Nieuw netwerk aanleggen in groot pand

[trogdor]

/exit lurk modus

Hoi tweakers,
ik ben gevraagd mijn licht te laten schijnen over een nieuw aan te leggen netwerk voor een stel bedrijven in een oude fabriek, en bevind me wat op onbekend terein. Ik heb wel eens wat netwerk apparatuur geplaatst, maar nog nooit iets op deze schaal. Ook heb ik nog niet eerder een wifi netwerk hoeven in te richten.

De situatie is: er komt een glas aansluiting met voldoende capaciteit (opschaalbaar naar behoefte) tot aan een punt in het gebouw.
Er zijn nu 14 MKB huurders en een bedrijfsverzamelpand met tot 50 kleine huurders.
Het verzamelpand ligt op wat grotere afstand van het punt waar het glas binnenkomt, +- 500 meter. De gebruikers van het verzamelpand zullen allemaal alleen wifi gaan gebruiken.

Ze willen een no-worries oplossing maar ook voor een dubbeltje op de eerste rang, zoals het hoort bij kleine ondernemers
Daarom steek ik in op spul waarvan ik heb vernomen (veelal hier op tweakers) dat het van goede kwaliteit is. Dat het wat duurder is dan consumenten meuk dat moet ik ze proberen uit te leggen.

Ik heb de volgende oplossingen geschetst, en hoor graag wat er allemaal niet aan deugt en hoe het beter zou kunnen.

setup 1

code:

glas lade, 1 contract met vereniging van huurders
 |
converter / cpe , naar gbit ether
 |
Meraki MX100 of ASA5512X of Sonicwall of andere firewall. (suggesties?)
 |  | |
 |  16 poorts switch, evt met PoE. elke huurder op een eigen vlan. Bijvoorbeeld Allied Telesis AT GS950/24 WebSmart of iets groter
 |  | | | | | | | | | | | | | | 
 |  Cat5e naar de verschillende huurders, daar elk een simpele switch/AP
 |
 |
 | glaslijn 500m
 |
 |

Glasconverter + Ruckus Wireless ZoneDirector 1106 (tot 6 ZoneFlex Access Points) + 3x Ruckus ZoneFlex 7363
of
HP MSM720 Access Controller + HP - SFP (mini-GBIC) transceivermodule + 3x HP MSM460 of MSM466 Dual Radio 802.11n AP (WW)  
of
PoE switch met gbic poort + 3x Aerohive AP230 Access Point

Prettig dat er een trancievermodule voor die MSM controller is te krijgen, kan die glaslijn er zo ingeprikt worden.


setup 2, een contract met alle MKB huurders samen, en een met het bedrijfsverzamel deel.

code:

glas lade, twee contracten
 |   | 
 |   1 converter / cpe , naar gbit ether
 |   |
 |   Meraki MX100 of ASA5512X of Sonicwall of andere firewall. (suggesties?)
 |   | |
 |   Switch, bijvoorbeeld Allied Telesis AT GS950/24 WebSmart of iets groter.
 |   | | | | | | | | | | | | | | 
 |   Cat5e naar verschillende huurders 
 |   | | | | | | | | | | | | | |
 |   Elk een eigen switch/ap etc. bijvorbeeld Extricom UltraThin Access Point EXRP-22n, of iets waar ze zelf zin in hebben.
 |
 |
 | glaslijn 500m
 |
 |
Glasconverter + Ruckus Wireless ZoneDirector 1106 (tot 6 ZoneFlex Access Points) + 3x Ruckus ZoneFlex 7363
of
HP MSM720 Access Controller + HP - SFP (mini-GBIC) transceivermodule + 3x HP MSM460 of MSM466 Dual Radio 802.11n AP (WW)  
of
PoE switch met gbic poort + 3x Aerohive AP230 Access Point

Eventueel een Meraki MX80 voor de ZoneDirector / MSM720


setup 3, meerdere contracten met elke MKB huurder appart, en een met het bedrijfsverzamel deel.

code:

glas lade, meerdere contracten met elke huurder appart,  en een met het bedrijfsverzamel deel.
 | | | | | | | | | | | | | | | | |
 |  converters / cpe's , naar gbit ether
 | | | | | | | | | | | | | | | | |
 | Cat5e naar verschillende huurders 
 | | | | | | | | | | | | | | | | |
 | Elk een eigen fw, ap etc. Bijvoorbeeld Meraki MX60W, Dell SonicWALL TZ 105 TotalSecure of   Extricom UltraThin Access Point EXRP-22n
 |
 |
 | glaslijn 500m
 |
 |
Glasconverter + Ruckus Wireless ZoneDirector 1106 (tot 6 ZoneFlex Access Points) + 3x Ruckus ZoneFlex 7363
of
HP MSM720 Access Controller + HP - SFP (mini-GBIC) transceivermodule + 3x HP MSM460 of MSM466 Dual Radio 802.11n AP (WW)  
of
PoE switch met gbic poort + 3x Aerohive AP230 Access Point

Elk een eigen contract, en een eigen (beheerde?) firewall.
Makkelijker te voorkomen dat de MKB huurders ruzie krijgen maar wel een stuk prijziger.


