Newsgroup: it.comp.reti.locali
Titolo: Pianificazione Rete Uffici + Laboratorio

Ciao,
avrei la necessita' di rivedere la struttura di una rete gia'
funzionante e percio' mi sto chiedendo se alcune cose possono essere
fatte meglio o con strumenti piu' adatti.
Premessa:
La rete si divide in uffici e laboratorio.
Nel laboratorio vi e' la necessita' di ospitare PC ai quali garantire
l'accesso ad Internet senza che questi possano vedere la rete uffici.
Il motivo e' che questi PC non sono sicuri al 100% (il motivo per cui
entrano il laboratorio poi.. :-))
Schema della rete attuale:
LAN Uffici (192.168.1.0) --> Firewall --> Lan Laboratorio (192.168.2.0)
--> Modem/Router --> Internet
I PC del laboratorio sono collegati al router piu' esterno, in questo
modo possono navigare ma non entrare nella LAN uffici.
Il primo dubbio e' proprio questo: c'e' secondo voi un metodo migliore 
per separare le 2 reti?
Il Firewall e' un Netgear FVG318 che funge anche da server VPN
Il Modem/Router e' un Netgear DG834PN
Grazie.
-- 
Nicola

 fatte meglio o con strumenti piu' adatti.
Scusate, aggiungo (particolare di non poco conto) che il motivo del
ripensamento della rete e' quello di far passare tutto sotto un unico
router.. un gateway VoIP (Patton Smartnode 4634) che implementa il QoS.
Ecco perche' tutto il traffico deve passare sotto le sue grinfie.
Non vorrei che il traffico proveniente dal laboratorio ammazzasse le
connessioni VoIP.
La LAN testata sarebbe questa:
LAN Uffici (192.168.1.0) --> Firewall --> Lan Laboratorio (192.168.2.0)
--> Gateway VoIP --> Modem/Router --> Internet
Ho provato questa configurazione e funziona, VPN compresa.
Come potete immaginare pero' ci sono controindicazioni, non ultima la
manutenzione.
Ci sono pero' delle controindicazioni ad avere il GWY VoIP al di fuori
della LAN uffici dove si trova il software PBX, vorrei percio' portarlo
all'interno.
Spero di non aver aggiunto confusione alla confusione.
Non vogliatemene.. O:-)
-- 
Nicola


Xche' non puoi metterlo nella LAN uffici ??
Se quello che vuoi fare e' incrementare la sicurezza tra LANs ed
essere sicuro di avere abbastanza banda assicurata per x connessioni
VOIP, dalla tua descrizione (o meglio da quel che ho capito), l'ideale
sembrerebbe spezzare in 2 (ma vuol dire un'altro router/connessione
internet), mettere il GWY VoIP negli uffici, ed abilitare QOS per VOIP
su tutti gli apparati di rete (switches & "nuovo" router).
Ci sono andato almeno vicino a quello che vuoi fare (che poi sia
fattibile e' un'altro discorso ..) ??
Just my 2 cents ....
Ciaooooooooo,
Luciano

 Luciano
Ciao e grazie per la tua risposta.
-- 
Nicola


De nada, just my 2 cents ......
Ciaooooooooo,
Luciano
P.S.: non vorrei metterti un'altra pulce nell'orecchio, ma anche se
non supportassero il QOS gli switches sarebbe meglio che almeno
abbiano la funzionalita' di bloccare/ridurre i broadcast storm (OK
possibilita' che succeda e' abbastanza remota ..), non farebbero bene
al voip (o alla rete dati se e' x quello ..)

