WiFi: gastennetwerk gescheiden van kantoornetwerk

Gooi er gewoon wat Meraki apparaten tegenaan? Makkelijker kan bijna niet. Kun je via de interface zoveel netwerken maken als je wilt, gescheiden of niet (en meer).

OpenWRT etc zou ik sowieso niet gebruiken in een professionele omgeving.

maandag 18 april 2016 18:25

Acties:

maandag 18 april 2016 18:32

Topicstarter

Die keuze heb ik allang niet meer. Zelf iets voorstellen gaat het niet worden.

Het hoeft voor mij ook helemaal geen OpenWRT te zijn, het gaat meer om het idee dat het Wifi-punt (of dat nu een router of Access Point of wat dan ook is) zelf DNS en DHCP voor de gasten regelt, en dat daar dan mbv firewall rules de beveiliging op geregeld kan worden.
Dat lijkt me toch niet zo'n exotische feature te zijn?

Het is vooral dat principde dat telt, niet OpenWRT op zich. Dat was een midel om dat de config voor mekaar te krijgen omdat er toen geen WiFi-routers met 2 SSIDs waren. Nu wel.

Acties:

DukeBox

loves wheat smoothies

tc-t schreef op maandag 18 april 2016 @ 17:30:
DHCP *moet* dus vanop de DHCP-server van het kantoor komen en we gaan werken met VLANs.
Onze huidige firewall ondersteunt dat niet, dus firewall eruit.

Heb je niet meerdere poorten op je FW ? Hoe scheid je je guest nu dan van de rest ?

De gevolgen hierbij (DHCP-reeks voldoet niet meer als alle guests daar ook bij moeten; de huidige VPN-clients stoppen met werken) worden voor lief genomen.

Waarom ? Je kan prima DHCP uitdelen voor andere ranges middels een helper/forwarder.

Duct tape can't fix stupid, but it can muffle the sound.

maandag 18 april 2016 18:36

Acties:

powerboat

Met unifi kun je net zoals een meraki zoveel netwerken scheiden, eventueel mt guest policy (misschien niet beste oplossing maar het werkt)

maandag 18 april 2016 18:37

Acties:

maandag 18 april 2016 18:42

Klinkt als een prima oplossing. Je zult voor beide vlans aparte dhcp reeksen en forwarding regels in moeten stellen maar dat is het dan wel. Ubiquiti zou ik zelf ook aanbevelen in zo'n situatie (waar échte enterprise graf buiten het budget valt of onnodig is).

Als je firewall geen VLANs kan dan wordt het tijd om dat stuk consumentenhardware ook maar eens te vervangen

De reden dat je trouwens geen DHCP van je access points doet is o.a. dat je dan ook niet makkelijk kunt overschakelen tussen access points, wat juist in jouw situatie wel wenselijk is. Het hoort ook gewoon op een centrale plek thuis.

[ Voor 42% gewijzigd door Bigs op 18-04-2016 18:43 ]

Acties:

maandag 18 april 2016 18:44

Topicstarter

DukeBox schreef op maandag 18 april 2016 @ 18:32:
Heb je niet meerdere poorten op je FW ? Hoe scheid je je guest nu dan van de rest ?

Nee, de firewall heeft maar 1 aansluiting op de rest van het netwerk.
In elk Access Point zit ook een firewall (het is een router die in AP-mode gezet wordt) en daar worden een aantal rules ingesteld, zodat het verkeer vanop de IP-range van het guest-netwerk naar het kantoornetwerk gedropt wordt (met als enige uitzondering verkeer naar de gateway/router/firewall en dus naar internet)

DukeBox schreef op maandag 18 april 2016 @ 18:32:
Waarom ? Je kan prima DHCP uitdelen voor andere ranges middels een helper/forwarder.

Voor zover ik de setup uit het nieuwe voorstel heb begrepen (alles wordt via de directie gespeeld dus ik hoor nooit iets rechtstreeks) zouden ook de guests een IP uit de gewone range krijgen en zou de Unifi controller (Software om de apparaten te beheren neem ik aan) "er voor zorgen dat de gast alleen met zichzelf en het internet kan spreken"

Acties:

maandag 18 april 2016 18:44

Topicstarter

Bigs schreef op maandag 18 april 2016 @ 18:37:
Als je firewall geen VLANs kan dan wordt het tijd om dat stuk consumentenhardware ook maar eens te vervangen

Is nu een ipCop, de bedoeling is om straks een pfSense oplossing neer te zetten. Dat staat op de planning, maar we zijn op dit moment afhankelijk van wat externen die via VPN toegang nodig hebben. Dus nu even niet.

[ Voor 196% gewijzigd door tc-t op 18-04-2016 18:45 ]

Acties:

maandag 18 april 2016 18:48

tc-t schreef op maandag 18 april 2016 @ 18:42:

[...]

Voor zover ik de setup uit het nieuwe voorstel heb begrepen (alles wordt via de directie gespeeld dus ik hoor nooit iets rechtstreeks) zouden ook de guests een IP uit de gewone range krijgen en zou de Unifi controller (Software om de apparaten te beheren neem ik aan) "er voor zorgen dat de gast alleen met zichzelf en het internet kan spreken"

Dat kan, het heet client isolation. Ik zou zelf voor losse vlans kiezen maar dit is wel makkelijker te integreren in jullie bestaande netwerk.

Acties:

maandag 18 april 2016 18:50

Topicstarter

Bedankt voor de reacties tot zover.

Het gaat er mij niet om of een bepaalde oplossing wel of neit goed is, ik ben ervan overtuigd dat zowel Ubiquiti als Ruckus als ... prima oplossingen zijn.
Zeker als je van niks vertrekt.

Mijn vraag is vooral of een oplossing waarbij de WiFi apparatuur zelf alles afhandelt dan een slechte oplossing is?
Focus niet op OpenWRT of zoiets, ik wil me daar niet op vastpinnen, het gaat me om het technische idee.

Acties:

endness

Het is vooral in een relatief grote omgeving zoals de jouwe, makkelijker om e.e.a. te beheren als je dat vanaf een centraal punt kan doen. Een professionele oplossing als Ubiquiti heeft ook een oplossing voor roaming, wat alleen goed kan werken als de AP's onderling kunnen communiceren. In mijn optiek blijft het een beetje een houtje-touwtje oplossing als je "simpele" consumentensoftware neerzet.

maandag 18 april 2016 18:52

Acties:

CH4OS

It's a kind of magic

Ik vind het ergens ook wel raar, dat je bij weinig zaken betrokken bent aangaande de ICT en dat men enkel naar jouw mening vraagt als de offerte al binnen is. Op die manier kan je niet het netwerk beheren zoals je zelf zou willen en wat in het beste belang is van het bedrijf zelf.

Dat maakt voor jouw vraagstelling natuurlijk niet zoveel uit, maar is voor jou naar mijn idee toch ook zeker wel een aandachtspuntje. Ikzelf zou het niet prettig werken vinden in zo'n omgeving. Ik wil best een ICT omgeving ondersteunen, maar dan moet ik het zelf ook gebouwd (en liefst ook ingericht) hebben. Ik begrijp dat dat moeilijk is, maar probeer daar wel doorheen te breken, als het even kan.

maandag 18 april 2016 18:59

Acties:

maandag 18 april 2016 19:00

tc-t schreef op maandag 18 april 2016 @ 18:48:
Bedankt voor de reacties tot zover.

Mijn vraag is vooral of een oplossing waarbij de WiFi apparatuur zelf alles afhandelt dan een slechte oplossing is?
Focus niet op OpenWRT of zoiets, ik wil me daar niet op vastpinnen, het gaat me om het technische idee.

