18.11.2022, aktualisiert um 09:56:57 Uhr

3382

Rettet meinen Seelenfrieden

Hallo Leute,

ich komme mit einem etwas ungewöhnlichen Problem: ich habe vor Kurzem die Infrastruktur eines kleinen Instituts übernommen.
Ca. 130-180 MA, dazu Gäste, meist mehrere Maschinen pro MA (Laptops, PC, Apple, Mobiles ...). Die Betreuung hatte bislang eine Service-Firma (ohne Anleitung) gemacht, als Netzwerk finde ich ein /16er Netz vor, in dem zwar teilweise Geräte in IP-Bereiche getrennt wurden, aber letzlich alles in einer riesigen L2 BC Domain läuft ... PC, Switches, Firewall, Laptops, Drucker, Server, Virtualisierung Full - insgesamt ca. 300-350 Geräte ... Es gab täglich BC-storms, die das Netzwerk für 5-10 min völlig lahm legten (u.a. eine Printersoftware, die mit BC/UC auf 65.536 IP immer 10er-weise gescannt hat - das ist kein Witz!) Es sind L3 Switches vorhanden, wurden aber nur als L2 betrieben. Die Service-Firma hat 3 Jahre lang die Ursache dieser Netzwerkausfälle vergeblich gesucht - am liebsten würde ich hier den Namen nennen. Zudem wurde bei der Tertiärverkabelung aus "Kostenspargründen" im Gebäude auch noch Pair-Sharing eingesetzt, dies verstärkt ggf. durch die schlechtere Schirmung noch gewisse Effekte.

Ich bin Netzwerk-Quereinsteiger, habe ca. 20 Jahre Berufserfahrung in strukturierten Netzwerken. Es ist klar, dass ich hier natürlich die Fehler eliminiert habe und die ganze Sache in eine vernünftige Bahn lenken will, also mit max. /24, VLAN, L3 Switches mit VRRP, HSRP. Ihr braucht also nicht mich anleiten, es gibt zum Thema BC und Anzahl Knoten im Netz/BC Domain ja genügend Beiträge hier. Mir ist klar, wie die Sache am Ende auszusehen hat (schön sauber über DHCP-Scopes und -Policies).

Ich habe ein anderes Problem: ein langjährig etablierter Kollege (ohne Netzwerkwissen) kommt aller paar Tage an und meint, die Service-Firma wären studierte Leute und wenn die das Netzwerk so mit /16 eingerichtet haben, dann wird das schon gut sein und seinen Grund (gehabt) haben.
Nach meiner Meinung hat irgendjemand vor 8 Jahren die 172.16.0.0 als Netzwerk eingegeben und bei der automatisch erzeugten /16 (Windows, ehemals B-Class) einfach weiter gedrückt ;) ... und nein, ich möchte Eure goldene Forennadel für die IP Klassen nicht erhalten (ihr seht, ich lese die Beiträge aufmerksam).

Ihr müsst also keine technischen Hintergründe liefern, die habe ich dem Kollegen bereits mehrfach erklärt.
Ich würde mir wünschen, dass Ihr kurz Eure Erfahrung(sjahre) als Netzwerker angebt und in kurzen Wörtern Eure Meinung zu dem vorgefundenen Netzwerkdesign /16 für alle Geräteklassen und ohne jegliche Segmentierung schreibt - findet Ihr diesen Ansatz regulär, begründet, gut, abwegig? Hat die Service-Firma qualitativ gute Arbeit abgeliefert, auch weil ja die Netzwerkausfälle nicht diagnostiziert werden konnten? ... Vll. gibt der Kollege dann mal Ruhe - wenn er die Meinung von erfahrenen Netzwerkern hört und ich kann das Netzwerk endlich ohne weiteres Gemecker umbauen.

