Trädvy Permalänk
Medlem
Plats
Umeå
Registrerad
Apr 2005

Switch, layer 2 eller layer 3

Vill dubbelkolla en sak innan storbeställning.

För att styra så att allt som ansluter till en viss port i switchen enbart har internetanslutning men inte tillgång till övriga nätverket så krävs en "layer 3"-switch?

Idag så surfar kunderna på samma nätverk som resten av företagets uppkopplade prylar. Jag hade föredragit att ha dubbla accesspunkter överallt och ställa in så att accesspunkten för kunderna enbart tar sig ut på internet med begränsningar medan personalens accesspunkt kommer åt internet + företagets funktioner. Och vad jag läst mig till så är det layer 3 som gäller då.

Trädvy Permalänk
Medlem
Registrerad
Jul 2004

Hum... du kanske redan har kollat på detta men säjer det ändå.

Man brukar dela upp näten med VLAN, ett för företaget och ett för kunderna (i ditt fall) på switcharna.

Dessa nät ramlar sedan in i en router av lite bättre modell som antingen hanterar VLAN eller behandlar portarna som olika ben ("optional"-nät). Här sker routingen mot Internet. Servrarna kan stå i ytterligare ett eget ben (eller vill du ha dom i samma nät som företagsdatorerna?) och regelverket i routern styr sedan vad man har åtkomst till.

//edit ritade en bild http://imgur.com/hB9O9K2

CPU: I7 4770K Grafik: Poseidon Platinum GeForce GTX 980Ti Moderkort: Asus Maximus VI Hero Z87 RAM: 16Gb Corsair Dominator Platinum CL9 Nätagg: Corsair HX1050 Gold SSD: Corsair Force GT 240Gb SSHD: Seagate Desktop 4TB Låda: Corsair Graphite 600T

Trädvy Permalänk
Medlem
Plats
Växjö
Registrerad
Sep 2002

VLAN är layer2. Men du måste självklar ha en router i mitten hur du än gör.
Antingen kan switcharna routa mellan dina VLAN och måste då klara layer3. Men en switch är ingen brandvägg (även om man kan ha ACLer i vissa).

LAYER2 == switching
LAYER3 == Routing

Trädvy Permalänk
Medlem
Plats
192.168.1.267
Registrerad
Apr 2003
Skrivet av Gurk:

Hum... du kanske redan har kollat på detta men säjer det ändå.

Man brukar dela upp näten med VLAN, ett för företaget och ett för kunderna (i ditt fall) på switcharna.

Dessa nät ramlar sedan in i en router av lite bättre modell som antingen hanterar VLAN eller behandlar portarna som olika ben ("optional"-nät). Här sker routingen mot Internet. Servrarna kan stå i ytterligare ett eget ben (eller vill du ha dom i samma nät som företagsdatorerna?) och regelverket i routern styr sedan vad man har åtkomst till.

//edit ritade en bild http://imgur.com/hB9O9K2

Dock är routrar dyra om man behöver lite bandbredd så kan vara värt att köpa en l3 switch i det fallet. Går att styra access med ACLer eller möjligen VRFer.
Annars är en brandvägg nog ett bättre val än en router, speciellt om man inte vill tillåta viss trafik mellan vlan.

CCNP

Trädvy Permalänk
Medlem
Plats
Stockholm
Registrerad
Okt 2011

Tycker både du, men så även tidigare inläggs författare, angriper problemet väldigt snett.
Du behöver inte dubbla AP:s för att åstadkomma det du vill åt, och funktionerna finns t.o.m i många konsumentprodukter.
Jag skulle istället rekommendera att skaffa en enhet som stödjer:
* Multipla SSIDs, självklart med "SSID-to-VLAN mapping"
* QoS
(* 802.1x-autentisering)

Billigt, och framför allt, enkelt.

