Netzwerk mit 15 Subnetzen, PFSense und Mikrotik X2AH Routerboard

Wo kommen denn die 15 Subnetze her? Werden die Linksys als Router betrieben und haben jeweils ein eigenes IP-Netz?
Wenn ja, warum ist das so?

Welches Ziel verfolgst Du damit?

Gruß
sk

Moin,

Wenn Du dem Mikrotik sagst, er soll kein NAT machen, macht er auch keins.

Aber was spricht dagegen, einfach VLAN-fähige switches zu nehmen und das direkt an die pfsense zu führen? Die könnte dann auch die 15 Subnetze reglementieren.

lks

Du kannst sowohl pfSense als auch Mikrotik ohne NAT betreiben, von daher hast du ausreichend Spielraum.
Handelt es sich um ein wirkliches Kabelmodem oder ist das auch ein Router?
Ansonsten kannst du die ersten beiden Varianten umsetzen, je nach Geschmäckle .

Die Router einzeln austauschen würde ich eher lassen ..

VG
Ashnod

Ahoi ...

Liegt evtl. an mir, aber das mit deinem NAT-Problem verstehe ich nicht wirklich.
Du kannst dein Setup so gestalten, das du nur einmal NAT verwenden wirst
Wo du das NAT haben wirst hängt eigentlich nur von deinem Verbindungstyp ab, das musst du mal genauer klären was dir der Anbieter da hinstellt.

Gehen wir mal davon aus das NAT auf der pfSense liegen wird dann kannst du das im Mikrotik ausstellen.
Ein zusätzliches NAT hinter der FW macht einfach keinen Sinn mehr.

pfSense würde ohne NAT wie gewohnt arbeiten ... nur eben ohne NAT.

Du könntest dein VLANs genauso auf der pfSense anlegen und verwalten oder den Mikrotik in einem Netz dahinter die Aufgabe übernehmen lassen .. oder auch einen L3 Switch besorgen der noch besser harmonieren würde.

Eine andere Frage die ich mir noch stelle, haben die 15 WRT-Router evtl. auch als AP gedient und WLAN verteilt?

Dein Hauptproblem ist eigentlich das du mit deinem Netzwerk und der vorhandenen Hardware etliche Konfigurationsmöglichkeiten hast die alle gut funktionieren.

Du musst dich jetzt nur für einen weg entscheiden. Der wichtigste aus meiner Sicht ist der herauszufinden was an deinem Anschluss nun wirklich liegt.

VG
Ashnod

Aus meinser Sicht ist das bisherige Design grundsätzlich zu hinterfragen. Dass z.B. jeder Linksys-AP bisher ein separates IP-Netz bereitstellt erscheint mir jedenfalls weitgehend sinnlos und dürfte schlicht aus Unkenntnis so implementiert worden sein.

Üblicherweise unterteilt man ein Netzwerk (am gleichen Standort) aus folgenden Gründen in mehrere IP-Netze:
1) Um die Broadcastdomain klein zu halten (Performence)
2) Um Bereiche mit unterschiedlichen Sicherheitsanforderungen gegeneinander abschotten zu können.

Bei 1) genügt es, zwischen diesen Netzen zu routen.
Bei 2) bedarf es auf der Routinginstanz eines entsprechenden Regelwerkes (z.B. statische ACLs auf einem L3-Switch oder besser SPI auf einer Firewall)

Mal als Blaupause:
Ich betreibe an knapp 20 Standorten Schulnetze. Alle haben jeweils folgende Sicherheitszonen:

a) Management-Netz für Aktivkomponenten wie Switche, Router etc. (hierauf haben nur die Admins Zugriff)
b) Management-Netz für die Accesspoints (separat, weil diese Ports in der Regel ungeschützt zugänglich sind - sich da also jeder ranklemmen könnte; Hier kann nur mit dem WLAN-Controller kommuniziert werden - sonst nix)
c) GLT-Netz (Heizungssteuerung, PV-Anlage, Überwachungskamaeras etc.)
d) ggf. VOIP-Netz für Telefonie
e) Verwaltungsnetz (Arbeitsplätze für Sekretärin, Schulleitung etc.)
f) pädagogisches Netz (schuleigene Geräte für den Unterricht; i.d.R. von Schülern genutzt; je nach Endgerät kabelgebunden oder per WLAN)
g) Gäste-Netz für Fremdgeräte (nur Internet; in der Regel nur per WLAN bereitgestellt; Authentifizierung per WPA2-Enterprise)

Jedes dieser Netze ist eine eigene Sicherheitszone. Der Übergang von einer Zone zur anderen wird per Firewall reglementiert. Aus dem pädagogischen Netz darf z.B. nicht aufs Verwaltungsnetz zugegriffen werden usw.
Innerhalb der gleichen Sicherheitszone kann es bei Bedarf selbst am gleichen Standort durchaus mehrere VLANs/IP-Netze geben. So z.B. haben wir an einigen Standorten nur im pädagogischen Netz bereits mehr als 255 Hosts und da wir mit /24er IP-Netzen arbeiten, gibt es innerhalb der gleichen Zone und am gleichen Standort dann z.B. 2 VLANs und 2 IP-Netze für das pädagogische Netzwerk. Dazwischen wird dann aber aus Performencegründen nur geroutet (kein Firewalling).

