Il modo in cui @minarnhere descrive è assolutamente la strada da percorrere, ma non solo dividere per funzionalità, aggiungere fattori di sicurezza, posizione fisica e numero di host, dividere la rete in tutte le VLAN richieste in base a tutti questi fattori.
Supponendo che siano installati gli switch e i router appropriati, non ci sono costi per avere molte VLAN e i vantaggi sono enormi, se è pianificato correttamente anche l'overhead dell'amministratore è minimo. Non limitarti con vincoli artificiali a mettere tutti gli studenti o tutor o qualsiasi gruppo di utenti o host in una singola VLAN, perché dovresti farlo comunque? Ricorda che il traffico può essere controllato solo al livello 3, quindi suddividi la tua rete in modo da poter limitare e controllare il traffico inter-VLAN, non hai alcuna possibilità con il traffico all'interno di una VLAN.
Il modo classico di progettare una LAN del campus è di dividere la rete in Access, Distribution e Core. Molti switch di livello 2 di Access, ciascuno dei quali trasporta traffico da una o più VLAN, si collegheranno a pochi switch di distribuzione di livello 3 che instradano il traffico verso un numero ridotto di switch di livello 3.
Tutti i tuoi host devono essere collegati al livello Access che è suddiviso in VLAN in base ai fattori sopra descritti. Ogni VLAN del livello di accesso dovrebbe, ove possibile, essere limitata a uno switch fisico (questa regola deve essere violata solo se si hanno server dual homed che potrebbero dover eseguire il failover su un altro switch nella stessa VLAN). Ricorda che ogni VLAN è un dominio di trasmissione e desideri limitare il più possibile il traffico di trasmissione su ciascuno di essi. Prendi in considerazione l'utilizzo di solo / 24 subnet per il tuo livello di accesso, perché dovresti desiderare> 250 host in un singolo dominio di trasmissione?
Ci saranno alcune, pochissime, circostanze in cui una VLAN deve diffondersi su più switch, ma questi saranno molto specialistici, forse la gestione degli switch (ma è discutibile), ce ne sono pochissime altre.
Un buon punto di partenza sarebbero i tuoi server. Se si trovano nella stessa posizione fisica (stanza, non edificio), è possibile dividerli in VLAN in base alla funzionalità, ma altrimenti andrà bene una singola VLAN per ~ 200 host. Ovviamente (?) I server che si affacciano su Internet dovrebbero essere da soli, preferibilmente separati fisicamente, dalla rete, protetti dal firewall dal campus (il design DMZ è un'altra specialità in sé, quindi non entrerò qui). I server interni dovrebbero anche essere suddivisi in quelli destinati all'uso degli studenti e quelli destinati esclusivamente all'amministratore interno, suddividendoli in VLAN in modo appropriato. Se alcuni server appartengono a dipartimenti particolari (ad es. HR), quindi, se potrebbe essere necessario controllare il traffico verso tali server, considerare di avere una VLAN solo per loro.
Se i server sono distribuiti, quindi inseriscili in VLAN separate in base alla posizione e alle funzionalità, non è necessario che si trovino nella stessa VLAN solo "perché sono server" o semplicemente "perché sono tutti web server".
Passare agli utenti dello studente e del personale. Innanzitutto ogni singolo porto o punto di accesso che è o potrebbe essere accessibile da personale non IT dovrebbe essere considerato un rischio per la sicurezza e tutto il traffico proveniente da lì dovrebbe essere considerato non attendibile. Metti le tue classi in VLAN in base al possibile numero di host e, a seconda delle circostanze, gruppi di utenti ma non commettere l'errore di "fidarsi" di determinate porte, se i tutor devono accedere alla tua rete di amministrazione da un'aula, allora dovrebbero essere dati lo stesso metodo di accesso (VPN?) come se fossero a casa o in una caffetteria pubblica.
La rete wireless dovrebbe trovarsi su VLAN separate da quelle cablate ma con gli stessi contorni, se può essere evitata (ma a volte non può) non mettere tutti gli AP in una VLAN a livello di campus, dividerli usando la stessa metodologia e per lo stesso motivo del cavo.
I telefoni IP dovrebbero sorprendere, sorprendere, essere su VLAN separate da tutto il resto, questo è facilitato in alcune marche (Cisco nella mia esperienza) dal telefono che negozia con l'interruttore di accesso per inserire il traffico nella VLAN appropriata, ma ciò ovviamente richiede il passaggio a essere configurato correttamente.
C'è molto di più nel design della LAN ma quanto sopra è un inizio. Come nota finale, per quanto riguarda il DHCP, utilizzalo per ogni singolo host inclusi server e stampanti, entrambi dovrebbero avere indirizzi IP assegnati staticamente in base ai loro indirizzi MAC. L'ambito (o gli ambiti) per il primo non dovrebbe avere indirizzi di riserva, questo in qualche modo impedisce la connessione casuale dei dispositivi alle VLAN del server ma, e questo vale anche per le stampanti, il punto è che hai il controllo centrale dei dispositivi e qualsiasi modifica viene gestita a livello centrale anziché affidarsi agli ingegneri che vagano per il campus per ottenere gli indirizzi giusti.
Ok, abbastanza per ora, spero che ti aiuti un po '.