM 间数据交换；端口组用于给 VM 提供网络连接，每个分布式端口组有唯一网络标签，可配 VLAN、负载均衡、流量策略、安全策略，一个 VDS 可有多个端口组；上行链路端口组将上行链路与主机物理网卡映射，决定主机物理连接。区别：OVS 是数据面软件交换机（转发），DVS 是管理面交换机（统一网络配置）。

2.2 NCE 对接

2.2.1 NCE如何与计算管理平台对接并下发计算与网络业务？答：控制器与计算管理平台对接，控制器下发配置给计算管理平台，计算管理平台把 VM 上下线信息通知控制器，控制器下发对应端口配置，实现端到端配置。

2.2.2 NCE如何与OpenStack对接并下发计算、存储及网络业务？答：①租户依托 Neutron 创建网络，Neutron 通过北向插件调度到 iMaster NCE-Fabric 并保存网络定义；②依托 Nova 创建 VM 并接入指定网络；③Nova 调 Neutron API 创建端口（含 HostID、MAC/IP/VLAN 信息）；④Nova 向选出的计算节点 Host 发送创建请求，创建 VM 并绑定 vSwitch 接口；⑤Neutron 检测 vSwitch 端口状态变化，获取本地 VLAN，经北向插件同步给控制器；⑥控制器自动下发二层（LLDP 发现 Host-Leaf 连线，下发 VLAN 与 BD 映射）和三层（VBDIF、网关 IP、关联 VRF）配置。

2.3 无损网络

2.3.1 PFC和CNP如何工作？通知方式区别？答：PFC 为端口设门限，队列超过门限向上游发反压通知停止发包，缓存降到门限下发反压停止报文重新发包，实现无丢包。CNP：转发设备发现拥塞给报文打 ECN 标记（置11），接收端发现 ECN=11 知道拥塞，向源端发 CNP 通知降速。通知方式：PFC 向上游直连设备发反压帧停流；CNP 拥塞点向目标服务器发拥塞通知，目标服务器向源服务器发 CNP 请求降速。

2.3.2 PFC部署会有何问题？如何解决（至少两种）？答：会出现死锁。死锁检测：检测时间内队列一直处于 PFC-XOFF（被流控），判定 PFC 死锁，进行死锁恢复——忽略收到的 PFC 反压帧，内部调度器恢复发送对应队列流量。死锁预防：识别从 PFC 上行口发来、走队列 a 的钩子流（易死锁），Device2 修改该流优先级及 DSCP，使其从队列 b 转发，破除队列 a 的循环依赖，预防死锁。

2.3.3 Host1给Host2发流量超出Leaf2和Host2接收能力，有什么解决办法？先触发哪个阈值？答：在 Leaf2 部署 PFC 流控并开启 ECN 通知。拥塞时 ECN 先触发通知，拥塞加剧再触发 PFC。

PFC 功能及场景答：基于优先级的链路级流控，通过优先级暂停流量实现零丢包；场景为数据中心无损组网，需配合死锁预防，避免频繁触发导致死锁。

ECN 功能及场景答：拥塞控制技术，出现拥塞时转发设备打 ECN 标记，接收端经 IP 报文 ECN 字段感知拥塞，通知发送端降速。场景：①数据中心无损组网端到端拥塞控制；②与 DCQCN【原文笔误 RPC】协同平滑降速避免丢包；③支持 RoCEv2 下 AI 训练。

RDMA 功能及场景答：远程直接内存访问，把数据直接从一台计算机内存传到另一台，无需操作系统介入、不需处理器耗时处理，高带宽、低时延、低资源占用；场景为 InfiniBand 的 HPC 间通讯网络。

RoCE 功能及场景答：RDMA over Converged Ethernet，允许通过以太网实现远程内存访问，是把 RDMA 运用到以太网上的协议；场景为高性能计算和 AI 训练推理网络。

iNOF 功能及场景答：智能无损存储网络（Intelligent Lossless NVMe over Fabric），通过对接入主机快速管控，把智能无损网络应用到存储系统，实现计算和存储网络融合；场景为智能无损存储网络。

