Advies netwerk studentenhuis

[JaymzHetfield]

Op zich heb ik wel wat basiskennis over netwerken, al dan niet bedraad. Maar graag vraag ik jullie advies rond het volgende:
In mijn studentenhuis delen 8 bewoners 1 adsl verbinding. Twee (recente) ontwikkelen maken het dat ik me ben gaan afvragen hoe ik de boel het beste kan instellen. Dit zijn:
- Steeds meer laptops in de populatie zowel bedraad als draadloos willen genieten.
- Steeds meer apparaten die en ip adres willen.
- Onlangs is het ip adres dat de router gebruikte een aantal keer automatisch door de provider geblokkeerd vanwege een onguur systeem in het achterliggende netwerk. Inmiddels is iedereen dubbel en dik gescand, geupdate, voorzien van patches en virusscanners e.d.

Verder is het zo dat ik weinig thuis ben, maar wel de enige ben die er wat van snapt. Als er gezeik is komt men dus naar mij. Vooral met het geblokkeerde ip adres vd router was dat een drama, aangezien ik geen tijd heb iedereen achter de broek aan te zitten om zijn/haar systeem voldoende dicht te spijkeren. Maar er is hoop... bij ons abonnement hebben we 16 (publieke) ip adressen gekregen. Mijn idee is dan ook om iedere machine een eigen publiek ip adres te geven. Als iemand dan zijn zaakjes niet op orde heeft wordt alleen die ene machine geblokt en heeft de rest er geen last van (en komen ze dus niet bij mij aankloppen )

Hieronder de situatie

Huisgenoot	Apparaat	Type verbinding
1	Laptop	Draadloos
2	PC	Bedraad
2	Laptop	Draadloos
2	Xbox360	Bedraad
2	iPod Touch	Draadloos
3	PC	Bedraad
3	Laptop	Draadloos
4	Laptop	Draadloos of bedraad (afh. van bereik wifi-router)
5	Laptop	Bedraad
6	Laptop	Bedraad
7	PC	Bedraad
8	Laptop	Bedraad
Gezamenlijk	Fileserver	Bedraad
Gezamenlijk	Copperjet Modem/Router	Bedraad
Gezamenlijk	Netgear Wifi Router	Bedraad

Van de 16 ip adressen meen ik dat de eerste en laatste niet bruikbaar zijn om toe te wijzen aan een apparaat (netwerk- en broadcast-adres meen ik mij te herinneren). Dat betekent dat er 14 zijn uit te delen, al dan niet door een DHCP server. Zoals je ziet zijn er 15 apparaten die een ip adres willen, wat er dus eentje te veel zou zijn. Daarom wil ik de Copperjet in Bridge modus zetten omdat deze dan geen ip adres zou 'verbruiken' (???)
Dat Netgear ding kan dan router spelen en eventueel DHCP doen. Mocht ik DHCP gaan gebruiken dan wil ik de ip adressen aan de MAC adressen koppelen of lange lease times instellen zodat de 'dader' achterhaald kan worden als één vd 16 ip adressen weer door de provider geblokkeerd zou worden.
Goed plan zo, of kunnen jullie mij nog van bruikbare tips voorzien?

[TrailBlazer]

Ik denk dat ze gewoon het hele subnet blokken als er iemand uit dat subnet troep verstuurt. Sowieso is het enkel vragen om meer gezeik door elk device direct aan het internet te hangen. Ze hebben er nu al geen verstand van en direct aan internet hangen is dan gegarnadeerd gezeik. Een behoorlijke firewall lijkt me geen overbodige optie in dit geval.

[JaymzHetfield]

TrailBlazer schreef op woensdag 11 juni 2008 @ 21:40:
Ik denk dat ze gewoon het hele subnet blokken als er iemand uit dat subnet troep verstuurt.

Nee, dat is niet het geval. Alleen dat ene ip adres wordt dan geblokt.
Je andere advies kan ik op zich in komen, ware het niet dat dat weer meer werk voor mij vormt.

Ze hebben hun zaakjes nu overigens goed op orde lijkt het. Ik wil in ieder geval voorkomen dat de internetverbinding voor iedereen nog eens plat komt te liggen. Op deze manier kan ik tegen iemand zeggen "jammer joh, je wacht maar lekker tot ik tijd voor je heb".

[BHQ]

Hm, dit kan heel simpel toch als ik 't zo zie. Knal je Copperjet in bridge en hang je clients er direct aan, alleen het access point kan iets lastiger worden. Een standaard consumentenrouter doet standaard aan NAT ongein.

Als je max. 16 IP's van je ISP krijgt kan je die wrs. allemaal gewooon gebruiken hoor. Dat zijn gewoon 16 leases.

Hang anders de bedrade apparaten direct aan 't inet, en de laptops aan een wireless router? De boel zan dan niet met elkaar kunnen communiceren onderling tho.

