10
VLAN-Umgebung überhaupt sinnvoll?
Guten Tag,
seit längerem verlangt man von mir eine Trennung des Netzwerks in VLANs.
Ich habe das Netz wie folgt übernommen.
10.0.0.0/16
10.0.1.* <- Clients
10.0.2.* <- Server
10.0.3.* <- Printer/Scanner etc
.
.
.
Das Netzwerk wird geswitches von sieben HP ProCurve L3 Switches die via SPF+ verbunden sind.
Es sind vier Abteilungen von Clients. Drei sind immer auf einen ort konzentriert, die Vierte verteilt sich über den Standort. Dann gibt es noch ca 40 Geräte wie IPCams, Drucker, Scanner, Projektoren, Alarmsysteme etc.
Die Vorteile von VLANs sind ja klar:
- kleinerer Broadcast
- sichere Trennung von empfindlichen Systemen
etc.
Nun die Frage, lohnt es sich in unserem Fall? Es wäre ein enormer Aufwand, keiner weiß wo was wirklich gepatched ist etc.
Und man müsste den kompletten Traffic routen, da z.B. jemand aus Abteilung x auch auf alle Server muss und evtl. ans Alarmsystem usw.
Viele Grüße
seit längerem verlangt man von mir eine Trennung des Netzwerks in VLANs.
Ich habe das Netz wie folgt übernommen.
10.0.0.0/16
10.0.1.* <- Clients
10.0.2.* <- Server
10.0.3.* <- Printer/Scanner etc
.
.
.
Das Netzwerk wird geswitches von sieben HP ProCurve L3 Switches die via SPF+ verbunden sind.
Es sind vier Abteilungen von Clients. Drei sind immer auf einen ort konzentriert, die Vierte verteilt sich über den Standort. Dann gibt es noch ca 40 Geräte wie IPCams, Drucker, Scanner, Projektoren, Alarmsysteme etc.
Die Vorteile von VLANs sind ja klar:
- kleinerer Broadcast
- sichere Trennung von empfindlichen Systemen
etc.
Nun die Frage, lohnt es sich in unserem Fall? Es wäre ein enormer Aufwand, keiner weiß wo was wirklich gepatched ist etc.
Und man müsste den kompletten Traffic routen, da z.B. jemand aus Abteilung x auch auf alle Server muss und evtl. ans Alarmsystem usw.
Viele Grüße
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 193238
Url: https://administrator.de/contentid/193238
Printed on: April 20, 2024 at 00:04 o'clock
10 Comments
Latest comment
Hallo,
ob sich der Aufwand lohnt denn lohnt, kannst du für dich am Besten entscheiden.
Wenn du sagst, dass du im Moment eh keinen Überblick über die Verkabelung hast, ist das schonmal ein Vorteil der anstehenden Arbeit.
Grundlegend musst du dir die Frage stellen, wie du trennst ... Nach Netzen, oder evtl. doch User/Client spezifisch
Gruß griddi
ob sich der Aufwand lohnt denn lohnt, kannst du für dich am Besten entscheiden.
Wenn du sagst, dass du im Moment eh keinen Überblick über die Verkabelung hast, ist das schonmal ein Vorteil der anstehenden Arbeit.
Grundlegend musst du dir die Frage stellen, wie du trennst ... Nach Netzen, oder evtl. doch User/Client spezifisch
Gruß griddi
Hallo,
auf jeden Fall...
Da du ja auch keine Dokumentation hast kannst du alles vorbereiten, die Dokumentation anlegen und dann an einem Wochenende umstellen...
Dann hast du ein sauberes Netzwerk inklisive einer anständigen Dokumentation.
Außerdem kannst du damit auch andere Anforderungen wie die Abschpttung der Server von den Clients besser realiseren.
Ich vermute mal das du ein gewachsenes Netzwerk übernommen hast und an keiner Stelle dokumentiert ist wer in dem Netzwerk Zugriffsrechte auf welchen Server in welchem Umfang hat.
Ist deine Angabe
so richtig???
Den dann hst du nicht mal eine Trennung der Netze...mit einer Maske /16 sind die 3 Bereiche nämlich in einem NETZ.
brammer
auf jeden Fall...
