Есть ли смысл делить сеть на подсети, если она будет поделена на vlan-ы?

Question

[Vladisl4v]

Вопрос для курсовой работы.
Есть ли смысл делить небольшую сеть (около 30 компьютеров, 15 ip-камер, 15- ip-телефонов, пару серверов) на подсети, если она будет поделена на vlan-ы?

Comments

[RStarun]

Если сеть будет разделена вланами, то да, имеет. Например, вы сможете с компа подключиться к камере, ну или к серверу. Если сеть везде будет идентичная, то маршрутизация между vlan'ами просто не будет работать.

[alfonzob00baron]

А как вы собираетесь делать маршрутизацию с вланами без сабнетов?

[Akina]

alfonzob00baron,

как вы собираетесь делать маршрутизацию с вланами без сабнетов?

А связь-то какая? я вообще могу на коммутаторе замкнуть один вилан на другой и получить прямую доступность, а потом на интерфейс добавить второй адрес и общаться с соседним виланом и его узлами без маршрутизации.

VLAN - это L2, там даже понятия такого нет, как "маршрутизация".

[alfonzob00baron]

как раз потому что

VLAN - это L2, там даже понятия такого нет, как "маршрутизация"

маршрутизацией кто-то должен заниматься, либо л3 свич либо роутер. либо будут обособленные вланы без связи

я вообще могу на коммутаторе замкнуть один вилан на другой

это как это?

Answer 1

[Valentin Barbolin]

VLAN это не только возможно разделить большие сети.
В обычной жизни 30+15+15=60 устройств это не много для офиса и администраторы редко заморачиваются vlan, т.к. не всегда есть возможно купить коммутаторы которые умеют работать с VLAN.

Но для курсовой можно выделить такие плюсы использования vlan
1. Безопасность. Хорошим тоном является выносить такие устройства как камер, телефоны, принтера, сервера в отдельную сеть (vlan) и настраивать ограниченный доступ. Что позволяет оградить потенциально любопытных пользователей, злоумышленников, зараженные ПК от возможности скомпрометировать сеть предприятия.
2. Qos. Разделение на vlan позволяет настроить приоритет трафика в этом vlan, что может быть актуально для VoIP трафика.
3. Сервера. Это так же связано с безопасность, часто сервера имеют публикацию, что потенциально открывает возможность взлома данного сервера из мира. Для повышения безопасности, сервера с публикацией необходимо размещать в отдельном VLAN так называемая зона DMZ, у которой нет или есть ограниченный доступ в локальную сеть. Так же использование одной сети открывает возможности для использования атак по типу MITM.
4. Диагностика. Гораздо проще найти виновника пакостей когда сеть сегментирована на VLAN. Например, если сервера и ПК будет в одной сети, то какакой-то пользователь назначит на свой ПК IP аналогичный серверу и все устройства в сети будут иметь проблемы с доступом к этому серверу.
5. Так же WIFI стоит разделять минимум на два VLAN, гостевой и рабочий. Гостевой соответственно не должен иметь доступа к внутренней сети. Рабочий должен иметь ограниченный доступ т.к. в него может подключаться устройства BYOD которые покидают компанию и могут потенциально нести(принести) угрозу.
6. VPN. Разделение на VLAN упрощает построение VPN сетей при маштабировании компании или предоставлении сотрудникам доступа из вне посредствам VPN.

Comments

[Vladisl4v]

спасибо, но вопрос еще стоял про подсети, будет ли от них смысл, если будет разделена на vlan? То есть, например, бухгалтерия в одной подсети и в одном vlan, сотрудники офиса в другой подсети и соответственно в другом vlan... Или же можно просто разделить на vlan, но все в одной подсети и разницы не будет?

[Valentin Barbolin]

Vladisl4v, Ты не можешь использовать одинаковую подсеть в разных VLAN. Чисто технически можешь, но тогда эти сети не будут маршрутизироватся между собой.

будет ли от них смысл, если будет разделена на vlan?

Смысл разделения на vlan я описал выше.

Answer 2

[Akina]

Есть ли смысл делить небольшую сеть (около 30 компьютеров, 15 ip-камер, 15- ip-телефонов, пару серверов) на подсети, если она будет поделена на vlan-ы?

Если отвечать на этот вопрос, игнорируя любые другие вещи, то - да, причём не просто имеет смысл, а необходимо.

Формально, если компьютеры в одном вилане, камеры в другом, а телефоны в третьем, то они существуют так, словно подключены к разным коммутаторам. И вроде тогда пофиг, какие подсети. Но..

Всем этим надо управлять, всё это надо мониторить, и некоторые узлы из одного вилана должны будут получать доступ к узлам другого. Например, компьютер охраны должен будет видеть изображения с камер, а админ - иметь возможность управления сервером IP-телефонии...

Как можно обеспечить доступ? ну либо соответствующие рабочие станции будут иметь две и более сетевых карт, либо будет единый сервер маршрутизации. Но в обоих случаях для корректной работы необходимо, чтобы не было пересечения по подсетям, иначе настройка таблиц маршрутизации превратится в весьма непростую задачу, особенно в случае дублирования адресов.

Вопрос для курсовой работы.

А вот это означает, что необходимо рассмотреть ВСЕ возможные схемы организации сети, сравнить их между собой, и только на основании этого сравнения ответить на вопрос, надо или нет.

Answer 3

[Drno]

Даж на вланы нет смысла делить

Comments

[Maksim Herasim]

Ну как минимум из-за телефонов и видеонаблюдения по хорошему бы разделить на вланы. Если разделит тупо на подсети - то это не сильно разграничит сети и не помешает снифу. А вот вланы уже сами по себе дадут изоляцию между подсетями, поэтому с точки зрения безопасности - Вы ошибаетесь.

[Drno]

Maksim Herasim, 5 телефонов да 8 камер? я бы согласился с Вами если бы это была крупная сеть. но тут обычно платят копейки за такие настройки - нет смысла заморачиваться с vlan.
но в целом Вы правы - при условии бОльшего количества устройств и правильной оплаты)

[Maksim Herasim]

Drno, в любом из случаев, правилом хорошего тона делать правильно. Не смотря на бюджет, не надо приучать делать г...

[bassoon48]

Maksim Herasim, Ну на вланы действительно нет смысла делить. Но можно сделать хотябы разные подсети, но в одном Vlan.

И как сказал выше товарищ Drno - при наличии оплаты - да. Так как этим заниматься должен сетевик.

[Drno]

bassoon48, а зачем? чтобы что??
5 телефонов и 8 камер это ниочем
просто выносятся все такие устройства например в диапазон 192.168.1.200-250.... и всё

[bassoon48]

Drno, чтобы бродкасты разделить.

Потом 8 камер превратятся в 50-100.

И будешь ты плакать когда у тебя в сети 100 комаер 30 телефонов 30 компов 20 принтеров и тд....

Плавали знаем

[Drno]

bassoon48, ну вот когда начнут превращаться, тогда уже и делить… а если не превратятся? Получатся только лишние сложности

Answer 4

[Vitsliputsli]

Если это физически одна сеть, делить на подсети смысла нет, ну может только ради широковещательных по ip. Найти машину хоть в своей, хоть не в своей не проблема.
Если это сеть на обычных свитчах, вводить программно устанавливаемый vlan нет особого смысла по безопасности, только разве для приоритезации трафика.
А вот если сеть с нормальными маршрутизаторами и они будут контролировать vlan, то да, это будет вполне безопасно.