论述8848 背诵文稿（音频同步版）

数据中心网络论述题，背诵版。

第一题：数据中心网络基础知识
第一题第一节，M-LAG。
第一题第一节第一问，M-LAG相比于堆叠，M-LAG有什么优势？
答：
1.堆叠iStack（Intelligent Stack）是指将多台交换机通过堆叠线缆连接在一起，从逻辑上变成一台交换设备，作为一个整体参与数据转发，
2.M-LAG（Multichassis Link Aggregation Group）即跨设备链路聚合组，是一种实现跨设备链路聚合的机制，将SwitchA和SwitchB通过
peer-link链路连接并以同一个状态和Switch进行链路聚合协商，从而把链路可靠性从单板级提高到了设备级。
相比于堆叠，M-LAG具有以下优势：
1.两台设备可以分别进行升级，保证有一台设备正常工作即可，对正在运行的业务几乎没有影响。
2.成本低，相较于堆叠不需要专用的堆叠线缆
3.兼容性好，支持不同型号和品牌组网更加灵活
4.更高的可靠性，控制面独立，故障域隔离

第一题第一节第二问，Lab中，CNA3单归连在Leaf1B上，当访问CNA3的流量到Leaf1A时，是否可以正常转发？存在什么问题？
答：
1.可以正常转发，
2.当是三层流量时，流量到达Leaf1A的时候，查询实例路由表进入BD网络，通过peer-link转发到Leaf1B,到达CNA3，回程流量直接由Leaf1B转发出去，造成来回路径不一致
当是二层流量时，流量到达Leaf1A的时候，直接进入BD网络，通过peer-link转发到Leaf1B,到达CNA3，回程流量直接由Leaf1B转发出去，造成来回路径不一致

第一题第一节第三问，Lab中，若Leaf1A上行down，流量到Leaf1A有什么问题？怎么解决？
答：
当没有部署monitor-link时：流量到达Leaf1A,通过underlay逃生链路peer-link到达Leaf1B转发出去，造成次优路径
当部署monitor-link时：上行链路down，联动下行链路down，流量直接经过Leaf1b转发出去，没有次优路径

第一题第一节第四问，若peer-link也down，流量到Leaf1A如何转发，怎么解决？
答：
当没有部署monitor-link时：流量到达Leaf1A后由于上联和peer-link都down，DAD心跳中断出现双主，流量直接丢弃
当部署monitor-link时：上行链路down，联动下行链路down，流量直接经过Leaf1b转发出去。

DAD链路和peer-link链路的作用
答：
DAD链路又称为心跳链路是一条三层互通链路，用于主备设备间发送双主检测报文，避免peer-link故障后出现双主
peer-link链路是用来传输DFS-group报文的，用来传输同步报文，mac表和arp表等，用来转发跨设备的二层流量

Leaf1A和Leaf1B之间的DAD链路是哪一条
答：
Leaf1A和Leaf1B间使用LoopBack1来建立DADlink,使用业务网来转发DAD链路流量

DAD链路是否参与转发
答：
不参与

部署M-LAG设备组通常伴随部署monitor-link和逃生链路，这样部署的场景是什么
答：
1.当设备上线链路全部down时通过monitor-link来联动下行链路down,让流量切换到另一台Leaf上继续转发
2.当设备上行链路全部down时，通过配置Leaf间的逃生链路，将流量转发给另一台Leaf上继续转发

M-LAG设备间物理链路不够用时，如何部署逃生链路
答：
逃生链路复用peer-link链路，逃生路由指向peer-link相应vlan的vlanif接口

underlay部署BGP，M-LAG设备组成员配置相同的AS号，会有什么问题，如何解决？
答：
1.Leaf1A收到Leaf1B的路由后发现有自己AS号，于是根据防环原则丢弃路由，导致Leaf1B无法学习到Leaf1A的路由
2.在Leaf交换机上针对EBGP配置peer allow-as-loop命令。表示自己AS号出现了X次，请允许通过不用丢弃。

