kompletter Netzwerkumbau - 3 Firmen - VPN - Site2Site VPN und Co

Es gibt 12 Antworten in diesem Thema, welches 4.327 mal aufgerufen wurde. Der letzte Beitrag () ist von PauloPinto.

    Moin zusammen,


    habe „leider“ eine größere Baustelle und wollte Eure Meinungen dazu hören. Vielleicht habt Ihr ja auch ein paar Tipps um Stolpersteine zu vermeiden :thumbs_up::smiling_face:. Bin zwar IT´ler aber kein Netzer und habe vorher noch keinen Kontakt mit den Ubiquiti Geräten gehabt.


    Das Umfeld ist wie folgt:


    3 Firmen in einem Gebäude, gehen über 1 Glasfaserleitung ins Internet. Sie teilen sich auch einen Schrank mit Patchfeldern, Switchen, Telefonanalage etc. Aktuell ist es so: Glasfaser --> VPN Router mit 4 Ports --> je 1 LAN Kabel auf je einen Switch für Firma 1,2,3. zukünftig wollte ich diesen VPN Router durch die USG ersetzen.


    Firma 1 (mein bester Freund) wird Netzwerkseitig inkl. Domäne Exchange usw. komplett umgebaut. Dafür habe ich unter anderem eine USG-PRO-4, KeyCloud gen2 Plus, Switch 48 - US-48 (ohne POE), 2x UAP-AC-LITE, NAS. gekauft. Alter Exchange Und Windows Server kommen weg. NAS übernimmt Filer, Backup und AD Sync zum Azure AD, Exchange geht zu Microsoft 365 in die Cloud, ca. 20 Clients vor Ort 3 in einer Niederlassung, VPN für 8 Clients notwendig, WLAN intern und für Gäste, Drucken usw natürlich auch


    Firma 2 (Dienstleister) braucht nur Internetzugang, um seine Fritzbox dort anzuklemmen. Dahinter sind dann seine Clients und Datenbanken ca. 15 Clients


    Firma 3 2 Clients vor Ort + 1 Niederlassung mit 2 Clients. VPN für 4 Clients notwendig.



    Im Netz der Firma 2 und 3 kann ich nichts an der IT verändern, das machen eigene Admins, die aber wenig Lust auf Veränderung haben :thinking_face:. Alle 3 Netze sollen getrennt voneinander sein, dass wollte ich per USG regeln. Firma 2 und 3 wollte ich je einen Port geben inkl. DHCP für deren Netzwerkbereich. Also quasi --> Glasfaser --> USG --> Switch 1+2+3 (einer pro Firma)


    Probleme Firma 3: in einer Niederlassung steht eine Frittzbox, die aktuell eine VPN Verbindung zum VPN Router (Site2Site) des Hauptquartiers der Firmen 1,2,3 aufgebaut hat. Darüber kommen 2 Mitarbeiter der Firma 3 in das Netz von Firma 3. Kann man eine Site2Site VPN Verbindung mit der Fritzbox einrichten, wenn ja wie?


    Mein Plan war es, dass über den VPN Client zu regeln. Leider darf aber auf beiden Rechnern der Neiderlassung nichts außerhalb des Core Images installiert werden. Den alten VPN Router wollte ich aber auch nicht stehen lassen (stürzt gern mal ab) oder gar ne neue Fritzbox zwischen Glasfaseranschluss und USG stellen.


    Firma 2: wollte ich ebenfalls einen eigenen LAN Anschluss am Switch spendieren inkl. DHCP. Dort kommt deren Fritzbox dran, fertig. Funktioniert jetzt ähnlich via Glasfaser --> VPN Router --> Fritzbox. Hier muss auch nix via VPN rein oder so


    Firma 1 wird dann alle Unifi Geräte inkl. des 48er Switch nutzen. Dort werden alle genutzten LAN Dosen drauf gepatched. Zusätzlich 2 UAP-AC-LITE für WLAN intern, also mit Zugriff auf Filer, Drucker und Co und reines Internet für Gäste ohne Zugriff auf interne Ressourcen. O365, NAS, Datensicherung, Rechner in die neue Domäne heben usw kommt dann natürlich auch noch auf mich zu.


