SDN实战精讲（完整版）第9篇：Cisco SD-Access企业网解决方案

摘要

本文将带你深入了解Cisco SD-Access——Cisco基于SDN的企业园区网络解决方案。你将学到SD-Access的架构设计、Fabric架构原理、LISP与VXLAN GPE等关键技术、Cisco DNA Center管理平台、ISE集成、边界节点与融合路由器、SD-Access与SD-WAN的统一集成，以及与ACI的对比。通过本文，你将全面掌握Cisco SD-Access解决方案的设计原则和实施方法。

学习目标

阅读完本文后，你将能够：

能力1：清晰阐述SD-Access的定义、价值与Cisco园区网络演进方向
能力2：详细描述SD-Access Fabric架构和不同平面的功能
能力3：理解LISP、VXLAN GPE、SGT等SD-Access关键技术
能力4：掌握DNA Center和ISE在SD-Access中的作用和集成方式
能力5：了解SD-Access的部署场景、边界集成和与SD-WAN的统一架构

引言：企业园区网络的现代化转型

企业园区网络正经历深刻的数字化转型。移动办公、物联网、云应用和安全威胁的变化，推动着园区网络架构的演进。传统的基于VLAN和ACL的园区网络已经难以满足现代企业的需求。

51学通信认为：“Cisco SD-Access代表了Cisco对SDN在园区网络应用的完整愿景。它不仅仅是技术的堆砌，而是经过深思熟虑的架构设计，将自动化、策略驱动和安全融入网络的DNA。对于Cisco客户来说，SD-Access是园区网络现代化的理想路径。“

一、Cisco SD-Access概述

1.1 SD-Access的定义

Cisco SD-Access（Software-Defined Access）是Cisco基于SDN架构的企业园区网络解决方案，它通过自动化、策略驱动和虚拟化技术，简化园区网络的部署、管理和运维。

SD-Access的核心价值：

自动化部署：零接触配置，新设备自动注册和配置
策略驱动：基于身份和角色的策略，与位置无关
网络虚拟化：Fabric架构实现灵活的分割
威胁检测：集成安全功能，快速检测和响应威胁
简化运维：统一管理界面，降低运营复杂度

1.2 SD-Access的演进背景

传统园区网络面临的核心挑战推动了SD-Access的诞生：

管理复杂性：

基于VLAN和ACL的手动配置
策略分散在多个设备
用户移动需要重新配置

安全威胁：

内部横向移动威胁
IoT设备缺乏隔离
传统边界防御不足

用户体验：

策略与位置绑定
漫游体验差
访问申请周期长

SD-Address通过Fabric架构、自动化策略和安全集成，从根本上解决了这些问题。

1.3 SD-Access的应用场景

SD-Access适用于多种企业园区网络场景：

企业总部：大规模园区网络，需要灵活的策略管理
分支机构：远程办公，需要与总部一致的策略
高安全环境：政府、金融等需要严格访问控制的场所
多租户环境：共享基础设施但需要隔离的组织

二、Cisco SD-Access架构

2.1 Fabric架构

SD-Access基于Fabric（结构）架构，将园区网络重构为可编程、自动化和安全的平台。

Fabric的核心原则：

逻辑架构与物理架构分离：网络拓扑与物理布线解耦
控制平面与数据平面分离：集中控制、分布式转发
身份与策略驱动：基于用户身份定义访问策略

flowchart TB
    subgraph Physical[物理架构]
        Border[边界节点<br/>Border Node]
        Edge[边缘节点<br/>Edge Node]
        Control[控制平面节点<br/>Control Plane Node]
        LISP[LISP Map Server<br/>LISP Map Resolver]
    end

    subgraph Logical[Fabric Overlay]
        VN[虚拟网络<br/>Virtual Network]
        SGT[安全组标签<br/>Scalable Group Tag]
        Policy[基于策略的转发<br/>Policy-Based Forwarding]
    end

    subgraph Management[管理层]
        DNA[DNA Center<br/>自动化与编排]
        ISE[ISE<br/>身份与策略]
        pxGrid[pxGrid<br/>安全情报共享]
    end

