
121630
22.04.2015, aktualisiert um 17:59:19 Uhr
Firmennetzwerk aufsplitten auf zwei Standorte
Wir sind gerade dabei die Firma auf zwei Standorte aufzusplitten.
Ich wollte hierfür mittels 2 pfSense Firewalls arbeiten. So etwas in der Richtung:
1
Des weiteren soll sich mindestens ein Mitarbeiter auch von Extern in das Büro Deutschland per OpenVPN Client einwählen können um an der Wawi arbeiten zu können. Dafür habe ich jetzt zur Authentifizierung an einen Safenet eToken gedacht:
2
Da beide Standorte nur über ADSL verfügen werden, ist sicherlich von Spanien aus mit Performanceproblemen zu rechen. Um da nicht komplett auf die Nase zu fallen, wollte ich verhindern das der Netzwerkverkehr ins Internet über den Tunnel läuft. Soweit ich richtig verstanden habe, kann man pfSense so konfigurieren. Am Standort Spanien wird noch ein Heimnetzwerk an der gleichen Leitung hängen, was aber außen vor bleibt, da nicht hinter der Firewall. Das überzeugen des Chefs für eine SDSL Leitung wird wesentlich einfacher, wenn er in Spanien sitzt und über die Performance schimpft. Dass der Punkt mit nur ADSL Schwierigkeiten machen wird, ist mir bewusst.
Hier das Schaubild:
Der (Windows)Server ist im Prinzip die eierlegende Wollmilchsau für Wawi, Etikettendruck, Fileserver, Intranetserver. Email läuft (noch) über pop, imap und smtp direkt beim Provider, sollte also unkompliziert sein. Fax wird demnächst auf einem ausrangierten PC als Hylafax auf Linux implementiert werden. Das geht aber übergangsweise noch mit normalem Faxgerät, interessiert also nur zweitrangig.
Die Clients sind alle auf Windows 7 Professional, außer der Heimcomputer der Buchhaltung. Das ist soweit ich weiß irgendeine Windows Home Version.
Jetzt meine Fragen:
1) Habe ich irgendwas nicht bedacht?
2) Wir arbeiten mit der Wawi Lexware, ich vermute mal ein Bridged Network im Tunnel wäre die unkomplizierteste Lösung um sicherzustellen, dass die Wawi keinen Ärger macht? Geht das so?
3) Kann der DNS der pfSense über bridged Network sauber arbeiten, so dass die Clients in Spanien den Server in Deutschland sauber über den Hostnamen erreichen?
4) Telefonie soll umgestellt werden auf VoIP, dass Anrufe auf die deutsche Nummer in Spanien landen. Da macht es sicher Sinn das nicht über den Tunnel zu schicken. Gibt es da sonst noch was an Besonderheiten?
Ich habe IT technisch schon so einiges betreut, auch wesentlich kompliziertere Umgebungen, aber mit Firewalls hatte ich bisher nur am Rande zu tun. Deshalb wäre ich sehr dankbar wenn sich ein Profi das mal anschaut und Kritik übt.
Ich wollte hierfür mittels 2 pfSense Firewalls arbeiten. So etwas in der Richtung:
1
Des weiteren soll sich mindestens ein Mitarbeiter auch von Extern in das Büro Deutschland per OpenVPN Client einwählen können um an der Wawi arbeiten zu können. Dafür habe ich jetzt zur Authentifizierung an einen Safenet eToken gedacht:
2
Da beide Standorte nur über ADSL verfügen werden, ist sicherlich von Spanien aus mit Performanceproblemen zu rechen. Um da nicht komplett auf die Nase zu fallen, wollte ich verhindern das der Netzwerkverkehr ins Internet über den Tunnel läuft. Soweit ich richtig verstanden habe, kann man pfSense so konfigurieren. Am Standort Spanien wird noch ein Heimnetzwerk an der gleichen Leitung hängen, was aber außen vor bleibt, da nicht hinter der Firewall. Das überzeugen des Chefs für eine SDSL Leitung wird wesentlich einfacher, wenn er in Spanien sitzt und über die Performance schimpft. Dass der Punkt mit nur ADSL Schwierigkeiten machen wird, ist mir bewusst.
