路由和交换设计
HPE Aruba Networking ESP 园区路由与交换设计部分描述了在层 2 和层 3 园区拓扑结构及控制平面设计中所采用的技术和设计原则。
目录
生成树协议
高可用性是任何企业持续运营的首要目标。2层环路会引发灾难性的网络中断，因此预防和及时消除环路成为网络管理中的关键环节。
生成树协议（STP）能够动态发现并消除网络中的2层环路。本节内容涵盖STP拓扑、应使用的STP类型以及补充功能的启用。
通过建立多条链路实现2层冗余，是提高网络基础设施可用性的一种方法，从而单个链路故障不会导致网络中断。可以采用多种策略防止冗余连接在转发2层帧时形成无限环路。Aruba ESP架构采用虚拟交换扩展（VSX），详见下文的网络弹性部分，以防止中心管理的网络交换机之间形成环路。STP结合环路保护（Loop Protect）主要用于解决接入层用户意外引入的环路问题。
由于存在多种类型的STP以及不同网络设备采用不同的默认设置，统一采用一种标准版本以确保STP拓扑的可预测性尤为重要。建议在HPE Aruba Networks园区拓扑中使用多重生成树协议（MSTP）。
STP 和根桥选择
在所有提供二层服务的设备上启用 STP，以防止意外形成环路。
STP 通过选择根桥并随后仅允许每个非根交换机上的一个端口在指向根的方向转发帧，创建无环拓扑结构。根桥是动态选择的，主要依据最低的桥 ID 进行选择。桥 ID 以桥优先级开始，管理员可以设置该优先级以影响根桥的选择。汇聚交换机和集中式核心交换机应具有较低的桥优先级，以确保该层的交换机成为网络的根桥。根桥应为位于 VLAN 汇聚中心、面向下游设备的设备。在本指南讨论的园区拓扑结构中，根桥候选设备包括集中式核心、接入汇聚和服务汇聚设备。
在三层有线设计中，根桥为接入汇聚交换机和服务汇聚交换机。虚拟交换扩展（VSX）和多机箱链路聚合组（MC-LAG）用于实现接入层与汇聚层之间的双连接，无需在单个链路上启用 STP。每组汇聚交换机构成一个独立的二层域，拥有自己的根桥，但它们不会相互干扰，因为 STP 不会跨越设备之间的三层边界。在此示例中，汇聚交换机被设置为较低的桥优先级，以确保每个 VSX 对中的一台交换机成为根桥。核心设备为三层交换机，不运行 STP。
生成树协议根桥的放置
STP 补充功能
STP 具有多项补充功能，有助于保持网络的稳定性。以下是补充功能的简要概述，以及启用它们的理由。
Root Guard阻止设备在不应发送优先级更高的桥接协议数据单元（BPDU）的接口上发送 BPDU。在汇聚或合并核心下行链路上启用 Root Guard，以防止接入交换机成为网络的根桥。请勿在连接汇聚交换机与核心交换机的链路上启用该功能。
Admin Edge允许端口在不经过交换机的监听和学习阶段的情况下自动启用。此功能应仅在单设备端口或与电话串联的PC上使用。使用 Admin Edge 时须谨慎，因为这些端口上不运行 STP，因此如果网络中存在环路，STP 无法检测到。该功能仅应在接入交换机的面向客户端的端口上使用。
BPDU Guard会自动阻止在检测到 BPDU 的任何端口上进行通信。该功能通常应在访问交换机上由管理员定义的面向客户端的端口上启用。这可以防止在配置为面向客户端的端口上接收任何 BPDU。BPDU Guard 确保在接入端口上不会接收 BPDU，从而防止环路和伪造的 BPDU 数据包。
BPDU Filter忽略发送到接口的 BPDUs，并且不向接口发送自己的 BPDUs。该功能的主要用途是在多租户环境中，当服务网络不希望参与客户的 STP 拓扑时。启用 BPDU 过滤的接口仍然允许其他交换机参与其自身的 STP 拓扑。除非网络基础设施不需要参与 STP 拓扑，否则不建议使用 BPDU 过滤。
Loop Protect是对 STP 的补充协议，能够在创建环路的设备不支持 STP 且也不发送 BPDUs 时检测环路。环路保护会自动禁用端口以阻止检测到的环路，并在环路消失时重新启用端口。应在所有接入端口接口上启用此功能，以防止端口到端口的意外环路。环路保护不应在接入交换机的上行链路接口或在网络的核心、汇聚或折叠核心层启用。
