Cisco Campus Network Design: VLAN, HSRP, EtherChannel และ Wireless

Campus Network Design คือการออกแบบเครือข่ายภายในพื้นที่องค์กร เช่น อาคารสำนักงาน โรงเรียน โรงพยาบาล หรือพื้นที่หลายอาคาร โดยต้องรองรับผู้ใช้ อุปกรณ์ไร้สาย ระบบโทรศัพท์ IP และบริการสำคัญอย่างปลอดภัย มีเสถียรภาพ และขยายระบบได้ บทความนี้ต่อยอดจาก Enterprise Network Design สู่การวางแผน Cisco Campus Network พร้อม Lab และวิธีตรวจสอบการทำงาน

สารบัญ

• เป้าหมายการออกแบบ
• Topology และ Architecture
• VLAN และ IP Planning
• Redundant Uplink และ EtherChannel
• STP และ Failure Domain
• Default Gateway และ HSRP
• Routing ระหว่าง Distribution และ Core
• Wireless Integration
• Campus Security
• Cisco Configuration Lab
• Verification
• Failover Testing
• Troubleshooting
• Best Practices
• FAQ
• สรุป

1. เป้าหมายของ Campus Network Design

Campus Network ที่ดีต้องมี Availability, Scalability, Security, Manageability และ Predictable Performance โดยไม่ออกแบบความซับซ้อนเกินความจำเป็น ต้องระบุจำนวนผู้ใช้ อุปกรณ์ Endpoint, Wi-Fi Access Point, PoE Budget, Uplink Capacity และข้อกำหนดการกู้คืนบริการก่อนเลือก Hardware

การออกแบบควรเริ่มจาก Requirement และ Traffic Flow ไม่ใช่เริ่มจากจำนวน Switch หรือรุ่นอุปกรณ์เพียงอย่างเดียว

2. Campus Architecture: Two-Tier และ Three-Tier

Two-Tier หรือ Collapsed Core

เหมาะกับ Campus ขนาดเล็กถึงกลาง โดยรวมหน้าที่ Distribution และ Core ไว้ในชั้นเดียว ลดจำนวนอุปกรณ์และจุดที่ต้องบริหารจัดการ

         WAN / Firewall
               |
       Distribution/Core
          /         \
      Access-1    Access-2
         |            |
      Users/APs    Users/APs

Three-Tier Architecture

Campus ขนาดใหญ่ที่มีหลายอาคารอาจแยก Access, Distribution และ Core เพื่อให้ Core ทำหน้าที่ขนส่ง Traffic อย่างรวดเร็ว ขณะที่ Distribution เป็นจุดกำหนด Policy, Routing Boundary และ Aggregation

             Core-1 ----- Core-2
              /  \         /  \
          Dist-A1 Dist-A2 Dist-B1 Dist-B2
             \      /        \      /
             Access-A         Access-B
               |                 |
           Users / APs       Users / APs

ภาพเป็น Logical Architecture เท่านั้น จำนวนลิงก์และความสามารถในการทำ Multi-Chassis EtherChannel ขึ้นอยู่กับอุปกรณ์และระบบปฏิบัติการจริง

3. VLAN Segmentation และ IP Address Planning

ควรแบ่ง VLAN ตามหน้าที่และ Security Zone ไม่ใช่แบ่งตามแผนกอย่างเดียว โดยคำนึงถึง Broadcast Domain, Policy Enforcement และการเคลื่อนย้ายผู้ใช้

VLAN	หน้าที่	Subnet ตัวอย่าง	Gateway VIP
10	Corporate Users	10.40.10.0/24	10.40.10.1
20	Voice	10.40.20.0/24	10.40.20.1
30	Corporate Wi-Fi	10.40.30.0/24	10.40.30.1
40	Guest Wi-Fi	10.40.40.0/24	10.40.40.1
99	Network Management	10.40.99.0/24	10.40.99.1

ตัวเลขนี้เป็นตัวอย่างสำหรับ Lab ควรตรวจ Address Overlap กับ WAN, VPN, Cloud และ Site อื่นก่อนใช้จริง และหลีกเลี่ยงการขยาย Layer 2 ข้ามอาคารโดยไม่มีเหตุผลด้านบริการ

4. Redundant Uplink และ EtherChannel

Access Switch ควรมี Uplink สำรองเพื่อไม่ให้การขัดข้องของสายหรือ Port เดียวทำให้ทั้งพื้นที่ใช้งานไม่ได้ การใช้ LACP EtherChannel ช่วยรวมหลาย Physical Links เป็น Logical Link เมื่อปลายทางรองรับและอยู่ใน Logical Switching Domain เดียวกัน

Access-SW
  |     |
 Gi1/0/47 Gi1/0/48
  |     |
  +-- Port-channel1 -- Distribution

