基于SD-WAN的工廠網(wǎng)絡(luò)互聯(lián)及安全解決方案

1、工業(yè)互聯(lián)網(wǎng)基于 SD-WAN 的工廠網(wǎng)絡(luò)互聯(lián)及安全解決方案目錄 HYPERLINK l _TOC_250029 概述1 HYPERLINK l _TOC_250028 需求分析3 HYPERLINK l _TOC_250028 解決方案10 HYPERLINK l _TOC_250028 成功案例16基于 SD-WAN 的工廠外部網(wǎng)絡(luò)互聯(lián)及安全解決方案概述背景工業(yè)網(wǎng)絡(luò)正在向扁平化、IP 化演進(jìn)，越來越多的工廠內(nèi)設(shè)備接入工業(yè)專網(wǎng)，并通過互聯(lián)網(wǎng)進(jìn)行跨區(qū)域傳輸。同時企業(yè)上云已經(jīng)成為共識，通過結(jié)合公有云與私有云，打造企業(yè)混合云成為未來一段時間內(nèi)的大趨勢。工業(yè)企業(yè)各機(jī)構(gòu)、廠區(qū)以及云數(shù)據(jù)中心間面臨不同于以

2、往的網(wǎng)絡(luò)互聯(lián)和網(wǎng)絡(luò)安全挑戰(zhàn)。傳統(tǒng)的網(wǎng)絡(luò)設(shè)備和網(wǎng)管系統(tǒng)使用復(fù)雜、技術(shù)要求高，不能滿足工業(yè)企業(yè)對網(wǎng)絡(luò)的便捷有效管理需求。同時為保證網(wǎng)絡(luò)安全，需要在網(wǎng)關(guān)處堆疊多種不同類型的安全設(shè)備，不但組網(wǎng)復(fù)雜，管理維護(hù)難度大，也自然造成設(shè)備采購和運(yùn)維成本高。為了解決這些問題，我們提出了基于 SD-WAN 的工廠外部網(wǎng)絡(luò)互聯(lián)及安全解決方案。實(shí)施目標(biāo)傳統(tǒng)工廠外部網(wǎng)絡(luò)的控制邏輯與硬件密切耦合，網(wǎng)絡(luò)內(nèi)如果引入異廠家設(shè)備，用戶就不得不維護(hù)多個管理系統(tǒng)，形成煙囪式的管理模式。這種模式操作復(fù)雜，企業(yè)運(yùn)營成本高。在此背景下，本文提出基于 SD-WAN 的工廠外部網(wǎng)絡(luò)互聯(lián)及安全解決方案，滿足工業(yè)用戶對網(wǎng)絡(luò)的 IP 化、無線化、扁平

3、化、靈活化要求。該解決方案基于SDN 和NFV 技術(shù)，采用軟硬件分離架構(gòu)， 將控制邏輯由傳統(tǒng)的硬件側(cè)上移到云平臺側(cè)，而硬件部分只需 要完成基本的流量轉(zhuǎn)發(fā)功能。云端管理平臺提供圖形化用戶界 面，展示豐富的網(wǎng)絡(luò)信息，包括硬件部分的在/離線狀態(tài)、流量 告警、硬件使用率、業(yè)務(wù)流量分類等。除網(wǎng)絡(luò)監(jiān)控外，云端管 理平臺還允許用戶自主配置工廠外部網(wǎng)絡(luò)，例如定義帶寬大小、實(shí)時性要求、安全防護(hù)、數(shù)據(jù)加密，甚至指定數(shù)據(jù)轉(zhuǎn)發(fā)路徑， 從而選擇最優(yōu)的網(wǎng)絡(luò)資源進(jìn)行數(shù)據(jù)傳輸?；?SD-WAN 的工廠外部網(wǎng)絡(luò)互聯(lián)及安全解決方案致力于為用戶提供便捷管理工廠外 部網(wǎng)絡(luò)的途徑，符合工業(yè)互聯(lián)網(wǎng)網(wǎng)絡(luò)的發(fā)展趨勢。適用范圍該解決方案適用