    Passt das so von den Komponenten? Oder habe ich hier einen Denkfehler und das funktioniert so nicht?


    Einer der wichtigsten Fragen aktuell ist auch, kann man zuverlässig eine Fritzbox über das Internet via Site2Site mit der USG verbinden?! Oder muss ich dann doch nen VPN Router ggf. Fritzbox und doppeltes NAT einplanen?


    Im Voraus vielen Dank und Sorry für den ganzen Text :smiling_face_with_halo:


    Gruß Paulo

    Das USG Pro 4 hat aber nicht die Leistung für eine 1000er Leitung, bei eingeschalteten Thread Management sind gemäß Datenblatt nur 250mbit drin, im Internet gibt es Leute die max 600 erreicht haben.

    Verwendet ihr side2side VPN? Da hat Unifi Probleme, mit DynDNS geht's immo nur mit fester IP.

    Gefällt mir 1

    Hi BlackSpy,


    danke für Deine Antwort!


    Aktuell ist es nur eine 300Mbit Glasfaserleitung. Aber gut dass Du das sagst, da hatte ich gar nicht drauf geachtet.


    Ich brauche 1x Site2Site zu einer AVM Fritzbox, geht das? Alle anderen sollen einen VPN Client nutzen. Ich hatte gesehen, dass das wohl ein gängiger Weg ist, über die USG einen VPN Tunnel vom z.B. Notebook zu öffnen.


    Die IP ist eine feste Business IP vom Anbieter. DynDns ist also nicht notwendig.



    PS: könnte ich anstelle Site2Site nicht einfach ne zweite Fritzbox nach der USG+Switch setzen, also für Firma2? Port für das Site2Site Fritz VPN müsste ich dann ja nur auf der USG an den LAN Port weiterleiten, wo die AVM hängt?

    Einmal editiert, zuletzt von PauloPinto ()

    Sorry dein PS habe ich nicht gesehen.

    Das mit der Fritzbox hinter der USG würde gehen wenn auf der USG kein VPN verwendet würde. Verwendest du an der USG VPN für Client würde die Fritzbox dahinter nix von VPN mitbekommen.

    Hintergrund:

    VPN nutzt bestimmte standartisierte Ports, hättest du im USG VPN aktiviert, so filtert sich die USG sämtliche Anfragen an diese Ports raus und vergleicht sie mit ihren VPN Passwörter und User/Passwort Definitionen. Ist nix mit den hinterlegen Daten übereinstimmend werden die Daten verworfen und kommen dann nicht mehr bei der Fritzbox an.

    Verwendest du im USG kein VPN so reichen Portfreigaben an die IP der Fritzbox ( glaube 3Port Adressen für VPN)

    Gefällt mir 2

    Moin, Danke! Gut zu wissen, wie sich die USG verhält. Da ich selbst für Firma1 VPN benötige fällt der Workaround mit der Fritzbox dann weg. Dann mache ich mich mal auf die Suche nach Infos für das Site2Site VPN mit ner AVM.


    Verschiedene VPNs kann ich aber anlegen oder? Also das Firma3 via Site2Site VPN nur auf LAN Port 10 geroutet wird? VPN für Firma1 soll auf alle anderen Ports zugreifen können.

    Wenn ich mir deine Sachen nochmals so durchlesen komme ich eigentlich mehr zur Erkenntnis das es besser wäre ihr hättet 3 getrennte Internet Anschlüsse.

    Korrekt könntest du deine Sache nur lösen mit einen Router der direkt hinter dem Modem sitzt das VPN und site2site verwaltet und auf 3 VLAN aufteilt, jedes VLAN müsste dann einen festen Port bekommen und von jedem dieser dann WAN Ports zu den einzelnen Firmen. Nachteil jemand müsste den Router dauerhaft administrieren um zB neuen VPN User anzulegen.

    Eine Fritzbox kann das nicht, sie kann kein VLAN.

