Dubbele hardware voorkomen

[Ducktape]

Ik leg wel eens in een studentenhuis een netwerk aan voor internet.

De opbouw van het netwerk is meestal: modem<-->router<-->switch<-->pc/laptop.

Wekrt allemaal leuk en aardig. Totdat mensen zelf gaan kloten.

Dan willen ze draadloos internet en hangen ze een accesspoint met router ingebakken aan het netwerk. Gevolg:
ip 192.168.0.1 (of een ander adres) als gateway komt 2 keer voor.
DHCP service komt nu vanaf 2 apparaten, die verschillende data rondgooien.

Wat is de beste manier om deze ongein te voorkomen? Dus dat mensen geen eigen service kunnen draaien of iig niet andere daarmee kunnen storen. Of het zelfde IP gebruiken als de gateway.
VLAN per student maken?

Filteren om MAC heeft geen zin, het moet onderhoudvrij zijn.

Iemand een idee?

[MAX3400]

Dit ga je niet voorkomen; desnoods een instructie schrijven, op basis van boete ofzo, welke adressen ze niet zelf mogen uitdelen?

[GH45T]

In principe zou ik het niet echt gaan bestrijden, meer onderhoudsvrij maken dan je nu al hebt.

Iedereen gooit zijn router op 192.168.0.1 neer. Waarom zet je die van jouw niet op 172.16.0.1 ofzo neer.

Over DHCP, een thuisroutertje stuurt geen DHCP over zijn WAN verbinding. Als er DHCP pakketjes van andere routers over jouw netwerk heen gaan zijn ze LAN poorten aan het aansluiten. Dit zou je inderdaad met VLAN's kunnen beperken.

[Ducktape]

Hoe voorkomen ze dit dan in grote bedrijfsnetwerken?

[Gizz]

Ducktape schreef op vrijdag 14 september 2007 @ 17:38:
Hoe voorkomen ze dit dan in grote bedrijfsnetwerken?

Over het algemeen gaan werknemers niet eigen routers meenemen naar het werk en wordt verder het netwerk netjes gedocumenteerd om problemen te voorkomen.

[MAX3400]

Ducktape schreef op vrijdag 14 september 2007 @ 17:38:
Hoe voorkomen ze dit dan in grote bedrijfsnetwerken?

Euh... Hoe vaak zie jij een werknemer binnenlopen met een eigen router?

Het uitdelen van IP-adressen kan natuurlijk wel worden vastgelegd maar binnen een beetje organisatie (met bepaalde naamsconventies), kan een vreemde client erg snel worden opgespoord en geblockt.

[Ducktape]

GH45T schreef op vrijdag 14 september 2007 @ 17:37:
Over DHCP, een thuisroutertje stuurt geen DHCP over zijn WAN verbinding. Als er DHCP pakketjes van andere routers over jouw netwerk heen gaan zijn ze LAN poorten aan het aansluiten. Dit zou je inderdaad met VLAN's kunnen beperken.

dat bedoel ik dan heb je op een LAN 2 x een DHCP (wel op het zelfde adres)
Hoe zou ik dat met VLAN aan moeten pakken? DHCP moet dan in de router. en de router moet de VLAN's aan elkaar knopen?

[MAX3400]

Ducktape schreef op vrijdag 14 september 2007 @ 17:42:
[...]
dat bedoel ik dan heb je op een LAN 2 x een DHCP (wel op het zelfde adres)
Hoe zou ik dat met VLAN aan moeten pakken? DHCP moet dan in de router. en de router moet de VLAN's aan elkaar knopen?

No offence, maar VLAN's redelijk onderhoudsvrij maken/houden is net zo'n prutswerk als dat je voor MAC-filtering zou kiezen. Ik weet niet hoe professioneel jouw werkzaamheden zijn, maar ik lees dat je het probleem bij jezelf neerlegt, terwijl het eigenlijk een tekort is aan kennis van de gebruikers.

[TrailBlazer]

Je zal inderdaad een switch moeten hebben met VLAN ondersteuning. Vervolgens een firewall die hier mee om kan gaan dat wil zeggen een device wat een 802.1q trunk ondersteunt. Je kan dit met een linux machientje doen die dan ook DHCP server is op elk VLAN. Elke kamer een eigen VLAN en ze kunnen klooien wat ze willen. Als het niet meer werkt eigen schuld. Je moet er wel rekening mee houden dat als ze naar elkaar toewillen dat alles via de firewall gaat.