Vielen, vielen Dank für Eure Unterstützung!
VG

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 4669730668

Url: https://administrator.de/forum/rettet-meinen-seelenfrieden-4669730668.html

Ausgedruckt am: 03.04.2025 um 03:04 Uhr

16 Kommentare

Neuester Kommentar

Moin,

Nach Deiner Schilderung, nur die kennen wir ja, hat dei Firma großen Bockmist gemacht. Das widerspricht allem, was man normalerweise macht. Es kann mal gute Gründe für den ursprünglichen Aufbau gegeben haben,. Aber dann wurde vermutlich nciht dokumentiert undnur noch neues einacfh so drangeflanscht, dami es irgendwie ging. Ob da nun studierte Leute saßen oder nicht ist unerheblich. Die Frage ist, ob sie Handwrk verstanden und das haben sie anscheinend nicht.

Ich selbst bin auch studiert, aber habe mir das Netzwerkwissen alle nicht im Studium, sondern in der praxis angeeignet. wenn die also keine Praxiswissen gehabt haben oder nur schlechte Lehrer, konnte da nichts besseres rauskommen. Aber du mußt Bedenken, daß manchmal auch der Sparwille eines Kunden zu solchen Konftrultionen führt. Dann macht man als Servicefirma nur das notwendgste, um alles am Laufen zu halten auch wenn man immer wieder darauf hinweist, was die bessere Lösung wäre.

Also: Zieh den Unfug gerade und laß Dich nicht davon abhalten.

lks

Ja, moinsen,

vielen Dank für Deine rasche Antwort und Einschätzung!
Am Geld kann es nicht gelegen haben, da sind über die Jahre 7stellige Beträge rübergewandert ;) Ich denke, dass war per Design so. Leider gibt es - Du hast völlig Recht - keinerlei Dokumentation, wurde offenbar auch nicht durch das Institut kontrolliert, obwohl extra für Dokumentation bezahlt wurde (ich sehe nur die alten Rechnungen und keine Doku).
VG

Moin..

in der regel ist so ein /16 aus der not geboren worden, das netzwerk ist zu schnell gewachsen- und die infrastruktur konnte nicht angepasst werden, und so kommt eins zum anderen!
abgsehen davon, im Jahr 1995 / 2000 waren vlans nicht so verbreitet, und die passenden gerätschaften kaum zu bekommen (bezahlbar) und das wissen darüber war eher mau... (ist es heute teilweise auch noch)
und ja.. wenn das netz groß war, hast du eben mal ein /16 gemacht... so war das früher eben

wenn es halbwegs intelligent gemacht wurde, wurde die netze geroutet- und das konnte auch nicht jeder!
in deinem fall, fehlt uns das wissen, wann (und wie) wurde das netzwerk aufgebaut.

Frank

Wie soll man das wirklich relevant beurteilen? Hier wäre die Frage: Hast du schonmal als Dienstleister gearbeitet? Da ist es nämlich einfach: Soweit du die Tür hinter dir zumachst ist eh alles sch... was du gemacht hast und jeder der auch nur ne Computerbild unfallfrei aufschlagen kann weiss es eh besser.

Es ist NATÜRLICH einfach wenn du irgendwann reinkommst die "Fehler" zu sehen und zu sagen "aber die wissen nix". Wenn du aber sagst das es keinerlei Dokumentation gibt ist der Fehler doch eher bei euch auf der Seite (vermutlich VOR deiner Zeit, nicht das du denkst ich will dir das zuschieben) passiert. Und Geld ist dabei nicht immer das Kriterium.

Einfaches Beispiel: Ich habe vor meinem jetztigen Job für dieselbe Firma als Dienstleister gearbeitet. Für den Teil für den ich verantwortlich war gab es idR. 2 - 2,5 Tage für den kompletten Aufbau - inkl Abnahmetests. Damit war somit ca. 0,5 Tage zB. für die Verkabelung der Switches vorhanden. NATÜRLICH sahen die Dinger danach aus wie gehaktes - da eben gar keine Zeit war die Kabel immer ordentlich zu legen (und oftmals die Firma die es eingebaut hat zwischen Patchfeldern keinen Platz für nen Switch gelassen hatte). Wenn DU heute vor so einem Schrank stehen würdest dann wäre die Aussage natürlich (und berechtigt) das es sch... aussieht. Wenn du aber zu dem Zeitpunkt da stehst kannst du es gar nicht anders machen weil die Zeit eben vorgegeben ist...