[ Voor 19% gewijzigd door BHQ op 11-06-2008 21:50 ]

[VisionMaster]

TrailBlazer schreef op woensdag 11 juni 2008 @ 21:40:
Ik denk dat ze gewoon het hele subnet blokken als er iemand uit dat subnet troep verstuurt. Sowieso is het enkel vragen om meer gezeik door elk device direct aan het internet te hangen. Ze hebben er nu al geen verstand van en direct aan internet hangen is dan gegarnadeerd gezeik. Een behoorlijke firewall lijkt me geen overbodige optie in dit geval.

Ik ben het met TrailBlazer eens. Direct aan het net hangen zonder firewall is vragen om problemen.Buitenstaanders kunnen direct je machine proben en de gaten in de beveiliging misbruiken, virusscanner of niet.

Ik hoop dat je modem/router een firewall oplossing biedt en ik zou die aanzetten Dat moet het inkomende verkeer tegen gaan, mits er iemand is die het echt een wens heeft om een server te draaien. En omdat je 16 IP adressen hebt hoef je ook geen gekke NAT oplossing te gebruiken.

Verder denk ik dat je echt 16 IP adressen hebt om te gebruiken. Tenminste... als de gateway van de machines in je 16 IP adressen zit niet, maar anders heb je ze alle 16 voor je computers.

Wat betreft de wireless, ik zou aan de inkomende modem/router een wireless AP hangen voor eigen gebruik van de laptops. Dat is dus in router termen een bridge, in ethernet termen een switch en in wireless termen een access point. Want, als je dan je laptop er aan doet kan je die aan een bekend IP adres verbinden. De gebruiker mag dan niet wired en wireless tegelijkertijd gebruiken. Dit doe je als je communicatie wenst tussen de machines. Aan gezien dat de wireless kaarten en de interne bedrade kaarten hun eigen Mac adres hebben, heb je dus 2 IP adressen of mijn voorgestelde tricky bundeling nodig.

Hoef je geen communicatie tussen de printer en de andere host, dan kan je een wireless router gebruiken met NAT, zodat het over 1 IP adres gaat voor de draadloze gebruikers. Dat lost je probleem dus NIET op om individueel per IP adres iemand van het Net te halen. Maar het is wel handiger om eventueel gasten op uit te nodigen.

Dat laatste lijkt me altijd handig om te hebben. Ik wil thuis ook een tweede wireless AP hebben, omdat ik dan mijn interne en gasten net gescheiden kan aanbieden voor de gene die alleen Internet willen en niet bij mijn servertjes hoeft.

[ Voor 33% gewijzigd door VisionMaster op 11-06-2008 21:56 ]

[CyBeR]

Yapser schreef op woensdag 11 juni 2008 @ 21:49:
Hm, dit kan heel simpel toch als ik 't zo zie. Knal je Copperjet in bridge en hang je clients er direct aan

Dat gaat niet werken. Je hebt absoluut een router nodig. En dan bedoel ik niet zo'n hinderlijk NAT kastje maar een echte router.

Als je max. 16 IP's van je ISP krijgt kan je die wrs. allemaal gewooon gebruiken hoor. Dat zijn gewoon 16 leases.

Nee. Dit gaat hoogstwaarschijnlijk om SURFsnel ADSL, die routen een subnet door. In dit geval een /28. Op Ethernet heb je dan dus 2^(32-28) - 3 adressen om uit te delen aan clients.

Hang anders de bedrade apparaten direct aan 't inet, en de laptops aan een wireless router? De boel zan dan niet met elkaar kunnen communiceren onderling tho.

Tuurlijk wel. Alleen niet van bedraad naar wireless, want daar zit NAT tussen. Zelfde idee als op internet.

[ Voor 4% gewijzigd door CyBeR op 11-06-2008 21:59 ]

[JaymzHetfield]

Het gaat inderdaad om Surfsneladsl, en die routen dus een subnet door... heb ik net geleerd

Het is wel de bedoeling dat bedraad en wireless met elkaar contact kunnen hebben. De laptoppers willen immers ook een filmpje van de fileserver kunnen trekken.

Het liefst ook met bestaande hardware.

Een paar voorzichtige conclusies die ik nu lijk te kunnen trekken:
- Laptoppers moeten kiezen of ze bedraad of wireless willen. Dit om te voorkomen dat zij 2 ip adressen opslokken.
- Firewall aanzetten op de router is zeer wenselijk, omdat je dit niet aan de individuele gebruikers wil overlaten.
- OF de Copperjet, OF de Netgear gaat als router spelen.
- In het eerste geval moet de Netgear als Accesspoint ingezet worden (als dat kan??).
- In het tweede geval moet de Copperjet bridgen en de Netgear er direct achter.

Klopt dit zo ver?

[CyBeR]

Heb je niet gewoon de mogelijkheid bij SURF om te vragen om een wat groter subnet?

