目  录

1 OpenFlow

1.1 OpenFlow简介

1.1.1 OpenFlow概述

1.1.2 OpenFlow Switch类型

1.1.3 OpenFlow接口

1.1.4 OpenFlow实例

1.1.5 OpenFlow流表

1.1.6 Group Table

1.1.7 Meter Table

1.1.8 OpenFlow channel

1.1.9 协议规范

1.1.10 OpenFlow配置限制和指导

1.2 OpenFlow配置任务简介

1.3 配置OpenFlow实例

1.3.1 创建OpenFlow实例

1.3.2 配置OpenFlow实例的基本能力

1.3.3 激活OpenFlow实例

1.4 配置连接Controller

1.4.1 配置主连接

1.4.2 配置辅助连接

1.4.3 配置连接中断模式

1.5 配置OpenFlow定时器

1.6 配置支持动态MAC地址

1.7 OpenFlow显示和维护

1.8 OpenFlow典型配置举例

1.9 附录 A 应用限制

1.9.1 Flow Entry的限制

1.9.2 Action List和Action Set整合的限制

1.9.3 Packet Out的处理限制

1.9.4 Packet in的处理限制

1.9.5 Flow Mod的限制

1.10 附录 B MAC-IP流表

1.10.1 MAC-IP流表支持能力

1.10.2 MAC-IP流表的限制

1.10.3 MAC-IP流表的Table Miss

1.10.4 MAC-IP Table与Extensibility Table的配合

1 OpenFlow

1.1  OpenFlow简介

1.1.1  OpenFlow概述

OpenFlow是SDN（Software Defined Network，软件定义网络）架构中定义的一个控制器与转发层之间的通信接口标准。OpenFlow允许控制器直接访问和操作网络设备的转发平面，这些网络设备可能是物理上的，也可能是虚拟的。

OpenFlow的思想是分离控制平面和数据平面，二者之间使用标准的协议通信；数据平面采用基于流的方式进行转发。

OpenFlow网络由OpenFlow设备（Switch）和控制器（Controller）通过安全通道（OpenFlow channel）组成，如图1-1所示。Switch与Controller通过TLS或者TCP建立安全通道，进行OpenFlow消息交互，实现表项下发、查询以及状态上报等功能。下文如果没有特殊说明，交换机指的就是OpenFlow设备。

图1-1 OpenFlow网络组成

1.1.2  OpenFlow Switch类型

OpenFlow Switch有下面两种：

·     OpenFlow-Only Switch：仅支持OpenFlow转发。

·     OpenFlow-Hybrid Switch：既支持OpenFlow转发，也支持正常转发。

1.1.3  OpenFlow接口

OpenFlow接口有下面三类：

·     物理接口：比如以太网接口。可以作为入接口和出接口。

·     逻辑接口：比如聚合接口、Tunnel接口等。可以作为入接口和出接口。

·     保留接口：由转发动作定义的接口，实现OpenFlow转发功能。除Any接口外，其他接口都可以作为出接口，仅Controller和Local可以作为入接口。具体类型请参见表1-1。

表1-1 保留接口类型

1.1.4  OpenFlow实例

OpenFlow支持多实例。每个OpenFlow实例可以单独连接控制器，相当于一台独立的交换机，根据控制器下发的流表项指导流量转发。下文如果没有特殊说明，交换机指的就是一个OpenFlow实例。

1. 全局实力

全局实例即对设备上所有流量进行OpenFlow处理。

2. 实例激活

需要激活实例后，OpenFlow才能将设备的支持能力、当前的接口信息等设备信息上报给控制器，控制器才能够下发流表项指导转发。

3. 实例所属接口

OpenFlow协议规定需要将接口信息上报给控制器，这些接口包括物理接口、逻辑接口以及保留接口中的Local。

1.1.5  OpenFlow流表

1. 流表项组成

OpenFlow通过流表（Flow Table）来匹配和处理报文，在同一个流表中按流表项的优先级进行先后匹配。一台交换机上可以包含一个或者多个流表。

流表分为两种类型：

·     MAC-IP流表：通过MAC地址表和FIB表实现。只能匹配目的MAC地址、VLAN以及目的IP地址，动作也仅支持修改目的MAC地址、源MAC地址、VLAN、TUNNEL ID以及指定出接口。具体请参见1.10  附录 B MAC-IP流表。

·     Extensibility流表：扩展流表，使用TCAM（Ternary Content Addressable Memory，三态内容寻址存储器）或者软件实现。