Jetzt kannst du ja mal aus Dienstleistersicht überlegen. Du kommst in ne Firma und die sagen dir "bau mal netzwerk auf". Da stellst du natürlich Fragen wie zB. wieviele Geräte, sollen VLANs verwendet werden, wie siehts mit Zugriffen aus,... Es wäre bei euch aber bei weitem nicht der erste Laden bei dem als Antwort nur kommt "Keine Ahnung wieviele Geräte da kommen - der Ausfall beim Aufbau darf aber nicht länger als 4h (oder bestenfalls nur am WE) sein". Meinst du wirklich da kannst du dann in einem recht unbekannten Netzwerk nen gutes Layout hinbiegen? Zumal sich das immer gut anhört "nen ganzes Wochenende". Dummerweise gibt es sowas wie Arbeitszeitgesetze usw. -> und nen Sonntag ist idR. Genehmigungspflichtig, fällt somit oft auch weg (vgl. hier zumal selbst wenn du die Genehmigung hast der Kunde den Aufpreis natürlich auch zahlen muss). WENN du denn das Glück hast und am WE arbeitet niemand, du darfst alles runterfahren,... Wenn du aber das Pech hast und es heisst "es muss möglichst schnell gehen" dann wirst du eben ggf. auch sagen: Sch... drauf, /16er Netz und kein grosses Routing rein. Beim GBit (oder mehr) sind mir doch die BCs egal. Du hast da eben ne einfache Wahl:
a) Du machst es schnell und der Kunde kann wieder arbeiten
b) Du machst es gründlich und der Kunde haut dir in den Nacken weil du eben mehr Zeit als vereinbart benötigt hast (bzw. idR. nicht dir vor Ort, der haut deinen Chef in den Nacken, der kommt dann zu dir...)

Wenn du also Fehler suchen willst (was an sich Zeitverschwendung ist da die ja bereits Vergangenheit sind) suche bei EUCH im Haus. Du siehst Rechnungen für ne Doku die nie geliefert wurde? Nun, irgendwer hat die Rechnung ja freigegeben - frage den wo die Doku ist. Hat der (wie durchaus nicht ungewöhnlich) mal wieder blind unterschrieben dann verdient DER die Nackenschläge, nicht der Dienstleister... Und leider ist das wirklich keine Ausnahme - ich sehe oft genug wie Dinge unterschrieben werden ohne das man sich die Arbeiten überhaupt zeigen lässt (etwas was mich mehr als ankotzt!). Teils werden die sogar in Deutsch unterschrieben obwohl die Person die das unterschreibt nur Englisch kann (und oft andere Sprachen, die noch weiter weg von Deutsch sind ;) ). Das WAS du dem Dienstleister dann zum Teil anlasten kannst: Der weiss es auch nach ein paar Besuchen - und irgendwann hast du als Firma den Ruf "die unterschreiben eh alles, da kannst auch pfuschen - is sogar besser weil die dann auch für die Repa nochmal bezahlen".

Leider wirst du heute oft finden das Abnahmeprotokolle beidseitig eher als Zeitverschwendung angesehen werden - und da ist eben idR. nicht der Dienstleister schuld. DEM brauch ich nämlich nur zu sagen "plane bitte X stunden für die Abnahme ein" und der wirds mit Aufnehmen und machen... Man SELBST muss dann eben auch hinterher gehen...

Von daher kann man da für deinen Seelenfrieden nix tun. Es KANN durchaus sein das der Dienstleister durchaus weiss was er tut - aber die Bedingungen so gesetzt sind das der eben nicht "nach Standard" arbeiten kann... Und wenn ich ehrlich bin - selbst heute muss ich oft genug (aufgrund der besonderen Umgebung) Arbeiten machen bei denen ich immer nur hoffe danach nen Standard zu finden der dazu passt ;). Ich WÜRDE gerne immer sauber arbeiten, Dinge fertigstellen und alles sauber dokumentiert haben - doch meistens kommt dann ne Realität um die Ecke...