    Physical --> Fabric[支持]
    Management -->|管理| Physical
    Logical -->|实现于| Physical

    style Physical fill:#e8f5e9
    style Logical fill:#fff3e0
    style Management fill:#e1f5ff

图表讲解：这个架构图展示了SD-Access的三个主要维度。物理层包含各种节点：边界节点连接外部网络，边缘节点连接终端设备，控制平面节点处理Fabric控制逻辑，LISP服务器提供位置/身份分离服务。逻辑层包含虚拟网络、安全组标签和基于策略的转发，是Fabric的抽象能力。管理层包含DNA Center（自动化编排）、ISE（身份策略管理）和pxGrid（安全情报），提供统一的管理平面。

这种多维度的架构设计使SD-Access能够同时满足多个需求：物理网络保持简洁稳定，逻辑网络提供灵活的分割，管理层实现自动化和策略驱动。

2.2 SD-Access的主要组件

边界节点（Border Node）

边界节点是Fabric与外部网络的连接点，负责：

连接非Fabric网络（传统园区、WAN、Internet）
实现Fabric内外流量的策略执行
提供DHCP、DNS等网络服务

边缘节点（Edge Node）

边缘节点是终端设备的接入点，负责：

终端设备的连接（有线、无线）
流量封装和解封装
策略执行和流量转发

控制平面节点（Control Plane Node）

控制平面节点处理Fabric的控制逻辑：

维护端点位置信息（LISP）
处理终端注册和位置更新
计算最优转发路径

LISP Map Server/Resolver

LISP（Locator/ID Separation Protocol）是SD-Access的关键技术：

分离：将设备身份（EID）与位置（RLOC）分离
映射：维护EID到RLOC的映射关系
移动性：设备移动时更新映射，保持会话连续

2.3 SD-Access的不同平面

SD-Access将网络功能分为不同平面，每个平面承担特定职责。

flowchart TB
    subgraph Planes[SD-Access平面架构]
        CP[控制平面<br/>LISP协议]
        DP[数据平面<br/>VXLAN GPE封装]
        PP[策略平面<br/>SGT标签]
        MP[管理平面<br/>DNA Center]
    end

    subgraph Functions[各平面功能]
        F1[端点注册<br/>位置维护<br/>路径计算]
        F2[流量转发<br/>封装解封装<br/>负载均衡]
        F3[访问控制<br/>安全隔离<br/>流量标记]
        F4[自动化编排<br/>策略管理<br/>监控分析]
    end

    CP --> F1
    DP --> F2
    PP --> F3
    MP --> F4

    style Planes fill:#e8f5e9
    style Functions fill:#fff3e0

图表讲解：这个分解图展示了SD-Access的四个平面及其功能。控制平面基于LISP协议，负责端点注册、位置维护和路径计算。数据平面使用VXLAN GPE封装，处理流量转发和负载均衡。策略平面使用SGT（安全组标签）实现访问控制和安全隔离。管理平面通过DNA Center提供自动化编排、策略管理和监控分析。

这种平面分离设计使每个平面可以独立优化和演进，同时通过清晰的接口协同工作。控制平面的变更不会影响数据平面转发，策略平面的调整不会破坏网络连通性，这种解耦是SD-Access灵活性的基础。

三、SD-Access关键技术

3.1 LISP协议

LISP（Locator/ID Separation Protocol）是SD-Access的核心控制平面协议，实现了设备身份与位置的分离。

LISP的基本概念：

EID（Endpoint ID）：设备的端点标识符，通常是IP地址，保持不变
RLOC（Routing Locator）：设备的路由定位符，是VTEP的IP地址，可变的
Map Server：维护EID到RLOC的映射关系
Map Resolver：查询EID的RLOC位置

