Port-based VLAN, hoe doe ik het goed?

[HenkDePoema]

Ik ben op zoek naar een manier om een internetverbinding (Ziggo) bekabeld te delen met 8 appartementen. Dat kan natuurlijk door een domme switch aan de modem (Technicolor TC7210) te hangen en zo een voor iedereen toegankelijk netwerk te maken. Dat wil ik niet! Het enige dat gedeeld zou moeten worden is de internetverbinding en verder zou ieder appartement z'n eigen subnet moeten hebben, zodat men a) niet in elkaars routers of devices kan gaan neuzen, en b) een verkeerd aangesloten router (DHCP aan en via LAN-poort in netwerk gehangen) niet meteen het hele netwerk platlegt.

Om dit te bereiken moet ik volgens mij met VLANs werken. Ook denk ik te weten dat ik in de beschreven situatie het beste een port-based VLAN kan gebruiken. Dan nu mijn vragen:
1. Kan dat door deze switch te gebruiken: https://tweakers.net/pric.../tp-link-tl-sg1016de.html, of heb ik (daarnaast) een router nodig die VLANs begrijpt?
2. Als ik deze switch op de Ziggo modem aansluit, heb ik nog 15 poorten over... Kan ik aan elk van die 15 poorten een VLAN toewijzen, zodat op de switch aangesloten apparaten automatisch in een eigen subnet zitten? Of begrijp ik het concept dan verkeerd?
3. Als het inderdaad werkt zoals hierboven beschreven, is de Ziggo router nog steeds de gateway voor ieder subnet, toch? Betekent dit dat via deze router de verschillende subnetten elkaar nog steeds kunnen bereiken (dat is uiteraard niet de bedoeling), of zou die route dan eerst handmatig moeten worden aangemaakt?

Ik hoop dat mijn vragen duidelijk genoeg zijn en alvast bedankt voor het meedenken!

[Felyrion]

1) Je zult de VLAN's ook op de uplink van de switch moeten hebben, dus zul je in ieder geval een router moeten hebben die VLAN's begrijpt. De switch die je linkt ken ik niet, maar aan de reviews te zien zal dat wel lukken.

2) Ja, dat klopt, alleen zou ik zeggen dat iedere poort zijn eigen netwerk krijgt. Subnet is technisch gezien iets anders.
Je geeft voor elke poort een eigen (untagged) VLAN op en wat je daar op aansluit zal alleen op dat VLAN communiceren.

3) Zie 1, ik denk niet dat je jouw geschetste situatie kunt realiseren op een standaard ziggo router.


ter aanvulling:
Ik heb zelf eens iets vergelijkbaars gedaan. Daar heb ik een virtuele PFSense firewall ingericht. Deze heb ik meerdere interfaces gegeven die elk in een eigen VLAN communiceren. Met firewall rules kun je dan netjes zelf bepalen welke interfaces met elkaar mogen babbelen.

[ Voor 20% gewijzigd door Felyrion op 29-11-2016 16:53 ]

[MaxTheKing]

pfSense is inderdaad een goede oplossing voor deze situatie. VLAN's zijn makkelijk te maken en af te scheiden van elkaar (Firewall rules). Ook een voordeel is dat pfSense vrijwel op elk systeem kan draaien, zolang er maar 2 of meer LAN poorten aanwezig zijn.

[MAX3400]

HenkDePoema schreef op dinsdag 29 november 2016 @ 16:34:
Ik ben op zoek naar een manier om een internetverbinding (Ziggo) bekabeld te delen met 8 appartementen.

Tegenvraag: waarom?

Anders dan kostenoverwegingen, kan je dit alleen maar last op de hals halen. Want als Ziggo jou (als abonneehouder) op de hoogte stelt dat je verbinding geblokkeerd is omdat er spam is verstuurd, hoe los je dat op?

Geen idee hoe snel de verbinding is maar als je "gemiddeld" van 3 devices in het huishouden naar zometeen 24 devices in alle huishoudens gaat, heb je zomaar kans dat je wel iets met traffic-management, QoS, etc moet gaan doen. Niet dat 1 persoon even 100GB aan "films" binnentrekt en de rest niet eens een mailtje kan versturen.

En als laatste tip: lees even de kleine letters en fair use policy van Ziggo. Iets zegt me dat je eenvoudigweg niet legaal bezig bent.

[HenkDePoema]

Bedankt voor de uitgebreide reacties!

