Thuisnetwerk virtualiseren

[Grootstyr]

Dit word vast een heel lang verhaal, maar ik waag het er toch op.

Ik wil een aantal diensten op eigen server draaien die nu nog via MobileMe draaien. Dit gaat onder andere om mail en agenda. Ik wil mail en agenda synchroon houden op meerdere apparaten, ik dacht dit dus makkelijk op te lossen via bijv. een snow leopard server.

Op het linux platform zijn er vast ook een aantal gratis initiatieven die hetzelfde bereiken. Ik zat dus te denken om via een ESXi server alles te virtualiseren, een of meerdere servers om de diensten te hosten en een firewall server.

Voor de firewall server dacht ik aan Smoothwall. Vandaag al het een en ander mee geprobeerd en dat draait nu dus op een oude P4 machine. Dit werkt prima maar maakt lawaai en om nou 2 servers 24/7 te laten draaien...



In het bovenstaande plaatje staat het netwerk hoe ik het zou willen hebben. Hier heb ik dus alleen 2 servers nodig, een voor smoothwall en een voor de virtual servers.

Nou dacht ik: als ik 3 extra NICs toevoeg aan de ESXi server zou ik ook smoothwall kunnen virtualiseren. Alleen ik vroeg me dus af of dit mogelijk is omdat je dan een aantal loops creëert. Ik wil natuurlijk niet dat mijn netwerk zichzelf onderuit haalt...

Uiteindelijk zullen er dan dus 6 NICs in de ESXi server zitten.
1 voor private server
1 voor webserver
1 voor iSCSI
1 voor RED interface van smoothwall
1 voor GREEN interface van smoothwall
1 voor ORANGE(DMZ) interface van smoothwall

Een aantal van deze interfaces zullen elkaar dus weer treffen. Sommige zelfs met alleen een switch ertussen.

Smoothwall ----- Switch ----- Webserver

Wanneer deze beide servers(smoothwall en de webserver) dus allebei virtueel op de ESXi server draaien zal er simpelweg een kabeltje van NIC 1 naar NIC 2 lopen met een switch ertussen.

Voordat ik überhaupt ga zoeken naar een goedkope oplossing om 6 NICs op een simpel moederbordje te prikken wilde ik eerst dit verder uitzoeken.

Alvast bedankt

edit: In het kort, creëer ik zo een loop of houd ESXi de NICs zo gescheiden dat het geen problemen oplevert.

[Verwijderd]

Als het goed word ingesteld mag er geen probleem zijn.

[ik222]

Wat je wilt kan prima maar daarvoor heb je absoluut geen 6 fysieke netwerkkaarten in je server nodig. Er bestaat namelijk ook nog zoiets als virtuele netwerk interfaces

In feite heb je voor alles wat je wilt slechts 2 fysieke netwerkkaarten nodig als ik je verhaal goed begrijp:
- Netwerkkaart die is verbonden met je modem (WAN)
- Netwerkkaart die is verbonden met je interne switch (LAN)

De rest kan je allemaal virtueel binnen ESXi regelen.

[ Voor 3% gewijzigd door ik222 op 18-12-2010 22:17 ]

[TrailBlazer]

Het is alleen wel mooier om een switch te nemen met vlan ondersteuning. Je kan dan veel mooier je netwerken scheiden van elkaar zelfs al is het een fysieke switch.

[Grootstyr]

ik222 schreef op zaterdag 18 december 2010 @ 22:17:
...
In feite heb je voor alles wat je wilt slechts 2 fysieke netwerkkaarten nodig als ik je verhaal goed begrijp:
- Netwerkkaart die is verbonden met je modem (WAN)
- Netwerkkaart die is verbonden met je interne switch (LAN)

De rest kan je allemaal virtueel binnen ESXi regelen.

Maar met slechts 2 fysieke netwerkkaarten zal het niet fysiek gescheiden zijn. Het idee hierachter was juist dat de DMZ ook daadwerkelijk afgescheiden was van het interne netwerk.

Nu snap ik ook dat al het verkeer alsnog door die ESXi server gaat, maar ik ga er toch van uit dat die ESXi server redelijk beveiligd is. Als je ESXi zo instelt dat hij management alleen laat doen via een poort die naar het interne netwerk gaat neem ik aan dat de fysieke scheiding in een zekere zin blijft bestaan.

[ik222]

Xekdekisi schreef op zaterdag 18 december 2010 @ 22:21:
[...]


Maar met slechts 2 fysieke netwerkkaarten zal het niet fysiek gescheiden zijn. Het idee hierachter was juist dat de DMZ ook daadwerkelijk afgescheiden was van het interne netwerk.

Nu snap ik ook dat al het verkeer alsnog door die ESXi server gaat, maar ik ga er toch van uit dat die ESXi server redelijk beveiligd is. Als je ESXi zo instelt dat hij management alleen laat doen via een poort die naar het interne netwerk gaat neem ik aan dat de fysieke scheiding in een zekere zin blijft bestaan.

Sorry maar dat is onzin wat je hier schrijft...

De beveiliging met twee fysieke netwerkkaarten en virtual interfaces is exact net goed dan wanneer je er 6 netwerkkaarten in propt, dat maakt echt helemaal niets uit. Want ook met 6 netwerkkaarten gebruik je de netwerkkaart mapping van de ESXi server en virtuele interfaces zitten precies in datzelfde netwerkconfiguratie / mapping verhaal van ESXi Dat het voor je gevoel veiliger is dat is wat anders maar technisch is het dus absoluut geen verschil.

Overigens is die hele netwerkconfiguratie / mapping van ESXi inderdaad prima beveiligd dus daar hoeft je je geen zorgen om te maken.

