Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Fileserver in mehreren LAN-Segmenten bereitstellen

Frage Microsoft Windows Netzwerk

Mitglied: Pixel1001

Pixel1001 (Level 1) - Jetzt verbinden

22.01.2014, aktualisiert 18:09 Uhr, 2210 Aufrufe, 10 Kommentare

Hallo liebe Administratoren,

ich hatte vor langer Zeit einmal folgendes Problem gepostet, leider ohne Lösung:

Alter Beitrag


Ich möchte das Thema noch einmal auffrischen und eine neue Lösung erarbeiten.


Im Prinzip geht es um die Sicherheit und genaue Abgrenzung von Netzwerksegmenten.
In der Praxis existieren verschiedene Segmente für unterschiedliche Abteilungen.
Jede Abteilung hat eigene Drucker und eigene Netzwerkfähige Komponenten wie z.B. Scanner, Messgeräte usw. .

Bis dahin kein Problem.
Jetzt haben wir aber für das ERP-System einen Fileserver oder auch nur einen EXCHANGE-Server welcher aber in allen Segmenten benötigt wird. Routen klappt nicht aus dem alten oben benannten Problem.

Hier nun die Frage:

Wie löst Ihr das Problem in solchen Umgebungen?

1. LAN mit allen Dienstservern und dann alle Subnetze geroutet in das "Dienst-LAN" ~ Performance?
2. Applikationsserver welche die Dienste im jeweiligen Segment anbieten ?
3. in jedem Segment den Server anbieten (ca. 10 Links je Server) ?

Ich stehe auf dem Schlauch.

Vielen Dank für eure Hilfe.


Mitglied: Lochkartenstanzer
22.01.2014, aktualisiert um 18:15 Uhr
Moin,

Ich würde Deine Infrastruktur auf VLANs migriren und die Server in ein eigenes VLAN stecken, zu dem dann die anderen durchgeroutet werden, die da drauf zugreifen sollen. Die multiplen Beinchen in verschiedene Netze würde ich abschalten und nur eine NIC in das Server-VLAN lassen.

lks
Bitte warten ..
Mitglied: aqui
22.01.2014 um 19:06 Uhr
Ganz klar VLANs ggf. mit einem Layer 3 Switch.
Wenn dein Switch keine VLANs kann lohnt es in jedem Fall einen solchen zu beschaffen und das Netz entsprechend zu segmentieren:
http://www.administrator.de/wissen/vlan-installation-und-routing-mit-m0 ...
Ggf. klappt es auch direkt mit dem Server:
http://www.administrator.de/wissen/vlan-routing-über-802-1q-trunk- ...
oder mit separaten NICs:
http://www.administrator.de/wissen/routing-mit-2-netzwerkkarten-unter-w ...

In jedem Falle ist die Lösung mit einem VLAN Switch technisch vorzuziehen und "state of the art" !
Grundlageninfos zu VLANs findest du hier:
http://www.schulnetz.info/vlan-einstieg-was-ist-ein-vlan/
Bitte warten ..
Mitglied: Dobby
22.01.2014 um 19:35 Uhr
Hallo,

ich würde die gesamte Netzwerkstruktur eventuell einmal überdenken
und gegebenenfalls eventuell ganz neu ausrichten.
(Core Layer / Distributed Layer / Access Layer)


Man könnte;
- eine DMZ einrichten und in eben diese dann den Exchange Server stellen
So ist dieser für alle erreichbar und es ist kein Link direkt vom Internet ins LAN vorhanden
- VLANs für alles anlegen und dann die Mitgliedschaften der einzelnen Geräte zuweisen
Hilft ungemein bei der Fehlersuche und grenzt diese auch noch ein
- Eventuell neue Switche kaufen und diese dann "stapeln" (Switch stack)
//Es sollten Switche sein die zum Einen die Last tragen können und zum Anderen
von einem Hersteller sind, so dass sie auch alle benötigten Funktionen mitbringen
und auch alle untereinander bzw. miteinander kompatibel sind,

Wie löst Ihr das Problem in solchen Umgebungen?
Mit neuen Switchen die den Anforderungen gewachsen sind und die benötigten
Funktionen mitbringen und zusätzlich noch performant genug sind der Netzwerklast
gerecht zu werden.