Slecht wil ik het niet noemen, maar het is zeker af te raden. Vergelijk access points met switches in je bedrade netwerk: zou je die daarvoor inzetten?

Doordat je nu consumentenhardware gebruikt heb je toevallig wél de mogelijkheid voor wat je nu doet maar het is in zakelijke omgevingen ongebruikelijk.

Acties:

maandag 18 april 2016 19:25

CptChaos schreef op maandag 18 april 2016 @ 18:52:
Ik vind het ergens ook wel raar, dat je bij weinig zaken betrokken bent aangaande de ICT en dat men enkel naar jouw mening vraagt als de offerte al binnen is. Op die manier kan je niet het netwerk beheren zoals je zelf zou willen en wat in het beste belang is van het bedrijf zelf.

Dat maakt voor jouw vraagstelling natuurlijk niet zoveel uit, maar is voor jou naar mijn idee toch ook zeker wel een aandachtspuntje. Ikzelf zou het niet prettig werken vinden in zo'n omgeving. Ik wil best een ICT omgeving ondersteunen, maar dan moet ik het zelf ook gebouwd (en liefst ook ingericht) hebben. Ik begrijp dat dat moeilijk is, maar probeer daar wel doorheen te breken, als het even kan.

Als de TS verantwoordelijk is voor het huidige houwtje-touwtje netwerken en de bijbehorende klachtenregen dan is het wel te begrijpen dat ze in eerste instantie een externe partij om advies vragen. Daarna kunnen ze prima samen een oplossing implementeren.

[ Voor 0% gewijzigd door Bigs op 18-04-2016 20:34 . Reden: Autocorrect :{ ]

Acties:

maandag 18 april 2016 19:27

Topicstarter

CptChaos schreef op maandag 18 april 2016 @ 18:52:
Ik vind het ergens ook wel raar, dat je bij weinig zaken betrokken bent aangaande de ICT en dat men enkel naar jouw mening vraagt als de offerte al op de mat ligt. Op die manier kan je niet het netwerk beheren zoals je zelf zou willen en wat in het beste belang is van het bedrijf zelf.

Ja, dat is helaas zo. Ik wou daar niet teveel over uitwijden, maar dat frustreert me enorm. Het was niet altijd zo, maar zo'n 3 jaar geleden is er vanalees veranderd (nieuwe directrice, financieel directeur eruit, andere financieel directeur in) en de situatie wat mij betreft is er niet beter op geworden: vroeger zou dit zo niet gebeurd zijn.

Het is vooral in dat licht dat ik wat info zoek. Als mijn oplossing even goed is (ook al zou het niet jullie kueze zijn) en de directie kiest toch voor de oplossing van de andere partij dan moet ik daar toch eens flink over gaan nadenken.

Als mijn oplossing een security probleem is (denk het niet) of om wat voor reden dan reden 'niet van deze tijd' dan is dat natuurlijk iets anders...

Acties:

maandag 18 april 2016 19:30

Topicstarter

Bigs schreef op maandag 18 april 2016 @ 19:00:
... de bijbehorende klachtenregeling ...

Welke klachten? Ik zie of hoor er geen. Er is momenteel geen bereik onder het plaatstalen dak van het magazijn, dat is alles (en is ook nooit anders geweest)

Acties:

Kijk, blijkbaar werkt het wifi niet goed. Dat komt denk ik niet uit de lucht vallen als directie daarvoor een andere partij gaat zoeken. Waarom is dat niet eerder opgelost? Heb je dit zelf op een of andere manier in de hand kunnen werken? (Door het op z'n beloop te laten..?)

Je probleem is dat de directie alleen resultaten en kosten ziet. Jouw hele verhaal is niet interessant. Waarom breng je het niet in de trant van "Nu ik een idee heb van het beschikbare budget ben ik eens met volgende alternatief gekomen. Voordeel van dit alternatief is dat we niet direct de hele infra hoeven om te gooien etcenzblaat" En kom dan ook met een goed voorstel met goed spul van grote namen, die kennen ze misschien wel.

tc-t schreef op maandag 18 april 2016 @ 19:27:
[...]

Welke klachten? Ik zie of hoor er geen. Er is momenteel geen bereik onder het plaatstalen dak van het magazijn, dat is alles (en is ook nooit anders geweest)

Ah, ja jammer. Dat had je dus gewoon in de kiem moeten smoren. Ik heb genoeg WiFi in magazijnen gehangen en een goede dekking is bijna nooit onmogelijk.

maandag 18 april 2016 20:44

Acties:

maandag 18 april 2016 21:13

Topicstarter

chaoscontrol schreef op maandag 18 april 2016 @ 19:30:
Kijk, blijkbaar werkt het wifi niet goed. Dat komt denk ik niet uit de lucht vallen als directie daarvoor een andere partij gaat zoeken. Waarom is dat niet eerder opgelost?

Omdat daar nooit eerder vraag naar was. In het magazijn liggen wat onderdelen en er staat een desktop PC waarop de magazijnier werkt. Er werd niet draadloos gewerkt.

1x (of 2x) per jaar wordt er voorraad geteld en dan valt op dat het WiFi-signaal daar niet werkt. De directie vond het voor die 1 of 2x niet de moeite om dat op te lossen.

Binnenkort willen ze in het magazijn de artikelen gaan scannen. De fabrikant van de software heeft 2 opties: scanners met WiFi of scanners die na inscannen in een cradle worden gezet en dan via de PC bedraad data oversturen.

Ik had gesuggereerd om voor optie 2 te gaan (werkt altijd) en uiteraard eerst advies gevraagd aan de fabrikant van de software (die hetzelfde voorstelde).
Blijkbaar het verkeerde antwoord, het moet en het zal WiFi zijn.

Conclusie van de directrice: jij zegt dat het niet gaat werken, dan vraag ik wel iemand anders.

Ik heb nooit de kans gehad om het zelf te onderzoeken of te laten onderzoeken; de ochtend nadat ik hoorde dat er mogelijk WiFi nodig was en had gezegd dat mijn voorkeur optie 2 was, kreeg ik al te horen dat er een externe partij was aangezocht.

Bigs schreef op maandag 18 april 2016 @ 19:00:
Als de TS verantwoordelijk is voor het huidige houwtje-touwtje netwerken

Ja en nee. De huidige manier van inrichten is mee gekozen door de toenmalige management. Jij noemt dat houtje-touwtje maar de prioriteiten toen waren - niet enkel voor WiFi maar globaal:
* we willen niet afhankelijk zijn van een externe partij voor beheer (of zo weinig mogelijk)
* het moet goedkoop zijn
* als we het zelf kunnen vervangen en onderhouden is dat een voordeel.
* als de kostprijs van een nieuw apparaat goedkoper is dan een onderhoudscontract van 5 jaar nemen we geen onderhoudscontract

Als ik toen zelf Ubiquit of Ruckus of een voor die tijd gelijkwaardig alternatief had voorgesteld zou dat nooit goedgekeurd zijn.

De apparatuur die er nu staat was toen de enige mogelijkheid.
OpenWRT en de Guest-netwerken heb ik er achteraf zelf opgezet - pakweg een jaar later.

Niemand heeft verder ooit gezeurd over de WiFi-dekking (tot kortelings dus).
Ik weet dat er - buiten het magazijn - plaatsen in de fabriek zijn waar de ontvangst mininimaal is, maar daar zit nooit imand met een laptop; en ook bv. op de CAD afdeling, maar daar zit maar 1 persoon met een laptop (ikzelf) - dus in beide gevallen is er ook geen behoefte...