ECN门限设置偏低和偏高有什么影响？答：偏低：尽快触发 ECN 标记、维持较低缓存深度，对时延敏感小流有益，但限制吞吐敏感大流带宽。偏高：延缓触发、保障突发吸收能力、满足大流带宽，但拥塞时队列时延大，对时延敏感小流无益。

如何解决门限过低/过高？答：用无损队列的动态 ECN 门限。设备分析转发流量动态调整 ECN 门限，尽量避免触发 PFC 流控，同时兼顾时延敏感小流和吞吐敏感大流。

AI智算网络有几个网络平面，分别有什么用？答：带外管理网络（AI 集群设备带外管理）；业务面网络（系统业务调度和管理）；样本面网络（访问存储区高速大带宽存储系统）；参数面网络（AI 集群分布式训练参数交换）。

RoCE和传统TCP流量哪个优先级高？答：RoCE 高。

第三题：CloudFabric 解决方案

3.1 网络虚拟化和云网一体化场景

3.1.1 网络虚拟化场景（4问）a) 两个 VPC 地址可否重叠？答：可以，两个 VPC 缺省隔离。b) 一个 VPC 可否多个逻辑路由器？如何互通？为什么？答：可以，用 VPC 互通实现，因同一 VPC 内多个逻辑路由器默认隔离。c) 逻辑路由器没连外部网络，两个 VPC 能互通吗？为什么？答：可以，用 VPC 互通实现；无外部网络只影响能否到达该网段，VPC 互通是控制器下发互通网络实现的。d) 控制器上做 VPC 互通编排时地址可否重叠？答：不可以。

3.1.2 云网一体化DHCP激活/不激活对VPC编排的影响？VM如何通过DHCP获得地址？答：DHCP 激活：逻辑交换机创建 DHCP 实例的逻辑端口和用户端口，OpenStack 创建对应 DHCP 实例，VM 自动获取地址上线；不激活：不创建上述端口/实例，VM 手动配置地址。VM 实例属计算节点，DHCP 实例属网络节点；在一 VTEP 下经 BD 交互，不在同一 VTEP 时两 VTEP 间经 VXLAN 传 DHCP 报文。

3.2 FW 业务 VPC 互通场景

3.2.1 Vsys与VRF是路由编排目标，列出4种有互通VRF的场景。答：①双边过墙：Service Leaf 同设备组；②双边过墙：Service Leaf 不同设备组；③单边过墙：Service Leaf 和 Border Leaf【原文笔误 boederleaf】同设备组；④单边过墙：Service Leaf 和 Border Leaf 不同设备组。

3.2.2 两个VPC互通有哪几种方式？答：两 VPC 在同一个 FW 或 Border Leaf 时可用静态路由互通；不在同一个 FW/Border Leaf 时需用其他互通网络。

非对称IRB和对称IRB如何转发？答：非对称：源 VTEP 同时做 L3、L2 查表转发，目的 VTEP 只做 L2 查表，源/目的操作不一致；对称：源 VTEP 同时做 L3、L2 查表，源/目的操作一致。

对称IRB跨子网用的RT是EVPN RT还是传统IP vpn-instance实例RT？答：IP vpn-instance 的 RT。

ip vpn-instance中的vpn-target vpn evpn的作用？答：使 IP vpn-instance 可收发 EVPN 路由。

华为设备用非对称还是对称IRB？答：对称 IRB。

VRF之间互通有几种方式？答：静态路由泄露（VRF 加静态路由指向另一 VRF 接口/地址）；动态路由泄露（MP-BGP 用 route-target 在 VRF 间导入导出）；策略路由（按源地址强制把流量从一个 VRF 转到另一 VRF 或全局路由表）。

3.3 ZTP 与编排

3.3.1 带内ZTP部署underlay，临时IP与管理IP须同网段吗？临时IP作用？答：带内管理方式上线不能在同一网段。临时 IP 用于设备在未配置前向控制器认证，通过 SFTP 下载配置和拓扑文件。

3.3.2 带内管理上线哪个设备先上线？中继需要NCE下发配置吗？中继位置变吗？答：Leaf2 先上线；上线 Spine1 时 Leaf2 作中继，上线其他 Leaf 时 Spine1 作中继。

带外管理上线时临时IP能否与管理IP重复？是否需要中继？答：网段可重复但 IP 不能冲突；DHCP 服务器 IP 与设备临时 IP 同网段则不需中继，否则需在带外管理交换机配置中继。

