Enterprise Network Design: Access, Distribution และ Core Layer

Enterprise Network Design คือการวางสถาปัตยกรรมเครือข่ายให้รองรับผู้ใช้ ระบบงาน และการเติบโตขององค์กร โดยคำนึงถึง Availability, Scalability, Security, Manageability และ Cost บทความนี้อธิบาย Cisco Campus Network ตั้งแต่ Access, Distribution และ Core Layer ไปจนถึงตัวอย่าง Configuration และแนวทางตรวจสอบปัญหา

สารบัญ

• แนวคิด Enterprise Network Design
• Access, Distribution และ Core
• Three-Tier กับ Collapsed Core
• ตัวอย่าง Enterprise Topology
• Layer 2 และ Layer 3 Boundaries
• High Availability และ Redundancy
• Routing และ Gateway Redundancy
• Security by Design
• Capacity และ QoS
• Cisco Configuration Lab
• Verification
• Troubleshooting
• Best Practices
• FAQ
• บทสรุป

1. Enterprise Network Design คืออะไร?

การออกแบบเครือข่ายองค์กรไม่ใช่เพียงการต่อ Switch ให้ทุกเครื่อง Ping ถึงกัน แต่ต้องกำหนด Failure Domain, Broadcast Domain, Routing Boundary, Security Zone และ Operational Responsibility อย่างชัดเจน เพื่อให้ขยายระบบและแก้ปัญหาได้โดยไม่กระทบทั้งองค์กร

หลักการสำคัญคือออกแบบจาก Requirement ก่อนเลือกอุปกรณ์ ได้แก่จำนวน Endpoint, Application Criticality, Bandwidth, Latency, Uptime Target, Budget และข้อจำกัดด้านการดูแลรักษา

2. Access, Distribution และ Core Layer

2.1 Access Layer

Access Layer เป็นจุดเชื่อมต่อ User, IP Phone, Printer, Wireless Access Point และ IoT Device ทำหน้าที่กำหนด Access VLAN, PoE, Port Security, 802.1X และ Edge Protection เช่น BPDU Guard ตามนโยบาย

2.2 Distribution Layer

Distribution Layer รวม Traffic จาก Access Switch และมักเป็นจุดทำ Inter-VLAN Routing, Policy Enforcement, Route Summarization และ Gateway Redundancy โดยขึ้นอยู่กับแบบ Layer 2 หรือ Routed Access ที่เลือก

2.3 Core Layer

Core Layer เป็น Backbone เชื่อม Distribution Blocks และบริการส่วนกลาง ต้องเน้นความเสถียร ความเร็ว และ Convergence โดยหลีกเลี่ยง Policy ที่ซับซ้อนเกินจำเป็น

                 +-----------------+
                 |    CORE LAYER   |
                 |   CORE1 CORE2   |
                 +--------+--------+
                          |
              +-----------+-----------+
              | DISTRIBUTION LAYER    |
              |   DIST1      DIST2    |
              +-----------+-----------+
                          |
              +-----------+-----------+
              |      ACCESS LAYER     |
              |  ACC1   ACC2   ACC3   |
              +-----------+-----------+
                          |
                 Users / AP / Phones

3. Three-Tier กับ Collapsed Core ต่างกันอย่างไร?

ประเด็น	Three-Tier	Collapsed Core
โครงสร้าง	Access + Distribution + Core	Access + Distribution/Core
เหมาะกับ	Campus ขนาดใหญ่ หลาย Building	Campus ขนาดเล็กถึงกลาง
ความซับซ้อน	สูงกว่า แต่แบ่งหน้าที่ชัดเจน	น้อยกว่า
การขยายระบบ	รองรับหลาย Distribution Block	ขึ้นกับขีดจำกัดอุปกรณ์รวมศูนย์

Collapsed Core ไม่ได้ด้อยกว่าเสมอไป หากจำนวน Site และ Traffic ยังไม่จำเป็นต้องมี Core แยก การรวมบทบาท Distribution/Core ช่วยลดอุปกรณ์และค่าใช้จ่ายได้

