edvmaedchenfueralles
Goto Top

Local Internetbreakout für Gäste

Hallo.
Ich möchte für unseren Standort für Gäste einen eigenen Internetanschluss zur Verfügung stellen, damit die Gäste nicht die Performance unserer Mainleitung beeinflussen.
Wie mach ich das am besten?
Einfach einen eigenen ADSL-Anschluss oder LTE-Router bestellen und das Modem und die Access-Points bzw. die relevanten LAN-Ports in ein eigenes VLAN rein?


Danke für eure Hilfe.
Euer Mäderl

Content-Key: 599354

Url: https://administrator.de/contentid/599354

Ausgedruckt am: 28.03.2024 um 13:03 Uhr

Mitglied: SeaStorm
SeaStorm 26.08.2020 um 18:16:47 Uhr
Goto Top
Hi

ja grundsätzlich genau das. Kommt natürlich drauf an was du sonst so als WLAN einsetzt. WLCs können normalerweise auch eine eigene SSID für die Gäste bereitstellen, auf einem eigenen VLAN oder getunnelt über den WLC ausbrechend. Und dann halt auf den neuen DSL-Router stecken und ja darauf achten das dieses Netz nirgends geroutet wird
Mitglied: Lochkartenstanzer
Lochkartenstanzer 26.08.2020 aktualisiert um 18:47:27 Uhr
Goto Top
Moin,

Die einfache Variante:

  • eigener Anschluß
  • getrennte Infrastruktur oder eigenes VLAN für die Gäste.

Die richtige Variante


lks
Mitglied: erikro
erikro 26.08.2020 um 20:05:53 Uhr
Goto Top
Moin,

Deine Frage:

Zitat von @edvmaedchenfueralles:
Wie mach ich das am besten?
Einfach einen eigenen ADSL-Anschluss oder LTE-Router bestellen und das Modem und die Access-Points bzw. die relevanten LAN-Ports in ein eigenes VLAN rein?

Und die Antwort:

Ich möchte für unseren Standort für Gäste einen eigenen Internetanschluss zur Verfügung stellen, damit die Gäste nicht die Performance unserer Mainleitung beeinflussen. (fett von mir)

Erreichst Du das Ziel mit einem VLAN? Nein. Erreichst Du das Ziel mit einem eigenen Anschluss? Ja. Also eigener Anschluss. Dann ein WLAN aufspannen, in dem sich die einzelnen Teilnehmer gegenseitig nicht sehen und fertig ist das Gäste-WLAN. Wenn Du größere Strecken überwinden musst also vernetzte Access Points brauchst, dann musst Du zum Erreichen des Ziels auch eigene Trassen dafür legen. Per VLAN die Leitungen des Betriebs mit zu nutzen, ist wieder mit Performanceverlust verbunden. Und komm bloß nicht auf die Idee, mit Repeatern zu arbeiten. face-wink

hth

Erik

Liebe Grüße

Erik
Mitglied: forumuser
forumuser 27.08.2020 aktualisiert um 11:18:34 Uhr
Goto Top
Hi,

schau Dir alternativ mal Freifunk an (https://freifunk.net/).
Deine eigene Leitung ist immer priorisiert, die maximale Bandbreite des Gastnetzes ist frei einstellbar.

LG.

Edit: Kosten pro Router bzw. AP sind ca. 30€ einmalig.
Mitglied: tech-flare
tech-flare 27.08.2020 um 11:33:06 Uhr
Goto Top
Zitat von @erikro:
Wenn Du größere Strecken überwinden musst also vernetzte Access Points brauchst, dann musst Du zum Erreichen des Ziels auch eigene Trassen dafür legen. Per VLAN die Leitungen des Betriebs mit zu nutzen, ist wieder mit Performanceverlust verbunden.
Was soll der Käse? Sowas frühstück man mit VLAN auf einer Leitung ab. Bestenfalls hat diese 10Gigabit. Ich glaube kaum, dass der Fragesteller seine Netzwerkleitung mit einem Gäste-VLAN komplett auslastet, wenn er einen ADSL Anschluss bucht. Selbst mit VDSL nicht !
Mitglied: erikro
erikro 27.08.2020 um 14:39:38 Uhr
Goto Top
Moin,

Zitat von @tech-flare:
Was soll der Käse?