Felyrion schreef op dinsdag 29 november 2016 @ 16:45:
1) Je zult de VLAN's ook op de uplink van de switch moeten hebben, dus zul je in ieder geval een router moeten hebben die VLAN's begrijpt. De switch die je linkt ken ik niet, maar aan de reviews te zien zal dat wel lukken.

Helder, en logisch! De Ziggo router doet dit inderdaad niet. Dat zou betekenen dat ik die in bridge-modus moet laten zetten en vervolgens een eigen router (https://tweakers.net/pric...biquiti-edgerouter-x.html?) en de genoemde switch zou kunnen gebruiken. Is het trouwens niet mogelijk om die router en switch functionaliteit in één device te krijgen? Er lijken geen routers te zijn met meer dan 8 poorten!

2) Ja, dat klopt, alleen zou ik zeggen dat iedere poort zijn eigen netwerk krijgt. Subnet is technisch gezien iets anders.
Je geeft voor elke poort een eigen (untagged) VLAN op en wat je daar op aansluit zal alleen op dat VLAN communiceren.

Hm, hier wreekt zich mijn beperkte kennis van netwerken. Ik noemde het subnet, omdat deze handleiding van Draytek het zo beschrijft!

EDIT (koppigheidsmodus):
En toch betwijfel ik of dat wat ik wil niet kan . Als ik dit verhaal lees, en vervolgens kijk naar de softwarefeatures van de genoemde switch, zou je toch haast denken dat alleen die switch genoeg moet zijn. Ik ben bang dat ik ongelijk heb , maar kan iemand uitleggen waarom?
/EDIT

3) Zie 1, ik denk niet dat je jouw geschetste situatie kunt realiseren op een standaard ziggo router.

Dat klopt dus, helaas.

ter aanvulling:
Ik heb zelf eens iets vergelijkbaars gedaan. Daar heb ik een virtuele PFSense firewall ingericht. Deze heb ik meerdere interfaces gegeven die elk in een eigen VLAN communiceren. Met firewall rules kun je dan netjes zelf bepalen welke interfaces met elkaar mogen babbelen.

Dit zou perfect zijn, maar ik zie dat het draaien van pfSense redelijk prijzige hardware vereist: met een Raspberry Pi (ARM) gaat het al niet lukken. Maar, ik hou dit in m'n achterhoofd als eventueel 'last resort'.

MaxTheKing schreef op dinsdag 29 november 2016 @ 17:20:
pfSense is inderdaad een goede oplossing voor deze situatie. VLAN's zijn makkelijk te maken en af te scheiden van elkaar (Firewall rules). Ook een voordeel is dat pfSense vrijwel op elk systeem kan draaien, zolang er maar 2 of meer LAN poorten aanwezig zijn.

Als er een goedkoop systeempje is, hoor ik het graag! Ik kan hier zelf ook nog wat beter naar zoeken.

MAX3400 schreef op dinsdag 29 november 2016 @ 17:25:
[...]

Tegenvraag: waarom?

Omdat het een pand betreft met slechts één AOP. Een soort studentenhuis dus met gedeelde voordeur, maar verder gescheiden appartementen/studio's.

Anders dan kostenoverwegingen, kan je dit alleen maar last op de hals halen. Want als Ziggo jou (als abonneehouder) op de hoogte stelt dat je verbinding geblokkeerd is omdat er spam is verstuurd, hoe los je dat op?

Dit probleem bestaat zowel met als zonder VLANs, dus eerlijk gezegd is deze hypothetische situatie wel wat offtopic. Nietemin iets om rekening mee te houden, maar gezien de omstandigheden zie ik weinig alternatieven.

Geen idee hoe snel de verbinding is maar als je "gemiddeld" van 3 devices in het huishouden naar zometeen 24 devices in alle huishoudens gaat, heb je zomaar kans dat je wel iets met traffic-management, QoS, etc moet gaan doen. Niet dat 1 persoon even 100GB aan "films" binnentrekt en de rest niet eens een mailtje kan versturen.

Zeker waar, en dit pleit weer meer voor een pfSense-achtige oplossing.

En als laatste tip: lees even de kleine letters en fair use policy van Ziggo. Iets zegt me dat je eenvoudigweg niet legaal bezig bent.

Ik snap wat je bedoelt, maar nogmaals: het gaat hier om inpandig gescheiden woonruimten.

