Üdvözlöm a kedves Habr-lakókat és az alkalmi látogatókat. Ebben a cikkciklusban egy egyszerű hálózat felépítéséről lesz szó egy olyan cég számára, amely nem túl igényes az IT infrastruktúrájára, de ugyanakkor szüksége van a munkatársai számára a minőségi internetkapcsolatra, közös fájlforrások elérhetőségére, VPN hozzáférés biztosítására a munkához, valamint videomegfigyelő rendszer csatlakoztatására, amelyhez bárhonnan hozzáférhetnek. A kisvállalkozások számára nagyon jellemző a gyors növekedés és ennek megfelelően a hálózat átszervezése. Ebben a cikkben egy 15 munkahelyes irodával kezdünk, és folytatjuk a hálózat bővítését. Ha érdekel valamilyen téma, írj a kommentekbe, próbáljuk meg beépíteni a cikkbe. Felteszem, hogy az olvasó ismeri a számítógépes hálózatok alapjait, de minden technikai kifejezésnél linket adok a Wikipédiához, ha valami nem világos – kattints és javítsd ezt a hiányosságot.
Tehát kezdjük. Bármely hálózat a terület felmérésével és a kliens követelményeinek megismerésével kezdődik, amely később technikai specifikációvá (TSZ) alakul. Gyakran a megrendelő maga sem érti teljesen, hogy mit szeretne és mire van szüksége, ezért szükséges irányítani őt afelé, hogy mit tudunk megvalósítani. Ez inkább egy kereskedelmi képviselő munkája, mi pedig a technikai részét biztosítjuk, tehát tételezzük fel, hogy ilyen alapvető követelményekkel kerültek hozzánk:
- 17 munkahely állandó PC-kkel
- Hálózati tároló ()
- Videomegfigyelő rendszer használatával és IP kamerák (8 darab)
- Az iroda Wi-Fi lefedettsége, belső és vendég hálózat megléte
- Hálózati nyomtatók hozzáadása (legfeljebb 3 darab) lehetséges
- A második iroda megnyitásának lehetősége a város másik végén
Felszerelés kiválasztása
Nem szeretnék mélyebben belemenni a gyártó kiválasztásába, mivel ez egy örök vitát gerjesztő kérdés, maradjunk annyiban, hogy már döntöttünk a márkáról, ez a Cisco.
A hálózat alapja a (router). Fontos felmérni igényeinket, mivel a jövőben hálózatbővítést tervezünk. A router előre tervezett megvásárlása megtakarítást jelent a megrendelőnek a bővítés során, még ha az első lépésben kicsit drágább is. A Cisco a kisvállalkozások számára az Rvxxx sorozatot ajánlja, amelyben otthoni irodák számára készült routerek szerepelnek (RV1xx, amelyek gyakran beépített Wi-Fi modullal rendelkeznek), és amelyek több munkaállomás és hálózati tároló csatlakoztatására vannak tervezve. De minket ezek nem érdekelnek, mivel korlátozott VPN lehetőségeik és viszonylag alacsony átvitelük van. Ezenkívül nem érdekel minket a beépített vezeték nélküli modul sem, mivel a technikai helyiségben, a fali szekrényben fogunk elhelyezkedni, a Wi-Fi-t AP-val fogjuk megoldani (). A választásunk az RV320-ra fog esni, ami az idősebb sorozat fiatalabb modellje. Nincs szükségünk sok porttal rendelkező beépített switchre, mivel külön switchet fogunk használni, hogy elegendő portot biztosítsunk. A router fő előnyei közé tartozik a viszonylag magas átvitel (75 Mbps), 10 VPN alagút licencének megléte és a Site-2-site VPN alagút létrehozásának lehetősége. Fontos szempont a második WAN port megléte is, amely a tartalék internetkapcsolat biztosítását szolgálja.