Ik ga overmorgen op de locatie kijken, dan kan ik ook gaan scannen of 3 AP's voldoende is, of de 14 MKB bedrijven binnen de haalbare afstand van de glaslade liggen om dat met Cat5e te overbruggen (+- 100 meter kabelafstand) en of de bedrijfsverzamel hoek inderdaad 500 meter ver is vanaf diezelfde glaslade.

Twijfels:
Voor het verzamelpand:
- Ruckus vs HP-MSM's : zijn die Ruckusen echt zoveel beter dat ze een paar K meer moeten kosten ? (okee het wordt doorberekend, maar toch)
- Ervaringen met Aerohive AP's ? Ik heb begrepen dat ze werken met een "private preshared key" systeem, waar je een key per gebruiker kan uitdelen, zodat je geen radius nodig hebt. Klinkt ideaal moet ik zeggen.
- Is het zinnig om in setup 2 en 3 voor de Zonedirector of MSM720 nog een firewall te plaatsen, bijvoorbeeld nog een Meraki MX80 ?
- Is het mogelijk om op de Zonedirector of MSM720 per gebruiker verbruiks history te zien ?

Mijn persoonlijke voorkeur gaat uit naar een zo veel mogelijk gescheiden oplossing, minimaal oplossing 2.

Zijn er nog ervaringen die julie willen delen met een goede, simpel op te zetten, en niet al te kostbare firewall oplossing?

[ Voor 11% gewijzigd door trogdor op 30-04-2014 16:29 . Reden: typos ]

[Bl@ckbird]

Het grote voordeel van Cisco Meraki is dat je switches, AP's, security appliances en mobile device management vanuit één webportal kan beheren. Voor een enkele MX security appliance zou ik geen Meraki neerzetten.

[trogdor]

Dank je voor je antwoord Blackbird.
Wat wel dan, in plaats van een (of twee in het geval van de 2e en 3e oplossing) Meraki(s) ?

Laat me dat nog even nuanceren.
Het is inderdaad een groot voordeel dat dat apparaat van afstand beheerd kan worden.
Ook als het maar een apparaat is, is dat nog steeds een voordeel.
Als er een apparaat is wat net zo goed werkt en stuk goedkoper is dan hoor ik dat graag.

wbt de accesspoints, die van ruckus of hp beheer je voor zover ik het begrepen heb vanaf de ZoneDirector of de MSM720. Beheer je Meraki accesspoints vanuit een centraal webportal ?
Dan kan dat centrale ding er tussen uit en bespaar je zo 1200 euro (ruckus) , hoewel die APs van meraki niet echt goedkoop zijn.

[ Voor 69% gewijzigd door trogdor op 29-04-2014 18:57 ]

[Powermage]

Ik heb niet extreem veel ervaring met Ruckus, maar imho vind ik ze een tikkeltje tegenvallen.

Persoonlijk zou ik eerder gaan voor een gedeelde hardwarematige oplossing op een glasvezel (evt met een subnet aan ip adressen), daarna kan je kiezen voor bijvoorbeeld een Fortigate oplossing met de Accespoints van hun eraan om zo routers en ap's (en evt bedrade vlans) netjes van mekaar te scheiden zonder dat t veel moeite kost (omdat alles in de zelfde management interface hebt zitten)

Als je zelf voldoende kennis hebt dan zijn vlans alsnog een mooie oplossing, je kan dan als je router t aankan in iedergeval verschillende bedrade netwerken creeren die gesegmenteerd zijn, afhankelijk van je wifi oplossing kan je weer je SSID (of authentication based via 1 SSID) het verkeer weer in de juiste vlans terecht laten komen.

[ Voor 35% gewijzigd door Powermage op 29-04-2014 19:08 ]

[Verwijderd]

Heb ondertussen een aantal installaties met HP MSM gedaan en ben er eigenlijk helemaal geen fan van. Als je alsnog voor HP wil gaan zou ik eerder naar de 'unified' controllers gaan, de 830 bijvoorbeeld.

Waarom eigenlijk een mix van allerlei merken?
Als je voor één vendor kiest die de hele boel mag leveren ga je doorgaans meer korting krijgen.

