🥇Netzwerk für kleine Unternehmen mit Cisco-Hardware. Teil 1

Hallo, verehrte Habr-Bewohner und zufällige Gäste. In diesem Artikelzyklus geht es um den Aufbau eines einfachen Netzwerks für ein Unternehmen, das keine allzu hohen Anforderungen an seine IT-Infrastruktur stellt, aber dennoch seinen Mitarbeitern eine qualitativ hochwertige Internetverbindung, Zugang zu gemeinsamen Dateispeichern, VPN-Zugriff auf die Arbeitsplätze und die Integration eines Überwachungssystems benötigt, auf das von überall auf der Welt zugegriffen werden kann. Kleine Unternehmen sind oft von schnellem Wachstum geprägt, was häufig eine Umstrukturierung des Netzwerks erforderlich macht. In diesem Artikel beginnen wir mit einem Büro mit 15 Arbeitsplätzen und werden das Netzwerk schrittweise erweitern. Falls Sie an einem bestimmten Thema interessiert sind, schreiben Sie es in die Kommentare, und wir werden versuchen, es in den Artikel aufzunehmen. Ich gehe davon aus, dass die Leser mit den Grundlagen von Computernetzwerken vertraut sind, jedoch werde ich zu allen technischen Begriffen Links zu Wikipedia bereitstellen, falls etwas unklar ist – klicken Sie darauf und beheben Sie dieses Missverständnis.

Lassen Sie uns beginnen. Jedes Netzwerk beginnt mit einer Standortanalyse und dem Erfassen der Anforderungen des Kunden, die später in ein Lastenheft umgewandelt werden. Oft versteht der Kunde selbst nicht ganz, was er möchte und was dafür nötig ist, weshalb wir ihn darauf hinweisen müssen, was wir umsetzen können. Dies ist mehr eine Aufgabe des Vertriebsvertreters. Unser Fokus liegt jedoch auf den technischen Aspekten, daher nehmen wir an, dass uns folgende grundlegende Anforderungen zugetragen wurden:

17 Arbeitsplätze an Desktop-PCs
Netzwerkspeicher (NAS)
Überwachungssystem unter Verwendung von NVR und IP-Kameras (8 Stück)
Wi-Fi-Abdeckung im Büro, zwei Netzwerke (internes und Gäste-Netzwerk)
Möglichkeit zur Hinzufügung von Netzwerdruckern (bis zu 3 Stück)
Perspektive zur Eröffnung eines zweiten Büros am anderen Ende der Stadt

Auswahl der Hardware

Ich werde nicht näher auf die Auswahl des Anbieters eingehen, da dies ein Thema ist, das seit Jahrhunderten diskutiert wird. Lassen Sie uns einfach davon ausgehen, dass die Marke bereits gewählt wurde, und es ist Cisco.

Das Fundament des Netzwerks ist Router. (Router). Es ist wichtig, unsere Bedürfnisse zu evaluieren, da wir in Zukunft eine Netzwerkerweiterung planen. Der Kauf eines Routers mit einer entsprechenden Reserve wird dem Kunden Geld bei der Expansion sparen, auch wenn er anfangs etwas teurer ist. Cisco bietet für den SMB-Sektor die Serie Rvxxx an, in der Router für Heimarbeitsplätze (RV1xx, die häufig über ein integriertes Wi-Fi-Modul verfügen) enthalten sind, die für die Verbindung mehrerer Arbeitsstationen und eines Netzwerkspeichers ausgelegt sind. Diese sind für uns jedoch nicht von Interesse, da sie in Bezug auf VPN begrenzte Möglichkeiten und eine relativ geringe Bandbreite bieten. Zudem interessiert uns das integrierte WLAN-Modul nicht, da der Router im technischen Bereich in einem Rack platziert werden soll; das WLAN wird mit Hilfe von Access Points organisiert.Access Point’s. Unsere Wahl fällt auf den RV320, das Einstiegsmodell der oberen Serie. Wir benötigen keine große Anzahl von Ports im eingebauten Switch, da wir einen separaten Switch haben werden, um eine ausreichende Anzahl von Ports bereitzustellen. Zu den Hauptvorteilen des Routers gehört eine relativ hohe Bandbreite. VPN Server (75 Mbit/s), Lizenz für 10 VPN-Tunnel, Möglichkeit zur Einrichtung eines Site-to-Site-VPN-Tunnels. Ein weiterer wichtiger Punkt ist das Vorhandensein eines zweiten WAN-Ports zur Gewährleistung einer redundanten Internetverbindung.