图1-2 流表项结构

流表项如图1-2所示：

·     Match Fields：匹配规则。可以匹配入接口、报文头等字段。

·     Priority：优先级。定义流表项之间的匹配顺序，优先级高的先匹配。

·     Counters：统计计数。统计有多少个报文和字节匹配到该流表项。

·     Instructions：动作指令集。定义匹配到该流表项的报文需要进行的处理。流表项动作指令集是对动作进行操作，流表项的动作有两种执行类型：

¡     动作集（Action Set）：一系列动作的组合，不会立刻修改报文内容，直到报文不再需要进入下一级流表，动作集里每种动作仅能存在一个，并且按照表1-2从上到下的顺序执行。

¡     动作序列（Action List）：需要立即执行的一系列动作，其动作内容与Action Set相同，但是会立即修改报文的内容，其效果是累加的，并且执行顺序是按照下发的顺序执行的。

表1-2 动作指令集定义

具体动作类型如表1-3所示。

表1-3 动作类型（1.3.1版本）

·     Timeouts：超时时间。包括了idle time和hard time。

¡     idle time：在idle time时间内，如果没有报文匹配到该流表项，则此流表项被删除。

¡     hard time：在hard time时间超时后，无论是否有报文匹配到该流表项，此流表项都会被删除

·     Cookie：控制器下发的流表项的标识。

2. 流表处理流程

如图1-3所示，当报文进入交换机后，必须从流表ID最小的流表开始依次匹配；流表可以按次序从小到大越级跳转，但不能从某一流表向前跳转至流表ID更小的流表。一旦在某个流表匹配到后，会更新此报文的动作集（允许被下一级流表覆盖），到了最后一个流表后，所有的动作会被执行，此时报文的内容会被修改，指定出接口进行转发。如果在某个流表处理时，处理指令包含Action List，则报文的一份拷贝立即执行Action List而不需要在最后一个流表处理结束后再执行。

图1-3 OpenFlow转发示意图

3. Table Miss表项

每个流表都包含一个Table Miss流表项，该表项用于定义在流表中没有匹配的报文的处理方式，该表项的匹配域为通配，即匹配任何报文，优先级为0，动作指令与正常表项相同。

1.1.6  Group Table

Group Table由Group表项组成，Group表项被流表项所引用，提供额外的报文转发功能。

图1-4 Group表项结构

·     Group Identifier：Group ID，用于识别Group，32bits。

·     Group Type：Group类型。

¡     All：执行所有动作桶，用于组播或者广播。

¡     Select：自动选择一个动作桶执行。

¡     Indirect：始终执行固定的动作桶。

¡     Fast failover：始终执行第一个活跃的动作桶。

·     Counters：当报文被Group处理时，更新计数器。

·     Action Buckets：一个由动作桶组成的有序列表。每个动作桶由许多动作组成。

1.1.7  Meter Table

Meter Table由Meter表项组成，Meter表项被流表项所引用，为所有引用Meter表项的流表项提供报文限速的功能。

图1-5 Meter表项结构

·     Meter Identifier：Meter ID，用于识别meter，32bits。

·     Meter Bands：一个Meter表项可以包含一个或者多个Meter Bands，每个Meter Band定义了速率以及动作。当报文的速率超过了某些Meter Band，根据这些Meter Band中速率最大的那个定义的动作进行处理。

·     Counters：当报文被Meter处理时，更新计数器。

图1-6 Meter Bands结构

·     Band Type：Band类型，定义报文如何处理。为可选，可使用丢弃（drop），即报文高于该速率会被丢弃；以及重新标记DSCP（dscp remark）。

·     Rate：Meter用于选择Band的最低速率，即报文速率高于该速率并最接近该速率，该Band将被应用。

·     Counters：当Band处理报文时，更新计数器。

·     Type Specific arguments：某些Band含有的特定参数。

1.1.8  OpenFlow channel

交换机与控制器通过TLS或者TCP建立Channel，进行OpenFlow消息交互，实现表项下发、查询以及状态上报等功能。

OpenFlow协议中定义了三种消息类型Controller to Switch消息、异步消息和同步消息，每种报文类型都有很多子类型。

1. Controller to Switch消息

Controller to Switch消息是指由控制器产生并发送到交换机，用来查询交换机的消息，可以不需要交换机响应。这些消息主要由控制器用来对交换机进行状态查询和修改配置等操作。

