Una intranet empresarial generalmente divide varias VLAN. La división de las VLAN puede mejorar la seguridad de la intranet y facilitar su administración. Por ejemplo: los cables e inalámbricos se encuentran en diferentes segmentos de red, y los dispositivos inalámbricos no pueden acceder a la intranet corporativa, lo que puede proteger la seguridad de la información interna; y se pueden configurar diferentes estrategias de red y políticas de control de flujo para diferentes segmentos de red. Y dividir la VLAN puede dividir el dominio de transmisión y evitar la tormenta de transmisión. La división de VLAN generalmente tiene los siguientes tres métodos:
1. Divida las VLAN a través de conmutadores de capa 3
Como se muestra arriba. Los switches de capa 3 pueden admitir la división de VLAN y la configuración de permisos de VLAN correspondiente.
2. Asigne VLAN directamente en la puerta de enlace
La VLAN basada en puertos es la forma más sencilla de dividir la VLAN. Como se muestra en la figura siguiente, varias VLAN se dividen directamente en la puerta de enlace WSG y luego se conectan al conmutador de capa 2 para lograr el efecto de dividir las VLAN.
3. Esquema de división 802.1Q VLAN
La puerta de enlace WSG está conectada al puerto troncal del conmutador de capa 2 para formar una VLAN 802.1Q. Esta es también una forma importante de formación de VLAN.
4. Configure políticas para prohibir el acceso mutuo entre VLAN
A través de la "política de firewall" de WSG, puede controlar el acceso mutuo entre las VLAN. Como se muestra en la figura a continuación, para prohibir la comunicación entre el segmento de red inalámbrica 192.168.2.xy el segmento de red cableada 192.168.1.x, establezca la regla de bloqueo en la dirección "Adelante" de la "Intranet".
Después de que la red de área local se divide en VLAN, es necesario establecer reglas de acceso mutuo de VLAN razonablemente, para mejorar de manera más efectiva el factor de seguridad de la intranet. En general, puede consultar las siguientes reglas:
El acceso mutuo está prohibido entre segmentos de red que no son servidores.
El segmento de red del servidor permite el acceso desde otras VLAN.
El segmento de red del servidor también necesita medios de protección de seguridad como la detección ***.
El número de terminales en cada segmento de red se controla preferiblemente dentro de 200.