[vpn] WAN creëren voor minimale servers

[zwahiel]

situatie:

een bedrijf met 9 vestigingen op verschillende lokaties door de provincie.
Elke vestiging heeft pc's die op windows 98 of win2000 lopen.

Het plan is om op elke vestiging een DSL verbinding te leggen.

Het idee is om via VPN verbindingen de verschillende netwerken met elkaar te koppelen.

Op 1 plaatsen moeten knooppunten gemaakt worden.
Dit knooppunt bestaat uit 2 vestigingen, die aan elkaar gemaakt zullen worden (2 panden 100 meter van elkaar af, waarschijnlijk dmv een WLAN verbinding, er is een zichtverbinding!)

Er komt daar dus een fileserver die voor verschillende vestigingen zal dienen.

Aangezien de vestigingen nogal gespreid liggen en er nogal wat bij gaan komen dit en volgend jaar, wil ik gaan werken met regioverstigingen.

Deze bestaan reeds, het zijn de iets grotere vestigingen waarbij een windows 2000 server met SBS (of zonder) aanwezig is.

Het is dus de bedoeling dat kleinere kantoren een VPN krijgen naar deze regio kantoren, en dat deze weer een VPN maken naar het hoofdkantoor.
Zo kunnen kleinere kantoren hun bestanden óf op het regiokantoor ophalen óf op de hoofdfileserver op het hoofdkantoor.

Bij de kleinere vestigingen komt dus geen server, enkel een VPN router evt. wel een netwerk printer die door de lokale pc's gebruikt kan worden dmv een printservertje (lokaal geïnstalleerd).

Op de regiokantoren wil ik eigenlijk gewoon SBS verder laten draaien, de kleinere kantoren melden zich aan op de regiokantoren. Op die manier hoeft niet elk kantoor een server te hebben.

Nu komt 't:

Zal een normale basic adsl verbinding van XS4ALL voldoende zijn voor de kleinere kantoren? Een Prof. verbinding van XS4ALL 512/512 voor de regio kantoren?
Een Prof. verbinding van XS4ALL 2048/2048 of 1024/1024 al voldoende zijn?

Er komen 3 regiokantoren (voor dit moment) elk regio kantoor zal ongeveer 2 kleine kantoren serveren plus zichzelf. (een regiokantoor heeft nog niets, maar dat komt in de toekomst)
De 2 hoofdkantoren serveren zichzelf plus de regiokantoren.

De regiokantoren zijn opgedeeld in noord, midden en zuid. Midden is het hoofdkantoor (2 vestigingen bij elkaar). Deze kan evt. ook kleinere kantoren serveren in de buurt.

De vraag is verder is het verstandiger om een hardwarematige vpn router aan de regio en hoofdkantoorzijde te gebruiken voor inkomende VPN verbindingen?
Of voldoet een Win2k server met VPN server ook al.

Voor het hoofdkantoor zat ik te denken aan een Cisco PIX 506 VPN router met Firewall. Deze kan 25 VPN sessies aan en heeft 2 eth poorten.
Voor de regiokantoren voldoet een Cisco PIX 501 misschien al goed, deze kan 5 VPN sessies tegelijk aan en heeft ook een ingebouwde firewall.

Voor de verbinding aan de client zijde zat ik te denken aan een "gewone" Zyxel VPN / Firewall router bijvoorbeeld een Prestige 652R-13. Deze zijn niet zo heel erg duur en zijn toch vrij betrouwbaar, een andere optie is. Misschien is een Zyxel Zywall 50 ook een alternatief. Beide routers hebben een firewall en zijn niet zo extreem duur geprijst.

Eventueel wil men nog kijken naar security software zoals Checkpoint voor VPN, mij lijkt dat in elk geval een goed idee!

Wat vinden jullie van deze opzet, zijn er nog dingen waarop extra gelet moet worden?

Hoe zit het eigenlijk met die VPN licenties? Daar hoor ik de laatste tijd nogal wat dingen over...

