---

Hej

Jeg skal have bygget et netværk, hvor der er 4-5 brugergrupper som skal
dele en internetforbindelse. Jeg vil gerne have dem adskilt, så de ikke
kan se hinandens enheder af sikkerhedsmæssige årsager.

Jeg har kigget lidt på switche med vlan, f.eks.
http://www.edbpriser.dk/Product/Details.aspx?pid=4876528
Hvad skal der sidde "foran" denne switch, en almindelig router kan vel
ikke uddele ip-adresser til mere end et (v)lan?

Jeg forestiller mig at det kunne laves således:

|->vlan 10
|->vlan 20
Internet -> DHCP-server(Router) -> Netgear Switch --|->vlan 30
|->vlan 40
|->vlan 50


Et alternativ er muligvis at sætte en router til internettet og derefter
en router til hver af de enkelte netværk, men det anser jeg for at være
en fuskløsning.


|->Router til gruppe 10
|->Router til gruppe 20
Internet -> Router --|->Router til gruppe 30
|->Router til gruppe 40
|->Router til gruppe 50

Den fysiske del af netværket er lavet med et krydsfelt hvor det hele kan
placeres. Der skal så udbygges med switche og trådløse accesspoints i
hver af grupperne, men det anser jeg for at være forholdsvis enkelt.

--
Mvh. Anders Sørensen
Fjern NejTakTilSpam. i e-mail adressen ved svar.
Det er ikke en fejl - det er en udokumenteret feature!
- www.reklameside.dk - Reklamer for alt muligt

---

On 29-10-2011 10:07, Anders Sørensen wrote:
> Hvad skal der sidde "foran" denne switch, en almindelig router kan vel
> ikke uddele ip-adresser til mere end et (v)lan?
>

Et hurtigt skud fra hoften:

|- vlan 10 192.168.10/24
|- vlan 20 192.168.20/24
Internet -> Rtr -> vlan 1 'subn' -> Sw -|- vlan 30 192.168.30/24
|- vlan 40 192.168.40/24
|- vlan 50 192.168.50/24

'subn' kan være 192.168.0.0/24

Du skal have en DHCP server, som kan uddele adresser baseret på det
subnet den aktuelle klient sidder på. Jeg kender ikke meget til
produkter på dette område, da jeg arbejder med andre dele af netværk,
men jeg ved, at vi, hvor jeg arbejder, bruger DHCP serveren fra
Microsoft Server til dette.

Det kræver level 3 funktion (routing) at komme fra vlan 1 til en af de
andre. Derfor er en 'ren level 2' switch ikke nok. Så enten skal

1) 'Sw' være en router, eller
2) 'Rtr' være en router med VLAN og trunk support, og 'sw' skal kunne
trunke det 5 vlans mod routeren (og så kan vlan 1 undgås), eller
3) 'Rtr' være en router med VLAN support og masser af porte, så 'subn'
segmentet og 'sw' undgås.

Jeg håber, dette kan inspirere dig lidt.

Mvh
Jan

---

On 29-10-2011 10:07, Anders Sørensen wrote:

Nu fremgår trafikmængder, antallet af klienter og fysisk spredning af
dem ikke af dit indlæg, men hjemme jeg bruger en NetGear DGND3700
router, som har support fpr 3 'gæstenetværk' på både 2,4 og 5,4 GHz
båndene. 'Gæstenet' kan i følge manualen ikke se hinanden. Routerens
indbyggede DHCP server burde så kunne dække behovet.

Det skal siges, at jeg ikke har 'rodet' med dette. Jeg bruger ikke gæstenet.

Mvh
Jan

---

On Sat, 29 Oct 2011 10:07:14 +0200, Anders Sørensen
<anders@NejTakTilSpam.torp-sorensen.dk> wrote:

> |->vlan 10
> |->vlan 20
> Internet -> DHCP-server(Router) -> Netgear Switch --|->vlan 30
> |->vlan 40
> |->vlan 50

Det kan du lave med fx en ASA 5505. Den har også en indbygget 8-ports
switch, så hvis du ikke skal bruge ret mange porte, kan du måske undgå
den ekstra switch.

