[Techinfo] Hálószervezés
Aszti Laci
laci.aszti at gmail.com
2017. Jún. 20., K, 16:05:32 CEST
UFF!
Ha Szegeden jársz, söröd van nálam!
Köszönöm, hogy helyettem is gondolkodsz!
Emésztem a leírtakat, s igyekszem majd kikupálódni a kövek alól és továbbá értelmes kérdéseket feltenni! 😉
Szeptemberre kellene átszerveznem a hálót.
Köszönettel,
Aszti Laci
-----Original Message-----
From: techinfo-bounces at lista.sulinet.hu [mailto:techinfo-bounces at lista.sulinet.hu] On Behalf Of ka at mayten.sch.bme.hu
Sent: Tuesday, June 20, 2017 3:51 PM
To: Techinfo <techinfo at lista.sulinet.hu>
Subject: Re: [Techinfo] Hálószervezés
On 2017-06-20 14:09, Aszti Laci wrote:
> Üdv!
> Hogy mit szeretnék megvalósítani? Szeretnék négy szegmenst (1.Tanulók,
> 2.tanárok-dolgozók, 3.webkamerák stb, 4."nyilt" wifi) úgy, hogy ne
> lássák egymást, bár legyen a tanárok által írható és a tanulók által
> olvasható közös tárhely. Tanulók felé korlátozható Internetsávszél.
>
szoval szegmens alatt ugye egymastol izolalt halozatokat ertunk ('ne lassak egymast'), azaz negy vlan-t, negy ip cim tartomannyal, igaz?
csak azert, hogy ugyanabban a csonakban ulunk-e.
ha igen, akkor az a negy az gondolom valojaban hat, nem? mert gondolom a szervereket a szerverek halozati tartomanyaba teszed, hiszen a felsorolt negy kozul egyikbe sem passzol, igaz? valamint az internet kijarat maga is egy onallo tartomany, amivel legalabb ossze kell kotni a fenti negyet (otot).
akkor ezek szerint rendelkezesedre allnak a megfelelo eszkozok is, ugy mint vlan kepes switchek, esetleg multilayer switch, vagy router, tuzfal, esetleg pc, mikrotik, vagy barmilyen mas atjaro funkciot ellatni tudo vas, amivel egyetlen es kontrollalt atjarast tudsz biztositani.
ha pedig ez mind igy van, hiszen az eredeti leveledben mar csak az utolso lepesre erkezett kerdes (milyen ip cim legyen, illetve az admin gep belogjon-e minden szegmensbe).
az ip cimeket nem hasra, hanem cimzesi terv alapjan szoktak kiosztani.
azaz neked kell tudnod mekkora igenyre kell felkeszulni. hany vegpont van most, ezeknek egyenkent hany ip cimre lehet szukseguk, mekkora bovules varhato, mennyi egyideju felhasznalo varhato.
nezzunk egy peldat.
a diakok szama viszonylag adott es nem nagyon fog valtozni gondolom, hacsak nem egyesultok valami mas iskolaval. gondolom ma mar minden diaknak van okostelefonja es a biztonsag kedveert tabletje is. raadasul a diakok mind egy idoben vannak az iskolaban, mert nem jar be senki ejjel.
szoval mondjuk szaz diaknal fejeknent ket IP cim a minimum. De ugye hozhatnak meg laptopot is, tehat legyen inkabb harom a biztonsag kedveert. Ez haromszaz. Ez tehat az abszolut minimum. Mi van azonban, ha mind a szaz gyereknek van laptopja, amiben van vezetekes es vezetek nelkuli eleres is. Ez ugye plusz szaz IP cim akkor, ha szeretnel minden mac-hez fixen IP-t rendelni mondjuk dhcp-bol. Es nem plusz szaz IP cim, ha biztos vagy benne, hogy nincs ilyen igeny, tovabba, hogy nem fog egyszerre vezetekes es vezetek nelkuli modon csatlakozni egy notebook sem.
Biztos ami biztos, legyen negyszaz. A negyszaz nem kerek szam. Az 512 a kerek szam. Igy tehat egy /23 valaszthato a diakoknak ugy, hogy meg marad durvan szaz ip cim tartaleknak. Szaz diaknal ez elegenro rahagyas, mindenki hozhat megegy telefont, szoval elegnek tunik. Ezt most akkor tegyuk felre.
latogatoi wifi.
Nyilvan itt is peak-re kell tervezni. Kik hasznaljak majd? Latogatok.
Mikor lesz sok latogato egyszerre? Iskolai unnepsegeken. Hany latogato lehet, ugy kabe? Minden gyerekhez ket szulo, egy testver, ket nagyszulo, ugy atlagban, azaz szaz gyerekre otszaz latogato, mondjuk.
