1. 课程导入与工程全景
园区网络升级迁移，指的是在不牺牲业务连续性的前提下，把一套正在承载生产流量的接入—汇聚—核心网络，从旧平台、旧协议、旧架构，逐步演进到新平台、新协议、新架构的工程过程。它与"新建一张网"最大的区别在于：新建网络可以从零规划、按需割接；而升级迁移必须在"旧网仍在跑业务"的约束下完成，任何一次错误的 VLAN 变更、网关切换或路由收敛，都可能直接表现为办公终端掉线、IP 电话中断、无线漫游失败甚至生产系统停机。因此，本课程的核心不是讲某个命令怎么写，而是讲清楚"为什么迁、迁什么、怎么迁、迁完怎么验证"这一整套工程方法。
一、驱动因素：为什么园区网必须升级
园区网络升级通常不是单一原因触发的，而是多股力量叠加的结果。第一类是生命周期驱动：Cisco Catalyst 2960、3560、3750 等经典接入/堆叠平台已陆续进入 End-of-Sale 与 End-of-Support 阶段，继续运行意味着无法获得安全补丁和 TAC 支持，硬件故障后也无备件可换。第二类是业务驱动：高清视频会议、Wi-Fi 6/6E 终端、IoT 摄像头与门禁大量接入，接入端口从 1G 向 2.5G/5G/10G 演进，PoE 需求从 15.4W 提升到 30W 甚至 60W（PoE++），旧平台的背板带宽和 PoE 预算已经吃紧。第三类是架构与运维驱动：传统"逐台 CLI 配置 + STP 收敛"的园区网，收敛时间以秒计，故障定位靠人工逐跳排查；而 SD-Access、Catalyst Center（原 DNA Center）等方案希望把网络变成"策略下发 + 自动化保障"的模式，前提是底层设备支持相应能力。第四类是安全与合规驱动：802.1X、TrustSec、MACsec、加密流量分析等能力，在旧平台上往往无法完整落地。
理解驱动因素的意义在于：它决定了迁移的优先级和验收标准。如果主因是安全合规，那么"新平台是否支持 802.1X 与 SGT 策略"就是硬指标；如果主因是 PoE 供电不足，那么"新交换机整机 PoE 预算与单端口供电能力"才是关键参数。工程中常见的失误，是把迁移做成"同型号换新"，结果新设备上线后仍然无法支撑新业务。
二、典型场景：迁移不是一种，而是四类
园区网络迁移在实践中大致可分为四类场景，它们的风险点和实施节奏差异很大。
- 同代替换（Refresh）：用同级别新平台替换老旧设备，架构与协议基本不变，例如 Catalyst 2960X 替换为 Catalyst 9200。风险最低，重点是配置平移与端口映射。
- 架构演进（Re-architecture）：从传统三层架构迁移到 SD-Access 或 VXLAN/EVPN 架构，涉及 Underlay/Overlay、控制平面节点、边界节点等新概念，风险最高，通常需要分阶段、分区域推进。
- 协议升级（Protocol Migration）：例如从 PVST+ 迁移到 Rapid-PVST+ 或 MST，从 OSPF 单区域迁移到多区域，从 HSRP 迁移到 VRRP 或 Anycast 网关。风险集中在收敛行为与网关切换瞬间。
- 容量与拓扑调整（Capacity/Topology Change）：新增汇聚层、接入层双上行改单上行、堆叠拆分或合并、链路由 1G 升级到 10G。风险集中在链路切换与 STP 拓扑变化。
实际工程中，一个项目往往同时包含上述多类场景。例如"某园区接入层由 2960X 替换为 9200，同时把核心从 HSRP 改为 Anycast 网关"，就同时属于同代替换与协议升级。识别场景组合，是制定迁移方案的第一步。
三、核心挑战：迁移难在哪里
园区迁移的挑战可以归纳为四个维度。其一是业务连续性：迁移窗口通常只有夜间数小时，且必须保证关键业务（如医院 HIS、工厂 MES）不中断，这要求迁移方案具备"可回退"能力。其二是配置一致性：旧设备上往往存在多年累积的"历史配置"，包括未清理的 ACL、残留的 VLAN、临时性的静态路由，直接平移会把隐患带入新网。其三是地址与网关：IP 地址、网关、DHCP 中继、DNS 等参数一旦变更，终端需要重新获取地址，可能引发大面积断网，因此网关迁移通常采用"先并行、后切换"的方式。其四是验证与回退：迁移完成后如何快速判断"是否成功"，以及失败后如何在最短时间内恢复，是方案设计中最容易被忽视、却最决定成败的部分。
四、整体方法论：五步闭环
结合大量园区迁移项目的经验，可以把迁移方法论概括为"现状梳理—目标设计—分批迁移—验证确认—回退收尾"五步闭环，如上图所示。这五步不是线性的一次性动作，而是带有回退分支的闭环：任何一批迁移验证不通过，都应立即触发回退，恢复旧网运行，待问题定位后再重新安排窗口。
第一步，现状梳理。需要采集的内容包括：设备型号与软件版本清单、物理拓扑与链路速率、VLAN 与 IP 地址规划、STP 与路由协议配置、ACL 与 QoS 策略、DHCP 中继与 DNS 配置、端口连接终端类型（PC/IP 电话/AP/摄像头）。建议用 show cdp neighbors detail、show vlan brief、show spanning-tree summary、show ip route summary 等命令导出基线，并整理成"端口映射表"，明确每个物理端口对应的 VLAN、终端类型和供电需求。
第二步，目标设计。基于现状与驱动因素，确定新网的架构、地址规划、协议选型和设备型号。关键输出包括：新老设备端口映射对照表、VLAN 与网段迁移对照表、网关切换方式（并行运行还是窗口切换）、以及每批迁移的批次划分。批次划分通常遵循"先边缘后核心、先非关键后关键、先小范围试点后大面积推广"的原则。
第三步，分批迁移。每批迁移应控制在可回退的范围内，例如"一个楼层接入交换机"或"一个业务 VLAN"。迁移前需完成新设备预配置、链路预连接、配置比对；迁移窗口内执行端口切换、网关切换、路由收敛观察。以接入交换机替换为例，典型操作顺序是：新交换机预配置并上电 → 连接上行链路 → 逐端口切换终端 → 观察 STP 与 MAC 表 → 确认业务恢复。
第四步，验证确认。验证不能只看"能 ping 通"，而应覆盖连通性、性能与业务三个层面。连通性验证包括网关可达、跨 VLAN 可达、DNS/DHCP 正常；性能验证包括丢包率、时延、吞吐；业务验证包括 IP 电话注册、无线终端漫游、摄像头视频流、关键应用登录。建议每批迁移后填写验证记录表，记录验证项、预期结果、实际结果与结论。
第五步，回退与收尾。回退预案必须在迁移前就准备好，包括：旧设备配置备份、旧链路保留方式、回退触发条件（如关键业务中断超过 5 分钟）、回退操作步骤与预计耗时。迁移成功后，应完成配置归档、监控告警接入、旧设备下架与资产更新。