פיצול רשת משרדית

NACHUM37 · שליחה #1 15/07/2019 16:11

שלום לחברי הפורום.

אני מעוניין לשדרג ולפצל רשת המשרתת שני משרדים קטנים, המחוברים לבזק עם מודם-ראוטר D-Link DSL-G256DG ומתחתיו כמה סוויצ'ים לא מנוהלים. מצורף תרשים של המצב הקיים והמצב הרצוי, בערך.

1. מהו הציוד הדרוש שיעזור לי לפצל את הרשתות? בשאיפה שיהיה כמה שיותר זול, אמין וקל לניהול ללא ידע מקצועי.
קראתי על הציוד של Ubiquiti והוא נראה אמין וטוב, אבל אני לא יודע לבחור מהו המוצר שמתאים לי. (למשל אולי עדיף תקציבית לרכוש ראוטר עם שני פורטים LAN שיש בו Internal Switch ומתחתיו Unmanaged Switches?)

2. המודם-ראוטר ממוקם בעסק הראשון ומשמש שם כ AP. אפשרי להותיר את תפקודו ולשייך אותו ל VLAN שלהם, או לפחות כ Guest Network, כדי שלא יהיה צורך לרכוש AP נוסף עבורם? (האם זה אפשרי בכלל? הרי הוא "מעל" ה Switch).

תודה רבה.

NegativeIQ · שליחה #2 15/07/2019 22:01

@NACHUM37
סוויץ לא מנוהל בהגדרה לא תומך ב-VLAN או משהו שאפשר לקנפג, אחרת הוא בהגדרה מנוהל.
יש לך שתי אופציות - אחת זה לקנות Switch מנוהל. אתה לא צריך משהו ענק, יש גם קטנים יחסית.
אפשרות שניה היא להפוך את הראוטר הקיים שלך למודם בלבד, לקנות ראוטר תומך VLAN ולשים תחתיו שני סוויצים לא מנוהלים. תכלס זאת אופציה לא רעה כי ה-256 הוא מודם פח שקיים רק בארץ. ה-Ubiqiti הוא כנראה האפשרות הכי טובה שלך כי לפחות חלק מהדגמים תומכים בזה פורמלית. לא ידוע לי על ראוטרים זולים יותר שתומכים בזה, אלא אם מתעסקים להם עם הקושחה.

NACHUM37 · שליחה #3 15/07/2019 22:31

תודה על תגובתך.

בקשר לאופציה הראשונה, אתה יכול בבקשה לכוון אותי לדגם טוב וזול של Managed Switch לדוגמה?

בקשר לאופציה השניה: נראית לי אופציה טובה וזולה. אתה יודע אולי אלו דגמים של Ubiqiti יעשו את העבודה? אני רואה של EdgeRouter X ו SPF יש Internal Switch, אני משער שהם יוכלו להפריד VLANs? יש הבדל בין ה X ל X-SPF חוץ מהסיבים ו PoE שאני לא צריך?

למעשה מדובר בשני עסקים שחולקים מתחם וחיבור לאינטרנט. המודם ראוטר שייך להם. הבעיה באופציה השניה היא שהייתי מעדיף להשאיר את הראוטר שלהם על כנו כדי שלא אצטרך לקנות להם AP נוסף על חשבוננו. השאלה היא האם שרשור הראוטרים יעבוד (ואולי אפשר לנטרל את הניתוב באדג', כלומר להשתמש בו כ Managed Switch, על אף שחבל על היכולות שלו),
או שאולי אפילו אפשרי להשאיר מתחת המודם-ראוטר סוויצ' לא מנוהל בשבילם, ובמקביל לחבר למודם אדג' עם סוויצ' תחתיו רק לשם הפרדת הרשת מהם. כך ה AP שלהם יהיה באותו VLAN. זה אפשרי?

