Já passou algum tempo desde que trabalhei no lado da administração de redes, mas eis o que penso sobre isso:
200+ clients on a subnet wasn't a real issue 10 years ago and it won't be now, you can still read all the broadcasts
Isso é mais ou menos verdade. Voltar antes de mudar de sub-tecnologia para contabilizar a quantidade total de tráfego de transmissão foi uma preocupação séria. Hoje em dia, embora os switches sejam muito mais eficientes em termos de arquitetura geral em comparação com os hubs (ou seja, eles não encaminham EVERY pacote para EVERY porta) e eles são melhores com o tráfego de transmissão que eles têm.
Eu ouvi que WAG indica que 500 clientes por sub-rede são sobre onde você deveria começaremos a considerar a criação de sub-redes com base apenas em questões de domínio de tráfego e transmissão, mas não ficaria surpreso se o hardware de comutação de classe empresarial pudesse lidar com muito mais. Obviamente, teste e teste novamente, pois a carga de trabalho de todos é diferente.
you can still read all the broadcasts with a (non-promisc) tcpdump without it becoming a blur
Se o seu IDS / IPS exigir que você leia o tráfego de transmissão manualmente, provavelmente deverá procurar um produto IDS / IPS diferente. Eu realmente não vejo isso como uma preocupação válida em decidir qual deve ser o tamanho da sua sub-rede.
If all you have is 50 clients, then it would not make a difference if the subnet was /8 or /24. Its the same number of clients, same amount of traffic.
Parece lógico para mim. O espaço de rede à parte, você só tem muitos clientes e eles só podem produzir muito tráfego.
my current 10.0.0.0/8 subnet (with about 20 clients and 2 servers all hooked to the same switch) was vulnerable to overloading should a client be compromised by malware, because broadcast traffic would be orders of magnitude higher than, say, on a 192.168.0.0/24 subnet
Uau. Gostaria de dimensionar corretamente sua sub-rede, como agora!
Vou copiar / colar isso da minha outra resposta, mas é muito relevante aqui: você não está gerenciando centenas de hosts. A complexidade da sua solução deve refletir a complexidade do ambiente. Resista à tentação de ser excessivamente inteligente. Você vai se agradecer depois.
Em segundo lugar, não sei como seria mais vulnerable to overloading em relação ao tráfego de transmissão, pois há apenas 20 clientes para transmitir. Quando você pensa em ataque de broadcast ou fan-outs de broadcast, o fator limitante geralmente não é o domínio de broadcast, mas os nós que geram o tráfego, assim se seus 20 nós estiverem tentando transmitir para 252 endereços IP ou 16.777.212 endereços IP (16.777.192 dos quais estão desocupados) ) o mesmo número de transmissões está saindo. Agora, se o malware fizer algum tipo de ataque de amplificação onde ele começa a criar endereços IP, sim, você deu ao seu invasor muito mais espaço para jogar. Talvez seja isso que o seu segurança estava chegando. A segurança das informações é complicada e eu só tenho um conhecimento superficial do campo, portanto, se você quiser explorar essa questão com mais detalhes, talvez Security.SE seria mais apropriado.