-A
--
Heroes: Vint Cerf & Bob Kahn, Leonard Kleinrock, Robert Metcalfe, Jon Postel
Links : http://www.hojmark.net/
FAQ : http://www.net-faq.dk/

---

On 29-10-2011 17:48, Asbjorn Hojmark wrote:
> Det kan du lave med fx en ASA 5505. Den har også en indbygget 8-ports
> switch, så hvis du ikke skal bruge ret mange porte, kan du måske undgå
> den ekstra switch.

og man skal lige huske at købe en udvidet licens (kan ikke lige huske
navnet på den), hvis man som her har brug for 'mange' vlans.

Mvh
Jan

---

Den 29/10/11 17.48, Asbjorn Hojmark skrev:
> On Sat, 29 Oct 2011 10:07:14 +0200, Anders Sørensen
> <anders@NejTakTilSpam.torp-sorensen.dk> wrote:
>
>> |->vlan 10
>> |->vlan 20
>> Internet -> DHCP-server(Router) -> Netgear Switch --|->vlan 30
>> |->vlan 40
>> |->vlan 50
>
> Det kan du lave med fx en ASA 5505. Den har også en indbygget 8-ports
> switch, så hvis du ikke skal bruge ret mange porte, kan du måske undgå
> den ekstra switch.

Er det f.eks. denne:
http://www.edbpriser.dk/Product/Details.aspx?q=asa+5505&sp=all&pid=513473

Hvad er det for noget med 10 brugere? Er det 10 vlans?
Kan sådan en ASA 5505 bruges i min situation?

Hvis jeg sætter "dumme" switche efter hver af de porte som skal danne
vlan, kan netværket vel udvides?

--
Mvh. Anders Sørensen
Fjern NejTakTilSpam. i e-mail adressen ved svar.
Det er ikke en fejl - det er en udokumenteret feature!
- www.reklameside.dk - Reklamer for alt muligt

---

On 30/10/11 09.32, Anders Sørensen wrote:
> Den 29/10/11 17.48, Asbjorn Hojmark skrev:
>> On Sat, 29 Oct 2011 10:07:14 +0200, Anders Sørensen
>> <anders@NejTakTilSpam.torp-sorensen.dk> wrote:
>>
>>> |->vlan 10
>>> |->vlan 20
>>> Internet -> DHCP-server(Router) -> Netgear Switch --|->vlan 30
>>> |->vlan 40
>>> |->vlan 50
>>
>> Det kan du lave med fx en ASA 5505. Den har også en indbygget 8-ports
>> switch, så hvis du ikke skal bruge ret mange porte, kan du måske undgå
>> den ekstra switch.
>
> Er det f.eks. denne:
> http://www.edbpriser.dk/Product/Details.aspx?q=asa+5505&sp=all&pid=513473
>
> Hvad er det for noget med 10 brugere? Er det 10 vlans?
> Kan sådan en ASA 5505 bruges i min situation?
>
> Hvis jeg sætter "dumme" switche efter hver af de porte som skal danne
> vlan, kan netværket vel udvides?
>

Hej Anders

Hvis du køber Gbit-switche og du har brug for mere end 150MBit/s, vil
jeg i stedet anbefale ASA 5510 eller 5520 (begge har mulig rack montage).

Næsten alle fornuftige stationære og bærbare kan modtage/levere mere end
200Mbit/s.

Se evt. ASA-oversigten her:


http://www.cisco.com/en/US/prod/collateral/vpndevc/ps6032/ps6094/ps6120/product_data_sheet0900aecd802930c5.html
"...
Table 1. Cisco ASA 5505 Adaptive Security Appliance Platform
Capabilities and Capacities
....
150 Mbps
...."

"...
Table 2. Cisco ASA 5510 Adaptive Security Appliance Platform
Capabilities and Capacities
....
Up to 300 Mbps
....
5 Fast Ethernet ports; 2 Gigabit Ethernet + 3 Fast Ethernet*
...."