表1-4 Controller to Switch消息（1.3.1版本）

2. 异步（Asynchronous）消息

异步（Asynchronous）消息是由交换机发送给控制器，用来通知交换机上发生的某些异步事件的消息。例如，当某一条规则因为超时而被删除时，交换机将自动发送一条Flow-Removed消息通知控制器，以方便控制器作出相应的操作，如重新设置相关规则等。

表1-5 异步消息（1.3.1版本）

3. 对称（Symmetric）消息

对称（Symmetric）消息，就是双向对称的消息，主要用来建立连接和检测对方是否在线等。

表1-6 对称消息（1.3.1版本）

1.1.9  协议规范

·     OpenFlow Switch Specification Version 1.3.3

1.1.10  OpenFlow配置限制和指导

FIP-600业务板和SAP-4EXP业务板不支持OpenFlow功能。

1.2  OpenFlow配置任务简介

表1-7 OpenFlow配置任务简介

1.3  配置OpenFlow实例

1.3.1  创建OpenFlow实例

表1-8 创建OpenFlow实例

1.3.2  配置OpenFlow实例的基本能力

下面配置用于定义OpenFlow实例的基本能力，交换机在与控制器建立连接后会上报这些基本能力，控制器根据这些能力下发表项。

1. 配置OpenFlow全局实例

表1-9 配置OpenFlow全局实例

2. 配置流表ID

OpenFlow实例中可以配置多个流表。

表1-10 配置流表ID

3. 配置控制器模式

支持两种模式与控制器建立连接。

·     Single模式：同一时刻，仅与一个控制器建立连接，配置的多个控制器之间互为备份。当且仅当当前的连接断开后，交换机会连接下一个控制器，直到连接成功。

·     Multiple模式：同一时刻，允许与多个控制器建立连接。交换机会连接配置的所有控制器，在与某个控制器连接失败或者断开连接后，在重连时间间隔后重新与之进行连接，直到连接成功。

表1-11 配置控制器模式

4. 配置Extensibility表的流表项的最大个数

在OpenFlow实例中允许定义Extensibility流表支持的表项最大值，当控制器下发的流表表项个数超过最大值的时候，向控制器返回失败。

本配置是针对单个Extensibility流表的，当存在多个Extensibility流表时，每个流表都单独受此配置限制。

表1-12 配置Extensibility表的流表项的最大个数

5. 配置Datapath ID

Datapath ID用来在唯一标识交换机（OpenFlow实例），不同交换机（OpenFlow实例）的Datapath ID不能相同，配置时请注意。

表1-13 配置Datapath ID

6. 配置SSL服务器

OpenFlow实例启动SSL服务器之后，SSL客户端可以连接SSL服务器，并使用这个连接的通道完成OpenFlow协议的通信。

没有启动SSL服务器时，设备作为TCP/SSL客户端主动连接控制器（SSL服务器，需要相应配置）；启动SSL服务器之后，设备作为SSL服务器端被动等待控制器（SSL客户端）连接。

表1-14 配置SSL服务器

7. 配置缺省的table miss动作

如果配置了本命令，则实例下所有流表的缺省table miss动作为走正常二三层转发。如果没有配置本命令，则实例下所有流表的缺省table miss动作为丢弃。

设备上同时配置MPLS L3VPN和OpenFlow功能时，必须配置该功能，才能确保MPLS L3VPN报文正常转发。

表1-15 配置缺省的table miss动作

8. 配置禁止上送Controller的端口类型

配置该功能后，交换机不再向控制器上送对应VLAN或VSI端口的信息。

表1-16 配置禁止端口上送

1.3.3  激活OpenFlow实例

此功能用于激活实例。如果实例已经与控制器建立了连接，此时修改了实例基本能力配置并重新激活，交换机会断开与所有控制器的连接，清除已经下发的流表，根据当前的配置更新OpenFlow实例的能力集，重新与控制器建立连接。

表1-17 激活OpenFlow实例

1.4  配置连接Controller

一个OpenFlow交换机可以与多个Controller建立连接，初始连接时，多个Controller的角色相同，权限相同，Controller可以通过OpenFlow消息设置本Controller的角色，各种角色的权限如表1-18所示。