4、于所有工業(yè)領(lǐng)域的多個應(yīng)用場景，包括：跨區(qū)域廠區(qū)互聯(lián)保護(hù)工業(yè)內(nèi)網(wǎng)數(shù)據(jù)免受外部網(wǎng)絡(luò)惡意入侵集中監(jiān)控和配置工廠外部網(wǎng)絡(luò)相關(guān)參數(shù)，如帶寬、路由信息、網(wǎng)絡(luò)拓?fù)洹⒃L問策略等，減少網(wǎng)管人員投入在不便于布線的廠區(qū)，將重要數(shù)據(jù)通過 4G 傳輸給廠內(nèi)服務(wù)器處理打通公有云和私有云資源，形成工業(yè)混合云通過數(shù)據(jù)壓縮、緩存等優(yōu)化手段，提高數(shù)據(jù)傳輸速率選擇相對輕載的線路傳輸數(shù)據(jù)，避免流量分布不均引起的資源浪費(fèi)在工業(yè)互聯(lián)網(wǎng)網(wǎng)絡(luò)體系架構(gòu)中的位置圖 1 方案在工業(yè)互聯(lián)網(wǎng)網(wǎng)絡(luò)中的位置基于 SD-WAN 的工廠外部網(wǎng)絡(luò)互聯(lián)及安全解決方案涉及到圖1 中的智能工廠內(nèi)網(wǎng)邊緣、工廠外部網(wǎng)絡(luò)和工業(yè)云平臺（如紅色框線所示）。網(wǎng)關(guān)將工廠內(nèi)部數(shù)據(jù)收

5、集并通過外部網(wǎng)絡(luò)傳送到位于云端的集中管理平臺，用戶即可登錄瀏覽器遠(yuǎn)程查看并管理網(wǎng)絡(luò)。需求分析傳統(tǒng)工業(yè)網(wǎng)絡(luò)在實(shí)現(xiàn)工業(yè)信息化方面捉襟見肘，主要體現(xiàn)在：企業(yè)上云已成未來發(fā)展趨勢，如何將公有云的便捷性和私有云的安全性相結(jié)合，建立混合云組網(wǎng)結(jié)構(gòu)，成為企業(yè)必須解決的問題。工業(yè)互聯(lián)網(wǎng)使網(wǎng)絡(luò)從人與人互聯(lián)，轉(zhuǎn)變?yōu)槿?、物、料全面互?lián)。這就意味著原本封閉的工廠生產(chǎn)環(huán)境大量曝露在互聯(lián)網(wǎng)上，受到來自外部的惡意攻擊概率大大增加。 101 與此同時，生產(chǎn)網(wǎng)絡(luò)互聯(lián)后，數(shù)據(jù)存儲、傳輸均存在安全隱患。由于網(wǎng)絡(luò)設(shè)備型號多、種類復(fù)雜，企業(yè)對網(wǎng)絡(luò)的管理維護(hù)工作量大，出現(xiàn)故障時難以迅速排查。傳統(tǒng)工業(yè)網(wǎng)絡(luò)不能滿足工業(yè)互聯(lián)網(wǎng)對低時延的要求，

6、網(wǎng)絡(luò)時延成為影響實(shí)時性的瓶頸。多廠區(qū)互聯(lián)采用傳統(tǒng)的專線方式，容易造成網(wǎng)絡(luò)成本升高，給工業(yè)企業(yè)帶來沉重的經(jīng)濟(jì)負(fù)擔(dān)。鑒于現(xiàn)有網(wǎng)絡(luò)中存在的上述問題，工業(yè)用戶在數(shù)據(jù)安全防護(hù)、低成本廠區(qū)互聯(lián)、集中管理、混合云組網(wǎng)、低時延傳輸?shù)确矫娲嬖谄惹行枨蟆；?SDN/NFV 架構(gòu)的工業(yè)互聯(lián)網(wǎng)網(wǎng)絡(luò)，能有效解決工業(yè)用戶面臨的難題，加速推動企業(yè)信息化轉(zhuǎn)型。解決方案方案介紹本方案將目前最先進(jìn)的 SDN/NFV 技術(shù)運(yùn)用至企業(yè)廣域網(wǎng)， 形成了基于 SD-WAN 的工廠外部網(wǎng)絡(luò)互聯(lián)及安全解決方案。面向工業(yè)客戶提供符合工業(yè)能源行業(yè)標(biāo)準(zhǔn)、具有安全接入功能的自動化接入網(wǎng)關(guān)，同時配套提供集中管理平臺，實(shí)現(xiàn)工業(yè)專網(wǎng)的統(tǒng)一管理和運(yùn)營。支

