第189篇：SRv6 网络编程：SID 的灵活编排

关键词：SRv6网络编程、SID函数、Service Function Chaining、策略编排、Custom Behavior、网络可编程性

一、引言

SRv6 最革命性的特性之一是"网络编程"能力。在 SR-MPLS 中，标签只是一个转发标识；而在 SRv6 中，SID 是一个 128 位的 IPv6 地址，可以编码复杂的函数逻辑和参数。这意味着每个 SID 不仅可以指定"转发到哪里"，还可以指定"执行什么操作"——从简单的路由转发，到 NAT 转换、策略执行、遥测采样，甚至自定义的业务逻辑。

SRv6 网络编程将网络从静态转发基础设施转变为可编程的智能管道，为服务链（Service Function Chaining, SFC）、智能运维（Intelligent OAM）和零信任安全等应用提供了原生支撑。

二、核心概念

2.1 SRv6 网络编程模型

2.2 SID 函数类型

2.3 服务链（Service Function Chaining）

服务链是 SRv6 网络编程的典型应用，将多个网络服务按顺序串联：

2.4 SID 参数（Argument）的用法

SID 的 Argument 部分可用于传递函数参数：

三、技术细节

3.1 SRv6 Custom Behavior（自定义行为）

3.2 In-band Network Telemetry（INT）

INT 是 SRv6 网络编程的重要应用，通过在 SID 中嵌入遥测函数，实现路径上每跳的数据采集：

3.3 SRv6 SID 地址规划

3.4 网络编程安全考虑

四、实战配置/案例分析

4.1 服务链 SID 配置

# ========== 防火墙节点配置(SID=FW-SID) ==========
[ Firewall-Node ] srv6
[ Firewall-Node-srv6 ] sid 2001:DB8:5000::1000 behavior End
[ Firewall-Node-srv6-sid-2001:DB8:5000::1000 ] locator SFC-LOC
[ Firewall-Node-srv6-sid-2001:DB8:5000::1000 ] commit

# ========== IPS节点配置(SID=IPS-SID) ==========
[ IPS-Node ] srv6
[ IPS-Node-srv6 ] sid 2001:DB8:5000::2000 behavior End
[ IPS-Node-srv6-sid-2001:DB8:5000::2000 ] locator SFC-LOC
[ IPS-Node-srv6-sid-2001:DB8:5000::2000 ] commit

# ========== 出口节点配置(SID=Exit-SID) ==========
[ Exit-Gateway ] srv6
[ Exit-Gateway-srv6 ] sid 2001:DB8:5000::3000 behavior End.X
[ Exit-Gateway-srv6-sid-2001:DB8:5000::3000 ] locator SFC-LOC
[ Exit-Gateway-srv6-sid-2001:DB8:5000::3000 ] commit

4.2 服务链 TE Policy 配置

# ========== Head-End: 创建服务链TE Policy ==========
[ Head-End ] srv6 te-policy color 20001 endpoint 2001:DB8:5000::3000
[ Head-End-srv6-te-policy-20001 ] color 20001
[ Head-End-srv6-te-policy-20001 ] endpoint 2001:DB8:5000::3000

# --- 显式路径: 防火墙→IPS→出口 ---
[ Head-End-srv6-te-policy-20001 ] candidate-path 10
[ Head-End-srv6-te-policy-20001-cpath-10 ] explicit-path
[ Head-End-srv6-te-policy-20001-cpath-10-explicit-path ] \
  nexthop 2001:DB8:5000::1000
  # SID1: 防火墙(策略执行)
[ Head-End-srv6-te-policy-20001-cpath-10-explicit-path ] \
  nexthop 2001:DB8:5000::2000
  # SID2: IPS(入侵检测)
[ Head-End-srv6-te-policy-20001-cpath-10-explicit-path ] \
  nexthop 2001:DB8:5000::3000
  # SID3: 出口网关(End.X,终结SRv6)

[ Head-End-srv6-te-policy-20001 ] commit

# ========== 绑定业务流量 ==========
[ Head-End ] acl ipv6 number 6002
[ Head-End-acl6-ipv6-6002 ] rule 5 permit ipv6 destination 2001:DB8:CAFE::/48

[ Head-End ] route-policy SFC-CHAIN permit node 10
[ Head-End-route-policy-SFC-CHAIN-10 ] if-match acl 6002
[ Head-End-route-policy-SFC-CHAIN-10 ] apply srv6-te-policy color 20001

4.3 故障排查：服务链中节点不可达

故障场景：服务链中 IPS 节点不可达，流量在防火墙节点后中断。

# Step 1: 检查TE Policy状态
<Head-End> display srv6 te-policy color 20001
  Color: 20001
  Endpoint: 2001:DB8:5000::3000
  State: Inactive
  Active-Path: None

# Step 2: 检查显式路径可达性
<Head-End> display ipv6 routing-table 2001:DB8:5000::2000
  # 无路由! IPS节点的SID不可达

# Step 3: 检查IPS节点SID配置
<IPS-Node> display srv6 sid
  # SID未显示!
  # 根因: IPS节点的commit未执行

# Step 4: 修正IPS节点
[IPS-Node-srv6-sid-2001:DB8:5000::2000] commit
  # 提交SID配置

# Step 5: 检查IGP通告
<IPS-Node> display isis lsdb verbose | include SRv6
  # IPS节点的SRv6 SID TLV出现在LSP中

# Step 6: 验证Head-End路由
<Head-End> display ipv6 routing-table 2001:DB8:5000::2000
  Destination: 2001:DB8:5000::2000/128
  Protocol: IS-IS
  NextHop: 2001:DB8:FEED::5

# Step 7: 验证TE Policy
<Head-End> display srv6 te-policy color 20001
  State: Active
  Segment-List:
    2001:DB8:5000::1000 (防火墙)
    2001:DB8:5000::2000 (IPS)
    2001:DB8:5000::3000 (出口)
  # 服务链路径激活

五、总结

思考

1. SRv6 SID 的 Function Argument 字段可以用来传递参数。如果 Argument 需要传递 64 位的数据（如 MAC 地址），如何编码？
2. 服务链中如果某个中间节点（如 IPS）故障宕机，流量是否会在该节点中断？SRv6 有什么机制保证服务链的可靠性？
3. INT 遥测通过在 SRH 中累积每跳数据实现。如果路径上有 20 个 INT 节点，SRH 的大小会增长到多少？是否会影响报文传输？

下篇预告：第190篇：SRv6 与 EVPN 的深度融合