Welke router voor schoolnetwerk *

[fredmatrack]

Op dit ogenblik gebruiken wij op onze school twee Apple G4's als router. Dat werkt behoorlijk goed, maar deze toestellen zijn stilaan aan vernieuwing toe. Aangezien enkel de MacPro meerdere netwerkpoorten kan bevatten, moeten we naar iets anders uitkijken (wegens overkill). Maar wat? Cisco heeft goed materiaal, maar welk type moeten we nemen en wat kost dat? Zijn er misschien nog andere alternatieven (goedkoper)? Indien mogelijk ook graag iets dat in een rack past.

Onze eerste router moet 5 netwerken aankunnen:
- WAN (Telenet) (81.82.207.xx)
- Pedagogisch netwerk (192.168.0.0 - 192.168.1.0; via supernetting)
- Administratief netwerk (192.168.64.0)
- Telefonie netwerk (192.168.31.0)
- Draadloze verbinding met andere vestiging (192.168.96.0)

In de andere vestiging zijn het 4 netwerken:
- WAN (81.82.207.xx)
- Pedagogisch netwerk (192.168.128.0)
- Telefonie (192.168.32.0)
- Draadloze verbinding andere vestiging (192.168.96.0)

Wie kan mij hier advies in geven?

Alvast bedankt!

[Rolfie]

Koop een 1U server, plaatst er een Quad Nic in, en gebruik iets van pfsense.

Waar vertel eens wat moet de firewall/router kunnen?
Wat wil je regelen met je firewall/router? Alleen routering of ook ACL's of juist nog meer.
Wat mag het kosten?
Moet het als een cluster draaien?
Blackbox solution (cisco), of wil je zelf wat gaan doen (linux/bsd)?
Wie moet het gaan ondersteunen?
SLA nodig?

Wat meer info mag dus wel wel....

[ Voor 15% gewijzigd door Rolfie op 03-08-2009 22:50 ]

[_fm]

Hoe snel is je draadloze verbinding, hoeveel verkeer gaat daarover heen?

Hoe snel is je wan verbinding, hoeveel verkeer gaat daarover heen?

En is er nog veel verkeer dat door de router moet binnen de lokaties, of blijft het grootste deel daarvan binnen het subnet?

Is de draadloze verbinding een vpn, vindt daar nog encryptie plaats?

edit:
En verwacht je binnen de afschrijvingstermijn gigabit poorten op je router nodig te hebben?

[ Voor 13% gewijzigd door _fm op 03-08-2009 23:27 ]

[fredmatrack]

Op dit ogenblik is er geen firewall ingesteld. Alle verkeer mag overal aan. In de toekomst moet dat wel wat gelimiteerd worden, maar het zal basis blijven.
Wat wel moet kunnen is portforwarding naar onze interne servers.

Ik zou liefst alles zelf doen: toestel kopen, zelf configureren (eventueel met wat hulp of een extra cursus) en nadien ook zelf onderhouden.

Beide machines draaien op twee verschillende locaties en eigenlijk onafhankelijk van elkaar. Belangrijkste taak is het juist routeren van verkeer. Dat kan gaan van netwerk x naar netwerk y maar in de meeste gevallen is dat naar het internet toe.

De huidige G4 doet ook dienst als VPN server en als DHCP. Die diensten kan ik echter ook op een aparte machine draaien en is dus geen vereiste.

Kostprijs: zo goedkoop mogelijk, maar het moet wel iets stabiel zijn en niet om de haverklap een reboot of ... vragen. Meer iets in de zin van: aanzetten en niet meer aankomen (tenzij voor updates).

[Verwijderd]

Kijk eens naar de mogelijkheden bij Watchguard en Sonicwall zou ik zeggen.
Wij werken voornamelijk met Watchguard. Die voldoen aan al je eisen, zijn zeer stabiel en een genote om mee te werken. Je zou met een Edge al verder kunnen maar voor wat meer mogelijkheden kijk je naar de Core serie (x750)

[fredmatrack]

De draadloze verbinding is ongeveer 20 Mbit/sec (gaat over 1.5 Km). Hierover gaat onder andere onze VOIP en een kleine hoeveelheid data, voornamelijk informatie uit databases (MySQL en PostgreSQL). De data wordt in de access points geëncrypteerd, maar daar hoeft de router zich dus niets van aan te trekken.

De WAN verbinding is 20 Mbit/sec downstream en 1 Mbit/sec downstream (zwaarste kabelabonnement bij Telenet). Hierover gaat alle internetverkeer van de leerlingen en administratie (300/150 computers).

Er gaat af en toe data naar de andere subnets. Bijvoorbeeld printopdrachten of het opvragen van de webinterface van de VOIP centrale. Ook bestanden worden vaak tussen de twee netwerken uitgewisseld (vnl. pedagogisch naar administratief).

[DukeBox]

Ik zou ook zeker de Cisco ASA series eens bekijken..

[DiedX]

Rolfie schreef op maandag 03 augustus 2009 @ 22:49:
Koop een 1U server, plaatst er een Quad Nic in, en gebruik iets van pfsense.

