Layout bedrijfsnetwerk verbeteren

[HellStorm666]

Binnenkort gaan wij overstappen van een Ubiquiti Edgerouter (Pro8) naar een FortiGate 100F.
Op dat moment gaan we ook, met hulp van de leverancier, het netwerk beter segmenteren.
Op dit moment zitten bijvoorbeeld de servers in hetzelfde netwerk en VLAN als de werkstations.

Ter voorbereiding hierop wil ik, waar mogelijk, het netwerk ook qua indeling optimaliseren.
Ik denk zelf dat het nodig gaat zijn om 1x een 10Gbit SFP+ switch toe te voegen waarom de andere switches en de 3 ESXi servers komen (Unifi US-16-XG).

Zouden jullie eens naar de (versimpelde) layout kunnen kijken en een advies brengen?

Huidige Layout (versimpeld)


Zoals ik denk dat het moet gaan worden (versimpeld)

[Falcon]

Puur uit interesse, is er ook overwogen om een gedeelte in de cloud te hosten?

[HellStorm666]

Falcon schreef op dinsdag 25 augustus 2020 @ 12:44:
Puur uit interesse, is er ook overwogen om een gedeelte in de cloud te hosten?

Daar is ook naar gekeken.
Office365 (inc email) hosten wij in de Cloud.
De rest van de data is het niet interessant voor.
- Grote hoeveelheden data die snel nodig zijn (CAD)
- Apparatuur die we al hebben
- Bedrijf van maar 22 personen, waardoor cloud kosten flink oplopen
- Werk bij klanten waar er soms geen internet is en soms maar een hele trage verbinding

[Equator]

Ga je naast segmenteren ook filteren tussen de VLAN's? Op basis van je keuze voor de Firewall zou ik denken van wel, maar ik wilde het toch even vragen.

Je segmenten zijn:

• Servers & Storage
• Clients
• VoIP
• Security

Of is dat niet je bedoeling?

[johnkeates]

Waarom een FortiGate? En wat heeft de 'leverancier' er mee te maken?

[Grvy]

Windows 7 RDP systeem? Doe eens niet.

Daarnaast je hebt 2 ESX hosts maar maakt er geen cluster van? waarschijnlijk licenties, maar stap dan gewoon over naar Hyper-V daar heb je dat default.

Wij doen voor kleine bedrijven standaard Hyper-V omdat het kosten technisch gewoon veel beter is en zeker als je wel al 2 hardware hosts hebt is het naar mijn idee een no brainer.

Edit: wacht, je hebt er 3 met verschillende hardware erin?

[ Voor 89% gewijzigd door Grvy op 25-08-2020 13:50 ]

[HellStorm666]

Equator schreef op dinsdag 25 augustus 2020 @ 13:43:
Ga je naast segmenteren ook filteren tussen de VLAN's? Op basis van je keuze voor de Firewall zou ik denken van wel, maar ik wilde het toch even vragen.

Je segmenten zijn:

• Servers & Storage
• Clients
• VoIP
• Security

Of is dat niet je bedoeling?

Klopt helemaal.
De Firewall gaat bepalen welk verkeer wel en niet van het ene apparaat/VLAN naar het andere apparaat/VLAN mag.

Op dit moment hebben we de volgende segmenten:

• Main netwerk met Clients en Servers
• Gastnetwerk+Mobieltjes
• Alarm
• VOIP
• Camera's
• Testnetwerk

Uiteindelijk worden dat (denk ik) de volgende segmenten:

• Netwerk voor Servers
• Netwerk voor File opslag
• Netwerk voor Clients
• Gastnetwerk+Mobiletjes
• Alarm
• VOIP
• Camera's
• Testnetwerk

[HellStorm666]

Grvy schreef op dinsdag 25 augustus 2020 @ 13:47:
Windows 7 RDP systeem? Doe eens niet.

Daarnaast je hebt 2 ESX hosts maar maakt er geen cluster van? waarschijnlijk licenties, maar stap dan gewoon over naar Hyper-V daar heb je dat default.

Wij doen voor kleine bedrijven standaard Hyper-V omdat het kosten technisch gewoon veel beter is en zeker als je wel al 2 hardware hosts hebt is het naar mijn idee een no brainer.

Edit: wacht, je hebt er 3 met verschillende hardware erin?

Hier draait alleen oude meuk op die we soms nog nodig hebben. Dit systeem hangt niet meer aan het internet.

Hebben 3 ESXi's draaien.
1 op nieuwe hardware omdat het oude te sloom werd.
Waarom dan de oude weggooien ipv minder zware taken geven.

Cluster ging niet ivm verschillende hardware en werd, ook qua hardware en opslag, véél duurder.

Hyper-V hebben wij slechte ervaringen mee.

[ Voor 57% gewijzigd door HellStorm666 op 25-08-2020 13:52 ]

[HellStorm666]

johnkeates schreef op dinsdag 25 augustus 2020 @ 13:45:
Waarom een FortiGate? En wat heeft de 'leverancier' er mee te maken?

Voor wat wij hebben kunnen vinden, samen met Previder, lijkt dat de beste keuze voor ons te zijn.
De leverancier, Previder, heeft hier meer ervaring en kennis in dan wij zelf.

[Grvy]

HellStorm666 schreef op dinsdag 25 augustus 2020 @ 13:48:
[...]

Hier draait alleen oude meuk op die we soms nog nodig hebben. Dit systeem hangt niet meer aan het internet.

Dus compleet eigen VLAN en je kan vanaf client computers er niet meer op?

Punt is; alleen maar zeggen "ja, ding heeft geen internet meer" is geen beveiliging.

edit: plus no offense, maar ik zit nu al een paar minuten naar die tekening te kijken maar wat een ongelooflijk complex netwerk voor 22 man. (of de tekening is gewoon heel complex gemaakt..)

Denk dat als wij de IT zouden doen wij de helft ervan weg zouden pleuren. KISS enzo.

[ Voor 38% gewijzigd door Grvy op 25-08-2020 13:53 ]

[HellStorm666]

Grvy schreef op dinsdag 25 augustus 2020 @ 13:50:
[...]


Dus compleet eigen VLAN en je kan vanaf client computers er niet meer op?

Punt is; alleen maar zeggen "ja, ding heeft geen internet meer" is geen beveiliging.

edit: plus no offense, maar ik zit nu al een paar minuten naar die tekening te kijken maar wat een ongelooflijk complex netwerk voor 22 man. (of de tekening is gewoon heel complex gemaakt..)

Denk dat als wij de IT zouden doen wij de helft ervan weg zouden pleuren. KISS enzo.

Nee, nog slechter...
Heeft geen Gateway ingesteld staan.
En op de firewall mag dat mac adres niet WAN_IN of WAN_OUT gebruiken.

Bedoel je het eerste netwerk (zoals het nu is) of ook de 2e (zoals het denk ik moet worden)?

1e klopt, dat is een wir-war omdat het netwerk de laatste 2 jaar redelijk is uitgebreid.
Daardoor hangen switches aan switched ed.

Daarom wil ik het spul onderhanden nemen voordat de FortiGate geplaatst gaat worden.
En daarom vraag ik hier adviezen in

[Grvy]

@HellStorm666 je maakt je netwerk complex door oude meuk te willen blijven gebruiken. Daarnaast gebruik je 3 verschillende ESX machines waardoor het nog een potje complexer wordt.

Wellicht maakt het voor jouw als (interne) beheerder niet uit, maar zoals gezegd de netwerken die wij opzetten zijn simpel zodat iedereen het kan snappen en we niet halve documentatie af moeten om te kijken waar welke VM opstaat. (om even over de ESX machines te beginnen).

Daarnaast is oude meuk standaard na 5 jaar exit, is de moeite om het "minder zware taken" te geven niet waard.

Daarbij zou ik alles qua VPN op de fortigate (die kan volgens mij VPN spelen?) afhandelen en dit niet na je firewall regelen op de OpenVPN. Voordeel is dat je 'ingangpunt' dan altijd hetzelfde is zowel intern als extern qua troubleshooting. Ik begrijp ook niet waarom het er twee zijn?

Also RAID5 is in mijn mening altijd een no-go.. https://www.askdbmgt.com/...avoided-at-all-costs.html en zoek maar even op RAID5 in het algemeen. Iig ik heb gezegd dat we altijd RAID10 doen en alleen RAID5 op uitzondering met hele goede redenen.

All-in all, zou ik niet alleen op netwerk niveau kijken maar ook kijken wat je kan versimpelen want naar mijn idee is daaar zeker wel ruimte voor; in beide situaties.

Edit: ik begrijp de rockstor en de wireguard trouwens ook niet. Waarvoor dienen die? VEEAM kan backup's van een NAS maken en die heb je ook? Wireguard is volgens mij een VPN achtig iets maar je hebt al een openvpn server?

edit2: nu ik wat meer naar de tekening kijk. (ik ben vrij dus leave me. ) is de tekening gewoon wat complex opgezet maar valt het op zich wel mee.

edit3: wacht je hebt wel een VCSA? dus.. je hebt wel een vCenter licentie maar geen cluster?

[ Voor 15% gewijzigd door Grvy op 25-08-2020 14:11 ]

[HellStorm666]

Grvy schreef op dinsdag 25 augustus 2020 @ 14:04:
@HellStorm666 je maakt je netwerk complex door oude meuk te willen blijven gebruiken. Daarnaast gebruik je 3 verschillende ESX machines waardoor het nog een potje complexer wordt.

Wellicht maakt het voor jouw als (interne) beheerder niet uit, maar zoals gezegd de netwerken die wij opzetten zijn simpel zodat iedereen het kan snappen en we niet halve documentatie af moeten om te kijken waar welke VM opstaat. (om even over de ESX machines te beginnen).