Wij hebben een gelijkaardig project gedaan, een bedrijvenpand met meerdere gebouwen, die onder verhuurd worden aan kleine (van 1 tot 10 medewerkers) en iets grotere (tot zo'n 50 man) bedrijven.
Wij hebben daar het netwerk voorzien alsook de gedeelde IT infrastructuur (priners/projectors/meeting room conference).

Op netwerk niveau is er een redelijk dikke internet verbinding voorzien, redundant uitgevoerd, wel bij één provider.
Deze wordt getermineerd op 2 routers, langs de LAN zijde van de router is er een /27 subnet beschikbaar.
Klanten hebben dan de keuze, of ze sluiten hier rechtstreeks op aan en voorzien een eigen netwerk, en krijgen een publiek IP uit de /27. Of ze gaan via de netwerkvoorzieningen van het bedrijvenpand.
Deze bestaan uit een redundante firewall, die doet eveneens aan rate limiting zodat niemand de lijn helemaal kan dichttrekken.
Elk gebouw heeft één of meerdere PoE access switchen (in stack).
Die worden gekoppeld op de core via fibre. Voor elke klant zijn er een aantal wired verbindingen voorzien, alsook een IP phone (optioneel). Wireless werken we met een SSID voor gasten en 1 SSID voor de klant, naargelang de authenticatie wordt die door 802.1X in de juiste VLAN gezet.
In de hoofd telecom room zijn er ook een aantal racks voorzien voor de klanten, deze kunnen dan een stuk van deze racks huren voor het plaatsen van eigen servers.
Het netwerk is volledig Cisco

[ShadowAS1]

Ik heb zelf ook nog nooit een dergelijk netwerk aangelegd. Maar het ligt er aan hoe goed je t wil hebben.
Je spreekt over MKB bedrijven, die zullen niet al te hoge eisen hebben, je zou dus ook kunnen kijken naar semi-professioneel spul zoals MikroTik en Ubiquiti.

Qua switches, ik heb zeer goede ervaring met Extreme Networks en HP. Al kan de eerstgenoemde behoorlijk duur zijn afhankelijk van je eisen.

Van de ubiquiti's kan ik je best een aantal SSID's aanmaken, deze vallen wel onder het zelfde channel. (het is dus 1 radio)

Als je het op deze manier wil doen zou ik het als volgt doen.

Neem een MikroTik CCR als gateway, deze kan praktisch alles wat je wilt.
Voor WiFi kun je UniFi AP Pro's gebruiken, deze zijn centraal te beheren via een controller (softwarematig) en ondersteunen tevens PoE (Passive)
Ik zou wel aanraden je verbindingen redundant uit te voeren, dus 2 firewalls, core switches, access switches e.d.

Overigens ben ik het helemaal eens met de opbouw van elvn al ben ik geen Cisco fan.

[Bl@ckbird]

Eerst even een disclamer dat ik alleen met Cisco werk en je van mij dus alleen een Cisco antwoord krijgt. (Naast nog wat APC, NetApp, etc. wat ik erbij doe.)

Wireless is een shared, half duplex medium. De bandbreedte van een enkel AP moet je dus delen door alle clients die hiermee geconnect zijn. Theoretisch kan je met een enkel AP een collegezaal voor 300 studenten "dekken." Maar dat betekent dan de bandbreedte per student dramatisch laag is. Verder heeft wireless veel meer overhead dan een bedraad netwerk. Een wireless netwerk regel je in op capaciteit en niet op dekking. (Dit in tegenstelling tot vroeger toen wireless een "nice-to-have" was.) Hoe meer users in een ruimte zitten, hoe meer AP's je moet ophangen en hoe kleiner de Wifi cell grootte is. Valt een AP uit, dan is er nog wat ruimte voor andere AP's om wat harder te stralen, om toch dekking te garanderen.

Wifi is verder een analoog iets. Stalen constructies, HR++ glas, magnetrons, alles kan een Wifi netwerk storen. (Dit in tegenstelling tot een bedraad netwerk wat simpel inprikken en gaan betekent.) Als er klachten zijn over een Wifi netwerk dan is meestal de site survey niet goed uitgevoerd. Hiermee kan je bepalen waar je AP's moet plaatsen en wat storingsbronnen zijn. In een klein netwerkje kan je dat doen met iets als Netstumbler, voor een groter netwerkje kan je kijken naar bijvoorbeeld AirMagnet. Wil je locatie bepaling doen via Wifi, dan is het handig dat AP's in een ruit patroon opgehangen worden. Doe je VoIP of streaming Video over Wifi, dan heb je meer AP's per oppervlakte nodig.

