Advies gevraagd netwerk voor nieuw kantoor scale-up

[Damsplaat]

Ik werk bij een hardware scale-up van 30 en growing, en we zijn ons huidige kantoor (en netwerk infrastructuur) ontgroeid. Als software engineer (en bij gebrek aan een systeembeheerder) mag ik hier wat van vinden.

We hebben nu een 100/50mbit verbinding, fritzbox en wat tp-link switches an ap's voor zo'n 20 vaste werkplekken (bekabeld) en een hoop devices op de wifi (intern en gast). Dat werkt verbazingwekkend genoeg nog best ok (dit is van voor mijn tijd trouwens). Dit is waar we het ongeveer voor gebruiken:
- document synchronisatie (dropbox etc)
- vanuit huis verbinden met vpn (van de fritzbox) naar de licentie server en remote desktop
- video conferencing
Verder liggen er nu diverse ethernet kabels direct van hardware in de werkplaats naar bureaus van developers, omdat de hardware niet op het netwerk mag, maar wel vanaf een bureau togankelijk moet zijn.

We gaan komende tijd verdubbelen, en wat er ongeveer nodig is is:
- goede wifi dekking werkplaats (2500m2), meerder netwerken
- flexibele setup met vlans zodat een developer vanaf bureau een directe link naar diverse hardware kan maken
- iets van intrusion detection of andere vormen van monitoring op de integriteit van het netwerk
- stuk of 10 beveiliging camera's waarvan (soms een subset) voor medewerkers op afstand toegankelijk moet zijn (incusief tenminste 24h history)
- netwerk segmentatie zodat bijvoorbeeld printers e.d. niet naar buiten kunnen communiceren
- 1gbit glasvezel

Verder nog netwerk gerelateerde wensen
- On-prem filesharing (Nextcloud oid) voor maximale (minstens 1gb, maar liever nog hogere lokale bestandsuitwisseling)
- persoonlijke accounts voor de wifi

Nu staat alles nog open, en zijn de opties:
- alles uitbesteden aan een externe club (wie dan?)
- zelf alles doen
- combinatie van beide
- systeembeheerder aannemen

Ik en een collega vinden dit opzich wel leuk maar wil er niet teveel tijd mee kwijt zijn. Ik heb zelf thuis een edgerouter en paar edgeswitches, gesegmenteerd netwerk en 3 unifi ap's met 3 wifi's, iot zooi die niet op internet mag, server met home assistant en , unms en uisp controllers. Dat werkt best ok en ik voel me er redelijk comfortabel mee, maar heb ook geleerd dat je ubiquity updates nooit zomaar moet installeren (al iets te vaak moeten downgraden wegens brakke updates).

Ergens denk ik van we zijn aan het groeien en het mag wat kosten dus hup uitbesteden aan de experts. Maar de vrees is dat we dan niet meer zelf in crontol zijn en voor iedere scheet iemand moet komen en dat je niet meer volledig flexibel bent. We groeien snel. Dat je bijvoorbeeld een dag moet wachten voor een firewall regel iof een nieuwe vlan is niet gewenst.

Als ik het zelf opzet neig ik naar alles bij Unifi kopen zodat netwerk, wifi en camera's in 1 systeem te regelen zijn. 10Gb lijkt voor nu nog net iets te exotisch dus voorlopig kunnen we met 1Gbit wel uit de voeten,. Als basis dacht ik dan aan een UDP Pro (SE lijkt niet meer leverbaar) en 48 poorts layer 3 POE switch als core met een 2,5GB link ertussen. Als er meer poorten nodig zijn dan met simpele 24/48 poorts layer 2 switches uit te breiden. Voor iedere hardware developer een flex mini switch op het bureau met per poort een vlan zodat je snel kan schakelen. Paar ubiquity camera's en een aantal AP's en klaar. Maar ik ken de klachten over ubiquity, dus ergens ook het gevoel dat ik ze moet vermijden/boycotten...

Ik hoor veel goeds over Aruba Instant On, Ruckus, Mikrotik, Fortinet. Maar ik heb dit nooit in handen gehad dus geen idee wat dit qua security toevoegt, en welke feutures ik oop zou zitten wachten.