[ Voor 7% gewijzigd door HenkDePoema op 29-11-2016 19:30 ]

[Thralas]

Felyrion schreef op dinsdag 29 november 2016 @ 16:45:
2) Ja, dat klopt, alleen zou ik zeggen dat iedere poort zijn eigen netwerk krijgt. Subnet is technisch gezien iets anders.

Datzelfde geldt uiteraard voor VLANs. Bijna altijd noemt men 'VLANs' als men eigenlijk 'subnetwerken gescheiden van elkaar routeren' bedoelt. Ook hier.

Dus met een switch ben je er niet (zover waren we). En een router maakt het in de basis ook niet uit vanaf welk VLAN een verkeer komt; hij knoopt IP-netwerken aan elkaar. Als je wil dat iets niet gerouteerd wordt zul je daar meestal maatregelen voor moeten nemen.

HenkDePoema schreef op dinsdag 29 november 2016 @ 18:49:
Is het trouwens niet mogelijk om die router en switch functionaliteit in één device te krijgen? Er lijken geen routers te zijn met meer dan 8 poorten!

Ubiquiti (en MikroTik) zijn merken die je vaker tegenkomt voor dit soort oplossingen 'on a budget'.

Die laatste heeft óók routers met (relatief) veel poorten. De RB3011 bijvoorbeeld.

Hm, hier wreekt zich mijn beperkte kennis van netwerken. Ik noemde het subnet, omdat deze handleiding van Draytek het zo beschrijft!

Die neemt ook een beetje een loopje met de definitie van VLAN; dat is wmb. toch echt het scheiden op ethernetniveau volgens 802.1Q, niet meer, niet minder. Misschien is dat omdat een router intern (!) altijd met VLANs zal moeten werken om z'n poorten te scheiden, maar dat detail kun je prima wegabstraheren voor de eindgebruiker.

Dat is (niet geheel ontoevallig) ook op MikroTik realiseert (mits er geen switch nodig is): allemaal 'aparte' poorten met een fatsoenlijke firewall (enkel FORWARD tussen LAN en WAN-poorten toestaan, de rest drop je). De term 'vlan' komt nergens bij kijken.

pfSense is overigens ook een goede oplossing, maar dan ben je een paar honderd euro verder (bescheiden pfSense-doosje icm. switch).

[CyBeR]

Je kunt twee dingen doen, grofweg:

• Neem een L3 switch en laat die je interne routing doen (acl's om te zorgen dat je verschillende subnets niet bij elkaar kunnen, of juist wel) en één router die alle subnets routeert in een keer.
• Neem een L2 switch en stel een trunkpoort in naar een router die vervolgens een vlan-interface in elk vlan heeft zitten.

Optie 1 is het beste als je ook inter-vlanverkeer hebt. Als je daar helemaal niks van hebt is optie 2 waarschijnlijk wat goedkoper uit te voeren. Dat kan met elke managed switch en bijvoorbeeld een edgerouter van ubiquiti.

[Brahiewahiewa]

Misschien moet je je doelstelling aanpassen. In de praktijk zal namelijk blijken dat iedereen wifi wil, voor telefoons, tablets en laptops. Dat zie ik in jou plan niet terug dus ik neem aan dat iedere bewoner daar zelf voor moet zorgen. Dan zit je dus binnen de kortste keren met minstens 8 ap's in het netwerk. En de meeste ap's zullen wifi-routers zijn, waarvan het routing gedeelte niet gebruikt wordt.

Dus ik zou zeggen: "hou het simpel". Biedt gewoon een onveilig gedeeld netwerk aan. Als een bewoner een veilig netwerk wil, sluit-ie er z'n eigen router op aan en als dubbel-NAT 'm irriteert dan is-ie ook vast wel slim genoeg om uit te vogelen hoe hij de tweede NAT kan voorkomen.

Op dat onveilige netwerk kun je dan meteen de servers zetten voor de bierlijst, het corvee rooster en het "wie kookt wanneer" schema

[MaxTheKing]

[quote]HenkDePoema schreef op dinsdag 29 november 2016 @ 18:49:

Als er een goedkoop systeempje is, hoor ik het graag! Ik kan hier zelf ook nog wat beter naar zoeken.


Ik draai pfSense zelf op een Igel H700c Thin-Client, voor 2 tientjes op eBay gekocht. Even een Intel Dual Gigabit netwerkkaartje toegevoegd en done. Je hebt een super router. pfSense heeft helemaal geen krachtige hardware nodig om te draaien, waar je dus wel op moet letten is dat het systeem dat je koopt over minimaal 2 RJ-45 poorten beschikt.