Daarnaast is oude meuk standaard na 5 jaar exit, is de moeite om het "minder zware taken" te geven niet waard.

Daarbij zou ik alles qua VPN op de fortigate (die kan volgens mij VPN spelen?) afhandelen en dit niet na je firewall regelen op de OpenVPN. Voordeel is dat je 'ingangpunt' dan altijd hetzelfde is zowel intern als extern qua troubleshooting. Ik begrijp ook niet waarom het er twee zijn?

Also RAID5 is in mijn mening altijd een no-go.. https://www.askdbmgt.com/...avoided-at-all-costs.html en zoek maar even op RAID5 in het algemeen. Iig ik heb gezegd dat we altijd RAID10 doen en alleen RAID5 op uitzondering met hele goede redenen.

All-in all, zou ik niet alleen op netwerk niveau kijken maar ook kijken wat je kan versimpelen want naar mijn idee is daaar zeker wel ruimte voor; in beide situaties.

Sorry, vergeten weg te halen.
De FortiGate gaat idd samen met de FortiClient de VPN's regelen.
De OpenVPN servers komen daar mee te vervallen.
Dit waren er 2 omdat 1 gebruikt wordt waarmee systemen van de klanten naar ons verbinden zodat wij hulp op afstand kunnen bieden.
De andere wordt door personeel gebruikt om in het domein (en netwerk) te komen als ze bij een klant zijn of thuiswerken.

RAID5 is met kleine schijven (onder de 3TB per stuk) geen probleem.
Zowel de T610-ESXi als de Xeon2620-ESXi hebben hardware-RAID met zo'n backup-batterij aan de RAID kaart.
(Toevallig) zijn deze 2 kasten ook de oudere.
De Epyc-ESXi heeft om die reden ook geen RAID meer, maar een goede backup (de andere 2 ESXi's worden nu ook via die Veeam backup gedaan).

Redelijke kans dat de T610 er uit gaat nu, aangezien die ook niet in het serverrack past.
Die 13GB RAM en paar core's kunnen makkelijk op de Xeon2620.

Edit: ik begrijp de rockstor en de wireguard trouwens ook niet. Waarvoor dienen die? VEEAM kan backup's van een NAS maken en die heb je ook? Wireguard is volgens mij een VPN achtig iets maar je hebt al een openvpn server?

edit2: nu ik wat meer naar de tekening kijk. (ik ben vrij dus leave me. ) is de tekening gewoon wat complex opgezet maar valt het op zich wel mee.

edit3: wacht je hebt wel een VCSA? dus.. je hebt wel een vCenter licentie maar geen cluster?

Veeam met NAS backup is nogal prutserig, daar ga je per 250GB betalen.
Synology heeft zelf ook een erg goede backup naar een rsync systeem.
Daar komt RockStor kijken. Die draait storage met rsync mogelijkheden waar dus de Synology z'n backups neer zet.

WireGuard maakt een VPN tussen de Veeam server en de server die bij mij thuis staat.
Bij mij thuis wordt de off-site backup opgeslagen.
De Veeam server zit ook niet in het domein. Login gegevens zijn (uiteraard) ook compleet anders.
En de offsite backup gebruikt weer andere credentials.
WireGuard is véél sneller en lichter dan OpenVPN, dus vanwege de 20+GB per dag en 150+GB voor de weekly is snelheid wel fijn.

Sorry, wist niet goed hoe ik de spagettie netjes moest tekenen in t huidige situatie.

Klopt hebben VCSA. Hebben de vSphere Essentials Kit, welke dus voor 3 servers, max 6-sockets, is.
Heeft bijv geen vMotion of HA

[ Voor 23% gewijzigd door HellStorm666 op 25-08-2020 14:21 ]

[Grvy]

Dus je Epyc-ESXI heeft helemaal geen RAID? overigens die hele backup batterij en kleine schijven is niet de reden waarom je nooit RAID5 wilt..

Uit interesse is jouw vakgebied ook echt IT of doe je het 'erbij'?

HellStorm666 schreef op dinsdag 25 augustus 2020 @ 14:13:
[...]


Veeam met NAS backup is nogal prutserig, daar ga je per 250GB betalen.
Synology heeft zelf ook een erg goede backup naar een rsync systeem.
Daar komt RockStor kijken. Die draait storage met rsync mogelijkheden waar dus de Synology z'n backups neer zet.

WireGuard maakt een VPN tussen de Veeam server en de server die bij mij thuis staat.
Bij mij thuis wordt de off-site backup opgeslagen.
De Veeam server zit ook niet in het domein. Login gegevens zijn (uiteraard) ook compleet anders.
En de offsite backup gebruikt weer andere credentials.
WireGuard is véél sneller en lichter dan OpenVPN, dus vanwege de 20+GB per dag en 150+GB voor de weekly is snelheid wel fijn.

Sorry, wist niet goed hoe ik de spagettie netjes moest tekenen in t huidige situatie.

Klopt hebben VCSA. Hebben de vSphere Essentials Kit, welke dus voor 3 servers, max 6-sockets, is.
Heeft bijv geen vMotion of HA

Ik ben het met je eens dat de pricing van de VEEAM NAS backup niet klopt.. als je het zelf aanschaft. Vraag maar eens wat offertes aan bij een VEEAM backup partner.. you'll be shocked.

WireGuard voor de offsite backup begrijp ik sowieso niet. Zet de juiste poorten open een goed SSL certificaat en je hebt geen extra software nodig voor VEEAM.. is ook hun prefered method.

VEEAM cloud providers kunnen dit prima en kosten efficiënt regelen.. zodat je ook thuis niet met bedrijfsdata zit.. wat je sowieso nooit moet willen..

Wat betreft de VCSA: dus je hebt wel alle hosts in je vCenter staan? Dan heb je iig dat "opgelost".. soort van.

[ Voor 79% gewijzigd door Grvy op 25-08-2020 14:50 ]

[HellStorm666]

Grvy schreef op dinsdag 25 augustus 2020 @ 14:17:
Dus je Epyc-ESXI heeft helemaal geen RAID? overigens die hele backup batterij en kleine schijven is niet de reden waarom je nooit RAID5 wilt..

Uit interesse is jouw vakgebied ook echt IT of doe je het 'erbij'?

Klopt, de Epyc heeft helemaal geen RAID.
Down-time van een paar uurtjes is geen probleem/ramp hier. Met goede backups is een defecte schijf goed op te vangen.
RAID5 wil je toch niet hebben omdat het rebuilden met een grote schijf te lang duurt waardoor je gegarandeerd fouten ga krijgen met een te grote schijf (meende dat 3TB ging, 4TB probleem kon worden en 6TB gegarandeerd probleem is).

IT doe ik 'erbij'.
Voor de complexere zaken (GPO's en OU's goed inrichten, Veeam inrichten, nu Netwerk segmenteren) 'huur' ik kennis in.
Soms is dat een maat van me die wel de IT opleidingen heeft. (GPO's)
Soms is dat een bedrijf die het product levert (Veeam, FortiGate).
Soms is dat een vraag op GoT (Zoals nu voor voorbereiding)

Even ter verduidelijking.
Toen we de Epyc ESXi gingen aanschaffen heb ik het management 2 voorstellen gedaan.
De huidige route
Hardware 2x aanschaffen met HA cluster en data overal dubbel dat je nagenoeg geen down-time hebt.
De meerprijs van de HA Cluster methode vond het management het niet waard.
Kreeg toe te horen dat een paar uurtjes down-time in geval van een defecte schijf geen probleem was (hebben in al die 20+ jaar nog nooit een defecte schijf gehad).
En down-time van 1 a 2 dagen (al dan niet op half vermogen) in geval van een defecte server was ook nog te overzien.

[Grvy]

@HellStorm666 in het algemeen is mijn voorstel om even een second opinion aan te vragen bij een goede IT partij die hierin kan ondersteunen. Hoeft de wereld niet te kosten en krijg je meer feedback van die wat dieper ingaat op de materie.

Ook zoek 1 partner die je toekomstigbestendig kan ondersteunen ipv elke keer weer nieuwe kennis erbij halen. Dat helpt niet voor een goed netwerk.

Zoals je ook hier op Tweakers ziet.. alle IT'ers verschillen van elkaar qua mening en zo krijg je een zooitje..
Er zal vast iemand zijn die mijn advies niet om te behappen ziet.

Ik zou echt kijken naar een versimpeling van het netwerk voor de toekomst en voor jezelf als je het 'erbij' doet.
Hoe complexer, hoe meer tijd het kost die je eigenlijk met andere zaken bezig moet zijn.

Daarbij zie ik hier gewoon een aantal dingen die gedaan zijn op basis van goede intenties. Daarbij ook nog een paar keer "hoe kunnen we kosten besparen" en je hebt dit soort netwerken.

Dit soort netwerken nemen wij jaarlijks bijna 2/3x over van de "handige boekhouder/finance gast die het "erbij" deed" maakt niet uit.. maar wij gaan voor een versimpeling en halen dus 50% of meer weg omdat het onnodig is na onderzoek bij management wat ze qua IT willen.

De investering is dan eerst 'redelijk' maar daarna is er voor jaren bijna geen omkijken meer naar.

[ Voor 14% gewijzigd door Grvy op 25-08-2020 14:55 ]

[HellStorm666]

Grvy schreef op dinsdag 25 augustus 2020 @ 14:17:
Dus je Epyc-ESXI heeft helemaal geen RAID? overigens die hele backup batterij en kleine schijven is niet de reden waarom je nooit RAID5 wilt..

