Glasvezel en multiplexing

[Theodoor]

Op m'n werk zijn er 2 lokaties met ieder afzonderlijk 2 ethernet-netwerken. Deze netwerken willen we per paar aanelkaar knopen. Dus er zijn nu 4 afzonderlijke netwerken en we willen er 2 van maken. De reden voor de afzonderlijke netwerken is veiligheid: tussen beide typen netwerken mag geen verkeer zijn en ze moeten fysiek gescheiden zijn.
Aangezien de afstand tussen de lokaties best groot is, moet er van glasvezel gebruik worden gemaakt. De oplossing is ook maar tijdelijk. Daarom willen we het liefst maar 1 glasvezel gebruiken om de 4 netwerken per paar aanelkaar te knopen. Een multiplexer willen we dan gebruiken om het verkeer op fysiek niveau te scheiden (via de golflengte). Is dit mogelijk? En wat voor multiplexer hebben we dan nodig? Of is het handiger om het verkeer op de Ethernet-laag te scheiden?

De 4 netwerken hebben allemaal een layer 2/3 ethernet-switch met een glasvezelaansluiting en 12/24 UTP poorten.

Tekening:

[Guru Evi]

Een fysieke multiplexer/demultiplexer houdt geen rekening met of er al dan niet data wordt doorgestuurd op dat moment (behalve als je sneller dan 2 GHz kunt schakelen is dit wel een probleem)
Beter en gemakkelijker is op de ethernet laag te scheiden (desnoods met vpn's enzo)

[Flyduck]

Jah denk zelf nog 2 switches plaatsen en gebruik maken van VLAN's...

[Theodoor]

Bij de VLAN-oplossing, hoe configureer je dan de switch? Moet je dan op een switch 2 VLAN's configureren waarbij 1 poort (de poort met de glasvezel naar de andere lokatie) in beide VLAN's zit? Is deze oplossing 100 % veilig? Kunnen bijvoorbeeld computers uit netwerk 1 op lokatie 1 niet computers uit netwerk 2 op lokatie 2 bereiken? Volgens mij houd je namelijk bij VLAN's nooit de verbinding gescheiden: kun je bijvoorbeeld alsnog van netwerk 1 op lokatie 1 naar netwerk 2 op lokatie 2. Dat is beslist niet de bedoeling.

Is het niet een mogelijkheid om een DWDM multiplexer in te zetten? Of zijn deze erg duur?

[ Voor 28% gewijzigd door Theodoor op 14-08-2003 21:05 ]

[Stampertje]

DWDM multiplexers zijn erg duur. Zijn vooral bedoeld voor de Carrier wereld (de Worldcoms etc.). Ik meen mijn te herinneren dat alleen een GBIC voor een DWDM switch al US$ 8.995,- is. Komt de switch nog een keer apart bij. Ik zou toch voor de VLAN optie gaan.

[paulhekje]

een andere optie is 1 verbinding en daar 2 VPN's over draaien.

[Theodoor]

Volgens mij is de optie om VLAN's te creeeren niet veilig. Je kan dan alsnog vanuit netwerk 1 op lokatie 1 netwerk 2 op lokatie 2 bereiken. Dat kan je niet voorkomen met het gebruik van VLAN's.

Ik heb dit document nog gevonden met apparatuur van multiplexers en doublers. Dan heb je geen aparte switch nodig. http://www.compricon.nl/pdf/N3Controlware/CWfiber.pdf
Misschien dat ik deze mensen maar eens ga bellen. En dan ga ik uitzoeken of ik toch niet een aparte vezel moet laten trekken.

Het mooiste zou zijn als ik van de snelheid van een glasvezel zou kunnen profiteren (gigabit ethernet). Dat kan met VPN waarschijnlijk niet omdat VPN hardware daarvoor niet snel genoeg is.

[ Voor 7% gewijzigd door Theodoor op 15-08-2003 10:59 ]

[Xiphalon]

voor zover ik weet kan je met een 2tal VLANs de boel perfect gescheiden houden. Hebben we hier ook, 1 glaslijn naar de backuplocatie, waarover 2 VLANs lopen, 1x het Normale LAN, en 1x de directe internetverbining.

En van het 1e VLAN kom je echt niet op het andere VLAN... (ooit een keer zelf 8er gekomen toen ik laptop in verkeerde poort van de switch had geprikt )

[Coen Rosdorff]

Ik weet niet of de vezel nog gegraven moet worden?

Als hij nog aangelegd moet worden is het geen probleem, want ze leggen zonder uitzondering kabel met meer dan 1 vezel.

Als je je wel wil beperken zou ik 2 routers met elk 3 interfaces neerzetten. Dan kan je netwerken ook prima gescheiden houden.

[Flyduck]

Doormiddel van VLAN tagging kan je idd gewoon 2 VLAN's over de glasvezel laten lopen.

[Theodoor]

Je maakt dus twee VLAN's op elke switch en door VLAN tagging kan je die VLAN's groeperen? Wat voor switches heb je dan nodig?

[ Voor 7% gewijzigd door Theodoor op 16-08-2003 13:34 ]

[Verwijderd]

switches die 802.1q vlan tagging ondersteunen.

[Edho]

Wij hadden 3com superstack III 3000 of iets van dat. In ider geval zo'n switch die je via een ipadres kunt oproepen in je browser en dan per poortje kunt configureren. Ik vond het erg lastig te configureren, maar als je er even goed induikt wel te doen. Het werkt i.g.g wel.