@maretz

Gute Antwort

Ich mach es mal kurz:

Das historisch gewachsene Netzwerk sollte dringend geändert werden. Der Kunde muss beraten werden und die Dringlichkeit muss verstanden sein. Meiner Erfahrung nach stellen sich Kunden nur dann quer, wenn die Beratung nicht ausreichend Informiert hat und der Kunde das deshalb nicht kapiert hat.

Dass man kein /16er Netzwerk ewig so weiter betreiben kann weiß heute jeder Azubi. Mag sein, dass es einen Grund damals gab. Aber DAMALS eben. Das ist also uninteressant. Das Argument "das sind studierte Leute, die wissen was sie gemacht haben" ist was für den Popo. Darüber würde ich nicht eine Sekunden nachdenken. Das ist ein dämliches Scheintotschlagsargument.

Beschäftige dich nicht mit der Vergangenheit. Schau was da ist und was die Anforderungen sind. Bau das Netzwerk so um, dass es vernünftig funktionieren kann. Dein Erfolg wird dir Recht geben.

Zitat von @it-fraggle:

Ich mach es mal kurz:

Das historisch gewachsene Netzwerk sollte dringend geändert werden. Der Kunde muss beraten werden und die Dringlichkeit muss verstanden sein. Meiner Erfahrung nach stellen sich Kunden nur dann quer, wenn die Beratung nicht ausreichend Informiert hat und der Kunde das deshalb nicht kapiert hat.

Dass man kein /16er Netzwerk ewig so weiter betreiben kann weiß heute jeder Azubi. Mag sein, dass es einen Grund damals gab. Aber DAMALS eben. Das ist also uninteressant. Das Argument "das sind studierte Leute, die wissen was sie gemacht haben" ist was für den Popo. Darüber würde ich nicht eine Sekunden nachdenken. Das ist ein dämliches Scheintotschlagsargument.

Beschäftige dich nicht mit der Vergangenheit. Schau was da ist und was die Anforderungen sind. Bau das Netzwerk so um, dass es vernünftig funktionieren kann. Dein Erfolg wird dir Recht geben.

Was heisst bei dir "dringend"? Das es nicht optimal ist - keine Frage. Aber man kann es schon betreiben... Hier muss man nunmal einfach abwägen: Was KANN man leisten (und in welcher Zeit)? Dabei KANN es rauskommen das man es umbauen kann. Es kann aber eben auch rauskommen das man das aktuell gar nicht leisten kann - und nichts ist (meiner Meinung nach!) schlimmer als ne Mischung aus halbfertigen Umstellungen...

Wenn natürlich die Möglichkeit besteht das umzubauen (z.B. indem man Abteilungsweise Rechner u. Geräte umstellt,...) keine Frage - dann macht es Sinn... Wenn das aber nicht komplett geht (weil zB. der Chef alle 5 Min mit was neuem kommt, weil man eh noch nen grossen Stapel unerledigtes hat,...) würde ich das nicht teilweise machen und nach 2 Wochen das grosse Chaos haben (oh - die 5 Rechner sind schon im anderem Netzwerk, bei denen is das aber nich... Und der Drucker hängt aber schon in dem VLAN, hat aber jemand wohl vergessen auf dem Server umzustellen weil wieder was anderes dazwischen kam,...).

Solche Netzwerke sehe ich oft.
Sind dann meist historisch gewachsen. Irgendeiner hat mal vor 20 Jahren einen DSL-Router, einen Switch, einen Drucker und 2 Rechner per LAN verdrahtet und kaum 20 Jahre später gibt es 200 Mitarbeiter mehr.
Es wird wahrscheinlich Dienstleister gegeben haben, die das gerne von Grund auf geändert hätten - was aber meist am fehlenden Budget und fehlender Geduld der Auftraggeber scheitert. Es läuft ja alles (zumindest meistens).

Als Dienstleister liefert man das ab, wozu man bezahlt wird. Wenn die Aufgabe "mach, dass es läuft" lautet, dann ist das Endergebnis halt genau so. Die wenigsten Auftraggeber wissen schließlich, wie sie einen Auftrag so formulieren müssen, dass da was Nachhaltiges und Dokumentiertes rauskommt. Wenn sie es genau wüssten, könnten sie meist auch gleich selber machen ;)

Ich würde sagen: der Aufbau des Netzwerks entsprach vor 20 Jahren vielleicht dem Stand der Technik - ist es aber heute nicht mehr. Mit der Aussage tut man denen nicht weh, die das "alte" Netzwerk unterstützen und schafft gleichzeitig Raum für Änderungen.

