朋友们下午好！ 今天，我将继续撰写有关企业网络设计
的文章，继续介绍
极限交换机系列。
在本文中，我将尽可能简要地尝试：
- 描述企业网络设计的模块化方法
- 考虑企业网络最重要模块之一的结构类型-核心网络（ip-campus）
- 描述关键网络节点的备份选项的优缺点
- 在一个抽象的示例上，设计/更新小型企业网络
- 选择极限开关来实施您的设计网络
- 使用光纤和IP寻址
对于刚开始以网络专业人员身份开始职业生涯的网络工程师和网络管理员，而不是在电信运营商或具有地理分布网络的大型公司工作多年的经验丰富的工程师，本文将更感兴趣。
无论如何，有兴趣的请猫。
模块化网络设计方法
我将以一种流行的模块化网络设计方法开始我的文章，该方法可让您将网络中的难题组装成一张完整的图片。
首先，稍微抽象一下-我经常将这种方法呈现为对地图的放大显示，在一个国家中，在一个国家中，在第二个区域中，在第三个城市中，等等。
例如，请考虑以下示例：
- 第一近似-整个企业网络是一组不同的级别：
- 第二次近似-这些级别中的每一个都在单独的模块中详细介绍
- 核心网络或校园包括：
- 描述企业网络及其级别的3或2级模块-访问，分布和/或核心
- 描述数据中心的模块-数据中心（基本上是基础结构的服务器部分）
- 边界层依次包括：
- 互联网连接模块
- WAN和MAN模块，负责连接企业的地理分布对象
- 用于构建VPN隧道和远程访问访问的模块
- 通常，许多小型企业将其中几个模块，甚至所有模块都组合在一起
- 提供者级别：
- 此级别包括“与外界的通信”-深色光纤（从运营商处租用的光纤），通信通道（以太网，G.703等），互联网访问。
- 远程级别：
- 在大多数情况下，这些是企业的分支机构，分布在城市，地区，国家甚至大陆上。
- 该区域还可以包括一个备份数据中心，该数据中心重复了主数据中心的工作。
- 当然，近来越来越受欢迎的远程工作者（远程工作站）
- 第三近似-每个模块都分成较小的模块或级别。 例如，在校园网中：
我将尝试在以下简化图中显示以上所有内容：
从上图可以看出，模块化方法有助于将总体情况细化和组织为组成元素，您将来可以使用它们。
在本文中，我将重点介绍“校园企业”级别，并对其进行更详细的描述。
IP校园网络的类型
当我在供应商中工作时，尤其是在集成商的后期工作中，我遇到了不同的“成熟度”客户网络。 我不会一概而论，因为在很多情况下，网络结构随着公司自身的发展而增长，这在原则上是合乎逻辑的。
在位于同一建筑物内的一家小型公司中，企业网络只能包含一个充当防火墙的边界路由器，几个访问交换机和几个服务器。
我将这种网络称为“单层”网络-绝对没有明确的网络核心层，分发层已转移到边界路由器（具有防火墙，VPN和可能的代理功能），访问交换机同时为员工计算机和服务器提供服务。
对于企业发展而言-员工，服务和服务器数量的增加，通常您必须：
- 增加网络交换机和访问端口的数量
- 增加服务器容量
- 对抗广播域-实现网络分段和网段间路由
- 处理导致员工停机的网络故障，因为这需要额外的管理财务费用（员工闲置，支付工资但未完成工作）
- 在处理故障的过程中，请考虑备份关键的网络节点-路由器，交换机，服务器和服务
- 加强安全策略，因为可能会带来商业风险，并且再次使网络运行更加稳定
所有这些导致一个事实，即工程师（网络管理员）迟早会考虑网络的正确构造，并得出一个2级模型。
该模型已经清楚地将自己与2个级别区分开-访问级别和分发级别，它们组合在一起也是核心级别（折叠核心）。
发行版和内核组合在一起执行以下功能：
- 聚合访问交换机的链接
- 引入了网段的路由-用户和设备太多，以至于它们不适合一个网络/ 24，如果放置了它们，广播风暴会导致永久性故障（尤其是如果用户通过创建环路来帮助他们）
- 提供相邻交换机网段之间的通信（通过更快的链接）
- 它提供了用户及其设备与服务器场之间的通信，这一次也开始在单独的网段-数据中心中脱颖而出。
