Netwerk layout probleem

[Profidiam]

Ik heb vandaag de opdracht gekregen om 2 netwerken aan elkaar te koppelen. Nu vraag ik mij af hoe ik dit het beste doe. Dit is de huidige situatie :

code:

--------------|
|             |
|             |
|   LAN 2     |
|             |
|             |
--------------
       |
     Router
       |
   Internet 1


--------------|            |----------|
|             |            |  PDC     |
|             |------------|  SMTP    |---Router -- Internet 3
|  LAN 1      |            |          |
|             |            |----------|
|             |
--------------
       |
     Router
       |
   Internet 2

Er zijn dus 2 netwerken. Die moeten gekoppeld worden. LAN 1 heeft iprange 192.168.213.* , LAN 2 10.10.1.* , ze hebben allebei hun eigen gateway (internet) en de DNS server is die van de provider.

Nu is het de bedoeling dat er op de "koppeling" wel moet kunnen gefirewalld worden, op poort en ip (src & dst). De default gateway zou niet mogen gewijzigd worden, omdat elk segment zijn eigen internet verbinding moet behouden. Internet 3 zal uitsluitend gebruikt worden voor de smtp server (die ik al ingericht heb).

Dit is een situatie in een school, 160 pc's. Ikzelf zat te denken om alles in het 10.10.1.* subnet te gooien, als DNS server de PDC te gebruiken, en als link tussen de 2 lans een Bridged firewall (linuxbakje) met 2 netwerkkaarten.

Zit ik met deze setup zo goed, of moet dit netwerktechnisch op een andere manier opgelost worden ? De mensen in LAN 1 moeten wel intern naar 2 kunnen, maar dan alleen naar src adressen en poorten die ik opgeef (veiligheid).

Ik dacht aan bridged firewall, hoe zouden jullie dit oplossen, zijn er meer elegante oplossingen ?

Bestaan er ook hardwarematige bridged firewalls ? Ik had gedacht om dit met linux te doen, maar naar onderhoud toe is hardwarematig iets beter (schoolsituatie)

[kevlar]

wat jij met een hardwarematige bridged firewall bedoeld kun je het beste een proxy voor gebruiken denk ik.
doen wij ook op het werk. en die gewoon goed beveiligen.

[Profidiam]

klein schopje , misschien dat nu iemand iets weet ?

[Jorn]

kevlar schreef op 11 oktober 2002 @ 20:38:
wat jij met een hardwarematige bridged firewall bedoeld kun je het beste een proxy voor gebruiken denk ik.
doen wij ook op het werk. en die gewoon goed beveiligen.

Nee, hij bedoeld echt een koppeling met firewall rules, niet gewoon een firewall.
Ik zat ook meteen aan die bridge te denken toen ik de tekening zag, lijkt me de beste oplossing.
Hoe je die bridge het beste op kunt zetten met welk os enzo weet ik niet, ikzelf gebruik als onzichtbare bridge altijd freesco, maar dat lijkt me voor een school niet zo geschikt.
Misschien een hardwarebridge van cisco ofzoiets?

[Profidiam]

ja, misschien wel. Ik zit echt te twijfelen tussen bridge van cisco (bestaan die dingen in 2 poorten ?) Of een debian bak met bridge in kernel dingetje.

Heeft iemand soms ervaring met een van de 2 en tips waarom ik die dan zou nemen ?

[Koffie]

Move > PNS

[Verwijderd]

als je de 2 netwerken in 1 subnet gooit, moet je er wel rekening mee houden dat je natuurlijk bijhoorlijk wat broad cast verkeer krijgt.
Waarom niet 2 subnetten, en routeren dmv een router ( ) ?

dit valt toch ook met firewall's op te lossen?

[Predator]

Je wilt 2 subnetten koppelen ?
Waarom wil je dan een brigding firewall ?
Je moet zoiezo dan nog een router voorzien tussen beide.

Plaats een gewone routing firewall.
De default gateway hoeft helemaal niet gewijzigd te worden.
Je zet gewoon de routes voor beide subnetten.