[Gizz]

Wat natuurlijk kan schelen is als je zelf een Wifi-AP neerzet (hangt ook een beetje van de locatie af natuurlijk). Dan hoeft men ook niet meer zelf spullen aan het netwerk te knopen en ben je van het gezeur af.

[GH45T]

Ducktape schreef op vrijdag 14 september 2007 @ 17:42:
[...]
dat bedoel ik dan heb je op een LAN 2 x een DHCP (wel op het zelfde adres)
Hoe zou ik dat met VLAN aan moeten pakken? DHCP moet dan in de router. en de router moet de VLAN's aan elkaar knopen?

Zoals ook al aangegeven, ik zou me er niet druk om maken.

Enige wat ik zou doen is die IP range veranderen in iets wat praktisch niemand gebruikt voor zijn netwerk maar wat toch voor publiek gebruik bedoeld is. 172.16.x.x t/m 172.31.x.x is hier een prima kandidaat voor, enkel af en toe een bedrijf waar je het ziet maar heb het nog nooit iemand thuis zien draaien.

[Ducktape]

MAX3400 schreef op vrijdag 14 september 2007 @ 17:44:
[...]

No offence, maar VLAN's redelijk onderhoudsvrij maken/houden is net zo'n prutswerk als dat je voor MAC-filtering zou kiezen. Ik weet niet hoe professioneel jouw werkzaamheden zijn, maar ik lees dat je het probleem bij jezelf neerlegt, terwijl het eigenlijk een tekort is aan kennis van de gebruikers.

Het liefst wil ik iets aanleggen en dan nooit meer wat aan doen (vervangen hardware blijf je houden). Maar bij MAC filteren moet je steeds bij een nieuwe bewoner of laptop zijn of haar MAC op je switch toelaten.

En het probleem is ook een tekort aan kennis. Maar dat kan je niet voorkomen. Iedereen heeft wel een handig neefje/broertje dat wel even een accesspoint zal plaatsen. En vervolgens bellen ze mij dat het weer stuk is. Ik leg het probleem niet bij mezelf, dat doen de gebruikers wel...
En aangezien jhet studenten met weinig knaken zijn wil ik het lieft een opllossing die gewoon goed is in plaats van 2 x per jaar per locatie terug te moeten voor deze grapjes. Het kost ook altijd veel tijd voordat je weet waar die troep staat. Ze zijn namelijk goed in het verbergen van hardware (banken en kasten...).

[rafler]

Wat dacht je van "regels/deal", verklooit je het wil ik het best repareren maar dan wordt het dus betalen. Dan leren ze het vast wel af, aangezien studenten meestal zo min mogelijk geld uit willen geven.

[CyBeR]

Ik zag vanochtend dit op 't grote interweb: http://meraki.com/products/mini/
mischien kun je dat gebruiken om wifi aan te bieden. het kan nog rate-limiten enzo ook.

[Ducktape]

CyBeR schreef op vrijdag 14 september 2007 @ 17:56:
Ik zag vanochtend dit op 't grote interweb: http://meraki.com/products/mini/
mischien kun je dat gebruiken om wifi aan te bieden. het kan nog rate-limiten enzo ook.

We willen geen wifi aanbieden... Veel te instabiel. Kabel werkt gewoon veel beter. Als ze wifi willen moeten ze het zelf doen.

Zoals het er nu uit ziet mkan ik het beste afstappen van 192.168.0.x of 192.168.1.x en een range pakken die niet standaard voorkomt op geleverde hardware. Dan is de gateway veilig. Enige wat nog kan gebeuren is dat ze een alternatieve DHCP service draaien en dat je dus PC's in een andere range krijgt na het verlopen van een lease.

VLAN's lijkt me wat duur. Managed switch en goede router kost boel knaken. Mogelijk wel een mooie oplossing voor de grotere huizen. Daar is het budget wat groter.

[MAX3400]

Als je remote bij je eigen routers kan, dan is MAC-filtering een idee. Laat een gebruiker een dag van te voren zijn MAC doormailen en dan heb je tijd zat om het te implementeren. En op het moment dat 10 mensen bellen dat het niet meer werkt, gooi je het laatst toegevoegde MAC eruit?

[gambieter]

Wat is er mis met zeggen "zelf klooien betekent geen service?". Eerst overleg over wat ze aanschaffen, en anders hebben ze pech.

[Gizz]

Ducktape schreef op vrijdag 14 september 2007 @ 18:03:
[...]
Als ze wifi willen moeten ze het zelf doen.