LISP工作流程：

sequenceDiagram
    participant Host as 终端设备
    participant Edge as 边缘节点
    participant MS as LISP Map Server
    participant MR as LISP Map Resolver
    Remote as 远程设备

    Host->>Edge: 1. 连接网络
    Edge->>MS: 2. 注册EID-RLOC映射
    MS-->>Edge: 3. 确认注册

    Host->>Edge: 4. 发送数据包<br/>目的: 远程设备EID
    Edge->>MR: 5. 查询远程设备RLOC
    MR->>MS: 6. 查询映射
    MS-->>MR: 7. 返回RLOC
    MR-->>Edge: 8. 返回RLOC

    Edge->>Edge: 9. 封装数据包<br/>VXLAN GPE
    Edge->>Remote: 10. 发送到远程RLOC

    Note over Host,Remote: LISP分离身份与位置<br/>简化移动性管理

图表讲解：这个序列图展示了LISP在SD-Access中的作用。终端设备连接网络时，边缘节点向LISP Map Server注册设备的EID到RLOC映射。当设备需要与远程设备通信时，边缘节点向LISP Map Resolver查询远程设备的RLOC，然后封装数据包发送到目标位置。

这种机制使设备移动变得简单：当设备移动到新位置时，只需向LISP服务器更新其RLOC，所有通信会自动重定向到新位置，无需改变设备的EID或中断现有会话。这是SD-Access实现”策略跟随用户”的技术基础。

3.2 VXLAN GPE

VXLAN GPE（Generic Protocol Extension）是VXLAN的扩展，用于SD-Access的数据平面封装。

VXLAN GPE的特点：

扩展了VXLAN的协议类型字段
支持多种协议的封装
保留VXLAN的24位VNI
与LISP控制平面协同

GPE封装格式：

+---------------------------------------------------+
| 外层以太网头 (14字节)                              |
+---------------------------------------------------+
| 外层IP头 (20字节)                                  |
+---------------------------------------------------+
| 外层UDP头 (8字节)                                  |
+---------------------------------------------------+
| VXLAN GPE头 (8字节)                                |
| - Flags: I=1 (GPE扩展)                            |
| - Next Protocol: LISP等                           |
| - VNI: 24位网络标识符                               |
+---------------------------------------------------+
| 内层协议 (如原始IP包)                              |
+---------------------------------------------------+

3.3 SGT（安全组标签）

SGT（Scalable Group Tag）是Cisco TrustSec技术的核心，用于实现基于标签的访问控制。

SGT的特点：

16位标签，支持65536个安全组
数据包携带标签，与IP地址解耦
端到端策略执行，跨越三层网络

SGT在SD-Access中的作用：

flowchart TD
    subgraph Assignment[SGT分配]
        ISE[ISE服务器<br/>身份识别]
        AAA[AAA认证<br/>用户授权]
        Posture[Posture检查<br/>设备状态]
    end

    subgraph Enforcement[策略执行]
        Switch[接入交换机<br/>SGT标记]
        Firewall[防火墙<br/>SGT过滤]
        Router[路由器<br/>SGT传播]
    end

    subgraph Policy[策略定义]
        Group1[财务组<br/>SGT: 10]
        Group2[研发组<br/>SGT: 20]
        Contract[合约<br/>允许/拒绝]
    end

    ISE --> Assignment
    AAA --> Assignment
    Posture --> Assignment

    Assignment -->|分配SGT| Group1
    Assignment -->|分配SGT| Group2

    Contract -->|策略下放| Enforcement

    Group1 -.策略控制.-> Group2

    style Assignment fill:#e1f5ff
    style Enforcement fill:#e8f5e9
    style Policy fill:#fff3e0

图表讲解：这个流程图展示了SGT的分配和执行过程。ISE通过AAA认证、Posture检查等方式识别用户和设备身份，分配相应的SGT。接入交换机在数据包中标记SGT，防火墙根据SGT执行访问控制，路由器在不同网段间传播SGT。策略层定义了不同安全组之间的合约，规定哪些组可以通信。

