有很多方法可以做到这一点。以下是一些观察结果：

• 将第 3 层尽可能靠近最终用户通常是一个好主意。由于您到处都有第 3 层交换机，因此您很容易做到这一点。
• 您应该考虑创建一个路由层次结构，其中分支交换机终止本地 VLAN，核心交换机终止分支链路。
• 虽然将每个部门放在单独的 VLAN 上没有问题，但除非您计划限制部门之间的访问，否则没有真正的价值。
• 更重要的是确保没有第 2 层链接连接您的分支机构。一切都应该是L3。我认为没有必要在任何地方使用中继。
• 将您的服务器放在它们自己的 VLAN 上以保持设计一致性，而且因为这是最有可能实施策略的地方。

所以这里有几点我建议：

• 在防火墙自身上创建每个VLAN的虚拟接口，作为VLAN内每个主机的网关。
• 尝试在核心交换机上获得冗余，如果可以堆叠，请选择它。
• 为服务器使用不同的 VLAN 并再次将其虚拟接口放在防火墙本身上（使用该接口 IP 作为服务器的网关），这样您将拥有一个用于服务器的 DMZ。
• 在服务器区域也放置一个交换机，不要将它们直接连接到核心交换机。

我们每个分支的 PC 永远不会超过 500 台。

• 从不是一个非常强烈的词（避免它）公司成长，网络成长。您永远不知道何时需要新硬件来满足不断增长的用户群。
• 您必须在交换机（{部门和核心}和{服务器交换机和核心}）之间以及 L3 核心和防火墙之间中继端口。
• 除非需要，否则连接到主机/服务器的端口将被置于访问 vlan 模式。
• 是的，VLAN 间流量将通过此拓扑中的防火墙（您可以应用允许和不允许的策略）。
• 是的，防火墙将能够直接看到此拓扑中终端主机的 MAC。

更新 您还可以将 L3 作为每个 VLAN 的网关而不是防火墙，我正在写一些将防火墙作为网关的利弊（反之亦然）：

缺点

• 每个主机 arp 都会来到防火墙，您必须在防火墙上查看 arp-cache 大小。
• 对于跨 vlan 路由，您必须在防火墙上制定策略（因祸得福）。
• SLAAC 可能不适用于防火墙中的 IPv6。
• 如果防火墙关闭，VLAN 间流量也将停止。

优点

• 较少的配置开销。

• 您可以配置 DMZ（允许/禁止来自 Internet/Intranet 的不同流量）。

• 更好地控制 vlan 间的流量。

• 交换比路由更快，数据包将被切换到防火墙。

• 防火墙将看到所有主机。

更新 2（更新问题后）：

您的图表显示了其他内容（除了您所解释的内容）。无论如何。

来自图：不要使用与该客户端来自同一 VLAN 的交换机的管理 IP！使用单独的网络。

L2 交换机 (10.1.5.2)

两端的 L2 交换机具有相同的管理 IP，不要这样做。分配不同的管理 IP 范围（我认为这是一个错字）。

防火墙（10.1.1.250 - 问题 - 这应该在同一个子网上还是将防火墙 IP 设为 10.1.0.250 更好）

不要使用同一个网络，它没有用。在 L3 和防火墙之间使用点对点网络（a /30），因为在任何情况下您的 VLAN 的网关都将是 L3，所以为什么要使事情复杂化（如果您要使用此拓扑，即）

1. 这在安全性（每个部门的 VLAN 隔离）、可管理性、带宽（广播域和受损端点隔离）方面是否最佳？

是的，到目前为止似乎是这样（如果我想到了什么，我会更新）。

2. 位于不同 VLAN 和 IP 子网 (10.1.2.5) 上的机器是否会与总部 (10.1.1.5) 和 10.2.2.5（分支机构）的机器通信？

正如您所说，您正在使用 L3VPN（路由主要通过 bgp 从一个终端路由器向另一个终端路由器通告），因此例如来自总​​部的 10.1.0.0/8 通过 L3VPN 通告给所有其他分支，从分支通告 10.2.0.0/8到总部，他们就能沟通了。所以本质上，这取决于您的 ISP 允许您发布多少路由。如果总部办公室有分支机构路线，您可以轻松实现这一点，反之亦然。

我认为在同一个办公室（总部/分支机构）内的机器不会通信。但是，它们将在同一部门的分支机构之间（10.1.1.5 和 10.2.1.5）。

这是你想的，还是你想要的。因为默认情况下不会发生这种情况。它与您的想法相反（假设）本地 VLAN 将能够通过 VLAN 间（通过 L3）路由进行通信（因为您已经在 L3 本身上配置了每个 VLAN 的 GW）。同样对于不同的办公室（总部/分支机构）部门，您将需要传输 L3VPN 路由（如上所述，ISP 的工作），尽管您也可以使用 NAT（配置开销）来实现这一点。

希望这可以帮助！