LV全台巡迴 告終

LV Logo
LV全台巡迴終於要告終了趁著腦袋還沒忘記這案件之前把一些資訊整理下來。

這是我第一次執行系統面的升級案件說起來很簡單，就是把Win XP升級成Win 7就這樣(大概執行了超過100次)實際上非常的複雜。

首先，LV是全球性企業，因此他的系統還處在非常古老的Cobol去寫代表他的用戶端全部都是IBM的Client軟體去連。還好，中鋼也是相同模式，令我感到格外親切。

但因為這是個升級案，所以每個Client會有獨一無二的ID去連LV稱為RMS ID，而承接報表列印的則是Printer ID這兩個碼重要性不會亞於電腦名稱，因為沒寫下來註明就要叫MIS去翻字典查了因為是古老系統，所以會調整建盤對應模式，例如Ctrl會變成Enter的動作所以這在裝完後會執行調整。

接下來是很麻煩的電子郵件系統，叫作IBM Lotus Notes設定一定要有備份到ID檔，不然郵件帳號就回不來了帳號密碼不會一樣，不同ID檔相同帳號密碼不同，這還不搞死人。

條碼機
我總算了解條碼機怎麼去設定和編輯Script，為什麼逼一聲之後能掃進數據順便幫你按下Enter鍵。

標籤機
 反正印出來是亂碼表示你設定錯了 可以印出測試頁不代表一定能印標籤。

指紋機
這個對他們還說很重要，重要到沒人有記得登入密碼是甚麼，只記得上下班要去按一下。

印表機
 我快要變成印表機達人了，從桌上型到事務機種類都碰了不少，工程師要負責解除卡紙問題(備註)。

讀卡機
 這代表該台機器有執行退稅，在天龍國店舖裡面很常見，讀卡機不一定支援Win 7。

盤點機
Motorala的機器，要安裝驅動程式才能上下傳檔案資料比對庫存差異，還不能在盤點作業時執行這些機器。

冗長的備份時間、安裝等待與等待、設定後檔案倒回、測試可用、簽結雖然每一台執行的步驟都是相同，但結果略有不同，可能有安裝失敗，可能有驅動無法使用，可能有檔案遺失。

更多的部分在於溝通協調上因為每部電腦在店舖上重要性都不一樣，File Server、盤點機、退稅機、店經理的電腦這些事比較特殊的種類花更多時間在於安排時間去執行這些機器。

更多的時間我在店舖上觀察來往的人；也花更多的時間去和店員甚至是他們的主管聊天
N16 台中旗艦店店經理說我很有氣質，她自己是國文系畢業的而且好學不倦，問了一堆資安問題。
N08 台南店其中一個店長是個很討人喜歡的正咩，很有禮貌，甚至會私下打電話問我問題。
N58 中山店的店經理給人很開朗的印象，有著很棒的人格特質，他說過的一句話我永遠記得"那些來買LV的很多都有躁鬱症或是強迫症...，我們應該要體諒他們"。

我最喜歡的店鋪還是在台中跟台南，能做到主管都有一定水平，雖然SOP跟作息都差不多但是每間店還是有各自的文化跟氣息。N58 發生過很多插曲，包括我在的期間經歷了父親節跟情人節檔期、連戰要求到店鋪調整西裝、情人節送給頂級客戶的香檳和鮮花擺在後台(冷氣超強比機房還冷)，擺了兩天花還沒枯萎...台北的店鋪都很忙，N58和N19都不會抽一個保全盯人，我在N08強把保全拉走到後台甚至員休室，保全跟我說："你來是我最輕鬆的一天，因為我不用站著。"(我大笑)

保全從一開始會擋我，到最後變熟，某日我在N58，某保全："Eric中元拜拜有很多東西要不要吃？" 我：我好像不是你們公司的耶 保全：哪是？都來半個月了，碼頭都熟了(保全年紀通常都我還要幼齒)更別提N16台中旗艦店那群姐姐根本就把我餵得很肥...很多LV的對話都還能插得上話，像是皮件的邊油跟收邊，手錶的種類與蝴蝶扣，皮革烙印與刻字，甚至連他們商品的分類都瞭解了個大概，外部專業的收穫可能遠比內部專業要來得多。
我在101還在旁協助過他們客製化烙印字體XD

全台所有店舖的店經理都知道我是誰了某日在Taipei 101，路過的NA7店經理：你看是Eric耶... 一群店經理在旁邊附和對耶...是耶... (OS：我是稀有動物就對了)那天八成是經理級月會議。

案子從端午節前開始執行到都快要中秋了才落幕，謝謝姊姊們四個月來的照顧能在LV執行案件真的是件有趣的經驗，不管怎樣，很高興能夠跟你們合作，再見囉！LV。 

附註：LV找我買不會比較便宜。我公司還有人在問這蠢問題... 我買比較便宜我就買來賣你。
N19 - 台北101官方直營店(品項跟法國總部相同)
N58 - 台北中山旗艦店
N54 - 台中新光三越店
N16 - 台中旗艦店
N08 - 台南新光三越店
NJ7 - 高雄漢神巨蛋店
NA7 - 高雄大立精品旗艦店
(我Service過的店鋪，全台只有微風不是我去XD，他MIS做掉了)