计算联动场景中控制器通过VMM向计算管理平台下发哪些内容？答：将 VPC 中逻辑交换机的 VLAN 信息给 VMM。

云上项目、路由、网络、外部网络对应控制器上哪些资源？答：项目→租户，路由→逻辑路由器，网络→逻辑交换机，外部网络→外部网关。

控制器上逻辑资源对应设备上什么内容？答：逻辑路由器→VBDIF 和 IP vpn-instance；逻辑交换机→BD；外部网络→交换机出口 VRF、防火墙出口 VSYS；逻辑端口→业务接入二层子接口；用户端口→VM 或物理服务器。

云上编排外部网络或路由编排出错时怎么解决？答：检查控制器外部网关名与 OpenStack 名是否一致，OpenStack 对应 NCE 是否添加了所有 Fabric。

计算联动通过NAT访问外网，VPC上哪些网元需手动编排？答：逻辑路由器、逻辑交换机、逻辑 VSYS、外部网关。

哪些是计算联动自动下发的？答：逻辑端口和用户端口。

VMM怎么实现端口组？答：控制器把 VPC 中逻辑交换机对应 VLAN 推给 VMM，VMM 给对应 VLAN 创建 PortGroup。

端口组有哪些元素组成？答：租户名称、逻辑交换机名称、分布式交换机名称和 VLAN ID。

控制器操作日志出现层次化报错有哪几种原因？答：计算节点主机没开启 LLDP 协议；控制器没同步发现交换机上的链路信息。

控制器和OpenStack配置不一致如何解决？答：先查 NCE-Fabric 与云平台数据是否一致，确认不一致原因；若 NCE-Fabric 数据有误可修复。创建/更新数据不一致：推荐在云平台更新业务，其次用北向一致性对账功能修复；删除数据不一致：可用北向一致性对账修复，也可用第三方工具调用接口删除。

第四题：数据中心外联与网络安全

4.1 BGP / 外部网关

4.1.1 Underlay和Overlay都部署BGP，NCE-Fabric如何知道overlay配置下发到哪个BGP实例？答：设备有两个 BGP 时，带实例的 BGP 是 Overlay 所用，控制器向带实例的 BGP 下发配置。

4.1.2 控制器下发配置到错误实例有什么影响？为什么？答：无影响。Underlay VPN 实例地址族有 advertise l2vpn evpn，仍可通过 EVPN 学习和通告路由。

4.1.3 BorderLeaf两台上联两个Core，有几种互联方式？区别？哪种必须配逃生？答：三种：①BorderLeaf 四个三层接口连 Core（交叉型组网，静态/动态路由）；②BorderLeaf 两个三层接口连 Core（口字型组网，静态/动态路由，需配置逃生避免单点故障）；③BorderLeaf 一个三层接口连 Core（组成 M-LAG，配相同 IP，Core 用 VRRP 虚拟一个 IP 作下一跳）。第二种必须配逃生。

4.1.4 配置外部网关时没配置公共IP有什么问题？为什么？答：没有公共 IP 则无公网 IP 做翻译（公共 IP 用作出口 EIP 和 SNAT）；缺公共 IP 时 VPC 路由表无该路由，租户不能访问该网络。配置外部网络时控制器把公共 IP 用静态路由下发进 VPC 路由表，引入 EVPN，经 Type5 前缀路由传给其他 Leaf。

4.2 网络安全

4.2.1 FW有几种接入方式？哪种扩展性好？NCE-Fabric能向哪种下发配置？答：旁挂 Service Leaf、旁挂 Border Leaf、直挂 Border Leaf 三种；旁挂 Service Leaf 扩展性最好；NCE 能向旁挂 Service Leaf、旁挂 Border Leaf 下发配置。

4.2.2 FW用双机增加可靠性，NCE-Fabric支持哪种双机模式？答：支持主备镜像的双机模式（原文"双击"为笔误，应为双机）。

4.2.3 分布式VAS与集中式VAS，集中式VAS pool有什么优点？答：业务区外部署集中 VAS，各 Fabric 共享、利用率最大；东西向 VPC 互访可统一管理；南北向访问外部网络可统一管理；可部署主备 VAS 池，主故障自动切换。

