WLAN unabhängig vom Proxy
Hallo Admins,
wir haben in unserer Schule ein kabelgestütztes LAN mit dem IP-Bereich 192.168.222.X. Hier sind alle stationären PCs und Drucker eingebunden. Deren Internet-Verbindung läuft über einen Proxy. Im Haus A habe ich zudem ein kleines Netz mit dem IP-Bereich 192.168.200.X eingerichtet, das direkt auf den Internet-Router zugreift. Der Proxy hingegen gehört zu beiden Netzen. Einen Proxy müssen wir wegen des Kinder- und Jugendschutzes verwenden.
Im Netz 192.168.200.X habe ich nun mehrere WLAN-Router hinzugefügt, die an verschiedenen Punkten letztlich im ganzen Haus Zugriff auf das Internet erlauben. Das ist für private Geräte gedacht, die mir dadurch nicht das Schulnetz gefährden sollen.
Wir haben aber noch ein Haus B. Zwischen beiden Häusern haben wir eine Funkbrücke in Funktion, die auch gut funktioniert. Im Haus A habe ich nun die LAN-Anschlüsse mit einem Switch verbunden, die zum 192.168.200er Netz gehören sollen und hier hängen die WLAN-Router dran. Im B-Haus geht das aber nicht, da zwischen den Häusern ja nur die Funkbrücke existiert.
Im Router habe ich nun keine Einstellung für einen Proxy gefunden. So hängt der WLAN-Router also im 192.168.222er LAN, spannt auch ein WLAN (mit anderem IP-Bereich) auf, mit dem man sich verbinden kann. Allerdings funktioniert der Zugriff auf das Internet nicht, da ich im Router ja keinen Proxy einstellen kann bzw. der Router den Weg zum 192.168.200er Netz nicht findet oder so. Ich bin kein Profi.
1. Gibt es eine Möglichkeit, trotzdem den Internet-Zugriff zu ermöglichen?
2. Was müsste ich machen?
Die Domäne hat einen W2008r2-Server, die 90 Clients laufen unter Windows 7 (32/64) und Windows 8.1U1, der Proxy noch unter W2003r2. Die WLAN-Clients sind regellos (Notebooks, Tablets, Smartphones) und sollen nicht auf das Schulnetz zugreifen können. Für das Schulnetz habe ich Extra-AccessPoints. Darauf dürfen aber nur mobile Rechner zugreifen, die der Schule gehören und von mir konfiguriert wurden (Proxy, DNS, Gateway, Firewall, Antivir, WSUS).
Danke und Gruß, GG.
wir haben in unserer Schule ein kabelgestütztes LAN mit dem IP-Bereich 192.168.222.X. Hier sind alle stationären PCs und Drucker eingebunden. Deren Internet-Verbindung läuft über einen Proxy. Im Haus A habe ich zudem ein kleines Netz mit dem IP-Bereich 192.168.200.X eingerichtet, das direkt auf den Internet-Router zugreift. Der Proxy hingegen gehört zu beiden Netzen. Einen Proxy müssen wir wegen des Kinder- und Jugendschutzes verwenden.
Im Netz 192.168.200.X habe ich nun mehrere WLAN-Router hinzugefügt, die an verschiedenen Punkten letztlich im ganzen Haus Zugriff auf das Internet erlauben. Das ist für private Geräte gedacht, die mir dadurch nicht das Schulnetz gefährden sollen.
Wir haben aber noch ein Haus B. Zwischen beiden Häusern haben wir eine Funkbrücke in Funktion, die auch gut funktioniert. Im Haus A habe ich nun die LAN-Anschlüsse mit einem Switch verbunden, die zum 192.168.200er Netz gehören sollen und hier hängen die WLAN-Router dran. Im B-Haus geht das aber nicht, da zwischen den Häusern ja nur die Funkbrücke existiert.
Im Router habe ich nun keine Einstellung für einen Proxy gefunden. So hängt der WLAN-Router also im 192.168.222er LAN, spannt auch ein WLAN (mit anderem IP-Bereich) auf, mit dem man sich verbinden kann. Allerdings funktioniert der Zugriff auf das Internet nicht, da ich im Router ja keinen Proxy einstellen kann bzw. der Router den Weg zum 192.168.200er Netz nicht findet oder so. Ich bin kein Profi.
