Aansluiten meerdere managed switches met pfsense

[barniepost]

Goedemorgen IT specialisten.

Ik ben al enige tijd aan het hobbyen om mijn netwerk als volgt in te richten:
- KPN glasvezel binnenkomen op mijn 1ste switch.
- Van de 1ste switch naar PFsense.
- Een extra 2de managed switch aansluiten.
- De managed switchen en pfsense kunnen beheren vanaf een pc systeem.
- Alle systemen kunnen voorzien van internet
- Alle TV's kunnen voorzien van IP tv
- ik wil alleen bij de nas kunnen vanaf het kassa systeem en 1 specifieke PC, de rest van
het netwerk moet deze niet zien/kunnen benaderen.

Ik heb een tekening gemaakt dat naar mijn weten een duidelijker beeld geeft. Voor zowel
de PFsense als de 2 managed switch, draai ik de laatste software/firmware.

In het zwart is mijn bestaande situatie aangegeven. De rode lijnen wil ik gaan toepassen, maar weet
niet of dit de juiste opzet is? Ik wil met deze opzet een mogelijkheid maken, als om welke reden
een kabel defect raakt of switch defect is, ik alsnog bij de werkende hardware kan komen om te beheren.
In het blauw heb ik aangegeven wat ik nog wil aansluiten. Welke stappen moet ik nemen om mijn gewenste
situatie te kunnen halen?

Mijn idee van VLAN's
VLAN 1 - niet gebruiken? standaard
VLAN 10 - beheer voor managen switchs en pfsense, hier 1 pc in plaatsen die bij deze hardware mag, maar ook bij de printers en nas.
VLAN 11 - Overige pc's, telefoons etc. Moeten eventueel ook bij de nas kunnen (latere wens)
VLAN 12 - Printers
VLAN 13 - Kassa Systeem, moet ook bij de nas kunnen
VLAN 20 - NAS
VLAN 30 - TV's

IP Adressen
PFsense - 192.168.1.254
Switches - 192.168.2.1 voor nr 1 en 192.168.2.2 voor nr 2
PC's/telefoons/kassa etc - 192.168.3.1 - 254
NAS - 192.168.4.1
TV's - 192.168.5.1 - 4

Alvast dank voor jullie tijd en hulp!!

[ Voor 18% gewijzigd door barniepost op 22-01-2018 10:31 ]

[MasterL]

Als je redundancy zoekt zal je apparatuur ook bepaalde protocollen moeten ondersteunen, wat je bijvoorbeeld zou kunnen doen:
- Je twee switches in een "stack" plaatsen met een LAG (vanaf elke member) naar je Pfsense doos.
- Je twee switches in een MLAG configuratie plaatsen met een LAG naar je Pfsense doos.

Aan jou vervolgens de keus welke devices belangrijk genoeg zijn om dubbel (op beide switches) aan te sluiten. Je zou bijvoorbeeld ook twee keer Pfsense kunnen draaien in een HA setup (CARP geloof ik bij PFsense).

Betreft je tekening, ik kan er niet echt wijs uit worden.
Kleine tip denk in netwerken/subnets/vlans, poorten zijn eigenlijk nooit interessant.
Bijvoorbeeld:
Vlan 1: PC' + printers.
Vlan 2: Kassa's
Vlan 3: NAS?
Op deze manier plaats je jouw apparaten in een categorie, valt een device daarbuiten of wil je een specifieke configuratie hiervoor maak je daar een apart VLAN voor aan. In je router kun je vervolgens bepalen welk subnet/vlan/IP-adres welke rules heeft (firewall) en welke apparaten kan bereiken.

Pas als laatste kan je bepalen welke poorten (untagged) in welk VLAN zitten en de juiste apparaten op de juiste poorten aansluiten.

[barniepost]

Dank je MasterL voor je snelle reactie.

Ik heb mijn vraag aangepast en hoop dat dit wat meer duidelijkheid geeft.

De termen stack, LAG en MLAG zeggen mij niets. Ik heb even snel gegoogeld en denk dat zover
ik nu gezien heb de MLAG oplossing nu het beste bij mij past. Misschien dat ik later de pfsense in HA setup zet.

