Samenvoegen van ADSL + SDSL

[DennusB]

Hey tweakers,

Ik zit even met een probleem waar ik niet uitkom.
Ik werk als systeembeheerder in een bedrijf waar op dit moment 2 internetverbindingen liggen, een 20Mbit Online abbotje en een KPN SDSL verbinding.

Zoals het nu is ingesteld verloopt al het interne internet verkeer over de ADSL, en verloopt al het verkeer van de servers over de SDSL.
Ook remote desktop naar de servers gaat via de SDSL, en aangezien er 5 externe ip-adressen aan de SDSL hangen heeft elke server z'n eigen externe ip!

Elke server heeft 2 netwerkkaarten, een interne, en een kaart voor de SDSL.
Interne kaart:
IP : 10.0.10.*(vaste ip's)
Subnet : 255.255.255.0
DNS : 10.0.10.21(server)
DHCP : 10.0.10.21(server)
GATEWAY : 10.0.10.1(modem)

Externe kaart:
IP : 92.*.*.*(even verborgen voor privacy)(vaste ip's)
Subnet : 255.255.255.248
DNS : 92.*.*.7(KPN)
DHCP : 92.*.*.7(KPN)
Gateway : 92.*.*.7(KPN)

Via onze SDSL verbinding loopt onderandere dus het server-verkeer, PIN verkeer, en VOIP.
Een belangrijke lijn dus.

Het probleem nu is dat wanneer er op een server 2 netwerkkaarten worden ingesteld(intern & extern) geeft windows automatisch al de melding dat 2 verschillende gateways niet erg handig zijn, en dat dat kan zorgen voor instabiliteit.
En het leuke is dat dit ook echt zo is, want de SDSL klappert als een gek.
De ene keer is de server wel te bereiken, dan weer niet, dan weer wel enz enz.

Helaas is deze opstelling bedacht door mijn ex-systeembeheerder, en ligt het nu zo.

Ik had het idee om allebei de lijnen binnen te laten komen op een PCtje met een linux distro(M0n0wall ofzo).
Deze lijnen te trunken(dat hoeft niet persee) en van hieruit dus rules aan te maken, en via 1 netwerkkaart de m0n0wall aan te sluiten op het interne netwerk.

In elke server zouden dan dus 2 interne netwerkkaarten komen die aan het interne netwerk hangen, met 2 verschillende ip's.
1 waarop de server intern te bereiken is, en de 2e waarnaar m0n0wall mag verwijzen.

Wanneer dan dus bijvoorbeeld extern een request zou komen voor 92.8.3.2(niet bestaand) zou m0n0wall dit moeten doorwijzen naar 10.0.10.31.
Maar het internetten intern(alle clients) moet natuurlijk ook via m0n0wall verlopen, hoe is dit in te regelen?
Static routes?

In mijn theorie is dit heel goed te realiseren, maar ik wil graag even van wat mensen horen of dit plan slim is en of het goed uit te voeren is

Ik hoop van jullie en trap in de goede richting te krijgen waarna ik zelf lekker aan de slag kan

[Joolee]

DennusB schreef op donderdag 21 mei 2009 @ 14:08:
Hey tweakers,

...

Is het niet veel simpeler om gewoon de Default Gateway leeg te laten in de configuratie van de interne netwerkkaarten?

[DennusB]

Joolee schreef op donderdag 21 mei 2009 @ 14:15:
[...]

Is het niet veel simpeler om gewoon de Default Gateway leeg te laten in de configuratie van de interne netwerkkaarten?

Edit : Verkeerd gelezen, dan gaat het inloggen op het domein en van alles over de zeik

[ Voor 17% gewijzigd door DennusB op 21-05-2009 14:17 ]

[DGTL_Magician]

Geen dubbele netwerkkaarten maken maar je servers in een DMZ plaatsen. Neem een Dual-Wan router zoals een Cisco 1800-series, sluit daar ADSL en SDSL op aan en definieer twee interne netwerken. 1 voor trusted (je lokale netwerk) en 1 voor untrusted verkeer. Dan kun je met NAT je verkeer forwarden naar je servers en kunnen ze via de router bij het interne netwerk.