sys_admin · שליחה #4 15/07/2019 23:29

NegativeIQ כתב:@NACHUM37
סוויץ לא מנוהל בהגדרה לא תומך ב-VLAN או משהו שאפשר לקנפג, אחרת הוא בהגדרה מנוהל.
יש לך שתי אופציות - אחת זה לקנות Switch מנוהל. אתה לא צריך משהו ענק, יש גם קטנים יחסית.
אפשרות שניה היא להפוך את הראוטר הקיים שלך למודם בלבד, לקנות ראוטר תומך VLAN ולשים תחתיו שני סוויצים לא מנוהלים. תכלס זאת אופציה לא רעה כי ה-256 הוא מודם פח שקיים רק בארץ. ה-Ubiqiti הוא כנראה האפשרות הכי טובה שלך כי לפחות חלק מהדגמים תומכים בזה פורמלית. לא ידוע לי על ראוטרים זולים יותר שתומכים בזה, אלא אם מתעסקים להם עם הקושחה.
...

·

מן הסתם ש"אופצייה" הראשונה שפירטת לא קיימת ולא תיתן לו כלום וזה מסיבה הפשוטה והיא שמתג מנוהל לבד לא יעזור לו במה שהוא צריך, בגלל שללא נתב שתומך גם בניהול ממשקי משנה עצמאיים, שיתחבר למתג זה לא ניתן יהיה לעשות כלום, כי הנתב הקיים לא תומך בזה.
האפשרות היחידה להתחיל ממשהו, היא להשתמש בנתב שתומך בצורה מלאה בממשקי משנה עצמאיים ( פיזיים או וירטואליים ). כך ניתן למשל ליצור VLAN TRUNK בנתב כזה ולחבר אותו למתג מנוהל, שגם בו יוגדר VLAN TRUNK או אפשרות שנייה פחות מומלצת, היא להגדיר שני ממשקים פיזיים שונים בנתב לשני רשתות משנה נפרדות ולכל אחד מהם לחבר מתג לא מנוהל נפרד ( דבר מסורבל ולא היגיוני בפני עצמו ). בקשר לזה שאם לא רוצים לרכוש עוד נקודת גישה נוספת, אז אפשר להגדיר בנקודת גישה של הנתב מספר SSID, שכל אחד מהם יהיה משווייך ל VLAN אחר, כך אותה נקודת גישה יכולה לשרת מספר רשתות נפרדות. בקשר ל Ubiqiti. חברה זו מייצרת הרבה מוצרים טובים, כולל נקודות גישה, אבל לנתבים שלהם לא כדאי להתקרב, כי גם מדובר על מוצרים בעלי משאבי חומרה חלשים וגם התוכנה שלהם לא מספקת את האפשרויות הנדרשות לזה ( לא מבחינת ניהול ה FireWall ולא מבחינת תמיכה ב VLANS ).
אפילו כבר נתב ביתי הכי פשוט וזול כמו C7 של TP-LINK, אחרי שמתקינים עליו את OPENWRT ייתן פתרון מספק, כולל התמיכה בריבוי ה SSID שפועלים על VLANs שונים.

NACHUM37 · שליחה #5 16/07/2019 0:10

תודה רבה. אתה חושב ש Ubiqiti ER-X ומתחתיו שני סוויצ'ים לא מנוהלים לא יעשו את העבודה? מדובר על עסקים קטנים, כ 10-15 קליינטים שמחציתם מחשבים והשאר סתם התקנים. אני מתכנן לחבר NAS ולכן רציתי את ההפרדה.

אצטרך גם להוסיף עוד Switch ו AP ברשת שלנו בחדר רחוק יותר. אם אעשה כפי האפשרות השניה שציינת ואגדיר ממשקים פיזיים בנתב, אוכל לחבר תחתיו Switch נוסף לא מנוהל תחת אותו VLAN ללא בעיות?

הייתי שמח לרכוש ציוד מקצועי לכל מרכיבי הרשת, האילוצים הם להשיג את המטרה תוך חסכון בעלות ופשטות ככל האפשר.

sys_admin · שליחה #6 16/07/2019 8:59

Ubiqiti ER-X בפרט וכל הסדרה זו של הנתבים אלה הם די בעיתיים מכמה בחינות. למשל תמיכה וייציבות של תוכנה שלהם, גמישות שלה וכל הנושא של ניהול שלה. לא סתם המוצר זה מתומחר כך.

