изоляция на DES-3200

[axl72 12]

Коллеги, посоветуйте решение.

 

Есть сеть с тремя узлами агрегации  на 2х DGS-3100-24TG и DGS-3120-24SC (все L2).

На доступе свичи DES-3200-xx.

Свичи доступа организованы в кольца с использованием STP.

Хочется полной взаимной изоляции портов доступа.

Схема "вилан на абонента " не подходит, не на чем терминировать виланы (использую linux-роутер).

Рассматривалась схема "вилан на свич доступа" с включением функции traffic segmentation на свичах доступа. В таком варианте изоляция должна быть полной.. Или я ошибаюсь?

Еще вариант - все абонентские порты собрать в один вилан и повесить на них какие то хитрые ACL. 

 

Посоветуйте, на каком варианте лучше остановиться? Какие есть плюсы и минусы?

или может быть есть еще какие то пути?

[KaYot 3,737]

Traffic segmentation, полная изоляция.

[axl72 12]

Traffic segmentation, полная изоляция.

Это понятно, но схема усложняется тем, что свичи доступа организованы в кольца. Поэтому изоляция будет только в пределах одного свича. То есть абоненты одного свича будут контактировать с абонентами другого. Как вариант , можно сделать вилан на свич доступа. Но справится ли Linux-роутер с таким количеством виланов (около сотни, а в перспективе больше)

[KaYot 3,737]

Но справится ли Linux-роутер с таким количеством виланов (около сотни, а в перспективе больше)

Не шутите так, у меня в данный момент на linux-роутере ~3k вланов