分布式网关比集中式网关好在哪？答：可靠性高、无瓶颈、扩展性好、流量路径最优、部署灵活。

控制器能否同时向集中式和分布式网关下发业务？答：不可以，每个 Fabric 仅有一种网关模式。

四、论述题索引表（按专题归纳，背诵提纲用）

专题

涉及论述题

关键记忆点

M-LAG

1.1.1~1.1.4、DAD/peer-link、逃生链路、AS号

四大优势；单归/上行down/peer-link down 三种次优或丢包场景；monitor-link 联动；DAD 防双主、peer-link 转发二层；peer allow-as-loop

EVPN/VXLAN

1.2.1~1.2.4

EVPN 统一二三层；一条报文只能一个 VNI；Type3 带 L2VNI、Type2/3/5 建隧道；相同桥 ID+STP 防环

微分段/业务链

1.3.1~1.3.5

比子网粒度更细；EPG 经 VXLAN 头部传；ARP代理+PVLAN；PBR/NSH 区别；NSH 改报文

容器/虚拟化/OpenStack

2.1.1~2.1.4、OVS/DVS/端口组

7 项区别；OpenStack=框架、管理；OVS数据面/DVS管理面

NCE 对接

2.2.1~2.2.2

计算平台双向通知；OpenStack 端到端 6 步

无损网络

2.3.1~2.3.3、PFC/ECN/RDMA/RoCE/iNOF 功能场景、ECN门限、AI平面

PFC 直连反压/CNP 端到端降速；死锁检测+预防；ECN先、PFC后；四平面

VPC互通/IRB/VRF

3.1、3.2

地址重叠规则；4 种互通VRF场景；对称IRB；VRF 三种互通方式

ZTP/编排映射

3.3

临时IP作用、上线顺序、资源映射、手动/自动编排项

BGP/外部网关

4.1

overlay 带实例BGP；三者组网方式；公共IP=EIP/SNAT

FW/VAS/网关

4.2

三种接入方式；主备镜像；集中式VAS优点；每个Fabric一种网关模式

五、笔误更正总表（论述题原文）

原文

更正为

morlink-link

monitor-link

lookback1

loopback1

openatack

OpenStack

二则（是管理与被管理的关系）

二者

双击模式

双机模式

与RPC协同（ECN场景）

与 DCQCN 协同

boederleaf

Border Leaf

需用大量调用ACL

需要大量调用ACL

"在配置外部网络是"

在配置外部网络时

下面是按专题整理的专业术语参考表，可直接接在文档后面作为"第六部分"打印。格式：术语 / 全称中文 / 含义或要点，并在末尾单列一张"从属与层级关系"表（如你举的 VAS 例子）。