Fault Monitor可以用于自动检测过度流量和链路错误。故障监控可以用来记录事件、发送 SNMP trap，或临时禁用端口。在通知模式下启用故障监控，以检测所有已识别的故障，并在所有接口上启用以确保数据连续性，但不要在故障监控中启用禁用功能，因为环路保护（Loop Protect）用于阻止环路。
网络弹性
交换机冗余技术
对于园区交换机，Aruba建议采用两层汇聚的局域网（LAN）结构，配合合并的核心，或采用三层路由核心的局域网结构。在这两种设计中，都可以启用通用功能，以确保网络具有高度的弹性。左侧显示的是两层园区结构；右侧则为三层园区结构。
Two-Tier and Three-Tier Wired
虚拟交换扩展（VSX）
VSX 使两个 AOS-CX 交换机在下游连接设备中表现为单一交换机。在折叠式核心或汇聚点中使用 VSX 以增加冗余。在标准链路聚合组（LAG）中，两个设备之间的多个物理接口被组合成一个逻辑链路。虚拟交换扩展（VSX）通过在 LAG 一侧跨越两个 AOS-CX 交换机组合端口，扩展了此功能，称为多机箱 LAG（MC-LAG）。VSX 配对在下游连接设备中表现为单一的二层交换机，可以是另一台交换机、网关或单个网络主机。主动网关功能支持配置具有共享 IP 和 MAC 地址的冗余三层网络网关。以此方式实现双重连接的设备增强了网络的弹性，消除了上游连接的单点故障。
从管理/控制平面角度来看，每台交换机是独立的。VSX 配对通过交换机间链路（ISL）同步 MAC、ARP、STP 及其他状态表。ISL 是在指定运行 ISL 协议的 VSX 配对之间的标准 LAG。
VSX 支持在 Aruba CX 6400、CX8100、CX 8320、CX 8325、CX 8360、CX 8400 和 CX9300 型号上。一个 VSX 配对不能在不同型号之间混用，即 CX8320 不能与 CX 8325 混用。
VSX Pair Placement
接入交换机采用标准的 LAG 连接。从接入交换机的角度来看，VSX 对是一台上游交换机。这种设计通过将 VSX 配对交换机之间的连接分离，最大限度地减少了链路的故障域。这也通过 Live Upgrade 功能最大限度地减少了服务影响，因为每个设备都拥有自己的控制平面和到下游接入设备的链路。
传统 STP vs VSX
MC-LAG 使所有相邻交换机之间的上行链路都处于激活状态并传输流量，以实现更高的容量和可用性，如下图右侧所示。
使用 LAG 或 MC-LAG 时，不需要启用 STP，但应将其作为一种额外的增强环路保护安全机制启用。
VSX 术语
LACP—链路聚合控制协议（LACP）将两个或多个物理端口组合成单一的干线接口，以实现冗余和容量的提升。
LACP Fallback—启用 LACP 备用的 LAGs 允许主动的 LACP 接口在接收 LACP 协议数据单元（PDUs）之前与其对端建立连接。该功能对于使用零接触配置（ZTP）的接入交换机连接到配置了 LACP 的汇聚交换机非常有用。
Inter-switch link—配置 ISL LAG 的最佳实践是允许所有 VLAN。若网络管理员需要更严格的控制，指定受限的 VLAN 列表也是有效的。
MC-LAG—这些 LAG 应该配置特定的 VLAN，并使用 LACP 活动模式。MC-LAG 不应配置为所有 VLAN 权限。
VSX keepalive—VSX 保持活动检测是一种用户数据报协议（UDP）探测，用于在两个 VSX 节点之间发送 hello 消息，以检测脑裂情况。保持活动应通过连接到专用管理网络的带外管理（OOBM）端口发送，或在两个 VSX 成员之间使用专用物理链路的直接 IP 连接上启用。
Active gateway—这为端点提供了冗余的 IP 网关，采用比 VRRP 更为现代的方法。必须在 VSX 主设备和备用设备上进行配置。两个设备还必须分配相同的活动网关 MAC 地址。每个交换机可配置的唯一虚拟 MAC 数量有限，因此最佳实践是为所有 VLAN 中的所有活动网关 IP 分配重复使用相同的活动网关 MAC 值。活动网关 MAC 应从为私有使用保留的四个范围中分配：
- x2-xx-xx-xx-xx-xx
- x6-xx-xx-xx-xx-xx