[Verwijderd]

alle clients gaan aanloggen op domain van 1 server bij het hoofdkantoor?

[Grolsch]

in principe ziet het er goed uit wat je opgezet hebt.
Welke applicaties gaan hoe gebruikt worden?
Werk je met citrix?
Als je van een klein kantoor naar een regio kantoor, en vervolgens naar het hoofdkantoor gaat, heb je natuurlijk wel een extra zwak punt, namelijk alle regio kantoren.
Ligt 1 regio kantoor eruit, dan liggen er direct 2 kleine kantoren uit.

Wat IK zou doen is op je hoofdkantoor alle belangrijke zaken neerzetten.
Zorgen voor een zeer vertrouwebare hogesnelheids verbinding met het i-net met een SLA van 99,99 %.

En dan elk kantoor (regio of klein kantoor) dmv vpn laten connecten naar het hoofd kantoor.
Zou heb je maar 1 hoofd VPN doos, waar iedereen connectie toe maakt.
Je hoeft er maar 1 echt te monitoren.
Gebruik hier aub geen windows oplossing voor (ondanks dat ik heel erg MS minded ben).
Denk idd aan een cisco of 1 of andere unix/linux variant.
Je kunt evt. op de regio kantoren een DC met DNS en GC neerzetten om de load op de DSL lijnen te verlagen.
Ligt er een beetje aan hoeveel mensen er waar werken. een paar, tientallen, honderden?

Bel eens met dotorion (0102411242) en vraag naar Rudo de Jong.
Hij helpt mij ook altijd met zaken die buiten m'n netwerk omgaan, en heeft er ECHT veel verstand van. (nee, ik werk daar niet, en ik wordt er ook niet beter van).

Zo'n projekt wat je nu hebt, valt of staat met een goede designing cq. implementatie.

[ Voor 9% gewijzigd door Grolsch op 08-07-2003 11:28 ]

[zwahiel]

Grolsch schreef op 08 juli 2003 @ 11:26:
in principe ziet het er goed uit wat je opgezet hebt.
Welke applicaties gaan hoe gebruikt worden?
Werk je met citrix?
Als je van een klein kantoor naar een regio kantoor, en vervolgens naar het hoofdkantoor gaat, heb je natuurlijk wel een extra zwak punt, namelijk alle regio kantoren.
Ligt 1 regio kantoor eruit, dan liggen er direct 2 kleine kantoren uit.

Wat IK zou doen is op je hoofdkantoor alle belangrijke zaken neerzetten.
Zorgen voor een zeer vertrouwebare hogesnelheids verbinding met het i-net met een SLA van 99,99 %.

En dan elk kantoor (regio of klein kantoor) dmv vpn laten connecten naar het hoofd kantoor.
Zou heb je maar 1 hoofd VPN doos, waar iedereen connectie toe maakt.
Je hoeft er maar 1 echt te monitoren.
Gebruik hier aub geen windows oplossing voor (ondanks dat ik heel erg MS minded ben).
Denk idd aan een cisco of 1 of andere unix/linux variant.
Je kunt evt. op de regio kantoren een DC met DNS en GC neerzetten om de load op de DSL lijnen te verlagen.
Ligt er een beetje aan hoeveel mensen er waar werken. een paar, tientallen, honderden?

Bel eens met dotorion (0102411242) en vraag naar Rudo de Jong.
Hij helpt mij ook altijd met zaken die buiten m'n netwerk omgaan, en heeft er ECHT veel verstand van. (nee, ik werk daar niet, en ik wordt er ook niet beter van).

Zo'n projekt wat je nu hebt, valt of staat met een goede designing cq. implementatie.

Ik heb daar ook aan zitten denken...

Maar het probleem waar ik dan mee zit is dat ik ineens één lokatie heb, en dat heb ik liever niet...

De situatie voorgrond is namelijk dat het allemaal kleine bedrijfjes zijn die allemaal apart een server hebben gekocht bij mijn baas... Nu is het allemaal één bedrijf. Op zich melden ze zich allemaal bij een eigen domein aan. Lokaal op hun eigen server, dit gaat dus veranderen naar de regio kantoren.