Voor een dedicated systeembeheerder is het bedrijf denk ik nog te klein, maar externe expertise is zeker welkom. Wat zijn hiervoor gebruikelijk constructies? We zitten trouwens in Delft.

[Locke_]

Alhoewel zelf doen altijd het leukste is, moet je blijven afvragen wat de impact is als het “niet” werkt. Heb je voldoende kennis en ervaring om problemen op te lossen of ben je (bijna) direct overgeleverd aan fora en supportdesks.

In jouw situatie zou ik eens vrijblijvend gaan praten met bijvoorbeeld Wentzo om te kijken wat mogelijk is.

[Brahiewahiewa]

Damsplaat schreef op zondag 3 april 2022 @ 11:16:
...
Ergens denk ik van we zijn aan het groeien en het mag wat kosten dus hup uitbesteden aan de experts. Maar de vrees is dat we dan niet meer zelf in crontol zijn en voor iedere scheet iemand moet komen en dat je niet meer volledig flexibel bent. We groeien snel. Dat je bijvoorbeeld een dag moet wachten voor een firewall regel iof een nieuwe vlan is niet gewenst...

Als je zelf in control bent maak je dus ook zelf fouten. De typo "crontol" is daar een goed voorbeeld van ;o)
Punt is: die flexibiliteit kun je je niet meer veroorloven als je 60 man (m/v) aan het werk moet houden. Eén nieuwe vlan of één firewall regel heeft dan ineens de potentie om 60 werknemers een paar uur uit hun neus te laten vreten en dat kost gewoon keiharde pegels.

[Damsplaat]

Brahiewahiewa schreef op zondag 3 april 2022 @ 12:12:
[...]

Als je zelf in control bent maak je dus ook zelf fouten. De typo "crontol" is daar een goed voorbeeld van ;o)
Punt is: die flexibiliteit kun je je niet meer veroorloven als je 60 man (m/v) aan het werk moet houden. Eén nieuwe vlan of één firewall regel heeft dan ineens de potentie om 60 werknemers een paar uur uit hun neus te laten vreten en dat kost gewoon keiharde pegels.

Dat klopt, alhoewel de impact van geen netwerk voor nu beperkt is tot de licentie server en vpn en voor de rest kan iedereen met een telefoon hotspot uit de voeten. En een fout die ik zelf maak kan ik ook zelf herstellen. Move fast is wel een kernwaarde van het bedrijf, en dat blijft nig wel even zo

[Damsplaat]

Locke_ schreef op zondag 3 april 2022 @ 11:43:
Alhoewel zelf doen altijd het leukste is, moet je blijven afvragen wat de impact is als het “niet” werkt. Heb je voldoende kennis en ervaring om problemen op te lossen of ben je (bijna) direct overgeleverd aan fora en supportdesks.

In jouw situatie zou ik eens vrijblijvend gaan praten met bijvoorbeeld Wentzo om te kijken wat mogelijk is.

Heb je zelf ervaring met Wentzo? Ik ga het eens bekijken

[Locke_]

Damsplaat schreef op zondag 3 april 2022 @ 12:55:
[...]

Heb je zelf ervaring met Wentzo? Ik ga het eens bekijken

Ja als conculega, echter is networking bij ons geen core dienst. Ze leveren in mijn ervaring goed werk en zijn flexibel in afspraken over demarcatie.

Er zijn vast ook andere ervaringen, maar een vrijblijvende kennismaking kan altijd en is zeer leerzaam.

[Exhar]

Ik werk zelf bij een partij die dit soort klussen doen (oa voor Tweakers ); wij spreken met klanten (indien gewenst) af wat ze zelf 'mogen' wijzigen en 'wat niet'.

Dat heeft voornamelijk met verantwoordelijkheid te maken (klant sloopt het, wij mogen het kosteloos oplossen als 'incident') - maar als een klant aangeeft zelf een firewallregel te kunnen aanpassen en te betalen als wij moeten helpen - by all means.

Typisch gebruiken voor kleinere / kantoornetwerken Fortigate als firewalls en Juniper voor de switches/wireless. Daarmee zijn de kosten ook nog wel te overzien.

