Могу ли я сегментировать свою сеть на основе двух разных критериев?

Я работаю в школе с несколькими кампусами и хочу сегментировать свою сеть с помощью VLAN. Итак, телефоны в одном vlan, принтеры в другом и т. д. Я подумал, что было бы неплохо также сегментировать по кампусу. Вроде бы это будет какой-то вложенный влан, где есть влан для старшей школы, потом для телефонов в ГС и так далее.

Помимо вложенных vlan, я подумал о том, чтобы транки прослушивали только трафик своего кампуса.

Возможно ли это, и если да, то как это реализовать? Или мне придется создавать отдельное пространство vlan для каждого сегмента в каждом кампусе (например, принтеры HS, принтеры MS, принтеры Elem и т. д.)? Я еще новичок с вланами, но потихоньку учусь.

Вложенные VLAN на самом деле не нужны, и в вашем сценарии это излишне.

Вы должны использовать маршрутизируемые ссылки между местоположениями, а не коммутируемые ссылки. Таким образом, виртуальные локальные сети вообще не пересекаются между локациями, что позволяет повторно использовать их идентификаторы. Тем не менее, я бы не рекомендовал этого делать — обычно рекомендуется не дублировать идентификаторы VLAN, а использовать общую схему.

Например, вы можете использовать VLAN 110 в местоположении 1 и VLAN 210 в местоположении 2 для одной и той же цели. Таким образом, вы мог используйте общий план VLAN для разных местоположений, если это необходимо. Использование повторяющихся идентификаторов для разных подсетей заставит вас перенумеровать VLAN, что не очень весело.

Касательно было бы неплохо разделить по кампусам - вы не должны этого делать, потому что это красиво или потому что вы можете. Вы должны сделать так, чтобы повысить безопасность сети. Запланируйте различные зоны безопасности, такие как VoIP, физическая безопасность (электронные двери, системы сигнализации), серверы, хранилище, доступ для персонала, доступ для студентов, устройства IoT и т. д., и используйте виртуальные локальные сети для разделения этих зон. Настройте строгие правила брандмауэра между зонами, чтобы контролировать маршрутизацию между ними. Начните с запрета всего трафика по умолчанию, и действительно требуется только разрешение. Хорошо документируйте.