หาก Uplink ต่อไปยัง Distribution Switch สองตัวที่เป็นอิสระและไม่มีเทคโนโลยี Multi-Chassis Aggregation รองรับ ห้ามรวมเป็น EtherChannel เดียว ให้ใช้ STP หรือ Routed Uplinks ตาม Architecture แทน

5. STP และ Failure Domain

Rapid PVST+ หรือ MST ช่วยป้องกัน Layer 2 Loop เมื่อมีเส้นทางสำรอง ควรกำหนด STP Root อย่างตั้งใจให้สอดคล้องกับตำแหน่ง Active Gateway และตรวจว่า Trunk Allowed VLAN ตรงกัน

Access Ports ที่ต่อกับ Endpoints อาจใช้ PortFast และ BPDU Guard ตาม Policy แต่ Uplink ระหว่าง Switch ไม่ควรถูกกำหนดเป็น Edge Port โดยไม่ตรวจ Topology

Failure Domain คือขอบเขตที่ปัญหาหนึ่งสามารถกระทบระบบได้ การจำกัด VLAN, Layer 2 Adjacency และ Broadcast Domain ให้เหมาะสมช่วยลดผลกระทบจาก Loop หรือ Broadcast Storm

6. Default Gateway Design ด้วย HSRP

ใน Campus แบบ Layer 2 Access สามารถวาง SVI Gateway ที่ Distribution และใช้ HSRP สร้าง Virtual Default Gateway เพื่อรองรับการขัดข้องของอุปกรณ์ตัวใดตัวหนึ่ง

              VLAN 10
                  |
         +--------+--------+
         |                 |
      DIST-1            DIST-2
    10.40.10.2        10.40.10.3
         \                 /
          \--- HSRP VIP ---/
              10.40.10.1

การใช้ HSRP ต้องพิจารณา STP Root, Active Gateway, Uplink Tracking และ Return Path ด้วย การมี Virtual IP ไม่ได้ทำให้ทุก Failure Scenario ถูกแก้ไขโดยอัตโนมัติ

7. Routing ระหว่าง Distribution และ Core

สำหรับ Campus ขนาดใหญ่ควรพิจารณา Layer 3 Routed Links ระหว่าง Distribution และ Core เพื่อจำกัด Layer 2 Failure Domain โดยอาจใช้ OSPF หรือ Routing Protocol ที่เหมาะกับองค์กร

Access VLANs
     |
Distribution (SVI / Gateway)
     |
Layer 3 Point-to-Point
     |
Core / Firewall / WAN

การออกแบบ Route Summarization ต้องระวัง Blackhole Route และต้องมีแผนสำหรับ Failover, ECMP และ Default Route Distribution

8. Wireless Integration: SSID, VLAN และ Policy

การออกแบบ Wireless ต้องประสาน SSID, Authentication, VLAN Assignment, Controller/Cloud Architecture, Roaming และ QoS ไม่ใช่เพียงติดตั้ง Access Point ให้มีสัญญาณครอบคลุม

SSID	เครือข่าย	การเข้าถึง
Corporate-WiFi	VLAN 30	ภายในตามสิทธิ์
Guest-WiFi	VLAN 40	Internet Only

บางระบบ Wireless ใช้ Central Switching/Tunneling ทำให้ VLAN ที่เชื่อมกับ Client อยู่ที่ Controller หรือ Gateway ไม่ใช่ Trunk บน AP ทุกตัว จึงต้องตรวจ Vendor Architecture ก่อนกำหนด Trunk Allowed VLAN

9. Campus Network Security

ควรใช้หลัก Least Privilege แยก Guest จาก Corporate, จำกัด Management Access และพิจารณา 802.1X, MAB, DHCP Snooping, Dynamic ARP Inspection, IP Source Guard และ Port Security ตามความสามารถของ Platform

เปิด SSH, AAA, Syslog, NTP และ SNMPv3 หรือ Telemetry ตามมาตรฐานองค์กร หลีกเลี่ยงการเปิด Management Interface ให้ Guest หรือ Untrusted VLAN เข้าถึงได้

10. Cisco Campus Configuration Lab

Lab Scope: Access-SW เชื่อม DIST-1 ผ่าน LACP Port-channel1; DIST-1 และ DIST-2 ทำ HSRP สำหรับ VLAN 10 และ 40 ตัวอย่างใช้ Cisco IOS/IOS XE แบบ Classic CLI ซึ่ง Syntax และ Feature Support ต้องตรวจรุ่นอุปกรณ์ก่อนใช้งานจริง