"...
Table 3. Cisco ASA 5520 Adaptive Security Appliance Platform
Capabilities and Capacities
....
Up to 450 Mbps
...."


I 2007 fik ASA 5510 med "security plus license" Gbit-enabled porte:

ASA software 8.0(3):
http://www.cisco.com/en/US/docs/security/asa/asa80/release/notes/arn803n.html#wp229690
Citat: "...
The ASA 5510 adaptive security appliance now has the security plus
license to enable GE (Gigabit Ethernet) for port 0 and 1. If you upgrade
the license from base to security plus, the capacity of the external
port Ethernet0/0 and Ethernet0/1 increases from the original FE (Fast
Ethernet) (100 Mbps) to GE (1000 Mbps).
[]
The interface names will remain Ethernet 0/0 and Ethernet 0/1.
[]
Use the speed command to change the speed on the interface and use the
show interface command to see what speed is currently configured for
each interface.

Also available in Version 7.2(3).
...."

Glenn

---

Den 30/10/11 11.24, Glenn skrev:
> On 30/10/11 09.32, Anders Sørensen wrote:
>> Den 29/10/11 17.48, Asbjorn Hojmark skrev:
>>> On Sat, 29 Oct 2011 10:07:14 +0200, Anders Sørensen
>>> <anders@NejTakTilSpam.torp-sorensen.dk> wrote:
>>>
>>>> |->vlan 10
>>>> |->vlan 20
>>>> Internet -> DHCP-server(Router) -> Netgear Switch --|->vlan 30
>>>> |->vlan 40
>>>> |->vlan 50
>>>
>>> Det kan du lave med fx en ASA 5505. Den har også en indbygget 8-ports
>>> switch, så hvis du ikke skal bruge ret mange porte, kan du måske undgå
>>> den ekstra switch.
>>
>> Er det f.eks. denne:
>> http://www.edbpriser.dk/Product/Details.aspx?q=asa+5505&sp=all&pid=513473
>>
>> Hvad er det for noget med 10 brugere? Er det 10 vlans?
>> Kan sådan en ASA 5505 bruges i min situation?
>>
>> Hvis jeg sætter "dumme" switche efter hver af de porte som skal danne
>> vlan, kan netværket vel udvides?
>>
>
> Hej Anders
>
> Hvis du køber Gbit-switche og du har brug for mere end 150MBit/s, vil
> jeg i stedet anbefale ASA 5510 eller 5520 (begge har mulig rack montage).
>
> Næsten alle fornuftige stationære og bærbare kan modtage/levere mere end
> 200Mbit/s.

Hvis jeg sætter gigabit switche efter portene på 5505'eren, kan de
tilsluttede pc'er så ikke køre gigabit sammen? Jeg er godt klar over, at
hvis der f.eks. skal tilsluttes en server som alle vlans skal kunne
tilgå, er det 5505'eren der sætter begrænsningen. Internethastigheden
bliver under ingen omstændigheder over 100Mbit/s.


--
Mvh. Anders Sørensen
Fjern NejTakTilSpam. i e-mail adressen ved svar.
Det er ikke en fejl - det er en udokumenteret feature!
- www.reklameside.dk - Reklamer for alt muligt

---

On 30/10/11 09.32, Anders Sørensen wrote:
> Den 29/10/11 17.48, Asbjorn Hojmark skrev:
>> On Sat, 29 Oct 2011 10:07:14 +0200, Anders Sørensen
>> <anders@NejTakTilSpam.torp-sorensen.dk> wrote:
>>
>>> |->vlan 10
>>> |->vlan 20
>>> Internet -> DHCP-server(Router) -> Netgear Switch --|->vlan 30
>>> |->vlan 40
>>> |->vlan 50
>>
>> Det kan du lave med fx en ASA 5505. Den har også en indbygget 8-ports
>> switch, så hvis du ikke skal bruge ret mange porte, kan du måske undgå
>> den ekstra switch.
>
> Er det f.eks. denne:
> http://www.edbpriser.dk/Product/Details.aspx?q=asa+5505&sp=all&pid=513473
>
> Hvad er det for noget med 10 brugere? Er det 10 vlans?
> Kan sådan en ASA 5505 bruges i min situation?
>
> Hvis jeg sætter "dumme" switche efter hver af de porte som skal danne
> vlan, kan netværket vel udvides?
>