- 开始与访问交换机一起在某种程度上提供此时开始出现在企业中的安全策略。 公司在发展，商业风险也在增长（在这里我不仅指关于商业秘密，访问策略差异的规定，还包括网络和员工的基本停机时间）。
因此，网络迟早会发展为2级模型：
在此模型中，对聚合来自用户和网络设备（打印机，接入点，VoIP设备，IP电话，IP摄像机等）的链接的访问级别交换机均显示特殊要求。和内核。
接入交换机应该已经更加智能和功能强大，可以满足网络性能，安全性和灵活性的要求，并且：
- 具有不同类型的访问端口和中继端口-最好具有流量增长裕度和端口数量的可能性
- 有足够的交换能力和带宽
- 具有满足当前安全策略的必要安全功能（理想情况下，其进一步要求的增长）
- 能够为难以访问的网络设备供电，并能够通过电源（PoE，PoE +）远程重启它们
- 能够保留自己的电力以在需要的地方使用它
- 当访问交换机随时间转变为配电交换机时，经常会出现（如果可能）功能进一步增长的潜力
反过来，配电开关也要满足以下要求：
- 无论是朝着接入交换机的中继下游端口，还是朝着相邻分布交换机的对等接口（以及随后可能的通往核心的上行链路接口）
- 就L2和L3功能而言
- 在安全功能方面
- 在确保容错能力（电源的冗余，群集和冗余）方面
- 关于平衡流量的灵活性
- 具有（如果可能）进一步的功能增长潜力（随着时间的推移，聚合设备将转换为核心）
- 在某些情况下，在配电交换机上，可能适合使用PoE，PoE +端口。
更重要的是：如果公司奉行积极发展和发展企业的政策，则网络将来也将继续发展-企业可以开始租用相邻建筑物，建造自己的建筑物或吸收较小的竞争对手，从而增加了员工的就业机会。 同时，网络也在增长，这需要：
- 为员工提供工作-需要带有访问端口的新访问开关
- 新的分布交换机的可用性，用于来自访问交换机的链路聚合
- 建设新的和现代化的现有通讯线路
结果，流量增加的原因如下：
- 由于访问端口的增加以及网络用户的增加
- 由于相关子系统的流量增加，这些子系统自己选择了企业网络作为传输-电话，安全性，工程系统等。
- 由于引入了附加服务-随着人员的增加，出现了需要某些软件的新部门
- 数据中心的计算能力，以满足基础架构和应用程序需求
- 网络和信息的安全要求正在增长-著名的CIA三合会（开个玩笑），但实际上是CIA-机密性，完整性和可用性：
- 在这方面，对于网络的关键级别（分发和数据中心），还存在对容错和冗余的其他要求
- 同样，由于引入了新的安全系统（例如RKVI等），流量也有所增加。
迟早流量，服务和用户数量的增长将导致需要引入更高级别的网络-内核，该内核将使用高速通信链路执行高速数据包交换/路由。
此时，企业可以继续使用3层网络模型：
如您在上图中所看到的-在这样的网络中，存在一个核心级别，该级别聚合了来自分布交换机的速度链路。 因此，内核开关还具有以下要求：
- 接口带宽-1GE，2.5GE，10GE，40GE，100GE
- 交换性能（交换容量和转发性能）
- 接口类型-1000BASE-T，SFP，SFP +，QSFP，QSFP +
- 接口数量和组
- 冗余选项（堆叠，群集，控制卡冗余（与模块化交换机相关），冗余电源等）
- 功能性
在此网络级别，绝对有必要对其进行技术修改：
- 保留内核节点和链接（非常非常需要）
- 保留节点和分布级别链接的链接（取决于关键性）
- 保留接入交换机和分布级别之间的通信链接（如有必要）
- 动态路由协议输入
- 平衡内核以及分布和访问级别的流量（如果需要）
- 引入附加服务-运输和安全服务（如有必要）
和法律，定义企业的网络安全策略，它在以下方面补充了常规安全策略：
- 在访问和分布交换机上实现和配置某些安全功能的要求
- 访问，监视和管理网络设备的要求（允许远程访问协议管理网段，日志记录设置等）
- 预订要求
- 形成最少必要备件的要求
在本节中，我简要介绍了网络和企业从几个交换机和几十个员工到几十个（或几百个交换机）以及仅在企业网络中直接工作的那些员工的数百个（甚至数千个）演进的过程。还有生产部门和工程网络）。