שליחה #7 16/07/2019 11:11

ראוטר רציני יכול לבדל בין שני רשתות ולמנוע חדירה הדדית בינהם. הכי פשוט זה LAN ISOLATION בעזרת VLAN, אבל אפילו ראוטרים ביתיים יכולים ליצור private WIFI נפרד לחצי השני של המשרד (בד"כ הם קוראים לזה guest network).

תלוי ברגישות שלך לגבי מה שיש לך בין שתי הרשתות.

NegativeIQ · שליחה #8 16/07/2019 11:20

sys_admin כתב:Ubiqiti ER-X בפרט וכל הסדרה זו של הנתבים אלה הם די בעיתיים מכמה בחינות. למשל תמיכה וייציבות של תוכנה שלהם, גמישות שלה וכל הנושא של ניהול שלה. לא סתם המוצר זה מתומחר כך.
...

אז מה הוא אמור לעשות? לקנות ראוטר CISCO מסחרי באלפי שקלים?
האפשרות הנוספת היחידה שאני מכיר היא לקנות ראוטר פשוט שאפשר לשים עליו OpenWRT ולקנפג משם (עובד אפילו עם TP-Link, אבל אל תצפה לתמיכה מהיצרן אם משהו לא עובד).

NACHUM37 · שליחה #9 16/07/2019 13:50

C7 עם OpenWRT יעבוד יותר טוב מ ER-X?

מבחינת מפרט ל C7 ליבה בודדת 128MB RAM ,700MHz, ול ER-X ליבה כפולה 880MHz ו 256MB RAM.

בכל מקרה, אם אני עושה כפי האופציה הזו ומשתמש בנתב תומך VLAN פיזי ומתחתיו שני סוויצ'ים לא מנוהלים, אוכל לשרשר תחת אחד מהם Switch נוסף ללא מנוהל, תחת אותו VLAN, ללא בעיות?

NegativeIQ · שליחה #10 16/07/2019 17:03

NACHUM37 כתב:C7 עם OpenWRT יעבוד יותר טוב מ ER-X?

מבחינת מפרט ל C7 ליבה בודדת 128MB RAM ,700MHz, ול ER-X ליבה כפולה 880MHz ו 256MB RAM.

בכל מקרה, אם אני עושה כפי האופציה הזו ומשתמש בנתב תומך VLAN פיזי ומתחתיו שני סוויצ'ים לא מנוהלים, אוכל לשרשר תחת אחד מהם Switch נוסף ללא מנוהל, תחת אותו VLAN, ללא בעיות?
...

הוא לא. עם OpenWRT הוא סוחב בקושי 400 מגה. כתבתי את זה כדוגמה כי עם OpenWRT אפשר לתמוך ב-VLAN בהרבה ראוטרים פשוטים וזולים, זה לא אומר שהם אופטימליים. אם אתה מעוניין ללכת בדרך הזאת כנראה שהייתי הולך על ראוטר חזק כמו ה-WRT1900ACS.

וכן, אפשר לשרשר סוויצים לא מנוהלים כל עוד בסופו של דבר הם מחוברים לפורט בראוטר או בסוויץ מנוהל ששם אותם ב-VLAN מסויים. הדבר היחיד שצריך לוודא זה שאין איזה חיבור מעגלי שבסוף מתחבר לפורטים בשני VLANs שונים, ובעצם שאין חיבורים מעגליים בכלל (זה יכול לדפוק לגמרי את הרשת אם יש סוויצים לא מנוהלים). כמו כן גם סוויץ לא מנוהל לא תומך ב-VLAN Tagging אז אם אתה רוצה להעביר שני VLANs זה אומר להעביר שני כבלים.

NACHUM37 · שליחה #11 16/07/2019 17:43

sys_admin כתב:
...
...
·מתג מנוהל לבד לא יעזור לו במה שהוא צריך, בגלל שללא נתב שתומך גם בניהול ממשקי משנה עצמאיים, שיתחבר למתג זה לא ניתן יהיה לעשות כלום, כי הנתב הקיים לא תומך בזה.
...

