פיצול רשת משרדית

[alchemy]

...

...

בשביל מה אתה צריך VLANs מופרדים בבית?

...

1. להפריד לחלוטין רשת Guest
2. רשת WIFI נפרדת למוצרי "בית חכם"

[NACHUM37]

ER-X בהחלט יעשה את עבודה, לדעתי הוא אופציה מצויינת ומקריאה מהירה של השירשור הזה תומך בצורה מלאה וטובה בכל מה שאתה מחפש. בנוסף אפשר גם להשתמש ב-ER-X כסוויץ מנוהל זול אם 5 פורטים זה מספיק. אם רוצים יותר פורטים יש לדוגמא את ה-ER-10x או ER-12 או דגמי סוויץ של Ubiquiti ו/או חברות אחרות.

ההבדל בין ה-ER-X הרגיל ל-SPF זה באמת רק הנושא של פורט ה-SPF וה-PoE. הדגם העיקר האחר שהייתי שוקל זה ER-4 או ER-12 תלוי אם אתה רוצה/צריך גם סוויץ מובנה. הם אמנם יותר יקרים אבל גם יותר חזקים (מבחינת החומרה והביצועים) ויש להם סיריאל חיצוני למקרה של בעיות. בנוסף הקושחה העדכנית (גירסה 2), כנראה יותר יציבה ועובדת יותר טוב על הדגמים מבוססי Cavium שלהם (כגון ה-ER-4 וה-ER-12).

...

תודה רבה על תגובתך.
אפשרי לחבר שני סוויצ'ים לא מנוהלים כל אחד לפורטים שונים ב ER-X ולשייך אותם (ומה שישורשר אליהם) ל VLAN נפרדים? אם כן זה מספיק עבורי וגם יחסוך סכום הגון.

הדבר היחיד שחשוב לשם לב, הוא שעדיין יש מגבלות מסויימות לקושחה גירסה 2 על ה-ER-X (ודמי MediaTek אחרים):
https://community.ui.com/releases/EdgeM ... 86e3a7dacf
שם לב ל-Known issues. אני גם לא בטוח לגבי היציבות של גירסה זו (היו בעיות של יציבות לפחות בגירסאות 2 יותר מוקדמות בעיקר על דגמי ה-MediaTek כמו ה-ER-X). בעקבות בעיות אילו אני עדיין עם גירסה 1.10.9 על ה-ER-X שלי (וגם על ה-ER-Lite שלי בשביל לא להכנס לבעיות של VPN בין גירסאות שונות של strongswan).

...

האמת שיש שם כמה דברים מעצבנים, למשל הירידה בביצועים. לגבי השורה הזו:
[Offloading] - IPsec and VLAN offloading on ER-X/ER-X-SFP and EP-R6 does not work yet.
אני לא בטוח למה הכוונה, אני מקווה שזה לא אמור להשפיע עלי, או שלפחות אפשר לשנמך את ה ER-X אם יגיע בגרסה הזו.

[eran405]

@NACHUM37
·

למיטב הבנתי לצרכים שלך אין לך מה לדאוג. אפרט:

א. הבעיה היחידה להשתמש בסוייצים לא מנוהלים היא שלא תוכל להפריד בין הפורטים השונים של הסווויץ הלא מנוהל. בנוסף גם העברת tagged VLANs דרך סוויץ שאינו תומך בזה יכול להיות בעייתי. אם מראש הסוויץ הפשוט מקבל רשת untagged מסויימת ופשוט מחבר מספר מכשירים לאותה הרשת - ללא הפרדה בין המכשירים האילו - אז אין שום בעיה ואין שום צורך בציוד שתומך ב-VLANs.