Denk bijvoorbeeld een een Fortinet FortiGate 100F als firewall, Juniper EX2300/3400 als switches en Mist AP32s voor wireless, als ik 't zo even lees.

[Damsplaat]

Exhar schreef op zondag 3 april 2022 @ 14:01:
Denk bijvoorbeeld een een Fortinet FortiGate 100F als firewall, Juniper EX2300/3400 als switches en Mist AP32s voor wireless, als ik 't zo even lees.

Ik zie een hop termen in de brochures, maar ik vind het moeilijk om exact de meerwaarde van een FortiGate 100F te begrijpen. Zou je dat wat kunnen toelichten, of waar vind ik daar meer over. Ik wil me er graag meer in verdiepen. Het contrast met de huidige fritzbox lijkt in ieder geval niet groter te kunnen zijn

En klopt het dat je om zo een fortinet/juniper/mist setup te beheren je dan drie "single panes of glass" hebt, plus nog een appart systeem voor camera's?

[Exhar]

[quote]Damsplaat schreef op zondag 3 april 2022 @ 15:25:
[...]


Ik zie een hop termen in de brochures, maar ik vind het moeilijk om exact de meerwaarde van een FortiGate 100F te begrijpen. Zou je dat wat kunnen toelichten, of waar vind ik daar meer over. Ik wil me er graag meer in verdiepen. Het contrast met de huidige fritzbox lijkt in ieder geval niet groter te kunnen zijn

Fortigate is het smaakje, de 100F geeft enkel aan hoeveel 't ding aan kan. Als je meet throughput nodig hebt (of interfaces etc), ga je naar 'n groter model. Tussen de verschillende modellen zit geen verschil in features (nouja, er is verschil - maar laten we het makkelijk houden).

Het grote verschil tussen een Fritzbox en een echte firewall, is dat een echte firewall veel specifiekere regels kan aanmaken en ook betere/diepere inspectie van het verkeer kan doen. Tot zo ver kan je ook een andere firewall pakken (zoals een Juniper SRX of een Palo Alto), maar 't voordeel van een Fortigate is dat ze redelijk betaalbaar zijn (in vergelijking met een Palo) en een heel stuk makkelijker te beheren zijn voor de meeste mensen (de GUI is een stuk beter dan van een Juniper SRX, bijvoorbeeld).

Een belangrijk deel van een Fortigate, voor op kantoor, is de UTM feature.

Damsplaat schreef op zondag 3 april 2022 @ 15:25:
[...]
En klopt het dat je om zo een fortinet/juniper/mist setup te beheren je dan drie "single panes of glass" hebt, plus nog een appart systeem voor camera's?

Ja, hoeveel het er 2 zijn (1 voor Forti, 1 voor Juniper/Mist (Mist is een merk van Juniper)). In de praktijk heb je er bijna geen omkijken naar, zeker niet als je het eea. in een monitoringssyteem hebt gezet (wat je bijvoorbeeld ook gebruikt om je servers of applicaties te monitoren).

Natuurlijk moet je de spullen wel regelmatig updaten, zeker "internet facing" spul (zoals je firewall) - en dat is waar het "complex" wordt. Of nouja, complex... Niet iedere software release is even stabiel, dat herken je vast als software engineer. "Complex" is dus voornamelijk de ervaring hebben welke release je wel/niet kan pakken en tegelijkertijd veilig te zijn.

[Damsplaat]

Thanks voor de toelichting. Ik kan in mijn edgerouter ook exact specificeren welk verkeer (source/destination/protocol etc) ik tussen welke vlans wil toestaan en wat niet. Maar gaat een Fortinet nou uit zichzelf aan de bel trekken als er een indringer op je netwerk zit of moet je daar weer extra honepots e.d. voor inrichten?

Exhar schreef op zondag 3 april 2022 @ 15:42:
[...]
en ook betere/diepere inspectie van het verkeer kan doen
[...]

Er vanuit gaande dat al het verkeer versleuteld is, en ik geen lokale MitM attack op all mijn collega's wil doen, wat valt er dan nog te inspecteren? Alleen meta data als protocol en source/destination toch? En daarvoor heb je ook niet echt iets bijzonders nodig.