显然，实际上，这种“奇妙”的企业发展并没有发生。
企业和网络通常需要几年的时间才能从最初的第一级发展到我所描述的第三级。
我为什么要写所有这些共同的真理？ 然后，在这里我要提到的是投资回报率（ROI）-投资回报率（ROI / ROI），并考虑其直接关系到网络设备选择的方面。
在选择设备时，网络工程师及其管理人员通常会基于两个因素来选择设备-设备的当前价格和解决一个或多个特定任务当前所需的最低技术功能（我将在稍后讨论购买设备的问题）。
同时，很少考虑进一步“增长”设备的可能性。 如果出现某种情况，当设备在功能或生产力方面用尽时，则将来会购买功能更强大的产品，然后将旧设备交付到仓库，或按照“停留”的原则运送到网络中的某个地方（顺便说一下，这也导致了大型设备动物园的出现）并采购大量与之合作的信息系统）。
因此，代替购买部分许可证进行添加。 功能和性能比新的高性能设备便宜得多，您必须购买新的硬件并多付钱，原因如下：
- 网络经常增长缓慢，功能扩展或网络交换机的性能可能持续很长时间
- 外国供应商的设备与外币（美元或欧元）挂钩已不是什么秘密。 老实说-美元或欧元的增长（或卢布定期小幅贬值，这是这样的样子）导致这样一个事实，即从卢布的角度来看，十年前的美元和现在的美元已经完全不同
总结以上所有内容，我想指出的是，现在购买功能更广泛的网络设备可以在将来节省开支。
在这里，我考虑了在投资网络和基础架构方面购买设备的成本。
因此，许多供应商（不仅是Extreme公司）都遵循按需购买的原则，在设备中放置了许多功能和机会来提高接口的生产率，随后通过购买单独的许可证来激活这些接口。 他们还提供带有多种接口和处理器卡的模块化交换机，并能够逐渐增加其数量和性能。
关键节点预留
在本文的这一部分中，我想简要描述诸如核心交换机，数据中心或分发服务器之类的重要网络节点的冗余基本原理。 我首先要研究常见的冗余类型-堆栈和群集。
我想谈谈每种方法的优缺点。
以下是比较两种方法的一般摘要表：
- 管理 -从表中可以看出，堆叠在这方面是一个优势，因为从管理多个交换机的堆叠的角度来看，堆叠似乎是一个具有大量端口的交换机。 代替在集群期间管理例如8个不同的交换机，您只能在堆叠时管理一个。
- 距离 -目前，严格来说，集群的优势还不是很明显，因为存在通过堆叠端口或两用端口堆叠交换机的技术（例如，具有Extreme的SummitStack-V，具有Cisco的VSS等），这也取决于收发器的类型。 此处的优点是基于以下原理进行群集：在堆叠时，必须使用常规的堆叠端口，通常使用有限长度的特殊电缆（0.5、1、1.5、3或5米）连接这些端口。
- 软件更新 -在这里我们看到集群比堆叠更具优势，并且情况如下-在堆叠过程中更新设备的软件版本时，您在主交换机上更新软件，该交换机随后承担将新软件放置在堆叠的备用成员交换机上的作用。 一方面，这使您的工作更加轻松，但是软件更新通常需要重新引导设备的硬件，从而导致整个堆栈的重新引导，从而中断其工作以及与之相关的所有服务的时间为重新引导时间。 这对于核心和数据中心通常非常关键。 在群集中-您有2台彼此独立的设备，可以在这些设备上依次依次更新软件。 同时，可以避免服务中断。
- 设置配置 -此处的优势当然是堆叠，因为在这种情况下和管理上，您只需要编辑一台设备及其配置文件的设置。 在群集中，配置文件的数量将等于群集节点的数量。
- 容错能力 -此处两种技术大致相等，但是群集仍具有一点优势。 这里的原因在于-如果从运行的进程和协议的角度考虑堆栈，那么我们将看到以下内容：
- 有一个主交换机，所有主要进程和协议都在该主交换机上运行（例如，动态路由协议-OSPF）
- 还有其他从属交换机，它们运行在堆栈中工作并为通过它们的流量提供服务所需的主要过程
- 如果交换机主交换机发生故障，则下一个优先级从属交换机会检测到主交换机发生故障
- 它启动自己作为主机，并启动在该主机上工作的所有进程（包括我们观察到的OSPF协议）
- ( ), OSPF
- OSPF ( , slave ). , , , - .