[Trommelrem]

HenkDePoema schreef op dinsdag 29 november 2016 @ 18:49:
Omdat het een pand betreft met slechts één AOP. Een soort studentenhuis dus met gedeelde voordeur, maar verder gescheiden appartementen/studio's.

Waarom probeer je dan een probleem op te lossen door een ander probleem te creeeren?
Bij Ziggo heb je de keuze: /32 of /29. Voor zover ik weet bestaat er een aanvraagformulier voor /28 of iets anders. Dan hoef jij er geen werk in te steken, maar dan is het gewoon ieder voor zich en kun je ook niet achteraf supportgezeik krijgen.

[ Voor 12% gewijzigd door Trommelrem op 30-11-2016 11:20 ]

[mindwarper]

ik heb wat TS wil zellf gedaan inderdaad
1. Ziggo ubee modem in Bridge --> WAN port ASUS RT-AC68U
2. ASUS RT-AC68U met static IP route voor al mijn gebruikte IPv4 van VLAN subnets (ja 1 route, leve supernetting en CIDR) --> Cisco 3750G switch
3. dan in Cisco 3750G switch een aantal VLANs gemaakt met IP reeksen die ik wil gebruiken en dan ook wat ACLs gemaakt om het e.e.a. te blokkeren
4. en ook verder in woonkamer uplinks gemaakt van andere cisco 2960X switch naar deze 3750G en op deze L2 switch dan een antal ports enkel VLAN op gezet en voila, klaar

dat in een notendop
maar het goed inregelen en aanleggen kost wel wat goede netwerkkennis en tijd
maar dat vind ik nu leuk
het kost hier wellicht iets teveel om het allemaal uit de doeken te doen, dus als er meer info gewenst is kan ik dat natuurlijk geven

[ Voor 13% gewijzigd door mindwarper op 30-11-2016 15:25 . Reden: typo's en extra info ]

[HenkDePoema]

CyBeR schreef op dinsdag 29 november 2016 @ 20:07:
Je kunt twee dingen doen, grofweg:

• Neem een L3 switch en laat die je interne routing doen (acl's om te zorgen dat je verschillende subnets niet bij elkaar kunnen, of juist wel) en één router die alle subnets routeert in een keer.
• Neem een L2 switch en stel een trunkpoort in naar een router die vervolgens een vlan-interface in elk vlan heeft zitten.

Optie 1 is het beste als je ook inter-vlanverkeer hebt. Als je daar helemaal niks van hebt is optie 2 waarschijnlijk wat goedkoper uit te voeren. Dat kan met elke managed switch en bijvoorbeeld een edgerouter van ubiquiti.

Dit biedt duidelijkheid, bedankt!
Optie 1 spreekt me het meeste aan, omdat ik dan met 1 device klaar ben (mits de Ziggo router die subnets kan routen, en daar ben ik niet zeker van).
Optie 2 is volgens mij 'zoals het hoort', maar ik probeer de aanschaf van 2 apparaten te vermijden . Overigens is er op geen enkele manier inter-vlanverkeer vereist.

Ik las iets over port isolation, een methode die volgens o.a. dit verhaal wordt gebruikt om netwerkverkeer dat via dezelfde switch loopt van elkaar te isoleren, zonder dat per fysieke poort een vlan ingericht hoeft te worden. Dat lijkt me wat ik moet hebben, tenzij dat verkeer op L3-niveau (in de Ziggo router) alsnog weer aan elkaar geknoopt wordt.
Deze switch ondersteunt ook port isolation en dat lijkt me, gezien de handleiding, wel rechttoe-rechtaan in te stellen. Is dit een reële 3e optie (als in: worden ip-conflicten als gevolg van verkeerd aangesloten routers hiermee voorkomen) of wil ik het dan echt te simpel oplossen?

Het moge duidelijk zijn, ik ben danig op zoek naar de eenvoudigste oplossing, die de aanschaf van extra hardware zoveel mogelijk onnodig maakt!

Brahiewahiewa schreef op woensdag 30 november 2016 @ 01:04:
Misschien moet je je doelstelling aanpassen. In de praktijk zal namelijk blijken dat iedereen wifi wil, voor telefoons, tablets en laptops. Dat zie ik in jou plan niet terug dus ik neem aan dat iedere bewoner daar zelf voor moet zorgen. Dan zit je dus binnen de kortste keren met minstens 8 ap's in het netwerk. En de meeste ap's zullen wifi-routers zijn, waarvan het routing gedeelte niet gebruikt wordt.

