[Server 2008 R2] Netwerk in 3 delen splitsen

[Massiefje]

Voor een van mijn klanten moet ik de opties gaan bekijken voor het splitsen van het netwerk in 3en, zodat elk gedeelte van het netwerk zijn eigen internetverbinding kan krijgen. De reden hiervoor is, dat afdeling 1 vaak aan het uploaden is, en afdeling 2 en 3 daar dan last van hebben. Een dikke verbinding met goede upload is niet beschikbaar tegen normale kosten, dus een extra verbinding (of 2) is de beste oplossing.

Wat ik eigenlijk wil bereiken is de beheersbaarheid van het netwerk zo hoog mogelijk houden en toch 3 verschillende 'netwerken' kunnen laten communiceren. Op dit moment is het netwerk een C-klasse (inclusief 2 Windows 2008 Servers) en wordt er gebruikt gemaakt van een domein. Laten we de IP-reeks houden op 192.168.1.x

Het doel:
- Alle pc's/servers in het netwerk moeten elkaar blijven zien
- Beheersbaarheid
- Elke afzonderlijk deel heeft zijn eigen gateway
- DNS is en blijft shared

Nu zijn er voor zover ik heb kunnen nagaan meerdere opties om dit te bewerkstelligen:
- Verschillende delen allemaal op 1 switch zetten, die switch aansluiten op (extra) netwerkkaart op de server en op die manier IP via DHCP uitdelen
- Verschillende delen op eigen switch, switch aansluiten op een (simpele?) router en de router een IP adres laten uitdelen
- 1 grote switch en gebruik maken van VLAN's en op deze manier de boel via DHCP laten regelen
- wellicht nog meer mogelijkheden

Mijn voorkeur gaat eigenlijk uit naar de derde optie, maar ik ben vrij onbekend met VLAN's en weet niet goed hoe ik het IP technisch voor elkaar kan krijgen. Vandaar mijn vragen naar jullie ervaring:

1. Is het verstandig om 3 subnets te gebruiken en zo ja, hoe stel ik dat dan in ? Of kan ik beter zeggen: afdeling 1 krijgt 192.168.1.10 t/m 192.168.1.80 en afdeling 2 192.168.1.81 t/m 192.168.1.160 (beide subnetmask 255.255.255.0)?
2. Als ik met VLAN ga werken, hoe weet mijn Server 2008 DHCP server dan, welke scope bij welk VLAN hoort?

Ik heb al van alles gevonden, maar zie even door de bomen het bos niet meer. Ik heb gezocht op IP helper, DHCP relay agent, VLAN multiple dhcp scopes, etc etc. Ik wil graag zelf één en ander uitzoeken, maar enige hulp/tips zou erg welkom zijn!

Nogmaals voor de goede orde: op dit moment is alles aangesloten op 1 grote (unmanagable) switch en hebben ze allemaal dezelfde IP reeks/subnet. Eventuele extra hardware kan en mag aangeschaft worden als dat nodig is.

Hoe zouden jullie dit oplossen?

[BarthezZ]

Ik zou het zo makkelijk mogelijk houden; zolang je geen verdere noodzaak heb aan VLAN's (voor administratieve scheiding) zou ik alles in één vlan en één subnet houden. Daarbij gooi je de twee of drie routers in dezelfde reeks, en laat je je dhcp server verschillende default gateways uitdelen voor verschillende computers.

[Rolfie]

Waarom niet 1 IP range, maar verschillende gateways?

Je moet alleen een config op je werkstations aanpassen, zodat dit met userclass werkt. En daarmee kan je verschillende GW uitgeven.

[DJSmiley]

Je kan ook een wat uitgebreidere router pakken en daar alle WAN verbindingen op inprikken.

Vervolgens maak je een paar routing rules aan waarbij je verkeer over een specifieke verbinding heen stuurt.
Op je DHCP server configureer je de PC's zo dat ze een IP krijgen in de juiste range.

