Die Art und Weise, wie @minarnhere beschreibt, ist absolut der richtige Weg, aber nicht nur nach Funktionen aufzuteilen, sondern auch Sicherheitsfaktoren, physischen Standort und Anzahl der Hosts hinzuzufügen. Teilen Sie Ihr Netzwerk auf der Grundlage all dieser Faktoren in so viele VLANs auf, wie erforderlich sind.
Vorausgesetzt, die entsprechenden Switches und Router sind vorhanden, entstehen für viele VLANs keine Kosten, und die Vorteile sind enorm. Wenn dies richtig geplant ist, ist auch der Verwaltungsaufwand minimal. Beschränken Sie sich nicht auf künstliche Einschränkungen, wenn Sie alle Schüler oder Tutoren oder eine Gruppe von Benutzern oder Hosts in einem einzigen VLAN zusammenfassen. Warum sollten Sie das überhaupt tun? Denken Sie daran, dass der Datenverkehr nur auf Schicht 3 gesteuert werden kann. Teilen Sie Ihr Netzwerk auf, damit Sie den Datenverkehr zwischen VLANs begrenzen und steuern können. Sie haben keine Chance mit Datenverkehr innerhalb eines VLANs.
Die klassische Methode zum Entwerfen eines Campus-LAN besteht darin, das Netzwerk in Access, Distribution und Core aufzuteilen. Viele Access Layer 2-Switches, die jeweils Datenverkehr von einem oder mehreren VLANs übertragen, stellen eine Verbindung zu einigen Layer 3-Verteilungs-Switches her, die den Datenverkehr an eine kleine Anzahl von Layer 3-Core-Switches weiterleiten.
Alle Ihre Hosts müssen mit der Zugriffsschicht verbunden sein, die basierend auf den oben beschriebenen Faktoren in VLANs aufgeteilt wird. Jedes Zugriffsschicht-VLAN sollte nach Möglichkeit auf einen physischen Switch beschränkt sein (diese Regel muss nur verletzt werden, wenn Sie über Dual-Homed-Server verfügen, die möglicherweise ein Failover auf einen anderen Switch im selben VLAN durchführen müssen). Denken Sie daran, dass jedes VLAN eine Broadcast-Domäne ist und Sie den Broadcast-Verkehr auf jeder dieser Domänen so weit wie möglich begrenzen möchten. Verwenden Sie nur / 24 Subnetze für Ihre Zugriffsschicht. Warum sollten Sie> 250 Hosts in einer einzelnen Broadcast-Domäne verwenden?
Es wird einige, sehr, sehr wenige Umstände geben, unter denen ein VLAN über mehrere Switches verteilt werden muss, aber diese sind sehr spezialisiert, das Switch-Management vielleicht einer (aber das ist umstritten), es gibt nur sehr wenige andere.
Ein guter Ausgangspunkt wären Ihre Server. Wenn sie sich am selben physischen Standort befinden (Raum, nicht Gebäude), möchten Sie sie möglicherweise basierend auf der Funktionalität in VLANs aufteilen. Andernfalls ist ein einzelnes VLAN pro ~ 200 Hosts in Ordnung. Offensichtlich sollten (?) Server mit Internetanschluss ein eigenes, vorzugsweise physisch getrenntes Netzwerk sein, das vom Campus durch eine Firewall geschützt ist (DMZ-Design ist eine weitere Spezialität an sich, daher werde ich hier nicht darauf eingehen). Ihre internen Server sollten auch in solche für die Verwendung durch Schüler und solche nur für den internen Administrator aufgeteilt werden, um sie entsprechend in VLANs aufzuteilen. Wenn einige Server zu bestimmten Abteilungen gehören (z. B. HR), sollten Sie ein VLAN nur für diese Server in Betracht ziehen, wenn Sie möglicherweise den Datenverkehr zu diesen Servern steuern müssen.
Wenn die Server verteilt sind und dann je nach Standort und Funktionalität in separate VLANs gestellt werden, müssen sie sich nicht im selben VLAN befinden, nur weil sie Server sind oder nur weil sie alle Webserver sind.
Weiter zu Ihren Schülern und Mitarbeitern. Zunächst sollte jeder einzelne Port oder Zugangspunkt, auf den Nicht-IT-Mitarbeiter zugreifen können oder könnten, als Sicherheitsrisiko betrachtet werden, und der gesamte von dort stammende Datenverkehr sollte als nicht vertrauenswürdig behandelt werden. Platzieren Sie Ihre Klassenzimmer in VLANs basierend auf der möglichen Anzahl von Hosts und abhängig von den Umständen, Benutzergruppen, aber machen Sie nicht den Fehler, bestimmten Ports zu vertrauen. Wenn Tutoren von einem Klassenzimmer aus zu Ihrem Administrationsnetzwerk gelangen müssen, sollten sie angegeben werden die gleiche Zugriffsmethode (VPN?), als ob sie zu Hause oder in einem öffentlichen Café wären.
Das drahtlose Netzwerk sollte sich in getrennten VLANs von den verkabelten befinden, jedoch mit denselben Einschränkungen. Wenn dies vermieden werden kann (aber manchmal nicht möglich ist), sollten Sie nicht alle APs in ein campusweites VLAN einbinden, sondern sie nach derselben Methode aufteilen und aus dem gleichen Grund wie die verdrahtete.
IP-Telefone sollten sich überraschenderweise in getrennten VLANs von allem anderen befinden. Dies wird bei einigen Marken (meiner Erfahrung nach bei Cisco) dadurch erleichtert, dass das Telefon mit dem Zugriffsschalter verhandelt, um Datenverkehr in das entsprechende VLAN zu leiten, dies erfordert jedoch offensichtlich den Wechsel zu richtig konfiguriert sein.
Es gibt viel mehr über LAN-Design, aber das Obige ist ein Anfang. Als letzte Anmerkung, was DHCP betrifft, verwenden Sie es für jeden einzelnen Host, einschließlich Server und Drucker. Beide sollten statisch zugewiesene IP-Adressen basierend auf ihren MAC-Adressen haben. Der Bereich (oder die Bereiche) für die ersteren sollten keine Ersatzadressen haben. Dies verhindert in gewisser Weise das gelegentliche Anschließen von Geräten an Server-VLANs. Dies gilt jedoch auch für Drucker. Der Punkt ist, dass Sie die Geräte zentral steuern können Änderungen werden zentral behandelt, anstatt sich darauf zu verlassen, dass Ingenieure auf dem Campus herumwandern und die richtigen Adressen finden.
Okay, genug fürs Erste, ich hoffe das hilft ein bisschen.