CCIE SP-kandidat / CCNP R&S / CCNA R&S

Twitter: @Gustawsson

Trädvy Permalänk
Medlem
Plats
Skåneland
Registrerad
Jun 2009

En bra brandvägg fixar det du behöver. Sen räcker det med L2 switchar.

Exempelvis en Juniper SRX, du kan sätta vlan, styra upp policys för trafiken, logga, logga specifika problem, logga allmän trafik osv.

SRX210HE för mindre företag, annars 240 -> större.
Enkla att sätta upp när man förstår logiken och flödet i systemet.

- - - - S.T.A.L.K.E.R FAN - - - -

Trädvy Permalänk
Rekordmedlem
Plats
Salstad
Registrerad
Feb 2009

Många accesspunkter ger "gästnätverk" som innebär att gästen enbart kommer ut på internet men du kanske vill ha funktionen via kabel och då krävs det en switch.

Ryzen 5 2400G, Asus ROG STRIX B350-F Gaming, 500GB Samsung 970EVO NVMe M.2 och en väldig massa masslagring. Seasonic Focus+ Gold 650W, Antec P 180 med Schyte o Sharkoon fläktar via en t-balancer, Tittar på en Acer ET430Kbmiippx 43" 4K
Främre ljudkanalerna återges via Behringer DCX2496, högtalare Truth B3031A, Truth B2092A Har också Oscilloskop, mätmikrofon och en Colorimeter.

Trädvy Permalänk
Medlem
Registrerad
Jul 2004
Skrivet av Gustawsson:

Tycker både du, men så även tidigare inläggs författare, angriper problemet väldigt snett.
Du behöver inte dubbla AP:s för att åstadkomma det du vill åt, och funktionerna finns t.o.m i många konsumentprodukter.
Jag skulle istället rekommendera att skaffa en enhet som stödjer:
* Multipla SSIDs, självklart med "SSID-to-VLAN mapping"
* QoS
(* 802.1x-autentisering)

Billigt, och framför allt, enkelt.

Oj, det var mitt inlägg där som var tidigare författare. Var i är det "väldigt snett" i det jag skriver?

CPU: I7 4770K Grafik: Poseidon Platinum GeForce GTX 980Ti Moderkort: Asus Maximus VI Hero Z87 RAM: 16Gb Corsair Dominator Platinum CL9 Nätagg: Corsair HX1050 Gold SSD: Corsair Force GT 240Gb SSHD: Seagate Desktop 4TB Låda: Corsair Graphite 600T

Trädvy Permalänk
Medlem
Plats
Umeå
Registrerad
Apr 2005

Vi har redan dubbla accesspunkter på samtliga anläggningar så den biten är inget problem. Accesspunkterna är från Ubiquiti (Nanostation). Jag kan förvisso vara dålig på att leta men jag hittade inget om gästnätverk i dem (vilket t.ex min D-link hemma har) så därför föreslog jag för chefen att vi byter ut de billiga D-link-switcharna mot mer konfigurerbara diton där jag kan styra nätverket och riktigt avskärma kunderna från företagets interna nät.

Angående brandvägg så har vi även en Cisco ASA5505 liggandes på grund av ett felköp för några år sedan. En router med VPN-funktion (och högre prestanda än Netgears FVS338) skulle inhandlas och då dök dessa upp på Dustin under fel kategori så den köptes då in i tron om att den skulle kunna ersätta Netgear-routern.

Så min tanke nu var att byta ut samtliga switchar mot t.ex CISCO SG300-20, låta en av switcharna agera router och stoppar då in den dammiga Cisco-brandväggen så borde säkerheten öka en del mot nuvarande budgetswitchar från D-link/Netgear och en stackars FVS338 som nu sköter om router- och brandväggsfunktioner.
5 fastigheter med 1 internetuppkoppling och internt nätverk (fiber) mellan samtliga fastigheter och möjlighet med gbit hela vägen.

Jag kanske har snöat in mig och blivit lurad, men min uppfattning/erfarenhet är att Cisco är lite av nätverkens Rolls Royce jämfört med t.ex D-link, HP eller Netgear.