 
[...]
Ciao, allora a prescindere da quello che hai gia fatto e senza tener 
conto degli apparati che già possiedi, ti dico come ho fatto io in 
laboratorio da noi per dividere la rete aziendale interna con la rete di 
test dei pc in riparazione, la mia non vuole essere una soluzione al tuo 
problema, ma magari uno riferimento da cui prender spunto.
Io come gateway nel mio caso ho preferito utilizzare un pc in linux, con 
4 schede di rete, interamente personalizzato secondo le nostre esigenze. 
A monte di tutto c'è un router Zyxel configurato per "ruotare" una 
classe da 16 ip pubblici verso il mio gateway / firewall linux, quindi 
il router è trasparente in tutto per tutto, cio che è esposta su 
internet è solo il mio linux. Quindi c'è una ETH0 collegata fisicamente 
al router con ip statico pubblico, una ETH1 che è collegata a uno 
switch, dove sono posizionati i server in DMZ (Web, Posta, Ftp ecc...), 
una ETH2 che gestisce la rete interna aziendale del tipo 192.168.0.x e 
una ETH3 che gestisce la rete di laboratorio del tipo 10.0.0.x con 
server DHCP abilitato (in maniera tale da non dover tutte le volte 
impostare i parametri sui pc dei clienti). Le 3 reti sono fisicamente 
separate su 3 switch diversi, l'unico punto in comune che le "unisce" è 
il gateway linux, ma di fatto giocando con le regole di routing e di 
iptables, ho creato delle politiche di firewalling, in maniera tale che 
le 3 reti non possano comunicare fra loro liberamente, ovvero vengono 
bloccati i pacchetti netbios fra un'interfaccia e l'altra e tutti quei 
servizi che non sono necessari, e comunque le 3 reti alla fine escono su 
internet attraverso la stessa ADSL. Volendo se ho la necessità di 
mettere in comunicazione un pc del laboratorio con un pc della rete 
aziendale, basta che creo una regola "al volo" senza dover attaccare 
cavi o fare ponti sugli switch.
Mi rendo conto che la tua impostazione di rete è un po diversa e hai 
apparati diversi, io ti ho voluto riportare la mia esperienza, e da 5 
anni a questa parte non mi ha mai dato troppi problemi di infezioni 
della rete interna causa macchine di clienti infette...cosa che 
succedeva puntualmente prima che implementassi questa struttura.
Spero che cio comunque possa esserti utile in qualche modo.
Ciao

 --> Modem/Router --> Internet
Ho una situazione simile ma un pelino più complessa risolta con un pc a 
basso consumo, 7 eth, una cf e pfsense (
www.pfsense.org
).
                   [pf_sense_box - main_board - eth1]<-->[DMZ]
                   [pf_sense_box - pci1_port1 - eth2]<-->[uffici]
                   [pf_sense_box - pci1_port2 - eth3]<-->[lab_1]
modem_dsl<-->[wan][pf_sense_box - pci1_port3 - eth0]
                   [pf_sense_box - pci1_port3 - eth4]<-->[lab_2]
                   [pf_sense_box - pci1_port4 - eth5]<-->[wireless]
                   [pf_sense_box - pci2_port1 - eth6]<-->[scorta]
Il modem è usato come bridge (RFC2684) in modo da gestire pppoe dal box 
pfsense e quindi avere l'ip pubblico sulla wan.
Per il resto la macchina fa da firewall, vpn server, traffic shaping e 
volendo molto di più ma soprattutto non devo mettere le mani su più 
apparati a cascata (e apportare regole a catena) se devo riconfigurare 
qualcosa e non ho più di un nat nè più di un hop tra qualsiasi macchina 
e la wan.
-- 
For a list of all the ways technology has failed to improve the quality 
of life, please press three.
(C) Alice Kahn

Grazie per le vostre risposte.
Mi sono fatto un'idea piu' chiara di come potrei procedere.
Grazie ancora per il tempo che mi avete dedicato.
Buone feste!
-- 
Nicola

 per separare le 2 reti?
io metterei semplicemente un ip alias sul firewall, cosě entrambe le
reti sono protette e con opportune regole sul firewall impedisci o
abiliti la comunicazione tra uffici e laboratorio.
Se il firewall lo permette puoi anche fare delle VLAN...
Semplice ed efficace.
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
L'indirizzo em@il non č da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.


quoto...anch'io ho una situazione simile (nella quale la seconda sottorete 
rete e' per il  wireless) .
Il cuore della rete e' un firewall piuttosto versatile che mi permette di 
intervenire  praticamente solo su di esso.
Comunque per la massima sicurezza e per risolvere i problemi (eventuali) di 
prestazioni ... taglierei fisicamente i cavi, mettendo un secondo 
router/firewall , magari non sofisticatissimo, nel lab con una connessione 
internet standard.
Le connessioni che non ci sono non si possono violare...:-)
Ciao
fm

 Le connessioni che non ci sono non si possono violare...:-)
da quello che ho capito il suo non è un problema di violazioni, ma
semplicemente non vuole che i pc che sono in laboratorio magari con
virus etc possano in qualche modo contaminare gli uffici. Però il
tutto deve poi passare attraverso un solo router.
Poi immagino anche che alcuni PC del laboratorio "leciti" abbiano la
necessità di accedere alla rete degli uffici.
Il tagliare i cavi non pare una buona idea... 
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
L'indirizzo em@il non è da considerarsi pubblico,