אם נחזור לשרטוט שלך מהפוסט הראשי של שירשור זה, בהנחה שכל מה שאתה רוצה הוא להפריד בין הרשת של משרד א' והרשת של משרד ב', אתה בכלל לא צריך סוויצ'ים מנוהלים או VLANs:
[imgbig]https://i.ibb.co/YhMb9Pp/offices-lan-seperation.png[/imgbig]
כל עוד שאין צורך להפריד בין הצרכנים בתוך משרד 1 או בתוך משרד 2 אז גם "switch 1" וגם "switch 2" יכולים להיות סוויצים פשוטים ו"טיפשים".

כל מה שאתה צריך הוא שה-"router" ידע להפריד בין יציאות ה-LAN1 וה-LAN2 שלו. במקרה הזה אין שום צורך ב-VLANs או בסוויץ מובנה בראוטר. לכן כל edgerouter יוכל לעשות זאת בקלות ובנוחות, כולל ER-X או ER-Lite או ER-4 וכו'. יש אפילו wizard שעושה לך את ההגדרות הבסיסיות אוטומטית (נקרא "WAN+2LAN"). ההגדרות שאתה צריך הם יחסית פשוטות: מגדיר רשת אחרת לכל אחד משני הפורטים הרלוונטים (subnet שונה וכתובת מתאימה של הראוטר על כל פורט) ולחסום בחוקי ה-firewall את הגישה מרשת אחת לשניה. לדעתי ה-wizard יגדיר לך את כל זאת אוטומטית (אבל אני לא 100% כי לא השתמשתי ב-wizard הספציפי הזה אף פעם).

VLANs הם פשוט דרך נוחה וחסכונית להעביר מספר רשתות לוגיות על אותו חיבור פיזי (אותו הכבל). נגיד שהיית רוצה שיהיה מכשיר אחד מסויים במשרד 2 שיהיה מחובר לרשת של משרד 1 וידבר עם מכשירים שמחוברים ל-switch 1. ללא VLANs היית חייב להעביר כבל נפרד ולחבר את המכשיר לדוגמא ישירות ל-switch 1. אבל בעזרת VLANs ותמיכה ב-VLANs גם בראוטר וגם לפחות ב-switch 2 אפשר להגדיר שפורט מסויים של switch 2 יהיה VLAN שונה ושעל הכבל היחיד שמחבר בין switch 2 ולבין ה-router עוברת גם התקשורת של ה-VLAN הראשי של משרד 2 וגם התקשורת של ה-VLAN השונה הזה (לדוגמא ה-VLAN של משרד 1).

לסיכום VLANs וציוד שתומך ב-VLANs בהחלט נותן גמישות יותר גדולה ונוחות בקינפוג ופריסת כמות סבירה של כבלים במקרים שצריך להפריד מספר רשתות לוגיות באותו איזור פיזי. בהרבה מקרים, כולל במקרה שלך למיטב הבנתי, אין בכלל צורך ב-VLANs. אתה פשוט צריך ראוטר שיודע להפריד שתי רשתות LAN שונות.

ב. לגבי הקושחה גירסה 2 של ה-edgerouter, בגדול היא כן צעד לכיוון הנכון כי הקושחות גירסה 1 מבוססות על קרנל מאד מאד ישן שעדיף להתקדם ממנו כמה שיותר מהר. הבעיה שאני לא בטוח עד כמה הם הספיקו לייצב את הגירסה הזו בשלב זה, במיוחד על הדגמים מבוססי mediatek (כמו ה-ER-X).

לבינתיים, כמובן שאין שום בעיה להמשיך להשתמש בגירסה 1.10 או לשנמך לגירסה 1.10, פשוט צורבים את הגירסה הישנה (למען השלמות אציין שאם כבר הייתה מותקנת גירסה מסויימת ואתה רוצה לחזור לגירסה זו אז עדיף להשתמש בפקודת ה-"set system image default-boot" - ראה עוד פרטים כאן).
שם לב שהם עדיין מתחזקים את 1.10 וגירסה 1.10.10 עם עדכונים אבטחה ותיקוני באגים קלים בדיוק יצאה כ-beta וכנראה תצא כ-stable בשבוע-שבועיים הקרובים.

