🥇Sieć dla małego biznesu na sprzęcie Cisco. Część 1

Witam, szanowni użytkownicy Habr i przypadkowi goście. W tej serii artykułów omówimy budowę prostej sieci dla firmy, która nie ma zbyt dużych wymagań co do swojej infrastruktury IT, ale jednocześnie potrzebuje zapewnienia swoim pracownikom jakościowego dostępu do Internetu, dostępu do wspólnych zasobów plikowych, zapewnienia pracownikom dostępu VPN do miejsca pracy oraz podłączenia systemu monitoringu, do którego dostęp byłby możliwy z dowolnego miejsca na świecie. Dla segmentu małego biznesu bardzo charakterystyczny jest szybki rozwój i, w związku z tym, przebudowa sieci. W tym artykule zaczniemy od jednego biura z 15 stanowiskami pracy i następnie będziemy rozszerzać sieć. Jeśli jakiś temat przypada Wam do gustu, piszcie w komentarzach, postaramy się go wdrożyć w artykule. Zakładam, że czytelnik zna podstawy sieci komputerowych, jednak do wszystkich terminów technicznych podam linki do Wikipedii, jeśli coś będzie niejasne — klikajcie i poprawiajcie ten niedociągnięcie.

Zacznijmy więc. Każda sieć zaczyna się od oględzin terenu i zebrania wymagań klienta, które później zostaną ujęte w specyfikacji. Często zamawiający sam do końca nie rozumie, czego chce i co jest mu do tego potrzebne, dlatego musimy go naprowadzić na to, co możemy zrobić, ale to bardziej praca przedstawiciela handlowego, my zapewniamy część techniczną, więc załóżmy, że mamy następujące wymagania wyjściowe:

17 stanowisk pracy z komputerami stacjonarnymi
Sieciowa przestrzeń dyskowa (NAS)
System monitoringu za pomocą NVR oraz kamer IP (8 sztuk)
Pokrycie biura Wi-Fi, obecność dwóch sieci (wewnętrznej i gościnnej)
Możliwość dodania drukarek sieciowych (do 3 sztuk)
Perspektywa otwarcia drugiego biura po drugiej stronie miasta

Dobór sprzętu

Nie będę zagłębiać się w wybór dostawcy, ponieważ jest to temat, który wywołuje wieczne spory, zatrzymajmy się na tym, że marka została już ustalona, to Cisco.

Podstawą sieci jest router (router). Ważne jest ocenienie naszych potrzeb, ponieważ planujemy w przyszłości rozbudowę sieci. Zakup routera z zapasem zaoszczędzi pieniądze klienta podczas rozbudowy, nawet jeśli będzie nieco droższy na początku. Cisco dla segmentu małych firm oferuje serię Rvxxx, w której znajdują się routery do biur domowych (RV1xx, które zazwyczaj mają wbudowany moduł Wi-Fi), przeznaczone do podłączenia kilku stacji roboczych i pamięci sieciowej. Jednak nie są dla nas interesujące, ponieważ mają dość ograniczone możliwości dotyczące VPN oraz niską przepustowość. Nie interesuje nas również wbudowany moduł bezprzewodowy, ponieważ planujemy umieścić urządzenie w pomieszczeniu technicznym w szafie, a Wi-Fi zostanie zorganizowane za pomocą AP (Access Point’s). Nasz wybór padnie na RV320, który jest młodszym modelem starszej serii. Nie mamy potrzeby w dużej ilości portów w wbudowanym switchu, ponieważ switch będzie oddzielny, aby zapewnić odpowiednią liczbę portów. Główne zalety routera to wystarczająca wysoka przepustowość VPN serwera (75 Mbit/s), posiadanie licencji na 10 tuneli VPN, możliwość utworzenia tunelu Site-2-site VPN. Ważnym czynnikiem jest również posiadanie drugiego portu WAN zapewniającego zapasowe połączenie z Internetem.