[JaymzHetfield]

Ik denk het wel.... geloof dat ze 32 ook uitgeven als daar voldoende reden voor is.

Dat heeft dan m.n. betrekking op het eerste punt van mijn bovenstaande samenvatting lijkt me... De overige 4 punten van mijn conclusie kloppen dus?

Bedankt voor jullie hulp tot dusver!

[FlorisD]

Is het niet een idee om iedereen standaard 1 IP-adres te geven voor de bedrade verbinding, en de wifi gewoon via 1 IP-adres te laten lopen? Mocht dan het wifi-adres geblokkeerd worden, dan kunnen ze alsnog via de draad verder internetten. Op deze manier bespaar je jezelf een hoop gedoe en krijg je in de toekomst geen problemen als er meer mensen met laptops bij komen.

[ Voor 12% gewijzigd door FlorisD op 11-06-2008 22:51 ]

[VisionMaster]

Als je de wireless gebruikers achter een NAT box router zet, dan delen ze allemaal een IP adres. Maar ze kunnen wel de publieke IP adressen bereiken voor de file services.

Let op dat die file server dus goed gefirewalled is, anders ben je het met de rest van de wereld aan het delen

[Vicarious]

FlorisD schreef op woensdag 11 juni 2008 @ 22:50:
Is het niet een idee om iedereen standaard 1 IP-adres te geven voor de bedrade verbinding, en de wifi gewoon via 1 IP-adres te laten lopen? Mocht dan het wifi-adres geblokkeerd worden, dan kunnen ze alsnog via de draad verder internetten. Op deze manier bespaar je jezelf een hoop gedoe en krijg je in de toekomst geen problemen als er meer mensen met laptops bij komen.

Lijkt me een beter plan inderdaad. Scheelt ook in de kosten voor NOG 16 ip-adressen.

[VisionMaster]

Misschien is een ander idee om iedereen 1 IP adres te geven, niet meer, niet minder. Iedereen mag hun eigen NAT routertje kopen om het internet verder te verdelen.

Als je een centrale server hebt, kan je met port forwarding benaderen of je hangt die wel direct aan het net.

my 2 cts

[chromeeh]

VisionMaster schreef op donderdag 12 juni 2008 @ 12:40:
Misschien is een ander idee om iedereen 1 IP adres te geven, niet meer, niet minder. Iedereen mag hun eigen NAT routertje kopen om het internet verder te verdelen.

Als je een centrale server hebt, kan je met port forwarding benaderen of je hangt die wel direct aan het net.

my 2 cts

Het grote voordeel hier van is dat als iemand zit te zieken middels bijv een besmette pc / laptop deze makkelijker te vinden is, alleen onderlinge communicatie zal minder makkelijk zijn.
Nu is het voor bijv je file server een oplossing om deze te bombarderen tot een FTP server en zo files uit te wisselen.

[JaymzHetfield]

Zo, daar ben ik weer. Bedankt voor jullie suggesties. Ik heb ze aandachtig gelezen en wilde aanvankelijk voor de optie gaan om de wireless gebruikers allemaal via 1 publiek ip adres te laten internetten, waarbij zij een lokaal ip adres krijgen van de wireless router. Zij kunnen dan immers ook bij de file server, heb ik inmiddels begrepen.
Maarrrr ik denk dat ik toch voor de optie ga om 32 ip adressen aan te vragen (kost niks of weinig bij mijn provider). Dit omdat de fileserver in onze gezamenlijke woonkamer staat en mijn huisgenoten geregeld een muziekje daarop willen afspelen dat op hun eigen laptop geshared staat. Dat zou in de optie die ik als eerste noem niet mogelijk zijn.

Met mijn beperkte netwerkkennis zou het dan zoiets moeten worden:
copperjet_in_bridge_mode --> netgear_als_router --> gebruikers

Waarbij ik de copperjet op de WAN poort van de netgear aansluit en deze als router fungeert voor zowel het bedrade als het wireless gedeelte (al dan niet met DHCP). Ik heb geen idee hoe om te gaan met een bridge (wat de copperjet dus wordt), maar dat zal zich hopelijk vrij simpel uitwijzen...... hoop ik dan maar.

Wat ik me dan nog afvraag is of die netgear (WGR614 meen ik) hier geschikt voor is. Komt op mij iig niet heel vertouwenswekkend over...

[polthemol]

die publieke ipadressen zou ik niet aan gaan beginnen. Jijzelf zal er misschien geen last van hebben, maar zoiets is wel de rede dat je veel zombiecrap hebt rondzwerven op het netwerk.

Daarbij ga je jezelf problemen op de hals halen met die dingen als filesharing ed. Zoiets wil je niet op een public ip hebben staan.

Is het geen ideetje om voor die mensen een simpel worddocumentje op te stellen over hoe ze alles moeten instellen op hun systeem zodat de updates ed. allemaal kloppen, virusscanner ed.