Bv 192.168.1.1/24 voor je netwerk, .1 is je gateway.
DHCP deelt .100-.149 uit aan afdeling 1,150-199 aan afdeling 2, 200-249 aan afdeling 3, allemaal gewoon de default gateway.

Op je router maak je een regeltje aan: If source = .100-.149 -> interface WAN1, en zo verder.

Voordeel is dat je
a. alles centraal in 1 router hebt (mocht je bv later ook vpn of andere gein willen dan is meerdere gateways niet echt handig
b. failover hebt: als een verbinding het niet doet kun je zonder de clients langs te hoeven vrij snel die 'buiten gebruik' zetten en t verkeer over andere verbindingen sturen.

Als je dat een beetje combineert met wat ratelimiting (bv ftp max 80% van je bandbreedte) zal het een stuk soepeler lopen.

Je kan 't toewijzen van IP's ook nog automatiseren, als je op je hoofdswitch optie82 aanzet kun je gewoon de afgaande poortjes (naar de afdelingsswitchen) labellen en in je DHCP server laten afvangen. (Maar goed, dan heb je wel een managed switch nodig)

Vlans enz kan ook, maar of dat nodig is... ligt ook een beetje aan t aantal users en de verdere netwerkeisen in hoeverre dat ook daadwerkelijk nut heeft. Daarbij zul je, zeker als je met grotere bestanden werkt, het inter-vlan routeringsdeel liever niet over een routertje heen willen trekken, dus kom je al vrij snel op een L3 switch uit, wat samen met een router toch een iets andere opzet wordt.

Massiefje schreef op woensdag 07 maart 2012 @ 20:40:
[...]


Dit lijkt op zich wel te werken, maar wat ik vergeten was te melden, was dat er ook Macs in het netwerk hangen. Deze dienen ook geidentificeerd te worden. Het zou wel moeten kunnen, maar dat zal ik morgen even testen met de klant. Zo ja, is dit denk ik een hele mooie optie.

Alleen is het jammere dat ik dan wel bij elke machine (mac of windows) die classid moet gaan zetten. Op zich geen ramp, maar helpt de beheersbaarheid niet echt.

Budget? Zoiets dergelijks kun je relatief makkelijk afvangen met optie82. 'Gewoon' 1 'core'switch, met een aantal (desnoods unmanaged) access switches eronder voor de afdelingen. De poorten vanaf die hoofdswitch label je gewoon 'AFD01', 'AFD02' enz, en in je DHCP server maak je een class per optie82-id.

[ Voor 33% gewijzigd door DJSmiley op 07-03-2012 20:42 ]

[Massiefje]

Rolfie schreef op woensdag 07 maart 2012 @ 19:34:
Waarom niet 1 IP range, maar verschillende gateways?

Je moet alleen een config op je werkstations aanpassen, zodat dit met userclass werkt. En daarmee kan je verschillende GW uitgeven.

Dit lijkt op zich wel te werken, maar wat ik vergeten was te melden, was dat er ook Macs in het netwerk hangen. Deze dienen ook geidentificeerd te worden. Het zou wel moeten kunnen, maar dat zal ik morgen even testen met de klant. Zo ja, is dit denk ik een hele mooie optie.

Alleen is het jammere dat ik dan wel bij elke machine (mac of windows) die classid moet gaan zetten. Op zich geen ramp, maar helpt de beheersbaarheid niet echt.

[Massiefje]

DJSmiley schreef op woensdag 07 maart 2012 @ 20:20:
Je kan ook een wat uitgebreidere router pakken en daar alle WAN verbindingen op inprikken.

Hier heb ik ook over nagedacht, maar.... wellicht heel stom hoor.... ik kan niet de juiste router vinden. Tips ? Betaalbaar, dat wel graag

[DJSmiley]

Massiefje schreef op woensdag 07 maart 2012 @ 20:40:
[...]