Da du ja auch keine Dokumentation hast kannst du alles vorbereiten, die Dokumentation anlegen und dann an einem Wochenende umstellen...
Dann hast du ein sauberes Netzwerk inklisive einer anständigen Dokumentation.
Außerdem kannst du damit auch andere Anforderungen wie die Abschpttung der Server von den Clients besser realiseren.
Ich vermute mal das du ein gewachsenes Netzwerk übernommen hast und an keiner Stelle dokumentiert ist wer in dem Netzwerk Zugriffsrechte auf welchen Server in welchem Umfang hat.
Ist deine Angabe
10.0.0.0/16
10.0.1.* <- Clients
10.0.2.* <- Server
10.0.3.* <- Printer/Scanner etc
.
10.0.1.* <- Clients
10.0.2.* <- Server
10.0.3.* <- Printer/Scanner etc
.
so richtig???
Den dann hst du nicht mal eine Trennung der Netze...mit einer Maske /16 sind die 3 Bereiche nämlich in einem NETZ.
brammer
Hi ocrix,
ich kann mich den Vorrednern (besonders brammer) nur anschließen.
Außerdem hast du ja schon sicherheitskritische Bereiche, die unbedingt abgeschottet gehören:
IP-cams mit QoS
Alarmsysteme
Projektoren
Und irgendwann kommen noch IP-Telefone dazu und du bist vorbereitet.
Deine Umgebung erlaubt es außerdem.
Fange also einmal klein an und stelle schön auf DHCP mit ip-helpern um.
Wenn du das Thema diesen Monat abbügeln kannst - im nächsten kommt es wieder hoch. Und wenn etwas klemmt, ist das ganze Netz tot.
Gruß
Netman
ich kann mich den Vorrednern (besonders brammer) nur anschließen.
Außerdem hast du ja schon sicherheitskritische Bereiche, die unbedingt abgeschottet gehören:
IP-cams mit QoS
Alarmsysteme
Projektoren
Und irgendwann kommen noch IP-Telefone dazu und du bist vorbereitet.
Deine Umgebung erlaubt es außerdem.
Fange also einmal klein an und stelle schön auf DHCP mit ip-helpern um.
Wenn du das Thema diesen Monat abbügeln kannst - im nächsten kommt es wieder hoch. Und wenn etwas klemmt, ist das ganze Netz tot.
Gruß
Netman
Guten Tag,
danke für eure Ratschläge.
Ich denke ich werde es in Angriff nehmen.
Habt ihr eventuell Tipps und Tools die helfen könnten?
Also z.B. mit Hilfe von Zugriff auf den AD und die Switches Ports und Clients zuordnen.
Viele Grüße
danke für eure Ratschläge.
Ich denke ich werde es in Angriff nehmen.
Habt ihr eventuell Tipps und Tools die helfen könnten?
Also z.B. mit Hilfe von Zugriff auf den AD und die Switches Ports und Clients zuordnen.
Viele Grüße
Ja, gibt es.
Aber da du weder Hersteller noch Typen erwähnst ist kaum zu helfen.
Es gibt Switchhersteller, die mit ihren eigenen Tools und der Leistungsfähigkeit der L3 Switche komplette Umgebungen automatisieren können. Meist wird das, aber wenn es automatisch stattfinden soll auf einem externen Server, evtl einer virtuellen Maschine gemacht.
Die Grundarbeit und das Konzept muss aber vorher stehen. Von alleine klappts es nicht.
lg
Netman
Aber da du weder Hersteller noch Typen erwähnst ist kaum zu helfen.
Es gibt Switchhersteller, die mit ihren eigenen Tools und der Leistungsfähigkeit der L3 Switche komplette Umgebungen automatisieren können. Meist wird das, aber wenn es automatisch stattfinden soll auf einem externen Server, evtl einer virtuellen Maschine gemacht.
Die Grundarbeit und das Konzept muss aber vorher stehen. Von alleine klappts es nicht.
lg
Netman
Sorry, bin etwas durch den Wind.
Sind sechs HP ProCurve 2910al-24G bzw. 48G und zwei 3Com Baseline Switch 2920.
