Modular Network Design: Scalable Architecture Framework

Úvod do návrhu modulárnej siete

Modulárnosť siete je prax navrhovania sietí ako prepojených, účelovo postavených segmentov, a nie monolitických štruktúr. Každý modul slúži špecifickej funkcii, má vymedzené hranice a pripája sa k priľahlým modulom prostredníctvom dobre zrozumiteľných rozhraní. Tento prístup transformuje návrh siete z umenia do opakovateľnej inžinierskej disciplíny.

Moc modularity spočíva v jej schopnosti tvoriťpredvídateľné modelyktoré možno dôsledne uplatňovať v celej infraštruktúre organizácie bez ohľadu na to, či ide o desaťtisíce malých lokalít, tisíce stredných lokalít alebo stovky veľkých podnikových táborov.

Prečo je modularita dôležitá

Výhody vo všetkých sieťových mierkach

| Benefit | Small Sites | Medium Sites | Large Sites | - - - - - |Zjednodušené riešenie problémov| Single engineer can understand entire topology | Teams can specialize by module | Clear escalation paths between module owners | |Predvídateľný rozsah| Add modules as needed | Clone proven patterns | Extend without redesign | |Konzistentná bezpečnosť| Same policies everywhere | Uniform compliance posture | Auditable boundaries | |Prevádzková efektívnosť| Template-based deployment | Automated provisioning | Standardized change management | |Kontrola nákladov| Right-size each module | Bulk purchasing by module type | Lifecycle management by tier |

Náročnosť

Organizácie zriedka zostávajú statické. Modulárna konštrukcia musí obsahovať:

• 10 000 + malé lokality: pobočky, maloobchodné miesta, vzdialené zariadenia
• 1000 + stredné lokality: Regionálne kancelárie, distribučné centrá, výrobné zariadenia
• 100 + veľké lokality: Sídlo, dátové centrá, hlavné areály

Bez modulárnosti sa každé miesto stáva jedinečnou snehovou vločkou, ktorá si vyžaduje vlastnú dokumentáciu, odborný výcvik a jednorazové riešenie problémov. S modulárnosťou, inžinier, ktorý chápe vzor môže účinne pracovať na každom mieste.

Moduly základnej siete

Modul 1: Segment internetového okraja

Internet Edge je miesto, kde sa vaša organizácia stretáva s vonkajším svetom. Tento modul obsahuje:

• WAN/Internetové obvody(MPLS, DIA, širokopásmové pripojenie, LTE/5G)
• Routery okrajov(BGP peering, ukončenie WAN)
• Firewally(štátna inšpekcia, NAT, ukončenie VPN)
• VLAN segmentáciapre funkčné oddelenie

@startuml Internet Edge Module
!define ICONURL https://raw.githubusercontent.com/Roemer/plantuml-office/master/office2014
skinparam backgroundColor #FEFEFE
skinparam handwritten false

nwdiag {
    internet [shape = cloud, description = "Internet"];

    network ISP_Transit {
        address = "VLAN 10-12"
        color = "#FFE4E1"
        description = "ISP/MPLS Transit"

        internet;
        ISP_A [description = "ISP-A\nCircuit"];
        ISP_B [description = "ISP-B\nCircuit"];
        MPLS [description = "MPLS\nCircuit"];
    }

    network Edge_Router_Segment {
        address = "VLAN 10,11,12"
        color = "#E6E6FA"
        description = "Edge Router Aggregation"

        ISP_A;
        ISP_B;
        MPLS;
        Edge_Router [description = "Edge Router\n(BGP Peering)"];
    }

    network FW_Outside {
        address = "VLAN 100"
        color = "#FFFACD"
        description = "Firewall Outside"

        Edge_Router;
        FW_Primary [description = "Firewall\nPrimary"];
        FW_Secondary [description = "Firewall\nSecondary"];
    }

    network FW_HA_Sync {
        address = "VLAN 101"
        color = "#F0FFF0"
        description = "HA Sync Link"

        FW_Primary;
        FW_Secondary;
    }

    network FW_Inside {
        address = "VLAN 102"
        color = "#E0FFFF"
        description = "To Internal Edge"

        FW_Primary;
        FW_Secondary;
    }
}
@enduml

Hlavné princípy návrhu:

• Redundantné obvody od rôznych poskytovateľov
• Firewall vysoko dostupné páry
• Jasné hranice VLAN medzi dôveryhodnými zónami
• L3 prepojenia medzi bodom a bodom medzi routerom a firewallom

Modul 2: Vnútorný okraj / DMZ Úroveň

Interný okraj pre stredné a veľké lokality poskytuje súhrnnú vrstvu pre služby, ktoré vyžadujú kontrolované vystavenie alebo slúžia ako prechodové body medzi bezpečnostnými zónami.