1. Gibt es eine Möglichkeit, trotzdem den Internet-Zugriff zu ermöglichen?
2. Was müsste ich machen?
Die Domäne hat einen W2008r2-Server, die 90 Clients laufen unter Windows 7 (32/64) und Windows 8.1U1, der Proxy noch unter W2003r2. Die WLAN-Clients sind regellos (Notebooks, Tablets, Smartphones) und sollen nicht auf das Schulnetz zugreifen können. Für das Schulnetz habe ich Extra-AccessPoints. Darauf dürfen aber nur mobile Rechner zugreifen, die der Schule gehören und von mir konfiguriert wurden (Proxy, DNS, Gateway, Firewall, Antivir, WSUS).
Danke und Gruß, GG.
Please also mark the comments that contributed to the solution of the article
Content-ID: 272686
Url: https://administrator.de/contentid/272686
Printed on: October 5, 2024 at 03:10 o'clock
26 Comments
Latest comment
Hallo,
wozu sollte ein ROUTER irgendwtwas über einen PROXY leiten?
Ein Router vermittelt zwischen Netzen und nichts weiter! Es gibt Router die Teilweise Proxifunktionalität mitbringen.....
Im übrigen sind den Rechnern an sich irgendwelche Proxys auch Schnuppe, die Anwendung muss mit einem Proxy umgehen können.
Alles geht immer über das Defaultgateway das dem Client mitgeteilt wird.
Und Der client muss natürlich auch eine Verbindung zum Defaultgateway und zum Proxyserver haben.
So wie ich das überflogen habe ist der Wlanrouter selber in Netz Z, steckt die Clients aber nach NetzY, hat aber selber keine Verbindung zu NetzY.
Jetzt sind die Clients in dieme einen Haus alle brav in NetzY aber haben kein Gateway/Verbindung zum Rest vom Schützenfest und deswegen auch kein Netz nach irgendwohin.
Sprich Du musst die Netze schon richtig miteinander verbinden, sonst geht da nix.
Gruß
Chonta
wozu sollte ein ROUTER irgendwtwas über einen PROXY leiten?
Ein Router vermittelt zwischen Netzen und nichts weiter! Es gibt Router die Teilweise Proxifunktionalität mitbringen.....
Im übrigen sind den Rechnern an sich irgendwelche Proxys auch Schnuppe, die Anwendung muss mit einem Proxy umgehen können.
Alles geht immer über das Defaultgateway das dem Client mitgeteilt wird.
Und Der client muss natürlich auch eine Verbindung zum Defaultgateway und zum Proxyserver haben.
So wie ich das überflogen habe ist der Wlanrouter selber in Netz Z, steckt die Clients aber nach NetzY, hat aber selber keine Verbindung zu NetzY.
Jetzt sind die Clients in dieme einen Haus alle brav in NetzY aber haben kein Gateway/Verbindung zum Rest vom Schützenfest und deswegen auch kein Netz nach irgendwohin.
Sprich Du musst die Netze schon richtig miteinander verbinden, sonst geht da nix.
Gruß
Chonta
Im Haus A habe ich nun die LAN-Anschlüsse mit einem Switch verbunden, die zum 192.168.200er Netz gehören sollen und hier hängen die WLAN-Router dran. Im B-Haus geht das aber nicht, da zwischen den Häusern ja nur die Funkbrücke existiert.
Das ist ein Trugschluss oder du verwendest schlicht und einfach falsche HW.Mit managebaren Switches (VLAN fähige Switches) wäre das kein Problem.
Du verbindest einfach den tagged Uplink zwischen beiden Switches über die Funkbrücke. Alle guten Brücken z.B. die von Ubiquity supporten das problemlos.
So kannst du deine VLAN bzw. Netz Infrastruktur problemlos zwischen beiden Standorten gewährleisten:
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern
Das wäre für dich der technisch beste und sicherste Weg ! (Siehe auch das "Praxisbeispiel" dort !)
Anders ist so oder so die strikte Trennung deiner beiden Netze, die ja durchaus sinnvoll ist, technisch gar nicht zu realisieren !
Und ich muss mit der vorhandenen Hardware arbeiten. Bestenfalls einen Router für 30 Euro oder so könnte ich noch im Budget für 2015 unterbringen.
Mit einem preiswerten Ubiquity AP ist das möglich. In der Regel supporten die die Übertragung von 802.1q tagged Frames (VLAN Uplink).Das würde dir deinen Anforderung mit ein paar Mausklicks lösen und das auch noch sicher und wasserdicht für deine Umgebung.
