As VLANs são necessárias para o meu ambiente?

Question

Sou o novo gerente de rede de uma escola. Eu herdei um ambiente composto de vários servidores Windows, cerca de 100 clientes Windows, 10 impressoras, 1 roteador Cisco, 6 switches Cisco e 1 switch HP. Além disso, estamos usando o VoIP.

Existem quatro andares em nosso prédio. Os hosts em cada andar são atribuídos a uma VLAN separada. Um escritório no primeiro andar tem sua própria VLAN. Todos os switches estão em sua própria VLAN. Os telefones IP estão em sua própria VLAN. E os servidores estão em sua própria VLAN.

Para o número de hosts na rede, todas essas VLANs estão realmente me comprando? Eu sou novo no conceito de VLAN, mas parece muito complicado para esse ambiente. Ou é genial e eu não entendo?

    

Answer 1

IME você está no estádio onde a segregação do tráfego entre as redes melhora o desempenho. No entanto, a divisão das VLANs parece ter sido decidida com base na função dos nós membros, em vez de qualquer esforço para gerenciar a largura de banda. Certamente, com esse número de nós, você pode obter a mesma largura de banda agregada planejando de maneira inteligente onde você coloca os switches em vez de usar as vlans.

Sem ver um diagrama detalhado e obter algumas medições reais, é difícil dizer com certeza, mas suspeito que a configuração descrita não ofereça benefícios de desempenho e muita dor de cabeça de administrador.

you can enforce Access Control Lists on the router

Não é uma boa razão para usar vlans - use sub-redes, firewalls e switches.

    

Answer 2

A maioria dessas VLANs faz sentido para mim. É bom dividir por função, portanto, uma VLAN para servidores, uma para telefones e outra para estações de trabalho faz muito sentido. Você pode então obter um bom controle sobre o tráfego que flui entre estações de trabalho e servidores.

O que eu não vejo muito sentido é ter VLANs para estações de trabalho em cada andar. Uma única VLAN para todas as estações de trabalho manteria as coisas legais e simples. Expandir VLANs em vários switches / troncos provavelmente não será um problema para uma rede tão pequena.

Também é inútil manter uma VLAN separada para gerenciamento de switches. Eles podem ficar felizes na VLAN do servidor.

Nada de mágico sobre as VLANs BTW ... apenas segmentos de rede de broadcast separados, cada um exigindo um gateway padrão e a configuração apropriada de ACL nas portas de rede.

    

Answer 3

Bem, pode ser útil ter VLANs separadas para dados (computadores) e VoIP, para que você possa aplicar algum tipo de priorização de tráfego. VLANs separadas para gerenciamento de switches também são úteis. VLANs separadas por andar parecem ser demais para 100 Pcs, a menos que você planeje expandir no futuro.

    

Answer 4

As VLANs permitem dividir sua rede em segmentos lógicos menores; isso ajuda tanto a melhorar a capacidade de gerenciamento quanto a limitar o tráfego de transmissão desnecessário.

Para uma rede tão pequena, pode ser um exagero: você pode facilmente manipular ~ 100 objetos de rede com uma única sub-rede VLAN e IP. Mas acho que você deveria se ater a essa configuração, por duas razões principais:

1) Melhora a capacidade de gerenciamento; se você conhece f.e. que os servidores estão em 192.168.1.X e os clientes estão em 192.168.100.Y, é mais fácil gerenciá-los. Se todos os seus endereços estivessem na sub-rede 192.168.42.Z, como você poderia (facilmente) distinguir entre eles?
2) Escala muito melhor. Se você mudar de ~ 100 para > 200 objetos de rede, uma única sub-rede IP / 24 subitamente parecerá muito menor, e uma única maior será facilmente uma bagunça.

Para os puristas: sim, eu sei muito bem que as VLANs e as sub-redes IP não têm necessariamente um mapeamento rígido de 1: 1; este é apenas o uso mais comum para eles, o que parece ser o que o OP está se referindo.

    

Answer 5

A outra vantagem deste design é que você pode aplicar as Listas de Controle de Acesso no roteador, para que as comunicações entre as VLANs sejam limitadas, e você pode proteger os servidores Windows contra alunos entusiasmados.

    

Answer 6

Eu concordaria com as respostas que você já tem.

Você precisa de VLANs? Em outras palavras, eles são "necessários" se quisermos nos ater pedanticamente ao que você pergunta no título da sua pergunta? Provavelmente não. É uma boa ideia dada a variedade de tráfego que você tem? Provavelmente sim.

Não há uma resposta certa ou errada, é uma questão de designs diferentes e o que o designer esperava alcançar ...

Com base no que você disse, eu concordo com os comentários sobre não precisar de uma VLAN "por andar", mas sem saber mais sobre sua configuração (embora eu seja um gerente de rede da faculdade, tenho uma ideia geral) todos nós sabemos que você tem classes de programação em um andar, admin office em outro, etc. e as atuais VLANs de estação de trabalho não são sobre separar andares mas sim separar funções , Assim, as classes de programação não podem interromper o uso da LAN para processamento de texto em outras lições, os alunos não podem se conectar facilmente a estações de trabalho administrativas, talvez você tenha a necessidade de PCs dedicados para exames eletrônicos e assim por diante. Se algo assim está acontecendo, talvez as VLANs extras da estação de trabalho comecem a fazer mais sentido.

Eu não suponho que exista alguma documentação explicando as escolhas de design feitas pela pessoa que inicialmente criou tudo isso?

    

Answer 7

As VLANs separam o tráfego de broadcast. Você não tem computadores suficientes para se preocupar com isso. VLANs geralmente, mas nem sempre, se alinham com sub-redes. As VLANs também permitem que você aplique algumas ACLs limitadas As ACLs de switches podem ser muito úteis, com pouco benefício. Firewalls separam melhor o tráfego, ACLs em portas de switch que podem ficar confusas.

O único argumento que vejo para adicionar VLANs é se você também alterar seu esquema de endereçamento IP. Agora, acho que com apenas 4 andares, o que pode ser um exagero.

Em uma empresa onde eu trabalhava, tínhamos uma dúzia de prédios em nosso campus principal e alguns campus satélites, então tínhamos um esquema de endereçamento IP, que nos permitia dizer por um endereço IP em qual prédio o dispositivo estava São meus 2 centavos, pelo que vale a pena.