Segmentazione rete

Shang Tsung · 26-11-2007, 12:03

Salve a tutti spiego il mio obiettivo: dovrei segmentare una rete.
Diciamo che ci sono più switch (diciamo 5), più uno centrale.
Poi un server, e dierto gli switch altri computer, chiaramente.
Ora vorrei segmentare la rete ma i problemi sono parecchi: nessuno switch è gestito; nel server ho al massimo 3 schede di rete.
In poche parole vorrei che ogni rete non possa andare nelle altre reti.

Allora avevo pensato ad una soluzione come questa (ovviamente il top sarebbe stato avere 5 schede di rete sul server o uno switch gestibile o tutti e 2

)

In pratica sul server farei degli alias delle interfacce di rete, in pratica eth1 si "sdoppia" e risponde sia alla rete 192.168.2.0 e 192.168.3.0, stessa cosa per eth2 che risponde per 192.168.4.0 e 192.168.5.0

Poi attraverso regole di firewall nego alle varie reti di vedersi l'un l'altra.

Lo switch puo' avere problemi/supporta una configurazione del genere?

Comunque i piu' attenti avranno visto che c'è un però: se un pc di una rete si da un altro indirizzo ip di un'altra delle 5 reti esistenti, ecco superato il firewall, dato che tutto arriva allo swith dove ci sono gli "arrivi" di tutte le reti.

Quindi le domande sono:

1) Lo switch puo' avere problemi/supporta una configurazione del genere?
2) Come posso segmentare la rete con quello che dispongo per impedire che una pc possa andare da un posto all'altro?

Grazie.

PS: la direzione delle frecce è puramente casuale, non significa una direzione (chiaramente è una freccia bidirezionale

)

hmetal · 26-11-2007, 12:24

Quote:

Lo switch puo' avere problemi/supporta una configurazione del genere?

si si funziona perche lui funziona a livello mac (già fatto e provato)

Quote:

1) Lo switch puo' avere problemi/supporta una configurazione del genere?
2) Come posso segmentare la rete con quello che dispongo per impedire che una pc possa andare da un posto all'altro?

1) quindi no
2) boh ci sono diversi approcci al problema. COn roba tipo ipcop puoi gestire il traffico tra piu schede di rete (Anche in lan ovviante) ma dovresti avere una sceda per rete.
Potresti assegnare diversi ip sulla stessa di rete ma credo non ci sia modo (credo non lo so) di filtrare il traffico in questo modo.

Oppure usi le vlan e ci sono apparati in gradi di filtrare, fare routing (inter-Vlan routing) e gestire regole tra le vlan. Ma mi sa che con quello che hai non puoi farlo

ciao

Shang Tsung · 26-11-2007, 12:29

Grazie per avermi risposto.
a livello di firewall sul server nessun problema, ma appunto il problema è che non posso fare vlan / gestire gli switch etc quindi anche se io faccio regole etc sia su ip o su mac; se un pc di una delle reti se lo cambia mi "bypassa" completamente

Cosa intendi esattamente"
Potresti assegnare diversi ip sulla stessa di rete ma credo non ci sia modo (credo non lo so) di filtrare il traffico in questo modo."???

Rottweiler · 26-11-2007, 18:20

ma il server cosa fa? Che sistema operativo usa?

Mischiare le reti così nello switch funziona, ma non si fa.. non si fa proprio.

Ma le reti non si devono vedere in che termine?

Shang Tsung · 26-11-2007, 20:30

Quote:

Originariamente inviato da Rottweiler

ma il server cosa fa? Che sistema operativo usa?

Mischiare le reti così nello switch funziona, ma non si fa.. non si fa proprio.

Ma le reti non si devono vedere in che termine?

Ciao, il server è GNU/Linux, fa da samba/firewall, perchè dici che non si fa proprio?

Inoltre, come posso risolvere, appunto, le problematiche che ho esposto?

Non si devono vedere nel senso che, per esempio, un computer della rete 192.168.1.0/24 non deve vedere/andare/amministrare etc computer di un'altra rete.

Ilpastore · 26-11-2007, 22:23

Quote:

Originariamente inviato da Shang Tsung

Ciao, il server è GNU/Linux, fa da samba/firewall, perchè dici che non si fa proprio?

Inoltre, come posso risolvere, appunto, le problematiche che ho esposto?