[Profidiam]

Ik kan kiezen, ofwel maak ik 2 subnetten, ofwel maak ik 1 subnet. Als ik 1 subnet heb, dan stop ik in 1 knooppunt een bridged firewall, als ik dit met 2 subnetten doe, dan via ene router.

Predator schreef op 15 oktober 2002 @ 15:57:
Plaats een gewone routing firewall.
De default gateway hoeft helemaal niet gewijzigd te worden.
Je zet gewoon de routes voor beide subnetten.

Dit is dus de oplossing als ik 2 subnetten maak.

Ik veronderstel dat naar later onderhoud 2 subnetten maken beter is ?

[asusk7m550]

Waarom zou je niet twee subnetten doen, als je twee subnetten doet hoef je niet alles meer om te zetten op de twee netten.

Ik denk zelf dat de makkelijkste oplossing is het plaatsen van een router (software of hardware matig maakt niet uit, ik zou voor een linux computertjes gaan omdat ik daar fijner mee kan werken, en ik vind dat je daar meer controle over hebt).

[MADSMILE]

Laat het gwoon 2 subnetten , connect de sites via 2 routers . Je kan hiervoor ook 2 drayteks gebruiken . Deze zijn makkelijk als VPN over het internet in te stellen .

[Verwijderd]

1 router/firewall lijkt me voldoende... misschien hoef je niet eens iets aan te schaffen als je nog een ethernet portje over hebt op 1 van de routers die je al hebt...
anders een cisco 2500 series aanschaffen... werken perfect. (je kan blokken op port en ip mbv van accesslist, maar het is geen firewall)

[Profidiam]

Dankzij veel info van jullie, ben ik tot de conclusie gekomen dat ik eigenlijk verkeerd bezig was.
dit is de situatie nu, en zo wou ik het oplossen


Dit is mijn oplossing:


ik moet dus een systeem met 4 poorten maken, linux of cisco. op 2 van de 4 NAT doen naar de internet poort toe, en een DMZ maken voor servers.

Ik moet die boel niet onderhouden. Wat is volgens jullie hier de meest onderhoudsvriendelijk oplossing ? Een hardware cisco machientje (die NAT kan, beetje routing en zo), speciale linux distributie ? Of zijn er opties die ik over het hoofd zie ?

offtopic:
voor meer info hier kijken

[Verwijderd]

ik zou gaan voor een (redundant) cisco pix... maar het budget moet dat wel toelaten...

anders linux (desnoods freesco/ipcops oid)

alleen snap ik je natting op 2 van de 4 niet...?

je nat op je externe interface naar de 3 interne... liever niet op een interne interface natten

[Verwijderd]

Een pix is erg mooi, veilig, duur en ingewikkeld. Dus geen aanrader als het om gebruikers vriendelijkheid gaat. De syntax van een pix is niet echt simpel

Gezien de lage bandbreedte kun je makkelijk volstaan met een eenvoudige router op pc basis (vaak ook sneller dan een cisco 2500, niet stabieler). Filteren met een 2500 gaat erg makkelijk en is goed gedocumenteerd (zie de cisco site en Cisco IOS Access Lists van O'Reilly)

Let bij het configureren op de richting van het verkeer dat je toestaat dus leerlingen geen verkeer laten initeren naar het docenten lan. En sta verbindingen naar het internet alleen toe via een proxy. Geeft voor de gebruikers een gevoel van een snelle verbinding door caching (de zelfde pagina word maar een keer opgehaald) en op het internet ziet men alleen de proxy achter de firewall en geen interne ip nummers. Tevens kun je op de proxy filteren zodat je bandbreedte niet verloren gaat aan allerlei onzin site's

En koppel de mail en webserver via een apparte poort via de (Astora) firewall zodat je op de firewall kunt loggen wat er allemaal gebeurt op je servers. Tevens geef je je servers zo een extra beveiliging (is al heel oud eerst een gracht en dan nog een muur.)

Succes