Wykład 2: Trójwarstwowy model hierarchiczny sieci kampusowej: rdzeń, dystrybucja i dostęp

Trójwarstwowy model hierarchiczny stanowi kanon inżynierii sieciowej, umożliwiający okiełznanie złożoności współczesnych kampusów akademickich i korporacyjnych. W środowiskach skupiających tysiące użytkowników, setki serwerów oraz zróżnicowane urządzenia brzegowe bezpośrednie łączenie przełączników prowadzi do chaosu transmisyjnego i niekontrolowanego rozrostu domen awarii. Dekompozycja infrastruktury na wyspecjalizowane warstwy pozwala przekształcić niejednorodną plątaninę kabli w uporządkowany, przewidywalny i łatwy w utrzymaniu system teleinformatyczny.

W architekturze tej każda z warstw - dostęp (Access), dystrybucja (Distribution) oraz rdzeń (Core) - realizuje ściśle zdefiniowane funkcje, dzięki czemu urządzenia sieciowe dobiera się celowo pod kątem wymaganej wydajności procesora, pojemności buforów pakietowych oraz obsługiwanych protokołów. Wyodrębnienie granic między warstwami ułatwia także wdrażanie polityk cyberbezpieczeństwa, mechanizmów zapewniania jakości usług (QoS) oraz logicznej segmentacji z wykorzystaniem wirtualnych sieci lokalnych (VLAN).

Z punktu widzenia studenta informatyki zrozumienie modelu hierarchicznego jest kluczem do projektowania instalacji odpornych na błędy ludzkie i awarie sprzętowe. Zamiast budować sieć metodą prób i błędów, przyszły inżynier uczy się stosowania uniwersalnych wzorców architektonicznych rekomendowanych przez międzynarodowe organizacje inżynierskie, takie jak IEEE oraz IETF. Taka wiedza stanowi fundament dla dalszych studiów nad zaawansowanymi protokołami przełączania, trasowania i telemetrii sieciowej.

Skróty użyte w tym slajdzie:
CAN - Campus Area Network - infrastruktura teleinformatyczna łącząca budynki i obiekty należące do jednej organizacji na wspólnym obszarze geograficznym.
LAN - Local Area Network - lokalna sieć komputerowa obejmująca ograniczone terytorialnie środowisko, najczęściej pojedynczą kondygnację lub budynek.
IEEE - Institute of Electrical and Electronics Engineers - międzynarodowa organizacja standaryzacyjna opracowująca normy komunikacji przewodowej i bezprzewodowej.
IETF - Internet Engineering Task Force - międzynarodowe stowarzyszenie inżynierów rozwijające otwarte standardy protokołów internetowych publikowane jako RFC.
QoS - Quality of Service - mechanizmy zarządzania pasmem i kolejkowania gwarantujące wymagane parametry transmisji dla ruchu wrażliwego na opóźnienia.
VLAN - Virtual Local Area Network - technologia logicznego podziału fizycznej sieci przełączanej na niezależne domeny rozgłoszeniowe w warstwie łącza danych.

Niniejszy wykład został zaplanowany w logicznym porządku inżynierskim, prowadząc od uświadomienia problemów technicznych do wypracowania dojrzałych rozwiązań architektonicznych. W pierwszej kolejności analizie poddano patologie sieci płaskich (Flat Networks), które stanowią doskonałe studium przypadku obrazujące, dlaczego brak hierarchii paraliżuje rozwój infrastruktury. Zrozumienie zjawisk burz rozgłoszeniowych, pętli przełączania oraz przeciążenia buforów stanowi punkt wyjścia do poszukiwania optymalnej dekompozycji sieci.

W kolejnych częściach wykładu szczegółowo omówiono każdą z trzech warstw modelu: brzegową warstwę dostępu zasilającą i przyłączającą stacje robocze, warstwę dystrybucji pełniącą rolę granicy domen L2/L3 oraz ultrawydajną warstwę rdzenia odpowiadającą za bezopóźnieniowy transfer danych między blokami kampusu. Zestawiono ze sobą dwa główne warianty wdrożeniowe: klasyczną strukturę trójwarstwową dla dużych kampusów oraz model ze zwiniętym rdzeniem (Collapsed Core) optymalny dla mniejszych instalacji.

Zwieńczeniem spotkania jest omówienie modułowości architektury kampusowej, w tym koncepcji powtarzalnych bloków budynkowych (Building Blocks), wydzielonego bloku serwerowego oraz styku z siecią operatorską i Internetem. Pozwala to studentom spojrzeć na sieć nie jak na zbiór przypadkowych pudełek sprzętowych, lecz jak na spójny, skalowalny ekosystem inżynierski zaprojektowany z myślą o wieloletnim cyklu eksploatacji.

Skróty użyte w tym slajdzie:
L2 - Layer 2 - druga warstwa modelu odniesienia OSI (warstwa łącza danych) odpowiedzialna za transmisję ramek na podstawie adresów fizycznych MAC.
L3 - Layer 3 - trzecia warstwa modelu odniesienia OSI (warstwa sieciowa) odpowiedzialna za logiczną adresację i trasowanie pakietów IP.
CoPP - Control Plane Policing - mechanizm ochrony procesora przełącznika przed przeciążeniem ruchem sterującym lub atakami DoS poprzez limitowanie pakietów.
ACL - Access Control List - lista kontroli dostępu definiująca reguły zezwalające lub blokujące ruch sieciowy na podstawie adresów i portów.
PoE - Power over Ethernet - technologia przesyłania zasilania elektrycznego prądu stałego wraz z danymi przez standardową skrętkę miedzianą.

Projektowanie sieci kampusowych wymaga oparcia decyzji inżynierskich na sprawdzonych wytycznych branżowych i międzynarodowych standardach normalizacyjnych. Kluczowym źródłem rekomendacji architektonicznych są dokumenty Cisco Validated Design (CVD), a w szczególności przewodniki projektowe Campus Network for High Availability. Dostarczają one zoptymalizowanych schematów topologicznych, przetestowanych pod kątem deterministycznych czasów konwergencji, eliminacji pojedynczych punktów awarii oraz efektywnego wykorzystania łączy nadmiarowych.

W sferze standardów protokołowych fundamentem budowy sieci przełączanych jest norma IEEE 802.1Q definiująca mechanizmy tagowania ramek i separacji wirtualnych sieci LAN. W obszarze zasilania urządzeń brzegowych dominują specyfikacje IEEE 802.3af, 802.3at oraz nowoczesny standard IEEE 802.3bt, który dzięki wykorzystaniu czterech par skrętki miedzianej umożliwia dostarczanie do 90 watów mocy do zaawansowanych punktów dostępowych Wi-Fi 6E/7 oraz kamer PTZ.

W warstwie trasowania i zapewnienia redundancji bramy domyślnej standardem branżowym jest specyfikacja IETF RFC 5798 opisująca protokół VRRPv3 pracujący w środowiskach IPv4 oraz IPv6. Z kolei fizyczną niezawodność gwarantują zharmonizowane normy okablowania strukturalnego PN-EN 50173-1 oraz ISO/IEC 11801, które określają wymagania transmisyjne dla traktów miedzianych kategorii 6A oraz światłowodowych OM3-OM5 i OS2 łączących poszczególne punkty dystrybucyjne w budynkach.

Skróty użyte w tym slajdzie:
CVD - Cisco Validated Design - zbiór przetestowanych i zweryfikowanych przez inżynierów Cisco referencyjnych architektur i wytycznych projektowych.
VRRP - Virtual Router Redundancy Protocol - otwarty protokół redundancji bramy domyślnej pozwalający na współdzielenie wirtualnego adresu IP przez grupę routerów.
PTZ - Pan-Tilt-Zoom - zmotoryzowane kamery monitoringu wizyjnego wymagające podwyższonego budżetu zasilania dostarczanego przez sieć PoE.
RFC - Request for Comments - dokument techniczny publikowany przez IETF opisujący standardy, protokoły i metody badawcze Internetu.

Architektura sieci płaskiej (Flat Network) to struktura, w której wszystkie urządzenia końcowe, serwery oraz przełączniki funkcjonują w ramach jednej wspólnej domeny rozgłoszeniowej w warstwie 2 modelu OSI. W takim modelu brakuje wyraźnego podziału na strefy funkcjonalne, a cały ruch lokalny przekazywany jest wyłącznie na podstawie adresów fizycznych MAC. Brak routerów lub przełączników wielowarstwowych sprawia, że każda stacja robocza może potencjalnie komunikować się bezpośrednio z dowolnym innym urządzeniem w sieci.

Tego typu rozwiązanie jest powszechnie spotykane w bardzo małych środowiskach biurowych (SOHO) lub sieciach domowych liczących od kilku do kilkunastu węzłów. W tak skromnej skali sieć płaska wyróżnia się prostotą instalacji, brakiem konieczności zaawansowanej konfiguracji protokołów routingu oraz najniższym możliwym kosztem inwestycyjnym (CAPEX), ponieważ wymaga zakupu najprostszych, niezarządzalnych przełączników warstwy 2.

Gdy jednak skala środowiska zaczyna rosnąć - do kilkudziesięciu lub setek urządzeń - zalety sieci płaskiej zamieniają się w krytyczne ograniczenia architektoniczne. Każdy pakiet rozgłoszeniowy (np. zapytanie protokołu ARP) musi zostać powielony i odebrany przez absolutnie wszystkie komputery w organizacji. W rezultacie rośnie nieproduktywny narzut transmisyjny, a sieć staje się niestabilna, trudna w diagnostyce i podatna na złośliwe manipulacje ruchem.

Skróty użyte w tym slajdzie:
MAC - Media Access Control - 48-bitowy unikalny adres fizyczny karty sieciowej pracujący w podwarstwie łącza danych modelu OSI.
SOHO - Small Office, Home Office - segment małych instalacji biurowych i domowych o nieskomplikowanych wymaganiach sieciowych.
CAPEX - Capital Expenditure - nakłady inwestycyjne ponoszone przez organizację na zakup sprzętu, okablowania i licencji.
ARP - Address Resolution Protocol - protokół odwzorowujący 32-bitowe logiczne adresy IPv4 na 48-bitowe adresy fizyczne MAC w sieci lokalnej.

Fundamentalną słabością sieci płaskich jest niekontrolowana rozległość pojedynczej domeny rozgłoszeniowej. W środowisku Ethernet każdy adres docelowy FF:FF:FF:FF:FF:FF nakazuje przełącznikowi wysłanie ramki na wszystkie porty z wyjątkiem portu źródłowego. Jeśli sieć skupia setki lub tysiące komputerów, drukarek i urządzeń IoT, ciągłe zapytania ARP, rozgłoszenia protokołów mDNS, NetBIOS czy anonsy usług sieciowych generują nieprzerwany strumień danych zalewający całe medium transmisyjne.

Zjawisko to bezpośrednio degraduje wydajność stacji roboczych i serwerów. Karta sieciowa każdego hosta po odebraniu ramki rozgłoszeniowej wywołuje przerwanie sprzętowe procesora (CPU Interrupt), zmuszając system operacyjny do przeanalizowania nagłówka pakietu w poszukiwaniu własnego adresu IP. Przy intensywnym ruchu rozgłoszeniowym moc obliczeniowa urządzeń końcowych jest w znacznym stopniu trwoniona na odrzucanie niechcianych pakietów.

W skrajnych przypadkach dochodzi do powstania burzy rozgłoszeniowej (Broadcast Storm), wywoływanej przez uszkodzoną kartę sieciową, złośliwe oprogramowanie lub błąd konfiguracji stacji roboczej. Lawinowo powielane pakiety zapychają pasmo łączy dosyłowych i wyczerpują pamięć podręczną buforów przełączników, powodując utratę łączności, zamrożenie sesji aplikacyjnych oraz paraliż całej infrastruktury biurowej.

Skróty użyte w tym slajdzie:
IoT - Internet of Things - kategoria urządzeń fizycznych wyposażonych w moduły komunikacyjne przesyłające dane telemetryczne bez udziału człowieka.
mDNS - Multicast Domain Name System - protokół bezserwerowej resolucji nazw w lokalnej podsieci wykorzystujący adresy grupowe IP.
CPU - Central Processing Unit - centralna jednostka obliczeniowa komputera lub procesor zarządzający w przełączniku sieciowym.

W sieci o płaskiej topologii wszystkie przełączniki tworzą wspólną przestrzeń komutacji ramek w warstwie 2. Aby zabezpieczyć taką strukturę przed destrukcyjnymi pętlami transmisyjnymi - powstającymi natychmiast, gdy między przełącznikami istnieje więcej niż jedna fizyczna ścieżka kablowa - konieczne jest uruchomienie protokołu drzewa rozpinającego Spanning Tree Protocol (STP). W rozległej sieci płaskiej STP musi zarządzać dziesiątkami urządzeń i setkami portów jednocześnie.

Wszelkie incydenty sprzętowe, takie jak poluzowanie wtyku RJ-45, uszkodzenie wkładki optycznej czy chwilowy zanik zasilania na dowolnym przełączniku dostępowym, wyzwalają powiadomienie o zmianie topologii TCN (Topology Change Notification). W odpowiedzi całe drzewo STP przechodzi w stan rekalkulacji, czyszcząc tablice adresów MAC (CAM Table) i zamrażając ruch użytkowników na czas wyznaczenia nowego stanu portów, co w przypadku klasycznego STP może trwać nawet do 50 sekund.

Co gorsza, błąd ludzki polegający na przypadkowym spięciu dwóch gniazd ściennych kablem krosowym na biurku użytkownika lub awaria mechanizmu STP na pojedynczym tanim przełączniku może doprowadzić do powstania nieskończonej pętli L2. Ponieważ ramki Ethernet nie posiadają licznika czasu życia TTL (jak pakiety IP), powielone ramki krążą w pętli z prędkością łącza, doprowadzając do natychmiastowego przeciążenia szyn komutacyjnych i zawieszenia pracy wszystkich urządzeń.

