Tweet
Multilayer Campus Network – Kiến trúc Campus kinh điển và bài toán STP + HSRP
Sơ đồ này mô tả một thiết kế Multilayer Campus Network truyền thống đã tồn tại hơn 15 năm và từng được xem là “best practice” cho mạng doanh nghiệp. Điều thú vị là dù ngày nay chúng ta nói nhiều về SD-Access, EVPN-VXLAN hay Fabric, rất nhiều mạng Campus thực tế vẫn đang vận hành theo đúng kiến trúc này.
Thiết kế này hình thành từ thời điểm routing còn đắt và chậm hơn switching, đồng thời trong mạng vẫn tồn tại những giao thức không thể route. Vì vậy, VLAN thường được kéo từ Access lên Distribution và Layer 2 trở thành một phần rất quan trọng của Campus. Điểm khó nằm ở sự tương tác giữa STP và HSRP
Trong mô hình truyền thống, Access Switch thường có hai uplink lên hai Distribution Switch để dự phòng.
Nhưng khi có nhiều đường Layer 2, chúng ta có loop. Vì vậy phải sử dụng Spanning Tree Protocol (STP) để quyết định đường nào Forwarding và đường nào Blocking.
Trong khi đó, Default Gateway của client lại cần dự phòng nên chúng ta sử dụng HSRP:
Client → Access Switch → STP → Distribution → HSRP Gateway
Vấn đề bắt đầu xuất hiện khi STP Root Bridge và HSRP Active nằm ở hai switch khác nhau.
Ví dụ:
Traffic của client có thể phải đi lên Distribution-1 rồi vòng sang Distribution-2 mới tới Default Gateway.
Đường đi vẫn hoạt động, nhưng không tối ưu.
Vì vậy, một best practice kinh điển là:
Đây chính là ý “STP Root and HSRP primary tuning” xuất hiện trong slide. Nhưng tại sao phải có cả HSRP Active và Standby?
Vì Campus Network phải chịu được lỗi thiết bị.
Hai Distribution Switch cùng cung cấp Default Gateway ảo cho client:
HSRP Active chịu trách nhiệm forward traffic bình thường, còn HSRP Standby sẵn sàng tiếp quản Virtual IP nếu Active gặp sự cố.
Kết hợp với STP, doanh nghiệp có thể vừa tạo redundancy, vừa kiểm soát đường đi của traffic.
Thậm chí chúng ta có thể load-balance theo VLAN:
VLAN 10: Distribution-1 = STP Root + HSRP Active
VLAN 20: Distribution-2 = STP Root + HSRP Active
Nhờ vậy, cả hai uplink đều được tận dụng thay vì một đường gần như chỉ ngồi chờ dự phòng. Và đây cũng là nơi “Spanning Tree Toolkit” trở nên quan trọng
Khi Layer 2 được mở rộng qua nhiều switch, chỉ chạy STP thôi chưa đủ. Kỹ sư mạng còn phải triển khai thêm các cơ chế bảo vệ.
BPDU Guard thường được bật trên các access port dành cho endpoint. Nếu cắm nhầm switch vào cổng này và switch gửi BPDU, port có thể bị đưa vào trạng thái err-disable để tránh làm thay đổi topology STP.
Root Guard ngăn một switch không mong muốn gửi Superior BPDU rồi trở thành Root Bridge.
Loop Guard bảo vệ mạng trước trường hợp một port đáng lẽ phải nhận BPDU nhưng đột nhiên không còn nhận được nữa, tránh việc port chuyển sang Forwarding và tạo Layer 2 loop.
Slide còn nhắc đến SISF (Switch Integrated Security Features), nhóm cơ chế giúp switch thu thập thông tin và bảo vệ endpoint ở lớp truy cập. Vì sao kiến trúc này vẫn đáng học?
Nhìn vào sơ đồ chúng ta sẽ thấy một đặc điểm rất rõ của Campus truyền thống:
Redundancy càng nhiều → Layer 2 càng phức tạp → càng phải tuning STP, HSRP và các cơ chế chống loop.
Đây chính là một trong những động lực khiến thiết kế Campus hiện đại dần chuyển sang routed access, Layer 3 underlay và SD-Access Fabric, nhằm giảm sự phụ thuộc vào một Layer 2 domain lớn.
Tuy nhiên, hiểu Multilayer Campus truyền thống vẫn cực kỳ quan trọng. Khi troubleshooting một mạng doanh nghiệp đang chạy VLAN + Trunk + STP + EtherChannel + HSRP, nếu không hiểu mối quan hệ giữa STP Root, HSRP Active và topology vật lý, chúng ta rất dễ gặp tình trạng:
Và đó chính là điểm khác nhau giữa việc mạng hoạt động và một mạng được thiết kế đúng.
