netwerk aanpassen voor klein hotel

[Verwijderd]

Ik ben op zoek naar een budget-oplossing voor het toevoegen van wifi voor hotelgasten aan een bestaand netwerk.

Het oude netwerk bestaat uit een speedtouch 510i adsl modem/router waarop een prive-pc is aangesloten en een switch met enkele kantoor pc's (reserveringsoftware e.d.) en kassa pc's. Hier moet een wifi accespoint aan toegevoegd worden, zodat er op 1 plaats in het hotel voor enkele mensen wifi aanwezig is. Ik heb nog een netgear wgr 614-router liggen die ik als accespoint zou kunnen instellen.

Het probleem is echter de beveiliging en het scheiden van de netwerken. Na het veelvuldig lezen van artikelen op tweakers en via google, lijkt een goede oplossing het gebruik VLAN's te zijn.

Kan ik op de modem/router een managed switch aansluiten die VLAN ondersteund en hierop dan weer de prive-pc, de kantoor pc's en de accespoint? Indien ja, zou ik dan een van de volgende switches kunnen gebruiken: pricewatch: HP Procurve 1810G-8 of pricewatch: Netgear GS108T ProSafe 8-Port Gigabit Smart Switch

Ik wil liever niets hoeven in te stellen aan IP-adressen e.d., omdat de kantoor pc's en kassa pc's door een extern bedrijf met elkaar verbonden zijn.

Het gaat hier om een budget-oplossing, voor de duur van enkele jaren.

Alvast bedankt voor jullie reacties!

[LuckY]

Ik zou dan voor de Procurve gaan, echter Budget en veilig is wel een wereld van verschil. Je moet wel kijken of je modem/router het ook ondersteunt. Want een vlan is leuk maar als ik via de router nog in dat vlan kan komen omdat jou acls niet goed zijn schiet het nog niet op. Of dat ik nog steeds bij de router kan komen. Er zijn hele leuke spullen voor te koop speciaal voor hotels met ticket systemen e.d.
Want het komt nu op de zelfde verbinding, maar wat als een klant spam verstuurd of een virus heeft. En je verbinding wordt afgesloten?

[Tsurany]

Eventueel een router/accespoint met guest mode, dan kunnen gasten wel internetten maar niet op het netwerk komen. Airport Extreme van Apple kan dat bijvoorbeeld. Zullen nog wel genoeg zijn die het ook kunnen.
Misschien goedkoper dan een managed switch en eenvoudiger met instellen.

[Fish]

2e adsl lijn lijkt me het makkelijkst/veiligst

kosten 250 euro p/j ? oid

Geen last op je eigen (inter)net door gehufter van klanten. denk aan afgesloten worden. bandbreedte voltrekken etc.

[LuckY]

Plus je krijgt daar een mooi modem/router bij met wifi functies als je iets meer betaald
@hieronder, het zit nog steeds op dezelfde lijn.

[ Voor 21% gewijzigd door LuckY op 21-02-2010 20:19 ]

[w.l]

Is een fonera geen optie (got topic)? Het lijkt te doen wat je wilt en is zeker niet duur.

[LightStar]

fish schreef op zondag 21 februari 2010 @ 20:09:
2e adsl lijn lijkt me het makkelijkst/veiligst

kosten 250 euro p/j ? oid

Geen last op je eigen (inter)net door gehufter van klanten. denk aan afgesloten worden. bandbreedte voltrekken etc.

Dit lijkt mij ook de beste oplossing, scheelt je ook een hoop gezeik met V-lans en wat Fish ook al zegt geen gedonder op je eigen netwerk.

[Verwijderd]

LuckyY schreef op zondag 21 februari 2010 @ 19:54:
Ik zou dan voor de Procurve gaan, echter Budget en veilig is wel een wereld van verschil. Je moet wel kijken of je modem/router het ook ondersteunt. Want een vlan is leuk maar als ik via de router nog in dat vlan kan komen omdat jou acls niet goed zijn schiet het nog niet op. Of dat ik nog steeds bij de router kan komen. Er zijn hele leuke spullen voor te koop speciaal voor hotels met ticket systemen e.d.
Want het komt nu op de zelfde verbinding, maar wat als een klant spam verstuurd of een virus heeft. En je verbinding wordt afgesloten?

Ik kan inderdaad nergens vinden dat het speedtouch modem/router VLAN ondersteund.
De leuke spullen die je beschrijft heb ik ook al bekeken. Het gaat hierbij echter om systemen vanaf ca. 700,- excl. btw, terwijl er geen ticketprinter of access-control nodig is.

