Intenetvoorziening voor clubhuis

[devino]

Er wordt op dit moment een nieuw clubhuis gebouwd, waarbij gelukkig meteen rekening gehouden gaat worden met internet en netwerk voorzieningen. Jullie voelen hem al aankomen: ik mag daar iets zinnigs over gaan zeggen.

Ik ben eerst eens begonnen met het inventariseren van de verschillende eisen en wensen en probeer op basis daarvan een goede oplossing te bedenken, waar ik graag jullie reactie en commentaar op hoor, want netwerkapparatuur uitzoeken is niet mijn dagelijkse werk, laat staan de professionele apparatuur waarvan ik verwacht toch gebruik te moeten maken.

Er komt 1 (zakelijke) verbinding binnen, welke ik wil opdelen in 3 verschillende VLAN's. Deze moeten onderling ook gescheiden van elkaar blijven ivm de verschillende toepassingen waarvoor het gebruikt gaat worden. Uitdaging 1 wordt dan al meteen dat deze wel alle 3 ook draadloos moeten kunnen werken. Gezien de grote van het gebouw zijn er meerdere AP's nodig, seamless roaming is niet verplicht.

VLAN: private: +/- 7 vaste aansluitingen + wifi (hidden) --> geen beperkingen en geen gebruikers (voornamelijk gebouwgebonden installaties)
VLAN: wifi: +/- 4 vaste aansluitingen + wifi (beveiligd) --> snelheid gecapped om dichtzetten verbinding tegen te gaan, wifi beveiligd
VLAN: Hotspot: Alleen wifi (open) --> Snelheid gecapped + poort blokkade (alleen internet), toepassen van landingspagina

Overige eisen:
* evt extra VLAN voor pin oid
* AP's dienen dus 3 SSID's op div VLAN te kunnen draaien
* Router/FW + evt switch dient VLAN ondersteuning te hebben
* AP's bij voorkeur PoE, maar dan dus ook switch met PoE
* Hotspot op piek momenten 50 (?) users

Nu had ik daar wat apparatuur op uitgezocht, bij 1 merk om beheer wat te vergemakkelijken. Ik had eerst zitten zoeken bij Netgear omdat ik daar hier op tweakers positieve reacties over had gelezen, maar ik was nog geen router/firewall tegen gekomen waarvan ik denk dat die de juiste opties aan kan.
Uiteindelijk onderstaande Cisco apparatuur uitgezocht en ben benieuwd naar jullie mening.

Cisco WAP4410N
Cisco SG200-26
Cisco SA 520

Tot slot waar moet ik specifiek nog rekening mee houden voor de hotspot-functionaliteit, want wanneer worden we gezien als serviceprovider en dus verplicht om e.e.a. te loggen en bij te houden wie wat doet op onze verbinding.

[Bartjezz]

Misschien is het verstandig om in jouw geval 3 aparte routers te gebruiken die je voor zijn eigen doel configureerd??
Ik heb zelf een TP-Link WR1043ND met DD-WRT draaien, die eigenlijk al die functies bezit, maar ik denk dat zo'n huis/tuin/keuken routertje een beetje te licht is voor jouw toepassing...

Ik zie nu dat je PoE ook wilt? Dat zal (volgens mij) geeneen router met wifi ondersteunen, daar zul je een extra switch voor moeten aanschaffen die dit wel kan.

[Paul]

Waarom één merk? Ik denk dat je jezelf daarmee wel enigszins in de weg zit. Tevens heb je nu ook twee 'merken', de AP en Switch komen van het door Cisco overgenomen Linksys, de firewall van hunzelf.

De switch ziet er wel OK uit maar aangezien je er een behoorlijk professionele omgeving mee in wilt richten wil je misschien iets wat beter te managen valt? Aan de Cisco die je uitgezocht hebt valt bij problemen niet heel veel te zien.

Tevens zie ik geen nood voor gigabit, al weet ik natuurlijk niet wat die gebouwgebonden installaties zijn. Gigabit + POE + volledig managed (ipv 'smart switch') is een dure combi, terwijl het 'slechts' in wat internet lijkt te hoeven voorzien.

Mijn voorstel:
- pricewatch: HP Procurve 2620-24-PPoE+ Fully managed, VLAN's, POE. Ik heb gekeken naar het opsplitsen van POE en overige switching om toch gigabit aan de vaste aansluitingen aan te bieden maar dat wordt duurder dan deze oplossing.
- pricewatch: EnGenius EAP-9550 Hele fijne AP's, doen het uitstekend, goed bereik. Vaak vervangen we 'Cisco' (overgenomen Linksys) AP's door deze (of vergelijkbaar van EnGenius) en alle klanten zijn enthousiast over het betere bereik
- pfSense-Small of OPNsense Rack Edition, beiden gelijk alleen de 2e is rackmountable.

pfSense is een open source firewall appliance met een betrekkelijk lage learning curve (als je bij beiden op 0 begint heb je eerder pfSense door dan die Cisco) maar tegelijkertijd wel ontzettend krachtig. Alles wat je wilt kan hier mee.