1. LAN mit allen Dienstservern und dann alle Subnetze geroutet in das "Dienst-LAN" ~ Performance?
Layer3 Switche als "Stapelrouter" (Stackmaster) und Layer2 + Switche im restlichen Stack.

2. Applikationsserver welche die Dienste im jeweiligen Segment anbieten ?
Ein eigenes VLAN für Server und die sind dann Mitglieder mehrerer VLANs

3. in jedem Segment den Server anbieten (ca. 10 Links je Server) ?
Die Server an besonders performante Switche mittels 10 GBIt/s anbinden und dann
die Switch Stapel (Switch Stacks) untereinander uplinken (Trunks bilden)

Gruß
Dobby
Bitte warten ..
Mitglied: Pixel1001
23.01.2014 um 13:29 Uhr
Hallo,

vielen Dank für die Meinungen und Anregungen.

Also die Hardware und das Netz verwendet schon getrunkte V-Lan's. Die Hardware ist ausreichend vorhanden. Alle HP-Procurve mit genügend Reserven.

Der Ansatz ist also ein "eigenes V-Lan" welches die Dienste anbietet und das ganze Routen.

Wie schaut es mit der Sicherheit aus?
Es sollen z.B. die Mitarbeiter im Lager von Ihrem PC nur Files vom FS erhalten vom DB Server nur den Zugriff auf die DB und von Intranet-Server nur Webseiten abrufen können. Einen andern Zugriff - hier z.B. Filezugriff auf den DB-Server (nur als Bsp.) darf nicht möglich sein.

Also routet dann unsere innere Firewall den ganzen Verkehr. Oder kann ein Switch (den ich noch nicht kenne) auch nur bestimmte Ports Routen?

Dann habe ich einen "Single Point of Failure" mit unserer FW geschaffen, wobei die noch nie ausgefallen ist.

Einmal noch zur Dimension des Netzes einige Eckdaten:

- ca. 150 Clients
- ca. 10 Server mit unterschiedlichen Diensten
- ca. 30 Drucker
- Steuerungsnetz der Produktion( Maschinen, Schreiber usw.)
- QM- Lan (mobile Devices, Messgeräte)
- Management (Server, USV usw.)
- Telefonie ( hier kann der Server in selben LAN liegen)
- Mobile Devices
- Videoserver (Kameras zur Objektüberwachung)
- Webseite aus dem Internet erreichbar
- VPN
- VPN für separates Maschinennetzwerk

und noch Dinge, welche ich vergessen haben

LG,

Pixel
Bitte warten ..
Mitglied: Dobby
23.01.2014 um 19:16 Uhr
Also die Hardware und das Netz verwendet schon getrunkte V-Lan's.
Die Hardware ist ausreichend vorhanden. Alle HP-Procurve mit genügend Reserven.
Also wenn ich das lese stimmt es entweder nicht oder weiter oben stimmt die eine
oder andere Aussage von Dir nicht! Denn wir empfehlen Dir hier alles, aber auch wirklich
alles in VLANs zu packen und dann hast Du die schon angelegt!?

Der Ansatz ist also ein "eigenes V-Lan" welches die Dienste anbietet und das ganze Routen.
Nein das VLAN routet nicht, das VLAN wird geroutet und in der Regel hat man mehrere
Routingpunkte im Netzwerk, mindestens doch vorne einen am WAN Interface und dann
im LAN selber mittels Layer3 Switche, das dort ein Firewall das ganze übernimmt ist
ja auch nicht weiter schlimm nur dann ist bei den Siwtchen wohl eher kein Layer3 Switch
vorhanden und die sind dann wohl eher auch nicht gestapelt. und von daher denke ich dass
eben dort die benannten Reserven nicht vorhanden sind!

Wie schaut es mit der Sicherheit aus?
Tja das sollte man auch an einem Switch mittels
Port Security (Switch ACLs) einstellen können.

Es sollen z.B. die Mitarbeiter im Lager von Ihrem PC nur Files vom FS erhalten
vom DB Server nur den Zugriff auf die DB und von Intranet-Server nur Webseiten
abrufen können. Einen andern Zugriff - hier z.B. Filezugriff auf den DB-Server (nur als Bsp.)
darf nicht möglich sein.
Was ist denn alles im Netzwerk vorhanden? AD, DC, LDAP,........