第一题第二节第一问，在传统网络中，如vpls及mpls vpn，有各自的路由协议，EVPN控制平面协议相比其它协议在VXLAN中有什么优点？
答：
EVPN能传递type2以及type3解决同网段通讯问题，也可以传递type2 IRB以及type5前缀路由解决跨网段问题
EVPN为二三层路由提供了统一的路由协议，数据平面是VXLAN,VXLAN工作在IP网络之上

第一题第二节第二问，业务流量进入CE交换机，VXLAN报文可以同时有L2 VNI和L3 VNI两个VNI吗？二者有什么区别？
答：
不可以同时有，只能有一个L2 VNI或L3 VNI
L2 VNI主要用于同网段通信，L3 VNI用于跨网段通信

第一题第二节第三问，EVPN Type3路由携带L2 VNI还是L3 VNI？建隧道靠哪种EVPN路由建立？都有哪些场景？
答：
1.携带了L2 VNI，
2.type2 type3以及type5
3.通过type2和type3能建立二层隧道，也能通过type5前缀路由建立三层隧道

第一题第二节第四问，VXLAN网络中的两个VTEP下接同一个SW，出现了环路，怎么解决？
答：
将两个VTEP配置成相同的桥ID，指定根桥，使用生成树防环

第一题第三节第一问，相比于传统ACL和VNI两种隔离技术，微分段是怎么工作的？
答：
1.微分段是一种基于精细分组的安全隔离，是指将数据中心网络中的服务器按照一定的原则进行分组，然后基于分组来部署流量控制策略，从而达到简化运维、安全管控的目的
2.通过VLAN、VNI等方式划分业务子网实现的业务隔离，是基于子网的（即子网A与子网B之间进行隔离），其不能实现同一子网内不同服务器之间的隔离。同时，
当不同子网共用同一个网关设备时，由于在网关设备上存在到各子网之间的路由信息，因此这种情况下，也无法实现不同子网内不同服务器之间的隔离。
3.微分段提供了比子网粒度更细的分组规则（比如IP地址或IP段），其部署简单方便，只需按照规则将VXLAN网络中的服务器划分为不同的分组，然后基于分组来部署流量控制策略，
就可以实现服务器与服务器之间的业务隔离。

第一题第三节第二问，EPG是怎么在VTEP间传递的？
答：
在跨VTEP中EPG通过VXLAN报文头部携带

第一题第三节第三问，若同主机上的2个VM接在同一个Leaf，使用同样软件交换机就可以互访，怎么对其应用微分段？
答：使用arp代理+PVLAN实现

第一题第三节第四问，业务链有几种引流方式？什么区别？哪种会修改原始报文结构？
答：
有PBR和NSH两种
1.PBR技术中数据流在每个业务节点进行流分类和策略转发，报文流量按顺序经过业务链所有的SF节点。需用大量调用ACL对设备规格有一定的要求，现网设备均支持
2.NSH技术中数据流在分类器节点上统一进行流分类和NSH报文封装，报文根据NSH报文中的SPI值、SI值和NSH转发表在分类器节点、业务转发节点、业务节点之间进行转发，不需要调用ACL，
对原始报文进行NSH封装，需要支持NSH功能
3.NSH会修改报文结构

第一题第三节第五问，业务链和微分段有什么区别？
答：
1.业务链是一种引流技术，将流量引用vas设备提供l4-l7层服务
2.微分段是一种在交换机上实现的安全技术，通过GBP策略在距离服务器最近的交换机上进行细颗粒的安全控制，不需要调用ACL，不需要绕行到vas设备

