Настройка сетей VLAN /IP для безопасности и производительности

Question

Мой сетевой уровень понимания все еще новичок, так что терпите меня.

У меня дома установлено несколько продуктов Ubiquiti - USG (маршрутизатор), USW (коммутатор) и UAP-AC (wap). Я хочу создать несколько сетей (управление, клиент, хранилище, VoIP и гость).

У меня есть два сервера, которые будут предоставлять услуги DHCP и DNS.

Я выписал следующее:

VLAN  0 (10.0.0.0/24)  - unmanaged
VLAN 10 (10.0.10.0/24) - client
VLAN 20 (10.0.20.0/24) - guest
VLAN 30 (10.0.30.0/24) - storage
VLAN 40 (10.0.40.0/24) - management
VLAN 50 (10.0.50.0/24) - VoIP 

VLAN 20 не может связаться с любой другой VLAN.

VLAN 30 предназначена для моей сети iSCSI от моих массивов хранения до выделенного порта Ethernet на каждом хосте сервера. Таким образом, ни один клиент не сможет увидеть мой массив хранения напрямую. Они получат доступ к файлам через общий доступ к файлам на хосте, который получает данные из массива хранения.

Вот мои вопросы:

Положить ли маршрутизатор в неуправляемую сеть? т.е. 10.0.0.1 К какой подсети принадлежит мой роутер? т.е. 255.255.255.0

Какие подсети (ы) использует каждая VLAN (10-50)?

Каждой VLAN, кроме хранилища, необходим доступ в Интернет для загрузки обновлений / исправлений. Как я могу гарантировать, что они могут выйти в Интернет?

К какому IP/ подсети принадлежат мои DNS/ DHCP-серверы? 10.0.0.0/24 или 10.0.10.0/24? Служба DHCP будет сдавать в аренду адреса для VLAN 10 и VLAN 20.

Answer 1

Положить ли маршрутизатор в неуправляемую сеть? то есть 10.0.0.1

AFAIK, использование выделенной "управляющей" VLAN является обычной мерой безопасности.

К какой подсети принадлежит мой роутер? т.е. 255.255.255.0

Какие подсети (ы) использует каждая VLAN (10-50)?

... разве вы не написали себе, что каждая VLAN имеет подсеть /24 ?

Поэтому VLAN 40 будет использовать 10.0.40.0/24 или 10.0.40.0/255.255.255.0 как вы написали в вопросе, и так далее.

Каждой VLAN, кроме хранилища, необходим доступ в Интернет для загрузки обновлений / исправлений. Как я могу гарантировать, что они могут выйти в Интернет?

Маршрутизатор должен принадлежать всем VLAN и может маршрутизировать между WAN & lrarr; каждая VLAN, как обычно, направляет между WAN & lrarr; обычная локальная сеть. В основном он видит тегированные VLAN как отдельные интерфейсы Ethernet.

К какому IP/ подсети принадлежат мои DNS/ DHCP-серверы? 10.0.0.0/24 или 10.0.10.0/24? Служба DHCP будет сдавать в аренду адреса для VLAN 10 и VLAN 20

И то и другое. Он должен быть членом обеих VLAN.