Dus ik zou zeggen: "hou het simpel". Biedt gewoon een onveilig gedeeld netwerk aan. Als een bewoner een veilig netwerk wil, sluit-ie er z'n eigen router op aan en als dubbel-NAT 'm irriteert dan is-ie ook vast wel slim genoeg om uit te vogelen hoe hij de tweede NAT kan voorkomen.

Het is inderdaad zo dat de meeste gebruikers een eigen (router als) AP neerzetten. Maar dit wordt niet altijd goed gedaan, waardoor er IP-conflicten ontstaan en soms het hele netwerk zonder internet komt te zitten. De verschillende gebruikers zien elkaar niet als huisgenoten (en zijn dat feitelijk ook niet), waardoor overleg hierover moeizaam verloopt.
Vandaar mijn zoektocht naar een foolproof systeem, waarbij in elk appartement de kabel vanaf de centrale switch naar eigen inzicht gebruikt kan worden, zonder de andere bewoners in de weg te kunnen zitten.

Op dat onveilige netwerk kun je dan meteen de servers zetten voor de bierlijst, het corvee rooster en het "wie kookt wanneer" schema

Dat zou in een studentenhuis goed kunnen, maar deze situatie is dus anders (sorry voor de onduidelijkheid)!

MaxTheKing schreef op woensdag 30 november 2016 @ 11:08:
Ik draai pfSense zelf op een Igel H700c Thin-Client, voor 2 tientjes op eBay gekocht. Even een Intel Dual Gigabit netwerkkaartje toegevoegd en done. Je hebt een super router. pfSense heeft helemaal geen krachtige hardware nodig om te draaien, waar je dus wel op moet letten is dat het systeem dat je koopt over minimaal 2 RJ-45 poorten beschikt.

Bedankt voor de tip! Dit lijkt inderdaad een van de weinige goedkope thin clients te zijn waar een extra netwerkkaart in geplaatst kan worden.

Trommelrem schreef op woensdag 30 november 2016 @ 11:20:
[...]
Waarom probeer je dan een probleem op te lossen door een ander probleem te creeeren?
Bij Ziggo heb je de keuze: /32 of /29. Voor zover ik weet bestaat er een aanvraagformulier voor /28 of iets anders. Dan hoef jij er geen werk in te steken, maar dan is het gewoon ieder voor zich en kun je ook niet achteraf supportgezeik krijgen.

Dit klinkt interessant, kun je hier meer over vertellen? Waar kan ik zo'n formulier vinden, en hoe zou dit er uit komen te zien in deze situatie?

mindwarper schreef op woensdag 30 november 2016 @ 12:08:
ik heb wat TS wil zellf gedaan inderdaad
1. Ziggo ubee modem in Bridge --> WAN port ASUS RT-AC68U
2. ASUS RT-AC68U met static IP route voor al mijn gebruikte IPv4 van VLAN subnets (ja 1 route, leve supernetting en CIDR) --> Cisco 3750G switch
3. dan in Cisco 3750G switch een aantal VLANs gemaakt met IP reeksen die ik wil gebruiken en dan ook wat ACLs gemaakt om het e.e.a. te blokkeren
4. en ook verder in woonkamer uplinks gemaakt van andere cisco 2960X switch naar deze 3750G en op deze L2 switch dan een antal ports enkel VLAN op gezet en voila, klaar

dat in een notendop
maar het goed inregelen en aanleggen kost wel wat goede netwerkkennis en tijd
maar dat vind ik nu leuk
het kost hier wellicht iets teveel om het allemaal uit de doeken te doen, dus als er meer info gewenst is kan ik dat natuurlijk geven

Bedankt voor dit voorbeeld! Het is misschien (en hopelijk ) wat complexer dan ik nodig heb, maar goed om te weten dat het kan en ik gebruik kan maken van jouw ervaring

[borft]

Volgens mij moet het ook met alleen een switch met VLAN functionaliteit kunnen (als het OK is dat iedereen in hetzelfde subnet zit). Je maakt dan voor elke port een apart VLAN aan, met een trunk port voor je router. Dan ben je ook klaar volgens mij (alleen even je subnet breed genoeg maken voor alle devices).