六、专业术语参考表

1. 架构与组网

术语

全称 / 中文

含义 / 要点

CloudFabric

华为数据中心网络解决方案

面向云数据中心的整套解决方案，包含网络虚拟化、无损、智能运维等场景

iMaster NCE-Fabric

网络控制器（控制层）

数据中心网络控制器，下发配置/编排逻辑资源，南向对接设备

iMaster NCE-FabricInsight

智能分析器（Insight）

采集分析数据、故障定位、健康度评估、知识图谱溯源

MDC

Multi-Datacenter Controller，多数据中心控制器

跨 DC 统一编排，主备部署，对接各 DC 的域控制器

DCI GW / DCI Gateway

数据中心互联网关

各 DC 出口设备，可加入 Transit Fabric

Transit Fabric

转接/互联资源池

把有互通关系的 Fabric Gateway 组合成的资源池，承载 DC 间互联

Multi-PoD

多 Pod 方案

同城两 DC 间 RTT≤50ms 时实现二三层互通并用 RR 隔离路由域

Multi-Site

多云多 DC 互联方案

基于 MDC 实现跨 DC 业务编排，聚焦 VPN 和专线互通

Spine-Leaf

叶脊架构

数据中心标准组网，Leaf 接服务器、Spine 做汇聚与路由

Leaf / Server Leaf

叶交换机 / 接入交换机

直接连接服务器/VM 的接入层设备

Spine

脊交换机

汇聚层，连接所有 Leaf，通常做 RR

Service Leaf

业务/服务叶

提供 FW、LB 等 VAS 设备接入服务的 Leaf

Border Leaf

出口叶

连接 Core/外部网络的出口 Leaf，可做 VXLAN 三层网关

Core

核心交换机

与 Border Leaf 相连，多采用口字/交叉型组网

PoD

Point of Delivery，物理分区

一个 DC 划分出的物理分区；每个 PoD 内设备集中部署

Fabric

网络资源池

一组具备完整转发能力的网络设备集合

RR

Route Reflector，路由反射器

BGP 路由反射器，Multi-PoD 中用于隔离路由域

VPC

Virtual Private Cloud，虚拟私有云

逻辑隔离的虚拟网络，可对应多个逻辑路由器

VRF

Virtual Routing Forwarding，虚拟路由转发

逻辑路由表/路由实例；VSYS/VRF 是路由编排的目标

VBDIF

VXLAN 三层网关接口

基于 BD 的三层网关接口，关联 VRF，对应逻辑路由器

BD

Bridge Domain，桥域/广播域

二层广播域，一个 BD 对应一个（L2）VNI，可对应逻辑交换机

Overlay / Underlay

叠加网络 / 底层网络

Overlay 为业务逻辑网络（VXLAN）；Underlay 为物理 IP 网络

EVPN

Ethernet VPN

VXLAN 控制平面协议，统一二三层路由（Type2/3/5）

BGP

Border Gateway Protocol

边界网关协议，EVPN 依赖 BGP 承载

OSPF

Open Shortest Path First

内部动态路由协议；fabric 为 OSPF 非骨干区，fabric 间为 area0

LLDP

链路层发现协议

用于控制器发现 Host 与 Leaf 的连线关系

IRB

Integrated Routing and Bridging

集成路由与桥接（网关转发）；分为对称/非对称两种

allow-as-loop

BGP 防环放行命令

M-LAG 设备用相同 AS 号时 peer allow-as-loop 放行自环路由

2. 计算与云管理

术语

全称 / 中文

含义 / 要点

OpenStack

开源云操作系统框架

集成计算/存储/网络组件构建完整云系统，本身非完整云操作系统

Nova

计算服务

负责计算资源（VM）管理、生命周期

Neutron

网络服务

负责网络资源管理，Core Plugin 提供 L2、Service Plugin 提供 L3-L7

Cinder

块存储服务

管理块存储（SAN/LVM/分布式存储）

Glance

镜像服务

镜像的发现、注册、检索

Swift

对象存储服务

存 VM 镜像、备份；逻辑结构含项目/容器/对象

Keystone

认证鉴权服务

组件间身份验证与鉴权

Ironic

裸金属服务

裸金属服务器生命周期管理

Nova-Scheduler

计算调度器

两步：过滤（规格匹配）+权重（选权重最高）

Nova-Compute

计算节点代理

部署在计算节点，实现 VM 生命周期和资源管理

VMM / vCenter

虚拟化管理平台

管理虚拟化资源池、简化 VM 管理、配置调度策略

OVS

Open vSwitch，开源虚拟交换机

数据面软件交换机，负责转发

DVS / VDS

分布式虚拟交换机

管理面交换机（vSphere 内），统一网络配置，保证 VM 迁移策略一致

Port Group / 端口组

分布式端口组

向 VM 提供网络连接，含唯一网络标签（VLAN、策略等）

Uplink 端口组

上行链路端口组

映射主机物理网卡，决定物理连接

VLAN

Virtual LAN，虚拟局域网

二层隔离/划分手段

Floating IP

浮动 IP（外部网络）

从 External Network 创建，绑定任意 Port 实现内外互访

 

