Modem / Routerkeuze klein bedrijf

[Koozza]

Beste!

Ik ben werkzaam in een zorg bedrijf en doe hiervoor de IT (Dit is niet mijn hoofdfunctie ). Ik ben zelf wel technisch aangelegd en kom een heel eind, maar er toch iets wat aan mij blijft knagen en ik hoor graag jullie mening!

Op dit moment gebruiken wij op kantoor Bonded VDSL van KPN. Wij hebben dus ook een Experiabox 10, met daar achter een TP-Link managed switch (TL-SG3210XHP-M2 v2.0) en ene OC200. Nu wil ik bezig gaan met VLAN's en de algemene veiligheid van het kantoornetwerk.

Nu is mijn eerste stap om er een PFSense / Opnsense router tussen te zetten. Deze kan mooi eventuele firewalling verzorgen en het routeren tussen de VLAN's. Denken jullie dat dit de juiste zet is? Of is het beter om in het TP-Link OMADA Systeem te blijven en hier een gateway voor te kopen? De reden waarom ik zelf de PF/OPNSense router prefereer is vanwege ondersteuning in de toekomst.

De tweede vraag komt voort uit de Experiabox. Omdat wij Pairbonding gebruiken krijgen wij geen firmware updates vanuit KPN en is de huidige firmware versie van een paar jaar geleden. Aangezien toch al het verkeer hier doorheen loopt voelt dit nu wel als een zwakke plek in het netwerk. Mijn gevoel zegt dat deze vervangen door een uitvoering: ZyXEL VMG4005-B50A - VDSL2 17a Bonding and 35b Single Line Bridge... een stuk veiligere keuze is, maar deze kan ik niet helemaal onderbouwen. Wat denken jullie hierin? De Experiabox is wel erg stabiel, waar ik bij de ZyXEL wisselende verhalen lees.

Ik hoor graag hoe jullie tegen deze casus aankijken en welke keuzes je zou maken!

[Yariva]

Het idee om de modem de DSL functionaliteit af te handelen en daarnaa iets degelijks zoals een firewall of router te plaatsen is zeker logisch. Het mooiste is wel om dan iets van bridge functionaliteit in te schakelen zodat het publieke adres land op de router of firewall achter de modem komt.

Ik denk dat iedere box vandaag de dag ongeveer wel kan wat je wil. De vraag is wat je eisen vanuit het bedrijf zijn.

Hoeveel geld gaat er verloren zodra die box stopt met werken? En hoeveel budget heb je voor dit project? Je heb het over een kantoornetwerk. Zodra de box besluit om te stoppen met werken, hoeveel FTE zitten dan in de problemen voor x uur? Hoeveel data gebruiken deze FTE? Wat zijn de standaard applicaties en wil je hier beter gericht voor vulnerabilities naar zoeken? IPv4 of / en IPv6? Kortom, ik mis echt veel informatie uit je TS.

Zo te horen is er nu veel enkelvoudig / single point of failures. Ik lees ook dat je werkzaam bent in de zorgsector. Dat is neurotisch wel een setor waar geld niet het eerste probleem is en er dus ook vaak budget vrij kan worden gespeeld voor een goede betrouwbare en veilige oplossing. Kantooromgeving of omgeving met MRI's. Betrouwbaarheid staat voorop.

Lang verhaal kort: ik lees beveiliging, betrouwbaarheid, VLANs, Kijk eens naar een Fortigate met een support contractje voor updates en 8*5 / 24*7 ondersteuning mits er iets kapot gaat. Kan je leuke dingen mee doen met een basis netwerk, ondersteund alles wat je omschrijft en meer zoals sandboxing, IPS / IDS, Antivirus etc. met een NGFW licentie erop. Kan je tegelijk uitlezen door externe systemen / logging / SNMP / you name it voor verdere authenticatie. Tegelijk ook mogelijkheden voor dingen zoals SSL VPN / IPSEC en SSO zodat remote gebruikers kunnen inloggen en remote authenticeren.

Mits er nog meer budget is kan je ook kijken naar Palo Alto. En mits budget een serieus probleem is tja dan moet je uitwijken naar goedkopere opties zoals een Opnsense setup op een oude PC die in de hoek zit te stoffen. Maar bedenk je wel echt goed wat voor implicaties dit heeft voor de gebruikers / SLA wanneer er iets gebeurt. Jou kop rolt eraf mits je hier eindverantwoordelijk voor ben en de business staat stil.

Verdeer: stuur niet op gevoel. Stuur op harde data. Monitor je vDSL link en kijk wat erop gebeurd. Heb je geen drops / DSL statistieken die diep in het rood staan / een lijn die voor 85% in gebruik is? Waarom zou je dan in hemelsnaam wat doen aan die modem? Plus is die modem niet in beheer van KPN en zijn zij hier verantwoordelijk voor? In dat geval lekker contact opnemen met KPN voor meer informatie.

