I.重要なポイントネットワーク・セグメンテーションは "IPの節約 "ではない

トラフィック、パーミッション、リスクをコントロールすることだ！

• 感染したオフィスのコンピュータが、フロア全体のデバイスに対してARP攻撃を開始する。
• ゲスト・デバイスはコア・ビジネス・サーバーに直接pingを送信できる
• DHCPパケットがあちこちに浮遊し、間違ったVLANのデバイスが間違ったIPを取得する
• サービスがクロストラフィックでリンクを圧迫する一方で、IT部門はソースの特定に苦労している。

II.セグメント化されていないネットワークは大きな寮のようなもの

セキュリティ、効率性、管理性に別れを告げよう！

1.ブロードキャスト・フラッドと突然のARPストーム

2.セキュリティ権限が管理不能に-境界がないことはルールがないことを意味する

適切なセグメンテーションがあれば、ACLやVLAN制限を直接適用できる：

deny finance_vlan to visitor_vlan

3.トラブルシューティングが当てずっぽうに-パケットキャプチャーさえ困難

• どのトラフィックが監視カメラに属するのか？
• どちらがオフィスシステムに属するのか？
• Zoomを使っているエグゼクティブの意見ですか？

4.上位層デバイスは高い圧力と低い転送効率に直面する

• ARPエントリーが爆発する
• MACテーブルの変動が激しい
• DHCPアドレスの競合が頻発

III.ネットワークを適切にセグメント化するには？

標準的な答えはないが、ここでは実践的なコンセンサス・アプローチを紹介する：

1.機能／サービス別セグメント

• ネットワーク機器の管理VLAN産業用ルータースイッチ、AP)
• ビジネスサーバー用サーバーVLAN
• 従業員ワークステーション用オフィスVLAN
• ビジター用ゲストVLAN
• カメラ、センサー、その他のスマートデバイス用のIoT VLAN

2.フロア／エリアによるセグメンテーションも有効

• 1階はワンセグ、2階は別セグ
• 東オフィスエリアはワンセグ、西オフィスエリアは別セグ

3.各ネットワーク・セグメントは200台を超えないこと。

結論

十分なIPアドレスがあるかどうかはリソースの問題であり、ネットワークをセグメント化するかどうかはガバナンスの問題である。