Uit interesse is jouw vakgebied ook echt IT of doe je het 'erbij'?


[...]


Ik ben het met je eens dat de pricing van de VEEAM NAS backup niet klopt.. als je het zelf aanschaft. Vraag maar eens wat offertes aan bij een VEEAM backup partner.. you'll be shocked.

WireGuard voor de offsite backup begrijp ik sowieso niet. Zet de juiste poorten open een goed SSL certificaat en je hebt geen extra software nodig voor VEEAM.. is ook hun prefered method.

VEEAM cloud providers kunnen dit prima en kosten efficiënt regelen.. zodat je ook thuis niet met bedrijfsdata zit.. wat je sowieso nooit moet willen..

Wat betreft de VCSA: dus je hebt wel alle hosts in je vCenter staan? Dan heb je iig dat "opgelost".. soort van.

Ja, alle hosts staan wel in vCenter.

Voordeel van de offsite-backup over WireGuard is dat de data in een beveiligde tunnel zit. En voor het systeem lijkt het op een normale Samba Share.

We hebben ook gekeken om de offsite-backup via Wasabi te laten lopen.
Uiteindelijk vanwege de kosten besloten dit op de server bij mij thuis te zetten.
Met een aantal jaar neem ik het bedrijf over (familiebedrijf) dus zakelijke data bij mij thuis is geen probleem.

[HellStorm666]

Grvy schreef op dinsdag 25 augustus 2020 @ 14:04:
.....
Also RAID5 is in mijn mening altijd een no-go.. https://www.askdbmgt.com/...avoided-at-all-costs.html en zoek maar even op RAID5 in het algemeen. Iig ik heb gezegd dat we altijd RAID10 doen en alleen RAID5 op uitzondering met hele goede redenen.
.....

Ik heb het artikel nog even gelezen over RAID5.
Het probleem wat ze hier aanhalen is dat RAID5 tijdens het lezen niet checkt of het blok (de data) nog ok. is. En daarom mogelijk ook verkeerde data terug schrijft en parity over verkeerde data berekend.
toch?

Maar... op de Synology gebruiken wij, juist daarom, Btrfs als FS.
Btrfs zou juíst bitrot moeten voorkomen en dus ook moeten detecteren dat data anders gelezen wordt dan zou moeten.

En ESXi gebruikt VMFS6, welke helaas niet zo goed werkt als btrfs.
Maar... de data die op de 2 RAID5's staan, zijn alleen data en geen installaties.
Dus het systeem zal gewoon door draaien ookal is de RAID5 defect.

De local storage van Veeam draait trouwens op 2x 5TB beide zonder RAID in ReFS met een Scale-out backup repository in Veeam.
De offsite backup draait op 1x 10TB en 1x 12TB beide in Windows Server 2019 met ReFS als FS.
Die 2 schijven staan in Veeam als Scale-out backup repository.


Al met al heb ik, daardoor, het gevoel dat de data bij ons best veilig staat.
Mede door het kiezen van een modern FS waar mogelijk.
En het kiezen van een goede backup.

RAID ≠ Backup

[Rolfie]

HellStorm666 schreef op dinsdag 25 augustus 2020 @ 14:13:
De FortiGate gaat idd samen met de FortiClient de VPN's regelen.
De OpenVPN servers komen daar mee te vervallen.
WireGuard maakt een VPN tussen de Veeam server en de server die bij mij thuis staat.
Bij mij thuis wordt de off-site backup opgeslagen.
De Veeam server zit ook niet in het domein. Login gegevens zijn (uiteraard) ook compleet anders.
En de offsite backup gebruikt weer andere credentials.
WireGuard is véél sneller en lichter dan OpenVPN, dus vanwege de 20+GB per dag en 150+GB voor de weekly is snelheid wel fijn.

Ik zou Wireguard er uitgooien en dit vervangen voor IPSEC VPN tunnels op ook de FortiClient gaan gebruiken.
FortiGate kan gewoon IPSEC Tunnels aan en je edgerouter zou je thuis kunnen plaatsen. Scheelt een server beheer.

[kosz]

Ik zie een hoop vragen en adviezen over het hoe en waarom op server gebied, maar mis nog een beetje network context. Je netwerk is nu opgebouwd met MKB spul van UBNT en je stapt over op een Fortigate 100F.
Dus dat betekend alles segmenteren in vlans, en policy's maken op de verschillende zones.
Maar schaf je ook een UTM licentie aan voor je Fortigate ? Anders zie ik de toegevoegde waarde niet echt voor een L7 firewall.
Ik denk dan aan IPS, malware/ransomware protection, evt sandboxing, antivirus etc. Je zal niet de eerste zijn die tegen ransomware aan loopt van binnenuit. Laptop mee naar huis, en na het weekend weer mee naar de zaak en zo weer het netwerk op, of de Forticlient installeren op de thuis werkplek en zo connecten naar de zaak.... Heb je daar al over nagedacht ?

[HellStorm666]

kosz schreef op woensdag 26 augustus 2020 @ 14:45:
Ik zie een hoop vragen en adviezen over het hoe en waarom op server gebied, maar mis nog een beetje network context. Je netwerk is nu opgebouwd met MKB spul van UBNT en je stapt over op een Fortigate 100F.
Dus dat betekend alles segmenteren in vlans, en policy's maken op de verschillende zones.
Maar schaf je ook een UTM licentie aan voor je Fortigate ? Anders zie ik de toegevoegde waarde niet echt voor een L7 firewall.
Ik denk dan aan IPS, malware/ransomware protection, evt sandboxing, antivirus etc. Je zal niet de eerste zijn die tegen ransomware aan loopt van binnenuit. Laptop mee naar huis, en na het weekend weer mee naar de zaak en zo weer het netwerk op, of de Forticlient installeren op de thuis werkplek en zo connecten naar de zaak.... Heb je daar al over nagedacht ?

Goed dat je er over begin (de vraag gaat ook over het Netwerk verbeteren, niet de servers).
Wij zullen een FG-100F-BDL-950-36 aanschaffen.
Dat is de FortiGate 100F met 3 jaar UTP Licentie en FortiCare licentie.
Daarnaast nemen wij voor elk device, ook klanten en thuiswerkers FortiClient met Sandbox.

De enige manier om van buiten te verbinden is d.m.v. de FortiClient.
En het inter-VLAN verkeer is ook alleen mogelijk als de FortiClient aan geeft dat het apparaat veilig is.

Op dit moment hebben we al een aantal VLAN's en dit zal verder worden uitgebreid zodat het beter gesegmenteerd is en daarmee veiliger.

Omdat we het spul nu toch overhoop moeten halen, wil ik ook direct het netwerk meer redundant maken.
Met de vraag hier hoopte ik vooral adviezen te krijgen over hoe ik het netwerk moet inrichten.

[HellStorm666]

EDIT:
Om hem nog wat simpeler te maken én redundant denk ik dat de layout zo gaat worden.



Wat is er veranderd:
T610 ESXi is er uit (ESXi6.5)
2x een US16XG toegevoegd voor 10Gbit backbone
Synology NAS heeft een 2x SFP+ kaart gekregen
OpenVPN servers weg
WireGuard server weg
AdGuard servers weg
Alles redundant aangesloten (RTSP van US16XG-1 is lager dan van US16XG-2, is toch correct op deze manier?)

[Terran]

Als je al de client en de fortigate gaat gebruiken dan zou ik ook zeker de forti switch mee nemen in je verhaal ipv je unifi switches. Je kan dan je fortigate je switches laten beheren wat voor segmenteren de boel een stuk makkelijker zal maken. En je krijgt veel meer inzicht in wat er in je netwerk gebeurd

[HellStorm666]

Terran schreef op woensdag 26 augustus 2020 @ 16:25:
Als je al de client en de fortigate gaat gebruiken dan zou ik ook zeker de forti switch mee nemen in je verhaal ipv je unifi switches. Je kan dan je fortigate je switches laten beheren wat voor segmenteren de boel een stuk makkelijker zal maken. En je krijgt veel meer inzicht in wat er in je netwerk gebeurd

Hebben we ook even naar gekeken.
Maar op de US16XG's na hebben we de switches al.
En de FortiSwitches met 10Gbit zijn extreem duur.

De Unifi spullen zijn d.m.v. de controller ook erg makkelijk in te stellen.
Personeelswisseling is er nagenoeg niet, dus poorten (VLAN's) hoeven niet dynamisch te veranderen.
En de FortiClient kan een apparaat ook de toegang tot het netwerk ontnemen als er iets niet klopt op de client.

[kosz]

HellStorm666 schreef op woensdag 26 augustus 2020 @ 16:15:
EDIT:
Om hem nog wat simpeler te maken én redundant denk ik dat de layout zo gaat worden.

[Afbeelding]

Wat is er veranderd:
T610 ESXi is er uit (ESXi6.5)
2x een US16XG toegevoegd voor 10Gbit backbone
Synology NAS heeft een 2x SFP+ kaart gekregen
OpenVPN servers weg
WireGuard server weg
AdGuard servers weg
Alles redundant aangesloten (RTSP van US16XG-1 is lager dan van US16XG-2, is toch correct op deze manier?)

Zo te zien aan je plaatje reken je op spanningtree tbv redundantie, ik zou de Core in een stacked variant neer zetten en alle links naar je overige switches en servers LAG interfaces maken, optimaal gebruik van je bandbreedte.

[HellStorm666]

kosz schreef op woensdag 26 augustus 2020 @ 19:47:
[...]


Zo te zien aan je plaatje reken je op spanningtree tbv redundantie, ik zou de Core in een stacked variant neer zetten en alle links naar je overige switches en servers LAG interfaces maken, optimaal gebruik van je bandbreedte.