Waarom werken met regio kantoren? Nou omdat ik zo een minimaal aantal servers hoef te veranderen, de bijkantoren worden omgezet naar de regiokantoren. De grote applicaties zullen inderdaad op het hoofdkantoor draaien, maar filestorage en exchange zullen dus op de regiokantoren draaien, zo hoef ik geen dure lease lines en andere dure verbindingen aan te leggen.

Op deze manier dacht ik namelijk zoveel mogelijk de "oude" servers die her en der staan te her gebruiken.

De oudste server is een Siemens dual P3 800. Deze kan dus voldoende dienst doen als zijnde fileserver.

Verder is het de bedoeling om mail via subdomeinen te laten gaan, dus daaraan ook het domein van de regiokantoren te koppelen.

bijvoorbeeld mail.domein.nl gaat het hoofdkantoor en mail2.domein.nl gaat naar het regiokantoor mail2 waaraan weer bijkantoren hangen.

Op die manier houd ik verschillende DC's in het netwerk die allemaal een ander domain beheren en dus ook een andere AD, dit vanwege de schaal en organisatie van het bedrijf.

edit:

Ik denk idd dat ik voor die Cisco ga...

[Grolsch]

zwahiel schreef op 08 July 2003 @ 11:38:
[...]


Ik heb daar ook aan zitten denken...

Maar het probleem waar ik dan mee zit is dat ik ineens één lokatie heb, en dat heb ik liever niet...

De situatie voorgrond is namelijk dat het allemaal kleine bedrijfjes zijn die allemaal apart een server hebben gekocht bij mijn baas... Nu is het allemaal één bedrijf. Op zich melden ze zich allemaal bij een eigen domein aan. Lokaal op hun eigen server, dit gaat dus veranderen naar de regio kantoren.

Waarom werken met regio kantoren? Nou omdat ik zo een minimaal aantal servers hoef te veranderen, de bijkantoren worden omgezet naar de regiokantoren. De grote applicaties zullen inderdaad op het hoofdkantoor draaien, maar filestorage en exchange zullen dus op de regiokantoren draaien, zo hoef ik geen dure lease lines en andere dure verbindingen aan te leggen.

Op deze manier dacht ik namelijk zoveel mogelijk de "oude" servers die her en der staan te her gebruiken.

De oudste server is een Siemens dual P3 800. Deze kan dus voldoende dienst doen als zijnde fileserver.

Verder is het de bedoeling om mail via subdomeinen te laten gaan, dus daaraan ook het domein van de regiokantoren te koppelen.

bijvoorbeeld mail.domein.nl gaat het hoofdkantoor en mail2.domein.nl gaat naar het regiokantoor mail2 waaraan weer bijkantoren hangen.

Op die manier houd ik verschillende DC's in het netwerk die allemaal een ander domain beheren en dus ook een andere AD, dit vanwege de schaal en organisatie van het bedrijf.

edit:

Ik denk idd dat ik voor die Cisco ga...

hoe zit het bedrijf nou logisch gezien in elkaar?

1 AD domain?
hoe zit het met de namespace.

Kun je aub wat voorbeelden geven? desnoods met fake namen.

je kunt beter een beetje extra investeren en extra moeite doen, dan dat je straks overal achteraan moet klepperen om allerlei dingen/zaken op allerlei locatie's te repareren

[Verwijderd]

Ik zou zeggen : zet een spanned domein op, dus alle servers als member dc, met Directory Synchonize over de vpn lijnen heen. En 1 PDC op de hoofdvestiging waar je ook de eventuele mail server en proxy neer zet voor het mail&inet verkeer. Dan krijg je dus een enkel domein : domein.nl en als DC's:

DC1.domein.nl
DC2.domein.nl
etc.

Maar als de gebruikers documenten over een vpn 512/256 lijn moeten halen, en er halen er 2 een document op van 20 mb, is dat wel een zware belasting op de lijn. houd daar wel rekening mee.

