LAN Party Gateway/router OS advies

[Noahlvb]

Beste Tweakers,

Ik ga binnenkort een lanparty houden voor zoon 40 man. Nu hebben wij een internet verbinding van 500/500. Echter kan de meegeleverde router al ons verkeer niet echt aan en restart hij vaak in de testen. Ook ook was de ping rond de 80ms. ik heb al een switch die de juiste vlans naar de router stuurt. Maar hier zit ik dus even vast. Ik wil een Server gebruiken als Router. Hiervoor heb ik een OS nodig.

Mijn eisen zijn:
- blocken van pc die geen dhcp lease hebben gekregen. Dit is het belangrijkst
....|| - > met uitzondering van bepaalde mac adressen. (niet static mapping of zo iets.)
- minimaal 500/500 kunnen halen.
- mijn voorkeur gaat uit naar een webinterface.

Ik hoop dat jullie suggesties hebben, en eventueel ervaringen kunnen delen als het gaat om dit onderwerp.

Noah

[Nirrilith]

je zou een proefversie van windows sever (met rras) kunnen gebruiken deze zijn naar mijn weten 90 dagen geldig.

[Yariva]

Even knutselen met PfSense lijkt mij hier verstandig?

Heb je zelf al verschillende mogelijkheden/aanbieders bekeken?

[Luqq]

Kijk eens naar smoothwall: http://www.smoothwall.org/

[Mijzelf]

OpenWRT

[WCA]

PfSense is geweldig, en doet alles wat jij wil.

[Bacchus]

Noahlvb schreef op vrijdag 29 mei 2015 @ 10:13:
Mijn eisen zijn:
- blocken van pc die geen dhcp lease hebben gekregen. Dit is het belangrijkst
....|| - > met uitzondering van bepaalde mac adressen. (niet static mapping of zo iets.)

Kun je dit een beetje toelichten? Wat wil je hier bereiken? Bij 40 bezoekers heb je toch nog aardige fysieke controle? Voor zover ik weet kun je namelijk geen PC's op zich blokkeren, hooguit IP- of MAC-adressen en die zijn beiden eenvoudig te spoofen.
Als je bang mocht zijn dat een bezoeker een tweede systeem meeneemt en aansluit: dat kun je op netwerknivo niet blokkeren want hij kan zelf NAT doen.*

* Edit: Bij nader inzien zou dit met DPI wel mogelijk moeten zijn, theoretisch, blijft dat het imho een hoop moeilijk gedoe is. :-P

[ Voor 9% gewijzigd door Bacchus op 29-05-2015 13:02 ]

[Noahlvb]

Ik wil graag dat de router enkel werkt voor hosts de een dhcp lease hebben.
Als tweede heb ik meerdere servers die zelf static ip's hebben maar die zouden dan geblokkeerd worden.
Daarom zou ik de MAC van de nic op de server willen uitsluiten van het 'blokeer als hij geen dhcp lease heeft gekregen.'

Hoop dat het zo duidelijk is

[Mrk87]

Gewoon je servers en clients van elkaar scheiden door verschillende subnetten/vlans te gebruiken.

[Noahlvb]

Mrk87,

Dat is zeker een goed idee. En dan gewoon zorgen dat die subnetten/vlans met elkaar kunnen praten.
Ik ga trouwens Pfsense gebruiken.

bedankt.

[ Voor 8% gewijzigd door Noahlvb op 29-05-2015 14:01 ]

[monstertje.xyz]

Bacchus, dat is niet waar je kunt dat met een managed switch in combinatie met dot-one-x (802.1x) oplossen.

[Bacchus]

Ah ja, natuurlijk. Ik had niet verder dan zijn router op zich gedacht. Tenzij ik het verhaal van TS verkeerd lees, blijf ik overigens in deze situatie de voorkeur aan een LART geven voor een technische oplossing.

[Glashelder]

monstertje.xyz schreef op vrijdag 29 mei 2015 @ 14:35:
Bacchus, dat is niet waar je kunt dat met een managed switch in combinatie met dot-one-x (802.1x) oplossen.

Het is wel wat overkill om 802.1x in te gaan richten voor een LAN party. Enig idee hoeveel werk je je op je hals haalt?

Voor zoiets kan je beter iets als IP Source Guard op switch niveau gebruiken (want dat is waar je het wilt blokkeren). Het heeft helemaal geen zin om zoiets in een router te gaan zitten blokkeren als ze vervolgens wel vrolijk je interne netwerk kunnen verzieken..

