🥇 Rete per piccole imprese con attrezzature Cisco. Parte 1

Salve, cari membri di Habr e visitatori casuali. In questo ciclo di articoli si parlerà della costruzione di una rete semplice per un'azienda che non ha esigenze troppo elevate per la sua infrastruttura IT, ma che allo stesso tempo ha bisogno di fornire ai propri dipendenti una connessione di qualità a Internet, accesso a risorse file condivise, supporto VPN per il lavoro e collegamento a un sistema di videosorveglianza, accessibile da qualsiasi punto del mondo. Per il segmento delle piccole imprese è molto comune una rapida crescita e, di conseguenza, una ripianificazione della rete. In questo articolo inizieremo con un ufficio di 15 posti di lavoro e poi espanderemo la rete. Quindi, se avete interesse in qualche argomento, scrivete nei commenti, cercheremo di integrarlo nell'articolo. Presumerò che il lettore sia a conoscenza delle basi delle reti informatiche, ma per tutti i termini tecnici fornirò link a Wikipedia; se qualcosa non è chiaro — cliccate e correggete questo difetto.

Dunque, iniziamo. Qualsiasi rete inizia con un'analisi del terreno e la raccolta delle esigenze del cliente, che saranno successivamente formulate nel documento di specifiche. Spesso il cliente stesso non comprende fino in fondo cosa desidera e cosa gli serve, quindi è necessario guidarlo verso ciò che possiamo realizzare; questa è più una funzione del rappresentante commerciale, noi ci occupiamo della parte tecnica, quindi supponiamo di avere le seguenti esigenze iniziali:

17 posti di lavoro con PC fissi
Storage di rete (NAS)
Sistema di videosorveglianza utilizzando NVR e telecamere IP (8 pezzi)
Copertura Wi-Fi dell'ufficio, con due reti (interna e ospite)
Possibilità di aggiungere stampanti di rete (fino a 3 pezzi)
Prospettiva di apertura di un secondo ufficio dall'altra parte della città

Selezione dell'hardware

Non approfondirò la selezione del fornitore, poiché si tratta di una questione che genera dibattiti secolari; ci fermeremo a dire che il brand è già stato definito, si tratta di Cisco.

La base della rete è un router (router). È importante valutare le nostre esigenze, poiché in futuro prevediamo di espandere la rete. L'acquisto di un router con un margine di riserva per questo farà risparmiare denaro al cliente durante l'espansione, anche se sarà leggermente più costoso nella fase iniziale. Cisco offre per il segmento delle piccole imprese la serie Rvxxx, che include router per uffici domestici (RV1xx, spesso dotati di modulo Wi-Fi integrato), progettati per collegare diverse stazioni di lavoro e storage di rete. Ma non ci interessano, poiché hanno capacità VPN piuttosto limitate e una larghezza di banda relativamente bassa. Inoltre, non ci interessa il modulo wireless integrato, poiché si prevede di posizionarlo in una sala tecnica in un rack; il Wi-Fi sarà organizzato tramite AP (Punti di Accesso). La nostra scelta ricadrà su RV320, che è il modello più semplice della serie superiore. Non abbiamo bisogno di un gran numero di porte nello switch integrato, poiché avremo uno switch separato per garantire un numero sufficiente di porte. Tra i principali vantaggi del router c'è un'ampia larghezza di banda VPN del server (75 Mbps), la disponibilità di una licenza per 10 tunnel VPN e la possibilità di stabilire un tunnel VPN Site-to-site. Un aspetto importante è la presenza di una seconda porta WAN per garantire una connessione Internet di riserva.

Dietro il router si trova uno switch. Il parametro più importante dello switch è l'insieme delle funzionalità che offre. Ma per iniziare, contiamo le porte. Nel nostro caso prevediamo di collegare allo switch: 17 PC, 2 AP (punti di accesso Wi-Fi), 8 telecamere IP, 1 NAS, 3 stampanti di rete. Con un po' di aritmetica otteniamo il numero 31, corrispondente al numero di dispositivi inizialmente collegati alla rete, a cui aggiungiamo 2 uplink (prevediamo infatti di espandere la rete), e ci fermeremo a 48 porte. Ora, riguardo alle funzionalità: il nostro switch deve saper gestire VLAN, preferibilmente tutte le 4096, sono gradite SFP , poiché sarà possibile collegare lo switch dall'altra parte dell'edificio tramite fibra ottica, deve saper operare in anello chiuso, permettendo il backup dei collegamenti (STP - Spanning Tree Protocol), inoltre gli AP e le telecamere saranno alimentati tramite coppia intrecciata, quindi è necessario avere PoE (puoi leggere di più sui protocolli nella wiki, i nomi sono cliccabili). Troppo complicato L3 non abbiamo bisogno di funzionalità avanzate, quindi la nostra scelta cadrà su Cisco SG250-50P, poiché offre funzionalità sufficienti per noi senza includere funzioni superflue. Parleremo del Wi-Fi nel prossimo articolo, poiché è un argomento piuttosto ampio. Qui discuteremo anche della scelta dell'AP. Non selezioniamo NAS e telecamere, presumiamo che queste siano gestite da altre persone, a noi interessa solo la rete.

