Enterprise Network Design Case Study: Cisco HQ และ Branch Network

Enterprise Network Design Case Study บทความนี้จำลองการออกแบบเครือข่ายองค์กรที่มีสำนักงานใหญ่ (HQ) และสองสาขา (BR1, BR2) ตั้งแต่ Requirement, IP/VLAN Planning, Routing, Gateway Redundancy, WAN/IPsec, Security, Monitoring จนถึง Acceptance Test โดยแยก ตัวอย่าง Lab ออกจากสิ่งที่ต้องตรวจสอบก่อนใช้งาน Production

1. Requirement: ออกแบบเพื่อธุรกิจ ไม่ใช่เพื่อจำนวนอุปกรณ์

บริษัทสมมติมี HQ 250 ผู้ใช้ และสาขา BR1/BR2 แห่งละ 50 ผู้ใช้ ต้องใช้ ERP, VoIP, Wi-Fi, Guest Internet และระบบ Monitoring ส่วนกลาง โดยกำหนดความต้องการดังนี้

Availability: ความเสียหายของ Access Uplink หนึ่งเส้นต้องไม่ทำให้ VLAN สำคัญหยุดทั้งหมด
Segmentation: Users, Voice, Servers, Management และ Guest แยกเครือข่ายและกำหนดสิทธิ์ชัดเจน
Secure WAN: สาขาเข้าถึง HQ ผ่าน IPsec VPN โดยมีเส้นทางสำรองตามงบประมาณ
Operations: มี Inventory, Configuration Backup, Syslog, NTP และขั้นตอน Rollback

ข้อสมมติ: ตัวเลขผู้ใช้และ IP ในบทความเป็นข้อมูลตัวอย่างสำหรับ Lab ต้องทำ Capacity Planning และสำรวจอุปกรณ์จริงก่อนใช้งาน

2. Enterprise Network Architecture

                          INTERNET / ISP
                               |
                       +-------+-------+
                       | HQ WAN Firewall|
                       +-------+-------+
                               |
                     HQ Routed Distribution
                       /               \
                   DIST1               DIST2
                    |  \               /  |
                    |   \--- L3 Link --/   |
                    |                     |
                ACCESS SW1             ACCESS SW2
                  |                         |
              Users / APs               Voice / APs

                  IPsec VPN / Routed WAN
                      /             \
                  BR1 Router      BR2 Router
                      |               |
                  Branch LAN      Branch LAN

สำหรับ HQ ขนาดกลางสามารถใช้ Collapsed Core ซึ่งรวมหน้าที่ Core และ Distribution แต่ยังแยก Access Layer เพื่อให้ขยายระบบและแยก Failure Domain ได้ง่าย

Layer 2 กับ Layer 3 Boundary

ตัวอย่างนี้วาง Default Gateway ของ HQ VLAN บน Distribution Switch และใช้ Routed Links ไปยัง WAN Edge การทำ Dual-Homing ระหว่าง Access และ Distribution ต้องเลือกแบบ L2/STP หรือ Stack/MLAG ที่อุปกรณ์รองรับอย่างชัดเจน ห้ามสมมติว่า EtherChannel ข้าม Switch อิสระสองตัวได้โดยไม่มีเทคโนโลยี Multi-Chassis

3. IP Address และ VLAN Planning

ใช้ Private Address Space แยกตาม Site เพื่อให้ง่ายต่อการ Route Summarization และลดความเสี่ยง Subnet Overlap

Site	VLAN	Purpose	Subnet	Gateway VIP
HQ	10	Users	10.10.10.0/24	10.10.10.1
HQ	20	Voice	10.10.20.0/24	10.10.20.1
HQ	30	Servers	10.10.30.0/24	10.10.30.1
HQ	40	Management	10.10.40.0/24	10.10.40.1
HQ	50	Guest	10.10.50.0/24	10.10.50.1
BR1	110	Users	10.20.10.0/24	10.20.10.1
BR2	210	Users	10.30.10.0/24	10.30.10.1

กำหนด Site Summaries เช่น HQ 10.10.0.0/16, BR1 10.20.0.0/16, BR2 10.30.0.0/16 เพื่อสงวนพื้นที่สำหรับขยายระบบ แต่ห้ามประกาศ Summary ที่ครอบคลุมเครือข่ายซึ่งไม่มี Route จริงโดยไม่มี Null Route หรือการออกแบบป้องกัน Blackhole ที่เหมาะสม

4. Routing, HSRP และ High Availability

HSRP สำหรับ Default Gateway

บน Distribution Switch สองตัวใช้ HSRP ให้ Client มี Default Gateway เดียว โดยแบ่ง Active Gateway ตาม VLAN เพื่อลดการพึ่งพาอุปกรณ์เดียว ตัวอย่าง VLAN 10:

