移動互聯(lián)、電子商務、電子政務的巨大需求推動著虛擬化、大數(shù)據(jù)、云計算、SDN等新技術不斷涌現(xiàn)。與此同時，為承接越來越多變的應用，網(wǎng)絡結構也越來越復雜，設備種類和數(shù)量也都極大增長，傳統(tǒng)網(wǎng)絡的運維和管理方式開始顯得“捉襟見肘”，難以應付。針對這樣的局面，人們會想，網(wǎng)絡能不能變得更簡單、更貼近應用一些？答案就是——VAN（Virtual Application Network，虛擬應用網(wǎng)絡）。H3C VAN，就是通過虛擬化的方式將復雜的傳統(tǒng)網(wǎng)絡抽象出來成為一些基本的元素，通過自動化和可編程的管理平臺讓這些網(wǎng)絡元素有機地按照上層應用的需求靈活地調度。
具體來說，在網(wǎng)絡的開局階段通過“零配置管理”等技術使大批量設備的開局更為簡單和高效；在運維和業(yè)務調整時提供NetConf、自動化腳本等技術，維護者只需輕點鼠標即可完成網(wǎng)絡的“隨需而變”；如果出現(xiàn)設備故障，H3C還有嵌入式自動化技術使設備更智能，能夠自己處理簡單的故障。
1 Zero-Configuration零配置管理
所謂零配置管理方案，即在網(wǎng)絡管理員與現(xiàn)場設備零接觸的情況下，設備上電后自動完成遠程設備的業(yè)務下發(fā)及配置維護。
早在2004年，DSL論壇（現(xiàn)已改名Broadband論壇）推出了TR069技術規(guī)范，用以實現(xiàn)對網(wǎng)關、路由器、機頂盒等設備的集中管理。基于該協(xié)議，初始安裝時，用戶設備會自動尋找管理服務器，建立連接后即可與服務器通信，實現(xiàn)自動配置升級、軟件版本管理、狀態(tài)監(jiān)控及故障診斷。如圖1所示。
圖1 TR069協(xié)議
在TR069協(xié)議的基礎上，Zero-Configuration零配置管理方案進行了創(chuàng)新，通過DHCP報文來實現(xiàn)管理服務器的IP地址以及用戶名、密碼等信息的傳遞，從而實現(xiàn) “零配置”。如圖2所示，在零配置管理服務器（BIMS）上預先制定設備配置策略，遠程的網(wǎng)絡設備無需任何配置，上電后向DHCP服務器請求IP地址，DHCP服務器在向網(wǎng)絡設備反饋IP地址的同時，提供管理服務器的訪問地址。網(wǎng)絡設備隨即通過TR069協(xié)議向服務器發(fā)起配置請求，服務器根據(jù)網(wǎng)絡設備的類型或序列號下發(fā)相應的配置內容，完成自動配置。
圖2 Zero-Configuration零配置管理方案
在數(shù)據(jù)中心環(huán)境下，設備數(shù)量多，網(wǎng)絡業(yè)務復雜，配置難度較大，尤其是接入層的設備規(guī)模非常龐大，而且通常處于同一層次的接入設備的業(yè)務配置基本相同，管理員將身陷單調的重復勞動中，且出錯率高，同時在浩瀚的設備叢中發(fā)現(xiàn)某一處配置錯誤非常困難。
針對數(shù)據(jù)中心的零配置管理方案基于物理位置對設備進行預先的配置規(guī)劃，從數(shù)據(jù)中心拓撲到機房拓撲甚至到機架拓撲，管理員在虛擬的管理界面上如同身臨實際的機房，對機架上的每一個虛擬設備使用幾個固定的配置模板進行直觀地預配置，即可將網(wǎng)絡規(guī)劃批量地落實到位。接下來管理員只需要等待設備入場，隨著繼電器清脆的上電聲，看著設備自動“走”上工作崗位并納入到業(yè)務系統(tǒng)的管理中就可以了。如圖3所示。
圖3 數(shù)據(jù)中心零配置管理方案
針對分支企業(yè)的零配置管理方案充分考慮了跨越Internet的應用場景，采用TR069協(xié)議進行業(yè)務管理，天生具備對動態(tài)IP地址設備的管理能力，如圖4。管理員可以足不出戶，在總部機房進行全網(wǎng)設備的規(guī)劃和預配置策略的制訂，分散在全國乃至全球各地的遠程分支設備上電后自行向總部獲取配置，并實現(xiàn)企業(yè)分支網(wǎng)絡的互聯(lián)和業(yè)務的發(fā)放，無需企業(yè)分支網(wǎng)絡人員的參與，降低了對企業(yè)分支網(wǎng)絡管理人員的要求，免去了總部技術人員滿天飛的窘境。
圖4 廣域分支網(wǎng)絡零配置管理方案