Trädvy Permalänk
Medlem
Registrerad
Okt 2009
Skrivet av Squall Leonhart:

Vi har redan dubbla accesspunkter på samtliga anläggningar så den biten är inget problem. Accesspunkterna är från Ubiquiti (Nanostation). Jag kan förvisso vara dålig på att leta men jag hittade inget om gästnätverk i dem (vilket t.ex min D-link hemma har) så därför föreslog jag för chefen att vi byter ut de billiga D-link-switcharna mot mer konfigurerbara diton där jag kan styra nätverket och riktigt avskärma kunderna från företagets interna nät.

Angående brandvägg så har vi även en Cisco ASA5505 liggandes på grund av ett felköp för några år sedan. En router med VPN-funktion (och högre prestanda än Netgears FVS338) skulle inhandlas och då dök dessa upp på Dustin under fel kategori så den köptes då in i tron om att den skulle kunna ersätta Netgear-routern.

Så min tanke nu var att byta ut samtliga switchar mot t.ex CISCO SG300-20, låta en av switcharna agera router och stoppar då in den dammiga Cisco-brandväggen så borde säkerheten öka en del mot nuvarande budgetswitchar från D-link/Netgear och en stackars FVS338 som nu sköter om router- och brandväggsfunktioner.
5 fastigheter med 1 internetuppkoppling och internt nätverk (fiber) mellan samtliga fastigheter och möjlighet med gbit hela vägen.

Jag kanske har snöat in mig och blivit lurad, men min uppfattning/erfarenhet är att Cisco är lite av nätverkens Rolls Royce jämfört med t.ex D-link, HP eller Netgear.

Om jag inte fattat dig fel här så kan du göra det enkelt för dig och ha som du säger en eller två Layer3 swichar för att använda som distubritionslager som sköter om och routar trafiken mellan olika VLAN och resten är layer 2 swichar som agerar access switchar nedåt mot klienterna där du har en eller två (beroende på trafik) portar mot distrubitionslagret och övriga portar som accessportar.

Därefter så har du ett corelager som agerar mellanhand till din WAN-ansluting eller om du bygger in det i ditt distrubutionslager.

Ang Cisco eller ej, Cisco gör bra produkter men jag ser inte nyttan med att deras produkter pga priset i och med att du får ut samma saker från andra leverantörer till en betydligt lägre kostnad....

Dator 1: AMD Phenom II x6 T1100, Asus Sabertooth 990FX, 16GB Kingston HyperX DDR3 1600MHz, AMD HD6950 2GB, Crucial m4 SSD 128GB, 2x Samsung 1TB 5400 RPM | Dator 2: Intel Core i5 2,6 GHz, 2x4GB DDR3 1600 MHz, Nvidia Geforce GT630, Crucial m4 SSD 128GB | Dator 3: Intel Celeron G530, Gigabyte GA-H61MA-D3V, 8BG Kingston HyperX DDR3 1333MHz, AMD HD5450 512MB, Crucial M4 64GB |

Trädvy Permalänk
Medlem
Registrerad
Jul 2004
Skrivet av Squall Leonhart:

5 fastigheter med 1 internetuppkoppling och internt nätverk (fiber) mellan samtliga fastigheter och möjlighet med gbit hela vägen.

När du säjer så där så ser jag framför mig 5 switchar (en i varje fastighet) för distribution av de två olika typerna av nät.
I portarna på varje sådan kopplas dom trådlösa accesspunkterna till portar taggade med rätt vlan, dessa vlan trunkas sedan till en switch som står centralt gällande servrar, router och internetanslutning. Från den sistnämnda switchen går det en tåt till servrarna och en till routern. Ett klassiskt stjärnnät.