Omdat er dan een firewall tussen zit is de setup nog een stuk veiliger ook, want nu als iemand je server hacked zitten ze direct op je interne netwerk.

[DennusB]

DGTL_Magician schreef op donderdag 21 mei 2009 @ 15:43:
Geen dubbele netwerkkaarten maken maar je servers in een DMZ plaatsen. Neem een Dual-Wan router zoals een Cisco 1800-series, sluit daar ADSL en SDSL op aan en definieer twee interne netwerken. 1 voor trusted (je lokale netwerk) en 1 voor untrusted verkeer. Dan kun je met NAT je verkeer forwarden naar je servers en kunnen ze via de router bij het interne netwerk.

Omdat er dan een firewall tussen zit is de setup nog een stuk veiliger ook, want nu als iemand je server hacked zitten ze direct op je interne netwerk.

Maar als ik het goed begrijp kan dit met m0n0wall ook? Die heeft ook een firewall aan boord?
Alvast bedankt voor je uitleg

[DGTL_Magician]

DennusB schreef op donderdag 21 mei 2009 @ 15:45:
[...]


Maar als ik het goed begrijp kan dit met m0n0wall ook? Die heeft ook een firewall aan boord?
Alvast bedankt voor je uitleg

Het zal best met m0n0wall kunnen, echter zou ik in een bedrijf eerder voor een oplossing kiezen die gesupport wordt door een netwerkleverancier zoals Juniper, Cisco oid.

Dat is echter een beetje preken voor eigen parochie

Ik zou in ieder geval extern verkeer nooit direct op een server afleveren maar op een dedicated appliance, bij voorkeur met Applicatie Inspectie aan boord. Deze appliance (of dat nu Cisco, Juniper of m0n0wall is) kan verkeer van binnen naar buiten filteren, verkeer tussen de DMZ en je interne netwerk en het allerbelangrijkste: verkeer van buiten naar binnen.

[Verwijderd]

Watchguard X20e / X55e met Fireware Pro zou ook een goede geschikte optie zijn.

Beide internetlijnen aansluiten op de firewall.
Policy's aanmaken voor verkeer (HTTP over ADSL, SSL en SMTP over SDSL etc)
Round Robin / Failover instellen

Helemaal een X20e hoeft niet duur te zijn en je bent je gelijk van dat verschrikkelijke probleem af dat je servers allemaal een extern IP hebben. (dat heb je toch niet zelf zo bedacht hoop ik? )

Heb je ook gelijk een VPN oplossing erbij om van buitenaf te kunnen werken.

[ Voor 25% gewijzigd door Verwijderd op 21-05-2009 16:11 ]

[DennusB]

Verwijderd schreef op donderdag 21 mei 2009 @ 16:08:
Watchguard X20e / X55e met Fireware Pro zou ook een goede geschikte optie zijn.

Beide internetlijnen aansluiten op de firewall.
Policy's aanmaken voor verkeer (HTTP over ADSL, SSL en SMTP over SDSL etc)

Dan ben je gelijk van dat verschrikkelijke probleem af dat je servers allemaal een extern IP hebben.

Dat ze allemaal een eigen ip hebben valt wel mee, zitten middels dns via subdomeinen gewoon aan een domein
dus bijvoorbeeld Server1.bedrijf.nl server2.bedrijf.nl enz enz!

Hoe zou dit worden met die Watchguard X20e dan ? Allemaal op een andere poort? Of ook via dns?

[Verwijderd]

DennusB schreef op donderdag 21 mei 2009 @ 16:10:
[...]


Dat ze allemaal een eigen ip hebben valt wel mee, zitten middels dns via subdomeinen gewoon aan een domein
dus bijvoorbeeld Server1.bedrijf.nl server2.bedrijf.nl enz enz!

Hoe zou dit worden met die Watchguard X20e dan ? Allemaal op een andere poort? Of ook via dns?

Ik weet niet helemaal wat je hiermee bedoeld. DNS staat los van het feit dat je servers rechtstreeks van buitenaf te benaderen zijn!

Je hebt twee WAN poorten voor de internetlijnen. Daar verbind je je modems mee (die allebei in bridged mode staan)
Je hebt LAN poorten voor je lokale verkeer. Daar zal uiteraard wel een switch achter moeten.

