Advies: studentenhuis isolated en shared

[NMNN]

Zoveel mensen, zoveel wensen. Daarom hebben we besloten om het 'huisnetwerk' aan te pakken.

Huidige situatie:

• max 8 bewoners
• > 2 apparaten per persoon
• NAS met films en muziek
• webserver
• Gameconsoles
• Mobiele telefoons
• horizon mediabox
• 2 routers
• UPC 200-10Mb

Omdat ik mijzelf graag uitdaag en iets nieuws wil leren heb ik besloten om het netwerk wat 'serieuzer' aan te pakken. De bedoeling is om met bestaande hardware rond te komen en waar mogelijk open source software te gebruiken. Volgens mij moet dat makkelijk kunnen.
In de huidige situatie is alleen mijn eigen netwerk afgeschermd van de andere bewoners, zij kunnen elkaar allemaal zien. De meeste gebruikers verbinden draadloos maar maken wel veel gebruik van torrents en WeTransfer, al dan niet Skype uiteraard. Ze hebben naast de moderne MacBooks (allemaal kunstacademiestudenten) ook allemaal een iPhone of vergelijkbaar. De nodige PS en Xbox ontbreekt uiteraard ook niet. Beneden worden de films gestreamd vanaf de NAS naar de mediabox. De server staat er voor mij en dient als backup, fileserver, webserver en waar ik ook maar zin in heb. Ik gebruik mijn netwerk ook zakelijk en werk met veel videomateriaal (editor, sounddesigner). Er is ook veel bezoek aan huis en die willen allemaal een makkelijk wachtwoord, dus een gastnetwerk is er ook.

Wat ik momenteel onderzoek is het volgende:

^Klik

Het nieuwe netwerk moet het mogelijk maken voor clients om geïsoleerd te verbinden, dus ieder zijn eigen netwerk eigenlijk. Enkel de NAS moet openbaar zijn voor aangesloten clients. Intern op de NAS kan eventueel met accounts gewerkt worden. Het moet voor gasten mogelijk zijn om makkelijk een internetverbinding te krijgen geïsoleerd van de anderen uiteraard. Het lijkt me gaaf als het lukt om een captive portal op te zetten, gewoon omdat het kan . Mijn eigen netwerk moet ook los bestaan van de anderen.

Nu heb ik dus wel vaker een simpel lokaal netwerkje opgezet maar voor mij is dit wel even andere koek. Ik vermoed dat ik met VLAN aan de slag moet gaan om alles te isoleren van elkaar. Ik wil daarvoor gebruiken een oude lichte bak met pfSense. Die wil ik inzetten als firewall, QoS en DHCP. Er zitten 3 Gb uitgangen op, naast de WAN poort uiteraard. Zoals in mijn tekening wil ik daarmee 3 vlan's opzetten. 1 voor mij, 1 voor de routers inclusief AP en 1 voor de NAS zodat die centraal bereikbaar kan zijn. De routers met DD-WRT serveren isolated netwerken aan de draadloze clients, en eenmaal bedraad.

Waar ik momenteel mijn hoofd niet omheen kan krijgen is het opstellen van de ipranges en subnetten. Want hoe werkt dit nou precies? Kan ik de ip opsplitsen in:

code:

192.168.1.2 - 87         255.255.255.0
192.168.1.88 - 173       255.255.255.0
192.168.1.173 - 255      255.255.255.0

Wat verbindt nu juist netwerken en wat onderscheidt ze? Is het submask puur om aan te geven dat ze tot hetzelfde net behoren, terwijl ze wel gescheiden kunnen blijven? En een vlan verbinden, is dat wat je doet met een bridge?
Hier en daar ben ik dus nogal rommelig met de terminologie, maar die is me dus ook nog niet helemaal duidelijk. Ik hoor ook graag suggesties omtrent mijn idee voor het netwerk!

[CAPSLOCK2000]

Je hebt een netwerk met een bepaalde ip-range. bv 192.168.0.0 - 192.168.255.255. Met een subnetmasker geef je aan waar de grenzen van je subnetten liggen.
Wikipedia legt het beter uit dan ik het kan http://nl.wikipedia.org/wiki/Netmask.

Je wil ieder vlan z'n eigen subnet geven.

Een bridge knoopt netwerken aan elkaar zodat je niet ziet dat het eigenlijk twee aparte netwerken zijn. Het lijkt op een switch, maar kan ook met verschillende soorten netwerk overweg. Ik denk dat het voor jou een dwaalspoor is en dat je geen bridge nodig hebt.
Jij wil verkeer gescheiden houden en een bridge voegt juist samen. Jij wil routeren.