Cisco WLC (Wireless LAN Controller) Configuration Guide

Cisco WLC (Wireless LAN Controller)
無線區域網路控制器

如果我們要Reset這台裝置
在開機過程中，請按下Esc進行開機設定選項

Boot Options 
Please choose an option from below: 
 1. Run primary image 
 2. Run backup image 
 3. Manually update images 
 4. Change active boot image 
 5. Clear Configuration 
Please enter your choice: 5

選擇5，清除設定後重新開機
選擇問答方式配置，參考以下文件。

WLC 4404快速配置指南

EIGRP 不再是思科的專屬協定

思科公開EIGRP內容並提交到IETF審查，成為可供所有網路設備供應商使用的公開協定。

Enhanced Interior Gateway Routing Protocol draft-savage-eigrp-00.txt

On Cisco's Web: Enhanced Interior Gateway Routing Protocol (EIGRP) Informational RFC Frequently Asked Questions

VPN Public IP Address 連線限制

現在有一個需求要限制ASA 5510的VPN使用者連入連線
除了特定指定的Public IP address可以連線以外，其他的使用者一概不給連
用戶端使用anyconnect進行連線

我們需要下達以下指令範例
issue the following command:  

'no sysopt connection permit-vpn' (此行為關鍵性指令)

access-list webvpn-portal line 1 extended permit tcp 61.218.6.16 255.255.255.240 host 210.243.112.176 eq https
access-list webvpn-portal line 2 extended permit udp 61.218.6.16 255.255.255.240 host 210.243.112.176 eq 443
access-list webvpn-portal line 3 extended deny ip any host 210.243.112.176

如此一來就能同時限制TCP與UDP的連線在某一個特定網段的Public IP Address才給予連線。

常見的網路架構

*紅線代表光纖、黑線代表一般網路線、藍\紫線代表堆疊線或特殊線(也有可能是一般光纖或網路線)，當然圖中省略了防火牆、負載平衡等設備，僅列出網路基礎建設的設備。

通常在竹科的公司為了產線網路都要求能做到7*24的高可用性(High Availability, HA)，都會要求在更新案或是建置案上，要求一個完善的Solution去解決任何硬體故障時候的切換，所以網路架構都會是一個相當固定的模式，例如上圖，網路架構通常大同小異，當然實際公司或組織的拓樸都會比這還來得複雜，有很多時候被受限在拉線長度(Cat 5e僅能拉100M內)、傳輸距離(光纖物理特性)、設備功能上被迫調整網路架構而損失部分的線路容錯。

在Core(核心層)網路，技術上除了Routing(路由)跟其他Layer 4服務外，HSRP與VRRP所提供技術非常重要。

在Distribution與Access Layer(或稱為Edge)這兩層上，關鍵技術是STP(Spanning Tree Protocol)相關協定(RSTP、PVST…)與Vlan、VTP、Trunk、帶Tag、Etherchannel等。

安全性部分則是以ACL(Access Control List)與Port Security為主。

網路高可用性(HA)通常包含幾個部分：任一裝置或結點(Device/Node)、任一連接埠或模組(Port/Module)、任一線路(Line)的損壞或故障，都必須在有限時間內以硬體內部機制自動回復原有網路服務。

因此每當任何符合HA的網路架構建置案完工後，通常會進行HA測試，包含任一層網路裝置的斷電與復電測試、層與層之間的拔線測試，以底層Client連外Internet的Ping來檢視連外服務是否會受到影響，Ping掉包數量多寡，耗時多久能回復正常網路運作作為驗收參考的重要資料，做不到的時候將無法驗收。

這張圖描繪了底層Switch使用雙線路連接Distribution的情況，這種情況較著重在效能運作上(每台底層Switch皆提供Redundant Uplink)，但是所耗費成本較高(很多時候不切實際)，而頂層設備仍是接近Mesh情況較為常見。

當然，任何的網路架構都會將Performance(效能)、Cost(成本)、Security(安全性)、Convenience(方便性)幾個大方向列入重要考量，這些點無法同時兼顧只能視著User的需求進行調整，基於工程師立場只能給與User建議與可行的解決方案而不會涉入報價與成本，通常工程師追尋的是最適解答，而非最佳解答，因為這幾項因素都有互斥的因子存在，而在設計網路架構上，工程師通常還需要考慮到網路架構的彈性與擴張，如果一個客戶要做長久，彈性與擴張是必定要列入考量的點。如果有機會與User談網路架構的時候，務必釐清需求，很多時候會存在著資訊落差，一個專有名詞所代表的意義在各專業領域上會有所不同，很容易出現誤解(例如：Trunk這名詞在網路跟伺服器上就有明顯的不同)。

