Nas op 2x Vlan

[Verwijderd]

Hoe zit het nu
Bij ons op de zaak draaien we een klein netwerk voor 5 werkstations 2x NAS en server.
Nu is het zo dat de werkstations, de server en de 2x Synology NAS bij elkaar op 1 netwerk zitten.

Vanwege een inbraak ga ik een netwerk met 5x IP cameras aanleggen POE.

Nu is het zo dat deze cameras op de Synology surveillance station gaan draaien
Beide NAS apparaten staan via CMS met elkaar in verbinding zodat ik al 4 licenties heb voor surveillance station.

Op de NAS apparaten wordt ook een backup gedraaid vanaf de server 2x daags.

Hoe wil ik het
Ik zou graag willen dat de IP camera's in een apparte VLAN gaan draaien VLAN 2, maar ik wil ook graag dat de server uit VLAN 1 wel toegang houd tot beide NAS apparaten om zijn backups kwijt te kunnen.

Alles draait nu nog op een smartmanaged switch van netgear (GS724T) de Cameras gaan draaien op een netgear FS728TP smartmanaged switch.

Waarom wil ik dit?
Enkele cameras worden aangesloten in een gedeelte dat verhuurd is, en ik wil niet dat ze een netwerkkabel kunnen pakken, en als het ware al op mijn netwerk zitten.

Hoe doe ik het?
Ik heb in principe 3 apparaten in mijn netwerk die ik kan gebruiken voor het instellen voor een VLAN, de router en beide switches.
Op welk apparaat is dit het beste te realiseren? en hoe koppel ik de beide NAS''en aan VLAN 1 en 2?

Hoop dat 1 van jullie mij een stukje op weg kan helpen zodat ik wat gerichter kan zoeken op dingen

Relevante software en hardware die ik gebruik
Router: Draytek Vigor 2925
Switch 1: Netgear GS724GT
Switch 2: Netgear FS728TP
NAS1: Synology DS215J
NAS2: Synology DS115

Wat ik al gevonden of geprobeerd heb
...

[DukeBox]

Je kan virtual interfaces aanmaken via de CLI. Andere optie is een usb netwerk adapter.

[Paul]

Zo te zien moet je ervoor naar de command line maar je kunt de NAS wel in twee VLAN's zetten: http://www.cloudfix.nl/2016/03/30/synology-vlan-tagging/

Andere optie is de router laten doen waar deze goed in is, routeren, en door middel van de firewall regelen wat wel en niet mag... Op de Draytek een 2e VLAN aanmaken, aansluiten op de switch, daar de camera's op, en de rest met de firewall instellen.

[Verwijderd]

Precies Paul. Een router is hét apparaat dat het moet regelen. Deze heeft de "inteligentie" en de kracht om dat te doen.

De NAS moet gewoon een "dom" apparaat blijven (dus untagged verkeer krijgen).


Maar het kan ook zoals in het artikel is vermeld.

[JackBol]

Verwijderd schreef op woensdag 14 december 2016 @ 21:17:
Precies Paul. Een router is hét apparaat dat het moet regelen. Deze heeft de "inteligentie" en de kracht om dat te doen.

De NAS moet gewoon een "dom" apparaat blijven (dus untagged verkeer krijgen).

Die Synology heeft gewoon een volwaardige routing en firewall stack aan boord hoor.

Verder is taggen en iets heel anders dan routen.
Je kan prima een NAS in 2 VLANs hangen zonder dat die hoeft te routen.

[ Voor 14% gewijzigd door JackBol op 14-12-2016 21:26 ]

[Paul]

Dat wel, maar de functie van het apparaat is "NAS", niet "router". Nu is een 2e "netwerkkaart" aanmaken niet zo heel spannend (en duurdere modellen hebben out of the box al 2 netwerkkaarten aan boord), maar dan ontsluit je met een beetje pech wel je complete NAS naar het "onveilige" VLAN 2, terwijl je eigenlijk alleen maar wil zorgen dat het NAS bij de camera's kan (of andersom, geen idee hoe het technisch werkt) zonder dat je vanuit dat netwerk in kunt loggen op de management interface of op een share.

[JackBol]

Paul schreef op woensdag 14 december 2016 @ 21:28:
Dat wel, maar de functie van het apparaat is "NAS", niet "router". Nu is een 2e "netwerkkaart" aanmaken niet zo heel spannend (en duurdere modellen hebben out of the box al 2 netwerkkaarten aan boord), maar dan ontsluit je met een beetje pech wel je complete NAS naar het "onveilige" VLAN 2, terwijl je eigenlijk alleen maar wil zorgen dat het NAS bij de camera's kan (of andersom, geen idee hoe het technisch werkt) zonder dat je vanuit dat netwerk in kunt loggen op de management interface of op een share.

Die cameras moeten sowieso met de NAS verbinding maken, dus zelfs als het door de router heen gaat, is je NAS bereikbaar vanaf het Camera VLAN.

[Paul]

JackBol schreef op woensdag 14 december 2016 @ 21:39:
Die cameras moeten sowieso met de NAS verbinding maken

Er is een verbinding tussen NAS en camera's, dat klopt, maar het is helemaal niet gezegd dat het de camera's zijn die deze verbinding initiëren. Nu ben ik niet heel bekend met IP-camera's maar de varianten die ik heb gezien kunnen wel losse plaatjes uploaden naar een FTP- of SMB-share, maar voor de stream moet je client (in dit geval dus de NAS) de verbinding opzetten in plaats van andersom. Als ik de handleiding van Synology Camera Station bekijk moet je inderdaad in de NAS de camera toevoegen in plaats van dat je de camera vertelt waar deze de NAS kan vinden.

Daarnaast is het nogal een verschil of je in de firewall alleen de ip-adressen en poorten open zet waar de videobeelden over verstuurd worden of 80, 5000, 9900, 137-139, 445 op het hele subnet... Of de NAS überhaupt benaderbaar is vanuit het camera VLAN is dus nog maar de vraag, en als dat al het geval is hangt het helemaal af van wat TS instelt wat je er vervolgens mee kunt.

[Frogmen]

Tja de manier om het te doen is je camera's via jet router laten gaan zodat inderdaad je firewall ertussen zit maar of je router dat gaat trekken en of je nog steeds goed internet hebt is een andere vraag.

[JackBol]

Paul schreef op donderdag 15 december 2016 @ 08:22:
[...]
Daarnaast is het nogal een verschil of je in de firewall alleen de ip-adressen en poorten open zet waar de videobeelden over verstuurd worden of 80, 5000, 9900, 137-139, 445 op het hele subnet... Of de NAS überhaupt benaderbaar is vanuit het camera VLAN is dus nog maar de vraag, en als dat al het geval is hangt het helemaal af van wat TS instelt wat je er vervolgens mee kunt.

Als je geen andere daemons op die interface draait maakt het defacto niet uit. Daarnaast kan je met iptables ook alles droppen op de videostream na. Daar heb je geen losse router of firewall voor nodig.

[Paul]

JackBol schreef op donderdag 15 december 2016 @ 16:38:
Als je geen andere daemons op die interface draait maakt het defacto niet uit. Daarnaast kan je met iptables ook alles droppen op de videostream na. Daar heb je geen losse router of firewall voor nodig.

Als je voor de "2e VLAN op de NAS"-optie gaat niet, klopt.

Biedt Synology de optie om daemons aan interfaces te binden, of bind alles op *? Ik heb geen Synology dus ik zou het niet weten.