一个大型扁平网络

网络存在着一种变得不必要复杂化的自然趋势。但是，保持网络整洁简单具有巨大的价值。简单的网络更易于管理、性能更高、更可靠，同时通常成本也更低。每个网络都需要不同程度的复杂性，大型网络当然需要相当高的复杂度，但小型企业往往可以让网络保持极其简单，这正是小型企业更具敏捷性和更低成本的部分原因，使它们相较于更大型的同行拥有优势。这是它们必须充分利用的优势，因为它们缺乏大型企业所拥有的规模优势。

看待网络复杂性有两种角度。第一种是物理网络——即构成网络的交换机和路由器的实际部署。第二种是逻辑网络——即 IP 地址范围如何分段、路由屏障存在于何处等等。在审视网络复杂性时，两者都是需要考虑的重要因素。

任何网络的目标都应该是在仍然满足网络所有目标和需求的前提下尽可能简单。

我们要探讨的第一个方面是物理扁平网络。将物理网络简化为扁平结构，可以对该网络的性能和可靠性产生真正惊人的效果。在一个非常小的网络中，这可能意味着使用单台交换机来承载所有连接。通常这只适用于最小型的网络，因为交换机很少能提供超过四十八或可能五十二个端口。但对于许多小型企业来说，这是完全可行的。为了将所有连接汇聚到一个中心位置，可能需要为建筑物增设额外的布线，但这通常是可以实现的——至少在单个站点的基础上可以做到。如今许多企业拥有多个办公地点或在家办公的员工，这会使网络面临的挑战大得多，不过在这些情况下每个站点仍可以力求实现自身的简单性。

随着网络的增长，单台交换机的概念也可以通过交换机堆叠的概念来扩展。堆叠的交换机共享单一的交换矩阵或背板。当堆叠在一起时，它们的行为就像一台拥有更多端口的单台交换机。（有些交换机实现真正的背板共享，有些则通过极高速的上行链路端口以及经由该端口的共享管理来模拟这一点。）交换机堆叠作为一台单一交换机进行管理，使得堆叠的网络管理在难度、复杂性或耗时方面不会比单台交换机更高。交换机堆叠扩展到至少三百个端口甚至更多是很常见的。这使得在需要放弃单台交换机方案之前，可以实现大得多的物理站点扩展。

在某些情况下，一些大型模块化单机箱交换机的规模甚至会比这更大，能够在一台采用“类刀片式”企业级交换机箱中提供四百个或更多端口。

通过发挥创意并着眼于简单、优雅的解决方案，即使是一个中等规模较大的网络，也完全有可能将其控制在单一交换矩阵内，使所有网络连接共享同一背板。

我们必须研究的第二个方面是网络的逻辑复杂性。即使在物理上简单的网络中，也常常可以看到小型企业投入大量的时间和精力去实施不必要的子网或 VLAN，以及随之而来的所有开销。

在小型甚至中小型企业中，子网划分很少是必要的。传统上，追溯到 20 世纪 90 年代，人们非常普遍地希望将子网控制在最多 256 台设备（即一个 /24 子网）以内，这是出于数据包冲突、广播以及其他实际问题的考虑。在那个使用集线器而非交换机、广播很常见、共享总线上网络带宽能有 10Mb/s 就算幸运的年代，这是很有道理的。如今广播流量小、无冲突、1Gb/s 专用通道的网络以一种完全不同的方式承受网络负载。在当年一个子网上有 256 台设备就算是一个极大的网络，而如今在单个子网上拥有超过 1,000 台设备根本不成问题。

网络行为方式的这些变化意味着，小型和中型企业几乎从不需要出于规模原因而划分子网，完全可以为整个企业使用单个子网，从而降低复杂性并简化网络管理。为了支持特定的网络分段（例如将生产网络与访客网络分隔开），可能需要多个子网，但规模——这个传统上用于划分子网的理由——成了仅属于大型企业的问题。

在每个小型企业环境中也都很容易让人想要实施 VLAN。子网划分与 VLAN 常常相关并常被混淆，但子网往往可以在没有 VLAN 的情况下存在，而 VLAN 离开子网则无法存在。

在大型环境中，VLAN 是必然的结论，人们干脆假定它们会存在。这种思维方式常常渗透到规模较小的组织中，这些组织往往会被诱使将其应用到那些缺乏使 VLAN 管理变得合理的规模的企业上。在小型企业网络中，VLAN 应当相对不常见。

我看到 VLAN 在不需要时被使用的最常见场合是在 Voice over IP（即 VoIP）网络中。人们普遍假定 VoIP 有需要 VLAN 支持的特殊需求。事实并非如此。VoIP 以及它有时所需的 QoS 在没有 VLAN 的情况下也能实现，而且往往在没有 VLAN 的情况下运行得更好。

VLAN 真正变得重要的情况只有两种：一是需要在大规模下进行管理（其规模大于单个子网所能提供的范围）且无法进行物理隔离时，二是需要特定的网络层安全性时，而后者在 SMB 市场中相对少见。VLAN 非常有用，确实有其用武之地。如果需要一个专用的访客网络，常常会使用 VLAN，但在小型企业中，访客接入通常是通过直接连接到互联网的访客连接来提供的，而不是为访客设置一个隔离网络。

在 SMB 中，VLAN 最常见的实际用途很可能是为隔离的 BYOD 远程访问而设计的封闭式 DMZ，在这种场景下，BYOD 设备的接入方式与访客非常类似，但具备访问诸如 RDP、ICA 或 PCoIP 协议等远程访问资源的能力。VLAN 在构建面向外部的公共服务（如 Web 和电子邮件服务器）的传统 DMZ 时也会很受欢迎——只是在如今的 SMB 中，这些服务通常不再保留在本地网络上托管，因此 VLAN 在 SMB 中的这一经典用途正在迅速消退。

另一个 VLAN 常被不恰当使用的用例是存储区域网络（即 SAN）。最佳实践是让 SAN 成为一个完全独立（物理隔离）、与常规交换基础设施毫无关联的物理上独一无二的网络。通常不建议使用 VLAN 或子网来创建 SAN，而应将其部署在专用交换机上。

我们之所以会被诱使去添加复杂的交换机配置、额外的子网和 VLAN，是因为我们从更大型的环境中听说过这些东西，它们有趣而令人兴奋，而且它们似乎通过让网络更难维护来增加工作的安全感。复杂的网络需要更高端的技能，看起来像是运用那张网络认证证书的好办法。但从长远来看，这是一种糟糕的职业和 IT 策略。网络复杂性应当为了学习目的而在实验室中添加，而不是在生产网络中。生产网络应当尽可能简单、优雅且具有成本效益地运行。

只需相对较少的努力，一个小型企业网络很可能就能被设计得在物理上和逻辑上都非常简单。当然，目标是尽可能接近于创建一个单一的、扁平的网络结构，在这个结构中所有设备都是物理和逻辑上的对等体，没有任何不必要的瓶颈或协议升级。这能提升性能和可靠性、降低成本，并解放 IT 资源使其专注于更重要的任务。

最初发布于 StorageCraft Blog。