Za routerem znajduje się switch. Najważniejszym parametrem switcha jest zestaw funkcji, którymi dysponuje. Na początek obliczmy porty. W naszym przypadku planujemy podłączyć do switcha: 17 PC, 2 AP (punkty dostępowe Wi-Fi), 8 kamer IP, 1 NAS, 3 drukarki sieciowe. Dzięki arytmetyce otrzymujemy liczbę 31, odpowiadającą ilości urządzeń początkowo podłączonych do sieci, dodajemy do tego 2 uplinków (planować rozbudowę sieci) i zatrzymujemy się na 48 portach. Teraz o funkcjonalności: nasz switch powinien umieć VLAN, pożądane wszystkie 4096, nie zaszkodzą SFP moduły, ponieważ istnieje możliwość podłączenia switcha po drugiej stronie budynku za pomocą światłowodu, powinien umieć pracować w zamkniętej pętli, co pozwala nam na rezerwację łączy (STP - Spanning Tree Protocol), ponadto AP i kamery będą zasilane za pomocą pary skrętnej, dlatego niezbędna jest obecność PoE (więcej o protokołach można poczytać w wiki, nazwy są klikające). Zbyt skomplikowany L3 Nie potrzebujemy funkcji, dlatego nasz wybór padł na Cisco SG250-50P, ponieważ ma wystarczające dla nas funkcje i jednocześnie nie zawiera zbędnych opcji. O Wi-Fi porozmawiamy w następnym artykule, ponieważ to dość obszerny temat. Tam także omówimy wybór AP. NAS i kamery nie wybieramy, zakładamy, że zajmują się tym inni, nas interesuje wyłącznie sieć.

Planowanie

Na początek określimy, jakie sieci wirtualne są nam potrzebne (co to są wirtualne sieci VLAN, możesz przeczytać w Wikipedii). Mamy więc kilka logicznych segmentów sieci:

Stacje robocze klientów (PC)
Serwer (NAS)
Monitoring wideo
Urządzenia gościnne (WiFi)

Również, zgodnie z zasadami dobrego tonu, interfejs zarządzania urządzeniami przeniesiemy do oddzielnej VLAN. VLAN-y można numerować w dowolny sposób, ja wybiorę taki:

VLAN10 Zarządzanie (MGMT)
VLAN50 Serwer
VLAN100 LAN+WiFi
VLAN150 Gościnne WiFi (V-WiFi)
VLAN200 Kamery

Następnie złożymy plan IP, będziemy używać maski 24 bity i podsieci 192.168.x.x. Zaczynamy.

W rezerwowym pulpie będą znajdować się adresy, które będą skonfigurowane statycznie (drukarki, serwery, interfejsy zarządzania itd., dla klientów DHCP będzie przydzielać dynamiczny adres).

Oto oszacowaliśmy IP, są tu pewne punkty, na które chciałbym zwrócić uwagę:

W sieci zarządzania nie ma sensu uruchamiać DHCP, dokładnie tak samo jak w serwerowni, ponieważ wszystkie adresy są przypisywane ręcznie podczas konfiguracji sprzętu. Niektórzy zostawiają mały pulpy DHCP na wypadek podłączenia nowego sprzętu, w celu jego wstępnej konfiguracji, ale ja wolę i doradzam konfigurację sprzętu nie u klienta, a przy swoim biurku, dlatego tutaj nie robię tego pulpy.
Niektóre modele kamer mogą wymagać statycznego adresu, zakładamy jednak, że kamery otrzymują go automatycznie.
W lokalnej sieci pulpy pozostawiamy dla drukarek, ponieważ usługa druku sieciowego nie działa zbyt niezawodnie z dynamicznymi adresami.

Konfiguracja routera

No, w końcu przechodzimy do konfiguracji. Bierzemy kabel patchowy i łączymy się z jednym z czterech portów LAN routera. Domyślnie na routerze włączony jest serwer DHCP i jest dostępny pod adresem 192.168.1.1. Można to sprawdzić narzędziem konsolowym ipconfig, w wynikach którego nasz router będzie domyślną bramą. Sprawdźmy:

W przeglądarce przechodzimy pod ten adres, potwierdzamy niezabezpieczone połączenie i logujemy się danymi cisco/cisco. Od razu zmieniamy hasło na bezpieczne. Na początku przechodzimy do zakładki Setup, sekcja Network, tutaj nadajemy nazwę i domenę dla routera.