7、持用戶自服務(wù)，客戶可通過平臺門戶對全網(wǎng)運(yùn)行的工業(yè)專網(wǎng)網(wǎng)關(guān)終端進(jìn)行統(tǒng)一配置與管理，自行配置網(wǎng)關(guān)、查詢網(wǎng)關(guān)狀態(tài)，實(shí)現(xiàn)網(wǎng)絡(luò)拓?fù)涔芾?、業(yè)務(wù)流量管理、異常狀態(tài)處理、遠(yuǎn)程管理維護(hù)等功能。該方案不僅可以為工業(yè)制造企業(yè)提供方便、快捷、靈活的專網(wǎng)建設(shè)和管理辦法，還可滿足工業(yè)企業(yè)客戶對數(shù)據(jù)安全傳輸和存儲需求。圖 2 是該解決方案 102 的網(wǎng)絡(luò)示意圖。系統(tǒng)架構(gòu)圖 2 方案網(wǎng)絡(luò)示意圖該解決方案主要包含位于云端的集中管理平臺和用戶數(shù)據(jù)出口側(cè)的網(wǎng)關(guān)兩部分。架構(gòu)設(shè)計(jì)遵從 SDN 和 NFV 技術(shù)特點(diǎn)。集中管理平臺集中管理平臺由四部分組成：集群控制器、NFV 管理器、云網(wǎng)關(guān)和統(tǒng)一用戶 Portal。平臺的組成架構(gòu)如圖 3

8、所示：圖 3 集中管理平臺系統(tǒng)架構(gòu)集群控制器為核心控制單元，負(fù)責(zé)整個網(wǎng)絡(luò)業(yè)務(wù)的管理和編排：協(xié)調(diào)管理平臺各個功能組件；對硬件網(wǎng)關(guān)設(shè)備進(jìn)行統(tǒng)一的接入控制管理； 103 實(shí)時管理網(wǎng)絡(luò)拓?fù)?；集中控制全網(wǎng)路由。NFV 管理器用于對云網(wǎng)關(guān)和硬件網(wǎng)關(guān)的虛擬化網(wǎng)絡(luò)功能進(jìn)行管理，各種業(yè)務(wù)配置的下發(fā)需通過 NFV 管理器進(jìn)行。云網(wǎng)關(guān)是部署在云端的網(wǎng)關(guān)節(jié)點(diǎn)，也是集中管理平臺的數(shù)據(jù)出口，負(fù)責(zé)流量的牽引、加密推送和轉(zhuǎn)發(fā)。采用 NFV 架構(gòu)， 內(nèi)部通過 Hypervisor 將硬件資源進(jìn)行抽象，分配給不同虛擬化網(wǎng)絡(luò)功能實(shí)例(VNF)。通過統(tǒng)一用戶 Portal，可實(shí)現(xiàn)對用戶的分權(quán)分域認(rèn)證管理以及對全部業(yè)務(wù)功能的統(tǒng)一管理。

9、SD-WAN 網(wǎng)關(guān)SD-WAN 網(wǎng)關(guān)部署在廠區(qū)數(shù)據(jù)出口，依托 X86 通用架構(gòu)，多種網(wǎng)絡(luò)功能通過虛擬機(jī)或容器方式部署至網(wǎng)關(guān)，實(shí)現(xiàn)網(wǎng)絡(luò)功能與硬件解耦。圖 4 SD-WAN 網(wǎng)關(guān)終端架構(gòu)網(wǎng)關(guān)終端架構(gòu)如圖 4 所示，Linux 操作系統(tǒng)負(fù)責(zé)管理 CPU、 104 內(nèi)存和硬盤等硬件資源。在統(tǒng)一控制引擎與命令解析器兩個模塊共同作用下，云端平臺下發(fā)的控制消息被解析成適配多個協(xié)議的指令，觸發(fā)相應(yīng)功能模塊工作運(yùn)行。網(wǎng)絡(luò)拓?fù)湓O(shè)計(jì)只需要在企業(yè)網(wǎng)絡(luò)出口處布放 SD-WAN 網(wǎng)關(guān)，基于互聯(lián)網(wǎng)連接，就可以實(shí)現(xiàn)任意兩點(diǎn)互聯(lián)互通。利用集中管理平臺可對所有接入網(wǎng)關(guān)設(shè)備進(jìn)行組網(wǎng)部署，支持用戶根據(jù)實(shí)際需要自主設(shè)計(jì)網(wǎng)絡(luò)拓?fù)?，例?