Voor de goed orde: we zijn helemaal ook geen groot bedrijf. Het ging toen om max. 10 mensen die eventueel met hun laptop in de fabriek zouden kunnen zitten, en daar 3 WiFi-punten voor kregen.
In de praktijk waren dat gemiddeld 3 gebruikers op een dag: de anderen zaten bij klanten of aan hun bureau (bedraad)

[ Voor 46% gewijzigd door tc-t op 18-04-2016 21:11 ]

Acties:

DukeBox

loves wheat smoothies

tc-t schreef op maandag 18 april 2016 @ 18:42:
Nee, de firewall heeft maar 1 aansluiting op de rest van het netwerk.
In elk Access Point zit ook een firewall (het is een router die in AP-mode gezet wordt) en daar worden een aantal rules ingesteld, zodat het verkeer vanop de IP-range van het guest-netwerk naar het kantoornetwerk gedropt wordt (met als enige uitzondering verkeer naar de gateway/router/firewall en dus naar internet)

Heb je een switch die policy based routing kan ? Evt. kan je die achter je firewall zetten om zo guest en productie te scheiden..

Voor zover ik de setup uit het nieuwe voorstel heb begrepen (alles wordt via de directie gespeeld dus ik hoor nooit iets rechtstreeks)

Waarom maak je je er dan verder druk om ? Je hebt je bedenkingen kenbaar gemaakt..

Duct tape can't fix stupid, but it can muffle the sound.

maandag 18 april 2016 21:17

Acties:

maandag 18 april 2016 22:42

Topicstarter

chaoscontrol schreef op maandag 18 april 2016 @ 19:30:
Ik heb genoeg WiFi in magazijnen gehangen en een goede dekking is bijna nooit onmogelijk.

Interessant.

Test je dat met je apparatuur zelf, of doe je op voorhand een WiFi-meting, of laat je die uitvoeren door een externe partner?

Kun je me eventueel aan een adres helpen, of als je zelf de apparatuur hebt: aan de apparatuur die je gebruikt.
Mag uiteraard ook per PM...

Heel het magazijn ligt vol staalplaten (de dakconstructie - er bovenop is namelijk nog een magazijntje gebouwd en daar lopen dus mensen rond), en ook de onderdelen die er liggen zijn voornamelijk stalen of metalen voorwerpen - dat is namelijk onze business.

Ik heb onze vorige IT-partner om raad gevraagd (zij kennen ons bedrijf erg goed) en hij zei: "ik zou er niet aan beginnen".

[ Voor 5% gewijzigd door tc-t op 18-04-2016 22:09 ]

Acties:

Bl@ckbird

In een kantoor omgeving durf ik het nog wel te gokken, maar in een omgeving met veel staal zou ik altijd een site survey uitvoeren door professionals. En zo niet: Dan levert het prutswerk op. Zo ken ik een voorbeeld van een site survey in een leeg magazijn. Alles werkt perfect, tot de stellingen gevuld werden met pallets. Dit verstoorde de RF-karakteristieken van de omgeving en daarmee dus een slechte Wifi ontvangst. Wifi is niet zo simpel als een switch, waar je een stekkertje in kan pluggen.

Bedrijven als Avit-Xantes, Indicium en Sigmax doen professionele Wifi site surveys, ook in uitdagende omgevingen. (Zoals een container terminal.) Op basis daarvan weet je waar AP's geplaatst moeten worden.

De vraag is wat jij en het wifi netwerk de business opleveren. Dat is het enige waar een directie in geïnteresseerd is. Voorheen was Wifi een manier om netwerk toegang te bieden, maar tegenwoordig kan je het bijvoorbeeld ook voor location services gebruiken. Denk dan bijvoorbeeld aan asset tracking met Wifi-tags van Ekahau of AeroScout. Dit is daarmee een mooi voorbeeld. Cisco of Meraki apparatuur kan je in een 0% leaseconstructie gieten. En dat vindt je directie weer fijn, want je hoeft niet een groot bedrag voor te financieren, maar je betaald gewoon een fixed bedrag per maand.

Je denkt dan mee hoe je de business kan optimaliseren. Dat geldt voor grote, maar ook kleine bedrijven.

~ Voordelig Zelf Vliegen? ~ Sent using RFC 1149. Note: No animals were harmed during this data transfer. ~

dinsdag 19 april 2016 07:38

Acties:

dinsdag 19 april 2016 11:04

Het is wel vervelend dat je nergens bij betrokken wordt, aan de andere kant kan je ook denken minder werk voor je

Maar wat ik me afvraag, waarom geven ze jouw niet de opdracht want nu is het toch duurder? Externe partij inhuren en jou doorbetalen. Of is ICT een functie die je erbij doet? Gebeurd ook veel namelijk. Voornamelijk in de kleinere bedrijven. ''Jij bent wel handig met computers'' ''Ja opzich wel'' ''Oké wordt jij onze nieuwe hoofd ICT opperman''.

[ Voor 29% gewijzigd door Jordyz op 19-04-2016 07:39 ]

Acties:

dinsdag 19 april 2016 11:11

Topicstarter

Jordyz schreef op dinsdag 19 april 2016 @ 07:38:
Het is wel vervelend dat je nergens bij betrokken wordt, aan de andere kant kan je ook denken minder werk voor je

Maar wat ik me afvraag, waarom geven ze jouw niet de opdracht want nu is het toch duurder? Externe partij inhuren en jou doorbetalen. Of is ICT een functie die je erbij doet? Gebeurd ook veel namelijk. Voornamelijk in de kleinere bedrijven. ''Jij bent wel handig met computers'' ''Ja opzich wel'' ''Oké wordt jij onze nieuwe hoofd ICT opperman''.

Nee, het is niet iets wat ik erbij doe. Ik ben programmeur van opleiding maar doe de laatste 15 jaar alleen maar Systeembeheer. Vroeger voor een IT-bedrijfje bij klanten, sinds een jaar of 8 hier vast in dienst op dit bedrijf.
Ik ben de enige IT'er hier, wat dus betekent dat ik hier eigenlijk alles wat met IT te maken heeft doe.

De nieuwe directrice verscheen in 2013 en haar eerste reactie toen ze het organogram van het bedrijf zag was: "een eigen IT'er, wat moeten we daar mee?".
In de organisaties waar ze vroeger werkte werd alles van IT uitbesteed en dat wil ze hier eigenlijk ook het liefst doen.

Alles wat nu gebeurt past wellicht in dat plan.

[rant]
Om persoonlijke relaties geeft ze niks. Als rechtstreekse baas weet ze niks over me, en dat intereseert haar ook niks. De Financieel directeur was het niet met haar beleid eens (het fijne ken ik daar niet van), en die werd er ook uitgeschopt.
Op een fijne arbeidsrelatie hoef ik sinds 2013 niet meer te rekenen.
Jammer, want dit is een leuk bedrijf, ik heb super collega's en ik heb best een leuke job.
[/rant]

Acties:

Orion84

Admin General Chat / Wonen & Mobiliteit

Fotogenie(k)?

tc-t schreef op maandag 18 april 2016 @ 18:42:
[...]

Nee, de firewall heeft maar 1 aansluiting op de rest van het netwerk.
In elk Access Point zit ook een firewall (het is een router die in AP-mode gezet wordt) en daar worden een aantal rules ingesteld, zodat het verkeer vanop de IP-range van het guest-netwerk naar het kantoornetwerk gedropt wordt (met als enige uitzondering verkeer naar de gateway/router/firewall en dus naar internet)

[...]

Dus ik kan verbinden met het guest netwerk en mezelf vervolgens een fixed IP geven uit het bedrijfsnetwerk en dan kan ik overal bij?

