Divisione LAN (wannacry docet)

[orsomannaro]

Ciao a tutti.

Attualmente i PC dell'uffico e i PC che controllano le macchine di produzione sono sulla stessa sottorete 192.168.0.0.

Vorrei portare i secondi su una sottorete dedicata (es. 192.168.1.0) dalla quale devo però poter:

- navigare in Internet
- ricevere interventi in tele-assistenza
- accedere ad alcune cartelle del file server

Ho sempre avuto a che fare con dispositivi tipo PfSense, che separano reti WAN-LAN. In questo caso si tratta di gestire un collegamento LAN-LAN e mi accorgo di non avere le idee chiare su come procedere e su che tipo dispositivo sia giusto utilizzare.

Potete indirizzarmi verso la soluzione corretta?

Grazie per l'aiuto.

[anubbio]

Ciao,
e perché non continuare ad usare pfSense ?

Sul come fare dipende dal dispositivo sul quale hai installato pfSense. Se ha almeno 3 interfacce fisiche ne usi una per la wan e le altre due per le due sottoreti.
Se invece avesse solo 2 interfacce dovresti usarne una per la wan e sulla seconda dovresti far transitare le due sottoreti definendo due vlan per separarle.
Se vuoi chiarirti le idee su questa seconda configurazione googla "router on a stick pfsense": è una configurazione classica ed è anche facile da implementare, vedrai....

Ciao

[orsomannaro]

Grazie anubbio

Se ha almeno 3 interfacce fisiche ne usi una per la wan e le altre due per le due sottoreti.

Se non mi sbaglio, PfSense considera la terza porta come DMZ e quindi da come predefinite alcune impostazioni.

due sottoreti definendo due vlan per separarle

Cerco subito. Pensavo che tra VLAN non si potesse fare routing.


Grazie

[orsomannaro]

perché non continuare ad usare pfSense

Ho visto questo (https://www.netgate.com/products/sg-1000.html)

Se lo usassi per separare la sottorete della produzione creando la LAN 192.168.1.0, a cosa dovrei collegare la sua porta WAN?

Alla LAN degli uffici 192.168.0.0?

O dovrei creare una sottorete 192.168.2.0 alla quale collegare le porte WAN delle due sottoreti e l'internet gateway?

[anubbio]

Se non mi sbaglio, PfSense considera la terza porta come DMZ e quindi da come predefinite alcune impostazioni.

No no.... in pfsense non c'è nessuna preassegnazione, sei tu che assegni in libertà ogni singola interfaccia, quindi se usassi un hardware con 3 porte ne potresti usare una per la wan, e le altre due per ognuna delle sottoreti che hai citato.
Questa sarebbe la situazione più facile da gestire visto che non richiederebbe nulla di particolare lato switch.

Ho visto questo

Con il prodotto SG-1000 che hai linkato dovresti per forza di cose adottare la configurazione "router on a stick" che citavo prima, qui trovi un esempio link (https://www.highlnk.com/2014/06/configuring-vlans-on-pfsense/)
La configurazione è piuttosto facile ma richiede che sulla unica (visto che abbiamo detto ci sarebbero solo due interfacce) porta LAN arrivino ambedue le sottoreti, quindi dovrai farle arrivare come tagged vlan. Per cui questa conf richiede che ci sia a monte uno switch managed....

[orsomannaro]

switch managed....

Attualmente uso la terza interfaccia di PfSense come DMZ, quindi colgo l'occasione per aggiornare lo switch (visto che è ancora un 10/100...).

Posso chiedere un tuo consiglio almeno sul brand?
Da sostenitore del free-software sarei indirizzato verso qualcosa tipo MikroTik... Che mi dici?


Grazie di nuovo.

[orsomannaro]

sarei indirizzato verso qualcosa tipo MikroTik... Che mi dici?.

non mi pare male il CRS125-24G-1S