3. 容器

术语

全称 / 中文

含义 / 要点

Kubernetes

容器编排平台

容器集群管理，Master+Node 架构

CNI

Container Network Interface

Kubernetes 的容器网络模型/接口标准

calico

容器网络插件

L3 路由方案，转发性能高、易横向扩展，适合大规模集群

bird

BGP 插件

容器 L3 接入时与 Server Leaf 建立 BGP 邻居

Felix

calico 组件

存储元数据并作为各组件通信枢纽

monitor（Watcher）

NCE API Server Watcher

监控 Kubernetes API Server，感知容器/VPC 事件

Namespace

命名空间

解决环境隔离问题

Cgroup

Control Group

对计算资源使用做隔离/限制

Repository

仓库

集中存放容器镜像的场所，可分公有/私有

4. 无损网络

术语

全称 / 中文

含义 / 要点

PFC

Priority-based Flow Control

基于优先级的链路级流控，上游反向停止发包实现零丢包

XOFF / XON

反压触发门限 / 反压停止门限

XOFF 触发发反压帧；XON 停止；XOFF 必须高于 XON

CNP

Congestion Notification Packet

拥塞通知报文，ECN 标记后宿端向源端发送请求降速

ECN

Explicit Congestion Notification

显式拥塞标记，用 IP 头 ToS 最后两比特（00/01/10/11，11=CE）

DCQCN

数据中心量化拥塞通知算法

结合 ECN 标记与 rate-based 降速的拥塞控制算法

NPCC

新型拥塞控制（Novel PCC）

主动发送 CNP 的拥塞控制技术

AI ECN

智能 ECN

通过 AI 算法动态调整门限，兼顾时延敏感/吞吐大流

RoCE

RDMA over Converged Ethernet

把 RDMA 应用到以太网；v1 仅同广播域，v2 基于 UDP 可跨网段

RDMA

Remote Direct Memory Access，远程直接内存访问

网卡直接内存拷贝，绕过操作系统，低时延低 CPU 占用

INC

(HPC 小报文加速)