Je kan elke klant zijn eigen firewall geven, maar dat wordt een kostbaar verhaal. Voordeel is dat elke klant zijn eigen setting kan regelen op z'n firewall, maar de klant moet dan wel wat "tech-savy" zijn en wat van netwerken weten. Handiger is om één dikke firewall neer te zetten. Wil men poorten op de firewall geopend hebben, dan kunnen ze bij jou als beheerder een ticket openen om dat te regelen. Ik denk dat dit meer aansluit bij de wens van "worry-free."

Er is nog een tussenoplossing en dat is een Cisco ASA firewall virtualiseren met Security Contexts. (Virtuele firewalls) Elke klant heeft dan z'n eigen Security Contexts, waar hij z'n policies kan instellen. Dit vereist van de klant echter wel diepe kennis wat betreft firewall configuraties en sluit dus niet aan bij de bij de wens van "worry-free."

Ook al gebruik je een gedeelde infrastructuur, dan nog kan je elke huurder z'n eigen factuur sturen. Heeft een huurder extra wensen (Zoals een eigen server, domeinnaam, you name it...) dan kan je dit per huurder factureren.

Het beste is om elke huurder z'n eigen VLAN en IP subnet te geven. Daarnaast een VLAN/subnet/SSID voor gasten die alleen internet access willen hebben en misschien een VLAN/subnet voor VoIP verkeer. Je kan per huurder een SSID maken, maar stel dat alleen in op de AP's in de buurt van de ruimte die de huurder huurt. Het SSID voor gasten kan wel overal beschikbaar zijn.

Neem ook deze topic even door:
Het Mikrotik/Unifi/Meraki-topic
\[Ervaringen/discussie] Cisco Meraki

Heb je een lage concentratie users, kijk dan naar de MR18. Heb je een hogere concentratie users, kijk dan naar de MR26. Cisco Meraki is niet veel goedkoper dan Cisco "classic" Aironet apparatuur. (Wat betreft Cisco "classic" hebben ze nu bundels van AP's met WLAN controllers, waarmee ze aardig kunnen concurreren met HP of Airohive.) Wat betreft Meraki is het voordeel vooral schaalbaarheid en lage operationele kosten. Zo is er een netwerk van 10.000 AP's wat door één persoon beheerd wordt.

Welke security appliance je nodig hebt, ligt aan de throughput van de internetlijn en het aantal users wat erachter hangt. Dat schaalt van 100Mbps tot 2Gbps. Verder heb je de keuze uit de standaard Enterprise licentie, of de Advanced Security licentie. Deze laatste zorgt voor Intrusion detection / prevention en Content filtering. (Bekent van Snort.) Dit zijn signatures van Sourcefire wat Cisco recent ook heeft overgenomen. De Advanced Security licentie is wel een stuk prijziger dan de standaard licentie.

In een bedrijfsverzamelgebouw vindt je vaak kleinere bedrijven en startups. Deze maken steeds vaker gebruik van clouddiensten, dus internet is redelijk essentieel. Een tweede internetlijn in de vorm van een consumenten kabel abonnement is misschien ook handig om aan te denken.

De MS220 switches zijn L2. Met de MS320 switches kan je ook statisch routeren tussen subnets. Je kan ze ook voorzien van redundant voedingen. Op alle apparaten (L2, L3 switches, AP's en security appliances) heb je L7 inzicht in netwerkverkeer. Met PoE switches kan je meteen AP's, IP phones en bewakingscamera's voorzien van voeding.

Voor glasvezel kan je in de switches SFP optic modules plaatsen. (Of SFP+ voor 10GE.) Check even of dit multimode of single mode vezel is. Voor apparaten anders dan switches kan je media converters overwegen.

Voordeel van Cisco classic is dat het veel beter te finetunen is dan Meraki. (Wat een meer alles-in-één-oplossing is. Erg uitgebreid, maar minder te finetunen.) Ik verwacht dat Meraki ergens na de zomer bij Cisco op de prijslijst komt. Naast Cisco classic, komt Meraki dan ook in aanmerking voor EasyLease. Hiermee giet je een netwerk in een leaseconstructie en de klant betaalt een fixed bedrag per maand. (Waarin je ook installatie kosten en 3rd party fabrikanten in mee kan financieren.)