Draai je nog netwerk software (db software ofzo). Zo ja, oppassen. Die lijnen bij de kleinste kantoren zijn je bottleneck.

En idd. Hardware routers ; goed instellen -> bijna geen beheer.

[Grolsch]

Verwijderd schreef op 08 July 2003 @ 16:02:
Ik zou zeggen : zet een spanned domein op, dus alle servers als member dc, met Directory Synchonize over de vpn lijnen heen. En 1 PDC op de hoofdvestiging waar je ook de eventuele mail server en proxy neer zet voor het mail&inet verkeer. Dan krijg je dus een enkel domein : domein.nl en als DC's:

DC1.domein.nl
DC2.domein.nl
etc.

wat je nu zegt klopt echt niet hoor.
De term "spanned domain" heb ik nog nooit gehoord in een win2k domain.
En win2k werkt niet met member dc's
en win2k werkt niet met PDC's.

Een win2k omgeving heeft gewoon DC's, niet meer niet minder.
vergelijkbaar met een "multiple master domain model" van NT4.0.

ik weet niet hoe je aan deze info komt.

Maar als de gebruikers documenten over een vpn 512/256 lijn moeten halen, en er halen er 2 een document op van 20 mb, is dat wel een zware belasting op de lijn. houd daar wel rekening mee.

Draai je nog netwerk software (db software ofzo). Zo ja, oppassen. Die lijnen bij de kleinste kantoren zijn je bottleneck.

En idd. Hardware routers ; goed instellen -> bijna geen beheer.

dit verhaaltje klopt wel, en is naar mijn inziens vanzelf sprekend!

[zwahiel]

Kijk ik heb vanmiddag even wat informatie verzameld.

Het bedrijf heeft 2 hoofdkantoren deze liggen hemelsbreed iets minder als 250 meter uit elkaar, ertussen staat een flat, maar met een mast en een WLAN set voor 6 km moet dit wel te overbruggen zijn lijkt me. De WLAN zal via MAC adressen met elkaar gekoppeld zijn, daarnaast zal WEP128 ook nog meedraaien, ze zullen in bridge modus met elkaar praten.

Op die manier hoeven we geen fysieke verbinding te maken of kopen en hoeven we tussen de 2 panden geen VPN te leggen, spaart weer een dure verbinding uit!

Ik heb even de plannen erbij gepakt:


Je ziet dat de 2 hoofdvestigingen met elkaar verbonden zijn, bij een vestigingen is een 2048/2048 verbinding. Deze zorgt voor het VPN gedeelte.
Bij de andere vestiging is een normale mxtream verbinding van 768/128 aanwezig. Deze wordt gebruikt om te kunnen internetten. Ik zit te denken om hier ook een Cisco Pix 501 neer te leggen of een Zyxel Prestige om evt. als backup route te kunnen functioneren.

In principe zijn alle server eigen DC's. Er zal wel naar alle waarschijnlijkheid een PDC komen die op de hoofdvestiging staat. Ik wil alleen niet teveel centraal regelen, anders gaat dit ten koste van de snelheid van het netwerk. Zoals ik al zei deze organisatie is sterk aan het groeien en daarom zal het netwerk ook nog uitgebreidt worden. De kosten mogen natuurlijk niet de pan uit reizen!

Zoals je kunt zien hangen aan de hoofdvestiging een aantal regio kantoren. Bij deze kantoren zal een server aanwezig zijn die tevens DC is, waarom leg ik straks even uit.
Aan deze kantoren hangen weer de bijkantoren, waar minder dan 4 pc's zijn die tegelijk werken.
Het id is dat bijkantoren via de regiokantoren software kunnen starten die weer van het hoofdkantoor afgehaald wordt.

Via dit systeem kan gemakkelijk via een piramide structuur data worden verstuurd. Het gaat niet direct naar de clientpc, maar deze haalt het van de server af waar hij/zij zich aan heeft gemeld.

