Configurando a rede VLANs / IP para segurança e desempenho

Question

Meu nível de entendimento em rede ainda é novato, por isso, tenha paciência comigo.

Eu tenho vários produtos da Ubiquiti - USG (roteador), USW (switch) e UAP-AC (wap) instalados em minha casa. Eu quero criar várias redes (gerenciamento, cliente, armazenamento, VoIP e convidado).

Eu tenho dois servidores que fornecerão serviços DHCP e DNS.

Eu escrevi o seguinte:

VLAN  0 (10.0.0.0/24)  - unmanaged
VLAN 10 (10.0.10.0/24) - client
VLAN 20 (10.0.20.0/24) - guest
VLAN 30 (10.0.30.0/24) - storage
VLAN 40 (10.0.40.0/24) - management
VLAN 50 (10.0.50.0/24) - VoIP 

A VLAN 20 não pode se comunicar com nenhuma outra VLAN.

A VLAN 30 é para a minha rede iSCSI de meus storage arrays para uma porta Ethernet dedicada em cada host do servidor. Dessa forma, nenhum cliente pode ver meu storage array diretamente. Eles acessarão os arquivos por meio do compartilhamento de arquivos no host, que coleta dados do storage array.

Aqui estão minhas perguntas:

Eu coloco meu roteador na rede não gerenciada? ou seja, 10.0.0.1 Qual sub-rede meu roteador pertence? ou seja, 255.255.255.0

Quais sub-redes (s) cada VLAN (10-50) usa?

Cada VLAN, exceto armazenamento, precisa de acesso à Internet para baixar atualizações / correções. Como posso garantir que eles possam acessar a Internet?

Qual IP / subnet meus servidores DNS / DHCP pertencem? 10.0.0.0/24 ou 10.0.10.0/24? O serviço DHCP concederá endereços para VLAN 10 e VLAN 20.

    

Answer 1

Do I put my router on the unmanaged network? ie 10.0.0.1

AFAIK, usando uma VLAN de "gerenciamento" dedicada, é uma medida de segurança comum.

What subnet does my router belong to? ie 255.255.255.0

What subnet(s) does each VLAN (10-50) use?

… você não apenas escreve para si mesmo que cada VLAN tem uma sub-rede /24 ?

Portanto, a VLAN 40 usaria a sub-rede 10.0.40.0/24 aka 10.0.40.0/255.255.255.0 como você escreveu na pergunta, e assim por diante.

Each VLAN, except storage, needs Internet access to download updates/patches. How do I ensure they can reach the Internet?

O roteador precisa pertencer a todas as VLANs e pode rotear entre WAN & larrarr; cada VLAN apenas como seria normalmente rota entre WAN & larrarr; LAN regular. Basicamente, ele vê as VLANs marcadas como interfaces Ethernet individuais.

What IP/subnet does my DNS/DHCP servers belong to? 10.0.0.0/24 or 10.0.10.0/24? The DHCP service will lease out addresses for VLAN 10 and VLAN 20

Ambos. Ele precisa ser um membro de ambas as VLANs.