Je komt er ongeveer ~200 euro duurder mee uit (met name door de switch) maar het is in mijn ogen een betere setup met een lagere learning curve

[devino]

@Bartjezz: 3 routers, 1 verbinding en meerdere AP's per VLAN? Lijkt me niet een hele handige constructie, het is namelijk te groot om met 1 AP te kunnen doen. Alle sleuven worden naar een technische ruimte gemaakt, dus ik kan gewoon een patchkast inrichten (en deze zit natuurlijk niet midden in het gebouw).

@Paul: Nuttige info, hier kan ik vast wel wat mee. Ik had ookal zitten denken aan hoe ik het vroeger in mijn studentenhuis had opgelost (Debian server als R/F), maar de VLAN's op de AP's leek me wat lastiger dan. Ik ga thuis eens verder googlen met de opties en mogelijkheden die jij nu geeft,


Als er iemand anders nog suggesties heeft die ik zeker niet mag missen hoor ik het natuurlijk graag.

[_JGC_]

De WAP4410N-G5 die je voorstelt zou ik iig buiten de deur houden, die dingen zijn extreem instabiel en enige wat Cisco er na anderhalf jaar prutsen over heeft te zeggen is "trek de stekker er zo nu en dan maar uit".

[DJSnels]

Ik zou als router een DrayTek Vigor ofzo nemen zoals: http://tweakers.net/price...9/draytek-vigor-2920.html
Deze kan per LAN poort een VLAN maken.
Vervolgens gebruik je een managed switch zoals de http://tweakers.net/price...oe-(170-w)/specificaties/ met PoE. Deze zou je eventueel meerdere nodig hebben, afhankelijk van het aantal aansluitingen dat je wilt. Vervolgens zoek je nog wat PoE wifi AP's en ben je al een heel eind, voor niet al te veel geld.

[Keypunchie]

VLAN: Hotspot: Alleen wifi (open) --> Snelheid gecapped + poort blokkade (alleen internet), toepassen van landingspagina

Niet vergeten om contact tussen wireless apparaten onderling uit te schakelen, daarmee maak je het voor je gebruikers ook veiliger voor het "onderlinge" gevaar van apparaten op een netwerk..

Wat bedoel je trouwens met "alleen internet". Alleen maar 80 en 443? Op zich is dat niet heel aardig omdat mobiele apparaten tegenwoordig ook veel meer doen, om te beginnen al de e-mail (110, 465, 587 en 995), maar ook bijvoorbeeld iMessage gebruikt poort 5223 en whatsapp 5222 (dacht ik).

Als je ook FaceTime belletje van iPads/iPhones wilt mogeijk maken heb je ook UDP 16384 - 16387 en16393 - 16402.

En ga zo maar door. Mijn gedachte: Biedt internet aan, of doe het niet. Als je het dan wel doet, ga dan niet zitten dichtgooien op poortbasis, zodat je allemaal gebruikers met rare problemen krijgt, maar zorg gewoon dat je een duidelijke afspraak hebt dat het niet hun eigen verbinding is en dat verwacht wordt dat ze zich netjes gedragen.

Dat kan prima via een link naar Algemene Voorwaarden op de landingspagina.

Geen idee wat voor club het is, maar ik neem even aan een sportclub/kantine. In dat geval kan ik me prima voorstellen, dat je ook (veiliger en gebruiksvriendelijker) gewoon periodiek een nieuw wachtwoord te gebruiken. Bijvoorbeeld elk kwartaal. Dat print je dan op papiertjes die bij de bar kunnen worden afgehaald met daarop een vermelding "Bij gebruik van WiFi ga je akkoord met de spelregels" met een linkje naar de gebruiksvoorwaarden. Desnoods kan je iets opmerken over streaming diensten.

Op die manier voorkom je de ergernis van mensen dat ze telkens op de landingspagina komen, maar heb je toch duidelijk dat het niet de bedoeling is dat mensen met Spotify de verbinding dicht trekken.

Hangt natuurlijk een beetje af hoe druk/groot de club is of dat gaat werken.

Over juridische aspecten hoef je je niet zo'n zorgen te maken. Je biedt namelijk geen dienst aan "het publiek", maar doet dit alleen voor de leden/bezoekers van de club.