·אם אקנה משהו כמו זה ואחבר לראוטר הפשוט הקיים, ומתחתיו סוויצ'ים לא מנוהלים זה לא יעבוד? https://www.amazon.com/NETGEAR-Nighthaw ... 01MU3GE5L/

בסופו של דבר אני מנסה להשיג את המטרה ביעילות, אם יש צורך בראוטר יקר כמו הWRT1900ACS אז נקנה אותו אבל אם משהו כמו ה ER-X, או ראוטר טוב וזול אחר, או סוויצ' מנוהל אחד יעבדו, הכי טוב. בסך הכל רשת של 5 אנשים בו זמנית לכל היותר שעובדים עבודה משרדית, בנוסף לכמה מדפסות ו NAS לגיבוי קר

alchemy · שליחה #12 16/07/2019 17:48

אצלי בבית יש הפרדה מוחלטת בין רשתות באמצעות managed switch וראוטר Ubiquity ERLITE-3, כל רשת יושבת על VLAN נפרד, מה שמשוטף זה רק יציאה לאינטרנט.
אם אני זוכר נכון הראוטר עלה בסביבות 100$ וסוויטץ' 16 פורטים מנוהל עלה משהו כמו 120$.

עבור WIFI ה-AP עושה SSID to VLAN mapping.

NegativeIQ · שליחה #13 16/07/2019 18:44

alchemy כתב:אצלי בבית יש הפרדה מוחלטת בין רשתות באמצעות managed switch וראוטר Ubiquity ERLITE-3, כל רשת יושבת על VLAN נפרד, מה שמשוטף זה רק יציאה לאינטרנט.
אם אני זוכר נכון הראוטר עלה בסביבות 100$ וסוויטץ' 16 פורטים מנוהל עלה משהו כמו 120$.

עבור WIFI ה-AP עושה SSID to VLAN mapping.
...

בשביל מה אתה צריך VLANs מופרדים בבית?

sys_admin · שליחה #14 16/07/2019 18:44

NegativeIQ כתב:
...
...
אז מה הוא אמור לעשות? לקנות ראוטר CISCO מסחרי באלפי שקלים?
האפשרות הנוספת היחידה שאני מכיר היא לקנות ראוטר פשוט שאפשר לשים עליו OpenWRT ולקנפג משם (עובד אפילו עם TP-Link, אבל אל תצפה לתמיכה מהיצרן אם משהו לא עובד).
...

·

למרות שלא ברור מה הוא CISCO "מסחרי" ומי אמור לסחור בו, אבל לצרכים של פותח הדיון אין צורך לא ב CISCO "מסחרי" וגם לא באחד כזה שלא מסחרי. לצרכים שלו כפי שכבר כתבתי את זה לפני זה מספיק גם נתב ביתי פשוט וזול שניתן להתקין עליו את OpenWRT וגם נתתי את דוגמה לנתב כזה.

sys_admin · שליחה #15 16/07/2019 18:50

@NACHUM37
·
אותו NETGEAR Nighthawk S8000 לא תומך ב OPENWRT ובתוכנה מקורית לא מתים למשימה.

NACHUM37 · שליחה #16 16/07/2019 18:55

למה בעצם, זה מתג מנוהל? הוא לא יעבוד עם המודם-ראוטר הקיים?

בקשר להצעה לקנות ראוטר תואם OpenWRT, אתה חושב שגם C7 יספיק, או שיש צורך במשהו חזק יותר כמו הלינקסיס WRT1900ACS שהוצע?

sys_admin · שליחה #17 16/07/2019 18:55

NegativeIQ כתב:
...
...
הוא לא. עם OpenWRT הוא סוחב בקושי 400 מגה. כתבתי את זה כדוגמה כי עם OpenWRT אפשר לתמוך ב-VLAN בהרבה ראוטרים פשוטים וזולים, זה לא אומר שהם אופטימליים. אם אתה מעוניין ללכת בדרך הזאת כנראה שהייתי הולך על ראוטר חזק כמו ה-WRT1900ACS.

