（私は一日中道路を走っていて、これに飛び乗るのを逃しました...それでも、ゲームに遅れて私は何ができるかを見るでしょう。）
通常、イーサネットでVLANを作成し、IPサブネットを1対1でマッピングします。これを行わない方法はありますが、VLANを作成し、VLANで使用するIPサブネットを考え、そのVLANのIPアドレスをルーターに割り当て、そのルーターを接続する、厳密に「平凡な」世界に固執しますVLAN（ルーター上の物理インターフェースまたは仮想サブインターフェースのいずれか）を使用して、一部のホストをVLANに接続し、定義したサブネット内のIPアドレスを割り当て、VLANにトラフィックをルーティングします。
適切な理由がない限り、イーサネットLANのサブネット化を開始しないでください。最良の2つの理由は次のとおりです。
パフォーマンスの問題を軽減します。イーサネットLANは無期限に拡張できません。不明な宛先への過度のブロードキャストまたはフレームのフラッディングは、その規模を制限します。イーサネットLANの単一のブロードキャストドメインを大きくしすぎると、これらの状態のいずれかが発生する可能性があります。ブロードキャストトラフィックは理解しやすいですが、不明な宛先へのフレームのフラッディングはもう少しわかりにくいです。スイッチのMACテーブルがオーバーフローするほど多くのデバイスを取得した場合、フレームの宛先がMACテーブルのエントリと一致しない場合、スイッチはすべてのポートから非ブロードキャストフレームをフラッディングします。イーサネットLANに十分な大きさの単一のブロードキャストドメインがあり、トラフィックプロファイルがホストと頻繁に通信しない場合（つまり、
レイヤー3以上のホスト間を移動するトラフィックを制限/制御したい。レイヤー2（ala Linux ebtables）でトラフィックを調べるハッカーを行うこともできますが、これは管理が困難です（ルールはMACアドレスに関連付けられ、NICを変更するとルールの変更が必要になるため）たとえば、レイヤー2でのHTTPの透過的なプロキシはおかしくて楽しいですが、まったく不自然であり、トラブルシューティングするのは非常に直感的ではない可能性があります）レイヤー3+の懸念に対処するのが難しい）。レイヤー2で問題を攻撃するのではなく、ホスト間のIP（またはTCP、UDPなど）トラフィックを制御する場合は、サブネット間でサブネットを作成し、ファイアウォール/ルーターをACLで固定する必要があります。
帯域幅の枯渇の問題（ブロードキャストパケットまたはフレームのフラッディングが原因でない限り）は、通常VLANおよびサブネット化では解決されません。それらは物理的な接続の欠如（サーバー上のNICが少なすぎる、集約グループ内のポートが少なすぎる、ポート速度を上げる必要がある）が原因で発生し、VLANのサブネット化または展開では解決できません利用可能な帯域幅の量を増やしてはいけません。
スイッチ上でポートごとのトラフィック統計をグラフ化するMRTGのような単純なものさえ持っていない場合、意図的ではあるが情報に基づいていないサブネット化によりボトルネックを引き起こす可能性があります。生のバイトカウントは良いスタートですが、トラフィックプロファイルに関する詳細を取得するには、ターゲットスニッフィングでフォローアップする必要があります。
LAN上でトラフィックがどのように移動するかがわかったら、パフォーマンス上の理由からサブネット化について考えることができます。
「セキュリティ」に関しては、先に進む前に、アプリケーションソフトウェアとそれがどのように機能するかについて多くを知る必要があります。
数年前に医療関係のお客様向けに適切なサイズのLAN / WANの設計を行い、レイヤー3エンティティ（Cisco Catalyst 6509スーパーバイザーモジュール）にアクセスリストを配置して、サブネット間を移動するトラフィックを「エンジニア」は、実際にどのようなレッグワークが必要かについてほとんど理解していないが、「セキュリティ」に非常に興味があった。必要なTCP / UDPポートと宛先ホストを決定するために各アプリケーションを調査するという提案に戻ったとき、「エンジニア」からそれはそれほど難しくないはずであるというショックを受けました。最後に、すべてのソフトウェアを確実に動作させることができなかったため、アクセスリストなしでレイヤ3エンティティを実行していると聞きました。
教訓：パケットとストリームレベルのVLAN間のアクセスを実際にボタンダウンしようとする場合は、アプリケーションソフトウェアで多くの作業を行い、回線を介して通信する方法を学習/リバースエンジニアリングする準備をしてください。ホストによるサーバーへのアクセスの制限は、多くの場合、サーバーのフィルタリング機能で実現できます。ワイヤ上のアクセスを制限すると、誤ったセキュリティ感覚が生じ、管理者が「アプリを安全に設定する必要はありません。アプリと通信できるホストが制限されるため、アプリを安全に設定する必要はありません。通信網'。" ネットワーク上のホスト間通信の制限を開始する前に、サーバー構成のセキュリティを監査することをお勧めします。