Je noemt dat je ook bij Fortinet/Cisco e.d. regelmatig moet updaten maar dat er soms brakke updates tussen zitten, ik zou hopen dat als je betaald voor "enterprise grade' je de firewall op udate&forget kan zetten. Maar als je dan nog steeds af en toe gezeik hebt...

[Exhar]

Damsplaat schreef op zondag 3 april 2022 @ 15:56:
Thanks voor de toelichting. Ik kan in mijn edgerouter ook exact specificeren welk verkeer (source/destination/protocol etc) ik tussen welke vlans wil toestaan en wat niet. Maar gaat een Fortinet nou uit zichzelf aan de bel trekken als er een indringer op je netwerk zit of moet je daar weer extra honepots e.d. voor inrichten?

Afhankelijk van de licentie, ja.

Damsplaat schreef op zondag 3 april 2022 @ 15:56:
[...]

Er vanuit gaande dat al het verkeer versleuteld is, en ik geen lokale MitM attack op all mijn collega's wil doen, wat valt er dan nog te inspecteren? Alleen meta data als protocol en source/destination toch? En daarvoor heb je ook niet echt iets bijzonders nodig.

Het is niet ongewoon (maar ook niet heel gebruikelijk, voor er een giga discussie ontstaat) om een Forti met het SSL verkeer mee te laten kijken, en een certificaat middels GPOs te pushen.

En bijvoorbeeld meekijken met het DNS verkeer om te bepalen of er toevallig contact wordt gelegd met een C2 server is ook iets wat niet heel gek is. Maar 't blijft metadata, zonder MiTM ja

Damsplaat schreef op zondag 3 april 2022 @ 15:56:
Je noemt dat je ook bij Fortinet/Cisco e.d. regelmatig moet updaten maar dat er soms brakke updates tussen zitten, ik zou hopen dat als je betaald voor "enterprise grade' je de firewall op udate&forget kan zetten. Maar als je dan nog steeds af en toe gezeik hebt...

Verwacht je echt dat software altijd 100% goed werkt?

Helaas is met de enterprise meuk het ook 'hit or miss' (hoewel het bij de ene vendor erger is dan de andere). Het voordeel van enterprise spul is dat je er een supportcontract op hebt. Zolang je een 'supported' release draait, zal een vendor een workaround/bugfix regelen. Afhankelijk van de prio gaat dat zelfs nog vrij vlot ook.

En als 't ding stuk gaat (fysiek), 'krijg' je een nieuwe (als je 't juiste contract hebt).


Maar, uiteindelijk zal er qua basic features vast niet veel verschil tussen een Edgerouter en een enterprise-firewall zitten. Heck, je kan ook nog kijken naar Mikrotik, dat zijn ook leuke doosjes met veel features en hele redelijke prijzen. Maar ook daar geldt: support "tot aan de deur". Dat kan een keuze zijn,

[ Voor 4% gewijzigd door Exhar op 03-04-2022 17:12 ]

[Frogmen]

Als ik je vraag zo lees denk ik zelf dat het goed is om intern eerst eens een sessie te doen om alle wensen maar vooral ook risico's te identificeren. Voordeel hiervan is dat iedereen zich er ook bewust van wordt en zich ernaar gaat gedragen hopelijk.
Je kan prima een externe partij inhuren en het dicht laten zetten om vervolgens te zien dat collega's zelf aan de slag gaan met kabels telefoons en mifi omdat ze iets nodig hebben en snel. Dat wil je niet.
Na zo'n sessie snapt ook het management de wensen en valkuilen. Kortom lijkt misschien wel verspilde tijd zo'n sessie maar dat verdien je daarna hard terug.

[Damsplaat]

Bedankt voor al het meedenken iedereen hier! Nog een vraag, wat zijn de ballpark figures voor een extern gemanaged netwerk? Zit ik er ver naast met 1000€/maand?

[Frogmen]

Lijkt mij overdreven maar het zal sterk afhangen van het aantal aanpassingen en de complexiteit van het geheel.

[dennisdennis12]

Voor de firewalling zou ik zeker ook niet kiezen voor unifi, hoe goed ze ook zijn op wifi gebied, op firewalling gebied vind ik ze gewoon heel erg matig.