Klinkt als een goed idee.
Hoe werkt dat?
En hoe stel je dat in (op unifi)?

Edit:
Lijkt er op dat unifi geen stacking (mlag) ondersteund.
De 2e optie (mikrotik CRS326-24S+2Q+RM) doet dit ook al niet.

Welke FortiSwitch zou ik moeten hebben om dit wel te kunnen en minimaal 10x SFP+ te hebben?

[ Voor 20% gewijzigd door HellStorm666 op 26-08-2020 20:36 ]

[kosz]

https://www.fortinet.com/content/dam/fortinet/assets/data-sheets/FortiSwitch_Data_Center_Series.pdf

Fortiswitch 1024D

Het is lastig om zo een advies te geven, het hangt van meerdere factoren af en een budget indicatie helpt ook altijd wel. Zoals het er nu op tekening staat doet de firewall al je L3 verkeer, dus als die uitvalt ligt je netwerk op zijn gat. (ik weet niet hoe je sla met je leverancier is maar ik heb wel eens een weekje moeten wachten op een nieuwe vervangende FGT). Qua performance kom je ook wel weg met een FGT 60F maar dan 2x in HA opstelling zo ben je tenminste redundant en hou je ruim geld over voor je switches, maar dan heb je geen SFP+ uplinks want die heeft een 60F niet (maar deze kost 25% van een 100F...)
Maar aan de andere kant, heb je die echt nodig op L3 ? Als je bulk van je verkeer tussen de servers plaats vindt kan je ook investeren een een goede redundante coreswitch en daar eventueel een VRF op maken en met en via een transit vlan met de andere zones op de firewall communiceren, zodoende hou je je bulk traffic op de core en trek je dit niet via je firewall.
Staan je switches in 1 ruimte ? dan zijn er weer andere mogelijkheden. Dan vervang je alles in 1 stack met switches met 24/48G en 4x sfp+ als je er daar 3 van hebt heb je ook genoeg sfp+ interfaces om je servers aan te sluiten en genoeg aansluitingen voor de rest van je netwerk.....
Zo zie je het al, een goed advies is afhankelijk van vele factoren en anders wordt dit advies snel gemaakt op aanname's en dat is the mother of all f#ck&ps

[HellStorm666]

kosz schreef op woensdag 26 augustus 2020 @ 23:03:
https://www.fortinet.com/content/dam/fortinet/assets/data-sheets/FortiSwitch_Data_Center_Series.pdf

Fortiswitch 1024D

Het is lastig om zo een advies te geven, het hangt van meerdere factoren af en een budget indicatie helpt ook altijd wel. Zoals het er nu op tekening staat doet de firewall al je L3 verkeer, dus als die uitvalt ligt je netwerk op zijn gat. (ik weet niet hoe je sla met je leverancier is maar ik heb wel eens een weekje moeten wachten op een nieuwe vervangende FGT). Qua performance kom je ook wel weg met een FGT 60F maar dan 2x in HA opstelling zo ben je tenminste redundant en hou je ruim geld over voor je switches, maar dan heb je geen SFP+ uplinks want die heeft een 60F niet (maar deze kost 25% van een 100F...)
Maar aan de andere kant, heb je die echt nodig op L3 ? Als je bulk van je verkeer tussen de servers plaats vindt kan je ook investeren een een goede redundante coreswitch en daar eventueel een VRF op maken en met en via een transit vlan met de andere zones op de firewall communiceren, zodoende hou je je bulk traffic op de core en trek je dit niet via je firewall.
Staan je switches in 1 ruimte ? dan zijn er weer andere mogelijkheden. Dan vervang je alles in 1 stack met switches met 24/48G en 4x sfp+ als je er daar 3 van hebt heb je ook genoeg sfp+ interfaces om je servers aan te sluiten en genoeg aansluitingen voor de rest van je netwerk.....
Zo zie je het al, een goed advies is afhankelijk van vele factoren en anders wordt dit advies snel gemaakt op aanname's en dat is the mother of all f#ck&ps

T spul hangt allemaal in 1 rack.
Het meeste data verkeer gaat tussen de PLM server en de 6CAD systemen en 3 laptops.
Gezien de servers in een eigen VLAN zitten en de clients in een andere, zal al het verkeer toch door de firewall moeten?
Dat is de reden dat we de 100F nemen ipv de 60F (de 2 sfp+ aansluiting en véél grotere doorvoer.)
Budget is flexibel, maar moet wel in verhouding staan.
Een 1024D van 10k valt daar sowieso buiten. (laat staan 2 er van).
De nieuwe hoofd esxi server van vorig jaar (de Epyc) van een 5k was al een flink iets.
Daar is toen vanwege de kosten niet een HA optie van gemaakt.

Het is ook maar om 5 CAD engineers, 5 TIA (Siemens) engineers, 2 projectleiders, 2 inkopers en wat ondersteunend personeel te voorzien.

[powerboat]

HellStorm666 schreef op woensdag 26 augustus 2020 @ 16:15:
EDIT:
Om hem nog wat simpeler te maken én redundant denk ik dat de layout zo gaat worden.

[Afbeelding]

Wat is er veranderd:
T610 ESXi is er uit (ESXi6.5)
2x een US16XG toegevoegd voor 10Gbit backbone
Synology NAS heeft een 2x SFP+ kaart gekregen
OpenVPN servers weg
WireGuard server weg
AdGuard servers weg
Alles redundant aangesloten (RTSP van US16XG-1 is lager dan van US16XG-2, is toch correct op deze manier?)

Even zonder me goed te hebben ingelezen.

LET OP!!! Die US16XG is geen layer 3 switch, routering gebeurt dus over de router. Dat betekent dat je router ook 10GB poorten nodig heeft als je dit i.c.m. vlans, trunking of faillover wil gaan gebruiken.

[Zenix]

Stackable switches maakt het een stuk duurder inderdaad, je zou eens kunnen kijken bij fs.com bijvoorbeeld
https://www.fs.com/de-en/products/73467.html twee van deze switches met redudante power supplies zouden de core van je netwerk kunnen worden. Een stuk duurder dan Unifi inderdaad. Eventueel is dit een goedkopere optie: https://www.fs.com/de-en/products/69404.html maar geen stacking helaas.

Als op de kosten moet letten, zou mijn voorkeur eerder uitgaan naar één goede core switch met dual power supplies, dan twee prosumer switches.

Edit: Als alles in één kast zit, zou je ook een aantal van deze kunnen overwegen: https://www.fs.com/de-en/products/83325.html kan je mooi stacken (4 maximaal), genoeg SFP+ poorten als je er een paar pakt, dual power supplies en L3. Dan heb je maar één stack die je moet beheren voor je gehele netwerk.

[ Voor 26% gewijzigd door Zenix op 27-08-2020 00:20 ]

[HellStorm666]

Zenix schreef op donderdag 27 augustus 2020 @ 00:03:
Stackable switches maakt het een stuk duurder inderdaad, je zou eens kunnen kijken bij fs.com bijvoorbeeld
https://www.fs.com/de-en/products/73467.html twee van deze switches met redudante power supplies zouden de core van je netwerk kunnen worden. Een stuk duurder dan Unifi inderdaad. Eventueel is dit een goedkopere optie: https://www.fs.com/de-en/products/69404.html maar geen stacking helaas.

Als op de kosten moet letten, zou mijn voorkeur eerder uitgaan naar één goede core switch met dual power supplies, dan twee prosumer switches.

Edit: Als alles in één kast zit, zou je ook een aantal van deze kunnen overwegen: https://www.fs.com/de-en/products/83325.html kan je mooi stacken (4 maximaal), genoeg SFP+ poorten als je er een paar pakt, dual power supplies en L3. Dan heb je maar één stack die je moet beheren voor je gehele netwerk.

Die https://www.fs.com/de-en/products/83325.html ziet er wel interessant uit.

Deze kan dus ook inter-vlan switching als ik t goed begrijp.

Zo ja, dan daar een vervolg vraag over (met de hoop dat we naar een FortiGate-60F kunnen (of2)).
Het netwerk gaan we verder segmenteren, dus:

• Netwerk voor Servers
• vlan10
• Netwerk voor File opslag
• vlan20
• Netwerk voor Clients
• vlan30
• Gastnetwerk+Mobiletjes
• vlan5
• Alarm
• vlan6
• VOIP
• vlan4
• Camera's
• vlan11
• Testnetwerk
• vlan99

Dit doen we uiteraard om het netwerk veiliger te maken.
In de FortiGate zal dit zo ingesteld worden dat systeem A op vlan30 mag bij de fileshare op Server X op vlan20.
Kan dat met de inter-vlan switching ook. of is dat dan beperkt tot ip1234 op vlan30 mag naar ip3456 op vlan20?

[TheBrain]

Terran schreef op woensdag 26 augustus 2020 @ 16:25:
Als je al de client en de fortigate gaat gebruiken dan zou ik ook zeker de forti switch mee nemen in je verhaal ipv je unifi switches. Je kan dan je fortigate je switches laten beheren wat voor segmenteren de boel een stuk makkelijker zal maken. En je krijgt veel meer inzicht in wat er in je netwerk gebeurd

Helemaal mee eens. Als je de keuze hebt gemaakt om naar de 100F i.c.m. FortiClient te gaan dan zou ik zeker ook de FortiSwitches gaan gebruiken (of slechts een beperkt aantal FortiSwitches en op kantoor WiFi met FortiAP's (die zijn ook nog eens een stuk goedkoper). O.a. NAC wordt een stuk makkelijker dan.

En qua prijs is het afhankelijk van je referentiekader
Wij gaan voor onze vestigingen juist weg van Cisco/Extreme Networks naar FortiNet en dat gaat een bak geld schelen.