Ik zou nog een apart vlan gebruiken voor de gastgebruikers zodat je die apart kan behandelen (bv alleen read-only toegang op de NAS).

[ Voor 9% gewijzigd door CAPSLOCK2000 op 17-10-2013 21:18 ]

[Verwijderd]

Je hoeft niet eens met VLANS te werken. Je hebt 3 kabels (optisch of UTP) gebruikt om de boel te scheiden.

Laat de DHCP server 3 verschillende subnets uitgeven. NAS: 192.168.1.1, studenten: 10.0.0.1, en jij bv. 172.148.15.1

In de router / pFsense set je een static route naar de NAS (want iedereen moet erbij kunnen), en klaar. Wat firewall rules extra zodat je zeker weet dat ze niet op het net gaan rondneuzen, en klaar.

[Paul]

...en dan stelt iemand statisch zijn IP in en kan men er alsnog bij Sowieso, hoe moet de DHCP-server bepalen welk IP er naar welk device moet als ze allemaal op dezelfde interface zitten? Als je het echt fysiek gescheiden houdt hoef je inderdaad geen virtuele netwerken aan te maken, maar je blijft met meerdere netwerken zitten.

Verder heeft je 'GOD' ook nog een gigabit-interface nodig naar je UPC-modem, dus 4 aansluitingen (of iets wat VLANs snapt).

Je hebt 8 bewoners, een NAS en een internetlijn, dus 10 netwerken? Ieder netwerk zijn eigen WiFi? Zo ja, heb je accesspoints die meerdere SSID's uit kunnen zenden?

Met je huidige tekening ben jij (alles aan Ouranos, dus Hercules, Hades en Zeus) de enige die gescheiden is van de rest, Veerle, Judith, Alex, Stijn, Hugo, Gilbert en Horizon kunnen gewoon bij elkaar als ze dat willen.

[ Voor 18% gewijzigd door Paul op 18-10-2013 12:38 ]

[NMNN]

Het is belangrijk dat alle clients afgezonderd van elkaar verbinden. Daar ligt ook de prioriteit, de centrale NAS is een leuk hebbedingetje, maar dat kan later nog.
De router met pfSense (als dat al een goede keuze is) is in totaal voorzien van 4 aansluitingen, dus 1 X wan en 3X lan. De accespoints draaien DDWRT dus een virtueel wlan moet kunnen volgens mij. Er zijn er in totaal 2 van, per verdieping 1.
Wat me nu mogelijk lijkt is om 'God' 3 aparte netwerken uit te laten sturen zoals haik01 zegt. Ieder zijn eigen range. Dan heb ik mijn eigen netwerk en de overige verdiepingen al gescheiden. Als ik de draadloze routers nu weer zijn eigen netwerken laat uitdelen aan de clients boven? Dus geisoleerd en weer in een eigen range, zou dat werken? De router ziet het draadloos netwerk dan als 1 client terwijl er meerdere aan verbonden zijn?
Of heb ik dan zoals Paul zegt een schijnbeveiliging?
Ik heb nu overigens een aantal keer getracht de wiki te begrijpen maar dat wil nog niet helemaal vallen. Is het netmask nu een manier om de totale range van een ip aan te geven? Dus 192.168.1.1/8 = 256 mogelijk adressen?

[CAPSLOCK2000]

Je bent op weg maar hebt het verkeerd om:
/24 = 256 adressen

/24 betekent "de eerste 24 bits geven het netwerk aan". Wat overblijft is voor de hosts. Er zijn in totaal 32 bits beschikbaar. 32-24 = 8. Je hebt dus 8 bits voor hosts. 2^8 = 256

/16 -> 32-16 = 16 -> 2^16 = 65536

192.168.0.0/24 = 192.168.0.1-192.168.1.255
192.168.1.0/24 = 192.168.1.1-192.168.1.255
192.168.2.0/24 = 192.168.2.1-192.168.2.255
192.168.3.0/24 = 192.168.3.1-192.168.2.255
192.168.0.0/16 = 192.168.0.1-192.168.255.255
192.168.1.0/16 = 192.168.0.1-192.168.255.255

Die laatste is geen tikfout. Als je begrijpt waarom snap je het helemaal. Hint: welke bits geven het netwerk aan?

