Small business network uitbreiden (pfSense?)

[PaulEm]

Op dit moment hebben wij een vrij basic netwerk op het werk; modem <-> router (Linksys E2000 met Tomato erop). Om het netwerk wat meer in handen te hebben wil ik graag aanpassingen hierin gaan toebrengen.

WiFi
Huidige situatie
Op dit moment wordt er gebruik gemaakt van de WiFi optie in de router. Hiermee kunnen medewerkers met hun smartphone het internet op en wordt gebruik van gemaakt met een Chromecast en andere devices. Wanneer klanten WiFi nodig hebben gaat dit volgens het zelfde netwerk (niet heel netjes).

Gewenste situatie
Twee APs door het pand om zo een betere coverage te hebben. Deze zullen onbeveiligd zijn en het liefst functioneren als een hotspot. Nu wil ik alleen ook devices kunnen 'whitelisten' dat ze altijd toegang hebben, dus niet middels een user/code in hoeven loggen. Het liefst wil ik dan ook dat deze devices die whitelisted zijn toegang hebben tot het interne netwerk, mensen die inloggen middels een user/password niet. Hier komen dan de volgende vragen bij;
- Is dit mogelijk met pfSense of zouden er dan twee aparte netwerken moeten worden ingericht?
- Moet ik voor het WiFi aparte NICs hebben op de server of voldoen 2 NICs hierbij (WAN en LAN)?

Monitoring
Huidige situatie
Op dit moment is er geen super goede monitoring aanwezig. We kunnen zien welk IP hoeveel data verbruikt op een dag en wat het huidige verbruik is qua bandwidth (niet heel gemakkelijk).

Gewenste situatie
Een soortgelijke mogelijkheid, maar volgens mij is dit allemaal wel beschikbaar binnen pfSense

Netwerk filter
Huidige situatie
Op dit moment kunnen we web/application filtering toepassen. Dit houdt in dat een domeinnaam geblokkeerd dan worden o.b.v. een laag in het OSI model. Het is dus niet dat er geen DNS resolved wordt maar de verbinding naar buiten wordt geweigerd. Hier zitten tijdfilters op en de sites die geblokkeerd zijn zijn o.a. vrij tijd/entertainment websites. Geen mogelijkheid op SSL filtering (omdat het request encrypted is).

Gewenste situatie
Op zich is de huidige situatie prima, wel zouden we graag meer grip willen hebben op filtering. Zo mogen mensen bijvoorbeeld wel op facebook komen (omdat dit ook deel wordt gebruikt voor werk) maar willen we bijvoorbeeld wel facebook chat kunnen blokkeren (wat volgens mij kan met pfSense icm Squid)
Eventueel ook bandwidth throttleing per group/device.

---

Al met al vallen de wensen mee en mijn algemene vraag is dan ook; gaat dit werken met pfSense?
De grootste uitdaging lijkt mij het WiFi netwerk (als het überhaupt mogelijk is zoals wij het willen), of hebben jullie hier toevallig nog andere suggesties voor?

[Yariva]

Modem in bridge naar Pfsense WAN poort.

LAN poort van Pfsense naar een managed switch met VLAN ondersteuning (en POE om alles mooi te maken ).

In de switch alles prikken. Voor de AP's 2 stuks kopen met meerdere SSID's en POE ondersteuning. Dan een trunk maken vanaf de switch naar je AP's zodat je 2 verschillende netwerken heb. Je "open" gast netwerk en het eigen bedrijfs netwerk.

De volgende stap is een subinterface aanmaken in pfSense en het interface voor het publieke wifi helemaal dichttimmeren 3 uurtjes werk en ziet er keurig uit. Alles centraal binnen pfSense en maar 1 kabel naar je AP's toe.

Wat betreft pfSense: gewoon een standaard bak met dual / quad core en 2 a 4 GB ram zou het meer dan prima moeten doen. Intel NIC's zijn altijd fijn maar Realtek support wordt steeds beter. Je kan dmv suninterfaces (zoals eerder besproken) en VLAN's gescheiden netwerken maken over 1 kabel en door 1 switch. Mocht je er meer over te weten willen komen, google is "router on a stick".