HellStorm666 schreef op donderdag 27 augustus 2020 @ 09:04:
[...]
Dit doen we uiteraard om het netwerk veiliger te maken.
In de FortiGate zal dit zo ingesteld worden dat systeem A op vlan30 mag bij de fileshare op Server X op vlan20.
Kan dat met de inter-vlan switching ook. of is dat dan beperkt tot ip1234 op vlan30 mag naar ip3456 op vlan20?

Als je die connectie gaat firewallen met de FortiGate gaat werken dan wordt het natuurlijk IP x.x.x.x in vlan10 naar IP x.x.x.x in vlan20 op poort 445 (en 137-139 voor NetBIOS).

Anders is het nog steeds gatenkaas.

Waar je alleen op moet letten is dat je dan alle connecties door de firewall aan het hairpinnen bent dus die moet ook op 10Gbit zitten.

En als we dan toch bezig zijn: stop de tweede voeding van de 100F achter een redelijke UPS. Heb je surge protection en kan je in ieder geval nog bij je centrale FW als er een stroomstoring is.

Voor je telefoons zou je ook kunnen overwegen om je telefooncentrale om te zetten naar Teams. Je hebt al O365 en het verwijdert meteen de noodzaak om je VoIP telefoons op PoE te hebben zitten (alleen je AP's hebben dan nog PoE nodig maar dat zijn een stuk minder, dure, PoE poorten).

[ Voor 41% gewijzigd door TheBrain op 27-08-2020 09:28 ]

[HellStorm666]

TheBrain schreef op donderdag 27 augustus 2020 @ 09:18:
[...]

Helemaal mee eens. Als je de keuze hebt gemaakt om naar de 100F i.c.m. FortiClient te gaan dan zou ik zeker ook de FortiSwitches gaan gebruiken (of slechts een beperkt aantal FortiSwitches en op kantoor WiFi met FortiAP's (die zijn ook nog eens een stuk goedkoper). O.a. NAC wordt een stuk makkelijker dan.

En qua prijs is het afhankelijk van je referentiekader
Wij gaan voor onze vestigingen juist weg van Cisco/Extreme Networks naar FortiNet en dat gaat een bak geld schelen.


[...]

Als je die connectie gaat firewallen met de FortiGate gaat werken dan wordt het natuurlijk IP x.x.x.x in vlan10 naar IP x.x.x.x in vlan20 op poort 445 (en 137-139 voor NetBIOS).

Anders is het nog steeds gatenkaas.

Waar je alleen op moet letten is dat je dan alle connecties door de firewall aan het hairpinnen bent dus die moet ook op 10Gbit zitten.

En als we dan toch bezig zijn: stop de tweede voeding van de 100F achter een redelijke UPS. Heb je surge protection en kan je in ieder geval nog bij je centrale FW als er een stroomstoring is.

Voor je telefoons zou je ook kunnen overwegen om je telefooncentrale om te zetten naar Teams. Je hebt al O365 en het verwijdert meteen de noodzaak om je VoIP telefoons op PoE te hebben zitten (alleen je AP's hebben dan nog PoE nodig maar dat zijn een stuk minder, dure, PoE poorten).

Uiteraard is prijzig relatief.
Vergeleken met een TP-Link unmanaged switch is een Unifi prijzig.
Maar gelegelen met een Extreme networks is Unifi weer goedkoop.

De hele upgrade staat nu begroot op €12.000,-
Dat is tot noch toe akkoord.
Als we met een 60F af kunnen omdat de switches een hoop snelheid opvangen komt er al weer €5.000,- vrij welke we dus in de switches kunnen stoppen.
Dat mag ook rustig nog een €2.000,- meer worden. maar niet nog eens 10k meer.

De 100F kwamen wij op uit omdat ál het verkeer via de FortiGate gaat.
Inderdaad zoals je zegt IP x.x.x.x in vlan10 naar IP x.x.x.x in vlan20 op poort 445.
Doordat ál dat verkeer er door moet (99,9% van ons verkeer is vanaf clients naar de PLM server), komen wij op de 100F uit omdat die 10Gbit heeft.
De 60F heeft maar een 1Gbit en zou daarmee véél te veel beperken.

Is het met een FortiSwitch dan mogelijk om het verkeer van IP x.x.x.x in vlan10 naar IP x.x.x.x in vlan20 op poort 445 te laten lopen over de switch ipv de router?

Qua voeding (nu ook al met de Unifi en de servers) hebben we 2 goede UPS-en staan.
PSU1 zit altijd in het net
PSU2 zit altijd achter een UPS.

Telefoons zijn we net 2 jaar over naar 3CX met Yealink toestellen.
Dit bevalt erg goed.

En leverancier van ons werkt via Teams en dit is een en al drama.

[ Voor 5% gewijzigd door HellStorm666 op 27-08-2020 09:40 ]

[HellStorm666]

Als ik het zo op de Fortinet site lees...

When connected via FortiLink the security polices of the FortiSwitch can mirror the FortiGate making Firewall interfaces and Switch ports equally secure.

Betekend dit, dat als je FortiSwitches aan sluit op een FortiGate, het inter-vlan verkeer mét de firewall rules (dus IP x.x.x.x in vlan10 naar IP x.x.x.x in vlan20 op poort 445 mag wel, rest niet) op de switches wordt afgehandeld en daarmee de FortiGate niet (véél minder) belast?

[jvanhambelgium]

HellStorm666 schreef op donderdag 27 augustus 2020 @ 12:28:
Als ik het zo op de Fortinet site lees...

[...]

Betekend dit, dat als je FortiSwitches aan sluit op een FortiGate, het inter-vlan verkeer mét de firewall rules (dus IP x.x.x.x in vlan10 naar IP x.x.x.x in vlan20 op poort 445 mag wel, rest niet) op de switches wordt afgehandeld en daarmee de FortiGate niet (véél minder) belast?

Nope helemaal niet. Het is wat mij betreft een "veredelde" trunk en eigenlijk om het BEHEER wat makkelijker te maken, maar je switch gaat niet plots policies & rules beginnen processen...

Jij denk mischien dat plots je switch-poorten "deel" uitmaken van poorten zoals je die op de Fortinet hebt ? Nee dat is het helemaal niet. Noem het eerder een "gimmick"

[ Voor 11% gewijzigd door jvanhambelgium op 27-08-2020 14:37 ]

[HellStorm666]

jvanhambelgium schreef op donderdag 27 augustus 2020 @ 14:36:
[...]

Nope helemaal niet. Het is wat mij betreft een "veredelde" trunk en eigenlijk om het BEHEER wat makkelijker te maken, maar je switch gaat niet plots policies & rules beginnen processen...

Jij denk mischien dat plots je switch-poorten "deel" uitmaken van poorten zoals je die op de Fortinet hebt ? Nee dat is het helemaal niet. Noem het eerder een "gimmick"

Dus eigenlijk is dat FortiLink niets anders dan wat Ubiquiti met Unifi doet?
Op 1 plek instellen en zowel router als switches worden ingesteld.

[jvanhambelgium]

HellStorm666 schreef op vrijdag 28 augustus 2020 @ 09:52:
[...]

Dus eigenlijk is dat FortiLink niets anders dan wat Ubiquiti met Unifi doet?
Op 1 plek instellen en zowel router als switches worden ingesteld.

Zo lijkt het inderdaad.

[kosz]

Het enige voordeel met Fortiswitch is dat je verkeer tussen de poorten op L2 in het zelfde vlan kan blokkeren, dat is dan wel weer nice. Voor de rest gebruiken wij hier alleen maar Aruba switches, ik heb toch wel sterk de voorkeur voor CLI en vind het bedienen vanuit een webinterface alleen maar lastig en omslachtig.

[ImmortalSoul]

Ik neem aan dat die 12000 euro voor enkel de hardware en 3 jaar licentie is? Het "nadeel" bij fortigate is dat je relatief veel voor de licentie betaald, en een 100F kan maar 1gb/s aan UTM throughput leveren. Je kan die UTM scanning dus sowieso niet gaan inzetten op je intra-vlan routing.

Ik heb ook mijn twijfels of je die 10GB/s echt nodig gaat hebben, maar als je deze wil hebben dan lijkt het me redelijk kostbaar om een fortigate als l3 core te gaan gebruiken. Als je die 10gb/s switching per se wil hebben dan kun je beter een degelijke L3 core stack/vsf (aruba oid) inzetten (dat is een stuk goedkoper) en dan een 40F of 60F inzetten als edge firewall (afhankelijk van je internet capaciteit).

[HellStorm666]

ImmortalSoul schreef op zondag 30 augustus 2020 @ 01:16:
Ik neem aan dat die 12000 euro voor enkel de hardware en 3 jaar licentie is? Het "nadeel" bij fortigate is dat je relatief veel voor de licentie betaald, en een 100F kan maar 1gb/s aan UTM throughput leveren. Je kan die UTM scanning dus sowieso niet gaan inzetten op je intra-vlan routing.

Ik heb ook mijn twijfels of je die 10GB/s echt nodig gaat hebben, maar als je deze wil hebben dan lijkt het me redelijk kostbaar om een fortigate als l3 core te gaan gebruiken. Als je die 10gb/s switching per se wil hebben dan kun je beter een degelijke L3 core stack/vsf (aruba oid) inzetten (dat is een stuk goedkoper) en dan een 40F of 60F inzetten als edge firewall (afhankelijk van je internet capaciteit).

Klopt (deels), de €12.000,- is voor (nu nog begroot) 2x een Unifi US-16-XG en een 100F met 3y licenties, 50 FortiClient met sandbox a 3 jaar en consult (hulp met inrichten en instellen).

