Newsgroup: it.comp.reti.locali
Titolo: Dividere le reti, apparati, pc, wifi, etc.

Salve,
 
ho il libro per la certificazione CCNA che mi aspetta da circa un 
mesetto ed a breve dovrò iniziare questo percorso quindi probabilmente 
lui riuscirà a fugare i miei dubbi intanto vado a chiedervi un parare 
per quanto segue:
 
Volendo dividere le reti in base agli utilizzi e pensavo di fare 
qualcosa di questo tipo:
 
- 192.168.0.x/22 -> Firewall, switch, stampanti, barcode reader (wifi), 
telefoni voip (wifi), wifi con dhcp e SSID specifico su questa classe;
- 192.168.1.x/22 -> Server;
- 192.168.2.x/22 -> PC/Laptop aziendali in DHCP cablati;
- 192.168.3.x/22 -> SSID wifi e dhcp specifico su questa classe per 
laptop aziendali in wifi;
- 172.20.20.x/24 -> Wi-Fi guest, SSID wifi e dhcp specifico su questa 
classe;
- 172.16.0.x/24 -> DMZ
 
Per far dialogare la parte LAN pensavo a delle VLAN avendo degli ottimi 
switch Ubiquiti e la parte Wi-Fi sempre gestita da Ubiquiti mentre per 
la DMZ ci pensa PFSense.
 
Ovviamente questa è una bozza ed un modo per iniziare a fare un po' di 
ordine e migliorare la sicurezza, per correttezza dovrei fare una rete 
wifi specifica anche per barcode reader e telefoni voip, devo vedere se 
con la /22 potrei arrivare ad inserire 192.168.4.x adesso faccio due 
calcoli.
 
Saluti.
^Bart


 
Curiosità: perché complicarsi la vita mettendo su VLAN separate degli 
apparati che devono comunque vedersi (server, pc, laptop, stampanti, 
ecc...)? Ok creare una VLAN di management (io di solito vi metto dentro 
gli host ESXi, una macchina specifica per i backup che dialoga con 
l'ESXi, i NAS per tali backup e tutti gli apparati di gestione che non 
devono necessariamente essere raggiungibili dalla rete principale) e 
una VLAN "GUEST" (WiFi autonoma con solo accesso ad internet per gli 
ospiti), ma mettersi a separare tutto solo in base alla funzione vuol 
dire che dopo devi impazzire col routing tra le VLAN.
Se vuoi mantenere una suddivisione logica, puoi limitarti a gestire la 
cosa con le subnet, usando un mascheramento più ampio (255.255.0.0)

 usando un mascheramento più ampio (255.255.0.0)
e la classe ip privata dedicata a questo tipo di applicazione.... 
172.168.x.y

 wifi specifica anche per barcode reader e telefoni voip, devo vedere se 
 
per i telefoni voip direi che è "obbligatoria", per i barcode reader
forse anche no...
non è che bisogna dividere ogni singola cosa
Ci sono aziende che hanno miriadi di reti intrecciate, ma se non le
gestisci bene oltre ad essere inutile è anche molto complesso da
mantenere.
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non è da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente

 e la classe ip privata dedicata a questo tipo di applicazione.... 172.168.x.y
 
Ecco, mi sono sempre chiesto se c'è una motivazione tecnica per l'uso 
di una classe 10.x.y.z (SM 255.0.0.0), 172.16.y.z (SM 255.255.0.0) e 
192.168.x.y (SM 255.255.255.0), o se è solo "consuetudine"


La maschera di rete, a me sembra implicita come risposta, perchè fai 
questa domanda?


 
-- 
this is a random signature

evanmac ci ha detto :

Sì, ho capito, ma perché usare numerazioni diverse per le diverse 
classi?
 
Voglio dire, se per la classe /8 (sm 255.0.0.0) di solito si usa 
10.x.y.z, e tale indirizzamento è RISERVATO ad indirizzi privati 
(quindi non esisterà mai un indirizzo pubblico che inizi per 10, salvo 
errori di configurazione), perché non usare gli stessi indirizzi anche 
per le altre classi?
 
Per esempio, cosa vieta, per la classe /16 (sm 255.255.0.0), di usare 
10.10.x.y invece di 172.16.x.y (a parte la suddetta RFC)?
 
Alla fine sono indirizzi privati, quindi non capisco il perché si sono 
complicati la vita con tale distinzione (oltretutto perdendo la 
possibilità di usare più di un milione di indirizzi per scopo pubblico)

Dopo dura riflessione, Meddix ha scritto :

Rispondevo a chi diceva che, per la subnet 255.255.0.0 bisogna usare 
l'indirizzamento 172.16.x.y e non l'192.168.x.y.
Formalmente è vero, ma tecnicamente non cambia nulla.
 
Oltretutto potrebbe essere un problema, se per ipotesi io fossi partito 
da una piccola rete (quindi iniziando ad usare, per esempio, 
192.168.1.y) e poi mi fossi espanso, come vuole fare l'OP. Il passaggio 
dall'192.168.x.y all'172.16.x.y comporterebbe la necessità di cambiare 
gli ip dei server, di tutti apparati con ip fisso, delle regole di 
routing, di eventuali NAT, ecc...

 pubblico)
 
Esatto, nel caso di una LAN non è obbligatorio farlo, nulla e nessuno
vieta di impostare una subnet 
192.168.0.0/16
 o una 
172.16.0.0/12
, basta
che si capiscano bene le implicazioni di tale scelta
 
 
 
 

 E vanno pure nei talck slow a declamare...
 