Maar dat zelf doen is juist het hele probleem

Dan is de gateway veilig. Enige wat nog kan gebeuren is dat ze een alternatieve DHCP service draaien en dat je dus PC's in een andere range krijgt na het verlopen van een lease.

En dan zitten mensen zonder werkend internet/netwerk en mag je alsnog komen opdraven. Heb je dus niks bereikt.

[Ducktape]

MAX3400 schreef op vrijdag 14 september 2007 @ 18:04:
Als je remote bij je eigen routers kan, dan is MAC-filtering een idee. Laat een gebruiker een dag van te voren zijn MAC doormailen en dan heb je tijd zat om het te implementeren. En op het moment dat 10 mensen bellen dat het niet meer werkt, gooi je het laatst toegevoegde MAC eruit?

hoe leg je uit aan een leek waar je een mac moet halen. mac address = locatie McDonalds... veel meer betekenis heeft het niet. En meestal zijn die gaste ook niet voorzien van een vast ip. Veel ISP's doen niet daaraan. en dat IP is makkelijk te achterhalen totdat het internet het niet meer doen, dan heb je het juist nodig.

[Ducktape]

Gizz schreef op vrijdag 14 september 2007 @ 18:06:
[...]

Maar dat zelf doen is juist het hele probleem

[...]

En dan zitten mensen zonder werkend internet/netwerk en mag je alsnog komen opdraven. Heb je dus niks bereikt.

iets met kip en ei.
Oja een router als switch gebruiken zijn sommige mensen ook niet vies van. Dus alleen accesspoint is het probleem niet.

[gambieter]

Je hebt hetzelfde probleem als veel IT-afdelingen. Je kunt niet service geven als je niet de grenzen van te voren aangeeft. Dus eerst duidelijk maken wat wel en niet mag, en wat uitsluiting van service oplevert.

[Ducktape]

dus alle hardware mag mits het geen service bied op het netwerk (DHCP, Gateway) en zoland het een statisch IP heeft. Volgens mij heb ik dan in een regel wat wel en niet mag.

[gambieter]

Ducktape schreef op vrijdag 14 september 2007 @ 18:36:
dus alle hardware mag mits het geen service bied op het netwerk (DHCP, Gateway) en zoland het een statisch IP heeft. Volgens mij heb ik dan in een regel wat wel en niet mag.

Alles wat niet vooraf is overlegd en goedgekeurd valt buiten de service. Internetproblemen worden niet bekeken totdat de apparatuur is verwijderd en instellingen terug zijn gezet naar installatie.

[ChaserBoZ_]

TrailBlazer schreef op vrijdag 14 september 2007 @ 17:45:
Je zal inderdaad een switch moeten hebben met VLAN ondersteuning. Vervolgens een firewall die hier mee om kan gaan dat wil zeggen een device wat een 802.1q trunk ondersteunt. Je kan dit met een linux machientje doen die dan ook DHCP server is op elk VLAN. Elke kamer een eigen VLAN en ze kunnen klooien wat ze willen. Als het niet meer werkt eigen schuld. Je moet er wel rekening mee houden dat als ze naar elkaar toewillen dat alles via de firewall gaat.

Idd

Per aansluiting een vlan, koop via ebay een oude Cisco Catalyst 24 poorts (rond de 50€) meer dan 10 mbps heb je toch niet nodig per gebruiker.

Een linux firewall die kant en klaar te krijgen is met vlan ondersteuning is Monowall (http://m0n0.ch/wall/). 1 netwerkkaart naar je modem, andere als trunk naar de Catalyst.

Monowall draait al aardig op een oude pc, en is volledig webbased te beheren

Catalyst + oude pc voor Monowall = < 150€

[Verwijderd]

Wat je mischien ook kan doen is een oude pc vol stampen met netwerk kaarten en linux software als hierboven al genoemd wordt op draaien heeft iedereen eigen netwerk soort van alles in 1.

Een gemiddelde pc kan wel 5 netwerk kaarten in als het geen conflicten met elkaar geeft teminste.
4 als LAN
1 als WAN

Stel je gelijk in dat je via putty de pc kan beheren hoef je nooit meer voor onderhoud erheen te reizen.

Ik thuis heb een pc met 3 netwerk kaarten met ISA server erop werkt perfect LAN en WLAN van elkaar gescheiden.

Ik heb geen idee hoeveel mensen in een gemiddelde studentenhuis zitten.