Skróty użyte w tym slajdzie:
STP - Spanning Tree Protocol - protokół warstwy 2 (standard IEEE 802.1D) blokujący nadmiarowe łącza w celu zapobiegania pętlom komutacyjnym.
TCN - Topology Change Notification - specjalny komunikat BPDU protokołu STP informujący sąsiednie węzły o zmianie stanu łącza w drzewie rozpinającym.
CAM - Content Addressable Memory - szybka pamięć asocjacyjna przełącznika przechowująca tablicę powiązań adresów MAC z portami fizycznymi.
TTL - Time to Live - pole nagłówka pakietu IP określające maksymalny czas życia pakietu mierzony liczbą przeskoków przez routery.

Eksploatacja dużej sieci płaskiej stawia administratorów przed barierami organizacyjnymi i technologicznymi, które uniemożliwiają efektywne zarządzanie infrastrukturą. W płaskim środowisku L2 brak jest naturalnych punktów kontroli ruchu, co wyklucza precyzyjne wdrażanie polityk bezpieczeństwa. Wszelkie próby separacji uprawnień - np. izolacja księgowości, laboratoriów studenckich i systemów automatyki budynkowej BMS - stają się niemożliwe bez stosowania skomplikowanych i zawodnych filtrów brzegowych.

Poważnym problemem staje się także wyczerpanie zasobów sprzętowych przełączników. W sieci płaskiej tablica adresów fizycznych każdego przełącznika musi pomieścić adresy MAC wszystkich urządzeń podłączonych w całym kampusie. W tańszych przełącznikach dostępowych pamięć CAM ma ograniczoną pojemność (często 4000-8000 wpisów); po jej przepełnieniu przełącznik przechodzi w stan zjawiska zalewania (Unicast Flooding), wysyłając każdy pakiet na wszystkie porty jak zwykły koncentrator hub.

Wreszcie, diagnostyka awarii w niesegmentowanej sieci przypomina poszukiwanie igły w stogu siana. Utrata łączności, wahania opóźnień (Jitter) czy konflikty adresów IP mogą być wywołane przez dowolne urządzenie podłączone na drugim końcu kampusu. Bez wyraźnych granic domen awarii usunięcie incydentu wymaga żmudnego analizowania logów ze wszystkich urządzeń naraz, co drastycznie wydłuża wskaźnik MTTR (Mean Time to Repair) i generuje wysokie straty operacyjne.

Skróty użyte w tym slajdzie:
BMS - Building Management System - system zarządzania instalacjami technicznymi budynku, wymagający bezwzględnej izolacji sieciowej od użytkowników.
MTTR - Mean Time to Repair - kluczowy wskaźnik niezawodności oznaczający średni czas potrzebny na zdiagnozowanie i usunięcie awarii systemu.
OPEX - Operating Expenses - bieżące koszty operacyjne związane z administracją, utrzymaniem i usuwaniem awarii w infrastrukturze IT.

Koncepcja architektury hierarchicznej w informatyce i telekomunikacji wywodzi się bezpośrednio z klasycznej zasady inżynierskiej 'dziel i rządź' (Divide and Conquer). Zamiast traktować złożony system jako monolit, dekomponuje się go na mniejsze, autonomiczne podsystemy o ściśle określonych interfejsach. Geneza tego podejścia sięga publicznych sieci telefonicznych (PSTN), w których hierarchia central miejscowych, tranzytowych i międzynarodowych pozwoliła na bezproblemowe skalowanie połączeń na poziomie globalnym.

W świecie sieci komputerowych przełom nastąpił na początku lat 90. XX wieku, gdy gwałtowny rozrost sieci Ethernet i protokołu IP doprowadził do załamania dotychczasowych modeli budowy kampusów opartych na mostkach wieloportowych. Inżynierowie szybko zorientowali się, że nieograniczony zasięg warstwy 2 musi zostać poskromiony przez wprowadzenie routingu warstwy 3 na odpowiednich poziomach struktury, co zapoczątkowało ewolucję przełączania wielowarstwowego (Multilayer Switching).

Współczesny model hierarchiczny został sformalizowany i spopularyzowany przez czołowych producentów sprzętu oraz instytucje normalizacyjne jako wzorzec referencyjny dla każdego typu infrastruktury enterprise. Pozwala on na zbalansowanie kosztów inwestycyjnych z wymaganiami wydajnościowymi: drogie, wysoce wyspecjalizowane urządzenia umieszcza się wyłącznie tam, gdzie jest to niezbędne (w rdzeniu i dystrybucji), natomiast na brzegu stosuje się ekonomiczne moduły dostępowe.

Skróty użyte w tym slajdzie:
PSTN - Public Switched Telephone Network - tradycyjna publiczna komutowana sieć telefoniczna bazująca na hierarchii central telekomunikacyjnych.
MLS - Multilayer Switching - technologia przełączania wielowarstwowego integrująca szybką komutację ramek L2 z trasowaniem pakietów L3 w sprzętowych układach ASIC.
ASIC - Application-Specific Integrated Circuit - dedykowany układ scalony zaprojektowany do realizacji określonych operacji sieciowych z pełną prędkością łącza wire-speed.

Głównym filarem modelu hierarchicznego jest precyzyjny podział ról pomiędzy poszczególne poziomy sieci oraz ścisła dekompozycja funkcji technologicznych. Każda warstwa realizuje unikalny zestaw zadań i nie powinna przejmować obowiązków przypisanych do innych segmentów. Warstwa dostępu skupia się wyłącznie na bezpiecznym podłączaniu stacji klienckich, warstwa dystrybucji realizuje polityki routingu, filtracji i agregacji, a warstwa rdzenia odpowiada wyłącznie za bezwzględną przepustowość i ultraszybki transport pakietów.

Taka separacja funkcji przynosi natychmiastowe korzyści wydajnościowe. Dzięki niej przełączniki rdzeniowe nie muszą być obciążane żmudnym parsowaniem nagłówków warstw wyższych (L4-L7) ani przetwarzaniem skomplikowanych list kontroli dostępu ACL, co pozwala na zastosowanie w nich zoptymalizowanych matryc komutacyjnych pracujących z pełną prędkością interfejsów fizycznych (Wire-Speed Switching). Z kolei zaawansowane reguły bezpieczeństwa i inspekcji ruchu są przetwarzane lokalnie w warstwie dystrybucji.

Dekompozycja ról zapobiega również zjawisku rozmywania odpowiedzialności urządzeń sieciowych. Inżynier projektujący kampus może precyzyjnie dobrać specyfikację techniczną każdego zamówionego urządzenia, optymalizując budżet projektu. Przełącznik dostępowy nie musi posiadać pełnej tablicy routingu BGP ani wielkich buforów transmisyjnych, lecz powinien charakteryzować się wysoką gęstością portów RJ-45, obsługą PoE oraz bogatym zestawem mechanizmów ochrony portów brzegowych.

Skróty użyte w tym slajdzie:
BGP - Border Gateway Protocol - zaawansowany protokół routingu wektora ścieżki wykorzystywany do wymiany informacji o trasach między systemami autonomicznymi w Internecie.
L4 - Layer 4 - czwarta warstwa modelu odniesienia OSI (warstwa transportowa), w której funkcjonują protokoły TCP i UDP sterujące komunikacją między procesami.
L7 - Layer 7 - siódma warstwa modelu OSI (warstwa aplikacji), w której działają protokoły użytkowe takie jak HTTP, DNS, DHCP czy SSH.

Modułowość to cecha konstrukcyjna modelu hierarchicznego, która umożliwia bezproblemową rozbudowę kampusu w miarę wzrostu potrzeb organizacji bez konieczności kosztownej rekonfiguracji istniejącego szkieletu sieciowego. Sieć kampusowa budowana jest z powtarzalnych, wystandaryzowanych bloków budynkowych (Building Blocks). Każdy nowy budynek akademicki, skrzydło szpitala czy hala laboratoryjna stanowi autonomiczny moduł włączany bezpośrednio do węzła rdzeniowego za pośrednictwem dedykowanej pary przełączników dystrybucyjnych.

Taki wzorzec architektoniczny gwarantuje liniową skalowalność pojemnościową. W przypadku oddania do użytku nowego gmachu dydaktycznego projektant nie musi modyfikować konfiguracji przełączników dostępowych w sąsiednich obiektach ani obawiać się przekroczenia dopuszczalnych rozmiarów drzewa STP. Nowo powstały blok wnosi własną warstwę dostępu i dystrybucji, a integracja ze szkieletem sprowadza się do uruchomienia sesji routingu L3 na łączach dosyłowych do rdzenia.

Modułowość przynosi także ogromne korzyści w sferze standaryzacji sprzętowej i operacyjnej. Wszystkie szafy dystrybucyjne (IDF) w obrębie kampusu mogą wykorzystywać identyczne modele przełączników, zunifikowane profile konfiguracyjne (Golden Configs) oraz te same wersje oprogramowania układowego (Firmware). Ułatwia to zarządzanie magazynem części zamiennych, skraca czas wdrożenia nowych instalacji i minimalizuje ryzyko popełnienia błędu przez personel techniczny.

Skróty użyte w tym slajdzie:
IDF - Intermediate Distribution Frame - pośredni punkt dystrybucyjny, szafa teletechniczna obsługująca kondygnację lub wydzieloną część budynku.
MDF - Main Distribution Frame - główny punkt dystrybucyjny w budynku lub całym kampusie, w którym zbiegają się magistrale szkieletowe.
CLI - Command-Line Interface - tekstowy interfejs wiersza poleceń służący do precyzyjnej konfiguracji i diagnostyki urządzeń sieciowych.

Przewidywalność przepływów (Flow Predictability) oraz determinizm to jedne z najważniejszych atrybutów poprawnie zaprojektowanej sieci kampusowej. W sieci płaskiej lub o przypadkowej topologii ścieżka, jaką pakiet pokonuje od nadawcy do odbiorcy, bywa zmienna w czasie i zależy od chwilowych stanów portów w algorytmie STP. Utrudnia to analizę opóźnień, uniemożliwia rzetelne wymiarowanie przepustowości łączy oraz powoduje powstawanie niesymetrycznych tras przesyłu danych.

W trójwarstwowym modelu hierarchicznym każdy pakiet porusza się w sposób ściśle zdefiniowany i przewidywalny. Ruch wygenerowany przez stację roboczą trafia na port dostępu, wędruje łączem dosyłowym (Uplink) do lokalnego przełącznika dystrybucyjnego, a stamtąd - jeśli cel leży w innym segmencie - jest kierowany do rdzenia i dalej do docelowej dystrybucji. Taka regularna geometria przepływów sprawia, że opóźnienie pakietu (Latency) oraz zmienność tego opóźnienia (Jitter) są stałe i w pełni obliczalne.

Determinizm topologii ma fundamentalne znaczenie dla poprawnego działania aplikacji czasu rzeczywistego, takich jak telefonia VoIP, wideokonferencje oraz transmisje strumieniowe z laboratoriów badawczych. Inżynier jest w stanie dokładnie określić liczbę przeskoków (Hops) na trasie każdego połączenia, co umożliwia precyzyjne skalkulowanie buforów w urządzeniach oraz bezbłędne wdrożenie mechanizmów kolejkowania QoS (np. kolejek priorytetowych Low Latency Queuing dla pakietów głosowych).

Skróty użyte w tym slajdzie:
VoIP - Voice over Internet Protocol - technologia cyfrowego przesyłania głosu w postaci pakietów danych przez sieci wykorzystujące protokół IP.
LLQ - Low Latency Queuing - zaawansowany algorytm kolejkowania zapewniający bezwzględny priorytet obsługi dla ruchu wrażliwego na opóźnienia.
DSCP - Differentiated Services Code Point - 6-bitowe pole w nagłówku IP służące do klasyfikacji i priorytetyzacji pakietów w architekturze DiffServ.

Jedną z najbardziej pożądanych cech inżynierskich modelu hierarchicznego jest zdolność do skutecznej izolacji awarii oraz radykalne ułatwienie diagnostyki stanów niepożądanych. Dzięki podziałowi sieci na warstwy i segmenty logiczne granice domen rozgłoszeniowych i domen awarii (Fault Domains) pokrywają się ze strukturą fizyczną. Awaria przełącznika brzegowego, uszkodzenie kabla czy lokalny atak typu ARP Spoofing zostają natychmiast uwięzione w obrębie danego modułu i nie mają możliwości rozprzestrzenienia się na resztę kampusu.

Zastosowanie routingu w warstwie dystrybucji tworzy naturalną zaporę dla patologii warstwy 2. Burza rozgłoszeniowa wygenerowana w jednym z laboratoriów dydaktycznych zostanie zatrzymana na interfejsie L3 (SVI) przełącznika dystrybucyjnego, chroniąc łącza rdzeniowe oraz pozostałe wydziały przed przeciążeniem. Co więcej, w przypadku wystąpienia pętli komutacyjnej proces rekalkulacji STP zostaje ograniczony do pojedynczego bloku dostępowego, nie powodując przerw w działaniu szkieletu.

W sytuacji awaryjnej inżynier sieciowy może prowadzić diagnostykę metodycznie, posługując się modelem top-down lub bottom-up. Dzięki jednoznacznemu przypisaniu funkcji do warstw natychmiast wiadomo, gdzie weryfikować parametry fizyczne i zasilanie PoE (warstwa dostępu), gdzie sprawdzać reguły filtrowania ACL i tablice routingu (warstwa dystrybucji), a gdzie monitorować przepustowości magistral szkieletowych (warstwa rdzenia). Skraca to czas wykrycia źródła problemu z wielu godzin do kilku minut.

Skróty użyte w tym slajdzie:
SVI - Switch Virtual Interface - wirtualny interfejs warstwy 3 skojarzony z określonym numerem VLAN, pełniący rolę domyślnej bramy dla stacji.
NMS - Network Management System - zintegrowana platforma oprogramowania służąca do centralnego monitorowania stanu, wydajności i awarii węzłów sieciowych.
SNMP - Simple Network Management Protocol - standardowy protokół warstwy aplikacji wykorzystywany do odpytywania urządzeń sieciowych o parametry telemetryczne.