Op het gebied van firewalling zou ik kiezen voor een van de bekende merken: fortinet (f series, ik denk dat je uitkomt op de 60f), sonicwall (tz x70 series, waarschijnlijk een tz370) of een watchguard. (er zijn nog wel een paar meer merken, maar dit zijn veel gebruikte merken). Ik twijfel echter of je dit wel zelf moet willen beheren, om een firewall goed en veilig in te stellen moet je echt wel de benodigde kennis hebben (zeker ipv6 is vaak niet zo straight-forward als het lijkt). Maar, als het niet werkt, dan wil je ook gewoon direct ondersteuning hebben. Tevens zou ik ook kijken naar minimaal een backup verbinding (andere provider of 4g/5g), en afhankelijk van hoe cruciaal het netwerk is, ook een HA setup (dus een tweede firewall als back-up).

Op het gebied van switching zijn er meerdere goede merken. De bekendste zijn natuurlijk HP/Aruba, met de 18xx / 19xx, of eventueel de 25xx series, junipier en Cisco (maar eigenlijk wil je bij Cisco de echte Cisco's dus de catalyst series, die zijn wel een stuk duurder en lastiger in te stellen). Of eventueel Cisco Meraki, maar dat is wel echt een behoorlijk stuk duurder (zeker omdat je verplicht bent licenties te nemen).

Maar, er zijn natuurlijk meer merken, zoals unifi.

Op het gebied van WiFi zijn er natuurlijk ook meerdere merken. De bekende, echte a-merken zijn: Cisco, Aruba, Ruckus en Aerohive. Maar, afhankelijk van hoe mission-critical het is, zou je natuurlijk ook kunnen kiezen voor een wat meer budget oplossing, zoals Aruba InstantOn, Unifi, Zyxel en TPLink Omdat.

[Douweegbertje]

Voor een dedicated systeembeheerder is het bedrijf denk ik nog te klein, maar externe expertise is zeker welkom. Wat zijn hiervoor gebruikelijk constructies? We zitten trouwens in Delft.

Een bedrijf zoeken waar je nu eigenlijk te klein voor bent. Een gedegen bedrijf gaat de potentie zien en je op dit traject helpen ook al is dat niet hun segment. Dit omdat je gaat groeien en zodra je bent gegroeid dat ze dan een fijne partner hebben.

Het voordeel is dat jij weet dat het bedrijf wel om je geeft en dus met je mee blijft denken. Daarnaast kan je dus nog ruim groeien met het bedrijf zonder dat je over 1-2 jaar opeens een ander bedrijf moet zoeken omdat je veel te groot bent geworden voor het andere bedrijf.

Dus dat is meer mijn algemene tip zeker voor startups die groeien, zoek een bedrijf NU waar je eigenlijk pas over 3-4 jaar wilt/moet gaan zitten.

[Drardollan]

Ik zou iemand anders aan het werk zetten, een beetje zelf prutsen is leuk als je met 3 man bent. Maar dit is een serieus bedrijf als ik het zo lees wat de knutsel en frutsel fase ontgroeid is. Er zijn serieus mensen (medewerkers) en klanten van jullie afhankelijk.

Een eigen beheerder zou ook een goed idee kunnen zijn. Ik werk in een bedrijf van soortgelijke grote en gemiddeld genomen is 40 uur per week teveel qua uren om te vullen. Maar voor mij biedt dit juist extra kansen. Zo werk ik geen 40 uur en heb ik de tijd om er een klein eigen bedrijfje bij te hebben, heb ik voldoende tijd om kennis op peil te houden of te brengen, kan ik projecten zonder al te veel tijdsdruk uitvoeren en kan ik mij ook met andere (in mijn ogen leuke en interessante) werkzaamheden bezighouden.
Voor mijn werkgever is het grote voordeel dat ze een vaste beheerder hebben die van de hoed en de rand weet (inhuur/uitbesteden werkt niet voor ieder bedrijf), naast de eerder genoemde voordelen aan mijn kant die voor hen ook gelden natuurlijk.

[Exhar]

Damsplaat schreef op zondag 3 april 2022 @ 18:29:
Bedankt voor al het meedenken iedereen hier! Nog een vraag, wat zijn de ballpark figures voor een extern gemanaged netwerk? Zit ik er ver naast met 1000€/maand?