Mooier is om op elk VLAN een apart subnet te draaien natuurlijk, maar daar heb je wel meer apparatuur voor nodig.

[CyBeR]

HenkDePoema schreef op woensdag 30 november 2016 @ 16:36:
[...]

Dit biedt duidelijkheid, bedankt!
Optie 1 spreekt me het meeste aan, omdat ik dan met 1 device klaar ben (mits de Ziggo router die subnets kan routen, en daar ben ik niet zeker van).
Optie 2 is volgens mij 'zoals het hoort', maar ik probeer de aanschaf van 2 apparaten te vermijden . Overigens is er op geen enkele manier inter-vlanverkeer vereist.

Je hebt in beide gevallen twee apparaten nodig In situatie 1 moet je een apparaat hebben dat ook routes kan instellen naar de subnetten achter je L3 switch. Dat kan de standaard ziggo modem helaas niet. In situatie 2 moet je een router hebben die vlans snapt. Ook dat is weer iets wat de standaard modem niet kan.

Ik las iets over port isolation, een methode die volgens o.a. dit verhaal wordt gebruikt om netwerkverkeer dat via dezelfde switch loopt van elkaar te isoleren, zonder dat per fysieke poort een vlan ingericht hoeft te worden. Dat lijkt me wat ik moet hebben, tenzij dat verkeer op L3-niveau (in de Ziggo router) alsnog weer aan elkaar geknoopt wordt.

Het probleem met dat soort technieken is inderdaad dat je in moet stellen 'poort X mag met poort Y babbelen en verder niks'. Dat lijkt vervolgens te werken, maar je laat een beveiligingsgat open want op poort Y zit een router die er weinig moeite mee heeft om packets gewoon weer terug te sturen, en poort Y mag natuurljk wel met alle andere poorten babbelen.

Dat kun je vermijden als je de router op poort Y in kunt stellen om dat niet te doen, maar je raadt het al: het ziggo modem kan dat niet.

Deze switch ondersteunt ook port isolation en dat lijkt me, gezien de handleiding, wel rechttoe-rechtaan in te stellen. Is dit een reële 3e optie (als in: worden ip-conflicten als gevolg van verkeerd aangesloten routers hiermee voorkomen) of wil ik het dan echt te simpel oplossen?

Om eerlijk te zijn denk ik dat je 't juist nog simpeler op moet lossen, en gewoon mensen een router moet laten aansluiten zonder daar verder moeilijk om te doen. Waar jij bang voor bent met IP-conflicten komt niet zo vaak voor, en mocht 't een keer gebeuren dan leert men dat snel genoeg af.

Waar je eventueel nog op kunt letten als je dat doet, is dat je een switch koopt met dynamic arp protection en dhcp snooping. Die voorkomt dan IP-conflicten door aangesloten apparatuur alleen de via DHCP-toegewezen adressen te laten gebruiken. Een redelijk aantal betaalbare HPE switches ondersteunt dat.

[ Voor 6% gewijzigd door CyBeR op 30-11-2016 16:49 ]

[Trommelrem]

HenkDePoema schreef op woensdag 30 november 2016 @ 16:36:
Dit klinkt interessant, kun je hier meer over vertellen? Waar kan ik zo'n formulier vinden, en hoe zou dit er uit komen te zien in deze situatie?

Ziggo bellen en vragen om een /28 of /29. /29 is de standaard, /28 kan op aanvraag. Dan heeft iedereen z'n eigen publieke IP en heb je geen supportgezeik van de users. Bovendien hoef je dan ook niets meer zelf te configureren. Waarom zou je alle bovenstaande configuraties gaan implementeren als je er toch niet voor betaald krijgt?

[ Voor 15% gewijzigd door Trommelrem op 30-11-2016 17:34 ]

[mindwarper]

HenkDePoema schreef op woensdag 30 november 2016 @ 16:36:
[...]

Bedankt voor dit voorbeeld! Het is misschien (en hopelijk ) wat complexer dan ik nodig heb, maar goed om te weten dat het kan en ik gebruik kan maken van jouw ervaring

Graag gedaan als ik nog ergens bij kan helpen dan lees ik dat graag

[Nox]

Doe het niet. Niet zoals je denkt het te kunnen doen.

Bij gezeik ga je zoveel tegenwerking krijgen en Ziggo die mogelijk nog eens met een extra kostenpost komt.