第二题：数据中心网络高阶技术
第二题第一节，容器与OpenStack及虚拟化。
第二题第一节第一问，服务器虚拟化技术与容器技术有什么区别？
答：
虚拟化主要是用于提高硬件的资源利用率，适用在需要运行多个独立操作系统的环境，
容器与虚拟机相比，省去了Hypervisor和GuestOS的资源消耗，从而提高了资源利用率，在相同硬件能力下可以运行更多的容器实例。
具体区别如下：
1、隔离性：容器较弱的隔离，虚拟机强隔离；
2、独立内核：容器无，虚拟机独立内核；
3、镜像可移植性：容器平台无关，虚拟机平台相关；
4、启动速度：容器秒级/毫秒级，虚拟机数秒至数分钟；
5、运行性能（与裸机比较）：容器损耗小于2%，虚拟机损耗15%左右；
6、镜像大小：容器最小几MB，虚拟机几百MB到几个GB；
7、密度：单node 100~1000（容器），单node 10~100（虚拟机）。

第二题第一节第二问，OpenStack与云计算什么关系？
答：
OpenStack是云计算系统的基础框架和核心组件，集成并管理了多个基础设备，构建成一个完整的云计算系统

第二题第一节第三问，OpenStack与虚拟化有什么区别？
答：
OpenStack是管理物理的虚拟化资源，实现池化调度，虚拟化是底层技术，将单个物理机虚拟成多个虚拟机。

第二题第一节第四问，OpenStack与容器关系？
答：
OpenStack和容器是互相补充的关系，OpenStack管理容器，容器是轻量虚拟化，二则是管理与被管理的关系

简述OVS,DVS，端口组，上行链路端口组的概念和区别？
答：方案搜索
1.OVS（Open Virtual Switch）即开源虚拟交换机，是一款基于软件实现的开源、虚拟的以太网交换机
2.DVS（Distributed Virtual Switch），即分布式虚拟交换机，是在物理服务器上创建的软件程序，用于实现同一服务器或不同服务器上的虚拟机之间的数据交换。
3.端口组是用于向虚拟机提供网络链接。一般情况下，每一个分布式端口组在数据中心里具有唯一的网络标签，其中可以配置VLAN信息、负载均衡模式、流量策略、安全策略等参数。
一个VDS可以有多个端口组，虚拟机将其vNIC连接到VDS上的端口组。即使与同一端口组相连接的虚拟机各自在不同的物理服务器上，这些虚拟机也都属于虚拟环境内的同一网络。
4.每一个上行链路与主机物理网卡进行映射，决定主机的物理连接，一个上行链路端口组具备一个或多个上行链路，
区别：（背）
OVS在虚拟化服务器里用于数据转发，是数据面软件交换机
DVS在VMM中向管理虚拟化的服务器统一网络配置是管理面交换机

第二题第二节第一问，NCE是如何与计算管理平台对接并下发计算与网络业务？
答：
控制器和计算管理平台对接，控制器下发配置给计算管理平台，计算管理平台将VM的上下线信息通知给控制器，由控制器下发对应端口配置从而实现端到端的配置

第二题第二节第二问，NCE是如何与OpenStack对接并下发计算、存储及网络业务？
答：
1.租户管理员在云平台界面上依托Neutron提供的能力，创建网络。Neutron通过iMaster NCE-Fabric北向插件调度到iMaster NCE-Fabric，并将网络定义保存到iMaster NCE-Fabric上。
2.租户管理员在云平台界面上依托NOVA提供的能力，创建VM，并将VM接入到指定的网络中。
3.NOVA调用Neutron的API创建端口，这个端口是VM挂接到vSwitch上的虚端口。这个虚端口中会包含HostID、虚拟机的MAC/IP/VLAN信息。
4.NOVA向选出的计算节点中的Host发送VM创建请求，由NOVA计算模块创建好虚拟机，并为虚拟机绑定vSwitch的接口。
5.Neutron检测到vSwitch上的端口状态变化，获取本地VLAN信息，并通过控制器安装在Neutron中的北向插件，将这些信息同步给控制器。
6.控制器自动化下发二层配置和三层配置：
a.下发二层配置：iMaster NCE-Fabric根据初始化配置时，通过LLDP发现的Host主机与Leaf设备之间的连线关系，在VM上线的Host主机所连接的Leaf的对应端口上，
下发VM接入配置，如VLAN与BD的映射等。
b.下发三层配置：控制器下发VXLAN三层网关配置，如VBDIF、网关IP地址等，并关联VRF。

