SDN 与 OpenFlow：控制与转发分离、控制器与南向接口

传统网络 vs SDN：
  传统：
    控制面分布在各设备，各自跑协议、各自收敛
    全局策略 = 人工逐台配置
    新功能 = 等厂商升级固件

  SDN：
    控制面集中在控制器，持有全网拓扑
    全局策略 = 控制器一次计算、批量下发
    新功能 = 控制器上写应用（软件迭代）

  代价：
    控制器成为新的单点（需集群化）
    控制通道的可靠性与时延成为新约束

OpenFlow 流表项（flow entry）结构：
+-------------------------------+
| Match Fields（匹配字段）       |
|  入端口、以太源/目的、VLAN      |
|  IP 源/目的、协议、TCP/UDP 端口 |
|  （OpenFlow 1.3+ 支持 40+ 字段）|
+-------------------------------+
| Priority（优先级）             |
+-------------------------------+
| Counters（计数器）             |
+-------------------------------+
| Instructions（指令集）         |
|  Apply-Actions / Goto-Table    |
|  Write-Actions / Meter         |
+-------------------------------+
| Timeouts（空闲/硬超时）        |
+-------------------------------+
| Cookie（控制器私有标识）        |
+-------------------------------+

常见动作（actions）：
  Output:port      转发到指定端口
  Output:CONTROLLER 上送控制器（用于学习、首包）
  Drop             丢弃
  Set-Field        改写字段（VLAN、MAC、IP、端口）
  Push/Pop-VLAN    打/剥 VLAN 标签
  Group            交给组表做多播或负载均衡
  Goto-Table n     跳到第 n 级流表继续匹配

table-miss 的三种处理：
  1. 丢弃（默认，最激进）
  2. 上送控制器（控制器学习后下发精确流表）
  3. 转到后续流表（多级流表的衔接）

控制器的核心职责：
  1. 拓扑发现：通过 LLDP 等发现链路，构建全局视图
  2. 路径计算：按策略计算转发路径（最短路、流量工程）
  3. 流表下发：把路径翻译成各设备的流表项
  4. 事件处理：链路故障、主机迁移时重新计算
  5. 北向服务：向应用暴露 REST API

高可用设计：
  控制器集群 + 一致性存储（如 Raft/etcd）
  交换机与多个控制器建立连接，主备切换
  避免「控制器抖动」导致全网流表震荡

多级流表（pipeline）示例：
  Table 0：入口 ACL
    匹配源 IP 网段 → 丢弃非法 → 其余 Goto-Table 1
  Table 1：二层转发
    匹配目的 MAC → 已知单播直接 Output → 未知 Goto-Table 2
  Table 2：三层路由
    匹配目的 IP → 改写 MAC → Output → 命中则结束
  Table 3：QoS 与计量
    按流量类别设置队列与 meter

好处：
  每张表只关心自己的字段，逻辑清晰
  表项可被多类流量复用，减少总表项数
  修改某一级不影响其他级

组表类型：
  ALL       ：复制到组内所有端口（多播、广播）
  SELECT    ：按哈希选一个端口（ECMP 负载均衡）
  INDIRECT  ：只转发到一个端口（用于快速改指向）
  FF        ：第一个存活端口（快速重路由）

meter 表：
  按流限速，超速报文可丢弃或降级
  用于实现租户带宽保障与流量整形

OpenFlow 的三个局限：
  1. 协议字段受限于标准：新协议要等规范与硬件支持
  2. 流水线固定：无法自定义处理逻辑与新的表结构
  3. 表项爆炸：大规模网络的流表条目数增长快
  4. 硬件依赖：支持程度因厂商而异，兼容性差

P4 的核心抽象：
  Parser     ：定义报文如何被逐层解析
  Table      ：自定义匹配字段与动作（不再受标准限制）
  Action     ：自定义处理逻辑
  Deparser   ：定义如何重新组装报文

P4Runtime 的角色：
  与 OpenFlow 类似，但下发的表项对应 P4 程序定义的表
  支持多设备、多流水线、主备仲裁
  配合 gNMI 做配置与遥测

对比：
  OpenFlow：固定流水线，可编程表项
  P4      ：可编程流水线 + 可编程表项

数据中心 SDN 控制器的典型功能：
  1. 租户网络编排：VPC、子网、安全组的下发
  2. Overlay 管理：VNI 分配、VTEP 表项、EVPN 控制面
  3. 分布式网关：跨子网三层转发规则
  4. 策略下发：安全组、ACL 到虚拟交换机与物理设备
  5. 可视化：租户级拓扑与流量视图

关键：控制器与虚拟交换机（OVS）和物理交换机协同

广域网 SDN 的价值：
  - 集中流量工程：按实时利用率调整路径，避免热点
  - 快速故障收敛：控制器提前计算备份路径
  - 业务分级：VIP 流量走低时延路径
  - 意图驱动：业务声明「时延 < 20ms」而非配置具体路径

实现要点：
  控制器需掌握实时链路利用率（遥测）
  路径调整要平滑，避免流量震荡
  与 BGP 等传统协议协同（混合模式）

# 设备侧：查看流表（以 Open vSwitch 为例）
ovs-ofctl dump-flows br0
ovs-ofctl dump-ports br0
ovs-ofctl show br0

# 查看组表与 meter
ovs-ofctl dump-groups br0
ovs-ofctl dump-meters br0

# 抓控制通道报文（OpenFlow 通常 6633/6653）
tcpdump -i eth0 -n port 6653

# 排错顺序：
#   1. 控制器是否在线、设备是否已连接
#   2. 期望的流表是否已下发到设备
#   3. 匹配字段与优先级是否符合预期
#   4. 是否有 table-miss 兜底规则
#   5. 计数是否增长（判断流量是否命中该表项）