Layer 3 Switch / Router / overige opties...?

[Yllnath]

Hallo allemaal,

Op werk zit ik met een netwerk gerelateerd probleem voor wat betreft een test omgeving die opgebouwd moet worden. Het gaat hier zeer specifiek om wat ik aan netwerk apparatuur moet gebruiken om de omgeving op te bouwen. Zelf ben ik een softwaretester en voorheen een systeembeheerder, dus is dit voor mijn een onbekend terrein. Vandaar dat ik dacht, laat ik eens de kennisbank van Tweakers raadplegen.

Allereerst een afbeelding van het test netwerk dat gebouwd is / moet worden:



Het komt er op neer dat ik een router of geavanceerde switch moet hebben die de internet positie moet simuleren. De software die wij schrijven maakt uitwisseling van data mogelijk tussen verschillende organisaties die over de hele wereld verspreid kunnen zitten. Alle communicatie die plaatsvind gaat over SSL (poort 443). Nou is mijn manager geen IT-specialist, maar hij wist wel de eis te stellen dat ik een netwerk moet bouwen die simuleert dat er alleen "internet-verkeer" plaatsvind tussen alle servers (behalve dan binnen de afgebeelde AD's die hun eigen simpele 'interne' switch hebben. Oftewel, op de internet router moet alleen poort 80 en 443 open staan, alle anderen moeten geblokkeerd kunnen worden in de configuratie.

Het gaat ook eens om een router/switch die minimaal wel 8 netwerken, om het zo even te noemen, met elkaar moet kunnen verbinden. De test situatie kan uitgebreid worden dat er nog meer machines direct aan deze 'internet'-router komen te hangen. Routers hebben vaak minder poorten, zover ik kan vinden.

Een laatste eis is dat voor test/configuratie doeleinden, het moet mogelijk zijn om vanaf het productie-netwerk dit test netwerk te benaderen zonder limitaties. Een programmeur of ikzelf als tester zijnde wil zonder issues elk van de servers of werkstations in de test-omgeving kunnen RDP-en om daarop te werken. Zonder dat we dan dus fysiek achter deze geïsoleerde machines plaats hoeven te nemen.


-----------
Na wat onderzoek ben ik tot de conclusie gekomen dat een Layer 3 switch of een router dergelijke acties ondersteunen d.m.v. ACLs. Maar hoe dit precies werkt is voor mij nog een mysterie.
Daarbij zie ik wat betreft keuze van routers en switches ook door de bomen het bos niet meer. Er wordt zo veel aangeboden met verschillen tussen switches en routers, dat ik niet meer snap welke router of switch (en dan bij voorkeur de goedkoopste, managers en zo. ) voldoet aan mijn eisen zonder extra poespas.

Nou is dit niet zo zeer een topic waar ik verwacht dat jullie mijn één link geven van, hier, koop deze ... maar. (Al zou dat natuurlijk ook handig kunnen zijn) Ik hoop dat er hier iemand is die mij beter kan uitleggen wat voor router/switch ik precies nodig heb en waar ik moet op letten wanneer ik over ga tot aanschaf.
Of, wanneer iemand uberhaupt een compleet andere oplossing weet om de gewenste situatie te bereiken, zonder bijzondere apparatuur, dan ben ik ook zeer geïnteresseerd.

Alvast bedankt!

Maarten.

[Pirtkoei]

Wat ik nog mis in je post is iets over virtualisatie. Ga je de servers virtueel inrichten of allemaal fysiek?

Virtualisatie gaat het je namelijk heel veel makkelijker maken. Je kunt dan een router appliance inzetten om de routing tussen de verschillende servers/clients te regelen. Met de inzet van bijvoorbeeld pfSense, welke gratis te gebruiken is, kun je dan zoveel poorten maken als je hypervisor nic kan toekennen.

[DrFlash]

+1 voor de opmerking van pirtkoei, ik zat aan precies hetzelfde te denken, pfsense of monowall is uitermate geschikt hiervoor en gratis !

wat betreft hardware apparaten. een cisco asa 5505 voldoet ook, deze heeft 8 poorten. maar bij deze (en vele aderen) geld wel dat je redelijk wat kennis van zaken moet hebben wil je dit kunnen opzetten.

