Indeling netwerk met 2 verbindingen

[zork]

Goedenavond!

In mijn studentenhuis staan er zo'n 20 workstations welke natuurlijk allemaal op internet willen. We hebben sinds vorige week 2 adsl verbindingen gekregen via de Universiteit Twente. Ik ben er alleen nog steeds niet uit hoe het netwerk het beste ingedeeld kan worden.

Ik heb veel gezocht over mogelijkheden tot packetshaping, maar de aankoop van dure cisco routers daar gelaten, heb ik geen goede oplossing gevonden.


Ik zal de eisen aan het netwerk en natuurlijk de beschikbare hardware opnoemen.

Eisen

• 1: Ervan uitgaande dat packetshaping geen optie is, wens ik de verbindingen gedeeld te hebben over de gebruikers. Gang 1 over lijn 1, gang 2 over lijn 2. Ik wil het onmogelijk maken voor gang 1 om op lijn 2 te komen en vice versa, aangezien er op gang 1 ongelovelijke leechers gehuisvest zijn en ik daar natuurlijk geen problemen aan wil ondervinden.
  In IP nrs op netwerk locken met ARP? lees ik over het locken van ip adressen aan de hand van het mac adres van de gebruikers. Via deze methode is het vast mogelijk om tevens de juiste verbinding toe te wijzen?
• 2: Shares op de workstations moeten in het gehele huis toegankelijk zijn, evenals de centrale (lokale) webserver en fileserver (welke niet van buitenaf toegankelijk mogen zijn).
• 3: Bandwith monitoring, namelijk het bijhouden van de datastroom over de aparte lijnen. Ik zou graag statistieken hebben van gebruik van beiden lijnen, dit in verband met datalimiet (welke trouwens niet bepaald laag ligt gelukkig ). Deze optie heb ik in de distro ClarkConnect (gestripte RedHat 7.2 geloof ik) gezien, maar ik wil natuurlijk niet aan ClarkConnect gebonden zijn voor (een van) de server(s) [rml][ clarkconnect] traffic meten per ip[/rml]

Beschikbare hardware

• 1: Uiteraard een 24 ports switch met een 4.8 GB backplane
• 2: 2 Pentium 133 systemen met elk 32 MB ram, 1.2 GB harddisk en een tot dusver onbekende onboard NIC (waarschijnlijk 10Mbit)
• 3: 1 Pentium II 233 systeem met 256 MB ram en een 4.0 GB harddisk
• 4: 2 3Com 3C905C-TX NIC's (10/100 MBps, 2 Realtek 10/100 nics
• 5: Meer dan genoeg vrije tijd, maar tevens tijdnood ivm zeurende huisgenoten (ze zijn ongeduldig omdat ze nu met z'n allen 8MBit moeten delen, oooh, wat zielig )

De Twister adsl modems welke wij van de UT hebben gekocht zijn in feite bridges. Wanneer je met een bij de Universiteit bekend mac adres over de lijn probeert te komen, krijg je netjes een ip adres en de daarbij behorende instellingen doorgegeven van hun DHCP server.

Een mogelijke indeling zou zijn: de 2 Pentium 133's gebruiken als router/firewall met een bepaalde linux distro, de Pentium II als dhcp-, web- en fileserver inzetten.

Wat is jullie kijk op deze zaak?

Alvast bedankt

[ Voor 3% gewijzigd door zork op 27-01-2004 19:47 ]

[Paul]

Ik zou 3 netwerkkaarjes in de P2 zetten, daar beide ADSL-modems en het interne net op. Vervolgens zelf aaan de hand van het source ip-adres 1 van beide ADSL-verbindingen gebruiken.
IP's deel je uit adhv mac-adressen.

Als het absoluut onmogelijk moet zijn dat de ene gang de adsl-verbinding van de andere gebruikt, dan heb je neit zo gek veel aan bovenstaande oplossing, want als iemand handmatig een ip ingeeft dan kunnen ze alsnog via het andere modem surfen.
Dan kun je nog voor iedere verbinding het ip en het mac-adres controleerd dan meot iemand al andermans mac jatten, maar dan is het dus theoretisch nog mogelijk.

Maakt de snelheid tussen gang 1 en 2 niet bijster veel uit dan kun je proberen nog een switch te regelen en alle 4 de netwerkkaartjes in de P2 te zetten en deze tussen beide gangen te laten routen.

De file- en webserver zet je op beide P1s. Zolang je geen portmappings aanmaakt zijn ze niet van buiten te benaderen

Andere optie is de P2 als router tussen beide gangen en de p1's als ADSL-gateway, maar dan zit je met 2 gateways in 1 netwerk en moet je dus overal een extra route opgeven, dan is het opgeven van een mac-adres simpeler

[ Voor 18% gewijzigd door Paul op 27-01-2004 20:14 ]

[zork]

Ik zou 3 netwerkkaarjes in de P2 zetten, daar beide ADSL-modems en het interne net op. Vervolgens zelf aaan de hand van het source ip-adres 1 van beide ADSL-verbindingen gebruiken.
IP's deel je uit adhv mac-adressen.