[Noahlvb]

Voor de aankomende LAN ga ik denk ik geen van deze opties implementeren aangezien het in een groep van zoon 25 man is en de kans dat iemand gaat klooien. En als het toch gebeurd kan ik gewoon in persoon ingrijpen. Veder klinkt het zeker logisch om het ip Switch niveau te doen omdat ik anders het interne netwerk niet cover.

Echter heb ik veel tijd dus het opzetten van 802.1x zou geen probleem moeten zijn. Echter is dit niet super gebruikt vriendelijk voor de hosts, voor zo ver ik even heb gekeken op internet.

Veder heb ik geen Cisco switches dus IP Source Guard word hem ook niet.

Dus dan denk dat ik wat ga proberen met verschillende vlans en subnetten.

[DJSmiley]

Voor 40man gaan subnetten en vlans gaan maken is nogal overkill. Hoe ga je tussen de vlans routeren? Als je dat wirespeed wilt doen is een beetje router wel handig, en dan nog is dat touwtje de bottleneck.

Als je dat perse wilt doen, routeer t dan op de switch, dan heb je tenminste >1Gbit als een paar clients onderling gaan file sharen.

Zoals gezegd, dhcp verplichten kan prima dmv IP source guard / whatever je vendor het heet. Geen dhcp request / renew? -> macadres wordt niet meer toegestaan.

Wat voor switches enz ga je gebruiken? 40 clients is niet veel maar net teveel voor 1 48-poorts (Reken ook op wifi, router, servertje enz)

Houd je ook rekening met je stroomvoorziening? 40 gebruikers a 200W per plek is 8kW. Dat kun je NET kwijt als je een 35A hoofzekering hebt.
Maar een inschakelpiekje, lampje extra, frituurpannetje of whatever en je gaat eroverheen.
Als je een 25A hoofdzekering hebt kun je het al helemaal vergeten, tenzij de clients laptops zijn of het verbruik echt een stuk lager is. Maar een beetje PC met redelijke videokaart+ scherm + bijkomende accesoires (tablets, laptopjes, telefoonladers enz) en je gaat snel naar de 200W

Kun je niet een dealtje maken met een lokale IT tent? Een beetje router doet die 500Mbit icm veel connecties zonder problemen, en je kan ook meteen vragen of ze een grotere switch hebben. Als je een centrale fileserver hebt kun je die dan ook makkelijk op 10G koppelen

[ Voor 10% gewijzigd door DJSmiley op 29-05-2015 19:34 ]

[Rolfie]

Noahlvb schreef op vrijdag 29 mei 2015 @ 10:13:
Beste Tweakers,

Ik ga binnenkort een lanparty houden voor zoon 40 man. Nu hebben wij een internet verbinding van 500/500. Echter kan de meegeleverde router al ons verkeer niet echt aan en restart hij vaak in de testen. Ook ook was de ping rond de 80ms. ik heb al een switch die de juiste vlans naar de router stuurt. Maar hier zit ik dus even vast. Ik wil een Server gebruiken als Router. Hiervoor heb ik een OS nodig.

Mijn eisen zijn:
- blocken van pc die geen dhcp lease hebben gekregen. Dit is het belangrijkst
....|| - > met uitzondering van bepaalde mac adressen. (niet static mapping of zo iets.)
- minimaal 500/500 kunnen halen.
- mijn voorkeur gaat uit naar een webinterface.

Ik hoop dat jullie suggesties hebben, en eventueel ervaringen kunnen delen als het gaat om dit onderwerp.

Noah

Kan perfect met pfsense. Heb dit al een keer gebouwd. Eventueel een Capitive portal bouwen? Kan je het source IP altijd terug aan een gebruiker.

Ik zou niet verder zoeken, gewoon een standaard PC moet dit al aan kunnen.

[Noahlvb]

[b][message=44323793,noline]
Houd je ook rekening met je stroomvoorziening? 40 gebruikers a 200W per plek is 8kW. Dat kun je NET kwijt als je een 35A hoofzekering hebt.
Maar een inschakelpiekje, lampje extra, frituurpannetje of whatever en je gaat eroverheen.
Als je een 25A hoofdzekering hebt kun je het al helemaal vergeten, tenzij de clients laptops zijn of het verbruik echt een stuk lager is. Maar een beetje PC met redelijke videokaart+ scherm + bijkomende accesoires (tablets, laptopjes, telefoonladers enz) en je gaat snel naar de 200W

Over stroom verbruik maak ik me niet zo veel zorgen. We doen het in een school in de natuurkunde lokalen. Daar heeft iedere tafel 4 220 boven hangen. en elke tafel heeft zijn eigen hoofdzekering. Dus dat is al geregeld. Het is trouwens wel een beetje overkill voor een school, maar dat maakt mij niet uit.