    Ein USG könnte das im groben schon. Ich betreue auch ein Firmennetz und musste aber feststellen das die USG zwar WLAN Enterprise korrekt in die vorgegeben VLAN Routet, aber nicht die externen VPN Zugänge.

    Um das korrekt zu lösen muss man Hand an jeden Client anlegen und dort entsprechende Einstellungen vornehmen.

    Eine Lösung wird nicht so einfach wie du dir das vorstellst.

    Wie geschrieben 3 einzelne Zugänge und jeder kann machen was er möchte.

    Womöglich hat jemand noch eine andere Idee. Der User Samhain scheint sehr firm grade in dieser Materie zu sein.

    Mit seiner Erwähnung wird er womöglich aufmerksam auf dein Post und hat eine entsprechende Idee für dich.

    Gefällt mir 1

    Mir reicht deine Beschreibung für einen Tip leider nicht, deshalb noch ein paar Fragen:


    1. Welche Dienste nutzen die drei Firmen (gemeinsam/getrennt)?

    2. Welchen Anspruch gibt es bzgl. Verfügbarkeit (insbes. Bandbreite, QoS usw.)?

    3. Du schreibst "Firma 2 möchte nur eine FB anklemmen". Wozu?

    4. Firma 3: Welche UseCase bzgl. VPN Verbindungen gibt es? Geht es hier um einen sicheren BreakIn oder .... ?


    Schon jetzt sehe ich mit deinen Beschreibungen der UseCases massive Probleme in den einzelnen Verbindungen.


    ICH würde sowas mit drei getrennten Netzabschlüssen des Providers machen und damit auch die drei Firmen trennen. Insbesondere die Dienste Internet und Telefonie bedürfen einen hohen Standard und vollständiger Trennung bzgl. Sicherheit. Rein rechtlich wird es schwierig drei Firmen über einen Provideranschluss zu fahren ohne die entsprechenden AGBs des Providers zu verletzen.

    ------

    vg

    Franky

    Gefällt mir 2

    Danke BlackSpy und Samhain !!!


    Dann hatte ich mir das doch leichter vorgestellt und der USG mehr zugetraut. Mir wäre auch am liebsten, wenn Firma 1 und Firma3 einen eigenen Anschluß bekommt, birgt aber politische Stolpersteine :face_with_rolling_eyes::smiling_face_with_sunglasses:.


    Die VPN Router mit VLAN Funktion Variante klingt nach einem guten Lösungsansatz.

    Aktuell ist auch so, dass der VPN Router je Firma einen "WAN Port" bereitstellt und der jeweils ein Port an einen Switch pro Firma geht. Das Ding ist halt nur Uralt und überfordert.


    Samhain

    1. Welche Dienste nutzen die drei Firmen (gemeinsam/getrennt)?

    gemeinsam:

    das Internet und die lokal installierte Telefonanalagfe. Diese ist via einem ISDN Umwandler? angeschlossen.

    Firma 1 und 3 VPN jeweils für Ihr eigenes Netz.

    Firma 1 und 2 Drucken via Drucker mit 2 separraten Netzwerkkarten


    getrennt:

    lokale Netzwerk

    2. Welchen Anspruch gibt es bzgl. Verfügbarkeit (insbes. Bandbreite, QoS usw.)?

    Firma 1: Internet (Surfen, Mails aus O365 via lokal installiertem Client abrufen) + VPN

    Firma2: Internet

    Firma3: Internet + VPN


    3. Du schreibst "Firma 2 möchte nur eine FB anklemmen". Wozu?

    Zulieferer, der ein eigenes lokales Netz inkl. Datenbank betreibt. Also Internet -> Fritzbox -> Switch -> Rechner. Die brauchen nur Zugriff auf das Internet um "nach Haus zu telefonieren". Kein VPN etc. nötig


    4. Firma 3: Welche UseCase bzgl. VPN Verbindungen gibt es? Geht es hier um einen sicheren BreakIn oder .... ?

    ist der Hauptnutzer mit ~20 Usern; Internetzugang und VPN wird benötigt. Firmendaten liegen lokal im Netz . Z.B. sollen/wollen Außendienstmitarbeiter/Chefs von unterwegs via VPN auf Firmendaten zugreifen können bzw. diese im Netz des HQ zur weiteren Bearbeitung ablegen können.