Hinter dem Router folgt ein Switch. Der wichtigste Parameter eines Switches ist die Reihe von Funktionen, die er bietet. Aber zuerst zählen wir die Ports. In unserem Fall planen wir, Folgendes an den Switch anzuschließen: 17 PCs, 2 APs (WLAN-Zugangspunkte), 8 IP-Kameras, 1 NAS, 3 Netzwerkdrucker. Durch einfache Arithmetik kommen wir auf die Zahl 31, die der Anzahl der Geräte entspricht, die ursprünglich mit dem Netzwerk verbunden sind, plus 2 Uplinks (wir planen schließlich, das Netzwerk zu erweitern) und enden bei 48 Ports. Jetzt zum Funktionsumfang: Unser Switch sollte VLAN, idealerweise alle 4096, nicht schaden SFP -Slots, da es möglich sein wird, den Switch an einem anderen Ende des Gebäudes mit Glasfaser zu verbinden. Er sollte in der Lage sein, im geschlossenen Kreis zu arbeiten, was uns die Reservierung von Links ermöglicht (STP - Spanning Tree Protocol), außerdem werden APs und Kameras über Twisted Pair mit Strom versorgt, daher ist das Vorhandensein von PoE (weitere Informationen zu den Protokollen finden Sie in der Wiki, die Namen sind klickbar). Zu kompliziert. L3 Da wir die zusätzlichen Funktionen nicht benötigen, entscheiden wir uns für den Cisco SG250-50P, da er ausreichend Funktionen für uns bietet und gleichzeitig keine überflüssigen Features enthält. In einem nächsten Artikel werden wir über Wi-Fi sprechen, da dies ein umfangreiches Thema ist. Dort werden wir auch die Auswahl der APs behandeln. NAS und Kameras interessieren uns nicht, da wir annehmen, dass sich andere darum kümmern werden; uns interessiert nur das Netzwerk.

Planung

Zunächst bestimmen wir, welche virtuellen Netzwerke wir benötigen (was VLAN-Netzwerke sind, können Sie auf Wikipedia nachlesen). Wir haben also mehrere logische Netzwerksegmente:

Client-Arbeitsstationen (PCs)
Server (NAS)
Videoüberwachung
Gäste-Geräte (WiFi)

Außerdem, gemäß den Regeln guter Praktiken, wird die Verwaltungsschnittstelle der Geräte in ein separates VLAN ausgelagert. VLANs können in beliebiger Reihenfolge nummeriert werden, ich wähle folgende:

VLAN10 Management (MGMT)
VLAN50 Server
VLAN100 LAN+WiFi
VLAN150 Gäste-WiFi (V-WiFi)
VLAN200 Kameras

Als nächstes erstellen wir einen IP-Plan und verwenden eine Maske von 24 Bit und das Subnetz 192.168.x.x. Lassen Sie uns beginnen.

Im reservierten Pool werden Adressen vorhanden sein, die statisch konfiguriert sind (Drucker, Server, Verwaltungsinterfaces usw. für Kunden). DHCP wird eine dynamische Adresse vergeben).

Hier haben wir die IP durchdacht, und es gibt ein paar Punkte, auf die ich hinweisen möchte:

In einem Verwaltungsnetz macht es keinen Sinn, DHCP zu aktivieren, genau wie im Serverraum, da alle Adressen manuell bei der Einrichtung der Geräte zugewiesen werden. Einige hinterlassen einen kleinen DHCP-Pool für den Fall, dass neue Geräte angeschlossen werden müssen, um eine erste Konfiguration vorzunehmen, aber ich bevorzuge und empfehle Ihnen, die Geräte nicht beim Kunden, sondern am eigenen Schreibtisch zu konfigurieren, weshalb ich diesen Pool hier nicht einrichte.
Einige Kameramodelle könnten eine statische Adresse erfordern, wir gehen jedoch davon aus, dass die Kameras sie automatisch erhalten.
Im lokalen Netzwerk lassen wir den Pool für Drucker, da der Dienst für Netzwerkdruck nicht besonders zuverlässig mit dynamischen Adressen arbeitet.

