mini-netwerk achter bestaand netwerk

[kaajee]

Ik wil graag eens een ideetje toetsen alhier.

Wij hebben regelmatig mensen/collega's die een soort van flexplek hebben bij anderen.
Op deze plekken zitten dan hooguit een paar (3 ) mensen, meestal 1 of 2 te werken in een/onze Citrix omgeving. Ze liften mee op de internet verbinding die daar op de betreffende locatie aangeboden wordt. Meestal zijn dit door lokale overheden/partijen ingerichte locaties in steden (dat zeg ik omdat communiceren en maatwerk oplossingen zeer lastig te maken zijn met deze partijen).

Om onze collega's wel gebruik te kunnen laten maken van een aantal diensten (bijv. voip, wifi, printers, etc) speel ik met het idee om een soort van eigen mini-netwerkje achter het aangeboden netwerk/internet op te gaan zetten.
In alle gevallen krijgen de collega's de beschikking over minimaal 1 UTP poortje met 'werkend internet',.In principe is dit voldoende om onze eigen Citrix omgeving in te komen.

Als ik nu achter deze UTP poort (via de/een WAN poort) eerst een eigen (eenvoudig maar betrouwbare) wifi router (switch) plaats kan ik op deze manier zorgen dat onze eigen computers op hetzelfde subnet/iprange komen en heb ik volledige controle over de apparatuur die achter deze router komt.

Concrete vragen: hoe lijkt dit? I(k weet dat dit in principe een NAT-achter-NAT situatie oplevert) Welk router zouden jullie aanraden? Zijn er ook nog mogelijkheden voor een VPN verbinding die deze router zelfstandig kan opzetten met ons (Citrix) data-centrum (zou een extraatje kunnen opleveren).

[Felyrion]

Voor een klant van ons doen we iets dergelijks. Ze geven de buitendienst medewerkers een zogenaamde branchrouter mee waardoor ze op een willekeurige internetverbinding een beveiligde verbinding kunnen opzetten met het eigen netwerk.

Voorbeeld:
https://www3.aerohive.com/products/routers/br200-wp.html

Dit soort apparaten zijn specifiek bedoelt voor jouw situatie.

Het is wel handig als je iets van budget opgeeft, niet al dit soort oplossingen zijn even betaalbaar. Maar er zijn ook wel goedkopere manieren te verzinnen.

[MisteRMeesteR]

Kijk eens naar DMVPN.

Voor wat betreft VoIP ben je natuurlijk wel afhankelijk van de latency/jitter van de lijn die jullie wordt aangeboden.

Waarom rust je de werkplekken niet uit met een Remote Access VPN Client met een 2FA eraan vast? Ik gok dat drie kwart hiervan gebruikt maakt om op het eigen netwerk te komen, als het niet 99% is

[shure-fan]

Op thuis niveau doe ik dit ook,

Heb een aantal routers geconfigureerd met ddwrt die via openvpn verbinding maken met een vpn server op mijn huis netwerk, deze routers gebruik ik / neem ik mee als ik ergens te gast ben om zo gewoon van mijn eigen netwerk gebruik te kunnen maken

Ik gebruik op locatie dan vaak een eigen dect voip toestel, laptop, ipad, telefoon en soms een chromecast die zich allemaal netjes aanmelden op mijn netwerk

[Verwijderd]

Nee, als je het goed doet ziet je verkeer er uit als enkel geNAT. Teken de packet flow maar uit.

[kaajee]

Ok en wanneer ik zo'n netwerkje opbouw incl een VPN is er dan geen kans dat men (middels bijv. een sniffer) (man in the middle) juist gaat mees snuffelen en dan meteen ook in m'n VPN zit?

En budget....tja...ligt eraan wat men krijgt en hoe betrouwbaar iets is. Ik ben wel benieuwd naar een wat goedkopere en wat professionelere. Zijn er ervaringen met de niet super-professionele apparatuur en ook weer niet met de open source (dhz/hobyyy projecten), dus net iets er tussenin?
(ik noem maar iets: een fritzBox en Asus router kunnen out of the box ook een VPN opbouwen)

[ Voor 26% gewijzigd door kaajee op 27-04-2018 14:54 ]

[kaajee]

Kan iemand nog iets zinnigs zeggen over mijn "VPN zorgen" in deze opzet? Zijn die reëel of loopt dat niet zo'n vaart?

[shure-fan]

Ik draait zelf met een pfsense vpn server op basis van openvpn.

Pfsense draait hierbij alleen als vpn server en doet geen firewalling..

Ik heb op dit moment 2 (client) routers "in het wild" draaien en ondervind daar geen problemen mee, is gewoon een site to site Vpn, ik heb alleen de redirect gateway def1 aangegeven zodat al het verkeer vanuit die routers via mijn eigen verbinding gaat

[kaajee]

Dit topic is weer actueel geworden. Lag even in een laatje.....

Hoe gaan deze zgn. branche routers om met het beruchte "NAT-achter-NAT" (dubbel NAT)?
Ik stel me voor dat ik de WAN poort van "mijn router"gebruik en in veel gevallen heb ik echt niet meer dan een UTP poort met een "werkende internet verbinding" en is er ook niet veel meer van te maken/achterhalen. Zelfs vaak niet een vast IP adres,

Als ik alvast een begin wil maken als pilot en naar een betaalbare oplossing zou willen gaan kijken.Welke richting zou ik dan moeten kijken? Fritz! ? Asus router? Draytek? En met een bepaalde reden?