! DIST1 — ตัวอย่าง Cisco IOS/IOS XE
interface Vlan10
 description HQ-USERS
 ip address 10.10.10.2 255.255.255.0
 standby version 2
 standby 10 ip 10.10.10.1
 standby 10 priority 110
 standby 10 preempt

! DIST2
interface Vlan10
 description HQ-USERS
 ip address 10.10.10.3 255.255.255.0
 standby version 2
 standby 10 ip 10.10.10.1
 standby 10 priority 100
 standby 10 preempt

ใน Production ควรเพิ่ม Interface/Object Tracking ตาม Uplink จริง และตรวจว่า VLAN 10 ถูกส่งถึงทั้งสอง Distribution Switch อย่างถูกต้อง ตัวอย่างนี้ไม่ได้แสดง Trunk/STP ครบทุกพอร์ต

OSPF สำหรับ Routed Infrastructure

ใช้ OSPF ภายใน HQ เฉพาะ Routed Interfaces ที่ต้องสร้าง Adjacency ส่วน User VLAN ควรเป็น Passive Interface และต้องวาง Area Design ตามขนาดเครือข่าย

router ospf 10
 router-id 10.255.255.1
 passive-interface default
 no passive-interface GigabitEthernet1/0/48
 network 10.10.10.0 0.0.0.255 area 0
 network 10.10.20.0 0.0.0.255 area 0
 network 10.10.30.0 0.0.0.255 area 0
 network 10.10.40.0 0.0.0.255 area 0
 network 10.10.50.0 0.0.0.255 area 0
 ! เพิ่ม network statement ของ L3 uplink จริง

การตั้งค่า OSPF ข้างต้นเป็นเพียงตัวอย่าง ไม่ได้กำหนด IP บน Routed Uplink หรือ Neighbor Authentication ซึ่งต้องออกแบบให้ครบก่อน Deploy

5. WAN และ IPsec VPN ระหว่าง HQ กับสาขา

เลือก Route-Based IPsec VPN (VTI) เมื่อ Platform รองรับ เพื่อให้ Routing แยกจาก IPsec Traffic Selectors ได้ชัดเจน โดยใช้ IKEv2, ESP และ Cryptographic Algorithms ที่ยังได้รับการสนับสนุน

HQ LAN 10.10.0.0/16
       |
    HQ Edge
       |
   IPsec VTI
       |
    Internet
       |
   Branch Edge
       |
BR1 LAN 10.20.0.0/16

ในกรณีมีสอง ISP ต้องกำหนด Peer Reachability, Route Preference, Dead Peer Detection, Failover Detection และตรวจว่าทั้งสองเส้นทางมี Security Policy ที่สอดคล้องกัน หากมี NAT ต้องตรวจ UDP 500/4500 และ NAT-T

ตัวอย่าง Route แบบ Lab

! HQ Edge: route ไป BR1 ผ่าน Tunnel10
ip route 10.20.0.0 255.255.0.0 Tunnel10

! BR1 Edge: route กลับ HQ ผ่าน Tunnel10
ip route 10.10.0.0 255.255.0.0 Tunnel10

สำคัญ: Route ไปยัง Public IP ของ VPN Peer ต้องออกผ่าน Underlay/ISP ไม่ใช่ย้อนเข้า Tunnel เอง ตัวอย่างนี้ถือว่า Tunnel10 และ IPsec Profile ถูกตั้งค่าและตรวจสอบแล้ว

6. Network Security และ Segmentation

แยก Guest VLAN ออกจาก Corporate Network และกำหนด Firewall Policy ตาม Least Privilege; การมี VLAN เพียงอย่างเดียวไม่ได้ทำให้ Traffic ถูกปฏิเสธ เพราะ Layer 3 Gateway ยังสามารถ Route ระหว่าง VLAN ได้

Source	Destination	Service	Policy
Users	ERP Server	TCP 443	Allow
IT Admin	Network Management	SSH / HTTPS ที่อนุมัติ	Allow
Guest	Corporate RFC1918 Networks	Any	Deny
Guest	Internet	DNS/HTTP/HTTPS ตาม Policy	Allow
Other	Sensitive Systems	Any	Default Deny

เพิ่ม Access Layer Protections เช่น DHCP Snooping, Dynamic ARP Inspection, BPDU Guard และ Port Security ตามความเหมาะสม พร้อมระบุ Trusted Ports อย่างรอบคอบ เพื่อไม่ให้ปิดกั้น DHCP หรือ Uplink โดยไม่ได้ตั้งใจ