表1-18 Controller角色

1.4.1  配置主连接

交换机可以连接多个控制器，但仅允许与每个控制器建立一个主连接，一般用于控制消息的处理（下发流表项、获取数据、信息上报等），需要使用TCP/SSL保持可靠的连接。

如果交换机与控制器之间存在多条路由可达，当交换机进行主备倒换时或者重启后，希望通过原来的路由重新建立连接，而不是新选择的路由，此时可以通过配置交换机与控制器连接的源IP地址来实现。

表1-19 配置主连接

1.4.2  配置辅助连接

OpenFlow通道可以由一个主连接和多个辅助连接组成。辅助连接用于提高控制器和OpenFlow交换机的通信能力。辅助连接的目的地址和接口号可以和主连接不一致。

表1-20 配置辅助连接

1.4.3  配置连接中断模式

一旦交换机与所有控制器断开连接，则交换机必须进入连接中断模式，模式分为两种：

·     Secure模式：连接断开后，交换机根据流表项转发。不主动删除控制器下发的表项，而是等待表项超时后进行删除，一旦连接建立成功，未超时的表项依然存在。

·     Standalone模式：连接断开后，交换机正常转发。

如果交换机与控制器重新连接成功，则继续作为OpenFlow设备根据流表项进行转发。

表1-21 配置连接中断模式

1.5  配置OpenFlow定时器

控制器和交换机都会发送Echo request/reply报文，用于验证连接是否正常。

连接检测定时器用来定义发送Echo request报文时间间隔，当超过三次Echo request报文发送并且没有收到Echo reply报文，则交换机与控制器的连接断开。

重连定时器用来定义OpenFlow实例与控制器断开连接后下次开始重新连接的时间。

表1-22 配置OpenFlow定时器

1.6  配置支持动态MAC地址

此功能仅在支持MAC-IP流表情况下，决定是否支持控制器在查询或者删除流表项时包含动态MAC地址。

表1-23 配置支持动态MAC地址

1.7  OpenFlow显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后OpenFlow的运行情况。

表1-24 OpenFlow显示和维护

1.8  OpenFlow典型配置举例

1. 组网需求

·     创建全局实例类型的OpenFlow实例1，并激活实例。

·     配置OpenFlow实例1连接的控制器，用来控制Switch上的流量转发。

2. 组网图

图1-7 OpenFlow配置组网图

3. 配置步骤

(1)     创建实例1并配置其为全局实例

[Switch] openflow instance 1

[Switch-of-inst-1] classification global

(2)     配置控制器1的IP地址为192.168.49.49，并激活实例

[Switch-of-inst-1] controller 1 address ip 192.168.49.49

[Switch-of-inst-1] active instance

4. 验证配置

# 显示实例详细信息。

[Switch-of-inst-1] display openflow instance 1

Instance 1 information:

Configuration information:

 Description   : --

 Active status : Active

 Inactive configuration:

  None

 Active configuration:

  Classification: Global(Standard)

  In-band management VLAN, total VLANs(0)

   Empty VLAN

  Connect mode: Multiple

  Mac-address learning: Enabled

  Flow table:

   Table ID(type): 0(Extensibility), count: 0

  Flow-entry max-limit: 65535

  Datapath ID: 0x0064001122000101

  Default table-miss: Drop

  Forbidden port: None

  Qinq Network: Disabled

Port information:

 GigabitEthernet2/1/3

 Route-Aggregation1

Active channel information:

 Controller 1 IP address: 192.168.49.49 port: 6633

1.9  附录 A 应用限制

1.9.1  Flow Entry的限制

1. 匹配的限制

(1)     协议报文的匹配

对于协议报文，一旦相关的协议配置使能后，协议报文不会进入OpenFlow转发处理，仍然由相关协议进行处理。

(2)     MetaData的匹配

MetaData用于流表间的匹配信息传递，在非第一级流表支持下发MetaData的匹配，如果Controller在第一级流表下发了MetaData的匹配项，Switch返回不支持。

2. Instruction的限制

(1)     Clear actions的限制

·     单级流表的情况下，支持Clear actions。

·     多级流表的情况下，仅第一级流表支持Clear actions与其它instruction的动作配合，后续流表仅支持单独下发Clear Actions。

(2)     Apply actions的限制

不支持Action List中包含多个Output的情况，仅支持一个Output时，请参见1.9.2  。

(3)     Write MetaData/MetaMask

在且仅在非最后一级流表的情况下，Switch支持Write MetaData/MetaMask的操作，否则Switch返回不支持。

(4)     Go To Table

在且仅在非最后一级流表的情况下，Switch支持Go To Table的操作，否则Switch返回不支持。

1.9.2  Action List和Action Set整合的限制

OpenFlow Switch设备整合Action Set和Action List为Action Set，其整合原则如下。

1. 非Output Action

Action List和Action Set中的Action（除Output和Group外）如果不存在冲突，则全部保留为Action Set；如果存在冲突，则以Action Set的动作替换Action List中的动作（其原因是Action List要执行在Action Set之前）。

