Я опишу свою рабочую схему, она проста и логична и очень легко масштабируется.
1. за основу взята орг. структура организации и принцип паранои (бухгалтера падают в обморок если видят в сетевом окружении компьютер кадровиков или не дай бог простых смертных).
Т. е. количество подсетей = количеству орг. подраздеьений.
2. принцип раздачи сетей и vlan. VLAN ID N содержит сеть вида 192.168.n.x/24. n в диапазоне от 2 до 130 (да у меня дохрена подсетей кажлая размерностью условно от 2х до 200 устройств).
С подсетями отличающихся от /24 могут возникать внезапные проблемы - некоторые устройства не могут с первого раза принять другую маску по DHCP (у меня сетевые принтеры и Windows 95 глючили). Сеть может быть и 10.x.y.z - это дело вкуса, мне интегратор пытался навязать схему где разряды это этаж и номер коммутатора, но это было бы логично для однородного жилого дома, но не для организации, где одно структурное подразделение может занимать помещения на разных этажах и подключены к разным коммутаторам.
3. если сетевые принтеры закреплены за подразделениями и стоят в одном с ними кабинете, то принтер попадает в ту же подсеть, что и его подразделение.
4. сервера сидят в своей обособленной мжнеджовой подсети, НО если это сервер бузгалтерии, то ему добавляется интерфейс с vlan и ip бухгалтерии, что бы минимизировать трафик через маршрутизатор и да у общего файлового сервера 130 vlan и ip.
Когда по сети летит база на несколько гигабайт на скорости 800-900 мегабит возможны жесткие коллизии, особенно если она летит из одной подсети в другую через маршрутищатор.
5. у меня в сети более 700 voip телефонов и под них сделано исключение - в их vlan подсеть /22
6. система контроля доступа и видеокамеры вынесены вообще на отдельные коммутаторы.
У видеокамер и к примеру у систем аудио/видеоконференций иногда бывают механизмы использующие бродкасты/мультикасты и это может стать очень большой проблемой - регается тонкой настройкой коммутаторов.
7. комп через телефон - только при дефиците розеток. Схема рабочая, если коммутатор поддерживает макавторизацию на адрес (есть вариант на порт, тогда это не будет правильно работать). В общем лучше этого не делать.
8. ещё у меня есть гостевая подсеть, куда попадают гости не входящие в структуру.
9. точки доступа Wi-Fi силят в мэнеджовой сети, а вещают BSSID с гостевым vlan и возможностью авторизации по маку с возможностью привязки к vkan.
10. у меня сеть enterprise уровня на железках huawei s5700 модно и на s2700 это реализовать + сервер управления сети (radius со специфичными настройками) + dhcp + dns. DHCP лучше делать на отдельном компьютере, а не на коммутаторе (коммутаторы иногда глючат, ограничены в функционале и из лучше не нагружать лишней нагрузкой). Маршрутизатор у меня на Linux по той же проблеме - у коммутатора были ограничения на количество правил (ACL), а на Linux можно было творить что угодно. Так же в мэнеджовой сети есть tftp сервер для хранения и раздачи конфигов коммутаторов.
Вот так вкраце. И очень советую читать документацию и консультироваться у старших товарищей. Каждый элемент имеет огромное количество неочевидных нюансов.
