Определение схемы и настройка dhcp сети

[Patjomkin]

Доброе время.
Нужна помощь по настройке dhcp (структуры) и перестройке сети.

сейчас имеется вот такая схема:

Хочу разбить всё это по группам и пулам:

Подсеть придётся делать /23. Так как при максимуме устройств мы уже сейчас приближаемся к 200шт, т.е. скоро вылезем за рамки /24.

Pool№1 - физические и виртуальные сервера (будут  с fixed-address, т.е. я так понимаю, что лучше их выделить в группу а не пул);
Pool№2 - стационарные пк пользователей (сразу ip получают динамически, потом будут забиты в fixed-address (тоже вопрос насчёт группы или пула));
Pool№3 - беспроводные устройства пользователей с доступом в локальную сеть и инет;
Pool№4 - беспроводные устройства пользователей с доступом только в инет;
Pool№5 - оборудование (wifi, webcam),
И остаются ip для vpn подключений (было предложение вынести их в отдельную подсеть).

Это самая простая реализация. В ней несколько вопросов:
1)Что всё-таки стоит делать с ip для vpn.
2)Как разделить wifi пользователей на две группы (1 - на правах стационарных пк, 2 - только интернет, без доступа к внутренним ресурсам). Т.е. как можно использовать class  и subclass  чтобы определить, что новый новый кпк или телефон подключились через wifi. Получается, сразу юзер получает ip из пула с ограничением (тоже вопрос: как задать ограничение на маршруты для пула), а потом уже руками я переношу нужные девайсы в пул с полным доступом, или же даю им статику.
3) Стоит ли вообще так разбивать по пулам. Либо лучше что то группировать, а что то и вовсе в отдельные подсети вынести.

[censor]

vlan?

[drako]

1) dhcp relay в офисах 2 и 3.
2) как уже озвучили - vlan
3) как обустраивать подсеть лучше решить самому, поскольку вы все равно не изложите все нюансы деятельности вашего офиса, да и вопрос коррелирует с пунктом 2.

[Patjomkin]

1) dhcp relay в офисах 2 и 3.
2) как уже озвучили - vlan
3) как обустраивать подсеть лучше решить самому, поскольку вы все равно не изложите все нюансы деятельности вашего офиса, да и вопрос коррелирует с пунктом 2.

Если абстрагироваться и отбросить вторичные офисы, оставить только первый, как лучше разделить сеть (используя dhcp (pool, group, subnet))? И как сделать, чтобы пользователи, подключившиеся через wifi впервые попадали в один пул (с ограничением), отличным от пула без ограничений, куда попадают впервые подключившиеся пользователи через Ethernet и wifi пользователи, которых я руками перенесу с пула с ограничением. Сам не одолел class и subclass dhcpd.conf

[censor]

играйтесь с опцией allow/deny unknown-clients
man dhcpd.conf

[Patjomkin]

играйтесь с опцией allow/deny unknown-clients
man dhcpd.conf

Про эти параметры class читал. Но дело в том, что у меня будет два типа unknow устройств: ethernet и wifi,  у них отдельные пулы (у wifi c ограничениеями, у ethernet - без).

[drako]

Поскольку понятно, что Вы сами запутались уже даже в собственной постановке вопроса, то:
Pool№1 - вынести в vlan 10, своя подсеть
Pool№2 и 3 - вынести в vlan 11, своя подсеть
Pool№4 - вынести в vlan 12, своя подсеть
Pool№5 - камеры вынести в valn 13(или 14, у кого какие отношения к числу 13), wi-fi оборудование вынести получится, только если оно умеет работать с тегированным vlan.
Vlan 1 - это дефолтный vlan, который во избежание недопониманий лучше не использовать.
На уровне шлюза разрулить хождение пакетов между vlan'ами и vlan'ами и инетом. Соответственно dhcp сервер и шлюз должны быть подключены на свиче к тегированным(у циски - это транковые) портам, через которые проходят объединенные vlan'ы.
Поскольку мне неизвестно назначение серверов, то вынес их в отдельный vlan, но, например, шару гонять через шлюз несколько накладно, т.е. какие-то сервера, а то и все, нужно будет в один vlan с пользователями загонять. Да и вообще из предложенного мной это один из вариантов реализации, поскольку мы не варимся в вашей каше.

[Patjomkin]

Поскольку понятно, что Вы сами запутались уже даже в собственной постановке вопроса, то:
Pool№1 - вынести в vlan 10, своя подсеть
Pool№2 и 3 - вынести в vlan 11, своя подсеть
Pool№4 - вынести в vlan 12, своя подсеть
Pool№5 - камеры вынести в valn 13(или 14, у кого какие отношения к числу 13), wi-fi оборудование вынести получится, только если оно умеет работать с тегированным vlan.
Vlan 1 - это дефолтный vlan, который во избежание недопониманий лучше не использовать.
На уровне шлюза разрулить хождение пакетов между vlan'ами и vlan'ами и инетом. Соответственно dhcp сервер и шлюз должны быть подключены на свиче к тегированным(у циски - это транковые) портам, через которые проходят объединенные vlan'ы.
Поскольку мне неизвестно назначение серверов, то вынес их в отдельный vlan, но, например, шару гонять через шлюз несколько накладно, т.е. какие-то сервера, а то и все, нужно будет в один vlan с пользователями загонять. Да и вообще из предложенного мной это один из вариантов реализации, поскольку мы не варимся в вашей каше.

Спасибо большое. Но руководство не хочет использовать vlan, да и нормальные свичи, темболее Cisco наврядли кто купит.

Желательно сделать всё в одной подсети. Широковещательные всё-таки будут, да и просто шары с серверами. Сейчас задача упростилась до следующего:
Будет две подсети 192.168.0.0/23 и 192.168.2.0/23. Вторая для vpn, первая для всего остального. В первой (локальной) нужно выделить два пула для динамической раздачи неизвестным (первый раз подключающимся) пользователям: один - для тех, кто подключился через ethernet, второй - для тех, кто подключился по wifi. Далее, в той же подсети нужно создать пулы(или группы) с определённым range ip адресов, в котором уже будут прописаны статические адреса: 1)физические и виртуальные сервера, 2)стационарные пк пользователей, 3)беспроводные устройства пользователей с доступом в локальную сеть и инет,4) оборудование (wifi, webcam), 5) беспроводные устройства пользователей с доступом только в инет.
Т.е. в итоге два вопроса:
1) Всё-таки для разделения подсети по range и использовании далее fixed-address лучше использовать pool или group?
2) Как определить, новый клиент подключился через ethernet или через wifi?

[drako]

Для пользователей, которым можно только в инет, вам придется или vlan настраивать или физически в отдельную сеть их выносить - иначе они по любому будут шариться в сети. Да собственно и использование неуправляемых свичей в сети на 200 машин довольно странная блажь(циски и не обязательно покупать, просто про них сказал, т.к. у вас могла возникнуть путаница в терминах).
Для range и allow\deny используется pool, для статичных хостов - group.
Как определить тип подключения клиента - хз, не изгалялся как-то

[koshev]

Товарищ! Я тебе умный  вещь скажу, только ты не обижайся! (с) (K/ф "Мимино")
Судя по эскизу, тут без управляемого оборудования никак не можно. Если, впринципе, оставить те же сети, использовать allow/deny-clients,то для того, чтобы определить с какого порта коммутатора пришёл запрос к dhcp-серверу, который основываясь на этом отдает определённый pool, этот коммутатор должен портами управлять, т.е быть управляемым. Иначе никак не определить, откуда хосты запрашивают аренду - с беспроводной сети, либо откуда-то ещё.