@startuml Internal Edge Module
skinparam backgroundColor #FEFEFE

nwdiag {
    network From_Internet_Edge {
        address = "VLAN 102"
        color = "#E0FFFF"
        description = "From Firewall Inside"

        IntEdge_A [description = "Internal Edge\nSwitch A"];
        IntEdge_B [description = "Internal Edge\nSwitch B"];
    }

    network MCLAG_Peer {
        address = "Peer-Link"
        color = "#DDA0DD"
        description = "MCLAG/vPC Peer"

        IntEdge_A;
        IntEdge_B;
    }

    network WLC_Mgmt {
        address = "VLAN 200 - 10.x.200.0/24"
        color = "#FFE4B5"
        description = "WLC Management"

        IntEdge_A;
        IntEdge_B;
        WLC [description = "Wireless LAN\nController"];
    }

    network Proxy_Farm {
        address = "VLAN 201 - 10.x.201.0/24"
        color = "#FFDAB9"
        description = "Proxy Services"

        IntEdge_A;
        IntEdge_B;
        Proxy [description = "Web Proxy\nServers"];
    }

    network VPN_Services {
        address = "VLAN 202 - 10.x.202.0/24"
        color = "#E6E6FA"
        description = "VPN Termination"

        IntEdge_A;
        IntEdge_B;
        VPN [description = "VPN\nConcentrator"];
    }

    network Infrastructure {
        address = "VLAN 204 - 10.x.204.0/24"
        color = "#F0FFF0"
        description = "Infrastructure Services"

        IntEdge_A;
        IntEdge_B;
        DNS_DHCP [description = "DNS/DHCP\nServers"];
    }

    network To_Core {
        address = "VLAN 205"
        color = "#B0E0E6"
        description = "Core Transit"

        IntEdge_A;
        IntEdge_B;
    }
}
@enduml

Služby Typicky na vnútornej hrane:

• Bezdrôtové LAN ovládače (WLC)
• Webové proxy a obsahové filtre
• Koncentrátory VPN
• Infraštruktúra DNS/DHCP
• Navíjače
• Skokové servery

Modul 3: Hlavná vrstva

Jadro je vysokorýchlostná chrbtica, ktorá prepája všetky ostatné moduly. Malo by sa optimalizovať pre:

• Maximálna priepustnosť
• Minimálna latencia
• Vysoká dostupnosť
• Jednoduché, rýchle presmerovanie

@startuml Core Module
skinparam backgroundColor #FEFEFE

nwdiag {
    network From_Internal_Edge {
        address = "L3 Routed"
        color = "#B0E0E6"
        description = "From Internal Edge"

        Core_A [description = "Core Switch A\n100G Backbone"];
        Core_B [description = "Core Switch B\n100G Backbone"];
    }

    network Core_Interconnect {
        address = "100G+ ISL"
        color = "#FFB6C1"
        description = "High-Speed Interconnect\nOSPF/IS-IS/BGP"

        Core_A;
        Core_B;
    }

    network To_Distribution_1 {
        address = "L3 P2P"
        color = "#98FB98"
        description = "Building A"

        Core_A;
        Core_B;
        Dist_1 [description = "Distribution 1\n(L3 Adjacent)"];
    }

    network To_Distribution_2 {
        address = "L3 P2P"
        color = "#DDA0DD"
        description = "Building B"

        Core_A;
        Core_B;
        Dist_2 [description = "Distribution 2\n(MCLAG)"];
    }

    network To_Distribution_3 {
        address = "L3 P2P"
        color = "#FFDAB9"
        description = "Building C"

        Core_A;
        Core_B;
        Dist_3 [description = "Distribution 3\n(MCLAG)"];
    }

    network To_DC_Border {
        address = "L3 Routed"
        color = "#87CEEB"
        description = "Datacenter"

        Core_A;
        Core_B;
        Border_Leaf [description = "Border Leaf\n(DC Fabric)"];
    }
}
@enduml

Základné princípy návrhu:

• Žiadne priamo pripojené koncové zariadenia
• L3 trasovanie medzi spínačmi jadra (žiadna zostava)
• Rovnomerný multipat (ECMP) pre rozloženie zaťaženia
• Protokoly rýchlej konvergencie

Modul 4: Rozdeľovacia vrstva

Zlúčenia distribučných vrstiev Access prepína a presadzuje politiku. To je miesto, kde výber návrhu siete majú najviac variácie na základe požiadaviek lokality.

Distribučné zmeny úrovne

Variácia 1: L3 adjacent (Routed Access)

V tomto dizajne sú rozvody a prístupové vrstvyL3 susediaceKaždý prístupový spínač má svoj vlastný IP podsieť a trasy priamo k distribúcii.

