Czy sieci VLAN są niezbędne w moim środowisku?

Jestem nowym menedżerem sieci dla szkoły. Dziedziczyłem środowisko złożone z kilku serwerów Windows, około 100 klientów Windows, 10 drukarek, 1 routera Cisco, 6 przełączników Cisco i 1 przełącznika HP. Ponadto korzystamy z VoIP.

W naszym budynku są cztery piętra. Hosty na każdym piętrze są przypisane do osobnej sieci VLAN. Biuro na pierwszym piętrze ma własną sieć VLAN. Wszystkie przełączniki mają własną sieć VLAN. Telefony IP działają we własnej sieci VLAN. A serwery działają we własnej sieci VLAN.

Jeśli chodzi o liczbę hostów w sieci, czy wszystkie te sieci VLAN naprawdę coś kupują? Jestem nowy w koncepcji VLAN, ale wydaje się to zbyt skomplikowane dla tego środowiska. Czy to genialne i po prostu tego nie rozumiem?

IME jesteś w parku, gdzie segregacja ruchu pomiędzy sieciami poprawi wydajność. Wydaje się jednak, że podział sieci VLAN został ustalony na podstawie funkcji węzłów członkowskich, a nie wysiłku w zakresie zarządzania przepustowością. Z pewnością dzięki tej liczbie węzłów można uzyskać taką samą łączną przepustowość, inteligentnie planując miejsce umieszczenia przełączników zamiast korzystania z sieci vlan.

Trudno powiedzieć na pewno bez zobaczenia szczegółowego diagramu i uzyskania prawdziwych pomiarów, ale podejrzewam, że opisana konfiguracja nie daje żadnych korzyści w zakresie wydajności i wielu problemów administracyjnych.

możesz wymusić listy kontroli dostępu na routerze

Nie jest to dobry powód do korzystania z sieci vlan - używaj podsieci, zapór i przełączników.

Większość tych sieci VLAN ma dla mnie sens. Dobrze jest podzielić według funkcji, więc sieć VLAN dla serwerów, jedna dla telefonów, a druga dla stacji roboczych ma sens. Następnie możesz uzyskać dokładną kontrolę nad ruchem przepływającym między stacjami roboczymi a serwerami.

Nie widzę większego sensu w posiadaniu sieci VLAN dla stacji roboczych na każdym piętrze. Pojedyncza sieć VLAN dla wszystkich stacji roboczych sprawi, że wszystko będzie przyjemne i proste. Rozpinanie sieci VLAN na wielu przełącznikach / łączach głównych prawdopodobnie nie będzie problemem dla tak małej sieci.

Nie ma również sensu utrzymywanie oddzielnej sieci VLAN do zarządzania przełącznikami. Mogą szczęśliwie siedzieć na serwerze VLAN.

W sieciach VLAN BTW nie ma nic magicznego ... po prostu oddzielaj segmenty rozgłoszeniowej sieci, z których każdy wymaga domyślnej bramy i odpowiedniej konfiguracji ACL na portach sieciowych.

Przydatne może być posiadanie osobnych sieci VLAN dla danych (komputerów) i VoIP, dzięki czemu można zastosować pewnego rodzaju priorytetyzację ruchu. Przydatne są również oddzielne sieci VLAN do zarządzania przełącznikami. Oddzielne sieci VLAN na piętro wydają się być może za dużo dla 100 sztuk, chyba że planujesz rozbudowę w przyszłości.

Sieci VLAN umożliwiają podział sieci na mniejsze logiczne segmenty; pomaga to zarówno poprawić zarządzanie, jak i ograniczyć niepotrzebny ruch rozgłoszeniowy.