[trogdor]

Dank je Blackbird voor je fantasitisch uitgebreide antwoord, op het eerste gezicht de spijker op zijn koppie.
Ik ga dit eens goed bestuderen. EasyLease is inderdaad ook een heel goed argument, en misschien een reden om voor een groot deel van de spullen naar cisco te kijken.
De 500 meter glaslijn is multimode.
Er is op dit moment ook een adsl verbinding als noodloplossing, dat is misschien in te zetten als backup.
Ik zoek net even de prijs op van de MS320 switches, dat is wel even schrikken hoor, een slordige 15 maal zo duur als een allied telesis switch met vergelijkbare mogelijkheden. Ook de verplichte licenties staan me wat tegen.
Ik ga nog eens goed kijken naar je suggesties, ik kom er op terug.

Powermage: op vlans scheiden klinkt goed, ik moet nog wel uitvinden hoe dat authentication based werkt. Fortigate kan ik niet vinden, niet hier in de pricewatch en ook niet bij mijn favoriete leverancier (azerty)

elvn: - waarom de mix van merken: dat heeft zo zijn prijsvoordeel. Een switch van AT is beduidend minder prijzig dan een van HP of cisco bijvoorbeeld.
- De HP 830 unified oplossing is wel een aardige, PoE switch en controller in een, maar 2200 ex voor een 8 poorts switch is wel wat prijzig, zeker als er maar 3 AP's aan komen. Waarom is de MSM oplossing je tegen gevallen ?
- Het voorbeeld wat je aanhaalt is volledig cisco. Wat heb je als firewall gebruikt ? ASA ? Die vindt ik lastig te configureren moet ik bekennen. Bovendien is een 5505 te langzaam. Een 5510 heeft vreemd genoeg alleen 100TX poorten, een 5512X zou het misschien wel trekken.
- "naargelang de authenticatie wordt die door 802.1X in de juiste VLAN gezet" -> dat is precies wat ik nodig heb denk ik. Blijft de vraag hoe dat makkelijk en het liefst op afstand beheerd kan worden, zowel op de switches, de firewall, als op de AP's. Klinkt toch wel weer vrij logisch om daarom alles van een merk te houden inderdaad.

ShadowAS1: Ik ga me niet branden aan B grade spul, dat krijg je terug in de vorm van reputatieschade. Als een oplossing van een A merk niet goed functioneert heb ik in iedergeval niet de klant met een probleem opgezadeld door een vermijdbaar risico te nemen met het gegeven advies.


Blackbird: ik heb nog eens wat rondgekeken en er is een hoop allergische reacties op de nieuwe prijsstructuur van Meraki na de overname door Cisco. Begrijpelijk, als alles uitvalt omdat je een doorlopende fee niet betaald, dat is not-done op een tamelijk spectaculaire manier IMO.

Ik heb ook contact gehad met Aerohive. 3x een AP230 Access Point , geen controller nodig en ingebouwde firewall. Kijk, dat is niet gek zou ik denken.
Dan moet ik alleen nog de firewall voor de 14 grotere huurders regelen. Eventueel een ASA...

[ Voor 10% gewijzigd door trogdor op 30-04-2014 16:13 . Reden: Meraki is duur ]

[Vinnienerd]

Als je B grade wilt vermijden zou ik meteen Cisco kopen. Ook zou ik meteen zorgen dat alles ook 802.11ac praat, dan zit je qua capaciteit goed en vermijd je zoveel mogelijk de 2,4 Ghz band.

[Bl@ckbird]

Meraki heeft ook MS220 switches. Redundant voeding kan je hiermee doen via een externe RPS2300 voeding. Verder is het ding L2. Als je wil routeren moet je dat via een MX security appliance laten doen. (Router-on-a-stick.) Verder betwijfel ik of allied telesis switch dezelfde features heeft. Configuratie van poorten werkt met tags. Je kan bijvoorbeeld met 2 klikken de configuratie van alle accesspoorten aanpassen. Of deze switches in Nederland staan, of in Australië. Of het nu gaat om 5 poorten of 10.000 poorten. (Virtual Stacking noemen ze dit.) En dit is een groot voordeel van cloud managed apparatuur. De switches, AP's en security appliances hebben ook L7 inzicht in applicaties. Je ziet precies wie porno kijkt, wie dropbox gebruikt en wie de internetlijn dicht trekt. Op de security appliance kan je hier ook policies op toepassen om dit te voorkomen.

Ik heb de certificeringstraining gedaan van Meraki. Deze duurde één dag van 9 tot 18h. (Ze hadden 2 dagen in één dag gestopt.) Twee dagen waren er voor Meraki partners en één dag voor Cisco System Engineer. De partners waren om 17:00 klaar. De Cisco System Engineer waren tot 18:00 bezig omdat ze hun command line interface misten.