512 erre kevesnek tunik, igy ugrunk a kovetkezo ketto hatvanyra, ami 1024, azaz a latogatoi wifinek szaz gyerek melle egy /22 halozat elegnek tunik, mivel ez ketszer annyi ip cimet tartalmaz, mint a realisan varhato maximalis latogatok szama. Tegyuk ezt is felre.
tanarok-dolgozok
ez is egy viszonylag konnyen beazonosithato halmaz. mondjuk legyenek ok otvenen, csak az egyszeruseg kedveert, takkertol es kertesztol igazgatoig mindenki. Nyilvan az igazgatonak mondjuk asztali gep, notebook, telefon, tablet, esetleg iskolai tablet, iskolai telefon ('ceges'), iskolai notebook, azaz realisan varhato, hogy neki kilenc ip cimre lesz szuksege, amit egyebkent egyidejuleg is akarhat hasznalni.
Nyilvan egy kertesznek meg mondjuk van telefonja aztan kesz, o kapalni jar oda, nem netezni. Szoval ha atlagban tervezel 5 cimmel, nagyon nem losz melle. Ez ugye otven alkalmazottal ketszazotven IP cim. Ha akarod duplazod, ha nem akarod nem, maradjunk egy /24-nel, ami ugye 256 cimet jelent.
webkamera, egyebek, peldaul kihelyezett munkaallomasok, gepek termekben, tevere kepet kuldo mini pecek, logisztikai tartomany, ezt te tudod mennyi van. Legyen ez egy /25.
Szerverek: legyen mondjuk ez is egy /25, ebbe csak belefersz, nem szerverfarm az iskola.
No, akkor a kovetkezo listahoz jutottunk.
latogatoi wifi - /22
diakok /23
tanarok dolgozok - /24
kamerak es egyebek - /25
szerverek - /25
Akkor nezzuk hogyan kene ebbol mondjuk egy cimzesi tervet krealni.
Peldaul elindulunk a legaljatol, azt mondva:
10.0.0.0/21 - latogatoi wifi + tartalek, amibol
10.0.0.0/22 - latogatoi wifi
10.0.4.0/22 - latogatoi wifi fenntartott bovulesre
10.0.8.0/22 - diakok + tartalek, amibol
10.0.8.0/23 - diakok
10.0.10.0/23 - diakok fenntartott bovulesre
10.0.12.0/23 - tanarok dolgozok + tartalek, amibol
10.0.12.0/24 - tanarok dolgozok
10.0.13.0/24 - fenntartott bovulesre
10.0.14.0/23 - egyebek, amibol
10.0.14.0/25 - webkamera es egyebek
10.0.14.128/25 - webkamera es egyebek fenntartott
10.0.15.0/25 - szerverek
10.0.15.128/25 - szerverek fenntartott
A teljes halozat pedig leirhato a 10.0.0.0/20 jelolessel.
Mi az elonye ennek? A hatekonysag.
A tuzfalazasnal es a routingnal olyan szabalyokat tudsz csinalni, hogy peldaul blokkoljuk a 10.0.0.0/21 -et mindenhonnan, csak az internetre engeded ki - ez leirta az osszes latogatot eleg tomoren es hatekonyan.
Egyszoval minden logikai funkciora tuzfal szabalyban vagy routing bejegyzesben tudsz hivatkozni egyszeruen es tomoren.
Szoval egy elkepzelt szaz fos iskolara en valahogy igy terveznek ip cimzest, nyilvan ezt adoptalni kell az egyedi korulmenyeidre tekintettel.
Amennyiben nem tudsz minden kello pontossaggal megbecsulni a jovore nezve, bevett gyakorlat lukakat hagyni a cimzesi tervben. Peldaul a wifi tartomany vegeter, meg a bovitesre fenntartott resszel egyutt is
10.0.7.255 -nel, akkor a kovetkezo, diakok tartomanyt nem 10.0.8.0 -tol kezded, hanem mondjuk 10.0.12.0 -tol, azert, hogy 10.0.15.255 -re befejezodjon es 16-tol kezdodhessen a kovetkezo.
Igy hagytal egy 1024 ip cimes lukat a cimzesi tervedben ami jol johet amikor realizalod, hogy miket feleljtettel ki korabban.