Erstens ist das nicht der Ton, in dem ich angesprochen werden möchte, und zweitens ist meine Bemerkung vollkommen korrekt.

Sowas frühstück man mit VLAN auf einer Leitung ab. Bestenfalls hat diese 10Gigabit. Ich glaube kaum, dass der Fragesteller seine Netzwerkleitung mit einem Gäste-VLAN komplett auslastet, wenn er einen ADSL Anschluss bucht. Selbst mit VDSL nicht !

Aufgabenstellung war, ein Gäste-WLAN so einzurichten, dass es zu keinem Performanceverlust für die Mitarbeiter kommt. Woher weißt Du, dass im Netz des TO die Auslastung ohne Gäste nicht schon bei 80-90% liegt? Woher weißt Du, ob im Netz des TO nicht Echtzeitanwenungen laufen, die auf zugesicherte Bandbreiten angewiesen sind usw. usf. Wenn ich keine Verluste für meine Mitarbeiter haben will, muss ich Gäste mit eigenen Leitungen versorgen. Alles andere ist Käse.

Liebe Grüße

Erik
Mitglied: tech-flare
tech-flare 27.08.2020 aktualisiert um 14:49:35 Uhr
Goto Top
Zitat von @erikro:

Moin,

Zitat von @tech-flare:
Was soll der Käse?

Erstens ist das nicht der Ton, in dem ich angesprochen werden möchte, und zweitens ist meine Bemerkung vollkommen korrekt.

Sowas frühstück man mit VLAN auf einer Leitung ab. Bestenfalls hat diese 10Gigabit. Ich glaube kaum, dass der Fragesteller seine Netzwerkleitung mit einem Gäste-VLAN komplett auslastet, wenn er einen ADSL Anschluss bucht. Selbst mit VDSL nicht !

Aufgabenstellung war, ein Gäste-WLAN so einzurichten, dass es zu keinem Performanceverlust für die Mitarbeiter kommt. Woher weißt Du, dass im Netz des TO die Auslastung ohne Gäste nicht schon bei 80-90% liegt? Woher weißt Du, ob im Netz des TO nicht Echtzeitanwenungen laufen, die auf zugesicherte Bandbreiten angewiesen sind usw. usf. Wenn ich keine Verluste für meine Mitarbeiter haben will, muss ich Gäste mit eigenen Leitungen versorgen. Alles andere ist Käse.

Liebe Grüße

Erik

Das mag schon richtig sein was du schreibst...., aber scheinbar kannst du die Frage nicht lesen. Er schreibt Mainleitung und bezieht sich auf den Internetanschluss.

Er schreibt nirgendwo eine Anforderung für das lokale Netzwerk
Mitglied: erikro
erikro 27.08.2020 um 14:58:55 Uhr
Goto Top
Zitat von @tech-flare:
Das mag schon richtig sein was du schreibst...., aber scheinbar kannst du die Frage nicht lesen. Er schreibt Mainleitung und bezieht sich auf den Internetanschluss.