Router-Konfiguration

Nun kommen wir endlich zur Einrichtung. Nehmen Sie ein Patchkabel und verbinden Sie sich mit einem der vier LAN-Ports des Routers. Standardmäßig ist der DHCP-Server im Router aktiviert und erreichbar unter der Adresse 192.168.1.1. Dies kann mit dem Konsolen-Tool ipconfig überprüft werden, dessen Ausgabe unseren Router als Standardgateway zeigt. Lassen Sie uns das überprüfen:

Im Browser gehen wir zu dieser Adresse, bestätigen die unsichere Verbindung und melden uns mit dem Benutzernamen/Password cisco/cisco an. Ändern Sie sofort das Passwort in ein sicheres. Zuerst gehen wir zum Tab Setup, Bereich Netzwerk, und vergeben einen Namen sowie einen Domainnamen für den Router.

Jetzt fügen wir VLANs zu unserem Router hinzu. Gehen Sie zu Port Management/VLAN Membership. Wir treffen auf eine Tabelle mit den standardmäßig konfigurierten VLANs.

Die benötigen wir nicht, also löschen wir alles außer dem ersten, da dies das Standard-VLAN ist und nicht gelöscht werden kann. Ergänzen wir hier die VLANs, die wir geplant haben. Vergessen Sie nicht, das Häkchen oben zu setzen. Zudem erlauben wir das Management nur aus dem Verwaltungsnetzwerk und erlauben das Routing zwischen den Netzwerken überall, außer im Gastnetzwerk. Die Portkonfiguration nehmen wir etwas später vor.

Jetzt konfigurieren wir die DHCP-Server gemäß unserer Tabelle. Dafür gehen wir zu DHCP/DHCP Setup.
Für Netzwerke, in denen DHCP deaktiviert ist, konfigurieren wir lediglich die Gateway-Adresse, die die erste in diesem Subnetz sein wird (entsprechend auch die Subnetzmaske).

In Netzwerken mit DHCP ist alles recht einfach, wir konfigurieren ebenfalls die Gateway-Adresse, und darunter listen wir die Pools und DNS-Server auf:

Damit haben wir DHCP behandelt. Jetzt werden die Clients, die sich im lokalen Netzwerk befinden, automatisch eine Adresse erhalten. Nun konfigurieren wir die Ports (die Ports werden nach dem Standard konfiguriert, 802.1q, der Link ist klickbar, Sie können ihn einsehen). Da angenommen wird, dass alle Clients über verwaltete Switches mit untagged (nativem) VLAN verbunden sind, wird auf allen Ports MGMT eingestellt. Das bedeutet, dass jedes Gerät, das an diesen Port angeschlossen wird, in dieses Netzwerk gelangt (weiterführende Informationen hier). Wir kehren zu Port Management / VLAN Membership zurück und konfigurieren dies. VLAN1 lassen wir auf allen Ports als Excluded, da wir es nicht benötigen.

Jetzt müssen wir auf unserer Netzwerkkarte eine statische Adresse aus dem Management-Subnetz konfigurieren, da wir in dieses Subnetz gelangt sind, nachdem wir auf „Speichern“ geklickt haben, und hier kein DHCP-Server vorhanden ist. Gehen Sie zu den Einstellungen des Netzwerkadapters und konfigurieren Sie die Adresse. Nach dieser Einstellung wird der Router unter der Adresse 192.168.10.1 verfügbar sein.

Wir richten unsere Internetverbindung ein. Angenommen, wir haben eine statische IP-Adresse vom Anbieter erhalten. Gehen Sie zu Setup/Netzwerk, markieren Sie unten WAN1 und klicken Sie auf Bearbeiten. Wählen Sie Statische IP aus und konfigurieren Sie Ihre Adresse.

Und zuletzt für heute – konfigurieren wir den Fernzugriff. Dazu gehen wir zu Firewall/Allgemein und aktivieren das Kästchen für Fernverwaltung und konfigurieren den Port nach Bedarf.

Das war's für heute. Am Ende dieses Artikels haben wir einen grundlegend konfigurierten Router, mit dem wir auf das Internet zugreifen können. Der Artikel ist umfangreicher geworden als erwartet, daher werden wir im nächsten Teil die Router-Konfiguration abschließen, ein VPN aufsetzen, die Firewall und das Logging einrichten und den Switch konfigurieren, damit wir unser Büro in Betrieb nehmen können. Ich hoffe, der Artikel war für Sie zumindest ein wenig nützlich und informativ. Dies ist mein erster Bericht, und ich werde mich sehr über konstruktive Kritik und Fragen freuen; ich werde versuchen, allen zu antworten und Ihre Anmerkungen zu berücksichtigen. Wie ich zu Beginn erwähnt habe, sind auch Ihre Gedanken dazu willkommen, was noch in das Büro integriert werden kann und was wir weiter konfigurieren werden.