@startuml Distribution Variation 1 - L3 Adjacent
skinparam backgroundColor #FEFEFE

nwdiag {
    network From_Core {
        address = "L3 ECMP"
        color = "#B0E0E6"
        description = "From Core Layer"

        Dist_A [description = "Distribution A\n(L3 Router)"];
        Dist_B [description = "Distribution B\n(L3 Router)"];
    }

    network Dist_iBGP {
        address = "iBGP Peering"
        color = "#DDA0DD"
        description = "ECMP/iBGP"

        Dist_A;
        Dist_B;
    }

    network P2P_Access_1 {
        address = "10.x.2.0/30"
        color = "#98FB98"
        description = "L3 Point-to-Point"

        Dist_A;
        Dist_B;
        Access_1 [description = "Access SW-1\n(L3 Gateway)"];
    }

    network P2P_Access_2 {
        address = "10.x.2.8/30"
        color = "#FFE4B5"
        description = "L3 Point-to-Point"

        Dist_A;
        Dist_B;
        Access_2 [description = "Access SW-2\n(L3 Gateway)"];
    }

    network P2P_Access_3 {
        address = "10.x.2.16/30"
        color = "#FFDAB9"
        description = "L3 Point-to-Point"

        Dist_A;
        Dist_B;
        Access_3 [description = "Access SW-3\n(L3 Gateway)"];
    }

    network User_VLAN_1 {
        address = "10.x.32.0/24"
        color = "#F0FFF0"
        description = "Users - SW1"

        Access_1;
        Laptop_1 [description = "Laptops"];
        Phone_1 [description = "Phones"];
    }

    network User_VLAN_2 {
        address = "10.x.33.0/24"
        color = "#FFF0F5"
        description = "Users - SW2"

        Access_2;
        Laptop_2 [description = "Laptops"];
        Camera_2 [description = "Cameras"];
    }

    network User_VLAN_3 {
        address = "10.x.34.0/24"
        color = "#F5FFFA"
        description = "Users - SW3"

        Access_3;
        Laptop_3 [description = "Workstations"];
        Camera_3 [description = "Cameras"];
    }
}
@enduml

Príklad rozdelenia subnetu:

| Link | Subnet | . | Distribution to Core | 10.x.1.0/30, 10.x.1.4/30 | | Dist-A to Access-1 | 10.x.2.0/30 | | Dist-B to Access-1 | 10.x.2.4/30 | | Access-1 User VLAN | 10.x.32.0/24 | | Access-2 User VLAN | 10.x.33.0/24 |

Prínosy:

• Izolácia vysielanej domény pri každom prepínači prístupu
• Zjednodušené riešenie problémov (problémy obsiahnuté v podsiete)
• Žiadne pretínanie stromov medzi rozdelením a prístupom
• Súhrn možný v distribučnej vrstve

Úvahy:

• Vyžaduje prepínače prístupu s možnosťou pripojenia L3
• Konfigurácia DHCP relé na každom prepínači prístupu
• Zložité riadenie IP adresy

Zmena 2: MCLAG s LAKT Trunks

Tento dizajn používaMulti-Chassis Link Agregácia (MCLAG)pri distribúciiDlhopisy LACPna prístup k vypínačom, ktoré nesú káblové VLAN.

Názvoslovie: Cisco nazýva tento vPC (Virtual Port Channel), Arista používa MLAG, Juniper používa MC-LAG, a HPE / Aruba používa VSX. Funkčné správanie je podobné medzi dodávateľmi.

@startuml Distribution Variation 2 - MCLAG
skinparam backgroundColor #FEFEFE

nwdiag {
    network From_Core {
        address = "L3 Routed Uplinks"
        color = "#B0E0E6"
        description = "From Core Layer"

        Dist_A [description = "Distribution A\n(MCLAG Member)"];
        Dist_B [description = "Distribution B\n(MCLAG Member)"];
    }

    network MCLAG_Peer_Link {
        address = "Peer-Link"
        color = "#FFB6C1"
        description = "MCLAG/vPC Peer-Link"

        Dist_A;
        Dist_B;
    }

    network LACP_To_Access {
        address = "Po1 - LACP Trunk"
        color = "#DDA0DD"
        description = "VLANs 100,110,120 Trunked"

        Dist_A;
        Dist_B;
        Access_1 [description = "Access SW-1\n(L2 Switch)"];
    }

    network Data_VLAN {
        address = "VLAN 100 - 10.x.32.0/24"
        color = "#98FB98"
        description = "Data VLAN"

        Access_1;
        Laptops [description = "Laptops\nWorkstations"];
    }

    network Voice_VLAN {
        address = "VLAN 110 - 10.x.64.0/24"
        color = "#FFE4B5"
        description = "Voice VLAN"