De 100F heeft 1,6Gbps NGFW troughput.
Maar voor inter-vlan verkeer zal t normaal firewall verkeer zijn (lijkt mij?) en die is 20Gbps.
Met beide SFP+ poorten aggregated naar de 2 nieuwe (nog te bepalen) switches moet dat toch geen beperking geven.

Quick thoughts, kan ik de 60F ook de 5 (of 7) netwerkaansluitingen samenvoegen naar de switches zodat ik 5Gbit of 7Gbit heb?

Ik vind de FortiSwitches ook redelijk prijzig.
Daarom staat de S5500-48T8SP die @Zenix voorstelde ook nog steeds op #1.
2 daarvan stacken geeft én 20Gbit naar de firewall, servers, nas en onderling. én geven redundancy.
Kan helaas nog niet veel ervaringen vinden met de FS switches. (zeker van de S5500).

Ik denk de 10Gbit nodig te hebben omdat het verkeer van het ene vlan naar het andere vlan over de firewall gaat.
En dat betekend dat ál het verkeer van de clients naar de file-server dus over de firewall gaat.
Als 5 CAD tekenaars en een jobserver hier flink in bezig zijn en van de andere gebruikers er gemiddeld 6 tegelijk in bezig zijn, lijkt me dat toch een must, of zit ik hier helemaal fout?
(een beetje machine is al tegen de 12.000 onderdelen (3000+ unieke items) waarvan de totale omvang (welke dus elke keer dat een tekenaar bezig gaat wordt binnengehaald) 600MB is.)
Een export van zo'n machine komt dan, incl pdf's ed, op een ruime 3GB.

[Drardollan]

HellStorm666 schreef op dinsdag 25 augustus 2020 @ 14:55:
[...]
We hebben ook gekeken om de offsite-backup via Wasabi te laten lopen.
Uiteindelijk vanwege de kosten besloten dit op de server bij mij thuis te zetten.
Met een aantal jaar neem ik het bedrijf over (familiebedrijf) dus zakelijke data bij mij thuis is geen probleem.

Bedrijfsdata thuis opslaan....

Heb je thuis een goede toegangscontrole, temperatuurbeheer en noodstroom? Is er 24/7 een beveiligingsdienst die zicht houdt op je server thuis? Heb je thuis professionele netwerkapparatuur om hackers buiten de deur te houden? Heb je thuis ook netwerksegmentatie? Is de backup encrypted?

Data zou nooit bij iemand thuis moeten staan, ook niet als het je eigen bedrijf is. Huur gewoon een kwart rack in een willekeurig datacenter en plant daar een server+firewall neer en maak een VPN met je kantoor. Beperk de toegang tot de server in het DC op de de firewalls van kantoor en datacenter.

Vervolgens, waarom zit je complexiteit toe te voegen met zoveel VLAN's in zo'n klein netwerk? Dat betekent dat je aan alle kanten performance gaat inleveren, tenzij je echt serieuze firewalls en routers gaat neerzetten. Zeker intern wil je zo min mogelijk blokkerende onderdelen hebben als je voor de 10Gbit apparatuur gaat. Natuurlijk is de scheiding met gast, VOIP en alarm logisch en zeer verstandig. Maar die hebben geen performance nodig.

Ook maak ik mij zorgen over switches die je aanschaft. Ik zie een 24 poort switch om 3x PC en 3x printer aan te sluiten? Waarom? Je weet dat je op 1 switch ook diverse VLAN's kan ondersteunen en dus die 24 poorten efficiënter kunt gebruiken? Zeker omdat je zegt dat alles in 1 rack zit?

Als laatste, je hebt een Synology NAS voor fileopslag. In je oude plaatje zit die aan een soort core switch gekoppeld, in het nieuwe plaatje zit er nog een switch tussen. In een klein netwerk als dit kan je beter zoveel mogelijk op de core zien te krijgen mijn inziens, dit versnelt de opslag (minder bottlenecks, minder apparatuur).

Zelf zou ik denk ik liever meerdere grote switches plaatsen en alles dubbel aansluiten, zoals je zelf later ook tekent. VLAN's op die switches regelen. Ook zou ik een aparte VOIP switch achterwege laten, dat kan je prima regelen je normale switches middels VLAN tagging en werkplekken kan je vaak via die de VOIP toestellen aansluiten, scheelt je kabels en netwerkcomponenten.

[HellStorm666]

Drardollan schreef op maandag 31 augustus 2020 @ 13:03:
[...]

Bedrijfsdata thuis opslaan....

Heb je thuis een goede toegangscontrole, temperatuurbeheer en noodstroom? Is er 24/7 een beveiligingsdienst die zicht houdt op je server thuis? Heb je thuis professionele netwerkapparatuur om hackers buiten de deur te houden? Heb je thuis ook netwerksegmentatie? Is de backup encrypted?

Data zou nooit bij iemand thuis moeten staan, ook niet als het je eigen bedrijf is. Huur gewoon een kwart rack in een willekeurig datacenter en plant daar een server+firewall neer en maak een VPN met je kantoor. Beperk de toegang tot de server in het DC op de de firewalls van kantoor en datacenter.

Vervolgens, waarom zit je complexiteit toe te voegen met zoveel VLAN's in zo'n klein netwerk? Dat betekent dat je aan alle kanten performance gaat inleveren, tenzij je echt serieuze firewalls en routers gaat neerzetten. Zeker intern wil je zo min mogelijk blokkerende onderdelen hebben als je voor de 10Gbit apparatuur gaat. Natuurlijk is de scheiding met gast, VOIP en alarm logisch en zeer verstandig. Maar die hebben geen performance nodig.

Ook maak ik mij zorgen over switches die je aanschaft. Ik zie een 24 poort switch om 3x PC en 3x printer aan te sluiten? Waarom? Je weet dat je op 1 switch ook diverse VLAN's kan ondersteunen en dus die 24 poorten efficiënter kunt gebruiken? Zeker omdat je zegt dat alles in 1 rack zit?

Als laatste, je hebt een Synology NAS voor fileopslag. In je oude plaatje zit die aan een soort core switch gekoppeld, in het nieuwe plaatje zit er nog een switch tussen. In een klein netwerk als dit kan je beter zoveel mogelijk op de core zien te krijgen mijn inziens, dit versnelt de opslag (minder bottlenecks, minder apparatuur).

Zelf zou ik denk ik liever meerdere grote switches plaatsen en alles dubbel aansluiten, zoals je zelf later ook tekent. VLAN's op die switches regelen. Ook zou ik een aparte VOIP switch achterwege laten, dat kan je prima regelen je normale switches middels VLAN tagging en werkplekken kan je vaak via die de VOIP toestellen aansluiten, scheelt je kabels en netwerkcomponenten.

Toegangscontrolle thuis heet een voordeur.
Daar komt echt niemand binnen die er niet hoort te zijn.
Serverrack zelf zit ook nog op slot.
Uiteraard achter een goede UPS.
Switches ook van Unifi.
Router is Untangle Home-Pro en uiteraard met segmentatie.
Backup heeft vanuit Veeam een encryptie er op.

Op dit moment staan de servers en de clients in hetzelfde netwerk.
Segmentatie is dus:
* Servers + Clients
* Gasten + mobieltjes van personeel
* Camera's
* VOIP telefoons
* Alarmsysteem

Er werd mij door meerderen aangeraden om de servers en clients te scheiden omdat het niet echt veilig is zoals het nu is (met ransomware oa).
Dus daarom komt er 1, misch 2 VLAN's bij.
* Servers
* Clients
of
* Servers
* File-servers
* Clients

En nu is jouw advies, doe servers en clients gewoon in 1 netwerk?
want dat zou idd qua performance van de firewall enorm schelen.

Qua switches:
Op 1 48-ports switch zitten 29 clients op 1Gbit, 1 switch en 1 server op SFP+ en de router en een switch op SFP.
Op de andere 48-ports zitten 14 devices op 1 Gbit, de andere switch en 1 server op SFP+ en een switch op SFP. (klopt, deze zit nog lang niet vol)
Je opmerking over VLAN gebruiken om de poorten efficienter te gebruiken snap ik niet echt.
Als 1 port gebruikt wordt door de printer, kan ik toch niet diezelfde port op een ander vlan gebruiken voor een PC.
Die PC zit niet aan de printer vast.....

Enige wat zou kunnen is de PC in de RJ45 op de telefoon aansluiten. Dan gebruikt de Telefoon én de PC samen maar 1 aansluiting op de switch (PoE+ switch dan).
Dan zou een 48-ports kunnen vervallen... maar, dan kom ik SFP+ porten te kort

De nieuwe geplande layout ziet er onderhand wel anders uit, nl:


2x een 48-ports PoE+ switchs stacked.
2 servers en NAS via MLAG naar beide switches.
FortiGate met zo veel als mogelijk aansluitingen in LAG naar de switches.
PC's Wifi, Camera, enz. ieder z'n eigen aansluiting. Mocht ik later ooit te kort komen, dan kan ik de systemen nog via de VOIP telefoons doorlussen.
Mogelijk de CAD stations nog via MLAG voorzien van 2x 1Gbit ipv 1Gbit.

[Drardollan]

HellStorm666 schreef op maandag 31 augustus 2020 @ 13:42:
[...]

Toegangscontrolle thuis heet een voordeur.
Daar komt echt niemand binnen die er niet hoort te zijn.

Vandaar dat er in Nederland niet ingebroken wordt.

Serverrack zelf zit ook nog op slot.

Zo'n slotje wat je open kan hoesten is dat toch?