Naast aanschafprijs moet je ook kijken hoe makkelijk het te beheren is. Personeelskosten zijn vaak de grootste kostenpost om een netwerk up-and-running te houden. (Zeker als je meerdere klanten moet bedienen.) Daarnaast moet je naar support kijken. De licentie op Meraki omvat niet alleen het webportal om de boel te beheren, maar ook nieuwe features, firmware updates, mogelijkheid om support cases te loggen en vervanging bij defecte hardware. Cisco heeft voor zijn support organisatie verschillende labs waar alles staat wat ze ooit gemaakt hebben. Belt bijvoorbeeld AT&T dat hun netwerk plat ligt, dan kunnen ze de situatie nabouwen met dezelfde apparatuur en software om het verhaal te reproduceren en te troubleshooten. Als je tegen configuratie issues aan loopt, hoe ga je dit dan escaleren? Wat kost het als het netwerk plat ligt? Daarom is professionele apparatuur duurder dan consumenten shizzle. Overigens zijn er ook licenties voor 7 of 10 jaar en je krijgt notificatie als licenties verlopen.

trogdor schreef op woensdag 30 april 2014 @ 12:48:
Blackbird: ik heb nog eens wat rondgekeken en er is een hoop allergische reacties op de nieuwe prijsstructuur van Meraki na de overname door Cisco. Begrijpelijk, als alles uitvalt omdat je een doorlopende fee niet betaald, dat is not-done op een tamelijk spectaculaire manier IMO.

Steeds meer bedrijven gebruiken cloud diensten voor hun bedrijfsprocessen. Als Salesforce uitvalt (of men betaald de factuur niet) dan is het hele CRM systeem met alle klantgegevens uit de lucht. Lijkt me redelijk business kritisch. Men is nog niet gewent om te betalen voor infrastructuur, maar dat komt nog wel. Veel startups (en grote internet bedrijven als Twitter) draaien hun servers gewoon op de Amazon AWS cloud.

Wat betreft een site survey en plannen op capaciteit, moet je rekening houden dat veel mensen 2 apparaten hebben. (Laptop en smartphone) Bij kennisbedrijven en studenten zijn dit vaak al 3 apparaten. (Laptop, smartphone en tablet) Bij 20 man zit je dus al aan zo'n 40 tot 60 apparaten. (Die allemaal beacons sturen en air-time verbruiken, ook al gaat er geen data overheen.) Daarnaast zijn professionele AP beter geschikt voor streaming video en VoIP. Consumenten apparatuur kunnen dit soort aantallen niet aan. Verder hebben access points BandSteering / BandSelect om clients zoveel mogelijk van de 5GHz band gebruik te laten maken.

De ASA5510 heeft 100Mbps poorten en de ASA5510-SEC heeft 3 100Mbps en 2 Gbps poorten. Overigens is de ASA5510 vorig jaar End-of-Sale gegaan. De ASA5512 is de vervanger ervan.

Kijk even wat voor kwaliteit de glasvezel is. (OM1, 2, 3, of 4) Zie tabel 1 1000BASE-SX voor de afstanden. Transition heeft media converters die over multimode vezel verder gaan dan Cisco SFP's. (tot 2km)

Als RADIUS server kan je Microsoft server gebruiken, of Cisco ACS of ISE. Cisco ACS doet alleen 802.1X. Met ISE kan je ook geautomatiseerd gasten toegang geven en bijvoorbeeld checken of antivirus software op de client draait. Cisco ACS kan je gebruiken met Cisco classic en Meraki. Cisco ISE draait momenteel alleen in combinatie met Cisco classic. (Men denkt aan integratie met Meraki.) Voor authenticatie is het handig om een lokale RADIUS server te hebben draaien. Als internet weg valt, kunnen mensen nog steeds authentiseren. (Meraki blijft gewoon doordraaien, je kan alleen geen wijzigingen aanbrengen.) Meraki heeft voor kleine omgevingen ook een RADIUS server in de cloud draaien, maar dan ben je dus erg afhankelijk van internet. Met RADIUS moet je voor werknemers bij houden wie er op het netwerk kan. Je bouwt er een veiliger netwerk mee, maar het vereist wel meer beheer. Je kan integreren met bijvoorbeeld Active Directory, maar je moet nog steeds users aanmaken.

[Verwijderd]

Qua features zit de MSM toch nog steeds wat achter op Cisco of de nieuwe HP Unified controller.
Maar wat mij echt tegenvalt is de web interface, die echt niet makkelijk is en heel omslachtig werkt.

De HP 830 is de wireless controller met ingebouwde switch, je hebt er hier dus maar één of 2 (redundancy) van nodig, je kan je AP's verder gewoon aansluiten op een reguliere switch.