Tsurany schreef op zondag 21 februari 2010 @ 19:55:
Eventueel een router/accespoint met guest mode, dan kunnen gasten wel internetten maar niet op het netwerk komen. Airport Extreme van Apple kan dat bijvoorbeeld. Zullen nog wel genoeg zijn die het ook kunnen.
Misschien goedkoper dan een managed switch en eenvoudiger met instellen.

Ik heb nog een D-link Dir655 liggen, maar omdat deze op de huidige modem/router aangesloten moet worden, zou ik DHCP moeten uitzetten en via LAN moeten aansluiten, waardoor Guest-zone niet meer werkt.
Het geniet ook niet mijn voorkeur om twee routers achter elkaar te hangen.

fish schreef op zondag 21 februari 2010 @ 20:09:
2e adsl lijn lijkt me het makkelijkst/veiligst

kosten 250 euro p/j ? oid

Geen last op je eigen (inter)net door gehufter van klanten. denk aan afgesloten worden. bandbreedte voltrekken etc.

De 2e adsl lijn is in gebruik voor een pin-apparaat, hierop mag niets anders meer aangesloten worden. Het aanvragen van een 3e adsl lijn is helaas wat ingewikkelder en duurder.

[ Voor 13% gewijzigd door Verwijderd op 21-02-2010 20:21 ]

[Fish]

zonder extra router heb je geen gescheiden lans.

punt

[Verwijderd]

w.l schreef op zondag 21 februari 2010 @ 20:14:
Is een fonera geen optie (got topic)? Het lijkt te doen wat je wilt en is zeker niet duur.

Dat lijkt inderdaad niet zo'n slechte optie. Maar er zou toch ook ergens zo'n eenvoudig beveiligd accespoint te krijgen moeten zijn zonder dat je aan FON gebonden bent?

[B. Stuff]

Gewoon een idee, maar internet via de kabel in plaats van een extra ADSL lijn?

[Verwijderd]

B. Stuff schreef op zondag 21 februari 2010 @ 20:26:
Gewoon een idee, maar internet via de kabel in plaats van een extra ADSL lijn?

Goed idee, maar er is geen kabel of glasvezel mogelijk daar. Het ligt wat afgelegen.

[DiedX]

Verwijderd schreef op zondag 21 februari 2010 @ 20:25:
[...]

Dat lijkt inderdaad niet zo'n slechte optie. Maar er zou toch ook ergens zo'n eenvoudig beveiligd accespoint te krijgen moeten zijn zonder dat je aan FON gebonden bent?

Fonera is toch niet de oplossing in dit geheel? Dan moet je een account aanmaken voor Fonera, als klant zijnde?

[ik222]

Het scheiden van netwerken is een ding maar als je wifi aan gasten wilt aanbieden zul je ook nog iets van logging e.d. moeten hebben. Als is het bijvoorbeeld maar om bewijs te hebben dat jij niet zelf verantwoordelijk bent voor eventuele illegale activiteiten.

Ik zou dus sowieso voor een wat meer professionele oplossing gaan. Ik zou eens gaan kijken naar een hotsport ticket systeem.

[thaan]

ik222 schreef op zondag 21 februari 2010 @ 20:33:
Het scheiden van netwerken is een ding maar als je wifi aan gasten wilt aanbieden zul je ook nog iets van logging e.d. moeten hebben. Als is het bijvoorbeeld maar om bewijs te hebben dat jij niet zelf verantwoordelijk bent voor eventuele illegale activiteiten.

Dat ben je toch wel, of je nou aan een rechter kan laten zien dat het via een MAC adres van een klant is geweest of niet, jij bent verantwoordelijk voor jouw lijn.

Volgens de TT is het een klein hotel, dan lijkt een 2e netwerk me een prima oplossing. Het simpelste is om een simpele router zoals een Airport Extreme in een compleet andere range dan het huidige netwerk te zetten. Werkt prima, je hebt een klein hotel dus ik zou me niet al teveel zorgen maken over problemen met de ADSL lijn.

[maarud]

De Asus RT-N11 kan 3 extra draadloze netwerken maken met elk hun beveiliging en bandwith... Misschien is dat iets? Ook niet zo duur...

Asus RT-N11

[ Voor 3% gewijzigd door maarud op 21-02-2010 20:49 ]

[Verwijderd]

thaan schreef op zondag 21 februari 2010 @ 20:40:
[...]