- xA-xx-xx-xx-xx-xx
- xE-xx-xx-xx-xx-xx
x 表示任何十六进制值。
PIM Dual—如果网络支持多播，默认的 PIM DR 为 VSX 主交换机。VSX 备用交换机也可以建立 PIM 对等关系，以避免在 VSX 主交换机故障时出现较长的收敛时间。Aruba 建议为每对 VSX 配置 PIM 为主动-主动模式。
VSX and MSTP—HPE Aruba Networking 建议根据以下最佳实践文档中概述的设计指南配置 VSX 和 STP。
关于本指南范围之外的 VSX 用例的更多细节和覆盖内容，请参阅最新版本的虚拟交换扩展指南，详见HPE Networking Support Portal
虚拟交换框架(Virtual Switching Framework)
堆叠允许多个接入交换机相互连接并表现得像一个单一的交换机。堆叠将多个物理设备合成为一个虚拟交换机，增加端口密度，并允许通过一个 IP 地址进行管理和配置。这减少了管理设备的总数，同时更有效地利用接入配线间的端口容量。堆叠成员共享上行链路端口，从而提供额外的带宽和冗余。
AOS-CX 接入交换机通过虚拟交换框架（VSF）功能实现前面板堆叠，使用两个前面板 SFP 端口，支持 10G、25G、50G 或 100G 速率。VSF 将两个交换机的控制平面和管理平面结合在一个 VSF 堆叠中，从而简化管理并增强接入配线间的冗余。VSF 支持 Aruba CX 6200 和 6300 交换机。
VSF 在 6300 上支持最多 10 个成员，在 6200 上支持最多 8 个成员。Aruba 建议采用环形拓扑结构进行堆叠交换机的连接。环形拓扑适用于 2 至 10 台交换机，能够实现链路故障容错，因为设备仍然可以通过备用路径访问指挥机或备用交换机。
指挥机和备用交换机应与上游汇聚交换机的配对连接，确保各自有独立的连接。如果指挥机发生故障，备用交换机仍能转发流量，将故障限制在指挥机交换机。建议用于交换机堆叠链路的接口类型为 50G 直连线缆（DAC），以提供足够的带宽支持成员之间的流量。
堆叠设备角色包括：
commander负责堆栈的整体管理，并与备用设备同步转发数据库。
standby为堆叠提供冗余，并在编排器不可用或管理员强制执行编排器故障转移时接管堆叠管理操作。
Members它们不属于整体堆叠管理范畴，但必须管理其本地子系统和端口，以确保作为堆叠的一部分正常运行。编排器和备用设备也负责其各自的本地子系统和端口。
VSF Connections
为减轻 VSF 分裂堆栈的影响，必须为编排器和备用设备启用分裂检测机制，称为多活检测（MAD）。MAD 通过在主设备和备用设备的 OOBM 端口之间建立连接来启用，以检测分裂发生的情况。Aruba 建议使用以太网线缆直接连接 OOBM 端口。
VSF OOBM MAD and links
服务质量
服务质量（QoS）指的是网络通过流量优先级和控制机制提供更高服务水平的能力。应用适当的QoS策略对于实时流量（如Skype或Zoom）以及业务关键应用（如Oracle或Salesforce）尤为重要。
为了准确配置网络中的QoS，应考虑多个方面，包括比特率、吞吐量、路径可用性、延迟、抖动和丢包。最后三者——延迟、抖动和丢包——可以通过排队算法得到有效改善，该算法使管理员能够优先处理具有更高需求的应用程序，而将需求较低的应用程序置于较低优先级。需要排队的网络区域通常是带宽受限的部分，例如无线或广域网（WAN）段。有线局域网（LAN）上行链路设计用于承载预期带宽需求的适当流量。由于QoS排队机制在发生主动拥塞之前不会生效，因此通常不需要在局域网交换机上启用。
部署QoS的最简策略是识别网络中关键应用程序，并利用本指南所述的QoS调度技术为其提供更高的服务等级。其余应用程序则保持在尽力而为队列中，以减少前期配置工作并降低排查复杂QoS策略的日常运营难度。如果其他应用程序变得关键，则将其加入列表。此方法可以根据需要反复应用，无需为所有应用程序制定全面策略。该策略常被没有企业范围内QoS策略或在特定网络区域排查应用性能问题的组织采用。