Offenbar kannst Du das nicht richtig lesen. Wenn der Begriff in der IT überhaupt Sinn machen soll, dann als Bezeichnung für die lokale Backbone-Verkablung (Hauptleitung). Die Außenanbindung ist die Außenanbindung und nicht die Hauptleitung.
Mitglied: monstermania
monstermania 27.08.2020 aktualisiert um 16:43:27 Uhr
Goto Top
Zitat von @erikro:
Aufgabenstellung war, ein Gäste-WLAN so einzurichten, dass es zu keinem Performanceverlust für die Mitarbeiter kommt. Woher weißt Du, dass im Netz des TO die Auslastung ohne Gäste nicht schon bei 80-90% liegt? Woher weißt Du, ob im Netz des TO nicht Echtzeitanwenungen laufen, die auf zugesicherte Bandbreiten angewiesen sind usw. usf. Wenn ich keine Verluste für meine Mitarbeiter haben will, muss ich Gäste mit eigenen Leitungen versorgen. Alles andere ist Käse.
Na ja, aber jetzt fangen wir aber an Erbsenzählerei zu betreiben. Dann bräuchte man neben eigenen Leitungen auch eigene WLAN-AP für das Gastnetz. Nehmen wir doch mal den (heutigen) Normalzustand an. Dann sind die AP per GBit angeschlossen. Selbst wenn Du jetzt gute AP hast, ist irgendwo bei ca. 1750 Mbit brutto Schluss. Selbst damit wirst Du eine 1 Gbit Anbindung aber nicht voll ausreizen, da die Netto Datenrate in der Praxis doch deutlich niedriger ist.
Und klar, wenn Du da jetzt noch ein Gäste-WLAN mit einer 1 SSID auf die AP packst, teilst du Deine verfügbare Bandbreite auf 2 Netze auf.

In der Praxis wird das Gastnetz zumeist über die die gleiche Internetanbindung wie die das Firmennetz geroutet. Die FW limitiert dann die Bandbreite des Gastzugangs (z.B. auf max 10% der verfügbaren Gesamtbandbreite). Und wer feste Bandbreiten für bestimmte Dienste benötigt, wird eh mit QoS Regeln auf der Firewall arbeiten und bestimmten Traffic gegenüber dem allgemeinen Internet-Traffic prioisieren.
War und ist zumindest in den Firmen so, in denen ich bisher gearbeitet habe...
Mitglied: erikro
erikro 27.08.2020 um 20:31:24 Uhr
Goto Top
Moin,
Zitat von @monstermania:

Zitat von @erikro:
Aufgabenstellung war, ein Gäste-WLAN so einzurichten, dass es zu keinem Performanceverlust für die Mitarbeiter kommt. Woher weißt Du, dass im Netz des TO die Auslastung ohne Gäste nicht schon bei 80-90% liegt? Woher weißt Du, ob im Netz des TO nicht Echtzeitanwenungen laufen, die auf zugesicherte Bandbreiten angewiesen sind usw. usf. Wenn ich keine Verluste für meine Mitarbeiter haben will, muss ich Gäste mit eigenen Leitungen versorgen. Alles andere ist Käse.
Na ja, aber jetzt fangen wir aber an Erbsenzählerei zu betreiben. Dann bräuchte man neben eigenen Leitungen auch eigene WLAN-AP für das Gastnetz. Nehmen wir doch mal den (heutigen) Normalzustand an.

Was ist der Normalzustand? In einer Firma mit 5 Mitarbeitern ist die Fritte, hinter der ein ungetaggtes (da dreht sich dem alten Humanisten der Magen um face-wink ) (W)LAN betrieben wird. Firewall vielleicht noch aber eher nicht. Und für die Gäste hat man in der Fritte das Gäste-WLAN freigeschaltet. Alle Mitarbeiter dürfen alles. Wenn man Glück hat, dann hat der Chef einen zweiten Account mit Adminrechten. Wenn es ganz dumm läuft, dann guckt er Pornos mit Adminrechten (habe ich so in einer Firma dieser Größe erlebt auf der Suche nach der Quelle der Schadsoftware.)

In einer Firma mit 5.000 Mitarbeitern ist der Normalzustand: Mehrfach redundante Anbindung ans Internet, möglichst auch georedundant, falls mal wieder der Bagger kommt. Da nimmt man dann gerne eine Leitung von Colt, eine von EUNetworks ... drei, vier, fünf Gigabitleitungen. Da haben wir entsprechende Backbone-Verkablung ebenfalls mehrfach redundant, einen Sack voll VLANs, DMZ, ausdifferenziertes Rechtesystem ... In so einer Umgebung sind Ressourcen knapp. Nehmen wir mal an, Du hast auf der Backbone-Trasse 100Gig zur Verfügung, dann sind das statistisch gerade mal gute 20Mbit/MA. Hmmmmm. Da kommt dann schnell das Bedürfnis auf, die Gäste auf ein eigenes WLAN getrennt vom Rest zu schieben. Wie gesagt: Wir reden vom Normalzustand.

