Имеется узловая циска (свитч L3), к ней подключено N-ое количество DGS-36xx(12 или 27), к ним в свою очередь подключены DES-3526 и им подобные по классу коммутаторы (к ним уже подключены клиенты).
Первоначально была выбрана общая сеть 10.10.0.0/16 для всех клиентов, подключенных к DES-ам, и выделена VLAN 2 для клиентов и VLAN 100 для управления (подсеть 10.100.0.0/16).
Но получился очень большой бродкастовый домен. Поэтому для клиентов территориально близко расположенных друг к другу были выделены VLAN 3, VLAN 4 и т.д., а клиентская подсеть 10.10.0.0/16 поделена на мелкие подсети 10.10.0.0/24, 10.10.1.0/24 и т.д.
После этого была настроена динамическая маршрутизация (на базе OSPF), чтобы клиенты в разных VLAN-ах могли контактировать друг с другом. Был выделен отдельный VLAN 500 для OSPF и была выделена подсеть 192.168.0.0/24 для назначения на vlan интерфейсы. Клиенты из разных VLAN смогли общаться друг с другом, но была выяснена одна неприятная вещь, что клиентам так же стал доступен управляющий VLAN 100. Главный вопрос - как ограничить доступ абонентов к управляющему Vlan и соответственно управляющей подсети наиболее оптимально (не нагрушать CPU DGS-ов и т.п.)?

Видиться два варианта решения -
1. Сделать аксесс листы которые запретят продвижение трафика с одной подсети в другую, но тогда надо будет писать правила для каждой подсети, плюс повторная обработка пакетов пакетным фильтром
2. создать фиктивный маршрут который будет отсылать пакеты из абонентских подсетей адресованные в управляющую подсеть на несуществующий адрес (либо на dev null)

ну почему же. создать на DGS ACL, которая запретит с 10.10.0.0/16 на 10.100.0.0/16. И никаких свистоплясок

P.S. советую настроить на всех свитчах trusted hosts.

_________________
LiveComm

настройка trusted hosts не решает проблему в принципе, так как лишь ограничивает доступ пользователей к конкретному свичу по айпишникам, что ничем не мешает составить например список хостов в сетке например nmap-ом, или заваливать хосты левыми пакетами,например организовать spoofing

ACL + trusted hosts в добавок я имел ввиду

_________________
LiveComm