1 verbinding met 1 IP delen

[paQ]

Sindskort hebben we in een soort van verzamelgebouw 1 glasvezellijn met maar 1 IP adres.
Deze lijn gaat naar momenteel naar een switch en dan naar een patchpanel, en van daar uit naar de wall outlets van de verschillende kantoren.
sommige hebben dan weer daar een modem, anderen loggen via wifi ook weer op dat modem in.
Hoe dan ook, je kunt uiteraard elkaars apparaten zien, en met wat kwade wil ook benaderen.
Vervelender is de IP afhandeling, want komen en gaan van apparaten waardoor er conflicten optreden.

Nu was ik voornemens de lijn direct op het opleverpunt zeg maar te splitsen met een 8 poorts router, op een wijze dat we elkaars apparaten niet kunnen zien of benaderen.
pricewatch: Asus RT-AC88U
Moet dit lukken met statische IP ranges? of is er een andere wijze hoe de lijn gesplitst kan worden over die 8 poorten?
Idealiter zou ik dus bijv(!)
poort 1 > 192.168.2.1 > patchpanel > outlet 1
poort 2 > 192.168.3.1 > patchpanel > outlet 2
enz

kan dit

[.Maarten]

Zet er een machine neer met pfsense. Daar kun je het wel mee regelen.

Let er wel even op dat je nog steeds 1 extern adres deelt. Spamt iemand en wordt het adres geblokkeerd dan heeft iedereen een probleem.

[paQ]

Kende ik nog niet, maar ik weet zeker dat de beheerder daar bij voorbaat al zenuwachtig van wordt
De 'oplossing' (voor hen) moet echt in 1 apparaat zitten, want in de patchkast op een plankje ligt, en waar niemand verder nog aan kan klooien zeg maar
en het mag niks kosten natuurlijk

[ Voor 6% gewijzigd door paQ op 18-06-2016 09:01 ]

[paQ]

Ik zat dus meer aan zoiets te denken:
http://help.unotelly.com/...ic-routes-on-asus-routers

maar brengt dit wat ik beoogd heb?

[Croga]

paQ schreef op zaterdag 18 juni 2016 @ 08:24:
Moet dit lukken met statische IP ranges? of is er een andere wijze hoe de lijn gesplitst kan worden over die 8 poorten?
Idealiter zou ik dus bijv(!)
poort 1 > 192.168.2.1 > patchpanel > outlet 1
poort 2 > 192.168.3.1 > patchpanel > outlet 2
enz

kan dit

Dit kan maar gaat je niets opleveren. Iedereen zal elkaar nogsteeds kunnen zien.
Statische IPs of Statische routes gaan je niets opleveren.

Waar je naar op zoek bent is VLANs. Maar als je zegt dat de beheerder hier zenuwachtig van gaat worden en het niets mag kosten dan is je beste optie het gewoon te vergeten.

Ofwel: Huur alsjeblieft iemand in die hier verstand van heeft en het zo op kan zetten dat het Gewoon Blijft Werken (tm). Met "het mag niets kosten" en een gebrek aan inzicht/kennis bij de beheerder is de enige mogelijke uitkomst een doemscenario waar de stabiliteit van de verbinding, en daarmee de tevredenheid van de gebruikers, het slachtoffer gaat worden.

[MAX3400]

Sowieso klinkt het een beetje als hobbyisme; de initiele vraagstelling is puur en alleen om 1 grote DHCP-scope te maken en daar alle kantoren op te hangen. Zoals gezegd, alle machines kunnen elkaar zien en iedereen gebruikt hetzelfde externe IP.

Als je aparte scopes per kantoor aanmaakt op een "echte" DHCP-server, vang je al enigszins af dat men elkaar kan benaderen op het netwerk maar idealiter wil je VLAN's gaan maken en zo het verkeer scheiden.

Het is mij niet bekend wat voor bedrijven er allemaal op het netwerk willen zitten en in hoeverre hier audits / compliancy / security aan vast horen maar je kan er donder op zeggen dat als er iets aan de hand is met het netwerk of er iets niet helemaal 100% is ingericht, dat jij of "de beheerder" echt een enorm probleem gaat hebben.

Ik zou subtiel iedereen vertellen: fijne wedstrijd maar regel je eigen netwerk & internet maar.

[paQ]

Right, dus the next best option is VLANs opzetten voor elke poort, en daaruit vloeien dus de subnets zoals in de TS.