Hier das Schaubild:
Der (Windows)Server ist im Prinzip die eierlegende Wollmilchsau für Wawi, Etikettendruck, Fileserver, Intranetserver. Email läuft (noch) über pop, imap und smtp direkt beim Provider, sollte also unkompliziert sein. Fax wird demnächst auf einem ausrangierten PC als Hylafax auf Linux implementiert werden. Das geht aber übergangsweise noch mit normalem Faxgerät, interessiert also nur zweitrangig.
Die Clients sind alle auf Windows 7 Professional, außer der Heimcomputer der Buchhaltung. Das ist soweit ich weiß irgendeine Windows Home Version.
Jetzt meine Fragen:
1) Habe ich irgendwas nicht bedacht?
2) Wir arbeiten mit der Wawi Lexware, ich vermute mal ein Bridged Network im Tunnel wäre die unkomplizierteste Lösung um sicherzustellen, dass die Wawi keinen Ärger macht? Geht das so?
3) Kann der DNS der pfSense über bridged Network sauber arbeiten, so dass die Clients in Spanien den Server in Deutschland sauber über den Hostnamen erreichen?
4) Telefonie soll umgestellt werden auf VoIP, dass Anrufe auf die deutsche Nummer in Spanien landen. Da macht es sicher Sinn das nicht über den Tunnel zu schicken. Gibt es da sonst noch was an Besonderheiten?
Ich habe IT technisch schon so einiges betreut, auch wesentlich kompliziertere Umgebungen, aber mit Firewalls hatte ich bisher nur am Rande zu tun. Deshalb wäre ich sehr dankbar wenn sich ein Profi das mal anschaut und Kritik übt.
Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 269932
Url: https://administrator.de/forum/firmennetzwerk-aufsplitten-auf-zwei-standorte-269932.html
Ausgedruckt am: 26.04.2025 um 02:04 Uhr
19 Kommentare
Neuester Kommentar
Hallo Bonsai,
erste Verständnisfrage - du hast schon wesentlich komplexere Umgebungen betreut, möchtest aber den WaWi (usw) Traffic durch die VPN schicken? Also Plain ohne TS? Wie viele User sind das denn? Was waren denn die "komplexeren" Umgebungen, da das nun nicht sonderlich "vertrauenserweckend" wirkt.
Grüße,
Christian
erste Verständnisfrage - du hast schon wesentlich komplexere Umgebungen betreut, möchtest aber den WaWi (usw) Traffic durch die VPN schicken? Also Plain ohne TS? Wie viele User sind das denn? Was waren denn die "komplexeren" Umgebungen, da das nun nicht sonderlich "vertrauenserweckend" wirkt.
Grüße,
Christian
Hallo,
Denk dran, in Spanien laufen nicht nur die Uhren anders. Mañana wirst du noch oft hören. Und die Telefontechniker und IT Leute haben auch ihre eigenen Vorstellungen wie du es zu tun hast
Gruß,
Peter
Zitat von @121630:
Da beide Standorte nur über ADSL verfügen werden
Und, welche Datenraten sind dort angedacht? Auch Spanien kennt schnelles Internet, aber nicht zwingend überall. Auf der Insel ist eher 30 Mbit/s / 10 Mbit/s schnell zu bekommen (Analoge Leitung), allerdings die Laufzeit von der Insel zum Festland ist da eher die Bremse. Dort wird viel vDSL verwendet und ist bezahlbar.Da beide Standorte nur über ADSL verfügen werden
für eine SDSL Leitung
Sicher das die dort in Spanien wo du die benötigst auch machbar und bezahlbar sein wird?1) Habe ich irgendwas nicht bedacht?