Firewall is inderdaad ASA, 2 keer 5525X. De 5510 is trouwens end of sale.
Ik ben het met je eens dat ASA niet het meest makkelijke platform is (al is het maar het hele verhaal over hoe ASA CX is geïmplementeerd, dat maakt het er niet makkelijker op).
Als je enige IOS kennis hebt is de configuratie via ASA goed te doen via CLI en normale administratie via ASDM is ook wel OK, maar er zijn andere vendors (Fortinet, Palo Alto bv) die het pakken beter doen op dat gebied. Je zou eventueel PRSM offbox kunnen proberen voor ASA management, maar dat maakt het geheel enkel maar complexer.
Er staat volgens mij wel het één en ander te gebeuren bij Cisco op security vlak met de overname van Sorcefire. (Hopelijk maken ze nu een kick ass firewall van scratch die makkelijk in beheer is en niet één of andere halfbakken oplossing zoals CX)

Voor de dot1X oplossing heb je een radius server nodig die de authenticatie voor zich neemt, Windows server heeft er zo één ingebakken, Cisco en HP hebben er ook één, met extra functionaliteiten, Freeradius zou ook een alternatief kunnen zijn.

Beheer op afstand wordt bij de klant die ik aanhaalde gedaan door een remote access VPN (Cisco Anyconnect client), hiermee hebben we toegang tot alle toestellen onder ons beheer.

Persoonlijk denk ik dat een cloud oplossing zoals bv meraki de beste is in jullie situatie, dan heb je onmiddellijk alle netwerk devices in één overzichtelijke web interface. Cisco classic is zeker niet slecht, maar wat complexer in beheer (zeker als je zowel wireless/firewall en switching doet, er plakt wel overal een Cisco logo op, maar CLI en interface is anders op elk toestel).

[ Voor 10% gewijzigd door Verwijderd op 30-04-2014 16:45 ]

[trogdor]

Vinnienerd: dat is wel erg kort door de bocht he.

[Glashelder]

trogdor schreef op woensdag 30 april 2014 @ 12:48:
Ik heb ook contact gehad met Aerohive. 3x een AP230 Access Point , geen controller nodig en ingebouwde firewall. Kijk, dat is niet gek zou ik denken.
Dan moet ik alleen nog de firewall voor de 14 grotere huurders regelen. Eventueel een ASA...

Wij hebben ons draadloze netwerk gebaseerd op Aerohive en je betaalt nog wel een bedrag per AP extra voor het gebruik van de cloud controller. De configuratie is wel echt een eitje

En net als Meraki kan Aerohive ook switches via dezelfde web portal configureren.

Verder wil ik het gebruik van Allied Telesis switches afraden.. Ik heb er een paar in mijn netwerk en het zijn rare apparaten. Af en toe spontaan onbereikbaar en ik krijg het ding niet zover om zijn management interface op een ander vlan te zetten. Het is niet eens mogelijk om de management interface van vlan1 af te halen

[trogdor]

Blackbird: ik denk dat je gelijk hebt wbt het practisch inhuren van infrastructuur, echter denk ik niet dat ze er daar aan toe zijn. Ik ook niet trouwens. Dat je de configuratie niet meer kan wijzigen als je licentie afloopt, ala, maar dat dan direct je hele netwerk niet meer werkt... voor mij toch nog een brug te ver.
- Met die glaskabel van 500 meter zit het wel goed, OM3 multimode, daar zoek ik de trancievers of converters bij en klaar.
- Ik verwacht weinig beheer op de switches als ik APs inzet die geen matching vlans nodig hebben, daarom neig ik nu sterk om het verkoopverhaal van Aerohive te geloven.
- wbt de sitesurvey: thnx voor de tips.
- Radius ga ik proberen te vermijden als mogelijk, door Aerohive te gebruiken dus. Als de klant het accepteert teminste.

Elvn: thnx
- Ook Aerohive levert cloud managed switches. Kost wel flink extra...

Glashelder: Kijk, dat hoor ik graag (dat over het eitje)
- Dat Aerohive ook switches levert was me al bekend, ze zijn wel tamelijk prijzig.
- Je ervaring met AT deel ik niet, maar ter kennisgeving aangenomen. Ik probeer nu uit te vinden welke HP Procurve ik er in de plaats van zou kunnen kiezen. Dat zijn er belachelijk veel. HP geeft me keuze-stress.... Misschien een HP procurve 2530-24G...


Iemand ervaring met Zyxel Zywall firewall btw? Ik sprak vanmiddag een ex collega en die was daar tamelijk enthausiast over.