וכן, אפשר לשרשר סוויצים לא מנוהלים כל עוד בסופו של דבר הם מחוברים לפורט בראוטר או בסוויץ מנוהל ששם אותם ב-VLAN מסויים. הדבר היחיד שצריך לוודא זה שאין איזה חיבור מעגלי שבסוף מתחבר לפורטים בשני VLANs שונים, ובעצם שאין חיבורים מעגליים בכלל (זה יכול לדפוק לגמרי את הרשת אם יש סוויצים לא מנוהלים). כמו כן גם סוויץ לא מנוהל לא תומך ב-VLAN Tagging אז אם אתה רוצה להעביר שני VLANs זה אומר להעביר שני כבלים.
...

·

עם OPENWRT, שמותקן בצורה תקינה עם תמיכה בהאצת חומרה ל NAT אז, C7 "סוחב" גם את 1GB בין WAN ל LAN , אבל, אם רוצים מוצר בעל משאבי חומרה מתקדמים יותר, אז אפשר להשתמש גם ב WRT1900ACS.

sys_admin · שליחה #18 16/07/2019 19:06

NACHUM37 כתב:למה בעצם, זה מתג מנוהל? הוא לא יעבוד עם המודם-ראוטר הקיים?

בקשר להצעה לקנות ראוטר תואם OpenWRT, אתה חושב שגם C7 יספיק, או שיש צורך במשהו חזק יותר כמו הלינקסיס WRT1900ACS שהוצע?
...

·

למרות שכתוב שזה מתג מנוהל, אבל בגלל שהוא נועד למשחקים, אז אין לו תמיכה מלאה ב VLANS , למשל ב VLAN TRUNKS וכפי שכבר כתבתי, המודם-ראוטר הקיים לא תומך גם במה שנדרש ויכול לשמש רק כגשר. C7 יכול להספיק, אבל, אם רוצים מוצר בעל משאבי חומרה חזקים יותר אפשר להשתמש גם ב WRT1900ACS . רק לפני הכל צריך להבין, אם בכלל יש מי שידע להגדיר את כל הרשת במקום, כי זה לא כמו שמגדירים רשת ביתית על ידי רצף לחיצות הבא, הבא, הבא. ב OPENWRT או בכל מערכת ניתוב אחרת צריך ידע מוקדם במחשבים וברשתות תקשורת.

NACHUM37 · שליחה #19 16/07/2019 19:09

אני מתעסק הרבה עם OpenWRT, עם VLAN לא יצא לי להתעסק עד היום, מקווה שאסתדר. אם היה אפשרי למצוא משהו זול שיתמוך בערך Out of the Box בלי הרבה מדי קינפוג זה יהיה נחמד.

eran405 · שליחה #20 16/07/2019 19:19

NACHUM37 כתב: בקשר לאופציה השניה: נראית לי אופציה טובה וזולה. אתה יודע אולי אלו דגמים של Ubiqiti יעשו את העבודה? אני רואה של EdgeRouter X ו SPF יש Internal Switch, אני משער שהם יוכלו להפריד VLANs? יש הבדל בין ה X ל X-SPF חוץ מהסיבים ו PoE שאני לא צריך?

...
...

·

ER-X בהחלט יעשה את עבודה, לדעתי הוא אופציה מצויינת ומקריאה מהירה של השירשור הזה תומך בצורה מלאה וטובה בכל מה שאתה מחפש. בנוסף אפשר גם להשתמש ב-ER-X כסוויץ מנוהל זול אם 5 פורטים זה מספיק. אם רוצים יותר פורטים יש לדוגמא את ה-ER-10x או ER-12 או דגמי סוויץ של Ubiquiti ו/או חברות אחרות.

ההבדל בין ה-ER-X הרגיל ל-SPF זה באמת רק הנושא של פורט ה-SPF וה-PoE. הדגם העיקר האחר שהייתי שוקל זה ER-4 או ER-12 תלוי אם אתה רוצה/צריך גם סוויץ מובנה. הם אמנם יותר יקרים אבל גם יותר חזקים (מבחינת החומרה והביצועים) ויש להם סיריאל חיצוני למקרה של בעיות. בנוסף הקושחה העדכנית (גירסה 2), כנראה יותר יציבה ועובדת יותר טוב על הדגמים מבוססי Cavium שלהם (כגון ה-ER-4 וה-ER-12).