ספציפית לגבי ההערות על הגירסה 2 ששאלת עליהם:

- [Performance] - Throughput degradation by 5-10% when comparing with v1.10.9 firmware with older kernel.
אם אני זוכר נכון זה תלוי בשימוש ורק אצל חלק מהשתמשים הורגשה הירדה הזו (ואצל חלק אפילו היה שיפור בביצועים). ככה או ככה, בשימוש שמדובר עליו לעיל (סעיף א') אתה משתמש בראוטר רק בשביל הגישה ל-WAN ולכן אין שום משמעות לביצועים (אני מנחש שבין כה וכה החיבור אינטרנט שלך הרבה הרבה יותר איטי מה-1 גיגה שאפילו ה-ER-X הזול "סוחב" בלי בעיה).

- [Offloading] - IPsec and VLAN offloading on ER-X/ER-X-SFP and EP-R6 does not work yet.
דבר ראשון כמו שהסברתי לעיל אין לך שום צורך ב-VLANs ודבר שני בשביל גישה לחיבור אינטרנט של בזק כנראה שגם ללא offloading הצוואר בקבוק יהיה החיבור של בזק ולא היכולות של הראוטר. בקיצור לא רלוונטי לצרכים שלך.

הנושא של IPSec מדבר על VPN, ואם אתה מתכוון להגדיר שרת VPN או חיבור site-to-site IPSec על הראוטר, אז הביצועים ללא offloading די נמוכים (כמה מגות בודדות עם ER-X או ER-Lite אם אני זוכר נכון). זאת הסיבה העיקרית שאני עדיין משתמש ב-1.10 כי זו כן תכונה שאני משתמש בה. למיטב הבנתי לא רלוונטי לצרכים שלך.

[NegativeIQ]

...

...

עם OPENWRT, שמותקן בצורה תקינה עם תמיכה בהאצת חומרה ל NAT אז, C7 "סוחב" גם את 1GB בין WAN ל LAN , אבל, אם רוצים מוצר בעל משאבי חומרה מתקדמים יותר, אז אפשר להשתמש גם ב WRT1900ACS.

...

צריך אבל לציין שהתמיכה של OpenWRT בהאצת חומרה ל-C7 עדיין לא יצאה באופן רשמי. אם רוצים להשתמש בזה צריכים להתקין גרסת Nightly (או Custom build לא רשמי).

[sys_admin]

...

...

צריך אבל לציין שהתמיכה של OpenWRT בהאצת חומרה ל-C7 עדיין לא יצאה באופן רשמי. אם רוצים להשתמש בזה צריכים להתקין גרסת Nightly (או Custom build לא רשמי).

...

·

כבר שנים רבות שקיים ענף שלם של OpenWRT שתומך בהאצת חומרה ל NAT ב C7 ועובד בצורה יציבה לגמרי וכבר הסברתי על זה בהרחבה כאן בפורום זה וכמובן שלא מדובר בכלל על גרסאות Nightly , שגם לא קיים מושג כזה ב OPENWRT, אלה שמשתמשים שם בשיטה של Development Snapshots לצורך ניהול של גרסאות ניסוי, רק שזה סיפור אחר לגמרי ולא קשור למה שמדובר כאן.

[sys_admin]

אני מתעסק הרבה עם OpenWRT, עם VLAN לא יצא לי להתעסק עד היום, מקווה שאסתדר. אם היה אפשרי למצוא משהו זול שיתמוך בערך Out of the Box בלי הרבה מדי קינפוג זה יהיה נחמד.

...

·

אם יצא לך להתעסק הרבה ב OpenWRT , אז ההגדרות של VLANS זה יהיה החלק הפשוט ביותר, כי החלק המתקדם יותר זה לתכנן והגדיר את הכללי FireWall הנדרשים ואת ניהול של ניתובים בין רשתות משנה.

