La forma en que @minarnhere describe es absolutamente el camino a seguir, pero no solo divida por funcionalidad, agregue factores de seguridad, ubicación física y número de hosts también, divida su red en tantas VLAN como sean necesarias en función de todos estos factores.
Suponiendo que los conmutadores y enrutadores apropiados estén en su lugar, no hay ningún costo por tener muchas VLAN y los beneficios son enormes, si se planifica correctamente, la sobrecarga administrativa también es mínima. No se limite con restricciones artificiales acerca de poner a todos los estudiantes o tutores o cualquier grupo de usuarios o hosts en una sola VLAN, ¿por qué querría hacer eso de todos modos? Recuerde que el tráfico solo puede controlarse en la capa 3, así que divida su red para que pueda limitar y controlar el tráfico entre VLAN, no tiene ninguna posibilidad de tráfico dentro de una VLAN.
La forma clásica de diseñar una LAN de campus es dividir la red en Acceso, Distribución y Núcleo. Muchos conmutadores de capa 2 de Access, cada uno de los cuales transporta tráfico desde una o más VLAN, se conectarán a unos pocos conmutadores de distribución de capa 3 que enrutan el tráfico a un pequeño número de conmutadores de núcleo de capa 3.
Todos sus hosts deben estar conectados a la capa de acceso que se divide en VLAN según los factores descritos anteriormente. Cada VLAN de capa de acceso debe, cuando sea posible, limitarse a un conmutador físico (esta regla solo debe romperse si tiene servidores de doble hospedaje que pueden necesitar conmutación por error a otro conmutador en la misma VLAN). Recuerde que cada VLAN es un dominio de transmisión y desea limitar el tráfico de transmisión en cada uno de ellos tanto como sea posible. Considere usar solo subredes / 24 para su capa de acceso, ¿por qué desearía> 250 hosts en un solo dominio de difusión?
Habrá algunas, muy, muy pocas circunstancias cuando una VLAN necesita extenderse a través de múltiples conmutadores, pero estos serán muy especializados, la administración de conmutadores puede ser una (pero eso es discutible), hay muy pocas otras.
Un buen punto de partida serían sus servidores. Si están en la misma ubicación física (habitación, no edificio), es posible que desee dividirlos en VLAN según la funcionalidad, pero de lo contrario, una sola VLAN por ~ 200 hosts estará bien. Obviamente (?) Los servidores orientados a Internet deben estar en su propia red, preferiblemente físicamente separada, con cortafuegos desde el campus (el diseño DMZ es otra especialidad en sí misma, por lo que no voy a entrar en eso aquí). Sus servidores internos también deben dividirse en aquellos para uso de los estudiantes y solo para uso interno del administrador, dividiéndolos en VLAN de manera adecuada. Si algunos servidores pertenecen a departamentos particulares (por ejemplo, HR), entonces, si necesita controlar el tráfico a esos servidores, considere tener una VLAN solo para ellos.
Si los servidores están dispersos, colóquelos en VLAN separadas en función de la ubicación y la funcionalidad, no es necesario que estén en la misma VLAN solo 'porque son servidores' o simplemente 'porque son todos servidores web'.
Pasando a sus usuarios estudiantes y personal. Para empezar, cada puerto o punto de acceso al que no pueda acceder el personal que no sea de TI debe considerarse un riesgo de seguridad y todo el tráfico que se origina desde allí debe tratarse como no confiable. Coloque sus aulas en VLAN según la posible cantidad de hosts y, según las circunstancias, los grupos de usuarios, pero no cometa el error de 'confiar' en puertos particulares, si los tutores necesitan llegar a su red de administración desde un aula, entonces se les debe dar el mismo método de acceso (VPN?) como si estuvieran en casa o en una cafetería pública.
La red inalámbrica debe estar en VLAN separadas de las cableadas pero con las mismas restricciones, si puede evitarse (pero a veces no puede) no coloque todos los AP en una VLAN en todo el campus, divídalos utilizando la misma metodología y por el mismo motivo que el cableado.
Los teléfonos IP deberían, sorpresa, sorpresa, estar en VLAN separadas de todo lo demás, esto es facilitado en algunas marcas (Cisco en mi experiencia) por el teléfono que negocia con el interruptor de acceso para poner el tráfico en la VLAN apropiada, pero esto obviamente requiere el cambio a estar configurado correctamente
Hay mucho más sobre el diseño de LAN, pero lo anterior es un comienzo. Como nota final, en lo que respecta a DHCP, úselo para cada host, incluidos servidores e impresoras, ambos deberían tener direcciones IP asignadas estáticamente en función de sus direcciones MAC. El alcance (o ámbitos) para el primero no debe tener direcciones de repuesto, esto sirve para evitar la conexión casual de dispositivos a las VLAN del servidor pero, y esto también se aplica a las impresoras, el punto es que usted tiene el control central de los dispositivos y cualquier cambio se trata de manera centralizada en lugar de depender de ingenieros que deambulan por el campus para obtener las direcciones correctas.
Bien, suficiente por ahora, espero que ayude un poco.