The problem with common sense is that it's not all that common. | LinkedIn | Flickr

dinsdag 19 april 2016 11:22

Acties:

MSteverink

tc-t schreef op maandag 18 april 2016 @ 17:30:

Wat ik het meest frappant vind zijn deze dooddoeners:
* "Het kan toch niet zo zijn dat een professionele firma een oplossing aanbiedt die niet werkt of niet goed genoeg is voor een bedrijf als het onze. Waarom wil jij dan toch iets anders"

Met andere woorden: jij wordt niet als professional gezien! Dan zijn er twee conclusies mogelijk:

Je deelt de mening dat je, op dit gebied, niet ter zake kundig bent. Dat betekent dat je na oplevering ook niet verantwoordelijk kunt zijn voor enig beheer of onderhoud;
Je professionaliteit wordt niet gewaardeerd. En dan moet je misschien tevreden achterom kijken en zien dat je een leuke tijd hebt gehad, maar toch je blik vooruit richten.

dinsdag 19 april 2016 11:44

Acties:

dinsdag 19 april 2016 11:50

Topicstarter

Orion84 schreef op dinsdag 19 april 2016 @ 11:11:
Dus ik kan verbinden met het guest netwerk en mezelf vervolgens een fixed IP geven uit het bedrijfsnetwerk en dan kan ik overal bij?

Nee dat werkt niet. Je bent verbonden met de Guest interface op de router, en alle verkeer dat van daaruit naar het kantoornetwerk gaat wordt gedropt, ongeacht welk IP-adres je je apparaat geeft.
Je hebt echt het wachtwoord van het kantoornetwerk nodig voor je ergens bij kunt.

Uiteraard hebben we dat geprobeerd.

Acties:

dinsdag 19 april 2016 12:00

Moderator Harde Waren

say Baah

Als ik het zo lees denk ik twee dingen, aanhakend op wat MSteverink hierboven zegt:

- WiFi is een iets andere tak van sport dan puur bedrade netwerken (uitdagingen zitten doorgaans <= layer 2 waar ze elders >= layer 3 zitten) en op dit moment is jouw kennis op dat vlak allicht niet optimaal. Komt bij dat je ook qua security/beheer niet op hoogte lijkt van best practices. Dat zijn zaken om voor jezelf aan te werken. Voor nu maakt het dat als management een second opinion gevraagd zou hebben aan een externe partij, het begrijpelijk is dat die externe partij minder positief is over de huidige inrichting en allicht naast een eigen voorstel ook die minder positieve reactie op hoe het nu is gedeeld heeft met de opdrachtgever.
- Als je weet dat de directie van een eigen IT'er af wil, is dat een belangrijk signaal. Bovenstaande gaat daar echt niet bij helpen. Wat ook niet helpt is dat de vorige directie feitelijk een volstrekt onprofessionele oplossing wilde (houtje-touwtje, consumentenapparatuur gebruiken voor zakelijke toepassingen, met als kost (onnodig) veel beheer, typisch teveel focus op aanschaf, te weinig op TCO). Of directie op een fatsoenlijke manier met jou omgaat is een tweede - goed werkgeverschap vraagt om openheid en omscholing of inspanning tot extern plaatsen als een functie intern ophoudt te bestaan - maar het is objectief de vraag of een eigen IT'er in een relatief klein bedrijf zin heeft en als de directie daar een heldere mening over heeft is het echt tijd om elders te kijken.

Sowieso, even directie-hoedje opzetten: eigen IT'er? Eentje? Nog los van de vraag of de hoeveelheid werk exact met 1 FTE overeen komt loop je enorme afbreukrisico. Jij ziek? Of op vakantie? Of opeens andere baan? Wie lost dingen dan op? Zeker als de systemen bestaan uit knutselwerk is heel erg de vraag of dat goed komt. Als er niet genoeg werk is voor een afdeling die kan zorgen voor opvangen van afwezigheid en continuiteit (in praktijk: minimaal drie man), is het hoogstwaarschijnlijk verstandiger het gehele beheer te outsourcen naar een partij die dat wel kan en bovendien enkel betaald hoeft te worden voor werk wat gedaan wordt. Komt bij dat "IT" veel kan afdekken en je met WiFi erg ver van de core competenties zit van een developer die systeembeheerwerk doet. Het zou zomaar handiger kunnen zijn om werkplekbeheer en netwerkbeheer van elkaar te scheiden en elk in te kopen bij een bedrijf die op dat vlak gespecialiseerd is. Wil daarbij niet zeggen dat het onmogelijk is dat een enkel persoon dit allemaal doet, maar verstandig en efficient? Waarschijnlijk niet

Kortom: hoog tijd om iets anders te zoeken.

Oslik blyat! Oslik!

Acties:

dinsdag 19 april 2016 12:35

Topicstarter

@ dion_b
Met die laatste paragraaf ben ik het volledig met je eens. Ik kan er ook niet aan doen dat de directie maar 1 IT'er wil, en 2 receptionistes, 2 personen op de personeelsdienst, etc...
Ik zou er graag een collega bij willen, maar dat gaat niet gebeuren.

Het is niet persé zo dat de "directie" van mij af wil. Van de directrice weet ik dat quasi zeker. Van de technisch directeur (ook vroeger al directielid) ben ik overtuigd dat hij wil dat ik blijft. Van de 3 andere mensen uit het directieteam zou ik het niet weten.

--

Ik wil toch nog even reagern op "zeker als de systemen bestaan uit knutselwerk". Ik denk niet dat dat een erg faire opmerking is zonder je iets van het netwerk hier gezien hebt.

Vaak heeft dat toch iets met persoonlijke voorkeur te maken en is 1 oplossing niet altijd slechter dan een andere.
* is een software firewall beter of slechter dan een hardware firewall?
* is linux beter of slechter dan windows (als fileserver, mailserver en webserver)?
* is VMWare ESXi beter of slechter dan Microsoft HyperV?

Waar ik het meest commentaar op krijg zijn alle oplossingen waarbij gekozen is voor een niet-Microsoft oplossing, en het feit dat we geen Terminal Server hebben (had ze op haar vorige organisaties wel).
Als de belangrijkste afdelingen de CAD-afdeling en de PLC-programmeurs zijn en als dit voor beide niet werkt en niet ondersteund wordt door de leverancier van de respectievelijke programma's dan is daar denk ik een hele goede reden voor.

Ik ben er me van bewust dat niet alles hier perfect is maar om het allemaal maar een rommeltje te noemen daar kan ik toch echt niet mee akkoord gaan

[ Voor 51% gewijzigd door tc-t op 19-04-2016 12:34 ]

Acties:

dinsdag 19 april 2016 12:54

Maar misschien moet naar de technisch directeur gaan en daar in overleg gaan? Met een concreet plan en dat je dit samen met een extern bedrijf wilt doen? Het is ook niet verkeerd om een extern bedrijf in te schakelen als je het zelf niet kunt alleen moet je het dan wel kunnen beheren.

Aan de andere kant is het misschien een idee om toch naar iets anders te gaan zoeken als ze van je af willen. Je zult wel een vast contract hebben anders verlengen ze je contract niet lijkt me.

Acties:

dinsdag 19 april 2016 12:57

Topicstarter

Jordyz schreef op dinsdag 19 april 2016 @ 12:35:
Maar misschien moet naar de technisch directeur gaan en daar in overleg gaan...

Misschien heb ik hier een verkeerd beeld geschetst: die technisch directeur heeft de leiding over (de technische kant van) de fabriek, dus technisch directeur van de produktie.

IT valt volgens het organogram rechtstreek onder de directrice, en sindsdien moet hij zich daar niet meer mee. Ik heb af en toe wel eens een gesprek met hem, maar hij gaat zich hier niet in mengen en ook alle voorstellen ivm IT laat hij aan zich voorbij gaan.

