网络自动化实战心法：核心对象、流水线与 AI 落地（无废话版）

一、为什么自动化是企业网络的"核心能力"？

企业网络的本质是：规则系统（基线） + 配置系统（执行） + 状态系统（运行） + 变更系统（治理）。

自动化的目的不是省人工，而是为了：

• ❗减少变更失误（人为错误是故障主因）
• ❗减少配置不一致（交换机/防火墙策略漂移）
• ❗减少文档缺失（真实网络与文档不一致）
• ❗减少运维不可控（无法审批、无法复查）
• ❗减少环境老化（拓扑、ACL、NAT 无人管理）

一句话概括：

企业网络不是缺网络工程师，而是缺稳定、可预测、可审计的网络系统。

++而自动化是唯一能保证体系稳定的方式。++

二、自动化的基本路线：从 CLI → API → Intent → AI

我们先把主线明确，这是全篇的主骨架：

阶段	特征	企业现状	核心能力
1. CLI Automation	脚本批量 CLI	90% 企业停留	批量运维、批量配置
2. API Automation	NETCONF/RESTCONF 等	大型企业开始用	程序化配置、模型驱动
3. Intent-based	"意图"驱动网络动作	高级场景	模板化、声明式操作
4. AI-Driven Ops	AI 分析配置/状态/故障/优化	新时代	自动生成、自动审计、自动建议

第四篇的核心，就是讲这条路线如何落地。

而你以后所有文章都基于这个"大母体"。

三、自动化必须先解决：企业网络的核心知识对象（非常关键）

AI 介入企业网络之前，必须把网络拆解成可被描述、可被操作的对象模型（Object Model）。

这是整个自动化的底层逻辑。

几乎所有厂商（Cisco/华为/H3C）都有共同对象：

（1）设备对象（Device）

• hostname
• SN（序列号）
• 软件版本
• 启动配置
• 运行配置
• 设备角色（核心、汇聚、接入、防火墙）
• 管理 IP

AI 的作用：

可自动识别角色、比对版本、提取"关键差异"。

（2）接口对象（Interface）

• 名称（Gig0/0/1 / Eth0/0/1）
• VLAN / 子接口
• IP 地址
• MTU
• 链路上/下
• 协议上/下
• STP 状态
• QoS 状态

AI 能基于接口状态生成：
链路故障原因、端口流量瓶颈、VLAN 错误、自动恢复建议。

（3）路由对象（Routing）

包括：

• OSPF 进程
• 区域
• 源 IP
• BGP 邻居
• 路由前缀
• 优先级
• 下一跳
• 收敛状态

AI 能做：

对比路由相位、检测路由黑洞、解释路由表差异。

（4）安全对象（Security）

• ACL
• NAT
• 防火墙策略
• 访问规则冲突
• 未使用规则
• 地址对象 / 服务对象
• 端口映射

AI 可自动审计：失效规则、Shadow Rule、NAT 优先级错误、规则漂移。

（5）拓扑对象（Topology）

• LLDP
• CDP
• ARP
• MAC 表
• 路由表
• 流量路径

AI 能基于"对象图"自动生成：企业网络拓扑图（高质量）、路径跟踪图。

四、以一个具体企业网络为例：自动化全流程拆解（主干示例）

下面这个案例是整个第四篇的核心，我将用一个真实企业网络模型来贯穿自动化流程。

企业背景（示例）

• 核心交换机（双机，堆叠）
• 汇聚 4 台
• 接入 16 台
• 防火墙 2 台（双机 HA）
• 业务服务器 20+
• 云互联（阿里云 / 腾讯云）
• VPN 分支办公点 3 个
• VLAN 40+
• ACL 200 条
• OSPF + BGP（IDC）

接下来的自动化讲解都用它作为案例。

五、阶段 1：CLI 自动化（最基础且最有价值）

CLI 自动化本质是：把不稳定、易错的人类 CLI 替换为可重复执行的脚本。

你需要的不是 Python，而是理解如何"拆解 CLI 任务"。

（1）典型任务分类

企业最常进行的 CLI 类任务：

A. 批量设备巡检

• show version
• show interface status
• show ip route
• show mac address-table
• show arp

AI 的作用：解析输出 → 转标准格式。

B. 批量推送配置

例如：

• 批量发布 VLAN
• 批量更新 NTP
• 批量更新 SNMP
• 批量绑定 ACL
• 批量更换默认路由

AI' 的作用：

• 自动生成配置
• 自动对比
• 自动修正错误

C. 批量审计配置

例如：

• "所有接入层端口是否禁止 trunk？"
• "是否全部执行 BPDU Guard？"
• "防火墙上是否存在 Shadow Rule？"
• "OSPF 邻居是否存在不一致区域号？"