De discussie over heel de rest hoeven we hier echt niet meer te voeren hoor. Dat deze verbinding er nu ligt is al een wonder, zeker als je hoort wat de beheerder daar voor moet betalen elke maand (500/500)
Kortom, we zitten met een peperdure lijn die nog steeds niet het probleem oplost, laat staan dat er hier een netwerkbeheerder is

Croga schreef op zaterdag 18 juni 2016 @ 09:13:
[...]
Met "het mag niets kosten" en een gebrek aan inzicht/kennis bij de beheerder is de enige mogelijke uitkomst een doemscenario waar de stabiliteit van de verbinding, en daarmee de tevredenheid van de gebruikers, het slachtoffer gaat worden.

tot en met eergisteren hadden we uitsluitend de beschikking voer 10mb down, 0.7 up
en ja... voor het HELE gebouw

[ Voor 34% gewijzigd door paQ op 18-06-2016 09:39 ]

[MisteRMeesteR]

Ik heb onlangs in een ander topic gereageerd op een soortgelijk issue;

MisteRMeesteR schreef op maandag 25 april 2016 @ 23:23:
Zonder dat je bij de huidige router kan komen ontkom je eigenlijk niet aan dubbel NAT, op zich geen probleem maar netjes is anders.

Als je (via de verhuurder/VVE?) bij de huidige router kunt komen kun je voorstellen om deze professioneler in te richten, iets als bijvoorbeeld, een Cisco configuratie voor 1 internetverbinding waarbij elk huishouden een eigen VLAN heeft en onderlinge communicatie wordt tegengehouden.

code:

!
interface GigabitEthernet0/1
 description TRUNK NAAR SWITCH
 no ip address
 duplex auto
 speed auto
!
interface GigabitEthernet0/1.1
 description HUISNUMMER 1
 encapsulation dot1Q 1
 ip address 10.0.1.1 255.255.255.0
 ip access-group DENY-BUREN in
 ip nat inside
!
interface GigabitEthernet0/1.2
 description HUISNUMMER 2
 encapsulation dot1Q 2
 ip address 10.0.2.1 255.255.255.0
 ip access-group DENY-BUREN in
 ip nat inside
!
interface GigabitEthernet0/1.3
 description HUISNUMMER 3
 encapsulation dot1Q 3
 ip address 10.0.3.1 255.255.255.0
 ip access-group DENY-BUREN in
 ip nat inside
!

ACL die onderlinge (RFC1918) communicatie tegenhoudt:

code:

ip access-list extended DENY-BUREN
 deny   ip any 10.0.0.0 0.255.255.255
 deny   ip any 172.16.0.0 0.15.255.255
 deny   ip any 192.168.0.0 0.0.255.255
 permit ip any any

Uiteraard moet de configuratie nog wat verder worden aangekleed met NAT Overload, DHCP servers, wellicht QOS zodat niet 1 iemand de pijp voltrekt? etc.etc.

Stel het eens voor, er zijn legio voorbeelden te vinden op het internet om een dergelijke router in te richten. Wat voor internetlijn komt er nu binnen (Ziggo bijvoorbeeld)?

Hoe wordt dit nu verdeeld over de (tientallen) woningen? Managed switch? Hoe is IP Subnetting nu geregeld?

Voor 500/500 heb je wel een redelijk model nodig volgens mij

[redfoxert]

Ubiquity EdgeRouter (bijvoorbeeld) met VLAN support Dan een switch er achter met VLAN support en die op elk poort in het patchpaneel aansluiten. Denk dat je er dan wel moet komen.

[flip75]

Een extra probleem is al dat er een andere modem staat. Als die op dhcp staat en zijn eigen nat actief dan krijg je idd conflicten, eerste stap zou al zijn om die eruit te halen.

Wellicht OP aanpassen en alle vragen/issues apart benoemen. Ook meer info over de situatie daar, als in hoeveel verschillende bedrijven, hoeveel apparaten, patches etc.

[Thralas]

Volgens mij is de Asus uit de TS er helemaal niet op gemaakt om flexibel te routeren (geisoleerde poorten op laag 2/3, ik weiger het woord 'VLAN' hier te gebruiken).

Budgetoplossingen zou ik (as usual) zoeken in de hoek van MikroTik/Ubiquiti/*WRT/pfSense.

Als het allemaal in 1 apparaat moet dan is de RTB-CCR1009-8G-1S-PC een relatief goedkope serieuze router met 9 poorten (als je het SFP-slot meetelt).