[Compizfox]

Hang gewoon aan elk netwerkje een router die je met de WAN-kanten aan elkaar knoopt dmv een switch. Zou moeten werken toch?

[Rolfie]

Pirtkoei schreef op dinsdag 04 september 2012 @ 13:15:
Wat ik nog mis in je post is iets over virtualisatie. Ga je de servers virtueel inrichten of allemaal fysiek?

Virtualisatie gaat het je namelijk heel veel makkelijker maken. Je kunt dan een router appliance inzetten om de routing tussen de verschillende servers/clients te regelen. Met de inzet van bijvoorbeeld pfSense, welke gratis te gebruiken is, kun je dan zoveel poorten maken als je hypervisor nic kan toekennen.

De oplossing eingenlijk.

Een goede ESX doos waarop alles gehost kan worden. En daarna een pfsense vm er tussen (of 2). En klaar. Je kan alles testen wat je wilt.

Eventueel AWS gebruiken?

[CyBeR]

Yllnath schreef op dinsdag 04 september 2012 @ 12:13:
Na wat onderzoek ben ik tot de conclusie gekomen dat een Layer 3 switch of een router dergelijke acties ondersteunen d.m.v. ACLs. Maar hoe dit precies werkt is voor mij nog een mysterie.
Daarbij zie ik wat betreft keuze van routers en switches ook door de bomen het bos niet meer. Er wordt zo veel aangeboden met verschillen tussen switches en routers, dat ik niet meer snap welke router of switch (en dan bij voorkeur de goedkoopste, managers en zo. ) voldoet aan mijn eisen zonder extra poespas.

Wel, een L3 switch is feitelijk een router. Maar dan een die dat niet als hoofddoel heeft en wat beperkingen kent, maar 't wel verdomd rap kan.

Wat je waarschijnlijk gewoon wilt is, inderdaad, een L3 switch met ACL's. Aangezien je poorten wilt blokkeren moet je dan wel even letten op dat de ACL's minimaal op layer 4 werken. Maar dat geldt tegenwoordig voor de meeste L3 switches wel.

[Yllnath]

Bedankt voor de reactie's zo ver. Inderdaad even vergeten te melden wat betreft servers. Het betreffen (helaas) fysieke servers. Een stevige ESX host en daarop dan onderling gescheiden netwerkjes maken had de voorkeur en is voor mij ook bekend. Hier is helaas alleen het budget niet voor. Bovendien hadden we nog een 10-tal losse oudere servers liggen. Oftewel, ik mag roeien met de riemen die ik heb.

DrFlash, bedoel je bijvoorbeeld deze?
Hierop kan ik dus ook instellen over welke poorten de 8 interfaces onderling met elkaar mogen communiceren?

@CyBeR: En wat ik begrepen heb is dat op een L3 switch de WAN-poort ontbreekt, die ik dus zover ik weet niet nodig heb in mijn situatie. Dus daarom noem ik specifiek ook switches, want het lijkt mij eigenlijk juist dat ik specifiek liever juist een L3 switch heb, en geen router? Of zie ik dat verkeerd?

[CyBeR]

Een "WAN-poort" is iets wat je alleen op consumentenmeuk terugvindt. Dat zijn routers met twee poorten, die ingesteld zijn als zijnde bedoeld voor het internet en het lokale netwerk. Vervolgens wordt verkeer van het laatste naar het eerste toe geNAT en andersom niet. De meeste dergelijke routers hebben meerdere LAN-poorten, maar dat is eigenlijk een ingebouwde switch.

Een echte router, of L3 switch, heeft zoveel interfaces als er fysiek poorten op zitten en er geheugen is voor VLAN-interfaces. Die kan routeren tussen alle interfaces. Een echte router (switches kunnen dit mestal niet) kan over het algemeen ook willekeurig NATten.

Maar als ik jouw situatie begrijp wil je gewoon onderlinge communicatie tussen die subnets en wil je dat op TCP-poort kunnen filteren. Dan is een L3 switch precies wat je wilt. Als je uitgebreidere functionaliteit wilt kun je een ASA of soortgelijk device nemen, maar dan moet je wel aan performance inboeten als je de prijs laag wilt houden.