Hej Anders

Du skal have af vide hvor mange brugere som understøttes:

Cisco ASA 5500 Series Adaptive Security Appliances:
http://www.cisco.com/en/US/prod/collateral/vpndevc/ps6032/ps6094/ps6120/product_data_sheet0900aecd802930c5.html
"...
Table 8. Characteristics of Cisco ASA 5505, 5510, 5520, 5540, and 5550
Adaptive Security Appliances
....
Users/Nodes 10, 50, or unlimited
....
IPsec VPN Peers 10; 25
...."

Du bør gå efter "unlimited" Users - men bemærk at der også findes en
"IPsec VPN Peers" begrænsning, og det er noget helt andet.

Glenn

---

Hej Anders

I øvrigt skal du sikre dig at ASA firewallen leveres med ASA software
8.2(5) eller ASA software 8.4(2).

Køber du en ældre hylde ASA kan det være at flash og ram er
utilstrækkelig til ASA software 8.3+:

Release Notes for the Cisco ASA 5500 Series, 8.4(x):
http://www.cisco.com/en/US/docs/security/asa/asa84/release/notes/asarn84.html#wp37821
Citat: "...
Memory Requirements
....
After Feb. 2010 (Required for 8.3 and Higher)
....
Memory Upgrade Kits
...."

Glenn

---

Denne har "unlimited"-Users:

Cisco ASA 5505 Firewall Edition Bundle
Bedste pris: 3.758,00 DKK
http://www.edbpriser.dk/Product/Details.aspx?q=asa+5505&sp=all&pid=262649
"...
Antal licenser    Ubegrænset antal brugere
...."

---

On 30-10-2011 11:51, Glenn wrote:
> Denne har "unlimited"-Users:
>
> Cisco ASA 5505 Firewall Edition Bundle
> Bedste pris: 3.758,00 DKK
> http://www.edbpriser.dk/Product/Details.aspx?q=asa+5505&sp=all&pid=262649
> "...
> Antal licenser Ubegrænset antal brugere
> ..."

.... men kun 3 VLANs alt ialt i den Basic License, som kassen er født
med, og med begrænsninger på den ene. Den licens, der giver mange (20?)
VLANs, koster ca. det samme som en basis 5505. Har opgraderet min 5505
fornylig.

Mvh
Jan

---

On 30/10/11 13.48, Jan Strægaard wrote:
> On 30-10-2011 11:51, Glenn wrote:
>> Denne har "unlimited"-Users:
>>
>> Cisco ASA 5505 Firewall Edition Bundle
>> Bedste pris: 3.758,00 DKK
>> http://www.edbpriser.dk/Product/Details.aspx?q=asa+5505&sp=all&pid=262649
>> "...
>> Antal licenser Ubegrænset antal brugere
>> ..."
>
> ... men kun 3 VLANs alt ialt i den Basic License, som kassen er født
> med, og med begrænsninger på den ene. Den licens, der giver mange (20?)
> VLANs, koster ca. det samme som en basis 5505. Har opgraderet min 5505
> fornylig.
>
> Mvh
> Jan

Hej Jan

Så er der denne:

Cisco ASA 5505 Firewall Edition Bundle
Bedste pris: 4.996,00 DKK:
http://www.edbpriser.dk/Product/Details.aspx?q=asa+5505&sp=all&pid=513185
"...
Unlimited-User Security Plus License
...."