2. Output Action

·     当Action List和Action Set中都存在一个Output的Action时，Action List中的Output发送的报文不会对报文进行任何修改，其执行顺序最优，Action Set中的Ouput会执行Action List和Action Set中的所有修改。

·     当Action List和Action Set中仅存在一个Output的Action时，该Output为报文出接口，执行顺序按照Action Set的顺序。

·     当Action List中存在一个Output的Action，Action Set中存在一个Group的Action（Output的Action存在与否都可以）时，Action List中的Output发送的报文不会对报文进行任何修改，Group在Action Set中。

·     其它情况，不支持。

1.9.3  Packet Out的处理限制

1. 入接口限制

在Packet out消息中Output为Normal、Local、In port或To Controller时，入接口只能是设备上的物理接口或者逻辑接口，不能是OpenFlow保留口。

2. Buffer ID和报文内容同时存在的处理

在Packet Out消息中如果同时存在Buffer ID和报文，OpenFlow Switch只会获取Buffer ID对应的缓存报文进行处理，忽略消息中携带的报文。

1.9.4  Packet in的处理限制

报文缓存限制如下：

·     对于上送原因是No Match的报文支持缓存，缓存大小是1K个报文。

·     对于其它上送原因的报文不支持缓存，整个报文都会被上送，并且Cookie是全F。

1.9.5  Flow Mod的限制

1. Table Miss表项的添加、修改和删除

·     Switch在激活后缺省会生成Table Miss表项，其动作是Drop，此表项不能被Controller通过Modify的动作修改，不能被Controller通过Mulipart消息查询到，仅能由Controller通过Add进行添加Table Miss的动作进行修改。

·     Table Miss表项仅能通过严格匹配进行修改和删除，在非严格匹配的情况下，即使匹配项是通配也不能够操作Table Miss表项。

·     Table Miss表项被删除后，会生成缺省的Table Miss表项，其动作是Drop。

2. 普通表项的添加、修改和删除

·     在非严格匹配的情况下，不支持通过match域为通配修改所有普通流表项。

1.10  附录 B MAC-IP流表

OpenFlow Switch支持两种类型的Flow Table，MAC-IP类型和Extensibility类型。允许通过命令行指定Table ID，Flow Table会根据Table ID进行排序。Flow Table需要重新激活后才能生效。

MAC-IP流表是使用MAC地址表项和路由表项实现Flow Table；Extensibility表使用TCAM或者软件实现Flow Table。

1.10.1  MAC-IP流表支持能力

必选的能力是Controller下发时必须携带的匹配或者动作项，可选能力是下发时可携带可不携带，如果不携带的话由Switch添加缺省的匹配或者动作项。

三层表项使用路由表实现，其支持能力如表1-25所示。

表1-25 MAC-IP流表三层表项支持能力

VXLAN三层表项使用路由表实现，其支持能力如表1-26所示。

表1-26 MAC-IP流表VXLAN三层表项支持能力

1.10.2  MAC-IP流表的限制

MAC-IP流表的Flow Entry有一定的限制，Controller需要遵循这些限制下发表项，否则可能会造成转发错误。

三层表项的限制如表1-27所示。

表1-27 MAC-IP流表三层表项限制

VXLAN三层表项的限制如表1-28所示。

表1-28 MAC-IP流表VXLAN三层表项限制

1.10.3  MAC-IP流表的Table Miss

MAC-IP流表的Table Miss支持下列Output Action：

·     Go To Table：进入下一级流表；

·     Drop：丢弃报文；

·     Controller：报文上送Controller；

·     Normal：报文正常转发。

1.10.4  MAC-IP Table与Extensibility Table的配合

1. MetaData/Mask

MAC-IP Table和Extensibility Table通过MetaData/Mask可以实现多级流表。

MAC-IP Table支持Write MetaData/Mask，Extensibility支持Match MetaData/Mask。

MetaData Mask每个Bit表示不同的含义，MetaData中对应的Bit位置位表示匹配，未置位表示通配，具体参见表1-29。

表1-29 MetaData Mask含义