Non si devono vedere nel senso che, per esempio, un computer della rete 192.168.1.0/24 non deve vedere/andare/amministrare etc computer di un'altra rete.

bah, a volo io farei una cosa... anche se non ho capito bene la situazione in cui ti trovi:

metterei 5 router, dietro i 5 switch, in modo tale che dai la seguente configurazione:

Server con solo una ethernet, e gli dai ad esempio 192.168.254.1

rete 1) -all'interno della rete 1, al router gli dai all'interfaccia lan 192.168.1.254, mentre alla wan 192.168.254.2

rete 2) -all'interno della rete 2, al router gli dai in lan 192.168.2.254, mentre la wan sarà 192.168.254.3

ecc....

quindi in riassunto hai le tue reti (sottoreti 192.168.1.0/24, 192.168.2.0/24...) ognuna per fatti propri ed ognuna col suo router "in uscita", poi su ogni router crei la regola che in ingresso, come dici tu, "NON SI VEDANO".

spero di essermi spiegato

p.s. se poi al posto di ogni router, riesci a mettere dei veri e propri firewall sarebbe il massimo (esempio ZyWALL2)

Rottweiler · 26-11-2007, 22:25

tutto quello che è sotto il layer 3 viene mischiato (per esempio arp icmp igmp ip ecc..) segmentare serve sopratutto per gestire i problemi di rete.
Secondo me se vuoi fare una cosa fatta bene non è questa la vita.
Sopratutto perché dal punto di vista della sicurezza non risolveresti niente che non potresti fare semplicemente con l'autenticazione.
Se vuoi segmentare con un solo apparecchio o questo ti permette di farlo (o uno switch gestito, o un router..) o faresti meglio a concentrare i tuoi sforzi a migliorare altre cose, come l'autenticazione in samba, facendo per esempio una directory ldap su cui autenticare utenti e/o macchine.

Ilpastore · 26-11-2007, 22:32

Quote:

Originariamente inviato da Rottweiler

tutto quello che è sotto il layer 3 viene mischiato (per esempio arp icmp igmp ip ecc..) segmentare serve sopratutto per gestire i problemi di rete.
Secondo me se vuoi fare una cosa fatta bene non è questa la vita.
Sopratutto perché dal punto di vista della sicurezza non risolveresti niente che non potresti fare semplicemente con l'autenticazione.
Se vuoi segmentare con un solo apparecchio o questo ti permette di farlo (o uno switch gestito, o un router..) o faresti meglio a concentrare i tuoi sforzi a migliorare altre cose, come l'autenticazione in samba, facendo per esempio una directory ldap su cui autenticare utenti e/o macchine.

non ti seguo...

Rottweiler · 26-11-2007, 22:49

la mia non era risposta al tuo post, ma al perché non si mischiano le reti negli switch.. scusa ma è arrivato prima il tuo messaggio, in effetti non si capisce..

Ilpastore · 26-11-2007, 23:01

Quote:

Originariamente inviato da Rottweiler

la mia non era risposta al tuo post, ma al perché non si mischiano le reti negli switch.. scusa ma è arrivato prima il tuo messaggio, in effetti non si capisce..

si... praticamente come ce li ha/hai adesso nessuno ti garantisce la sicurezza... tutto è in bridge!

fai routing, per favore, e non mi far vedere quello scempio!

Rottweiler · 26-11-2007, 23:09

Shang Tsung,
la soluzione ideale è fare le vlan, il routing solo in caso di rete grande (senza contare che è più costoso).

una cosa per il pastore, i firewall (anche quelli piccolini come lo zywall 2) non vanno bene per queste cose ci sono i router

)

Ilpastore · 26-11-2007, 23:15

Quote:

Originariamente inviato da Rottweiler

Shang Tsung,
la soluzione ideale è fare le vlan, il routing solo in caso di rete grande (senza contare che è più costoso).

una cosa per il pastore, i firewall (anche quelli piccolini come lo zywall 2) non vanno bene per queste cose ci sono i router

)

più costoso? si e no.. 5 router tranquilli li prendi a 30 l'uno, uno switch managed per le vlan cosa sicuramente più di 200....
router... beh si e no... meglio un firewall...

a lui servono più regole di firewalling tra le varie reti da quello che ho capito, più che routing e basta.....
ognimodo, la soluzione migliore è lo switch layer 2/3...

Shang Tsung · 26-11-2007, 23:31

Ragazzi grazie di cuore a tutti per le risposte, davvero.

Allora, il mio problema è farcela con le cose che possiedono (purtroppo), ecco il perchè dei miei escamotage, infatti come avevo detto sarebbe bastato avere uno switch managed, direi, giusto?

Invece il mio problema è riuscire a segmentare con le cose che ci sono attualmente, e anche la soluzione da me proposta, come ho gia scritto, serve poco perchè se uno si cambia l'ip o il mac...