Podsumowując architekturę trójwarstwową, należy podkreślić komplementarny charakter współdziałania warstw dostępu, dystrybucji i rdzenia. Warstwa dostępu (Access Layer) stanowi pierwszą linię kontaktu użytkownika z infrastrukturą sieciową; jej domeną jest autoryzacja tożsamości, przydział do odpowiednich podsieci VLAN, zasilanie urządzeń przez PoE oraz zabezpieczenie portów przed atakami brzegowymi. Działa ona lokalnie, najczęściej na poziomie pojedynczych kondygnacji w szafach IDF.

Warstwa dystrybucji (Distribution Layer) pełni funkcję inteligentnego integratora i zarządcy ruchu. Agreguje ona łącza dosyłowe ze wszystkich przełączników dostępowych w budynku, pośredniczy w komunikacji między różnymi sieciami VLAN, wymusza polityki bezpieczeństwa za pomocą list ACL, zarządza znakowaniem QoS oraz chroni rdzeń przed lokalnymi niestabilnościami poprzez sumaryzację tras routingu. To w dystrybucji zbiegają się technologie warstwy 2 i 3.

Warstwa rdzenia (Core Layer) stanowi kręgosłup transmisyjny całego kampusu, łącząc ze sobą poszczególne budynki, centrum danych oraz styk brzegowy z Internetem. Jej priorytetem jest maksymalna przepustowość, zerowy narzut inspekcyjny oraz natychmiastowe przełączanie ruchu w przypadku awarii jednego z traktów światłowodowych. Pozbawiona skomplikowanych reguł filtracji, warstwa rdzenia gwarantuje, że kampus funkcjonuje jako spójna i bezopóźnieniowa całość.

Skróty użyte w tym slajdzie:
MDF - Main Distribution Frame - główny węzeł rozdzielczy sieci kampusowej integrujący magistrale światłowodowe z całego terenu ośrodka.
ECMP - Equal-Cost Multi-Path - technologia routingu L3 umożliwiająca równomierne rozkładanie obciążenia ruchem pomiędzy wieloma równorzędnymi ścieżkami sieciowymi.
AS - Autonomous System - spójny zbiór sieci IP pod wspólną administracją techniczną, stosujący jednolity plan trasowania wewnętrznego.

Warstwa dostępu (Access Layer) stanowi bezpośredni fizyczny i logiczny punkt wejścia do infrastruktury sieciowej kampusu dla wszystkich urządzeń abonenckich. To tutaj podłączane są stacje robocze pracowników, laptopy studentów, drukarki sieciowe, telefony VoIP, kamery monitoringu IP, punkty dostępowe sieci bezprzewodowej (AP) oraz różnorodne sensory automatyki budynkowej. Ze względu na swoje usytuowanie na samym brzegu architektury warstwa ta bywa nazywana warstwą krawędziową (Edge Layer).

Fizycznie urządzenia warstwy dostępu są rozproszone po całym terenie kampusu i instalowane w pośrednich punktach dystrybucyjnych (IDF) - zazwyczaj w naściennych lub stojących 19-calowych szafach rackowych zlokalizowanych na poszczególnych kondygnacjach budynków. Z punktu widzenia okablowania strukturalnego to do przełączników dostępowych doprowadzone są miedziane kable magistrali poziomej (Horizontal Cabling) zakończone gniazdami RJ-45 w pokojach biurowych i salach wykładowych.

Współczesna warstwa dostępu przestała być jedynie pasywnym koncentratorem kabli, stając się zaawansowanym strażnikiem bezpieczeństwa i jakości transmisji. W dobie powszechnego modelu BYOD oraz pracy hybrydowej port dostępowy musi w sposób dynamiczny rozpoznawać tożsamość podłączanego urządzenia, negocjować parametry zasilania elektrycznego, przypisywać właściwy profil bezpieczeństwa oraz znakować pakiety pod kątem priorytetyzacji w sieci szkieletowej.

Skróty użyte w tym slajdzie:
AP - Access Point - bezprzewodowy punkt dostępowy pośredniczący w komunikacji między urządzeniami Wi-Fi a przewodową siecią szkieletową.
RJ-45 - Registered Jack 45 - standard 8-stykowego złącza stosowanego powszechnie do terminacji miedzianych skrętek komputerowych.
BYOD - Bring Your Own Device - model organizacyjny zezwalający użytkownikom na włączanie prywatnych urządzeń mobilnych do zasobów instytucji.

Podstawowym zadaniem realizowanym przez przełączniki warstwy dostępu jest logiczna segmentacja ruchu za pomocą wirtualnych sieci LAN (VLAN). Każdy port dostępowy może zostać statycznie lub dynamicznie przypisany do dedykowanego identyfikatora VLAN ID, co uniemożliwia bezpośrednią komunikację na poziomie warstwy 2 między urządzeniami podłączonymi do różnych segmentów (np. pełna izolacja sieci gościnnej od sieci laboratoryjnej).

Kolejnym krytycznym mechanizmem warstwy dostępu jest kontrola tożsamości w oparciu o standard IEEE 802.1X oraz protokół EAP. Port przełącznika pozostaje w stanie zablokowanym do momentu, w którym użytkownik lub urządzenie pomyślnie uwierzytelni się w centralnym serwerze RADIUS. Dopiero po weryfikacji poświadczeń serwer zwrotnie instruuje przełącznik, jaki numer VLAN oraz jakie filtry ACL mają zostać zaaplikowane na danym interfejsie fizycznym.

Oprócz autoryzacji warstwa dostępu realizuje zaufaną granicę jakości usług (QoS Trust Boundary). Ponieważ urządzenia abonenckie mogą próbować manipulować znacznikami priorytetu pakietów, przełącznik dostępowy weryfikuje i ewentualnie przepisuje wartości pól CoS (802.1p) lub DSCP. Ponadto interfejsy te dostarczają energię w standardzie PoE oraz zabezpieczają sieć przed atakami L2 za pomocą mechanizmów DHCP Snooping, Dynamic ARP Inspection (DAI) i IP Source Guard.

Skróty użyte w tym slajdzie:
EAP - Extensible Authentication Protocol - uniwersalny protokół warstwy łącza danych służący do transportu poświadczeń uwierzytelniających.
RADIUS - Remote Authentication Dial-In User Service - scentralizowany protokół i serwer autoryzacji, uwierzytelniania i rozliczania (AAA).
CoS - Class of Service - 3-bitowe pole w nagłówku ramki IEEE 802.1Q definiujące 8 poziomów priorytetu obsługi w warstwie 2.
DAI - Dynamic ARP Inspection - mechanizm ochronny uniemożliwiający ataki fałszowania pakietów ARP poprzez weryfikację z bazą DHCP Snooping.

Dobór urządzeń dla warstwy dostępu to kluczowa decyzja inżynierska, decydująca o ponad połowie całkowitego budżetu sprzętowego sieci kampusowej. W typowych instalacjach dominują przełączniki o stałej konfiguracji portów (Fixed-Configuration Switches), najczęściej w obudowach 1U montowanych w szafach rackowych. Wyróżniają się one wysoką niezawodnością, kompaktowymi wymiarami oraz niskim poborem prądu w stosunku do dużych przełączników modułowych.

Standardem rynkowym są jednostki oferujące 24 lub 48 portów klienckich RJ-45 o prędkościach 1 Gb/s (1000BASE-T), a w nowoczesnych kampusach akademickich - porty wielobiegowe mGig (Multigigabit NBASE-T) pracujące z prędkościami 2.5 Gb/s oraz 5 Gb/s na istniejącym okablowaniu miedzianym kat. 5e i kat. 6. Zastosowanie portów mGig jest wymogiem koniecznym do pełnego wykorzystania przepustowości punktów dostępowych standardu Wi-Fi 6 i Wi-Fi 7.

Równie istotnym parametrem jest obecność i przepustowość portów dosyłowych (Uplinks). Nowoczesny przełącznik dostępowy powinien być wyposażony w co najmniej 4 sloty SFP+ obsługujące moduły optyczne 10 Gb/s lub sloty SFP28 o prędkości 25 Gb/s. Umożliwia to zestawienie nadmiarowych połączeń do dwóch niezależnych przełączników warstwy dystrybucji z zachowaniem optymalnego współczynnika nadsubskrypcji pasma.

Skróty użyte w tym slajdzie:
SFP+ - Enhanced Small Form-factor Pluggable - kompaktowy, wymienny moduł optyczny zapewniający transfer danych z prędkością 10 Gb/s.
mGig - Multigigabit Ethernet - technologia zgodna ze standardem IEEE 802.3bz umożliwiająca transmisję 2.5G/5G na tradycyjnych kablach miedzianych.
U - Rack Unit - jednostka długości (1U = 1.75 cala = 44.45 mm) określająca wysokość modułów montowanych w szafach teleinformatycznych.

Ocena wydajności przełącznika dostępowego nie może opierać się wyłącznie na liczbie portów, lecz wymaga skrupulatnej analizy jego architektury wewnętrznej. Pierwszym parametrem krytycznym jest przepustowość matrycy komutacyjnej (Switching Capacity / Backplane Bandwidth) wyrażana w gigabitach na sekundę (Gb/s). Aby przełącznik pracował w trybie nieblokującym (Non-Blocking), przepustowość matrycy musi być równa co najmniej podwojonej sumie prędkości wszystkich interfejsów (praca w pełnym dupleksie).

Drugim kluczowym wskaźnikiem jest wydajność przekazywania pakietów (Forwarding Rate) podawana w milionach pakietów na sekundę (Mpps). Wartość ta określa, ile minimalnych ramek Ethernet (o rozmiarze 64 bajtów) układ scalony ASIC jest w stanie przetworzyć i przekazać w ciągu jednej sekundy. Niedoszacowanie tego parametru powoduje opóźnienia i gubienie pakietów w sytuacjach nagłych skoków ruchu wygenerowanego przez aplikacje sieciowe.

Inżynier musi także zwrócić uwagę na rozmiar sprzętowych buforów pakietowych (Packet Buffers) oraz pojemność pamięci CAM. Buforowanie jest niezbędne do absorbowania chwilowych mikrozatorów (Microbursts) powstających na przykład podczas konwersji szybkiego łącza dosyłowego 10 Gb/s na wolniejsze łącza dostępowe 1 Gb/s. Z kolei pojemność tablicy MAC (zazwyczaj 16k-32k wpisów) oraz rozmiar tablicy sprzętowych list dostępu TCAM decydują o możliwościach bezopóźnieniowego egzekwowania reguł bezpieczeństwa.

Skróty użyte w tym slajdzie:
Mpps - Million Packets Per Second - jednostka miary wydajności przetwarzania pakietów przez urządzenia sieciowe.
TCAM - Ternary Content Addressable Memory - wyspecjalizowana ultraszybka pamięć asocjacyjna służąca do sprzętowego przeszukiwania list ACL i reguł QoS w jednym cyklu zegara.
ASIC - Application-Specific Integrated Circuit - wyspecjalizowany procesor komutacyjny montowany na płycie przełącznika.

Power over Ethernet (PoE) to rewolucyjna technologia inżynierska zdefiniowana w standardach IEEE 802.3, która umożliwia jednoczesne przesyłanie danych cyfrowych oraz zasilania prądem stałym (DC) za pomocą pojedynczego, standardowego kabla miedzianego typu skrętka (UTP/FTP). Zastosowanie PoE eliminuje konieczność doprowadzania dedykowanych linii elektroenergetycznych 230V do każdego urządzenia brzegowego, co drastycznie obniża koszty wdrożenia i przyspiesza instalację urządzeń.

W architekturze PoE przełącznik sieciowy pełni rolę źródła zasilania PSE (Power Sourcing Equipment), natomiast zasilane urządzenie brzegowe określane jest mianem PD (Powered Device). Transmisja prądu odbywa się z wykorzystaniem zjawiska tzw. zasilania fantomowego (Phantom Powering) na parach sygnałowych lub na wolnych parach kabla, wykorzystując transformatory symetryzujące w torze transmisyjnym interfejsu Ethernet.

Kluczowym elementem technologii PoE jest całkowite bezpieczeństwo instalacji. Przed podaniem pełnego napięcia (nominalnie ok. 48-54 V) przełącznik PSE przeprowadza procedurę detekcji i klasyfikacji, wysyłając sygnały sondujące o niskim napięciu. Jeśli do portu zostanie podłączone zwykłe urządzenie bez obsługi PoE (np. standardowa karta sieciowa PC), napięcie zasilające nie zostanie uruchomione, co chroni sprzęt przed przypadkowym uszkodzeniem.

Skróty użyte w tym slajdzie:
PSE - Power Sourcing Equipment - urządzenie sieciowe (np. przełącznik) dostarczające zasilanie elektryczne do łączy Ethernet.
PD - Powered Device - urządzenie końcowe (np. telefon IP, kamera, punkt AP) pobierające energię elektryczną z portu sieciowego PoE.
UTP - Unshielded Twisted Pair - nieekranowana skrętka miedziana składająca się z czterech symetrycznych par przewodów.
DC - Direct Current - prąd stały wykorzystywany do zasilania urządzeń elektronicznych przez magistralę PoE.

Ewolucja technologii Power over Ethernet na przestrzeni ostatnich dwóch dekad doprowadziła do powstania trzech głównych generacji standardów IEEE, odpowiadających na rosnący apetyt energetyczny nowoczesnych urządzeń brzegowych. Pierwszy standard, IEEE 802.3af (PoE Typ 1) ratyfikowany w 2003 roku, dostarcza do 15.4 W mocy na porcie PSE, co po uwzględnieniu strat na 100-metrowym kablu gwarantuje 12.95 W dla urządzenia PD, wystarczając dla prostych telefonów VoIP.

Wraz z nadejściem dwupasmowych punktów dostępowych Wi-Fi 4/5 oraz kamer z doświetlaczami IR w 2009 roku wprowadzono standard IEEE 802.3at (PoE+ Typ 2). Podwoił on dostępną moc, oferując do 30 W z portu przełącznika i 25.5 W po stronie odbiornika. Standard ten wykorzystuje dwie pary skrętki miedzianej i wprowadził zaawansowany protokół negocjacji mocy w warstwie łącza danych (LLDP-MED), pozwalający na dynamiczną alokację watów z dokładnością do setnych części wata.

