Es hört sich so an, als ob jemand in Ihrem Unternehmen VLANs erstellen möchte, ohne die Gründe dafür und die damit verbundenen Vor- und Nachteile zu kennen. Es hört sich so an, als müssten Sie eine Messung durchführen und sich einige echte Gründe dafür ausdenken, bevor Sie fortfahren, zumindest mit der wahnsinnigen Dummheit "VLAN für einen Raum".
Sie sollten ein Ethernet-LAN erst dann in VLANs aufteilen, wenn Sie gute Gründe dafür haben. Die besten zwei Gründe sind:
Leistungsprobleme mindern. Ethernet-LANs können nicht unbegrenzt skaliert werden. Übermäßige Sendungen oder das Überfluten von Frames an unbekannte Ziele schränken deren Umfang ein. Eine dieser beiden Bedingungen kann dadurch verursacht werden, dass eine einzelne Broadcast-Domäne in einem Ethernet-LAN zu groß wird. Der Broadcast-Verkehr ist leicht zu verstehen, aber das Überfluten von Frames zu unbekannten Zielen ist etwas dunkler ( so sehr, dass keines der anderen Poster hier es überhaupt erwähnt!). Wenn Sie so viele Geräte erhalten, dass Ihre Switch-MAC-Tabellen überlaufen, werden die Switches gezwungen, Nicht-Broadcast-Frames über alle Ports zu übertragen, wenn das Ziel des Frames keinen Einträgen in der MAC-Tabelle entspricht. Wenn Sie eine ausreichend große einzelne Broadcast-Domäne in einem Ethernet-LAN mit einem Datenverkehrsprofil haben, bei dem Hosts nur selten miteinander kommunizieren (dh, wenn ihre Einträge aus den MAC-Tabellen auf Ihren Switches veraltet sind), kann es auch zu einer übermäßigen Überflutung von Frames kommen .
Der Wunsch, den Datenverkehr zwischen Hosts auf Schicht 3 oder höher zu begrenzen / zu steuern. Sie können einige Hacker-Aktionen durchführen, um den Datenverkehr auf Schicht 2 (unter anderem Linux ebtables) zu untersuchen. Dies ist jedoch schwierig zu verwalten (da Regeln an MAC-Adressen gebunden sind und das Ändern von NICs Regeländerungen erforderlich macht) Das transparente Proxying von HTTP auf Ebene 2 ist beispielsweise ausgeflippt und unterhaltsam, aber völlig unnatürlich und kann bei der Fehlerbehebung sehr unintuitiv sein. In niedrigeren Ebenen ist dies im Allgemeinen schwierig (da Tools auf Ebene 2 wie Sticks aussehen) und rockt den Umgang mit Schicht 3+ Bedenken). Wenn Sie den IP-Verkehr (oder TCP- oder UDP-Verkehr usw.) zwischen Hosts steuern möchten, anstatt das Problem auf Ebene 2 anzugreifen, sollten Sie Firewalls / Router mit ACLs zwischen den Subnetzen einbinden.
Bandbreitenprobleme (es sei denn, sie werden durch Broadcast-Pakete oder Frame-Flooding verursacht) werden in der Regel nicht mit VLANs behoben. Sie treten aufgrund mangelnder physischer Konnektivität auf (zu wenige Netzwerkkarten auf einem Server, zu wenige Ports in einer Aggregationsgruppe, die Notwendigkeit, auf eine schnellere Portgeschwindigkeit zu wechseln) und können nicht durch Subnetzbildung oder Bereitstellung von VLANs behoben werden, da dies gewonnen hat Erhöhen Sie nicht die verfügbare Bandbreite.
Wenn Sie nicht einmal über eine einfache Methode wie MRTG verfügen, mit der grafische Statistiken zum Datenverkehr pro Port auf Ihren Switches erstellt werden, ist dies wirklich Ihre erste Aufgabe, bevor Sie potenziell Engpässe mit einer wohlmeinenden, aber nicht informierten VLAN-Segmentierung einführen . Raw-Byte-Zählungen sind ein guter Anfang, aber Sie sollten gezieltes Sniffing durchführen, um weitere Details zu den Verkehrsprofilen zu erhalten.
Sobald Sie wissen, wie sich der Datenverkehr in Ihrem LAN bewegt, können Sie aus Leistungsgründen über eine Segmentierung des LAN nachdenken.
Wenn Sie wirklich versuchen möchten, den Zugriff auf Paket- und Stream-Ebene zwischen VLANs zu unterbinden, müssen Sie sich darauf vorbereiten, viel Beinarbeit mit Anwendungssoftware zu leisten und zu lernen, wie diese über das Netzwerk kommuniziert. Die Einschränkung des Zugriffs von Hosts auf Server kann häufig durch Filterfunktionen auf den Servern erreicht werden. Das Einschränken des Zugriffs auf die Leitung kann zu einem falschen Sicherheitsgefühl führen und Administratoren zu einer Selbstzufriedenheit bringen, bei der sie denken: "Nun, ich muss die App nicht sicher konfigurieren, da die Hosts, die mit der App kommunizieren können, durch" die "eingeschränkt werden Netzwerk'." Ich empfehle Ihnen, die Sicherheit Ihrer Serverkonfiguration zu überprüfen, bevor Sie die Host-zu-Host-Kommunikation über das Kabel einschränken.
In der Regel erstellen Sie VLANs in Ethernet und ordnen ihnen IP-Subnetze 1: 1 zu. Du wirst einen brauchen LOT von IP - Subnetze für das, was Sie beschreiben, und möglicherweise eine Menge von Tabelleneinträgen Routing. Planen Sie diese Subnetze besser mit VLSM, um Ihre Routing-Tabelleneinträge zusammenzufassen, oder?
(Ja, ja - es gibt Möglichkeiten, nicht für jedes VLAN ein eigenes Subnetz zu verwenden, sondern in einer streng "einfachen" Welt ein VLAN zu erstellen. Überlegen Sie sich ein IP-Subnetz, das im VLAN verwendet werden soll, und weisen Sie einen Router zu eine IP-Adresse in diesem VLAN, verbinden Sie diesen Router mit dem VLAN, entweder mit einer physischen Schnittstelle oder einer virtuellen Subschnittstelle auf dem Router, verbinden Sie einige Hosts mit dem VLAN und weisen Sie ihnen IP-Adressen in dem von Ihnen definierten Subnetz zu und leiten Sie ihren Datenverkehr in und aus dem VLAN.)