Quindi tutti mi confermate che non c'è modo di fare quello che avrei in mente con il materiale a disposizione?

E tutti confermate che basterebbe o uno switch managed per segmentare le reti o un router per ogni rete?

Shang Tsung · 26-11-2007, 23:35

Quote:

Originariamente inviato da Ilpastore

5 router tranquilli li prendi a 30 l'uno

E' vero? hai dei link? mi sembra veramente pochissimo

Shang Tsung · 26-11-2007, 23:39

spero che non sia contro il regolamento:

cosa ne dite di questo?

è nella categoria che dell mette come Switch gestiti tramite Web

http://www1.euro.dell.com/content/pr...dt1&l=it&s=bsd

cliccate poi nella linguetta specifiche.

Ilpastore · 27-11-2007, 13:50

Quote:

Originariamente inviato da Shang Tsung

spero che non sia contro il regolamento:

cosa ne dite di questo?

è nella categoria che dell mette come Switch gestiti tramite Web

http://www1.euro.dell.com/content/pr...dt1&l=it&s=bsd

cliccate poi nella linguetta specifiche.

ci può stare come prezzo.... MA....
alla fine 129 euro + iva per 8 porte è una schifezza direi....
cioè se oggi o domani te ne servono 9? oppure 10??? otto porte le riempi facili...
io direi che almeno gli switch gestibili devono essere da 24... (poi a seconda dei casi..)
router a 30 euri ne trovi e come.... ti giro qualche link a volo

http://www.nilox.com/?bot=9&id_sched...rking&des=Adsl 30 euro circa...
http://www.usr.com/images/products/p...=8004&loc=itly 40 euro circa..
http://www.pmistore.it/frontend/sche...DIR-100&m=0034 30 euro circa...

molto meglio con quelli direi... e alla fine con 150 euro sei a cavallo... poi in un secondo momento prenderei lo switch layer2/3 da 24porte..

Shang Tsung · 27-11-2007, 19:25

Quote:

Originariamente inviato da Ilpastore

ci può stare come prezzo.... MA....
alla fine 129 euro + iva per 8 porte è una schifezza direi....
cioè se oggi o domani te ne servono 9? oppure 10??? otto porte le riempi facili...
io direi che almeno gli switch gestibili devono essere da 24... (poi a seconda dei casi..)
router a 30 euri ne trovi e come.... ti giro qualche link a volo

http://www.nilox.com/?bot=9&id_sched...rking&des=Adsl 30 euro circa...
http://www.usr.com/images/products/p...=8004&loc=itly 40 euro circa..
http://www.pmistore.it/frontend/sche...DIR-100&m=0034 30 euro circa...

molto meglio con quelli direi... e alla fine con 150 euro sei a cavallo... poi in un secondo momento prenderei lo switch layer2/3 da 24porte..

Di nuovo grazie; non pensavo costassero cosi' poco, ma saranno di qualità (non perchè costano poco, sia chiaro, come nome dei tre che mi hai indicato conosco solo l'usr)?

Condivido il discorso della limitatezza delle 8 porte, ed infatti pure io andrei almeno sulle 16, ma ahimè non posso decidere io quanti soldini fare investire

Trovo tuttavia piu' elegante la soluzione dello switch managed.

Ne approfitto per chiedere una cosa, sicuramente super banale per voi: (Scusate ma non sono un'espertone di vlan) mi è sorto un dubbio...posso fare una vlan su singola porta vero? non ne devo per forza utilizzare piu' di una vero? perchè in tutti gli esempi che ho visto utilizzavano piu' porte a cui facevano formare una vlan

Grazie.