4. ตัวอย่าง Enterprise Campus Topology

                     Internet / WAN
                           |
                      Firewall HA
                           |
                 +---------+---------+
                 |                   |
               CORE1               CORE2
                 | \               / |
                 |  \             /  |
                 |   DIST1---DIST2   |
                 |     |       |     |
                 |    ACC1    ACC2   |
                 |     |       |     |
                 |  Users    AP/VoIP |
                 +-------------------+

แผนภาพเป็น Logical Illustration ไม่ใช่แบบเดินสายที่กำหนดให้ทุกลิงก์ต้องเชื่อมตามภาพจริง ใน Production ต้องระบุ Physical Links, Port Capacity, Routing Adjacencies และ Failure Domains เพิ่มเติม

ตัวอย่าง IP Address Plan

VLAN / Segment	Subnet	หน้าที่
VLAN 10	10.40.10.0/24	Corporate Users
VLAN 20	10.40.20.0/24	IP Phones
VLAN 30	10.40.30.0/24	Managed Devices
VLAN 40	10.40.40.0/24	Guest
Transit	10.40.254.0/30	Distribution-to-Core Link

ตัวอย่างนี้เป็นการวางแผน Addressing สำหรับ Lab เท่านั้น และต้องตรวจว่าไม่ทับซ้อนกับ Subnet ที่ใช้งานอยู่ก่อน Deploy

5. วาง Layer 2 และ Layer 3 Boundary ตรงไหน?

Layer 2 Access

Access Switch ใช้ VLAN Trunk ไป Distribution และกำหนด SVI Gateway บน Distribution ทำให้ใช้งาน HSRP/VRRP ได้ แต่ต้องออกแบบ STP, Uplink Redundancy และ VLAN Scope ให้เหมาะสม

Routed Access

Access Switch ทำ Layer 3 Uplink และ Routing ไป Distribution ช่วยลด Layer 2 Failure Domain และลดการพึ่งพา STP บน Uplink แต่ต้องเลือก Platform และ Operational Model ที่รองรับ

อย่ายืด VLAN ข้ามอาคารโดยไม่มีเหตุผล เพราะ Broadcast, Loop และ Failure Domain อาจขยายวงกว้างโดยไม่จำเป็น

6. High Availability และ Redundancy

Redundancy ต้องออกแบบทั้ง Device, Link, Power, Routing, Gateway และ Upstream Service การมี Switch สองตัวไม่ได้รับประกัน HA หากทั้งคู่ใช้ UPS, Fiber Route หรือ ISP เดียวกัน

แนวทางสำคัญ

• Dual Uplink จาก Access ไปยัง Distribution ตาม Design ที่รองรับ
• EtherChannel เมื่อสมาชิกเชื่อมต่อ Logical Device เดียวกัน หรือ Multi-Chassis Technology ที่รองรับอย่างถูกต้อง
• HSRP/VRRP สำหรับ Default Gateway Redundancy ใน Layer 2 Access
• OSPF หรือ Routing Protocol ที่เหมาะสมสำหรับ Routed Links
• แยก Power Feed และตรวจ Single Point of Failure

ห้ามรวม EtherChannel ข้าม Switch สองตัวที่ทำงานอิสระ หากไม่มีเทคโนโลยี Multi-Chassis EtherChannel/Stacking ที่รองรับและตั้งค่าอย่างถูกต้อง

7. Routing และ Gateway Redundancy

Distribution Layer อาจใช้ HSRP เป็น Default Gateway ของ VLAN ขณะที่ Core ใช้ OSPF เชื่อม Routed Transit Links ทั้งนี้ควรหลีกเลี่ยง Asymmetric Paths และกำหนด Route Summarization เมื่อ Address Plan เอื้ออำนวย

User VLAN 10
10.40.10.0/24
     |
Virtual Gateway 10.40.10.1
     |
  DIST1 / DIST2 (HSRP)
     |
   OSPF / Routed Uplink
     |
  Core / Firewall / WAN

Gateway Redundancy ไม่ได้ทดแทน Dynamic Routing และ Dynamic Routing ไม่ได้ทดแทนการวาง Firewall Policy

8. Security by Design

แบ่ง Network ตาม Trust Zone เช่น Corporate, Guest, Voice, Management และ Server พร้อมกำหนด Least-Privilege ACL/Firewall Policy ไม่ให้ Guest เข้าถึง Management Network และจำกัดการบริหารอุปกรณ์ผ่าน SSH, AAA และ Management Plane Protection

