[Techinfo] Hálószervezés
ka at mayten.sch.bme.hu
ka at mayten.sch.bme.hu
2017. Jún. 20., K, 15:51:12 CEST
On 2017-06-20 14:09, Aszti Laci wrote:
> Üdv!
> Hogy mit szeretnék megvalósítani? Szeretnék négy szegmenst (1.Tanulók,
> 2.tanárok-dolgozók, 3.webkamerák stb, 4."nyilt" wifi) úgy, hogy ne
> lássák egymást, bár legyen a tanárok által írható és a tanulók által
> olvasható közös tárhely. Tanulók felé korlátozható Internetsávszél.
>
szoval szegmens alatt ugye egymastol izolalt halozatokat ertunk ('ne
lassak egymast'), azaz negy vlan-t, negy ip cim tartomannyal, igaz?
csak azert, hogy ugyanabban a csonakban ulunk-e.
ha igen, akkor az a negy az gondolom valojaban hat, nem? mert gondolom
a szervereket a szerverek halozati tartomanyaba teszed, hiszen a
felsorolt negy kozul egyikbe sem passzol, igaz? valamint az internet
kijarat maga is egy onallo tartomany, amivel legalabb ossze kell kotni a
fenti negyet (otot).
akkor ezek szerint rendelkezesedre allnak a megfelelo eszkozok is, ugy
mint vlan kepes switchek, esetleg multilayer switch, vagy router,
tuzfal, esetleg pc, mikrotik, vagy barmilyen mas atjaro funkciot ellatni
tudo vas, amivel egyetlen es kontrollalt atjarast tudsz biztositani.
ha pedig ez mind igy van, hiszen az eredeti leveledben mar csak az
utolso lepesre erkezett kerdes (milyen ip cim legyen, illetve az admin
gep belogjon-e minden szegmensbe).
az ip cimeket nem hasra, hanem cimzesi terv alapjan szoktak kiosztani.
azaz neked kell tudnod mekkora igenyre kell felkeszulni. hany vegpont
van most, ezeknek egyenkent hany ip cimre lehet szukseguk, mekkora
bovules varhato, mennyi egyideju felhasznalo varhato.
nezzunk egy peldat.
a diakok szama viszonylag adott es nem nagyon fog valtozni gondolom,
hacsak nem egyesultok valami mas iskolaval. gondolom ma mar minden
diaknak van okostelefonja es a biztonsag kedveert tabletje is. raadasul
a diakok mind egy idoben vannak az iskolaban, mert nem jar be senki
ejjel.
szoval mondjuk szaz diaknal fejeknent ket IP cim a minimum. De ugye
hozhatnak meg laptopot is, tehat legyen inkabb harom a biztonsag
kedveert. Ez haromszaz. Ez tehat az abszolut minimum. Mi van azonban,
ha mind a szaz gyereknek van laptopja, amiben van vezetekes es vezetek
nelkuli eleres is. Ez ugye plusz szaz IP cim akkor, ha szeretnel minden
mac-hez fixen IP-t rendelni mondjuk dhcp-bol. Es nem plusz szaz IP cim,
ha biztos vagy benne, hogy nincs ilyen igeny, tovabba, hogy nem fog
egyszerre vezetekes es vezetek nelkuli modon csatlakozni egy notebook
sem.
Biztos ami biztos, legyen negyszaz. A negyszaz nem kerek szam. Az 512
a kerek szam. Igy tehat egy /23 valaszthato a diakoknak ugy, hogy meg
marad durvan szaz ip cim tartaleknak. Szaz diaknal ez elegenro
rahagyas, mindenki hozhat megegy telefont, szoval elegnek tunik. Ezt
most akkor tegyuk felre.
latogatoi wifi.
Nyilvan itt is peak-re kell tervezni. Kik hasznaljak majd? Latogatok.
Mikor lesz sok latogato egyszerre? Iskolai unnepsegeken. Hany latogato
lehet, ugy kabe? Minden gyerekhez ket szulo, egy testver, ket
nagyszulo, ugy atlagban, azaz szaz gyerekre otszaz latogato, mondjuk.