EUR1000/maand hangt heel erg af van je eisen en wensen. Denk aan 24x7 support of 8x5 support; 24x7 incident opvolging of 8x5, field engineer erbij om HW te vervangen of doe je het zelf; heb je 1 firewall en 1 switch of zijn het 2 firewalls en 38 switches - zulke dingen maken nogal een verschil.

Maar, 1 a 2 firewalls, 2 a 3 switches met 24x7 incidentopvolging, dan is EUR1000/maand aan de hoge kant (de helft moet do-able zijn lijkt mij)

[nelizmastr]

Exhar schreef op zondag 3 april 2022 @ 19:39:
[...]


EUR1000/maand hangt heel erg af van je eisen en wensen. Denk aan 24x7 support of 8x5 support; 24x7 incident opvolging of 8x5, field engineer erbij om HW te vervangen of doe je het zelf; heb je 1 firewall en 1 switch of zijn het 2 firewalls en 38 switches - zulke dingen maken nogal een verschil.

Maar, 1 a 2 firewalls, 2 a 3 switches met 24x7 incidentopvolging, dan is EUR1000/maand aan de hoge kant (de helft moet do-able zijn lijkt mij)

Dat is ook sterk afhankelijk van de supportvraag. Onder de €85 ex BTW per uur ga je bij uitbesteding niet komen en dat is dan overdag voor 20.00 en niet op zondag, want dan komt er al vaak 50 resp. 100% bij per uur.
Nu zal de gemiddelde MSP daar prima kant en klare service contracten voor in de catalogus hebben zitten, maar 24x7 is echt een premium en niet standaard.

[Exhar]

nelizmastr schreef op zondag 3 april 2022 @ 21:31:
[...]


Dat is ook sterk afhankelijk van de supportvraag. Onder de €85 ex BTW per uur ga je bij uitbesteding niet komen en dat is dan overdag voor 20.00 en niet op zondag, want dan komt er al vaak 50 resp. 100% bij per uur.
Nu zal de gemiddelde MSP daar prima kant en klare service contracten voor in de catalogus hebben zitten, maar 24x7 is echt een premium en niet standaard.

Daarom heb ik 't ook expliciet over incidentopvolging: storingen. Met 1 a 2 firewalls en 2 a 3 switches, waar de verantwoordelijkheid/beheer bij de MSP ligt, moet 't gek worden als er meer dan 1 incident per maand is (gemiddeld).

't Verschil is natuurlijk ook of je een MSP kiest die 24x7 'eyes on the screen' heeft (en dus makkelijk een kleine klant erbij kan pakken) of eentje waar er eigenlijk geen weekend/nachtbezetting is

[eLScha]

Zonder kennis van zaken over de technische kant lijkt me dit organisatorisch een taak die (tenminste deels) uitbesteed zou moeten worden. Een eigen systeembeheerder is ook op vakantie, heeft ook weekend en gaat 's avonds ook wel eens uit eten. Je kunt niet verwachten dat 1 persoon 24/7/365 stand-by staat.

Daarnaast heb je het over sommige collega's die toegang moeten krijgen tot sommige systemen. Dat betekent dat er regelmatig toegangsrechten zullen wijzigen. Met de juiste scripts is dat niet veel werk, maar het moet gebeuren en vaak ook redelijk snel. En iemand zal die scripts moeten beheren en aanpassen wanneer nodig. Daar heb je waarschijnlijk geen trek in naast je normale werk.

En stel nou dat na een stroomstoring de systemen toch niet up komen? Dan zal iemand het aan moeten pakken.

[dion_b]

eLScha schreef op maandag 4 april 2022 @ 00:06:
Zonder kennis van zaken over de technische kant lijkt me dit organisatorisch een taak die (tenminste deels) uitbesteed zou moeten worden. Een eigen systeembeheerder is ook op vakantie, heeft ook weekend en gaat 's avonds ook wel eens uit eten. Je kunt niet verwachten dat 1 persoon 24/7/365 stand-by staat.