W przypadku tak małej sieci może to w rzeczywistości być przesada: możesz łatwo obsłużyć ~ 100 obiektów sieciowych za pomocą pojedynczej podsieci VLAN i IP. Myślę jednak, że powinieneś trzymać się tej konfiguracji z dwóch głównych powodów:

1) Poprawia zarządzanie; jeśli wiesz, że serwery są w wersji 192.168.1.X, a klienci w wersji 192.168.100.Y, łatwiej nimi zarządzać. Jeśli wszystkie adresy znajdowały się w podsieci 192.168.42.Z, jak (łatwo) można je rozróżnić?
2) Skaluje się znacznie lepiej. Jeśli kiedykolwiek przejdziesz z ~ 100 do> 200 obiektów sieciowych, pojedyncza podsieć / 24 IP nagle będzie wydawać się znacznie mniejsza, a jedna większa bardzo łatwo stanie się bałaganem.

Dla purystów: tak, wiem bardzo dobrze, że sieci VLAN i podsieci IP niekoniecznie mają ścisłe mapowanie 1: 1; jest to tylko ich najczęstsze zastosowanie, które wydaje się być tym, o czym mówi PO.

Inną zaletą tego projektu jest wymuszanie list kontroli dostępu na routerze, dzięki czemu komunikacja między sieciami VLAN jest ograniczona, a serwery systemu Windows można chronić przed entuzjastycznymi studentami.

Zgadzam się z odpowiedziami, które już masz.

Czy potrzebujemy sieci VLAN? Innymi słowy, czy są one „konieczne”, jeśli chcemy pedantycznie trzymać się tego, o co pytasz w tytule pytania? Prawdopodobnie nie. Czy to dobry pomysł, biorąc pod uwagę różnorodność ruchu? Prawdopodobnie tak.

Nie ma dobrej lub złej odpowiedzi, to kwestia różnych wzorów i tego, co projektant miał nadzieję osiągnąć ...

W oparciu o to, co powiedziałeś, zgadzam się z komentarzami na temat niepotrzebowania sieci VLAN „na piętro”, ale bez wiedzy na temat twojej konfiguracji (chociaż jestem menedżerem sieci uczelni, więc mam pewien ogólny pomysł), jest to możliwe z tego co wiemy że masz klasy programowania na jednym piętrze, biuro administracyjne na drugim itd., a obecne sieci VLAN stacji roboczej nie dotyczą oddzielania pięter, ale raczej funkcji rozdzielania , więc klasy programowania nie mogą zakłócać korzystania z sieci LAN do przetwarzania tekstu w inne lekcje, uczniowie nie mogą łatwo połączyć się z administracyjnymi stacjami roboczymi, być może masz wymóg posiadania dedykowanych komputerów do egzaminów elektronicznych i tak dalej. Jeśli coś takiego się dzieje, być może dodatkowe sieci VLAN na stacji roboczej mają większy sens.

Nie sądzę, żeby istniała jakaś dokumentacja wyjaśniająca wybory projektowe dokonane przez osobę, która początkowo to wszystko konfigurowała?

Sieci VLAN generują duży ruch rozgłoszeniowy. Nie masz wystarczającej liczby komputerów, aby się tym martwić. Sieci VLAN często, ale nie zawsze, są dopasowane do podsieci. Sieci VLAN pozwalają również na stosowanie niektórych ograniczonych list ACL. Listy ACL mogą być bardzo konserwowane i przynoszą niewielkie korzyści. Zapory ogniowe lepiej oddzielają ruch, listy ACL na portach przełączników, które mogą być nieuporządkowane.

Jedyny argument, jaki widzę przy dodawaniu sieci VLAN, dotyczy zmiany schematu adresowania IP. Teraz myślę, że tylko 4 piętra, które mogą być przesadzone.

W firmie, w której pracuję, mieliśmy kilkanaście budynków w naszym głównym kampusie i kilka kampusów satelitarnych, więc mieliśmy schemat adresowania IP, który pozwalał nam na podstawie adresu IP stwierdzić, w którym budynku było urządzenie. To moja 2 centy za to, co jest warte.