Maar dat is puur de hardware. Ik zou kopen wat de beheerder snapt, zelfs als dat duur Cisco/Juniper-ijzer is.

[maniak]

De goedkoopste oplossing is wanneer je een goede router hebt waar de lijn binnenkomt en dat iedereen vervolgens weer achter een eigen router gaat zitten. Daarmee kunnen anderen hooguit de "voorkant" zien van de routers van de anderen.

[paQ]

de modem van Vodafone waar de lijn op binnenkomt, gaat naar een Vodafone router (ander IP),zonder DHCP, en daaruit komt 1 lijntje.
We hebben dus van Vodafone 1 IP adres waarop we (nu tijdlijk) 1 modem hebben geconfigureerd en DHCP weer IP adressen uitdeelt.

een 8 (of meer)-poorts router met VLAN support zou dus kunnen werken begrijp ik?

maniak schreef op zaterdag 18 juni 2016 @ 10:55:
De goedkoopste oplossing is wanneer je een goede router hebt waar de lijn binnenkomt en dat iedereen vervolgens weer achter een eigen router gaat zitten. Daarmee kunnen anderen hooguit de "voorkant" zien van de routers van de anderen.

dat is nu de situatie, maar dan kun je nog steeds alles zien.

[ Voor 37% gewijzigd door paQ op 18-06-2016 10:56 ]

[Ethirty]

Neem een Ubiquiti Edgerouter (Pro), 8 poorten, hoge performance en doet alles wat jij wil. En niet eens duur.
https://www.ubnt.com/edgemax/edgerouter/

[paQ]

Ethirty schreef op zaterdag 18 juni 2016 @ 10:55:
Neem een Ubiquiti Edgerouter (Pro), 8 poorten, hoge performance en doet alles wat jij wil. En niet eens duur.
https://www.ubnt.com/edgemax/edgerouter/

oe!

en 19" rack

[maniak]

paQ schreef op zaterdag 18 juni 2016 @ 10:55:
de modem van Vodafone waar de lijn op binnenkomt, gaat naar een Vodafone router (ander IP),zonder DHCP, en daaruit komt 1 lijntje.
We hebben dus van Vodafone 1 IP adres waarop we (nu tijdlijk) 1 modem hebben geconfigureerd en DHCP weer IP adressen uitdeelt.

een 8 (of meer)-poorts router met VLAN support zou dus kunnen werken begrijp ik?


[...]


dat is nu de situatie, maar dan kun je nog steeds alles zien.

Dan staan die routers, die bij iedereen staat niet in routing mode maar worden ze als switch gebruikt. Check even hun configuratie en druk de LAN kabels in de WAN poort van die routers!

[Ethirty]

WAN op poortje 1, 7 VLANs aanmaken met eigen DHCP en klaar is kees. Andere bedrijven kunnen of rechtstreeks een switch aansluiten, of hun eigen router als ze nog willen.

[paQ]

Thralas schreef op zaterdag 18 juni 2016 @ 10:39:

Ik zou kopen wat de beheerder snapt,

"wat is petsjen? "

maniak schreef op zaterdag 18 juni 2016 @ 10:58:
[...]


Dan staan die routers, die bij iedereen staat niet in routing mode maar worden ze als switch gebruikt. Check even hun configuratie en druk de LAN kabels in de WAN poort van die routers!

Als ik de router van een gebruiker in router modus zet is gaat het mis, zodoende staan die in AP, en dan gaat het goed

Ethirty schreef op zaterdag 18 juni 2016 @ 11:03:
WAN op poortje 1, 7 VLANs aanmaken met eigen DHCP en klaar is kees. Andere bedrijven kunnen of rechtstreeks een switch aansluiten, of hun eigen router als ze nog willen.

sounds simple enough

[ Voor 39% gewijzigd door paQ op 18-06-2016 11:06 ]

[Ethirty]

paQ schreef op zaterdag 18 juni 2016 @ 11:04:
[...]

sounds simple enough

En een eigen topic voor meer info en kennis.
\[Ervaringen/discussie] Ubiquiti-apparatuur

[paQ]

heeft het nog 'nut' om die PRO te bestellen ipv de ER?

[Ethirty]

Als je denkt dat je gebruik wilt maken van de aanwezige SFP poorten. Bij in ieder geval een aantal glasproviders kan je dan de converter achterwege laten. *

In beide gevallen heb je totaal 8 poorten te gebruiken.