Uiteraard achter een goede UPS.
Switches ook van Unifi.
Router is Untangle Home-Pro en uiteraard met segmentatie.
Backup heeft vanuit Veeam een encryptie er op.

Gelukkig is dat wel voor elkaar.

Op dit moment staan de servers en de clients in hetzelfde netwerk.
Segmentatie is dus:
* Servers + Clients
* Gasten + mobieltjes van personeel
* Camera's
* VOIP telefoons
* Alarmsysteem

Er werd mij door meerderen aangeraden om de servers en clients te scheiden omdat het niet echt veilig is zoals het nu is (met ransomware oa).
Dus daarom komt er 1, misch 2 VLAN's bij.
* Servers
* Clients
of
* Servers
* File-servers
* Clients

En nu is jouw advies, doe servers en clients gewoon in 1 netwerk?
want dat zou idd qua performance van de firewall enorm schelen.

Dat is zeker mijn advies. Je gaat met deze segmentatie, op deze schaal, helemaal geen enkele extra veiligheid inbouwen. Ransomware of andere troep verspreidt zich meestal via standaard poorten. Poorten die je dus toch open moet hebben om sowieso gebruik te kunnen maken van je servers. Het maakt dan niets meer uit of het eerst door een firewall moet, al kan enige controle op inhoud van het verkeer helpen (maar dan lever je weer keihard in op performance).

In jouw geval is het belangrijk om de firewall in te zetten voor zaken waar hij goed in huis. In en uitgaand verkeer. Servers die via het internet bereikbaar zijn in een DMZ zetten. Daar heeft de firewall nut voor. Als je firewall of een werkstation gehackt wordt door een echte hacker, dan is de hacker slim genoeg om je firewall aan te passen en zich toegang te verschaffen.

Ik zou meer inzetten op adequate beveiliging op de werkplek. Goede antivirus/malware detectie en goede filtering in de Fortigate. Daar heb je meer aan dan die hele complexe VLAN's gaan optuigen die je handen met geld aan hardware en beheer kosten en maar een fractie van de veiligheid bieden.

Je huidige segmentatie is voor een bedrijf van jouw omvang meer van voldoende.

Qua switches:
Op 1 48-ports switch zitten 29 clients op 1Gbit, 1 switch en 1 server op SFP+ en de router en een switch op SFP.
Op de andere 48-ports zitten 14 devices op 1 Gbit, de andere switch en 1 server op SFP+ en een switch op SFP. (klopt, deze zit nog lang niet vol)

Dat kan dus efficiënter. Zorg dat ze zo vol mogelijk zitten, koop switches die voldoen aan de behoefte.

Je opmerking over VLAN gebruiken om de poorten efficienter te gebruiken snap ik niet echt.
Als 1 port gebruikt wordt door de printer, kan ik toch niet diezelfde port op een ander vlan gebruiken voor een PC.
Die PC zit niet aan de printer vast.....

Enige wat zou kunnen is de PC in de RJ45 op de telefoon aansluiten. Dan gebruikt de Telefoon én de PC samen maar 1 aansluiting op de switch (PoE+ switch dan).
Dan zou een 48-ports kunnen vervallen... maar, dan kom ik SFP+ porten te kort

Ik heb het over door koppelen van telefoon naar PC gehad inderdaad. Maar als een 48 poort maar 6 poorten gebruikt, dan moet je een andere switch kopen. Als je SFP poorten tekort komt, dan moet je een switch kopen die er wel voldoende heeft of je netwerk anders indelen.

Mogelijk de CAD stations nog via MLAG voorzien van 2x 1Gbit ipv 1Gbit.

Zet ze dan liever gewoon op 10Gbit als het zo belangrijk is. Kan ook via UTP bekabeling en hoeft niet via SFP.

[Grvy]

@Drardollan ik weet dat we het niet altijd eens zijn. Maar prima advies wat mij betreft.

Zoals ik al eerder zei in het topic.. dit hele ontwerp staat vol van de goede intenties maar totaal overkill voor zo een klein bedrijf. En ook "beveiliging" waar dat totaal niet van toepassing hoort te zijn.

VLANs doe je niet voor beveiliging maar voor broadcast verkeer. Ja, het heeft een component (ACL) ter beveiliging maar VLAN hopping is zo kinderlijk eenvoudig dat je dat net zo goed niet kan doen.

Wat ik mezelf nog wel afvraag is waarom die behoefte voor 10Gbit? Wij doen 10Gbit op dit moment eigenlijk alleen op storage netwerken. En wij hebben ook CAD klanten, alhoewel die via de cloud werken.. (wat niet kon hier.. dus ze doen iets heel speciaals denk ik?)

Een etherchannel (of trunk of wat je het ook wilt noemen per merk) is vaak voldoende als uplink.

[HellStorm666]

De bekabeling hier is CAT-5e UTP zonder shielding/ground.
Ligt er al zo'n 20 jaar gok ik.
Gok dat 10Gbit daar over niet wil

De behoefte voor 10Gbit is, als we toch upgraden, dan maar direct meer doorvoer.

Beveiliging gaat op zowel alle clients (en thuiswerk locaties) en servers FortiClient met sandbox worden.
En dus veilig (toch?), en dus segmentatie lekker laten zoals t nu al is...
Dat is mooi, dat scheelt flink wat geld qua Firewall (60F of 80F is véél goedkoper dan een 100F).

Het idee van 2x een S550-48T8SP stacken en alles via die 2 switches laten lopen is wel een goed idee toch? (zoals de laatste afbeelding dus)
Zo is de back-bone redundant 10Gbit (of dus 20Gbit eigenlijk als beide switches online zijn, wat wel het uitgangspunt is). en kunnen alle apparaten daar op aangesloten zitten.

Gaan we van 4 switches terug naar 2.

[Zenix]

@HellStorm666 Inderdaad clients en servers in één netwerk is denk ik wel een goede oplossing. Dat maakt het configureren van de firewall ook gelijk een stuk makkelijker. De rest kan je wel gewoon segmenteren.

Ik zou het dan zo doen:

- Client/server
- DMZ
- Voip (inclusief 3CX)
- Gast
- Gebouwbeheersystemen (camera's, alarm etc)
- Management netwerk (eventueel OOB er naast met een aparte switch)

[ Voor 6% gewijzigd door Zenix op 31-08-2020 14:53 ]

[Drardollan]

HellStorm666 schreef op maandag 31 augustus 2020 @ 14:31:
De bekabeling hier is CAT-5e UTP zonder shielding/ground.
Ligt er al zo'n 20 jaar gok ik.
Gok dat 10Gbit daar over niet wil

De behoefte voor 10Gbit is, als we toch upgraden, dan maar direct meer doorvoer.

Ik heb niet de exacte specificaties voor ogen wat er nodig is voor 10Gbit UTP, maar of je nu SFP+ moet trekken of UTP dat is lood om oud ijzer. Dan kan je beter nu UTP laten trekken en 1Gbit gebruiken en in de toekomst naar 10Gbit gaan als de switches goedkoper zijn geworden. Waarom nu bakken met geld uitgeven aan SFP+ met 10Gbit als dat eigenlijk niet nodig is en onnodig in de papieren loopt? Is de netwerksnelheid wel de bottle-neck voor de CAD tekenaars?

Beveiliging gaat op zowel alle clients (en thuiswerk locaties) en servers FortiClient met sandbox worden.
En dus veilig (toch?), en dus segmentatie lekker laten zoals t nu al is...

De zwakste schakel in je beveiliging is meestal de user. Dus ik denk dat met het gebruik van de juiste tooling (Forticlient), awereness bij de medewerkers ('opleiding') en firewall (FortiGate) al een prima beveiliging neerlegt.

[HellStorm666]

@Zenix en @Drardollan ,
Thnx voor de hulp en info.

de netwerksnelheid is nu denk ik nog niet een bottleneck.
Lijkt nu zelden over de 300Mbit te gaan.
Komt waarschijnlijk ook omdat het heel veel kleine bestandjes zijn ipv enkele grote.
Tranceivers kosten nagenoeg niets bij FS.com en de fiber is daar ook spotgoedkoop.
Dus opzich vallen de kosten met fiber wel mee. En wordt een stuk minder warm dan 10Gbit t-base (begreep ik).
Maar voorlopig maar lekker op 1Gbit houden.

[ImmortalSoul]

HellStorm666 schreef op maandag 31 augustus 2020 @ 14:31:
Het idee van 2x een S550-48T8SP stacken en alles via die 2 switches laten lopen is wel een goed idee toch? (zoals de laatste afbeelding dus)
Zo is de back-bone redundant 10Gbit (of dus 20Gbit eigenlijk als beide switches online zijn, wat wel het uitgangspunt is). en kunnen alle apparaten daar op aangesloten zitten.

Ik zou die fs.com switches dus echt niet in je netwerk gaan zetten. Hoe zit dat met garantie en support? Dadelijk is er een switch kapot en kun je 1 a 2 maanden op vervanging gaan wachten.

Bijvoorbeeld een Aruba switch (Lifetime warranty en degelijke support) kost niet zo heel veel meer.

Ik heb je situatie niet zo heel goed doorgelezen. Maar je kunt een stack/vsf maken van drie Aruba 2930F's. Elke switch heeft 4 SFP's, twee SFP's kun je gebruiken voor de stack te koppelen en de overige twee SFP's kun je je servers en NAS mee koppelen. Dan heb je daarnaast nog 72 POE poorten en kun je die overige Unifi switches ook de deur uit doen.

Welke internetcapaciteit heb je daar liggen?

[HellStorm666]

ImmortalSoul schreef op maandag 31 augustus 2020 @ 15:52:
[...]