7. Monitoring, Logging และ Configuration Baseline

ระบบที่ดูแลได้ต้องมี Visibility ไม่ใช่เพียง Network Diagram โดยควรเก็บ Interface Status, Bandwidth, Packet Errors, CPU/Memory, HSRP State, OSPF Neighbors, VPN SA และ Syslog Events

SNMPv3: สำหรับ Polling อย่างปลอดภัยเมื่อ Platform รองรับ
Syslog: ส่งไป Central Log Server พร้อมกำหนด Severity และ Retention
NTP: ใช้ Time Source ที่เชื่อถือได้เพื่อ Correlate เหตุการณ์
Configuration Backup: สำรองก่อนและหลัง Change โดยจำกัดสิทธิ์เข้าถึง Secret
Inventory: บันทึก Hostname, Management IP, Model, Serial, OS Version และ Port Mapping

สำหรับ Critical Network ควรกำหนด Threshold และ Escalation เช่น WAN Down, OSPF Neighbor Lost, HSRP Failover หรือ VPN Tunnel Flapping

8. Cisco Lab: สร้างและตรวจสอบระบบทีละขั้น

Step 1 — เก็บ Baseline

show version
show inventory
show ip interface brief
show vlan brief
show interfaces status
show running-config

ตรวจชื่อ Interface และ Feature Support ของรุ่นที่ใช้จริงก่อนพิมพ์ Configuration ตัวอย่าง

Step 2 — สร้าง VLAN บน Switch

vlan 10
 name HQ-USERS
vlan 20
 name HQ-VOICE
vlan 30
 name HQ-SERVERS
vlan 40
 name HQ-MGMT
vlan 50
 name HQ-GUEST

Step 3 — กำหนด Access Port ตัวอย่าง

interface GigabitEthernet1/0/1
 description USER-PC-LAB
 switchport mode access
 switchport access vlan 10
 spanning-tree portfast
 spanning-tree bpduguard enable

คำสั่ง PortFast และ BPDU Guard ใช้กับ Port ที่เชื่อม End Device เท่านั้น ไม่ควรใช้กับ Switch-to-Switch Link โดยไม่เข้าใจผลกระทบ

Step 4 — ตรวจ HSRP และ Routing

show standby brief
show ip route
show ip ospf neighbor
show interfaces trunk
show spanning-tree vlan 10

Step 5 — ตรวจ WAN/IPsec

show crypto ikev2 sa
show crypto ipsec sa
show interfaces Tunnel10
show ip route 10.20.10.0

ไม่ควรสรุปว่า VPN ใช้งานได้จากสถานะ IKE SA เพียงอย่างเดียว ต้องส่ง Test Traffic ที่ได้รับอนุญาตและดู Encapsulation/Decapsulation Counters

9. Verification และ Acceptance Test

Test ID	การทดสอบ	เกณฑ์ผ่าน
AT-01	User VLAN รับ IP จาก DHCP	IP/Gateway/DNS ถูกต้อง
AT-02	User เข้าถึง ERP	TCP 443 ทำงานตาม Policy
AT-03	Guest เข้า Corporate LAN	ถูกปฏิเสธและมีหลักฐาน Log
AT-04	HQ ↔ BR1 ผ่าน VPN	ส่งข้อมูลสองทางและ Counter เพิ่ม
AT-05	Distribution Failover	Gateway ฟื้นตาม RTO ที่ตกลง
AT-06	WAN Failover	เส้นสำรองทำงานตาม Design
AT-07	Monitoring Alert	ได้รับแจ้งเตือนและ Timestamp ถูกต้อง
AT-08	Configuration Restore	กู้คืนใน Lab ได้ตามขั้นตอน

RTO, Packet Loss และ Failover Time ต้องกำหนดเป็นตัวเลขจาก Requirement และวัดผลจริง ห้ามถือว่าผ่านเพียงเพราะมี Redundant Devices

10. Failure Scenarios และ Troubleshooting

Case A — HSRP Active เปลี่ยนแต่ Client ยังใช้งานไม่ได้

ตรวจ VLAN Trunk, STP State, SVI Status, ARP, HSRP Tracking และ Return Route อาจเกิดจาก Uplink Fail แต่ Gateway ยัง Active เพราะไม่ได้ Track เส้นทางที่เหมาะสม

Case B — OSPF Neighbor Down

ตรวจ Layer 1/2, IP/Subnet, Area ID, Hello/Dead Timers, MTU, Authentication และ Passive Interface โดยใช้ show ip ospf neighbor และ show ip ospf interface