        Access_1;
        Phones [description = "IP Phones"];
    }

    network Security_VLAN {
        address = "VLAN 120 - 10.x.96.0/24"
        color = "#FFDAB9"
        description = "Security VLAN"

        Access_1;
        Cameras [description = "Cameras\nBadge Readers"];
    }
}
@enduml

Umiestnenie SVI (VRRP VIP na distribučnom páre):

• VLAN 100: 10.x.32.1/24
• VLAN 110: 10.x.64.1/24
• VLAN 120: 10.x.96.1/24

Nastavenie VLAN Trunk:

| Port-Channel | VLANs | Destination | |--------------|-------|-------------| 100 110 120 | Po2 (MCLAG) | 100,110,120,130 | Access-2 | | Po3 (MCLAG) | 100,110 | Access-3 | | Native VLAN | 999 (unused) | — |

Dávky MCLAG:

• Aktívne presmerovanie (použité obe uplinky)
• Sekundárne zlyhanie
• Jednotný logický prepínač z hľadiska prístupu
• Bez blokovania stromov

Úvahy:

• VLAN stierajú viac spínačov (väčšie vysielacie domény)
• MCLAG peer-link sa môže stať prekážkou
• STP je stále potrebné ako slučka prevencia zálohy

Variácia 3: Border Leaf for Spine/Leaf Datacenter

V prostredí dátových centier sa distribučná vrstva stávaHraničný listprepojenie chrbtice a listovej tkaniny so zvyškom siete podnikov.

@startuml Distribution Variation 3 - Border Leaf Datacenter
skinparam backgroundColor #FEFEFE

nwdiag {
    network Enterprise_Core {
        address = "L3 Routed (eBGP/OSPF)"
        color = "#B0E0E6"
        description = "From Enterprise Core"

        Border_A [description = "Border Leaf A\nVXLAN Gateway"];
        Border_B [description = "Border Leaf B\nVXLAN Gateway"];
    }

    network Border_EVPN {
        address = "VXLAN EVPN"
        color = "#DDA0DD"
        description = "EVPN Type-5 Routes"

        Border_A;
        Border_B;
        Spine_1 [description = "Spine 1"];
        Spine_2 [description = "Spine 2"];
    }

    network Spine_Fabric {
        address = "eBGP Underlay"
        color = "#FFB6C1"
        description = "Spine Layer"

        Spine_1;
        Spine_2;
    }

    network Leaf_Tier_1 {
        address = "VTEP"
        color = "#98FB98"
        description = "Compute Rack 1"

        Spine_1;
        Spine_2;
        Leaf_1 [description = "Leaf 1"];
        Leaf_2 [description = "Leaf 2"];
    }

    network Leaf_Tier_2 {
        address = "VTEP"
        color = "#FFE4B5"
        description = "Storage/Services"

        Spine_1;
        Spine_2;
        Leaf_3 [description = "Leaf 3"];
        Leaf_4 [description = "Leaf 4"];
    }

    network Server_Rack_1 {
        address = "VNI 10001"
        color = "#F0FFF0"
        description = "Compute Servers"

        Leaf_1;
        Leaf_2;
        Servers_1 [description = "Rack Servers\nVMs/Containers"];
    }

    network Storage_Network {
        address = "VNI 10002"
        color = "#FFDAB9"
        description = "Storage Arrays"

        Leaf_3;
        Storage [description = "SAN/NAS\nStorage"];
    }

    network Voice_Services {
        address = "VNI 10003"
        color = "#E6E6FA"
        description = "UC Systems"

        Leaf_4;
        PBX [description = "PBX/UC\nSystems"];
    }
}
@enduml

Datacenter Fabric Details:

| Component | Function | . . . . . . . . . . . . . |Podklad| eBGP (ASN per switch) or OSPF | |PrekrytieVXLAN s EVPN riadiacou rovinou |Hraničný list| VXLAN-to-VLAN gateway, External routes, Inter-VRF routing | |Listové práce| Compute, Storage, Voice/UC, Infrastructure |

Prínosy:

• Masívna horizontálna stupnica (v prípade potreby pridať páry listov)
• Architektúra neblokujúcich látok
• Multi-tenance prostredníctvom VRF/VNI
• Optimálne východo-západné dopravné vzory

Úvahy:

• Operačná zložitosť VXLAN/EVPN
• Potrebné odborné zručnosti
• Vyššie náklady na vybavenie

Modul 5: Prístupová vrstva

Prístupová vrstva je tam, kde sa koncové zariadenia pripájajú. Bez ohľadu na topológiu distribúcie, prístupové prepínače poskytujú:

@startuml Access Layer Module
skinparam backgroundColor #FEFEFE

nwdiag {
    network Distribution_Uplink {
        address = "L3 or LACP Trunk"
        color = "#B0E0E6"
        description = "Uplinks to Distribution"