Ik zou die fs.com switches dus echt niet in je netwerk gaan zetten. Hoe zit dat met garantie en support? Dadelijk is er een switch kapot en kun je 1 a 2 maanden op vervanging gaan wachten.

Bijvoorbeeld een Aruba switch (Lifetime warranty en degelijke support) kost niet zo heel veel meer.

Ik heb je situatie niet zo heel goed doorgelezen. Maar je kunt een stack/vsf maken van drie Aruba 2930F's. Elke switch heeft 4 SFP's, twee SFP's kun je gebruiken voor de stack te koppelen en de overige twee SFP's kun je je servers en NAS mee koppelen. Dan heb je daarnaast nog 72 POE poorten en kun je die overige Unifi switches ook de deur uit doen.

Welke internetcapaciteit heb je daar liggen?

Garantie is 5 jaar van die switches.
Levertijd is 2 werkdagen (komt gewoon uit Duitsland vandaan).

Support bij FS is tot noch toe altijd super geweest.
Reageren binnen een uur, escaleren snel naar iemand toe die inhoudelijk verstand van t onderwerp heeft.

Hoeft uiteraardniet percé iets van FS te worden.
Aruba vind ik ook prima.
Maar 4x SFP+ vind ik wel te weinig.
Als ik dat neem, zit ik al direct aan de cappaciteit. 1x een NAS er bij en ik moet al weer direct een switch er bij doen.
6x SFP+ per switch (of 4x 40Gbit) is toch een minimum.

[ Voor 25% gewijzigd door HellStorm666 op 31-08-2020 18:46 ]

[HellStorm666]

@ImmortalSoul ,
Zou een Aruba 3810M (JL076A) met een 2x QSFP+ add-on (JL079A) dan een betere oplossing zijn?
1x QSFP kan dan gebruikt worden voor t stacking.
En 1x een QSFP+ naar 4x SFP+ kabel voor de verbindingen naar de servers/nas.

Evt. later uit te breiden met een BPS kaart (JL084A) en de stacking cable (J9665A)

2e voeding zit er ook nog niet bij dan denk ik, ofwel? Zo niet, dan een JL086A toevoegen?

[kosz]

Even 2 dagen niet gekeken maar het gaat alle kanten op, dus je staat open voor andere oplossingen
Het advies van @ImmortalSoul de 2930F had ik vorige week ook al in gedachte maar daar was je toen nog niet aan toe.
optie 1
2930F. 3x een JL255A stacking kan ook ethernet poorten dus dan hou je effectief 12 SFP+ poorten over, voorkeur uiteraard om op SFP+ te stacken.

optie2
De optie 3810 zou ik niet doen want te duur. Overigens zou ik stacking altijd direct doen bij aanschaf en niet later. Dan kan je heel je switch opnieuw configureren.

optie3
Aruba 5406ZL2, modulair in 1 chassis, in het onderstaande ontwerp 8x SPF+, dubbele voedingen, en 2x 24 1000 BASE-T en dan hou je nog 3 module plaatsen over.
Ik zou denk ik voor deze optie kiezen, uitbreidingsmogelijkheden genoeg.



Onder aan de streep draait alles om budget, dit zijn de list prijzen daar zijn de kortingen van je inkoop kanaal nog niet in meegenomen (en die kunnen fors zijn). Daar zie je waarom de 3810 af valt wat mij betreft.

[Rolfie]

Misschien rare vraag. Waarom wil je echt een redundante core backbone hebben?

Wat is de toegevoegde waarde in deze opzet?
Wat denk je er mee op te lossen. Je hebt namelijk eigenlijk nog steeds zoveel SPOF in je netwerk, dat dit eigenlijk niet zoveel uitmaakt, als je enkelvoudige core switch zou uitvallen.
Al je servers zijn nog steeds enkelvoudig uitgevoerd. je firewall is enkelvoudig, je internet verbinding is enkelvoudig

Met Unifi is dit nog redelijk betaalbaar, maar eigenlijk bij alle andere switchen begint dit heel erg aan te tikken, met minimale verbeteringen.

We hebben het over 22 man. Om daar 10K aan netwerk apparatuur naar binnen te schuiven, zou ik niet kunnen verkopen.

[HellStorm666]

Rolfie schreef op woensdag 2 september 2020 @ 12:15:
Misschien rare vraag. Waarom wil je echt een redundante core backbone hebben?

Wat is de toegevoegde waarde in deze opzet?
Wat denk je er mee op te lossen. Je hebt namelijk eigenlijk nog steeds zoveel SPOF in je netwerk, dat dit eigenlijk niet zoveel uitmaakt, als je enkelvoudige core switch zou uitvallen.
Al je servers zijn nog steeds enkelvoudig uitgevoerd. je firewall is enkelvoudig, je internet verbinding is enkelvoudig

Met Unifi is dit nog redelijk betaalbaar, maar eigenlijk bij alle andere switchen begint dit heel erg aan te tikken, met minimale verbeteringen.

We hebben het over 22 man. Om daar 10K aan netwerk apparatuur naar binnen te schuiven, zou ik niet kunnen verkopen.

Terechte vraag hor.

De SPOFs die we overhouden valt enorm mee.

Internet: Geen ramp als we een uur of 3 zonder internet zitten. Daarbij hebben we een 4G backup.
Firewall: Zie internet. En, de EdgeRouter Pro blijft hier. Deze configureer ik zodanig dat deze de FortiGate tijdelijk kan vervangen (uiteraard met wat minder beveiliging).
Servers: Een hoop binnen de server is redundant uitgevoerd (PSU, opslagbackplane, enz.) dat ik hier niet zo bang voor ben. En als er écht iets kapot gaat kunnen we op de andere server middels een backup ook snel weer verder (binnen 1 uur heb ik een VM van de ene ESXi draaiend op de andere ESXi).
Workstations: Hier hebben we een hot-spare van staan welke in de tussentijd fungeert als Jobserver
Laptopts: Hier hebben we er een van reserve liggen.
Stroom: tja, de laptops kunnen nog een paar uur vooruit (tussen de 1 en 8 afhankelijk van de laptop en het werk), workstations hebben een UPS die ze in ieder geval nog 30 min geven of netjes af te sluiten ed., Servers ed hangen uiteraard achter 2 UPS-en zodat alles netjes opgeslagen kan worden en kan afsluiten.
Maar op een gegeven moment is t qua stroom wel klaar

De core-switch wordt de enige switch die we gebruiken.
Als daar er een van kapot gaat, kan de rest verder via de andere.
In het ergste geval moet ik met de hand een paar rj45's omsteken om te zorgen dat ze weer verbinding hebben. Dat is goed te overleven.

[Rolfie]

HellStorm666 schreef op woensdag 2 september 2020 @ 12:39:
[...]

Terechte vraag hor.

De SPOFs die we overhouden valt enorm mee.

.....

De core-switch wordt de enige switch die we gebruiken.
Als daar er een van kapot gaat, kan de rest verder via de andere.
In het ergste geval moet ik met de hand een paar rj45's omsteken om te zorgen dat ze weer verbinding hebben. Dat is goed te overleven.

Goed antwoord, wat je gaf (heb even wat weg geknipt)
Persoonlijk zou ik Aruba niet snel nemen. Kosten zou ik nooit kunnen verkopen, voor 22 man.

Wat misschien nog een alternatief zou zijn.....

Neem 2 * USW-Pro-48-POE

pricewatch: Ubiquiti UniFi Pro Switch Gen 2 (48-poorts, 600W PoE++)
Je kunt dan 2 keer 10Gbit als LACP gebruiken als backbone.

2 servers op 10Gbit aansluiten op iedere switch 1. Je NAS zou dan alleen op 1Gbit aangesloten zijn.

Alternatief... ESX kan je ook een Team maken met meerdere interfaces met verschillende snelheden. 10Gbit Primair, 1Gbit secondary (of misschien zelfs meerdere). Hiermee zou je de NAS ook nog op 10Gbit kunnen aansluiten

Alternatief zou een 3de USW-Pro-48-POE (of andere switches), en zie via 1GB LACP aansluitingen te gebruiken voor je telefoons/printers/camera's en andere "trage" devices. Deze kan dan ook al spare direct dienen.
Je zou dan de CORE hetzelfde kunnen configureren, zodat het simpel omstreken is, mocht 1 van je CORE switches defect gaan.

Volgens mij bespaar je dan zeer veel geld, en bereik je hetzelfde.

Wat misschien wel een belangrijke is... Bij Unifi controller en security updates ben afhankelijk van de support cycle van Uniti.
Hoelang is de ondersteuning hiervan?

Maar hetzelfde heb je bij andere merken switches. Hoelang wordt deze ondersteund, maar ook hoe goed is de community support of leveranciers support? Misschien nog wel iets om ook even naar te kijken.

[HellStorm666]

Gisterenavond de bevestiging van m'n bestelling binnen gekregen.
Onderdelen (uiteraard nieuw) uit een Bulk levering vandaan waardoor ik totaal onder de 6k kwijt was.

2x Aruba 3810M 40G en 8SmartRate (JL076A)
2x Aruba 2QSFP+ modules (JL079A)
4x Aruba 680W voeding (JL086A)
2x Aruba BPS module (JL084A)
1x StackingCable (J9665A)

Volgens mij een hele mooie set zo waardoor we voorlopig weer vooruit kunnen.

Ik zal hier nog 2 (of vast 4) QSFP+ DAC break-out cables aan toevoegen zodat de 2 servers en NAS via SFP+ aangesloten kunnen worden.
Mogelijk voeg ik aan de workstations nog een Asus XG-C100C toe zodat er 2,5G of misch zelfs 5G aangesloten kan worden via de SmartRate porten.