Kun je met deze informatie al meer?

Dank je

[MasterL]

Nouja met de aangevulde informatie kun je in ieder geval jouw VLAN setup voor een groot deel maken.
Ik heb even naar de specs van de HP 1920-24G gekeken maar dit zijn wel echt basic switches, zo ondersteunen ze geen stacking en al helemaal geen MLAG.
Misschien is het ook wat overkill, wat is je budget?

Het probleem als je redundancy wil bereiken met je switches dat je eigenlijk "alles" op elkaar moet
aansluiten en als je dit doet met "domme" switches je last krijgt van loops. Daarom hebben managed switches bepaalde protocollen om hiermee te dealen. Het verschilt per type welke protocollen deze aan boord heeft, bij de 1920 switches is dit niet veel. Wat je wel zou kunnen doen met je huidige hardware is STP gebruiken, op deze manier staat er altijd 1 poort in "blocking" state.

https://www.pluralsight.c...ng-tree-protocol-tutorial

[barniepost]

MasterL,

Het budget is op dit moment niet voldoende om 2 "slimmere" switches te plaatsen. Ik ben dit
aan doen vanuit een opstart van een kleine winkel. ik heb helaas geen meerdere mogelijkheid om
kabels na 1 switch te trekken, vandaar een 2de switch.

Naar de STP optie ga ik dan zeker kijken, en of dit haalbaar is voor mij.

Wat al werkt is in vanaf KPN glasvezel via switch 1, naar de pfsense een internet verbinding maken.
Als ik op de LAN 1 van mijn pfsense een pc aansluit heb ik een internet verbinding.

Welke stappen moet ik nu gaan ondernemen, om het volgende te kunnen?
Moet ik de rode aangegeven kabels leggen? tussen de 2 switchen laat ik deze "rode" kabel dan weg voor het loop probleem neem ik aan? Ik wil dan graag beide switches beheerbaar maken vanaf VLAN 10 zoals aangegeven in mijn VLAN idee. Ik weet niet of dit haalbaar is:
Mijn idee van VLAN's
VLAN 1 - niet gebruiken? standaard
VLAN 10 - beheer voor managen switchs en pfsense, hier 1 pc in plaatsen die bij deze hardware mag, maar ook bij de printers en nas.
VLAN 11 - Overige pc's, telefoons etc. Moeten eventueel ook bij de nas kunnen (latere wens)
VLAN 12 - Printers
VLAN 13 - Kassa Systeem, moet ook bij de nas kunnen
VLAN 20 - NAS
VLAN 30 - TV's

En dan de juiste ip range aan de hardware toekennen (pfsense werkt al):
PFsense - 192.168.1.254
Switches - 192.168.2.1 voor nr 1 en 192.168.2.2 voor nr 2
PC's/telefoons/kassa etc - 192.168.3.1 - 254
NAS - 192.168.4.1
TV's - 192.168.5.1 - 4

Bedankt!

[ChaserBoZ_]

Even een zijstap; zou die enkele fiber niet de grootste SPOF zijn ?

[barniepost]

ChaserBoZ_,

Ben het met je eens, alleen is er vanwege de opstart op dit moment maar een beperkt budget. Mocht alles
in de toekomst goed lopen, dan is dit zeker een punt waar we ons op moeten gaan verdiepen. Thanks voor je tip!

[MasterL]

Je kan kiezen, of je sluit de twee switches op elkaar aan met 1 of meerdere (LAG/LACP configuratie) kabels of je sluit beide switches aan op je PfSense machine (misschien bridge aanmaken?).
Verder alle VLAN's aanmaken in je router en switches en de juiste firewall regels aanmaken.

Als je management alleen in Vlan10 wil doen geef je de switch alleen een IP-adres in Vlan10, neem aan dat je geen routing wil doen op je switches.

[barniepost]

Goedemorgen,

Het is inderdaad niet de bedoeling dat er routing wordt gedaan door de switches. Ik zal dan eerst
eens proberen om beide switchen aan te sluiten op de pfsense.

Ik houd jullie op de hoogte hoe en wat.