Teraz dodamy VLAN-y do naszego routera. Przechodzimy do Port Management/VLAN Membership. Napotkamy tabelę VLAN-ów, skonfigurowanych domyślnie.

Nie są nam potrzebne, usuniemy wszystkie poza pierwszą, ponieważ jest domyślna i nie można jej usunąć, a tutaj dodamy VLAN-y, które zaplanowaliśmy. Nie zapomnijmy zaznaczyć opcji na górze. Pozwólmy również na zarządzanie urządzeniami tylko z sieci zarządzającej, a routowanie między sieciami pozwolimy wszędzie, z wyjątkiem sieci gościnnej. Porty skonfigurujemy nieco później.

Teraz skonfigurujemy serwery DHCP zgodnie z naszą tabelą. W tym celu przechodzimy do DHCP/DHCP Setup.
Dla sieci, w których DHCP będzie wyłączone, skonfigurujemy tylko adres bramy, który będzie pierwszy w podsieci (odpowiednio i maskę).

W sieciach z DHCP wszystko jest wystarczająco proste, również konfigurujemy adres bramy, poniżej wpisujemy pule i DNS-y:

Na tym etapie poradziliśmy sobie z DHCP, teraz klienci podłączeni do sieci lokalnej będą otrzymywać adres automatycznie. Teraz skonfigurujemy porty (porty konfiguruje się według standardu 802.1q, link jest klikalny, możecie się z nim zapoznać). Ponieważ zakłada się, że wszyscy klienci będą podłączeni przez zarządzane przełączniki beztagowane (natywna) VLAN-a na wszystkich portach będzie MGMT, co oznacza, że każde urządzenie podłączone do tego portu trafia do tej sieci (więcej na ten temat tutaj). Wracamy do Port Management/VLAN Membership i konfigurujemy to. VLAN1 na wszystkich portach pozostawiamy jako Excluded, nie jest nam potrzebna.

Teraz na swojej karcie sieciowej musimy skonfigurować statyczny adres z podsieci zarządzającej, ponieważ znaleźliśmy się w tej podsieci po kliknięciu „zapisz”, a serwery DHCP tutaj nie ma. Przechodzimy do ustawień adaptera sieciowego i konfigurujemy adres. Po tym router będzie dostępny pod adresem 192.168.10.1.

Skonfigurujmy nasze połączenie z Internetem. Zakładamy, że otrzymaliśmy statyczny adres od dostawcy. Przechodzimy do Setup/Network, na dole zaznaczamy WAN1, klikamy Edytuj. Wybieramy Static IP i konfigurujemy swój adres.

I na koniec na dziś — skonfigurujemy zdalny dostęp. W tym celu przechodzimy do Firewall/General i zaznaczamy opcję Remote Management, w razie potrzeby konfigurujemy port.

Na dziś to już wszystko. Podsumowując artykuł, mamy podstawowo skonfigurowany router, za pomocą którego możemy uzyskać dostęp do internetu. Objętość artykułu jest większa, niż przypuszczałem, dlatego w następnej części dokończymy konfigurację routera, ustawimy VPN, skonfigurujemy zaporę ogniową i logging, a także skonfigurujemy switch i już będziemy mogli uruchomić nasze biuro. Mam nadzieję, że artykuł był dla Was choć trochę użyteczny i pouczający. Piszę po raz pierwszy, będę bardzo wdzięczny za konstruktywną krytykę i pytania, postaram się odpowiedzieć wszystkim i uwzględnić Wasze uwagi. Jak już pisałem na początku, mile widziane są Wasze przemyślenia dotyczące tego, co jeszcze może pojawić się w biurze i co jeszcze będziemy konfigurować.