一种示例策略是将实时应用程序与少数其他需要快速响应的关键应用程序优先处理，因为用户正等待远程服务器的响应。识别业务关键应用并在网络中给予特殊处理，有助于保持员工的生产效率。实时应用程序被放入严格优先级队列，业务关键应用在网络拥塞时获得更高的服务等级。
管理员必须限制放入严格优先级队列的流量总量，以防止接口缓冲区过载。赋予所有流量优先级会削弱QoS策略的初衷。在识别关键流量并将其放入相应队列后，其余流量则放入默认队列，提供较低的服务等级。如果高优先级应用未使用分配的带宽，默认队列将利用所有可用带宽。
流量分类与标记
Aruba 建议将接入交换机用作局域网内流量的 QoS 策略执行点。这意味着在接入交换机上通过 IP 地址和端口号识别特定应用，并对其进行标记以实现特殊处理。可选地，流量可以在上行链路上排队，但在设计合理的园区局域网环境中并非必需。未被识别的应用将被重新标记为值为零，从而提供尽力而为的服务等级。下图显示了流量在通过交换机时的分类、标记和排队位置。
Classification, Marking, and Queuing
在典型的企业网络中，具有相似特征的应用程序根据其在网络上的操作方式进行分类。然后，应用程序根据类别被放入不同的队列。例如，如果广播视频或多媒体流应用程序未用于业务目的，则无需在 QoS 策略中考虑它们。然而，如果 Skype 和 Zoom 被用于进行商务相关的通话，则必须识别这些流量并赋予更高的优先级。对业务不重要的特定流量（例如：YouTube、游戏和一般网页浏览）应被识别并放入“scavenger”类别，在网络拥塞时优先丢弃，且丢弃频率最高。
一个全面的 QoS 策略需要对网络中的业务相关应用和 scavenger 类应用进行分类。第 3 层和第 4 层的分类将应用程序按具有相似特征的类别进行分组。在将关键应用程序与其他应用程序区分开后，它们被组合成队列组。
调度算法依赖于分类标记，以识别通过网络设备传输的应用程序。标记在第 3 层而非第 2 层的应用程序将携带这些标记贯穿整个数据包的生命周期。
QoS 策略的目标是让关键应用程序在尽可能少的系统影响和工程努力下共享可用带宽。
DiffServ 代码点（DSCP）
在第3层的标记使用 IP 服务类型（ToS）字节，其值可以是 IP 优先级的前三个最高有效位（范围从 0 到 7）或 DSCP 的六个最高有效位（范围从 0 到 63）。由于 DSCP 提供更高层次的 QoS 粒度，因此更为常用。它们也与 IP 优先级向后兼容，因为它们在 ToS 字节中的位置最左侧。
第3层的标记在基于标准的 IP 头部中添加，因此在数据包在网络中传输时会一直保留。当向数据包添加额外的 IP 头部，例如在 IPsec 隧道中的流量，内部头部的 DSCP 标记必须复制到外部头部，以便沿途的网络设备能够使用这些值。
DSCP marking
与 DSCP 值相关的多个 RFC 与其在通过路径上各个网络设备传输的流量的每跳行为（PHB）有关。下图显示了 PHB 与 DSCP 及其相关 RFC 之间的关系。
DSCP relationship with PHBs
语音流量采用加急转发（EF）类别进行最高优先级标记。多媒体应用、广播和视频会议被归入保证转发（AF31）类别，以在其穿越网络时为其提供一定比例的可用带宽。信令、网络管理、事务处理和批量应用被赋予保证转发（AF21）类别。最后，默认和清理应用被归入默认（DF）类别，以在接口拥塞时为其提供较少的带宽，但不会完全剥夺其资源。下图展示了六种应用类型映射到四类局域网排队模型的示例。
Six application types in a 4-class LAN queuing model
QoS 策略末端的最佳努力入口将所有未被层 3 / 层 4 分类识别的应用流标记到最佳努力队列中。这可以防止自行标记数据包的终端用户在网络中获得更高优先级的访问权限。
流量优先级和排队
Aruba 交换机支持最多八个队列，但本示例仅使用了四个队列。实时交互式应用被合并到一个严格优先级队列中。相比之下，多媒体和事务性应用被放置在亏损轮询（DRR）队列中，最后一个队列用于清理和默认流量。亏损轮询（DRR）是一种基于包的调度算法，将应用程序分组为不同类别，并根据网络管理员定义的带宽百分比在它们之间共享可用容量。在拥塞期间，每个 DRR 队列都能获得其公平份额的带宽，但在没有拥塞时，它们都可以使用尽可能多的带宽。
