Нужны ли VLAN для моей среды?

Я новый сетевой менеджер для школы. Я унаследовал среду, состоящую из нескольких серверов Windows, около 100 клиентов Windows, 10 принтеров, 1 маршрутизатора Cisco, 6 коммутаторов Cisco и 1 коммутатора HP. Также мы используем VoIP.

В нашем здании четыре этажа. Хосты на каждом этаже назначены отдельной VLAN. Офис на первом этаже имеет собственную сеть VLAN. Все коммутаторы находятся в собственной VLAN. IP-телефоны находятся в собственной сети VLAN. И серверы находятся на собственной VLAN.

Что касается количества хостов в сети, все эти VLAN действительно покупают мне что-нибудь? Я новичок в концепции VLAN, но она кажется слишком сложной для этой среды. Или это гений, а я просто не понимаю?

IME вы находитесь в Ball Park, где разделение трафика между сетями улучшит производительность. Однако разделение VLAN, по-видимому, было решено на основе функции узлов-участников, а не каких-либо усилий по управлению полосой пропускания. Конечно, с таким количеством узлов вы можете получить одинаковую совокупную пропускную способность, разумно спланировав, где вы устанавливаете коммутаторы, а не используете vlans.

Без детальной диаграммы и реальных измерений трудно сказать наверняка, но я подозреваю, что описанная вами установка не дает вам никаких преимуществ в плане производительности и многих проблем с администратором.

Вы можете использовать списки контроля доступа на маршрутизаторе

Не очень хорошая причина для использования vlans - используйте подсети, брандмауэры и коммутаторы.

Большинство из этих VLAN имеют смысл для меня. Полезно разделить по функциям, чтобы иметь смысл использовать сеть VLAN для серверов, одну для телефонов и другую для рабочих станций. После этого вы сможете точно контролировать трафик, проходящий между рабочими станциями и серверами.

То, что я не вижу особого смысла в том, чтобы иметь VLAN для рабочих станций на каждом этаже. Единая сеть VLAN для всех рабочих станций обеспечит простоту и удобство. Объединение VLAN между несколькими коммутаторами / транками, вероятно, не будет проблемой для такой маленькой сети.

Также довольно бессмысленно поддерживать отдельную VLAN для управления коммутатором. Они могут счастливо сидеть на сервере VLAN.

Ничего волшебного в сетях VLAN. Кстати, просто отдельные сегменты широковещательной сети, каждый из которых требует шлюза по умолчанию и соответствующей конфигурации ACL на сетевых портах.

Что ж, может быть полезно иметь отдельные VLAN для данных (компьютеров) и VoIP, чтобы вы могли применить какой-либо вид приоритетов трафика. Отдельные VLAN для управления коммутаторами также полезны. Отдельные VLAN на этаж кажутся слишком большими для 100 ПК, если только вы не планируете расширяться в будущем.

VLAN позволяют вам разделить вашу сеть на меньшие логические сегменты; это помогает как в улучшении управляемости, так и в ограничении ненужного широковещательного трафика.

Для такой маленькой сети это может оказаться излишним: вы можете легко обработать ~ 100 сетевых объектов с одной VLAN и IP-подсетью. Но я думаю, что вы должны придерживаться этой конфигурации по двум основным причинам:

1) улучшает управляемость; если вы знаете, например, что серверы находятся в 192.168.1.X, а клиенты в 192.168.100.Y, ими легче управлять. Если все ваши адреса были в подсети 192.168.42.Z, как бы вы (легко) могли различить их?
2) Масштабируется намного лучше. Если вы когда-нибудь переместитесь от ~ 100 до> 200 сетевых объектов, одна / 24 IP-подсеть внезапно окажется намного меньше, а одна большая подсеть очень легко станет беспорядком.

Для пуристов: да, я очень хорошо знаю, что VLAN и IP-подсети не обязательно имеют строгое отображение 1: 1; это только наиболее распространенное использование для них, что, по-видимому, и есть то, на что ссылается OP.

Другое преимущество этой конструкции заключается в том, что вы можете применять Списки контроля доступа на маршрутизаторе, чтобы ограничить обмен данными между виртуальными локальными сетями и защитить серверы Windows от энтузиастов.

Я согласен с ответами, которые у вас уже есть.

Вам нужны VLAN? Другими словами, они «необходимы», если мы хотим педантично придерживаться того, что вы спрашиваете в заголовке вашего вопроса? Возможно нет. Это хорошая идея, учитывая разнообразие вашего трафика? Вероятно, да.

Нет правильного или неправильного ответа, это вопрос разных дизайнов и того, чего дизайнер надеялся достичь ...

Исходя из того, что вы сказали, я согласен с комментариями о том, что VLAN не нужна «на этаж», но, не зная больше о вашей настройке (хотя я менеджер сети колледжа, так что у меня есть общее представление), это возможно для всех, кого мы знаем что у вас есть все классы программирования на одном этаже, административный офис на другом и т. д., и текущие виртуальные локальные сети рабочей станции имеют дело не с разделением этажей, а с разделением функций , поэтому классы программирования не могут нарушить использование локальной сети для обработки текста в на других уроках студенты не могут легко подключиться к административным рабочим станциям, может быть, у вас есть потребность в выделенных компьютерах для электронных экзаменов и так далее. Если что-то подобное происходит, то, возможно, дополнительные VLAN для рабочих станций начинают приобретать больше смысла.

Я не думаю, что существует какая-либо документация, объясняющая выбор дизайна, сделанный человеком, который изначально все это настроил?

VLAN выделяют широковещательный трафик. У вас недостаточно компьютеров, чтобы беспокоиться об этом. VLAN часто, но не всегда совпадают с подсетями. VLAN также позволяют применять некоторые ограниченные ACL-списки. ACL-коммутаторы могут быть в значительной степени поддержаны с небольшим преимуществом. Брандмауэры лучше разделяют трафик, списки ACL на портах коммутатора могут стать беспорядочными.

Единственный аргумент, который я вижу для добавления VLAN - это если вы также измените схему IP-адресации. Теперь, я думаю, только с 4 этажа, которые могут быть излишними.

В компании, которую я использую для работы, у нас было дюжина зданий в нашем главном кампусе и несколько спутниковых кампусов, поэтому у нас была схема IP-адресации, которая позволяла нам узнать по IP-адресу, в каком здании было устройство. 2 цента, за что стоит.