        Access_SW [description = "48-Port Access Switch\nPoE+ Capable"];
    }

    network Data_VLAN {
        address = "VLAN 100 - Ports 1-8, 25-32"
        color = "#98FB98"
        description = "Data VLAN"

        Access_SW;
        Laptops [description = "Laptops\nWorkstations"];
    }

    network Voice_VLAN {
        address = "VLAN 110 - Ports 9-16"
        color = "#FFE4B5"
        description = "Voice VLAN"

        Access_SW;
        Phones [description = "IP Phones"];
    }

    network Camera_VLAN {
        address = "VLAN 120 - Ports 17-24"
        color = "#FFDAB9"
        description = "Security VLAN"

        Access_SW;
        Cameras [description = "IP Cameras"];
    }

    network Wireless_VLAN {
        address = "VLAN 130 - Ports 33-40"
        color = "#DDA0DD"
        description = "Wireless AP VLAN"

        Access_SW;
        APs [description = "Wireless APs"];
    }

    network Mgmt_VLAN {
        address = "VLAN 999 - Ports 41-44"
        color = "#F0FFF0"
        description = "Management VLAN"

        Access_SW;
    }
}
@enduml

Prístup vrstvová bezpečnosť funkcie:

• 802.1X / MAB autentifikácia
• Dynamické pridelenie VLAN
• Bezpečnosť prístavov
• DHCP snorenie
• Dynamická kontrola ARP
• IP zdrojová stráž

Úplná modulárna topológia

Tu je spôsob, akým sa všetky moduly pripájajú k vytvoreniu kompletnej podnikovej siete:

@startuml Complete Modular Network Topology
skinparam backgroundColor #FEFEFE
title Complete Enterprise Modular Network

nwdiag {
    internet [shape = cloud, description = "Internet/WAN"];

    network Internet_Edge {
        address = "Module 1"
        color = "#FFE4E1"
        description = "INTERNET EDGE MODULE"

        internet;
        ISP_A [description = "ISP-A"];
        ISP_B [description = "ISP-B"];
        MPLS [description = "MPLS"];
        Edge_RTR [description = "Edge Router"];
        FW_A [description = "FW-A"];
        FW_B [description = "FW-B"];
    }

    network Internal_Edge {
        address = "Module 2"
        color = "#E6E6FA"
        description = "INTERNAL EDGE / DMZ MODULE"

        FW_A;
        FW_B;
        IntEdge_A [description = "IntEdge-A"];
        IntEdge_B [description = "IntEdge-B"];
        WLC [description = "WLC"];
        Proxy [description = "Proxy"];
        VPN [description = "VPN"];
        DNS [description = "DNS/DHCP"];
    }

    network Core {
        address = "Module 3"
        color = "#B0E0E6"
        description = "CORE MODULE"

        IntEdge_A;
        IntEdge_B;
        Core_A [description = "Core-A"];
        Core_B [description = "Core-B"];
    }

    network Distribution_L3 {
        address = "Variation 1"
        color = "#98FB98"
        description = "DIST - L3 Adjacent\n(Building A)"

        Core_A;
        Core_B;
        Dist_1A [description = "Dist-1A"];
        Dist_1B [description = "Dist-1B"];
        Access_L3 [description = "Access\n(L3)"];
    }

    network Distribution_MCLAG {
        address = "Variation 2"
        color = "#DDA0DD"
        description = "DIST - MCLAG\n(Building B)"

        Core_A;
        Core_B;
        Dist_2A [description = "Dist-2A"];
        Dist_2B [description = "Dist-2B"];
        Access_L2 [description = "Access\n(L2)"];
    }

    network Datacenter {
        address = "Variation 3"
        color = "#FFE4B5"
        description = "DATACENTER\n(Spine/Leaf)"

        Core_A;
        Core_B;
        Border_Leaf [description = "Border\nLeaf"];
        Spine [description = "Spine"];
        Leaf [description = "Leaf"];
        Servers [description = "Servers\nStorage\nPBX"];
    }

    network Campus_Users {
        address = "End Devices"
        color = "#F0FFF0"
        description = "Campus Users"

        Access_L3;
        Access_L2;
        Users [description = "Laptops\nPhones\nCameras"];
    }
}
@enduml

Stratégia riešenia IP s izoláciou VRF

Výzva multisegmentového, multi-VRF dizajnu

Ak siete rastú tak, že zahŕňajú viaceré bezpečnostné zóny, obchodné jednotky alebo hranice súladu,VRF (Virtual Routing and Forwarding)zabezpečuje izoláciu traťových stolov. Rozšírenie VRF prostredníctvom viacerých úrovní však zvyšuje zložitosť:

• Každý L3 hop vyžaduje tranzitnú podsieť
• Sub-interface znásobujú zložitosť konfigurácie
• Odstraňovanie problémov zahŕňa viac tabuliek smerovania
• Dokumentácia musí sledovať členstvo VRF na každej úrovni

Subnet Schema Stratégia

Dobre navrhnutá schéma podsiete robí obrazce rozpoznateľné, znižuje kognitívne zaťaženie a konfiguráciu chýb.

