🥇 Rete per piccole imprese con attrezzature Cisco. Parte 1

Salve, cari membri di Habr e visitatori occasionali. In questo ciclo di articoli parleremo della costruzione di una rete semplice per un'azienda che non è troppo esigente in termini di infrastruttura IT, ma che ha comunque bisogno di garantire ai propri dipendenti una connessione di qualità a Internet, accesso a risorse condivise, VPN per il lavoro e collegamento di un sistema di videosorveglianza accessibile da qualsiasi parte del mondo. Per il segmento delle piccole imprese, la crescita rapida e la conseguente ripianificazione della rete sono molto comuni. In questo articolo inizieremo con un ufficio di 15 postazioni e poi espanderemo la rete. Se c'è un argomento di interesse, scrivetelo nei commenti e cercheremo di integrarlo nell'articolo. Presumo che il lettore conosca le basi delle reti informatiche, ma per tutti i termini tecnici fornirò link a Wikipedia; se qualcosa non è chiaro, cliccate e correggete questa mancanza.

Iniziamo. Qualsiasi rete inizia con un'analisi del sito e la raccolta dei requisiti del cliente, che poi saranno tradotti in un documento di specifica. Spesso il cliente stesso non comprende fino in fondo cosa desidera e di cosa ha bisogno, quindi è necessario guidarlo verso ciò che possiamo realizzare. Tuttavia, questo è più un compito del rappresentante commerciale, mentre noi ci occupiamo della parte tecnica. Pertanto, supponiamo di ricevere i seguenti requisiti iniziali:

17 postazioni con PC fissi
Storage di rete (NAS)
Sistema di videosorveglianza utilizzando NVR e telecamere IP (8 unità)
Copertura Wi-Fi dell'ufficio, presenza di due reti (interno e ospiti)
Possibilità di aggiungere stampanti di rete (fino a 3 unità)
Prospettiva di apertura di un secondo ufficio dall'altra parte della città

Selezione dell'hardware

Non approfondirò la selezione del fornitore, poiché questo è un argomento che genera dibattiti secolari. Fermerò qui, dato che ci siamo già accordati su un marchio: Cisco.

La base della rete è un router (router). È importante valutare le nostre esigenze, poiché in futuro prevediamo l'espansione della rete. Acquistare un router con un margine per questo risparmierà denaro al cliente durante l'espansione, anche se sarà leggermente più costoso nella fase iniziale. Cisco offre per il segmento delle piccole imprese la serie Rvxxx, che include router per uffici domestici (RV1xx, che spesso hanno un modulo Wi-Fi integrato), progettati per connettere più stazioni di lavoro e storage di rete. Tuttavia, non ci interessano, poiché presentano capacità VPN piuttosto limitate e una larghezza di banda relativamente bassa. Inoltre, non ci interessa il modulo wireless integrato, poiché si prevede il posizionamento in una sala tecnica nell'armadio; il Wi-Fi sarà organizzato tramite gli AP (Access Point’s). La nostra scelta ricadrà su RV320, che è il modello più giovane della serie superiore. Non abbiamo bisogno di un gran numero di porte nel switch integrato, poiché il switch sarà separato per garantire un numero sufficiente di porte. Tra i principali vantaggi del router c'è una larghezza di banda piuttosto alta. VPN server (75 Mbit/s), licenza per 10 tunnel VPN, possibilità di creare un tunnel VPN site-to-site. Un altro aspetto importante è la presenza di una seconda porta WAN per garantire una connessione Internet di riserva.

Dopo il router c'è uno switch. Il parametro più importante dello switch è l'insieme delle funzioni che possiede. Iniziamo a contare le porte. Nel nostro caso, prevediamo di collegare allo switch: 17 PC, 2 AP (punti di accesso Wi-Fi), 8 telecamere IP, 1 NAS, 3 stampanti di rete. Con un veloce calcolo otteniamo il numero 31, corrispondente al numero di dispositivi inizialmente collegati alla rete, aggiungiamo 2 uplink (dato che intendiamo espandere la rete) e ci fermeremo a 48 porte. Ora parliamo delle funzionalità: il nostro switch deve poter gestire VLAN, preferibilmente tutte 4096, non possono mancare slot SFP, poiché sarà possibile collegare lo switch all'altro capo dell'edificio tramite fibra, deve essere in grado di funzionare in anello chiuso, il che ci consente di riservare i collegamenti ( STP - Spanning Tree Protocol), inoltre AP e telecamere verranno alimentati tramite coppia intrecciata, quindi è necessaria la disponibilità di), inoltre, le AР e le telecamere saranno alimentate tramite cavo intrecciato, quindi è necessaria la sua presenza PoE (puoi leggere di più sui protocolli nella wiki, i nomi sono cliccabili). Troppo complesso L3 non abbiamo bisogno di funzionalità avanzate, quindi abbiamo scelto il Cisco SG250-50P, poiché offre sufficienti funzionalità senza includere opzioni superflue. Parleremo del Wi-Fi nell'articolo successivo, poiché è un tema piuttosto ampio. Lì discuteremo anche della scelta dell'AP. Non stiamo scegliendo NAS e telecamere, presumiamo che questo compito sia affidato ad altre persone, a noi interessa solo la rete.