Zie ook: https://ictrecht.nl/facts...fi-aanbieden-aan-anderen/

[ Voor 4% gewijzigd door Keypunchie op 01-11-2012 20:55 ]

[devino]

_JGC_ schreef op donderdag 01 november 2012 @ 13:29:
De WAP4410N-G5 die je voorstelt zou ik iig buiten de deur houden, die dingen zijn extreem instabiel en enige wat Cisco er na anderhalf jaar prutsen over heeft te zeggen is "trek de stekker er zo nu en dan maar uit".

Goed om te weten, gaat die van de shortlist af!


@DJSnels, die Draytec had ik zelf ook gevonden, weet alleen even niet meer uit mijn hoofd waarom die niet op de shortlist was beland.

Keypunchie schreef op donderdag 01 november 2012 @ 20:42:
[...]
Wat bedoel je trouwens met "alleen internet".

Goede vraag, had ik voor mezelf nog niet volledig uitgekristaliseerd, maar je geeft me wel goede tips/handvatten.

Keypunchie schreef op donderdag 01 november 2012 @ 20:42:
[...]
Op die manier voorkom je de ergernis van mensen dat ze telkens op de landingspagina komen, maar heb je toch duidelijk dat het niet de bedoeling is dat mensen met Spotify de verbinding dicht trekken.

Ik denk dat het mee valt, maar dat zijn dingen waar ik uiteindelijk anderen over laat beslissen ik kon me bij het opzetten van de eisen wel voorstellen dat het een gewenste optie kon zijn. Voordeel van de landingspagina is wel dat het naast de AV ook evt een sponsor kan bevatten.

Keypunchie schreef op donderdag 01 november 2012 @ 20:42:
[...]
Over juridische aspecten hoef je je niet zo'n zorgen te maken. Je biedt namelijk geen dienst aan "het publiek", maar doet dit alleen voor de leden/bezoekers van de club.

Zie ook: https://ictrecht.nl/facts...fi-aanbieden-aan-anderen/

Dank, het schoot me gister avond bij het typen van mijn eerste verhaal te binnen dat ik daar ook nog naar moest kijken, maar daar had ik natuurlijk makkelijk zelf op kunnen googlen


pfSense is overigens wel heel compleet en als ik het zo snel goed heb gezien is het een stuk gebruiksvriendelijker geworden dan mijn eigen Debian firrewall/router van 5-10 jaar geleden.

[DJSnels]

Keypunchie schreef op donderdag 01 november 2012 @ 20:42:
[...]
Wat bedoel je trouwens met "alleen internet". Alleen maar 80 en 443? Op zich is dat niet heel aardig omdat mobiele apparaten tegenwoordig ook veel meer doen, om te beginnen al de e-mail (110, 465, 587 en 995), maar ook bijvoorbeeld iMessage gebruikt poort 5223 en whatsapp 5222 (dacht ik).

Als je ook FaceTime belletje van iPads/iPhones wilt mogeijk maken heb je ook UDP 16384 - 16387 en16393 - 16402.

En ga zo maar door. Mijn gedachte: Biedt internet aan, of doe het niet. Als je het dan wel doet, ga dan niet zitten dichtgooien op poortbasis, zodat je allemaal gebruikers met rare problemen krijgt, maar zorg gewoon dat je een duidelijke afspraak hebt dat het niet hun eigen verbinding is en dat verwacht wordt dat ze zich netjes gedragen.

Ik zou alleen specifieke poorten dichtgooien (dus blokkeren waar nodig, in plaats van toestaan waar nodig).
Gooi dus alleen diensten dicht die de verbinding kunnen verzieken, zoals bittorrent en usenet.

[Verwijderd]

PoE hoeft niet per se via de switch. Kan ook met een apparte kastjem buiten de switch om.

[aZuL2001]

Grappig, ben met een soortgelijk traject bezig.

Mijn keuze's tot nu toe:
Zywall USG-50 als router. Kan Vlan's en 2 internetverbindingen aan.
Engenius EAP-150 (2 stuks) voor wifi. Kan meerdere ssid's en vlan's aan.
2 ssid's, gasten & commissies.
Eventueel nog apart vlan voor vaste gebouw zaken.

Wifi voor gasten is gewoon open, geen wachtwoord. Wel beperkt/geknepen in snelheid.
Commissie netwerk grotere bandbreedte.

Helaas zijn we gezien de afstand beperkt tot de kleinste Adsl snelheid.

Op termijn nog een dekkend wifi over 4 velden met spul van 4ipnet.
Optioneel nog twee of drie webcams om de velden te zien en/of parkeerterrein.