[Yllnath]

Performance is voor niet zozeer een issue, het gaat om een test situatie voor onze software. Maar L3 switches zijn dan dus duurder in de praktijk dan routers? Liever gezegd, een L3 switch, goedkoper dan die ASA zal ik mogelijk niet vinden? Hoe ik uiteindelijk die ASA router of een switch configureer is een latere zorg, ik ga daar wel uitkomen met google erbij. Maar de wens is zo goedkoop mogelijk in ieder geval 7 (tekening) 'netwerken' met elkaar te verbinden, ongeacht performance. En dan nog 1 poort om ons standaard netwerk toegang te geven op al de geisoleerde netwerkjes om te kunnen remoten.
Dit zou dus dan die ASA worden?

[CyBeR]

Als performance geen issue is zou ik lekker die ASA nemen idd. Let wel even op de licensing voor users met dat ding, of je daar niet mee in de knoop komt.

[ Voor 42% gewijzigd door CyBeR op 04-09-2012 15:36 ]

[kokkel]

Als dit een test opstelling is zou je ook je WAN netwerk kunnen oplossen op basis van een pc met 2 netwerk kaarten. De routering en ACL's kan je doen via diverse OS onder andere Microsoft server of linux gebaseerd.
Linunx gebaseerd heb je bijvoorbeeld FreeSCO, maar er zijn er veel meer.

[lennartb]

Vergis je niet in de licentie. Op jouw tekening zie ik al 11 hosts terwijl de basis asa 5505 maximaal 10 hosts ondersteund zonder licentieupgrade. "Die asa" is dus wat kort door de bocht. Je zult moeten kijken naar versie met minimaal 50 hosts.

Voor de rest is alles prima te simuleren met een asa.

EDIT:
Het aantal aansluitingen op een niet consumer router is zoals Cyber al aanhaalt niet relevant. Je kunt dmv vlans tientallen netwerken aan elkaar knopen. Is overigens bij de ASA licentieafhankelijk.

[ Voor 25% gewijzigd door lennartb op 04-09-2012 15:44 ]

[Rolfie]

Yllnath schreef op dinsdag 04 september 2012 @ 14:57:
Bedankt voor de reactie's zo ver. Inderdaad even vergeten te melden wat betreft servers. Het betreffen (helaas) fysieke servers. Een stevige ESX host en daarop dan onderling gescheiden netwerkjes maken had de voorkeur en is voor mij ook bekend. Hier is helaas alleen het budget niet voor. Bovendien hadden we nog een 10-tal losse oudere servers liggen. Oftewel, ik mag roeien met de riemen die ik heb.

je servers draaien dus al?

Dan kan je nog steeds een pfsense firewalltje gebruiken. Je moet alleen of 2 verschillende switches hebben, of een switch met meerdere VLAN's.

Hoeft niet veel te kosten.

[Yllnath]

Hoi Lennart,

Wat betreft het netwerk, er zijn fysiek maar 7 apparaten aangesloten op de ASA router, namelijk 2 switches, 1 losse pc en 4 servers. Op het netwerk van de 2 switches zitten natuurlijk dan wel weer 3 machines.
Omdat ik indirect 11 machines aansluit op de router zou dit betekenen dat ik licentie-technisch niet uitkom?

Ik kreeg ook een tip om gewoon op elke pc d.m.v. de lokale firewall de poorten dicht te gooien, en dan kan zelfs een zeer standaard switch voldoende zijn. Is dat ook ongeveer wat jij bedoeld, Rolfie?

[DiedX]

Ik vind je tekening overigens wat onduidelijk. Ik neem aan dat je clients aan de switch hangen, en niet aan je AD?

[Yllnath]

Ja, eens, maar de tekening is ook meer gebaseerd op wat ik weet van de kennis van mijn manager. Mijn eerste tekening was een veel meer uitgebreide netwerk topologie tekening en die was 'helemaal fout', etc. Heel simpel gezegd is zijn binnen een AD alle servers en client(s) via de switch aan elkaar geknoopt. De switch wordt vervolgens weer aan de router geknoopt.