Je behoud wel je mogelijkheid om de servers rechtstreeks vanaf buiten te bereiken.

Als de DNS van jullie bedrijf als volgt is ingesteld:

server1.bedrijf.nl IP1
server2.bedrijf.nl IP2

Stel je in de Watchguard in dat verkeer wat op IP1 binnenkomt naar server2 moet etc.
(edit: 8 publieke IP's per poort tot je beschikking)

[PcDealer]

Je hebt ook hier gekeken?
DUAL-WAN -> Na filteren WANpoort toekennen

[DGTL_Magician]

DennusB schreef op donderdag 21 mei 2009 @ 16:10:
[...]


Dat ze allemaal een eigen ip hebben valt wel mee, zitten middels dns via subdomeinen gewoon aan een domein
dus bijvoorbeeld Server1.bedrijf.nl server2.bedrijf.nl enz enz!

Hoe zou dit worden met die Watchguard X20e dan ? Allemaal op een andere poort? Of ook via dns?

Gebaseerd op deze en eerdere comments zou ik je het advies willen geven om iemand in te schakelen met kijk op networking en security.

DNS heeft niks te maken met je externe adressen en waarschijnlijk staan je servers nu wagenwijd open op het internet. Als ik dan hoor dat PIN verkeer e.d. over die lijnen gaan lijkt het me niet helemaal veilig.

Ik heb ook wel eens met de Watchguard en bijv. Sonicwalls gespeeld maar dat is echt niet te vergelijken met een Cisco of een Juniper.

[PcDealer]

DGTL_Magician schreef op donderdag 21 mei 2009 @ 16:28:
[...]

Ik heb ook wel eens met de Watchguard en bijv. Sonicwalls gespeeld maar dat is echt niet te vergelijken met een Cisco of een Juniper.

Welke SonicWALL's en wat waren de verschillen?

[Verwijderd]

DGTL_Magician schreef op donderdag 21 mei 2009 @ 16:28:
[...]

Ik heb ook wel eens met de Watchguard en bijv. Sonicwalls gespeeld maar dat is echt niet te vergelijken met een Cisco of een Juniper.

Dat ligt er natuurlijk aan hoe en wat je gaat vergelijken. Helemaal voor het doeleinde van DennusB lijkt me een Watchguard X20e perfect.

Wat voor Cisco of Sonicall zou je anders adviseren die dezelfde functionaliteit en prijs bied?

[DGTL_Magician]

PcDealer schreef op donderdag 21 mei 2009 @ 16:31:
[...]

Welke SonicWALL's en wat waren de verschillen?

Licht offtopic, maar ik geloof dat het PRO en NSA's zijn. Belangrijkste verschil vind ik dat de Sonicwalls vaak wijzigingen niet toepassen en je ze nog eens moet doen.

Daarnaast kun je er geen IP nummers aan koppelen waar je verkeer niet over gerouteerd wordt, en nog een aantal van dat soort dingetjes. Maar eerlijk gezegd is de prijs daar dan ook naar.

[DennusB]

DGTL_Magician schreef op donderdag 21 mei 2009 @ 16:28:
[...]

Gebaseerd op deze en eerdere comments zou ik je het advies willen geven om iemand in te schakelen met kijk op networking en security.

DNS heeft niks te maken met je externe adressen en waarschijnlijk staan je servers nu wagenwijd open op het internet. Als ik dan hoor dat PIN verkeer e.d. over die lijnen gaan lijkt het me niet helemaal veilig.

Ik heb ook wel eens met de Watchguard en bijv. Sonicwalls gespeeld maar dat is echt niet te vergelijken met een Cisco of een Juniper.

Ik snap wel dat DNS niks te maken heeft met die externe adressen, maar om aan te geven dat het niet zo vervelend was vertelde ik even hoe het zat
En nee, er staat niks wagenwijd open, daar houden we zeer streng toezicht op

[Verwijderd]

DennusB schreef op donderdag 21 mei 2009 @ 16:38:
[...]
En nee, er staat niks wagenwijd open, daar houden we zeer streng toezicht op

Hoe hou je daar toezicht op?