Zitat von @maretz:

Was heisst bei dir "dringend"? Das es nicht optimal ist - keine Frage. Aber man kann es schon betreiben...

Der TO schreibt:

Es gab täglich BC-storms, die das Netzwerk für 5-10 min völlig lahm legten (u.a. eine Printersoftware, die mit BC/UC auf 65.536 IP immer 10er-weise gescannt hat - das ist kein Witz!) Es sind L3 Switches vorhanden, wurden aber nur als L2 betrieben. Die Service-Firma hat 3 Jahre lang die Ursache dieser Netzwerkausfälle vergeblich gesucht -

Also Störungen, die am Arbeiten hindern. Das Netzwerk funktioniert nicht richtig. Das ist kein Zustand, den man lassen kann/sollte.

Moin,

So heute morgen nochmal eine Ergänzung zu meine Ausführungen oben:

Wie schon oben gesagt:

Wir sehen hier nur Deien Schilderungen und können daher nicht beurteilen, was die Gründe waren und warum diesesn netzwerk so "wild gewachsen" ist und nicht "kultiviert" wurde. ich weiß selbst aus Erfarun, daß ma a priori mit den vorhandenen Anforderungen Dinge macht, die man mit dem a posteriori-Wisssen nie und nimmer so gemacht würde. Das muß man erstmal jedem Dienstleister zugute halten.

Es ist aus dre ferne schwer zu beurteilen, was zwischen Firma und Dienstleister vereinbart wurde und welche Dinge als Randbedingung vorgegeben wurden und manchmal ist es sogar so, daß ein Dienstleister einen Wildwuchs vorfindet und damit irgendwie zurechtkommen muß, weil der Kunde keine Änderungen wünscht.

Deswegen würde ich mir da jetzt keinen Kopf darüber machen, was in der Vergangenheit war, sondern erstmal eine Bestandsaufnahme machen und prüfen, wo es wirklich weh tut und dann einen "Migrationsplan" erstellen und durchführen. Dur könnstest ergänzend natürlich mit dem Dienstleister Kontakt aufnehmen und ggf. die Randbedingungen unter denen das Ganze sich so entwickelt hat nachfragem sofern das verhältnis nicht ganz zerüttet ist.

Auf jeden Fall sollte man in dem Netzwerk eine ordentliche Segmentiertung und ggf. ein ordentliches Routing einführen, was aber natürlich wieder zu Reibungsverlusten und Beschwerden seitens der benutze rführen kann.

lks

wären studierte Leute und wenn die das Netzwerk so mit /16 eingerichtet haben, dann wird das schon gut sein und seinen Grund (gehabt) haben.

Ohne Worte und muss man sicher nicht weiter kommentieren. Studiert war da sicher keiner denn auch ein nicht studierter Laie weis seit 30 Jahren das es keine Klassen mehr gibt.
https://de.wikipedia.org/wiki/Classless_Inter-Domain_Routing
Aber nundenn... Zu den wesentlichen Punkten ist ja oben schon alles gesagt worden. Einmal fragen was deren Intention beim Design war spricht dann sicher Bände. Vermutlich gibt es gar keine was dann auch gleich die Frage ob studiert oder nicht beantwortet, obwohl auch das immer relativ ist. Ein studierter Ur- und Frühgeschichtler oder Altphilologe usw. als Quereinsteiger ist zwar studiert aber ob das angeeignete IT Fachwissen dann reicht steht auf einem ganz anderen Blatt Papier.

