1. 企业园区网络架构总览
企业园区网络是支撑办公、生产、协作与对外服务的基础设施。它通常覆盖一栋或多栋楼宇，连接成百上千台终端，同时承载数据、语音、视频、无线、物联网和安防等多种业务。H3C Comware 是运行在 H3C 网络设备上的网络操作系统，它把交换机、路由器、无线控制器、防火墙等硬件统一到同一套命令行体系、配置模型和特性框架之下。理解 Comware 在企业园区中的定位，是后续所有部署工作的起点。
从工程视角看，Comware 的价值不只是“能配通设备”，而是提供了一套可复用的园区网络能力：VLAN 与二层转发、STP/MSTP 防环、链路聚合、静态路由与 OSPF、VRRP 网关冗余、DHCP 服务、ACL 与 QoS、IRF 堆叠、无线 AC 与 AP 管理、安全接入等。这些能力分布在不同的设备角色上，而设备角色又由园区分层架构决定。因此，学习园区网络不能只记命令，必须先建立“分层—角色—业务—配置”的对应关系。
典型分层架构：核心、汇聚、接入
企业园区最经典的设计是三层架构：接入层、汇聚层、核心层。三层划分不是行政规定，而是对“终端接入、策略收敛、高速转发”三类职责的工程抽象。
- 接入层：直接连接终端，如 PC、IP 电话、AP、摄像头。主要职责是提供端口接入、VLAN 划分、PoE 供电、端口安全、DHCP Snooping、ARP 检测等。接入层设备数量最多，通常选用二层交换机，例如 S5130、S5560 系列。
- 汇聚层：把多台接入交换机汇聚起来，是策略与路由的边界。主要职责包括 VLAN 终结、网关部署、VRRP 冗余、ACL 策略、QoS 标记、路由汇总。汇聚层通常采用三层交换机，例如 S5560、S6520 系列。
- 核心层：园区的高速骨干，负责不同汇聚区域之间以及园区到出口的高速转发。核心层追求高带宽、低时延、高可靠，通常采用双机 IRF 堆叠或 VRRP，例如 S7500、S10500 系列。
在中小型园区中，汇聚与核心可能合并为“核心—接入”两层；在大型园区中，还会出现“核心—汇聚—接入—边缘”的多层结构。分层数量可以变化，但职责分离的原则不变：接入层管接入，汇聚层管策略，核心层管高速转发。
业务需求与设计目标
园区网络的设计目标通常围绕以下几个维度展开：
- 可用性：关键设备与链路不能单点故障。常见做法是双上行、链路聚合、VRRP 主备、IRF 堆叠、MSTP 多实例负载分担。
- 可扩展性：新增楼宇、新增 VLAN、新增业务时，网络结构不应大改。通常通过模块化分层、IP 地址规划、VLAN 编号规划来保证。
- 安全性：接入端口隔离、DHCP Snooping、IP Source Guard、ARP 检测、ACL 策略、802.1X 认证等，防止非法接入与二层攻击。
- 可管理性：统一使用 Comware 命令行、统一 SNMP/Netconf 管理、统一日志与时间同步，降低运维复杂度。
- 业务质量：对语音、视频、生产数据等关键业务进行 QoS 分类与优先级调度，保证带宽与时延。
这些目标不是孤立存在的。例如，VRRP 提供网关冗余，但如果没有 MSTP 配合，可能产生二层环路；IRF 堆叠简化了管理，但需要规划好堆叠端口与主备角色。设计时要把它们放在同一张拓扑中综合考虑。
一个典型园区示例
假设某企业园区有三栋楼：A 栋为办公区，B 栋为研发区，C 栋为生产区。每栋楼有 3 层，每层约 80 个信息点。设计目标如下：
- 每栋楼设置一台汇聚交换机，双上行到核心；
- 核心采用两台 S10500 做 IRF 堆叠，形成一台逻辑设备；
- 接入层按楼层部署 S5130，双上行到本楼汇聚；
- 办公区 VLAN 10，研发区 VLAN 20，生产区 VLAN 30，管理 VLAN 100；
- 网关部署在汇聚层，采用 VRRP 主备；
- 核心与汇聚之间运行 OSPF，汇聚侧做路由汇总。
在这个示例中，Comware 的配置会分布在三类设备上：接入层配置 VLAN、端口、PoE、端口安全；汇聚层配置 VLAN 接口、VRRP、OSPF、ACL；核心层配置 IRF、OSPF、路由汇总、出口路由。每一类配置都对应分层架构中的明确职责。
架构总览图
下图给出该园区网络的分层结构、设备角色、主要协议与业务流向。图中左侧为业务终端，右侧为出口与外部网络，中间三层结构自下而上分别是接入、汇聚、核心。
从架构到配置：设计目标如何落地
分层架构最终要落到具体配置上。以汇聚层为例，它承担 VLAN 网关和 VRRP 冗余，典型配置思路如下：
# 汇聚交换机 A 栋（示例）
vlan 10
description Office
vlan 20
description R&D
vlan 30
description Production
vlan 100
description Management
interface Vlan-interface10
ip address 10.10.10.2 255.255.255.0
vrrp vrid 10 virtual-ip 10.10.10.1
vrrp vrid 10 priority 120
vrrp vrid 10 preempt-mode delay 10
interface Vlan-interface20
ip address 10.10.20.2 255.255.255.0
vrrp vrid 20 virtual-ip 10.10.20.1
vrrp vrid 20 priority 120
interface GigabitEthernet1/0/1
port link-type trunk
port trunk permit vlan 10 20 30 100
这段配置体现了几个关键点：VLAN 接口是网关，VRRP 虚拟 IP 是终端实际使用的网关地址，优先级决定主备角色，preempt-mode delay 避免抢占震荡。接入层则只需要把端口划入对应 VLAN，并配置 PoE 和端口安全。核心层负责 IRF 和 OSPF，把各汇聚网段汇总后发布出去。
常见误区与判断依据
初学者容易把“分层”理解成“设备越多越好”，或者把核心层当成“什么都配”的万能层。实际上，核心层应尽量保持简洁，只做高速转发和路由汇总；策略、ACL、QoS 标记尽量下沉到汇聚层；接入层只做接入控制，不承担路由。判断一个园区设计是否合理，可以看三个问题：终端网关是否集中在汇聚层？核心层是否避免了复杂策略？接入层是否做到了端口隔离与安全接入？如果答案都是肯定的，架构基本是健康的。
另一个常见问题是忽略二层环路与广播域。接入层双上行到汇聚，如果没有 MSTP 或 IRF 配合，很容易形成环路。Comware 提供 MSTP 多实例，可以把不同 VLAN 映射到不同实例，实现负载分担与冗余并存。设计时要明确：哪些 VLAN 走主链路，哪些走备链路，MSTP 实例与 VRRP 主备是否一致。这些关系在后续章节会逐步展开。
总体而言，H3C Comware 在企业园区中的定位是“统一的操作系统与能力平台”，而核心—汇聚—接入的分层架构是“组织这些能力的工程框架”。理解每一层的职责、协议与配置边界，是后续完成 VLAN、路由、冗余、安全和无线部署的前提。