第二题第三节第一问，PFC和CNP如何工作？在通知方式上有什么区别？
答：
PFC:设备会为端口上设置各自的PFC门限值，当队列已使用的缓存超过PFC门限值时，则向上游发送PFC反压通知报文，通知上游设备停止发包；
当队列已使用的缓存降低到PFC门限值以下时，则向上游发送PFC反压停止报文，通知上游设备重新发包，从而最终实现报文的无丢包传输。
CNP:1.转发设备DeviceA发现端口存在拥塞，因此在转发报文时给报文携带ECN拥塞标记（ECN字段置为11），以标示网络中存在拥塞。转发设备DeviceB收到报文后，
发现报文的目的地址不是本机，则不对报文进行处理，正常转发给宿端服务器。宿端服务器收到报文后，发现报文中携带ECN拥塞标记（ECN字段为11），
则知道网络中存在拥塞，因此向源端服务器发送CNP拥塞通知报文，以通知源端服务器进行流量降速。
通知方式：
PFC:向上游直连设备发送PFC的反压帧使之停流
CNP：拥塞点向目标服务器发送拥塞通知，目标服务器向源服务器发送CNP请求降速

第二题第三节第二问，PFC部署会有什么问题？请问如何解决，至少给出两种解决办法？
答：
1.会出现死锁现象
死锁检测：若在设定的PFC死锁检测时间内该队列一直处于PFC-XOFF（即被流控）状态，则认为出现了PFC死锁，需要进行PFC死锁恢复，
此时设备忽略端口接收到的PFC反压帧，内部调度器会恢复发送对应优先级的队列流量。

死锁预防：设备识别到一条从PFC上行口发过来的走队列a的流量为钩子流，易产生PFC死锁。此时Device2会修改该流的优先级并修改其DSCP值，使其从队列b转发，
破除队列a可能产生的循环依赖缓冲区，预防了PFC死锁的产生，保障流量的正常转发。

第二题第三节第三问，Host1给Host2发流量，流量超出Leaf2和Host2接收能力，请问有什么解决办法？队列中，流量会触发哪个阈值先起作用。
答：
可以在Leaf2上部署PFC流控，并开启ECN通知
拥塞时，ECN先触发通知，若拥塞进一步加剧时，再触发PFC流控

PFC功能及场景：
答：
功能：PFC是一种基于优先级的链路级流控技术，通过优先级暂停流量实现零丢包传输
场景：主要用于数据中心的无损组网，需要配合死锁预防机制使用，避免因为频繁触发导致网络死锁

ECN功能及场景：
方案搜索ECN
答：
功能：ECN是一种拥塞控制技术。当网络中出现拥塞时，转发设备在报文中进行ECN拥塞标记，流量接收端通过IP报文中的ECN字段感知网络中是否出现拥塞，
如果感知到网络中出现了拥塞，就通过协议报文通知流量发送端，使得流量发送端降低报文的发送速率。
场景：1.数据中心无损组网中的端到端拥塞控制，2.与RPC协同工作实现平滑降速避免丢包3.支持RoCEv2协议下的AI训练

RDMA功能及场景：
9800搜索RoCE
答：
功能：RDMA（Remote Direct Memory Access），远程直接内存访问功能，是一种直接内存访问技术，它将数据直接从一台计算机的内存传输到另一台计算机，
数据从一个系统快速移动到远程系统存储器中，无需双方操作系统的介入，不需要经过处理器耗时的处理，最终达到高带宽、低延迟和低资源利用率的效果。
场景：用于InfiniBand的HPC间的通讯网络