26-11-2007, 12:03	#1
Shang Tsung Senior Member Iscritto dal: Jun 2003 Messaggi: 1468	Segmentazione rete Salve a tutti spiego il mio obiettivo: dovrei segmentare una rete. Diciamo che ci sono più switch (diciamo 5), più uno centrale. Poi un server, e dierto gli switch altri computer, chiaramente. Ora vorrei segmentare la rete ma i problemi sono parecchi: nessuno switch è gestito; nel server ho al massimo 3 schede di rete. In poche parole vorrei che ogni rete non possa andare nelle altre reti. Allora avevo pensato ad una soluzione come questa (ovviamente il top sarebbe stato avere 5 schede di rete sul server o uno switch gestibile o tutti e 2 ) In pratica sul server farei degli alias delle interfacce di rete, in pratica eth1 si "sdoppia" e risponde sia alla rete 192.168.2.0 e 192.168.3.0, stessa cosa per eth2 che risponde per 192.168.4.0 e 192.168.5.0 Poi attraverso regole di firewall nego alle varie reti di vedersi l'un l'altra. Lo switch puo' avere problemi/supporta una configurazione del genere? Comunque i piu' attenti avranno visto che c'è un però: se un pc di una rete si da un altro indirizzo ip di un'altra delle 5 reti esistenti, ecco superato il firewall, dato che tutto arriva allo swith dove ci sono gli "arrivi" di tutte le reti. Quindi le domande sono: 1) Lo switch puo' avere problemi/supporta una configurazione del genere? 2) Come posso segmentare la rete con quello che dispongo per impedire che una pc possa andare da un posto all'altro? Grazie. PS: la direzione delle frecce è puramente casuale, non significa una direzione (chiaramente è una freccia bidirezionale ) Ultima modifica di Shang Tsung : 26-11-2007 alle 12:31.

26-11-2007, 12:29	#3
Shang Tsung Senior Member Iscritto dal: Jun 2003 Messaggi: 1468	Grazie per avermi risposto. a livello di firewall sul server nessun problema, ma appunto il problema è che non posso fare vlan / gestire gli switch etc quindi anche se io faccio regole etc sia su ip o su mac; se un pc di una delle reti se lo cambia mi "bypassa" completamente Cosa intendi esattamente" Potresti assegnare diversi ip sulla stessa di rete ma credo non ci sia modo (credo non lo so) di filtrare il traffico in questo modo."???

26-11-2007, 18:20	#4
Rottweiler Senior Member Iscritto dal: Nov 2002 Messaggi: 1149	ma il server cosa fa? Che sistema operativo usa? Mischiare le reti così nello switch funziona, ma non si fa.. non si fa proprio. Ma le reti non si devono vedere in che termine?

26-11-2007, 22:25	#7
Rottweiler Senior Member Iscritto dal: Nov 2002 Messaggi: 1149	tutto quello che è sotto il layer 3 viene mischiato (per esempio arp icmp igmp ip ecc..) segmentare serve sopratutto per gestire i problemi di rete. Secondo me se vuoi fare una cosa fatta bene non è questa la vita. Sopratutto perché dal punto di vista della sicurezza non risolveresti niente che non potresti fare semplicemente con l'autenticazione. Se vuoi segmentare con un solo apparecchio o questo ti permette di farlo (o uno switch gestito, o un router..) o faresti meglio a concentrare i tuoi sforzi a migliorare altre cose, come l'autenticazione in samba, facendo per esempio una directory ldap su cui autenticare utenti e/o macchine.

26-11-2007, 22:49	#9
Rottweiler Senior Member Iscritto dal: Nov 2002 Messaggi: 1149	la mia non era risposta al tuo post, ma al perché non si mischiano le reti negli switch.. scusa ma è arrivato prima il tuo messaggio, in effetti non si capisce..

26-11-2007, 23:09	#11
Rottweiler Senior Member Iscritto dal: Nov 2002 Messaggi: 1149	Shang Tsung, la soluzione ideale è fare le vlan, il routing solo in caso di rete grande (senza contare che è più costoso). una cosa per il pastore, i firewall (anche quelli piccolini come lo zywall 2) non vanno bene per queste cose ci sono i router )

26-11-2007, 23:31	#13
Shang Tsung Senior Member Iscritto dal: Jun 2003 Messaggi: 1468	Ragazzi grazie di cuore a tutti per le risposte, davvero. Allora, il mio problema è farcela con le cose che possiedono (purtroppo), ecco il perchè dei miei escamotage, infatti come avevo detto sarebbe bastato avere uno switch managed, direi, giusto? Invece il mio problema è riuscire a segmentare con le cose che ci sono attualmente, e anche la soluzione da me proposta, come ho gia scritto, serve poco perchè se uno si cambia l'ip o il mac... Quindi tutti mi confermate che non c'è modo di fare quello che avrei in mente con il materiale a disposizione? E tutti confermate che basterebbe o uno switch managed per segmentare le reti o un router per ogni rete?

26-11-2007, 23:39	#15
Shang Tsung Senior Member Iscritto dal: Jun 2003 Messaggi: 1468	spero che non sia contro il regolamento: cosa ne dite di questo? è nella categoria che dell mette come Switch gestiti tramite Web http://www1.euro.dell.com/content/pr...dt1&l=it&s=bsd cliccate poi nella linguetta specifiche.

Strumenti
Mostra una versione stampabile Invia questa pagina per email