- — , . «» « ». . — VRRP, HSRP .
- — . , :
- — . , - . 4:3 . . -, — , , , .
IT ( , ), /o , . Putty Windows ( ).
( ) , - .
. , , — .
, :
:
/ ( ) :
:
- , , — .
- (LACP, MLT, PAgP ..) .
- ECMP (Equal-Cost-Multi-Path) — best path ( ) best-path ( ), , .
, , , :
- , X, 3- :
- :
- — OSPF, MP-BGP, MPLS, PIM, IGMP, IPv6 ..
- — , L2 L3 VPN, VoIP, IPTV, ..
- — , BGP-
- , ( )
- ,
- , — MTBF
- , 4 , 22 .
, .
, ( , - . , 2- RP , ).
— RP , NBD.
, RP, ( 3 ).
( ) :
- , , 60-70%
- , 900 . ()
- 3 1 620 . 1 890 .
, , , :
:
, , .
Enterprise
. PPDIOO (Prepare-Planning-Design-Implement-Operate-Optimize), :
- Prepare/ — , — , . — , , . .
- Planning/ — ( ), .. :
- L2 L3
- Wi-Fi c
- , , , , ( ). - . , . . operate.
- Design/ — , , - . .
, .
Prepare , :
- , 700-800 ( , )
- - :
- :
- :
- ( , ) :
- 2- L2:
- 1Gb RJ-45 — 24
- 1Gb SFP — 4
- 1- L2:
- —
- peer-to-peer
- :
- :
- L2 16 x 100 Mb RJ-45 2- combo- RJ-45/SFP
- :
- (hub-and-spoke — ) /
- /spoke — 3
- 9 ( )
- :
- :
- 2- 8
- 1- ( ) 8
- 1- . 4 ( )
- — /SMF
- 2- SFP
- (ODF) (-/),
- :
- :
- Cat5e — 10 ( 100 )
- /MMF 4 8 — 1
- /MMF 4
- Cat5e
- :
- L2, L3 :
- VLAN — 2,3
- /24
- B, — 172.16.0.0/16
- L3 /
- :
- :
- :
- :
- :
- , :
- N
- — , port-security 802.1.
- — , —
- 预算金额-在这里，每个公司已经根据自己的财务指标自行确定
- 截止日期-在最理想的情况下，没有明确的截止日期，因为这是公司的内部项目，由员工的力量实施，或者相对舒适-例如一年（或更长）。最坏的情况可能是3个月到6个月。
- 解决当前的网络问题：
- 丢包
- 与STP协议系列的使用相关的或多或少的智能访问交换机上的DHCP问题，以解决访问端口上的环路。
- 消除每个员工VLAN中DHCP服务器接口的存在
- 发生与未经授权地将管理型/非管理型交换机包含在机柜中并将各种设备连接至机柜相关联的开关回路
- 清单不胜枚举...