A router után . A switch legfontosabb paramétere a funkciókészlet, amellyel rendelkezik. De először nézzük meg a portokat. Az esetünkben a switchhez tervezett csatlakozások: 17 PC, 2 AP (Wi-Fi hozzáférési pont), 8 IP kamera, 1 NAS és 3 hálózati nyomtató. Az aritmetika alapján 31 eszközre jutunk, amelyeket eredetileg a hálózathoz csatlakoztatunk, ehhez adunk még hozzá 2 (ugyanis bővíteni tervezzük a hálózatot), így 48 porton állapodunk meg. Most a funkciókra: a switchnak tudnia kell , lehetőleg mind a 4096, nem ártana helyek, mivel lehetőség lesz a switch csatlakoztatására az épület másik végén optika segítségével, fontos, hogy zárt körben tudjon működni, ami lehetővé teszi számunkra a linkek tartalékba helyezését (), és az AP-k és kamerák is táplálva lesznek a sodrott érpárokon, ezért szükséges a megléte (a protokollokról bővebben olvashat a wikin, a nevek kattinthatók). Túl bonyolult Nincs szükségünk funkciókra, ezért a választásunk a Cisco SG250-50P-re esik, mivel elegendő funkcióval rendelkezik számunkra, ugyanakkor nem tartalmaz felesleges jellemzőket. A Wi-Fi-ről a következő cikkben fogunk beszélni, mivel ez egy eléggé kiterjedt téma. Ott fogunk foglalkozni az AP kiválasztásával is. NAS-t és kamerákat nem választunk, feltételezzük, hogy ezzel mások foglalkoznak, minket pedig csak a hálózat érdekel.
Tervezés
Először határozzuk meg, hogy milyen virtuális hálózatokra van szükségünk (a VLAN virtuális hálózatokról a Wikipédián olvashat). Tehát néhány logikai szegmense van a hálózatnak:
- Ügyféllaptopok (PC)
- Szerver (NAS)
- Videomegfigyelés
- Vendégkészülékek (WiFi)
Továbbá, a jó modor szabályai szerint a készülékek kezelésének felületét egy külön VLAN-ba helyezzük. A VLAN-okat bármilyen sorrendben számozhatjuk, én ezt választom:
- VLAN10 Management (MGMT)
- VLAN50 Szerverek
- VLAN100 LAN+WiFi
- VLAN150 Vendég WiFi (V-WiFi)
- VLAN200 CAM-ok
Ezután összeállítunk egy IP-tervet, amelyet a 24 bit és a 192.168.x.x subnetet fogjuk használni. Kezdjük el.
A tartalék poolban azok a címek fognak találhatóak, amelyeket statikusan fogunk beállítani (nyomtatók, szerverek, kezelőfelületek stb., az ügyfelek pedig dynamikusan kapnak címet).
Most már kalkuláltuk az IP-t, van itt pár dolog, amire szeretném felhívni a figyelmet:
- A kezelőhálózatban nincs értelme DHCP-t felállítani, akárcsak a szerver oldalon, mivel minden cím manuálisan van hozzárendelve a berendezések beállításakor. Néhányan hagynak egy kis DHCP-poolt az új berendezések csatlakozása esetére, a kezdeti konfigurációhoz, de én úgy vagyok vele, és ezt javaslom Önnek is, hogy a berendezések konfigurálását ne az ügyfélnél, hanem az íróasztalán végezze, ezért itt nem készítek ilyen poolt.
- Egyes kameramodellek statikus címet igényelhetnek, mi pedig azt feltételezzük, hogy a kamerák automatikusan kapják meg azt.
- A helyi hálózatban a poolt a nyomtatók számára tartjuk fenn, mivel a hálózati nyomtatási szolgáltatás nem igazán megbízhatóan működik dinamikus címekkel.
A router beállítása
Végre rátérhetünk a beállításokra. Fogjunk egy patch kábelt és csatlakozzunk a router bármelyik négy LAN portjához. Az alapértelmezett beállítás szerint a routeren be van kapcsolva a DHCP szerver, és elérhető a 192.168.1.1 címen. Ezt az ipconfig konzolos segédprogrammal ellenőrizhetjük, amelynek kimenetében a routerünk az alapértelmezett átjáróként fog szerepelni. Ellenőrizzük:
A böngészőben lépjünk erre a címre, erősítsük meg a nem biztonságos kapcsolatot, és jelentkezzünk be a cisco/cisco felhasználónév/jelszóval. Azonnal változtassuk meg a jelszavunkat biztonságosra. Első lépésként menjünk a Setup fülre, a Network részre, itt adjunk nevet és domain nevet a routernek.