Najnowszą i najbardziej zaawansowaną specyfikacją jest IEEE 802.3bt (4PPoE) wprowadzona w 2018 roku, która wykorzystuje do transmisji energii wszystkie cztery pary skrętki miedzianej. Definiuje ona Typ 3 (do 60 W na porcie) oraz Typ 4 (do 90 W, a w rozwiązaniach proprietary nawet do 100 W). Taka wydajność umożliwia bezpośrednie zasilanie komputerów All-in-One, terminali POS, zmotoryzowanych kamer PTZ oraz najnowocześniejszych punktów dostępowych Wi-Fi 7.

Skróty użyte w tym slajdzie:
PoE+ - Power over Ethernet Plus - rozszerzony standard zasilania IEEE 802.3at dostarczający do 30 W mocy z portu przełącznika.
4PPoE - 4-Pair Power over Ethernet - standard IEEE 802.3bt wykorzystujący wszystkie 4 pary przewodów w skrętce do transmisji do 90 W mocy.
LLDP-MED - Link Layer Discovery Protocol for Media Endpoint Devices - protokół rozgłaszania właściwości urządzeń multimedialnych i negocjacji budżetu PoE.

Projektowanie zasilania PoE w warstwie dostępu wymaga od inżyniera sporządzenia rygorystycznego bilansu budżetu mocy (PoE Power Budget). Łączna moc elektryczna, jakiej zażądać mogą podłączone urządzenia brzegowe, nie może przewyższać maksymalnej wydajności wewnętrznego zasilacza przełącznika. Błędy na tym etapie skutkują odmową zasilania dla krytycznych urządzeń (PoE Denied) lub nieoczekiwanym restartem sprzętu podczas szczytowego obciążenia.

W 48-portowym przełączniku dostępowym zainstalowanie zasilacza o mocy 370 W pozwala na jednoczesne dostarczenie pełnego zasilania PoE (15.4 W) tylko na 24 portach. Jeśli na wszystkich 48 portach podłączone zostaną punkty dostępowe Wi-Fi 6 wymagające standardu PoE+ (30 W), sumaryczne zapotrzebowanie wyniesie aż 1440 W. W takich scenariuszach konieczny jest wybór przełączników z modularnymi zasilaczami montowanymi w trybie redundancyjnym lub łączonym (Combined/Redundant Power Supplies).

Aby zapobiec przeciążeniu przełącznika, inżynierowie konfigurują mechanizmy priorytetyzacji portów PoE (Low, High, Critical). W przypadku przekroczenia dostępnego budżetu mocy przełącznik w pierwszej kolejności odcina zasilanie z portów o niskim priorytecie (np. oświetlenie dekoracyjne czy ładowarki biurkowe), zachowując nieprzerwaną ciągłość zasilania dla strategicznych urządzeń kampusu: telefonów alarmowych VoIP, kamer ochrony oraz szkieletowych punktów AP.

Skróty użyte w tym slajdzie:
RPS - Redundant Power Supply - dodatkowy moduł zasilacza rezerwowego zabezpieczający urządzenie przed awarią podstawowej linii 230V.
PDU - Power Distribution Unit - listwa dystrybucji zasilania montowana w szafie rackowej rozdzielająca energię do poszczególnych modułów.
W - Watt - jednostka mocy w układzie SI określająca tempo zużycia lub dostarczania energii elektrycznej.

Port Security to jeden z najbardziej fundamentalnych mechanizmów bezpieczeństwa brzegowego implementowanych na fizycznych interfejsach przełączników warstwy dostępu. Jego zadaniem jest ograniczenie liczby urządzeń końcowych, które mogą uzyskać łączność przez pojedyncze gniazdo sieciowe, na podstawie ich unikalnych adresów fizycznych MAC. Chroni to sieć przed podłączaniem nieautoryzowanych przełączników, routerów domowych czy nieznanych laptopów gości w salach biurowych.

Administrator sieci może skonfigurować sztywny limit dozwolonych adresów (zazwyczaj od 1 do 2) oraz określić sposób ich zapamiętywania. W trybie dynamicznym przełącznik rejestruje adresy MAC pierwszych podłączonych stacji, natomiast w trybie Sticky MAC adresy te są automatycznie zapisywane do bieżącej konfiguracji urządzenia (Running Config), co zachowuje reguły bezpieczeństwa nawet po restarcie przełącznika.

W sytuacji wykrycia naruszenia reguł (gdy do portu zostanie wysłana ramka z nieznanym adresem MAC) mechanizm Port Security może zareagować w jednym z trzech trybów: Protect (ciche odrzucanie nieuprawnionych ramek), Restrict (odrzucanie ramek z jednoczesnym wysłaniem pułapki SNMP Trap i wpisu do logów Syslog) oraz Shutdown. W trybie Shutdown interfejs zostaje natychmiast wyłączony sprzętowo i przechodzi w stan Err-Disabled, co uniemożliwia dalszą transmisję do momentu interwencji administratora.

Skróty użyte w tym slajdzie:
Syslog - System Logging Protocol - standardowy protokół przesyłania i centralnego rejestrowania komunikatów diagnostycznych i alertów bezpieczeństwa.
SNMP Trap - SNMP Trap - asynchroniczny komunikat alarmowy wysyłany przez urządzenie sieciowe do serwera NMS w momencie wystąpienia incydentu.
Err-Disabled - Error-Disabled - stan logiczny interfejsu sieciowego zablokowanego sprzętowo przez mechanizmy bezpieczeństwa w wyniku wykrycia anomalii.

Porty brzegowe warstwy dostępu, do których bezpośrednio podłączani są użytkownicy, stanowią najbardziej wrażliwy punkt sieci na przypadkowe lub celowe stworzenie pętli komutacyjnych. Standardowy proces konwergencji drzewa rozpinającego STP trwa zbyt długo, dlatego na portach dostępowych stosuje się mechanizm PortFast. Umożliwia on natychmiastowe przejście interfejsu ze stanu blokowania do stanu przekazywania (Forwarding), co zapobiega zrywaniu negocjacji DHCP przez stacje robocze.

Włączenie trybu PortFast niesie jednak ogromne ryzyko: jeśli użytkownik podłączy do takiego portu własny przełącznik i zepnie go w pętlę, brak nasłuchiwania w STP doprowadzi do błyskawicznego paraliżu całej domeny L2. Aby temu zapobiec, standardem inżynierskim jest obligatoryjne włączanie funkcji BPDU Guard na wszystkich portach z aktywnym PortFast. W momencie gdy na porcie pojawi się choćby jedna ramka sterująca BPDU, mechanizm natychmiast wyłącza port w stan Err-Disabled.

Uzupełnieniem ochrony brzegowej są technologie BPDU Filter oraz Root Guard. Podczas gdy BPDU Filter blokuje wysyłanie i odbiór pakietów BPDU na wyznaczonych łączach, Root Guard zapobiega przejęciu roli mostka głównego (Root Bridge) przez nieautoryzowany przełącznik podłączony na brzegu sieci. Jeśli na interfejsie chronionym przez Root Guard pojawi się nadrzędna ramka Superior BPDU, port przechodzi w stan Root-Inconsistent i blokuje transfer danych, chroniąc stabilność szkieletu STP.

Skróty użyte w tym slajdzie:
BPDU - Bridge Protocol Data Unit - ramka kontrolna protokołu STP wymieniana pomiędzy przełącznikami w celu budowy topologii drzewa rozpinającego.
DHCP - Dynamic Host Configuration Protocol - protokół automatycznej konfiguracji parametrów sieciowych stacji roboczych (adres IP, maska, brama, DNS).
DNS - Domain Name System - hierarchiczny system resolucji nazw domenowych na numeryczne adresy IP.

Warstwa dystrybucji (Distribution Layer) pełni rolę strategicznego centrum integracyjnego w architekturze sieci kampusowej, stanowiąc bufor oddzielający brzegowe przełączniki dostępu od ultraszybkiego rdzenia sieci. W typowym budynku kampusu para przełączników dystrybucyjnych zlokalizowana w szafie MDF koncentruje łącza dosyłowe ze wszystkich szaf pośrednich IDF na poszczególnych piętrach, realizując funkcję punktu skupienia ruchu (Concentration Point).

To właśnie w warstwie dystrybucji następuje przejście od lokalnego przełączania warstwy 2 do trasowania pakietów w warstwie 3 modelu OSI. Dystrybucja pełni rolę granicy domen rozgłoszeniowych (L2/L3 Boundary), terminując wirtualne sieci VLAN i izolując problemy warstwy łącza danych od szkieletu kampusu. Dzięki temu niestabilności na kondygnacjach biurowych nie zakłócają pracy magistrali międzybudynkowych.

Jako serce polityk sieciowych, warstwa dystrybucji odpowiada za egzekwowanie reguł bezpieczeństwa (listy ACL), sterowanie ruchem, agregację tras routingu oraz mechanizmy wysokiej dostępności. Urządzenia te charakteryzują się zaawansowaną architekturą wielowarstwową MLS, oferując pełną prędkość routingu sprzętowego pomiędzy podsieciami z zachowaniem zaawansowanej telemetrii i kontroli pasma.

Skróty użyte w tym slajdzie:
OSI - Open Systems Interconnection - 7-warstwowy model odniesienia komunikacji sieciowej opracowany przez organizację ISO.
MLS - Multilayer Switch - przełącznik wielowarstwowy realizujący przełączanie ramek L2 oraz sprzętowy routing pakietów L3 z prędkością łącza.
MDF - Main Distribution Frame - centralny punkt dystrybucyjny w budynku gromadzący magistrale pionowe i łącza do rdzenia.

Zakres zadań realizowanych przez urządzenia w warstwie dystrybucji jest najbardziej różnorodny w całym modelu hierarchicznym. Po pierwsze, dystrybucja odpowiada za routing między-VLAN (Inter-VLAN Routing). Ponieważ stacje w różnych sieciach wirtualnych nie mogą porozumiewać się bezpośrednio w warstwie 2, to przełącznik dystrybucyjny odbiera pakiety z jednego VLAN-u, sprawdza tablicę routingu IP i przekazuje je do docelowej podsieci.

Po drugie, w warstwie tej wdrażana jest filtracja ruchu za pomocą list kontroli dostępu ACL. W przeciwieństwie do rdzenia, który musi być wolny od inspekcji, w dystrybucji sprawdza się reguły bezpieczeństwa dotyczące komunikacji pomiędzy różnymi strefami kampusu (np. zakaz dostępu studentów do zasobów serwerów dziekanatu). Tutaj także dokonuje się mapowania i egzekwowania polityk QoS, takich jak kolejkowanie i ograniczanie pasma (Policing/Shaping).

Po trzecie, warstwa dystrybucji odpowiada za wysoką dostępność bram domyślnych dla stacji roboczych poprzez protokoły redundancji FHRP (np. VRRP). Dodatkowo realizuje ona agregację i sumaryzację tras routingu (Route Summarization) w protokołach dynamicznych takich jak OSPF czy EIGRP, dzięki czemu do węzłów rdzenia przesyłana jest jedynie zwarta informacja o całych blokach adresowych danego budynku.

Skróty użyte w tym slajdzie:
FHRP - First Hop Redundancy Protocol - rodzina protokołów zapewniających wysoką dostępność bramy domyślnej poprzez współdzielenie adresu IP.
OSPF - Open Shortest Path First - otwarty hierarchiczny protokół routingu stanu łącza powszechnie stosowany w sieciach kampusowych.
EIGRP - Enhanced Interior Gateway Routing Protocol - zaawansowany protokół routingu wektora odległości opracowany przez firmę Cisco.

Łączenie przełączników dostępowych z węzłami dystrybucji wymaga zapewnienia dużej przepustowości oraz pełnej odporności na awarie fizycznych traktów kablowych. Pojedynczy kabel optyczny lub miedziany stanowi pojedynczy punkt awarii (SPOF). Z tego względu w inżynierii kampusowej standardem jest stosowanie technologii agregacji łączy (Link Aggregation / EtherChannel), która pozwala na logiczne spięcie od 2 do 8 fizycznych interfejsów w jeden wirtualny kanał transmisyjny (Port Channel).

Zastosowanie agregacji łączy niesie ze sobą dwie kluczowe korzyści. Po pierwsze, sumaryczna przepustowość łącza dosyłowego rośnie proporcjonalnie do liczby zgrupowanych portów (np. dwa łącza 10 Gb/s tworzą logiczny trakt o przepływności 20 Gb/s). Po drugie, z punktu widzenia protokołu STP zagregowana wiązka traktowana jest jako pojedynczy interfejs logiczny, co zapobiega blokowaniu nadmiarowych fizycznych kabli przez drzewo rozpinające.

W celu bezpiecznego zestawiania wiązek portów stosuje się znormalizowany standard IEEE 802.3ad (obecnie zintegrowany z normą IEEE 802.1AX) definiujący protokół LACP (Link Aggregation Control Protocol). LACP nieustannie wymienia pakiety kontrolne między urządzeniami, badając spójność konfiguracji obu końców łącza oraz zapewniając automatyczne i natychmiastowe (subsekundowe) wykluczenie uszkodzonego włókna światłowodowego z wiązki bez przerywania transferu danych.

Skróty użyte w tym slajdzie:
LACP - Link Aggregation Control Protocol - znormalizowany protokół automatycznego zestawiania i nadzorowania zagregowanych wiązek łączy Ethernet.
SPOF - Single Point of Failure - pojedynczy punkt awarii w infrastrukturze, którego uszkodzenie paraliżuje działanie całego systemu.
Gb/s - Gigabits per second - jednostka miary szybkości transmisji danych w sieciach teleinformatycznych.

Umiejscowienie granicy pomiędzy przełączaniem warstwy 2 a routingiem warstwy 3 (tzw. L2/L3 Boundary) to jedna z najważniejszych decyzji architektonicznych przy projektowaniu kampusu. W klasycznym i najbardziej zalecanym modelu hierarchicznym granica ta znajduje się dokładnie w warstwie dystrybucji. Oznacza to, że sieci VLAN funkcjonują wyłącznie lokalnie pomiędzy przełącznikami dostępu a parą przełączników dystrybucyjnych w obrębie danego budynku.

