doncool
Goto Top

Wann Netzwerk-Segmentierung?

Segmentierung bringt sicherlich einiges an zusätzlichem Aufwand und birgt einige Fallen. Ich frage mich also: Ab wann ist es den Aufwand wert?

Hi,

Ich verwalte ein Netzwerk mit etwa 35 Clients, dazu etwa 5 Netzwerkdrucker. Bisher gab es 3 Switches: 16P 1000MBit, 24P 1000MBit, 48P 100MBit.
Neu wird es den 24P 1000Mbit und einen 48P 1000MBit geben.

Geplant sind 2 NAS, eins mit allgemeinen Daten und eins mit Konstruktionsdaten und ein W2008 Std Server. Jedes dieser Geräte hat 2* 1000MBit Anschluss.

Ich überlege nun ob ich das NEtzwerk segementieren soll, d.h. z.B. auf Switch 1 ein 192.168.1.x Subnetz und auf Switch 2 ein 192.168.2.x Subnetz.
Den Server und das allgemeine NAS würde ich dann mit je einem Anschluss an jeden Switch hängen. das Konstruktions-NAS mit beiden Anschlüssen an den Konstruktions-Switch.

Damit teilt sich der Traffic auf die beiden Netzwerkkarten des Servers und des allgemeinen NAS besser auf, ich habe vielleicht auch weniger Windows-Netzwerkrauschen.
Ich hab aber auch deutlich mehr Administration: Ich muss den Server so konfigurieren dass er 2 DHCP-Bereiche verwaltet (geht das überhaupt?) und ich muss die Laufwerke auf den NAS entweder über 2 verschiedene .bat Datein mappen je nach IP-Adressbereich, d.h. ich muss die Nutzerprofile jeweils anpassen, ich muss die Drucker je nach Netzwerk umkonfigurieren etc.

Ich frage mich ob sich der ganze Aufwand bei dem relativ kleinen Netzwerk schon lohnt oder nicht? Ab wann segmentiert ihr eure Netze? Was ist euer Hauptgrund dafür? Kennt ihr gute "How-tos" - vielleicht hab ich noch enige Dinge gar nicht bedacht?

Vielen Dank & freundliche Grüße,

Dominic

Content-ID: 141582

Url: https://administrator.de/contentid/141582

Ausgedruckt am: 26.11.2024 um 05:11 Uhr

48507
48507 27.04.2010 um 16:29:51 Uhr
Goto Top
Ab wann sich das lohnt? In erster Linie hängt das von der Auslastung der Unterverteiler / Gebäudeverteiler ab. Werte zuerst die Auslastung der Switche aus...
Knilchi72
Knilchi72 27.04.2010 um 18:03:29 Uhr
Goto Top
Kann mir nicht vorstellen, dass sich das lohnt.... erstens wird dann alles, was außerhalb des Segments liegt, über das Default Gateway gezogen ; zweitens ist es aufwendig zu konfigurieren (wenns wirklich logisch getrennt werden soll) und drittens kann man vielleicht die Netzwerkkarten "teamen", dann ist das sowieso nicht notwendig.
brammer
brammer 27.04.2010 um 19:52:00 Uhr
Goto Top
Hallo,

das segmentieren durch andere IP Adressbereiche bringt dir eher wenig.
Wenn deine Switch managebar sind und einer oder 2 davon evtl sogar ein Layer3 Switch solltest du dir eine Aufteilung in VLAN ausdenken.
Ein VLAN für die Server
Eins für Drucker
Eines für die Konstruktion
Eines für die Clients


DIe Anbindung eines NAS an mehrere Switche führt zu mehr problemen als zu der vermutlich mehr erhofften Perfornance.
Außerdem würde ich empfehlen nicht den IP Adressbereich 192.168.x.x zu verwenden, solltest du irgendwann den Bedarf an VPN Verbindungen haben
führen diese Allerwelts Adressen nur zu Routing technischen Prblemen. Nimm sowas 10.28.x.x, ist ebenfalls Privat und wirdeher selten genutzt.

