2. 网络基础回顾

SDN（软件定义网络）的核心思想是“控制与转发分离”，但无论控制面如何抽象、数据面如何虚拟化，其底层仍然依赖经典的网络通信模型与硬件转发原理。理解OSI七层模型、TCP/IP协议栈、交换机与路由器的工作机制，以及VLAN与子网划分，是掌握SDN控制器的流表下发逻辑、南向协议（如OpenFlow）交互过程以及网络虚拟化技术（如VXLAN、EVPN）的必备前提。本章将系统梳理这些基础概念，并重点剖析它们在SDN架构中的映射关系与工程实践意义。

上图展示了本章四个核心知识模块与SDN架构的映射关系。传统网络设备（交换机、路由器）内部同时运行控制平面（路由协议、生成树等）和数据平面（硬件转发），而SDN将控制平面剥离出来集中到控制器，数据平面仅保留简单的转发能力。理解这一转变，需要先扎实掌握传统网络的基础原理。

2.1 OSI七层模型与TCP/IP协议栈

核心原理：分层通信的职责划分

OSI（开放系统互连）七层模型是国际标准化组织制定的网络通信参考框架，它将复杂的网络通信过程分解为七个层次，每一层只负责特定的功能，并为上层提供服务。从下至上依次为：物理层（定义电气信号、比特流传输）、数据链路层（MAC地址寻址、帧封装与差错检测）、网络层（IP地址逻辑寻址、路由选择）、传输层（端口号区分应用、可靠传输控制）、会话层（建立/维护/终止会话）、表示层（数据格式转换、加密压缩）、应用层（面向用户的网络服务接口）。

TCP/IP协议栈是实际部署的工业标准，它将OSI模型简化为四层：应用层（对应OSI的5-7层，承载HTTP、DNS、FTP等协议）、传输层（TCP/UDP，提供端到端通信）、网络层（IP协议，负责数据报路由）、网络接口层（对应OSI的1-2层，包含以太网协议）。TCP/IP协议栈的简洁性使其成为互联网的事实标准，而SDN的流表匹配规则正是基于TCP/IP协议栈的头部字段设计的。

判断方法：数据封装与解封装流程

当主机A向主机B发送数据时，数据从应用层向下逐层传递，每一层都会添加自己的头部信息（封装过程）。接收方则从物理层向上逐层剥离头部（解封装过程）。在SDN环境中，OpenFlow协议允许控制器定义匹配规则，可以基于L2（源/目的MAC）、L3（源/目的IP）、L4（源/目的端口）甚至VLAN ID进行精确匹配，这相当于在传统协议栈的每一层都设置了可编程的“检查点”。

常见误区：混淆OSI与TCP/IP的对应关系

初学者常将OSI的会话层和表示层与TCP/IP的应用层混为一谈，实际上TCP/IP将这三层合并为应用层。另一个误区是认为SDN不需要理解协议栈——恰恰相反，SDN控制器需要深度解析数据包的各层头部才能生成精确的流表规则。在编写OpenFlow流表时，必须明确指定匹配的协议层次和字段偏移量。

2.2 交换机与路由器工作原理

核心原理：二层转发与三层路由

交换机工作在数据链路层，核心机制是MAC地址学习与转发。交换机维护一张MAC地址表，记录每个MAC地址对应的端口。当收到数据帧时，交换机查找目的MAC地址：若命中则从对应端口转发；若未命中则向所有端口泛洪（除接收端口外）。同时，交换机还会学习源MAC地址并更新地址表，老化时间通常为300秒。VLAN技术扩展了交换机的功能，通过802.1Q标签将物理局域网划分为多个逻辑广播域。

路由器工作在网络层，核心机制是路由表查询与最长前缀匹配。路由器根据目的IP地址查找路由表，选择最优路径转发数据包。路由表可以通过静态配置或动态路由协议（OSPF、BGP等）生成。与交换机不同，路由器会修改数据包的MAC地址（逐跳转发），但IP地址保持不变。路由器还负责处理TTL（生存时间）字段，防止数据包无限循环。

操作流程：交换机转发决策与路由器选路

1. 交换机转发流程：接收帧 → 检查VLAN Tag → 查找MAC地址表 → 命中则单播转发，未命中则泛洪 → 更新源MAC学习表。
2. 路由器转发流程：接收包 → 检查目的IP → 最长前缀匹配路由表 → 确定出接口和下一跳 → 封装新帧头 → 发送。

在SDN架构中，OpenFlow交换机将上述流程抽象为“多级流表流水线”。每个流表项包含匹配字段（可同时匹配MAC、IP、端口、VLAN等）、优先级、计数器和指令集（转发、丢弃、修改字段、上送控制器等）。控制器通过南向协议动态下发流表，替代了传统设备中固化在硬件里的转发逻辑。

案例拆解：数据中心二层网络改造

某互联网公司数据中心原有数百台物理服务器，通过传统交换机组成大二层网络。随着业务增长，面临两个痛点：一是STP（生成树协议）阻塞冗余链路导致带宽浪费；二是广播域过大，ARP广播风暴频繁。工程师引入SDN方案，使用OpenFlow交换机替换核心设备，由控制器统一管理转发路径。

实施过程中，控制器通过LLDP协议自动发现网络拓扑，并根据业务需求下发流表：对于东西向流量（服务器间通信），采用多路径转发（等价多路径ECMP）；对于南北向流量（外部访问），通过网关流表实现负载均衡。改造后，链路利用率从30%提升至85%，广播报文减少70%，网络故障恢复时间从秒级降至毫秒级。但同时也面临控制器单点风险，最终通过部署三节点控制器集群解决。

2.3 VLAN与子网划分

核心原理：二层隔离与三层寻址

VLAN（虚拟局域网）是在二层实现广播域隔离的技术，通过802.1Q标准在以太网帧头中插入4字节的VLAN Tag（其中12位用于VLAN ID，取值范围1-4094）。交换机端口分为Access口（连接终端，发送时剥离Tag）和Trunk口（连接交换机，透传多个VLAN）。VLAN技术有效控制了广播域规模，增强了网络安全性，并简化了网络管理。

子网划分是在三层实现IP地址规划的方法，通过子网掩码将IP网络划分为多个逻辑网段。例如，192.168.1.0/24表示网络位24位，主机位8位，可容纳254台主机。子网划分的核心价值在于：减少广播域大小、优化路由效率、便于安全策略部署。CIDR（无类域间路由）进一步打破了传统A/B/C类地址的固定边界，支持任意长度的前缀。

操作流程：VLAN配置与子网规划步骤

1. VLAN配置：创建VLAN → 将端口划入VLAN → 配置Trunk允许列表 → 配置VLAN接口（SVI）实现三层互通。
2. 子网规划：评估主机数量 → 确定子网掩码 → 分配网络地址/广播地址 → 配置网关地址 → 更新路由表。

常见误区：VLAN与子网的对应关系

一个常见误区是认为VLAN必须与子网一一对应。实际上，VLAN是二层概念，子网是三层概念，两者可以灵活映射。通常建议一个VLAN对应一个子网，便于管理，但也可以多个VLAN共享一个子网（需关闭IP重定向），或一个VLAN包含多个子网（通过secondary address实现）。在SDN环境中，VXLAN技术将二层VLAN扩展到三层网络，VNI（VXLAN Network Identifier）支持1600万个虚拟网络，彻底突破了传统VLAN的4094个限制。