網路設計基礎
網路設計是指規劃、建置和管理資料通訊基礎架構的過程，旨在使電腦、伺服器、交換器、路由器、存取點和物聯網設備等設備能夠安全、穩定、有效率地連接。在數位化服務時代，網路設計不僅僅是「連接線材」或安裝Wi-Fi；它關乎建構一個能夠支援業務需求、可擴展成長並抵禦安全威脅的架構。本文將介紹辦公室、學校和大型組織中常用的網路設計基礎知識。
1. 網路設計的目標與基本原則
在選擇設備或拓撲結構之前，網路設計人員需要了解網路的主要目標。通常，好的設計應平衡以下原則：
1. 可用性：即使一台設備或一條線路中斷，服務仍可繼續運作。
2. 效能：反應時間快、延遲低、吞吐量大、瓶頸少。
3. 可擴充性：易於開發，無需徹底改造。
4. 安全：保護資料、使用者身分和服務免受未經授權的存取。
5. 易於管理（可管理性）：易於監控、追蹤問題和配置。
6. 成本效益（成本效益）：根據需求進行投資，不要過度投資，但也不要能力不足。
這些原則構成了所有決策的基礎：從架構選擇、IP 編號、VLAN 分段到路徑冗餘。
2. 需求分析
網路設計的第一步是收集需求。一個常見的錯誤是，在沒有計算流量負載和使用模式的情況下就直接購買設備。需要梳理的內容包括：
– 使用者和裝置數量：員工、訪客、行動裝置、印表機、閉路電視、物聯網。
– 主要應用：電子郵件、ERP、VoIP、視訊會議、雲端儲存、網際網路存取、遠端 VPN。
– 頻寬需求：內部流量和網路流量；尖峰時段。
– 服務需求：DHCP、DNS、驗證（RADIUS/AD）、檔案伺服器、Web 伺服器。
– SLA/目標正常運作時間：例如，關鍵操作的正常運作時間為 99,9%。
– 合規與監管：隱私權政策、稽核、日誌記錄。
根據這些數據，設計人員可以確定優先事項：是專注於 Wi-Fi 存取速度、建築物間的可靠性，還是敏感資料的安全性。
3. 網路架構：分層模型
常用的架構是分層模型，它將網路劃分為若干層：
1. 接取層：用戶設備連接之處（接取交換器、Wi-Fi 接取點）。重點在於足夠的連接埠數量、為接入點/監視攝影機提供 PoE 供電以及存取控制（VLAN、連接埠安全）。
2. 分發層：聚合訪問，執行 VLAN 之間的路由，應用策略（ACL、QoS），並控制路徑。
3. 核心層：連接分送網路與資料中心、網際網路閘道或建築物之間的高速骨幹網路。它側重於吞吐量和冗餘性。
在小型網路中，匯聚層和核心層可以合併（核心層折疊）。然而，功能分離的原則對於更簡潔的設計和更便捷的擴展仍然十分有用。
4. 拓樸結構和傳輸介質
拓撲結構描述了設備之間的連接方式：
星型連接（最常見）：所有設備連接到中央交換器。易於管理；如果一條網線斷裂，只會影響一個設備。
網狀網路：節點間有多條路徑。抗干擾能力強，但成本更高，結構更複雜。
– 環/匯流排：在現代區域網路中較不常見；環有時出現在城域網路/ISP 線路中，但在區域網路中被交換器取代。
傳輸介質需要根據距離和需求進行調整：
– 銅纜（UTP Cat6/Cat6A）：適用於區域網，在一定距離內可達 1–10 Gbps。
– 光纖：用於樓層/建築物間的主幹網，抗干擾，傳輸距離遠，容量大。
– 無線（Wi-Fi）：靈活，但易受干擾，容量共享，需要頻道規劃。
常見的設計錯誤包括使用銅纜傳輸過長的距離，或在未考慮容量的情況下使用 Wi-Fi 代替有線骨幹網路。
5. IP位址分配和子網路劃分
網路設計的重要基礎之一是建立 IP 位址架構。良好的 IP 位址架構有助於故障排除、網路分段和網路擴展。要點：
– 確定是僅使用 IPv4 還是雙堆疊（IPv4 + IPv6）。
– 為每個網段建立子網路：例如，為員工、訪客、伺服器、物聯網設備、裝置管理建立 VLAN。