Und bei etwa 35 Teilnehmern solltest du dir überlegen ob es nicht einfacher ist statische Adressierung vorzunehmen und höchstens WLAN Geräte
mit einem DHCP zu versorgen.

brammer
affabanana
affabanana 27.04.2010 um 19:58:43 Uhr
Goto Top
Hallo zusammen

Brammer hat schon Recht

Mit dem NAS wenns denn nicht was mit Server Hardware ist kannste eh nicht soviel Daten Schreiben wie die Platten oder gar 1 GBE Port leifert.

Das mit dem DHCP kannste schon lösen.
Ich habe aber irgendwie im Hinterkpf das dass eine Netz dann aber mit Reservierung per Mac Addressen gemacht werden muss..

Abteilungtrennung ist so nee gute Sache
allerdings ist die Frage ob die Daten auf dem Server denn schon mit Rechten eingestellt werden.

Nicht das der konstruktör so ne schöne CAD Zeichnung macht und Sie dann doch ganz einfach über den Windows-Explorer von der Produktion oder Administrator geöffnet oder gar gelöscht werden kann..

Gruass affabanana


PS: ich wünsche mir mehr Einstellungen um Leute Löschen zu hindern.
maretz
maretz 28.04.2010 um 06:59:09 Uhr
Goto Top
Moin,

darf ich dir nen guten Tipp geben: Vergiss das NAS mit 1000 MBit schnell wieder! Egal ob du das nun am Switch oder von mir aus per Crosslink an den Server hängst... Das sind billige NAS-Systeme (ich hab hier auch ne Buffalo Terastation mit 1 GBit) - die sind für privat auch noch ausreichend. Bei 30 Leuten die darauf zugreiffen (am besten auch noch die Profile usw. von dort laden) wirst du dir aber schnell Nackenschläge einfangen weil das zimlich lahm wird!

Entweder nimm nen richtiges System über Glasfaseranschlüsse und nen bisserl Power - oder spar das Geld ganz und packe die Festplatten an nem Raid-Controller direkt in den Server. Alles andere wäre bei bei 30 Usern eher eine Bremse als ne Hilfe...
kufsa171
kufsa171 28.04.2010 um 11:20:59 Uhr
Goto Top
@maretz: ich stimme zum Teil mit dir überein. Jedoch weiß ich nicht wieso dass 1G/Bit Glasfaser schneller sein sollen als ein 1G/Bit Kupfer Kabel. Glasfaser lohnen sich nur wenn du größere Distanzen zu überdrucken hast (z.B.: ein Link zwischen 2 Gebäuden) oder wenn die Kabel neben Stromleitungen Verlaufen! Ansonsten sind die Glasfaser Module für Switche und Server einfach nur Teurer (Es gibt zwar auch 10G/Bit Module für Switches aber die sind fast nicht zu bezahlen!).
Da ist es besser etwas in den NAS zu investieren. Und auch bei den Switchen lohnt es sich meistens etwas mehr zu Bezahlen. Wenn der Backbone vom Switch nicht schnell genug ist um für jeden Port 1G/bit zu Verfügung zu Stellen kann ein besserer NAS auch nichts bewirken!


Für den Rest: die logische Aufteilung vom Netzwerk per IP ist mehr Aufwand als Nutzen. Wenn die Switche es unterstützen, würde ich die NAS Server jeweils mit 2 Anschlüssen mit dem Switch verbinden(bei Cisco heißt die Funktion Ehterchannel).
maretz
maretz 28.04.2010 um 11:46:03 Uhr
Goto Top
Sorry - ich meinte mit Glasfaser das normale Fibrechannel mit 4+ GBit... Mein Fehler, war noch zu früh morgens...
DonCool
DonCool 28.04.2010 um 11:49:48 Uhr
Goto Top
Also die NAS sind QNAP TS-509 Pro im Raid 6 Modus, laut Hersteller schaffen die ca. 250MB/s. Ich glaub schon dass 2 davon und ein Server schneller sind als nur ein Server. Auf dem Server laufen mehrere Datenbanken u.a. für das ERP (und natürlich die Domain mit Anmeldungen etc.), und ich möchte nicht dass diese von simplem File-Server-Traffic ausgebremst werden den auch die NAS übernehmen können. Zwei weitere Server mit 2 zusätzlichen Windows-Lizenzen sprengen definitiv das Budget, deswegen halte ich das für die beste Lösung. Gibts jemand hier der das ernsthaft anders sieht? Noch ist das 2. NAS nicht gekauft, es wird mit Platten ca. 1100€ kosten - wenn jemand einen besseren Verwednungszweck für das Geld hat nur her damit, aber ich möchte die Daten nicht auf meinem PDC mit den Datenbanken haben, ich glaube nicht dass das Sinn macht (oder ihr überzeugt mich).

