Ну давай - VLAN 1 резервируем и не используем. Далее назначаем VLAN-ы с шагом 10 - так на всякий случай, мало ли что добавить придется...
Сразу скажу - хороший вариант по разделению "одно подразделение - один vlan" я не рассматриваю, он хорош с точки зрения СБ, но слегка гимороен для ИТ и писать много придется :)
И еще - считаем что стоят нормальные коммутаторы, которые понимают что номер VLAN может достигать 4к, а не 256 мах. как у дешевых китайцев...
VLAN 10 - administrative vlan, в него пихаем все управляющие интерфейсы сетевого железа, IPMI, управляющие интерфейсы кластерных нод и т.д. Обычному юзеру тут делать нефига.
VLAN 20 - servers vlan, сюда пихаем интерфейсы серверов, на которых предоставляются сервисы пользователям, почта, файлопомойка и т.д. Обычно от некие VM. Сразу замечу - правильным подходом будет когда у VM два интерфейса - управляющий (VLAN 10) и пользовательский (VLAN 20). На первый можно зайти по ssh/rdp/vnc и т.д., но нет никаких пользовательских сервисов, на втором - наоборот.
VLAN 30 - printers vlan, здесь живут принтера если их много и пихать их в "серверный" VLAN - нецелесообразно. В отдельный VLAN пихать их целесообразно в том числе по соображениям контроля за печатью - чтоб печатали только через принт-сервер, который этот контроль осуществляет.
VLAN 40 - iSCSI vlan. Сюда пихаем iSCSI, через который обычно идет обмен между нодами кластера и СХД. Ну врятли вы используете FC...
VLAN 50 - CCTV vlan. Создается в том случае, если у вас используется видеонаблюдение с IP-камерами. ой, вот уж что надо пихать в отдельную сеть это камеры - и безам нравится, и способны загадить любую сеть...
VLAN 60 - СКУД vlan. СКУД-ы и прочее безобразие безов, если их контроллеры используют IP. Ибо их оборудование - имеет КРАЙНЕ странные IP-стеки, лучше их заизолировать от греха подальше.Ко всем этим VLAN (кроме 20-го), рабочие станции пользователей доступа в общем случае не имеют и к оборудованию, живущих в этих VLAN (кроме принтеров), пользователи в общем случае не имеют непосредственного доступа. Этажные коммутаторы находятся в запертых и опечатанных ящиках, да-да. :) Теперь пошли VLAN=ы, в которых распологаются пользовательские устройства.. VLAN VoIP - их может быть один или несколько в зависимости от политики безопасности на предприятии. В нем живут IP-Phone и прочая телефония. VLAN WLAN (Wi-Fi) - обычно их минимум два, для сотрудников и гостевой, но может быть и больше - в зависимости от политик безопасности.
VLAN WS - workstation vlan, тут живут рабочие станции пользователей. В простейшем случае - он один, вариант отдельный VLAN на каждое подразделение я рассмотрел выше, но собственно есть промежуточный вариант, который удолетворяет большинство:
VLAN restricted - "огранниченный" vlan, но не в том смысле что он ограничен, а в том смысле что мало кого туда пускают. Это VLAN ИТ-отдела - никаких ограничений, но всем рассказываем "ну мы сами в ограниченном сидим, ибо много куда доступ имеем" IDS/IPS и прочие системы защиты - обязательны. DLP - бесполезны.
VLAN standart - рабочие станции всех обычных сотрудников. Закрытие вконтактников, одноглазников и прочих развлекалочек - на усмотрение начальства, обычно - практикуется. DLP и прочие радости жизни - обычно в полный рост.
VLAN privilege - "привилигерованный" vlan для рабочих станций начальства. Очень жесткий контроль, но вконтактник и прочее - разрешены, что дает ложное ощущение свободы. Наличае DLP упорно отрицается, на самом деле - всегда присутствует. Но это уже забота СБ - DLP обычно управляют они, а не ИТ. Отмечу что именно такие название - важны, ибо вводят в заблуждение обычного пользователя и мешают ему правильно сформулировать свои хотелки на доступ к вконтактнику и торрентам. :)
|
