Clients im Gastnetzwerk erhalten keine IPs

Zitat von amaskus

Dein DC kann nur für das VLAN 100 den DHCP stellen - Läuft in der Firma bei uns genauso

Nö, der DHCP-Dienst eines AD-Controller kann beinah unendlich viele Adressbereiche verwalten und auch mit getaggden VLans umgehen klick! Nur wozu braucht Ihr die immer eigentlich? Hat man eine vernünftige Netzstruktur, kommt man doch mit portbasiertern VLans aus und muss nur taggen, wenn man verschieden Bereiche z.B. über ein Backbone schicken muss. Man kann sich das Leben aber auch schwer machen

Zitat von amaskus

Ja ich hab mich blöd ausgedrückt und meinte der DC kann in dem VLAN auch nur den DHCP machen und muss nichts anderes machen und ist nicht erreichbar

getaggte VLANs ?

Management für den AP (Nativ) und tagged Wifi Business und Wifi Guest nur als Beispiel

Ok, einverstanden, dafür könnte man es gebrauchen, aber weitere Beispiele außer dem zwischen der Lohnbuchhaltung und dem Einkauf? Ich frage für einen Freund

Zitat von amaskus

Kein Problem

Im Geschäftlichen Umfeld würde ich in etwa wie folgt unterteilen (Beispielhaft - nach dem realen Bedarf anzupassen)

• Clients
• Gast (Vollständig Isoliert)
• Server
• VoIP
• DMZ
• OT
• CCTV

Oha, ich glaube, ich habe irgendetwas nicht verstanden

Für mich waren VLans bisher immer die Möglichkeit, eine wie immer auch geartete physikalische Netzwerkinfrastuktur für mehrere, von einander getrennte idelle, daher virtuelle Netzwerke zu nutzen. Dies vor allem dann, wenn sich das physikalische Netzwerk eben nicht physikalisch trennend struktuieren lässt.

Ein schönes Beispiel hierfür sind tatsächlich die sich auf einer Etage eines Firmengebäudes befindlichen Abteilungen Einkauf und Lohnbuchhaltung, welche über einen gemeinsamen Backbone mit dem Serveraum im Keller verbunden sind. Hier macht es dann durchaus Sinn, statt eine zusätzliche Leitung zu verlegen, zwei getrennte virtuelle Netze aufzuspannen, damit eben die Kollegen vom Einkauf sich nicht bei den Kollegen von der Lohnbuchhaltung umsehen können.

Von daher verstehe ich auch die Ambition, ein Gästenetzwerk zu separieren (wobei auch dies Makulatur ist, denn spätestens in einem wie auch immer gearteten Konzentrator ist damit Schicht im Schacht). Für alles darüber hinaus kann ich jedoch keine Notwendigkeit erkennen, warum zum Teufel, soll ich z.B. die Server und die Clients in jeweils getrennte VLans stecken?

Grundsätzlich halte ich es ohnehin für besser, ein vernünftig strukturiertes, dienstneutrales, physikalisches Netzwerk zu installieren. Dann kann man alles patchen und mit Hilfe eines managbaren Switch schön mit Subnetzen arbeiten, falls dies erforderlich sein sollte. Auf die Komplikation mit getaggden IP-Adressen kann man dann verzichten.

Aber wie heißt es so schön - jedem Tierchen sein Pläsierchen

Zitat von bic

Oha, ich glaube, ich habe irgendetwas nicht verstanden

Für mich waren VLans bisher immer die Möglichkeit, eine wie immer auch geartete physikalische Netzwerkinfrastuktur für mehrere, von einander getrennte idelle, daher virtuelle Netzwerke zu nutzen. Dies vor allem dann, wenn sich das physikalische Netzwerk eben nicht physikalisch trennend struktuieren lässt.

Ein schönes Beispiel hierfür sind tatsächlich die sich auf einer Etage eines Firmengebäudes befindlichen Abteilungen Einkauf und Lohnbuchhaltung, welche über einen gemeinsamen Backbone mit dem Serveraum im Keller verbunden sind. Hier macht es dann durchaus Sinn, statt eine zusätzliche Leitung zu verlegen, zwei getrennte virtuelle Netze aufzuspannen, damit eben die Kollegen vom Einkauf sich nicht bei den Kollegen von der Lohnbuchhaltung umsehen können.

Von daher verstehe ich auch die Ambition, ein Gästenetzwerk zu separieren (wobei auch dies Makulatur ist, denn spätestens in einem wie auch immer gearteten Konzentrator ist damit Schicht im Schacht). Für alles darüber hinaus kann ich jedoch keine Notwendigkeit erkennen, warum zum Teufel, soll ich z.B. die Server und die Clients in jeweils getrennte VLans stecken?

Grundsätzlich halte ich es ohnehin für besser, ein vernünftig strukturiertes, dienstneutrales, physikalisches Netzwerk zu installieren. Dann kann man alles patchen und mit Hilfe eines managbaren Switch schön mit Subnetzen arbeiten, falls dies erforderlich sein sollte. Auf die Komplikation mit getaggden IP-Adressen kann man dann verzichten.

Aber wie heißt es so schön - jedem Tierchen sein Pläsierchen

Alles anzeigen

Über das Thema Netzwerkstruktur kann man ja eh diskutieren bis man schwarz ist.

Steck 3 Netzwerkadministratoren zusammen und du erhälst mindestens 6 Netzwerkkonzepte.

Aber Server und Clients zusammen zu stecken ist halt nen Risiko was man eingeht.

Wird nen Client gekapert kommt er halt ohne Umwege direkt zu den Servern. Da ist es dann doch angenehmer ne VLAN Trennung zu haben über die ich Regeln kann wer wohin geht.