Access Layer Security

• 802.1X หรือ MAB ตามความสามารถของ Endpoint และนโยบาย
• DHCP Snooping, Dynamic ARP Inspection และ IP Source Guard ตามความเข้ากันได้
• BPDU Guard บน Edge Ports ที่เหมาะสม
• Disable Unused Ports และกำหนด VLAN ที่ไม่ใช้งาน

Distribution/Core Security

• ควบคุม Routing Adjacencies และ Infrastructure ACL
• จำกัด Management Access และเก็บ Syslog
• ใช้ SNMPv3 หรือ Secure Telemetry ตาม Platform
• Backup Configuration และทดสอบ Restore Procedure

9. Capacity Planning และ QoS

ประเมิน Peak Traffic, Oversubscription Ratio, East-West Traffic, Wi-Fi Density และ Application Growth ก่อนเลือก 1G/10G/25G/40G/100G Uplinks โดย QoS ไม่ได้เพิ่ม Bandwidth แต่ช่วยจัดการ Congestion ให้ Traffic สำคัญได้รับ Treatment ที่เหมาะสม

สำหรับ Voice และ Video ควรกำหนด DSCP Trust Boundary, Queue Capacity และ Provider QoS Mapping ตามระบบจริง ไม่ควร Mark ทุก Traffic เป็น Priority

10. Cisco Lab: Distribution Switch กับ Access Switch

Lab ต่อไปนี้ใช้แนวคิด Layer 2 Access + Layer 3 Distribution และยกตัวอย่าง Cisco IOS/IOS XE โดยต้องตรวจ Feature Support, Interface Names และ Existing Configuration ก่อนใช้งานจริง

Step 1 — Access Switch: VLAN และ Trunk

configure terminal
vlan 10
 name USERS
vlan 20
 name VOICE
vlan 30
 name MANAGEMENT
!
interface GigabitEthernet1/0/1
 description USER-PC
 switchport mode access
 switchport access vlan 10
 spanning-tree portfast
 spanning-tree bpduguard enable
!
interface GigabitEthernet1/0/24
 description UPLINK-TO-DIST1
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30
end

บน Production ควรกำหนด Trunk Native VLAN และ Allowed VLAN ให้สอดคล้องกันทั้งสองฝั่ง และตรวจว่า Uplink ไม่มี End Host ก่อนใช้ Edge Protection

Step 2 — DIST1: เปิด Routing และ SVI

configure terminal
ip routing
vlan 10
 name USERS
vlan 20
 name VOICE
vlan 30
 name MANAGEMENT
!
interface Vlan10
 description USERS-GATEWAY-DIST1
 ip address 10.40.10.2 255.255.255.0
 no shutdown
!
interface Vlan20
 description VOICE-GATEWAY-DIST1
 ip address 10.40.20.2 255.255.255.0
 no shutdown
!
interface Vlan30
 description MANAGEMENT-GATEWAY-DIST1
 ip address 10.40.30.2 255.255.255.0
 no shutdown
end

Step 3 — DIST2: SVI คู่สำรอง

configure terminal
ip routing
vlan 10
vlan 20
vlan 30
!
interface Vlan10
 ip address 10.40.10.3 255.255.255.0
 no shutdown
!
interface Vlan20
 ip address 10.40.20.3 255.255.255.0
 no shutdown
!
interface Vlan30
 ip address 10.40.30.3 255.255.255.0
 no shutdown
end

Step 4 — HSRP สำหรับ VLAN 10

ตัวอย่างใช้ HSRP Version 2 โดยทั้งสอง Distribution Switch ต้องอยู่ใน Broadcast Domain ของ VLAN 10 เดียวกัน

DIST1:

interface Vlan10
 standby version 2
 standby 10 ip 10.40.10.1
 standby 10 priority 110
 standby 10 preempt

DIST2:

interface Vlan10
 standby version 2
 standby 10 ip 10.40.10.1
 standby 10 priority 100
 standby 10 preempt