Dann sind die AP per GBit angeschlossen. Selbst wenn Du jetzt gute AP hast, ist irgendwo bei ca. 1750 Mbit brutto Schluss. Selbst damit wirst Du eine 1 Gbit Anbindung aber nicht voll ausreizen, da die Netto Datenrate in der Praxis doch deutlich niedriger ist.

Ist Dir da ein Komma verrutscht? 1750Mbit < 1Gbit?

Und klar, wenn Du da jetzt noch ein Gäste-WLAN mit einer 1 SSID auf die AP packst, teilst du Deine verfügbare Bandbreite auf 2 Netze auf.

Eben. Deshalb ja meine Bemerkung dazu, dass, wenn die Ressourcen für die MA knapp werden, es keinen Sinn macht, nur die Außenanbindung zu betrachten. Du sprachst ja vom "Normalzustand". Was tatsächlich normal ist, ist, dass der Datenverkehr in Firmen hauptsächlich intern geschieht und weniger extern. Buchhaltung, Controlling, Entwicklung, Geschäftsleitung usw. usf. speichern auf Servern, rufen Informationen aus der Firmendatenbank ab usw. Internet ist da eher der kleinere Teil. Das sind im Wesentlichen Emails beim Gros der User in einer Firma. IT und Marketing eher mehr. Aber der Rest ...

In der Praxis wird das Gastnetz zumeist über die die gleiche Internetanbindung wie die das Firmennetz geroutet. Die FW limitiert dann die Bandbreite des Gastzugangs (z.B. auf max 10% der verfügbaren Gesamtbandbreite).

Klar machen das viele so. Unbestritten. Der TO hat aber sicherlich seinen Grund, warum er das nicht so machen will. BTW: Es gibt noch einen weiteren Aspekt, warum man evtl. das Gästenetz komplett physisch vom Produktivnetz trennen will: Das ist die beste Firewall, wo gibt. face-wink

Liebe Grüße

Erik
Mitglied: monstermania
monstermania 28.08.2020 aktualisiert um 09:31:28 Uhr
Goto Top
Zitat von @erikro:
Was ist der Normalzustand? In einer Firma mit 5 Mitarbeitern ist die Fritte, hinter der ein ungetaggtes (da dreht sich dem alten Humanisten der Magen um face-wink ) (W)LAN betrieben wird. Firewall vielleicht noch aber eher nicht. Und für die Gäste hat man in der Fritte das Gäste-WLAN freigeschaltet. Alle Mitarbeiter dürfen alles. Wenn man Glück hat, dann hat der Chef einen zweiten Account mit Adminrechten. Wenn es ganz dumm läuft, dann guckt er Pornos mit Adminrechten (habe ich so in einer Firma dieser Größe erlebt auf der Suche nach der Quelle der Schadsoftware.)
Das mag bei vielen KMU so sein. Genau so wie bei vielen Privathaushalten eben.
Es gibt aber auch Privathaushalte und KMU, die sich um Sicherheit Gedanken machen und eben eine richtige Firewall nutzen. Und ja, es gibt dann sogar noch welche, die sich um ein Regelwerk sorgen.

In einer Firma mit 5.000 Mitarbeitern ist der Normalzustand: Mehrfach redundante Anbindung ans Internet, möglichst auch georedundant, falls mal wieder der Bagger kommt. Da nimmt man dann gerne eine Leitung von Colt, eine von EUNetworks ... drei, vier, fünf Gigabitleitungen. Da haben wir entsprechende Backbone-Verkablung ebenfalls mehrfach redundant, einen Sack voll VLANs, DMZ, ausdifferenziertes Rechtesystem ... In so einer Umgebung sind Ressourcen knapp. Nehmen wir mal an, Du hast auf der Backbone-Trasse 100Gig zur Verfügung, dann sind das statistisch gerade mal gute 20Mbit/MA. Hmmmmm. Da kommt dann schnell das Bedürfnis auf, die Gäste auf ein eigenes WLAN getrennt vom Rest zu schieben. Wie gesagt: Wir reden vom Normalzustand.