RoCE功能及场景：
9800搜索RoCE
答：
功能：RoCE（RDMA over Converged Ethernet），允许应用通过以太网实现远程内存访问的网络协议，是将RDMA技术运用到以太网上的协议。
场景：高性能计算和AI训练推理网络

iNOF功能及场景：
方案搜索iNOF
答：
功能：iNOF（Intelligent Lossless NVMe over Fabric，智能无损存储网络）是指通过对接入主机的快速管控，将智能无损网络应用到存储系统，实现计算和存储网络融合的技术。
场景：智能无损存储网络

ECN门限设置偏低和偏高有什么影响
9800搜索ECN门限
答：
过低时：ECN门限设置偏低时，可以尽快触发ECN拥塞标记，通知源端服务器降速，从而维持较低的缓存深度（即较低的队列时延），
对时延敏感的小流有益。但是，过低的ECN门限会影响吞吐敏感的大流，限制了大流的流量带宽，无法满足大流的高吞吐。
过高时：ECN门限设置偏高时，可以延缓触发ECN拥塞标记，保障队列的突发吸收能力，满足吞吐敏感的大流的流量带宽。但是，在队列拥塞时，会带来较大的队列时延，对时延敏感的小流无益。

如何解决门限过低和过高的问题
答：9800搜索ECN门限
无损队列的动态ECN门限可以很好的解决问题。设备通过对转发的网络流量进行分析，动态调整无损队列的ECN门限值，在尽量避免触发网络PFC流控的同时，尽可能的兼顾时延敏感小流和吞吐敏感大流。

AI智算网络有哪几个网络平面，分别有什么用
答：
带外管理网络：用于AI集群设备带外设备管理
业务面网络：用于系统业务调度和管理
样本面网络：用于访问存储区高速大带宽互联的存储系统
参数面网络：用于AI集群分布式训练的参数交换

RoCE和传统TCP流量哪个优先级高
答：
RoCE优先级高

第三题：CloudFabric解决方案
第三题第一节，在网络虚拟化和云网一体化解决方案场景中。
第三题第一节第一问，网络虚拟化场景
a)两个VPC的地址可否重叠，为什么？
b)一个VPC中，是否可以有多个逻辑路由器？如何互通？为什么？
c)若逻辑路由器没有连外部网络，请问两个VPC能互通吗？为什么？
d)在控制器上进行VPC互通编排时，地址可否重叠？
答：
a:可以重叠，因为两个VPC缺省是隔离的
b:可以有多个路由器，使用VPC互通可以实现，因为在一个VPC中多个逻辑路由器是默认隔离的，
c:可以互通，使用VPC互通可以实现，没有外部网络只影响VPC能否到达该网段，VPC互通是控制器下发互通网络实现的。
d:不可以重叠

第三题第一节第二问，云网一体化场景中，在云上编排时，创建路由器及网络时，若DHCP激活，对VPC的编排有什么影响？若不激活，
对VPC编排有什么影响？VM是如何通过DHCP获得地址的？
答：
当DHCP激活时：逻辑交换机会创建DHCP实例的逻辑端口和用户端口，OpenStack会创建对应的DHCP实例，VM通过自动获取地址上线
当DHCP不激活时：逻辑交换机不会创建DHCP实例的逻辑端口和用户端口，OpenStack不会创建对应的DHCP实例，VM通过手动地址上线

VM实例数据计算节点，DHCP实例属于网络节点
当计算节点和网络节点在一个VTEP下时：VM实例和DHCP实例通过BD网络完成交互，
当计算节点和网络节点不在一个VTEP下时：两个VTEP之间通过VXLAN来传递DHCP报文，通过BD网络和VXLAN网络完成DHCP报文的交互。

第三题第二节，FW业务VPC互通场景。
第三题第二节第一问，VSYS与VRF是路由编排的目标，请列出4种，有互通VRF的场景。
答：
双边过墙：serviceleaf在同一个设备组
双边过墙：serviceleaf不在同一个设备组
单边过墙：serviceleaf和BorderLeaf在一个设备组
单边过墙：serviceleaf和BorderLeaf不在一个设备组