Step 1 — สร้าง VLAN บน Access และ Distribution

configure terminal
vlan 10
 name CORP-USERS
vlan 40
 name GUEST-WIFI
end

สร้าง VLAN เดียวกันบนอุปกรณ์ที่ต้องขนส่ง VLAN นั้น และตรวจ VTP Mode ก่อนดำเนินการ

Step 2 — Access Port สำหรับผู้ใช้

interface GigabitEthernet1/0/1
 description CORP-PC
 switchport mode access
 switchport access vlan 10
 spanning-tree portfast
 spanning-tree bpduguard enable

Step 3 — LACP EtherChannel บน Access-SW

interface range GigabitEthernet1/0/47 - 48
 description UPLINK-TO-DIST1
 switchport
 switchport mode trunk
 switchport trunk allowed vlan 10,40
 channel-group 1 mode active
!
interface Port-channel1
 description LACP-TO-DIST1
 switchport
 switchport mode trunk
 switchport trunk allowed vlan 10,40

บน DIST-1 ต้องตั้งค่าพอร์ตคู่ตรงข้ามเป็น LACP และกำหนด Trunk Parameters ให้สอดคล้องกัน ตัวอย่างนี้เชื่อมไปยัง DIST-1 เพียงตัวเดียว ไม่ใช่ Multi-Chassis EtherChannel

Step 4 — HSRP VLAN 10 บน DIST-1

ip routing
!
interface Vlan10
 description CORP-GATEWAY
 ip address 10.40.10.2 255.255.255.0
 standby version 2
 standby 10 ip 10.40.10.1
 standby 10 priority 110
 standby 10 preempt

Step 5 — HSRP VLAN 10 บน DIST-2

ip routing
!
interface Vlan10
 description CORP-GATEWAY
 ip address 10.40.10.3 255.255.255.0
 standby version 2
 standby 10 ip 10.40.10.1
 standby 10 priority 100
 standby 10 preempt

เงื่อนไขสำคัญ: DIST-1 และ DIST-2 ต้องมี Layer 2 Adjacency สำหรับ VLAN 10 จึงจะแลกเปลี่ยน HSRP Hello ได้อย่างถูกต้อง และ SVI ต้องอยู่ในสถานะ Up/Up การตั้งค่าข้างต้นเป็นส่วนประกอบของ Lab ไม่ใช่ Topology Production ที่ครบถ้วน

Step 6 — HSRP สำหรับ Guest VLAN

สร้าง SVI VLAN 40 บน Distribution ทั้งสองตัวโดยใช้ 10.40.40.2 และ 10.40.40.3 พร้อม VIP 10.40.40.1 จากนั้นกำหนด ACL หรือ Firewall Policy ป้องกัน Guest เข้าถึง Corporate Network ก่อนเปิดใช้งานจริง

Step 7 — STP Root Alignment

! DIST-1
spanning-tree vlan 10 root primary
!
! DIST-2
spanning-tree vlan 10 root secondary

สำหรับ VLAN อื่นสามารถออกแบบ Active Gateway และ Root Placement แยกกันได้ แต่ต้องประเมิน Traffic Path และ Failover Behavior

Step 8 — Routing ไป Core

กำหนด Routed Uplink และ OSPF หรือ Static Route ตาม Design จริง ห้ามคัดลอก IP Point-to-Point หรือ Router ID โดยไม่ตรวจ Address Plan ขององค์กร

11. Verification Commands

show vlan brief
show interfaces trunk
show etherchannel summary
show lacp neighbor
show spanning-tree vlan 10
show standby brief
show ip interface brief
show ip route
show interfaces status

ตรวจว่า Port-channel มี Member Ports อยู่ในสถานะ Bundled, Trunk อนุญาต VLAN ที่ต้องใช้, STP Root ถูกต้อง, HSRP มี Active/Standby ตามที่ออกแบบ และ Route ไปยัง Destination มีอยู่จริง

ตรวจจาก Client ด้วยการ Ping Default Gateway และทดสอบ Application ที่ได้รับอนุญาต โดยบันทึกผลก่อนและหลังการเปลี่ยนแปลง

12. Failover Testing และ Acceptance Criteria

ทดสอบใน Lab หรือ Maintenance Window เท่านั้น โดยจำลอง Uplink Down, Port-channel Member Down และ Active Gateway Failure แล้ววัด Packet Loss, Convergence Time และ Application Recovery ตาม SLA ที่กำหนด

เหตุการณ์	ผลที่ต้องตรวจ
Member Link Down	Port-channel ยังส่ง Traffic ผ่านลิงก์ที่เหลือ
Active HSRP Down	Standby รับบทบาท Active ตามเงื่อนไข
Distribution Uplink Down	Routing/Tracking เปลี่ยนเส้นทางอย่างถูกต้อง
Guest Access Test	เข้าถึง Internet ได้ แต่ไม่เข้าถึง Corporate

