каковы последствия наличия двух подсетей на одном коммутаторе?

<p>может кто-нибудь сказать мне, что некоторые из последствий наличия двух разных подсетей на одном коммутаторе будут, если vlan <em>не</em> используется?</p>

<p>все будет работать так, как вы ожидаете. по сути, они просто делят домен вещания. компьютеры в разных подсетях не будут arp через подсеть, поэтому им все равно потребуется маршрутизатор (или встроенный объект уровня 3 в коммутаторе) для того, чтобы "общаться" друг с другом.</p><p>поскольку они совместно используют широковещательный домен, существует гораздо меньшая (возможно, нет) изоляция, чем если бы вы использовали vlan. было бы легко подделать хосты arp и mac в любой подсети из любой подсети.</p><p>если вы просто делаете это в лабораторном сценарии, это, вероятно, хорошо. если вы действительно нуждаетесь в изоляции, то при производственном развертывании вы должны использовать vlan или отдельные физические коммутаторы.</p>

<p>если вы не используете vlan, человек может легко добавить 2 ip-адреса в свой интерфейс, скажем <code>192.182.0.1/24</code> а также <code>172.16.0.1/24</code>, чтобы он или она могли получить доступ к обеим сетям.</p><p>используя vlan, вы можете пометить порты коммутатора таким образом, чтобы любой компьютер, настроенный на получение трафика только от vlan, не сможет получать трафик (кроме того, который направлен на него и имеет правильную vlan) независимо от того, как настроен локальный интерфейс (сколько ip-адресов на интерфейсе).</p><p>по сути:</p><ul> <li>если вы доверяете своим пользователям, нет никакой причины использовать vlan (с точки зрения безопасности).</li> <li>если вы не доверяете своим пользователям, виртуальные локальные сети будут держать определенные группы пользователей отделенными друг от друга</li> </ul>

<ol> <li>если у вас есть ненадежные пользователи - некоторые из них могут подделывать ip-адреса из других подсетей. если есть какие-то правила адресов - они могут их обойти. некоторые пользователи из подсети1 могут подделать адрес маршрутизатора в сети b и подслушать [хотя бы часть] связи.</li> <li>у вас будет больше широковещательного мусора [arp-пакетов], но это не должно вас беспокоить, если у вас несколько десятков пользователей и 100 или 1000 мбит/с.</li> </ol>

<p>во-первых, я не уверен, почему вы сделали бы это для пользователей. единственный сценарий, о котором я могу подумать, это то, что у вас нет ip-адресов в вашей текущей пользовательской подсети, и вы не можете легко расширить вашу текущую подсеть. в этом случае я думаю, что было бы хорошо добавить еще одну подсеть. подделка становится не проблема, когда вы используете ip-адреса таким образом, потому что обе подсети равны, поэтому вы имеете одинаковый риск подделки, будь то одна подсеть или несколько. у меня есть один вопрос: как будет работать dhcp? если ваши области dhcp не являются смежными, и сервер dhcp обслуживает ip-адреса на основе "вспомогательного" адреса маршрутизатора, не все ли запросы будут направлены в одну область или другую? я полагаю, что это может стать проблемой, если ваш dhcp-сервер находится непосредственно в домене широковещательной рассылки, но это еще кое-что для изучения.</p><p>все это говорит о том, что я делаю это на производстве для одного из своих приложений. у меня есть приложение, которое имеет географически разнообразные бункеры, каждый из которых имеет свои собственные/27. эти ip-адреса я считаю инфраструктурными. они принадлежат этим серверам. затем я направляю дополнительные/29 к тому же широковещательному домену. эта подсеть принадлежит приложению. когда я в следующий раз обновлю аппаратное обеспечение, я создам совершенно новый бункер с новым/27, а затем изменим маршрут для приложения/29 на него. так как этот/29 обрабатывает связь с сетевыми элементами, это позволяет мне не перепрограммировать все ne, если мы получаем новое оборудование или новое программное обеспечение, а использование того же широковещательного домена позволяет мне делать это без выделенного сетевого адаптера.</p>

<p>мы внедрили это в нашей школе, потому что у нас заканчивались ip-адреса и мы выделили новую подсеть для беспроводной секции, она отлично работает в сети на 3000 пользователей, для быстрого решения это плюс, я согласен, что мы должны создать vlan для того, чтобы сохранить безопасность.</p><p>dhcp-сервер (windows) должен иметь две никель-карты, подключенные к одному коммутатору (наш виртуальный, поэтому это не имеет значения), чтобы выдавать ips беспроводной сети, вам придется использовать статические ip-адреса в "старой сети" , он не будет работать, обслуживая две области dhcp по одному и тому же коммутатору.</p>