☰

Маршрутизация между подсетями с помощью одного маршрутизатора?

tag-icon • tag-icon router routing dhcp subnet network-design
Маршрутизация между подсетями с помощью одного маршрутизатора?

У меня есть Draytek Vigor 2820, подключенный к трем гигабитным коммутаторам Netgear Layer 2. В настоящее время сеть довольно простая, 192.168.1.0/24.

В моей сети имеется 7 серверов, около 50 компьютеров, 6 сетевых принтеров, 16 IP-телефонов и от 5 до 10 беспроводных ноутбуков, подключенных через три беспроводные точки доступа.

Хотя у нас достаточно много доступных IP-адресов, я думаю, что идентификация устройства по его IP-адресу могла бы быть немного более эффективной.

У нас также есть три филиала, которые соединены через VPN-туннели.

На данный момент мы имеем следующую структуру ИС:

Main Practice - 192.168.1.0/24
Branch 1.     - 192.168.2.0/24
Branch 2.     - 192.168.3.0/24
Branch 3.     - 192.168.4.0/24

Мы называем их филиалами, но по сути они являются постоянными домашними работниками по большей части. Установлено, что любому пользователю VPN без туннеля назначается IP-адрес больше 192.168.1.200/24.

Мне бы хотелось разместить все серверы в сети типа 10.1.1.0/24, беспроводные точки доступа в сети 10.1.2.0/24 и, возможно, принтеры в сети 10.1.3.0/24.

Я не думаю, что нашей сети нужны VLAN, но я думаю, что вышеприведенная идея упростила бы вещи. Не говоря уже о том, чтобы сделать наше количество доступных адресов хостов намного больше.

Используя один маршрутизатор, можно ли добавить статический маршрут в другую подсеть, используя тот же шлюз? У меня есть один DHCP-сервер, работающий на Windows 2008 R2, я предполагаю, что я могу добавить новую область для каждой из новых подсетей?

Есть ли у этого плана существенные недостатки?

решение1

Есть ли у этого плана существенные недостатки?

Да. Это неоправданно сложно. Вообще говоря, вы разделяете свои устройства по разным подсетям, потому что у вас есть потребность в фильтрации, регистрации или маршрутизации. Например: все ваши службы DMZ находятся в отдельной подсети, к которой ваши клиенты не могут получить прямой доступ.

Если вы не получаете серьезных преимуществ от использования этой настройки, которых я не вижу (что, безусловно, возможно), вы просто покупаете дополнительную сложность.Не поддавайтесь искушению быть слишком умным.

Хотя у нас достаточно много доступных IP-адресов, я думаю, что идентификация устройства по его IP-адресу могла бы быть немного более эффективной.

По моему мнению, если вы пытаетесь идентифицировать устройства по их IP-адресам,Ты делаешь это неправильноХотя это и звучит как хорошая идея — разместить серверы в одной IP-подсети, принтеры в другой, рабочие станции в третьей, а беспроводных клиентов в третьей, — довольно скоро вы обнаружите, что ваши таблицы маршрутизации усложняются... быстро (и без необходимости).

Уже есть настройка сервиса для идентификации устройств... DNS! Зачем беспокоиться о запоминании IP, если можно дать устройствам понятные человеку имена?

Я не думаю, что нашей сети нужны VLAN, но я думаю, что вышеприведенная идея упростила бы вещи. Не говоря уже о том, чтобы сделать наше количество доступных адресов хостов намного больше.

Я думаю, вы правы, вам, вероятно, не нужны VLAN. Однако, возможно, все же стоит разместить все ваши VOIP-устройства в отдельной VLAN, если есть проблемы с производительностью.

решение2

Я предполагаю, что вы хотите добавить несколько подсетей в одном и том же физическом сегменте? Хотя это возможно, это потребует от вас определения "псевдонима IP" или "подынтерфейса" (в зависимости от точной терминологии, используемой вашей конкретной маркой маршрутизатора - я с ней не знаком), по сути, назначения нескольких IP-адресов на одном и том же физическом интерфейсе.

Одна из проблем заключается в том, что весь ваш трафик из локальной сети на сервер должен будет проходить через маршрутизатор, который, скорее всего, не сможет обеспечить маршрутизацию на гигабитных скоростях, а даже если и сможет, замедление все равно будет наблюдаться.

Я не слишком хорошо знаком с DHCP-сервером Windows, поэтому не знаю, сделает ли он то, что вы хотите — несколько подсетей в одном сегменте сети. Но вам нужно будет как-то настроить DHCP-сервер для предоставления различных подсетей в зависимости от MAC-адреса компьютера, запрашивающего IP.

Никаких преимуществ в плане безопасности здесь также нет: злоумышленник может просто создать псевдоним IP на ваших рабочих станциях, чтобы напрямую получить доступ к локальной сети вашего сервера.

Я бы лично не стал реализовывать что-то подобное, потому что это сделает вашу сеть более сложной, а не менее. Я бы либо использовал несколько VLAN, либо просто поместил бы все в одну подсеть.

Связанный контент