Just my 2 cents!

[ Voor 23% gewijzigd door Yariva op 31-08-2016 20:29 ]

[luxan]

PaulEm schreef op woensdag 31 augustus 2016 @ 14:21:
WiFi
Gewenste situatie
Twee APs door het pand om zo een betere coverage te hebben. Deze zullen onbeveiligd zijn en het liefst functioneren als een hotspot. Nu wil ik alleen ook devices kunnen 'whitelisten' dat ze altijd toegang hebben, dus niet middels een user/code in hoeven loggen. Het liefst wil ik dan ook dat deze devices die whitelisted zijn toegang hebben tot het interne netwerk, mensen die inloggen middels een user/password niet. Hier komen dan de volgende vragen bij;
- Is dit mogelijk met pfSense of zouden er dan twee aparte netwerken moeten worden ingericht?
- Moet ik voor het WiFi aparte NICs hebben op de server of voldoen 2 NICs hierbij (WAN en LAN)?

PaulEm schreef op woensdag 31 augustus 2016 @ 14:21:
Al met al vallen de wensen mee en mijn algemene vraag is dan ook; gaat dit werken met pfSense?
De grootste uitdaging lijkt mij het WiFi netwerk (als het überhaupt mogelijk is zoals wij het willen), of hebben jullie hier toevallig nog andere suggesties voor?

Wat betreft het WiFi zie ik een gigantisch veiligheidslek in de voorgestelde oplossing. Een open WiFi netwerk, dus geen beveiliging, encryptie of wat dan ook, betekend dat iedereen kan te pas en te onpas het WiFi netwerk op.

Das op zich prima als je alleen toegang bied tot het internet. Je loopt het risico dat er op een dag een brief (of en serie brieven) van een advocaat op de deurmat valt waarin je een schikkingsvoorstel krijgt voor het downloaden van illegaal materiaal, maar dat is een risico dat je natuurlijk voor lief kunt nemen want het is wel makkelijk zo'n open WiFi netwerk.

Het word echter iets problematischer bij de eis om bepaalde apparaten via whitelisting toegang te geven via het interne netwerk. Welke techniek voor whitelisting je ook kiest, door het gebrek aan encryptie kan het verkeer gemakkelijk en legaal afgeluisterd worden. Erger nog, een relatief onervaren en onkundige hacker kan binnen een paar minuten genoeg gegevens verzamelen om ten alle tijden toegang te hebben tot het interne netwerk.
Vergelijk het met het vervangen van de voordeur met een stuk papier en je ramen met cellofaan.

Kortom, niet doen.

Het is beter om het WiFi voor werknemenrs van encryptie te voorzien. Eventueel met de WPA2 Enterprise standaard. Het beste is om twee SSID's te gebruiken, een voor het beveiligde werknemers netwerk en een voor gasten/klanten. Op het tweede netwerk zet je dan een hotspot achtige setup op. Eventueel kun je volstaan met een portal page met algemene voorwaarden die de gebruiker via een button/checkbox dient te accepteren. Als je meer controle wil over wie, wanneer en waarom gebruik maakt van je verbinding wil je een gebruikersnaam/wachtwoord setup.

[Nox]

Wat Yariva zegt, scheidt middels goede accesspoints 2 ssid's in 2 vlans. Public en private. Je kan hiervoor bij o.a. xclaim terecht, dat is een semi-pro manages oplossing. Ubiquiti kan ook nog. Daarbuiten een degelijke gigabit poe switch, managed, een cisco small business kan nuttig zijn voor de toekomst.

Voor de pfsense kan je kijken naar een zotac mini-pc met dual gigabit, of als je wat meer professioneler zoekt een intel atom server. Deze worden door pfsense zelf ook gebruikt en heeft intel nics, 4 stuks en biedt de mogelijkheid om later ook nog wat andere taken te doen zoals vpn, proxy, snort en what not.

Ga niet whitelisten maar gebruik een sterk wachtwoord op een gescheiden vlan.

Have fun.