Taka lokalizacja granicy przynosi fundamentalną zaletę inżynierską: całkowitą izolację domen STP w granicach pojedynczego obiektu. Zjawiska flappowania łączy, burze rozgłoszeniowe czy przeliczenia drzewa STP nigdy nie przekraczają przełączników dystrybucyjnych, ponieważ pakiety do innych budynków przekazywane są wyłącznie za pośrednictwem routowanych interfejsów warstwy 3, które nie biorą udziału w procesach Spanning Tree.

Alternatywny wariant, polegający na rozciąganiu sieci VLAN przez cały kampus i spychaniu granicy L2/L3 aż do rdzenia (Routed Core), jest obecnie uznawany za antywzorzec projektowy w środowiskach kampusowych. Tworzy on gigantyczne domeny rozgłoszeniowe i naraża całą instytucję na awarie kaskadowe. Z kolei przeniesienie routingu L3 bezpośrednio na przełączniki dostępowe (Routed Access) eliminuje STP całkowicie, lecz wymaga droższych urządzeń brzegowych i ogranicza elastyczność migracji podsieci.

Skróty użyte w tym slajdzie:
STP - Spanning Tree Protocol - protokół eliminacji pętli w sieciach przełączanych warstwy 2.
VLAN ID - Virtual Local Area Network Identifier - 12-bitowe pole w nagłówku IEEE 802.1Q identyfikujące przynależność ramki do określonej sieci wirtualnej.
IP - Internet Protocol - protokół warstwy sieciowej odpowiedzialny za bezpołączeniową transmisję pakietów w sieciach komputerowych.

Routing między sieciami VLAN (Inter-VLAN Routing) to jedna z kluczowych funkcji warstwy dystrybucji, umożliwiająca kontrolowaną komunikację pomiędzy logicznie odseparowanymi segmentami sieci. W dawnych architekturach stosowano technikę Router-on-a-Stick, w której pojedynczy router zewnętrzny łączył się z przełącznikiem magistralą trunk i trasował pakiety programowo. We współczesnych kampusach rozwiązanie to zostało całkowicie wyparte przez sprzętowy routing w przełącznikach wielowarstwowych MLS.

W przełączniku dystrybucyjnym dla każdej obsługiwanej sieci VLAN tworzony jest wirtualny interfejs przełącznika SVI (Switch Virtual Interface), posiadający własny adres IP i maskę podsieci. Interfejs SVI funkcjonuje z perspektywy stacji roboczych jako domyślna brama (Default Gateway). Gdy stacja z podsieci laboratoryjnej wysyła pakiet do serwera w podsieci administracyjnej, pakiet trafia do interfejsu SVI, skąd sprzętowy układ scalony ASIC natychmiast modyfikuje nagłówek L2 (adresy MAC) i przekazuje go do docelowego VLAN-u z prędkością łącza.

Zastosowanie technologii CEF (Cisco Express Forwarding) lub równoważnych tablic FIB (Forwarding Information Base) w innych systemach sprawia, że decyzje o routingu podejmowane są bez angażowania głównego procesora (CPU) przełącznika. Umożliwia to osiąganie przepustowości rzędu setek gigabitów na sekundę przy minimalnych, submikrosekundowych opóźnieniach, co jest krytyczne dla sprawnej wymiany danych w obrębie kampusu.

Skróty użyte w tym slajdzie:
SVI - Switch Virtual Interface - logiczny interfejs warstwy 3 na przełączniku wielowarstwowym zapewniający routing dla określonej sieci VLAN.
MLS - Multilayer Switch - przełącznik integrujący przełączanie L2 i routing L3 z pełną prędkością matrycy sprzętowej.
CEF - Cisco Express Forwarding - zaawansowana technologia sprzętowego przełączania pakietów IP wykorzystująca zoptymalizowane tablice FIB i Adjacency.
FIB - Forwarding Information Base - sprzętowa baza danych zawierająca wstępnie skompilowane trasy routingu wykorzystywana przez układy ASIC.

Wdrażanie polityk bezpieczeństwa na poziomie warstwy dystrybucji realizowane jest głównie za pomocą list kontroli dostępu ACL (Access Control Lists). Ponieważ warstwa dystrybucji stanowi naturalną granicę pomiędzy różnymi segmentami logicznymi, jest ona optymalnym miejscem do filtrowania niepożądanego ruchu wewnątrz sieci instytucji (ruch wschód-zachód, East-West Traffic). Filtrowanie na tym poziomie zapobiega niepotrzebnemu obciążaniu szkieletu sieciowego pakietami, które i tak zostałyby odrzucone.

W inżynierii sieciowej stosuje się listy standardowe (filtrujące wyłącznie na podstawie źródłowego adresu IP) oraz znacznie częściej listy rozszerzone (Extended ACL). Listy rozszerzone pozwalają na precyzyjną inspekcję protokołu warstwy transportowej (TCP, UDP, ICMP), adresów źródłowych i docelowych oraz numerów portów aplikacji (np. zezwolenie na ruch HTTPS do portu TCP 443 przy jednoczesnym zablokowaniu ruchu SSH do portu TCP 22 ze stacji studenckich).

Niezwykle istotnym aspektem jest sprzętowa realizacja list dostępu. Nowoczesne przełączniki dystrybucyjne kompilują reguły ACL do pamięci TCAM (Ternary Content Addressable Memory). Dzięki temu sprawdzanie nawet tysięcy złożonych reguł bezpieczeństwa odbywa się równolegle w jednym cyklu zegarowym procesora komutacyjnego, nie powodując najmniejszego spadku przepustowości ani degradacji opóźnień w przekazywaniu pakietów.

Skróty użyte w tym slajdzie:
ACL - Access Control List - lista reguł sterujących przepływem pakietów na podstawie adresów IP, protokołów i numerów portów.
TCP - Transmission Control Protocol - połączeniowy protokół warstwy transportowej zapewniający niezawodne i uporządkowane dostarczanie danych.
UDP - User Datagram Protocol - bezpołączeniowy, lekki protokół warstwy transportowej zoptymalizowany pod kątem minimalnych opóźnień transmisji.
ICMP - Internet Control Message Protocol - protokół diagnostyczny i kontrolny warstwy sieciowej wykorzystywany m.in. przez narzędzia ping i traceroute.

Warstwa dystrybucji odgrywa fundamentalną rolę w systemie zarządzania jakością usług (QoS - Quality of Service) w sieci kampusowej. W środowiskach konwergentnych, w których tym samym kablem przesyłane są wrażliwe na opóźnienia pakiety mowy VoIP, wideokonferencje oraz olbrzymie pliki kopii zapasowych, brak mechanizmów QoS prowadzi do zrywania połączeń głosowych i drastycznego pogorszenia jakości obrazu podczas szczytów obciążenia sieci.

W dystrybucji realizowane są zaawansowane funkcje klasyfikacji i przepisywania znaczników (Remarking). Pakiety przychodzące z warstwy dostępu są weryfikowane pod kątem zgodności z polityką instytucji. Wartości pól DSCP w nagłówku IPv4/IPv6 lub bitów EXP w nagłówkach MPLS mogą zostać skorygowane, jeśli użytkownik próbował bezprawnie nadać swojemu ruchowi najwyższy priorytet. Dystrybucja stanowi granicę zaufania (Trust Boundary) dla polityk QoS.

W przypadku wystąpienia zatorów transmisyjnych na łączach do rdzenia lub do warstwy dostępu, przełącznik dystrybucyjny uruchamia algorytmy zaawansowanego kolejkowania (Queuing). Standardem jest stosowanie kolejkowania opartego na klasach CBWFQ (Class-Based Weighted Fair Queuing) w połączeniu ze sztywną kolejką priorytetową LLQ (Low Latency Queuing). Pakiety sygnalizacyjne i głosowe są obsługiwane bezwzględnie w pierwszej kolejności, a ruch masowy (Best Effort) jest buforowany i poddawany technikom unikania zatorów (np. WRED).

Skróty użyte w tym slajdzie:
DSCP - Differentiated Services Code Point - 6-bitowe pole w nagłówku IP definiujące klasę obsługi pakietu w architekturze DiffServ.
CBWFQ - Class-Based Weighted Fair Queuing - zaawansowany algorytm sprawiedliwego kolejkowania pakietów z podziałem na klasy ruchu i wagi pasma.
WRED - Weighted Random Early Detection - algorytm aktywnego unikania zatorów buforowych poprzez losowe wczesne odrzucanie pakietów TCP.
MPLS - Multiprotocol Label Switching - technologia szybkiego przełączania pakietów w sieci szkieletowej w oparciu o etykiety.

W miarę jak sieć kampusowa rozrasta się do kilkunastu budynków i setek podsieci VLAN, zarządzanie globalną tablicą routingu staje się wyzwaniem obliczeniowym. Wprowadzenie protokołów dynamicznego routingu (takich jak OSPF) wymaga optymalizacji wymiany informacji o osiągalności sieci. Jeśli każdy przełącznik rdzeniowy musiałby przechowywać trasy do każdej pojedynczej podsieci /24 w każdym skrzydle każdego gmachu, tablice trasowania rozrosłyby się do nieefektywnych rozmiarów.

Warstwa dystrybucji rozwiązuje ten problem poprzez agregację i sumaryzację tras (Route Summarization / Route Aggregation). Dzięki przemyślanemu, hierarchicznemu planowi adresacji IP (gdzie np. cały budynek A otrzymuje zwarty blok adresowy 10.10.0.0/16, podzielony wewnętrznie na podsieci /24 dla poszczególnych pięter), przełączniki dystrybucyjne rozgłaszają w stronę rdzenia wyłącznie jedną trasę podsumowującą /16.

Sumaryzacja tras przynosi potężną korzyść inżynierską w postaci stabilizacji szkieletu sieci. Gdy w jednym z laboratoriów dydaktycznych dochodzi do awarii kabla lub restartu przełącznika i podsieć lokalna zaczyna niestabilnie gasnąć i wstawać (tzw. zjawisko flappowania łącza), informacja o awarii zostaje uwięziona wewnątrz danego budynku. Przełączniki rdzenia widzą niezmiennie aktywną trasę sumaryczną, dzięki czemu nie muszą przeliczać algorytmu Dijkstry SPF, co chroni procesory szkieletu przed przeciążeniem.

Skróty użyte w tym slajdzie:
CIDR - Classless Inter-Domain Routing - bezklasowa metoda przydzielania adresów IP i agregacji tras routingu za pomocą masek o zmiennej długości.
SPF - Shortest Path First - algorytm wyszukiwania najkrótszej ścieżki w grafie połączeń opracowany przez Dijkstrę, stanowiący serce protokołu OSPF.
VLSM - Variable Length Subnet Mask - technika podziału przestrzeni adresowej IP na podsieci o różnych rozmiarach w zależności od potrzeb segmentu.

Przełączniki warstwy dystrybucji muszą sprostać diametralnie wyższym wymaganiom sprzętowym i wydajnościowym niż urządzenia dostępowe. Podczas gdy na brzegu sieci wystarczają jednostki o przepustowości kilkudziesięciu gigabitów na sekundę, w dystrybucji koncentruje się ruch z tysięcy stacji roboczych. Z tego względu urządzenia te muszą charakteryzować się nieblokującą matrycą komutacyjną o wydajności rzędu setek gigabitów lub nawet terabitów na sekundę (Tb/s) oraz szybkością przekazywania przekraczającą 500 Mpps.

Architektura sprzętowa dystrybucji dzieli się na dwa główne warianty: przełączniki modułowe (Chassis-Based Switches) oraz zaawansowane jednostki o stałej konfiguracji z możliwością wirtualnego łączenia w stosy (Stackable Switches). Urządzenia modułowe oferują wymienną obudowę, redundantne zasilacze, moduły wentylatorów z możliwością wymiany podczas pracy (Hot-Swap) oraz podwójne procesory zarządzające (Dual Supervisors), co gwarantuje dostępność na poziomie 99.999% (tzw. Five Nines).

Krytycznym elementem specyfikacji jest także pojemność pamięci operacyjnej oraz rozmiar buforów pakietowych (Ultra-Deep Buffers). Węzły dystrybucji integrują łącza o bardzo zróżnicowanych prędkościach (agregacja portów 1G/2.5G/10G z dostępu i dosyłanie 10G/25G/40G/100G do rdzenia). Duże bufory zapobiegają gubieniu pakietów podczas zjawiska incast (jednoczesnego nadejścia wielu strumieni danych do jednego portu wyjściowego).

Skróty użyte w tym slajdzie:
Tb/s - Terabits per second - jednostka przepustowości oznaczająca bilion bitów (tysiąc gigabitów) przesyłanych w ciągu sekundy.
Hot-Swap - Technologia wymiany podzespołów sprzętowych (zasilaczy, wentylatorów, kart liniowych) bez wyłączania zasilania urządzenia.
ASIC - Application-Specific Integrated Circuit - wyspecjalizowany procesor sieciowy realizujący przetwarzanie pakietów na poziomie sprzętowym.

Zapewnienie wysokiej dostępności (High Availability - HA) w warstwie dystrybucji jest warunkiem bezwzględnym stabilności całego kampusu. Wzorzec projektowy zakłada bezwzględne instalowanie przełączników dystrybucyjnych w parach redundantnych. Aby urządzenia końcowe nie utraciły możliwości komunikacji w przypadku awarii jednego z przełączników, stosuje się protokoły redundancji bramy pierwszego przeskoku (FHRP - First Hop Redundancy Protocols).

Najpopularniejszym otwartym standardem branżowym jest protokół VRRP (Virtual Router Redundancy Protocol, standard IETF RFC 5798), a w środowiskach jednorodnych Cisco - protokół HSRP (Hot Standby Router Protocol). Mechanizmy te tworzą wirtualny adres IP oraz wirtualny adres MAC bramy, współdzielony przez parę przełączników. W trybie Active/Standby jeden przełącznik aktywnie obsługuje ruch, podczas gdy drugi monitoruje stan partnera za pomocą pakietów Keepalive i w razie awarii przejmuje obsługę w czasie poniżej sekundy.