Proxy? Spam? AV? Webinhalte?2) Wir arbeiten mit der Wawi Lexware, ich vermute mal
Jaja, immer diese Vermutungen.ein Bridged Network im Tunnel wäre die unkomplizierteste Lösung um sicherzustellen, dass die Wawi keinen Ärger macht? Geht das so?
Nein, auch Lexware hat seine Software nicht zwingend für VPN und entfernte Standorte vorgesehen. Dahinter liegt doch eine Datenbank, oder? Sybase? Lexware Software mag es nicht wenn der Server in ein anderes IP netz liegt, von der Performance mal ganz zu schweigen. Klär das mit Lexware vorher ab. Empfehlung hier ganz klar einen TS/RDS.3) Kann der DNS der pfSense über bridged Network sauber arbeiten, so dass die Clients in Spanien den Server in Deutschland sauber über den Hostnamen erreichen?
Klar.4) Telefonie soll umgestellt werden auf VoIP, dass Anrufe auf die deutsche Nummer in Spanien landen. Da macht es sicher Sinn das nicht über den Tunnel zu schicken.
Telefonie ohne VPN? Du willst die Telefondaten einfach so ins Internet legen wo jeder sich dann eine WAV Datei erstellen kann....Ich habe IT technisch schon so einiges betreut, auch wesentlich kompliziertere Umgebungen,
Wenn du es sagst...Denk dran, in Spanien laufen nicht nur die Uhren anders. Mañana wirst du noch oft hören. Und die Telefontechniker und IT Leute haben auch ihre eigenen Vorstellungen wie du es zu tun hast
Gruß,
Peter
ist sicherlich von Spanien aus mit Performanceproblemen zu rechen.
Die Frage kann man dir nicht beantworten, da du keinerlei Angaben zu dem erwartenen Traficvoluminas zw. den beiden Standorten angibst.Ferner ist die Angabe "ADSL" ebenso ungeeignet einen vage Aussage zu dem Thema zu machen da es hier von 384kBit/s bis 16 Mbit/s gehen kann.
Bleibt uns also nur die Kristallkugel wie du dir sicher selber denken kannst.
Soweit ich richtig verstanden habe, kann man pfSense so konfigurieren
Ja, kann man.was aber außen vor bleibt, da nicht hinter der Firewall.
könnte man aber an diese hängen wenn es in irgendeiner Form Sinn machen würde. Wenn du ein APU1D ALIX verwendest hast du 3 Schnittstellen, bzw. mehr wenn du mit VLANs arbeitestPreiswerte, VPN fähige Firewall im Eigenbau oder als Fertiggerät
Dass der Punkt mit nur ADSL Schwierigkeiten machen wird, ist mir bewusst.
Kann man wie gesagt nicht pauschal sagen...kommt darauf an ?! Siehe oben.1) Habe ich irgendwas nicht bedacht?
Nein, sieht alles gut aus.2) Wir arbeiten mit der Wawi Lexware, ich vermute mal ein Bridged Network im Tunnel wäre die unkomplizierteste Lösung
Nein, das wäre tödlich !!Niemals ein Bridging wenn du eine limitierte Bandbreite im VPN Tunnel hast. Der gesamte Broad- und Multicast Traffic beider Netze belastet dann permanent sinnloserweise deinen VPN Tunnel und knappst ihm von der geringen Bandbreite noch den Rest ab. Vergiss das ganz schnell !
Beachte die goldene Netzwerker Regel: Route where you can, bridge where you must ! Und halte dich unbedingt daran...
Niemals Bridging wenn du nicht musst und das muss man in der Regel nie !
Hier rächen sich deine rudimentären FW- und Netzwerk Kenntnisse
Kann der DNS der pfSense über bridged Network sauber arbeiten
Vergiss bridged wie gesagt.Der pfSense DNS erledigt das auch problemlos in einem routed Netzwerk. Mal ganz abgesehen das du den pfSense DNS dazu gar nicht benötigst sondern alles mit dem Server DNS machst wie vermutlich sonst auch. Du hast doch ein LAN zu LAN VPN und das ist so als wenn beide Netzwerke fest mit einer Standleitung gekoppelt sind. Wie du ja selber weisst: der tiefere Sinn eines LAN zu LAN VPNs !