    3 Mal editiert, zuletzt von PauloPinto ()

    Telefonie via SIP -> ISDN Wandler?


    Lösungsansatz wäre (mal Telefonie ausgeschlossen, dass muss man mal separat betrachten):


    - Cisco VPN Router (idealerweise kombiniert mit ner kleinen ASA) der den Netzabschluss bzgl. VPNs realisiert. Könnte man auch gleich mit 802.1x realisieren. Das reduziert später den Aufwand.

    - 3 (od. mehr) separate VLANs (die z.T. jeweils vom Cisco VPN Router für die jeweiligen BreakIn Clients zur Verfügung stehen (evtl. mit kleinen Edge Switchen für die Netzseparierung)

    - mind. 3 weitere Switche (könnte man Unifi nehmen und für das Management eine UDM pro falls auch noch WLAN APs zum Einsatz kommen)


    Konfiguration ist aber nichts für Anfänger:

    Allein die Radius Funktion auf den Cisco VPN Router ist nicht einfach.

    Die Netztrennung der drei Firmen (inkl. evtl. WLAN APs) ist nicht so schwierig.


    Zur klären wäre, wie zukünftig Telefonie ermöglich werden kann. Das hängt im Wesentlichen auch vom Provider ab.


    Dauerbrenner (und mit Sicherheit sehr zeitaufwändig) ist die VPN Adminstration (neue Zugänge, wechselnde MAs usw.) und dessen Security. Damit ist der Admin für DREI Firmen zuständig.


    Problem bleibt weiterhin, dass die Verträge mit dem Provider üblicherweise solche Konstellationen nicht erlauben.


    ICH würde so etwas nicht bauen, da schon von Anfang an klar ist, dass die Adminstration und der Betrieb aufwändig werden wird.


    Andere Alternative: VPN Zugänge und gleich die Infrastruktur der Firmen in die Cloud legen und damit outsourcen. Dann wirds deutlich einfacher und moderner. Lokal gehostete Systeme sind zwischenzeitlich "megaout". Bei dem Tip denke ich an deine Anforderung bzgl. O365 und später (früher als Du denkst) M365

    ------

    vg

    Franky

    8 Mal editiert, zuletzt von Samhain ()

    Gefällt mir 2

    Danke Samhain für Deine ausführliche Antwort. Ich muss das wohl noch ein zweites Mal lesen, um alles zuordnen zu können :). Bin wie gesagt kein Netzer.


    Ich hatte heute noch einen Termin mit allen Beteiligten und das Thema angesprochen. Wenn der Provider 3x Glasfaser legen kann, wird es separate I-Net Anschlüsse geben, 1x der bestehende für Firma1 1x für Firma2 und 1x für den in Kürze zu vermietenden Anbau der nun Baulich fertiggestellt wurde.


    Dann bräuchte ich doch nur meine USG 4 Pro an das Glasfaser Modem stecken. Lan1 meinen Unifi Switch Firma1 und LAN2 die Fritzbox Firma2 anstecken? Oder besser auf dem Unifi Switch ein VLAN nur mit Zugang zum Internet und da die Fritzboxx rein? Die brauchen nur einen reinen Anschluss ins Internet für Updates der Software, mehr nicht. Die Systeme werden von den Usern der Firma1 mit benutzt.

    So, kurzes Update.


    Danke Eurer Hinweise habe ich mit allen Parteien gesprochen und es wurde sich für die Version entschieden, dass Firma 1+2 und Firma 3 je einen eigenen I-Net Anschluss nutzen. Somit habe ich aktuell kein VPN Thema mehr und kann das USG 4 Pro als VPN Entpunkt nutzen. Wie sich rausstelle wird das doch über einen Dyndns Anbieter gemacht, aktuell.


    Dann werde ich mich jetzt mal an die Konfiguration machen, mal sehen wie das läuft :thinking_face::smiling_face_with_sunglasses:


    Danke für Eure Hilfe!