规划步骤-正如我已经写过的那样，当前网络状态的特征取决于高质量监视系统的可用性及其文档编制的程度。 在此步骤中，您将必须：
- 至少勾勒出现有网络以进行进一步分析
- 从设备收集数据：
- 中继端口流量
- 端口错误
- 交换机和路由器上的CPU利用率和内存消耗
- 通过VLAN和IP地址绘制L2-L3方案
- 提出电缆布线图：
- 光纤和光纤交叉接线图
- 服务器和地面之间的铜缆分配方案
- 地板和机柜之间的铜缆分配方案
- 检查服务器和机柜中的光交叉和配线架
- 检查服务器和地板机柜中的电源方案
- 检查重要地点的UPS和电池
- 分析所有数据
在准备阶段的数据指导下，我得到了一个近似的逻辑图：
此外，遵循模块化方法，有必要强调企业的级别和模块：
我不会触及本文的边界，而是简要回顾一下每个“校园”模块的基本原理：
- 访问-在此级别上应提供：
- 用户访问网络所需的端口数
- 实施安全策略-过滤流量和协议
- 使用VLAN的广播域压缩和网络分段
- 为语音流量实现单独的VLAN
- QoS支持
- 支持PoE接入端口
- IP多播支持
- 上行链路链路的容错性与分发级别（理想）
- 分发-应提供此级别的内容：
- 连接访问交换机所需的端口数
- 接入交换机链路的聚合和预留
- IP路由
- 包过滤
- QoS支持
- 链路，设备和电源级别的容错能力（非常理想）
- 核心-应提供：
- 高数据包交换和路由速度
- 连接分配开关所需的端口数
- 通过快速网络融合支持IP路由和动态路由协议
- QoS支持
- 安全功能可保护对设备和控制平面的访问
- 设备和电源级别的容错能力（必需）
- DPC-此模块的网络级别应提供：
- 高速通讯链接
- 连接服务器所需的端口数
- 保留服务器与数据中心交换机之间以及数据中心交换机与网络核心之间的通信链接（必需）
- 设备和电源冗余（必需）
- QoS支持
接下来，我们需要计算端口和通信链路并确定需求。
访问级别-端口计算图
因此，我们获得了有关建筑物入口端口分布的数据。 现在，您需要分析访问级别和注释的需求，并概述解决方案。
访问级别-要求和解决方案选项
接下来，我们计算以下级别的端口和通信链接：
分布水平
核心水平
数据中心级
在计算中，我们得到以下内容：
- 访问级别 -需要24和48端口访问交换机，最好具有1Gb访问端口和具有PoE支持和广泛功能的光纤上行链路SFP端口：
- 如果决定每个工作站使用2个端口-IP电话和数据端口，它们总共将提供504个访问端口，原则上将满足备用端口的要求。
- 可以在每层使用一台具有PoE功能的48端口交换机，从而提供满足以下要求的访问端口：
- 储备-主要建筑物上约有102个备用港口（占22％）。 对于其他建筑物，则多一点-25％。
- 视频监控
- 无线网络
- 分布级别 -要求交换机具有一组12至48个SFP端口的SFP端口，至少2个SFP +端口，并具有堆叠功能和高级功能，以及冗余电源。
- 内核级别 -需要从12到24个SFP / SFP +端口的高速交换机，同时支持堆栈和群集，并支持MC-LAG。 我必须说，可以使用路由工具来平衡流量。 新一代的L3交换机和路由器支持ECMP，并在具有相同度量标准的4条或更多路由上实现流量平衡。
- 数据中心级别 -需要从8到24个SFP / SFP +端口的交换机，同时支持堆栈和群集，并支持MC-LAG。
最终目标网络图是
为项目选择极限开关
好了，我们来谈谈最主要的事情-选择为实现项目而选择开关的时刻。 以下极限开关适用于目标电路：
*所选开关的规格可在该系列的第一篇文章中找到- 极限开关概述
关于这一点，我可以结束本文，但我想强调一下任何工程师在开发或升级其网络时将面临的另外两个方面：
纤维处理
在上面，我领导了有必要实现的目标计划。 为实现该功能，需要以下设备连接数：
链接数
从表中可以看出，确保网络级别（核心模块，数据中心和2个建筑物中的分布）的容错能力所需的最少光纤数量为10件。
在表征网络的阶段，我们发现建筑物之间的电缆中只有8根光纤。 在这种情况下该怎么办？
我将给出一些解决方案：
- 显而易见的第一步是在建筑物1-建筑物1和建筑物1-建筑物2之间的电缆中使用自由光纤（从表中可以看出，每根电缆中仅使用8根光纤中的2根）。 为此，在情况1中在交叉点之间放置光交叉点就足够了，如果有必要，可以使用光模块裕度小的SFP模块。