Daarnaast heb je het over sommige collega's die toegang moeten krijgen tot sommige systemen. Dat betekent dat er regelmatig toegangsrechten zullen wijzigen. Met de juiste scripts is dat niet veel werk, maar het moet gebeuren en vaak ook redelijk snel. En iemand zal die scripts moeten beheren en aanpassen wanneer nodig. Daar heb je waarschijnlijk geen trek in naast je normale werk.

En stel nou dat na een stroomstoring de systemen toch niet up komen? Dan zal iemand het aan moeten pakken.

Dit. Naast pure roostering, waardoor in eigen beheer doen pas interessant wordt vanaf grootte waarbij je minstens 4 FTE erop kun zetten, is er een enorm verschil in werk tussen 'business as usual' en crisismomenten. Hopelijk gebeurt dat laatste niet zo vaak, dus grootste deel van de tijd zal grootste deel van de capaciteit met duimen zitten te draaien. De amateur/startup-oplossing om de benodigde capaciteit uit reguliere werkzaamheden te trekken werkt vanaf bepaald moment niet meer, men is te gespecialiseerd, je krijgt echt aparte workflows, waardoor mensen die nul impact hebben van een storing toch uit de lijn moeten om het te fixen, en de IT-zaken worden ook ingewikkelder dan die ene NAS rebooten. Oh, en puur financieel: de tijd van een vakvolwassen engineer of vergeljikbaar is simpelweg te waardevol om te verspillen met accounts aanmaken of die ene halve digibeet uit te leggen hoe hij iets simpels doet. Tenslotte gaat security steeds belangrijker woren en dan wil je niet dat verantwoordelijkheid diffuus bij meerdere mensen belegd is.

Eigenlijk zou het altijd vuistregel moeten zijn: werkplekbeheer en IT infra uitbesteden bij MKB, behalve als je zelf als bedrijf in exact die werkgebieden actief bent.

[core_dump]

dennisdennis12 schreef op zondag 3 april 2022 @ 18:47:
Voor de firewalling zou ik zeker ook niet kiezen voor unifi, hoe goed ze ook zijn op wifi gebied, op firewalling gebied vind ik ze gewoon heel erg matig.

Op het gebied van firewalling zou ik kiezen voor een van de bekende merken: fortinet (f series, ik denk dat je uitkomt op de 60f), sonicwall (tz x70 series, waarschijnlijk een tz370) of een watchguard. (er zijn nog wel een paar meer merken, maar dit zijn veel gebruikte merken). Ik twijfel echter of je dit wel zelf moet willen beheren, om een firewall goed en veilig in te stellen moet je echt wel de benodigde kennis hebben (zeker ipv6 is vaak niet zo straight-forward als het lijkt). Maar, als het niet werkt, dan wil je ook gewoon direct ondersteuning hebben. Tevens zou ik ook kijken naar minimaal een backup verbinding (andere provider of 4g/5g), en afhankelijk van hoe cruciaal het netwerk is, ook een HA setup (dus een tweede firewall als back-up).

Ik vind dit een beetje gevaarlijk advies. IMO is er maar één type firewal de goede oplossing, namelijk de beste.. Security is niet iets wat je "een beetje" moet doen. Óf je beveiligt de boel, óf niet, maar niet een beetje..

Trap er een PA-220 in en laat de rest bij voorkeur links liggen..

[dennisdennis12]

@core_dump Palo Alto is inderdaad erg goed, maar komt ook met een prijskaartje. Maar als je echt maximale Security wil, dan moet je nog veel verder gaan. Drie factor authenticatie, volledig afgesloten kantoren ook met meerfactor authenticatie, perfect ingesteld beveiligingsbeleid.

In de praktijk is het echter zo dat voor veel bedrijven een goede beveiliging nodig is, maar het hoeft echt niet het beste nodig te zijn. En dat gaat veel verder dan alleen een firewall, als je een perfecte firewall hebt maar de online accounts niet goed beveiligt heeft het nog allemaal weinig zin.