Nalam ez ugy szokott menni, hogy a kulonbozo tartomanyok raadasul kulonbozo RFC zonakbol kerulnek kiosztasra, igy mar ranezesre tudom, hogy ami 172 kezdetu belso cim, az csak wifi lehet, bar meg nem tudom melyik epuletben, a 192.168 kezdetu az csak szerver lehet, es igy tovabb. Igy kevesebb dolgot kell fejben tartani.
udv
adam
> //az egyik követ sikerült félrelöknöm, onnan írok most 😉
>
> Köszönettel,
> Aszti Laci
>
> -----Original Message-----
> From: techinfo-bounces at lista.sulinet.hu
> [mailto:techinfo-bounces at lista.sulinet.hu] On Behalf Of
> ka at mayten.sch.bme.hu
> Sent: Tuesday, June 20, 2017 12:57 PM
> To: Techinfo <techinfo at lista.sulinet.hu>
> Subject: Re: [Techinfo] Hálószervezés
>
>
> Szia,
>
> ha kimasztal a kovek alol, akkor folytassuk:
>
>> Adott, (pillanatnyilag) több szegmensű háló (pl. 10.20.x.x, 10.30.x.x,
>> 10.40.x.x stb. mind /16) és az ADMIN gépe(m).
>>
>> Kérdés (kövezzetek meg a tudatlanságomért!):
>>
>> mi a jobb megoldás:
>>
>> * Admin gépen az egy ETH portnak minden szegmensbe definiált IP cím?
>
> kezdjuk az alapokkal. miert kellene az admin gepnek kozvetlen
> interfesz minden halozatba?
>
> altalanossagban, ha egy gepnek minden halozatba van interfesze akkor o
> atjaro is tud lenni kozottuk. ez nem feltetlenul jo dolog.
>
>
>> * Vagy egy IP cím és /8 ?
>
> Eloszor is, tegyuk tisztaba az alapokat.
>
> Nem kell /8. Ha mar ilyen megoldason torod a fejed, akkor sem kell /8,
> mert a 10.0-10.64 lefedheto egy /10 -zel, azaz 10.0.0.0/10 pontosan
> eleg. Ugye ha mar butasagot akarunk csinalni, legalabb csinaljuk
> helyesen.
>
> Amugy ha mar itt tartunk, szerencsesebb lenne kerek szamokkal elnevezni
> a halozatokat, 10.20, 30 es 40 helyett peldaul 10.8, 10.16 es 10.24
> peldaul, mert ugye informatikaban a kerek szamok ketto hatvanyok, nem
> pedig a tiz hatvanyok.
>
>> * Vagy egy szegmensű háló és VLAN-ba szervezni a csoportokat.
>>
>
> Ebben a mondatban nem teljesen ertem, szamodra mi a kulonbseg a vlanok
> es a szegmensek kozott? merthogy normalis esetben a vlanok onallo ip
> tartomanyokkal is szoktak birni, es szoktak oket pongyolan szegmensnek
> hivni.
>
> Ha jeleglen egyetlen vlan van es azon vegyes ip tartomanyokat
> hasznalsz,
> annak semmi ertelme, mivel barmelyik gepen atallitva az ip cimzest, mar
> reszese is lett annak a halozatnak. Ha tobb vlan-t akarsz, vagy van,
> akkor azon nem fogsz tudni egyetlen ip tartomanyt hasznalni, mert
> ezeket
> a vlanokat valahol ossze kell majd kotni atjaras miatt, az atjaronak
> pedig nem lehet egynel tobb route-olt interfesze ugyanazon ip cimmel.
>
> Ha szegmentalsz, akkor annak a lenyege az izolacio. Ha ugy
> szegmentalsz, hogy minden egy vlanban van, akkor az izolacio nem
> valosul
> meg, ergo semmi ertelme ennyi ip tartomanyt hasznalni.
>
> Ugy gondolom forditva ulsz a lovon. Ahelyett, hogy bedobnad, hogy az
> elso, a masodik, vagy a harmadik megoldas a jobb, eloszor szerintem
> mondd el, mi a feladat, amit szeretnel megvalositani es miert?
>
> udv
> adam
>
> _______________________________________________
> Techinfo mailing list
> Techinfo at lista.sulinet.hu
> Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo
> Illemtan: http://www.szag.hu/illemtan.html
> Ügyfélszolgálat FAQ: http://sulinet.niif.hu/
>
> _______________________________________________
> Techinfo mailing list
> Techinfo at lista.sulinet.hu
> Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo
> Illemtan: http://www.szag.hu/illemtan.html
> Ügyfélszolgálat FAQ: http://sulinet.niif.hu/
_______________________________________________
Techinfo mailing list
Techinfo at lista.sulinet.hu
Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo
Illemtan: http://www.szag.hu/illemtan.html
Ügyfélszolgálat FAQ: http://sulinet.niif.hu/
További információk a(z) Techinfo levelezőlistáról