100%ige Zutimmung. Unsere Company ist sogar noch etwas größer. Und trotzdem wird für das Gäste-WLAN keine dedizierte Infrastruktur oder ein extra Internetzugang genutzt. Mitarbeiter WLAN und Gäste-WAN läuft tatsächlich über die gleiche Infrastruktur/Netzzugang. Da muss ich doch mal bei den Netzwerkern nachhaken, was Sie sich dabei nur denken! face-wink
Ist Dir da ein Komma verrutscht? 1750Mbit < 1Gbit?
Nö, das eine ist halt Megabit das andere Gigabit. Nur, dass die WLAN Datenrate immer als Brutto-Datenrate angegeben wird. Wenn Du also einen AP mit 1750 MBit (=1,75Gbit) hast, ist das eben die Brutto-Angabe! Zeig mir mal im Echtbetrieb ein WLAN, dass es schafft die Brutto Datenrate des AP auch tatsächlich netto zu übertragen.
Hier mal ein Link zu den Netto-Datenraten diverser Standards: https://de.wikipedia.org/wiki/Datendurchsatz#:~:text=5%2C5%20Mbit%2Fs%20 ....

Und klar, wenn Du da jetzt noch ein Gäste-WLAN mit einer 1 SSID auf die AP packst, teilst du Deine verfügbare Bandbreite auf 2 Netze auf.

Eben. Deshalb ja meine Bemerkung dazu, dass, wenn die Ressourcen für die MA knapp werden, es keinen Sinn macht, nur die Außenanbindung zu betrachten. Du sprachst ja vom "Normalzustand". Was tatsächlich normal ist, ist, dass der Datenverkehr in Firmen hauptsächlich intern geschieht und weniger extern. Buchhaltung, Controlling, Entwicklung, Geschäftsleitung usw. usf. speichern auf Servern, rufen Informationen aus der Firmendatenbank ab usw. Internet ist da eher der kleinere Teil. Das sind im Wesentlichen Emails beim Gros der User in einer Firma. IT und Marketing eher mehr. Aber der Rest ...
Eben, wie viel Prozent der Mitarbeiter in der Firma arbeiten denn per WLAN-Anbindung!? Jedenfalls die Kollegen aus der Buchhaltung oder Entwicklung wohl am wenigsten. (Firmen)WLAN wird halt von den Mitarbeitern genutzt, wenn man nicht an seinem AP sitzt (z.B. Konferenz, Präsentation, usw.). Außer vielleicht in Hippen Startups, wo Jeder in der Lounge arbeitet...
Genau so verhält es sich mit dem Gäste-WLAN in einem normalem Unternehmen. Da hat man wenn es dann evtl. mal 200 Gäste gleichzeitig im WLAN. Macht auf die Gesamtzahl der Mitarbeiter bei uns nicht mal 5% aus... Und auch hier sind ja i.d.R. keine extremen Datensauger am Werk, sondern da werden dann Mails abgeufen oder es wird sich per VPN in das eigene Firmennetz eingewählt.
In der Praxis wird das Gastnetz zumeist über die die gleiche Internetanbindung wie die das Firmennetz geroutet. Die FW limitiert dann die Bandbreite des Gastzugangs (z.B. auf max 10% der verfügbaren Gesamtbandbreite).

Klar machen das viele so. Unbestritten. Der TO hat aber sicherlich seinen Grund, warum er das nicht so machen will. BTW: Es gibt noch einen weiteren Aspekt, warum man evtl. das Gästenetz komplett physisch vom Produktivnetz trennen will: Das ist die beste Firewall, wo gibt. face-wink

OK, da stimme ich Dir 100%ig zu. Ich weiß nicht, was der TO erreichen will/muss.
Kann natürlich sein, dass der TO deutlich mehr User im Gäste-WLAN hat, als in seinem eigentlichen Firmennetz und daher eine 100%ige Trennung von Firmen und Gäste-Infrastruktur plant.