Case C — VPN Connected แต่ ERP ใช้งานไม่ได้

ตรวจ Tunnel Route, Return Route, NAT, Firewall Policy, Traffic Selector, MTU/MSS และ IPsec Counters ทั้งสองทิศทาง แยกปัญหา Transport ออกจาก Application

Case D — Guest VLAN เข้าถึง Server ได้

ตรวจตำแหน่ง Inter-VLAN Routing และ Enforcement Point หากไม่มี ACL/Firewall Policy ที่ Gateway การแยก VLAN เพียงอย่างเดียวไม่ป้องกันการ Route ข้ามเครือข่าย

Case E — WAN Packet Loss เมื่อ Backup ทำงาน

ตรวจ Utilization, Interface Errors, QoS Queue Drops, Provider CIR, Shaping และ Latency/Jitter หาก Physical Port เร็วกว่า Provider Rate อาจต้องใช้ Parent Shaping เพื่อควบคุม Congestion ภายในอุปกรณ์

กระบวนการแก้ไข: Symptom → Scope → Baseline → Hypothesis → Read-Only Verification → Approved Change → Retest → Documentation

11. Documentation และการส่งมอบระบบ

ก่อนส่งมอบต้องมี As-Built Documentation ซึ่งตรงกับระบบที่ติดตั้งจริง ไม่ใช่เพียง Proposed Design

Logical และ Physical Network Diagram พร้อม Interface Mapping
IP Address/VLAN Plan และ Routing Matrix
Firewall Rule Matrix และ VPN Peer Inventory
Configuration Baseline, Backup Location และ Access Control
Monitoring Dashboard, Alert Threshold และ Contact/Escalation
Acceptance Test Results พร้อมวันที่ ผู้ทดสอบ และหลักฐาน
Maintenance Window, Rollback Plan และ Change Log

ตัวอย่าง Change Record

Change ID: CHG-NET-001
Scope: Add HQ VLAN 60
Risk: Medium (example)
Pre-check: Backup + routing + trunk audit
Implementation: Approved configuration
Verification: DHCP, gateway, ACL, monitoring
Rollback: Remove approved changes only
Owner: Assigned Network Engineer
Status: Pending approval

ห้ามลบ VLAN หรือ Policy ที่มี Dependency โดยไม่มี Impact Analysis และ Approval

12. FAQ

ควรใช้ Three-Tier หรือ Collapsed Core?

ขึ้นอยู่กับขนาด Campus, Traffic, Growth, Availability และ Budget โดย Collapsed Core เหมาะกับหลายองค์กรขนาดกลาง ส่วน Three-Tier ช่วยแยกหน้าที่เมื่อระบบขยายใหญ่ขึ้น

HSRP แทน OSPF ได้หรือไม่?

ไม่ได้ HSRP จัดการ First-Hop Gateway Redundancy ส่วน OSPF แลกเปลี่ยน Routing Information ระหว่าง Layer 3 Devices

VLAN เพียงพอสำหรับ Network Security หรือไม่?

ไม่เพียงพอ ต้องใช้ ACL, Firewall, Authentication และ Monitoring ร่วมกัน

VPN Up แปลว่า Site-to-Site ใช้งานได้แล้วหรือไม่?

ไม่เสมอ ต้องตรวจ Route, Firewall, NAT, IPsec Counters และ Application Connectivity สองทิศทาง

เริ่มทำ Enterprise Network Lab อย่างไร?

เริ่มจาก VLAN/IP Plan และ Routing แบบเล็กก่อน จากนั้นเพิ่ม HSRP, OSPF, Security, VPN, Monitoring และ Failure Tests ทีละส่วน

13. บทสรุป: Enterprise Network ที่ดีต้องออกแบบและพิสูจน์ได้

Enterprise Network Design ไม่ใช่การต่อ Switch และ Router ให้เชื่อมถึงกันเท่านั้น แต่ต้องทำให้ Network มีโครงสร้างที่ขยายได้ ปลอดภัย ดูแลรักษาได้ และฟื้นตัวจากความเสียหายตามเป้าหมายธุรกิจ

องค์ประกอบสำคัญคือ Requirements → Architecture → IP/VLAN → Routing/HA → WAN/VPN → Security → Monitoring → Acceptance Test → Documentation ทุกส่วนต้องมี Verification ที่ชัดเจนและไม่ถือว่า Production Ready จนกว่าจะผ่านการทดสอบตามเกณฑ์ที่ตกลง

หัวข้อศึกษาต่อ: Enterprise Network Operations Runbook — Incident Response, Preventive Maintenance, Configuration Compliance และ Disaster Recovery