Dat ben je toch wel, of je nou aan een rechter kan laten zien dat het via een MAC adres van een klant is geweest of niet, jij bent verantwoordelijk voor jouw lijn.

Volgens de TT is het een klein hotel, dan lijkt een 2e netwerk me een prima oplossing. Het simpelste is om een simpele router zoals een Airport Extreme in een compleet andere range dan het huidige netwerk te zetten. Werkt prima, je hebt een klein hotel dus ik zou me niet al teveel zorgen maken over problemen met de ADSL lijn.

maarud schreef op zondag 21 februari 2010 @ 20:49:
De Asus RT-N11 kan 3 extra draadloze netwerken maken met elk hun beveiliging en bandwith... Misschien is dat iets? Ook niet zo duur...

Asus RT-N11

Over de adsl-lijn maak ik me inderdaad geen zorgen, wel over de toegang tot pc's met kassasoftware.
Kan ik zo'n airport extreme of asus achter de huidige modem/router aansluiten of krijg ik dan problemen met DHCP e.d.?

[maarud]

Verwijderd schreef op zondag 21 februari 2010 @ 21:12:
[...]


[...]


Over de adsl-lijn maak ik me inderdaad geen zorgen, wel over de toegang tot pc's met kassasoftware.
Kan ik zo'n airport extreme of asus achter de huidige modem/router aansluiten of krijg ik dan problemen met DHCP e.d.?

Als je een kabel op de WAN aansluit van de Asus dan deelt de Asus zelf IP-adressen uit. Wel zo handig om een andere range te hebben dan je eigen

[Sosabowski]

Kijk eens naar een draytek router. VLAN's multiple SSID's QoS eigenlijk alle wat je nodig hebt.

[Verwijderd]

Een belangrijke vraag: Wat is het budget van het hotel?

[Verwijderd]

Verwijderd schreef op maandag 22 februari 2010 @ 09:38:
Een belangrijke vraag: Wat is het budget van het hotel?

Als budget is maximaal 500 euro beschikbaar. Dit omdat het slechts een tijdelijke oplossing is voor enkele jaren.

Zijn er eigenlijk geen (betere/duurdere) accespoints die ik gewoon op het bestaande netwerk kan aansluiten en die de toegang tot het bestaande netwerk voorkomen? In webshops vind ik o.a. Pheenet WAS-102 access-control-server + ticketprinter en andere oplossingen. Zou zoiets zonder de ticket printer niet werken en voldoende beveiligen?

[enveekaa]

Koop een Draytek met VLAN ondersteuning, die prik je er zo tussen en klaar is kees.

Denk één van deze twee;

• Draytek Vigor 2910 Dual WAN security breedband router 32 VPN
• Draytek Vigor 2200E+ breedband router 16 VPN

En als je er niet uitkomt met instellen DM je maar.

[ Voor 141% gewijzigd door enveekaa op 22-02-2010 18:13 ]

[martijnve]

Je kunt een nieuwe adsl modem/router met wlan kopen (of alleen een accespoint).
Dan kun je daar je gasten (draadloos) op in laten loggen en dan hang je daar achter je netgear router met daar achter de rest van het netwerk. Dan kunnen je gasten al niet meer bij je interne netwerk.

Dan heb je geen vlan's, geen dure spullen en geen dubbele internetverbindingen nodig, en het is een hele simpele weiziging.

code:

internet ---- router -- netgear router -- switch -- hotel pc's
             ( wifi )          |
              gasten        prive pc

edit:
Nee, NAT is dan misschien niet bedoelt als beveiliging maar wet werkt wel goed. Als je de firewall in die 2e router nog eens fatsoenlijk instelt is het helemaal veilig. Er is gewoon een goede reden warom verkeer van de gasten naar het hotel op deze manier niet mogenlijk is en dat heeft niets met obscurity te maken.