Als het absoluut onmogelijk moet zijn dat de ene gang de adsl-verbinding van de andere gebruikt, dan heb je neit zo gek veel aan bovenstaande oplossing, want als iemand handmatig een ip ingeeft dan kunnen ze alsnog via het andere modem surfen.
Dan kun je nog voor iedere verbinding het ip en het mac-adres controleerd dan meot iemand al andermans mac jatten, maar dan is het dus theoretisch nog mogelijk.

Zoals ik in het topic vermeld in m'n startpost las, is het via ARP mogelijk om mensen met een statisch ip geen netwerktoegang te verlenen en enkel aan de hand van het mac adres het juiste ip adres + gw adres door te geven.

Maakt de snelheid tussen gang 1 en 2 niet bijster veel uit dan kun je proberen nog een switch te regelen en alle 4 de netwerkkaartjes in de P2 te zetten en deze tussen beide gangen te laten routen.

De file- en webserver zet je op beide P1s. Zolang je geen portmappings aanmaakt zijn ze niet van buiten te benaderen

De snelheid tussen beide gangen maakt ivm filesharing uiteraard wel uit

Andere optie is de P2 als router tussen beide gangen en de p1's als ADSL-gateway, maar dan zit je met 2 gateways in 1 netwerk en moet je dus overal een extra route opgeven, dan is het opgeven van een mac-adres simpeler

Deze optie lijkt veel op het id om de P2 als web, file en dhcp server in te zetten, vervolgens op de P2 de clients het juiste ip + gw door te geven (locken met ARP), toch?

Can't make up my mind Want, ik zou in principe alles wel op 1 pc kunnen regelen (3 NICS will do the job ). Maar aan de andere kant lijkt het me handiger om de P1's te laten routen, op 1 van die machines de dhcp server configureren zoals op de P2 gedaan is (en de service disablen) om, wanneer ik weer eens aan m'n mooie p2tje ga klooien het netwerk niet helemaal plat ligt Want het wil nog wel eens voorkomen dat ik dat monstertje wil upgraden of een beetje mee wil spelen.... Iig bedankt voor je goede tips, iemand nog wat op/aanmerkingen of misschien een andere oplossing?

[Paul]

Dan nog kunnen mensen hun mac-adres spoofen Iig gaat dan je hele netwerk down zodra die andere pc online komt

Met (ip + ) macadres-controle (op de routers) kun je het zo indelen als je zelf wilt bovenstaande in overweging nemend. De p2 als file / web / dhcp server en evt domeincontroller, met 1 p1 per adsl-aansluiting.

Om je dhcp-server redundant te maken kun je bijvoorbeeld in een cronjob om de 5 mins de p2 pingen, en zodra dat mislukt de dhcpd starten, en zodra p2 weer bereikbaar is de dhcpd stoppen

Mutaties in je netwerk worden op deze manier echter wel wat lastiger... Je moet dan al op 4 (of 3, als de p2 geen firewall gebaseerd op max/ip krijgt) plaatsen configuraties veranderen, 2x dhcpd.conf en 2 (of 1) firewalls.

[ Voor 18% gewijzigd door Paul op 27-01-2004 22:36 ]

[zork]

Thanx!

Inderdaad is het lastig om wijzigingen aan te brengen bij een complexe setup als ik mezelf voorschotel

dawuss wees me op het geniale id om gewoon 1 pentium 133 systeem beide lijnen te laten routen/firewallen en om daar de dhcp server op te draaien. De P2 zou dan gewoon in t netwerk zweven als een file/web-server.
Doordat de dhcp op de pentium 133 staat, maakt het geen drol uit of ik de P2 eventjes uit elkaar sloop om mee te spelen

[Paul]

Oh, ik dacht dat het gebruik van 3 pc;s en de dhcp-server @ p2 een eis was
2 adsl-verbindingen routen moet die P133 makkelijk kunnen, en een dhcpd kost ook neit zo veel resources

[zork]

Paul Nieuwkamp schreef op 27 januari 2004 @ 23:35:
Oh, ik dacht dat het gebruik van 3 pc;s en de dhcp-server @ p2 een eis was
2 adsl-verbindingen routen moet die P133 makkelijk kunnen, en een dhcpd kost ook neit zo veel resources

Nee joh, dan zou ik mezelf alleen maar dwingen om een complexer netwerk op te zetten :-P

Ik heb er nog even over nagedacht en gewoon routen+firewall+dhcp op pentium 133, andere meuk op p233, dat is de beste oplossing :-) Nu eventjes zoeken op manieren om t redundant te maken, die p133's zijn namelijk 100% identiek *)