Príklad: Veľké výrobné miesto (10.0.0.0/13)

Pridelenie lokality:10.0.0/13 (Výrobná lokalita Alpha) - 524,286 použiteľných hostiteľov

@startuml VRF Subnet Schema
skinparam backgroundColor #FEFEFE
title Large Site VRF Allocation Schema (10.0.0.0/13)

nwdiag {
    network Corporate_VRF {
        address = "VRF: CORPORATE\n10.0.0.0/17"
        color = "#98FB98"
        description = "Production Users"

        Corp_Transit [description = "Transit\n10.0.0.0/23"];
        Corp_Users [description = "Users\n10.0.32.0/19"];
        Corp_Voice [description = "Voice\n10.0.64.0/19"];
        Corp_Wireless [description = "Wireless\n10.0.96.0/19"];
        Corp_Server [description = "Servers\n10.0.112.0/20"];
    }

    network Guest_VRF {
        address = "VRF: GUEST\n10.1.0.0/17"
        color = "#FFE4B5"
        description = "Visitor Network"

        Guest_Transit [description = "Transit\n10.1.0.0/23"];
        Guest_Users [description = "Users\n10.1.32.0/19"];
    }

    network Security_VRF {
        address = "VRF: SECURITY\n10.2.0.0/17"
        color = "#FFDAB9"
        description = "Physical Security"

        Sec_Transit [description = "Transit\n10.2.0.0/23"];
        Sec_Camera [description = "Cameras\n10.2.32.0/19"];
        Sec_Badge [description = "Badge Readers\n10.2.64.0/19"];
        Sec_NVR [description = "NVR/VMS\n10.2.96.0/20"];
    }

    network IOT_VRF {
        address = "VRF: IOT\n10.3.0.0/17"
        color = "#E6E6FA"
        description = "Manufacturing OT"

        IOT_Transit [description = "Transit\n10.3.0.0/23"];
        IOT_PLC [description = "PLCs\n10.3.32.0/19"];
        IOT_HMI [description = "HMIs\n10.3.64.0/19"];
        IOT_SCADA [description = "SCADA\n10.3.96.0/20"];
    }
}
@enduml

Tranzitný segment Detail (10.0.0./23 - 510 použiteľných IP):

Description |--------|------------------| 10, 0. 0. 0/ 30 10, 0. 04/ 30 | 10.0.0.8/30 | Internal-Edge-A → Core-A | | 10.0.0.12/30 | Internal-Edge-A → Core-B | | 10.0.0.16/30 | Internal-Edge-B → Core-A | | 10.0.0.20/30 | Internal-Edge-B → Core-B | | 10.0.0.24/30 | Core-A → Distribution-A | | 10.0.0.28/30 | Core-A → Distribution-B | 10,0.32/30 10,0.36/30 10,0.0.40/30 10,0.04/30 | ... | (Pattern continues) |

Poznámka:31 subnety (RFC 3021) možno použiť aj na odkazy od bodu k bodu, ktoré chránia adresný priestor.

Vzor uznania

Ak sú modely podsiete konzistentné v rámci VRF:

| What You Know | What You Can Infer | |---------------|-------------------| | Transit link in Corporate uses 10.0.0.40/30 | Guest equivalent is 10.1.0.40/30 | | Access-SW-5 users are on 10.0.36.0/24 | Security cameras on same switch are 10.2.36.0/24 | | Site Alpha is 10.0.0.0/13 | Site Beta could be 10.8.0.0/13 |

To umožňuje inžinierom:

• Predpovedať IP adresy bez konzultácie dokumentácie
• Okamžite rozpoznajte nesprávne konfigurované subnety
• Vytvoriť automatické šablóny, ktoré fungujú cez VRF
• Vlak nový personál na vzor, nie memorovanie

Šablóny veľkosti lokality

Šablóna malej lokality (Branch Office)

@startuml Small Site Template
skinparam backgroundColor #FEFEFE
title Small Site Template (< 50 users)

nwdiag {
    internet [shape = cloud];

    network WAN {
        color = "#FFE4E1"
        description = "ISP/MPLS Circuit"

        internet;
        UTM [description = "UTM/SD-WAN\nAppliance\n(Router+FW+VPN+WLC)"];
    }

    network LAN {
        address = "10.100.x.0/24"
        color = "#98FB98"
        description = "Single Subnet"

