Netzwerkdesign in einem KMU

Hallo zusammen,

ich möchte gerne Anfang nächsten Jahres einen Switch tauschen und bei der Gelegenheit gleich einen L3-Switch verwenden. Als Nebenher-Admin im Kleinunternehmen
hab ich natürlich nicht die berufliche Erfahrung der Profis, also bitte nicht gleich die siebenschwänzige LAN-Kabelpeitsche auspacken.

Nachstehen mal der Plan, der bezüglich der Übersichtlichkeit vielleicht etwas wirr geraten ist.



Ich hab mir mal folgende Punkte auf die ToDo-Liste geschrieben:

1. Router Lancom 1781 VA: Ich gebe dem Router die 172.16.1.1 und binde die Adresse auf ETH2/LAN2. Dann lege ich statische Rückrouten für die VLANs an, damit der Router weiß, wohin er den Kram schicken soll, also entweder einzeln für jedes VLAN oder eine Route für 192.168.1.0/16 mit 172.16.1.2 als Ziel. Die Anbindung ans Internet ist klar, Firewall ebenso. Da bleibt alles wie es ist.

2. SG350X-24MP: Dem Switch selbst gebe ich als Default-Gateway die 172.16.1.1, damit er die Default-Route 0.0.0.0/0 einträgt, die dann zum Lancom-Router führt. Ich lege die VLANs 10 bis 60 sowie 100 mit den Adressen 192.168.1.2, 192.168.2.2, 192.168.3.2 usw. sowie 172.16.1.2 an. Das Default-Gateway für jedes VLAN (außer VLAN100) ist dann die jeweilige IP im Switch.
Damit die Pakete ihren Weg vom Lancom-Router in die VLANs finden, lege ich statische Rückrouten auf dem Lancom-Router an, ggf. auch nur eine Rückroute mit 192.168.1.0/20.

Die VLANs 10 bis 50 dürfen untereinander quatschen. Lediglich das VLAN60 soll völlig getrennt sein. Das stelle ich dann durch eine ACL sicher. Da für VLAN60 der Switch die DHCP-Funktion übernehmen soll, richte ich auf dem Switch den DHCP-Server für das VLAN 60 ein. Alle anderen DHCP-Anforderungen leite ich mittels DHCP-Relay an den Windows Server in VLAN 10 weiter. Für die Clients im VLAN60 (ist eh nur der Cisco-VPN-Router unser Kunden) gebe ich per DHCP (vom Switch) die IP des VLAN60 als DNS + Default-Gateway durch.

3. Auf dem Windows Server lege ich die DHCP-Scopes für die VLANs 10 - 50 an und nehme Bereiche, in denen keine statischen IP-Adressen vergeben wurden. Als Default-Gateway verwende ich die IP-Adressen der VLANs auf dem Switch, als DNS aber den Windows Server in VLAN 10. Dort richte ich die Weiterleitung auf die beiden Provider-DNS ein. Ich habe bisher favorisiert, statt statischer IPs bei Druckern, Telefonen etc. DHCP zu verwenden und die Adressen dann zu reservieren, damit ich die DNS-Einträge nicht von Hand machen muss. Im DNS lege ich dann die passenden Reverse-Lookup-Zonen an.

4. Das NAS dienst als Kamera-Recorder und Datenbüchse. Es ist mit einer Schnittstelle im VLAN 50, um den Kamera-Traffic dort direkt aufzunehmen und mit der zweiten Schnittstelle im VLAN10, um dort als Speicherort zu dienen.


Die Abbildung ist natürlich nur schematisch. Es sind real ein paar Clients, Drucker, Kameras etc. mehr.

Vorab vielen Dank für Rückmeldungen, was richtig und was falsch ist. Gerne auch Tipps, was am Design verbessert werden könnte.

Gruß NV