Jammer, hij weet - als enige van de directie - wel wat DNS, DHCP etc... is, en zelfs van virtualisatie snapt hij de bedoeling en de voordelen.

Het had mij logischer geleken dat IT onder hem viel maar dat is helaas niet zo.

Acties:

dinsdag 19 april 2016 13:13

Moderator Harde Waren

say Baah

tc-t schreef op dinsdag 19 april 2016 @ 12:00:
@ dion_b
Met die laatste paragraaf ben ik het volledig met je eens. Ik kan er ook niet aan doen dat de directie maar 1 IT'er wil, en 2 receptionistes, 2 personen op de personeelsdienst, etc...
Ik zou er graag een collega bij willen, maar dat gaat niet gebeuren.

Het is niet persé zo dat de "directie" van mij af wil. Van de directrice weet ik dat quasi zeker. Van de technisch directeur (ook vroeger al directielid) ben ik overtuigd dat hij wil dat ik blijft. Van de 3 andere mensen uit het directieteam zou ik het niet weten.

Uiteindelijk is er maar één de baas, en dat is die directrice. Komt bij dat je voorzichtig moet zijn met persoonlijke gevoelens vs economische noodzaak .Kan best zijn dat de andere directeurs jou een meer dan geschikte gast vinden, maar dat dat nog niet zegt dat ze daarom overtuigd zijn dat doorgaan met eigen IT-man een goed idee is.

Ik wil toch nog even reagern op "zeker als de systemen bestaan uit knutselwerk". Ik denk niet dat dat een erg faire opmerking is zonder je iets van het netwerk hier gezien hebt.

Om jou te citeren:

Het gaat om gewone consumentenrouters (DLink en TPLink).

Alle routers zijn zo ingesteld:
* alle routers gebruiken OpenWRT

Je hebt apparatuur dat je gebruikt op manieren dat niet door de vendors ondersteund wordt, en voor een doel dat ook niet overeenkomt met waar ze voor verkocht worden. Gevolg is dat zowel het ontwerp als alle support op jou neerkomt. Dat is hoe je het ook wendt of keert knutselwerk. Het is het soort ding dat iemand (o.a. ik) thuis zou doen, waar tijd quasi-gratis is en gevolgen van outages en issues goed te overzien zijn, maar dat ik niet in een zakelijke omgeving waar ik voor anderen verantwoordelijk ben zou willen gebruiken.

Vaak heeft dat toch iets met persoonlijke voorkeur te maken en is 1 oplossing niet altijd slechter dan een andere.
* is een software firewall beter of slechter dan een hardware firewall?
* is linux beter of slechter dan windows (als fileserver, mailserver en webserver)?
* is VMWare ESXi beter of slechter dan Microsoft HyperV?

Waar ik het meest commentaar op krijg zijn alle oplossingen waarbij gekozen is voor een niet-Microsoft oplossing, en het feit dat we geen Terminal Server hebben (had ze op haar vorige organisaties wel).
Als de belangrijkste afdelingen de CAD-afdeling en de PLC-programmeurs zijn en als dit voor beide niet werkt en niet ondersteund wordt door de leverancier van de respectievelijke programma's dan is daar denk ik een hele goede reden voor.

Daar spreek ik me helemaal niet over uit, het ging over je netwerken en dat durf ik onderbouwd knutselwerk te noemen.

Ik ben er me van bewust dat niet alles hier perfect is maar om het allemaal maar een rommeltje te noemen daar kan ik toch echt niet mee akkoord gaan

Knutselwerk hoeft geen rommeltje te zijn, het probleem is beheer. Je hebt een SPOF (dat ben jij), het is slecht overdraagbaar en als iets mis gaat is er niemand anders om op terug te vallen. Het is opvallend dat je in het kader van de CAD- en PLC-zaken zelf het niet ondersteund worden door de leveranciers als relevant noemt, maar vervolgens vrolijk netwerkapparatuur neemt dat niet ontworpen is voor je huidige toepassingen en gebruikt op niet-ondersteunde manier. Daar geldt het net zo goed als bij die productiesystemen

Komt bij dat alles decentraal op de router/AP's doen qua beheer inefficient is en onnodig veel ruimte laat voor fouten.

Oslik blyat! Oslik!

Acties:

dinsdag 19 april 2016 14:07

Topicstarter

OK, op die manier ben ik het voornamelijk wel met jou eens.

Ik wil toch nog even ter verdediging inroepen dat het ook de keuze van de toenmalige directie was.
Dat de routers/AP's er nu nog steeds hangen is:
* ze 5 a 8 jaar later nog steeds werken
* er geen onderhoud op nodig was/is (buiten af en toe een upgrade van OpeWRT)
* er geen outages/issues mee zijn
* het - gezien het ander werk - nooit een prioriteit was om ze te vervangen

Je hebt ook gelijk wat betreft garantie en ondersteuning al is het uitgangspunt altijd geweest: router kapot: andere in de plaats, klaar.
Voor dat soort zaken wordt er gewoon niet op garantie/ondersteuning of wat dan ook gerekend.

WiFi access in de fabriek was ook gewoon niet bedrijfskritisch, CAD en PLC zijn dat wel.

Tot een maand geleden was al het bovenstaande gewoon waar. Pas toen kwam het gebeuren in het magazijn ter sprake.

Acties:

dinsdag 19 april 2016 14:15

Maar misschien is het een idee om juist daarom het netwerk helemaal uit te besteden zodat het netwerk goed werkt en garanties hebt en bij vragen naar dat bedrijf toe kunt gaan.

Eerlijk gezegd zou ik het niet zo erg vinden als mijn werk uit handen wordt genomen door een extern bedrijf, je hebt een vast contract denk ik? Dan zitten ze nog gewoon aan je vast min of meer. Jij hoeft het dadelijk alleen maar het netwerk te onderhouden, beheren en wat storingen of probleemjes op te lossen. En het werkt

Waarschijnlijk wil je leidinggevende ook niet van jouw afhankelijk zijn. Als jij ermee stopt weet niemand hoe jouw netwerk in elkaar zit. Afhankelijk zijn van een persoon is nooit goed.

[ Voor 15% gewijzigd door Jordyz op 19-04-2016 14:07 ]

Acties:

dinsdag 19 april 2016 14:22

Topicstarter

Jordyz schreef op dinsdag 19 april 2016 @ 14:07:
Eerlijk gezegd zou ik het niet zo erg vinden als mijn werk uit handen wordt genomen door een extern bedrijf, je hebt een vast contract denk ik? Dan zitten ze nog gewoon aan je vast min of meer. Jij hoeft het dadelijk alleen maar het netwerk te onderhouden, beheren en wat storingen of probleemjes op te lossen. En het werkt

Ik heb een vast contract ja, maar ik zou dat wel erg vinden. Ik denk toch echt dat ik hier een aantal écht goeie zaken heb gerealiseerd en denk dat ik toch wat meer kan dan onderhouden wat iemand anders komt bedenken en neerzetten.

Daarbij heb ik dan nog steeds niet de garantie dat ze vroeg of laat toch niet van me afwillen. Des te minder dat ik doe, des te minder dat ik 'nodig' ben.

Ik word er niet jonger op (nu 41), ik heb geen zin om op mijn 45e een andere baan te moeten gaan zoeken en dan te zeggen dat ik de laatste 5 jaar enkel wat storinkjes heb lopen oplossen.

Dat zou ik persoonlijk al niet leuk vinden, en carriere-technisch lijkt me dat ook niet aangewezen.

