Primeiramente, eu postaria isso no Server Fault, mas honestamente, não sou administrador de rede, sou um estudante de CS que foi chamado para resolver algo para uma empresa familiar muito pequena que acabou de se mudar para uma pequena empresa. espaço de escritório e realmente não tenho dinheiro disponível para contratar alguém para resolvê-lo, então estou tendo que aprender o que é necessário para concluir o trabalho. Também estou ciente de que essa pergunta 'LAN dentro de uma LAN' já foi feita, portanto, fique à vontade para marcar isso como duplicado, embora nenhuma das perguntas existentes realmente tenha respondido às perguntas que tenho.
Assim, a questão. O escritório para o qual nos mudamos está sendo convertido de um grande edifício usado anteriormente por uma única empresa em um 'centro de negócios', com quartos individuais sendo alugados. Cada sala está conectada com várias portas Ethernet que levam de volta a uma sala de rede com um gabinete cheio de switches para unir tudo, embora nada disso esteja sendo usado até onde sei. O cara que gerenciava a rede ficou redundante e agora é principalmente um santuário para sua falta de gerenciamento de cabos.
As empresas atuais que ocupam os quartos dependem de uma rede wifi fornecida por um provedor de serviços de Internet 'BT HomeHub', fornecido por um roteador / modem doméstico. Como somos regulados pelo governo, não gosto da idéia de compartilhar uma rede e duvido que os reguladores também.
Então, quais são as opções aqui? Eu realmente não posso fazer nada sobre o roteador / modem doméstico, pois existem várias outras empresas compartilhando isso para acesso sem fio. Idealmente, gostaria de acessar a Internet por meio deste modem, mas preciso garantir que a rede em que estamos operando seja completamente inacessível pelos outros dispositivos da rede que não fazem parte de nossos negócios. Estive pesquisando algumas das ofertas de roteadores para pequenas empresas da Cisco, juntamente com pontos de acesso sem fio (o acesso sem fio é a prioridade imediata), mas não tenho certeza se posso conseguir o que foi mencionado acima com um deles e quero ter certeza antes de fazer o pedido. hardware.
Tenho certeza de que a melhor opção seria simplesmente executar outra linha no edifício, mas isso adiciona um custo mensal extra mais um contrato de serviço, por isso, evito isso no momento.
Alguma idéia sobre a melhor opção nessa situação e como eu posso fazer isso?
fonte
Respostas:
Primeiro: se você está sob a obrigação legal de fornecer separação de tráfego, sempre peça a alguém com autoridade para assinar qualquer plano conforme os requisitos legais antes de começar a implementá-lo. Dependendo dos requisitos legais específicos, pode ser que você precise fornecer redes fisicamente separadas sem um ponto de confiança comum.
Dito isso, acho que você basicamente tem três opções: VLANs 802.1Q (melhor) e várias camadas de NAT (pior) e redes fisicamente separadas (mais seguras, mas também complicadas e provavelmente mais caras devido à religação física) .
Estou assumindo aqui que tudo o que já está conectado é Ethernet. Uma parte do padrão geral da Ethernet é o IEEE 802.1Q , que descreve como estabelecer LANs da camada de link distintas no mesmo link físico. Isso é conhecido como VLANs ou LANs virtuais (nota: a WLAN não tem relação alguma e, nesse contexto, normalmente significa LAN sem fio e muitas vezes refere-se a uma das variantes do IEEE 802.11 ). Em seguida, você pode usar um switch de gama alta (o material barato que você pode comprar para uso doméstico geralmente não possui esse recurso; você deseja procurar um switch gerenciado , de preferência aquele que anuncia especificamente o suporte 802.1Q, esteja preparado para pagar um prêmio pelo recurso) configurado para segregar cada VLAN em um conjunto de (possivelmente apenas uma) porta (s). Em cada VLAN, então, comutadores de consumidor comuns (ou gateways NAT com uma porta de uplink Ethernet, se desejado) podem ser usados para distribuir ainda mais o tráfego na unidade de escritório.
A vantagem das VLANs, em comparação com várias camadas de NAT, é que é completamente independente do tipo de tráfego nos fios. Com o NAT, você fica preso ao IPv4 e, talvez, ao IPv6, se tiver sorte, e também precisa enfrentar todas as dores de cabeça tradicionais do NAT, porque o NAT interrompe a conectividade de ponta a ponta (o simples fato de você poder obter uma lista de diretórios de um O servidor FTP através do NAT é um testemunho da engenhosidade de algumas das pessoas que trabalham com essas coisas, mas mesmo essas soluções alternativas geralmente assumem que existe apenas um NAT ao longo da rota de conexão); com VLANs, porque usa uma adição ao quadro Ethernet , literalmente qualquer coisaque podem ser transferidos pela Ethernet podem ser transferidos pela VLAN Ethernet e a conectividade de ponta a ponta é preservada; portanto, no que diz respeito ao IP, nada mudou, exceto o conjunto de nós acessíveis no segmento de rede local. O padrão permite até 4.094 (2 ^ 12 - 2) VLANs em um único link físico, mas equipamentos específicos podem ter limites mais baixos.
Daí a minha sugestão:
Ao configurar os comutadores, limite absolutamente cada VLAN ao seu próprio conjunto de portas e verifique se todas essas portas vão apenas para uma única unidade de escritório. Caso contrário, as VLANs serão pouco mais do que sinais de cortesia "não perturbe".
Como o único tráfego que alcança as saídas Ethernet de cada unidade seria o seu (graças à configuração de VLANs separadas e segregadas), isso deve proporcionar uma separação adequada sem exigir que você reconecte tudo como redes verdadeiramente fisicamente separadas.
Além disso, especialmente se você implementar VLANs ou terminar de religar tudo, aproveite a oportunidade para marcar corretamente todos os cabos com números de unidade e porta! Levará algum tempo extra, mas valerá a pena avançar, especialmente se houver algum tipo de problema de rede no futuro. Verifiquei que herdei um ninho de cabos de rato. E agora? na falha do servidor para obter algumas dicas úteis.
fonte