[ Voor 30% gewijzigd door martijnve op 22-02-2010 23:40 ]

[enveekaa]

Security through obscurity

code:

router ---- vlan 1 ---- hotel e.d.
       `--- vlan 2 ---- gasten (wifi of whatever)

[ Voor 66% gewijzigd door enveekaa op 22-02-2010 18:18 ]

[Verwijderd]

Ergens een 2e-hands Juniper firewall met 4 interfaces op de kop tikken. Een SSG-10 of 20 ofzo. Ik werk nu een tijdje met zo'n screen-os apparaat en het bevalt erg goed. Als je geen al te exotisch dingen wil, kom je er met de juiste documentatie (cursus-materiaal bijvoorbeeld) zelf wel uit, mits je wat basic IP-kennis hebt.
Interface0/0 -> internet-lijn
Interface0/1 -> prive-pc
Interface0/2 -> switch voor je AP's
Interface0/3 -> verzin iets leuks.... (kassa-netwerk ofzo)

Er zit ook wat (heel basic) trafic-shaping in. Daar zou je ook wat mee kunnen. Gewoon dat ADSL-modem in bridge zetten en verder alles op de firewall afhandelen. En je hebt ook meteen de tools in huis voor VPN.

[enveekaa]

Ik heb nog een Netscreen 5GT voor je liggen... altijd binnen gestaan

[Verwijderd]

enveekaa schreef op maandag 22 februari 2010 @ 18:18:
Ik heb nog een Netscreen 5GT voor je liggen... altijd binnen gestaan

Leuk om mee te spelen, maar volgens mij is hij niet snel genoeg voor de internet-lijnen die particulieren tegenwoordig hebben. Ik gebruik nu al een tijdje een SSG-320M en die heeft het soms echt aardig druk met 2x 50Mb glas.

[enveekaa]

Verwijderd schreef op maandag 22 februari 2010 @ 18:25:
[...]

Leuk om mee te spelen, maar volgens mij is hij niet snel genoeg voor de internet-lijnen die particulieren tegenwoordig hebben. Ik gebruik nu al een tijdje een SSG-320M en die heeft het soms echt aardig druk met 2x 50Mb glas.

Theoretische maximum is iets van 75mbit geloof ik, moet toch wel voldoende zijn

[webinn]

kies gewoon voor de makkelijkste en veiligste oplossing: gewoon een tweede lijn.

[CyBeR]

Verwijderd schreef op maandag 22 februari 2010 @ 18:01:
[...]

Als budget is maximaal 500 euro beschikbaar. Dit omdat het slechts een tijdelijke oplossing is voor enkele jaren.

Zijn er eigenlijk geen (betere/duurdere) accespoints die ik gewoon op het bestaande netwerk kan aansluiten en die de toegang tot het bestaande netwerk voorkomen?

Zeker. Ik gebruik HP MSM access points tegenwoordig (voor de kenners: da's het Colubris spul dat ze overgenomen hebben). Die hebben een functie om per SSID het verkeer te kunnen limiteren tot een bepaald MAC-adres. Zo kun je een SSID aanmaken voor je gasten en 't verkeer limiteren tot het MAC-adres van je router, en een ander SSID voor je eigen spul (met andere beveiliging) waar je gewoon normaal op het netwerk kunt.

Je moet wel even opletten in dat geval, dat je router het niet toestaat om via dat ding te praten met andere hosts in 't netwerk. Dus bijvoorbeeld, ik stuur een packet aan 10.0.1.234 met 't MAC-adres van die router, en als die router dat dan doorstuurt ben je nog niet waar je wilt. Maar een simpele firewall filter op de router (from 10.0.1.0/24 to 10.0.1.0/24, bijvoorbeeld) moet dat wel tegenhouden.

[NjitsSs]

Een oud pctje met Clarkconnect, m0n0wall of Astaro Security Gateway er op tussen je netwerk zetten. Je stopt 3 netwerkkaarten (kan zelfs 1 draadloze zijn, de pc speelt access point) in en stelt wat firewall regels in.
Je privé lan laat je volledig vrij op internet, het publieke (w)lan laat je beperkt op internet. NoCatSplash er op en je kunt de klanten welkom heten en ze er even op wijzen wat je wel en niet toestaat op het netwerk.

[Verwijderd]

Bedankt voor jullie reacties tot nu toe! Ik ga nu eerst eens even de genoemde mogelijkheden uitvoeriger bekijken en me hierin verder verdiepen. Vooral de HP MSM acces points zien er interessant uit.

[tijgetje57]

heb nog wel een draytek vigor 2200 voor je liggen. Misschien heb je daar iets aan?

Je kan ook kijken naar een router met een DMZ poortje, dan hang je daar een fonera aan. Dan is het ook gescheiden.

[Verwijderd]

Bedankt allemaal.

Als tijdelijke oplossing heb ik vandaag een fon-router aangesloten. Door de vijf gasten-accounts die deze biedt, lijkt deze voorlopig aan onze behoefte te voldoen. In de toekomst zal er waarschijnlijk nog wel eens een uitgebreid netwerk aangelegd gaan worden.