Acties:

dinsdag 19 april 2016 14:24

tc-t schreef op dinsdag 19 april 2016 @ 14:15:
[...]

Ik heb een vast contract ja, maar ik zou dat wel erg vinden. Ik denk toch echt dat ik hier een aantal écht goeie zaken heb gerealiseerd en denk dat ik toch wat meer kan dan onderhouden wat iemand anders komt bedenken en neerzetten.

Daarbij heb ik dan nog steeds niet de garantie dat ze vroeg of laat toch niet van me afwillen. Des te minder dat ik doe, des te minder dat ik 'nodig' ben.

Ik word er niet jonger op (nu 41), ik heb geen zin om op mijn 45e een andere baan te moeten gaan zoeken en dan te zeggen dat ik de laatste 5 jaar enkel wat storinkjes heb lopen oplossen.

Dat zou ik persoonlijk al niet leuk vinden, en carriere-technisch lijkt me dat ook niet aangewezen.

45 is toch niet te oud voor een verandering ben je toch niet te oud? Maar je moet het ook willen natuurlijk.
Als je meer kunt zou ik je gewoon adviseren om te kijken of je nog wel kunt doorgroeien in je huidige functie? Want als je zegt dat je meer kunt maar niet meer kan op je huidige werkplek zit er toch niks anders op. Niemand zal ook zeggen dat je geen goeie dingen hebt ontwikkelt maar soms voor jezelf omdat je wilt doorgroeien niet verkeerd.

Acties:

dinsdag 19 april 2016 14:28

Wel eens gedacht aan pfSense? Router en Firewall OS. Installeer dat op een knappe PC of koop een dedicated Router van hun. Stel je hoofdnetwerk in, en zet het gastnetwerk op een aparte VLAN. Sluit dit dan weer aan op een paar degelijke Access-points (zoals bijvoorbeeld http://www.engeniustech.c...-bridges/16598-eap600-new) en je hebt een superstabiel netwerk.

De EAP600 Access-point ondersteund meerdere SSID welke je op aparte VLANs kunt taggen. Hiermee kun je het aparte Gasten Wifi opzetten. Door middel van pfSense kun je zelfs gaan werken met tokens (welke je aan je bezoekers kunt geven) zodat mensen bijvoorbeeld een uurtje op je WiFi kunnen werken met een token.

People who live in glass houses shouldn't throw stones.

Acties:

bd-casemod

Saeverix schreef op dinsdag 19 april 2016 @ 14:24:
Wel eens gedacht aan pfSense? Router en Firewall OS. Installeer dat op een knappe PC of koop een dedicated Router van hun. Stel je hoofdnetwerk in, en zet het gastnetwerk op een aparte VLAN. Sluit dit dan weer aan op een paar degelijke Access-points (zoals bijvoorbeeld http://www.engeniustech.c...-bridges/16598-eap600-new) en je hebt een superstabiel netwerk.

De EAP600 Access-point ondersteund meerdere SSID welke je op aparte VLANs kunt taggen. Hiermee kun je het aparte Gasten Wifi opzetten. Door middel van pfSense kun je zelfs gaan werken met tokens (welke je aan je bezoekers kunt geven) zodat mensen bijvoorbeeld een uurtje op je WiFi kunnen werken met een token.

Dit dus, eventueel een goede sonicwall / Zyxel USG als router.

Enkele vlan switches + Engenieus / Unified AP's

Paar vlans erop knallen en klaar is kees, dedicated als maar kan!

dinsdag 19 april 2016 14:33

Acties:

dinsdag 19 april 2016 14:43

bd-casemod schreef op dinsdag 19 april 2016 @ 14:28:
[...]
Dit dus, eventueel een goede sonicwall / Zyxel USG als router.

Dat is met pfSense niet nodig, dat is gebaseerd op Packet Filter (Wikipedia: PF (firewall)) Superveilige firewall welke met de pfSense interface ook nog eens makkelijk te beheren is. Allemaal gebaseerd op FreeBSD.

Enkele vlan switches + Engenieus / Unified AP's

Voordeel van de Engenius EAP600 is dat deze niet Managed is en dus geen dure Consoles of extra software nodig heeft. Afhankelijk van de situate (grootte van het bedrijf) kun je daar beter voor kiezen ivm kosten.

People who live in glass houses shouldn't throw stones.

Acties:

dinsdag 19 april 2016 14:56

Topicstarter

Saeverix schreef op dinsdag 19 april 2016 @ 14:24:
Wel eens gedacht aan pfSense?

Inderdaad, dat heb ik een aantal posts geleden al aangegeven. We gebruiken nu ipCop als Firewall, en het plan was om die door pfSense te gaan vervangen.
We hebben momenteel een aantal externen die via VPN connecteren, dus nu kan het niet onmiddellijk.
(De OpenVPN config is wat anders namelijk)

De hoofdreden om voor pfSense te gaan ipv ipCop was dat de ontwikkeling van ipCop de laatste tijd wat stil lijkt te staan terwijl dat met pfSense niet het geval is.

Thuis bv kreeg ik geen ipv6 met ipCop, met pfSense wel.

[ Voor 20% gewijzigd door tc-t op 19-04-2016 14:47 ]

Acties:

dinsdag 19 april 2016 16:03

Ze hebben onlangs pfSense 2.3 uitgebracht met een volledig nieuw uiterlijk. Bevalt erg goed. Heb destijds ook wel naar ipCop gekeken, maar die lag toen volgens mij al stil qua ontwikkeling en ben toen uitgekomen bij pfSense.

Er is eigenlijk niets wat je er niet mee kunt doen. Failover, QOS, Proxy's je kunt het zo gek niet bedenken of het is mogelijk.

People who live in glass houses shouldn't throw stones.

Acties:

DukeBox

loves wheat smoothies

Saeverix schreef op dinsdag 19 april 2016 @ 14:33:
Voordeel van de Engenius EAP600 is dat deze niet Managed is en dus geen dure Consoles of extra software nodig heeft. Afhankelijk van de situate (grootte van het bedrijf) kun je daar beter voor kiezen ivm kosten.

Aangezien het voor het magazijn is kan roaming nodig zijn, met name met oudere B/G protocollen op je scan/pick apparatuur heb je hier vaak wel een controller voor nodig.

Duct tape can't fix stupid, but it can muffle the sound.

dinsdag 19 april 2016 16:07

Acties:

tc-t schreef op dinsdag 19 april 2016 @ 14:43:
[...]

Inderdaad, dat heb ik een aantal posts geleden al aangegeven. We gebruiken nu ipCop als Firewall, en het plan was om die door pfSense te gaan vervangen.
We hebben momenteel een aantal externen die via VPN connecteren, dus nu kan het niet onmiddellijk.
(De OpenVPN config is wat anders namelijk)

De hoofdreden om voor pfSense te gaan ipv ipCop was dat de ontwikkeling van ipCop de laatste tijd wat stil lijkt te staan terwijl dat met pfSense niet het geval is.

Thuis bv kreeg ik geen ipv6 met ipCop, met pfSense wel.

Koop gewoon een fatsoenlijk device met support contract o.i.d. Pfsense is net zo niet professioneel als OpenWRT. (Of het is echt een club met 10 man, dan maakt het minder uit.)

dinsdag 19 april 2016 16:29

Acties:

dinsdag 19 april 2016 16:53

chaoscontrol schreef op dinsdag 19 april 2016 @ 16:07:
[...]

Koop gewoon een fatsoenlijk device met support contract o.i.d. Pfsense is net zo niet professioneel als OpenWRT. (Of het is echt een club met 10 man, dan maakt het minder uit.)

Heb je het daadwerkelijk wel eens gebruikt? Of roep je maar wat? Want een vergelijking van pfSense met OpenWRT is gewoon niet te maken...