Ich glaub die Idee mit der Netzwerk-Segmentierung ist gestorben, Ich werd mich mal einlesen was der Cisco (Linksys) SLM2048-G5 so an Vlan-Fähigkeiten hat und vielleicht in diese Richtung was tun. Da muss ich mich aber erst mal einlesen damit dass dann auch Hand und Fuss hat was ich da mache. Die Umstellung ist in einem Monat, ich habe also noch Zeit das gründlich zu durchdenken und zu planen. Tips und Hinweise zu dem Thema sind immer noch sehr willkommen, da diese Materie neu für mich ist.

Vielen Dank & viele Grüße,
Dominic
aqui
aqui 28.04.2010, aktualisiert am 18.10.2012 um 18:41:54 Uhr
Goto Top
Das ist schade, denn generell ist Segmentierung immer eine gute Sache um die Broadcast Domains möglichst klein zu halten. Dein Einwand "...Ich hab aber auch deutlich mehr Administration.." ist aber mehr oder weniger lächerlich im Vergleich zu einem Admin der 30 Subnetze mit 2000 Clients verwaltet und vermutlich meinst du das wohl auch nicht wirklich Ernst.
Deine 2 Subnetze kosten dich vielleicht 3 Minuten mehr an einmaligem Administrationsaufwand bei der Einrichtung und darüber braucht man eigentlich keinen Forumsthread zu eröffnen.
Ob du deine Segmentierung mit einem VLAN Switch oder 2 separaten Switches erledigst ist eher kosmetischer Natur bei 35 Clients und den paar Servern.
Der Weg den du einschlägst ist aber nicht falsch und erhält dir die Skalierbarkeit deines Netzes wenn die Datenvolumina ansteigen sollten. Gerade im CAD Bereich...
Die 2 Netzwerkkarten der NAS bzw. des Servers solltest du aber dazu verwenden hier ggf. ein Link Aggregation Szenario aufzubauen um diese Geräte performant über 802.3ad/LACP Trunks an deine Netzwerke anzubinden. Das ist letztlich in deinem kleinen Netz ein deutlicher Schritt in Richtung Performance für die User. Perfekt natürlich auf einem Layer 3 (Routing) Switch der auch all das supportet.
Letztlich musst du dich dann Fragen wie hier die Kosten Nutzen Rechnung aussieht ! Das ist aber ein Punkt den nur DU selber bezogen auf den Firmenumfeld beantworten kannst...niemals aber Spekulationen in einem Forum.
Weitere Informationen zur Link Aggregation findest du hier:
Motherboard mit 2 Onboard LAN Anschlüssen
Traffic am Server auf 2 NICs verteilen
Kann man einen Server zur Performacesteigerung mit 2 Netzwerkkarten parallel an einem Switch betreiben? Wenn ja mit welcher Konfiguration ?
Bonding mit Broadcom - SLB
maretz
maretz 28.04.2010 um 12:36:47 Uhr
Goto Top
Moin,

meine erste Frage ist: Lt. Hersteller schafft das NAS 250 MB/s mit ner 1 GBit Schnittstelle. Nun - DAS würde ich dann gern mal in Live sehen:
1 GBit = 1000 MBit. Das ganze rechnen wir mal eben durch 8 (da 1 Byte = 8 Bit): 125 MByte. Diese enthalten aber auch noch Protokoll-Overhead usw... Jetzt meine Frage: Wenn die Leitung im optimalfall nur 125 MB/s schafft - wie kann dann dein RAID-System 250 MB/s übertragen?

