Tôi có thể phân đoạn mạng của mình dựa trên hai tiêu chí khác nhau không?

Tôi làm việc tại một trường học có nhiều cơ sở và tôi muốn phân đoạn mạng của mình bằng Vlan. Vì vậy, điện thoại trên một vlan, máy in trên một vlan khác, v.v. Tôi đã nghĩ rằng sẽ rất tốt nếu phân đoạn theo khuôn viên trường. Có vẻ như đó sẽ là một loại vlan lồng nhau trong đó có một vlan cho Trường trung học, sau đó là cho điện thoại ở HS, v.v.

Khác với các vlan lồng nhau, tôi nghĩ đến việc làm cho các thân cây chỉ lắng nghe lưu lượng truy cập cho khuôn viên của chúng.

Điều đó có thể không, và nếu vậy, làm thế nào để tôi thực hiện nó? Hoặc, tôi sẽ phải tạo một không gian vlan riêng cho từng phân đoạn trong mỗi khuôn viên (như máy in HS, máy in MS, Máy in Elem, v.v.)? Tôi vẫn là người mới với vlans, nhưng đang dần học hỏi.

Các Vlan lồng nhau không thực sự cần thiết và đó là cách quá mức cần thiết trong kịch bản của bạn.

Bạn nên sử dụng các liên kết được định tuyến giữa các vị trí, không phải các liên kết được chuyển đổi. Bằng cách đó, các Vlan hoàn toàn không trải rộng trên các vị trí, cho phép bạn sử dụng lại ID của chúng. Tuy nhiên, tôi không khuyên bạn nên làm như vậy - nói chung không nên sao chép VLAN ID mà sử dụng một lược đồ chung.

Chẳng hạn, bạn có thể sử dụng VLAN 110 ở vị trí 1 và VLAN 210 ở vị trí 2 cho cùng một mục đích. Bằng cách đó, bạn có thể sử dụng một gói Vlan chung trên các vị trí nếu điều đó trở nên cần thiết. Sử dụng các ID trùng lặp cho các mạng con riêng biệt sẽ buộc bạn phải đánh số lại các Vlan, điều này không thú vị lắm.

Về sẽ rất tuyệt nếu phân khúc theo khuôn viên trường - bạn không nên làm như vậy vì nó đẹp hay vì bạn có thể. Bạn nên làm như vậy để cải thiện an ninh mạng. Lập kế hoạch cho các vùng bảo mật khác nhau - như VoIP, bảo mật vật lý (cửa điện tử, hệ thống báo động), máy chủ, kho lưu trữ, quyền truy cập của nhân viên, quyền truy cập của sinh viên, thiết bị IoT, ... và sử dụng VLAN để phân tách các vùng đó. Định cấu hình quy tắc tường lửa nghiêm ngặt giữa các vùng để kiểm soát định tuyến ở giữa. Bắt đầu với việc từ chối tất cả lưu lượng truy cập theo mặc định và chỉ thực sự cần có giấy phép. Tài liệu tốt.