2. 园区网络架构选型
园区网络架构选型不是“越先进越好”，而是要在规模、可靠性、时延、运维能力和投资之间取得平衡。理解三层架构与两层架构的差异，是做出合理选型的第一步。
三层架构与两层架构的本质差异
三层架构由核心层、汇聚层、接入层组成。接入层负责终端接入与端口安全，汇聚层负责策略控制、VLAN 终结与路由汇总，核心层只做高速转发，不承担复杂策略。两层架构则把汇聚功能上移到核心，形成核心层（含汇聚职能）+ 接入层，即常说的“核心-接入”扁平结构。
两者最关键的差别在于故障域与策略边界。三层架构中，汇聚设备是天然的策略边界：一个汇聚区块内的广播域、路由震荡、生成树变化被限制在区块内，不会直接冲击核心。两层架构中，核心设备同时承担高速转发和策略处理，一旦核心出现路由收敛或策略变更，影响面会覆盖整个园区。
从时延角度看，三层架构终端到核心通常经过“接入-汇聚-核心”三跳，两层架构为“接入-核心”两跳，后者在东西向流量为主的数据中心化园区中更有优势。但从可扩展性看，三层架构可通过增加汇聚区块横向扩展，两层架构受核心端口密度和表项规格限制，规模上限更明显。
核心-汇聚-接入设计原则
核心层的设计原则是“快而稳”。核心设备应关闭不必要的策略功能，如 ACL、NAT、QoS 复杂分类，只保留路由转发和冗余协议。典型做法是双核心部署，通过 VRRP 或堆叠实现网关冗余，核心间链路采用 40G/100G 互联，并启用 BFD 实现毫秒级故障检测。核心层不接终端，避免终端广播和环路影响核心。
汇聚层是策略执行点。VLAN 终结、跨 VLAN 路由、ACL 过滤、QoS 标记、DHCP 中继通常都在汇聚层完成。汇聚层还承担路由汇总职责，把接入层的明细路由汇总后上送核心，减少核心路由表规模。例如接入层有 192.168.10.0/24 到 192.168.15.0/24 六个网段，汇聚层可汇总为 192.168.8.0/21 上送核心。
接入层关注端口密度、供电和安全性。接入交换机应启用端口安全、DHCP Snooping、动态 ARP 检测、BPDU Guard 等特性。对于 PoE 供电的 AP 和摄像头，需核算整机 PoE 功率预算，例如 24 口 PoE+ 交换机整机预算 370W，若每口 AP 功耗 12W，则最多可同时供电约 30 口，实际部署需留 20% 余量。
扁平化与模块化的取舍
扁平化追求“少层级、低时延、易运维”，适合终端规模在 1000 以内、业务单一、东西向流量为主的场景，如小型办公园区、分支机构。模块化追求“分区块、可复制、故障隔离”，适合多楼宇、多业务、多租户的大型园区。
实际选型中，常见的折中方案是“核心-汇聚两层 + 接入三层”：核心与汇聚合并为两台高性能框式设备，接入层按楼宇或楼层划分区块，每个区块通过双上行接入核心汇聚设备。这样既保留了区块化的故障隔离，又减少了设备层级。判断依据可参考下表：
| 评估维度 | 倾向三层架构 | 倾向两层架构 |
|---|---|---|
| 终端规模 | > 2000 | < 1000 |
| 楼宇数量 | 多楼宇、跨区域 | 单楼或少量楼宇 |
| 业务隔离要求 | 多业务、多租户 | 业务单一 |
| 运维团队规模 | 有专职网络团队 | 兼职运维 |
| 时延敏感度 | 一般 | 高（东西向为主） |
典型行业架构案例
案例一：高校校园网。某高校有 6 栋教学楼、12 栋宿舍楼，终端约 8000 个。采用三层架构：每栋楼设汇聚交换机，宿舍区按楼栋划分 VLAN，教学区按楼层划分。核心双机 VRRP，汇聚双上行至核心，接入双上行至汇聚。汇聚层做 DHCP 中继和 ACL，限制宿舍区访问教学服务器。该架构故障域按楼栋隔离，单楼汇聚故障不影响其他楼宇。
案例二：中型企业总部。某企业总部 3 层办公楼，终端约 600 个，含办公 PC、IP 电话、无线 AP、门禁。采用两层架构：两台核心交换机堆叠，接入交换机双上行至堆叠核心。核心直接终结所有 VLAN 并做网关，接入层启用 PoE 为 AP 和 IP 电话供电。该架构设备少、时延低，但核心堆叠一旦故障，全网中断，因此需配置堆叠双主检测和快速收敛。
案例三：制造园区。某工厂有生产区、办公区、仓储区，终端约 1500 个，含大量工业摄像头和 PLC。采用“核心-汇聚”两层 + 接入三层：生产区独立汇聚，办公区独立汇聚，仓储区独立汇聚。生产区汇聚与办公区汇聚之间通过 ACL 严格隔离，仅允许特定管理流量互通。该架构兼顾了规模扩展和区域隔离，是制造业园区较常见的折中方案。