Hier heb ik ook over nagedacht, maar.... wellicht heel stom hoor.... ik kan niet de juiste router vinden. Tips ? Betaalbaar, dat wel graag

Wat is betaalbaar? Een superluxe router+switch kan alles wat jij wil, maar is misschien net ff een compleet ander budget.. Enige indicatie is dus wel handig.

Met 2 verbindingen is een simpele Sonicwall al voldoende (Ik heb bv bij een aantal klanten de pinapparaten over een dedicated adsl lijntje gerouteerd, terwijl hun primaire link een 100/100 kabelverbinding is)

Voor meer dan 2 lijnen kom je op de wat uitgebreidere modellen uit.

Maar leg je vraag eens voor bij een leverancier? Bedenken is 1, t moet ook ingesteld worden en debugged worden bij storingen

[ Voor 9% gewijzigd door DJSmiley op 07-03-2012 20:50 ]

[xelnaha]

DJSmiley schreef op woensdag 07 maart 2012 @ 20:48:
[...]


Wat is betaalbaar? Een superluxe router+switch kan alles wat jij wil, maar is misschien net ff een compleet ander budget.. Enige indicatie is dus wel handig.

Met 2 verbindingen is een simpele Sonicwall al voldoende (Ik heb bv bij een aantal klanten de pinapparaten over een dedicated adsl lijntje gerouteerd, terwijl hun primaire link een 100/100 kabelverbinding is)

Voor meer dan 2 lijnen kom je op de wat uitgebreidere modellen uit.

Maar leg je vraag eens voor bij een leverancier? Bedenken is 1, t moet ook ingesteld worden en debugged worden bij storingen

idd, hoe goed ben je zelf met managed switches of als dit niet zo is, hoe veel wil je uitgeven aan support?

[Rolfie]

Massiefje schreef op woensdag 07 maart 2012 @ 20:40:
[...]


Dit lijkt op zich wel te werken, maar wat ik vergeten was te melden, was dat er ook Macs in het netwerk hangen. Deze dienen ook geidentificeerd te worden. Het zou wel moeten kunnen, maar dat zal ik morgen even testen met de klant. Zo ja, is dit denk ik een hele mooie optie.

Alleen is het jammere dat ik dan wel bij elke machine (mac of windows) die classid moet gaan zetten. Op zich geen ramp, maar helpt de beheersbaarheid niet echt.

Windows kan via GPO, MAC had je niet eerder vermeld......

Eventueel kan je eens testen met pfsense. Daar kan je ook een dual WAN op aansluiten. Eventueel wat QOS er over laten gaan.
Je zou hem zelf als router tussen unmanaged switches kunnen zetten (of je het wil is een 2de).
Een goedkope server 400 kan het al zonder moeite aan.


Maar alles hangt een beetje wat je er voor overhebt.

[ Voor 21% gewijzigd door Rolfie op 07-03-2012 22:31 ]

[squaddie]

Voordat je je het netwerk overhoop gaat trekken heb je al onderzocht of er een vaste factor is bij uploaden? bv:
- Een bepaalde werkstation / server doet de upload.
- De upload gebeurt dmv ftp.
- De bestemming is altijd het zelfde.

Als er zo'n vaste factor is kan zo'n beetje elke huis, tuin en keuken router wel een regel bouwen om verkeer welke voldoet aan de vaste factor te knijpen. Wil je met meerdere WAN-verbindingen aan de slag zou je een Draytek router kunnen aanschaffen die zijn vrij eenvoudig in te richten en niet al te prijzig.

Wil je meer flexibiliteit zou je ook een Juniper SSG5 kunnen aanschaffen, wij hebben deze en de grotere broers ervan bij diverse klanten van ons staan Je hebt wel een basis kennis over routering nodig om meerdere netwerksegmenten op te zetten, al dan niet in combinatie met meerdere wan-verbindingen, maar een cisco certificering is niet nodig.