第三题第二节第二问，两个VPC互通时，实现互通方式有哪种方式？
答：
当两个VPC在同一个FW或者borderleaf时，可以使用静态路由实现互通
当两个VPC不在同一个FW或者borderleaf时，需要使用其他互通网络实现互通

非对称IRB和对称IRB如何转发
答：
非对称：源VTEP同时执行L3,L2查表转发，目的VTEP只进行L2查表转发，源目的VTEP操作不一致被称为非对称IRB转发
对称：源VTEP同时执行L3,L2查表转发，源目的VTEP操作一致被称为对称IRB转发

对称IRB转发跨子网时，使用的RT是EVPN RT,还是传统IP vpn-instance实例RT？
答：
ip vpn-instance RT

ip vpn-instance中的vpn-target vpn EVPN的作用？
答：
ip vpn-instance可以收发EVPN路由

华为设备使用非对称IRB还是对称IRB
答：
对称IRB

VRF之间互通方式有几种方式？
答：
静态路由泄露方式：VRF中添加一条静态路由指向另一个VRF接口或地址
动态路由泄露方式：利用MP-BGP协议，利用route-target动态的在VRF之间导入和导出
策略路由：利用数据包源地址强制将流量从一个VRF转发到另一个VRF或者全局路由表中

第三题第三节，ZTP。
第三题第三节第一问，在LAB中，ZTP部署underlay，临时IP与管理IP必须在同一个网段吗？临时IP有什么作用？
答：
使用带内管理方式上线时不能在同一个网段，临时IP用于设备在未有配置前向控制器认证，通过sftp下载配置和拓扑文件

第三题第三节第二问，在LAB中，使用带内管理方式上线时，哪个设备先上线？中继需要NCE下发配置吗？NCE下发配置后，中继位置发生变化了吗？
答：
Leaf2先上线，上线Spine1时，Leaf2作为中继，上线其他Leaf时，Spine1作为中继

带外管理方式上线时，临时IP能否跟管理IP重复？是否需要中继
答：
1.网段可以重复但IP不能冲突
2.DHCP服务器IP和设备临时IP在同一个网段，则不需要中继，若不在需要在带外管理交换机上配置中继

在计算联动场景中，控制器通过VMM会向计算管理平台下发哪些内容
答：
会将VPC中逻辑交换机的vlan信息给VMM

云网一体化场景中，云上项目，路由，网络，外部网络对应控制器上哪些，
答：
云上项目对应租户，路由对应逻辑路由器，网络对应逻辑交换机，外部网络对应外部网关

控制器上逻辑资源对应设备上什么内容
答：
逻辑路由器对应VXLAN网络中的VBDIF和IP vpn-instance,逻辑交换机对应VXLAN网络中的BD，外部网络对应交换机出口VRF,和防火墙的出口VSYS，逻辑端口对应业务接入二层子接口
用户端口对应VM或者物理服务器。

在云上编排外部网络或者路由编排出错时，怎么解决
答：
检查控制器上外部网关名字和和OpenStack名字是否一致，OpenStack对应NCE是否添加所有Fabric,