Met ^^. Laatst een Untangle Firewall overgezet naar pfSense, en het werkt echt *PERFECT*

[_fm]

Cisco router uit de 1800 of 2800 serie. Of een ASA 5505 of 5510.
Het is maar net een beetje wat je nodig hebt aan specificaties/features.
Ik denk dat je als je voor alleen routing gaat je met een 1800 serie router toe zou moeten kunnen. Dat is 1000-2000 euro per stuk, afhankelijk van model/features/evt modules. Maar een Cisco expert kan je vast een beter (en onderbouwd) advies geven.

1800 series routers:
http://www.cisco.com/en/U...od_models_comparison.html

2800 series routers:
http://www.cisco.com/en/U...od_models_comparison.html

ASA model comparison:
http://www.cisco.com/en/U...od_models_comparison.html

[leon1e]

Koop gewoon 2 goedkope 1u servers die een beetje betrouwbaar aangeschreven staan, zet er Debian op of FreeBSD een paar routing regeltjes erin en eventueel wat firewall dingen en je bent klaar. Waarschijnlijk goedkoper dan een dure Cisco oplossing, en als het dan toch goedkoop moet.

[Verwijderd]

Ik heb zelf een 6 ports sonicwall. Zeer tevreden over. 5 netwerken geknoopt en firewall functie.

Config kan via CLI en ook grafisch. Er zijn genoeg partijen in Nederland die ze leveren en ook initiele config kunnen doen. Leercurve is niet moeilijk als je al routing basics kent.

[Verwijderd]

leon1e schreef op dinsdag 04 augustus 2009 @ 08:43:
Koop gewoon 2 goedkope 1u servers ..... Waarschijnlijk goedkoper dan een dure Cisco oplossing,

En een goedkope Cisco oplossing is voordeliger dan dure servers....
Tja, door woorden op de juiste manier te gebruiken kan je alles een waarheid noemen

We vinden het natuurlijk allemaal heel interessant om met pfsense etc. een firewall in te stellen maar laten we wel reeel blijven: fredmatrack is waarschijnlijk op zoek naar een meer kant en klare oplossing die bewezen en stabiel is. Alles wat je extra betaald voor een Watchguard / Sonicwall / Cisco verdient je terug in o.a. uren.

[ Voor 5% gewijzigd door Verwijderd op 04-08-2009 18:52 ]

[Rolfie]

En een goedkope Cisco oplossing is voordeliger dan dure servers....

kan zijn daarin tegen iedere 500 euro server met fpsense zal sneller VPN tunnels aan kan en eventueel GB kunnen routeren, zonder problemen. Dat zie ik een cisco voor die prijs nog niet doen, helemaal als je VPN of een cluster wilt hebben

]fredmatrack is waarschijnlijk op zoek naar een meer kant en klare oplossing die bewezen en stabiel is

Als je nu powermac's hebt draaien, dan vraag ik me ook af wat heb je nu voor een bewezen en stabiele oplossing hebt draaien

. Alles wat je extra betaald voor een Watchguard / Sonicwall / Cisco verdient je terug in o.a. uren.

Hangt er vanaf, persoonlijk ken ik geen cisco, dus of ik dat nu snel werkend heb. Ik heb wel eens een ASA gezien, maar echt gemakkelijk vond ik het er niet uit zien.
Daarin tegen heef me een ISA server en ik configueer hem zo. En met OpenBSD wordt ik ook steeds beter.
Sonicwall heb ik 1 keer geprobeerd, en die staat nu in het magazijn. Hij is vervangen voor een pfsense firewall. Die ik trouwens zonder enige kennis van het product, in 2 uur geconfigureerd had.

Maar TS heeft niet echt veel info hierover gegeven. Wat wil hij precies, wat zijn de eigen/voorwaarden waaraan het moet voldoen.We kunnen alleen maar wat roepen, maar we hebben geen idee wat die precies wil.

[raymonvdm]

Je zou kunnen gaan voor

- Cisco
- Sonicwall
- WatchGuard
- Pfsense
- Mikrotik

Ik zou persoonlijk kiezen voor Mikrotik, deze gebruik ik al enkele jaren op 2 locaties met een site2site VPN er tussen. Ze kunnen firewall/hotspot/wifi/isdn/pppoa/pppoe/BGP/vlan en de rest.

Als hardware zou ik kiezen voor een werkstation met een flinke serie netwerkkaarten. Of een Routerboard RB1000 (RBxxx) versie als het dedicated moet zijn. Alles is natuurlijk afhankelijk van budget en wensen.

[Verwijderd]

Wat ik vreemd vind is dat het een school betreft en uit de tweede post van de TS blijkt dat alle netwerken openstaan.

Met een kant en klare Cisco / Sonicwall oplossing pak je wel alle knelpunten in 1 keer aan. (routing en firewalling)

Een boxed oplossing is na config ook: aanzetten en niet meer aankomen (tenzij voor updates).