512 erre kevesnek tunik, igy ugrunk a kovetkezo ketto hatvanyra, ami
1024, azaz a latogatoi wifinek szaz gyerek melle egy /22 halozat elegnek
tunik, mivel ez ketszer annyi ip cimet tartalmaz, mint a realisan
varhato maximalis latogatok szama. Tegyuk ezt is felre.
tanarok-dolgozok
ez is egy viszonylag konnyen beazonosithato halmaz. mondjuk legyenek ok
otvenen, csak az egyszeruseg kedveert, takkertol es kertesztol
igazgatoig mindenki. Nyilvan az igazgatonak mondjuk asztali gep,
notebook, telefon, tablet, esetleg iskolai tablet, iskolai telefon
('ceges'), iskolai notebook, azaz realisan varhato, hogy neki kilenc ip
cimre lesz szuksege, amit egyebkent egyidejuleg is akarhat hasznalni.
Nyilvan egy kertesznek meg mondjuk van telefonja aztan kesz, o kapalni
jar oda, nem netezni. Szoval ha atlagban tervezel 5 cimmel, nagyon nem
losz melle. Ez ugye otven alkalmazottal ketszazotven IP cim. Ha akarod
duplazod, ha nem akarod nem, maradjunk egy /24-nel, ami ugye 256 cimet
jelent.
webkamera, egyebek, peldaul kihelyezett munkaallomasok, gepek termekben,
tevere kepet kuldo mini pecek, logisztikai tartomany, ezt te tudod
mennyi van. Legyen ez egy /25.
Szerverek: legyen mondjuk ez is egy /25, ebbe csak belefersz, nem
szerverfarm az iskola.
No, akkor a kovetkezo listahoz jutottunk.
latogatoi wifi - /22
diakok /23
tanarok dolgozok - /24
kamerak es egyebek - /25
szerverek - /25
Akkor nezzuk hogyan kene ebbol mondjuk egy cimzesi tervet krealni.
Peldaul elindulunk a legaljatol, azt mondva:
10.0.0.0/21 - latogatoi wifi + tartalek, amibol
10.0.0.0/22 - latogatoi wifi
10.0.4.0/22 - latogatoi wifi fenntartott bovulesre
10.0.8.0/22 - diakok + tartalek, amibol
10.0.8.0/23 - diakok
10.0.10.0/23 - diakok fenntartott bovulesre
10.0.12.0/23 - tanarok dolgozok + tartalek, amibol
10.0.12.0/24 - tanarok dolgozok
10.0.13.0/24 - fenntartott bovulesre
10.0.14.0/23 - egyebek, amibol
10.0.14.0/25 - webkamera es egyebek
10.0.14.128/25 - webkamera es egyebek fenntartott
10.0.15.0/25 - szerverek
10.0.15.128/25 - szerverek fenntartott
A teljes halozat pedig leirhato a 10.0.0.0/20 jelolessel.
Mi az elonye ennek? A hatekonysag.
A tuzfalazasnal es a routingnal olyan szabalyokat tudsz csinalni, hogy
peldaul blokkoljuk a 10.0.0.0/21 -et mindenhonnan, csak az internetre
engeded ki - ez leirta az osszes latogatot eleg tomoren es hatekonyan.
Egyszoval minden logikai funkciora tuzfal szabalyban vagy routing
bejegyzesben tudsz hivatkozni egyszeruen es tomoren.
Szoval egy elkepzelt szaz fos iskolara en valahogy igy terveznek ip
cimzest, nyilvan ezt adoptalni kell az egyedi korulmenyeidre
tekintettel.
Amennyiben nem tudsz minden kello pontossaggal megbecsulni a jovore
nezve, bevett gyakorlat lukakat hagyni a cimzesi tervben. Peldaul a
wifi tartomany vegeter, meg a bovitesre fenntartott resszel egyutt is
10.0.7.255 -nel, akkor a kovetkezo, diakok tartomanyt nem 10.0.8.0 -tol
kezded, hanem mondjuk 10.0.12.0 -tol, azert, hogy 10.0.15.255 -re
befejezodjon es 16-tol kezdodhessen a kovetkezo.
Igy hagytal egy 1024 ip cimes lukat a cimzesi tervedben ami jol johet
amikor realizalod, hogy miket feleljtettel ki korabban.