En misschien de router zelf helemaal dichtspijkeren buiten wat perse nodig is van poorten, dat je wat meer controle erop hebt.

[VisionMaster]

polthemol schreef op vrijdag 13 juni 2008 @ 13:56:
die publieke ipadressen zou ik niet aan gaan beginnen. Jijzelf zal er misschien geen last van hebben, maar zoiets is wel de rede dat je veel zombiecrap hebt rondzwerven op het netwerk.

Daarbij ga je jezelf problemen op de hals halen met die dingen als filesharing ed. Zoiets wil je niet op een public ip hebben staan.

Is het geen ideetje om voor die mensen een simpel worddocumentje op te stellen over hoe ze alles moeten instellen op hun systeem zodat de updates ed. allemaal kloppen, virusscanner ed.

En misschien de router zelf helemaal dichtspijkeren buiten wat perse nodig is van poorten, dat je wat meer controle erop hebt.

Dit hele statement is waar, als er in de copper_jet geen firewall zit die het inkomende verkeer kan blokkeren. Op ons lab hebben we rond de 800 machines op publieke ip-adressen, maar met een router en firewall er tussen. Dat is dit ook. Je kan overal naar toe intern, maar vanaf buiten heb je de voordelen die je bij een NAT router ook hebt. Weet wat je doet en wat er kan voor je het doet.

Als je voor de 32 IP-adressen gaat, kan je ook de netgear wireless router nog in bridge mode zetten. Een aantal dingen komen niet over de bridge (althans... dat ligt er een beetje aan, maar dat is wel heel gedetailleerd), maar je zou dus de wireless kaartjes ook aan een apart IP-adres kunnen gooien, zodat je die ook vanuit je aansluit punt kan bedienen. Dat scheelt je weer een extra subnet maken en bijhouden voor je kamer genoten.

Als de copper_jet geen firewall heeft die connecties kan afslaan, dan kan je toch echt beter een andere oplossing zoeken met een goedkope NAT router er tussen voor iedereen.

Test het met Shields Up op www.grc.com.
Eventueel voor torrent verkeer kan je nog inkomend port 6881 tot 6885 open zetten van alle ipadressen naar alle up adressen en de rest dicht, mits iemand een server heeft draaien.

[ Voor 4% gewijzigd door VisionMaster op 13-06-2008 15:21 ]

[JaymzHetfield]

polthemol schreef op vrijdag 13 juni 2008 @ 13:56:
die publieke ipadressen zou ik niet aan gaan beginnen. Jijzelf zal er misschien geen last van hebben, maar zoiets is wel de rede dat je veel zombiecrap hebt rondzwerven op het netwerk.

Daarbij ga je jezelf problemen op de hals halen met die dingen als filesharing ed. Zoiets wil je niet op een public ip hebben staan.

Is het geen ideetje om voor die mensen een simpel worddocumentje op te stellen over hoe ze alles moeten instellen op hun systeem zodat de updates ed. allemaal kloppen, virusscanner ed.

En misschien de router zelf helemaal dichtspijkeren buiten wat perse nodig is van poorten, dat je wat meer controle erop hebt.

De configuratie als aangegeven in mijn vorige bericht, gecombineerd met een firewall op de router en huisgenoten die tegenwoordig braaf updates draaien moet toch een prima oplossing zijn?

[JaymzHetfield]

VisionMaster schreef op vrijdag 13 juni 2008 @ 15:20:
[...]

Als je voor de 32 IP-adressen gaat, kan je ook de netgear wireless router nog in bridge mode zetten. Een aantal dingen komen niet over de bridge (althans... dat ligt er een beetje aan, maar dat is wel heel gedetailleerd), maar je zou dus de wireless kaartjes ook aan een apart IP-adres kunnen gooien, zodat je die ook vanuit je aansluit punt kan bedienen. Dat scheelt je weer een extra subnet maken en bijhouden voor je kamer genoten.

Als de copper_jet geen firewall heeft die connecties kan afslaan, dan kan je toch echt beter een andere oplossing zoeken met een goedkope NAT router er tussen voor iedereen.

Hmmm, dit stukje snap ik niet helemaal.

Bij de situatie met 32 ip-adressen heb ik volgens mij 2 opties:
Optie 1: Copperjet in bridge, Netgear als router en 1 vd 2 dient tevens als firewall.
Optie 2: Copperjet als router, Netgear in bridge en 1 vd 2 dient tevens als firewall.
Ik gok dat het bridgende apparaat niet meer als firewall kan dienen, wat me bij de volgende opties brengt:
Optie 1: Copperjet in bridge, Netgear als router en firewall.
Optie 2: Copperjet als router en firewall, Netgear in bridge

Klopt dit?

[ik222]

Ja maar als je de netgear of copperjet gaat laten routeren met NAT dan gaat hij dus gewoon 1 extern ip gebruiken en dan aan alle clients interne ip's uitdelen middels de DHCP.