SGT机制使策略与IP地址和VLAN解耦，实现了真正的”身份驱动网络”。用户无论从哪里接入，都获得相同的SGT和策略，提供了策略的一致性和用户体验的连续性。

四、Cisco DNA Center

4.1 DNA Center介绍

Cisco DNA Center是SD-Access的统一管理平台，提供自动化、保障和编排功能。

DNA Center的核心功能：

自动化：
- 自动化设备配置和部署
- 模板化的网络服务配置
- 工作流驱动的变更管理
保障：
- 实时网络健康监控
- 问题快速定位和根因分析
- 用户体验洞察
编排：
- 跨域策略编排
- 服务链自动化部署
- 与第三方系统集成

4.2 DNA Center架构

DNA Center采用微服务架构，各功能模块独立部署和扩展。

主要组件：

Automation（自动化）：设备配置、模板管理、工作流引擎
Assurance（保障）：Telemetry数据收集、分析引擎、可视化
Policy（策略）：SGT策略、Fabric管理、 segmentation
Platform（平台）：API网关、数据库、消息总线

4.3 DNA Center与设备集成

DNA Center通过多种协议与网络设备集成：

NETCONF/YANG：配置管理
gRPC/Telemetry：遥测数据收集
SSH：传统CLI管理
API：第三方集成

五、Cisco ISE集成

5.1 ISE在SD-Access中的作用

Cisco ISE（Identity Services Engine）是SD-Access的身份和策略管理平台。

ISE的核心功能：

身份管理：
- 用户身份存储和验证
- 设备身份识别（MAC、证书、posture）
- 来宾用户管理
策略定义：
- 基于角色的访问策略
- SGT分配和合约定义
- 动态授权策略
合规检查：
- 设备posture评估
- 持续监控和策略调整
- 不合规设备的隔离

5.2 ISE与DNA Center的集成

ISE与DNA Center紧密集成，实现完整的自动化策略生命周期。

集成流程：

sequenceDiagram
    participant User as 用户
    participant Switch as 网络设备
    participant ISE as ISE服务器
    participant DNA as DNA Center

    User->>Switch: 1. 连接网络
    Switch->>ISE: 2. 802.1X认证请求
    ISE->>ISE: 3. 验证凭证

    ISE->>DNA: 4. 查询策略
    DNA-->>ISE: 5. 返回SGT分配

    ISE-->>Switch: 6. 认证成功+SGT
    Switch->>DNA: 7. 注册Fabric节点
    DNA-->>Switch: 8. 部署Fabric策略

    Switch-->>User: 9. 网络访问授权

    Note over User,DNA: 自动化策略部署<br/>零接触体验

图表讲解：这个序列图展示了ISE与DNA Center协同的自动化流程。用户连接网络时，网络设备将认证请求转发给ISE。ISE验证用户凭证，并向DNA Center查询该用户的策略和SGT分配。DNA Center返回相应的SGT，ISE完成认证并将SGT通知网络设备。网络设备向DNA Center注册为Fabric节点，DNA Center部署相应的策略。最终用户获得网络访问权限，整个过程自动化完成，无需人工干预。

这种深度集成使SD-Access能够实现真正的”零接触部署”和”自动化策略”，大幅降低了网络运维的复杂度。

六、SD-Access外部网络集成

6.1 边界节点类型

SD-Access通过不同类型的边界节点与外部网络集成。

边界节点类型：

Fabric Border：连接外部网络（WAN、Internet、其他Fabric）
融合路由器：连接传统园区网络
传输边缘：连接SD-WAN网络

6.2 融合路由器

融合路由器（Fusion Router）连接传统园区网络与SD-Access Fabric。

融合路由器的功能：

网络地址转换（NAT）
路由协议转换（LISP to IP）
策略执行（SGT与ACL转换）
DHCP/DNS服务

集成场景：

flowchart LR
    subgraph SDAccess[SD-Access Fabric]
        Edge[边缘节点]
        SGT[SGT标记流量]
    end

    subgraph Traditional[传统园区网络]
        VLAN[基于VLAN的网络]
        ACL[访问控制列表]
    end

    subgraph Fusion[融合路由器]
        Convert[协议转换]
        Translate[策略转换]
    end

    Edge --> SGT
    SGT --> Fusion
    Fusion --> Convert
    Fusion --> Translate
    Convert --> VLAN
    Translate --> ACL

    style SDAccess fill:#e8f5e9
    style Traditional fill:#fff3e0
    style Fusion fill:#e1f5ff