[ Voor 17% gewijzigd door Verwijderd op 05-08-2009 10:12 ]

[Koffie]

Move PNS > NT + titel edit
(overigens verwacht ik wel iets meer eigen inzet van de topicstarter)

[ Voor 90% gewijzigd door Koffie op 05-08-2009 10:21 ]

[fredmatrack]

De reden dat er hier één en ander nog niet is zoals het hoort, is dat dit alles een erfenis is. Sinds vorig jaar ben ik op de school begonnen en dit is nu één van mijn grote werkpunten.
Om de firewall te kunnen gaan gebruiken, moeten we eerst nog wat in het netwerk zelf gaan herstructureren. Dan pas zal het mogelijk zijn om bepaald verkeer te blokkeren.

Ondertussen (heb dit topic actief gevolgd, hoor), ben ik al eens gaan kijken bij Sonic en dat lijkt mij een degelijke optie. Ook die pfSense lijkt mij wel wat. Ik denk dat ik alvast met de laatste eens ga experimenteren en in tussentijd een verkoper van Sonic laten komen.

Alvast hartelijk bedankt!

[fredmatrack]

Ondertussen zijn we enkele maanden verder en heb ik wat met PFSense gespeeld. Dat bevalt me prima en ik denk dat we voor deze optie kiezen. Rest ons enkel nog de hardware...

Bij Dell heb ik een machine geconfigureerd:
PowerEdge R200, Dual Core Intel Xeon, 3.16GHz, 6MB Cache en 1333MHz FSB.
Ik stop er 8 GB geheugen in en twee harde schijven van 250 GB die in raid (mirror) staan. Er zit ook nog een SAS 6iR internal RAID Controller in en een Intel Pro 1000VT Quad Port Gigabit Network Card, PCI-E.

Gaat deze machine (goed) werken icm PFSense of is dit af te raden? Zijn er betere alternatieven? Het mag goedkoper, maar hoeft niet echt.

Zou deze configuratie ook werken als we de Proxy module van PFSense activeren om het een en ander bij te houden (website bezoeken), misschien te cachen, websites blokkeren,...

[nielsl]

ik zeg leuke bak, maar, zeker qua geheugen lijkt me, een beetje overkill? Maar als je gaat proxy'en dan is veel ram wel weer handig en als je er nietop hoeft te bezuinigen. De bak lijkt een beetje overkill, maargoed, op de groei gekocht zeg maar

[DukeBox]

Zou je niet beter voor 2x dual nic's kunnen gaan ? De offload engine wordt dan niet door 4 maar door 2 gedeeld.

[fredmatrack]

Dat zou inderdaad een betere optie zijn, ware het niet dat het tweede PCI slot door de raid controller wordt ingenomen.
En als ik het goed begrijp, heb je die raid kaart nodig om mirroring van schijven te voorzien.

[DukeBox]

hmm .vreemd de R200 heeft idd geen interne connector voor een sas 6i/R.. misschien een idee om een stapje hoger te gaan ? Qua kosten is dat niet veel meer zie ik net.

[ Voor 79% gewijzigd door DukeBox op 15-11-2009 11:29 ]

[jvanhambelgium]

Die studenten, op welk netwerk zitten die ? Draadloze stuk ?
Je wil hopelijk toch zeker wat filteren wat betreft het soort traffiek de studenten kunnen doen ? Op een open netwerk zonder policies (technisch en processmatig) in zo'n omgeving is dat vragen om problemen...

Voor de rest is de server die je daar aanhaalde méééér als zwaar genoeg! (lees : overkill) We spreken ocharme over 20megabit/sec WAN en tussen de verschillende segmenten zal ook wel niet gigantisch veel traffiek gaan!
Qua memory zou vb 2GB al meer als genoeg zijn!

Die RAID controller is geen must. Je kan perfect 2 "losse" disken ook in een mirror zetten , maar een aparte RAID controller maakt het abstract voor het OS. Je OS ziet dan maar 1 disk en de RAID controller zal de beide disken synchroon houden. Zonder RAID-hardware controller is het OS verantwoordelijk hiervoor.

[ Voor 1% gewijzigd door jvanhambelgium op 15-11-2009 11:27 . Reden: sunday-morning typos... ]

[fredmatrack]

Ondertussen hebben we beslist om voor een PowerEdge R510 te gaan. Die kan iets meer PCI kaarten aan en dus ook meer netwerkadapters. Zo moeten we niet alles op een quad-NIC stoppen.

Rest alleen de vraag of de laatste stabiele versie van PFSense die hardware raid gaat ondersteunen?
Software raid zou ook kunnen, maar gezien de kleine meerprijs, opteer ik liever voor hardware.

En ja, het is de bedoeling dat we gaan filteren welk verkeer tussen de verschillende netwerk kan en mag. Niet dat wij zware cyber-kriminelen op onze school hebben, maar het moet toch echt veiliger.

[Verwijderd]

Ben je bekend met de uitdrukking 'overkill' ?

Edit: als je wil dat alles veiliger word moet je de werkstations / groepsbeleiden anders inrichten.

[ Voor 51% gewijzigd door Verwijderd op 24-11-2009 19:23 ]