4) Telefonie soll umgestellt werden auf VoIP, dass Anrufe auf die deutsche Nummer in Spanien landen. Da macht es sicher Sinn das nicht über den Tunnel zu schicken.
Blödsinn ! Warum sollte das keinen Sinn machen ? Musst du doch so oder so machen wenn du intelligent im internen Netz vermitteln willst. Ein Voice Call rennt mit 64kBit/s. Dafür reicht auch Bauern DSL inkl. VPN problemlos. VoIP priorisierst du überall mit DSCP und gut iss.Ansonsten gilt das vom Kollegen cerifiedit.net bereits Gesagte...
P.S. Das man sowas Antikes wie "Hubs" noch lokal im Netzwerk hat, hat ja legendären Seltenheitswert ! Respekt !
mir schwebt da eine virtuelle Telefonanlage vor. Also eine TK Anlage im Internet.
Das wäre ja die größte Katastrofe wenn du schon das Thema NSA ins Spiel bringst. Hier lagerst du dann den gesamten Traffic auf einen Dienstleister aus den du vertrauen musst.Eigentlich kann man davon nur dringenst abraten. Zumal du dann auch die interne Telefonie in dessen Hände legst. Bei einem Internet Ausfall bleibt dir dann nur noch Mobiltelefonie. Mit eigener VoIP HW könntest du wenigstens noch intern telefonieren und das durch den VPN Tunnel auch noch gesichert.
Aber egal...musst du wissen und beurteilen was du da machst. Freies land...freie Entscheidung !
Nee aber ganz doofe Level2 Switches für 10€ das Stück.
Warum schreibst du dann "Hubs" ?? Ach so sorry.... Netzwerk Kenntnisse Installation des Clients ist nur im gleichen Subnetz möglich.
Krank ! Wer macht solchen Schrott denn heutzutage noch. Solche "dumme" SW ist dann in einem segmentierten Kundennetz nicht mehr einsetzbar. Wie weltfremd ist das denn ?Der Betrieb würde auch geroutet funktionieren, aber die Installation nicht.
OK, installieren musst du ja nicht mehr...da keimt dann wieder Hoffnung auf mit Routing.Bridged ist für dich ein massives Problem aus dem oben genannten Dingen. Das schränkt deine Antwortszeiten, Performance und Verfügbarkeit extrem ein.
Aber wenn du solche altertümliche Schrottsoftware verwendest wird dir dann wohl nichts übrig bleiben.
Ggf. reicht es ja wenn du einen USB Stick oder ne CD nach Spananien schickst
Warum übrigens 4 sinnfeie Einzelthreads ? Siehe berechtigte Bemerkung vom Kollegen certifiedit.net oben !
Zitat von @121630:
Ich war Level 4 Support für ca. 3000 CAD/CAE/CAT Systeme bei einem Automobilkonzern + Projektbezogene Softwareverteilung
(Altiris, Radia, Tivoli, AD). Da hatten wir einseitige Domain-trusts, Lizensserver, Datenbankserver etc., Domain Policies die mit
der lokalen Umgebung kollidiert sind, weil von Amis erstellt und dann losgelassen auf multilinguale Systeme.
Ich war Level 4 Support für ca. 3000 CAD/CAE/CAT Systeme bei einem Automobilkonzern + Projektbezogene Softwareverteilung
(Altiris, Radia, Tivoli, AD). Da hatten wir einseitige Domain-trusts, Lizensserver, Datenbankserver etc., Domain Policies die mit
der lokalen Umgebung kollidiert sind, weil von Amis erstellt und dann losgelassen auf multilinguale Systeme.
Das freut uns, klingt hier aber irgendwie ganz anders - siehe Hub/Switch usw?
Oder aber, das ist dann einfach nicht dein Metier?