People who live in glass houses shouldn't throw stones.

Acties:

dinsdag 19 april 2016 16:55

Moderator Harde Waren

say Baah

Die vergelijking is uiteraard te maken, er zit een forse overlap in functionaliteiten. Maar veel relevanter is dat pfsense gewoon enterprise support heeft. Het is open-source, maar verder een volledig professioneel product. OpenWRT is een erg interessant hobbyproject waar je veel mee kunt, tot en met zelf professionele producten maken op basis ervan, maar wat op zichzelf geen supported product is.

TLDR: chaoscontrol, idd je hebt geen idee waar je het over hebt. pfsense is wel degelijk professioneel inzetbaar - wat ook op grote schaal gebeurt.

Oslik blyat! Oslik!

Acties:

Whazaer

Heb het topic met aandacht doorgelezen, veel reacties over jou, je contract en je directieteam, maar weinig directe antwoorden op jouw vraag: Is de manier waarop de netwerken gescheiden zijn echt achterhaald?

In mijn ogen is het antwoord hierop kortgezegd: ja.

Als ik google op 'vlan vs subnet', heb je genoeg te lezen. 7 jaar geleden werden er al VLAN's aangeraden. Ik wil hiermee niet zeggen dat VLAN's altijd de beste oplossing zijn, maar in dit geval zou ik wel voor VLAN's kiezen.

Stukje achtergrond:
Ikzelf ben verantwoordelijk (doe dit naast de vele andere taken) voor een wifi netwerk op een vakantiepark (in het bos), en daar zijn we eind 2013 overgestapt van losse engenius AP's naar Unifi AP's. Grootste voordeel is dat deze centraal beheerd worden.
Rond die tijd zijn we ook overgestapt naar pfSense, in het begin 'hobbymatig' op een oude pc. Maar tegenwoordig draait er een splinternieuwe SuperMicro server.
In het begin was het even wennen, ik was alleen gewend aan 'consumenten'-apparatuur. Maar als je er mee overweg kunt gaan is het een superkrachtige firewall.
Sinds kort is onze gehele infrastructuur naar de AP's bekabeld (voorheen was dit internet-over-coax, maar dit gaf problemen waar ik geen vat op kon krijgen). Als switch gebruik ik de TOUGHSwitch.
Overgang van bovenstaande heeft ongeveer 3 jaar geduurd, en we zijn nu bezig met de laatste paar kabels richting de AP's

Wij hebben dus in enkele jaren tijd hetzelfde min of meer hetzelfde traject gevolgd als wat jij nu schetst.

Wat ik mij afvraag is waarom je alles zou laten vervangen door de externe partij? Ik begreep dat er wifi in het magazijn moet komen voor de scanners, moet er ook een gastnetwerk in het magazijn komen?
Anders kun je ze toch een punt aanbieden waar zij hun wifi infrastructuur op kunnen prikken?

Wat voor switches heb je momenteel, ondersteunen deze wel VLAN's? Als je dan toch besluit om alle wifi te vervangen door wat nieuws (unifi/meraki/ruckus/weetikhet), en je switches ondersteunen vlan's, dan kun je deze laten zitten.
Moet je enkel voor het gastnetwerk een aparte 'dhcp/dns server/router/firewall' opzetten, hier zou je een van de huidige OpenWRT boxjes voor kunnen pakken. Vervolgens een kwestie van dit gastnetwerk op een apart VLAN zetten.

Overstappen naar pfSense kun je in stappen doen, 2 firewalls kunnen rustig naast elkaar draaien in mijn ogen.

dinsdag 19 april 2016 16:56

Acties:

doc

Terug naar het onderwerp,

Een nieuw wifi netwerk op basis van Ubiquiti is prima, verschillende SSID's voor Guests/Lan en Magazijn, die in verschillende VLAN's zodat ze niet bij elkaar kunnen komen en de nieuwe pfSense bak (die je evt tijdelijk achter de bestaande ipcop hangt) zorgt voor DHCP/DNS in de verschillende vlan's.

Ap's doen waar ze goed in zijn, puur access point en firewall, routering, dns/dhcp gebeurt door pfsense (waar pfsense goed in is). Management van de AP's gaat heerlijk centraal via de controller.

Succes!

Me Tarzan, U nix!

dinsdag 19 april 2016 17:33

Acties:

dion_b schreef op dinsdag 19 april 2016 @ 16:53:
Die vergelijking is uiteraard te maken, er zit een forse overlap in functionaliteiten. Maar veel relevanter is dat pfsense gewoon enterprise support heeft. Het is open-source, maar verder een volledig professioneel product. OpenWRT is een erg interessant hobbyproject waar je veel mee kunt, tot en met zelf professionele producten maken op basis ervan, maar wat op zichzelf geen supported product is.

TLDR: chaoscontrol, idd je hebt geen idee waar je het over hebt. pfsense is wel degelijk professioneel inzetbaar - wat ook op grote schaal gebeurt.

Het moge duidelijk zijn dat TS het hier niet over de enteprise variant heeft.

Daarbij werk ik met een aantal multinationals en daar zie je nergens pfsense, maar jij weet het beter.

dinsdag 19 april 2016 17:50

Acties:

harmz

chaoscontrol schreef op dinsdag 19 april 2016 @ 17:33:
[...]

Het moge duidelijk zijn dat TS het hier niet over de enteprise variant heeft. Daarbij werk ik met een aantal multinationals en daar zie je nergens pfsense, maar jij weet het beter.

Dat jij het niet tegen komt bij multinationals, betekend niet dat het nergens gebruikt word

. Ik zie het met regelmaat voorbij komen binnen het MKB en af en toe bij multinationals. Dus ja Dion_B weet het beter

dinsdag 19 april 2016 18:33

Acties:

dinsdag 19 april 2016 22:41

Topicstarter

Even een update.

De directrice heeft nog een 3e partij aangezocht voor een second opinion, die mensen zijn net hier geweest en hebben overlegd met de directrice, technisch directeur en mij.
Uit de manier waarop het gesprek liep wist ik dat ze al voorgaand contact hebben gedacht, maar dat verbaast me niks.

Deze mensen boden Ruckus aan, hebben die Unifi een beetje veroordeeld als 'toch maar midrange' en dit gaat het worden. Dat voel ik gewoon zo aankomen.

In tegenstelling tot die vorige mensen zijn deze wel met mij in gesprek gegaan en zijn we naar de huidige apparatuur gaan kijken (waar die anderen nooit interesse voor hadden)
* Onze switches zijn managed en kunnen met VLANs werken, blijven dus hangen.
* ipCop doet geen VLANs (toch niet native, wel met plugin) en moet dus weg. Hij gaf zelf aan dat pfSense een prima vervanger zou zijn en alles zou doen wat nodig was.

Dit is nog een heel pak duurder dan het Ubiquitu verhaal, maar dat is gelukkig mijn probleem niet.

-- edit

Whazaer schreef op dinsdag 19 april 2016 @ 16:55:
Heb het topic met aandacht doorgelezen, veel reacties over jou, je contract en je directieteam, maar weinig directe antwoorden op jouw vraag: Is de manier waarop de netwerken gescheiden zijn echt achterhaald?

In mijn ogen is het antwoord hierop kortgezegd: ja.

... heb je genoeg te lezen...

Merci voor deze reactie. Dat was inderdaad de echte vraag die ik me stelde. Bedankt dat je daar ook even argumenten voor gaf, ik zal de links ook even doorlezen zodra ik daar tijd voor heb.

Ook de 2 externe partijen zijn daar nooit echt op in gegaan, verder dan 'centraal beheer' en 'roaming' zijn die niet geraakt, ook die mensen van vandaag niet.

