Public IP kantoorcomplex

[larsehh]

Beste tweakers,

Binnen een kantoorcomplex van 12 kantoren (verschillende bedrijven) komt 1 glasvezel verbinding binnen die vervolgens opgedeeld wordt via een managed switch naar alle bedrijven. Elke bedrijf heeft bij de binnenkomst van de utp kabel een router zitten en bouwt vervolgens daar hun eigen netwerk op.

Nu is een vraag van ons allen eigenlijk: Hoe gaan wij straks via vpn van afstand verbinden naar ons kantoor.
Naar ons idee hebben we namelijk allemaal het zelfde public IP.

Elk bedrijf maakt gebruik van een Unifi dream machine pro.

Iemand een idee hoe dit goed te organiseren is?

Met vriendelijke groet,

[pagani]

Een oplossing: Elk bedrijf op een andere poort zijn VPN laten opzetten en dat netjes routeren.

[lier]

Aangezien er een managed switch tussen de aansluiting en de kantoren zit, lijkt het me dat alle kantoren een publiek IP adres krijgen. Maar dat kan je natuurlijk zelf eenvoudig controleren. Wat is jouw rol in dit verhaal?

pagani schreef op vrijdag 12 maart 2021 @ 15:18:
Een oplossing: Elk bedrijf op een andere poort zijn VPN laten opzetten en dat netjes routeren.

De TS vraag om "goed te organiseren", niet een houtje-touwtje oplossing.

[Tribunus]

12 bedrijven op 1 IP adres? Dat is naar mijn mening vragen om problemen later. Vroeg of laat zullen er bedrijven zijn die poort 443 of 80 nodig hebben naar binnen toe en dan ben je klaar voor de rest van de bedrijven.

Kan je geen subnet aanvragen met extra ip adressen?

Daarnaast is het vaak mogelijk om op 1 verbinding meerdere EVC's te leveren en dus ook de bedrijven apart aan te sluiten en te voorzien van eigen adressen.

Denk ook even aan zaken als: Wat gebeurd er als de provider of een dienst het IP blokkeert omdat er zaken gebeuren die niet horen? Dan zijn alle bedrijven daar de dupe van.

Dit wil je volgens mij echt niet

[Voor 40% gewijzigd door Tribunus op 12-03-2021 15:23]

[pagani]

Google even "what is my ip" binnen minimaal twee van de bedrijven en Google geeft je je publieke IP. Dan weten we in ieder geval of je meer IP-adressen hebt naar buiten.

lier schreef op vrijdag 12 maart 2021 @ 15:20:
Aangezien er een managed switch tussen de aansluiting en de kantoren zit, lijkt het me dat alle kantoren een publiek IP adres krijgen. Maar dat kan je natuurlijk zelf eenvoudig controleren. Wat is jouw rol in dit verhaal?


[...]

De TS vraag om "goed te organiseren", niet een houtje-touwtje oplossing.

Het is dus maar de vraag of de bestaande installatie al niet houtje touwtje is. Ik heb direct na de glasvezel ook een managed switch maar naar buiten toe toch echt één IP.

[Voor 63% gewijzigd door pagani op 12-03-2021 15:24]

[Frogmen]

Bij de provider gewoon netjes 12 IP adressen afnemen. Of als iedereen alleen VPN wil gebruiken er netjes een netwerk van maken met seperate VLAN's maar dat vraagt wel samenwerking. Heeft wel als voordeel dat je ook 1 wifi netwerk kan maken met VLAN's en je dus door het hele gebouw wifi hebt.

[Tribunus]

Frogmen schreef op vrijdag 12 maart 2021 @ 15:24:
Bij de provider gewoon netjes 12 IP adressen afnemen. Of als iedereen alleen VPN wil gebruiken er netjes een netwerk van maken met seperate VLAN's maar dat vraagt wel samenwerking. Heeft wel als voordeel dat je ook 1 wifi netwerk kan maken met VLAN's en je dus door het hele gebouw wifi hebt.

1 WLAN netwerk met meerdere vlan's. Dan zal je toch iets van een radius oplossing nodig hebben die er voor zorgt dat de diverse bedrijven kunnen inloggen met eigen credentials en dus ook een ander vlan meegestuurd krijgen.

Iets zegt mij dat dit geen gesneden koek is voor TS.

lier schreef op vrijdag 12 maart 2021 @ 15:20:
Aangezien er een managed switch tussen de aansluiting en de kantoren zit, lijkt het me dat alle kantoren een publiek IP adres krijgen. Maar dat kan je natuurlijk zelf eenvoudig controleren. Wat is jouw rol in dit verhaal?


[...]

De TS vraag om "goed te organiseren", niet een houtje-touwtje oplossing.

Lijkt me een gepaste vraag. En; hoeveel kennis heeft TS qua networking etc?