[ Voor 84% gewijzigd door Verwijderd op 21-05-2009 17:39 ]

[PcDealer]

Verwijderd schreef op donderdag 21 mei 2009 @ 16:35:
[...]

Wat voor Cisco of Sonicall zou je anders adviseren die dezelfde functionaliteit en prijs bied?

Ik zou voor een SonicWALL NSA 240 gaan.
Wan failover is ook al beschiikbaar op de TZ 190 / TZ 210.

[ Voor 33% gewijzigd door PcDealer op 22-05-2009 08:04 ]

[Bl@ckbird]

PcDealer schreef op donderdag 21 mei 2009 @ 16:16:
Je hebt ook hier gekeken?
DUAL-WAN -> Na filteren WANpoort toekennen

Hier zou je ook evt. kunnen kijken.

[Verwijderd]

PcDealer schreef op donderdag 21 mei 2009 @ 17:46:
[...]

Ik zou voor een SonicWALL NSA 240 gaan.
Wan failover is ook al beschiikbaar op de TZ 190 / TZ 210.

Leuk apparaat, alleen wel bijna 4x zo duur als een Watchguard X20e en weinig toegevoegde waarde.

[mbaltus]

Of je hangt de ADSL aan de externe interface van een proxy server (zoals MS-ISA, M0n0wall, Endian, etc.) en sluit de SDSL (via een firewall) rechtstreeks aan op je netwerk. Door te proxyen gaat iedereen voor regulier browsen via ADSL. Scheelt je ook in 'lastige'-dual WAN set-ups.

Dat je SDSL veel 'klappert' lijkt me niet direct met de lijn te maken te hebben. Als dat wel zo is, dan kun je je leverancier wel vragen daar naar te kijken. SDSL wordt over het algemeen ingezet voor zakelijke markt, je betaalt er flink voor en er zitten dan ook goede service contracten op. Op het moment dat je er problemen mee hebt, lijkt het me verstandig deze problemen op te lossen en niet alleen maar een work-around in te bouwen. Dus: waarom klappert de lijn?

Verder neem ik aan dat de servers aan de externe kant wel via een goede firewall op de SDSL zijn aangesloten. Vertrouwen op de ingebouwde firewalls is niet de meest veilige aanpak.

[PcDealer]

Verwijderd schreef op vrijdag 22 mei 2009 @ 10:33:
[...]


Leuk apparaat, alleen wel bijna 4x zo duur als een Watchguard X20e en weinig toegevoegde waarde.

TZ-series zit in die prijsklasse.

[leon1e]

De gateway op je interne netwerk interface leeg laten zal je probleem waarschijnlijk oplossen. Nu heb je een soort van load balancing op je servers, maar deze is niet echt intelligent . Als je daarna niet meer kunt inloggen op je domain klopt er iets totaal niet in je config, controleer dns, netwerk adapter volgorde, en dhcp. Is je Windows server dhcp of je routertje?

Verder inderdaad een firewall plaatsen voor je externe adressen (waarom hebben alle servers een extern ip?), de standaard modem die je bij je sdsl krijgt kan dit prima voor je regelen. En alleen de poorten forwarden die je echt nodig hebt, er zijn maar weinig services die niet tegen nat kunnen.

[Robinski]

DennusB schreef op donderdag 21 mei 2009 @ 14:08:
Hey tweakers,

Ik zit even met een probleem waar ik niet uitkom.
Ik werk als systeembeheerder in een bedrijf waar op dit moment 2 internetverbindingen liggen, een 20Mbit Online abbotje en een KPN SDSL verbinding.

Zoals het nu is ingesteld verloopt al het interne internet verkeer over de ADSL, en verloopt al het verkeer van de servers over de SDSL.
Ook remote desktop naar de servers gaat via de SDSL, en aangezien er 5 externe ip-adressen aan de SDSL hangen heeft elke server z'n eigen externe ip!