Een zakelijke lijn met een ieder een eigen IP zorgt ervoor dat je degelijk een IP per user kunt geven en bij gezeik die user eenvoudig kan aanwijzen. Bovendien zal je met een zakelijke lijn niet snel problemen krijgen met fair use policy dat Ziggo de kraan dichtknijpt en je een hoop gezeik krijgt omdat iemand een virus heeft wat loopt te spammen. Daarmee ben je bovendien zelf ook nog aansprakelijk voor kinderporno, terrorisme en wat plausibeler: auteursrechtenschending.

Mocht je zelf flink downloaden is dit wel een optie, je kan je dan bij gezeik beroepen op: geen flauw idee wie downloadde, we wonen hier met 8 personen...

[Thralas]

NoxiuZ schreef op woensdag 30 november 2016 @ 17:59:
Een zakelijke lijn met een ieder een eigen IP zorgt ervoor dat je degelijk een IP per user kunt geven en bij gezeik die user eenvoudig kan aanwijzen. Bovendien zal je met een zakelijke lijn niet snel problemen krijgen met fair use policy dat Ziggo de kraan dichtknijpt en je een hoop gezeik krijgt omdat iemand een virus heeft wat loopt te spammen.

Weet je dat, of denk je dat? Ik denk namelijk dat Ziggo geen zooi op hun netwerk wil, of dat een zakelijke klant is of niet zal ze niet heel veel interesseren. Misschien dat ze je nog even bellen als het meezit.

En gezien zij maar 1 'klant' hebben zou het niet gek zijn als ze de aansluiting in z'n geheel blokkeren, ipv. (veel lastiger) een enkel IP eruitfilteren.

Daarmee ben je bovendien zelf ook nog aansprakelijk voor kinderporno, terrorisme en wat plausibeler: auteursrechtenschending.

Daar verandert een zakelijk abonnement weinig aan, het staat nog steeds op 1 naam. Toch?

Mocht je zelf flink downloaden is dit wel een optie, je kan je dan bij gezeik beroepen op: geen flauw idee wie downloadde, we wonen hier met 8 personen...

Die doet het vast minder goed in de rechtszaal. Maar dat is een andere discussie.

Het advies om een zakelijke lijn te nemen is zeker goed, maar dan vooral zodat jij als netwerkbeheerder gemakkelijk kunt bepalen wie er problemen veroorzaakt.

HenkDePoema schreef op woensdag 30 november 2016 @ 16:36:
Optie 1 spreekt me het meeste aan, omdat ik dan met 1 device klaar ben (mits de Ziggo router die subnets kan routen, en daar ben ik niet zeker van).

Heb je de RB3011 bekeken? Dat is een router met 10x gigabit, en dan ben je met 1 device klaar.

[Trommelrem]

Thralas schreef op woensdag 30 november 2016 @ 19:51:
[...]
Heb je de RB3011 bekeken? Dat is een router met 10x gigabit, en dan ben je met 1 device klaar.

Maar dan ga je een router plaatsen om...?
Een /29 op te splitsen in 2x een /30? Zonde. Gewoon een /29 of /28 aanvragen en zelf geen routers plaatsen. Ik snap echt niet dat VLAN de heilige graal lijkt te zijn. De heilige graal is in dit geval de heilige faal. Je schept onnodig hooi op je vork voor een oplossing die sucks. Ga gewoon voor de /28 of /29.

[Zenix]

Ik zou ook zakelijk nemen, zeker omdat je dan 500Mbit en 40Mbit upload kan krijgen, dan is de kans dat je last van elkaar hebt al een stukje kleiner. Indien je Pfsense gaat gebruiken kan je bijvoorbeeld er ook voor kiezen om die 500Mbit te verdelen over de 8 bewoners met de traffic limiter. Je geeft dan iedereen bijvoorbeeld 75Mbit( 600Mbit over provisioning). Dan kunnen 6 bewoners op hun maximale snelheid downloaden en dan blijft er nog 50Mbit over voor de andere 2 bewoners, dat 6 bewoners tegelijk gaan downloaden komt waarschijnlijk niet vaak voor. Dan hoef je niet met allemaal QoS regels te gaan kloten.

[Trommelrem]

Maar waarom dan weer pfSense? Van Ziggo krijg je een prima router

[Thralas]

Trommelrem schreef op woensdag 30 november 2016 @ 19:59:
Maar dan ga je een router plaatsen om...?