-- edit 2

Whazaer schreef op dinsdag 19 april 2016 @ 16:55:
Wat ik mij afvraag is waarom je alles zou laten vervangen door de externe partij? Ik begreep dat er wifi in het magazijn moet komen voor de scanners, moet er ook een gastnetwerk in het magazijn komen?

Nee in het magazijn is geen gastnetwerk nodig. Alles wordt vervangen omdat de directrice wil dat alles (mbt WiFi) persé van 1 partij komt. Dus x apparaten van hun en y appraten van mij of iemand anders is uitgesloten.

Whazaer schreef op dinsdag 19 april 2016 @ 16:55:
Wat voor switches heb je momenteel, ondersteunen deze wel VLAN's? Als je dan toch besluit om alle wifi te vervangen door wat nieuws (unifi/meraki/ruckus/weetikhet), en je switches ondersteunen vlan's, dan kun je deze laten zitten.
Moet je enkel voor het gastnetwerk een aparte 'dhcp/dns server/router/firewall' opzetten, hier zou je een van de huidige OpenWRT boxjes voor kunnen pakken. Vervolgens een kwestie van dit gastnetwerk op een apart VLAN zetten.

Switches blijven dus zitten, OpenWRT boxjes gaan eruit en alles wordt Ruckus (tenminste ik geloof voor 98% zeker dat dat doorgaat)

Whazaer schreef op dinsdag 19 april 2016 @ 16:55:
Overstappen naar pfSense kun je in stappen doen, 2 firewalls kunnen rustig naast elkaar draaien in mijn ogen.

Dat ga ik nog even moeten bekijken hoe ik dat het beste kan regelen. Dat zou de interessantste oplossing zijn, want de oude ipCop heb ik nog nodig om VPN-connecties te voorzien.

[ Voor 63% gewijzigd door tc-t op 19-04-2016 18:52 ]

Acties:

woensdag 20 april 2016 14:02

Moderator Harde Waren

say Baah

tc-t schreef op dinsdag 19 april 2016 @ 18:33:
Even een update.

De directrice heeft nog een 3e partij aangezocht voor een second opinion, die mensen zijn net hier geweest en hebben overlegd met de directrice, technisch directeur en mij.
Uit de manier waarop het gesprek liep wist ik dat ze al voorgaand contact hebben gedacht, maar dat verbaast me niks.

Deze mensen boden Ruckus aan, hebben die Unifi een beetje veroordeeld als 'toch maar midrange' en dit gaat het worden. Dat voel ik gewoon zo aankomen.

Ruckus is absoluut technisch superieur - met bijbehorend prijskaartje - maar de vraag is natuurlijk of jullie behoefte 'toch maar midrange' overstijgt. Is er een site survey geweest, om maar eens wat te noemen?

In tegenstelling tot die vorige mensen zijn deze wel met mij in gesprek gegaan en zijn we naar de huidige apparatuur gaan kijken (waar die anderen nooit interesse voor hadden)
* Onze switches zijn managed en kunnen met VLANs werken, blijven dus hangen.
* ipCop doet geen VLANs (toch niet native, wel met plugin) en moet dus weg. Hij gaf zelf aan dat pfSense een prima vervanger zou zijn en alles zou doen wat nodig was.

Yup.

Dit is nog een heel pak duurder dan het Ubiquitu verhaal, maar dat is gelukkig mijn probleem niet.

-- edit

[...]

Merci voor deze reactie. Dat was inderdaad de echte vraag die ik me stelde. Bedankt dat je daar ook even argumenten voor gaf, ik zal de links ook even doorlezen zodra ik daar tijd voor heb.

Ook de 2 externe partijen zijn daar nooit echt op in gegaan, verder dan 'centraal beheer' en 'roaming' zijn die niet geraakt, ook die mensen van vandaag niet.

Dat zijn wel gelijk twee forse zaken. Ervan uitgaande dat je geen last hebt van interferentie van buiten kun je de radio resource management van je AP's wel handmatig doen, maar sticky clients voorkomen gaat echt niet lukken zonder een of andere vorm van managed WiFi. Natuurlijk kan het theoretisch zo zijn dat jullie gezegend zijn met alleen maar geniale clients die optimaal roamen _{reken hier echt niet op, verreweg meeste clients zijn ronduit dom}, maar dan nog kunnen clients nooit zelf dingen doen als load balancen of automatisch storingen omzeilen. Dat kan een managed WiFi-netwerk wel, en zodra WiFi niet meer alleen is voor emailtje hier of daar maar daadwerkelijk nodig is voor je productieprocessen worden dat soort zaken veel relevanter.

TLDR: een bedrijfscritische WiFi-netwerk moet (centraal) managed zijn.

[...]

Nee in het magazijn is geen gastnetwerk nodig. Alles wordt vervangen omdat de directrice wil dat alles (mbt WiFi) persé van 1 partij komt. Dus x apparaten van hun en y appraten van mij of iemand anders is uitgesloten.

Vind ik verstandig, zoals ik hierboven al aangaf, WiFi is een aparte tak van sport, en als bedrijf die zich geen apart team kan permitteren ervoor wil je de expertise inkopen en dat liefst bij een enkel adres doen. Zo niet zit je bij ieder issue weer met verschillende partijen aan tafel die over en weer naar elkaar wijzen. Daar komt technisch nog bij dat er geen enkel open standaard is voor WiFi management, alles is proprietary. Dus als gekozen wordt voor oplossing x kan het (ongeacht of x nu Ruckus, Ubiquiti, Meraki, Aerohives of wat dan ook is) kan x niet met y praten. Doodzonde maar op dit moment de realiteit. Er wordt aan open standaarden gewerkt, maar verder dan zeer beperkte proof-of-concepts en mooie academische papers over wat allemaal met SDN mogelijk zou zijn zijn we op dit moment nog niet.

[...]

Switches blijven dus zitten, OpenWRT boxjes gaan eruit en alles wordt Ruckus (tenminste ik geloof voor 98% zeker dat dat doorgaat)

[...]

Dat ga ik nog even moeten bekijken hoe ik dat het beste kan regelen. Dat zou de interessantste oplossing zijn, want de oude ipCop heb ik nog nodig om VPN-connecties te voorzien.

De oplossing van Ruckus is een goede, maar eigenlijk is hun enige significante meerwaarde tov Ubiquiti dat ze Ruckus' gepatenteerde hardware beam forming hebben (= ipv een enkele antenne per radio een array aan antennes waar alle radio's aan gekoppeld kunnen worden zodat het signaal incl antenna diversity/MiMo gestuurd kan worden richting een specifieke client). Oh, en ze hebben aanzienlijk grotere bedragen over voor marketing, bedragen die de prijs nog meer omhoog drijven (tov Ubiquiti, tov pakweg Cisco is het nog spotgoedkoop allemaal) dan de hardwarematige verschillen

Als je zelf toch niet het beheer gaat doen maakt het voor jou weinig uit of er voor Ubiquiti of Ruckus gekozen wordt, implicaties voor de dingen (firewalls) die je wel beheert zijn exact hetzelfde. Relevanter is hoe de relatie met de bedrijven is - jullie gaan elkaar nodig hebben - en als de een niet eens met je wil praten en de ander wel lijkt me duidelijk waar je voorkeur naar uit zou moeten gaan.

Mbt de ipCop firewall - je kunt die tot in de eeuwigheid naast de pfSense firewall draaien als dedicated VPN server, maar allicht is op gegeven moment migratie naar iets eenvoudigers (dat alleen VPN doet) handiger.

Oslik blyat! Oslik!

Acties: