🥇Netzwerk für kleine Unternehmen mit Cisco-Ausrüstung. Teil 1

Willkommen, geschätzte Habr-Bewohner und zufällige Gäste. In diesem Artikelzyklus geht es um den Aufbau eines einfachen Netzwerks für ein Unternehmen, das nicht zu hohe Anforderungen an seine IT-Infrastruktur stellt, gleichzeitig jedoch den Mitarbeitern eine qualitativ hochwertige Internetverbindung, Zugang zu gemeinsamen Dateiräumen, VPN-Zugänge zu den Arbeitsplätzen sowie den Anschluss eines Überwachungssystems bieten muss, auf das von überall auf der Welt zugegriffen werden kann. Für den kleinen Unternehmenssektor ist schnelles Wachstum und damit verbunden die Neuplanung des Netzwerks sehr typisch. In diesem Artikel beginnen wir mit einem Büro mit 15 Arbeitsplätzen und werden das Netzwerk weiter ausbauen. Wenn Sie an einem bestimmten Thema interessiert sind, schreiben Sie in die Kommentare, wir werden versuchen, es in den Artikel einzufügen. Ich gehe davon aus, dass der Leser mit den Grundlagen der Computernetzwerke vertraut ist, aber ich werde Links zu Wikipedia für alle technischen Begriffe bereitstellen; falls etwas unklar ist – klicken Sie darauf und korrigieren Sie diesen Mangel.

Lass uns anfangen. Jedes Netzwerk beginnt mit einer Standortbesichtigung und der Erfassung der Anforderungen des Kunden, die später in ein Pflichtenheft umgewandelt werden. Oft versteht der Auftraggeber selbst nicht genau, was er möchte und was er dafür benötigt, daher müssen wir ihn darauf hinweisen, was wir umsetzen können, aber das ist mehr die Aufgabe eines Verkaufsberaters. Wir sind hier für den technischen Teil zuständig, also nehmen wir an, dass uns folgende Ausgangsanforderungen vorliegen:

17 Arbeitsplätze mit Desktop-PCs
Netzwerkspeicher (NAS)
Überwachungssystem unter Verwendung von NVR und IP-Kameras (8 Stück)
WLAN-Abdeckung im Büro, Vorhandensein von zwei Netzwerken (internem und Gäste-Netzwerk)
Möglichkeit zur Hinzufügung von Netzwerkdruckern (bis zu 3 Stück)
Aussicht auf die Eröffnung eines zweiten Büros am anderen Ende der Stadt

Auswahl der Hardware

Ich werde nicht auf die Auswahl des Anbieters näher eingehen, da dies ein Thema ist, das seit Generationen diskutiert wird. Lassen wir es dabei, dass wir uns bereits für eine Marke entschieden haben, und zwar Cisco.

Die Grundlage des Netzwerks ist Router (Router). Es ist wichtig, unsere Bedürfnisse zu bewerten, da wir in Zukunft eine Netzwerkexpansion planen. Der Kauf eines Routers mit entsprechender Reserve wird dem Kunden Geld bei der Erweiterung sparen, auch wenn er in der ersten Phase etwas teurer ist. Cisco bietet für den kleinen Geschäftsbereich die Serie Rvxxx an, die Router für Homeoffices umfasst (RV1xx, die häufig über ein eingebautes Wi-Fi-Modul verfügen), die auf die Verbindung mehrerer Arbeitsstationen und eines Netzwerkspeichers ausgelegt sind. Diese interessieren uns jedoch nicht, da sie recht eingeschränkte VPN-Funktionen und eine vergleichsweise geringe Bandbreite haben. Auch das integrierte drahtlose Modul ist für uns nicht relevant, da eine Platzierung im Technikraum im Rack vorgesehen ist, Wi-Fi wird mit Hilfe von AP organisiert (Access Point’s). Unsere Wahl fällt auf den RV320, der das Einstiegsmodell der übergeordneten Serie ist. Wir haben keinen Bedarf an einer großen Anzahl von Ports im integrierten Switch, da der Switch separat sein wird, um eine ausreichende Anzahl von Ports zu gewährleisten. Zu den Hauptvorteilen des Routers gehört eine recht hohe Bandbreite VPN des Servers (75 Mbit/s), die Verfügbarkeit einer Lizenz für 10 VPN-Tunnel und die Möglichkeit, einen Site-to-Site VPN-Tunnel einzurichten. Ein weiterer wichtiger Punkt ist die Verfügbarkeit eines zweiten WAN-Ports für die Gewährleistung einer zusätzlichen Internetverbindung.

