3. SDN核心原理
SDN（Software-Defined Networking，软件定义网络）之所以能改变数据中心网络的构建方式，核心在于它把传统交换机“自己决策、自己转发”的耦合模式拆开：控制平面负责计算路径、下发策略，数据平面只负责按已有规则高速转发。理解这一分离，是理解 OpenFlow、流表以及集中式/分布式控制的前提。
一、控制平面与数据平面的分离
在传统交换机中，控制平面和数据平面在同一台设备内：设备通过 STP、OSPF、BGP 等协议自行学习拓扑、计算路径，再把结果写入本地的转发表（FIB/MAC 表），数据包到达时直接查表转发。SDN 把这两件事拆到不同位置：
- 数据平面：由交换机、虚拟交换机（如 OVS）或智能网卡承担，只保留“匹配 + 动作”的转发能力，不再自主决策。
- 控制平面：由 SDN 控制器（如 OpenDaylight、ONOS、Ryu、Floodlight）集中承担，掌握全局拓扑，计算路径并生成转发规则。
- 南向接口：控制器与数据平面之间的通信协议，OpenFlow 是最典型的一种。
- 北向接口：控制器向上层云平台、编排器暴露的 API（REST、gRPC 等），供业务调用。
分离带来的直接好处是：网络策略不再逐台设备手工配置，而是由控制器统一下发；拓扑变化时，控制器可以重新计算路径并更新流表，业务侧无需感知底层设备差异。代价是控制器成为关键组件，需要处理可靠性、性能和一致性问题。
二、OpenFlow 协议与流表机制
OpenFlow 定义了控制器与交换机之间的消息交互，核心是流表（Flow Table）。交换机收到报文后，按流表优先级从高到低匹配，命中后执行对应动作；若未命中，则通过 Packet-In 消息上报控制器，由控制器决定是下发新流表还是丢弃。
一条流表项通常包含以下字段：
| 字段 | 含义 | 示例 |
|---|---|---|
| Match | 匹配字段 | in_port=1, eth_type=0x0800, ipv4_dst=10.0.0.2 |
| Priority | 匹配优先级 | 100（数值越大越优先） |
| Instructions | 命中后执行的动作 | output:2、drop、set_field、goto_table |
| Counters | 统计计数 | packet_count、byte_count |
| Timeout | 老化时间 | idle_timeout=30s、hard_timeout=300s |
下面是一个典型的 OpenFlow 流表下发示例（以 Ryu 控制器为例，向交换机添加一条将目的地址 10.0.0.2 的流量从端口 2 转发的规则）：
from ryu.ofproto import ofproto_v1_3
def add_flow(datapath, priority, match, actions):
ofp = datapath.ofproto
parser = datapath.ofproto_parser
inst = [parser.OFPInstructionActions(
ofp.OFPIT_APPLY_ACTIONS, actions)]
mod = parser.OFPFlowMod(
datapath=datapath,
priority=priority,
match=match,
instructions=inst,
idle_timeout=30)
datapath.send_msg(mod)
# 匹配 ipv4_dst=10.0.0.2，动作 output:2
match = parser.OFPMatch(eth_type=0x0800,
ipv4_dst='10.0.0.2')
actions = [parser.OFPActionOutput(2)]
add_flow(datapath, 100, match, actions)流表可以多级串联（Table 0 → Table 1 → …），实现更复杂的处理链，例如先按端口分类，再按目的地址转发，最后做 QoS 标记。流表项有软超时和硬超时，超时后自动删除，避免表项无限膨胀。
三、集中式与分布式控制
控制器如何部署，直接影响网络的可靠性和扩展性。常见有两种模式：
- 集中式控制：单一控制器掌握全网视图，逻辑简单、策略一致性强，适合中小规模或实验环境。缺点是单点故障风险高，控制器性能成为瓶颈。
- 分布式控制：多个控制器组成集群，各自管理一部分交换机，通过东西向接口同步拓扑和状态。典型实现如 ONOS 集群、OpenDaylight 集群。优点是高可用、可横向扩展；难点在于状态一致性、脑裂处理和跨域路径计算。
在数据中心场景中，通常采用分布式控制器集群 + 每台交换机连接多个控制器的部署方式。交换机与控制器之间通过 OpenFlow 通道保持心跳，主控制器故障时，备用控制器接管，流表继续生效，业务不中断。判断集群是否健康，可以观察控制器间的拓扑同步延迟、交换机角色切换次数以及 Packet-In 消息的响应时间。
ovs-ofctl dump-flows 查看流表项，验证控制器下发的规则是否与预期一致。观察 packet_count 的增长，可以判断某条流是否真正被命中。总结来看，SDN 的核心原理可以归纳为一条主线：控制与转发分离 → 控制器通过 OpenFlow 下发流表 → 数据平面按流表匹配转发 → 集中式或分布式控制器决定网络的智能程度与可靠性。掌握这条主线，后续学习 Overlay、VXLAN、云平台对接时，就能清楚每一层在做什么。