[ Voor 5% gewijzigd door ik222 op 18-12-2010 22:29 ]

[Grootstyr]

Maar stel ik heb dan precies wat ik hebben wil alleen dan met virtuele interfaces. Hoe ga ik die dan scheiden, een kabel kan maar naar één poort.

M.a.w. hoe maak ik de virtuele interfaces zo aan dat ik aan 2 netwerk kaarten genoeg heb terwijl ik wel nog steeds een Intern netwerk en een DMZ netwerk behoud.

[ik222]

Xekdekisi schreef op zaterdag 18 december 2010 @ 22:37:
Maar stel ik heb dan precies wat ik hebben wil alleen dan met virtuele interfaces. Hoe ga ik die dan scheiden, een kabel kan maar naar één poort.

M.a.w. hoe maak ik de virtuele interfaces zo aan dat ik aan 2 netwerk kaarten genoeg heb terwijl ik wel nog steeds een Intern netwerk en een DMZ netwerk behoud.

Bij nader inzien denk ik dat je 3 fysieke netwerkinterfaces nodig hebt ivm met de wens die je hebt met die iSCSI QNAP NAS die je direct aan je webserver wil hebben. Maar dan heb je nog steeds genoeg aan 3 netwerkinterfaces in plaats van 6 Het zou er dan zo uitzien:

Smoothwall VM
WAN interface --> direct koppelen aan fysieke interface die aan je modem hangt
LAN interface --> Koppelen aan fysieke interface die naar je switch loopt. Ook andere virtuele machines kunnen dan automatisch via het interne ESXi management naar deze interface connecten wanneer je dat instelt
DMZ interface --> Aanmaken als virtuele interface waarop andere virtuele machines kunnen verbinden

Webserver VM
DMZ interface --> Virtuele netwerkkaart die je koppelt aan de virtuele DMZ interface van je smoothwall.
iSCSI interface --> koppelen aan 3e fysieke netwerkkaart rechstreeks aansluiten op QNAP NAS.

Private Server VM
Een virtuele netwerkkaart die virtueel gekoppelt is aan de LAN interface

[Grootstyr]

ik222 schreef op zaterdag 18 december 2010 @ 22:51:
[...]

Smoothwall VM
WAN interface --> direct koppelen aan fysieke interface die aan je modem hangt
LAN interface --> Koppelen aan fysieke interface die naar je switch loopt. Ook andere virtuele machines kunnen dan automatisch via het interne ESXi management naar deze interface connecten wanneer je dat instelt
DMZ interface --> Aanmaken als virtuele interface waarop andere virtuele machines kunnen verbinden

Webserver VM
DMZ interface --> Virtuele netwerkkaart die je koppelt aan de virtuele DMZ interface van je smoothwall.
iSCSI interface --> koppelen aan 3e fysieke netwerkkaart rechstreeks aansluiten op QNAP NAS.

Private Server VM
Een virtuele netwerkkaart die virtueel gekoppelt is aan de LAN interface

Dat probleem is dan opgelost dan houd ik het op 3 NICs en dan zal ik eerdaags eens het netwerk omgooien.
Ontzettend bedankt

[JackBol]

Xekdekisi schreef op zaterdag 18 december 2010 @ 22:04:
Ik wil een aantal diensten op eigen server draaien die nu nog via MobileMe draaien. Dit gaat onder andere om mail en agenda.

Waarom? Appple doet het voor 80euro per jaar voor je, daar kan je het zelf niet voor doen.
En btw services uit de cloud is helemaal hot tegenwoordig

[VorCha]

Ik heb zelf mn router/firewall (pfSense) gevirtualiseerd. Op 3 verschillende locaties overigens. de WAN interface van pfSense heb ik verbonden met een fysieke nic. de LAN met een virtuele nic waarop dan weer mn andere vm's zijn verbonden.
Dus die extra hardware voor smoothwall zou je net zo goed kunnen schrappen. Vervolgens hoef je dus ook niet meer te rommelen met vlan's op een switch

[DutchKel]

Je kunt binnen esxi ook een nieuwe virtuele vlan creeren waarmee je nog steeds maar 2 netwerkkaarten nodig hebt.

De dmz wat jij wilt hebben kan prima met een nieuwe virtuele vlan. De ip instellingen zijn dan alleen anders. Let wel op dat je geen 2 dhcp servers op 1 fysieke verbinding zet want dat geeft problemen.

De DMZ dient dan ook alleen maar binnen esxi beschikbaar te zijn en kan dan niet naar buiten gebracht worden omdat je dan netwerkconflicten kunt krijgen.

Je kunt in esxi verschillende virtuele netwerken maken, deze zijn dan niet gekoppeld aan een bepaalde netwerkkaart maar bestaan dan alleen binnen esxi.

Je zou dus bijvoorbeeld het volgende kunnen doen:
Virtuele firewall (incl. NAT+DHCP) gebruikt de volgende interfaces: WAN, LAN (192.168.1.X) , Virtual LAN (192.168.2.X)
Virtuele server 1 (heeft alleen een verbinding naar buiten nodig) gebruikt de volgende interfaces : Virtual LAN
Virtuele server 2 (heeft een verbinding naar buiten en naar binnen nodig): LAN, Virtual LAN

Virtual LAN is een virtueel netwerk wat alleen binnen ESXi bestaat.

[Grootstyr]

Alleen is dit topic van meer dan een jaar geleden.
En is mijn thuisnetwerk allang gevirtualiseerd.

[DutchKel]

Hahaha je hebt gelijk, ik keek niet naar de datum maar hij stond als active topic ertussen. VorCha kwam deze topic waarschijnlijk bij het zoeken tegen.

[Equator]

Zullen we hem dan maar gewoon op slot gooien ouwe koeien uit de sloot halen is nergens voor nodig..