Nach dem Router folgt ein Switch. Das wichtigste Kriterium eines Switches ist die Vielzahl der Funktionen, die er bietet. Doch zuerst zählen wir die Ports. In unserem Fall planen wir, an den Switch anzuschließen: 17 PCs, 2 APs (Wi-Fi-Zugangspunkte), 8 IP-Kameras, 1 NAS, 3 Netzwerkdrucker. Durch einfache Arithmetik erhalten wir die Zahl 31, die der Anzahl der Geräte entspricht, die ursprünglich mit dem Netzwerk verbunden sind, und wir fügen 2 hinzu Uplinks (wir planen schließlich, das Netzwerk zu erweitern) und landen bei 48 Ports. Jetzt zum Funktionsumfang: Unser Switch sollte in der Lage sein VLAN, möglichst alle 4096, wären auch nicht schlecht SFP -Slots, da eine Verbindung des Switches am anderen Ende des Gebäudes mithilfe von Optik möglich ist. Er sollte auch in einem geschlossenen Kreis arbeiten können, was uns eine Verlinkungsreservierung ermöglicht (STP - Spanning Tree Protocol), zudem werden AP und Kameras über Twisted-Pair-Kabel mit Strom versorgt, weshalb es notwendig ist, dass PoE (Details zu Protokollen finden Sie in der Wiki, die Namen sind anklickbar). Zu komplex L3 Die Funktionen sind für uns nicht erforderlich, daher fällt unsere Wahl auf den Cisco SG250-50P, da er über die für uns ausreichenden Funktionen verfügt und gleichzeitig keine überflüssigen Funktionen enthält. Über Wi-Fi werden wir im nächsten Artikel sprechen, da dies ein recht umfangreiches Thema ist. Dort werden wir auch die Wahl des AP besprechen. NAS und Kameras wählen wir nicht aus, da wir davon ausgehen, dass sich andere Leute darum kümmern. Uns interessiert nur das Netzwerk.

Planung

Zunächst werden wir klären, welche virtuellen Netzwerke wir benötigen (was virtuelle VLAN-Netzwerke sind, können Sie in Wikipedia nachlesen). Also haben wir mehrere logische Segmente des Netzwerks:

Client-Arbeitsstationen (PC)
Server (NAS)
Videoüberwachung
Gägeräte (WiFi)

Außerdem werden wir aus guten Gründen die Verwaltungsoberfläche der Geräte in ein separates VLAN auslagern. VLANs können in beliebiger Reihenfolge nummeriert werden, ich wähle folgende:

VLAN10 Verwaltung (MGMT)
VLAN50 Server
VLAN100 LAN + WiFi
VLAN150 Gästen WiFi (V-WiFi)
VLAN200 Kameras

Als Nächstes erstellen wir einen IP-Plan, wir werden verwenden eine Maske von 24 Bit und das Subnetz 192.168.x.x. Lassen Sie uns anfangen.

Im reservierten Pool werden Adressen sein, die statisch konfiguriert werden (Drucker, Server, Verwaltungsoberflächen usw., für die Clients DHCP wird eine dynamische Adresse vergeben).

Hier haben wir die IP-Adressen geplant, es gibt ein paar Punkte, auf die ich hinweisen möchte:

Im Verwaltungsnetz macht es keinen Sinn, DHCP zu aktivieren, genauso wenig wie im Serverraum, da alle Adressen manuell bei der Konfiguration der Geräte zugewiesen werden. Einige lassen einen kleinen DHCP-Pool für den Fall, dass neue Geräte angeschlossen werden, um diese zunächst zu konfigurieren, aber ich bin es gewohnt und empfehle Ihnen, die Geräte nicht beim Kunden, sondern bei sich am Tisch zu konfigurieren, daher mache ich diesen Pool hier nicht.
Einige Kameramodelle benötigen möglicherweise eine statische Adresse, wir gehen jedoch davon aus, dass die Kameras diese automatisch erhalten.
Im lokalen Netzwerk lassen wir einen Pool für Drucker, da der Dienst für Netzwerkdruck mit dynamischen Adressen nicht besonders zuverlässig arbeitet.