[Maarten @klet.st]

VLANS kunnen in theorie doorbroken worden, in de praktijk schijnt het wat lastiger te zijn. De truc is om de switch(es) te flooden zoveel verkeer dat het ding (wat gewoon een OS draait, een embedded OS) niet voldoende CPU cycles heeft om aan VLAN tagging (of uberhaupt switching) te doen en dus als een soort HUB gaat fungeren. Het is een beetje theoretisch, maar schijnt wel te kunnen.
DWDM is dus een mooiere oplossing, maar die is wat duurder (zoals Erik_van_H al opmerkte). Vlans lijkt me in 99% van de gevallen een goede oplossing. Evil netwerk engineers met voldoende kennis en middelen houd je er niet mee tegen, maar goed, die kunnen je glasvezels ook opgraven

[Theodoor]

Daar heb ik ook van gehoord. Maar het was toch zo dat als een switch wordt geflood, dat de switch dan 'vergeet' welke mac-addressen bij welke poort horen?

[Telco]

DWDM lijkt me in dit geval net ff overkill, een kale SDH transport backbone moet voldoende zijn, wanneer je enkel je ethernet paden fysiek wilt scheiden. Over je glasfiber definieer je dan stomweg 2 GbE paden. Het kosten aspect kon wel eens een overweging zijn om idd naar VLans te gaan. Voor SDH moet je rekenen op een investering van circa 80-100k EUR per lokatie.

[Verwijderd]

Wat voor apparatuur heb je op dit moment staan? En wat voor budget heb je in gedachen? Als ik je post zo lees denk ik dat SDH en DWDM véél te duur zijn voor wat jij in gedachten hebt.

[Theodoor]

Ik heb nu een aantal 3COM superstack3 3300's staan. Door in de switches een extra glasvezelpoort in te bouwen, VLAN's te configureren etc. zouden we al klaar zijn. De enige investering die we dan zouden moeten doen is de aanschaf van een paar glasvezelpoorten. Investering van 80 - 100k per lokatie is geen optie.

Maar het gaat ons ook om veiligheid: we willen absoluut niet dat vertrouwelijke informatie gesniffed wordt en op straat komt. Daarom mij vraag: hoe betrouwbaar zijn VLAN's? Als een switch gespoofed/geflood wordt, blijft het verkeer dan in het VLAN bij gebruik van 802.1q VLAN tagging? Of wordt er dan ook gebroadcast naar switchpoorten die in een ander VLAN zitten?

[Flyduck]

Sorry hoor maar ik zie het flooden van een switch met een backplane van weet ik hoeveel gigabit niet echt als een gat in de beveiliging....

*EDIT*
De meeste nieuwe switches hebben trouwens ingebouwde beveiliging dat mocht er een port geflood worden dat deze automatisch gedisabled wordt.

[ Voor 36% gewijzigd door Flyduck op 19-08-2003 15:19 ]

[SED]

Edho schreef op 18 August 2003 @ 21:03:
Wij hadden 3com superstack III 3000 of iets van dat. In ider geval zo'n switch die je via een ipadres kunt oproepen in je browser en dan per poortje kunt configureren. Ik vond het erg lastig te configureren, maar als je er even goed induikt wel te doen. Het werkt i.g.g wel.

Als je een 3com niet via zijn webbeheer kunt configureren vraag ik me af welke netwerk kennis je bezit. Simpeler kan niet. Kies de poort.. kies het vlan en klik dat aan. Waar heb jij moeite mee?

[Verwijderd]

SED schreef op 20 augustus 2003 @ 21:17:
[...]

Als je een 3com niet via zijn webbeheer kunt configureren vraag ik me af welke netwerk kennis je bezit. Simpeler kan niet. Kies de poort.. kies het vlan en klik dat aan. Waar heb jij moeite mee?

Ik geef hem anders wel gelijk... ik loop me altijd blind te zoeken in die menu's van mijn Superstack II 1100 - geef mij maar een Cisco met commandline

Grootste nadeel vind ik trouwens dat je de configuratie niet kunt backuppen... (tenminste, ik heb nog niet gevonden hoe dat moet)

[Verwijderd]

Maar... om even on-topic verder te gaan.... hebben je switches straks 1 of 2 Gigabit interfaces? Want als je straks tussen 2 switches een gigabit WAN verbinding gaat leggen (zijn je Gigabit interfaces wel geschikt voor lange afstanden??) dan is het ook wel prettig als je een beetje nette verbinding tussen de 2 switches op 1 locatie kan leggen.

[Theodoor]

Het hangt allemaal af van welke apparatuur we gaan aanschaffen. We hebben nu een aantal 3COM superstack2 en 3's 1100/3300 staan. We kunnen dan 1 switch pakken om die voor de ene kant van de glasvezelverbinding te gebruiken. We moeten dan nog wel zo'n glasvezelmodule kopen. Zo'n module kan 1 poort bevatten. Zo'n module is geschikt voor lange afstanden (afhankelijk van de soort heb je multimode of singlemode ondersteuning). Multimode (tot 550 meter) is voldoende voor ons. De andere switch op dezelfde lokatie is ook een 3COM. Waarschijnlijk gaan we deze switch dmv van een poorttrunk op de andere switch aansluiten. De switch aan de andere kant van de verbinding gaan we waarschijnlijk gewoon aanschaffen en het zal wel een core-switch worden van 3COM of HP, maar hier hebben we verder nog niet over nagedacht.