三层网络架构的优点

2003年，我还在读大学，络架宿舍楼里刚换掉那批用了快十年的优点集线器。网络中心的层网人扛来一台 Catalyst 4000，往机柜里一塞，络架整栋楼两百多号人同时打《魔兽争霸》再也没卡过。优点那是层网我第一次真切感觉到，网络这东西，络架光堆端口没用，优点得讲结构。层网后来自己开始做项目，络架才明白那台设备背后藏着的优点东西——三层架构。它不是层网某天突然冒出来的理论，而是络架被实际流量一巴掌一巴掌打出来的经验。

核心层就干一件事：快。优点别让它做任何多余的事，什么 ACL、NAT、流量整形，统统扔出去。我见过一个园区网，核心交换机上配了三百多条策略，结果晚高峰 CPU 直接飙到 90%，转发延迟从微秒级跳到毫秒级。后来把策略挪到汇聚层，核心只跑 OSPF 和快速转发，立马安静了。核心层的设计逻辑特别像城市里的环城高速——你不可能在高速路上设红绿灯，那是出入口匝道该解决的问题。高速路只管把车从 A 点送到 B 点，中间别停。

汇聚层才是真正干活的地方。策略、路由汇总、VLAN 终结、防火墙重定向，全在这儿。为什么不让核心做？因为核心要兼顾所有汇聚节点的流量，一旦引入策略，转发路径就变长了，延迟不可控。我去年帮一家医院做网络改造，他们原来把 ACL 全写在核心上，结果手术室的 PACS 影像调阅偶尔会卡顿。把策略下沉到汇聚层之后，核心只做三层转发，影像传输稳定了很多。汇聚层还有一个好处：它能把接入层的几十个 VLAN 汇总成几个大网段再通告给核心，核心路由表从几千条降到几十条，故障排查时看着清爽太多。

接入层最容易被忽视，但它决定了终端用户的体验。端口密度、PoE 供电、端口安全、DHCP snooping，这些都在接入层完成。我见过一个办公室，接入交换机没开 BPDU guard，有人把家用路由器插到墙上，STP 震荡，整个楼层断网半小时。接入层的设备不需要多贵，但功能得配齐。它就像小区门口的门禁——不用像派出所那么复杂，但得能识别谁该进谁不该进。

三层架构真正的好处，不是画在 PPT 上的那三块方框，而是它逼着你在设计阶段就想清楚：哪些流量需要快速穿过，哪些流量需要被检查，哪些流量只需要接入。这种分层思维让网络故障的定位范围缩小了。核心层出问题，影响面大但排查点少；汇聚层出问题，影响一个区域；接入层出问题，影响几个端口。责任边界清晰，运维起来不至于抓瞎。

当然，三层架构不是万能药。小型网络硬套三层，只会增加成本和复杂度。我见过一个只有五十人的创业公司，非要买三台核心交换机做冗余，结果配置比人数还多。架构是给流量规模服务的，不是反过来。但一旦网络节点超过几百个，或者业务对延迟和可用性有硬要求，三层架构的优势就压不住了——它把混乱的流量世界切成了可管理的块，每一块都有自己的规则和边界。

说到底，三层架构的优点就一句话：让该快的地方快，该管的地方管，该简单的地方别复杂。这不是什么高深理论，是被无数个深夜割接和故障报告磨出来的常识。