Я намагаюся сегментувати мережу нашої компанії. Моя головна мета - мати багато невеликих доменів мовлення замість гігантських, тому я подумав призначити одну VLAN на відділ.
Однак у нас є багато принтерів і централізований файловий сервер, який повинен бути доступний на будь-якому пристрої в компанії. Отже, я думаю, що ці сервіси повинні належати до окремої VLAN, яка, в свою чергу, спілкуватиметься з локальними локальними мережами через адресацію L3.
Оскільки у нас є комутатор L3 Cisco, маршрутизація між VLAN, здається, є правильним способом. Але коли я експериментую з цим, я помічаю, що мені потрібно призначити IP-адресу кожному інтерфейсу VLAN (таким чином розподіляючи кожен відділ у власну підмережу), і, як тільки я дозволяю ip routingна комутаторі L3, пристрої можуть пінг не лише принтери або файловий сервер, а також будь-який інший пристрій будь-якого іншого відділу.
Я знаю, що домен мовлення не є однаковим між однією підмережею та іншою, але я подумав, що було б якось безпечніше, якби ці VLAN не змогли спілкуватися між собою.
Коли це було сказано, ось мої сумніви з цього приводу:
1) Для безпеки краще ізолювати ці відділи VLAN таким чином, що вони можуть бачити лише VLAN принтерів / файлів (не бачачи один одного)?
2) Якщо так, то який найкращий спосіб зробити це? Єдиний здійсненний підхід, який я можу придумати, - це використання ACL, але вони не здаються практичними, оскільки я б мав багато записів для обробки.