10、hub & spoke 和 full mesh 結(jié)構(gòu)。hub & spoke 組網(wǎng)在工業(yè)企業(yè)總部和各廠區(qū)分別部署 SD-WAN 網(wǎng)關(guān)設(shè)備，實(shí)現(xiàn)從各廠區(qū)到總部的 “點(diǎn)到點(diǎn)”的連接，組成 hub & spoke 結(jié)構(gòu)的工業(yè)網(wǎng)絡(luò)。圖 5 hub & spoke 網(wǎng)絡(luò)拓?fù)鋐ull mesh 組網(wǎng)在工業(yè)企業(yè)總部和各廠區(qū)分別部署 SD-WAN 網(wǎng)關(guān)設(shè)備，使總部、各廠區(qū)間所有點(diǎn)之間互相連接，組成 full mesh 結(jié)構(gòu)的工業(yè)網(wǎng)絡(luò)。 105 功能設(shè)計(jì)圖 6 full mesh 網(wǎng)絡(luò)拓?fù)浠诠I(yè)用戶網(wǎng)絡(luò)方面的嚴(yán)峻挑戰(zhàn)，我們從集中管理平臺和硬件兩個維度出發(fā)，設(shè)計(jì)解決方案具備的功能特點(diǎn)。集中管理平臺憑借云化部署的

11、特點(diǎn)，我們?yōu)橛脩籼峁┝烁呖捎?、支持靈 活擴(kuò)展的集中管理平臺。該平臺采用 portal 技術(shù)為用戶呈現(xiàn)統(tǒng)一的登錄方式，支持個人電腦和手持終端無縫訪問，可極大提 高用戶體驗(yàn)，節(jié)省網(wǎng)絡(luò)管理人員投入，真正實(shí)現(xiàn)網(wǎng)絡(luò)無憂運(yùn)營。該平臺支持如下功能：對接入設(shè)備進(jìn)行鑒權(quán)認(rèn)證按照角色對人員進(jìn)行分權(quán)分域管理，分為超級管理員和普通管理員，不同用戶只能操作管轄范圍內(nèi)的網(wǎng)絡(luò)，防止不法登錄圖形化展示網(wǎng)絡(luò)狀態(tài)，包括網(wǎng)絡(luò)拓?fù)洹I(yè)務(wù)分類、流量大小、硬件使用、告警信息等向合法接入平臺的網(wǎng)關(guān)下發(fā)功能配置信息，包括 VPN、FW、 106 DPI 等規(guī)劃網(wǎng)絡(luò)結(jié)構(gòu)和路由信息工業(yè)網(wǎng)關(guān)為了滿足工業(yè)用戶在多廠區(qū)間快速組網(wǎng)，實(shí)現(xiàn)點(diǎn)對點(diǎn)網(wǎng)絡(luò)實(shí)時通

12、信，同時保證工廠內(nèi)部數(shù)據(jù)安全傳輸?shù)刃枨螅I(yè)網(wǎng)關(guān)支持如下功能：快速組建工業(yè)虛擬專網(wǎng)在整合國密、DES、AES128 等經(jīng)典加密算法基礎(chǔ)上，網(wǎng)關(guān)支持 IPSec、SSL、VxLAN 等常用 VPN 策略，助力企業(yè)快速建立虛擬專網(wǎng)。其中 VxLAN 可在數(shù)據(jù)中心間構(gòu)建大二層網(wǎng)絡(luò)，解決邏輯網(wǎng)段不足、虛擬機(jī)動態(tài)遷移等問題。網(wǎng)絡(luò)安全網(wǎng)關(guān)具備防火墻、防DoS/DDoS 攻擊、IDS/IPS、UTM 等多種安全功能。工業(yè)企業(yè)客戶可根據(jù)自身業(yè)務(wù)需求來動態(tài)配置安全防護(hù)策略，防止外部應(yīng)用對網(wǎng)關(guān)設(shè)備端口的惡意掃描、攻擊， 主動辨別入侵行為，提高工業(yè)網(wǎng)絡(luò)安全性。多種接入方式網(wǎng)關(guān)支持有線/無線接入模式，其中無線接入采用

13、 4G 技術(shù)， 適用于不方便布線的 4G 信號覆蓋區(qū)域，包括地理位置偏遠(yuǎn)的廠區(qū)、倉庫或者移動辦公點(diǎn)等。QoS 策略網(wǎng)關(guān)設(shè)備支持定義QoS 流量策略：基于 IP 地址、端口、MAC 地址等進(jìn)行數(shù)據(jù)流的識別和分類，并對不同數(shù)據(jù)流進(jìn)行 QoS 適配。 107 安全及可靠性該方案改進(jìn)了傳統(tǒng)網(wǎng)絡(luò)管理方式，讓工業(yè)用戶精準(zhǔn)掌握網(wǎng)絡(luò)運(yùn)行情況，在線定制結(jié)構(gòu)和功能，節(jié)省了高額的網(wǎng)絡(luò)成本。同時，提供了如下方法保障方案的安全性及可靠性，以防患于未然。豐富的網(wǎng)絡(luò)安全策略網(wǎng)關(guān)設(shè)備同時支持防火墻、DDoS、IDS/IPS、UTM、FW 等多種網(wǎng)絡(luò)安全功能，所有功能均可通過集中管理平臺統(tǒng)一配置。采用冗余鏈路兩條接入線路采用主