Dan mis ik dus in je verhaal wat dan de bedoeling is met 32 externe ip's, je hebt er dan maar 1 nodig dus...

[JaymzHetfield]

NAT is niet de bedoeling, ik wil gewoon die 32 publieke ip adressen op die pc's met 1 gemeenschappelijke firewall op copperjet of netgear.

[job]

Wat mij makkelijker lijkt:
1 modem in bridge.
daar hang je een switch aan waar je de pc's aanhangt (en eventuele verdere switches).
1 poort houd je vrij voor de router. Die router gebruik je alleen voor de wireless pc's.

Zodra je een router tussen de vaste pc's en het modem hangt gaat je modem routeren en hebben al die pc's dus hetzelfde externe ip.

[ Voor 23% gewijzigd door job op 13-06-2008 16:41 ]

[JaymzHetfield]

job schreef op vrijdag 13 juni 2008 @ 16:40:
Wat mij makkelijker lijkt:
1 modem in bridge.
daar hang je een switch aan waar je de pc's aanhangt (en eventuele verdere switches).
1 poort houd je vrij voor de router. Die router gebruik je alleen voor de wireless pc's.

Dat is toch precies wat ik bedoel? Behalve dan dat die losse switch die je noemt al in dat Netgear apparaat zit ingebouwd en dus niet nog eens los nodig is.

[job]

Je moet juist wel een losse switch hebben.
Als je nou de netgear gebruikt, gaan zowel de draadloze als de vaste pc's via die router.
En dat wil je nou precies niet.

Die router hang je met de wanpoort aan je modem. Die router pakt 1 ip adres (van de beschikbare) en gebruikt deze om te communiceren.
Gebruik je van die router alleen de lan poort(en) (en dhcp uit), dan omzeil je het router gebeuren, maar krijgen ook de wireless pc's hun eigen ip's.
Als dat geen bezwaar is, dan doe je dat.. maar ik dacht dat je te weinig ip's had.

[ Voor 52% gewijzigd door job op 13-06-2008 16:59 ]

[ik222]

job schreef op vrijdag 13 juni 2008 @ 16:56:
Je moet juist wel een losse switch hebben.
Als je nou de netgear gebruikt, gaan zowel de draadloze als de vaste pc's via die router.
En dat wil je nou precies niet.

Dat bedoelde ik dus ook met mijn post, de oplossing die de TS nu wil gaan maken gaat op die manier nooit gebruik maken van 32 externe ip's maar van slechts 1 extern ip.

En dat is dus juist niet de bedoeling

[ Voor 4% gewijzigd door ik222 op 13-06-2008 17:40 ]

[BlackWhizz]

Misschien dom, maar wat dacht je van om de fileserver als server in te stellen. Dan kun je firewallen en heb je al een hele bult problemen opgelost. Immers, de server kan dan uitgaand verkeer wat niet goed is blokkeren.

[VisionMaster]

Wat ik bedoelde was dat zelfs de wireless router in bridge mode draait. Net als je copperjet in bridge mode. Dus de wireless gebruikers krijgen dan ook een publiek ip-adres. Niets mis mee zou ik zeggen, als je genoeg IP-adressen hebt. Vergeet de firewall niet en klaar is clara.

[JaymzHetfield]

Ok beiden in bridge mode... geen van beiden vervult dan dus de rol van router...
Waarom moet je volgens deze handleiding die copperjet dan als router instellen als je ook gewoon in bridge met 16 of 32 ip adressen zou moeten kunnen werken?:
http://www2.internl.net/s...816_602/handmatig.it#meer

[Pogostokje]

Ik begrijp wat je wilt en wat het probleem is/was. Maar ik vind voor 8 gebruikers een netblok van 32 IP adressen totale overkill.

Het is ook niet flexibel: iemand koopt een laptop of desktop erbij, krijgt iemand anders op bezoek met een PDA of iPhone ofzo, koopt een LAN printer, etc. Wil je die dan ook allemaal een extern IP geven?

Er zijn bedrijven met 1000'en medewerkers die nog niet 32 externe IP adressen gebruiken.

Zoals ik het nu lees is het verspilling en niet flexibel omdat alles 1:1 geadministreerd moet worden door jou.

Ik zou een goeie firewall plaatsen en dan gewoon gaan NAT'en. Klaar. Veel veiliger voor alle 8 gebruikers en uiteindelijk minder werk voor jou. Wil je toch op IP adres werken, dan gewoon iedereen 1 adres geven en willen ze meer aansluiten dan pluggen ze maar een eigen el-cheapo router in die je bij elke zaak voor een paar tientjes kan kopen.

Uiteindelijk denk ik dat jij daar, als beheerder, veel gelukkiger van wordt.

[VisionMaster]

Pogostokje schreef op woensdag 18 juni 2008 @ 20:33:
Ik begrijp wat je wilt en wat het probleem is/was. Maar ik vind voor 8 gebruikers een netblok van 32 IP adressen totale overkill.

