PC's in werkgroep centraal beveiligen.

[time_1]

In ons appartementencomplex gaan we een netwerk aanleggen om een gezamelijke internetverbinding te delen. We gebruiken daarvoor een ADSLverbinding, met een Modem/Router, daarachter komt een “oude” cisco switch (met VLAN ondersteuning).

Ik wil het zo maken dat je de pc van de buurman niet kan zien (om veiligheidsredenen).
Ik wil zo min mogelijk (lees:niets) aan de werkstations configureren. Ook wil ik geen centrale server, want vraagt onderhoud en dergelijke.

Nu komt de vraag.

1.Hoe kan ik de omgeving het beste configureren?
Ik zit te denken aan verschillende VLAN’s. Als dit kan moet je dan nog een extra router gebruiken?

Of zijn er nog andere mogelijkheden?

Ik hoor graag jullie ideen.

[Koffie]

Move PNS > NT

Leuk, iedereen een VLAN geven .. maar hoe kom je dan bij je router ?
Opvoeding is het beste, gewoon zorgen dat iedereen netjes zijn PC afschermd en je bent al een heel eind

[time_1]

Koffie schreef op 08 juli 2004 @ 12:31:
Move PNS > NT

Leuk, iedereen een VLAN geven .. maar hoe kom je dan bij je router ?
Opvoeding is het beste, gewoon zorgen dat iedereen netjes zijn PC afschermd en je bent al een heel eind

Met elke VLAN een verbinding maken met de router.

[Verwijderd]

Je wil *iedere* client in een eigen VLAN zetten en een router neerzetten die een interface in ál die VLANs heeft Sorry, maar dat lijkt me nogál omslachtig en bovendien haast onhaalbaar. Ik weet niet hoeveel appartementen het zijn, maar meestal zit er zeg maar wel een limiet aan het aantal interfaces dat een router kan hebben.

[Weezer-DC]

gewoon zorgen dat alle pc een virusscanner en firewal hebben.

Mensen moet toch ook zelf de deur op slot doen en de auto afsluiten.
Eventueel kan jij het doen voor zeg 15 euro per uur.

[Koffie]

time_1 schreef op 08 juli 2004 @ 13:37:
[...]

Met elke VLAN een verbinding maken met de router.

Dan heeft je router net zoveel porten nodig als dat je VLAN's hebt, en zien ze elkaar nog over die porten/switch van je router.

[Verwijderd]

ooit gehoord van dot1q trunking of isl ?

Je kunt hiervoor het beste een cisco router met trunking support aanschaffen.

dit houdt in dat je de switch (als deze trunking support) alle vlans met een label kunt versturen naar de router over een fysieke poort. Daar kun je alle vlans op eigen sub interfaces zetten en met access-listen de toegang naar elkaar verhinderen of beperkt toestaan. (net wat je wilt)

ik gebruik zelf een cisco 3620 router i.c.m. een 2950t switch en die kunnen dat allemaal.

ik gebruik het zelf om mijn draadloze access point te isoleren van mijn vaste lan.

Wat voor switch heb je ?

[ Voor 3% gewijzigd door Verwijderd op 08-07-2004 16:20 ]

[Koffie]

Dus van je switch gaat er dan 1 uplink naar je router toe ?

[Verwijderd]

Verwijderd schreef op 08 juli 2004 @ 16:19:
ooit gehoord van dot1q trunking of isl ?

Dat is wel een leuke oplossing, maar dan moet je nog steeds voor *ieder* VLAN een eigen interface hebben. Ik vraag me af of dat wel rendabel is qua onderhoud.

Ik denk niet dat je de kant van VLANs moet kiezen voor zoiets.

[Verwijderd]

Verwijderd schreef op 08 juli 2004 @ 16:45:
[...]
Dat is wel een leuke oplossing, maar dan moet je nog steeds voor *ieder* VLAN een eigen interface hebben. Ik vraag me af of dat wel rendabel is qua onderhoud.

Ik denk niet dat je de kant van VLANs moet kiezen voor zoiets.

ik denk niet dat je begrijpt wat ik bedoel,

lees

http://www.cisco.com/en/U...ple09186a00800949fd.shtml

maar eens door.

De TS geeft zelf aan dat hij geen servers wil, dan zul je dus echt naar de betere router moeten.

tegenwoordig kunnen bepaalde draytec routers ook 802.1q taggen dus duur hoeft het niet te zijn.

In het bedrijfs en bij de telcom providers wordt deze technologie al sinds jaar en dag gebruikt, en dat is echt niet omdat het slecht werkt of slecht te beheren is.

tegenwoordig is al zelf q in q tuneling mogenlijk, dubbele tags dus.

[ Voor 53% gewijzigd door Verwijderd op 08-07-2004 18:17 ]

[Verwijderd]

Ik weet niet hoe ver je wilt gaan met je beveiliging, maar je komt imo een heel eind als je gewoon elk PC in een eigen segment zet en gebruik maakt van switches.

Dan op de 'server' voor elk segment een IP aan je nic binden en kloar. Lijkt op VLAN's, maar is veel goedkoper te realiseren..