Router-Konfiguration

Nun, schließlich kommen wir zur Konfiguration. Wir nehmen ein Patchkabel und schließen uns an einen der vier LAN-Ports des Routers an. Der DHCP-Server ist standardmäßig auf dem Router aktiviert und ist unter der Adresse 192.168.1.1 erreichbar. Dies können Sie mit dem Konsolenprogramm ipconfig überprüfen, dessen Ausgabe unseren Router als Standardgateway anzeigen wird. Lassen Sie uns das überprüfen:

Im Browser gehen wir zu dieser Adresse, bestätigen die unsichere Verbindung und loggen uns mit dem Benutzernamen/Passwort cisco/cisco ein. Ändern Sie sofort das Passwort in ein sicheres. Gehen Sie als erstes zum Reiter Setup, Abschnitt Netzwerk, und vergeben Sie hier einen Namen und einen Domainnamen für den Router.

Jetzt fügen wir unserem Router VLANs hinzu. Gehen Sie zu Port Management/VLAN Membership. Uns wird eine Tabelle der standardmäßig konfigurierten VLANs angezeigt.

Diese brauchen wir nicht, wir löschen alles außer dem ersten, da es das Standard-VLAN ist und wir es nicht löschen können. Hier fügen wir die VLANs hinzu, die wir geplant haben. Vergessen Sie nicht, das Kästchen oben zu aktivieren. Außerdem erlauben wir die Geräteverwaltung nur aus dem Verwaltungsnetzwerk, und die Routing-Funktion zwischen den Netzwerken erlauben wir überall, außer im Gastnetzwerk. Die Ports konfigurieren wir etwas später.

Jetzt konfigurieren wir die DHCP-Server gemäß unserer Tabelle. Dazu gehen wir zu DHCP/DHCP Setup.
Für Netzwerke, in denen DHCP deaktiviert ist, konfigurieren wir nur die Gateway-Adresse, die die erste im Subnetz sein wird (entsprechend auch die Subnetzmaske).

In Netzwerken mit DHCP ist es recht einfach, wir konfigurieren ebenfalls die Gateway-Adresse und listen darunter die Pools und DNS-Server auf:

Damit haben wir uns mit DHCP beschäftigt. Jetzt werden die Clients, die mit dem lokalen Netzwerk verbunden sind, automatisch eine Adresse erhalten. Lassen Sie uns jetzt die Ports konfigurieren (Ports werden nach Standard konfiguriert 802.1q, der Link ist anklickbar, Sie können ihn sich ansehen). Da davon ausgegangen wird, dass alle Clients über verwaltete Switches mit einer untagged (nativ) VLAN verbunden sind, wird auf allen Ports MGMT eingestellt, das bedeutet, dass jedes Gerät, das an diesen Port angeschlossen wird, in dieses Netzwerk gelangt (weitere Informationen hier). Kehren Sie zu Port Management/VLAN Membership zurück und konfigurieren Sie dies. VLAN1 bleibt an allen Ports auf Excluded, wir benötigen es nicht.

Jetzt müssen wir auf unserer Netzwerkkarte eine statische Adresse aus dem Verwaltungsnetz konfigurieren, da wir nach dem Drücken auf 'Speichern' in dieses Subnetz gelangt sind und hier kein DHCP-Server vorhanden ist. Gehen Sie zu den Einstellungen des Netzwerkadapters und konfigurieren Sie die Adresse. Danach ist der Router unter der Adresse 192.168.10.1 erreichbar.

Lassen Sie uns unsere Internetverbindung konfigurieren. Nehmen wir an, wir haben eine statische Adresse vom Anbieter erhalten. Gehen Sie zu Setup/Network, markieren Sie unten WAN1 und klicken Sie auf Bearbeiten. Wählen Sie Static IP und konfigurieren Sie Ihre Adresse.

Und das letzte für heute – wir konfigurieren den Remote-Zugang. Gehen Sie dazu zu Firewall/General und aktivieren Sie das Kästchen für Remote Management und konfigurieren bei Bedarf den Port.

Für heute wäre das wohl alles. Am Ende des Artikels haben wir einen grundlegend konfigurierten Router, mit dem wir Zugang zum Internet erhalten können. Der Umfang des Artikels ist größer als ich angenommen hatte, deswegen werden wir im nächsten Teil die Routerkonfiguration abschließen, das VPN einrichten, die Firewall und das Logging konfigurieren sowie den Switch einstellen und können dann unser Büro in Betrieb nehmen. Ich hoffe, dass der Artikel für Sie zumindest ein wenig nützlich und lehrreich war. Ich schreibe zum ersten Mal und würde mich sehr über konstruktive Kritik und Fragen freuen, ich werde versuchen, allen zu antworten und Ihre Anmerkungen zu berücksichtigen. Auch, wie ich zu Beginn schrieb, sind Ihre Gedanken dazu, was sonst noch im Büro erscheinen könnte und was wir noch konfigurieren werden, willkommen.