计算联动中通过NAT访问外网，VPC上哪些网元需要手动编排
答：
逻辑路由器，逻辑交换机，逻辑VSYS,外部网关需要手动编排

哪些是计算联动自动下发的
答：
逻辑端口和用户端口是自动下发的

VMM怎么实现端口组
答：
控制器将VPC中逻辑交换机对应的vlan信息推送给VMM，VMM会给对应的vlan创建相应的portGroup

端口组有哪些元素组成
答：
租户名称，逻辑交换机名称，分布式交换机名称和vlanID组成

控制器操作日志出现层次化报错，有哪几种原因，
答：
计算节点主机没有开启LLDP协议
控制器上没有同步发现交换机上的链路信息

控制器和OpenStack配置不一致如何解决
方案搜索数据一致性
答：
查看iMaster NCE-Fabric与云平台的数据是否一致，若不一致，请确认数据不一致的原因，如果iMaster NCE-Fabric的数据有误，可以进行数据修复。根据业务数据类型的不同，所采用的修复方法也不相同：
•业务创建数据不一致，推荐在云平台上更新业务，其次可以通过iMaster NCE-Fabric的北向一致性对账功能修复。
•业务更新数据不一致，推荐在云平台上更新业务，其次可以使用通过iMaster NCE-Fabric的北向一致性对账功能修复。
•业务删除数据不一致，可以通过iMaster NCE-Fabric的北向一致性对账功能修复，也可以使用第三方工具调用iMaster NCE-Fabric接口删除数据。

第四题
第四题第一节第一问，underlay若部署BGP，overlay也部署BGP，请问：NCE-Fabric是如何知道overlay配置下发到哪个BGP实例？
答：
当设备有两个BGP时，带有实例的BGP为overlay使用BGP,控制器向带有实例的BGP下发配置

第四题第一节第二问，若控制器下发配置到错误的实例，有什么影响？为什么？
答：
没有影响：在underlay的vpn实例地址族中有advertise l2vpn EVPN 配置，任可以通过EVPN学习和通告路由

第四题第一节第三问，lab中，若BorderLeaf有两台，在同一个设备组中，若与两个Core核心相连，请问：有几种互联方式？请写出区别？哪种互联方式必须要配置逃生？
答：
1.有三种互联方式：1.borderleaf四个三层接口和core相连，2.borderleaf两个三层接口和core相连，3.borderleaf一个三层接口和core相连
2.当使用第一种方案是，borderleaf和core采用交叉型组网，可以使用静态或动态路由
当使用第二种方案时，borderleaf和core采用口字型组网，可以使用静态和动态路由
当使用第三种方案时，borderleaf组件M-LAG，配置相同的IP，core使用vrrp对外虚拟一个IP，borderleaf下一跳指向这个虚拟IP
3.当使用第二种方案时，需要配置逃生，避免单点故障

第四题第一节第四问，配置外部网关时，若没有配置公共IP，有什么问题？为什么？配置外部网时，若没有配置公共服务IP，有什么问题？为什么？
答：
当没有配置公共IP时，则没有公网IP进行翻译
此时公共IP用作当前出口的EIP和SNAT，当没有则VPC网络路由表没有该路由，租户不能访问该网络
在配置外部网络是，控制器将会把公共IP用静态路由的方式下发到VPC路由表中，引入EVPN,通过type5前缀路由传递给其他Leaf

第四题第二节，网络安全。
第四题第二节第一问，FW有几种接入方式？哪一种扩展性好？NCE-Fabric能向哪种下发配置？
答：
1.旁挂serviceleaf,旁挂borderleaf,直挂接入borderleaf
2.旁挂serviceleaf
3.能向旁挂serviceleaf,旁挂borderleaf下发配置

第四题第二节第二问，在组网时，FW可以使用双机来增加可靠性，请问NCE-Fabric支持哪种双机模式？
答：
支持主备镜像的双机模式

第四题第二节第三问，分布式VAS和集中式VAS在组网时，集中式VAS pool有什么优点？
答：
在业务区域外部署集中vas，各fabric共享，最大vas资源利用率
当有东西向的VPC互访流量时，集中式vas可以同一管理
当有南北向的VPC访问外部网络时，集中式vas可以统一管理
可以部署主备vas池，当主vas故障时，可以自动切换vas.

分布式网关比集中式网关好的优点在哪里？
答：
可靠性高，无瓶颈扩展性好，流量路径最优部署灵活

控制器能否同时向集中式网关和分布式网关下发业务？
答：
不可以，每个fabric仅有一种网关模式

以上是全部论述题内容。