Allt detta löser en rapp layer2 switch med bra bakplan - typ denna ser helt okej ut. (fattade jag rätt låg bakplanet på 9.6gbit)
http://www.dustin.se/product/5010660498/hp-2530-24g-switch/

Jag ser inte hur du ska kunna fylla länkarna och skulle det ändå knipa finns det en port till som kan användas i LAG och räcker inte fibern imellan finns det vågseparering utan att behöva kolla på dyra sfp:er eller dyra switchar.

En bra router kanske vore något att verkligen lägga pengarna på, titta på routerboard / mikrotik för bra men prisvärda grejer.

CPU: I7 4770K Grafik: Poseidon Platinum GeForce GTX 980Ti Moderkort: Asus Maximus VI Hero Z87 RAM: 16Gb Corsair Dominator Platinum CL9 Nätagg: Corsair HX1050 Gold SSD: Corsair Force GT 240Gb SSHD: Seagate Desktop 4TB Låda: Corsair Graphite 600T

Trädvy Permalänk
Medlem
Plats
-
Registrerad
Dec 2004

Vore det inte i största allmänhet bäst att rekommendera att chefen anlitar en nätverkstekniker för att utföra jobbet?

Det fanns en gång en båt...

Trädvy Permalänk
Medlem
Plats
local
Registrerad
Feb 2004
Skrivet av Allexz:

Vore det inte i största allmänhet bäst att rekommendera att chefen anlitar en nätverkstekniker för att utföra jobbet?

Jag säger nog det detsamma.

Ubiquiti AP stöder VLAN mappning på SSID. Dock har ni fel produktserie på er AP, dessa är inte designade för spridningsnät för klienter, utan de är för riktade radiolänkar för utomhusbruk och helst med deras egna radioteknik airMAX. Ubiquitis serie för spridningsnät heter unifi och styrs centralt.

Trädvy Permalänk
Medlem
Plats
Växjö
Registrerad
Sep 2002

unifi skall ni som sagt använda för spridning till klienter. nanostation är airmax som är gjord för punkt till punkt, inget annat.

Gör om gör rätt! (Det går snabbare och kostar mindre om man gör rätt från början dessutom )

Trädvy Permalänk
Medlem
Plats
Umeå
Registrerad
Apr 2005

Angående att hyra in en nätverkstekniker så är det väl egentligen jag som ska anses vara en sådan. Problemet är bara det att jag har inte behövt jobba med datorer och nätverk på väldigt många år, så det jag hade från skolbänken (IT-tekniker) har delvis försvunnit i allt industrijobb och entreprenadarbete. Jag behövde inte ens anstränga mig de första åren då jag jobbade här då allting redan var fixad av någon självutnämnd expert (tycker ni att jag saknar kunskap så vettefasen vad han hade för kunskaper som inte ens hade sett till att alla datorer hade uppkoppling).
Jag började bara rota lite i detta nu då jag anser att bland annat säkerheten inte har varit något vidare (finns en äldre tråd om det) och dels för att en helt ny anläggning håller på att byggas och att jag då får ansvara över allt inköp av elektronik dit och tänkte passa på att byta ut andra delar av nätverket.
Så jag borde som sagt kunna det här men känner att jag behöver en spark i rätt riktning.

Gällande kostnader så får saker ibland kosta vad de kosta vill och de spelar då ingen roll om det blir dubbla kostnader.
IT-avdelningen är å andra sidan inte en stor del av verksamheten. Utrustningen vi har kostar kanske 100 000 totalt.

Trädvy Permalänk
Medlem
Registrerad
Jul 2004

Jag tror dom menar en konsult som ritar upp nätverket åt dig, en nätverkskonsult, eller arkitekt.