Het hoofdkantoor functioneerd tegelijk ook als regiokantoor, bij het hoofdkantoor in de buurt liggen ook een aantal kantoren (2 stuks) deze komen natuurlijk niet direct op een regiokantoor, maar gewoon direct op het hoofdkantoor.
Ik heb nog zitten denken aan een wireless verbinding maar er staat een flatblok tussen beiden dus helaas moet hier dus een VPN verbinding gemaakt worden.

Zoals te zien is hebben dus zowel de regiokantoren als het hoofdkantoor een 2mbit verbinding, de bijkantoren hebben een normale mxstream verbinding (768/128) ik zat te denken om hier een DD abonnement bij af te sluiten. Zodat de upstream wat hoger is voor bijkantoren met minder dan 4 pc's moet op zich 728/256 toch redelijk voldoende zijn?

Mijn vraag is wel of deze data snelheiden genoeg zijn in de praktijk? Kijk het moet allemaal wel betaalbaar blijven!
Misschien is het makkelijker om het hoofdkantoor wat meer bandbreedte te geven, echter deze serveert alleen maar de regiokantoren en verder niets alles serveerd in principe ongeveer 3 lokaties.

Waarom nu zoveel DC's?
Nou dat is makkelijk. E-mail is het grote probleem.

Momenteel haalt de hele organisatie hun mail op bij een hosting provider waar POP3 boxen aangemaakt zijn. Tot zover kan het nog...
Echter, op verschillende lokaties zijn SBS machines aanwezig (met Exchange 2000) deze machines worden ook gebruikt, maar ze zijn niet aangesloten op het internet en serveren alleen interne mail. Dit zorgt behoorlijk vaak voor situaties waarbij sommige mailtjes wel en sommige mailtjes niet aangekomen zijn (bij interne en externe POP mail versturen bijvoorbeeld). Het is tijdrovend om telkens die dingen uit te gaan zoeken, het is ook een beetje dubbel op.

Het probleem is dus dat er sprake is van een domein, ik noem het bedrijf.nl

Ik had het volgende bedacht. Het hoofdkantoor en alle regiokantoren krijgen een windows 2000 machine voor degene die deze nog niet hebben.
Op deze machine komt Exchange 2000 of SBS2000 (als die met elkaar samen willen werken).
Deze machines krijgen een subdomein van bedrijf.nl toegewezen.
Dus regiokantoor zuid krijgt zuid.bedrijf.nl. Mail van de medewerkers word dus [e-mail] , echter een medewerker moet ook direct via [e-mail] te mailen zijn, dus moet de server die nu de POP3 accounts heeft (extern via HSP) nu mailadressen gaan forwarden naar de verschillende mailservers. Dus [e-mail] wordt door de HSP doorgestuurd naar [e-mail]
Daarvoor dienen de verschillende DC's.

Nu vinden heel veel mensen een AD makkelijk, echter aangezien de verbindingen niet zo extreem groot zijn, wil ik zoveel mogelijk lokaal houden dus via wat kleinere verbindingen die gewoon wat minder gebruikers hebben. Als ik alles via een AD zou moeten gaan is de lijn bijna altijd 100% belast. En idd als iemand een 2mb bestand binnen gaan halen, dan zal het wel eens wat langzamer kunnen worden, dit is echter een probleem van de gebruikers zelf.

Wat eventueel nog gedaan kan worden is dat er een pc van de 4 ingericht wordt als zijnde "fileserver" of te wel, er wordt een share aangemaakt die in het inlogprofile van de users komt te staan, deze kan dan gewoon aangesproken worden voor grotere bestanden, zie het als een soort caching server.

Buiten dat heeft de organisatiestructuur zo zijn beperkingen, het is een organisatie met verschillende "takken". Die allemaal van elkaar af moeten blijfen en onafhankelijk van elkaar werken. Dus als een gebruiker op zuid.bedrijf.nl aangemeld, komt hij ook alleen op zuid.bedrijf.nl en niet of noord of midden of hoofd.bedrijf.nl.