        UTM;
        Access [description = "Access Switch\n(or UTM ports)"];
    }

    network Endpoints {
        color = "#F0FFF0"
        description = "End Devices"

        Access;
        AP [description = "WiFi AP"];
        Users [description = "Users"];
        Phones [description = "Phones"];
    }
}
@enduml

Poznámky k dizajnu malej lokality:

• Zrútený dizajn: Všetky funkcie v minimálnom hardvéri
• Podnet: /24 alebo /23 na miesto
• Príklad: 10.100.1.0/24 (Site 001)

Stredná šablóna lokality (Regionálny úrad)

@startuml Medium Site Template
skinparam backgroundColor #FEFEFE
title Medium Site Template (50-500 users)

nwdiag {
    internet [shape = cloud];

    network WAN_Edge {
        color = "#FFE4E1"
        description = "Internet Edge"

        internet;
        ISP_A [description = "ISP-A"];
        ISP_B [description = "ISP-B/MPLS"];
        Edge_RTR [description = "Edge Router"];
    }

    network Firewall_Tier {
        color = "#FFDAB9"
        description = "Firewall HA Pair"

        Edge_RTR;
        FW_A [description = "FW-A"];
        FW_B [description = "FW-B"];
    }

    network Distribution {
        address = "10.50.x.0/21"
        color = "#DDA0DD"
        description = "MCLAG Distribution\n(Dist/Core Combined)"

        FW_A;
        FW_B;
        Dist_A [description = "Dist-A"];
        Dist_B [description = "Dist-B"];
    }

    network Access_Tier {
        color = "#98FB98"
        description = "Access Switches (LACP)"

        Dist_A;
        Dist_B;
        Acc1 [description = "Acc1"];
        Acc2 [description = "Acc2"];
        Acc3 [description = "Acc3"];
        Acc4 [description = "Acc4"];
        Acc5 [description = "Acc5"];
    }

    network Users {
        color = "#F0FFF0"
        description = "End Devices"

        Acc1;
        Acc2;
        Acc3;
        Acc4;
        Acc5;
        Endpoints [description = "Laptops/Phones\nCameras/APs"];
    }
}
@enduml

Poznámky k strednému dizajnu lokality:

• Čiastočná modularita: Rozdielna hrana a prístupové úrovne
• Podnet: /21 na miesto (2,046 IP)
• Príklad: 10.50.0.0/21 (Ste 050)

Šablóna veľkej lokality (ústredie/Campus)

@startuml Large Site Template
skinparam backgroundColor #FEFEFE
title Large Site Template (500+ users)

nwdiag {
    internet [shape = cloud];

    network Internet_Edge {
        color = "#FFE4E1"
        description = "INTERNET EDGE MODULE"

        internet;
        ISP_A [description = "ISP-A"];
        ISP_B [description = "ISP-B"];
        MPLS [description = "MPLS"];
        Edge_RTR [description = "Edge-RTR"];
        FW_A [description = "FW-A"];
        FW_B [description = "FW-B"];
    }

    network Internal_Edge {
        color = "#E6E6FA"
        description = "INTERNAL EDGE MODULE"

        FW_A;
        FW_B;
        IntEdge_A [description = "IntEdge-A"];
        IntEdge_B [description = "IntEdge-B"];
        WLC [description = "WLC"];
        Proxy [description = "Proxy"];
        VPN [description = "VPN"];
        DNS [description = "DNS"];
    }

    network Core {
        color = "#B0E0E6"
        description = "CORE MODULE"

        IntEdge_A;
        IntEdge_B;
        Core_A [description = "Core-A"];
        Core_B [description = "Core-B"];
    }

    network Dist_Var1 {
        color = "#98FB98"
        description = "L3 Adjacent"

        Core_A;
        Core_B;
        Dist_1 [description = "Dist-1"];
        Access_1 [description = "Access"];
    }

    network Dist_Var2 {
        color = "#DDA0DD"
        description = "MCLAG Trunk"

        Core_A;
        Core_B;
        Dist_2 [description = "Dist-2"];
        Access_2 [description = "Access"];
    }

    network Dist_Var3 {
        color = "#FFE4B5"
        description = "MCLAG Trunk"

        Core_A;
        Core_B;
        Dist_3 [description = "Dist-3"];
        Access_3 [description = "Access"];
    }

    network Datacenter {
        color = "#87CEEB"
        description = "SPINE/LEAF DC"

        Core_A;
        Core_B;
        Border [description = "Border-Leaf"];
        Spine [description = "Spine"];
        Leaf [description = "Leaf"];
        Servers [description = "Servers"];
    }
}
@enduml

Poznámky k dizajnu veľkých stránok:

• Úplná modularita: Všetky úrovne fyzicky oddelené
• Podnet: /13 až /15 na miesto (na základe počtu VRF)
• Príklad: 10,0.0/13 (HQ) - 524,286 IP