[ Voor 16% gewijzigd door Yariva op 28-04-2025 07:53 ]

[Koozza]

Bedankt voor je reactie!

Helaas zijn wij een bedrijf waar het geld niet tegen de plinten klotst Op dit moment is de Experiabox ook een Single Point of failure. Wij hebben geen medische apparatuur op kantoor staan, en werken grotendeels in een private cloud, offsite. Dus zelfs al zou alles uitvallen is dat nog op te lossen met 4G verbindingen.

De experiabox doet het prima, maar hij kan verder ook niet in Bridge Modus. Mijn zorg is dat het een kwetsbaarheid vormt in het netwerk omdat hij niet meer geupdate wordt en er ook niet echt een alternatief is vanuit KPN. Maar daarover zal ik ook contact opnemen met KPN.

Ik ga wel onderzoek doen naar Fortigate, want dat klinkt wel als een no-brainer.

[Ben(V)]

Waarom zou je geen updates krijgen als je pairbonding gebruikt? Ik zie het verband niet.

Verder zie ik geen reden waarom die Experiabox een zwak punt zou zijn, zeker niet als je er zelf een firewall achter zet.
Die firewall is dan je beveiliging die je zelf in de hand hebt en die Experiabox slechts een doorgeefluik.

Bedenk wel dat bij storingen je gewoon KPN de boel kan laten oplossen, maar als je een eigen modem inzet KPN zegt "zoek het maar uit".

En een Pfsense is echt een veel betere keuze dan een Omada.

[Frogmen]

Ik zou zeker ook naar een Draytek modem kijken deze zijn er inclusief VLan opties etc. Zijn zeer stabiel en erg goed. Maar ik zou mij ook zeker door een bedrijf bij laten staan in deze. Het is en blijft toch wel een specialisme en als zorg bedrijf is je reputatie schade bij een hack heel erg groot.

[Yariva]

Koozza schreef op maandag 28 april 2025 @ 08:32:
Bedankt voor je reactie!

Helaas zijn wij een bedrijf waar het geld niet tegen de plinten klotst Op dit moment is de Experiabox ook een Single Point of failure. Wij hebben geen medische apparatuur op kantoor staan, en werken grotendeels in een private cloud, offsite. Dus zelfs al zou alles uitvallen is dat nog op te lossen met 4G verbindingen.

De experiabox doet het prima, maar hij kan verder ook niet in Bridge Modus. Mijn zorg is dat het een kwetsbaarheid vormt in het netwerk omdat hij niet meer geupdate wordt en er ook niet echt een alternatief is vanuit KPN. Maar daarover zal ik ook contact opnemen met KPN.

Ik ga wel onderzoek doen naar Fortigate, want dat klinkt wel als een no-brainer.

Duidelijk, misschien is dan downtime acceptabel. Maar zijn andere factoren zoals beveiliging, exploits tegenhouden zodat er geen ransomware van 1 systeem overhopt naar de ander revevanter. Mocht je on-prem nog wat hosten of wat IOT apparatuur hebben helpt die segmentatie (en de juiste FW regels implementeren) al een boel.

Afhankelijk van de hoeveelheid FTE / de data die door de pijp heen gaat kan je al met een kleine unit overweg die basis IPS / antivirus capabilities heeft. Verder ook eens met eerdere opmerkingen, mocht je een deel hiervan willen uitbesteden voor oplevering zijn er wel wat toko's die kunnen helpen voor oplevering en daarna het beheer aan jou overdragen. Zeker voor een zorg omgeving lijkt mij een degelijke configuratie van de apparatuur, ongeacht wat je gaat kopen, erg belangrijk.

[ Voor 12% gewijzigd door Yariva op 28-04-2025 10:10 ]

[FredvZ]

Koozza schreef op maandag 28 april 2025 @ 08:32:
Op dit moment is de Experiabox ook een Single Point of failure. Wij hebben geen medische apparatuur op kantoor staan, en werken grotendeels in een private cloud, offsite. Dus zelfs al zou alles uitvallen is dat nog op te lossen met 4G verbindingen.

Als in de (private) cloud werkt: Wat valt er dan te halen op jullie netwerk dat het de moeite loont om allerlei geavanceerde firewalls in huis te halen?

De experiabox doet het prima, maar hij kan verder ook niet in Bridge Modus. Mijn zorg is dat het een kwetsbaarheid vormt in het netwerk omdat hij niet meer geupdate wordt

Ook dan is het de vraag: stel iemand weet een kwetsbaarheid te expoiten, wat valt er dan te halen?