出接口需要使用第二列显示的 DSCP 值对应用进行排队。在 DRR 局域网调度器列中使用的加权值相加后，为每个 DRR 队列分配总份额。必须根据每个类别中应用的数量调整这些值。这通常是一个试错过程，因为 QoS 策略会影响环境中的应用。如下面的四类示例所示，队列按自上而下的顺序依次分配。
QoS Summary for Aruba Switch
最大传输单元（MTU）大小
必须考虑数据包大小以实现最佳的流量传输和网络性能。第 3 层最大传输单元（MTU）定义了在不发生分片的情况下，网络中可以传输的最大 IP 或 IPv6 数据包大小。第 2 层 MTU 定义了在网络链路上支持的最大以太网帧大小，超出此大小将导致帧丢失。应在整个网络中在第 2 层和第 3 层同时配置 MTU。在某些设备上，MTU 也被称为“巨型帧”，应启用此功能。
网络隧道方法会在数据包中添加头部，可能会导致数据包大小超出默认的 MTU 值。网络管理员必须确保 MTU 值能够适应隧道端点之间完整端到端网络路径中隧道流量的增加数据包大小。使用巨型帧或增大 MTU 大小可以防止分片并提升网络性能。HPE Aruba Networking 不支持 GRE 或 VXLAN 隧道的分片。
建议在 CX 交换机上将第 2 层和第 3 层 MTU 设置为 9198 字节，以支持需要大于默认值 1500 的 MTU 的以下高级功能集。
User-based tunneling: GRE 用于将入口流量从交换机接口隧道传输到移动性网关。
Distributed overlay fabric:流量在通过底层进行路由之前，会被封装在VXLAN头部中。
Wireless WLAN in tunnel mode:客户端流量通过隧道从接入点传输到移动网关。
AOS-CX 2层 MTU 配置值指定最大以太网有效载荷，其表示与 3层 MTU 相同的字节数。最大以太网帧大小通过自动计算得出，增加了额外的 22 字节（以太网帧头 14 字节，802.1Q 头 4 字节，以及以太网帧校验和（FCS） 4 字节）。
OSPF 路由
Aruba ESP 最佳实践采用 OSPF 以其简便性和配置的便利性。OSPF 是一种动态的链路状态、基于标准的路由协议，常在园区网络中部署。OSPF 提供快速收敛和出色的扩展性，适合大型网络，因为其可以随着网络的增长而扩展，无需重新设计。
OSPF 定义了区域以限制路由广告并实现路由汇总。Aruba ESP 园区设计采用单一区域的园区局域网（LAN）。在连接多个园区或广域网（WAN）拓扑时，会考虑多区域、骨干设计。OSPF 常用于在园区局域网与 WAN 网关或 DMZ 防火墙之间交换路由。
ESP 底层网络的最佳实践配置使用 OSPF 点对点链路连接汇聚层和核心层设备。在提供第 3 层服务给下游主机的汇聚交换机接口上，将其配置为 OSPF 域的成员。配置 OSPF 路由器以passive-interface default为了防止与插入二层接入端口的设备形成意外的邻接关系，在预期在端口上建立 OSPF 邻居时，应禁用被动操作。
在配置接入交换机时，最佳实践是为管理 VLAN 配置一个 IP 地址，并在该 VLAN 的 IP 接口上启用 OSPF。在 OSPF 中添加 /32 回环接口也为高可靠性管理网络奠定了基础。
下图展示了三层园区局域网中 OSPF 基础知识的示意。
OSPF in Three-Tier Wired
IP 多播
IP 多播通过使用224.0.0.0/4区块中的目标 IP 地址，将单一的流量高效地发送给多个感兴趣的接收者。该区块中的每个 IP 地址被称为一个多播组。从源发送到某个特定组的流量会被传递给所有表达出接收该组流量兴趣的主机。多播转发优化会在没有感兴趣监听者的情况下，从 Layer 2 和 Layer 3 数据链路中剪裁流量。多播应用包括音视频流、服务发现和主机镜像。
HPE Aruba Networking 使用协议无关多播——稀疏模式（PIM-SM）在子网之间路由多播流量。PIM-SM 路由器在连接的 3 层路由接口之间形成邻接关系。PIM-SM 域是由连续的 PIM-SM 邻接路由器组成的集合，通常包括整个园区和数据中心的 3 层交换机。以下附加特性支持多播流量的发现与传递：