Firmennetze solcher Größe nicht zu segmentieren sagt viel über einen Systempartner und dessen Kompetenz aus. Denn in heutigen Redundanzdesigns wäre sowas in Firmen zwingend. WLAN, Gastnetz und Voice Netz müssen oft schon aus rechtlichen Gründen getrennt werden vom Produktivnetz.
Sprich ohne eine Segmentierung geht heute zumindestens in Firmennetzen nichts mehr. Egal ob es Meister Röhrichts Klempnerwerkstatt ist oder ein Laden mit 400 Endgeräten oder mehr im Netz.
Eine goldene Regel im Netzwerk Umfeld sagt das in einer L2 Broadcast Domain nie mehr als 150 Clients plus/minus agieren sollten. Das ist eine seit Jahren gültige Regel bei Designs.
Sie ist letztlich natürlich unabhängig von einer Maske, denn auch in einem /16er Netz kann man sich ja beschränken und nur max. 150 Clients betreiben. Es gibt also per se keinen direkten Zusammenhang zw. Maske und Größe einer L2 Broadcast Domain.
24er Prefixes sind aber immer ein stiller "Druck" sich an diese Segmentregeln zu halten.

Du kannst ja mal vergleichen wie dein derzeitiges Design im Vergleich zu einem simplen Allerwelts Standardesign mit Redundanz aussieht:

Zitat von @aqui:

24er Prefixes sind aber immer ein stiller "Druck" sich an diese Segmentregeln zu halten.

ich würde da ja eher 25-er Masken empfehen, damit die Grenze "absolut" ist und die Grenaze dann mit voller Absicht überschritten werden muß, es also auch nciht fahlässig passieren kann.

Schönen Freitag noch.

lks

PS: zu meien Studienzeiten gab es tatsächlich noch "flache" Netze mit 16er Masken an der Uni. Aber damals hatte man noch mit Ethernet expermentiert und daran hingen nur Großrechner und einige ausgewählte Workstations und PCs. Das Gros der Computer hatte nämlich noch gar keinen Netzwerkanschluß.

ich würde da ja eher 25-er Masken empfehen

Krumme Masken erfordern dann aber wieder studierte Leute um die handhaben zu können! 🤣

Hallo Zusammen,

ja danke für Eure zahlreichen, umfangreichen Antworten, ich bin echt angenehm überrascht bei meiner 1. Frage hier und werde sicher aktiv hier im Forum einsteigen. Manche Antworten sind hilfreich für mein Anliegen, manche sind aber für mich leider OT.
Und leider wollte niemand so richtig mit seinen Berufserfahrungsjahren im Netzwerk herausrücken ;P ... ist aber ok, mache ich keine Wichtung der Antworten.

Einige Sachen möchte ich noch einmal präzisieren bzw. besser herausstellen:

Viele gehen von einem gewachsenem Netz aus mit Einrichtung vor 20 Jahren ;) ... das hatte ich in der Ausgangsfrage wohl leider etwas unscharf angedeutet mit den "vor 8 Jahren" ... es ist ca. 2014 eine Umstellung von Netware auf Windows AD erfolgt, dort wurde auch dieses jetzige Netzwerkdesign ("alles" in /16 BC Domain) gewählt und eingerichtet. Die Anzahl MA/alle Geräte (Clients, Drucker, Server, ...) war etwa immer konstant bei ca. 300+ ... Die Service-Firma hatte ab 2009 (alle) Arbeiten im Netzwerk federführend übernommen, war also (langjährig) frei in Konfiguration und Planung (incl. guter Beratung). Es waren also von Anfang an mehr Geräte als in der "goldenen Regel" im L2-BC-Segment. Über das vorige Netzwerk (Netware) habe ich gar keine Infos.
Ich hatte ehrlich gesagt mit noch deutlicherer Kritik am vorliegenden Design gerechnet, so dass mein "verwurzelter" Kollege nie wieder etwas Gutes an dem bislang verwendetem Netzwerk gesehen und vll. sogar seine Ansichten für die Vergangenheit innerlich korrigiert hätte. Aber leider bekommt mein Kollege auch etwas Rückenwind in der Verteidigung der - seiner Ansicht nach - "soliden" Arbeit des Dienstleisters:

Zitat von @maretz:

Wie soll man das wirklich relevant beurteilen? Hier wäre die Frage: Hast du schonmal als Dienstleister gearbeitet? Da ist es nämlich einfach: Soweit du die Tür hinter dir zumachst ist eh alles sch... was du gemacht hast und jeder der auch nur ne Computerbild unfallfrei aufschlagen kann weiss es eh besser.
...
Jetzt kannst du ja mal aus Dienstleistersicht überlegen. ...