* zit wel wat werk aan en wellicht niet supported

[laurens0619]

Als je een (ubiquiti) router koopt met genoeg poorten dan hoef je buiten de router niet aan de gang met vlans. Je geeft dan iedere poort een untagged vlan met een eigen ip range. Poort 1 is dan bv 1.1 poort 2 2.1 etc en de apparaten kunnen elkaar dan niet zien/storen.

Een edgerouter x heeft bv 5 poorten. 1 gaat eraf voor wan dus dan heb je nog 4 poorten om deze truuk toe passen.is dat te weinig, zet er een vlan (netgear 8 poort bv ) aware switch achter. Dan kan je in totaal 3 +7 geisoleerde untagged netwerken aanbieden. Alles daarachter hoeft geen vlan meer te praten. Gewoon kabel erin en gaan

Edit: met een 8 poort router is natuurlijk wat mooier, alles met 1 apparat opgelost. Wel iets duurder

[ Voor 13% gewijzigd door laurens0619 op 18-06-2016 14:52 ]

[Dav1d]

paQ schreef op zaterdag 18 juni 2016 @ 09:34:
500/500

paQ schreef op zaterdag 18 juni 2016 @ 12:09:
heeft het nog 'nut' om die PRO te bestellen ipv de ER?

In een bedrijfsverzamelgebouw lijkt mij traffic shaping wenselijk, dat is helaas de achilleshiel van de EdgeRouters:

• ERLite-3 and ERPoe-5: below 60 Mbps most likely will work, above 200 Mbps most likely will not work.
• ER-8: below 160 Mbps most likely will work, above 450 Mbps most likely will not work.
• ERPro-8: below 200 Mbps most likely will work, above 550 Mbps most likely will not work.
• ER-X and ER-X-SFP: below 100 Mbps most likely will work, above 250 Mbps most likely will not work.

[paQ]

juistem , de pro dus, en dan 'blij' zijn met een snelheid ergens tussen de 200 en 500 mbps?

overigens haal ik nu rechstreeks op de vodafone router 478 down, 350 up.

[ Voor 30% gewijzigd door paQ op 19-06-2016 17:25 ]

[Thralas]

Heb je MikroTik ook bekeken?

De CCR1009 is een paar tientjes duurder dan de 8-poorts Ubiquiti routers, maar zou het op papier ook nog redelijk moeten doen als je geen hardwareacceleratie meer hebt (bijvoorbeeld vanwege QoS).

Al is de layout van de queue tree wel bepalend voor de vraag of je de load kunt verdelen over meerdere cores. Het is dan zaak om te beredeneren hoe dat er ongeveer uit zou moeten zien.

[ Voor 29% gewijzigd door Thralas op 19-06-2016 18:03 ]

[laurens0619]

paQ schreef op zondag 19 juni 2016 @ 17:24:
juistem , de pro dus, en dan 'blij' zijn met een snelheid ergens tussen de 200 en 500 mbps?

overigens haal ik nu rechstreeks op de vodafone router 478 down, 350 up.

Ja maar vergeet niet dat Dav1d het heeft over als QoS ingeschakeld is. Zonder QoS haal je die 500mbps wel hoor. Dat haal je geloof ik zelfs met de lite en de x (nu die offloading heeft)

Dan nog zou ik voor de pro gaan zodat je wat speelruimte hebt met QoS en je direct goed zit met het aantal poorten
PS: Mikrotik is ook mooooi spul. Ik draai het beide hier in huis.

[ Voor 17% gewijzigd door laurens0619 op 19-06-2016 22:43 ]

[paQ]

We hebben te weinig kaas gegeten van het hele QoS gebeuren. Maar ik kan me geen situatie indenken waarbij alle bandbreedte voor langere tijd opgaat aan 1 verbruiker.
Of denk ik nu te eenvoudig?

[redfoxert]

paQ schreef op zondag 19 juni 2016 @ 23:52:
We hebben te weinig kaas gegeten van het hele QoS gebeuren. Maar ik kan me geen situatie indenken waarbij alle bandbreedte voor langere tijd opgaat aan 1 verbruiker.
Of denk ik nu te eenvoudig?

De mogelijkheid bestaat dat het voorkomt. Het risico is dan wat je voor jezelf moet bepalen of je dat risico wilt lopen. Je kunt ook via de web interface monitoren. Mocht het uit de klauwen lopen kan je altijd nog in goed overleg bepalen wat er moet gebeuren. Uiteindelijk de knop omzetten met QoS enabled is dan altijd nog mogelijk (maar met consequenties voor de te behalen totale doorvoersnelheid).