- Rendezvous point（RP）。
- 多播源发现协议（MSDP）。
- 引导路由器（BSR）机制。
- 互联网组管理协议（IGMP）。
- IGMP snooping。
通常，多播组的源 IP 地址对感兴趣的监听者及其直接连接的路由器而言是未知的。一个或多个 Rendezvous Point（RP）维护多播组与其源 IP 地址的集中映射。具有直接连接源的 PIM-SM 路由器会将源/组数据注册到 RP。任何具有感兴趣监听者的 PIM-SM 路由器都可以利用 RP 建立多播流的初始流动，而无需知道源 IP 地址。
Anycast RP 是最常用的 RP 冗余策略。相同的回环 IP 地址被分配给两个或多个 PIM-SM 路由器。源连接的路由器通过向 anycast RP 地址发送 PIM Register 消息，并由最近的 RP 接收。多播源发现协议（MSDP）在全部的 anycast RPs 之间共享多播源/组信息，因此每个 RP 都维护完整的源/组信息集。任何 RP 都可以促成多播流的初始传输。如果某个 RP 发生故障，其他 RP 继续履行 RP 职能，无需对 PIM 域中的其他成员进行配置更改或更新。
RP 接口和 MSDP 在园区核心交换机上配置。
BSR 机制内置于 PIM 协议中，用于动态选择 RP 并在整个 PIM-SM 域中分发 RP IP 地址。核心交换机被配置为 BSR 候选，使用唯一的回环 IP 地址，并作为 RP 候选，使用共享的 anycast IP 回环。在选出单一的 BSR 后，选定的 RP 地址被选中。当采用 anycast 冗余时，所有 RP 候选都会广告相同的 anycast IP 地址。然后，BSR 将所选的 RP 地址广告给所有参与的路由器，从而免去了管理员在每个网络路由器上配置 RP 地址的需要。
IGMP 默认在作为 IGMP querier 的网关交换虚拟接口（SVI）上启用，用于其各自网络中的 IGMP 查询。IGMP querier 维护本地网络段中感兴趣监听者的列表。当主机有兴趣接收多播流时，会发出 IGMP join 请求。当 IGMP querier 收到 join 时，交换机会启动 PIM join 过程，向 RP 发送请求以开始多播流。当监听者不再感兴趣接收流量时，会发出 IGMP leave 消息。此外，IGMP querier 会定期通过向所有连接的主机发送 IGMP query 来验证对多播组的兴趣。如果在 PIM 路由器上已建立的多播组没有感兴趣的监听者，交换机会启动 PIM prune 过程，以停止多播流的传输。
HPE Aruba Networking AOS-CX 多播指南 在 HPE Networking Support Portal 和 IETF RFC 7761中提供了关于 PIM-SM 和 IGMP 操作的更详细信息。
IGMP snooping 监控 IGMP 加入、离开和查询，以优化 2 层多播转发状态。在三层拓扑结构中，在接入交换机和汇聚交换机上配置 IGMP snooping，或在两层拓扑结构中，在接入交换机和核心交换机上配置。
Dynamic Multicast Optimization (DMO)功能进一步优化无线网络中的多播流量。
Aruba ESP 园区局域网设计概要
ESP园区有线局域网为员工、接入点（AP）以及物联网（IoT）设备提供网络接入。园区局域网还成为连接广域网（WAN）、数据中心和互联网接入的逻辑选择，成为网络的重要组成部分。
简化的接入、汇聚和核心设计带来了以下优势：
- 智能接入层在保持用户透明的同时，保护网络免受攻击，且在二层VLAN边界内实现安全。
- 汇聚层和核心层通过使用OSPF进行IP路由以及采用PIM稀疏模式实现IP多播，配备冗余的BDR和RP。
- 服务汇聚层连接关键网络设备，例如企业服务器、WAN路由器和互联网边缘防火墙。
- 核心层采用高速双交换机互连，提供路径冗余和亚秒级故障切换，确保数据包的连续转发。
- 将核心层与服务汇聚层合并为单一层级，使网络在无需独立核心的情况下实现扩展。