中小型园区网络 物理网络设计

出口部署要点

园区出口部署旨在实现园区终端用户能够访问广域网或Internet，以及实现园区分支与总部的互联。园区出口一般需要部署路由器和防火墙，路由器解决内外网互通问题，防火墙提供边界安全防护能力。

根据园区网络的业务、规模的不同，园区出口部署方式不同：

• 对于链路类型、出口路由较简单的场景，可以仅部署防火墙作为出口设备。
• 对于大型园区出口，通常采用防火墙直连路由器的组网方式。
• 对于总部与分支相连的场景，推荐部署IPSec进行互联。
• 出口设备与Internet连接时，可以使用静态路由、OSPF路由或BGP路由。园区内网路由主要满足园区内部设备、终端的互通需求并且与外部路由交互。一般可以选择静态路由或OSPF。
  • 静态路由：适用于路由条目较少的场景。大多数园区一般使用静态路由即可满足要求
  • OSPF路由：适用于路由条目较多的场景。
  • BGP路由：适用于路由条目较多的场景。当企业与ISP之间有多条链路，且多条链路可以提供差异化的路由服务时，推荐部署BGP。

1、网络出口的设计

 

 

 

 网络出口的设计需要考虑如下方面：

● 出口网关设备的选择：
– 中型的商超、普教场景以及高安全应用场景，采用防火墙设备。
– 家庭酒店、小型零售、分支等，可采用AR设备。
– 微型门店仅部署单台AP时，采用AP设备。
● 出口组网设计：
– 对于中型的商超、普教场景，网络规模较大，推荐出口采用防火墙双机组网。出口的链路推荐多运营商链路备份。
– 对于酒店、门店、中小型商超等场景，网络规模相对较小，推荐出口采用单设备组网，出口采用单运营商链路即可。
● 出口设备部署主要功能：需要配置基本的VPN功能、WAN口/拨号接入功能，对于安全有需求的场景，可以部署安全防火墙功能。

出口网关选型的设计约束：
● AP做出口时，仅支持配置一个默认的WAN侧地址。
● FW作为认证点时，仅可以支持云平台的有线portal认证。
● 出口网关备份场景，AR不支持配置备份，建议选择FW做出口网关。
● 非SD-WAN场景下，AR做网关，不支持Eth-trunk，和AR直连的交换机不支持堆叠；如果和AR直连的LSW要做堆叠，则需要LSW作为网关，通过3层和AR互联。
● FW设备不支持Eth-Trunk，故与FW互连的交换机不支持堆叠。

 

中大型网络出口网络架构

园区出口区一般需要部署出口路由器和防火墙。路由器解决内外网互通的问题，防火墙提供边界安全防护能力。为了保证可靠性，路由器和防火墙通常采用设备冗余部署。大中型园区推荐出口部署设备冗余备份。

根据是否需要部署路由器，通常会有如图2所示的两种组网模型。组网1是路由器做出口，组网2是防火墙做出口。

 

大中型园区组网，出口的路由一般比较少，通常少于几百条，因此不需要路由器的路由表规模，从网络建设成本考虑，推荐组网2，采用防火墙做出口的组网。

如果符合以下几个因素之一，可以选择组网1模型：

• 出口的链路类型

  如果出口区运营商提供的链路类型为EI、CE1、CPOS等非以太网的链路，考虑到路由器支持的接口类型比防火墙更为丰富，建议选择组网1，采用路由器做出口。

• 接口数量和密度

  如果出口设备不仅要和Internet互连，还要和合作单位或分支机构通过专线互连，考虑到路由器支持的接口数量和密度更高，建议选择组网1，采用路由器做出口。

• 协议类型

  如果出口设备与外部网络运行动态路由器协议（如BGP协议），考虑到路由器的路由表规模和性能更强大，同时考虑到在出口设备上需要部署许多路由策略，建议选择组网1，采用路由器做出口。

• QoS需求

  如果需要在出口设备上部署QoS策略，考虑到路由器的QoS功能更强大，建议选择组网1，采用路由器做出口。

• 网络流量

  为减少对现网流量的影响，或只需部分业务进行安全处理，可以考虑采用FW旁挂方式，选择组网3。

 2、网络汇聚层设计

 

 

 

网络汇聚层的设计需要考虑如下方面：
组网设计：
● 对于中型的商超、普教场景，网络规模较大，推荐汇聚层采用堆叠组网。如果汇聚层有两层，汇聚层之间通过Eth-Trunk链路互联。推荐部署大二层方式，出口设备作为网关。
● 对于酒店、门店、中小型商超等场景，网络规模相对较小，推荐汇聚层单设备组网，也可以根据网络的规模和可靠性需求，选择堆叠组网。推荐部署大二层方式，出口设备作为网关。
● 对于小型商超、门店场景，网络规模更小，可以没有汇聚层设备。

 3、网络接入层设计

 

网络接入层的设计需要考虑如下方面：
● 接入设备的选择：
– 接入层需要考虑支持PoE的接入交换机，根据接入AP的数量，选择合适端口的设备。
– 选择交换机时，要计算接入AP的数量*AP的功率 ≤ PoE交换机可以提供的功率，所以要根据AP的具体款型和数量，选择合适电源的PoE交换机。
– 对于酒店、宿舍等多房间建筑模式的场景时，采用中心AP，提供RU PoE接入
和管理，RU提供WLAN无线能力。
● 组网设计：
– 对于中型的商超、普教场景，网络规模较大，推荐接入层采用堆叠组网。当接入单机即可满足下联终端的接入密度时，可接入层采用单机组网。当前接入层上联设备采用堆叠组网时，推荐Eth-Trunk链路与上联设备互联。需要多AP覆盖，通过PoE LSW扩展AP接入。

– 对于酒店、中小型商超、中型门店等场景，网络规模相对较小，推荐接入层单设备组网，单链路与上联设备互联。需要多AP覆盖，通过PoE LSW扩展AP接入。
– 中小型门店场景，需要AP覆盖，可以没有接入交换机，AP直接与出口网关互联。

4、可靠性设计

● 云管理平台可靠性：云平台部署分为华为公有云、MSP自建云、本地部署三种场景，针对这三种场景可靠性需要分别考虑：
– 华为公有云场景：云平台由华为运营管理，可靠性由华为保障，客户无需设计分析。
– MSP自建云场景：云平台由MSP运营管理，MSP通过租赁方式向中小企业提供SaaS服务，建议MSP选择可扩容的服务器集群部署方式来保证可靠性和未来业务演进。
– 本地部署场景：建议企业客户选择服务器集群部署方式来保证可靠性。
● 认证可靠性：对于设备与认证服务器对接的场景，推荐考虑认证服务器故障后的逃生策略，目前支持故障后不认证或者不影响用户接入两种策略。
● 网络的可靠性主要涉及链路的可靠性、设备的可靠性。
– 出口链路可靠性：一般场景多为单链路出口，则不用考虑多链路的备份，对于高可靠场景，则需要部署多链路出口，对链路进行主备配置。
– 园区内部链路可靠性：一般可以使用Eth-Trunk技术来保证链路的可靠性，建议交换机堆叠组网采用跨设备Eth-Trunk来保证链路可靠性。
– 设备的可靠性：出口网关设备可以部署两台设备做双机备份，核心/汇聚层的LSW设备，可以通过堆叠实现物理设备的备份。