W nowoczesnych wdrożeniach coraz powszechniej stosuje się technologie wirtualizacji płaszczyzny sterowania, takie jak MC-LAG (Multi-Chassis Link Aggregation), Cisco StackWise Virtual czy vPC (Virtual Port Channel). Pozwalają one na logiczne spięcie dwóch fizycznych przełączników dystrybucyjnych w jedno wirtualne urządzenie. Umożliwia to zestawianie łączy EtherChannel z przełączników dostępowych do obu jednostek dystrybucyjnych jednocześnie, eliminując konieczność blokowania portów przez STP i zapewniając aktywno-aktywny (Active/Active) transfer danych na wszystkich łączach.

Skróty użyte w tym slajdzie:
HA - High Availability - architektura wysokiej dostępności projektowana w celu minimalizacji przestojów i zapewnienia ciągłości działania usług.
VRRP - Virtual Router Redundancy Protocol - standardowy protokół redundancji bramy domyślnej zdefiniowany w dokumencie IETF RFC 5798.
HSRP - Hot Standby Router Protocol - protokół redundancji bramy domyślnej opracowany przez firmę Cisco.
MC-LAG - Multi-Chassis Link Aggregation Group - technologia agregacji łączy do dwóch niezależnych fizycznie urządzeń przełączających.

Warstwa rdzenia (Core Layer), nazywana również szkieletem sieci (Network Backbone), stanowi centralny węzeł komunikacyjny całego kampusu. Jej podstawowym zadaniem jest zapewnienie błyskawicznego, niezawodnego i skalowalnego transportu olbrzymich wolumenów danych pomiędzy poszczególnymi blokami dystrybucyjnymi budynków, centrum danych kampusu (Data Center) oraz modułem styku z siecią zewnętrzną i Internetem.

W odróżnieniu od warstwy dostępu i dystrybucji, rdzeń sieci nie zajmuje się obsługą stacji końcowych ani egzekwowaniem skomplikowanych polityk filtrowania. Metaforycznie rdzeń można porównać do autostrady międzymiastowej: jej zadaniem jest przeprowadzenie maksymalnej liczby pojazdów z najwyższą dozwoloną prędkością, bez spowalniania ruchu skrzyżowaniami z sygnalizacją świetlną czy punktami kontroli celnej.

Fizycznie urządzenia warstwy rdzenia instalowane są w głównym punkcie dystrybucyjnym kampusu (MDF), zazwyczaj zlokalizowanym w centralnej serwerowni uniwersyteckiej lub wydzielonym pomieszczeniu węzłowym. Od węzłów rdzeniowych rozchodzą się wieloparowe magistrale światłowodowe (włókna jednomodowe OS2) docierające do szaf dystrybucyjnych we wszystkich gmachach kampusu.

Skróty użyte w tym slajdzie:
MDF - Main Distribution Frame - główny kampusowy punkt dystrybucyjny integrujący infrastrukturę rdzeniową i magistrale zewnętrzne.
OS2 - Optical Single-Mode 2 - kategoria włókna światłowodowego jednomodowego zoptymalizowana do transmisji na duże odległości z zerowym tłumieniem dyspersyjnym.
DC - Data Center - kampusowe centrum przetwarzania danych grupujące serwery, macierze dyskowe i systemy bazodanowe instytucji.

Projektowanie warstwy rdzenia podlega rygorystycznemu zestawowi zasad inżynierskich, z których najważniejszą jest bezwzględna prostota i minimalizm funkcjonalny. Rdzeń musi być projektowany w sposób całkowicie deterministyczny, co oznacza, że zachowanie każdego urządzenia i czas konwergencji w przypadku awarii muszą być z góry znane i niezależne od bieżącego profilu ruchu generowanego przez użytkowników.

Pierwszą żelazną zasadą jest unikanie bezpośredniego podłączania jakichkolwiek urządzeń końcowych (komputerów, drukarek, telefonów) czy nawet pojedynczych serwerów do przełączników rdzeniowych. Wszelkie punkty końcowe muszą być dołączane wyłącznie przez warstwę dostępu lub dedykowaną dystrybucję serwerową. Naruszenie tej zasady wprowadza do rdzenia niekontrolowany ruch rozgłoszeniowy i grozi wywołaniem pętli L2.

Drugą zasadą jest pełna redundancja sprzętowa i topologiczna bez tworzenia pojedynczych punktów awarii (SPOF). Rdzeń musi składać się z co najmniej dwóch w pełni autonomicznych węzłów połączonych redundantnymi traktami światłowodowymi prowadzonymi różnymi trasami fizycznymi (tzw. redundancja traktów w kanalizacji teletechnicznej). Wreszcie, w rdzeniu sieci kampusowej stosuje się wyłącznie czysty routing warstwy 3, całkowicie eliminując protokół STP ze szkieletu.

Skróty użyte w tym slajdzie:
SPOF - Single Point of Failure - element architektury, którego uszkodzenie uniemożliwia dalszą poprawną pracę całego systemu.
L3 - Layer 3 - warstwa sieciowa modelu OSI zapewniająca logiczne trasowanie pakietów na podstawie adresów IP.
STP - Spanning Tree Protocol - protokół drzewa rozpinającego, którego stosowanie w rdzeniu jest błędem inżynierskim.

Wydajność warstwy rdzenia definiowana jest przez dwa nierozłączne parametry: przepustowość zagregowaną (Throughput) oraz opóźnienie propagacji i przetwarzania pakietu (Latency). W nowoczesnym kampusie uniwersyteckim lub korporacyjnym, gdzie setki badaczy i tysiące studentów przesyłają równolegle dane pomiarowe, strumienie wideo i zapytania do chmury, łącza rdzeniowe muszą oferować standardy 40 GbE (40GBASE-LR4), 100 GbE (100GBASE-LR4), a w największych węzłach 400 GbE.

Aby zagwarantować pełną wydajność w każdych warunkach, matryca komutacyjna przełącznika rdzeniowego musi pracować w architekturze bezblokującej (Non-Blocking Architecture). Oznacza to, że każdy port urządzenia może transmitować i odbierać dane z maksymalną fizyczną prędkością interfejsu (Wire-Speed) bez względu na stan obciążenia pozostałych interfejsów i bez konieczności kolejkowania pakietów na magistrali wewnętrznej.

Równie istotna jest minimalizacja zjawiska jitteru (wahań opóźnienia). Sprzętowe układy ASIC przełączników szkieletowych realizują przełączanie typu Cut-Through lub wysoce zoptymalizowane Store-and-Forward z opóźnieniami rzędu kilkuset nanosekund. Taka deterministyczna charakterystyka czasowa gwarantuje, że kampusowa sieć szkieletowa jest całkowicie przezroczysta dla najbardziej wymagających protokołów klastrowych i aplikacji czasu rzeczywistego.

Skróty użyte w tym slajdzie:
GbE - Gigabit Ethernet - rodzina standardów sieciowych Ethernet o prędkościach gigabitowych i wielogigabitowych.
ASIC - Application-Specific Integrated Circuit - procesory sprzętowe matrycy komutacyjnej gwarantujące transfer wire-speed.
Cut-Through - Technika przełączania pakietów polegająca na wysyłaniu ramki natychmiast po odczytaniu adresu docelowego, przed odebraniem całości danych.

Jednym z najczęstszych błędów popełnianych przez niedoświadczonych projektantów jest próba przeniesienia mechanizmów inspekcji bezpieczeństwa i skomplikowanego filtrowania ruchu bezpośrednio do warstwy rdzenia. Wprowadzenie rozległych list kontroli dostępu ACL, włączanie głębokiej inspekcji pakietów (DPI - Deep Packet Inspection) czy instalowanie zapór sieciowych (Firewall) wprost na magistralach rdzeniowych drastycznie degraduje wydajność szkieletu.

Wszelkie złożone operacje analityczne wymagają buforowania pakietów, deasemblacji strumieni TCP i badania ładunku użytecznego (Payload). Nawet najpotężniejsze zapory sieciowe NGFW przetwarzają ruch ze znacznie większym opóźnieniem niż czyste przełączniki trasujące warstwy 3. Umieszczenie takich mechanizmów w rdzeniu tworzy wąskie gardło transmisyjne, zwiększa narzut procesora i uniemożliwia osiągnięcie czasów transferu na poziomie nanosekund.

Właściwy wzorzec architektoniczny zakłada podział obowiązków: filtrowanie i inspekcja realizowane są na brzegu sieci (w warstwie dostępu za pomocą mechanizmów L2 Security oraz w warstwie dystrybucji za pomocą reguł ACL), natomiast rdzeń pozostaje czystym środowiskiem transportowym. Jedyną formą polityki realizowaną w rdzeniu może być elementarna obsługa znaczników jakości usług DSCP w celu zapewnienia priorytetu dla pakietów krytycznych.

Skróty użyte w tym slajdzie:
DPI - Deep Packet Inspection - zaawansowana technika analizy zawartości pakietów sieciowych do warstwy aplikacji włącznie.
NGFW - Next-Generation Firewall - zaawansowana zapora sieciowa integrująca stanową filtrację, systemy IPS oraz kontrolę aplikacji.
IPS - Intrusion Prevention System - system aktywnego wykrywania i blokowania intruzów oraz ataków sieciowych w czasie rzeczywistym.

Topologia połączeń fizycznych w warstwie rdzenia decyduje o stopniu odporności kampusu na awarie pojedynczych łączy i całych węzłów sieciowych. W teorii najbardziej niezawodnym układem jest topologia pełnej siatki (Full Mesh), w której każdy przełącznik rdzenia i dystrybucji posiada bezpośrednie połączenie kablowe z każdym innym urządzeniem. Jednakże w kampusach liczących kilkanaście budynków pełna siatka staje się nieefektywna ze względu na lawinowy wzrost liczby wymaganych portów i włókien światłowodowych (zgodnie ze wzorem n*(n-1)/2).

Z tego względu standardem w projektowaniu kampusów jest topologia częściowej siatki (Partial Mesh) zrealizowana w układzie podwójnego dołączania (Dual-Homing). W modelu tym para centralnych przełączników rdzeniowych spięta jest ze sobą redundantnymi łączami szkieletowymi, a każdy blok dystrybucyjny w budynku posiada dokładnie dwa niezależne łącza dosyłowe: jedno do rdzenia podstawowego (Core 1), drugie do rdzenia zapasowego (Core 2).

Zastosowanie dynamicznego routingu L3 (np. OSPF) w topologii Dual-Homing umożliwia włączenie mechanizmu ECMP (Equal-Cost Multi-Path). Obydwa łącza dosyłowe z każdego budynku pracują jednocześnie, a ruch jest równomiernie bilansowany pomiędzy dwoma przełącznikami rdzeniowymi na podstawie skrótów (Hash) z adresów IP i portów TCP/UDP. W przypadku zerwania jednego z traktów światłowodowych cały ruch jest natychmiast, bezprzerwowo kierowany przez drugie łącze.

Skróty użyte w tym slajdzie:
Full Mesh - Topologia pełnej siatki, w której każdy węzeł sieci posiada bezpośrednie połączenie fizyczne z każdym innym węzłem.
Dual-Homing - Wzorzec projektowy polegający na podłączaniu urządzenia sieciowego dwoma niezależnymi łączami do dwóch odrębnych węzłów nadrzędnych.
ECMP - Equal-Cost Multi-Path - technologia routingu umożliwiająca jednoczesne przesyłanie ruchu wieloma ścieżkami o identycznym koszcie metryki.

Urządzenia dedykowane do pracy w warstwie rdzenia to najbardziej zaawansowane jednostki komutacyjne w portfolio producentów teleinformatycznych. W dużych kampusach akademickich standardem są przełączniki modułowe (Modular Chassis). Posiadają one wieloslotowe obudowy pozwalające na elastyczną instalację kart liniowych (Line Cards) o zróżnicowanej gęstości portów optycznych (np. moduły 32x 100GbE lub 48x 25GbE).

Sercem przełącznika modułowego są procesory zarządzające i silniki routingu (Supervisor Engines). W architekturze szkieletowej obligatoryjnie instaluje się dwa moduły Supervisor pracujące w trybie wysokiej dostępności Stateful Switchover (SSO) oraz Nonstop Forwarding (NSF). W przypadku awarii lub zacięcia procesora aktywnego jednostka zapasowa przejmuje kontrolę w ułamku sekundy bez restartu urządzenia i bez utraty choćby jednego pakietu danych.

W nowoczesnych średnich kampusach alternatywą dla wielkich szaf modułowych stają się stałokonfiguracyjne przełączniki szkieletowe typu 'Spine' (znane z architektur centrów danych). Urządzenia te w obudowach 1U lub 2U oferują gęstość 32-64 portów 100G/400G zasilanych układami ASIC nowej generacji. Wyróżniają się one mniejszym poborem energii, niższym kosztem zakupu oraz pełną obsługą nowoczesnej telemetrii strumieniowej.

Skróty użyte w tym slajdzie:
SSO - Stateful Switchover - mechanizm synchronizacji stanu sesji pomiędzy dwoma procesorami zarządzającymi zapewniający bezprzerwową pracę przełącznika.
NSF - Nonstop Forwarding - technologia umożliwiająca przekazywanie pakietów przez karty liniowe podczas restartu lub przełączania procesora routingu.
Spine - Warstwa nadrzędnych przełączników szkieletowych w dwuwarstwowej architekturze Spine-Leaf zapewniająca maksymalną przepustowość połączeń.

Płaszczyzna sterowania (Control Plane) przełącznika sieciowego odpowiada za obsługę protokołów routingu (OSPF, BGP), protokołów zarządzania (SSH, SNMP), sygnalizacji wysokiej dostępności (BFD, VRRP) oraz obsługę pakietów adresowanych bezpośrednio do procesora urządzenia (CPU). Ponieważ moc obliczeniowa procesora zarządzającego jest skończona, płaszczyzna sterowania stanowi najbardziej narażony na ataki element architektury szkieletowej.

