Cara @minarnhere jelas merupakan cara yang harus ditempuh, tetapi jangan hanya dipisah berdasarkan fungsionalitas, tambahkan faktor keamanan, lokasi fisik, dan jumlah host juga, bagi jaringan Anda menjadi VLAN sebanyak yang diperlukan berdasarkan semua faktor ini.
Dengan asumsi switch & router yang sesuai sudah ada maka tidak ada biaya untuk memiliki banyak VLAN dan manfaatnya sangat besar, jika direncanakan dengan benar, overhead admin juga minimal. Jangan membatasi diri Anda dengan batasan artifisial tentang menempatkan semua siswa atau tutor atau kelompok pengguna atau host apa pun ke dalam VLAN tunggal, mengapa Anda tetap ingin melakukannya? Ingatlah bahwa lalu lintas hanya dapat dikontrol pada lapisan 3 sehingga membagi jaringan Anda sehingga Anda dapat membatasi dan mengontrol lalu lintas antar-VLAN, Anda tidak memiliki peluang dengan lalu lintas dalam VLAN.
Cara klasik untuk merancang LAN kampus adalah dengan membagi jaringan menjadi Access, Distribution, dan Core. Banyak sakelar Access layer 2, masing-masing membawa lalu lintas dari satu atau lebih VLAN, akan terhubung ke beberapa sakelar distribusi layer 3 yang merutekan lalu lintas ke sejumlah kecil sakelar inti layer 3.
Semua host Anda harus terhubung ke lapisan Access yang dipecah menjadi VLAN berdasarkan faktor-faktor yang dijelaskan di atas. Setiap lapisan akses VLAN harus, jika mungkin, dibatasi pada satu sakelar fisik (aturan ini hanya perlu dipatahkan jika Anda memiliki server rumahan ganda yang mungkin perlu failover ke sakelar lain dalam VLAN yang sama). Ingatlah bahwa setiap VLAN adalah domain siaran dan Anda ingin membatasi lalu lintas siaran pada masing-masing domain tersebut sebanyak mungkin. Pertimbangkan hanya menggunakan / 24 subnet untuk lapisan akses Anda, mengapa Anda ingin> 250 host dalam satu domain siaran?
Akan ada beberapa, sangat, sangat sedikit, keadaan ketika VLAN perlu tersebar di beberapa switch tetapi ini akan menjadi sangat khusus, manajemen switch mungkin satu (tapi itu masih bisa diperdebatkan), ada sangat sedikit yang lain.
Titik awal yang baik adalah server Anda. Jika mereka berada di lokasi fisik yang sama (kamar, bukan gedung) maka Anda mungkin ingin membaginya menjadi VLAN berdasarkan fungsionalitas tetapi sebaliknya satu VLAN per ~ 200 host akan baik-baik saja. Jelas (?) Server-server yang menghadap Internet harus berada pada jaringan mereka sendiri, lebih disukai terpisah secara fisik, firewall dari kampus (desain DMZ adalah spesialisasi lain, jadi saya tidak akan membahasnya di sini). Server internal Anda juga harus dibagi menjadi yang untuk siswa dan yang hanya untuk admin internal, membaginya menjadi VLAN dengan tepat. Jika beberapa server milik departemen tertentu (misalnya SDM), jika Anda perlu mengontrol lalu lintas ke server tersebut, pertimbangkan untuk menggunakan VLAN hanya untuk mereka.
Jika server tersebar kemudian memasukkannya ke VLAN terpisah berdasarkan lokasi dan fungsionalitas, tidak perlu bagi mereka untuk berada di VLAN yang sama hanya 'karena mereka adalah server' atau hanya 'karena mereka semua server web'.
Pindah ke siswa & staf pengguna Anda. Sebagai permulaan, setiap port atau titik akses tunggal yang, atau bisa, diakses oleh staf non-TI harus dianggap sebagai risiko keamanan dan semua lalu lintas yang berasal dari sana harus diperlakukan sebagai tidak tepercaya. Masukkan ruang kelas Anda ke dalam VLAN berdasarkan jumlah host yang memungkinkan dan, tergantung pada situasinya, kelompok pengguna tetapi jangan membuat kesalahan dengan 'mempercayai' port tertentu, jika tutor perlu masuk ke jaringan admin Anda dari ruang kelas maka mereka harus diberikan metode akses yang sama (VPN?) seolah-olah mereka di rumah atau warung kopi umum.
Jaringan nirkabel harus pada VLAN terpisah dari kabel tetapi dengan kendala yang sama, jika dapat dihindari (tetapi kadang-kadang tidak bisa) tidak menempatkan semua AP ke dalam VLAN lebar kampus, membaginya dengan menggunakan metodologi yang sama dan untuk alasan yang sama seperti kabel.
Telepon IP seharusnya, kejutan, kejutan, berada pada VLAN terpisah dari yang lain, ini difasilitasi pada beberapa merek (Cisco dalam pengalaman saya) oleh telepon yang bernegosiasi dengan sakelar akses untuk memasukkan lalu lintas ke VLAN yang sesuai, tetapi ini jelas membutuhkan saklar untuk dikonfigurasikan dengan benar.
Ada banyak lagi pada desain LAN tetapi di atas adalah awal. Sebagai catatan terakhir, sejauh menyangkut DHCP, gunakan untuk setiap host termasuk server dan printer, keduanya harus memiliki alamat IP yang ditetapkan secara statis berdasarkan alamat MAC mereka. Lingkup (atau cakupan) untuk yang pertama tidak boleh memiliki alamat cadangan, ini berlaku untuk mencegah penyumbatan perangkat secara kasual ke server VLAN tetapi, dan ini berlaku untuk printer juga, intinya adalah bahwa Anda memiliki kontrol pusat terhadap perangkat dan setiap perubahan ditangani secara terpusat daripada mengandalkan insinyur yang berkeliaran di kampus untuk mendapatkan alamat yang benar.
Oke, cukup untuk saat ini, saya harap itu sedikit membantu.