Dat is in ieder geval niet meer nodig voor NAT. Maar voor QoS lijkt het me alsnog wenselijk.

Een /29 op te splitsen in 2x een /30? Zonde. Gewoon een /29 of /28 aanvragen en zelf geen routers plaatsen.

Hmm, dat is inderdaad een interessante kwestie.

Ik snap echt niet dat VLAN de heilige graal lijkt te zijn. De heilige graal is in dit geval de heilige faal. Je schept onnodig hooi op je vork voor een oplossing die sucks. Ga gewoon voor de /28 of /29.

Het is sowieso wenselijk om de clients van elkaar te isoleren. Of een switch daarin toereikend is durf ik niet te zeggen, maar dan zit je sowieso nog met QoS, en de vraag of je DHCP geheel aan Ziggo kunt overlaten.

Nu weet ik het niet meer..

[Trommelrem]

Thralas schreef op woensdag 30 november 2016 @ 20:36:
Dat is in ieder geval niet meer nodig voor NAT. Maar voor QoS lijkt het me alsnog wenselijk.

NAT weglaten. Kost alleen maar extra moeite. Die QoS ook gewoon laten. Kost alleen moeite. In veel gevallen is QoS in de praktijk niet nodig. Voorkom dat je eigen config erin moet trappen.

Het is sowieso wenselijk om de clients van elkaar te isoleren. Of een switch daarin toereikend is durf ik niet te zeggen, maar dan zit je sowieso nog met QoS, en de vraag of je DHCP geheel aan Ziggo kunt overlaten.

Nu weet ik het niet meer..

Ziggo doet geen DHCP en je moet ook geen DHCP willen. Houd de config zo standaard mogelijk. Je moet zelf je IP adressen in je router instellen. Dat kunnen de eindgebruikers zelf doen, of je doet het eenmalig voor ze. Je hoeft misschien alleen maar een briefje op te hangen met wie welk IP adres mag gebruiken.

Clients isoleren elkaar maar met hun eigen NAT-routertje.

[ Voor 4% gewijzigd door Trommelrem op 30-11-2016 20:47 ]

[DJSmiley]

Als je een /28 kan krijgen kun je iedereen een eigen publieke IP geven. Gooi een simpele Mikrotik neer (de genoemde 3011 is bv een prima optie) en laat dat ding PPPoE server spelen per user.

Dan voorkom je dat mensen IP conflicten creeren, iedereen heeft zn eigen broadcast domein en je geeft per user een bepaalde bandbreedte op. En je weet wie welk IP heeft,ook handig bij abusemeldingen.
En iedereen kan zn eigen portforwardings maken enz.

Handmatig eea dichtspijkeren is lastiger. Je zal ergens dat /28 moeten koppelen aan de gebruikers. die in 1 vlan gooien is wachten op IP conflicten. Daarbij moet je dan ook nog je switch dichtspijkeren om te voorkomen dat iemand gaat kloten (rogue dhcp servers, arp attacks enz. Port isolation is een optie, maar dan kan men weer niet onderling communiceren. Proxy arp kan weer niet elk device.

Budget slimste optie is denk ik een goede Mikrotik

[ Voor 6% gewijzigd door DJSmiley op 30-11-2016 20:50 ]

[HenkDePoema]

Allen bedankt voor de reacties, en excuses voor de late terugkoppeling. We zijn eruit, het blijft zoals het was . Dus gewoon een domme switch aan de bestaande Ziggo router. Er is geen draagvlak voor een zakelijk (= duurder) abonnement, en ook niet voor de eenmalige investering in een VLAN-ondersteunende router en switch.

Toch zijn de geboden oplossingen interessant en vooral leerzaam. In deze casus is de netste oplossing om voor een /28-abbo te gaan (ik wist eerst niet wat dit inhield), maar eerlijk gezegd verbaast het me dat ik niet meer info heb kunnen vinden over mijn oorspronkelijke aanpak. Het zal allicht te maken hebben met het vermeende botsen van zo'n VLAN setup met de algemene voorwaarden van ISP's, en misschien ook dat dit wat meer richting professionele netwerkinrichting gaat. Die Mikrotik RB3011 schijnt wel een behoorlijke leercurve te hebben voor de niet-professionele netwerkbeheerder, al was ik waarschijnlijk niet voor teruggedeinsd!

Desalniettemin, mijn netwerkkennis is dankzij dit topic weer behoorlijk bijgespijkerd, en daarvoor dank!