DJSmiley schreef op vrijdag 29 mei 2015 @ 19:31:
Voor 40man gaan subnetten en vlans gaan maken is nogal overkill. Hoe ga je tussen de vlans routeren? Als je dat wirespeed wilt doen is een beetje router wel handig, en dan nog is dat touwtje de bottleneck.

Ik heb al wat geprobeerd met de vlans en subnetten. Maar omdat je dat met een router/pc routeerd is het niet snel genoeg. Veder kan kunnen mijn switches dat niet uit zich zelf. Dus dat ga ik ook niet doen.

DJSmiley schreef op vrijdag 29 mei 2015 @ 19:31:
Zoals gezegd, dhcp verplichten kan prima dmv IP source guard / whatever je vendor het heet. Geen dhcp request / renew? -> macadres wordt niet meer toegestaan.

ip source guard is niet iets dat op de mijn switches aanwezig is. Dus dat word hem helaas niet. Zou wel de beste oplossing zijn echter. (Ben er achter gekomen dat het bij netgear ook ip source guard heet maar ik heb het gewoon niet.)

Rolfie schreef op vrijdag 29 mei 2015 @ 21:58:
Kan perfect met pfsense. Heb dit al een keer gebouwd. Eventueel een Capitive portal bouwen? Kan je het source IP altijd terug aan een gebruiker.

Ik zou niet verder zoeken, gewoon een standaard PC moet dit al aan kunnen.

Nee ik wil geen portal. De deelnemers zouden er niets van mogen merken.

Ik ben erg blij met al jullie reacties. Echter weet ik nog steeds gewoon niet wat ik moet doen. Omdat er zo veel suggesties zijn. Ik hoef ook niet hele spannende dingen, maar ik wil gewoon mensen zonder dhcp lease van het netwerk. Met uitzondering van een groepje Mac adressen.

[Glashelder]

Heeft je switch wel iets van Port Security? Je kan de poorten van de switch wellicht zo configureren dat hij slechts één (vooraf) ingesteld MAC adres per poort accepteert.

Maar dat is veel werk, want je moet het voor elke switchport apart instellen..

Aan de andere kant: je kan het ook op zijn beloop laten. Waarom zou je je zoveel moeite op de hals halen voor een LAN party met 40 man? En als er wat gebeurd spoor je met 40 man de boosdoener vast snel genoeg op

[johnkeates]

Zorg dat je goede NICs gebruikt van Intel bijv. 2GB RAM voor 500/500 is voldoende, maar je gaat wel 4 cores op tenminste 4 cores per stuk willen hebben. Qua storage is een USB stick van 2GB genoeg maar een HDD is natuurlijk sneller voor de webinterface.

DHCP + Captive portal is makkelijkste voor aan MAC-based registry. Dan heb je er weinig omkijken naar, en als mensen echt heel graag duplicate MACs gebruiken of een eigen router meenemen kan je op MAC of IP-basis wel zien wie zich aan het misdragen is. Dat zit in de traffic monitor van pfSense. Met traffic shaping kan je ze ook straffen >:D

[Noahlvb]

Glashelder schreef op zaterdag 30 mei 2015 @ 17:08:
Heeft je switch wel iets van Port Security? Je kan de poorten van de switch wellicht zo configureren dat hij slechts één (vooraf) ingesteld MAC adres per poort accepteert.

Maar dat is veel werk, want je moet het voor elke switchport apart instellen..

Aan de andere kant: je kan het ook op zijn beloop laten. Waarom zou je je zoveel moeite op de hals halen voor een LAN party met 40 man? En als er wat gebeurd spoor je met 40 man de boosdoener vast snel genoeg op

Ik ben het helemaal eens met Glashelder.
Ik was gewoon benieuwd of dit makkelijk kon maar voor een Lan van deze grote is het geen probleem. Bedankt allemaal

PS: ik ga een pfsense bakje draaien als gateway

[Rolfie]

Noahlvb schreef op vrijdag 29 mei 2015 @ 10:13:
- blocken van pc die geen dhcp lease hebben gekregen. Dit is het belangrijkst

Noahlvb schreef op zaterdag 30 mei 2015 @ 17:36:
PS: ik ga een pfsense bakje draaien als gateway

Dan kan je eventueel hier ook gebruik van maken.

Deny Unknown Clients / Static ARP