Sub-redes ou VLANs?

Question

Eu tenho uma rede com vários grupos de pessoas que desejo proteger e separar. Aqui estão os grupos

1. dispositivos da empresa (com e sem fio)
2. dispositivos centrais (com fio e sem fio)
3. dispositivos de visitante (com fio)
4. dispositivos do cliente (com e sem fio)

Estou tentando descobrir se as sub-redes para cada uma das VLANs são as melhores. Aqui está o hardware que eu tenho

1. modem a cabo no modo bridge
2. firewall / roteador (LAN de 2 portas)
3. Routerboard Routerboard (LAN de 4 portas)
4. Comutador TP-Link SG1024de (comutador inteligente)
5. vários switches não gerenciados
6. Ubiquiti AP

Gostaria que os dispositivos LAN e WAN internos tivessem acesso irrestrito uns aos outros, inclusive aos meus servidores, incluindo DHCP e servidor de arquivos.

Meus dispositivos clientes precisam apenas de acesso à Internet e acesso ao meu servidor de arquivos. Isso só poderia ser feito com fio, se necessário, mas sem fio também seria útil.

Meus dispositivos locatários precisam de acesso apenas a seus outros dispositivos sem fio e com fio.

Meus visitantes precisam apenas de acesso sem fio à Internet, nada interno.

Então, eu deveria colocar tudo em sub-rede? Eu precisaria instalar WAPs adicionais? Ou devo tudo VLAN? Posso marcar VLANs ou forçar SSIDs para trabalhar em uma determinada sub-rede?

Algum outro conselho?

    

Answer 1

Geralmente, as sub-redes combinam com VLANs (ou seja, uma sub-rede por VLAN), assim como as LANs físicas separadas. (O roteador também os vê como semelhantes a interfaces físicas separadas.) Não há segurança em colocar duas sub-redes na mesma (V) LAN, pois elas podem ser acessadas diretamente umas das outras (com, no máximo, uma alteração de endereço IP dissimulada), e não faz sentido usar a mesma sub-rede em duas (V) LANs, pois isso vai contra a definição de "sub-rede".

Então você criaria uma sub-rede e uma VLAN para cada grupo; conecte o roteador a uma das portas do TP-Link configurada como uma porta "trunk" (ou pelo menos, com todas as VLANs marcadas) e atribua as outras portas a VLANs específicas (sem tag), onde elas vão para switches não gerenciados. p>

Esse roteador estaria servindo DHCP para todas as VLANs, atuaria como seu gateway fora da sub-rede e como firewall para acesso entre VLANs.

Os SSIDs são como portas em um switch, portanto, eles estarão em sub-redes separadas se pertencerem a LANs (V) diferentes. Muitos APs de ponta suportam múltiplos SSIDs com VLANs separadas, mas depende de qual tipo de "Ubiquiti AP" você tem. (Eu ouvi que a série UniFi suporta isso, mas eu só trabalhei com dispositivos airMAX que definitivamente não suportam).

(Esses APs com várias VLANs também se conectariam a uma porta "trunk", eu acho).