[ag43]

@NACHUM37
·



VLANs הם פשוט דרך נוחה וחסכונית להעביר מספר רשתות לוגיות על אותו חיבור פיזי (אותו הכבל). נגיד שהיית רוצה שיהיה מכשיר אחד מסויים במשרד 2 שיהיה מחובר לרשת של משרד 1 וידבר עם מכשירים שמחוברים ל-switch 1. ללא VLANs היית חייב להעביר כבל נפרד ולחבר את המכשיר לדוגמא ישירות ל-switch 1. אבל בעזרת VLANs ותמיכה ב-VLANs גם בראוטר וגם לפחות ב-switch 2 אפשר להגדיר שפורט מסויים של switch 2 יהיה VLAN שונה ושעל הכבל היחיד שמחבר בין switch 2 ולבין ה-router עוברת גם התקשורת של ה-VLAN הראשי של משרד 2 וגם התקשורת של ה-VLAN השונה הזה (לדוגמא ה-VLAN של משרד 1).

...

·תיקון - VLAN היא דרך להעביר מספר רשתות לוגיות (נפרדות) על מכשיר פיזי אחד. ההעברה של אותן VLANים בכבל אחד נקראת TRUNK.

[NACHUM37]

@eran405
· תודה רבה על התגובה המפורטת. אכן איני מתכוון לחבר ציוד שלהם ל Switch שלנו, ובטח שלא על אותם פורטים כך שאין לי צורך ב Trunk.
ב. אמנם בהגדרה של ה Dlink כ Bridge הראוטר שתחתיו יצטרך להתחבר לבזק אך אכן החיבור הוא TOP 100 ובפועל כ 80Mb ולא מתוכנן כמעט שימוש ב VPN כלומר עומס מינימלי.

@sys_admin
· השיקול שלי כן לבחור בראוטר מבוסס OpenWRT הוא כדי "להרוויח" AP.
הסבר: 1. אם אגדיר את ה D-Link כ Bridge בלבד המשרד שלהם (משרד א בתרשים) יאבד את ה AP שלו, ואין לי שום ענין לרכוש להם נוסף על חשבוננו.
2. אם אותיר את ה D-Link כראוטר, ואחבר אליו ראוטר אחר כגון ER-X ותחתיו הסוויצ'ים, אמנם ישאר AP אבל זהו פתרון עקום, מוסיף NAT וגם ה AP לא יהיה באותו subnet.
3. אפשרי להותיר את הסוויצ' שלהם מחובר ישירות ל D-Link, וגם לחבר ל D-Link ראוטר נוסף ומתחתיו סוויצ' בשבילנו. גם עקום אבל אולי אעשה אותו כי כך אני לא נוגע ברשת שלהם בשום צורה.

ראוטר עם OpenWRT יפתור את הבעיה כיוון שאוכל להשתמש ב D-Link כ Bridge, להגדיר כמה SSID כמו שכתבו כאן ובא לציון גואל. (חוץ מהאפשרויות האינסופיות עם OpenWRT)
החסרון הוא העלות של ראוטר טוב כגון ה WRT1900ACS, הצורך לקנפג את ה VLANs וה Firewall כפי שכתבת, והעדר תמיכה.

[NegativeIQ]

@eran405
· תודה רבה על התגובה המפורטת. אכן איני מתכוון לחבר ציוד שלהם ל Switch שלנו, ובטח שלא על אותם פורטים כך שאין לי צורך ב Trunk.
ב. אמנם בהגדרה של ה Dlink כ Bridge הראוטר שתחתיו יצטרך להתחבר לבזק אך אכן החיבור הוא TOP 100 ובפועל כ 80Mb ולא מתוכנן כמעט שימוש ב VPN כלומר עומס מינימלי.