Segmentácia VRF a L3: výhody a zložitosť

Výhody segmentácie L3 so subrozhraniami

1. Bezpečnostná izolácia: Premávka medzi VRF musí prejsť firewallom alebo politickým zariadením
2. Zachovanie rádia: Kompromisný segment sa nemôže priamo dostať k iným VRF
3. Hranice zhody: PCI, HIPAA alebo OT siete v samostatných smerovacích oblastiach
4. Dopravné inžinierstvo: Rôzne politiky smerovania na VRF

Zložitosť kompromis

Ak sa segmenty musia rozšíriť cez viaceré úrovne, každá hranica L3 pridáva konfiguráciu nad hlavou:

@startuml Multi-VRF Path Through Tiers
skinparam backgroundColor #FEFEFE
title Multi-VRF Traffic Path: Camera to NVR

nwdiag {
    network Camera_Segment {
        address = "VLAN 120\n10.2.36.0/24"
        color = "#FFDAB9"
        description = "VRF: SECURITY"

        Camera [description = "Camera"];
        Access_SW [description = "Access-SW\nSub-int: 10.2.0.40/30"];
    }

    network Access_to_Dist {
        address = "10.2.0.40/30"
        color = "#DDA0DD"
        description = "VRF: SECURITY"

        Access_SW;
        Distribution [description = "Distribution\nSub-int: 10.2.0.24/30"];
    }

    network Dist_to_Core {
        address = "10.2.0.24/30"
        color = "#B0E0E6"
        description = "VRF: SECURITY"

        Distribution;
        Core [description = "Core\nSub-int: 10.2.0.8/30"];
    }

    network Core_to_IntEdge {
        address = "10.2.0.8/30"
        color = "#E6E6FA"
        description = "VRF: SECURITY"

        Core;
        Internal_Edge [description = "Internal-Edge\nSub-int: 10.2.0.0/30"];
    }

    network IntEdge_to_FW {
        address = "10.2.0.0/30"
        color = "#FFE4E1"
        description = "VRF: SECURITY"

        Internal_Edge;
        Firewall [description = "Firewall\nInter-VRF Policy"];
    }

    network DC_Path {
        address = "VXLAN/EVPN"
        color = "#87CEEB"
        description = "Datacenter Fabric"

        Firewall;
        Border_Leaf [description = "Border-Leaf"];
        Spine [description = "Spine"];
        Leaf [description = "Leaf"];
        NVR [description = "NVR"];
    }
}
@enduml

Nadstavec konfigurácie:

• 5 podrozhrania na VRF na trasu
• 4 VRF × 5 podints = 20 podrozhrania na prepínač
• Pobočky v každom VRF
• Pravidlá pre prejazd medzi VRF

Stratégie zmierňovania

1. Limitný počet VRF: Len vytvoriť VRF pre skutočné požiadavky izolácie
2. Centralizovať inter-VRF smerovanie: Jednotný firewall policy point vs. distribuovaný
3. Použiť VXLAN/EVPN: Prekrytie znižuje fyzické rozširovanie podrozhrania
4. Automatické zabezpečenie: Šablóny zabezpečujú konzistentnú konfiguráciu
5. Zdokumentujte vzor: Akonáhle sa naučil, vzory sú rýchlejšie ako vyhľadávanie

Zhrnutie: Vybudovanie modelu Scalable Network

Cieľom modulárneho návrhu siete je vytvoriťopakovaný vzorktoré umožňuje:

| Scale | Sites | Pattern | . . . . . . . . . . . | Small | 10,000+ | Collapsed UTM + single switch, /24 per site | | Medium | 1,000+ | Edge + MCLAG distribution + access, /21 per site | | Large | 100+ | Full modular (Edge, Internal Edge, Core, Distribution variants, DC fabric), /13-/15 per site |

Kľúče

1. Moduly vytvárajú hranice: Každý modul má definovaný účel a rozhranie
2. Vzory umožňujú stupnicu: Rovnaký dizajn na každom mieste znižuje školenia a chyby
3. VRF zabezpečujú izoláciu: Ale pridať konfiguráciu zložitosť na každej úrovni
4. Podnetové schémy hmoty: Predvídateľné riešenie znižuje kognitívne zaťaženie
5. Distribúcia sa líši podľa potreby: priľahlé L3, MCLAG/LACP alebo chrbtica/list
6. Pravá veľkosť stránky: Don't over-inžinier malé stránky

Zavedením týchto vzorcov a ich dôsledným uplatňovaním môžu organizácie budovať siete, ktoré siahajú od jedinej pobočky až po globálny podnik a zároveň zachovávajú jednoduchosť prevádzky a bezpečnostné postavenie.

Článok verzia 2.0