保障 HPC 小字节报文低时延传输

iNOF / NoF / NoF+

Intelligent Lossless NVMe over Fabric

智能无损存储网络；NoF 含 over FC/TCP/RDMA；NoF+ 基于 RoCE

ZAON

无 ZRAN？→(主机/存储准入) Zoning

NoF+ 中对接入主机和存储节点做管理的功能特性

HOLB

Head of Line Blocking，头阻 802.1Qcz

华为主导的新标准，用于解决 PFC 头阻

PFC 死锁

PFC DeadLock

多交换机相互等待导致的永久阻塞；检测+预防+恢复

Telemetry / gRPC

遥测技术 / 远程过程调用协议

Insight 用 gRPC 与网元遥测采集 KPI

ERSPAN

封装远程端口镜像

采集 TCP 报文做流量分析

5. 存储

术语

全称 / 中文

含义 / 要点

DAS

Direct Attached Storage，直连存储

存储直连服务器

SAN

Storage Area Network

专用主机-存储互联网络

NAS

Network Attached Storage

经 NFS/CIFS 提供文件访问

RAID

独立磁盘冗余阵列

多硬盘组合提高性能/冗余；如 RAID1 镜像；不能提高单盘可靠性

LVM

Logical Volume Manager，逻辑卷管理

逻辑卷/逻辑存储方式

NVMe

Non-Volatile Memory Express

高速存储访问协议

FC

Fibre Channel，光纤通道

存储网络协议；FC SAN 需专用交换机

6. 安全 / VAS

术语

全称 / 中文

含义 / 要点

VAS

增值业务设备（统称）

统称，FW、LB、IPS 等只是 VAS 的典型实例

FW / 防火墙

Firewall

安全网关设备，可旁挂 Service/Border Leaf 或直挂

LB

Load Balancer，负载均衡

服务器负载分担（SLB/GSLB）

IPS

Intrusion Prevention System

入侵防御设备

ACL

Access Control List，访问控制列表

流量过滤/策略；大量调用消耗规格

GBP

Group-Based Policy，基于分组的策略

微分段用分组策略在就近交换机控制

EPG

End Point Group，端点组

分组单元，跨 VTEP 经 VXLAN 头携带

微分段

Micro-segmentation

比子网更细粒度的安全分组隔离

业务链

Service Function Chain，SFC

引流技术，流量依次经过多个 SF

SF / SFF

服务节点 / 服务转发节点

SF 提供 VAS 功能；SFF 按 SPI/SI 转发

NSH

Network Service Header

业务链封装头，会修改报文头（SPI/SI）

PBR

Policy-Based Routing，策略路由

按策略逐节点转发引流，不修改报文

VSYS

虚拟系统

FW 的虚拟化逻辑划分；与 VRF 同为路由编排目标

SecoManager

安全控制器

与 NCE-Fabric 融合部署，纳管华为 VAS（FW）下发配置

NAT/SNAT/EIP

网络地址转换/源NAT/弹性公网IP

公共 IP 用作出口 EIP 和 SNAT

VPC 互通

VPC Interworking

跨 VPC 互联编排，需在 NCE 二次编排

7. 自动化与编排

术语

全称 / 中文

含义 / 要点

ZTP

Zero Touch Provisioning

零配置上线；临时 IP 经 SFTP 下载配置与拓扑文件

中继 / Relay

DHCP Relay/L2 Relay

带内管理时转发上线流量，中继随上线顺序变化

NETCONF/YANG

网管配置协议 / 数据模型语言

控制器向设备下发配置的标准方式

SNMP

简单网络管理协议

采集设备硬件 KPI、监控

RESTful

表述性状态转移接口

NCE 与北向系统/云平台对接接口

OpenFlow

南向流表协议

仅用于路径探测/ce1800v，不用于物理设备业务下发

AOC

开放式异构网络可编程方案

以 YANG 模型驱动纳管异构网元

Runbook

运维剧本

编排自动化动作；STEP 为最小单元，一个 STEP 对应一个 RESTful 请求

原子API

原子配置能力

最基本功能配置（建 Eth-Trunk、配 IP/VLAN/静态路由等）

回滚

原子回滚 / 尽力回滚

原子回滚一对象失败则整体失败；尽力回滚分块互不影响、可重试

一致性对账

北向一致性对账

修复 NCE 与云平台数据不一致（创建/更新/删除）

设计态/生产态

仿真 & 下发

设计态仅仿真验证入库，提交后才下发设备

SFTP

安全文件传输协议

ZTP 下载配置用

三层/二层拓扑互视

逻辑-物理映射可视

展示逻辑拓扑在物理网络上的映射

8. AI / HPC / 并行

术语

全称 / 中文

含义 / 要点

AI 四平面

带外管理/业务面/样本面/参数面

对应 AI 集群的管理/调度/存储访问/训练参数交换

MPI

Message Passing Interface

消息传递模型的事实标准；分 P2P 与集合操作

P2P / 集合操作

点对点 / Collective

按进程数分类；集合操作如 allreduce/broadcast 等

HPC

High Performance Computing

高性能计算，多用胖树无损网络

裸金属

Bare Metal

未装操作系统的物理服务器，由 Ironic 管理

七、从属与层级关系表（重点背）

关系

说明

VAS 是统称

VAS（增值业务设备）= 统称，FW、LB、IPS、应用加速器等都是 VAS 的典型实例

VRF 与 VSYS

网络侧用 VRF（路由实例），FW 侧用 VSYS（虚拟系统）；二者是路由编排的"目标"

Controller 三层模型

应用层(RESTful)→控制层(NCE-Fabric)→设备层；FabricInsight 为并列的分析组件

MDC → 域控制器(NCE-Fabric)

MDC 只需和各 DC 的域控制器对接，无需直接对接设备/云

逻辑资源 → 设备资源

逻辑路由器→VBDIF+IP VPN-instance；逻辑交换机→BD；外部网络→出口 VRF/FW VSYS；逻辑端口→二层子接口；用户端口→VM/物理服务器

云平台 → 控制器

项目→租户；路由→逻辑路由器；网络→逻辑交换机；外部网络→外部网关

Nova/Neutron/Cinder

计算/网络/块存储三大核心组件；Keystone 做统一鉴权

OpenStack 与虚化/容器

OpenStack 管理虚拟化资源（池化调度）；对容器也是"管理方"

Overlay 依赖 Underlay

Overlay（VXLAN）隧道端点间仅需 Underlay 路由可达

Type2/3/5 路由用途

Type2 主机路由(同网段/MAC)、Type3 集成多播(Inclusive)、Type5 前缀路由(跨网段)

PFC 与 ECN/CNP 分工

PFC=链路级反向停流(直连)；ECN/CNP=端到端降速；先 ECN 后 PFC

RoCE v1 vs v2

v1 仅同广播域；v2 基于 UDP、可跨网段路由
posted @ 2026-09-22 15:32  梦昊  阅读(35)  评论(0)    收藏  举报