針對普遍跨越Internet互聯(lián)的企業(yè)分支網(wǎng)絡，零配置管理方案提出了基于IPSec VPN方式的接入模式，有效保障網(wǎng)絡的安全性，如圖5所示。通過零配置管理系統(tǒng)與IPSec VPN管理系統(tǒng)的聯(lián)動，由IPSec VPN管理系統(tǒng)制訂IPSec VPN服務模板，對分支企業(yè)進行內網(wǎng)的規(guī)劃，由零配置管理系統(tǒng)的策略分發(fā)中心實現(xiàn)對企業(yè)分支網(wǎng)絡的自動化零配置部署，同時建立IPSec隧道，實現(xiàn)企業(yè)分支網(wǎng)絡與總部的安全互聯(lián)。另一方面，方案考慮分支企業(yè)IT技術的欠缺和整網(wǎng)的統(tǒng)一管理，在IPSec隧道建立后可直接將分支企業(yè)的網(wǎng)絡由總部進行統(tǒng)一托管，由總部網(wǎng)絡管理人員對各分支網(wǎng)絡進行全面的監(jiān)控，通過多緯度的報表展示企業(yè)分支網(wǎng)絡設備的出口流量、故障趨勢、服務質量、子網(wǎng)資產等信息，實現(xiàn)對企業(yè)分支網(wǎng)絡的深入管理。
圖5 廣域分支零配置管理與IPSec VPN業(yè)務聯(lián)動方案
除了針對各種場景下的配置管理，Zero-Configuration零配置管理方案還具有豐富的開放性，可以方便地與iMC智能管理中心家族中的其他業(yè)務模塊（MPLS VPN管理、QoS管理、EAD終端準入管理等）融合，將傳統(tǒng)業(yè)務管理系統(tǒng)的業(yè)務特性與零配置管理方案業(yè)務配置模式相結合，實現(xiàn)“1+1>2”的效果。
2 NETCONF
IETF在2003年5月成立了Netconf工作組，該工作組主要是為了提出一個全新的基于XML的網(wǎng)絡配置（NETCONF）協(xié)議而成立的。該工作組已于2006年12月通過了NETCONF協(xié)議的基本標準RFC4741-4744。
NETCONF允許查詢設備的運行和配置數(shù)據(jù)，允許修改設備的配置數(shù)據(jù)。使用NETCONF，設備可以發(fā)布一套完整的編程接口（API），管理客戶端使用這套API即可實現(xiàn)對網(wǎng)絡設備的自動化管理。
NETCONF使用XML語言來完成配置過程數(shù)據(jù)和協(xié)議消息的交互，所有NETCONF的請求和應答都使用XML描述�；赬ML數(shù)據(jù)交換，使它具有了強大的跨平臺通訊能力。同ISO/OSI一樣，NETCONF協(xié)議也采用了分層結構，NETCONF協(xié)議分成四層：內容層、操作層、RPC層和通信協(xié)議層，如圖6所示：
圖6 NETCONF分層
通信協(xié)議層為NETCONF提供面向連接的、可靠的、順序的數(shù)據(jù)鏈路。NETCONF協(xié)議本身并不包含數(shù)據(jù)通訊協(xié)議，但定義了一系列推薦的數(shù)據(jù)通訊層協(xié)議，有console、SSH、BEEP、HTTPS、TELNET等。
RPC層提供了一個簡單的、傳輸協(xié)議無關的機制，通過使用<rpc>和<rpc-reply>元素分別對操作層和內容層的內容進行封裝。
操作層（Operations）定義了一系列在RPC中應用的基本的原語操作，用來完成不同的網(wǎng)絡管理和監(jiān)控動作，這些操作將組成NETCONF的基本能力。H3C Comware V7在此基礎上進行協(xié)議操作擴展，以提高協(xié)議操作的易用性。
內容層定義管理對象的集合，可以是配置數(shù)據(jù)、狀態(tài)數(shù)據(jù)、統(tǒng)計信息等。
NETCONF協(xié)議定義了數(shù)據(jù)獲取的子樹過濾（Sub tree）機制，為用戶提供靈活的數(shù)據(jù)獲取過濾手段。Comware V7在此基礎上，擴展了正則表達式過濾和簡單匹配過濾，進一步增加了NETCONF數(shù)據(jù)過濾的操作易用性。
NETCONF協(xié)議支持向設備訂閱管理節(jié)點關心的系統(tǒng)日志事件。即，只要設備有符合訂閱條件的日志事件產生，設備就會將日志信息以NETCONF事件的方式通知給管理節(jié)點。通過事件訂閱機制，管理節(jié)點能夠實時響應設備的狀態(tài)變化，做出快速的反應，大大提高了管理節(jié)點的監(jiān)控能力。