Gruß
sk

Als Berliner kann ich mit Unitymedia halt nicht viel anfangen und kenne das Angebot so gar nicht geschweige denn die Technik.

Ich gehe mal von einem Router aus sonst klappt das mit dem Bridge-Modus auch kaum ...

also IP wie du selbst schreibst auf die pfSense ... die macht dann auch das NAT als einziges Gerät in deinem Netz

Hinter der pfSense sind deine Möglichkeiten dann fast unbegrenzt.

Mal abgesehen von deinem etwas gestörten Verhältnis zu NAT funtionieren alle Varianten die du vorschlägst.

Eigentlich die Stelle an der du dich für eine entscheiden mußt und dann frisch und frei ans Werk

Ashnod

Der Rest wird über Routing gelöst.

In das Netz (Transportnetz) der pfsense hängst du den router ein x.x.x.254

Legst dann statische Routen auf der pfs an da diese die Netze die der Router verwaltet nicht kennen kann.

172.16.10.0/24 > x.x.x.254

Und für den weg zur pfsense die default Route auf dem mikrotik zur pfsense

Ashnod

Ich habe den Eindruck, dass Dir nicht klar ist, was Layer 2 und was Layer 3 und höher ist und wie das letztlich alles zusammenspielt.
Selbstverständlich sind das bei uns alles VLANs. Jedes IP-Netz wird in einem eigenen VLAN geführt. VLANs sind doch nur eine Virtualsierungstechnologie (von vielen). Alternativ könnte man auch für jedes Netz eigene Switche verwenden. Ab einer gewissen Komplexitätsstufe macht das aber heute niemand mehr. Viel zu teuer und unflexibel!
Mit VLANs kannst Du auf der gleichen Switch-Hardware auf Layer2 voneinander isolierte Netze bereitstellen. Von Spezialfällen wie asymmetrischen VLANs mal abgesehen können diese Netze nur noch dann miteinander kommunizieren, wenn es einen vermittelnden Mechanismus dazwischen gibt. Dieser Mechanismus wird einen logischen Layer höher (Layer 3) abgebildet. In aller Regel verwendet man heute auf Layer 3 das IP-Protokoll v4 und/oder v6. Der Vermittler nennt sich Router und trifft seine Routing- und Forwardingentscheidungen anhand von Ziel- und Absender-IP-Adressen. Erst auf dieser Ebene erfolgt ggf. eine Betrachtung nach Sicherheitskriterien bzw. die von mir oben eingeführte logische Klassifizierung nach Sicherheitszonen. Ein normaler Router würde einfach zwischen allen ihm bekannten IP-Netzen vermitteln. Wenn dies je nach Klassifizierung der beteiligten Netze nicht gewünscht ist, bedarf es an dieser Stelle einer entsprechenden Filterung. Ob man dies per statischer ACL oder per stateful Firewall macht, hängt von den Anforderungen ab.
Statische ACLs sind sehr perfomant und die erforderliche Hardware in Relation zum Durchsatz billig (idR ein sog. Layer3-Switch). Jedoch sind deren Möglichkeiten sehr begrenzt - eigentlich nur zum kompletten Unterbinden von Traffic wirklich zu gebrauchen. Sobald es differenzierter wird, kommt man um Stateful Packet Inspection nicht herum. Das erfordert aber wesentlich mehr Rechenleistung. Bei gleicher Durchsatzanforderung ist die Hardware für SPI daher deutlich teurer. Deshalb implenentiert man in größeren Umgebungen meist Mischformen.

Bei uns ist es z.B. so, dass sich alle Schulen gemeinsame Server teilen, welche jeweils in einem gesonderten IP-Netz/VLAN der gleichen Sicherheitszone liegen.

