在同一个物理 LAN 上运行两个子网

Question

我们的一个远程办公室与一家进入并在我们办公室安装 IP 安全摄像头和服务器的公司签订了安全合同。他们显然对将他们的系统集成到现有网络中一无所知，因为他们在没有与我们团队中的任何人交谈的情况下完成了工作。

我们的内部网络在 10.6.n.0/24 上运行。他们将设备设置为使用 192.168.1.0/24。所有这些都插入同一个网络基础设施——同一个广播域。当然，他们所有的设备都可以相互通信，所以安全系统至少在内部工作。

如果我们不需要外部访问安全系统或从外部访问安全系统，是否有任何问题需要与我们的网络正确集成？或者我可以安全地让设备保持原样吗？

Answer 1

将两者分开有几个原因：

1. 一个广播域等于一个故障域。如果出现问题，并且您的 VLAN 被淹没，则两个子网都已关闭。IP 摄像机可以很容易地泛洪链接，或者硬件或配置故障也可以这样做，
2. 恶意软件或用户可以不加检查地访问您的摄像机，并且如前所述，IP 摄像机的漏洞比比皆是
3. 您的网络对于任何参与项目或故障排除的第三方来说都会变得混乱，从而使任何工作变得更长且更容易出错。这会增加您的运营成本，或者更糟：延长停机时间。

将两者分开很容易：在所有交换机上创建两个 VLAN，确保所有新设备都在一个 VLAN 中，其余所有设备都在另一个 VLAN 中，并且交换机之间的所有链路都有。（如果您没有任何可以处理 VLAN 的交换机，则必须使用物理上独立的交换机，然后投资购买一些合适的交换机。）如果您需要两个网络之间的连接，请使用一个具有接口的第 3 层交换机、路由器或防火墙在网络和瞧。

注意：最佳实践是不要使用 VLAN 1。您可以选择任何您想要的 VLAN 编号，因此只需选择 1 以外的任何编号。

额外的好处：一旦您的网络变得更加复杂，您就已经准备好将网络中的其他事物分开，因为基础已经存在。