NETCONF采用XML進行管理者和代理者之間的數(shù)據(jù)傳輸和模塊表達，并且兼顧監(jiān)控和故障管理，安全驗證和訪問控制，可擴展性強。它將配置數(shù)據(jù)和狀態(tài)數(shù)據(jù)分開，避免了操作時對不相關的數(shù)據(jù)進行的多余處理，例如可以避免對狀態(tài)數(shù)據(jù)進行的配置操作，進一步提高了操作的效率。它不僅定義了多種取值和配置操作，還定義了錯誤回滾等多種能力，并且支持能力的添加，具有較強的擴展性，可滿足各種大型異構網(wǎng)絡的配置需求。NETCONF規(guī)定必須采用安全的面向連接的通信傳輸方式，相比起SNMP采用UDP進行傳輸?shù)姆绞絹碚f，進一步加強了系統(tǒng)的安全性，同時也避免了UDP傳輸數(shù)據(jù)最大值的局限性。NETCONF解決了SNMP和CLI在配置等方面的先天性不足。同時，通過將XML技術引入到網(wǎng)絡管理當中來，能夠安全高效地處理大批量的數(shù)據(jù)傳輸。
3 自動化腳本
TCL和python都是業(yè)界廣泛使用的腳本語言，網(wǎng)絡設備支持這些腳本語言，可以大大降低網(wǎng)絡管理員的學習成本，利用這些腳本語言，網(wǎng)絡管理員可以實現(xiàn)高度自動化的管理。
網(wǎng)絡設備支持腳本語言通常都遵循如圖7的體系結構：
圖7 自動化腳本架構
用戶腳本由腳本解釋器解釋執(zhí)行，腳本解釋器內嵌在網(wǎng)絡設備操作系統(tǒng)的內部。TCL和Python都有各自獨立的腳本解釋器。除了用戶自行編寫的腳本，還可以使用業(yè)界開源或者第三方開發(fā)的腳本庫或者工具。腳本的解釋和執(zhí)行是在一個安全上下文內進行的，可以有效避免非授權的惡意攻擊。
在大型機構里，大量的接入設備的配置一般都具有很大的相似性，但又不完全相同，不能通過簡單的復制粘貼copy其他設備的配置文件。業(yè)務有變更需要對網(wǎng)絡設備配置進行修改時，如果不使用自動化技術，需要逐一手工對每臺設備進行配置，耗時非常長且容易出錯；而通過自動化腳本可以對大批的設備進行批量配置，既縮短了變更時間、出錯的概率也大大降低。
4 嵌入式自動化技術
嵌入式自動化技術主要是對設備內部事件進行監(jiān)控，事件發(fā)生時執(zhí)行用戶定義策略。針對一些特定類型的故障，通過嵌入式自動化技術，維護人員可以預先定義故障處理的方法，一旦發(fā)生該類故障，設備自動執(zhí)行預先定義好的故障處理策略，從而提高故障處理的效率。下文主要以H3C RTM（Real-Time event Manager）技術為例進行說明。
RTM是一種嵌入式設備上內嵌的、實時的策略驅動的模型。用戶通過策略訂閱感興趣的實時事件。事件發(fā)生時，執(zhí)行策略中制定的動作。RTM可用來實時監(jiān)控設備，當故障發(fā)生時能及時的收集第一現(xiàn)場信息，并采取故障診斷、故障恢復、匯總上報等措施。例如RTM與SCM聯(lián)動，監(jiān)控進程的啟動和停止，衡量系統(tǒng)的可靠性，并采取更靈活的策略。如圖8所示。
圖8 嵌入式自動化技術架構
RTM是一種開放的架構，可以很容易的將事件源添加到RTM框架中。RTM目前支持7種事件源。其它事件源也將會陸續(xù)添加到RTM框架中。
有匹配的事件發(fā)生時，RTM可以執(zhí)行用戶配置的一個動作或者多個動作。RTM目前支持的動作主要有：CLI、syslog、trap、switch-over、reboot等*。CLI是指執(zhí)行任一命令行；syslog和trap是向網(wǎng)管發(fā)送特定消息；switch-over可以實現(xiàn)主備自動倒換；reboot可以實現(xiàn)對單獨板卡或者整個設備的重新啟動。
RTM是一種開發(fā)的框架，很容易將動作添加到RTM框架中。熟悉Comware CLI的用戶可以選擇使用Comsh script訂閱事件。RTM也支持完整的TCL8.5語法，并在此基礎上做了適當擴展，使用TCL可以編寫出更為靈活且功能強大的策略腳本。RTM框架對策略腳本執(zhí)行的安全性做了特別考慮。只有管理員或授權用戶才可注冊策略腳本，而且只有注冊的策略腳本才會生效運行。策略腳本一旦被篡改，則不能再運行。
5 結論
在網(wǎng)絡日益復雜的環(huán)境下，網(wǎng)絡管理承受著大量挑戰(zhàn)。通過“零配置”管理讓大量設備的開局能在短時間內完成，使得新機房、新業(yè)務上線時間大大縮短。通過NETCONF網(wǎng)絡管理技術，用戶可以使用API深度定制網(wǎng)絡管理系統(tǒng)，將不同廠商的設備統(tǒng)一管理起來。自動化腳本技術使得網(wǎng)絡管理腳本（甚至工具）共享成為可能，使一些低效的、繁瑣的、機械的網(wǎng)絡管理操作變成自動化的高效操作。嵌入式自動化技術使管理員能實時監(jiān)控設備，并在第一時間進行信息收集和故障恢復嘗試，大大減少了網(wǎng)絡故障時間。
隨著自動化管理技術的不斷進步，網(wǎng)絡管理在“化繁為簡”的同時，網(wǎng)絡資源調度的靈活性也極大提高了，從而使“隨需而動”成為可能。 