Het is ook niet flexibel: iemand koopt een laptop of desktop erbij, krijgt iemand anders op bezoek met een PDA of iPhone ofzo, koopt een LAN printer, etc. Wil je die dan ook allemaal een extern IP geven?

Er zijn bedrijven met 1000'en medewerkers die nog niet 32 externe IP adressen gebruiken.

Zoals ik het nu lees is het verspilling en niet flexibel omdat alles 1:1 geadministreerd moet worden door jou.

Ik zou een goeie firewall plaatsen en dan gewoon gaan NAT'en. Klaar. Veel veiliger voor alle 8 gebruikers en uiteindelijk minder werk voor jou. Wil je toch op IP adres werken, dan gewoon iedereen 1 adres geven en willen ze meer aansluiten dan pluggen ze maar een eigen el-cheapo router in die je bij elke zaak voor een paar tientjes kan kopen.

Uiteindelijk denk ik dat jij daar, als beheerder, veel gelukkiger van wordt.

Onzin. Met een firewall met een blok op inkomende verbindingen heb je je beveiligingsdoel al bereikt. Bij deze ISP zijn er nu eenmaal voldoende IPadressen aanwezig. Ik vind het een luxe die ik niet heb. Ik had maar al te graag al mijn machines aan een publiek IP-adres willen hangen. Eventueel nog iedere ethernet adapter. De gasten in mijn netwerk dan prettig ge-NAT.

Het is een administratieve overhead om al die machines in je router 1-op-1 met de ip-adressen te koppelen. Dat is zeker waar. Maar de veiligheid begint niet bij NAT. De onhandigheid met NAT translatie wel. Zeker als je met 8 of meer personen dingen gaat downloaden of nog erger met torrent gaat downloaden. Neem dan een kijkje bij de CPU statistieken van de router. Met mijn Zyxel thuis red ik dat in mijn eentje al.

[CyBeR]

JaymzHetfield schreef op woensdag 18 juni 2008 @ 20:20:
Ok beiden in bridge mode... geen van beiden vervult dan dus de rol van router...
Waarom moet je volgens deze handleiding die copperjet dan als router instellen als je ook gewoon in bridge met 16 of 32 ip adressen zou moeten kunnen werken?:
http://www2.internl.net/s...816_602/handmatig.it#meer

Dat kan niet, en daarom moet je dat ding als router instellen. Je krijgt namelijk buiten dat subnet ook een extra extern adres, dat is voor de buitenkant van je router. Je netblok wordt vervolgens naar het apparaat met dat IP-adres gerouteerd. Wat die er mee doet is vervolgens jouw zaak. Als je niet een apparaat hebt met dat IP adres, dan valt er niks te routen.

Overigens kun je PPPoA verbindingen (wat ik zag staan in bij die url) niet echt bridgen, dus je modem moet router spelen. Je kunt 'm wel instellen dat het doorgerouteerde netblock achter een andere router zit. (Maar of dat nut heeft is iets anders.)

Pogostokje schreef op woensdag 18 juni 2008 @ 20:33:
Ik begrijp wat je wilt en wat het probleem is/was. Maar ik vind voor 8 gebruikers een netblok van 32 IP adressen totale overkill.

Ik niet. Het is zeer reëel om gemiddeld voor een gebruiker 2 adressen te nemen (vaste computer, laptop, pda, whatever). 8 * 2 is natuurlijk al 16, en dan zit je nog met netwerkinfrastructuur.

Het is ook niet flexibel: iemand koopt een laptop of desktop erbij, krijgt iemand anders op bezoek met een PDA of iPhone ofzo, koopt een LAN printer, etc. Wil je die dan ook allemaal een extern IP geven?

Ja. Mits voorradig natuurlijk. Op 't moment dat je in je /27 nog maar drie adressen over hebt is dat wellicht niet handig.

Er zijn bedrijven met 1000'en medewerkers die nog niet 32 externe IP adressen gebruiken.

Weinig, hoor. Ik heb voor mijn servers ook een /27 en een /24. En dan heb ik 't over een organisatie van 30 man. Ik heb een extra /24 aangevraagd voor 't kantoornetwerk, en dan moet ik daarmee nog gaan klooien met kleinere subnets om 't allemaal te laten passen.

Ik zou een goeie firewall plaatsen en dan gewoon gaan NAT'en. Klaar. Veel veiliger voor alle 8 gebruikers

NAT is niet per definitie veilig. En firewalls zijn IMO een zaak voor de gebruikers zelf.

[ Voor 38% gewijzigd door CyBeR op 19-06-2008 00:57 ]

[Vicarious]

Dat je voor een bedrijfje van 30 man zoveel ip-ranges krijgt...

Maargoed, de discussie of het nou nuttig is om zoveel ip-adressen te hebben of niet lijkt me niet zo nuttig. De situatie is nou eenmaal al zo, ik denk niet dat we de TS veel verder helpen om daarmee door te gaan.