Sơ đồ này mô tả một thiết kế Multilayer Campus Network truyền thống đã tồn tại hơn 15 năm và từng được xem là “best practice” cho mạng doanh nghiệp. Điều thú vị là dù ngày nay chúng ta nói nhiều về SD-Access, EVPN-VXLAN hay Fabric, rất nhiều mạng Campus thực tế vẫn đang vận hành theo đúng kiến trúc này.
Thiết kế này hình thành từ thời điểm routing còn đắt và chậm hơn switching, đồng thời trong mạng vẫn tồn tại những giao thức không thể route. Vì vậy, VLAN thường được kéo từ Access lên Distribution và Layer 2 trở thành một phần rất quan trọng của Campus. Điểm khó nằm ở sự tương tác giữa STP và HSRP
Trong mô hình truyền thống, Access Switch thường có hai uplink lên hai Distribution Switch để dự phòng.
Nhưng khi có nhiều đường Layer 2, chúng ta có loop. Vì vậy phải sử dụng Spanning Tree Protocol (STP) để quyết định đường nào Forwarding và đường nào Blocking.
Trong khi đó, Default Gateway của client lại cần dự phòng nên chúng ta sử dụng HSRP:
Client → Access Switch → STP → Distribution → HSRP Gateway
Vấn đề bắt đầu xuất hiện khi STP Root Bridge và HSRP Active nằm ở hai switch khác nhau.
Ví dụ:
- Distribution-1 là STP Root.
- Distribution-2 lại là HSRP Active.
Traffic của client có thể phải đi lên Distribution-1 rồi vòng sang Distribution-2 mới tới Default Gateway.
Đường đi vẫn hoạt động, nhưng không tối ưu.
Vì vậy, một best practice kinh điển là:
STP Root và HSRP Active của cùng VLAN nên được đặt trên cùng Distribution Switch.
Đây chính là ý “STP Root and HSRP primary tuning” xuất hiện trong slide. Nhưng tại sao phải có cả HSRP Active và Standby?
Vì Campus Network phải chịu được lỗi thiết bị.
Hai Distribution Switch cùng cung cấp Default Gateway ảo cho client:
HSRP Active chịu trách nhiệm forward traffic bình thường, còn HSRP Standby sẵn sàng tiếp quản Virtual IP nếu Active gặp sự cố.
Kết hợp với STP, doanh nghiệp có thể vừa tạo redundancy, vừa kiểm soát đường đi của traffic.
Thậm chí chúng ta có thể load-balance theo VLAN:
VLAN 10: Distribution-1 = STP Root + HSRP Active
VLAN 20: Distribution-2 = STP Root + HSRP Active
Nhờ vậy, cả hai uplink đều được tận dụng thay vì một đường gần như chỉ ngồi chờ dự phòng. Và đây cũng là nơi “Spanning Tree Toolkit” trở nên quan trọng
Khi Layer 2 được mở rộng qua nhiều switch, chỉ chạy STP thôi chưa đủ. Kỹ sư mạng còn phải triển khai thêm các cơ chế bảo vệ.
BPDU Guard thường được bật trên các access port dành cho endpoint. Nếu cắm nhầm switch vào cổng này và switch gửi BPDU, port có thể bị đưa vào trạng thái err-disable để tránh làm thay đổi topology STP.
Root Guard ngăn một switch không mong muốn gửi Superior BPDU rồi trở thành Root Bridge.
Loop Guard bảo vệ mạng trước trường hợp một port đáng lẽ phải nhận BPDU nhưng đột nhiên không còn nhận được nữa, tránh việc port chuyển sang Forwarding và tạo Layer 2 loop.
Slide còn nhắc đến SISF (Switch Integrated Security Features), nhóm cơ chế giúp switch thu thập thông tin và bảo vệ endpoint ở lớp truy cập. Vì sao kiến trúc này vẫn đáng học?
Nhìn vào sơ đồ chúng ta sẽ thấy một đặc điểm rất rõ của Campus truyền thống:
Redundancy càng nhiều → Layer 2 càng phức tạp → càng phải tuning STP, HSRP và các cơ chế chống loop.
Đây chính là một trong những động lực khiến thiết kế Campus hiện đại dần chuyển sang routed access, Layer 3 underlay và SD-Access Fabric, nhằm giảm sự phụ thuộc vào một Layer 2 domain lớn.
Tuy nhiên, hiểu Multilayer Campus truyền thống vẫn cực kỳ quan trọng. Khi troubleshooting một mạng doanh nghiệp đang chạy VLAN + Trunk + STP + EtherChannel + HSRP, nếu không hiểu mối quan hệ giữa STP Root, HSRP Active và topology vật lý, chúng ta rất dễ gặp tình trạng:
“Mạng vẫn chạy, ping vẫn được… nhưng traffic đang chạy một con đường rất kỳ lạ.”
Và đó chính là điểm khác nhau giữa việc mạng hoạt động và một mạng được thiết kế đúng.
Attached Files