Nalam ez ugy szokott menni, hogy a kulonbozo tartomanyok raadasul
kulonbozo RFC zonakbol kerulnek kiosztasra, igy mar ranezesre tudom,
hogy ami 172 kezdetu belso cim, az csak wifi lehet, bar meg nem tudom
melyik epuletben, a 192.168 kezdetu az csak szerver lehet, es igy
tovabb. Igy kevesebb dolgot kell fejben tartani.
udv
adam
> //az egyik követ sikerült félrelöknöm, onnan írok most 😉
>
> Köszönettel,
> Aszti Laci
>
> -----Original Message-----
> From: techinfo-bounces at lista.sulinet.hu
> [mailto:techinfo-bounces at lista.sulinet.hu] On Behalf Of
> ka at mayten.sch.bme.hu
> Sent: Tuesday, June 20, 2017 12:57 PM
> To: Techinfo <techinfo at lista.sulinet.hu>
> Subject: Re: [Techinfo] Hálószervezés
>
>
> Szia,
>
> ha kimasztal a kovek alol, akkor folytassuk:
>
>> Adott, (pillanatnyilag) több szegmensű háló (pl. 10.20.x.x, 10.30.x.x,
>> 10.40.x.x stb. mind /16) és az ADMIN gépe(m).
>>
>> Kérdés (kövezzetek meg a tudatlanságomért!):
>>
>> mi a jobb megoldás:
>>
>> * Admin gépen az egy ETH portnak minden szegmensbe definiált IP cím?
>
> kezdjuk az alapokkal. miert kellene az admin gepnek kozvetlen
> interfesz minden halozatba?
>
> altalanossagban, ha egy gepnek minden halozatba van interfesze akkor o
> atjaro is tud lenni kozottuk. ez nem feltetlenul jo dolog.
>
>
>> * Vagy egy IP cím és /8 ?
>
> Eloszor is, tegyuk tisztaba az alapokat.
>
> Nem kell /8. Ha mar ilyen megoldason torod a fejed, akkor sem kell /8,
> mert a 10.0-10.64 lefedheto egy /10 -zel, azaz 10.0.0.0/10 pontosan
> eleg. Ugye ha mar butasagot akarunk csinalni, legalabb csinaljuk
> helyesen.
>
> Amugy ha mar itt tartunk, szerencsesebb lenne kerek szamokkal elnevezni
> a halozatokat, 10.20, 30 es 40 helyett peldaul 10.8, 10.16 es 10.24
> peldaul, mert ugye informatikaban a kerek szamok ketto hatvanyok, nem
> pedig a tiz hatvanyok.
>
>> * Vagy egy szegmensű háló és VLAN-ba szervezni a csoportokat.
>>
>
> Ebben a mondatban nem teljesen ertem, szamodra mi a kulonbseg a vlanok
> es a szegmensek kozott? merthogy normalis esetben a vlanok onallo ip
> tartomanyokkal is szoktak birni, es szoktak oket pongyolan szegmensnek
> hivni.
>
> Ha jeleglen egyetlen vlan van es azon vegyes ip tartomanyokat
> hasznalsz,
> annak semmi ertelme, mivel barmelyik gepen atallitva az ip cimzest, mar
> reszese is lett annak a halozatnak. Ha tobb vlan-t akarsz, vagy van,
> akkor azon nem fogsz tudni egyetlen ip tartomanyt hasznalni, mert
> ezeket
> a vlanokat valahol ossze kell majd kotni atjaras miatt, az atjaronak
> pedig nem lehet egynel tobb route-olt interfesze ugyanazon ip cimmel.
>
> Ha szegmentalsz, akkor annak a lenyege az izolacio. Ha ugy
> szegmentalsz, hogy minden egy vlanban van, akkor az izolacio nem
> valosul
> meg, ergo semmi ertelme ennyi ip tartomanyt hasznalni.
>
> Ugy gondolom forditva ulsz a lovon. Ahelyett, hogy bedobnad, hogy az
> elso, a masodik, vagy a harmadik megoldas a jobb, eloszor szerintem
> mondd el, mi a feladat, amit szeretnel megvalositani es miert?
>
> udv
> adam
>
> _______________________________________________
> Techinfo mailing list
> Techinfo at lista.sulinet.hu
> Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo
> Illemtan: http://www.szag.hu/illemtan.html
> Ügyfélszolgálat FAQ: http://sulinet.niif.hu/
>
> _______________________________________________
> Techinfo mailing list
> Techinfo at lista.sulinet.hu
> Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo
> Illemtan: http://www.szag.hu/illemtan.html
> Ügyfélszolgálat FAQ: http://sulinet.niif.hu/
További információk a(z) Techinfo levelezőlistáról