[Damsplaat]

Vergeleken met huiduige staat is alles een upgrade. Wat mij de belangrijkste security upgrades lijken zijn:

- in het algemeen verbieden van communicatie tussen clients, enkel client-server en client-internet
- printers e.d. op appart vlan zonder intenet toergang
- chromecasts e.d. op eigen vlan met precieze fireall rules

Ik heb ernstige twijfel over de meerwaarde van die fancy intrusion detection opties die alle vendors biede

[Frogmen]

@Damsplaat Heb je een risico analyse gemaakt, hierdoor krijg je inzicht in risico's en waar deze liggen. Zonder dat ben je bezig met aannames naar beste eer en geweten maar zeker gezien het feit dat jullie (als ik de posts zo juist interpreteer) ontwikkelaars van software en hardware, met veel verschillende zaken bezig zijn die waarschijnlijk niemand volledig overziet. Hierdoor is de kans groot dat je of de juiste maatregelen niet neemt of juist teveel waardoor mensen gehinderd worden in hun werk en creatief worden.
Om een voorbeeld te noemen in een kleine vestiging van een multinational doen specialistisch werk, kleine partijen worden verwerkt met allemaal eigen procedures, hiervoor is er in het verleden een simpele lokale webserver opgezet waarop Word documenten worden gedeeld voor gebruik etc. Er is geen echte rechten structuur er wordt wel dagelijks gebackupped. De hardware moet vervangen worden en corperate IT roept moet anders mag niet meer etc. Een half jaar verder en er is nog niets gebeurt, men komt er niet uit of komt niet met een net zo goed werkbare oplossing.
Wat is het probleem, security is volledig doorgeslagen waardoor het niet meer werkbaar is of de kosten en onderhoud onbetaalbaar. Soms moet je ook durven zeggen als iets gelekt wordt of verdwijnt nou en. Dan beginnen we opnieuw of dan hebben we dat archief niet meer. Zijn mails van 3 jaar terug echt nog zo cruciaal of eigenlijk niet. Juist die afwegingen met je met elkaar maken. Kost ook tijd, maar uiteindelijk bespaar je er ook heel erg veel geld en/of ergernis mee.

[Damsplaat]

We hebben behalve een licentie server helemaal niks draaien in het netwerk. Er valt in de basis dus ook niet zoveel te beheren. Email en filesharing is alllemaal via cloud diensten en dat zal voorlopig nog wel even zo blijven. 2FA afdwingen doet dan meer dan een firewall

[jadjong]

Damsplaat schreef op dinsdag 5 april 2022 @ 09:02:
Vergeleken met huiduige staat is alles een upgrade. Wat mij de belangrijkste security upgrades lijken zijn:

- in het algemeen verbieden van communicatie tussen clients, enkel client-server en client-internet
- printers e.d. op appart vlan zonder intenet toergang
- chromecasts e.d. op eigen vlan met precieze fireall rules

Ik heb ernstige twijfel over de meerwaarde van die fancy intrusion detection opties die alle vendors biede

Ik denk dat je op termijn heel blij gaat worden van een SD-access achtige oplossing. Dan hoef je niet meer na te denken over de configuratie van poorten en SSID's in vlans. Prikt iemand zijn knutselserver in de verkeerde poort, dan zit de nieuwe poort ook in het knutsel-vlan want de server moet zich eerst identificeren (met zijn knutsel-ID) voordat er verkeer mogelijk is.
Developer die bij de knutselserver wil komen vraagt toegang aan jou en heeft vervolgens toegang via draad, wifi of vpn.

[DVX73]

Je bent nu heel erg bezig met operationele en tactische beslissingen te nemen.
Idealiter neem je tactische besluiten op basis van strategisch beleid.

Voor nu is het belangrijk om te bedenken besteden we (op termijn) alles uit, blijven we zelf alles doen, of iets tussen deze uitersten in.

Verder is ook op korte termijn belangrijk op informatiebeveiliging beleid te maken. Liefst ligt hieraan een risicoanalyse ten grondslag. Anders is de kans groot dat je teveel of te weinig middelen besteed.

Dit beleid zal door de directie opgesteld moeten worden.

Stel je gaat alles uitbesteden, dan moet je gaan zorgen voor goede supply chain management.

Als je alles zelf gaat doen, moet je de juiste mensen aannemen.

De discussie over welk merk/type netwerkapparatuur kan je pas goed voeren als je weet wat je technische eisen zijn, welke op hun beurt weer voortkomen uit strategisch beleid.

[ Voor 15% gewijzigd door DVX73 op 05-04-2022 19:47 ]