网络进化之路

        ┌─────┐  光纤   ┌──────────┐
  互联网 ─┤ 光猫 ├────────┤ 企业路由器 ├─── Wi-Fi（笔记本/手机）
        └─────┘         └────┬─────┘
                             │ LAN 口
                        ┌────┴─────┐
                        │  交换机   │← 网线不够口时，扩展口数
                        └────┬─────┘
                     ┌───────┼───────┐
                   服务器   台式机  打印机

【几个必懂术语】
LAN 局域网：办公室内部网络
WAN 广域网：外面的互联网
DHCP：自动发地址的「管家」——新设备插上网线，自动分到 IP
NAT：地址翻译官——办公室内部用私有 IP，出网时翻译成一个公网 IP
网关：出网必须经过的那道门（通常是路由器的 LAN 口 IP）
SSID：Wi-Fi 的名字（「Ledger-Office」）
网线：现在起步就是 Cat6/Cat6A 千兆起步

                 ┌────────────┐
   出口路由器 ────┤  核心交换机  │← 高速主干，所有 VLAN 的交汇点
                 └──┬───┬───┬──┘
            ┌───────┘   │   └───────┐
       ┌────┴────┐ ┌────┴────┐ ┌────┴────┐
       │接入交换A│ │接入交换B│ │接入交换C│
       └────┬────┘ └────┬────┘ └────┬────┘
        技术部 VLAN10  财务部 VLAN20  行政部 VLAN30

【VLAN 好处】
隔离：财务部看不到技术部的打印机
控制：部门间要互访？核心交换机上配规则
广播域变小：开视频会不再拖垮全公司

【成长期新增术语】
子网/掩码：VLAN 配一个网段，如 192.168.10.0/24
PoE 供电：网线直接给 AP/摄像头供电，不用插电源
无线 AP：无线接入点，办公室的天花板小盒子
AC 控制器：统一管理所有 AP 的「大脑」
链路聚合 LACP：两根网线并一根用，带宽翻倍还冗余
QoS：给视频会议这种「重要流量」开绿色通道

  北京总部 ──┐
             ├─ SD-WAN 云端控制台（统一策略、集中可视）
  上海分部 ──┤
             │   站点间：IPsec VPN 自动加密隧道
  深圳分部 ──┘

  ┌─────────────────────────────────┐
  │ 总部出口：双运营商宽带（电信+联通）│ ← 一家断了，另一家顶上
  └─────────────────────────────────┘
       │
  ┌────┴────┐      ┌──────────┐
  │ NGFW    │      │ 负载均衡  │
  │ 下一代防火墙 │      │  LB      │
  └─────────┘      └──────────┘
       │
  服务器集群 / 云上业务（账小灵 API 在云端）

【关键术语】
NGFW 下一代防火墙：识别应用层流量，不是老式只看端口的墙
出口冗余：双运营商 + 双设备，一条挂了自动切换
CDN：内容分发网络，静态资源放全国节点，用户就近取
负载均衡 LB：流量分给多台服务器，谁闲谁干
IPsec VPN：站点间加密隧道（SD-WAN 自动管）

        ┌─────┐  ┌─────┐  ┌─────┐
        │Spine│  │Spine│  │Spine│   ← 脊：核心转发，互为冗余
        └──┬──┘  └──┬──┘  └──┬──┘
     ┌─────┼────────┼────────┼─────┐
     │     │        │        │     │
  ┌──┴──┐┌┴───┐┌──┴──┐┌──┴──┐┌─┴───┐
  │Leaf1││Leaf2││Leaf3││Leaf4││Leaf5│  ← 叶：每台都连所有 Spine
  └──┬──┘└──┬──┘└──┬──┘└──┬──┘└──┬──┘
   服务器们  服务器们  服务器们  服务器们  服务器们

【优点】
· 任意两台服务器间最多跳 2 次（延迟低）
· 加容量 = 加一台 Leaf，横着扩（Scale-out）
· 单条链路挂了，其他路自动顶上

【Overlay/Underlay 术语】
Underlay：物理网络（IP 转发的基础）
Overlay：叠加的逻辑虚拟网络（VXLAN 隧道）
EVPN：虚拟网络的「自动路由系统」
东西向流量：服务器之间的流量（占数据中心大头）
400G/800G：Spine 间高速互联的光模块速度

【边界】出口安全栈（流量进出都过这一关）
  DDoS 清洗中心（运营商侧，洪峰先洗掉）
  ↓
  NGFW（应用识别 + IPS 入侵防御 + 防病毒）
  ↓
  WAF（专防 Web：SQL 注入 / XSS / 撞库）
  ↓
  DMZ（对外服务放隔离区，和内部网隔开）

【零信任】不管你在哪，都默认不信任
  员工（办公室/家里/咖啡厅）
    → 身份验证（MFA 多因素）+ 设备检查（合规？）
    → ZTNA 按「人+设备+应用」最小权限放行
    → 全程加密 + 全程审计