（2）例子：批量 VLAN 发放（Cisco + Huawei）

Cisco 模板

vlan {id}

name {name}

Huawei 模板

vlan {id}

description {name}

AI Prompt 示例（可即用）

请根据以下模板批量生成 20 个 VLAN（编号 100-120）：

Cisco:

vlan {id}

name vlan-{id}

Huawei:

vlan {id}

description vlan-{id}

AI 会自动生成所有 20 条配置，你只需复制即可。

（3）例子：AI 自动识别配置错误

你给 AI 一段配置输出：

interface GigabitEthernet1/0/24

switchport trunk allowed vlan 10,20

spanning-tree portfast

AI 能秒给出审计：

• trunk 口不应启用 portfast
• VLAN 列表缺少 Voice VLAN
• 描述缺失
• STP 未配置 BPDU Guard
• 建议修复命令

这是 CLI 自动化的重要能力。

六、阶段 2：API 自动化（最关键的结构化阶段）

这是企业网络自动化的"分水岭"。

CLI → 文本

API → 数据模型（XML、JSON）

企业进入 API 自动化后：

• 网络从 非结构化 → 结构化
• 运维从 手工 → 程序化
• 文档从 主观 → 可生成
• 审计从 人工 > AI

API 自动化核心协议

品牌	协议	特点
Cisco	NETCONF / RESTCONF / gNMI	全球最成熟
Huawei	NETCONF / RESTCONF	企业用得最多
H3C	NETCONF	国内普遍部署
Juniper	NETCONF / gRPC	大型 DC 常用

（1）NETCONF 自动化流程（以华为 + Cisco 示例）

你重点掌握 NETCONF，因为它是网络自动化的主力协议。

流程如下：

① 建立连接

netconf.connect(host="10.10.10.1", username="", password="")

② 获取配置（XML）

<get-config>

<source>

<running/>

</source>

</get-config>

③ 修改配置（edit-config）

例：接口配置（Cisco）

<config>

<native xmlns="http://cisco.com/ns/yang/Cisco-IOS-XE-native">

<interface>

<GigabitEthernet>

<name>1</name>

<description>UPLINK</description>

</GigabitEthernet>

</interface>

</native>

</config>

AI 的作用是：

• 自动把你的自然语言意图 → 生成 XML
• 自动检查 XML 是否符合 Schema
• 自动检查配置冲突

（2）RESTCONF 自动化流程（以 Cisco 示例）

RESTCONF 使用 JSON，更好用。

示例：取接口信息

GET /restconf/data/ietf-interfaces:interfaces

返回 JSON（AI 最擅长处理）：

{

"interfaces": {

"interface": [

{

"name": "GigabitEthernet1",

"description": "UPLINK",

"type": "iana-if-type:ethernetCsmacd"

}

]

}

}

AI 能做到：

• 自动分析接口状态
• 自动生成变更计划
• 自动生成拓扑关系

这是为您续写的第四篇核心内容。基于您前面铺垫的"CLI → API"基础，我们现在进入高阶实战：Intent-Based（意图驱动）与 AI 全流程落地。

八、Intent-Based Networking（IBN）实战：从"命令"到"意图"

这是自动化的高级阶段。 传统网络 ：工程师输入 switchport mode access（怎么做）。 IBN 网络：工程师定义 User_A 需要访问 App_B（想要什么结果），系统自动翻译并执行。

1. 什么是"意图"（Intent）？

意图是业务需求 与网络配置 之间的中间层数据结构。 它通常表现为 YAML 或 JSON 格式的"真理来源"（Source of Truth）。

2. AI 如何帮你定义意图？

AI 是最好的翻译官，能将自然语言转化为结构化意图数据。

• 输入（自然语言）：

"给财务部新增一个 VLAN 20，网段 192.168.20.0/24，网关在核心交换机，只允许访问财务服务器 10.10.10.5。"

• AI 输出（Intent YAML）：

YAML

intent:

new_segment:

name: "Finance_Dept"

vlan_id: 20

subnet: "192.168.20.0/24"

gateway: "192.168.20.1"

gateway_device: "Core-Switch-Stack"

security_policy:

source: "192.168.20.0/24"

destination: "10.10.10.5/32"

action: "permit"

protocol: "tcp"

ports: [80, 443]

3. 建立"模板体系"（Jinja2 为王）

有了 YAML 数据，必须配合 Jinja2 模板 才能生成最终配置。这是自动化工程师的必修课。

• Jinja2 模板示例（核心交换机 SVI）：

代码段

interface Vlan{{ vlan_id }}

description {{ name }}

ip address {{ gateway }} {{ subnet | ipaddr('netmask') }}

no shutdown

• AI 的作用： 将上述 Intent YAML 注入 Jinja2 模板，自动生成： ip address 192.168.20.1 255.255.255.0