mvh

Glenn

---

Den 30/10/11 11.37, Glenn skrev:
> On 30/10/11 09.32, Anders Sørensen wrote:
>> Den 29/10/11 17.48, Asbjorn Hojmark skrev:
>>> On Sat, 29 Oct 2011 10:07:14 +0200, Anders Sørensen
>>> <anders@NejTakTilSpam.torp-sorensen.dk> wrote:
>>>
>>>> |->vlan 10
>>>> |->vlan 20
>>>> Internet -> DHCP-server(Router) -> Netgear Switch --|->vlan 30
>>>> |->vlan 40
>>>> |->vlan 50
>>>
>>> Det kan du lave med fx en ASA 5505. Den har også en indbygget 8-ports
>>> switch, så hvis du ikke skal bruge ret mange porte, kan du måske undgå
>>> den ekstra switch.
>>
>> Er det f.eks. denne:
>> http://www.edbpriser.dk/Product/Details.aspx?q=asa+5505&sp=all&pid=513473
>>
>> Hvad er det for noget med 10 brugere? Er det 10 vlans?
>> Kan sådan en ASA 5505 bruges i min situation?
>>
>> Hvis jeg sætter "dumme" switche efter hver af de porte som skal danne
>> vlan, kan netværket vel udvides?
>>
>
> Hej Anders
>
> Du skal have af vide hvor mange brugere som understøttes:
>
> Cisco ASA 5500 Series Adaptive Security Appliances:
> http://www.cisco.com/en/US/prod/collateral/vpndevc/ps6032/ps6094/ps6120/product_data_sheet0900aecd802930c5.html
>
> "...
> Table 8. Characteristics of Cisco ASA 5505, 5510, 5520, 5540, and 5550
> Adaptive Security Appliances
> ....
> Users/Nodes 10, 50, or unlimited
> ....
> IPsec VPN Peers 10; 25
> ...."
>
> Du bør gå efter "unlimited" Users - men bemærk at der også findes en
> "IPsec VPN Peers" begrænsning, og det er noget helt andet.

Brugere som i antal ip-adresser der samtidig kan tildeles?

--
Mvh. Anders Sørensen
Fjern NejTakTilSpam. i e-mail adressen ved svar.
Det er ikke en fejl - det er en udokumenteret feature!
- www.reklameside.dk - Reklamer for alt muligt

---

On 10/29/2011 10:07 AM, Anders Sørensen wrote:
> Jeg forestiller mig at det kunne laves således:
>
> |->vlan 10
> |->vlan 20
> Internet -> DHCP-server(Router) -> Netgear Switch --|->vlan 30
> |->vlan 40
> |->vlan 50

Jeg ville skrotte din router og sætte en Linuxkasse op der kører
firewall og router mellem VLAN's.

Mogens

--
Mogens Kjaer, mk@lemo.dk
http://www.lemo.dk

---

Den 29/10/11 10.07, Anders Sørensen skrev:
> Hej
>
> Jeg skal have bygget et netværk, hvor der er 4-5 brugergrupper som skal
> dele en internetforbindelse. Jeg vil gerne have dem adskilt, så de ikke
> kan se hinandens enheder af sikkerhedsmæssige årsager.
>
> Jeg har kigget lidt på switche med vlan, f.eks.
> http://www.edbpriser.dk/Product/Details.aspx?pid=4876528
> Hvad skal der sidde "foran" denne switch, en almindelig router kan vel
> ikke uddele ip-adresser til mere end et (v)lan?
>
> Jeg forestiller mig at det kunne laves således:
>
> |->vlan 10
> |->vlan 20
> Internet -> DHCP-server(Router) -> Netgear Switch --|->vlan 30
> |->vlan 40
> |->vlan 50
>
Tak for svarene alle sammen.

Den løsning med Cisco ASA 5505 bliver alt alt for dy til dette formål.
Jeg har googlet lidt rundt, og fundet en Cisco RV220W
http://www.cisco.com/en/US/prod/collateral/routers/ps9923/ps11025/data_sheet_c78-630461.html
som muligvis kunne klares inden for prisrammen. Vil den kunne klare
jobbet, hvis jeg nøjes med 4 vlans?
Jeg tænker noget en opsætning som denne:

|->vlan 10 ->Switch
|->vlan 20 ->Switch
Internet -> RV220W -|->vlan 30 ->Switch
|->vlan 40 ->Switch



Jeg kan ikke finde ud af, om jeg kan sætte normale gigabit switche på
hver port for at dele netværket ud på flere stik, eller der skal bruges
specielle vlan switche.


