(Ich war den ganzen Tag unterwegs und habe das Springen verpasst ... Trotzdem werde ich zu spät zum Spiel sehen, was ich tun kann.)
In der Regel erstellen Sie VLANs in Ethernet und ordnen ihnen IP-Subnetze 1: 1 zu. Es gibt Möglichkeiten, dies nicht zu tun, aber in einer streng "einfachen" Welt würden Sie ein VLAN erstellen, sich ein IP-Subnetz ausdenken, das im VLAN verwendet werden soll, einem Router eine IP-Adresse in diesem VLAN zuweisen und diesen Router anschließen Das VLAN (entweder mit einer physischen Schnittstelle oder einer virtuellen Subschnittstelle auf dem Router) verbindet einige Hosts mit dem VLAN, weist ihnen IP-Adressen in dem von Ihnen definierten Subnetz zu und leitet ihren Datenverkehr in das VLAN und aus dem VLAN.
Sie sollten ein Ethernet-LAN nur dann in Teilnetze unterteilen, wenn Sie gute Gründe dafür haben. Die besten zwei Gründe sind:
Leistungsprobleme mindern. Ethernet-LANs können nicht unbegrenzt skaliert werden. Übermäßige Sendungen oder das Überfluten von Frames an unbekannte Ziele schränken deren Umfang ein. Eine dieser beiden Bedingungen kann dadurch verursacht werden, dass eine einzelne Broadcast-Domäne in einem Ethernet-LAN zu groß wird. Broadcast-Verkehr ist leicht zu verstehen, aber das Überfluten von Frames an unbekannte Ziele ist etwas dunkler. Wenn Sie so viele Geräte erhalten, dass Ihre Switch-MAC-Tabellen überlaufen, werden die Switches gezwungen, Nicht-Broadcast-Frames über alle Ports zu übertragen, wenn das Ziel des Frames keinen Einträgen in der MAC-Tabelle entspricht. Wenn Sie eine ausreichend große einzelne Broadcast-Domäne in einem Ethernet-LAN mit einem Datenverkehrsprofil haben, das Hosts nur selten verwenden (d. H.
Der Wunsch, den Datenverkehr zwischen Hosts auf Schicht 3 oder höher zu begrenzen / zu steuern. Sie können einige Hacker-Aktionen durchführen, um den Datenverkehr auf Schicht 2 (unter anderem Linux ebtables) zu untersuchen. Dies ist jedoch schwierig zu verwalten (da Regeln an MAC-Adressen gebunden sind und das Ändern von NICs Regeländerungen erfordert). Dies kann zu sehr, sehr seltsamen Verhaltensweisen führen Das transparente Proxying von HTTP auf Ebene 2 ist beispielsweise ausgeflippt und macht Spaß, ist jedoch völlig unnatürlich und kann bei der Fehlerbehebung sehr unintuitiv sein. In niedrigeren Ebenen ist dies im Allgemeinen schwierig (da Tools auf Ebene 2 wie Sticks aussehen) und rockt den Umgang mit Layer 3+ -Anliegen). Wenn Sie den IP-Verkehr (oder TCP- oder UDP-Verkehr usw.) zwischen Hosts steuern möchten, anstatt das Problem auf Schicht 2 anzugreifen, sollten Sie Firewalls / Router mit ACLs zwischen den Subnetzen einbinden.
Bandbreitenprobleme (es sei denn, sie werden durch Broadcast-Pakete oder Frame-Flooding verursacht) werden in der Regel nicht mit VLANs und Subnetting gelöst. Sie treten aufgrund mangelnder physischer Konnektivität auf (zu wenige Netzwerkkarten auf einem Server, zu wenige Ports in einer Aggregationsgruppe, die Notwendigkeit, auf eine schnellere Portgeschwindigkeit zu wechseln) und können nicht durch Subnetzbildung oder Bereitstellung von VLANs behoben werden, da dies gewonnen hat Erhöhen Sie nicht die verfügbare Bandbreite.
Wenn Sie nicht einmal über eine einfache Methode wie MRTG verfügen, mit der grafische Statistiken des Datenverkehrs pro Port auf Ihren Switches erstellt werden, ist dies wirklich Ihre erste Aufgabe, bevor Sie potenziell Engpässe mit gut gemeinten, aber nicht informierten Subnetzen einführen . Raw-Byte-Zählungen sind ein guter Anfang, aber Sie sollten gezieltes Sniffing durchführen, um weitere Details zu den Verkehrsprofilen zu erhalten.
Sobald Sie wissen, wie sich der Datenverkehr in Ihrem LAN bewegt, können Sie aus Leistungsgründen über Subnetze nachdenken.
In Bezug auf "Sicherheit" müssen Sie viel über Ihre Anwendungssoftware und deren Funktionsweise wissen, bevor Sie fortfahren können.
Ich habe vor ein paar Jahren einen Entwurf für ein LAN / WAN mit vernünftiger Größe für einen Kunden aus dem medizinischen Bereich erstellt und wurde gebeten, Zugriffslisten für die Layer-3-Entität (ein Cisco Catalyst 6509-Supervisor-Modul) zu erstellen, um den Datenverkehr zwischen den Subnetzen durch ein " Ingenieur ", der wenig Ahnung hatte, welche Art von Beinarbeit er eigentlich benötigen würde, sich aber sehr für" Sicherheit "interessierte. Als ich mit einem Vorschlag zurückkam, jede Anwendung zu untersuchen, um die erforderlichen TCP / UDP-Ports und Ziel-Hosts zu bestimmen, erhielt ich eine schockierte Antwort vom "Ingenieur", dass es nicht so schwierig sein sollte. Das letzte Mal, dass ich hörte, dass sie die Layer-3-Entität ohne Zugriffslisten ausführen, weil sie ihre gesamte Software nicht zuverlässig zum Laufen bringen konnten.
Die Moral: Wenn Sie wirklich versuchen möchten, den Zugriff auf Paket- und Stream-Ebene zwischen VLANs zu unterbinden, müssen Sie sich darauf vorbereiten, mit Anwendungssoftware viel Beinarbeit zu leisten und zu lernen, wie diese über das Netzwerk kommuniziert. Das Einschränken des Zugriffs von Hosts auf Server kann häufig durch Filterfunktionen auf den Servern erreicht werden. Das Einschränken des Zugriffs auf die Leitung kann zu einem falschen Sicherheitsgefühl führen und Administratoren zu einer Selbstzufriedenheit bringen, bei der sie denken: "Nun, ich muss die App nicht sicher konfigurieren, da die Hosts, die mit der App kommunizieren können, durch" die "eingeschränkt werden Netzwerk'." Wir empfehlen Ihnen, die Sicherheit Ihrer Serverkonfiguration zu überprüfen, bevor Sie die Host-zu-Host-Kommunikation über das Netzwerk einschränken.