Control Plane Policing (CoPP) to zaawansowany mechanizm ochronny implementowany w układach ASIC przełączników rdzeniowych i dystrybucyjnych. Jego zadaniem jest bezwzględna ochrona procesora przed zalaniem niepożądanym ruchem (atakami DoS/DDoS), błędami konfiguracji sieciowej (pętlami pakietów sterujących) oraz przeciążeniem w stanach awaryjnych. CoPP traktuje procesor przełącznika jako wydzielony interfejs logiczny, na którym wymuszane są rygorystyczne polityki limitowania pasma.

W ramach CoPP pakiety zmierzające do procesora są klasyfikowane do odrębnych klas ruchu (Traffic Classes). Pakiety o krytycznym znaczeniu dla spójności sieci (np. pakiety OSPF Hello, BFD, sesje SSH od administratora) otrzymują gwarantowane pasmo i najwyższy priorytet. Natomiast ruch potencjalnie niebezpieczny lub generujący duże obciążenie (np. zapytania ICMP Echo, pakiety IP z błędnymi opcjami czy nadmiarowe komunikaty ARP) jest ściśle limitowany (Rate-Limited), a wszelkie nadwyżki są natychmiast odrzucane sprzętowo.

Skróty użyte w tym slajdzie:
CoPP - Control Plane Policing - mechanizm sprzętowej filtracji i limitowania ruchu kierowanego do procesora sterującego przełącznika sieciowego.
BFD - Bidirectional Forwarding Detection - protokół detekcji uszkodzeń łączy komunikacyjnych działający w czasie poniżej kilkunastu milisekund.
DDoS - Distributed Denial of Service - rozproszony atak sieciowy mający na celu przeciążenie zasobów systemu i uniemożliwienie jego normalnego działania.
SSH - Secure Shell - kryptograficzny protokół komunikacyjny służący do bezpiecznego zdalnego zarządzania urządzeniami sieciowymi przez sieć IP.

Wysoka niezawodność (High Availability) w warstwie rdzenia sieci kampusowej jest nadrzędnym wymogiem projektowym, ponieważ jakakolwiek przerwa w pracy szkieletu odcina od komunikacji całe wydziały, serwerownie i styk z Internetem. Osiągnięcie bezprzerwowej ciągłości działania wymaga zintegrowania nadmiarowości sprzętowej z zaawansowanymi protokołami detekcji i szybkiej zbieżności routingu (Fast Convergence).

Jednym z najważniejszych mechanizmów jest protokół BFD (Bidirectional Forwarding Detection, standard RFC 5880). BFD umożliwia wykrywanie awarii toru transmisyjnego w czasie poniżej 30-50 milisekund, współpracując z protokołami routingu OSPF i BGP. W przypadku fizycznego przerwania kabla lub zawieszenia optyki, BFD natychmiast powiadamia proces routingu, co pozwala na natychmiastowe przekierowanie ruchu na ścieżkę alternatywną bez oczekiwania na wygaszenie timerów Keepalive.

W połączeniu z mechanizmami NSR (Non-Stop Routing) oraz ISSU (In-Service Software Upgrade), przełączniki rdzeniowe mogą przechodzić aktualizacje oprogramowania układowego i łat bezpieczeństwa w trakcie normalnego dnia roboczego bez powodowania choćby sekundowej przerwy w przesyłaniu danych. Jest to fundament spełnienia rygorystycznych wymogów dyrektywy NIS 2 w zakresie odporności infrastruktury krytycznej instytucji.

Skróty użyte w tym slajdzie:
BFD - Bidirectional Forwarding Detection - protokół szybkiej, niskonarzutowej detekcji przerw w łączności pomiędzy sąsiadującymi węzłami sieciowymi.
NSR - Non-Stop Routing - mechanizm utrzymujący aktywne sesje i tablice routingu w pamięci procesora zapasowego podczas restartu modułu sterującego.
ISSU - In-Service Software Upgrade - procedura aktualizacji systemu operacyjnego przełącznika bez przerywania transferu ruchu użytkowników.
NIS 2 - Network and Information Security Directive 2 - unijna dyrektywa określająca wymogi odporności i bezpieczeństwa systemów teleinformatycznych.

Klasyczny model trójwarstwowy (Three-Tier Campus Architecture) to tradycyjna i najbardziej uniwersalna implementacja architektury hierarchicznej w inżynierii sieciowej. Charakteryzuje się ona fizycznym i logicznym wyodrębnieniem wszystkich trzech warstw: dedykowane przełączniki brzegowe tworzą warstwę dostępu, dedykowane węzły w poszczególnych budynkach tworzą warstwę dystrybucji, a centralna para przełączników o najwyższej mocy obliczeniowej stanowi niezależną warstwę rdzenia.

Największą siłą klasycznego modelu trójwarstwowego jest jego bezkonkurencyjna skalowalność. Architektura ta pozwala na liniowe dołączanie kolejnych budynków, laboratoriów badawczych czy kampusów satelickich bez ryzyka degradacji parametrów transmisyjnych istniejącej infrastruktury. Każdy nowy obiekt stanowi autonomiczny blok z własną dystrybucją, włączany dwoma traktami do wspólnego rdzenia.

Ponadto model trójwarstwowy gwarantuje idealną izolację problemów. Ewentualne przeciążenia, błędne konfiguracje reguł bezpieczeństwa czy zmiany topologiczne na poziomie dystrybucji danego wydziału nie wpływają na pozostałe jednostki organizacyjne uczelni. Model ten stanowi referencyjny punkt odniesienia przy sporządzaniu planów rozwoju sieci dla dużych jednostek publicznych i korporacji.

Skróty użyte w tym slajdzie:
Three-Tier - Klasyczna architektura trójwarstwowa składająca się z niezależnych fizycznie warstw dostępu, dystrybucji i rdzenia.
Scalability - Skalowalność - zdolność infrastruktury do obsługi rosnącego wolumenu ruchu i liczby użytkowników poprzez dodawanie zasobów bez modyfikacji szkieletu.
Convergence - Zbieżność sieci - stan, w którym wszystkie urządzenia sieciowe posiadają spójne, zaktualizowane tablice trasowania i topologii po wystąpieniu zmian.

Zastosowanie klasycznego modelu trójwarstwowego jest standardem inżynierskim w dużych kampusach akademickich, centrach medycznych, bazach wojskowych oraz rozległych kompleksach biurowych skupiających od kilku do kilkudziesięciu odrębnych budynków. W takich środowiskach odległości geograficzne pomiędzy obiektami wynoszą od kilkuset metrów do wielu kilometrów, co wymaga budowy dedykowanej infrastruktury światłowodowej w kanalizacji teletechnicznej.

W tak rozległym obiekcie każdy gmach wyposażony jest we własną szafę MDF z parą przełączników dystrybucyjnych, które koncentrują połączenia z kilkunastu szaf piętrowych IDF. Zamiast prowadzić kosztowne kable światłowodowe z każdego piętra każdego budynku do jednej centralnej serwerowni, pociągnięcie magistrali dystrybucyjnej pozwala na drastyczne zaoszczędzenie włókien światłowodowych i uproszczenie gospodarki kablowej.

Dedykowany rdzeń zlokalizowany w centralnym węźle kampusu łączy ze sobą wszystkie dystrybucje budynkowe, zapewniając tranzyt danych z pełną prędkością 100 Gb/s. Taka struktura ułatwia także elastyczne zarządzanie ruchem badawczym (np. przesyłanie wielkich zbiorów danych z laboratoriów fizyki jądrowej do superkomputerów obliczeniowych) bez zakłócania codziennej pracy sieci administracyjnej.

Skróty użyte w tym slajdzie:
MDF - Main Distribution Frame - główny punkt dystrybucyjny w budynku skupiający okablowanie pionowe i łącza do węzła centralnego.
IDF - Intermediate Distribution Frame - piętrowy punkt dystrybucyjny obsługujący gniazda dostępowe na danej kondygnacji.
HPC - High-Performance Computing - systemy obliczeń wielkiej wydajności (superkomputery) generujące olbrzymie przepływy danych w sieci kampusowej.

W instalacjach o mniejszej lub średniej skali - takich jak pojedynczy wieżowiec biurowy, mały kampus akademicki liczący 2-3 budynki lub zwarta szkoła wyższa - wdrażanie pełnego modelu trójwarstwowego bywa nieuzasadnione ekonomicznie. W takich przypadkach optymalnym rozwiązaniem inżynierskim jest model ze zwiniętym rdzeniem (Collapsed Core Architecture), określany również mianem architektury dwuwarstwowej (Two-Tier Campus).

W architekturze zwiniętej funkcjonalności warstwy rdzenia oraz warstwy dystrybucji zostają połączone i zaimplementowane w ramach pojedynczej pary przełączników wielowarstwowych. Urządzenia te pełnią równolegle rolę szkieletu tranzytowego, bram domyślnych dla sieci VLAN (routing między-VLAN), agregatorów połączeń z warstwy dostępu oraz punktów egzekwowania reguł bezpieczeństwa i jakości usług.

Przełączniki dostępowe zlokalizowane na poszczególnych piętrach łączą się bezpośrednio łączami dosyłowymi do centralnej pary przełączników zwiniętego rdzenia. Eliminuje to konieczność zakupu odrębnych przełączników rdzeniowych, co przekłada się na mniejsze zapotrzebowanie na przestrzeń w szafach rackowych, niższy pobór energii elektrycznej oraz radykalne uproszczenie schematu logicznego sieci.

Skróty użyte w tym slajdzie:
Two-Tier - Architektura dwuwarstwowa, w której warstwa rdzenia i dystrybucji są zintegrowane w jednej parze urządzeń sieciowych.
Collapsed Core - Zwinięty rdzeń - wzorzec projektowy integrujący funkcje tranzytowe rdzenia i integracyjne dystrybucji w jednym węźle komutacyjnym.
VLAN - Virtual Local Area Network - wirtualna sieć lokalna terminowana bezpośrednio na przełącznikach zwiniętego rdzenia.

Wybór modelu ze zwiniętym rdzeniem niesie ze sobą istotne zalety ekonomiczne i operacyjne. Przede wszystkim drastycznie obniża nakłady inwestycyjne (CAPEX), ponieważ eliminuje konieczność zakupu dedykowanych, kosztownych przełączników rdzeniowych oraz drogich wkładek optycznych o najwyższych prędkościach. Dodatkowo mniejsza liczba urządzeń aktywnych oznacza mniejsze zużycie energii i mniejsze koszty chłodzenia (OPEX).

Z punktu widzenia administratora model dwuwarstwowy jest znacznie prostszy w bieżącej eksploatacji. Konfiguracja routingu dynamicznego, polityk list dostępu ACL oraz mechanizmów DHCP Snooping skupiona jest na jednej parze urządzeń, co ułatwia zarządzanie konfiguracją, przyspiesza wdrożenia i ułatwia diagnostykę problemów sieciowych.

Jednakże architektura zwinięta posiada także wyraźne ograniczenia inżynierskie. W miarę rozrostu organizacji centralna para przełączników musi sprostać zarówno gigantycznemu ruchowi tranzytowemu, jak i złożonej inspekcji pakietów oraz terminacji setek sieci VLAN. Gdy liczba przełączników dostępowych przekroczy możliwości portowe i wydajnościowe zwiniętego rdzenia, jedynym wyjściem staje się kosztowna migracja do pełnego modelu trójwarstwowego.

Skróty użyte w tym slajdzie:
CAPEX - Capital Expenditure - wydatki inwestycyjne ponoszone na zakup sprzętu sieciowego i infrastruktury pasywnej.
OPEX - Operating Expenses - koszty bieżącej eksploatacji, serwisu i energii elektrycznej urządzeń sieciowych.
ACL - Access Control List - reguły filtrowania pakietów przetwarzane przez procesory zwiniętego rdzenia.

Podjęcie decyzji o wyborze pomiędzy klasycznym modelem trójwarstwowym a architekturą ze zwiniętym rdzeniem wymaga od projektanta wnikliwej analizy wielu kryteriów technicznych, organizacyjnych i finansowych. Podstawowym kryterium jest fizyczna skala obiektu: liczba budynków, rozproszenie geograficzne oraz łączna liczba portów dostępowych wymaganych w perspektywie kolejnych 5-10 lat eksploatacji.

W obiektach jednotraktowych lub małych kampusach skupiających do 1000-2000 portów użytkowników i mniej niż 3-4 budynki optymalnym wyborem pod względem relacji kosztu do korzyści jest model zwinięty (Collapsed Core). Pozwala on uniknąć nadmiernego skomplikowania infrastruktury przy jednoczesnym zapewnieniu wysokiej dostępności i odpowiedniej wydajności.

Z kolei w przypadku kampusów wielobudynkowych, liczących powyżej 2000-3000 portów lub charakteryzujących się intensywną komunikacją międzybudynkową, wybór dedykowanego rdzenia jest koniecznością. Równie istotnym kryterium jest planowana dynamika rozwoju: jeśli uczelnia planuje budowę nowych wydziałów lub włączenie kampusów filialnych, elastyczność klasycznego modelu trójwarstwowego gwarantuje bezproblemową rozbudowę szkieletu.

Skróty użyte w tym slajdzie:
TCO - Total Cost of Ownership - całkowity koszt posiadania infrastruktury obejmujący zakup, wdrożenie, licencje i wieloletnie utrzymanie.
ROI - Return on Investment - wskaźnik rentowności inwestycji teleinformatycznej określający opłacalność przyjętych rozwiązań technicznych.
Port Density - Gęstość portów - liczba interfejsów fizycznych przypadająca na jednostkę wysokości szafy teleinformatycznej lub całe urządzenie.

Koncepcja modułowości sieci kampusowej (Campus Modular Design) stanowi rozwinięcie zasad architektury hierarchicznej i opiera się na wyodrębnieniu autonomicznych, wystandaryzowanych bloków budynkowych (Building Blocks). Każdy gmach w kampusie projektowany jest jako powtarzalna jednostka architektoniczna, posiadająca własną strukturę okablowania pionowego, szafy piętrowe IDF oraz węzeł dystrybucji budynku.