CPU: I7 4770K Grafik: Poseidon Platinum GeForce GTX 980Ti Moderkort: Asus Maximus VI Hero Z87 RAM: 16Gb Corsair Dominator Platinum CL9 Nätagg: Corsair HX1050 Gold SSD: Corsair Force GT 240Gb SSHD: Seagate Desktop 4TB Låda: Corsair Graphite 600T

Trädvy Permalänk
Medlem
Plats
Stockholm
Registrerad
Okt 2011
Skrivet av Squall Leonhart:

Angående att hyra in en nätverkstekniker så är det väl egentligen jag som ska anses vara en sådan. Problemet är bara det att jag har inte behövt jobba med datorer och nätverk på väldigt många år, så det jag hade från skolbänken (IT-tekniker) har delvis försvunnit i allt industrijobb och entreprenadarbete. Jag behövde inte ens anstränga mig de första åren då jag jobbade här då allting redan var fixad av någon självutnämnd expert (tycker ni att jag saknar kunskap så vettefasen vad han hade för kunskaper som inte ens hade sett till att alla datorer hade uppkoppling).
Jag började bara rota lite i detta nu då jag anser att bland annat säkerheten inte har varit något vidare (finns en äldre tråd om det) och dels för att en helt ny anläggning håller på att byggas och att jag då får ansvara över allt inköp av elektronik dit och tänkte passa på att byta ut andra delar av nätverket.
Så jag borde som sagt kunna det här men känner att jag behöver en spark i rätt riktning.

Gällande kostnader så får saker ibland kosta vad de kosta vill och de spelar då ingen roll om det blir dubbla kostnader.
IT-avdelningen är å andra sidan inte en stor del av verksamheten. Utrustningen vi har kostar kanske 100 000 totalt.

Jag tror ingen vill klanka ner på dig eller ifrågasätta dina kunskaper. Baserat på vilka, och hur, du ställt dina frågor i den här tråden så är nog att hyra in en konsult det som rekommenderas. Om inte annat så för att skapa någon form av gångbar HLD, både vad gäller den fysiska och logiska delen av nätverket.
Om du sedan känner att du är rätt person att konfigurera utrustningen efter en sådan kan nog bara din självinsikt, eller avsaknad av, svara på.

Att sitta här och ta emot tips från folk, varav vissas sticker mer i ögonen än andras, känns inte riktigt som vägen att gå.
Men det är ju som sagt helt beroende på hur många det är som nyttjar nätverket, och till vad. Fem byggnader säger inte så mycket egentligen, men jag fick intrycket av att det faktiskt är en del som använder det. Om så är fallet, kanske det är värt ett par dagars konsultering?

CCIE SP-kandidat / CCNP R&S / CCNA R&S

Twitter: @Gustawsson

Trädvy Permalänk
Medlem
Plats
Umeå
Registrerad
Apr 2005

Tja, utgångsfrågan handlade ju kort och gott om jag tänkte rätt angående layer 3-switch eller om det faktiskt räckte med layer 2 för just det ändamål jag skulle ha dem till.
Får jag sen svar där funktionen har missuppfattats så känner åtminstone jag att en någorlunda mer utförlig förklaring behövs. Jag skriver ner lite om hur det ser ut idag och eventuella tankar om vad jag tänkt göra med företagets IT-infrastrukturen i framtiden. Lite som att fråga hur mycket mjöl det ska vara i en bulldeg baserad på en liter mjölk och svaret på detta blir att jag ska gå och köpa färdiga bullar av en bagare och gärna lite mockarutor också eftersom att det blir billigare och enklare än att baka själv. Jag menar, jag kan baka men har inte gjort det på 10 år så jag har glömt bort mängden av en ingrediens och ska då istället överlåta arbetet till någon annan. Det känns lite knepigt sätt att hantera det på.

Nu kanske det inte spelar så stor roll då jag redan fått svar på frågan av bland annat =JoNaZ=, men för sakens skull då:

Företaget är uppdelat i 5 fastigheter där fastigheterna är sammanlänkade med fiber och samtliga ansluter till en huvudbyggnad. I huvudbyggnaden finns två fiberlinor som ansluter till varsin port - WAN och LAN - och den biten sköts av Umeå Energi/Umenet och det kan vi såklart inte styra.
I varje fastighet så ansluter ett par kunder för att komma åt tjänster såsom Spotify när de tränar. Precis just nu i skrivande stund (08:10 på morgonen) så är det 20 aktiva DHCP-lån där då även företagets, för närvarande, aktiva datorer är inräknat. Det handlar inte om någon större mängd och just nu börjar lågsäsongen så antalet krymper. Jag garderar mig dock för att det kan öka när fler får tag på lösenordet.
Kunderna ansluter till en accesspunkt och personalen en annan vid behov och dessa accesspunkter går såklart att byta ut, men eftersom att de har funkat klanderfritt i några år så har ingen brytt sig om dem.