QoS inschakelen moet je sowieso niet te licht over denken, het kan nog wel eens nare gevolgen hebben voor andere diensten.

[Ethirty]

Ik denk dat de situatie waarbij de overige gebruikers geen snelheid overhouden bij een 500/500 lijn sowieso zeldzaam zijn. En mocht dat om wat voor reden toch voorkomen, dan valt er vast wel iets in te stellen om dat in te perken.

https://help.ubnt.com/hc/...-upload-download-and-VoIP.

Als ik het begrijp kan je iedereen 50MB geven met een burst van 200, om maar wat te noemen. Weet niet wat de performance impact is, maar kan me niet voorstellen dat die heel groot is.

[ Voor 3% gewijzigd door Ethirty op 20-06-2016 00:05 ]

[paQ]

right, laatste vraagje denk ik, kan ik op die SFP poorten wel gewoon gebruikers aansluiten? Of heb je in het geval van de PRO echt maar 6 poorten? Want dat zou dan eigenlijk net weer te weinig zijn.

[Ethirty]

De pro heeft 8+2 poorten, de 2 sfp poorten zijn shared. Dus 8 ethernet, of 6 ethernet + 2 sfp. Of 7 ethernet en 1 sfp

[paQ]

Als het goed is woensdag binnen

[Thralas]

Ethirty schreef op maandag 20 juni 2016 @ 00:03:
Weet niet wat de performance impact is, maar kan me niet voorstellen dat die heel groot is.

Daar zou ik juist heel conservatief in zijn.

Alle routers met een 'eenvoudige' MIPS of ARM core maken dankbaar gebruik van hardware offloading om de throughput te verbeteren.

Simpel NAT routeren kunnen ze allemaal wel in hardware (Ubiquiti, MikroTik), dus dan bereikt veel verkeer de CPU niet eens. Met zaken als QoS moet dan opeens alles over de CPU dus dan ga je er veel verder op achteruit dan enkel de 'kosten' van traffic queueing.

[paQ]

De edgerouter 8 PRO draait nu een paar dagen, en doet precies wat we wilden
Handig ook dat je een openbare verbinding heel eenvoudig 'onaantrekkelijk' kunt maken (voor zwaar gebruik/belasting) met 1 simpele QoS instelling.
Jammer genoeg kun je maar 7 poorten gebruiken ipv 8; 1 gaat immers op aan de binnenkomende lijn.

momenteel 3 gebruikers, dus nu langzaam de rest bijvoegen.

nogmaals bedankt voor de tip!

[ Voor 8% gewijzigd door paQ op 25-06-2016 10:32 ]

[Ethirty]

paQ schreef op zaterdag 25 juni 2016 @ 10:30:
Jammer genoeg kun je maar 7 poorten gebruiken ipv 8; 1 gaat immers op aan de binnenkomende lijn.

Ja, je moet in je poorten ook de WAN meerekenen natuurlijk. Met 8 poorten is het lastig om er 9 aan te sluiten.

Overigens kan er altijd nog een switch tussen als je echt tekort gaat krijgen.

[paQ]

Ethirty schreef op zaterdag 25 juni 2016 @ 11:29:
[...]

Ja, je moet in je poorten ook de WAN meerekenen natuurlijk. Met 8 poorten is het lastig om er 9 aan te sluiten.

Overigens kan er altijd nog een switch tussen als je echt tekort gaat krijgen.

ja is ook.
Het is alleen even frotten met de onderverdeling van de poorten. Er zijn ook enkele gebruikers die alleen "internet willen gebruiken" dus die kunnen in wezen samen op 1 poort.
Router ertussen met DHCP, patchen, en dan ieder zijn eigen AP in de betreffende ruimte.

[Ethirty]

paQ schreef op zaterdag 25 juni 2016 @ 11:34:
[...]

ja is ook.
Het is alleen even frotten met de onderverdeling van de poorten. Er zijn ook enkele gebruikers die alleen "internet willen gebruiken" dus die kunnen in wezen samen op 1 poort.
Router ertussen met DHCP, patchen, en dan ieder zijn eigen AP in de betreffende ruimte.

Ga er niet nog een router tussen hangen, maar splits desnoods 1 poort op in enkele vlans en splits die verder met een switch. Dan kan je alle routering maar ook DHCP centraal in de Edgerouter blijven regelen.

En als bij-tip: Ubiquiti heeft ook hele leuke AP's