Elke server heeft 2 netwerkkaarten, een interne, en een kaart voor de SDSL.
Interne kaart:
IP : 10.0.10.*(vaste ip's)
Subnet : 255.255.255.0
DNS : 10.0.10.21(server)
DHCP : 10.0.10.21(server)
GATEWAY : 10.0.10.1(modem)

Externe kaart:
IP : 92.*.*.*(even verborgen voor privacy)(vaste ip's)
Subnet : 255.255.255.248
DNS : 92.*.*.7(KPN)
DHCP : 92.*.*.7(KPN)
Gateway : 92.*.*.7(KPN)

Via onze SDSL verbinding loopt onderandere dus het server-verkeer, PIN verkeer, en VOIP.
Een belangrijke lijn dus.

Het probleem nu is dat wanneer er op een server 2 netwerkkaarten worden ingesteld(intern & extern) geeft windows automatisch al de melding dat 2 verschillende gateways niet erg handig zijn, en dat dat kan zorgen voor instabiliteit.
En het leuke is dat dit ook echt zo is, want de SDSL klappert als een gek.
De ene keer is de server wel te bereiken, dan weer niet, dan weer wel enz enz.

Helaas is deze opstelling bedacht door mijn ex-systeembeheerder, en ligt het nu zo.

Ik had het idee om allebei de lijnen binnen te laten komen op een PCtje met een linux distro(M0n0wall ofzo).
Deze lijnen te trunken(dat hoeft niet persee) en van hieruit dus rules aan te maken, en via 1 netwerkkaart de m0n0wall aan te sluiten op het interne netwerk.

In elke server zouden dan dus 2 interne netwerkkaarten komen die aan het interne netwerk hangen, met 2 verschillende ip's.
1 waarop de server intern te bereiken is, en de 2e waarnaar m0n0wall mag verwijzen.

Wanneer dan dus bijvoorbeeld extern een request zou komen voor 92.8.3.2(niet bestaand) zou m0n0wall dit moeten doorwijzen naar 10.0.10.31.
Maar het internetten intern(alle clients) moet natuurlijk ook via m0n0wall verlopen, hoe is dit in te regelen?
Static routes?

In mijn theorie is dit heel goed te realiseren, maar ik wil graag even van wat mensen horen of dit plan slim is en of het goed uit te voeren is

Ik hoop van jullie en trap in de goede richting te krijgen waarna ik zelf lekker aan de slag kan

Je zou het ook iets anders kunnen inrichten.

1. een applicatie/appliance (m0n0wall, cisco, etc..) met vier aansluitingen namelijk:
1x ADSL
1x SDSL
1x DMZ (je servers) met eigen subnet
1x LAN (je clients) met eigen subnet (andere als DMZ)

2. Alle servers gewoon uitrusten met 1 netwerk kaart, en aan de DMZ hangen

Dan is het alleen zaak, het verkeer goed te laten lopen via NAT,firewallrules etc...

zo kun je zorgen dat:
internet verkeer van de clients loopt via ADSL (en bij storing over de SDSL)
het verkeer van de servers via SDSL, extern ip mappen per server, en je kunt ook nog filteren door middel van de firewall.
het verkeer van je clients naar de servers en omgekeerd via de enkele appliance laten lopen (met eventueel nog filtering ent.)

Ik heb geen idee of m0n0wall dit zou kunnen, maar er zijn zeker Cisco (of andere) oplossingen die dit kunnen.

[mbaltus]

Moet dan wel een kick-ass firewall zijn, aangezien hij behoorlijk wat van DMZ naar intern en v.v. te routeren krijgt, lijkt me.(ik ga er vanuit dat de servers ook dienst doen als AD, mail, file, print, etc.).

[Equator]

Ten eerste is het natuurlijk af te raden om een domain member zowel op het domain als aan het Internet te hangen.
Als de webserver perse domain member moet zijn, dan hoort dat ding in een DMZ. Anders hoort het ding geen lid van het domain te zijn.

Ten tweede kan je de default route op de LAN netwerkkaart weglaten. Dat je dan niet makkelijk inlogt, dat zou kunnen, maar dan moet je gewoon even een vaste route toevoegen op die machines naar het LAN subnet.

Dus bijvoorbeeld je DC staat in 10.0.12.x dan moet je gewoon een route toevoegen naar dat netwerk via het IP wat je nu als default gateway hebt staan op de LAN kant.

Tenslotte is dit redelijk basic. Maar daar het meer Netwerken betreft, move ik hem naar Netwerken