Und der Kostenfaktor ist halt auch nicht zu unterschätzen. Natürlich kann ich jedes Subnet physikalisch aufbauen aber die Frage ist immer ob man das will und ob man es bezahlen kann.

Zitat von KJL

Über das Thema Netzwerkstruktur kann man ja eh diskutieren bis man schwarz ist.

Steck 3 Netzwerkadministratoren zusammen und du erhälst mindestens 6 Netzwerkkonzepte.

Naja, einen Admin, welcher die EN 50173 und die ISO 11801 nicht kennt, gehört entlassen (oder zumindest nachgeschult) - denn da gibt es eigentlich kein vertun.

Zitat

Aber Server und Clients zusammen zu stecken ist halt nen Risiko was man eingeht.

Wird nen Client gekapert kommt er halt ohne Umwege direkt zu den Servern. Da ist es dann doch angenehmer ne VLAN Trennung zu haben über die ich Regeln kann wer wohin geht.

??? Was verstehst Du unter "gekapert"? Kommt eine Client standardmäßig im Normalbetrieb auf einen Server (ob nun mit oder ohne VLan), kommt dies auch eine Schadsoftware, welche sich (wie auch immer) auf dem Client eingenistet hat, desgleichen gilt auch für einen unautorisierten Nutzer, VLans helfen dagegen nicht die Bohne, da müssen andere Schutzkonzepte her.

Zitat

Und der Kostenfaktor ist halt auch nicht zu unterschätzen. Natürlich kann ich jedes Subnet physikalisch aufbauen aber die Frage ist immer ob man das will und ob man es bezahlen kann.

Klar, die Kosten Den Meter Cat7 (und die brauchts nicht mal) bekommt man unter einen Euro.. Für den Preis eines Unifi Switchs (mit welchen hier immer so rumgeschmissen wird) bekommt man dann schon 300 - 1500m von dem Zeugs. Klar wird es im Altbau schwierig, aber dann nimmt man halt das Koax (was ja üblicher Weise schon seit Jahrzehnten in den Häusern liegt) und baut mit G.hn-Modems die Verbindung zwischen den Etagen auf. Hier dann je einen 30 Euro Switch (gern gemanagt) als Knoten und fertig ist die strukturierte (Etagen)Verkabelung.

Man kann es natürlich auch viel, viel komplizierter machen

Zitat von bic

Naja, einen Admin, welcher die EN 50173 und die ISO 11801 nicht kennt, gehört entlassen (oder zumindest nachgeschult) - denn da gibt es eigentlich kein vertun.

Achso ja gut dann kannste geschätzt 70-80% der aktuell aktiven Administratoren zumindest in Deutschland direkt entlassen oder deren Nachschulungen koordinieren.

Die Theorie ist die eine Sache die notwendigen Mittel um das ganze auch sauber umzusetzen ist ne andere Geschichte.

Fängt schon bei der Thematik an dass ein Kunde mit 10 Leuten nicht bereit sein wird den gleichen Standard zu fahren wie ein Multikonzern.

Davon mal ab nehmen wir noch die ganzen KMU´s die Ihre IT Jahrzehnte lang stiefmütterlich behandelt haben bzw. es heute immer noch tun.

Zitat von bic

??? Was verstehst Du unter "gekapert"? Kommt eine Client standardmäßig im Normalbetrieb auf einen Server (ob nun mit oder ohne VLan), kommt dies auch eine Schadsoftware, welche sich (wie auch immer) auf dem Client eingenistet hat, desgleichen gilt auch für einen unautorisierten Nutzer, VLans helfen dagegen nicht die Bohne, da müssen andere Schutzkonzepte her.

VLAN´s gehören zum Themenbereich Netzwerksegmentierung und eine Netzwerksegmentierung ist definitiv ein Teil eines umfassenden Sicherheitskonzeptes.

Wenn Mitarbeiterpc´s und Server sich im gleichen Netzwerk befinden hat jeder Eindringling die Chance die Server direkt anzugreifen. Ziehe ich aber zwei VLAN´s auf und lasse aus dem Mitarbeiterbereich nur die notwendigen Ports ins Servernetz zu habe ich die Angriffsmöglichkeiten auf meine Server schonmal stark eingeschränkt.

Du hast im übrigen den gleichen Vergleich mit dem Einkauf und der Lohnbuchhaltung angeführt.

Zitat von bic

Klar, die Kosten Den Meter Cat7 (und die brauchts nicht mal) bekommt man unter einen Euro.. Für den Preis eines Unifi Switchs (mit welchen hier immer so rumgeschmissen wird) bekommt man dann schon 300 - 1500m von dem Zeugs. Klar wird es im Altbau schwierig, aber dann nimmt man halt das Koax (was ja üblicher Weise schon seit Jahrzehnten in den Häusern liegt) und baut mit G.hn-Modems die Verbindung zwischen den Etagen auf. Hier dann je einen 30 Euro Switch (gern gemanagt) als Knoten und fertig ist die strukturierte (Etagen)Verkabelung.

Je größer der Einsatzbereich ist umso höher werden die Kosten. In deiner Ausführung fehlt jeglicher Gedanke daran dass es auch jemand machen muss und dieser jemand bezahlt werden muss. Zusätzlich kommen noch Kosten für evt. Schlitze stemmen, Deckenpanele runterholen und wieder dran machen, etc.

Aktuell gibt es eigentlich kaum noch Argumente die tatsächlich dafür sprechen würden jedes Netz physikalisch getrennt aufzuziehen.

Zitat von .muller

Die einzige Lösung, die ich gefunden habe, ist USG Gateway. Ich werde nächste Woche USG Gateway oder Dream Machine Pro bestellen. Ich hoffe, das hat mein Problem gelöst.

Ich hätte noch mein USG-3-P über falls du Interesse dran hast.