1. 园区网络架构演进与Catalyst定位
企业园区网络的设计逻辑，过去二十年经历了三次明显的范式迁移。理解这条演进脉络，不是为了记住历史，而是为了在今天的选型与设计中，判断哪些约束仍然成立、哪些假设已经失效。传统三层架构、融合架构与SD-Access，本质上是对"流量从哪里来、策略在哪里执行、控制平面由谁掌握"这三个问题的三种不同回答。
传统三层架构：以位置定义角色
传统园区网采用接入层—汇聚层—核心层的三层结构。接入层负责终端接入与VLAN划分，汇聚层承担VLAN间路由、策略边界与链路聚合，核心层只做高速转发，不参与策略。这个模型的隐含假设是：用户的位置决定其网络权限。财务部在3楼，就划入VLAN 30，网关在汇聚交换机上，ACL也部署在汇聚交换机的SVI上。
这种设计在终端固定、部门边界清晰的年代非常高效。它的典型参数特征是：接入交换机通过双上行链路以EtherChannel接入两台汇聚交换机，汇聚与核心之间运行OSPF或EIGRP，STP负责消除二层环路。但问题也很明确——当员工带着笔记本从3楼走到5楼，IP地址不变、VLAN不变，策略却无法跟随。要支持移动性，只能把VLAN大范围延伸，而这会放大广播域和STP收敛域，形成"大二层"的典型风险。
融合架构：把策略从位置中解耦
融合架构（有时称为"二层到三层融合"或"分布式网关"）的核心变化是：网关下沉到接入层，策略跟随用户而非端口。以Catalyst 9000系列配合SD-Access或传统VXLAN部署为例，接入交换机成为分布式Anycast网关，同一VLAN的网关IP在多台接入交换机上完全一致。终端在楼层间移动时，IP地址和网关都不变，策略通过SGT（Security Group Tag，安全组标签）随流量携带。
这里的关键工程参数是Anycast网关的MAC地址必须全网统一，且接入交换机之间需要建立VXLAN隧道或通过底层路由协议实现主机路由的可达性。相比传统三层，融合架构把"策略执行点"从汇聚层推到了接入层，汇聚层退化为纯三层转发或干脆被折叠掉。代价是接入交换机的表项压力和配置复杂度上升，因此对硬件平台有明确要求——这也是Catalyst 9000系列与早期2960/3560系列的分水岭。
SD-Access：控制平面与数据平面分离
SD-Access把融合架构再往前推了一步：控制平面由LISP负责，策略平面由SGT/ISE负责，数据平面由VXLAN负责。网络中的设备被划分为控制平面节点（CP）、边界节点（Border）和边缘节点（Edge）。终端接入时，Edge节点向CP注册EID（端点标识符），CP维护EID到RLOC（路由定位符）的映射。当两台终端通信时，Edge节点先查询CP获取对端RLOC，再建立VXLAN隧道转发。
这个模型的最大价值是：IP地址不再承担"位置"语义，只作为终端身份标识；实际转发路径由RLOC决定。管理员在DNA Center上定义"财务组只能访问财务服务器"，ISE在终端认证时下发SGT，Edge节点根据SGT执行策略，整个过程与终端接在哪台交换机、哪个楼层无关。
Catalyst系列在演进中的定位
把三代架构放在一起看，Catalyst系列的选型逻辑就清晰了：平台能力必须匹配架构阶段。Catalyst 2960/3560系列属于传统三层时代的接入与汇聚设备，支持基本VLAN、STP和静态路由，但无法承载VXLAN或SGT。Catalyst 3850/9300系列开始支持SD-Access边缘节点角色，具备VXLAN封装能力和SGT识别能力，是融合架构与SD-Access接入层的主力。Catalyst 9500/9600系列则面向汇聚与核心，提供高密度100G/400G上行和完整的SD-Access Border/CP功能。
选型时不能只看端口密度和转发性能，要问三个问题：这台设备是否需要作为Edge节点注册EID？是否需要识别并执行SGT策略？是否需要参与VXLAN隧道封装？如果三个答案都是"是"，就必须选择支持SD-Access的Catalyst 9000系列；如果只是传统三层接入，Catalyst 1000系列即可满足。架构决定平台，而不是平台倒推架构——这是园区网络设计中最容易被忽略的顺序。
从架构演进看设计决策
实际项目中，三代架构往往共存。一栋新建研发楼可能直接部署SD-Access，而旁边的老厂房仍运行传统三层。此时边界节点的作用就体现出来：它负责在SD-Access域与传统网络之间做EID到IP的转换和策略映射。设计时要明确哪些网段纳入SD-Access、哪些保留传统路由，以及SGT在跨域时如何降级为IP ACL。这些决策点，比单纯比较设备型号更能决定园区网络的长期可维护性。
回到最初的问题：流量从哪里来、策略在哪里执行、控制平面由谁掌握。传统三层的答案是"位置、汇聚、分布式协议"；融合架构的答案是"身份、接入、分布式网关"；SD-Access的答案是"身份、Edge、集中式控制器"。Catalyst系列的价值，在于它用同一套硬件平台覆盖了后两种答案，让园区网络可以在不更换设备的前提下，从融合架构平滑演进到SD-Access。