图表讲解：这个流程图展示了SD-Access与传统网络通过融合路由器集成的过程。SD-Access Fabric内使用SGT标记流量，流量到达融合路由器后，协议转换模块将LISP/VXLAN封装转换为传统IP路由，策略转换模块将SGT策略转换为传统ACL。转换后的流量进入传统园区网络，通过VLAN和ACL进行转发和控制。

这种集成方式使企业可以渐进式地向SD-Access迁移，不需要一次性替换整个网络。部分区域可以先部署SD-Access，通过融合路由器与传统网络互联，逐步扩大SD-Access覆盖范围。

6.3 SD-Access与SD-WAN统一集成

SD-Access与Cisco SD-WAN可以统一集成，实现从园区到广域网的端到端SDN解决方案。

统一集成的优势：

统一策略：园区和广域网使用一致的安全策略
集中管理：DNA Center统一管理园区和WAN设备
智能路由：园区到数据中心的流量智能选择最优路径
应用优化：端到端的应用性能保障

集成架构：

flowchart TB
    subgraph Campus[SD-Access园区]
        Branch[分支机构]
        HQ[总部]
    end

    subgraph WAN[SD-WAN网络]
        vEdges[vEdge节点]
        Controllers[vSmart控制器]
    end

    subgraph DC[数据中心]
        Fabric[SD-Access Fabric]
        ACI[ACI Fabric]
    end

    Branch <-->|SD-WAN| vEdges
    HQ <-->|SD-WAN| vEdges
    vEdges <-->|控制| Controllers

    vEdges -->|到总部| Fabric
    vEdges -->|到DC| ACI

    Controllers -.策略同步.-> Fabric

    style Campus fill:#e8f5e9
    style WAN fill:#fff3e0
    style DC fill:#e1f5ff

图表讲解：这个架构图展示了SD-Access与SD-WAN的统一集成。园区内的分支机构和总部通过SD-WAN连接，使用vEdge节点作为SD-WAN边缘设备，vSmart控制器管理SD-WAN网络。园区总部和数据中心分别部署SD-Access Fabric和ACI Fabric，vEdge节点连接到这些Fabric。控制器之间实现策略同步，确保端到端的策略一致性。

这种统一架构提供了从用户终端到云应用的完整SDN解决方案，实现了真正的”软件定义企业网络”。

七、Cisco ACI vs SD-Access

7.1 功能对比

维度	Cisco ACI	Cisco SD-Access
目标环境	数据中心	园区网络
核心技术	VXLAN/OpFlex	LISP/VXLAN GPE
策略模型	EPG/Contract	SGT/Contract
管理平台	APIC	DNA Center
安全模型	微分段	宏分段+微分段
典型设备	Nexus 9000	Catalyst 9000