14、從（Active-Standby）模式，一旦主用線路出現(xiàn)問題，則自動切換至備線，不影響正常網(wǎng)絡(luò)通信。支持 4G 功能的網(wǎng)關(guān)設(shè)備自帶 4G 天線作為無線WAN 口，結(jié)合互聯(lián)網(wǎng)專線，即可實(shí)現(xiàn)無線/有線雙鏈路備份。遇到有線鏈路異常，可無縫切換到無線鏈路，最大限度減少接入線路故障引起的網(wǎng)絡(luò)中斷時長?；趧討B(tài)路由協(xié)議的設(shè)備冗余當(dāng)企業(yè)出口主用網(wǎng)關(guān)發(fā)生異常時，通過 BGP、OSPF 等動態(tài)路由協(xié)議自動發(fā)現(xiàn)有效路徑，數(shù)據(jù)包通過備用網(wǎng)關(guān)轉(zhuǎn)發(fā)出去。圖 7 采用動態(tài)路由協(xié)議的網(wǎng)關(guān)冗余 108 基于 VRRP 的設(shè)備冗余通過集中管理平臺開啟網(wǎng)關(guān)的 VRRP 功能。在重要節(jié)點(diǎn)布設(shè)兩臺網(wǎng)關(guān)，當(dāng)主網(wǎng)關(guān)發(fā)生故障不能轉(zhuǎn)發(fā)流量時

15、，備用路由根據(jù) 預(yù)先設(shè)定的規(guī)則代替主網(wǎng)關(guān)進(jìn)行工作。VRRP 技術(shù)不改變網(wǎng)絡(luò)結(jié)構(gòu)，在某臺設(shè)備出現(xiàn)故障的情況下仍然提供高可靠的缺省網(wǎng)關(guān)， 有效避免單一設(shè)備出現(xiàn)問題后的網(wǎng)絡(luò)中斷問題。軟件可靠性圖 8 采用 VRRP 協(xié)議的網(wǎng)關(guān)冗余硬件網(wǎng)關(guān)支持虛擬機(jī)高可用技術(shù)。一臺 SD-WAN 網(wǎng)關(guān)里安裝兩套 VM，每套 VM 都具備完整的業(yè)務(wù)功能（VPN、UTM、NAT 等）。當(dāng)主用VM 出現(xiàn)故障，網(wǎng)關(guān)自動切換到備用 VM，實(shí)現(xiàn)軟件層面的可靠性保護(hù)。成功案例某發(fā)動機(jī)制造企業(yè) SD-WAN 工業(yè)專網(wǎng)方案該發(fā)動機(jī)制造企業(yè)通過部署 SD-WAN 網(wǎng)關(guān)實(shí)現(xiàn)工業(yè)專網(wǎng)的組建，并保證專網(wǎng)安全。在該企業(yè)總部廠區(qū)與工程研究院之間各部署一臺安全網(wǎng)關(guān)，通過安全網(wǎng)關(guān)在兩點(diǎn)間部署主備兩條數(shù)據(jù)鏈路進(jìn)行數(shù)據(jù)傳輸，主用鏈路為一條點(diǎn)對點(diǎn)數(shù)據(jù)專線，該鏈路為企業(yè)專用，與Internet 物理隔離。備用鏈路為使用 SD-WAN 產(chǎn) 109 品建立的一條加密的 IPSec VPN 隧道，通過 TD-LTE 無線網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)傳輸?；?IPSec 的加密功能，可以保證數(shù)據(jù)的端到端 安全傳輸。SD-WAN 網(wǎng)關(guān)支持 TD-LTE 通信功能，在不額外增加物理鏈路的情況下，快速完成備用鏈路的部署。在主鏈路故障時， 業(yè)務(wù)會自動切換至 TD-LTE 鏈路。在該企業(yè)的歐洲研發(fā)中心中部署安全網(wǎng)關(guān)，并與總部廠區(qū)基于 Internet 建立加密的跨國IPSe