Lieber maretz, ich muss leider absolut widersprechen, obwohl Du mit viel Mühe die längste Antwort gegeben hast, leider an meinem Grundproblem etwas vorbei. Und genau Deine Überlegungen sind hier mein eigentliches Problem, mit Deinen Hinweisen wird hier vom Kollegen argumentiert, man möchte unbedingt die vorigen Arbeiten des Dienstleisters auf die eine oder andere Art noch schön reden und fachliche Kritik scheint fremd, trotz der zuvor täglichen Ausfälle im Netzwerk, die am Ende einzig diesem Design geschuldet sind/waren ... Gerade damit möchte ich aufräumen, habe deswegen unterstützende Kritik gesucht, keine Erklärungsversuche/Ausreden für den Dienstleister (die kenne ich zur Genüge ;) ... Das Netzwerkdesign (alle Geräte (schnell, langsam, geschwätzig, kritisch ...) flach in einer L2-BC Domain) und die Auswirkungen (Netzwerkausfälle, nicht modular, ...) sollten allein im Focus stehen. Die Mentalität, man könne das Netzwerk ja so und so einrichten, sollte doch immer unter dem Aspekt stehen, dass es funktioniert und keine regelmäßigen Ausfälle und/oder Engpässe auftreten (?)

Ich bin/war immer fest (bei Kunden) angestellt, also kein Dienstleister i.e.S., habe aber schon helfend und beratend bei anderen Firmen ausgeholfen und versucht, Chaos im Netzwerk zu mildern (es hatte sich bislang noch niemand über Ergebnisse beschwert ;) Hier war es aber so, dass ein Dienstleister (größere Firma, also keine kleine Bude) kam, sagte, er kann und macht die (Netzwerk)Leistungen federführend/betriebsverantwortend, hatte im Prinzip freie Hand, leider!!! keinerlei Kontrolle (mangels Fachkompetenz), das Institut hat dem Dienstleister (und der zugesagten fachlich hochwertigen Arbeit) jahrelang vertraut und steht nun vor einem Scherbenhaufen, trotz reichlicher Zahlungen (wie berichtet im 6stelligem Bereich p.a.) Mein Einstieg hier am Institut, meine - logischerweise - bohrenden Kontrollfragen (warum wurde dies denn so und so eingerichtet, warum werden die täglichen Ausfälle im Netzwerk nicht gefunden/behoben ...) gaben Anlass, dass der Dienstleister irgendwie das Weite suchte ... es ging mir bei Weitem nicht um Besserwisserei (ich lese auch keine Computer-Bild ;) - es ging einfach darum, das Vorgefundene irgendwie verstehen/einordnen zu können und so zu verbessern, dass alles modular, performant und auch sicherer ausgelegt wird und zumindest keine täglichen Ausfälle eintreten. Ich bekam leider nie fachliche Antworten zurück, lediglich Floskeln wie bei @maretz angedeutet ... "Das Institut habe es (damals) nicht anders beauftragt ..." Dabei war von Anfang an (allen) klar, dass die Fachkompetenz (und Beratungsrolle) einzig und allein beim Dienstleister liegt. Im Nachhinein wurde nun auch plötzlich jegliche Betriebsverantwortung abgelehnt - die vertraglichen Vereinbarungen sind aber ein ganz anderes Thema - mir geht nur dieses ständige Herausreden völlig gegen den Strich. Mein Hinweis nach einem kurzem Wireshark, dass ein BC storm die Ursache für die täglichen und jahrelang nicht gefundenen/ behobenen Netzwerkausfälle sein müsse, brachte den Dienstleister dazu, plötzlich Aktivität zu zeigen und zu erklären, dass er nun den Fehler gefunden habe ... ist das nun Klug###erei meinerseits oder Armseligkeit seitens des Dienstleisters? Einen fachlichen Disput über das Netzdesign und die Verursachung der BC storms blieb der Dienstleister ebenso schuldig.

