Netwerk veilig opdelen

[djluc]

Ik ben op zoek naar een oplossing voor een MKB netwerk.

Het netwerk bestaat uit

1. Domein servers
- Domein clients
- Domein printers

2. Kassa server
- Kassa's

3. Terminal server (met toegang tot alle servers + internet) + Werkstation alle servers

4. Internet

(5. Wlan)

Ik zou dit zaakje graag veilig in 1 netwerk willen hangen, dit omdat er veel communicatie tussen de servers e.d. noodzakelijk is.

Ik zie de domein clients als gevaarlijk aangezien daar users op werken/internetten enzovoorts. De kassa's beheren wij in principe niet, die willen we dus graag afzonderlijk houden. Zeker omdat ze niet in het domein hangen, dat levert veel gevaar op (up-to-date antivirus e.d.).

Hoe kan ik zoiets veilig oplossen? Ik zit zelf te denken aan een aantal VLAN's. Dit houdt echter wel in dat ik een kostbare layer-3 switch aan moet schaffen (denk aan: Powerconnect 6224

Zijn hier geen alternatieven voor? Zouden we dit niet voor elkaar kunnen krijgen met bijvoorbeeld een aantal: Powerconnect 2716 switches? Ik heb zo'n ding hier en daarmee kan ik o.a. VLAN's aanmaken, poorten in 1 of meerdere VLAN's hangen enzovoorts. Kan ik daarmee ook traffic tussen de VLAN's sturen, of moet ik een hele andere weg gaan zoeken?

[real-doc]

VLAN's kan die powerconnect 27xx inderdaad. Maar wanneer je daadwerkelijk wil routeren tussen de VLAN's heb je of een router nodig die VLANs ondersteunt, of een switch waar dat ingebouwd zit.

[Verwijderd]

djluc schreef op zaterdag 06 januari 2007 @ 14:46:
Hoe kan ik zoiets veilig oplossen? Ik zit zelf te denken aan een aantal VLAN's. Dit houdt echter wel in dat ik een kostbare layer-3 switch aan moet schaffen.

Waarom zou je een dure layer 3 switch aan moeten schaffen? Het kan toch ook met een layer 2 switch (pleonasme ) en een el cheapo routertje? Dan heb je effectief ook layer 3 switching.

Ik zag vanmiddag een 24 + 2 poorts Asus (GigaX 1024P als ik het me goed herinner) die VLAN's ondersteund voor minder dan 100 euro. Een 4 poorts routertje erbij van 50 euro en je kan i.i.g. 4 VLAN segmenten routeren.

Edit:

pricewatch: Asus GigaX 1024P (24xx100Mbps, RJ-45, 19", Managed)

[ Voor 8% gewijzigd door Verwijderd op 08-01-2007 01:12 ]

[CyBeR]

Verwijderd schreef op maandag 08 januari 2007 @ 01:07:
[...]

Waarom zou je een dure layer 3 switch aan moeten schaffen/ Het kan toch ook met een layer 2 switch (pleonasme ) en een el cheapo routertje? Dan heb je effectief ook layer 3 switching.

Ik zag vanmiddag een 24 + 2 poorts Asus (GigaX 1024P als ik het me goed herinner) die VLAN's ondersteund voor minder dan 100 euro. Een 4 poorts routertje erbij van 50 euro en je kan i.i.g. 4 VLAN segmenten routeren.

Met een performance ongeveer gelijk aan een adsl modem. Want daar zijn die dingen voor.

Als je dit in een keer goed wilt doen koop je inderdaad een Layer 3 switch. Die hoeven niet heel kostbaar te zijn, als je 't voor minder dan gbit doet (ik neem even aan dat die powerconnect 6224 dat is gezien de beschikbaarheid van 10gigE poorten) doet kun je af met een procurve 2626, die kan beperkt layer 3 (genoeg voor wat jij wilt) en kost ongeveer tussen de 300 en 400 euro ex. btw. Als je per see 24 gigabit poorten wilt zit je sowieso al aan een hogere prijs dan dat, managed of niet.

[Verwijderd]

CyBeR schreef op maandag 08 januari 2007 @ 01:12:
Met een performance ongeveer gelijk aan een adsl modem. Want daar zijn die dingen voor.