@sys_admin
· השיקול שלי כן לבחור בראוטר מבוסס OpenWRT הוא כדי "להרוויח" AP.
הסבר: 1. אם אגדיר את ה D-Link כ Bridge בלבד המשרד שלהם (משרד א בתרשים) יאבד את ה AP שלו, ואין לי שום ענין לרכוש להם נוסף על חשבוננו.
2. אם אותיר את ה D-Link כראוטר, ואחבר אליו ראוטר אחר כגון ER-X ותחתיו הסוויצ'ים, אמנם ישאר AP אבל זהו פתרון עקום, מוסיף NAT וגם ה AP לא יהיה באותו subnet.
3. אפשרי להותיר את הסוויצ' שלהם מחובר ישירות ל D-Link, וגם לחבר ל D-Link ראוטר נוסף ומתחתיו סוויצ' בשבילנו. גם עקום אבל אולי אעשה אותו כי כך אני לא נוגע ברשת שלהם בשום צורה.

ראוטר עם OpenWRT יפתור את הבעיה כיוון שאוכל להשתמש ב D-Link כ Bridge, להגדיר כמה SSID כמו שכתבו כאן ובא לציון גואל. (חוץ מהאפשרויות האינסופיות עם OpenWRT)
החסרון הוא העלות של ראוטר טוב כגון ה WRT1900ACS, הצורך לקנפג את ה VLANs וה Firewall כפי שכתבת, והעדר תמיכה.

...

דבר אחד טוב ב-1900 הוא שהוא תוכנן מראש להרצת קושחות שונות ויש לו תמיד קושחת גיבוי ככה שאין כמעט סיכוי לקבל בריק מלא. אם לא ממש תתאמץ לעשות בריק לכל היותר תצטרך לאפס להגדרות היצרן.
דבר שני לגבי ה-1900 - אל תזמין מחו"ל! שבב ה-WiFi שלו מגיע נעול למדינה שבה הוא נרכש, אם תביא אותו ממדינה אחרת (א) יכול להיות שהוא ייעצר במכס ולא תוכל לשחרר אותו ו(ב) לא תוכל לשים את הרשת על כל התדרים שמותרים לשימוש בישראל.

[NACHUM37]

תודה. לשימוש עסקי בכל מקרה כמעט אין רווח בקניה מחול לעומת קיזוז מע"מ בקניה בארץ

[eran405]

המשרד שלהם (משרד א בתרשים) יאבד את ה AP שלו, ואין לי שום ענין לרכוש להם נוסף על חשבוננו.
...

...

·

תבדוק רק שאתה לא משלם יותר כסף על הניסיון לחסוך בכסף.

לדוגמא ER-X + UAP-AC-LITE עולים כ-531 ש"ח ביחד (ללא מע"מ) ויש לך את הגמישות למקם את ה-AP במקום יותר טוב מבארון תקשורת עם הראוטר הראשי. אם הראוטר openwrt שאתה בוחר עולה יותר מזה, אז למיטב הבנתי שילמת יותר בשביל לחסוך כסף....

דרך אגב אפשר להשתמש ב-AP בודד של Unifi לספק רשתות אלחוטיות שונות ומופרדות לכל אחד מהמשרדים (בהנחה שתהיה קליטה מספק מיחידה בודדת).

לדעתי ל-Mikrotik יש דגמים שמשלבים ראוטר קווי מתקדם עם נקודה אלחוטית במחירים תחרותיים אבל אני לא מכיר מספיק את הדגמים שלהם בשביל להמליץ על משהו ספציפי.

[sys_admin]

@eran405
· תודה רבה על התגובה המפורטת. אכן איני מתכוון לחבר ציוד שלהם ל Switch שלנו, ובטח שלא על אותם פורטים כך שאין לי צורך ב Trunk.
ב. אמנם בהגדרה של ה Dlink כ Bridge הראוטר שתחתיו יצטרך להתחבר לבזק אך אכן החיבור הוא TOP 100 ובפועל כ 80Mb ולא מתוכנן כמעט שימוש ב VPN כלומר עומס מינימלי.