Most adjunk VLAN-okat a routerünkhöz. Menjünk a Port Management/VLAN Membership menübe. Egy VLAN-ok táblázata fog fogadni minket, amelyeket alapértelmezés szerint állítottak be.
Nincs szükségünk rájuk, töröljük az összeset, kivéve az elsőt, mivel az alapértelmezett és azt nem lehet törölni. Itt adjuk hozzá az általunk tervezett VLAN-okat. Ne felejtsük el bepipálni a felső jelölőnégyzetet. Az eszközkezelést csak a kezelőhálózatból engedélyezzük, a hálózatok közötti forgalmat pedig mindenhol engedélyezzük, kivéve a vendéghálózatot. A portokat később állítjuk be.
Most állítsuk be a DHCP szervereket a táblázatunk alapján. Ehhez menjünk a DHCP/DHCP Setup menübe.
A hálózatok számára, ahol a DHCP le lesz tiltva, csak a hálózati átjáró címét állítjuk be, amely az első lesz a hálózatban (a maszkot is ennek megfelelően).
A DHCP-vel rendelkező hálózatokban minden egyszerűbb, itt is beállítjuk a hálózati átjárót, alatta megadjuk a tartományokat és a DNS-ket:
Ezzel megbirkóztunk a DHCP-vel, most a helyi hálózatra csatlakozó kliensgépek automatikusan kapják meg a címet. Most konfiguráljuk a portokat (a portok konfigurálása a szabványnak megfelelően: , a link kattintható, ismerkedjen meg vele). Mivel feltételezzük, hogy az összes kliens kezelt switcheken keresztül csatlakozik, a nem tagolt (natív) VLAN-on minden porton a MGMT lesz, ami azt jelenti, hogy bármely eszköz, amely erre a portra csatlakozik, ebbe a hálózatba fog kerülni (további részletek itt). Visszatérünk a Port Management/VLAN Membership menübe és beállítjuk ezt. A VLAN1-et minden porton Excluded állapotban hagyjuk, erre nincs szükségünk.
Most a hálózati kártyánkon be kell állítanunk egy statikus címet a kezelő hálózatból, mivel ebbe a hálózatba kerültünk, miután rákattintottunk a „mentés” gombra, és itt nincsenek DHCP szerverek. Menjünk a hálózati adapter beállításaiba és konfiguráljuk a címet. Ezt követően a router elérhető lesz a 192.168.10.1 címen.
Konfiguráljuk az internetkapcsolatunkat. Tegyük fel, hogy statikus címet kaptunk a szolgáltatótól. Menjünk a Setup/Network menübe, alul jelöljük be a WAN1-et, kattintsunk a Szerkesztésre. Válasszuk a Statikus IP-t és állítsuk be a címünket.
És végül mára — konfiguráljuk a távoli hozzáférést. Ehhez menjünk a Firewall/General menübe és pipáljuk ki a Remote Management-et, szükség szerint állítsuk be a portot.
Ma mára ennyi. A cikk végére egy alapvetően konfigurált routerrel rendelkezünk, amellyel hozzáférhetünk az internethez. A cikk terjedelme meghaladja az általam tervezettet, ezért a következő részben befejezzük a router beállítását, beüzemeljük a VPN-t, konfiguráljuk a tűzfalat és a naplózást, valamint beállítjuk a switch-et, és így már elindíthatjuk az irodánkat. Remélem, hogy a cikk bár kicsit is hasznos és tanulságos volt Önöknek. Először írok, nagyon örülnék a konstruktív kritikáknak és a kérdéseknek, megpróbálok mindenkinek válaszolni és figyelembe venni a megjegyzéseit. Ahogy az elején írtam, üdvözölném a gondolataikat arrol, hogy mi mindennel gazdagíthatnánk még az irodát, és mit állítanánk be még.
Az elérhetőségeim:
Telegram:
Skype/email: kashuba@antik.sk
Csatlakozzon, beszélgessünk.
Forrás: habr.com
