八.网关设计——决定园区网二三层分界

内部区

1.整个网络遵循经典三层架构。

• 核心层（管理内部区域，处理区与区之间的问题）
• 汇聚层（把接入的流量整合起来，只连接接入交换机）
• 接入层（接入用户的设备终端）、应用层（终端）。

2.管理中心：管理区，园区网运维人员管理网络日常运维管理的地方。

3.数据中心：给外部或者某些大型集团内部用户建立的数据中心。偏业务部分。eg：产品清单，业务流程。

4.DMZ：企业内部服务和数据存放中心。服务：内部文件共享服务。（不对外公开）

外部区

1.分支机构：独立区。

2.访客出差员工：相对于分支机构较为危险。特定展示区。

3.网络出口区：连接外部网络，解决外部网络问题，控制内部外部网络互通。

1. 客户网络环境：明确改造或者新建。
2. 客户网络业务：了解客户需要网络业务以及特性。
3. 现网痛点：
   1. 客户对网络的期待、
   2.  痛点分析：
      1. 网络安全（内部安全、终端安全、外部安全）。
      2. 网络能力（有线接入、无线接入、远程接入）、
      3. 网络规模（接入用户数量）、
      4. 网络质量（是否稳定）、
      5. 网络速度（是否堵塞）、
4. 客户需求：确定网络的建设需求与目的、确定网络的规模、用户规模、三到五年的增长态势、园区的地理分布、单位组织结构、机房和弱电井分布、网络类型（有线和无线）。

1. 终端接入模式
2. 业务流量模式
3. 网络容量

• 可靠性——可靠运行、稳定工作、业务永续

• 可信任性——安全可信任

• 可扩展——平滑升级和拓展、满足三到五年的发展规划

• 可管理——容易维护和管理、容易诊断和故障定位

• 可运营——支持和方便不熟新业务

• 网状结构
• 环形结构

• 网络分层设计

• 网络个性设计

 在大型园区网中，多个核心层设备一般采用环装结构进行连接，这种方法实际可行性较好，成本较低。

• 提供用户接入，接入功能是它首先要满足的功能。
• 提供接入安全保护，防止未授权用户接入。802.1x
• 提供安全性和可用性。DHCP攻击防护、ARP攻击防护、IP防雷、MAC洪泛。

设计要点：

2.接入网的可靠性

 E-trunk技术（主备技术）

双归上行破环技术

双归上行引起环路问题，在一般情况下，采用生成树协议来进行破环。

生成树保护技术：BPDU、root、TC、环路保护技术、共享线路保护

3.可靠性设计

1.无环组网

汇聚一般作为部门核心，转发部门内的横向流量，汇聚层对于接入层来讲是隐藏核心层。

作用

• 降低网络的复杂度
• 增加可靠性
• 提升网络性能

目标

• 提供一致性的网络基础服务
• 网络可扩展性
• 网络的灵活性

1.汇聚层架构设计

独立、备份、集群型

2.汇聚的组网

1. 汇聚的可靠性
2. 设备的可靠性
   1. 主控1：1备份
   2. 组网的1：1
   3. 电源的可靠性，电源1＋1，1＋2
   4. 风扇（模块化，支持单风扇失效）
   5. 所有模块支持热插拔
3. 组网可靠性
   1. 双设备保护
   2. HSRP
   3. VRRP
   4. 多路径技术
   5.  配置网络监控
1. 线路可靠性
   1. LACP技术聚合
   2. STP技术
   3. 冗余链路
   4. 路由协议
   5. 设备冗余

    

    

    

   2.核心组网

    

   3.核心层可靠性

   • 主控1:1
   • 组网1:1,或者1＋1
   • 电源DC1＋1，AC1＋1。2＋2
   • 模块化风扇设计，独立风扇
   • 无源背板，高可靠性
   • 所有模块支持热插拔
   • 设备管理1：1备份
   • 无环路
   • 设备可靠性有保障——堆叠
   • 链路可靠性有保障——聚合
   • 配置简单——故障率低、管理和排错简单

   1.网关位置

    

    

       需要权衡网络性能和诸多管理因素，一般放在汇聚层。

   2.部署方案对比

   3.汇聚层网关

    

   4.接入层网关