אני מודע לזה שיש סלידה לחבר מאד מסויים כאן בפורום לסדרת ה-edgerouters של Ubiquiti (ואולי לחברה בכללותה). אני לפחות לא ראיתי שום ביסוס עובדתי או טענות משכנעות לסלידה זאת. הניסיון שלי עם סדרה זו, כמו גם של רבים אחרים, למיטב הבנתי גם שלך, הוא פשוט מצויין. אני כרגע לא מכיר מתחרה אמיתית לסדרה הזאת בשביל הצרכים והטעם האישי שלי.

הדבר היחיד שחשוב לשם לב, הוא שעדיין יש מגבלות מסויימות לקושחה גירסה 2 על ה-ER-X (ודמי MediaTek אחרים):
https://community.ui.com/releases/EdgeM ... 86e3a7dacf
שם לב ל-Known issues. אני גם לא בטוח לגבי היציבות של גירסה זו (היו בעיות של יציבות לפחות בגירסאות 2 יותר מוקדמות בעיקר על דגמי ה-MediaTek כמו ה-ER-X). בעקבות בעיות אילו אני עדיין עם גירסה 1.10.9 על ה-ER-X שלי (וגם על ה-ER-Lite שלי בשביל לא להכנס לבעיות של VPN בין גירסאות שונות של strongswan).

אני מקווה שברור שבהחלט יש אופציות מתחרות של חברות אחרות, השאלה איזה נותנים תמורה למחיר כמו ה-edgerouters + אופציות קונפיגורציה מתקדמות בצורה נוחה + תמיכה רשמית של חברה מוכרת? האופציה היחידה שאני מכיר היא הדגמים הרלוונטים של mikrotik. לטעם האישי שלי, אפילו אחרי הבלאגן הלא נאות בפורמים של Ubiquiti, אני עדיין מעדיף את Ubiquiti על mikrotik.

עוד אופציה, מאד אטרקטיבית, היא לקחת חומרה מתאימה ולהתקין עליה pfsense. התמורה למחיר היא פחות טובה בגלל שדרושה חומרה יחסית חזקה ופחות זולה בשביל להגיע לקצבים טובים אבל במיוחד לשימוש עסקי מאד יתכן שזו אופציה יותר טובה (כי לשימוש עסקי כרגיל המחיר היותר גבוה של החומרה אמור להיות זניח יחסית למחזור של העסק).

האופציות האחרות שהועלו לעיל, של שימוש בציוד לשוק הביתי ו/או התקנת קושחות כמו openwrt הם לא מומלצות לדעתי. כמובן אחרים כאן בפורום דווקא חובבים של openwrt ו/או אני בטוח שיש הרבה עסקים קטנים עם צרכי רשת בסיסיים שמשתמשים בציוד ביתי לעסק ללא בעיות. תקרא קצת על הציודים/קושחות שאתה שוקל ותחליט מה מתאים לך.

לדוגמא כל הנושא של openwrt, לדעתי, הוא נחמד מאד אבל זה פרוייקט קהילתי בניגוד למשהו בעל גב של גוף עסקי עם אינטרסיים כלכליים (לטוב ולרע). אם מחר תצא גירסת openwrt עם בעיות אבטחה או יציבות האם באמת תוכל לבוא בטענות למתנדבים שמפתחים בזמנם החופשי ובחינם? שלא לדבר על הקלות היחסית של לעשות brick או לצרוב "לא טוב" קושחות כאלה ועקומות הלימוד המטורפת שלהם. זה כמובן לא אומר שהכל וורוד אצל חברות עסקיות אבל עדיין חברה עסקית תספוג לפחות פגיעה מסויימת (כלכלית) אם תעשה שטויות מספיק חמורות.

אם יש אופציות נוספות רלוונטיות אשמח להכיר אותם.