@sys_admin
· השיקול שלי כן לבחור בראוטר מבוסס OpenWRT הוא כדי "להרוויח" AP.
הסבר: 1. אם אגדיר את ה D-Link כ Bridge בלבד המשרד שלהם (משרד א בתרשים) יאבד את ה AP שלו, ואין לי שום ענין לרכוש להם נוסף על חשבוננו.
2. אם אותיר את ה D-Link כראוטר, ואחבר אליו ראוטר אחר כגון ER-X ותחתיו הסוויצ'ים, אמנם ישאר AP אבל זהו פתרון עקום, מוסיף NAT וגם ה AP לא יהיה באותו subnet.
3. אפשרי להותיר את הסוויצ' שלהם מחובר ישירות ל D-Link, וגם לחבר ל D-Link ראוטר נוסף ומתחתיו סוויצ' בשבילנו. גם עקום אבל אולי אעשה אותו כי כך אני לא נוגע ברשת שלהם בשום צורה.

ראוטר עם OpenWRT יפתור את הבעיה כיוון שאוכל להשתמש ב D-Link כ Bridge, להגדיר כמה SSID כמו שכתבו כאן ובא לציון גואל. (חוץ מהאפשרויות האינסופיות עם OpenWRT)
החסרון הוא העלות של ראוטר טוב כגון ה WRT1900ACS, הצורך לקנפג את ה VLANs וה Firewall כפי שכתבת, והעדר תמיכה.

...

·

אפשרויות שתיים ושלוש מיותרות ולא משיגות שום מטרה, אלה מייצרות סלט רשתות בגלל שבאפשרות שתיים נוצר DUAL NAT וגם רשת WIFI תהייה לא שמישה כלל, כי ממנה לה תהייה גישה לאף אחד מרשתות LAN.
ובאפשרות שלוש בנוסף ל DUAL NAT גם בכלל לא נוצרת שום הפרדה בין הרשתות, בגלל שמהרשת שמאחורי הנתב החדש שמחובר סתם כך לנתב הישן, אפשר יהיה לגשת ללא שום בעיה לרשת של החברה השנייה. וזה דבר שמראש נסית לפתור. כך שבאפשרויות שתיים ושלוש, גם רוכשים ציוד חדש, גם יצרים בלגן ובעיות ברשת וגם לא משיגים את הצורך הראשוני.
ואם כבר הזכרת את הנושא של VPN ובגלל שכתבת שאתה עובד כבר הרבה זמן עם OPENWRT , אז אתה בטח כבר מודע לזה שבנתב שמריץ את OPENWRT אתה מגדיר בקלות את שני שרתי OPENVPN כך שכל לקוח של כל משרד יכול להתחבר לרשת שלו בצורה מאובטחת ולא להיות חשוף לרשת של המשרד השני. וזה גם עוד דבר בסיסי במערכת OPENWRT שמשתמשים בו הרבה ולא זמין בכל מני תוכנות סגורות של נתבי SMB פשוטים. כך שכל מני סבוניות כמו ER-X למשל, זה בכלל לא אופציה מכל הסיבות.
גם בקשר לתמיכה, מי שמשתמש ב OPENWRT יודע שהוא משתמש במערכת זו בגלל שיש לו מספיק ידע בהכרת המחשב או ברשתות תקשורת בשביל שהוא לא יצטרך את התמיכה וזו גם מערכת שהופכת נתב ביתי זול למוצר עם אפשרויות שלא היו זמינות בו כלל ושקיימות רק בציודים עסקיים שעולים אלפי שקלים רבים.

[NACHUM37]

·תבדוק רק שאתה לא משלם יותר כסף על הניסיון לחסוך בכסף.

לדוגמא ER-X + UAP-AC-LITE עולים כ-531 ש"ח ביחד (ללא מע"מ) ויש לך את הגמישות למקם את ה-AP במקום יותר טוב מבארון תקשורת עם הראוטר הראשי. אם הראוטר openwrt שאתה בוחר עולה יותר מזה, אז למיטב הבנתי שילמת יותר בשביל לחסוך כסף....