Ansonsten bleibt dir nur das Routing, du musst dann aber mit massivem Einsatz von IP Accesslisten arbeiten um deine beiden IP Netze sauber zu trennen.
Dieses Tutorial erklärt dir die Grundlagen:
Mit einem WLAN zwei LAN IP Netzwerke verbinden
Sollte der dann nicht als Router fungieren können?
Ein Proxy ist in der Regel KEIN Router ! Man kann ihn aber zu einem machen, das ist richtig.Außerdem könnte ich die Switche für die beiden Netze einfach per Kabel verbinden
Oha...hier droht aber gewaltige Gefahr !!Du schreibst ja oben selber das du zwingend beide Netzen trenne willst. Beide dann gemeinsam auf einem Draht zu betreiben ist tödlich für deine Sicherheit ! Begenke das !
eine 16 Bit Maske zu verwenden ist noch tödlicher, denn dann bringst du die Netz auch noch IP technisch zusammen in ein gemeinsames.
Keiner der mobilen Nutzer weiß, wie das Netz funktioniert.
Hier unterliegst du aber ggf. einem Denkfehler, denn aus der Tatsache das du die Funkwellen nicht einsperren kannst "sieht" ja die ganze Welt diese Netze. und irgendeiner ist darunter der weiss wie man mit tcpdump, Wireshark usw. umgeht... Da sollte man immer worst case denken.Es ist aber letztlich deine eigene Entscheidung wie du deine Sicherheits Policies definierst und welchen Maßstab du anlegst. Eins ist aber klar...zu blauäugig sollte man da besser nicht mehr sein !
In diesen 99er Netzen gilt zudem eine 24-Bit-Netzmaske, so dass man nicht so einfach auf die anderen Netze kommt.
Dafür gibts ja dann sowas wie den Andry IP Scanner Wie gesagt alles natürlich deine Entscheidung..keine Frage.
wenn ich eine physikalische Verbindung zwischen beiden Switches stecke und dann im WAN-Bereich des Routers eine 200er Nummer vergebe? Würde dies durch das 222er Netz geroutet werden (ich denke, nicht) oder müsste ich eine 16-Bit-Netzmaske wählen, so dass es funktioniert (ich hoffe, ja)?
Das reine Verbinden im Layer 2 funktioniert definitiv nicht. Ist auch klar, denn zwischen 2 IP Netzen kann immer ausschliesslich nur ein Router vermitteln.Siehe als Beispiel dieses Tutorial:
Routing von 2 und mehr IP Netzen mit Windows, Linux und Router
Eine 16 Bit Maske würde das Problem lösen, bedeutet dann aber das du ALLE Netze im 3ten Byte (bei ursprünglich einer 24er Maske) in einem gemeinsamen Netzwerk hast. D.h. dann kann jeder mit jedem und eine Netztrennung wie vorher ist damit komplett aufgehoben.
Unterschiedliche Netzmasken in einer Infrastruktur darfst du auch nicht verwenden denn das fürht zu Routing Problemen (Mask Mismatch)
Einzig in statischen Routen darfst du einen Summarization machen indem du CIDR Masken verwendest. Das würde gehen.
Wenn wir die für das 222er Netz verwenden, dann könnte ich die Funkbrücke ja für das 200er Netz weiter nutzen.
Das wäre ziemlicher Blödsinn aus Netzwerksicht !Normal macht man da einen VLAN Link zwischen und fährt BEIDE IP Segmente in unterschiedlichen VLANs eben dann mit einem tagged Uplink über die Glasfaserleitung !
Die Glasfaser ist natürlich die eleganteste Lösung von allem.
Wenn man dazu noch spezielle Switches benötigt, geht es finanziell nicht.
Sorry, aber so ein Switch kostet popelige 30 Euro:http://www.amazon.de/Netgear-GS105E-200PES-Gigabit-Netzwerk-Switch/dp/B ...
Andere Billighersteller haben ähnliche Preise wie du in diesem VLAN- Tutorial nachlesen kannst.
Das kannst du nicht wirklich Ernst meinen wenn du mit MS Lizenzen kritiklos mit dem 10fachen bezahlst, oder ??
Ich hatte bisher noch Null-Komma-Nix mit VLANs zu tun.
Ein Riesenfehler...weisst du aber selber. Lies die hiesigen Tutorials dann hast du genug Grundlageninfos.http://www.schulnetz.info/vlan-einstieg-was-ist-ein-vlan/
VLANs über 802.1q Trunk auf Windows und Linux Rechnern realisieren
usw.