Die draadloze gebruikers kunnen elkaar inderdaad gewoon zien. Er is wel zoiets als client-seperation voor WIFI maar daar heb ik eerlijk gezegd niet veel vertrouwen in. Als je het echt goed wil scheiden moet iedereen z'n eigen SSID hebben en dan eigenlijk ieder SSID een eigen vlan geven. Een goed accespoint kan meerdere SSIDs tegelijk aanbieden. Wat je vooral niet moet doen is iedere gebruiker z'n eigen accesspoint geven, die gaan elkaar storen. Het is misschien een beetje overkill maar je schreef dat je het serieus wil aanpakken

[ Voor 29% gewijzigd door CAPSLOCK2000 op 18-10-2013 13:19 ]

[Paul]

Als je accesspoints zelf het 'inkomende' signaal kunnen scheiden naar diverse SSID's (waarvoor hij waarschijnlijk NAT gebruikt) dan zit iedereen alsnog apart ja, maar dat hangt sterk van je AP's af (merk/type/instellingen).

Die AP's gaan er waarschijnlijk vanuit / zijn gemaakt als enige router in je netwerk. Als je dat beheer zo simpel mogelijk wilt houden dan is het zo min mogelijk regelen in je AP's en zo veel mogelijk centraal, dus binnen pfSense. Maar dan moeten je AP's wel VLAN's en multiple SSID's snappen en moet je een switch hebben die ook VLAN's doet.

Als je met de huidige hardware verder wilt is het dus vooral goed documenteren

[Verwijderd]

Serieuze routers, kunnen PER POORT een DHCP opstarten. De mijne in ieder geval wel (Mikrotik).
Ook Negears en Junipers kunnen dat. Daar wordt iedere poort apart gedefineerd.

En met een firewall dat alles denied van van poort 2 naar poort 1 gaat (als voorbeeld), ben je er ook.

[Paul]

...en pfSense kan dat dus ook. Alleen wil TS geen 3, maar 10(+?) netwerken, dus dan moet je (als je AP's niet meewerken) dus toch aan VLAN's.

Zonder VLAN's (en IP-helper op je router, tenzij je je DHCP-server in _ieder_ VLAN zet) ga je gewoon niet meer netwerken uit kunnen delen via DHCP dan dat je server zelf zit.

[NMNN]

De routers boven, TP-link 1043ND, zijn geflashed met DD-WRT, daarmee kunnen virtuele SSID's/VLAN's gemaakt worden.

Het zou dan toch mogelijk moeten zijn om 3 netwerken vanuit pfSense uit te delen, en de draadloze routers boven dat weer verder laten verdelen. Al is dat geen nette oplossing heb ik begrepen. Het netst zou zijn om 1 DHCP te hebben toch? Maar om welke reden is dat eigenlijk?

Of een tussenoplossing waarbij pfSense twee 'harde' lan's uitdeelt en een aantal vlan's naar boven?

Ik ga maar weer eens wat dingen uittekenen denk ik!

en ja CAPS, ik doe het graag serieus!

[ Voor 3% gewijzigd door NMNN op 18-10-2013 15:01 ]

[Paul]

Met DD-WRT is inderdaad erg veel mogelijk. Ik heb het zelf al een hele tijd niet meer gebruikt, maar als ik het goed heb kan dat inderdaad wat jij wilt.

Als je je eerste tekening neemt dan is VLAN 1 jouw eigen LAN, daarop stel je in wat je zelf fijn vind werken qua DHCP. In VLAN 2 zet je de TP-link 1043ND's met ieder een vast adres, deze knoop je met hun WAN-poort aan pfSense.

Op de AP's stel je een aantal SSID's in met hun eigen beveiliging en netwerk/subnet. Op het NAS maak je vervolgens users aan. Op pfSense stel je in dat iedereen mag internetten, maar dat er tussen de 3 netwerken (NAS / AP's en jouw net) geen verkeer mag zijn behalve van/naar het NAS.

De reden om maar één DHCP-server te hebben is centraal beheer. Op hoe minder verschillende plekken je instellingen kunt / moet doen, hoe overzichtelijker het is. In jouw setup wordt dat wat lastiger omdat je geen VLAN-capable switch tussen de AP's en pfSense hebt.

Ik weet niet hoe je van 'midden' naar 'zolder' gaat, steek je 'zolder' op 'midden'? Dan kun je nog overwegen de NAS in jouw netwerk te zetten; in pfSense is heel goed in te stellen wat de andere netwerken wel en niet mogen. Dan is VLAN2 voor AP 'midden' en VLAN3 voor AP 'zolder'.

Ik heb het wel over VLAN's, maar omdat je apparatuur daar niet mee werkt is dat meer een benaming dan dat je in pfSense VLAN ID's op moet gaan geven; dat gaat niet werken

[NMNN]

Als de naam VLAN niet van toepassing is, hoe noem je dit dan eigenlijk? Subnetten? Multiple LAN?