7.2 选择建议

选择ACI的场景：

大型云数据中心
需要应用为中心的策略模型
以服务器为中心的网络

选择SD-Access的场景：

企业园区网络
需要用户为中心的策略模型
以用户为中心的网络

混合部署：

对于同时拥有数据中心和园区的企业，可以选择混合部署：数据中心使用ACI，园区使用SD-Access，通过统一的策略管理框架实现协同。

八、SD-Access部署实践

8.1 部署前准备

网络评估：

评估现有网络架构和设备
识别迁移优先级
规划Fabric域名和IP地址方案

设备准备：

确认设备SD-Access支持
升级设备软件版本
准备DNA Center和ISE服务器

策略设计：

定义用户角色和设备类型
设计安全组和合约
规划网络分段策略

8.2 部署步骤

第一阶段：基础部署

部署DNA Center和ISE
配置Fabric域名和IP池
配置边界节点和边缘节点
验证Fabric连通性

第二阶段：策略部署

配置AAA和ISE集成
定义安全组和合约
部署接入策略
验证策略执行

第三阶段：扩展部署

扩展到更多网络区域
集成无线网络
部署外部网络连接
优化和调整

8.3 运维最佳实践

持续监控：

使用DNA Assurance监控网络健康
设置告警和阈值
定期审查策略日志

策略优化：

定期审查安全组定义
优化合约规则
清理不用的策略

变更管理：

使用DNA Center的变更管理功能
测试变更后再部署
保留变更历史和回滚选项

常见问题解答

Q1：SD-Access与传统园区网络的主要区别是什么？迁移是否必须一次性完成？

答：SD-Access与传统园区网络的根本区别在于架构理念和运维模式。传统网络基于VLAN和ACL，策略与物理位置绑定，配置是逐设备手动进行的。SD-Access基于Fabric架构，使用LISP和SGT技术，策略与身份绑定，配置是通过DNA Center自动化进行的。这种转变从根本上改变了网络的设计、部署和运维方式。

迁移不需要一次性完成，事实上Cisco推荐渐进式迁移。可以在园区的一个区域（如新建区域或非关键区域）首先部署SD-Access，验证效果后再扩展到其他区域。融合路由器使SD-Access与传统网络可以共存并互操作。这种渐进式迁移降低了风险，使组织可以积累经验和信心。完整的迁移可能需要数月到数年时间，但这是值得的投资，因为最终带来的运营效率和用户体验提升是显著的。

Q2：DNA Center是否是SD-Access的必需组件？能否使用其他管理平台？

答：DNA Center是SD-Access的官方和推荐管理平台，提供了完整的自动化、保障和编排功能。从技术上讲，SD-Access的核心功能（LISP、VXLAN GPE、SGT）可以在没有DNA Center的情况下工作，通过CLI或其他工具配置。但实际上，这样做会失去SD-Access的大部分价值。

DNA Center提供的不仅仅是配置管理，更重要的是自动化工作流、策略生命周期管理、实时监控和分析、与ISE的深度集成等。这些功能是SD-Access”即插即用”体验的基础。没有DNA Center，SD-Access会变成一组需要手动配置的技术，复杂度和出错风险都会显著增加。

至于其他管理平台，第三方工具可以通过API与SD-Access集成，但通常只能提供部分功能。对于完整的SD-Access体验，DNA Center是必需的。51学通信站长爱卫生建议：“在规划SD-Access部署时，将DNA Center作为必备组件，而不是可选组件。它的价值会很快体现，特别是在减少运维工作量和提高网络响应速度方面。“

Q3：SD-Access对无线网络的支持如何？有线无线策略能否统一？

答：SD-Access对无线网络有完整支持，这是其相对于许多其他园区SDN解决方案的优势。SD-Access可以统一管理有线和无线网络，使用相同的策略模型（SGT/Contract），无论用户通过有线还是无线接入，都获得一致的网络体验和访问权限。

无线集成通过Cisco无线控制器（如Catalyst 9800）实现。无线接入点作为SD-Access的边缘节点，可以：

自动注册到Fabric
为无线客户端分配SGT
执行基于角色的访问策略
支持无缝漫游（客户端在不同AP间移动时保持会话和策略）

这种有线无线统一策略的能力是现代园区网络的关键需求。用户在会议室使用Wi-Fi，回到工位使用有线连接，访问权限和网络体验保持一致。管理员只需定义一次策略，适用于所有接入方式。SD-Access实现了真正的”以用户为中心”的网络，而不是”以端口为中心”或”以设备为中心”的网络。