דרך אגב אפשר להשתמש ב-AP בודד של Unifi לספק רשתות אלחוטיות שונות ומופרדות לכל אחד מהמשרדים (בהנחה שתהיה קליטה מספק מיחידה בודדת).

...

·רעיון טוב, חשבתי שה-AP שלהם יותר יקרים.
שאלת הטווח משמעותית גם לגבי ה WRT1900ACS, שטח המתחם כ 90 מ"ר וישנם שניים-שלושה קירות לא עבים בינינו. הטווחים שלהם אמורים להספיק, בהערכה גסה? אם לא, בכמה יועיל UAP-AC-LR או שבכל מקרה אצטרך יותר מ AP אחד?

·לדעתי ל-Mikrotik יש דגמים שמשלבים ראוטר קווי מתקדם עם נקודה אלחוטית במחירים תחרותיים אבל אני לא מכיר מספיק את הדגמים שלהם בשביל להמליץ על משהו ספציפי.

...

·ראיתי כעת את ה hAP ac² או RB4011iGS+5HacQ2HnD-IN (שלמעשה חוסך לי סוויצ' אחד) ועוד. מפתיע כמה הציוד שלהם זול. הם אמינים? נוחים לתפעול? ראיתי שיש להם קטע עם רשיונות בתשלום.
אם יש מישהו כאן שמכיר את MikroTik ויכול להמליץ אשמח.

·..באפשרות שלוש בנוסף ל DUAL NAT גם בכלל לא נוצרת שום הפרדה בין הרשתות, בגלל שמהרשת שמאחורי הנתב החדש שמחובר סתם כך לנתב הישן, אפשר יהיה לגשת ללא שום בעיה לרשת של החברה השנייה. וזה דבר שמראש נסית לפתור. כך שבאפשרויות שתיים ושלוש, גם רוכשים ציוד חדש, גם יצרים בלגן ובעיות ברשת וגם לא משיגים את הצורך הראשוני.

...

·לא נורא אם נוכל לגשת לרשת שלהם, העיקר שהם לא יוכלו לגשת לשלנו, המטרה הסופית היא שהם לא יראו את ה-NAS שלנו. בכל אופן צודק שזה בלגן מיותר.

·ואם כבר הזכרת את הנושא של VPN ובגלל שכתבת שאתה עובד כבר הרבה זמן עם OPENWRT , אז אתה בטח כבר מודע לזה שבנתב שמריץ את OPENWRT אתה מגדיר בקלות את שני שרתי OPENVPN כך שכל לקוח של כל משרד יכול להתחבר לרשת שלו בצורה מאובטחת ולא להיות חשוף לרשת של המשרד השני. וזה גם עוד דבר בסיסי במערכת OPENWRT שמשתמשים בו הרבה ולא זמין בכל מני תוכנות סגורות של נתבי SMB פשוטים. כך שכל מני סבוניות כמו ER-X למשל, זה בכלל לא אופציה מכל הסיבות.
גם בקשר לתמיכה, מי שמשתמש ב OPENWRT יודע שהוא משתמש במערכת זו בגלל שיש לו מספיק ידע בהכרת המחשב או ברשתות תקשורת בשביל שהוא לא יצטרך את התמיכה וזו גם מערכת שהופכת נתב ביתי זול למוצר עם אפשרויות שלא היו זמינות בו כלל ושקיימות רק בציודים עסקיים שעולים אלפי שקלים רבים.

...

·
האמת שלא אזדקק ל VPN כך שזה לא משנה. בקשר לתמיכה, יש לי ידע מסוים, אבל אני לא רוצה להיתקע אם לא אצליח לפתור משהו, וגם לא רוצה שאם משהו ישתבש עוד כמה שנים יצטרכו אותי.