Ik vermoedde dat centraal beheer de reden is om dat zo op te lossen, maar de schaal van dit netwerk is nog wel te overzien denk ik. Zoals je het nu stelt is het qua hardware prima op te lossen, dan is het alleen nog even uitvogelen hoe ik de boel aan de praat krijg, maar daar kijk ik al naar uit.

Ik zou overigens wel een van de routers om kunnen bouwen naar VLAN-capable switch met DD-WRT, maar is dat verstandiger?

Voor wat betreft zo'n AP, hoe onderscheidt ik die ranges? Is dat de range 192.168.1.1 - 255 opslitsen in delen? Dus delen door 6? De eerste gebruiker krijgt dan bijvoorbeeld 192.168.1.1 - 45 met het subnet 255.255.255.0. De volgende gebruiker 192.168.1.46 - 88 met het subnet 255.255.255.0? Of moeten de subnetten juist onderscheiden? Dit blijft een lastig onderdeel vind ik. Of is dit helemaal niet van toepassing als ik met multiple WLAN werk en de AP laat DHCP'en?

mulitple WLAN op DD-WRT

[Paul]

'Netwerken' over het algemeen. Meestal wordt dat echter met VLAN's opgelost omdat dat veel kostenefficiënter (en makkelijker te beheren) is dan allemaal losse switches en een router met een gaziljoen fysieke interfaces

Als die routertjes dmv DD-WRT toch VLAN's snappen, en per VLAN een SSID kunnen aanmaken zou je het alsnog centraal kunnen regelen, router rechtstreeks op de netwerkkaart van je pfSense, in pfSense ook VLAN's definiëren. Dan zou je alsnog 'zolder' op 'midden' kunnen hangen want dan is het gewoon kwestie de goede VLAN's naar de goede poorten te sturen.

Ranges scheiden doe je het makkelijkste door overal gewoon /24's te houden.
VLAN 1 - 192.168.1.0/24
VLAN 2 - 192.168.2.0/24
VLAN 3 - 192.168.3.0/24
VLAN 4 - 192.168.4.0/24
VLAN 5 - 192.168.5.0/24
VLAN 6 - 192.168.6.0/24
VLAN 7 - 192.168.7.0/24
VLAN 8 - 192.168.8.0/24
VLAN 9 - 192.168.9.0/24
VLAN 10 - 192.168.10.0/24
VLAN 100 - DHCP vanaf UPC modem in bridge

Je moet de subnetten dus juist onderscheiden, anders zit nog iedereen in hetzelfde subnet Ook als je de AP's laat DHCP'en dan speelt dat, je wilt unieke netwerken want anders snapt de router niet wat naar welke interface moet

[NMNN]

Dat heeft me wel aan het denken gezet want, even geheel offtopic hoor, maar hoe werkt zoiets in een professionele omgeving, zeg een kantoor? Alle PC's zitten op hetzelfde netwerk, printer ook. Maar werknemers zitten met mobiel toch ook vaak op WIFI, hoe onderscheidt men zoiets? Kan me niet voorstellen dat alle clients in een enorme pool van apparaten terecht komen.

Maar netwerken dus. Ik ben blijkbaar een harde waren man, want mij lijkt een oplossing in de vorm van switches, AP's en routers het meest overzichtelijk, maar ik snap dat dat niet handig is.

Enfin, ik denk dat er een klein besef begint te dagen hoe ik dit ga oplossen. Terug naar de tekentafel.

[tlpeter]

Wifi ook gewoon in een ander VLAN.
Maar dit is pas nodig met grotere netwerken

[Paul]

Alles staat en valt met de grootte van je kantoor en ook wel van je budget. Een van de klanten van een ex werkgever had 50 'devices' (printer, fax, werkstation, server, etc) in één /24, WiFi was een aparte /24 met maar heel beperkt internet en beperkt toegang tot interne netwerk (lees: alleen webmail op de interne Exchange).

Een grotere klant had 100 werkplekken, daar zat alles in een /22, waarvan in het IP-plan 256 adressen voor servers, 256 voor routers/switches/NAS/accesspoints en 512 adressen DHCP. Dat is dus eigenlijk al te groot om in één broadcast domain te willen hebben, dat hadden eigenlijk vier /24's moeten zijn met een L3-switch als core.

Bij mijn huidige werkgever hebben we 300 servers, 1500 werkplekken, 100 switches. Daar hebben we een stuk of 200 VLAN's, deels ook omdat we in een migratietraject zitten. Daar wordt alles gerouteerd op een L3-switch (2x Cisco 6500 in VSS) met als default gateway een stelletje Nokia-appliances met CheckPoint erop. 'Iets' heftiger hardware dus, maar ook een beetje groter netwerk