Jetzt halte ich aber mal dagegen: Statt 500 Euro für nen NAS-System auszugeben lege ich das Geld für nen guten Raid-Controller (3Ware - ohne jetzt nachzusehen einfach mal 300 Euro) und 4 Festplatten (S-ATA, z.B. Raptoren mit 10000 U/min für 60 E/Stück) auf den Tisch. Entspricht auch 540 Euro - nur das ich auf den Platten die volle Bus-Geschwindigkeit fahren kann. Nimmst du 2 SAN-Systeme? Ok, ich erweitere den Controller auf 8 Platten -> ich liege ggf. bei 800 Euro mit nem RAID 5 aus 8 Platten (d.h. 7 Platten + eine Spare -> für den Fall das am WE was ausfällt und ich grad keine Lust hab...). Ich habe immernoch die volle BUS-Geschwindigkeit vom PCIx -> du liegst immernoch bei 1 GBit (was bringt es wenn jedes deiner SAN-Systeme zwar mit 1 GBit Daten sendet - aber der Server nur mit 1 GBit empfangen kann? Und Port-Trunking bringt nicht viel -> da du immernoch nur eine direkte Verbindung am Switch hast). Dein NAS hat 1 GB RAM (abzüglich RAM für OS & Dienste bleiben ca. 500 MB für Filecache). Bringt aber nicht viel da die Datenübertragung bei 5 Festplatten vermutlich höher als die Übertragung vom GBit ist. Ich habe als Cache alles was mir das System gibt -> hast du also im Server 16 GB RAM dann nehm ich die. Und jede der 8 Platten hat noch 16 MB eigenen Cache - abzgl. der Spare-Platte also 112 MB Cache auf den Platten direkt. -> Das schonmal zu dem Thema das 2 NAS-Systeme schneller sind als nen Server allein... Das ist eben nur dann richtig wenn du richtige FC-Systeme nimmst -> und dann wirds teuer....

Jetzt kommen wir aber mal zu der speziellen Anforderung - Datenbanken. Was ist für eine DB wichtig? Richtig - kurze Suchzeiten. Wenn du also das NAS nimmst kommt hier praktisch NUR iSCSI in Frage -> Samba als Fileserver und dann die DB auslagern macht die Sache langsam. Das Problem an der Sache: Der RAM im NAS hilft dir herzlich wenig wenn du die beiden NAS-Systeme als einen RAID verwendest. Erstmal sind immernoch die Daten von der Festplatte vermutlich schneller als das Netzwerkkabel -> und zum anderen hättest du immer nur Teilinformationen im Cache. Ich würde die 200 Euro die ich spare dann schonmal in den RAM für den Server investieren -> da die DB hier üblicherweise eh noch nen eigenen Cache hat (dort läuft der DB-Prozess ja). Also lieber viel RAM im Server und somit nen "Cache" der auf gar keinen Datenträger zugreiffen muss als nen Cache den ich mittels GBit erreichen kann. Und wenn wir jetzt sogar davon ausgehen das du pro NAS 1100 Euro rechnest dann hab ich hier für den RAM im Server mal eben lockere 1300 Euro "gespart" (2x1100 Euro für NAS vs. 800 Euro für Controller + Platten). Ich glaube da bekomm ich schon nen paar GB RAM für...

Von daher würde ich immernoch sagen das du entweder RICHTIG Geld für nen NAS/SAN-System in die Hand nehmen musst oder es lieber bei internen Festplatten belassen solltest...
kufsa171
kufsa171 28.04.2010 um 12:45:32 Uhr
Goto Top
@maretz:
schöner Beitrag :P
DonCool
DonCool 28.04.2010 um 15:55:21 Uhr
Goto Top
Hi Maretz,

du gehst von falschen Voraussetzungen aus, ich fürchte du hast meinen Beitrag falsch interpretiert.

Die DB liegt auf dem Server, und du wirst lachen: Auf einem Raid aus 4 Raptoren an einem 4 Port 3Ware Controller mit 256MB Cache.

Auf dem einen NAS liegen Konstruktionszeichnungen, auf dem anderen allgemeiner Benutzerkrempel, z.B. Bilder. Also in beiden Fällen Dinge auf die die Clientrechner zugreifen, NICHT der Server. Ansonsten gehören die Sachen Server-intern., da brauchen wir nicht drüber reden.

Beide NAS haben jeweils 2 GB Schnittstellen. Wie ein Server mit nur 2 * 1GB Schnittstellen schneller sein soll als 1 Server + 2 NAS mit insgesamt 6 Gb Schnittstellen war die Frage. 6 Netzwerkkarten in den Server einbauen? Soviele Slots hat er gar nicht...

Gruß, Dominic