Kantoren scheiden dmv vlans

[sig69]

Een kennis van me heeft een ruimte opgedeeld in meerdere (7/8) kleine kantoortjes die hij gaat verhuren. Hij heeft naar elk kantoor een netwerkkabel getrokken en aangesloten op een simpele switch, die weer is aangesloten op een experiabox v10. Dus ik zei hem dat je dan met z'n allen in 1 groot netwerk zit, wat natuurlijk niet wenselijk is. De voor de hand liggende oplossing: vlans! Of ik dat dus even uit wilde zoeken.

Mijn vraag
Hoe dan? Ik heb er persoonlijk nog nooit iets mee gedaan. Heb ik genoeg aan een managed switch? Als ik daar op zoek kom ik voornamelijk tegen dat je zonder een router die vlans ondersteunt niet van het ene vlan (of subnet?) in het andere kan komen. Dat is in deze opzet ook helemaal niet nodig, dus is 1 switch genoeg? En hoe stel ik dat dan in? Poort 1 is doorgaans trunk/uplink heb ik begrepen, zet ik dan gewoon vlan 2 op poort 2, vlan 3 op poort 3, etc?

Relevante software en hardware die ik gebruik
Nog niets.

Wat ik al gevonden of geprobeerd heb
Niet veel dus, ik begin te vermoeden dat deze setup niet gebruikelijk of zelfs niet mogelijk is. Is een router dus wel nodig?

Sorry voor de wellicht simpele vragen, hopelijk kunnen jullie me een beetje op gang helpen.

[jadjong]

Dan moet je een router hebben die meerdere vlans naar de buitenwereld kan koppelen.

[downtime]

sig69 schreef op maandag 20 april 2020 @ 21:21:

Heb ik genoeg aan een managed switch? Als ik daar op zoek kom ik voornamelijk tegen dat je zonder een router die vlans ondersteunt niet van het ene vlan (of subnet?) in het andere kan komen. Dat is in deze opzet ook helemaal niet nodig, dus is 1 switch genoeg?

Je hebt een router nodig die VLANs ondersteunt als je ook toegang tot internet wilt bieden.

[prutser001]

Ik heb zoiets laatst ook ingeregeld voor een kennis en om het jezelf makkelijk te maken etc, mocht ook niets kosten dus vraag niet wat ik gebruikt heb want het is echt een mengelmoes van wat er nog lag.

Modem/router -> Switch 16P -> Voor elke kamer een eigen router in de patchkast
Remote management aan op de routers voor elke kantoorruimte.
Vanuit de 'patchkast' vanaf elke router 1 kabel naar de kantoorruimte/WCD en daar een switch.
Willen ze Wifi kunnen ze zelf een AP aansluiten of ook huren.

Ik neem aan dat hij er wel wat aan wil verdienen en zo de controle in eigen handen houdt?

Wel heb ik elke router een eigen DHCP range gegeven want 2 van die gekke dingen konden andere apparaten zien die achter de router zaten.

[Wim-Bart]

Je zal altijd een Router functionaliteit nodig hebben. Maar eigenlijk wil je gewoon een Firewall die verkeer kan reguleren en scheiden. Andere optie is een Managed switch met Layer-3 routing waarbij je met ACL's segmenten kan scheiden. Want een Layer-3 switch met router zal anders gewoon weer samen laten komen.

Ook moet je nadenken over een DHCP server per segment.

Misschien eens kijken naar een PfSense doosje als Firewall en Router en DHCP Server.

[sig69]

Dus toch. Bedankt voor de bevestiging. Zo'n setup vind veel meer over dus daar moet ik wel uit komen denk ik.

