4. 园区网络分层设计原则

园区网络的分层设计不是把设备简单堆成三层，而是把“转发、策略、接入”三类职责拆开，让每一层只做自己最擅长的事。Cisco 经典的 Core–Distribution–Access 三层模型之所以长期有效，是因为它把复杂的园区网络分解为可独立扩展、可独立排障的模块。理解分层，关键是理解每层的功能边界、冗余方式和带宽收敛关系。

三层各自解决什么问题

接入层（Access Layer）直接面向终端：PC、IP 电话、无线 AP、摄像头、打印机。它的核心职责是“把终端接进来”，因此重点在端口密度、PoE 供电、VLAN 划分、端口安全（802.1X、端口安全、DHCP Snooping）以及接入端冗余。接入层通常不做复杂的路由策略，而是把流量汇聚后上送分布层。典型设备如 Catalyst 9200/9300 系列堆叠部署。

分布层（Distribution Layer）是策略边界。它承担 VLAN 间路由（SVI）、ACL 过滤、QoS 标记与限速、路由汇总、DHCP 中继，以及接入层与核心层之间的聚合。分布层是“策略执行点”，也是广播域边界。典型部署为 Catalyst 9500 或 9600 双机，通过 StackWise Virtual 或 HSRP/VRRP 提供网关冗余。

核心层（Core Layer）只做一件事：高速、无阻塞地转发。它不应承担 ACL、NAT、QoS 复杂策略等消耗资源的操作，否则会拖慢整网。核心层追求高带宽、低延迟、快速收敛，典型设备为 Catalyst 9600 或 Nexus 系列，采用双机冗余与等价多路径（ECMP）。

冗余设计：每一层都不能有单点

分层设计的第二个核心是冗余。接入层通过交换机堆叠（StackWise）或 vPC 实现设备级冗余，终端双网卡或 AP 双上行到不同堆叠成员；分布层通过 HSRP/VRRP 提供虚拟网关，配合 StackWise Virtual 把两台物理设备虚拟成一台逻辑设备，简化 STP 并实现跨设备链路聚合；核心层通过双机 + ECMP 实现路径冗余，任意一台核心故障，流量自动切换到另一台。

冗余不是“多买一台设备”那么简单。以分布层为例，若两台分布交换机之间没有 Peer-Link 或 StackWise Virtual 链路，HSRP 切换时可能产生次优路径甚至黑洞。因此冗余设计要同时考虑：设备冗余、链路冗余、网关冗余、路径冗余四个维度。

带宽收敛比：从接入到核心的容量账

收敛比（Oversubscription Ratio）是接入层总带宽与上行带宽的比值。它决定了“终端同时满速时，上行链路是否够用”。计算方式：

收敛比 = 接入层下行端口总带宽 ÷ 上行链路总带宽

示例：
  一台 48 口千兆接入交换机，下行总带宽 = 48 × 1G = 48G
  上行 2 × 10G = 20G
  收敛比 = 48G ÷ 20G = 2.4 : 1

  若上行改为 4 × 10G = 40G
  收敛比 = 48G ÷ 40G = 1.2 : 1（接近线速）

园区网常见参考值：接入到分布 2:1 ~ 4:1，分布到核心 1:1 ~ 2:1，核心内部通常 1:1 无收敛。收敛比过高会导致高峰时段上行拥塞、语音视频抖动；过低则浪费端口和光纤。实际设计中，办公区可按 3:1 估算，无线 AP 上行建议 2.5G/5G 多千兆，避免 AP 成为瓶颈。

层次化设计最佳实践

• 接入层：按楼层或区域划分，每台接入交换机双上行到两台分布交换机，启用 PortFast、BPDU Guard、DHCP Snooping、Dynamic ARP Inspection。
• 分布层：作为 VLAN 边界和策略点，SVI 配置在此层，ACL 只在此层做，路由汇总在此层完成，减少核心层路由表规模。
• 核心层：保持“哑核心”，只跑路由协议（OSPF/BGP）和高速转发，不接终端、不做 NAT、不做复杂 QoS。
• 路由设计：接入层跑二层，分布层跑三层，核心层跑 IGP。分布层与核心层之间用 /30 或 /31 互联，减少地址浪费。
• STP 优化：分布层作为根桥，接入层启用 Root Guard，防止接入设备成为根桥导致次优路径。

一个可参考的园区设计参数表

分层设计的最终目标不是“画得好看”，而是让每一层职责清晰、故障域隔离、扩容简单。当接入层新增一个楼层时，只需增加接入交换机并双上行到分布层，核心层完全无感知；当分布层需要新增 VLAN 时，只需在分布层配置 SVI 和 ACL，接入层透传即可。这种“层间解耦”才是分层设计真正的价值。