Flera delar av detta nätverk, inklusive servrar och klienter, har jag INTE varit med och påverkat. Så jag har mer eller mindre kommit in i ett lekrum för barn där det ligger leksaker överallt. Och istället för att bara ta in en traktor och styra bort allting och börja om från början så har jag fått, när tid finns över, gå igenom leksakerna och se vad som är "Ö&B-kvalité", vad som faktiskt går att nyttja och vad som inte behövs alls. Just nu hamnade nuvarande switchar i "Ö&B"-avdelningen så därav startade jag en tråd om funderingen.

Trädvy Permalänk
Medlem
Registrerad
Dec 2008

Så du har två accesspunkter i byggnaden för att få två ssid, med olika lösenord? Om det fungerar tillfredsställande tycker jag inte du ska bry dig om just det.

Köp lager2 två-switchar och kör vlan. Ett vlan för ena accesspunkten som gästerna kopplar upp sig mot och ett mot den andra som är för de anställda. Sedan när internet kommer in kopplar du upp din asa 5505 och konfigurerar ett lan och ett dmz. Med bas-licensen, vill jag minnas att man inte kommer åt dmz från lan. Så det blir två skyddade nät som kommer åt internet. Båda delar på samma publika IP. Du drar sedan två kablar från asan ett för varje säkerhetszon till en switch till en accessport konfigurerar med respektive vlan.

I framtiden när ni byter accesspunkter kör man trunk till accesspunkterna och plockar ut respektive vlan på ett varsitt ssid från en accesspunkt.

En annan lösning på problemet är att skaffa sig accesspunkter med någon form av gästnätsfunktion, där allt är samma lager2-domän men accesspunkten kör nat på gästnätet och ser till att trafiken där endast går mot gateway och internet. Dvs. man slipper vlan. Om du tittar på ett webinar om Cisco meraki, får ditt företag en gratis demo-accesspunkt att prova med. Vilket har den funktion jag beskriver https://meraki.cisco.com/lp/free-demo

Trädvy Permalänk
Medlem
Plats
Göteborg
Registrerad
Jun 2003

Tänk på, att en multilayer-switch inte stödjer NAT. I alla fall inte när det gäller Cisco. Vet inte hur det är med andra tillverkare. Den enda Cisco l3-switchen som stödjer NAT är väl 6500'an? Du kan alltså inte sätta en sådan mellan ditt nätverk och eran ISP.

Om du vill åstadkomma det du vill så behöver du antingen VLAN eller helt enkelt dubbla uppsättningar av allt. Ska du använda VLAN går det fint med en lager 2-switch (kolla bara så den har stöd för 802.1q) men någonstans i nätverket behöver du NAT, så även om du skulle köpa multilayer-switchar hade du ändå behövt NAT:a så det finns egentligen ingen fördel att lägga de extra-pengarna i ett så litet nätverk. Den enda fördelen med mutlilayer-switchar i ditt fall är att inter-vlan trafik inte hade behövt gå ut till routern men eftersom du vill separera trafiken ändå så är det ingen funktion du behöver.

Din ASA med vanliga l2-switchar borde duga fint, dock är jag rostig så jag vågar inte svara på om bas-licensen ger dig två nätverk med internet, den borde göra det men för säkerhets-skull borde någon annan svara på det. Har du bas-licens får du dock inga trunkar så som någon tidigare sa får du dra två kablar från den.