Pianificazione

Per cominciare, definiamo quali reti virtuali ci servono (puoi leggere cosa sono le VLAN su Wikipedia). Dunque, abbiamo diversi segmenti logici di rete:

Postazioni di lavoro dei client (PC)
Server (NAS)
Videosorveglianza
Dispositivi ospiti (WiFi)

Inoltre, per buone pratiche, separeremo l'interfaccia di gestione dei dispositivi in una VLAN dedicata. Le VLAN possono essere numerate in qualsiasi ordine, io sceglierò questo:

VLAN10 Management (MGMT)
VLAN50 Server’s
VLAN100 LAN+WiFi
VLAN150 Visitor’s WiFI (V-WiFi)
VLAN200 CAM’s

Successivamente, creeremo un piano IP, utilizzeremo una maschera di 24 bit e la subnet 192.168.x.x. Iniziamo.

Nel pool riservato ci saranno indirizzi che saranno configurati staticamente (stampanti, server, interfacce di gestione, ecc., per i clienti DHCP riceveranno un indirizzo dinamico).

Ecco che abbiamo previsto gli indirizzi IP, ci sono un paio di punti su cui vorrei richiamare l'attenzione:

Nella rete di gestione non ha senso attivare DHCP, esattamente come nel server, poiché tutti gli indirizzi vengono assegnati manualmente durante la configurazione delle attrezzature. Alcuni lasciano un piccolo pool DHCP nel caso di connessione di nuove attrezzature, per la loro configurazione iniziale, ma io sono abituato e ti consiglio di configurare le attrezzature non dal cliente, ma sulla tua scrivania, quindi non creo questo pool.
Alcuni modelli di telecamere potrebbero richiedere un indirizzo statico, ma noi presupponiamo che le telecamere lo ricevano automaticamente.
Nella rete locale lasciamo un pool per le stampanti, poiché il servizio di stampa di rete non funziona molto bene con indirizzi dinamici.

Configurazione del router

Finalmente passiamo alla configurazione. Prendiamo un cavo patch e ci colleghiamo a una delle quattro porte LAN del router. Per impostazione predefinita, il router ha attivato il server DHCP ed è accessibile all'indirizzo 192.168.1.1. Possiamo verificarlo utilizzando l'utility da console ipconfig, il cui output mostrerà il nostro router come gateway predefinito. Verifichiamo:

Nel browser andiamo a questo indirizzo, confermiamo la connessione non sicura e ci colleghiamo con le credenziali cisco/cisco. Cambiamo subito la password con una sicura. E per prima cosa andiamo alla scheda Setup, alla sezione Network, dove assegniamo un nome e un dominio al router.

Ora aggiungiamo le VLAN al nostro router. Andiamo su Port Management/VLAN Membership. Ci incontreremo con una tabella delle VLAN preimpostate.

Non ci servono, quindi eliminiamo tutto tranne la prima, poiché è quella di default e non può essere rimossa. Aggiungiamo le VLAN che abbiamo pianificato. Non dimentichiamo di spuntare la casella in alto. Inoltre, consentiamo la gestione dei dispositivi solo dalla rete di gestione, e abilitiamo il routing tra le reti ovunque tranne che nella rete ospite. Configureremo le porte un po' più tardi.

Ora configuriamo i server DHCP secondo la nostra tabella. Per fare ciò, andiamo su DHCP/DHCP Setup.
Per le reti in cui il DHCP sarà disabilitato, configureremo solo l'indirizzo del gateway, che sarà il primo nella sottorete (e di conseguenza anche la maschera).

Nelle reti con DHCP tutto è abbastanza semplice, configuriamo anche l'indirizzo del gateway, e in basso scriviamo i pool e i DNS:

A questo punto abbiamo configurato il DHCP, ora i client collegati alla rete locale riceveranno l'indirizzo automaticamente. Ora configuriamo le porte (le porte sono configurate secondo lo standard 802.1q, il link è cliccabile, puoi consultarne i dettagli). Poiché si presume che tutti i client saranno collegati tramite switch gestiti nella VLAN non taggata (nativa), su tutte le porte sarà MGMT, questo significa che qualsiasi dispositivo collegato a questa porta entrerà in questa rete (ulteriori dettagli qui). Torniamo su Port Management/VLAN Membership e configuriamo tutto ciò. VLAN1 su tutte le porte la lasciamo esclusa, non ci serve.

Ora sulla nostra scheda di rete dobbiamo configurare un indirizzo statico dalla sottorete di gestione, poiché siamo entrati in questa sottorete dopo aver cliccato su "salva", e qui non ci sono server DHCP. Andiamo alle impostazioni dell'adattatore di rete e configuriamo l'indirizzo. Dopo questo, il router sarà accessibile all'indirizzo 192.168.10.1.

Configurando la nostra connessione a Internet. Supponiamo che abbiamo ricevuto un indirizzo statico dal provider. Andiamo su Setup/Network, in basso selezioniamo WAN1, facciamo clic su Modifica. Selezioniamo Indirizzo statico e configuriamo il nostro indirizzo.

E infine per oggi — configuriamo l'accesso remoto. Per fare questo, andiamo su Firewall/Generale e spuntiamo la casella Gestione remota, configurando il porto se necessario.

Per oggi, direi che è tutto. Alla fine dell'articolo abbiamo un router configurato di base, con il quale possiamo accedere a Internet. La lunghezza dell'articolo è maggiore di quanto avessi previsto, quindi nella prossima parte completeremo la configurazione del router, attiveremo la VPN, configureremo il firewall e la registrazione, e configureremo anche lo switch, in modo da poter avviare il nostro ufficio. Spero che l'articolo sia stato almeno un po' utile e informativo per voi. Scrivo per la prima volta, sarei molto felice di ricevere critiche costruttive e domande, cercherò di rispondere a tutti e prenderò in considerazione i vostri commenti. Come ho scritto all'inizio, sono molto graditi i vostri pensieri su ciò che potrebbe ancora apparire in ufficio e su cosa altro configureremo.