Client ใน VLAN 10 ใช้ 10.40.10.1 เป็น Default Gateway ส่วน VLAN 20/30 ต้องกำหนด Gateway Redundancy แยกหากต้องการ HA เช่นเดียวกัน

Step 5 — Routed Uplink จาก DIST1 ไป CORE1

สมมติ DIST1 ใช้ GigabitEthernet1/0/48 และ CORE1 ใช้ GigabitEthernet1/0/1 โดยทั้งคู่รองรับ Routed Port

DIST1:

configure terminal
interface GigabitEthernet1/0/48
 description L3-TO-CORE1
 no switchport
 ip address 10.40.254.1 255.255.255.252
 no shutdown
!
router ospf 10
 router-id 10.255.1.1
 passive-interface default
 no passive-interface GigabitEthernet1/0/48
 network 10.40.254.0 0.0.0.3 area 0
 network 10.40.10.0 0.0.0.255 area 0
 network 10.40.20.0 0.0.0.255 area 0
 network 10.40.30.0 0.0.0.255 area 0
end

CORE1:

configure terminal
ip routing
interface GigabitEthernet1/0/1
 description L3-TO-DIST1
 no switchport
 ip address 10.40.254.2 255.255.255.252
 no shutdown
!
router ospf 10
 router-id 10.255.0.1
 passive-interface default
 no passive-interface GigabitEthernet1/0/1
 network 10.40.254.0 0.0.0.3 area 0
end

ขอบเขตของ Lab: OSPF ตัวอย่างนี้ครอบคลุมเฉพาะ DIST1–CORE1 เพื่อแสดง Routed Uplink ไม่ใช่ Full HA Topology ของ DIST1/DIST2/CORE1/CORE2 การทำ Production HA ต้องเพิ่ม Routed Links, OSPF Adjacencies, Gateway Tracking และทดสอบ Failover ตาม Topology จริง

11. Verification: ตรวจว่า Network ทำงานจริง

ตรวจ VLAN และ Trunk

show vlan brief
show interfaces trunk
show spanning-tree vlan 10

ตรวจ SVI และ HSRP

show ip interface brief
show standby brief
show standby vlan 10

ตรวจว่า DIST1 เป็น Active และ DIST2 เป็น Standby สำหรับ Group 10 ตาม Priority ที่กำหนด และทดสอบ Failover ภายใต้ Change Window

ตรวจ OSPF และ Routing

show ip ospf neighbor
show ip route ospf
show ip route
show interfaces GigabitEthernet1/0/48

OSPF Neighbor ระหว่าง DIST1 กับ CORE1 ควรขึ้น FULL และ CORE1 ควรเรียนรู้ Route ของ User/Voice/Management Networks เมื่อมี Interface และ OSPF Configuration ถูกต้อง

ทดสอบ End-to-End

ping 10.40.254.2
traceroute 10.40.254.2

ทดสอบจาก Client จริงเพิ่มเติมเพื่อยืนยัน DHCP, Gateway, DNS, Firewall Policy และ Application Access โดยไม่ใช้ผล Ping เพียงอย่างเดียวเป็นตัวตัดสิน

12. Enterprise Network Troubleshooting

Case 1 — User VLAN 10 ติดต่อ Gateway ไม่ได้

ตรวจ Access Port VLAN, Trunk Allowed VLAN, SVI State, STP Blocking และ ARP Table หาก SVI Down อาจเกิดจากไม่มี Active Port ใน VLAN ตามเงื่อนไขของ Platform

Case 2 — HSRP ไม่เป็น Active/Standby ตามแผน

ตรวจ HSRP Group, Version, Virtual IP, Authentication (หากใช้), VLAN Reachability และ Interface Priority รวมถึงการมีหลาย Active Gateway จากปัญหา Layer 2 Partition

Case 3 — OSPF Neighbor ไม่ขึ้น FULL

ตรวจ IP/Subnet, Area, Hello/Dead Timers, Authentication, MTU, Network Type, Passive Interface และ ACL/Firewall ที่ขวาง OSPF IP Protocol 89

Case 4 — Link Down แล้ว Traffic ไม่ Failover

ตรวจ Physical Path, STP Convergence, HSRP Tracking, Routing Table, ECMP และ Default Route อย่าคิดว่า HSRP จะตรวจ Upstream Failure ได้เองโดยไม่มี Tracking หรือ Design ที่เหมาะสม