[Pogostokje]

Tsja inderdaad, in dit topic lijkt iedereen het weer eens beter te weten zonder enig respect, affiniteit met wat de TS nou eigenlijk precies vraagt of zelfs maar kennis van het gevraagde. De TS is er niet mee geholpen. Wederom maar een topic waar ik uit ga blijven. Sorry TS.

[Thc_Nbl]

nou ben ik niet zo van de kan en klaar pakketten, maar als je even naar
http://skullbox.net/clarkconnect.php kijkt,
dan heb je een makkelijk te beheren router.
Clarkconnect kan ook met subnets overweg.

en http://skullbox.net/smoothwall.php moet het ook kunnen volgens mij.

die 16 ipadressen is wel makkelijk maar aan 1 heb je gewoon genoeg.
als 1 van de 16 geblokkeerd raakt, dan hang je een nieuwe aan je firewall en kan je weer door.
;-) kan je 15 keer geblokkeerd raken zonder dat je geen internet meer hebt.

[VisionMaster]

Thc_Nbl schreef op vrijdag 20 juni 2008 @ 14:44:
nou ben ik niet zo van de kan en klaar pakketten, maar als je even naar
http://skullbox.net/clarkconnect.php kijkt,
dan heb je een makkelijk te beheren router.
Clarkconnect kan ook met subnets overweg.

Er is een copperjet...

en http://skullbox.net/smoothwall.php moet het ook kunnen volgens mij.

die 16 ipadressen is wel makkelijk maar aan 1 heb je gewoon genoeg.
als 1 van de 16 geblokkeerd raakt, dan hang je een nieuwe aan je firewall en kan je weer door.
;-) kan je 15 keer geblokkeerd raken zonder dat je geen internet meer hebt.

Dude... No offence, maar dit is precies zo'n post waar Pogostok het over heeft.

Er wordt een helder doel gegeven met een heldere beargumentatie (die niet eens perse hoeft bij een helder doel) en dan dit.

Maar bedenk nou eens wat je zou doen als je die reeks IP-adressen hebt en wat je er nu wel en niet mee kan. Stel je toch eens voor dat iedereen IPv6 zou hebben Hoe richt je dan je routering en firewalling in?

Sterker nog, de TS heeft SurfSnel in een omgeving waar meerdere mensen hun eigen verantwoording moeten kunnen nemen, dus per IP-adres scheiding is echt geen gek idee. SurfSnel biedt AFAIK ook IPv6 aan bij ieder abonnement, net als XS4all.

In India, China en zelfs Japan wordt er hoofdzakelijk (vandaag de dag) IPv6 gebruikt en zitten wij met de westerse wereld (remmende voorsprong) in een /32 segment wat hun betreft van het /128 universum. Get real, vergeet NAT.

[JaymzHetfield]

Ik moet zeggen dat het me af en toe een beetje duizelt met die reacties die tegen elkaar in lijken te gaan...
Het lijkt me dat deze reacties te categoriseren zijn in:

1: "Beide apparaten laten bridgen, je hebt geen router nodig, zorg voor een fatsoenlijke firewall en klaar is Kees."

2: "Je hebt wel een router nodig (ivm PPPoA verbinding)."

3: "Zoveel externe ip adressen is asociaal"

4: "NAT is kut, en bestaat alleen omdat we nog met IPv4 opgescheept zitten"

Als we antwoorden van de 3e en 4e categorie even buiten beschouwing laten, wat moet ik dan geloven? De 1e of de 2e?

En daarbij:
Als het optie 1 blijkt te zijn: Kunnen beiden bridgen en kan één van tweeën tevens als firewall dienen of zijn dat niet twee dingen die samen gaan?

Als het optie 2 blijkt te zijn: Ok, dan is het wellicht een Linksys router te halen ter vervanging van die Netgear, want die kunnen volgens mij beter met wat torrent verkeer (lees: veel connecties) uit de voeten...

[VisionMaster]

JaymzHetfield schreef op vrijdag 20 juni 2008 @ 23:50:
Ik moet zeggen dat het me af en toe een beetje duizelt met die reacties die tegen elkaar in lijken te gaan...
Het lijkt me dat deze reacties te categoriseren zijn in:

1: "Beide apparaten laten bridgen, je hebt geen router nodig, zorg voor een fatsoenlijke firewall en klaar is Kees."

2: "Je hebt wel een router nodig (ivm PPPoA verbinding)."

3: "Zoveel externe ip adressen is asociaal"

4: "NAT is kut, en bestaat alleen omdat we nog met IPv4 opgescheept zitten"

Als we antwoorden van de 3e en 4e categorie even buiten beschouwing laten, wat moet ik dan geloven? De 1e of de 2e?

En daarbij:
Als het optie 1 blijkt te zijn: Kunnen beiden bridgen en kan één van tweeën tevens als firewall dienen of zijn dat niet twee dingen die samen gaan?

