Назад | Перейти на главную страницу

Разработка сегментированной локальной сети с достаточно общим высокоскоростным доступом в Интернет при ограниченном бюджете.

Вместе с другим членом ассоциации владельцев мне было поручено спроектировать и установить общий высокоскоростной доступ в Интернет для нашего многоквартирного дома. У нас очень небольшой бюджет, и мы надеемся, что сможем это сделать, имея под рукой оборудование (то есть не самое современное).

У меня более чем десятилетний опыт работы системным администратором, но я уделяю особое внимание серверной стороне вещей. Хотя я не новичок в (большей части) условий и хотя бы с некоторым практическим опытом создания небольших сетей, проектирование такой установки определенно выходит за рамки моей основной компетенции.

У меня есть идея, как этого добиться, но я, вероятно, не все принял во внимание, и второе мнение и проверка здравомыслия, безусловно, приветствуются.

Хотя этот вопрос основан на моей конкретной задаче, я думаю, что ответы составят в целом разумный подход к настройке справедливого совместного, сегментированного, многопользовательского доступа в Интернет при ограниченном бюджете. Надеюсь, это приемлемо для этого сайта.

Как это лучше всего сделать?

Объем

Окружающая среда

Аппаратное обеспечение

Возраст всего оборудования не менее 5 лет. Некоторые из них были куплены нами некоторое время назад, некоторые были переданы нам, потому что они были слишком старыми для производственного использования этой компанией (дорогое обслуживание, производительность и все такое).

Требования и цели

Черновая идея дизайна

Физическая сеть

Настройка LAN

Сервер

Вопросы

Изменить: чем мы закончили

Приносим извинения за радиомолчание, но мы приложили немало усилий, чтобы настроить сеть так, как мы хотели. Оказалось, что это была настоящая PITA, пытающаяся настроить сегрегацию для каждого порта коммутатора на коммутаторах разных марок.

Конкретная модель коммутаторов Dell, которые мы получили, была одной из немногих, которые не поддерживали частные VLAN. Вместо этого мы приобрели старый 48-портовый коммутатор Allied Telesis, но хотя «частные» порты не могли взаимодействовать друг с другом, каждый порт не был отделен от административной сети, что нам и требовалось. Функция «изоляции портов» HP работала, как было заявлено, но у них не было достаточного количества портов.

После некоторых усилий нам удалось заполучить 1 x 48 портов и 2 x 24 порта Cisco Catalyst 2950 - каждый с 2 ​​гигабитными портами восходящей связи, остальные 100 Мбит. Какая разница! Больше не нужно возиться с тем, чтобы различные варианты поставщиков одной и той же функции работали вместе.

Мы запускаем pfSense virtual вместе с несколькими виртуальными машинами низкой интенсивности и можем легко маршрутизировать 300 Мбит / с без проблем с сервером.

В обобщенном виде это то, что мы сделали для достижения наших целей, и это то, чем мы сейчас занимаемся. Надеюсь, это может оказаться кому-то полезным. Спасибо за вклад!

Физическая сеть

Конфигурация переключателя

Конфигурация pfSense (и немного VMWare)

Это в значительной степени конфигурация, относящаяся к моим вопросам. Мы также добавили OpenVPN для удаленного доступа администратора, автоматического резервного копирования конфигурации с ПК с Windows, добавили интерфейс DMZ и продолжаем тонкую настройку и улучшение нашего теперь сверхмощного межсетевого экрана / маршрутизатора с 6 интерфейсами! :-)

  • Наша идея проходит вашу проверку на здравомыслие?

Я бы подумал об обработке интерфейсов VLAN в pfSense, а не испортил бы ESXi 54 дополнительными сетевыми адаптерами, о которых ему действительно не нужно знать (личные предпочтения).

Вы ничего не упомянули о своей адресации, но, предполагая, что вы используете частные адреса RFC1918 (так что у вас есть полный контроль), убедитесь, что адресация имеет смысл. Лично мне нравится, чтобы мои теги VLAN соответствовали моим подсетям. В этом случае я бы сделал что-то вроде этого:

10.0.0.0/24   => Admin
10.1.101.0/24 => Apartment 1 (VLAN 101)
10.1.102.0/24 => Apartment 2 (VLAN 102)
...
10.1.154.0/24 => Apartment 54 (VLAN 154)

Я добавил 100 к VLAN, поскольку вы не хотите использовать VLAN 1 для квартиры 1. Я также сохранил подсети администратора и квартиры в отдельном / 16, чтобы вы могли аккуратно маршрутизировать VLAN квартиры (в одном CIDR) отдельно в будущее, если это будет необходимо.

Как вы будете справляться, когда арендаторы хотеть иметь межквартирный транспорт? (например, я очень хороший друг со своим соседом, и я хочу поделиться с ним видео на моем NAS). Это не столько технический вопрос, сколько вопрос политики.

  • Есть ли явные недостатки или подводные камни в дизайне?

У вас будет много сетевых адаптеров в pfSense, которые вам нужно будет убедиться, что между ними нет маршрутизации. Я не использовал pfSense в течение многих лет, но в принципе вам необходимо настроить политику DENY по умолчанию. Это предотвратит маршрутизацию трафика Apt X к Apt Y без необходимости вручную гарантировать, что политика всегда на месте. Затем создайте индивидуальные политики РАЗРЕШЕНИЯ, чтобы разрешить каждому доступ только через Интернет-соединение.

  • Разумно ли ожидать маршрутизации 300+ Мбит / с от виртуализированной pfSense?

Я не понимаю, почему бы и нет, когда вы используете гигабитные сетевые адаптеры. Виртуализация не добавляет таких накладных расходов.

  • Какого рода агрегацию каналов мы можем / должны использовать для соединения двух разных марок коммутаторов вместе - предпочтительно обеспечивая как отказоустойчивость, так и восходящий канал n раз 100 Мбит / с

LACP.

  • Можем ли мы ожидать, что VLAN будет работать должным образом, сочетая тегированные и немаркированные коммутаторы разных марок, за счет агрегации каналов и передачи их в VMWare?

802.1q - это «стандарт» ... В зависимости от возраста коммутаторов, если они были разработаны, когда 802.1q все еще дорабатывалась, они могли бы сделать что-то «странное», но вы должны быть в полной безопасности.

  • Учитывая предложенный дизайн, я не совсем уверен, как мы будем обрабатывать маршрутизацию и разрешать доступ к административной VLAN из выбранных квартир (тех, кто управляет установкой), но в целом это второстепенная вещь.

Политика запрета по умолчанию предотвратит это, поэтому вам просто нужно добавить явное разрешение ALLOW, чтобы разрешить это.