Enige uitzondering is een dos pakket dat op een Novell server draait op het hoofdkantoor. Deze _kan_ wel evt. toegankelijk zijn voor het regiokantoor, de gebruiker op het bijkantoor start het pakket op via het regiokantoor en het regiokantoor kan daarom gegevens opvragen bij het hoofdkantoor.

Nu rest mij nog de vraag hoe het zit met SBS of dat samen kan, ik hoor van verschillende mensen van wel, en anderen mensen weer van niet.
Zal de bandbreedte van een basic mxtream account genoeg zijn voor bijkantoren tot 4 pc's?

Haal ik het hoofdkantoor met 2/2mbit 1:10?

Nog een dingetje, beheer wilde ik doen via RDP gewoon via internet, echter met een detail dat het alleen kan via het IP van mij. Dus gewoon de firewall van de regiokantoren en hoofdkantoren kan zo worden ingesteld, op zich lijkt me dat een veilige manier.

Ik zit nog steeds te denken aan softwarematige toegang op het VPN via Checkpoint of andere software. Om de een of andere reden geeft me dat toch net even dat veiliger gevoel

Op de server gaat verder nog McAffee SMTP web draaien, deze scant fijn het SMTP verkeer er kan ook 't een en 't ander tegenhouden qua relaying en dergelijken. Buiten dat draait er zowieso al F-Secure op. Op die manier wordt het nog een beetje veiliger.

edit:

Sorry voor de layout Koffie

edit2: het schijnt dat ze ook nog uit gaan breiden tot maximaal 30 vestigingen in een periode van 2 jaar... zou het netwerk dan nog wel voldoende snelheid bieden?

[ Voor 15% gewijzigd door zwahiel op 08-07-2003 20:35 ]

[McMiGHtY]

AD replicatie verkeer is niet zo groot hoor. Of je moet dagelijks het schema op tientallen plaatsen gaan veranderen..

[FatalError]

..WLAN set voor 6 km..

Eigenlijk is die set verboden om te gebruiken hier in nederland, vanwege een te hoog vermogen. Bovendien zou ik toch echt voor n betere accesspoint gaan (waar tevens het vermogen van te regelen is), zoals n Cisco, HP (Compaq), Buffalotech of Alvarion (Erg goed maar ERG duur).

[Verwijderd]

Gebruik in ieder geval ook vpn over je wireless link, lijkt me wel zo veilig en als je toch bezig bent..

Daarnaast lijkt het me verstandig om overal de zelfde equipment te hebben staan, je kiest voor cisco pix, dus ga er dan geen goedkopere onzin naast zetten. Zo duur is een 501 nou ook weer niet, sterker nog qua beheer zal 't alleen maar goedkoper zijn (opzetten, upgrades uitvoeren etc).

Tevens lijkt 't me niet onaardig om een tweede 2mb sdsl link te hebben vanaf je tweede (hoofd) kantoor die een gedeelte van de network load op zich kan nemen en als backup kan dienen (een goedkopere verbinding kan ook, wel een andere isp nemen ), heb je meteen failover voor je email.

Volgens mij kun je met overal cisco hardware een veel mooier, redundanter en makkelijk beheersbaarder netwerk opzetten.

Of een 2mbit of een 512/128 genoeg is, valt moeilijk te zeggen, wat voor users heb je? Verschil tussen een 1:10, 1:4 of 1:1 overboeking heb ik tot op heden nog nooit echt gemerkt (op bbned), wellicht dat je daar nog wat kosten kan sparen..

Argument dat alle sites onafhankelijk/zelfstandig van elkaar moeten werken geldt blijkbaar niet voor de it support die geboden moet worden, het mooiste is dus om een groot ad forest te maken zodat eea makkelijk centraal te beheren is. Of meerdere sbs machines dit ook kunnen weet ik niet. Volgens mij heeft een sbs per defenitie altijd de master schema role in een domein, waarvan je er niet meerdere kunt hebben, ie meerdere sbs servers in het zelfde domein kan niet. Echter ik ben geen mcse (of zoiets ), dus wellicht kunnen anderen dit corrigeren.