Q4：SD-Address是否适用于小型园区？成本投入是否合理？

答：SD-Access确实最初是为大型园区设计的，但Cisco也推出了面向中小型企业的版本和定价。小型园区是否应该采用SD-Access取决于几个因素：网络复杂度、安全要求、IT团队规模、未来扩展计划。

对于网络拓扑简单、用户数量少（如几十到几百人）、安全要求不高的场所，SD-Access可能”杀鸡用牛刀”，传统的VLAN/ACL方案可能更经济实用。但对于有特殊安全要求（如金融、医疗）、或计划快速增长的组织，SD-Access的投资回报可能更快实现。

成本方面，除了设备授权外，还要考虑DNA Center和ISE的许可、培训成本、迁移成本。然而，也要考虑传统网络的人力成本、故障恢复成本、合规风险成本。SD-Access的自动化可以显著降低运营成本，安全增强可以降低风险成本。

51学通信的建议：“对于小型园区，可以考虑Cisco的简化版SD-Access解决方案，或从关键区域开始试点。如果组织有明确的增长计划或高安全要求，尽早采用SD-Access可以避免未来的重复投资。“

Q5：SD-Access与第三方设备集成能力如何？多厂商环境的支持情况？

答：SD-Access是Cisco的整体解决方案，与Cisco设备（Catalyst交换机、无线控制器、ISE、DNA Center）集成最完整。对于第三方设备，SD-Access的集成能力取决于设备的功能和支持协议。

对于支持标准协议（如802.1X、NETCONF/YANG、Telemetry）的第三方设备，可以部分集成到SD-Access环境：

支持 802.1X的设备可以与ISE集成，实现基于身份的访问控制
支持 NETCONF/YANG的设备可以通过DNA Center管理
支持 Telemetry的设备可以发送遥测数据到DNA Assurance

然而，一些SD-Access的高级功能（如LISP控制平面、VXLAN GPE封装、SGT端到端传播）是Cisco专有的，第三方设备无法参与。这些设备可以作为”传统设备”连接到SD-Access Fabric的边界，通过融合路由器或转换网关集成。

对于多厂商环境，需要仔细评估SD-Access的覆盖范围。理想情况下，核心区域使用Cisco设备实现完整的SD-Access能力，边缘区域或非关键区域使用第三方设备，通过标准协议集成。这种混合架构是大型企业的现实选择。

总结

本文深入介绍了Cisco SD-Access——Cisco基于SDN的企业园区网络解决方案。我们学习了SD-Access的架构设计、Fabric原理、LISP与VXLAN GPE等关键技术、DNA Center和ISE的作用、外部网络集成方式，以及与ACI的对比。

核心要点回顾：

SD-Access价值：自动化部署、策略驱动、网络虚拟化、威胁检测、简化运维
Fabric架构：边界节点、边缘节点、控制平面节点、LISP服务器
关键技术：LISP分离身份与位置、VXLAN GPE封装、SGT策略执行
管理平台：DNA Center自动化编排、ISE身份策略管理
网络集成：融合路由器、SD-WAN统一、ACI互补
部署实践：渐进式迁移、持续监控、策略优化

系列总结：

至此，“SDN实战精讲（完整版）“系列9篇文章全部完成！本系列在原有的8篇基础上，新增了Cisco SD-Access专题，涵盖了从SDN基础到企业级解决方案的完整技术体系。

51学通信希望本系列文章能够帮助读者系统性地掌握SDN技术体系，为实际工作和学习提供有价值的参考。SDN技术仍在持续演进，如基于意图的网络、AI驱动的网络优化、6G网络架构等新兴技术正在重塑网络蓝图。建议读者保持关注和持续学习。

祝您在SDN技术的学习和实践中取得成功！

自媒体信息：

本文由”51学通信”（公众号：51学通信，站长：爱卫生）原创分享。如需深入交流或获取更多通信技术资料，欢迎添加微信：gprshome201101。

51学通信

探索

09-Cisco-SD-Access企业网解决方案