上圖就是幾種下層常見網路拓樸方式，分別代表泛用單環、效能傾向的雙層架構與高成本雙環三種，可以思考一下效能與成本間的差異，以及如何被實作。

上圖代表伺服器連接網路設備的架構圖，通常會配合Teaming建置，可以進行Lab實測，之前有實測過幾種，還有幾種需要待測，例如：Switch Stacking後的Server設Teaming情況。有興趣的，仍可以實測一下幾種架構在運作上的差異性、容錯的差別，附帶一提，Cisco Nexus系列會有VPCs的連接方式。

Router VS L3 Switch

1. L3 switch主要是支援Ethernet, router可以支援到其他的L3 protocol (AppleTalk / IPX) 

2. L3 switch通常內建的port density都比較高 (8 port以上), router則是有模組可以換不同的port type. 

3. L3 switch比較會有光纖port, router則要高階機種才會有. 

4. L3 switch的QoS設定比較注重LAN QoS或是voice end point, router比較注重於packet marking/shaping的功能 

5. 同價位的L3 switch的throughput通常比router高 

6. Router有較多的路由(route)的微調功能, L3 Switch較少 

7. 低階Cisco L3 switch (3550/3560/3750)沒有NAT的功能, router只要是1700系列就有了 

8. Router可以跑firewall IOS, 有Stateful packet inspection, L3 switch則沒有 

L3 Switch 多數用在大型的企業內網，而且需要高速交換內網資料使用，而不是拿來當作出口設備，出口設備的位置通常還會是FW或是Router，並不會是L3 Switch。

以C3750X來說已經夠資格當作Building Core，建築物單位的核心出口網路，但是不是企業的出口，重點還是在於功能支持度上，以C3750X來說，最多就能做到路由交換、ACL相關功能，但是仍然比不上專門的防火牆，多數對外連接的協定也沒有辦法支援，例如：C3750X的IOS並不支援PPPoE、NAT等等重要的連外服務，但是目前多數公司傾向換成L3 Switch的原因是因為多數WAN上的路由協定都交由ISP處理掉了，但是FW的功能L3 Switch仍舊不足，還是需要落地式45或65系列的FW模組或是Cisco ASA比較合適。

網路工程案件相關文件

需求分析 想要(Want)、需要(Need)、必要(Require)區分 – 進行產品介紹(Product)、售前規劃(Presale)
Statement of work 工作項目需求內容/更新 – 持續修正SOW DOC(SOW有可能具有兩種含意，另一種是Scope of work，兩者類似)，以下紅字為行動，黑字是紅字行動後產出的文件。
Site Survey – 現場勘驗狀況，電力供應(瓦數、電源線長度)、已佈線線路狀況、機櫃櫃位空間(上機所需U數、是否能先上機避免長時間斷線)，佈線難易度初步評估，以及是否需要理線。
Site Check Report - 產出客戶環境報告、實際場景拍照並確認環境是否可以預先進行設備上機作業(先上設備開機後才進行跳線)、Cabling線路品質測報書、AP無線(Wireless)部分方面進行訊號測試(有佈無線需求時進行)。
Lab – 設備各項功能性測試、設定，Ex:客戶環境模擬連接方式測試、L2、L3功能性測試，異質廠牌互連測試、需求功能性測試、路由功能測試、安全性測試等等，按客戶需求產出Lab測試報告。

Topology Change變動情況 – Before and After施工前後/建置案新拓墣 (通常用Office Visio進行編輯)

Logic Topology (邏輯拓樸)：邏輯的接線架構運作圖、VLAN存取情況

Physical Topology (實體拓樸)：實機的接線架構圖、機器所在的機櫃位置(樓面、管道間)、AP佈設平面圖(點位表)

Access Port (插孔表/接線圖)：依照存取VLAN不同進行設計規劃(機器所在樓面位置不同而修正)

Action Plan (行動計劃)：安裝硬體清冊、安裝地點、VLAN插孔表、樓面狀況設備位置對映表、拓樸圖、除錯計畫、復原計畫、攜帶工具一覽表、團隊分工任務清單、參與人聯繫表、作業確認表、功能性確認表、斷復線測試表(HA測試表)

Scope of work 工作範圍 – 巨細靡遺的施工的項目、開箱照、時間表(甘特圖) 施工的先後順序、安排等等(團隊、跨夜的施工請務必安排休息時間，以及是否需要提前抵達預作準備)，意外回復(Recovery Solution)作業、收工交通住宿問題。

Action Plan – 按照行動計畫執行施工任務。

驗收報告書：Follow list – 後續待完成任務清單、Training Plan – 教育訓練計畫、Maintain Plan – 後續維護計畫與注意事項

以上相關文件、開箱照片、竣工照片檔案、所有設備設定檔案、驗收清單、合約外承諾待執行事項…等。