– 使用子網路劃分來提高效率：不要分割得太小，以免很快用完；也不要分割太大，以免廣播網域過大。
– 預留空間：用於新建樓層/建築擴建。
一個簡單的例子：VLAN 10 用於員工（192.168.10.0/24），VLAN 20 用於訪客（192.168.20.0/24），VLAN 30 用於伺服器（192.168.30.0/24）。然而，在規模較大的組織中，通常會使用更結構化的位址區塊，例如，按位置劃分的 /16 位址區塊。
6. 網路分段：VLAN、路由與策略
分段有助於限制廣播式傳播、提高安全性以及對流量進行優先排序。常見實作方式：
– 交換器上的 VLAN 可存取不同的使用者。
– 在分送網路中的三層交換器或路由器上進行 VLAN 間路由。
– 使用 ACL（存取控制清單）來限制 VLAN 之間的訪問，例如，只允許訪客 VLAN 存取網際網路。
– 對物聯網進行網路分段，使「不受信任的」設備無法存取內部伺服器。
良好的細分通常基於功能（員工、客人、服務員、語音、閉路電視），而不僅僅是基於“1樓/2樓”，儘管位置也可以作為一個考慮因素。
7. 網路設計中的基本安全
安全不應是最後的手段。一些基本要素：
– 防火牆和網路區域：獨立的內部區域、DMZ（公共伺服器）和訪客區域。
– NAC/802.1X：裝置/使用者在進入網路之前進行身份驗證。
– Wi-Fi 安全性：辦公室使用 WPA2-Enterprise 或 WPA3-Enterprise；單獨的訪客 SSID。
– 設備管理：使用管理 VLAN，限制管理員訪問，使用 SSH，停用舊協定。
– 更新和加固：網路設備韌體必須更新，且最低配置必須安全。
– 日誌記錄和監控：syslog、SNMP/遙測和警報，以便快速偵測事件。
安全設計也應考慮配置備份策略、變更管理和稽核。
8. 冗餘和高可用性
為防止完全停機，網路設計通常會增加以下措施：
– 使用 LACP（鏈路聚合）等協定建立冗餘鏈路，以提高容量和故障轉移能力。
– 冗餘交換器/核心：兩台設備具有兩條存取/分發路徑。
– 冗餘網關協議，例如 HSRP/VRRP/GLBP，用於防篡改的預設閘道。
– STP/RSTP/MSTP 防止在二層網路上出現環路（或使用三層設計以達到一定規模的存取）。
然而，冗餘必須經過合理規劃。錯誤的冗餘會增加複雜性，並造成難以追蹤的循環或配置。
9. 服務品質與效能管理
服務品質 (QoS) 有助於確保關鍵應用程式流暢運行，尤其適用於：
– 對延遲和抖動敏感的 VoIP（語音）和視訊會議。
– 關鍵應用，例如交易或作業系統存取。
– 對訪客或非優先應用程式的頻寬有限制。
QoS 通常涉及在適當的點（例如上行鏈路或網際網路閘道）進行流量分類、標記（DSCP）、排隊和整形/監管。
10. 文檔和操作
好的設計如果沒有文件記錄，也會失敗。文件至少應包括：
– 物理拓樸圖和邏輯拓樸圖。
– 設備清單、管理 IP、韌體版本。
– VLAN/子網路方案、防火牆/ACL規則。
– 標準作業程序變更和災難復原程序。
– 命名標準（主機名稱）、連接埠標籤和配線架。
文件可以加快故障排除速度，並使新團隊更容易了解網路。
關閉
網路設計基於實際需求：誰將使用網絡，他們運行哪些應用程序，正常運行時間的重要性如何，以及預期增長幅度如何。在此基礎上，優秀的網路設計應實現結構化的架構（存取層-分發層-核心層）、清晰的IP位址方案、安全的網路分段以及適當的冗餘。安全性、性能和可管理性應在規劃階段就納入考慮，而不是事後才考慮。有了這些基礎，網路就能更好地支持組織的各項活動——無論當前或未來，都能滿足不斷變化的需求。
