跳至主要内容

01 · 分離對外與內網核心交換器

在南北向與東西向流量之間建立硬體邊界,可收斂故障範圍、避免緩衝區互相搶佔,並讓路由政策易於稽核。兩種方案的防火牆 HA 配對完全相同,差別只在核心層。 · 互動原版 ↗

南北向東西向隔離/風險路徑對等 / HA 連線網狀互連
A · 核心分離 — 建議
FW1 + FW2閘道防火牆 · HAWAN / 中繼區域對外邊界交換器南北向 · WAN實體隔離LAN 區域內網核心交換器東西向 · 跨機櫃TOR 1TOR 2TOR 3伺服器機櫃
B · 核心合併 — 反面做法
FW1 + FW2閘道防火牆 · HA兩種區域共用同一機箱合併式核心交換器南北向+東西向共用一台TOR 1TOR 2TOR 3伺服器機櫃

方案 A — 核心交換器分離(建議做法)​

效益​

  • ✅ 邊界故障不會影響伺服器之間的流量
  • ✅ 備份與資料庫同步不會搶佔 WAN 埠緩衝區
  • ✅ 北向預設路由、南向 OSPF/BGP — ACL 清楚可稽核

方案 B — 核心交換器合併(反面做法)​

風險​

單一故障點 · 緩衝區互相搶佔 · VLAN 外洩風險 · ACL 與 VRF 重疊。

  • ❌ 一次迴圈、CPU 尖峰或韌體當機即造成全網中斷
  • ❌ 東西向流量壓垮 WAN 流量,全網出現封包遺失
  • ❌ 單一設定錯誤即讓內部 VLAN 暴露於對外側

設計比較​

設計指標A · 核心分離(建議)B · 核心合併(反面做法)
安全邊界**強。**在對外與內部流量之間建立硬體層級隔離。**弱。**VLAN 外洩或設定錯誤會將內部 VLAN 暴露給不受信任的流量。
故障影響範圍**隔離。**邊界遭 DDoS、ARP 欺騙或韌體當機時,內部運作仍可持續。**高。**單一故障同時中斷內部服務與對外連線。
流量與緩衝區**最佳化。**備份與資料庫同步不會與 WAN 邊界流量搶佔埠緩衝區。**壅塞。**東西向流量壓縮南北向,造成緩衝區溢出與封包遺失。
政策與路由**清楚。**北向預設路由、南向 OSPF/BGP、獨立 ACL — 稽核容易。**複雜。**路由表雜亂、VRF 巢狀、ACL 重疊 — 稽核容易人為出錯。