EDIT:

De goedkoopste manier is gewoon regels opstellen wat mag en niet mag en hebben ze een DHCP server in het netwerk draaien is heel simpel om erachter te komen gewoon alle stekkers uit de switch hallen en 1 voor 1 er weer in doen kom je vanzelf bij de goede.

[ Voor 55% gewijzigd door Verwijderd op 15-09-2007 18:21 ]

[Ducktape]

er zitten meer mensen in een huis dus dan moet je van de quad nic kaaren erin proppen.

ik denk dat ik gewoon voor een goede policy moet gaan.

[LauPro]

Een wireless router in een netwerk hangen kan best als die maar op de Wan-poort is aangesloten. Verder zou ik gewoon aangeven dat per patchaansluiting maar 1 computer mag worden aangesloten en routers alleen in overleg. Op straffe van afsluiting (als je die macht hebt). En DHCP servers zijn uit den boze natuurlijk.

[Ducktape]

Heb even wat overleg gedaan...
Mogelijk is er toch geld om wat meer hardware neer te plempen.

Waar ik aan zit te denken:

Per gebruiker een VLAN (In een switch instellen) Dan met 802.1q trunk alles op een poort mikken en die aansluiten op de router. Daar zorgen dan DHCP mogelijk is. En data routeren tussen de VLAN's en WAN poort.

Hardware
Cisco 18xx Router (1811,1812 of 1841)
Cisco Catalyst 3548XL Enterprise Edition

Is dit voldoende of gaat het hier niet mee lukken of is het overkill? Graag veel commentaar op alles, dan doe ik straks minder fout...

[GH45T]

Zoals al gezegd, gooi die router nou in een ander subnet wat niet veel wordt gebruikt.

75% van de mensen welke DHCP uit gaan delen op je netwerk doen dat omdat "het internet niet werkt als de router op de wan poort wordt aangesloten".

De meeste mensen begrijpen wel, of krijgen wel uitgelegd, dat de WAN poort voor internet is en de LAN poorten van een router voor netwerk.

Maar goed, als jij graag wilt investeren dan heb je wel goede spullen daarvoor uitgekozen ja.

[Ducktape]

het is mijn geld niet....

Maar ik moet wel voor de oplossing zorgen.
Een daar van is de range aanpassen. Voordeel: Gateway is redelijk veilig, kost niet veel: een half uur ben ik weer thuis. Nadeel: DHCP blijft mogelijk.

Niets doel en alleen policy schrijven: Voordeel: ik blijf in bed liggen. Nadeel: Probleem met DHCP en gateway blijft, alleen op papier staat dat het niet mag. Praktijk is helaas anders...

Andere oplissing is die Cisco troep daar neer zetten. Voordeel Gateway veilig, hoogstens storing in eigen VLAN. DHCP kan alleen eigen VLAN verkloten. Kan ik daar mooi de USRobotics switch en E-tech router (beide niet door mij uitgekozen....) bij het grofvuil zetten. Nadeel: kost een paar centjes.

[Ultraman]

Hier heb ik gewoon een oude PC die het internet voor het huis serveert.
Als je een Linux commandline niet vies bent kan dat best een leuke optie zijn.

Situatie hier is als volgt, van boven(WAN) naar beneden (client):

- Modem-router van ADSL aanbieder (wegens gebrek aan bridge stand staat de server in de DMZ)
- Linux server eth1, die het door een firewall gooit en de te forwarden pakketjes doorgeeft via eth0
- Switch
- Kabeltjes naar clientjes

In mijn geval heb ik echter geen last van mensen die ineens routers of accesspoints er aan hangen. Mocht dat wel het geval zijn dan is het vrij simpel om de instellingen van de DHCP daemon een beetje aan te passen zodat deze in Authoritative mode zijn werk gaat doen en elke andere DHCP server de mond snoert door als het ware te zeggen dat hij de baas is.
Ik zal eerlijk zeggen dat ik de optie nooit geprobeert hebt, puur omdat ik het niet nodig heb, maar misschien bestaat hij voor dit soort situaties.
Ik denk dat het de clienten waar niet aan geprutst is met extra tussen routers prima zal kunnen voorzien van een lease en dat alleen de mensen die lopen te mieren de pech zullen hebben dat hun nieuw geplaatste routertje zich of koest houdt of bij de pakken neer gaat zitten.

Policy schrijven is altijd verstandig om te doen, zij dat vroeg of laat. Stel alleen wel iedereen op de hoogte

Ik lees nu dat je in meerdere huizen aanlegt, dan is dat PC idee misschien geen optie...
Maar beginnen met je eigen gateway een andere ip range te geven kan al helpen.