Qui non si tratta di inventarsi niente. Cercate di capire l'italiano!
Non ho detto che voglio usare indirizzi a muzzo.
Ho detto che non vedo il problema nell'usare UNA SOLA classe di 
indirizzi (la 10.x.y.z ad esempio) per tutte le tipologie di reti 
LOCALI INTERNE.
Se ho una rete piccola, userò ad esempio la 10.1.1.1-254 (/24), se 
voglio suddividere userò 10.1.x.y (/16), se ho più sedi in VPN userò 
10.x.y.z (/8).
Mi chiedevo semplicemente perché si sia optato per riservare altre 
classi (172.16-31.x.y e 192.168.x.y) alla reti locali. Tutto qui.
 
Se poi vi sentite punti nell'orgoglio di sistemisti DOC, è un problema 
vostro.

 Capacità reale uguale a zero, però.
 
Ok, ma qui si parlava semplicemente di scegliere quale classe di ip 
usare in una rete locale, sempre scegliendo tra quelle riservate alle 
reti locali, senza inventarsi nulla

 possibilità di usare più di un milione di indirizzi per scopo pubblico)
 
si ma quando è stato inventato tutto questo non credo si immaginassero
dove saremmo arrivati.


 impossibile) ricostruire la topologia della rete
 
eh addirittura...
se la rete è incasinata è incasinata anche se ti sei attenuto alle
rfc, ma addirittura non riuscire a ricostruirla mi sempre un peletto
eccessivo.


 dove saremmo arrivati.
 
L'unica spiegazione logica che mi viene è che prima hanno introdotto la 
subnet 192.168.x.y.
Dopo un po' si sono accorti che alcune aziende ci stavano strette, e 
hanno introdotto la 172.16-31.x.y.
E solo successivamente hanno deciso di riservare anche la molto più 
ampia 10.x.y.z, ma ormai era tardi per riassegnare le altre tipologie 
agli indirizzamenti pubblici, perché si erano già diffuse come reti 
locali e ci sarebbero stati casini coi DNS.

 L'unica spiegazione logica che mi viene è
 
... leggere da cima a fondo la RFC1918
 
l'hanno scritta (dopo averla ampiamente discussa) ingegneri e teNNici che
hanno attivamente contribuito allo svilupo della indernét, non giggino 'o
panettiere con i suoi amici del bar dello sport; per quanto, magari i teNNici
si riunivano in un pub per discuterne :D


 si riunivano in un pub per discuterne :D
 
Corretto pensiero, personalmente non l'ho mai letta e ti ringrazio per 
lo spunto.
 
Saluti.
^Bart
 

 mantenere.
 
Corretto per questo dovrò studiare bene le mie ipotesi e leggermi, come 
consigliatomi, la RFC1918 in modo da seguire degli standard su cui 
tutti, anche chi dovesse venire dopo di me, potrebbero mettere mano.
 
Saluti.
^Bart
 

 tutti, anche chi dovesse venire dopo di me, potrebbero mettere mano.
 
Le RFC non ti dicono come fare le cose, ti danno delle regole, ma come
metterle in pratica non c'è scritto.
Basta che fai le cose semplici senza inutili complicazioni e con un
po' di documentazione.
Una decina di vlan non saranno una difficoltà anche a chi verrà dopo
di te.


 non c'è una regola che dice quante vlan sono troppe
cosa mi sono perso? non pare che si discutesse di vlan (cosa 
correttissima secondo me) ma di segmenti e classi direte con relative 
subnet in modo molto casuale...
 
aggiungo che solo le vlan sarebbero utili ad attenuare collisioni di 
rete, ma questa è un'altra storia

 subnet in modo molto casuale...
 
e come fai a suddividere in subnet senza tirare in ballo delle vlan?
Per quanto mi riguarda una vlan una subnet e viceversa.
oh per caritŕ, su una vlan si possono far girare tutte le subnet che
vuoi, ma che senso ha?
 
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non č da considerarsi pubblico,


 vuoi, ma che senso ha?
 
Su piccole reti ho inserito dei firewall perimetrali installati su 
minipc fanless rugged su cui andavo ad inserire regole di iptables, in 
questo caso avevo "X" pc di backup da sostituire in caso di emergenza.
 
Usando le VLAN gestirei tutto a livello di switch quindi di sicuro meno 
point of falure però, non avendole mai provate all'atto pratico, non so 
quanto granulare sia la gestione del collegamento di subnet diverse 
tramite appunto VLAN e quali possano essere i limiti, pro\contro, 
rispetto alla soluzione di cui sopra.
 
Ovviamente in entrambi i casi rimane invariato il firewall principale 
lato wan ed anche nel caso dell'eventuale utilizzo di switch\VLAN è 
prevista ridondanza\backup hardware.
 
Saluti.
^Bart