Eens. Alleen vaak is de benodige bandbreedte tussen de VLAN's laag (en incidenteel). Dan gaat jouw argument niet op.

Edit:

Of koop gewoon een 4 poorts Gigabit routertje (<100 euro):

pricewatch: D-Link DGL-4100 Router (4x 1000Mbps)

En 4 switches (16 poorts Asus al voor 30 euro/stuk):

pricewatch: Asus GigaX 1016D (16x100Mbps, RJ-45)

Heb je voor 200 euro 4 PLAN's (i.p.v. VLAN's).

[ Voor 36% gewijzigd door Verwijderd op 08-01-2007 01:33 ]

[djluc]

CyBeR schreef op maandag 08 januari 2007 @ 01:12:
[...]
... powerconnect 6224 dat is gezien de beschikbaarheid van 10gigE poorten) doet kun je af met een procurve 2626, ....

Die is helaas niet meer beschikbaar. De 6224 is de goedkoopste met layer 3 mogelijkheden.

Ik heb nog een Draytek routertje liggen. Dat is inderdaad een mogelijke optie maar tegelijkertijd geen optie omdat het een trage en niet mooie oplossing wordt.

Gigabit is interessant voor ons omdat we o.a. veel images gebruiken maar niet cruciaal. Wel is het natuurlijk zonde aangezien we wel gigabit netwerk adapters overal in hebben zitten.

Wat betreft het onderlinge verkeer: Er zal continu door clients uit 2 VLAN's gebruik gemaakt moeten worden van eenzelfde DB server.

[Bl@ckbird]

Router on a stick idee:
Catalyst WS-C2960G-24TC-L ( 24 10/100/1000 accespoorten )

Of de:
Catalyst WS-C2960G-48TC-L ( 48 10/100/1000 accespoorten )

CISCO1801/K9 ( Voor ADSL / ADSL2 )

Of de:
CISCO1811/K9 ( Dual Ethernet met modem backup )

De Catalyst switch doet L2 switching en de router, routeerd verkeer via een trunk.
Daarnaast fungeert de router als firewall tussen de onderlinge VLAN's en het Internet.

L3 Switch:
Catalyst WS-C3560-24TS-S ( 24 10/100 accespoorten )
Catalyst WS-C3560-48TS-S ( 48 10/100 accespoorten )

Catalyst WS-C3560G-24TS-S ( 24 10/100/1000 accespoorten )
Catalyst WS-C3560G-48TS-S ( 48 10/100/1000 accespoorten )

[CyBeR]

djluc schreef op maandag 08 januari 2007 @ 05:58:
[...]
Die is helaas niet meer beschikbaar. De 6224 is de goedkoopste met layer 3 mogelijkheden.

Als je per see een Dell wilt wel idd. Maar als je kijkt naar HP, die imo veel fatsoenlijkere switches maken, heb je een procurve 2824 (24x gigE + layer3) voor ongeveer 1400 ex. Dat scheelt je dus al zo'n 400 euro ex btw.

[djluc]

Voor een leuke prijs kan ik die switch bij Dell halen inclusief een 4-uurs support contract. Het past echter gewoon niet in een MKB budgetje.

We hebben voor nu maar voor de oplossing gekozen om Windows 2003 servers wat zaken te laten routeren. We hebben de 2700-serie switches besteld. Daarmee moeten we een heel eind komen.

De genoemde Cisco switches e.d. vallen in dezelfde prijscategorie als de Dell l3 switches en zijn dus helaas niet van toepassing. Enige wat ik nog tegenkwam was een was een 3com 4500 die redelijk betaalbaar is (100mbit).

[Flyduck]

Welk verkeer wil je eigenlijk precies scheiden met VLAN's ?

[djluc]

Ik wil bijvoorbeeld niet dat mensen die werken op de normale clients naar de kassa-server of het kassa-netwerk kunnen bladeren. Zeker niet omdat die systemen niet in mijn beheer zijn en tevens niet gecontroleerd geupdate worden e.d. Daar zie ik dus grote risico's.

[alt-92]

Maar waarom wil je ze dan toch in je fysieke netwerk opnemen?

[djluc]

Omdat zowel de kassa's als de terminal server met de kassaserver moeten netwerken.