Also routet dann unsere innere Firewall den ganzen Verkehr.
Dürfen wir auch erfahren was das für eine ist?

Oder kann ein Switch (den ich noch nicht kenne) auch nur bestimmte Ports Routen?
Ja das ist so, ich meine das mit dem "nicht kennen" kann ich nicht nachvollziehen
dafür kenne ich Dich zu wenig bis gar nicht, aber Switche können auch mittels ACLs
sogar recht gut so etwas umsetzten, das ist eben nur immer auch ein wenig mit Arbeit
verbunden.

Dann habe ich einen "Single Point of Failure" mit unserer FW geschaffen,
wobei die noch nie ausgefallen ist.
Dann wäre dieser Punkt alleine im Netzwerk und nicht zusammen mit
vielen anderen Geräten, denn jeder Punkt stellt einen Fehlerpunkt dar.

Einmal noch zur Dimension des Netzes einige Eckdaten:
ok

- ca. 150 Clients
Je Abteilung ein eigenes VLAN

- ca. 10 Server mit unterschiedlichen Diensten
- Internetserver in die DMZ
- LAN Server in ein eigenes VLAN

- ca. 30 Drucker
Eigenes VLAN

- Steuerungsnetz der Produktion( Maschinen, Schreiber usw.)
Eigenes VLAN

- QM- Lan (mobile Devices, Messgeräte)
eigenes VLAN

- Management (Server, USV usw.)
VLAN01 als Management VLAN

- Telefonie ( hier kann der Server in selben LAN liegen)
Sollte immer in eine eigenes VLAN kommen und wenn nicht sogar auf
eine eigenen separaten Switch um den Verkehr besser priorisieren zu können!

- Mobile Devices
Handys, Smartphones, WLAN Barcodescanner oder ewas sind das für Geräte

- Videoserver (Kameras zur Objektüberwachung)
Das selbe wie für die VIOP Telefone

- Webseite aus dem Internet erreichbar
Auf einem eigenen Server in der DMZ.

- VPN
- VPN für separates Maschinennetzwerk
Dual oder MultiWAN Router bzw. Firewall

und noch Dinge, welche ich vergessen haben
Tja das ist immer so eine Sache man will Dir ja auch nicht
immer alles aus der Nase ziehen denn Infos sind immer auch
ein wenig Bringschluden von Dir und nicht Holschulden von uns!
Und daher klinke ich mich dann einmal gepflegt aus an dieser Stelle.

Gruß
Dobby
Bitte warten ..
Mitglied: Pixel1001
23.01.2014 um 22:55 Uhr
Also wenn ich das lese stimmt es entweder nicht oder weiter oben stimmt die eine
oder andere Aussage von Dir nicht! Denn wir empfehlen Dir hier alles, aber auch wirklich
alles in VLANs zu packen und dann hast Du die schon angelegt!?

Hatte ich nicht als Relevant angesehen, im Link zum alten Post wird die Verwendung von V-LAN's beschrieben. Es scheint aber genau der Einsatz der entsprechenden Switche mit Routing und unten angesprochenen ACLs zu sein.


Nein das VLAN routet nicht, das VLAN wird geroutet und in der Regel hat man mehrere
Routingpunkte im Netzwerk, mindestens doch vorne einen am WAN Interface und dann
im LAN selber mittels Layer3 Switche, das dort ein Firewall das ganze übernimmt ist
ja auch nicht weiter schlimm nur dann ist bei den Siwtchen wohl eher kein Layer3 Switch
vorhanden und die sind dann wohl eher auch nicht gestapelt. und von daher denke ich dass
eben dort die benannten Reserven nicht vorhanden sind!
Gestapelt sind die Switche nicht. Sie sind in einem 4-er Trunk über das gesamte Objekt verbunden.

> Wie schaut es mit der Sicherheit aus?
Tja das sollte man auch an einem Switch mittels
Port Security (Switch ACLs) einstellen können.

Jetzt wird es interessant.

> Es sollen z.B. die Mitarbeiter im Lager von Ihrem PC nur Files vom FS erhalten
> vom DB Server nur den Zugriff auf die DB und von Intranet-Server nur Webseiten
> abrufen können. Einen andern Zugriff - hier z.B. Filezugriff auf den DB-Server (nur als Bsp.)
> darf nicht möglich sein.
Was ist denn alles im Netzwerk vorhanden? AD, DC, LDAP,........