Beispiel:

A) Sicherheitszone "pädagogische Netze"
aa) Netz für gemeinsame pädagogische Server
ab) pädagogisches Netz Schule 1
ac) pädagogisches Netz Schule 2

B) Sicherheitszone "Verwaltungsnetze"
ba) Netz für gemeinsame Verwaltungsserver
bb) Verwaltungs-Netz Schule 1
bc) Verwaltungs-Netz Schule 2

ab) und ac) benötigen performanten Zugriff auf aa). Untereinander sollen sie nach Möglichkeit nicht direkt kommunizieren dürfen (wenn aus Versehen doch, wäre es aber auch kein Weltuntergang). Deshalb wird am Übergang zwischen diesen 3 Netzen vom Layer3-Switch geroutet und es gibt eine ACL auf dem Layer3-Switch, die (nur) den Zugriff der Schulen untereinander verbietet.
Selbiges gilt auch analog für die Sicherheitszone "Verwaltungsnetz". Auch hier erledigt das IP-Forwarding zum Netz ba) ein Router, welcher lediglich die Kommunikation zwischen bb) und bc) per statischer ACL verhindert.

Da sich aber die Sicherheitszone A und B einen gemeinsamen zentralen Internetzugang teilen und zudem teilweise Zugriffe von B) nach A) gewünscht sind (z.B. Drucker ansprechen) braucht es eine weitere Routinginstanz, welche differenzierter filtern kann. Hier kommt dann eine SPI-Firewall zum Einsatz. Diese muss aber nur noch den gemeinsamen Internetverkehr sowie den gewollten zonenübergreifenden Traffic verarbeiten und kann daher entsprechend günstiger ausfallen, als wenn alles über die Firewall laufen würde.
Das Szenario benötigt also eine gemeinsame (Backend-)Firewall sowie pro Sicherheitszone je einen Router mit statischen ACLs. Da wir etliche Sicherheitszonen mit mehreren Teilnetzen haben, bräuchten wir entweder sehr viele Router oder einen Router an dem alle Netze anliegen und bei dessen ACLs auf keinen Fall Fehlerkonfigurationen auftreten dürfen (was mir zu gefährlich wäre). Gott sei Dank hilft auch hier wieder die Virtualsierung: Auf den gleichen Coreswitches bilden wir einfach virtuell mehrere Routinginstanzen ab. Je Sicherheitszone eine eigene.


Gruß
sk

Ich kenne einige Designguides z.B. von Cisco, aber dabei geht es um große Netze. Um Sicherheit, Verfügbarkeit und Performence. Insbesondere in Rechenzentren. Virtualisierung ist ein riesen Thema. Auch und gerade im Netzwerk. Das ist aber vermutlich alles mindestens fünf Nummern zu groß für Euch.
Selbstverständlich gibt es auch Bücher zu elementaren Grundlagen für kleine Netze. Das kann man sich aber auch sehr schnell im Netz zusammensuchen. Bitte die Suchmaschine Deines Vertrauens füttern.

Zielführender hier wäre, wenn Du mal das bisherige Netzdesign als Skizze darstellen würdest (physische und logische Topologie).
Bitte lege dar, wie das Vorhandene aktuell genutzt wird, was gut funktioniert und was nicht. Was soll künftig anders werden und warum? Rein funktional gesehen. Erst dann machen wir uns Gedanken um die Möglichkeiten zur Erreichung der Ziele. Du kommst hier von Beginn an mit vermeintlichen Lösungen um die Ecke (Einsatz von VLANs, Mikrotik, Ablösung Linksys-Router) und möchtest, dass wir das bewerten. Das ist aber nicht möglich, ohne die Anforderungen, die altuellen Defizite nebst der Ursachen, die Ziele und die konkret geplanten Konfigurationsänderungen zu kennen.
Wichtig wäre auch zu wissen, wer das dauerhaft administrieren soll, welches Skillevel und wieviel Zeit er dafür hat sowie welche Budget für Änderungen und für den späteren Betrieb (Folgekosten) zur Verfügung steht.

Gruß
sk

Hallo,

Also Volladmin oder nur so für 4 Stunden nebenbei, oder Dein eigenes oder, oder, oder.....

VLANs mit eigenem IP Adressbereich?

Auf welcher Hardware bitte?

Und die sollen nun alle ersetzt werden?

Warum keinen gebrauchten Cisco SG300 oder anderen Layer3 Switch dazu der die eventuellen VLANs dann selber routet?

Sind Server und NAS oder gar SAN vorhanden?

Ok, dann solltest Du aber vorher wissen das die VLANs wenn die pfSense diese routen muss, eventuell zu schwach
ist wenn man dort richtig viele große Dateien hin und her schieben muss!

Soll das RouterBoard dann die VLANs routen weil die pfSense dafür zu schwach ist oder was soll das MikroTik RB1100AHx2
machen? Oder was soll die doppel NAT Situation die Du dann aufbaust?

Also soll das MikroTik RB die VLANs routen und die pfSense soll dann das Captive Portal bereitstellen und den Squid Proxy
oder was soll das denn nun wirklich?

Mit dem RB kann man natürlich Queues anlegen zur Bandbreitenaufteilung.

Gruß
Dobby