Dzięki takiemu podejściu sieć kampusowa staje się zbiorem identycznych modułów komunikujących się ze wspólnym szkieletem. Wymiana przełączników, testowanie nowych wersji oprogramowania czy wprowadzanie zmian w adresacji IP może odbywać się blok po bloku, bez ryzyka destabilizacji całego uniwersytetu. Nowo wybudowany obiekt jest po prostu dołączany jako kolejny blok budynkowy za pomocą dwóch traktów światłowodowych do węzłów rdzenia.

Modułowość ułatwia także tworzenie jednoznacznych specyfikacji przetargowych w zamówieniach publicznych. Zamiast za każdym razem projektować infrastrukturę od podstaw, inżynier posługuje się sprawdzonym szablonem bloku budynkowego (Building Module Blueprint), precyzując jedynie liczbę szaf piętrowych i wymaganą gęstość portów w zależności od kubatury gmachu.

Skróty użyte w tym slajdzie:
Blueprint - Wystandaryzowany projekt referencyjny bloku sieciowego stosowany do powtarzalnego wdrażania w kolejnych obiektach.
IDF - Intermediate Distribution Frame - szafa dystrybucyjna kondygnacji wchodząca w skład bloku budynkowego.
Uplink - Łącze dosyłowe o podwyższonej przepustowości łączące blok budynkowy ze szkieletem sieci.

Moduł serwerowy i kampusowe centrum danych (Campus Data Center Block) to wyspecjalizowany blok architektoniczny, który z punktu widzenia hierarchii traktowany jest w sposób uprzywilejowany. W tym segmencie skoncentrowane są strategiczne zasoby instytucji: serwery systemów dziekanatowych (np. USOS), platformy e-learningowe (Moodle), uczelniana poczta elektroniczna, repozytoria danych badawczych oraz macierze dyskowe SAN/NAS.

W module serwerowym charakterystyka ruchu sieciowego diametralnie różni się od bloków biurowych. Obok tradycyjnego ruchu użytkowników (ruch północ-południe, North-South Traffic) dominuje intensywna komunikacja pomiędzy samymi serwerami i klastrami wirtualizatorów (ruch wschód-zachód, East-West Traffic) generowana przez migracje maszyn wirtualnych czy replikację baz danych. Wymaga to zastosowania przełączników o ultra-niskich opóźnieniach i architekturze Spine-Leaf.

W hierarchii kampusowej moduł serwerowy podłączany jest bezpośrednio do warstwy rdzenia za pośrednictwem dedykowanej pary przełączników dystrybucji serwerowej (Data Center Aggregation). Nigdy nie należy mieszać serwerów produkcyjnych z przełącznikami dostępu dla studentów i pracowników, ponieważ wymaga to odrębnych polityk chłodzenia, podwójnego zasilania z torów A+B oraz zaawansowanej ochrony zaporami ogniowymi segmentacji wewnętrznej (ISFW).

Skróty użyte w tym slajdzie:
SAN - Storage Area Network - dedykowana, szybka sieć pamięci masowych łącząca serwery z macierzami dyskowymi (np. protokoły Fibre Channel lub iSCSI).
NAS - Network Attached Storage - sieciowa pamięć masowa udostępniająca zasoby plikowe przez protokoły NFS lub SMB/CIFS.
ISFW - Internal Segmentation Firewall - wewnętrzna zapora sieciowa filtrująca ruch pomiędzy różnymi strefami serwerowymi i aplikacyjnymi.
USOS - Uniwersytecki System Obsługi Studiów - zintegrowany system informatyczny powszechnie stosowany w polskich uczelniach wyższych.

Moduł styku z siecią zewnętrzną i Internetem (Enterprise Edge / WAN Block) to brama łącząca wewnętrzną infrastrukturę kampusu ze światem zewnętrznym. Obejmuje on połączenia do operatorów telekomunikacyjnych (ISP), punkty wymiany ruchu internetowego (IXP), łącza do akademickich sieci szkieletowych (takich jak ogólnopolska sieć PIONIER) oraz szyfrowane tunele VPN łączące odległe kampusy satelickie.

Architektura modułu brzegowego podlega najwyższym rygorom bezpieczeństwa. To tutaj instalowane są brzegowe zapory sieciowe NGFW pracujące w klastrach wysokiej dostępności, systemy ochrony przed atakami wolumetrycznymi DDoS, serwery strefy zdemilitaryzowanej DMZ (udostępniające publiczne portale www i serwery pocztowe) oraz bramy bezpiecznego dostępu zdalnego (IPsec/SSL VPN).

W warstwie routingu węzły styku brzegowego uruchamiają protokół BGP (Border Gateway Protocol) z wykorzystaniem własnego numeru systemu autonomicznego (ASN) i publicznych prefiksów IP przydzielonych przez regionalny rejestr internetowy (RIPE NCC). Dwa niezależne łącza do różnych operatorów (Multi-Homing) gwarantują nieprzerwaną łączność ze światem nawet w przypadku całkowitej awarii jednego z dostawców Internetu.

Skróty użyte w tym slajdzie:
ISP - Internet Service Provider - dostawca usług internetowych zapewniający łączność ze światową siecią IP.
VPN - Virtual Private Network - szyfrowana sieć wirtualna umożliwiająca bezpieczną komunikację przez publiczną infrastrukturę transmisyjną.
DMZ - Demilitarized Zone - wydzielona strefa zdemilitaryzowana izolująca publicznie dostępne serwery od wewnętrznej sieci kampusu.
ASN - Autonomous System Number - unikalny w skali globalnej numer identyfikujący system autonomiczny w protokole routingu BGP.
PIONIER - Polski Internet Optyczny - akademicka sieć światłowodowa łącząca polskie ośrodki naukowe i uniwersyteckie.

W architekturze fizycznej sieci kampusowej kluczowe znaczenie ma precyzyjne rozplanowanie punktów dystrybucyjnych: relacji pomiędzy głównym punktem dystrybucyjnym MDF (Main Distribution Frame) a pośrednimi punktami dystrybucyjnymi IDF (Intermediate Distribution Frame). Relacja ta stanowi fizyczne odzwierciedlenie logicznego modelu hierarchicznego w strukturze budowlanej kampusu.

Główny punkt dystrybucyjny MDF mieści się w strategicznym węźle obiektu. W kampusie wielobudynkowym funkcję tę pełni kampusowy punkt rozdzielczy CD (Campus Distributor) lub budynkowy punkt BD (Building Distributor) zgodnie z normą PN-EN 50173-1. W szafach MDF instalowane są przełączniki rdzeniowe i dystrybucyjne, panele krosowe magistrali szkieletowej, centralne zasilacze UPS oraz systemy klimatyzacji precyzyjnej.

Pośrednie punkty dystrybucyjne IDF, nazywane kondygnacyjnymi punktami rozdzielczymi FD (Floor Distributor), rozmieszczone są na poszczególnych piętrach budynków w taki sposób, aby długość miedzianego okablowania poziomego do najdalszego gniazda RJ-45 nigdy nie przekroczyła dopuszczalnej normą odległości 90 metrów dla łącza stałego (Permanent Link). Pomiędzy szafami IDF a szafą MDF prowadzona jest wieloparowa magistrala pionowa ze światłowodów wielomodowych lub jednomodowych.

Skróty użyte w tym slajdzie:
MDF - Main Distribution Frame - główny punkt dystrybucyjny w obiekcie integrujący infrastrukturę aktywną i magistralną.
IDF - Intermediate Distribution Frame - piętrowa szafa teletechniczna obsługująca gniazda dostępowe na danej kondygnacji.
UPS - Uninterruptible Power Supply - zasilacz bezprzerwowy gwarantujący podtrzymanie zasilania urządzeń sieciowych w przypadku zaniku prądu w sieci energetycznej.
PDU - Power Distribution Unit - modułowa listwa dystrybucji zasilania montowana w szafach rackowych.

Zakończenie fazy projektowania lub modernizacji architektury hierarchicznej wymaga przeprowadzenia rygorystycznej procedury weryfikacji i audytu technicznego. Projektant nie może polegać wyłącznie na deklaracjach teoretycznych, lecz musi poddać sieć testom odbiorczym weryfikującym zachowanie infrastruktury w warunkach granicznego obciążenia oraz symulowanych awarii sprzętowych.

Kluczowym elementem weryfikacji są testy zbieżności i wysokiej dostępności (Convergence & Failover Testing). Inżynierowie przeprowadzają kontrolowane wyłączenia zasilania na jednym z przełączników rdzeniowych, restartują silniki routingu supervisor oraz symulują zerwanie głównych traktów światłowodowych, mierząc za pomocą analizatorów sieciowych czas przełączenia ruchu i liczbę utraconych pakietów. Czasy przełączenia w prawidłowo zaprojektowanym kampusie nie powinny przekraczać kilkudziesięciu milisekund.

Kolejnym etapem jest audyt poprawności konfiguracji i bezpieczeństwa. Weryfikuje się spójność tablic routingu, brak niepożądanych pętli STP, działanie mechanizmów BPDU Guard na wszystkich portach brzegowych, poprawność reguł CoPP chroniących procesory oraz bilans budżetu mocy PoE. Dopiero po pomyślnym zaliczeniu kompletnej checklisty testowej obiekt może zostać dopuszczony do eksploatacji produkcyjnej.

Skróty użyte w tym slajdzie:
Failover - Procedura automatycznego przełączania obciążenia na węzeł lub łącze zapasowe w momencie wystąpienia awarii komponentu podstawowego.
Audit - Formalny proces badania zgodności konfiguracji, wydajności i bezpieczeństwa infrastruktury teleinformatycznej ze standardami projektowymi.
NMS - Network Management System - oprogramowanie do centralnego monitorowania i audytu parametrów telemetrycznych węzłów sieciowych.

Podsumowując zagadnienia poruszone w niniejszym wykładzie, należy podkreślić, że trójwarstwowy model hierarchiczny pozostaje najbardziej fundamentalnym i niezmiennym wzorcem inżynierskim w projektowaniu sieci kampusowych. Choć technologie transmisyjne ewoluowały od megabitowych koncentratorów do setek gigabitów na nowoczesnych układach ASIC, zasada dekompozycji funkcji na warstwy dostępu, dystrybucji i rdzenia zachowuje pełną aktualność.

Prawidłowe wdrożenie modelu eliminuje patologie sieci płaskich: ogranicza zasięg domen rozgłoszeniowych, zapobiega powstawaniu pętli komutacyjnych, umożliwia bezpieczną segmentację VLAN i zapewnia deterministyczne, obliczalne opóźnienia dla ruchu krytycznego. Ułatwia to także liniową rozbudowę kampusu poprzez dodawanie powtarzalnych bloków budynkowych.

Wybór pomiędzy klasyczną strukturą trójwarstwową a modelem ze zwiniętym rdzeniem (Collapsed Core) musi być podyktowany chłodną kalkulacją inżynierską: skalą obiektu, liczbą portów, topologią budynków oraz dostępnym budżetem inwestycyjnym i operacyjnym. Opanowanie tych zasad stanowi dla przyszłego inżyniera sieciowego warunek konieczny do samodzielnego projektowania niezawodnej infrastruktury teleinformatycznej.

Skróty użyte w tym slajdzie:
CAN - Campus Area Network - wielobudynkowa sieć teleinformatyczna łącząca obiekty instytucji na wspólnym obszarze.
Core - Warstwa rdzenia - szkielet transmisyjny sieci kampusowej zapewniający bezopóźnieniowy transfer wire-speed.
Distribution - Warstwa dystrybucji - punkt integracji, granica L2/L3, routing między-VLAN, filtrowanie ACL i agregacja łączy.
Access - Warstwa dostępu - brzegowa warstwa sieci przyłączająca użytkowników, dostarczająca zasilanie PoE i wymuszająca bezpieczeństwo portów.

Zrozumienie przewodowej architektury hierarchicznej stanowi niezbędny fundament do przejścia do kolejnego kluczowego modułu dydaktycznego, którym będzie projektowanie i wymiarowanie kampusowych sieci bezprzewodowych WLAN (Wireless Local Area Network). Współczesne Wi-Fi nie jest bowiem odrębnym bytem, lecz bezpośrednim przedłużeniem przewodowej warstwy dostępu do środowiska radiowego.

W kolejnym wykładzie szczegółowo przeanalizujemy fizykę medium radiowego, mechanizmy modulacji standardów IEEE 802.11ax (Wi-Fi 6/6E) oraz wchodzącego standardu IEEE 802.11be (Wi-Fi 7). Pokażemy, dlaczego punkty dostępowe nowej generacji wymagają wielobiegowych portów mGig oraz zaawansowanego zasilania w standardzie IEEE 802.3bt, łącząc bezpośrednio zagadnienia warstwy radiowej z poznanymi dziś parametrami przełączników dostępowych.

Zbadamy również architekturę centralnych kontrolerów sieci bezprzewodowej WLC, protokół tunelowania CAPWAP, mechanizmy bezpiecznego roamingu oraz zasady projektowania pokrycia radiowego w środowiskach wysokiej gęstości (High Density), takich jak aule uniwersyteckie czy sale seminaryjne. Wiedza o modelu hierarchicznym pozwoli słuchaczom zrozumieć, gdzie i dlaczego terminować ruch bezprzewodowy w szkielecie kampusu.

Skróty użyte w tym slajdzie:
WLAN - Wireless Local Area Network - lokalna sieć bezprzewodowa zapewniająca mobilną łączność radiową w standardzie IEEE 802.11.
WLC - Wireless LAN Controller - centralny kontroler zarządzający konfiguracją, parametrami radiowymi i bezpieczeństwem punktów AP w kampusie.
CAPWAP - Control and Provisioning of Wireless Access Points - protokół standaryzowany przez IETF służący do bezpiecznego tunelowania ruchu pomiędzy AP a kontrolerem WLC.
Wi-Fi - Znak towarowy organizacji Wi-Fi Alliance certyfikujący urządzenia bezprzewodowe zgodne ze standardami rodziny IEEE 802.11.