4. "检查 → 修正 → 审计"闭环

IBN 不仅仅是配置下发，更是状态维持。

• Diff 检查： AI 对比 当前运行配置 vs 意图生成配置。
• 配置漂移（Drift）： 如果有人手动改了配置，AI 会报警："检测到 ACL 101 被手动修改，与意图不符，建议回滚"。
• 自动闭环： 定时任务触发，强制将网络状态刷回"意图状态"。

九、核心："AI+企业网络自动化" 项目级流程

要在企业落地，不能只靠零散脚本，必须建立工程化流水线。

1. 阶段一：基线构建（Baseline & Standardization）

• 全网快照： 抓取所有设备配置（Running Config）。
• 标准化清洗： 统一 SNMP、NTP、Syslog、Login Banner。
• AI 任务： 识别非标配置（如：有的设备配了 8.8.8.8 DNS，有的没配）。

2. 阶段二：配置标注与建模（Modeling）

• 变量提取： 将配置中的 IP、VLAN、Interface 挖出来，变成变量。
• 模型生成： 建立全网设备清单（Inventory）和连接表（Topology）。
• AI 任务： 自动根据 LLDP 邻居信息生成拓扑数据表（JSON）。

3. 阶段三：模板库创建（Templating）

• 分层模板：
  • L1 全局模板： AAA, NTP, SNMP（所有设备通用）。
  • L2 角色模板： 接入层端口安全模板、汇聚层 OSPF 模板。
  • L3 业务模板： 新增分店 VPN 模板、新增部门 VLAN 模板。
• AI 任务： 帮你写 Jinja2 模板（你只需把一段正确配置给 AI，让它"模板化"）。

4. 阶段四：自动审计系统（Continuous Audit）

• 规则引擎： 每天凌晨 2 点拉取配置。
• 合规检查： 密码是否加密？Telnet 是否关闭？HTTP Server 是否关闭？
• AI 任务： 生成《每日网络健康报告》，指出高危配置和未授权变更。

5. 阶段五：动态文档体系（Live Documentation）

• 痛点解决： 以前文档是写出来的（永远滞后），现在文档是生成出来的。
• 实现： 每次变更后，自动化工具自动更新 Markdown/HTML 格式的网络拓扑图和 IP 分配表。

十、样例：完整企业网络自动化项目（中型企业）

场景背景： 某中型企业（前文所述模型），需要新开通一个研发项目组。

• 位置：研发中心13 楼东侧
• 需求：接入交换机配置 VLAN 50，核心交换机起网关，防火墙放行至 Git 服务器。

第一步：输入意图（Prompting）

工程师在运维平台（或 Chat 界面）输入：

"在 Access-SW-03 上新增 VLAN 50 (R&D_Project) ，网关 10.20.50.1/24 放在核心堆叠上。需允许该网段访问 Git-Server (172.16.10.100)，其余禁止。"

第二步：AI 解析与参数生成（Data Gen）

AI 提取参数并生成 JSON 数据：

JSON

{

"task_id": "CHG-20231024-001",

"scope": ["Access-SW-03", "Core-Stack", "FW-Cluster"],

"vars": {

"vlan_id": 50,

"vlan_name": "R&D_Project",

"gateway_ip": "10.20.50.1",

"subnet_mask": "255.255.255.0",

"target_server": "172.16.10.100"

}

}

第三步：模板渲染（Config Gen）

自动化系统调用模板，生成具体厂商配置：

1. Access-SW-03 (Huawei):

Bash

vlan 50

description R&D_Project

interface GigabitEthernet0/0/1 to 0/0/24

port link-type access

port default vlan 50

1. Core-Stack (Cisco):

Bash

interface Vlan50

description R&D_Project_Gateway

ip address 10.20.50.1 255.255.255.0

ip helper-address 10.10.10.5

1. FW-Cluster (PaloAlto/Fortinet):
   • 自动生成 Address Object: Obj_Net_10.20.50.0
   • 自动生成 Policy: Allow Source: Obj_Net_10.20.50.0 -> Dest: Git-Server

第四步：AI 预检与模拟（Pre-check）

AI 进行逻辑校验：

• ❌ 警告：VLAN 50 在 Access-SW-03 的 Uplink Trunk 接口上未放行。
• ✅ 修正建议：在 Uplink 接口自动添加 port trunk allow-pass vlan 50。
• ❌ 警告：IP 10.20.50.1 与现有 VLAN 40 的网段重叠（误报排除）。

第五步：执行与验证（Deploy & Verify）

1. 推送： Ansible/Python 脚本并行下发配置。
2. 验证： 脚本自动登录 Core-Stack，执行 ping 10.20.50.1（自测网关），执行 show ip route 确认路由条目。

第六步：自动文档更新（Report）

• 更新 IP 地址管理表 (IPAM)。
• 更新 Visio/Draw.io 拓扑图数据源。
• 生成《变更完成报告》并发邮件给审批人。

（文：陈涉川）

2025年12月1日