Das Netzwerk ist eine reine MS-Landschaft mit einer Domäne und den entsprechenden DC; AD usw. .

> Also routet dann unsere innere Firewall den ganzen Verkehr.
Dürfen wir auch erfahren was das für eine ist?
WAN-FW:
Collax CSG

Innere FW:
Collax CPS auf einem Fujitsu RX 200 S6/ mit 8GB RAM und ausreichend NIC's

> Oder kann ein Switch (den ich noch nicht kenne) auch nur bestimmte Ports Routen?
Ja das ist so, ich meine das mit dem "nicht kennen" kann ich nicht nachvollziehen
dafür kenne ich Dich zu wenig bis gar nicht, aber Switche können auch mittels ACLs
sogar recht gut so etwas umsetzten, das ist eben nur immer auch ein wenig mit Arbeit
verbunden.

Zu den Switchen welche im Einsatz sind:
- HP Procurve 2824; 2848; 6108; 2510G; 1810; 1800

> Dann habe ich einen "Single Point of Failure" mit unserer FW geschaffen,
> wobei die noch nie ausgefallen ist.
Dann wäre dieser Punkt alleine im Netzwerk und nicht zusammen mit
vielen anderen Geräten, denn jeder Punkt stellt einen Fehlerpunkt dar.

Ja, stimmt auch wieder.

> - ca. 150 Clients
Je Abteilung ein eigenes VLAN
Ist so.
> - ca. 10 Server mit unterschiedlichen Diensten
- Internetserver in die DMZ
- LAN Server in ein eigenes VLAN
Das ist Neu also doch ein SERVER-LAN.

> - ca. 30 Drucker
Eigenes VLAN
Die liegen heute im entsprechenden LAN, wobei der Printserver in allen Netzen mit je einem Link angebunden ist.

> - Steuerungsnetz der Produktion( Maschinen, Schreiber usw.)
Eigenes VLAN
Ist so.
> - QM- Lan (mobile Devices, Messgeräte)
eigenes VLAN
Ist so.
> - Management (Server, USV usw.)
VLAN01 als Management VLAN
Ist so.
> - Telefonie ( hier kann der Server in selben LAN liegen)
Sollte immer in eine eigenes VLAN kommen und wenn nicht sogar auf
eine eigenen separaten Switch um den Verkehr besser priorisieren zu können!
Hier muss ich Nacharbeiten.

> - Mobile Devices
Handys, Smartphones, WLAN Barcodescanner oder ewas sind das für Geräte

WLAN Scanner, Funknetz (Piccolink - Scanner)

> - Videoserver (Kameras zur Objektüberwachung)
Das selbe wie für die VIOP Telefone
Hier muss ich Nacharbeiten.

> - Webseite aus dem Internet erreichbar
Auf einem eigenen Server in der DMZ.
Ist so, nur Http + Https wird durchgelassen, der Webserver selbst kommt nicht ins Internet.
> - VPN
> - VPN für separates Maschinennetzwerk
Dual oder MultiWAN Router bzw. Firewall

> und noch Dinge, welche ich vergessen haben
- War nur als lustiger Kommentar gedacht, weil hier die Kopierer mit LAN oder das Fax keine Rolle spielt.

Tja das ist immer so eine Sache man will Dir ja auch nicht
immer alles aus der Nase ziehen denn Infos sind immer auch
ein wenig Bringschluden von Dir und nicht Holschulden von uns!
Und daher klinke ich mich dann einmal gepflegt aus an dieser Stelle.

... Schade, weil hier einer der Ahnung hat geht. Wenn ich wüsste wo der Ansatz in der großen Welt zu finden ist hätte ich sicherlich Punktgenaue Fragen gepostet.

Gruß
Dobby


Ich möchte mich für meine dünne Einleitung Entschuldigen also VLAN, Routing, NAT, SAN, Virtualisierung, VPN sind keine neuen Begriffe und in der Praxis im Einsatz.
Routing im Switch ist für mich Neuland. ACLs sind Neuland.

Bisher haben alle Server in jedem Netz einen Link. Aber was soll die Trennung (außer Broadcast abfangen) wenn ich die Sicherheit am Herz nicht garantieren kann (naja was wird schon garantiert)? Und ich bin bei jedem neuen Server genötigt in alle Netze einen Link zu legen (sofern benötigt).

