VLAN: сегментация без хаоса
VLAN — базовый инструмент разделения broadcast-доменов. Ошибка не в «сделать много VLAN», а в отсутствии понятной схемы: кто с кем должен говорить и на каком шлюзе заканчивается L2.
Минимальный каркас
- Отдельные VLAN для пользователей, серверов, управления (mgmt), гостей и печати/IoT.
- Trunk только между коммутаторами и до гипервизора/МСЭ; на access-портах — один VLAN.
- Native VLAN на trunk лучше сделать неиспользуемым и явно задокументировать.
Типичные ловушки
Смешение voice и data без политики QoS; «временный» trunk на access-порт; одинаковые имена VLAN при разных ID на соседних площадках. Перед расширением сети зафиксируйте таблицу: VLAN ID → назначение → шлюз → ACL.
Проверка
show vlan brief show interfaces trunk show mac address-table vlan <id>
Если MAC «гуляет» между портами или клиент не получает DHCP — сначала смотрите access VLAN и DHCP helper, а не маршрутизацию ядра.