Hallo,
Stell in DE ein PC ab wo man sich im VPN per MSTSC drauf klinkt und dann Lexware nutzt. Das geht dann gar mit deine 7/2 Leitung.....
Gruß,
Peter
Zitat von @121630:
1)Standort Spanien soll erst mal die Leitung her:
MoviStar 30 MBit/s Down, 10 MBit/S Up ca. 42,00 EUR (Mallorca, Cala d'Or)1)Standort Spanien soll erst mal die Leitung her:
Lexware Suppot sagt "Wird nicht unterstützt".
So ist es.Der Betrieb würde auch geroutet funktionieren
Das ist auch so, aber an ein "Arbeiten" ist so nicht wirklich zu denken. Es dauert und dauert und dauert du dauert....Stell in DE ein PC ab wo man sich im VPN per MSTSC drauf klinkt und dann Lexware nutzt. Das geht dann gar mit deine 7/2 Leitung.....
Gruß,
Peter
das Kommt von der Freeware Software die zur Erstellung des Diagramms verwendet wurde.
Dafür ist das aber recht gut geworden ! Darf man fragen welche Software das ist ?Von Spanien raus telefonieren geht dann notfalls mit dem Handy. Da gibt's supergünstige Tarife für Anrufe nach DE.
Geht auch über den VPN Tunnel wenns ne 3000 compact VoIP ist Ich weiß, dass die Struktur die ich da plane ihre Schwachstellen hat
Ist aber machbar...
Hallo,


Bei den Sintflut artigen Regenfällen dort wirst du es meistens zu spüren bekommen - das einzige was dann noch leuchtet sind die Gesetzlich vorgeschriebenen Notbeleuchtungen
Je weniger Gerumpel dort also läuft, je einfacher und sicherer ist es.....
PS. Wie wird man auf Mallorca ein Millionär? Mann kommt mit zweien und geht mit einer. Und ja, das trifft auf Malle mehr als zu
Gruß,
Peter
Zitat von @121630:
Mir ist bewusst, dass Lexware ein Schrotthaufen ist.
Schrott ist nicht das treffende. Die Software von denen tut was die soll, nicht mehr. Und die eigenen Ansprüche sollte bei einem Produkt in diesem Umfeld eben nicht zu hoch sein. Selbst Sage Office Line (ehem. KHK) hat Probleme wenn externe Standorte nur per schmalband Leitungen angebunden sind, es sei denn die Software wurde von vornherein auf dieses Szenario entwickelt. Und mit TS wollen die auch nichts richtiges sagen, da eben nicht deren Kundschaft. (Nein, ich nutze keine Lexware....)Mir ist bewusst, dass Lexware ein Schrotthaufen ist.
Marktführer SAP ist absoluter Müll.
Naja, wenn schon für eine OS Lizenz und AV kein Geld da ist, werden die Buchstaben SAP nur etwas geschriebenes bleiben.Lexware ist halt Marktführer beim Mittelstand.
Das ist ja wohl ein Aprilscherz oder ein blankes Gerücht der Aufwand ist aber zu hoch.
Ein WaWi, egal von wem und wohin mal eben zu wechseln ist wie mit einer Ehe. Da stellt sich immer die Frage ob es sich Lohnt scheiden zu lassen Haben die auch Leitungen in Porreres
Eher auf der ganzen Insel. Deren 100 MBit/s down und 10 up auf Glasfaserbasis ist aber auch recht Preiswert. Aber egal was du tust, eine dicke USV sollte mindestens da sein, eingerichtet und auch tatsächlich alles kontrolliert Runterfahren. Stromausfall ist auf der Insel teilweise Wöchentlich / Monatlich und somit dort Tagesgeschäft - und wenn es passiert dann ist es halt so und alle warten bis wieder Strom da ist, - nur die Alemans regen sich da drüber auf PS. Wie wird man auf Mallorca ein Millionär? Mann kommt mit zweien und geht mit einer. Und ja, das trifft auf Malle mehr als zu
Gruß,
Peter