[Verwijderd]

Verwijderd schreef op 08 juli 2004 @ 18:08:
[...]


ik denk niet dat je begrijpt wat ik bedoel,

lees

http://www.cisco.com/en/U...ple09186a00800949fd.shtml

maar eens door.

Ik snap het wel, jij snapt mij niet Ik heb het alleen over virtuele interfaces op je Cisco-router. Voor ieder appartement heb je dus één zo'n virtuele interface nodig, wat behoorlijk wat beheer- en setup-werk kost.

[Verwijderd]

Koffie schreef op 08 juli 2004 @ 16:38:
Dus van je switch gaat er dan 1 uplink naar je router toe ?

JA

[Verwijderd]

Verwijderd schreef op 08 juli 2004 @ 18:17:
[...]

Ik snap het wel, jij snapt mij niet Ik heb het alleen over virtuele interfaces op je Cisco-router. Voor ieder appartement heb je dus één zo'n virtuele interface nodig, wat behoorlijk wat beheer- en setup-werk kost.

hoezo een keer een goed setup en klaar, ik zelf maak een dergelijke config in ongeveer 30 seconder per client. (als je dhcp ook door de router wil laten doen kost het iets meer tijd)

Tja, en als je geen tijd aan een setup wilt besteden denk ik dat je er helmaal niet aan moet beginnen.

Onderhouds arm kost nu eenmaal initieel wat meer tijd en geld, maar dat verdien je snel genoeg terug.

[ Voor 28% gewijzigd door Verwijderd op 08-07-2004 18:21 ]

[Verwijderd]

Mja, ik heb in de praktijk weinig ervaring met VLANs, maar het lijkt me een nogal omslachtige methode. Ik weet niet om hoeveel appartementen het gaat, maar volgens mij maak je het dan nodeloos ingewikkeld door, zeg, 120 verschillende interfaces aan een router te hangen.

[Verwijderd]

Verwijderd schreef op 08 juli 2004 @ 18:21:
Mja, ik heb in de praktijk weinig ervaring met VLANs, maar het lijkt me een nogal omslachtige methode. Ik weet niet om hoeveel appartementen het gaat, maar volgens mij maak je het dan nodeloos ingewikkeld door, zeg, 120 verschillende interfaces aan een router te hangen.

Niet om het een of ander maar het lijkt mij niet dat enterprises en telecom providers bin voorkeur omslachtig werken, de TS geeft aan geen servers te willen en verdere alternatieven worden niet geboden.

Ik heb op zich aardig wat ervaring met vlans en intervlan routing en ben dus ook van mening dat het helmaal niet omslachtig is daar een server inrichten echt wel meer tijd kost.

Dus als de heren het niet met mij eens zijn verzoek ik ze toch om niet alleen negetieve reply te posten maar ook alternatieven met motivatie.

[time_1]

Verwijderd schreef op 08 juli 2004 @ 16:19:
ooit gehoord van dot1q trunking of isl ?

Je kunt hiervoor het beste een cisco router met trunking support aanschaffen.

dit houdt in dat je de switch (als deze trunking support) alle vlans met een label kunt versturen naar de router over een fysieke poort. Daar kun je alle vlans op eigen sub interfaces zetten en met access-listen de toegang naar elkaar verhinderen of beperkt toestaan. (net wat je wilt)

ik gebruik zelf een cisco 3620 router i.c.m. een 2950t switch en die kunnen dat allemaal.

ik gebruik het zelf om mijn draadloze access point te isoleren van mijn vaste lan.

Wat voor switch heb je ?

Het is een Cisco Catalyst 2924 XL (24 ports).
Het appartementencomplex bestaat uit 17 appartementen.

En dat je met een 1 uplink naar de Router kan, wist ik nog niet. Kan je daarvoor ook het ADSL Modem/Router daarvoor gebruiken?

Heb je ook nog meer documentatie? (cisco link is al handig).

[Verwijderd]

Verwijderd schreef op 09 juli 2004 @ 08:48:
Dus als de heren het niet met mij eens zijn verzoek ik ze toch om niet alleen negetieve reply te posten maar ook alternatieven met motivatie.

Hoho, ik ben niet negatief over jouw oplossing, ik zet alleen m'n vraagtekens bij de efficiëntie en onderhoudsniveau ervan.

[Verwijderd]

Verwijderd schreef op 09 juli 2004 @ 09:30:
[...]
Hoho, ik ben niet negatief over jouw oplossing, ik zet alleen m'n vraagtekens bij de efficiëntie en onderhoudsniveau ervan.

En wat is je alternatief dan ?

[Verwijderd]

Verwijderd schreef op 09 juli 2004 @ 09:34:
En wat is je alternatief dan ?

Weezer-DC schreef op 08 juli 2004 @ 13:54:
gewoon zorgen dat alle pc een virusscanner en firewal hebben.

Mensen moet toch ook zelf de deur op slot doen en de auto afsluiten.
Eventueel kan jij het doen voor zeg 15 euro per uur.