【微隔离】数据中心内部
  服务器之间默认不通，只有业务需要才放行
  → 黑客攻破一台，横向移动立刻被挡

【安全运营】
  SIEM/SOAR：安全日志统一收集 + 自动化响应
  红队/蓝队：定期模拟攻防演练
  漏洞管理：资产扫描 + 补丁优先级

IPv4 地址：192.168.10.1        （32 位，约 43 亿个）
IPv6 地址：2408:4002:1200:1000:5a2b::1  （128 位，几乎无限）

【IPv6 的三大不同】
① 地址多到用不完 → 每个设备都有公网地址，不用 NAT 翻译了
② 无状态自动配置（SLAAC）→ 设备上电自己就有地址，不用 DHCP 服务器
③ 内置安全（IPsec 原生支持）→ 加密是标配

【双栈要点】
· 所有新设备/新链路：IPv4 + IPv6 同时配，逐步过渡
· 老应用只支持 IPv4？双栈兜底，不强制改造
· 纯 IPv6 内网 + NAT64/DNS64 也能访问纯 IPv4 老站
· 现代交换机/防火墙/云 VPC 全部原生支持双栈

【IPv6 别担心的事】
✗「IPv6 不安全」→ 错的，地址多反而更难被扫描
✗「IPv6 还没人用」→ 移动网络早已 IPv6 为主，云厂商默认双栈

# playbook.yml —— 给所有接入交换机加 VLAN 配置
- name: 配置接入交换机
  hosts: access_switches          # 设备组：100 台接入交换机
  tasks:
    - name: 创建 VLAN 40（新部门：AI 团队）
      cisco.ios.ios_vlan:
        vlan_id: 40
        name: AI_Team
    - name: 端口划入 VLAN
      cisco.ios.ios_interface:
        name: GigabitEthernet0/1
        mode: access
        access_vlan: 40

# 运行：ansible-playbook playbook.yml
# 结果：100 台设备 3 分钟配完，且每台都验证过——人肉敲要 2 天

【NetDevOps 工作流】
配置即代码（Git 管理）→ 自动测试 → 自动下发 → 自动验证
改坏了？git 回滚，30 秒复原——不再怕「手滑删错配置」

【Telemetry 遥测 vs 老式轮询】
老：网管 5 分钟轮询一次，故障发现慢
新：设备毫秒级主动上报 → 网管平台实时看板 → AIOps 自动告警

        ┌─────────────┐
        │  AC 无线控制器 │  ← 大脑：统一配置/漫游/安全策略
        └──────┬──────┘
      ┌────────┼────────┐
   ┌──┴──┐ ┌──┴──┐ ┌──┴──┐
   │ AP1 │ │ AP2 │ │ AP3 │    ← 天花板上均匀分布，PoE 供电
   └──┬──┘ └──┬──┘ └──┬──┘
   会议室   工位区   茶水间/访客区

【频率三兄弟】
2.4GHz：穿墙好但拥挤（旧设备、IoT）——留给智能设备
5GHz：  又快又稳——主力办公频段
6GHz：  Wi-Fi 6E/7 新频段，最干净——高性能专属

【关键设计】
· AP 部署前做「无线勘测」：信号热力图，避免死角
· 相邻 AP 错开信道，互不干扰
· 员工网 / 访客网 / IoT 网三网隔离
· WPA3 加密 + 802.1X 企业认证（员工用账号密码上 Wi-Fi）

        SASE 云（全球 POP 节点网）
   ┌──────────────────────────────────┐
   │  网络能力：SD-WAN + 全球骨干 + CDN │
   │  安全能力：零信任 ZTNA + 防火墙 +   │
   │           DDoS 清洗 + 数据防泄露   │
   └──────────────────────────────────┘
     ↗        ↑        ↖
 东京办公室  上海总部   纽约办公室
     ↘        ↓        ↙
  远程员工A  远程员工B  远程员工C
（在家/咖啡厅，就近接入最近 POP，体验如丝般顺滑）

【对比老方案】
老：所有远程流量绕回总部 → 延迟高、总部出口堵、策略难统一
新：就近接入全球 POP → 快、稳、策略云端统一、扩容按需

【SASE 家族术语】
SSE（安全服务边缘）：SASE 里的安全半边（ZTNA/CASB/安全网关）
POP（接入点）：全球分布的云节点，用户就近接入
零信任网络接入（ZTNA）：按人按设备按应用的精细访问
统一策略：全球一套安全规则，云端下发

今天的网工：
  「手工配 100 台设备 → 被告警叫醒 → 凌晨三点点着应急灯排查」

未来的网工：
  上午：在意图网络平台输入「Q4 目标：视频会议延迟 < 50ms」
  中午：AI 已自动下发配置并验证完成
  下午：AIOps 预警「某光模块光功率下降」→ 提前更换，无人察觉
  晚上：量子安全密钥自动轮换，加密永不失效
  凌晨：网络自愈，网工在睡觉 😴

【给新人的建议】
  网络 + 编程 + AI：三条腿走路的现代网工最吃香
  认证是门票（如 CCNP/CCIE），真本事是自动化 + 排障 + 架构思维
  别背老古董技术，学 SD-WAN / 零信任 / 云网络 / 自动化