[DukeBox]

kaajee schreef op maandag 10 september 2018 @ 13:08:
Hoe gaan deze zgn. branche routers om met het beruchte "NAT-achter-NAT" (dubbel NAT)?

Dat zou met ipsec of ssl tunnels geen probleem mogen zijn. Wij gebruiken daar ASA5506-X voor maar meer uit gemak omdat we overal ASA's gebruiken.

[ Voor 14% gewijzigd door DukeBox op 10-09-2018 13:11 ]

[Brahiewahiewa]

kaajee schreef op maandag 10 september 2018 @ 13:08:
Dit topic is weer actueel geworden. Lag even in een laatje.....

Hoe gaan deze zgn. branche routers om met het beruchte "NAT-achter-NAT" (dubbel NAT)?

Als je op de router de VPN verbinding opzet, heb je geen dubbel NAT

Ik stel me voor dat ik de WAN poort van "mijn router"gebruik en in veel gevallen heb ik echt niet meer dan een UTP poort met een "werkende internet verbinding" en is er ook niet veel meer van te maken/achterhalen. Zelfs vaak niet een vast IP adres,

Ik heb dit 5 keer gelezen en ik snap nog steeds niet wat je hiermee wilt zeggen

Als ik alvast een begin wil maken als pilot en naar een betaalbare oplossing zou willen gaan kijken.Welke richting zou ik dan moeten kijken? Fritz! ? Asus router? Draytek? En met een bepaalde reden?

Die vraag hebben @Felyrion en @MisteRMeesteR al voor je beantwoord. Het is wel zo netjes om dan aan te geven waarom hun suggesties niet voldoen

[kaajee]

Brahiewahiewa schreef op maandag 10 september 2018 @ 13:30:

[...]

Ik heb dit 5 keer gelezen en ik snap nog steeds niet wat je hiermee wilt zeggen

hiermee bedoel ik het volgende: vaak zitten mij collega's in bedrijfsverzamelgebouwen waar de ICT door hogerhand is verzorgd en waar men lokaal van de hoed noch de rand weet (gemeentes, overheden). Men krijg óf een wifi password of een UTP/RJ45-poortje ter beschikking om een device (lees laptop) op/in te kunnen prikken en te gaan werken. Wat er verder achter deze poort gebeurt is voor de gebruiker niet bekend (en in principe ook niet nodig).
In dit geval is dat device ipv een laptop (of printer) een eigen meegebrachte (branche) router maar ook die zal gewoon 1-op-1 in zo'nzelfde/datzelfde netwerkpoortje geprikt worden.En dus ook zaken als een statisch/vast ip adres toewijzen aan zo een device hoort veelal niet tot de mogelijkheden. Als je dit soort zaken al wel voor elkaar wilt en kunt krijgen zijn we maanden verder en collega's alweer een andere plek....

Brahiewahiewa schreef op maandag 10 september 2018 @ 13:30:
Die vraag hebben @Felyrion en @MisteRMeesteR al voor je beantwoord. Het is wel zo netjes om dan aan te geven waarom hun suggesties niet voldoen

Okay sorry hoor, leek me wel duidelijk uit mijn antwoord: prijs, beschikbaarheid, mogelijkheden (oa. ingebouwd wifi) en het andere ziet echt meer op softwarematige oplossing.

PS ik snap de meerwaarde van het opzetten van een VPN verbinding ,maar wil ook de mogelijkheid (uit meer gemak en self supporting) overwegen om het zonder VPN op te zetten. In de meest gevallen gaat er toch via een Citrix omgeving gewerkt worden en is daarmee de veerbinding gepersonaliseerd.

[ Voor 8% gewijzigd door kaajee op 10-09-2018 14:53 ]

[Brahiewahiewa]

kaajee schreef op maandag 10 september 2018 @ 14:48:
[...]

hiermee bedoel ik het volgende: vaak zitten mij collega's in bedrijfsverzamelgebouwen waar de ICT door hogerhand is verzorgd en waar men lokaal van de hoed noch de rand weet (gemeentes, overheden). Men krijg óf een wifi password of een UTP/RJ45-poortje ter beschikking om een device (lees laptop) op/in te kunnen prikken en te gaan werken. Wat er verder achter deze poort gebeurt is voor de gebruiker niet bekend (en in principe ook niet nodig).

Je zegt het zelf al: in principe niet nodig
Dus dit

In dit geval is dat device ipv een laptop (of printer) een eigen meegebrachte (branche) router maar ook die zal gewoon 1-op-1 in zo'nzelfde/datzelfde netwerkpoortje geprikt worden.En dus ook zaken als een statisch/vast ip adres toewijzen aan zo een device hoort veelal niet tot de mogelijkheden. Als je dit soort zaken al wel voor elkaar wilt en kunt krijgen zijn we maanden verder en collega's alweer een andere plek....

is geen probleem. Waarom zou je een statisch IP-adres willen? Wat schiet je daarmee op?