Wie Joeqwerty bereits bemerkt hat, nähern Sie sich dem mit einem unzureichenden Grundverständnis, kombiniert mit vage definierten Zielen. Sie bereiten sich auf Fehler, Ausfallzeiten und Sicherheitslücken vor. Anstatt nur Ihre Fragen wie gewünscht zu beantworten, werde ich mich einem kleinen "vLAN 101" -Tutorial hingeben, das für Sie vielleicht etwas nützlicher ist.
Sie scheinen einige grundlegende Missverständnisse über die vLAN-Segmentierung zu haben und wie sie in die Netzwerkarchitektur passt. Lassen Sie uns also ALLLLLLL für eine Minute zum Anfang zurückführen:
Auf der Ebene der Netzwerkarchitektur können Sie die sehr vereinfachte Ansicht vertreten, dass ein vLAN nichts anderes als ein separater Switch ist, der nicht mit einem anderen Switch (vLAN) verbunden ist.
Wenn Sie vLANs auf diese Weise betrachten, wird relativ klar, wie sie verwendet werden: Wenn Sie nicht möchten, dass Maschinen Group Amit Maschinen in Group BIhnen kommunizieren können, legen Sie sie in separate vLANs und zwingen sie, einen Router zu durchlaufen (idealerweise einen) mit Firewall-Funktionalität), um miteinander zu sprechen.
Unter fast allen Umständen ist es besser (und einfacher), dies zu tun, indem Sie die Computer auch in verschiedene IP-Netzwerke (Subnetze) stellen. Computer in einem vLAN befinden sich im selben Subnetz und können so oft untereinander chatten, wie sie möchten, aber wenn Sie möchten mit jemandem außerhalb ihres vLANs sprechen, der sich auch außerhalb ihres Subnetzes befindet. Daher werden sie an ihr Standard-Gateway weitergeleitet, das die Sicherheitsbedenken erfüllt, wer unter welchen Umständen mit wem sprechen kann.
VLAN-Architektur in 11 einfachen Schritten:
Finden Sie heraus, welche Maschinen logische Gruppen bilden. Dies sind Ihre vLANs
In einer sehr einfachen Umgebung könnte dies sein Web Serversund Database Servers.
In komplexeren Umgebungen haben Sie möglicherweise viele Gruppen und können mehrere Gruppen in einem einzigen vLAN kombinieren. Dies ist eine Architekturentscheidung, die Sie treffen müssen.
Finden Sie ein Adressierungsschema heraus, das zu Ihren vLANs passt.
Wenn Sie großes Glück haben, passt jedes vLAN in eine / 24 und Sie können eine darauf basierende Topologie erstellen. Wenn Sie nicht so viel Glück haben, finden Sie heraus, welche vLANs größere (oder kleinere) Blöcke benötigen.
Zeichnen Sie, was Sie bisher getan haben, auf Papier.
Finden Sie heraus, welche vLANs miteinander kommunizieren müssen.
Welche Ports / Dienste sollten zwischen vLANs / Netzwerken geöffnet sein?
Welche anderen Bedingungen müssen erfüllt sein, damit Ihre Umgebung funktioniert?
Zeichnen Sie, was Sie sich ausgedacht haben, auf Papier. Stellen Sie sicher, dass es vernünftig ist, und konvertieren Sie es dann in eine Firewall- / Router-Richtlinie.
Entwurf einer Firewall / Router-Konfiguration. Idealerweise spielen Sie damit in einer Testumgebung.
Zeichnen Sie Ihren Schalter auf Papier und ordnen Sie zu, welche Ports zu welchen vLANs führen.
Es ist hilfreich, Verbindungen physisch so zu gruppieren, dass sie sich im selben logischen vLAN befinden. Dies ist jedoch nicht unbedingt erforderlich.
Verwandeln Sie Ihre Schalterzeichnung in eine Schalterkonfiguration. Idealerweise spielen Sie damit in einer Testumgebung.
Bereinigen Sie Ihre Zeichnungen auf Papier. Die logische Zeichnung sollte ungefähr so aussehen:
(Das Bild wurde verkleinert, um Dinge zu verdecken, die Sie nicht lesen müssen.)
Lassen Sie sich von jemand anderem Ihr Design ansehen.
Sie können nach Serverfehlern fragen, aber es ist besser, wenn jemand, der mit Ihrer Umgebung vertraut ist, sie sich ansieht, da er mit größerer Wahrscheinlichkeit potenzielle Schäden entdeckt.
Nehmen Sie sich ein Wochenende Zeit und verwandeln Sie Ihr logisches Design in eine physische Realität.
(Es sollte selbstverständlich sein, dass Sie einen Rollback-Plan haben sollten, falls die Dinge schrecklich schief gehen, aber ich sage es trotzdem.)
(Wenn Sie SEHR gut sind, können Sie möglicherweise einige der obigen Schritte "Auf Papier zeichnen" überspringen, aber ich empfehle nicht, dies beim ersten Mal zu überspringen.)
Betreff: Die zwei spezifischen Fragen, die Sie gestellt haben:
1) Wie kann ich dieses Netzwerk mit minimaler Ausfallzeit auf den bereits im Netzwerk befindlichen Geräten segmentieren?
Das kannst du nicht. Das Aufteilen Ihres Netzwerks in vLANs erfordert ein Ausfallfenster. Sie müssen Ihren Switch neu konfigurieren, Computer in verschiedene logische Netzwerke verschieben, das Routing konfigurieren, wahrscheinlich einige Kabel verschieben usw. usw. usw.
Planen Sie einen Ausfall ab 17.00 Uhr und Freitag Wenn Sie zum ersten Mal ein ordnungsgemäß segmentiertes Netzwerk entwerfen, werden Sie einige Zeit damit verbringen, Fehler zu beheben.
2) Kann ich einfach Vlans erstellen und alle diese Vlans im selben Layer 3-Netzwerk belassen, damit sie das Netzwerk verlassen können (ich mache mir keine Sorgen um das Vlan-Routing), oder ich muss Subnetze erstellen, was bedeutet, dass die vorhandenen Geräte neu konfiguriert werden ( etwas was ich nicht will)
Können Sie? Ja.
Wird es Ihnen etwas in Bezug auf Sicherheit kaufen? Nicht wirklich.
Wird es das gesamte Projekt zehnmal schwieriger machen? Absolut.
Sollten Sie ein Netzwerk auf diese Weise entwerfen? NEIN.