Als het optie 2 blijkt te zijn: Ok, dan is het wellicht een Linksys router te halen ter vervanging van die Netgear, want die kunnen volgens mij beter met wat torrent verkeer (lees: veel connecties) uit de voeten...

Wat betreft het antwoord op de vraag bij optie 1. De firewall configuratie mogelijkheden zijn erg afhankelijk van het router/bridge/PPPoA apparaat. Ik zou die mogelijkheden effe in het boekje opzoeken. De 'best practice' is natuurlijk om de firewall zo dicht mogelijk bij de buitenkant te zetten van je verbinding. Bij jou is dat dus op het apparaat waar de ADSL binnenkomt.

Als je de copperjet in bridge zet, dan moet de router bij de provider beslissen of de data bestemd is voor de rest van de wereld of gewoon voor interngebruik. De computers in jou omgeving moeten dan de eerst volgende router gebruiken om die beslissing te maken. Dus... al je broadcasts en dergelijke gaan dus ook over de ADSL lijn naar je provider. Ik verwacht dus dat je geen keuze hebt en dat je in router modus moet blijven draaien, omdat je provider ook alle dat naar de router zal sturen om door te verdelen.

Als je een broadcast doet in je eigen subnet, of de Windows/Mac/Linux-Samba/CIFS shares machines zijn met elkaar aan het praten, dan houdt je dat verkeer intern. Dat is het idee waarschijnlijk, omdat je provider er anders mee wordt lastig gevallen.

Dus in het kort:
copperjet in router mode
netgear in bridge mode, om gewoon je interne netwerk met switches (bridge mode is een over-intelligente switch) je interne netwerk door te trekken tot en met de wireless.

[CyBeR]

JaymzHetfield schreef op vrijdag 20 juni 2008 @ 23:50:
Ik moet zeggen dat het me af en toe een beetje duizelt met die reacties die tegen elkaar in lijken te gaan...

Dat komt omdat niet iedereen weet waar 'ie het over heeft En dan meestal omdat ze een andere situatie verkeerd extrapoleren.

1: "Beide apparaten laten bridgen, je hebt geen router nodig, zorg voor een fatsoenlijke firewall en klaar is Kees."

Dat is echt een technische onmogelijkheid. Ten eerste dus doordat je altijd een router nodig hebt als er een subnet doorgerouteerd wordt (anders kun je alleen gebruik maken van het ene adres waar dat subnet heen gaat). Ten tweede omdat je PPPoA niet kunt bridgen: je modem moet een PPP sessie opzetten voordat er verkeer heen en weer gaat.

3: "Zoveel externe ip adressen is asociaal"

IMO heb je er nog veel meer nodig.

4: "NAT is kut, en bestaat alleen omdat we nog met IPv4 opgescheept zitten"

Waarheid als een koe.

En daarbij:
Als het optie 1 blijkt te zijn: Kunnen beiden bridgen en kan één van tweeën tevens als firewall dienen of zijn dat niet twee dingen die samen gaan?

Is 't niet, maar dat ligt aan je apparatuur. Sommige stukjes hardware kunnen alleen firewallen als ze router zijn, andere stukjes apparatuur kunnen dat ook voor bridged verkeer (of zijn daar zelfs voor gemaakt).

Als het optie 2 blijkt te zijn: Ok, dan is het wellicht een Linksys router te halen ter vervanging van die Netgear, want die kunnen volgens mij beter met wat torrent verkeer (lees: veel connecties) uit de voeten...

Zolang je geen NAT gebruikt maakt torrentverkeer je router niks uit. (Let wel: dan moet je router wel als gewone router instelbaar zijn en niet als NAT firewall.) Het enige waar een router zich mee bezig houdt is namelijk packets heen en weer schuiven. Pas als je met NAT (en firewalls) gaat zitten klooien heb je last van 't feit dat het ding een tabel van connecties bij moet gaan zitten houden.

[VisionMaster]

CyBeR schreef op zaterdag 21 juni 2008 @ 11:26:
[...]
Dat is echt een technische onmogelijkheid. Ten eerste dus doordat je altijd een router nodig hebt als er een subnet doorgerouteerd wordt (anders kun je alleen gebruik maken van het ene adres waar dat subnet heen gaat). Ten tweede omdat je PPPoA niet kunt bridgen: je modem moet een PPP sessie opzetten voordat er verkeer heen en weer gaat.
[...]

Woei, iemand die het beter uit kan leggen dan ik zelf met betrekking tot de PPPoA. Ik had het vermoeden en kwam zelf ook wel tot die conclusie, maar met meer pijnen moeite. In andere woorden: de TS heeft geen keuze in dit deel van de setup.

Behalve de methode van routering en aan gezien de luxe er is, vind ik nogal simpel en rechtlijnig gedacht van de mede-Tweakers die NAT aanraden