>
> Et alternativ er muligvis at sætte en router til internettet og derefter
> en router til hver af de enkelte netværk, men det anser jeg for at være
> en fuskløsning.
>
>
> |->Router til gruppe 10
> |->Router til gruppe 20
> Internet -> Router --|->Router til gruppe 30
> |->Router til gruppe 40

Hvad med denne løsning? Jeg sætter en kvaltetsrouter op som den første
og de forskellige interessegrupper som skal bruge nette kunne så selv
købe deres egne routere. Administrationen af disse ville blive et
mareridt, men det må de selv rode med.

--
Mvh. Anders Sørensen
Fjern NejTakTilSpam. i e-mail adressen ved svar.
Det er ikke en fejl - det er en udokumenteret feature!
- www.reklameside.dk - Reklamer for alt muligt

---

On 04/11/11 02.00, Anders Sørensen wrote:
....
> Jeg kan ikke finde ud af, om jeg kan sætte normale gigabit switche på
> hver port for at dele netværket ud på flere stik, eller der skal bruges
> specielle vlan switche.
....

Hej Anders

Det afhænger af om den switch du køber kan dedikere de enkelte porte til
de respektive vlans.

Hvis den kan, kan sagtens sætte non-vlan switche på firewallen.

---

Den 04-11-2011 16:53, Glenn skrev:
>
> Det afhænger af om den switch du køber kan dedikere de enkelte porte til
> de respektive vlans.
>
> Hvis den kan, kan sagtens sætte non-vlan switche på firewallen.
>
Er det ikke en smule selvmodsigende ?

Hvis switchen kan tildele specifikke porte til et givent vlan, bliver
det så ikke pr. definition en vlan-switch ?

---

On 04/11/11 18.22, Sune Storgaard wrote:
> Den 04-11-2011 16:53, Glenn skrev:
>>
>> Det afhænger af om den switch du køber kan dedikere de enkelte porte til
>> de respektive vlans.
>>
>> Hvis den kan, kan sagtens sætte non-vlan switche på firewallen.
>>
> Er det ikke en smule selvmodsigende ?
>
> Hvis switchen kan tildele specifikke porte til et givent vlan, bliver
> det så ikke pr. definition en vlan-switch ?

Hej Sune

Jo!

Der skulle have stået:

Hej Anders (og Sune )

Det afhænger af om den *firewall* du køber kan dedikere de enkelte porte
til de respektive vlans (untagged).

Hvis den kan, kan sagtens sætte non-vlan switche på firewallen.

---

On 05/11/11 10.07, Glenn wrote:
> On 04/11/11 18.22, Sune Storgaard wrote:
>> Den 04-11-2011 16:53, Glenn skrev:
>>>
>>> Det afhænger af om den switch du køber kan dedikere de enkelte porte til
>>> de respektive vlans.
>>>
>>> Hvis den kan, kan sagtens sætte non-vlan switche på firewallen.
>>>
>> Er det ikke en smule selvmodsigende ?
>>
>> Hvis switchen kan tildele specifikke porte til et givent vlan, bliver
>> det så ikke pr. definition en vlan-switch ?
>
> Hej Sune
>
> Jo!
>
> Der skulle have stået:
>
> Hej Anders (og Sune )
>
> Det afhænger af om den *firewall* du køber kan dedikere de enkelte porte
> til de respektive vlans (untagged).

Eller blot have flere egentlige firewall interfaces.

-

En firewall med indbygget non-vlan-aware switch duer f.eks. ikke.

-

Bemærk at firewallen bliver flaskehals mellem firewall
interface-broadcast domænerne.

Broadcast domain:
http://en.wikipedia.org/wiki/Broadcast_domain