Wobei - und das nur als Ausblick und ich höre schon auf ... wir haben auch die Perimeterfirewall, DMZ- und interne Firewall alles one-in-one, so dass Pakete auch schon mal mehrfach durch das Netzwerk eilen, wir landeten ständig auf Mail-Blacklists wegen ext. DNS-Fehler und "ungewöhnlicher" Konfigs an den Firewall-IF, ... das genannte Netzwerkproblem ist/war also nur eines von sehr vielen ...

Also mein Mitleid und Anteilnahme für den bisherigen Dienstleister hält sich wirklich sehr in Grenzen. Die haben reichlich kassiert und bleiben fachliche Antworten schuldig. Ich möchte dieses leidige Thema einfach beenden und habe hier mit dem leider langen Text etwas Hilfe gesucht, weil das ständige "die haben sich schon damals etwas dabei überlegt..." zermürbt auf die Dauer, wenn auf fachliche Dinge als (nachgewiesene) Problemursache gar nicht eingegangen wird.

Ich danke nochmals für Eure Unterstützung! Bleibt mir gewogen ;)
Ich wünsche Euch allen ein wohlverdientes Wochenende - mit oder ohne Netzwerk ;)
LG

PS: mal noch 3 Bilder zur Erbauung, wie gesagt, regulärer Betrieb zu bestimmten Tageszeiten: Netzwerk "steht" bzw. bricht zusammen, ungefilterter Wireshark in Echtzeit am internen IF der Firewall, beachtet die Randleisten ;)

Ihr seht, Tsde. BC Pakete, ehe überhaupt mal ein Nutz-Paket kommt (Randleiste rot)

der Nutzverkehr bleibt eigentlich auch weg, nur noch schwarzer und roter Verkehr (z.B. RST Flags), weil anzunehmen zuvor massenhaft Pakete gedropt wurden ... habe noch nie so viel schwarzen Verkehr (z.B. Retransmissions ...) auf einen Haufen gesehen - ich würde mich für solch eine Umsetzung eines Netzwerks schämen - mal ehrlich, welcher Dienstleister hätte diesen Netzwerkausfall mehrere Jahre gesucht und nicht gefunden?

Es waren also von Anfang an mehr Geräte als in der "goldenen Regel" im L2-BC-Segment.

Dann kann man keinesfalls mehr von "solider" Arbeit reden. Das geht dann eher in Richtung Pfusch nach dem Motto: Netzwerk?? Ist einfach! Switch und alles zusammenstecken...geht!
Hängt auch sicher davon ab WO die Kompetenzschwerpunkte dieses Partners liegen. Netzwerk kann man da dann aber sicher von ausnehmen.

mit noch deutlicherer Kritik am vorliegenden Design gerechnet

Bitte welches "Design" denn?? Du hast ja gar kein solches mit einem flachen L2 Banalnetzwerk. Das Wort "Design" ist da sicher fehl am Platze. Sowas zusammenzustecken erfordert keinerlei KnowHow oder Fachkenntniss, das kann auch der Hausmeister. Wobei das jetzt nichts gegen diesen ehrbaren Beruf ist. Damit ist eigentlich alles zur Leistung des Systemhauses gesagt. Fehlende Erklärungen dieser Seite sagen ja ein Übriges. Haken dran...nach vorne schaun.

ich würde mich für solch eine Umsetzung eines Netzwerks schämen - mal ehrlich, welcher Dienstleister hätte diesen Netzwerkausfall mehrere Jahre gesucht und nicht gefunden?

Jedenfalls keiner der im Bereich Netzwerke weiss was er tut!
Mit anderen Worten...
Du bist auf alle Fälle mit deiner geplanten Segmentierung auf dem genau richtigen Weg diesen völligen Murks zu beseitigen. Der gruselige Wireshark Trace spricht für sich...
Das nötige Rüstzeug bringst du mit deinen Kenntnissen auch mit. Jetzt musst du nur noch "machen". Schlechter als jetzt kann es ja nicht mehr werden. Viel Erfolg!