Hallo,
damit der Konfuse Netzaufbau mal besser zu verstehen ist. Mach Doch auch mal für Dich selber eine Grafische Darstellung davon.
Fakt ist, damit Ein Rechner in einem Netz arbeiten kann und die Dienste des Netzes nutzen kann muss der Rechner eine Verbindung zu eben diesem Netz haben, entweder selber oder durch eine Vermitlungsstelle (Router die zwischen den Netzen vermittelt)
Du kannst Auch ein Weit entferntes Haus mit dem Rest des netzes über ein WLAN verbinden, aber dann muss die vermitlungsstelle auch die nötigen Funktionen dafür haben.
Gruß
Chonta
damit der Konfuse Netzaufbau mal besser zu verstehen ist. Mach Doch auch mal für Dich selber eine Grafische Darstellung davon.
Fakt ist, damit Ein Rechner in einem Netz arbeiten kann und die Dienste des Netzes nutzen kann muss der Rechner eine Verbindung zu eben diesem Netz haben, entweder selber oder durch eine Vermitlungsstelle (Router die zwischen den Netzen vermittelt)
Du kannst Auch ein Weit entferntes Haus mit dem Rest des netzes über ein WLAN verbinden, aber dann muss die vermitlungsstelle auch die nötigen Funktionen dafür haben.
Gruß
Chonta
Es gibt zwischen beiden Häusern ein Kabel mit 8 Fasern von denen 6 für 3 Netze verwendet werden:
Eigentlich völliger Unsinn, denn mit einem tagged Uplink und VLANs wäre das über ein einziges Faserpaar möglich. Welch eine Verschwendung von Glasfaser Resourcen.... "Experten" können das eigentlich nicht sein Medienkonverter ist auch was aus der Netzwerk Steinzeit. Kein Mensch nutzt sowas mehr. Normal beschafft man billige Switches (bei dir wird ja nur nach Geld gekauft) die von sich aus schon mit optionalen SFP Slots (mini GBIC Optiken) für LWL ausgestattet sind.
Entsprechende Optiken kosten zw. 15 und 20 Euro, Medienkonverter ungefähr das 7 bis 8 fache.
So verbrennen "Experten" dann Geld für Schulen was man mit entsprechendem Weitblick als Experte in sinnvollere HW und Infrastruktur gesteckt hätte.
Traurig, aber solch vermurkste Konstrukte sieht man leider sehr häufig im öffentlichen Bereich wo selbsternannte "Experten" vor sich hinwurschteln. Sorry ist nicht bös und persönlich gemeint und auch in deiner Situation sicherlich nicht einfach aber es sind wie immer auch Steuergelder die so kurzsichtig verbrannt werden...
Ich habe allerdings eben im Netz Medienkonverter/GBICs gefunden, die für 20 Euro zu haben sind.
Vorsicht hier ! Das isnd Optiken für die es scho vorhandene SFP Slots irgendwo geben muss !Nach deinen Schilderungen hast du sowas nicht und brauchst vollkommen autarke Stand Alone Konverter wie sowas hier:
http://alliedtelesis.de/pcline-2
die sind erheblich teurer als nur reine Optiken (mini GBICs, SFPs). Das darfst du nicht verwechseln !
Für die Konfiguration des VLANs hätte die Firma sicherlich eine Arbeitsstunde berechnet und die liegt so um die 100 Euro
Cool ! Für einen simplen Mausklick und das Eingeben einer Zahl was in ca. 30 Sekunden maximal pro Switch erledigt ist 100 Euro. Respekt, da kommt man auf einen legendären Stundenlohn ! ginge es ja sowieso nicht (ohne zusätzliche Anschaffungen).
Ja, da hast du Recht. 13 Jahre....da würde ich mal mit dem Allerschlimmsten rechnen !!Zudem gibt es eine Vorschrift, die vorsieht, dass Unterrichtsnetz und Verwaltungsnetz
Siehste...deshalb hier auch immer der Ernst gemeinte Rat diese Netze in jedem Falle mit VLANs zu trennen !Dann ist vielleicht Folgendes erforderlich?
Ja, oder gleich einen mit moderner SFP Optik und angeflanschtem Switch:
https://www.reichelt.de/Hubs-Switch/LCS-GS7104-1/3/index.html?&ACTIO ...