Ich hoffe es wird einwenig Licht ins Dunkel gebracht.


Danke,

Pixel.
Bitte warten ..
Mitglied: Pixel1001
23.01.2014 um 23:01 Uhr
Zitat von aqui:

Ganz klar VLANs ggf. mit einem Layer 3 Switch.
Wenn dein Switch keine VLANs kann lohnt es in jedem Fall einen solchen zu beschaffen und das Netz entsprechend zu segmentieren:
http://www.administrator.de/wissen/vlan-installation-und-routing-mit-m0 ...
Ggf. klappt es auch direkt mit dem Server:
http://www.administrator.de/wissen/vlan-routing-über-802-1q-trunk- ...
oder mit separaten NICs:
http://www.administrator.de/wissen/routing-mit-2-netzwerkkarten-unter-w ...

In jedem Falle ist die Lösung mit einem VLAN Switch technisch vorzuziehen und "state of the art" !
Grundlageninfos zu VLANs findest du hier:
http://www.schulnetz.info/vlan-einstieg-was-ist-ein-vlan/

Danke für die Antwort.
Im Startpost verlinkten Beitrag habe ich die VLAN - Verwendung schon erwähnt.

Das Routen schaue ich mir an, scheint ja die Lösung zu sein welche ich suche.

Danke,

Pixel
Bitte warten ..
Mitglied: Pixel1001
23.01.2014 um 23:05 Uhr
Zitat von Lochkartenstanzer:

Moin,

Ich würde Deine Infrastruktur auf VLANs migriren und die Server in ein eigenes VLAN stecken, zu dem dann die anderen
durchgeroutet werden, die da drauf zugreifen sollen. Die multiplen Beinchen in verschiedene Netze würde ich abschalten und
nur eine NIC in das Server-VLAN lassen.

lks

Danke.
Ich hatte beim Routen immer einwenig mit Durchsatzproblemen gerechnet und eher Links ins Netz gelegt.

Ich werde es mit einem neuen VLAN und unserer FW einmal Testen.

Pixel.
Bitte warten ..
Mitglied: aqui
24.01.2014 um 17:31 Uhr
beim Routen immer einwenig mit Durchsatzproblemen gerechnet
Das ist Blödsinn und war vielleicht vor 20 Jahren mal so aber mit aktueller Hardware ist das kein Thema mehr !

Wenns das denn war bitte
http://www.administrator.de/faq/32
nicht vergessen.
Bitte warten ..
Mitglied: Lochkartenstanzer
24.01.2014 um 17:33 Uhr
Zitat von aqui:

> beim Routen immer einwenig mit Durchsatzproblemen gerechnet
Das ist Blödsinn und war vielleicht vor 20 Jahren mal so aber mit aktueller Hardware ist das kein Thema mehr !

Manche asoziieren mit Router noch die Platikboxen vom grabbeltisch (AVM, Dlink, netgear, etc) udn die haben durchaus Durchsatzprobleme, wenn sie wirespeed machen sollen.

lks
Bitte warten ..
Neuester Wissensbeitrag
Humor (lol)

Linkliste für Adventskalender

(3)

Information von nikoatit zum Thema Humor (lol) ...

Ähnliche Inhalte
Notebook & Zubehör
Kaufempfehlung Netboook - mit LAN-Anschluss! (4)

Frage von SarekHL zum Thema Notebook & Zubehör ...

Hardware
gelöst Negative Erfahrungen LAN-Karten (19)

Frage von MegaGiga zum Thema Hardware ...

LAN, WAN, Wireless
Client Mode oder Bridge Mode bei Anbindung an einen AP per W Lan (3)

Frage von xpstress zum Thema LAN, WAN, Wireless ...

Heiß diskutierte Inhalte
Router & Routing
gelöst Ipv4 mieten (22)

Frage von homermg zum Thema Router & Routing ...

Windows Server
DHCP Server switchen (20)

Frage von M.Marz zum Thema Windows Server ...

Exchange Server
gelöst Exchange 2010 Berechtigungen wiederherstellen (20)

Frage von semperf1delis zum Thema Exchange Server ...

Hardware
gelöst Negative Erfahrungen LAN-Karten (19)

Frage von MegaGiga zum Thema Hardware ...