[raymonvdm]

Je zou in de toekomst nog eens kunnen kijken naar Mikrotik en hun Hotspot oplossing speel ik thuis ook mee en werkt wel grappig.

[The-Source]

Sosabowski schreef op zondag 21 februari 2010 @ 21:27:
Kijk eens naar een draytek router. VLAN's multiple SSID's QoS eigenlijk alle wat je nodig hebt.

Wat hij zegt en om toekomst proof te zijn kun je kijken naar een 2820N (of VN als je ook voip gebruikt)
Zijn 4 SSID's in te stellen (zichtbaar en onzichtbaar). Ondersteund ook WDS waardoor je meerdere accespoints kunt koppelen om zo 1 draadloos netwerk te maken.
Elke SSID kun je in een eigen vlan gooien of desgewenst gecombineerd met een/meerdere lan poorten.
Als het goed is zou de 2130N dit ook ondersteunen maar deze heeft geen ingebouwde ADSL modem. Wat de 2820 wel weer heeft + een WAN poort waar je later bv een modem van een kabelboer kunt aansluiten.

[DJSmiley]

Heb je een zakelijk dsl lijntje? Dan kun je ook gewoon een los AP op een eigen IP adres gooien, je hebt er dan 5. Switch tussen modem en router, en hierop een apart routertje voor public-gebruik zetten.

Mocht er ooit geklooid worden, dan wordt alleen dat ip geblacklist, en merk je er zelf een stuk minder van. Verder kun je dat losse routerje dichtspijkeren: smtp dicht, qos enz

Een fatsoenlijke router met vlans/zones is mooier, maar kost ook iets meer. En wil je het gratis aanbieden of tegen een kleine meerprijs? (2 eur per dag?) dan krijg je ook iets meer budget om het goed te regelen.

Ik denk dat bij de meeste gasten (bv) 2eur per dag voor fatsoenlijk wifi tegen gratis een kutverbinding niet zo'n moeilijke afweging is. Elke week 2 betalende gasten is al 200 eur per jaar...

[ Voor 34% gewijzigd door DJSmiley op 27-02-2010 17:19 ]

[ik222]

klaasbram schreef op zaterdag 27 februari 2010 @ 17:01:
[...]

Wat hij zegt en om toekomst proof te zijn kun je kijken naar een 2820N (of VN als je ook voip gebruikt)
Zijn 4 SSID's in te stellen (zichtbaar en onzichtbaar). Ondersteund ook WDS waardoor je meerdere accespoints kunt koppelen om zo 1 draadloos netwerk te maken.
Elke SSID kun je in een eigen vlan gooien of desgewenst gecombineerd met een/meerdere lan poorten.
Als het goed is zou de 2130N dit ook ondersteunen maar deze heeft geen ingebouwde ADSL modem. Wat de 2820 wel weer heeft + een WAN poort waar je later bv een modem van een kabelboer kunt aansluiten.

Je gaat in een bedrijfsomgeving toch hoop ik geen accespoints via WDS koppelen Dat kost je dermate veel performance dat het leuk is voor thuis als je weinig eisen hebt.

Je moet gewoon zorgen dat er een ethernet kabel naar elke accespoint gaat en al die accespoints dan centraal met een switch aan je netwerk koppelen. Voor de veiligheid werk je dan met een apart VLAN en zet je er een degelijke firewall tussen die alleen het hoognodige doorlaat,

[AEZscf]

Ik heb een dergelijk geval aangelegd.
Wat je kunt doen is een pfsense machine, eventueel zo'n kant en klaar bakje pakken, op de ene netwerk kaart sluit je het bestaande netwerk aan, op de andere de routers.
Je kunt een vang pagina maken waarin bezoekers zich moeten inloggen alvorens verder te kunnen, Gegevens zijn op te vragen bij de balie.
Vervolgens kun je aleen verkeer over poort 80 en 443 toelaten.
De vangpagina is simpel te customizen.
Bleek voor onze klaant de pergect oplossing.

[Verwijderd]

Leuk een hotel met FON!
waar is ie?

[Verwijderd]

Verwijderd schreef op maandag 01 maart 2010 @ 10:43:
Leuk een hotel met FON!
waar is ie?

Als je op de FON maps zoekt op postcode 6295NB vind je het. Leuk dat er nog mensen geïnteresseerd zijn in FON. Ik kreeg een beetje de indruk dat het niet zoveel meer voorstelt.