[ijske]

als je daar niet in thuis bent zou ik precies voor een kant & klaar doosje gaan...

ik heb zelf thuis een cisco rv340 , welke best uitgebreide safety features heeft , maar ook heul veel netwerkjes kan maken .. elk vlan draait zn eigen DHCP (of niet , voor iptv heb ik een vlan waar de cisco wel inzit,maar hij is niet de dhcp van dat vlan)
je kan ook bv kiezen of er verkeer mag zijn tussen vlan's (wat je in jou geval niet wil)
de uplink naar de (managed) switch heeft dan alle vlan's in 1 kabel
de switch zelf weet ook dat de uplink poort alle vlan's heeft, en op de switch kan ik dan bepalen welke poort bij welke vlan zit
enige wat de cisco niet zo leuk doet is grafiekjes tekenen in gsm app'jes..

als je nog verder gaat dan dat kan je zelfs accespoints hangen die alle vlan's overal kennen , zodat iedereen overal ontvangst heeft ...

Maar los van dit verhaal... als jij de verzorger gaat zijn van het ganse pand, voorzie dan ook een UPS en een backuplijn ...

[ Voor 9% gewijzigd door ijske op 20-04-2020 21:45 ]

[sig69]

ijske schreef op maandag 20 april 2020 @ 21:42:
...
Maar los van dit verhaal... als jij de verzorger gaat zijn van het ganse pand, voorzie dan ook een UPS en een backuplijn ...

Nee hoor, hij heeft me gevraagd dit stukje uit te zoeken en daar wil 'm best bij helpen. Verder wordt ik nergens verantwoordelijk voor.

[gastje01]

Je hebt een managed switch nodig en een router waar je de zooi op instelt. De Cisco die @ijske aanhaalt is een optie, maar een EdgeRouter kan wat jij wil ook, maar dan voor minder euros.

Keerzijde van dit verhaal is, wie gaat troubleshooten als t niet werkt? Wie is er verantwoordelijk voor de internetverbinding en hoe lang vinden je huurders het acceptabel om zonder internet te zitten? Hoe ga je de beschikbare bandbreedte verdelen? Dat zijn grotere uitdagingen dan het eenmalig instellen van een router en een switch, had je daar al over nagedacht?

[Kasper1985]

Als je concreet merken zoekt die dit kunnen zijn veel gebruikte (en betaalbare) oplossingen Ubiquiti (edge router) en microtik.

Voor de edge router vindt je op youtube enorm veel handige filmpjes op het kanaal van crosstalk solutions.

[sig69]

gastje01 schreef op maandag 20 april 2020 @ 21:46:
Keerzijde van dit verhaal is, wie gaat troubleshooten als t niet werkt? Wie is er verantwoordelijk voor de internetverbinding en hoe lang vinden je huurders het acceptabel om zonder internet te zitten? Hoe ga je de beschikbare bandbreedte verdelen? Dat zijn grotere uitdagingen dan het eenmalig instellen van een router en een switch, had je daar al over nagedacht?

Goed punten, ga ik bij 'm neerleggen.

[sypie]

Hoe is/wordt telefonie bijvoorbeeld geregeld in dat pand? Dat is ook wel handig om over na te denken. Wanneer het VOIP wordt kom je mogelijk voor lastigere zaken te staan dan alleen maar een netwerk onder te verdelen in VLAN's.

[ijske]

misschien ook een leuke om in de denkpiste mee te nemen... (of in je huurcontract)

niet iedereen werkt al in de cloud, sterker zelfs, veel mensen die bezig zijn met security willen gewoon een eigen NAS plaatsen en die van thuis uit kunnen bedienen..

wil dus zeggen dat je misschien wel is de vraag zou kunnen krijgen , kan je bv poort 5000 even willen forwarden naar mijn vlan ?

of zeg je op voorhand in het contract "er worden geen poorten geforward"
of wat zou je doen met mensen die expliciet een extern ip willen / acces tot de router zodat ze zelf settings kunnen maken ... (lees : tweakers)

[sig69]

@sypie @ijske voip, port forwards, externe ip's... Allemaal goede en terechte opmerkingen. Ga ik allemaal doorgegeven.

[prutser001]

Het is maar net wat je vraagt en wat ze dan kunnen eisen, als jij gewoon simpel internet aanbiedt werken 9 van de 10 dingen gewoon, Voip STUN werkt perfect in de meeste gevallen.

De vraag is hoeveel gedoe wil je hebben? Wat zijn de eisen/wat biedt je?