[ Voor 4% gewijzigd door trogdor op 30-04-2014 22:47 ]

[RedShift]

*knip*
Iemand ervaring met Zyxel Zywall firewall btw? Ik sprak vanmiddag een ex collega en die was daar tamelijk enthausiast over.

Ja, we ze allemaal aan het vervangen zijn door Cisco 1921 routers... We hebben een hele serie USG 50 (wat niet zo goedkope toestellen zijn, zo'n € 350) geplaatst en zijn er niet tevreden van.

Bandwidth management is een lachtertje (halveert de verwerkingssnelheid van het toestel, haal je nog amper 50 mbps over je WAN interface terwijl het toestel 2 gigabit WAN interfaces heeft!) wat we echt wel nodig hebben tegenwoordig met VoIP. Ook bijvoorbeeld een bandwidth limited gastennetwerk lijkt moeilijk te werken met die toestellen, ik slaagde er nooit in een goed resultaat te behalen (tegenover de 1921 dat echt een prachtig resultaat hiertegenover neerzet).

Het gebeurt soms ook dat je configuraties maakt die werken tot het toestel herstart: bij het starten kan de saved config niet volledig toegepast worden waardoor het toestel in een halve staat achterblijft. Ook al gehad dat tijdens de configuratie van een user-to-site VPN dat de webinterface vastliep op een bepaalde pagina. Herstarten hielp helaas niet, opnieuw mogen beginnen met een blanco config.

Verder lijkt de internetervaring met die toestellen niet zo plezant te zijn, vage klachten en traag ladende HTTP pagina's die verdwijnen van zodra we er een 1921 neerploffen... Neen helaas kon Zyxel niets betekenen voor ons.

(Edit: we zijn ondertussen ook al ettelijke firmware versies verder met deze toestellen en er geen beterschap in bovenstaande gevallen te melden)

[ Voor 4% gewijzigd door RedShift op 01-05-2014 11:26 ]

[trogdor]

Redshift: dank je voor de waarschuwing. Dat is echter wel een ander apparaat met anti spam etc, logisch dat die niet genoeg troughput haalt. De firewall waar ik het over heb is de zywall 1100.

Algemeen: update.
De connectie van het punt waar het glas van buiten naar binnen komt en het bedrijfsverzamelcomplex dat ligt er al. Multimode glas in bundels van 8 aders. Kan zo worden hergebruikt.

Het is niet duidelijk of de 14 bestaande huurders samen achter een firewall willen, dat hangt ook af van de propositie die ik ze kan doen.
Scenario 3, met elk een eigen CPE is in iedergeval afgevallen.

Het bedrijfsverzamelcomplex lijkt in te stemmen met mijn voorstel voor de Aerohive AP's, ik ga voorstellen om in te zetten op 3x de 230 en 1x de 121.

De switches worden waarschijnlijk HP Procurves. Niet fancy, maar goed genoeg.

[ Voor 9% gewijzigd door trogdor op 01-05-2014 22:26 ]

[Bl@ckbird]

Het aantal AP's vind ik wat laag voor een wireless only infrastructuur. Even rekenen:
2x 50 users = 100 clients. 15 tot 20 Clients per AP wordt ongeveer 5 tot 7 AP's.

Ligt er aan welke fabrikant, aantal gelijktijdige clients die online zijn en of je groei meeneemt.
Als klanten klagen dat het netwerk traag is, plaats dan wat extra AP's bij.

Voor switches kan je eventueel kijken naar de Cisco SG300-28P met de MGBSX1.
Niet Cisco classic, te configureren via webinterface, basic Layer 3, command line interface maar niet te vergelijken met IOS. Niet top-notch, maar voldoende.

[trogdor]

Blackbird: APs: Aerohive 3x de 230 en 1x de 121, en een klein deel van de aansluitingen toch bedraad.
wbt de switches: mooi voorstel, ik heb het probleem dat ik door de bomen het bos niet meer zie, deze cisco switches zien er uit als een prima match.

Mooie link trouwens naar die AP test trouwens.

[ Voor 9% gewijzigd door trogdor op 05-05-2014 01:00 ]

[bigfoot1942]

Misschien moet je gewoon een offerte laten maken op basis van je eigen wensen. Voor mijn werk doe ik implementaties voor Dell en die kunnen best interessante combi aanbiedingen doen (SonicWall + Dell Switching + Aruba wireless spul). Heb je 1 point of contact en wellicht valt er nog iets met de prijs te doen. En sowieso betaal je niet de hoofdprijs. Als je ondersteuning nodig hebt voor design of implementatie kan zelfs dat geregeld worden ;-)

[trogdor]

Bedankt voor de tip.
Zelf nogal slechte ervaringen met sonicwall, aruba wireless is juist weer top.