[technorabilia]

Ik kan mij niet voorstellen dat je allemaal hetzelfde IP-adres hebt. Dat zou ik inderdaad als eerste controleren. Mocht het wel zo zijn dan zou ik dit zeker aan laten passen. Want dit is anders vragen om moeilijkheden. Afhankelijkheid tussen bedrijven wil je niet. Op geen enkel vlak.

[Oon]

Als je inderdaad allemaal samen één IP-adres deelt dan zal een VPN-oplossing dus ook centraal geregeld moeten worden. In ieder geval qua routing, want dat ga je nooit georganiseerd krijgen tussen 12 bedrijven.

[lier]

pagani schreef op vrijdag 12 maart 2021 @ 15:23:
Het is dus maar de vraag of de bestaande installatie al niet houtje touwtje is. Ik heb direct na de glasvezel ook een managed switch maar naar buiten toe toch echt één IP.

En heb jij ook 12 Unifi dream machine pro's staan die naast elkaar werken?

[Frogmen]

Tribunus schreef op vrijdag 12 maart 2021 @ 15:27:
[...]

1 WLAN netwerk met meerdere vlan's. Dan zal je toch iets van een radius oplossing nodig hebben die er voor zorgt dat de diverse bedrijven kunnen inloggen met eigen credentials en dus ook een ander vlan meegestuurd krijgen.

Iets zegt mij dat dit geen gesneden koek is voor TS.
[...]

Lijkt me een gepaste vraag. En; hoeveel kennis heeft TS qua networking etc?

Waarom zou je radius moeten gebruiken kan wel, het enige is wel dat iedere SSID die je aanmaakt zijn eigen credentials heeft.

[NimRod1337]

Frogmen schreef op vrijdag 12 maart 2021 @ 15:24:
Bij de provider gewoon netjes 12 IP adressen afnemen. Of als iedereen alleen VPN wil gebruiken er netjes een netwerk van maken met seperate VLAN's maar dat vraagt wel samenwerking. Heeft wel als voordeel dat je ook 1 wifi netwerk kan maken met VLAN's en je dus door het hele gebouw wifi hebt.

Dit. Het zal zeker een zakelijk aansluiting zijn en dan kan je vaak IP adressen afnemen. Kan dit niet andere ISP overwegen waar dit wel kan. Even coördineren met de andere toko's.

[Tribunus]

Frogmen schreef op vrijdag 12 maart 2021 @ 15:57:
[...]

Waarom zou je radius moeten gebruiken kan wel, het enige is wel dat iedere SSID die je aanmaakt zijn eigen credentials heeft.

12 SSID's is niet bepaald best practice. Heeft vooral impact qua frames in de lucht. over het algemeen is het advies niet meer dan 3 SSID's te gebruiken. Mits je systeem (accesspoints) het ondersteunen kan je 1 SSID aanmaken en doormiddel van radius (of local usernames) zorgen dat de users in andere vlans terechtkomen.

[lier]

Waar komt Wifi opeens vandaan...daar heb ik de TS niet over gehoord.

[mash_man02]

Frogmen schreef op vrijdag 12 maart 2021 @ 15:57:
[...]

Waarom zou je radius moeten gebruiken kan wel, het enige is wel dat iedere SSID die je aanmaakt zijn eigen credentials heeft.

Niet noodzakelijk, PPKS kan dat ook voor je oplossen zonder enige client complexity. of backend radius complexiteit.

het is alleen wel een beetje raar dat we eerst appratuur en inrichting doen en vervolgens iets anders nodig blijken te hebben.

[Voor 19% gewijzigd door mash_man02 op 12-03-2021 16:28]

[mash_man02]

Je kunt ook een product gebruiken wat SSL vpn's termineert op basis van dat 1e ip en aan de hand van de groep membership firewall policy's toekennen waardoor er isolatie ontstaat. Je kunt dan zelfs per bedrijf bepalen of je access wilt toekennen op basis van radius, ldap, of lokaal voor de bedrijven die wat minder middelen hebben.

Ik zie wel terdege mogelijkheden maar het is verstandig omdat met de eigenaar van het pand te bespreken omdat je het beheer van die oplossing ook als faciliteit wilt aanbieden zodat er gelijke behandeling van alle tennants geborgd is.

[larsehh]

Frogmen schreef op vrijdag 12 maart 2021 @ 15:24:
Bij de provider gewoon netjes 12 IP adressen afnemen. Of als iedereen alleen VPN wil gebruiken er netjes een netwerk van maken met seperate VLAN's maar dat vraagt wel samenwerking. Heeft wel als voordeel dat je ook 1 wifi netwerk kan maken met VLAN's en je dus door het hele gebouw wifi hebt.

Contact gehad met de provider en deze kunnen per verbonden router een public ip afgeven. De bedrijven die dit willen kunnen dit dus zo regelen. Bedankt voor de tip!