Case 5 — Network ช้าทั้งอาคาร

ตรวจ Interface Utilization, CRC/Errors, Discards, Broadcast/Multicast Rates, STP Topology Changes, CPU และ QoS Counters ก่อนสรุปว่าต้องเพิ่ม Bandwidth

Identify Scope
     |
     v
Physical / Interface
     |
     v
VLAN / STP / Trunk
     |
     v
Gateway / HSRP
     |
     v
Routing / OSPF
     |
     v
Firewall / DNS / Application
     |
     v
Verify Recovery

13. Enterprise Network Design Best Practices

• Design from Requirements: วัด Capacity และกำหนด SLA ก่อนเลือกอุปกรณ์
• Limit Failure Domains: จำกัด VLAN Scope และ Broadcast Domain
• Eliminate Single Points of Failure: ตรวจทั้ง Device, Link, Power และ ISP
• Document Everything: เก็บ IP Plan, VLAN Matrix, L2/L3 Diagram, Routing และ Interface Inventory
• Security by Default: ใช้ AAA, Segmentation, ACL, Secure Management และ Logging
• Test Failure Scenarios: จำลอง Uplink/Device Failure ใน Lab ก่อน Production
• Operational Visibility: ใช้ Syslog, SNMPv3/Telemetry, NTP และ Configuration Backup
• Change Control: มี Baseline, Rollback และ Post-Change Verification

14. FAQ

Enterprise Network จำเป็นต้องใช้ Three-Tier เสมอหรือไม่?

ไม่จำเป็น องค์กรขนาดเล็กหรือกลางอาจเหมาะกับ Collapsed Core มากกว่า ขึ้นอยู่กับ Scale, Availability และ Budget

Distribution Layer ต้องเป็น Layer 3 Switch หรือไม่?

ไม่จำเป็นในทุกแบบ แต่ Enterprise Campus จำนวนมากใช้ Layer 3 Distribution เพื่อทำ Inter-VLAN Routing และกำหนด Routing Boundary

HSRP กับ OSPF ใช้แทนกันได้หรือไม่?

ไม่ได้ HSRP ให้ Gateway Redundancy ส่วน OSPF ใช้แลกเปลี่ยนเส้นทางระหว่าง Routers/Layer 3 Switches

ควรใช้ EtherChannel หรือ STP?

สองเทคโนโลยีทำหน้าที่ต่างกัน EtherChannel รวมลิงก์ให้เป็น Logical Interface ส่วน STP ป้องกัน Layer 2 Loop ทั้งคู่สามารถอยู่ใน Network Design เดียวกันได้

ควรใช้ Routed Access เมื่อใด?

เมื่ออุปกรณ์ Access รองรับ Layer 3 และต้องการจำกัด Layer 2 Failure Domain โดยยอมรับความซับซ้อนด้าน Routing ที่เพิ่มขึ้น

มี Redundant Switch สองตัวแล้วถือว่า High Availability หรือไม่?

ยังไม่เพียงพอ ต้องตรวจ Upstream, Power, Shared Dependencies, Routing Convergence และผลทดสอบ Failover ด้วย

15. บทสรุป

Enterprise Network Design ที่ดีต้องเชื่อม Architecture เข้ากับการปฏิบัติงานจริง โดยแบ่งหน้าที่ Access, Distribution และ Core ให้เหมาะสม เลือก Three-Tier หรือ Collapsed Core ตาม Requirement และออกแบบ Redundancy, Routing, Security, Monitoring รวมถึง Failure Recovery อย่างครบวงจร

ตัวอย่าง Cisco Lab ในบทความแสดงการสร้าง VLAN, SVI, HSRP และ OSPF เพื่อเป็นพื้นฐานสำหรับการต่อยอดสู่ Full Campus Design โดยควรทดสอบบนอุปกรณ์หรือ Simulator ที่รองรับ Feature ก่อนใช้งาน Production

บทความถัดไป: Campus Network Design บน Cisco — VLAN Segmentation, Redundant Uplink, Gateway Design, Wireless Integration และ Failure Domain