- 第二步是使用CWDM技术-压缩单根光纤中的载波波长。 该技术比DWMD便宜得多，并且易于实施。 基本上，要求是对具有一定长度和预算的光纤和SFP / SFP +收发器的质量的要求。 正如我在上一篇文章中所述，交换机具有识别第三方收发器的能力可以极大地简化我们的生活，并减少建造更多光缆的投资成本。
- 第三步是考虑通过铺设额外的光缆来增加光纤的可能性。
接下来，我们看一下安装了分配开关和附加开关的建筑物之间的光纤数量。 2-10号楼。 这里，一切都不是那么简单：
- 首先，没有足够的光纤来实现我们的目标方案-每个交换机2根光纤（我们记得，每种情况下我们有4 OV的电缆）
- 其次，即使建筑物之间有足够数量的光纤，建筑物内部也会使用MMF光纤，这将不允许我们仅将SMF和MMF光纤连接在一起（我说的是建筑物之间300-400米之间的距离）
在这种情况下，可以考虑以下选项：
- 为每个交换机提供SMF光纤：
- 如果距离允许，您可以在交换机之间延长额外的跳线。 一次，我们使用了30至50 m长的跳线。
- 在机柜之间使用相对便宜的小容量SMF电缆
- 作为最后的选择，请使用各种SMF-MMF转换器
- 为了最大程度地减少建筑物之间使用的纤维，您可以：
- 使用x440-G2接入交换机的堆叠功能-同时在地板上的每个交换机上使用1个SMF光纤，从而允许6根光纤和端口（而不是6根光纤和端口）在每一侧使用3根光纤和端口
- 使用2根光纤连接分支中的第一个交换机和最后一个。 聚合边界访问交换机上的链路，并在生成的环中使用STP协议。
IP编址
在这里，我将给出电路的近似寻址计算。
目前，我们有多个B类网络-172.16.0.0/16。 在计算IP地址空间时，我将遵循以下注意事项：
- 第二个八位位组的4位将指示建筑物-172.16.0.0/12。
- 3个八位字节将指示建筑物的楼层号。
- 设备和控制网络的点对点链接将分配3个字节= 255。
- 每层一层VLAN管理，用于交换机管理。
- 每个交换机一个用户VLAN（平均24个端口）。
- 每个交换机一个语音VLAN（平均24个端口）。
- 每层一个视频监控系统使用一个VLAN。
- 每个楼层一个用于Wi-Fi设备的VLAN。
我得到了类似下表的内容：
网络172.16.0.0/14
网络172.20.0.0/14
在上表中，我一方面给出了建筑物和楼层之间的网络，另一方面给出了网络（用户，管理和服务）的大致分离。
实际上，灰色网络172.16.0.0/12的选择并不是最佳选择，因为它限制了我们建筑物的网络数量（从16个到31个），并且还有一些远程办公室也需要削减网络块，可能更理想将有一个使用10.0.0.0/8网络或共享172.16.0.0/12网络（例如，用于办公需求和服务器）和10.0.0.0/8（用于用户网络）的选项。
通常，IP网络的分配方法也是模块化的，建议遵循将子网汇总为分布级别的一个摘要网络以及远程分支机构的边界路由器的规则。 这样做有几个原因：
- 最小化路由器上的路由表
- 最小化路由协议的开销（各种更新消息，如果子网不可用）
- 简化L3网络的管理并提高其可读性
尽管前两点值得注意，但是现代路由器的功能远高于15到20年前的功能，并且允许您在RAM中包含大型路由表，并且与之相比，通信通道的价格和带宽之比有所降低。与流量一般使用时间E1 / T1的价格（G.703）。
结论
朋友，在本文中，我试图简要地讨论设计校园网络的基本原理。 是的，有很多材料，尽管我没有涉及以下主题，但这些材料很多：
- 企业边界的组织（这是有关其交换机，边界板，防火墙，IPS / IDS系统，DMZ，VPN等的另一个故事）
- Wi-Fi网络的组织
- VoIP网络的组织
- 数据中心组织
- 安全性（这也是它自己的独立世界，就数量和要求而言，它并不逊色于干净的网络基础结构的设计，有时甚至超过了它）
- 电力工程
- 清单不停
实际上，设计和构建企业网络是一项艰巨的任务，需要大量时间和资源。
但是，我希望我的文章能够帮助您在初期评估和理解如何完成这项任务。
这与Extreme Networks上的最后一篇文章相去甚远，敬请关注（ Telegram ， Facebook ， VK ， TS Solution Blog ）！