[sig69]

Ik denk dat mijn kennis zich dit allemaal nog niet gerealiseerd heeft.. Dit gaat mij (en zeker hem ook) boven de pet. Ik denk dat het handigst is tegen een minimale vergoeding (of misschien zelfs voor niets) internet te leveren op "best effort" basis. Het is niet de bedoeling om providertje te gaan spelen daar

[M2M]

Als je het dan goed wil doen, en alle touwtjes in handen wil houden, zou ik een PFsense/OpnSense bak bouwen. Al dan niet met prefab hardware. Voldoende PK's onder de motorkap om alles te routeren, 2e WAN interface voor internet failover en een overdaad aan instelmogelijkheden.

[gastje01]

sig69 schreef op maandag 20 april 2020 @ 22:20:
Ik denk dat mijn kennis zich dit allemaal nog niet gerealiseerd heeft.. Dit gaat mij (en zeker hem ook) boven de pet. Ik denk dat het handigst is tegen een minimale vergoeding (of misschien zelfs voor niets) internet te leveren op "best effort" basis. Het is niet de bedoeling om providertje te gaan spelen daar

Ik denk dat je beste optie uitbesteden is en dat verrekenen in de huurprijs. Los van wat je wilt en kunt ondersteunen (ik twijfel echt niet aan je inzet) heb je ook nog te maken met huurders die zelf voor IT'er gaan spelen. Vooral de categorie die t wel denkt te weten maar het eigenlijk niet kan is het ergst, voor je t weet heb je 8 wifi netwerken die elkaar weg drukken, slurpt huurder 2 allemaal illegale shit je netwerk op, haalt huurder 4 een worm binnen die de laptop van huurder 5 voorziet van een cryptolocker en heeft huurder 8 geen bandbreedte meer over door het forse gebruik van huurder 4.

Sterk gechargeerd natuurlijk, maar ik denk dat je begrijpt waar ik heen wil. Zeker als je zakelijk ruimte verhuurt verwachten mensen gewoon een werkende verbinding (ook al zeggen ze van niet, stel maar eens 2 dagen down-time voor) waarop ze zonder kennis veilig hun werk kunnen doen.

[kosz]

Volledig met gastje01 eens, de huurders denken het al snel beter te weten en maken een zootje van je netwerk. Dus dicht dit goed af en leg dit vast in het huurcontract wat je krijgt en eventueel mogelijk is tegen een vergoeding. Wij doen dit voor het verzamelgebouw waar we in zitten met ca 40 bedrijven en een school.
Dit is een scheef vergelijk qua schaal, wij werken met 2x1GB internet, fortigate firewalls, fortianalyzer, fortimanager en wireless alles met aruba ism clearpass.
In jouw geval denk ik als eerste aan zakelijk internet eventueel met een /28 subnet, firewall erachter zo kan je elke klant een eigen publiek ip adres toekennen. Alles scheiden dmv vlans, en standaard inrichten.
Op de firewall SIP ALG uitschakelen, dan kan iedereen zijn eigen voip dienst gebruiken zonder gezeik.
Bandwidth per session instellen, om te voorkomen dat er weer eens eentje tussenzit die misbruik maakt van de situatie en waar de overige gebruikers last van hebben.
Wil een huurder het anders ? -> meerprijs

[jvanhambelgium]

Voorzie gewoon de nodige passieve bekabeling naar een centrale ruimte waar alles toekomt. Ik weet niet hoe groot een kantoortje is en welk doelpubliek je daar hebt.
Zo kan elke huurder zelf z'n eigen contractje afsluiten met operator die dan eigen router binnenbrengt en op de UTP aansluit. De klant kan dan verder in z'n "kantoortje" doen waar hij zin in heeft.

Een "managed" netwerk (draadloos & bedraad eventueel) heeft zoals aangegeven héél wat meer uitdagingen dan louter technisch kiezen welke doosjes je gaat neerzetten. SLA's, verantwoordelijkheden, support-modellen indien bepaalde dingen niet werken etc.