Dat is mijn alternatief.

[Verwijderd]

Verwijderd schreef op 09 juli 2004 @ 09:42:
[...]


[...]

Dat is mijn alternatief.

Ik dacht dat de topic starter duidelijk aangaf middels de topic titel dat hij zocht naar centrale beveiliging ?! Niet om het een of ander maar jouw oplossing voldoet gewoon niet aan het geen de TS vraagd.

[ Voor 4% gewijzigd door Verwijderd op 09-07-2004 10:22 ]

[time_1]

MASH_MAN heeft gelijk ik wil het centraal kunnen regelen.

Ik weet nu dat het kan, nu moet ik alleen nog weten hoe ik het beste kan doen.

[Verwijderd]

time_1 schreef op 09 juli 2004 @ 09:20:
[...]


Het is een Cisco Catalyst 2924 XL (24 ports).
Het appartementencomplex bestaat uit 17 appartementen.

En dat je met een 1 uplink naar de Router kan, wist ik nog niet. Kan je daarvoor ook het ADSL Modem/Router daarvoor gebruiken?

Heb je ook nog meer documentatie? (cisco link is al handig).

Als het een 2924xl is hoop ik dat het er een is met 8mb memory daar de 4mb versie geen trunking ondersteund. (4mb heeft meestal witte front letters 8mb heeft meestal gele, een show version is natuurlijk het allerduidelijkst)

Ik zou als ik jou was even algemeen op 802.1q gaan googlen om hier meer over te weten te komen.

Ik weet dat b.v. de draytek 2900 vlans ondersteund echter de filter mogenlijkheden tussen de vlans zijn mij niet echt duidelijk.

Een cisco 2611 full mem zou prima kunnen hou er echter rekening mee dat je hier wel de goede software bij nodig hebt, bij voorkeur een image met firewall features en ip plus voor je trunking.

Maarre waarmee ga je voeden ?

Als je werkelijk intresse hebt in de mogenlijkheden van een goede cisco combo switch / router mag je wel eens komen kijken, als je een lappie met netwerk kaart mee neemt kan ik je dan alles demonstreren aangezien ik zoals eerder aangegeven reeds een dergelijke setup gebruik.

stuur maar een pm.

[ Voor 23% gewijzigd door Verwijderd op 09-07-2004 10:34 ]

[aZuL2001]

Topicstarter zoekt naar centrale beveiliging.

Alleen is dit imho eerder een geval van symptoom bestrijding dan van het probleem aanpakken.

Mag imho nauwelijks de term beveiliging krijgen zo.

[Verwijderd]

aZuL2001 schreef op 09 juli 2004 @ 10:30:
Topicstarter zoekt naar centrale beveiliging.

Alleen is dit imho eerder een geval van symptoom bestrijding dan van het probleem aanpakken.

Mag imho nauwelijks de term beveiliging krijgen zo.

Over welke oplossing heb je het nu ?

[Koffie]

Verwijderd schreef op 09 juli 2004 @ 08:48:
[...]
Dus als de heren het niet met mij eens zijn verzoek ik ze toch om niet alleen negetieve reply te posten maar ook alternatieven met motivatie.

Verwijderd schreef op 09 juli 2004 @ 10:11:
[...]
Ik dacht dat de topic starter duidelijk aangaf middels de topic titel dat hij zocht naar centrale beveiliging ?! Niet om het een of ander maar jouw oplossing voldoet gewoon niet aan het geen de TS vraagd.

Hardstikke leuk, maar technisch je vragen bij een oplossing zetten en daarover discussieren heeft niets met negatief te maken.
Verder mag er gerust doorgediscussierd worden over aangedragen oplissingen, het is daarvoor nog steeds geen verlpichting om een andere/beter/alternatieve oplossing aan te draagen.

Gelieve hieraan te denken, je zit je replys redelijk op te het randje.

[Verwijderd]

Koffie schreef op 09 juli 2004 @ 11:25:
[...]


[...]


Hardstikke leuk, maar technisch je vragen bij een oplossing zetten en daarover discussieren heeft niets met negatief te maken.
Verder mag er gerust doorgediscussierd worden over aangedragen oplissingen, het is daarvoor nog steeds geen verlpichting om een andere/beter/alternatieve oplossing aan te draagen.

Gelieve hieraan te denken, je zit je replys redelijk op te het randje.

Als de TS iets duidelijk aangeeft vind ik het allemaal leuk en aardig dat er andere meningen over bestaan maar hier is dat niets anders als off-topic, de laatste post van de TS geeft dat heel duidelijk aan.

Mijn punten zijn gewoon :

Vlans trunken is met de juiste apparatuur niet ingewikkeld inefficient of beheers intensief.

Met een goede router kun je op diverse lagen van het osi model zeer flexibel sturen.

En dat is gewoon het geen de TS meer over wil weten.

Als ik daar iets te krachtig over was mijn excuses het is nooit mijn bedoeling iemand te kwetsen.

[ Voor 27% gewijzigd door Verwijderd op 10-07-2004 18:27 ]