Na klar, ich will mich auch nicht vor der Arbeit drücken ;) Allerdings ist dieses Netz so unglaublich gewachsen, ohne Helferlein wirds hart.
Viele Grüße
Sind sechs HP ProCurve 2910al-24G bzw. 48G und zwei 3Com Baseline Switch 2920.
Na klar, ich will mich auch nicht vor der Arbeit drücken ;) Allerdings ist dieses Netz so unglaublich gewachsen, ohne Helferlein wirds hart.
Viele Grüße
Na, da hast du aber Glück. Sowohl die Procurves, als auch die Ciscos lassen sich mit Textkonfigurationen bedienen. Wenn es einmal sauber klappt, kann man die Grundkonfiguration, respektive die Änderung weiter nutzen.
Das fängt an mit dem Konfigurieren der VLANs und der uplinks....
Und nicht zu vergessen das Routing, aber das muss ja nur auf den schnellsten aus der Serie.
lg
Das fängt an mit dem Konfigurieren der VLANs und der uplinks....
Und nicht zu vergessen das Routing, aber das muss ja nur auf den schnellsten aus der Serie.
lg
Der Aufwand einer Segmentierung lohnt immer wie dir die positiven Feedbacks hier ja klar sagen.
Dein Problem hat aber mit der Fragestellung auch nichts zu tun.
Wenn du/ihr wegen Schlampigkeit keinerlei Netzwerk Dokumentation anfertigt ist das keine Rechtfertigung für den Sinn einer Segmentierung, aber das ist dir vermutlich selbst klar, denn eine VLAN Segmentierung kann man prima aus dem laufenden Betrieb machen ohne das es groß stört.
Ein nicht vorhandener Patchplan ändert nichts daran, verzögert es nur.
Wie bereits gesagt ist das für dich die Chance ganz nebenbei die Netzwerk Doku mal auf Vordermann zu bringen !
Wenns das denn nun war bitte dann auch
How can I mark a post as solved?
nicht vergessen !
Dein Problem hat aber mit der Fragestellung auch nichts zu tun.
Wenn du/ihr wegen Schlampigkeit keinerlei Netzwerk Dokumentation anfertigt ist das keine Rechtfertigung für den Sinn einer Segmentierung, aber das ist dir vermutlich selbst klar, denn eine VLAN Segmentierung kann man prima aus dem laufenden Betrieb machen ohne das es groß stört.
Ein nicht vorhandener Patchplan ändert nichts daran, verzögert es nur.
Wie bereits gesagt ist das für dich die Chance ganz nebenbei die Netzwerk Doku mal auf Vordermann zu bringen !
Wenns das denn nun war bitte dann auch
How can I mark a post as solved?
nicht vergessen !
Hallo,
@MrNetman
stellst du die 3com Gurken mit Cisco auf eine Ebene oder wieso kommst du darauf das es Cisco Switche sind?
3com gehört inzwischen zu HP was zumindest auf dem Switch Sektor nach meinem Eindruck beiden nicht gut bekommen ist...
brammer
@MrNetman
stellst du die 3com Gurken mit Cisco auf eine Ebene oder wieso kommst du darauf das es Cisco Switche sind?
3com gehört inzwischen zu HP was zumindest auf dem Switch Sektor nach meinem Eindruck beiden nicht gut bekommen ist...
brammer
Hi Brammer,
habe mich vertan. Ich habe cisco 2950 statt 3Com 2920 gesehen.
Ja die 3Coms können mit den VLANs umgehen, aber so einfach gehts da wohl nicht, oder nur, wenn das NEtzwerk einfach ist. Ich hatte mit denen schon zu tun. Sie waren aber dort nicht ursächlich für die Netzwerkprobleme verantwortlich.
Netman
habe mich vertan. Ich habe cisco 2950 statt 3Com 2920 gesehen.
Ja die 3Coms können mit den VLANs umgehen, aber so einfach gehts da wohl nicht, oder nur, wenn das NEtzwerk einfach ist. Ich hatte mit denen schon zu tun. Sie waren aber dort nicht ursächlich für die Netzwerkprobleme verantwortlich.
Netman