Pianificazione

Iniziamo definendo quali reti virtuali ci servono (puoi leggere cosa sono le reti virtuali VLAN su Wikipedia). Quindi, abbiamo diversi segmenti logici della rete:

Postazioni di lavoro dei clienti (PC)
Server (NAS)
Videosorveglianza
Dispositivi ospiti (WiFi)

Inoltre, per buone pratiche, l'interfaccia di gestione dei dispositivi sarà posizionata in una VLAN separata. Le VLAN possono essere numerate in qualsiasi ordine, io sceglierò questo:

VLAN10 Management (MGMT)
VLAN50 Server
VLAN100 LAN+WiFi
VLAN150 WiFi Ospiti (V-WiFi)
VLAN200 Telecamere

Passiamo ora a creare un piano IP, utilizzeremo la maschera 24 bit e la sottorete 192.168.x.x. Iniziamo.

Nel pool riservato ci saranno indirizzi configurati staticamente (stampanti, server, interfacce di gestione, ecc.) per i clienti. DHCP fornirà un indirizzo dinamico).

Ecco alcune considerazioni relative agli indirizzi IP: ci sono alcuni punti su cui vorrei richiamare l'attenzione.

Nella rete di gestione non ha senso attivare il DHCP, così come nel server, poiché tutti gli indirizzi vengono assegnati manualmente durante la configurazione dell'hardware. Alcuni lasciano un piccolo pool DHCP nel caso di connessione di nuovo hardware, per la configurazione iniziale, ma io preferisco e consiglio di configurare l'hardware non presso il cliente, ma sulla propria scrivania; quindi, non creo questo pool.
Alcuni modelli di telecamere potrebbero richiedere un indirizzo statico, mentre noi ipotizziamo che le telecamere lo ottengano automaticamente.
Nella rete locale lasciamo un pool per le stampanti, poiché il servizio di stampa di rete non funziona in modo affidabile con indirizzi dinamici.

Configurazione del router

Bene, passiamo finalmente alla configurazione. Prendiamo un cavo patch e colleghiamoci a una delle quattro porte LAN del router. Di default, il router ha attivato il server DHCP, accessibile all'indirizzo 192.168.1.1. Possiamo verificarlo con l'utility da console ipconfig, il cui output mostrerà il nostro router come gateway predefinito. Verifichiamo:

Nel browser, andiamo su questo indirizzo, confermiamo la connessione non sicura e effettuiamo il login con username/password cisco/cisco. Cambiamo subito la password con una sicura. La prima cosa da fare è andare nella scheda Setup, sezione Network, qui assegniamo un nome e un dominio per il router.

Ora aggiungiamo i VLAN al nostro router. Andiamo su Port Management/VLAN Membership. Ci troveremo di fronte a una tabella con i VLAN preconfigurati.

Non ci servono, quindi eliminiamo tutti tranne il primo, poiché quello di default non può essere rimosso. Qui aggiungeremo i VLAN che abbiamo pianificato. Non dimentichiamo di spuntare la casella in alto. Inoltre, consentiremo la gestione dei dispositivi solo dalla rete di gestione, mentre la routing tra le reti sarà consentita ovunque, tranne che nella rete ospite. I porti saranno configurati più tardi.

Ora configuriamo i server DHCP secondo la nostra tabella. A tale scopo, andiamo su DHCP/DHCP Setup.
Per le reti in cui il DHCP sarà disattivato, configureremo solo l'indirizzo del gateway, che sarà il primo nella sottorete (e di conseguenza anche la maschera).

Nelle reti con DHCP, tutto è piuttosto semplice: configuriamo l'indirizzo del gateway, quindi definiamo i pool e i server DNS:

Abbiamo quindi affrontato il DHCP; ora i client connessi alla rete locale riceveranno automaticamente un indirizzo. Configuriamo ora le porte (le porte sono configurate secondo lo standard 802.1q, il link è cliccabile, puoi consultarlo). Poiché si presume che tutti i client siano connessi tramite switch gestiti in VLAN nativa non etichettata, su tutte le porte ci sarà MGMT, il che significa che qualsiasi dispositivo collegato a questa porta entrerà in questa rete (dettagli qui). Torniamo su Port Management/VLAN Membership e configurarlo. VLAN1 su tutte le porte rimane Excluded, non ci serve.

Ora sulla scheda di rete dobbiamo configurare un indirizzo statico dalla sottorete di gestione, poiché siamo entrati in questa sottorete dopo aver cliccato 'salva', e qui non ci sono server DHCP. Andiamo nelle impostazioni dell'adattatore di rete e configuriamo l'indirizzo. Dopo di che, il router sarà accessibile all'indirizzo 192.168.10.1.

Configureremo la nostra connessione a Internet. Supponiamo di aver ricevuto un indirizzo statico dal provider. Andiamo su Setup/Network, selezioniamo WAN1 in basso e facciamo clic su Modifica. Scegliamo IP statico e configuriamo il nostro indirizzo.

Infine, per oggi, configuriamo l'accesso remoto. Andiamo su Firewall/Generale e selezioniamo l'opzione Gestione remota, configurando il port nel caso sia necessario.

Per oggi direi che è tutto. Alla fine dell'articolo abbiamo un router configurato di base, che ci permette di accedere a Internet. La lunghezza dell'articolo è superiore a quanto pensassi, quindi nella prossima parte concluderemo la configurazione del router, imposteremo una VPN, configureremo il firewall e la registrazione, e inoltre configureremo lo switch, rendendo già possibile avviare il nostro ufficio. Spero che l'articolo sia stato per te almeno un po' utile e informativo. È il mio primo scritto, e apprezzerei molto un feedback costruttivo e domande, cercherò di rispondere a tutti e considerare i tuoi suggerimenti. Come ho detto all'inizio, sono benvenute anche le tue idee su ciò che potrebbe essere aggiunto in ufficio e su cosa stiamo ancora configurando.