从被动响应到主动防御：云化重构下园区网络运维的范式突围

随着企业数字化转型加速，传统园区网络架构在运维效率、成本控制等方面面临严峻挑战。星融元基于云原生理念打造的园区网络解决方案，通过前两阶段的技术架构革新（详见前篇《技术演进》与《实施路径》），已成功实现中大型园区基础网络的云化重构。本文将重点阐述进入运维阶段的三大核心能力体系。

基础设施全景监控

网络运行状态的集中呈现

部署Asteria Campus Controller（ACC）实现多维度监控：

• 健康值评估：评估各类网络设备的状态，这个数值由ACC综合评估各项指标进行智能计算得出（资源利用率，流量负载，硬件状态和运行情况）。
• 跨域统一管理：登录ACC后，在任意组织/场所界面下点击 |监控| 标签即可查看其下所有在网设备的健康状态，包含有线终端和无线终端。

• 多模态数据呈现：支持拓扑视图、热力图、趋势曲线等多种展示形态

基于SONiC架构的NPB2.0解决方案实现流量可视化

部分园区网络还要具备对网络流量的分析能力以满足更高的监控需求，传统方式一般是引入专门的NPB网络。

网络数据包代理（NPB）安装在流量采集点（或 SPAN 端口）与后端的安全和监控工具之间，其基本功能是协调网络数据包数据，以确保后端分析工具准确获得其所需的数据。

而在新一代云园区网中，我们支持在不改变现有网络架构的情况下，直接利用云园区交换机上的 |软件强化| 去配置一套实用的网络可视化系统，而无需再采购专门的网络硬件（例如TAP/分流器单独部署NPB能力。

显而易见，这将会为园区网络节约一大笔短期建设支出，并降低专项运维成本。

那么什么是所谓的软件强化呢？简单说来即是在交换机运行的 SONiC NOS（例如AsterNOS） 上新增一个 Docker 形态部署的“NPB APP”，让园区交换机“身兼二职”——它既能是常规的交换机，完成L2/L3转发动作，同时也作为网络可视化前端设备，承担流量采集和向后端的策略分发工作。

而后端分析系统则可以采用开放硬件平台（如ET系列和CX102S-DPU等）与开源 ntopng 工具协同提供服务。

ntopng是一个开源的网络流量探针软件，提供360°的网络可视性；它能够从流量镜像、Netflow导出设备、SNMP设备、防火墙日志、入侵检测系统收集流量信息。

告警-响应闭环系统

谈及告警管理，我们需要再次回到ACC控制器界面。

进入 ACC ｜组织/场所｜下最右侧的｜运维配置｜标签，管理员可对特定范围配置需要关注的告警信息、阈值，以及接收通知的邮箱地址，并将已有告警设置一键同步到其他指定组织/场所。

所有告警信息可以在左侧面板的告警栏目下统一查看，包括当前告警和历史告警信息。

目前最新的控制器版本已支持的告警内容包括接口状态切换，接口模块状态，带宽利用率、用户表项（ARP、主机路由、MAC）资源的利用率，RADIUS 服务器、Portal服务器状态，BGP、BFD连接状态，以及CPU风扇电源等硬件信息等。

全生命周期维护体系

设备巡检功能旨在定期检查和监控网络设备，以确保其正常运行并及时发现潜在故障。其主要功能包括:

• 设备状态监控：检查CPU使用率、内存使用率、存储情况和端口状态

• 日志与告警管理：收集设备日志，分析异常事件，并触发告警机制

• 关键进程状态检查：监控关键进程的运行状态

• 自动化巡检任务：按照固定时间间隔定期执行巡检任务，生成巡检报告

• 所有告警信息可以在左侧面板的告警栏目下统一查看，包括当前告警和历史告警信息。

定期升级设备固件有助于维持网络系统的性能和安全，ACC具备的固件管理功能可对上传到控制器的不同版本镜像和补丁文件进行自动化的信息整理、解析验证，最后在管理员确认后完成批量下发。

【延伸阅读】

• 30分钟搞定中大型园区网络业务开通

• CX102S-DPU在流量分析中的应用