ควรกำหนดค่าผ่าน/ไม่ผ่านจาก Requirement จริง ไม่สมมติเวลา Failover เป็นตัวเลขตายตัวสำหรับทุก Platform

13. Campus Network Troubleshooting

Case 1 — VLAN ใช้งานไม่ได้

ตรวจ VLAN Database, Access VLAN, Trunk Allowed VLAN, STP State, SVI Up/Down และ DHCP Scope

Case 2 — EtherChannel ไม่รวมลิงก์

ตรวจ LACP Mode, Speed, Duplex, Trunk Mode, Allowed VLAN และ Port-channel Consistency ด้วย show etherchannel summary

Case 3 — HSRP ทั้งสองตัวเป็น Active

ตรวจว่า VLAN มี Layer 2 Connectivity ระหว่าง Distribution หรือไม่ รวมถึง ACL/Control Plane Filtering, HSRP Group, Version และ Authentication ที่ตั้งค่าไว้

Case 4 — Guest เข้าถึง Corporate ได้

ตรวจ Inter-VLAN Routing, ACL Direction, Firewall Policy และ Wireless VLAN Assignment อย่าถือว่าการแยก VLAN เพียงอย่างเดียวป้องกัน Inter-VLAN Access

Case 5 — Network Loop หรือ Broadcast Storm

ตรวจ STP Topology Changes, BPDU Guard Events, Misconfigured Trunks และลิงก์สำรองที่ไม่อยู่ภายใต้ STP Protection

Case 6 — Failover แล้ว Application หลุดนาน

ตรวจ HSRP Tracking, STP Convergence, Routing Convergence, ARP/MAC Table Update และ Firewall Session State ตามเส้นทางจริง

14. Production Best Practices

• Document Topology: เก็บ Physical/Logical Diagram, VLAN Matrix, IP Plan และ Interface Description
• Design Failure Domains: จำกัด Layer 2 ให้เหมาะสมและใช้ Routed Links เมื่อมีเหตุผลรองรับ
• Align Gateway and STP: ตรวจ Active Gateway และ Root Bridge ให้สอดคล้องกับ Traffic Path
• Protect Access Layer: ใช้ 802.1X, BPDU Guard และ Layer 2 Security Features อย่างเหมาะสม
• Validate Hardware: ตรวจ PoE Budget, Uplink Bandwidth, Buffer และ Feature License
• Monitor: เก็บ Syslog, Interface Errors, CPU, Memory, STP Events และ HSRP State
• Change Safely: Backup Configuration, กำหนด Rollback Plan และทดสอบใน Maintenance Window

15. FAQ

Campus Network จำเป็นต้องมี Core Layer เสมอหรือไม่?

ไม่จำเป็น Campus ขนาดเล็กถึงกลางสามารถใช้ Collapsed Core ได้เมื่อรองรับ Capacity และ Availability Requirement

HSRP กับ EtherChannel ใช้แทนกันได้หรือไม่?

ไม่ได้ HSRP ช่วยสำรอง Default Gateway ส่วน EtherChannel รวม Physical Links เป็น Logical Link

ควรใช้ Layer 2 หรือ Layer 3 Uplink?

ขึ้นอยู่กับ Architecture โดย Layer 3 Uplink ช่วยจำกัด Layer 2 Failure Domain ขณะที่บางระบบต้องการ Layer 2 Adjacency สำหรับ Gateway หรือ Endpoint Mobility

Guest Wi-Fi แยก VLAN แล้วปลอดภัยหรือไม่?

ยังไม่เพียงพอ ต้องบังคับ Firewall/ACL Policy และตรวจว่า Guest ไม่เข้าถึง Management และ Corporate Resources

ทำไมต้องทดสอบ Failover?

เพราะ Configuration ที่มี Redundancy ไม่รับประกัน Recovery Time หาก Routing, STP, Tracking หรือ Application State ทำงานไม่สอดคล้องกัน

16. บทสรุป

Cisco Campus Network Design ที่ดีต้องเชื่อม Architecture, IP/VLAN Planning, High Availability, Wireless และ Security ให้ทำงานร่วมกัน โดยใช้ Access Layer เชื่อม Endpoints, Distribution Layer เป็นจุด Aggregation/Policy และ Core Layer สำหรับการเชื่อมต่อความเร็วสูงเมื่อจำเป็น

ก่อนใช้งานจริงต้องตรวจ Trunk, STP, EtherChannel, HSRP, Routing, Guest Isolation และ Failover ด้วย Operational Commands และ Test Cases ที่วัดผลได้

บทความถัดไป: WAN Fundamentals สำหรับ Network Engineer — MPLS, Metro Ethernet, Internet Leased Line, DIA และ SD-WAN Connectivity