รักษาความปลอดภัย LAN ภายใน LAN สำนักงานที่มีอยู่


12

สิ่งแรกอันดับแรกฉันจะโพสต์สิ่งนี้บน Server Fault แต่จริงๆแล้วฉันไม่ใช่ผู้ดูแลระบบเครือข่ายฉันเป็นนักเรียน CS ที่ถูกเรียกให้เรียงลำดับบางอย่างสำหรับธุรกิจครอบครัวขนาดเล็กที่เพิ่งย้ายเข้ามาอยู่ในกลุ่มเล็ก ๆ พื้นที่สำนักงานและไม่มีเงินอยู่ในมือเพื่อจ้างใครบางคนในการจัดเรียงดังนั้นฉันต้องเรียนรู้สิ่งที่จำเป็นในการทำงานให้เสร็จ ฉันยังทราบด้วยว่ามีการถามคำถาม 'LAN ภายใน LAN' ก่อนหน้านี้ดังนั้นโปรดอย่าลังเลที่จะทำเครื่องหมายว่าซ้ำกันแม้ว่าจะไม่มีคำถามใดที่มีอยู่จริงที่ตอบคำถามที่ฉันมี

ดังนั้นปัญหา สำนักงานที่เราย้ายเข้ามาอยู่จะถูกแปลงจากอาคารขนาดใหญ่ที่ก่อนหน้านี้เคยเป็นธุรกิจเดียวมาเป็น 'ศูนย์ธุรกิจ' โดยมีห้องพักให้เช่าแต่ละห้อง แต่ละห้องมีสายเชื่อมต่อกับพอร์ตอีเธอร์เน็ตหลายตัวที่นำกลับไปที่ห้องเครือข่ายที่มีตู้ที่เต็มไปด้วยสวิตช์เพื่อผูกทุกอย่างเข้าด้วยกันแม้ว่าจะไม่มีการใช้งานเท่าที่ฉันสามารถบอกได้ คนที่จัดการเครือข่ายทำซ้ำซ้อนและตอนนี้ส่วนใหญ่เป็นศาลเจ้าที่ขาดการจัดการสายเคเบิล

ธุรกิจปัจจุบันที่ครอบครองห้องพักล้วนอาศัยเครือข่าย wifi ที่จัดหาโดย ISP 'BT HomeHub' ที่ให้บริการคำสั่งผสมโมเด็มบ้าน / โมเด็ม เนื่องจากเราเป็นหน่วยงานของรัฐฉันไม่ชอบความคิดในการแบ่งปันเครือข่ายและฉันสงสัยว่าผู้ควบคุมจะทำเช่นนั้น

ดังนั้นตัวเลือกที่นี่มีอะไรบ้าง ฉันไม่สามารถทำอะไรเกี่ยวกับเราเตอร์ / โมเด็มในบ้านได้เพราะมีธุรกิจอื่น ๆ ที่แชร์สิ่งนี้เพื่อการเข้าถึงแบบไร้สาย ฉันชอบที่จะเข้าถึงอินเทอร์เน็ตผ่านโมเด็มนี้ แต่ต้องแน่ใจว่าเครือข่ายที่เราใช้งานนั้นไม่สามารถเข้าถึงได้โดยอุปกรณ์อื่น ๆ ในเครือข่ายที่ไม่ได้เป็นส่วนหนึ่งของธุรกิจของเรา ฉันได้ดูข้อเสนอเราเตอร์ธุรกิจขนาดเล็กบางส่วนจาก Cisco พร้อมกับจุดเชื่อมต่อไร้สาย (การเข้าถึงแบบไร้สายเป็นเรื่องสำคัญอันดับต้น ๆ ) แต่ฉันไม่แน่ใจว่าฉันสามารถบรรลุเป้าหมายข้างต้นด้วยสิ่งใดสิ่งหนึ่งและต้องการแน่ใจก่อนสั่งซื้อใด ๆ ฮาร์ดแวร์.

ฉันแน่ใจว่าตัวเลือกที่ดีที่สุดคือการใช้สายอื่นเข้าไปในอาคาร แต่เพิ่มค่าใช้จ่ายรายเดือนเพิ่มเติมพร้อมสัญญาบริการดังนั้นฉันจึงอยากหลีกเลี่ยงสิ่งนั้นในขณะนี้

ความคิดใด ๆ เกี่ยวกับตัวเลือกที่ดีที่สุดในสถานการณ์นี้และฉันจะทำอย่างไร


3
คำถามแรกที่ถามตัวเอง: เราต้องใช้อินเทอร์เน็ตมากแค่ไหน? บริษัท จะตายหรือไม่ว่าเราเตอร์ที่บ้านของ BT จะตายหรือไม่ ถ้าจำเป็นให้เช่าสายที่ไม่ใช่บ้านของคุณเอง โดยเฉพาะอย่างยิ่งจาก ISP ที่แตกต่างกันแล้วมีอยู่แล้วในสำนักงานเพื่อให้คุณสามารถใช้เป็นสำรองฉุกเฉิน ข้อพิจารณาที่สอง: ใครมีสิทธิ์เข้าถึงคณะรัฐมนตรีที่มีสวิตช์เต็ม มีรูปแบบ / ความสามารถใดบ้าง (โปรดทราบว่าก่อนที่คุณจะเริ่มทำงานกับโซลูชัน) พวกเขามีการจัดการเปลี่ยนหรือไม่? เฟิร์มแวร์เป็นปัจจุบันหรือไม่ ประการที่สามอาจถึงเวลาที่จะคิดออกว่าสายเคเบิลใดที่เชื่อมต่อกับห้องของคุณ
Hennes

เมื่อคุณได้คำตอบเหล่านั้นอ่านบน VLANs (สำหรับสาย) นอกจากนี้ควรพิจารณาว่าไม่อนุญาตให้ใช้อินเทอร์เน็ตเพื่อเข้าถึงสิ่งใดนอกจากเซิร์ฟเวอร์เมลและพร็อกซีอุปกรณ์อื่น ๆ ทั้งหมดที่อยู่ด้านหลัง (นั่นคือเซิร์ฟเวอร์เป็นไฟร์วอลล์โดยมีเหตุผลอยู่ด้านหลังว่าเป็นเซิร์ฟเวอร์จดหมายและมีเหตุผลอยู่ด้านหลังพร็อกซีนั้น) และไฟล์เซิร์ฟเวอร์) และคิดถึงการสำรองข้อมูล หนึ่งในจุดเริ่มต้นที่เลวร้ายที่สุดคือถ้า Poeple เก็บข้อมูลไว้ในแล็ปท็อปแทนที่จะเป็นไดรฟ์เครือข่าย
Hennes

คุณต้องใช้อุปกรณ์ใดในการเข้าถึง คุณมีสิทธิ์ในการเข้าสู่ "โฮมเราเตอร์ / โมเด็มคอมโบ" หรือไม่? แหล่งที่มาของการเข้าถึงอินเทอร์เน็ตของไซต์คืออะไร (ฉันคาดเดา DSL จาก BT เพียงแค่เดาคำตอบนั้นไม่ใช่ Wi-Fi) หากคุณต้องการ "ปกป้อง" เครือข่ายของคุณจากเครือข่ายอื่น ๆ ในไซต์อุปกรณ์ทั่วไปที่จะ "ป้องกัน" เครือข่ายคือไฟร์วอลล์ ที่กล่าวว่าเราเตอร์จำนวนมากมี "ความสามารถประเภทไฟร์วอลล์" ภายใน (สันนิษฐานว่ามีความเชี่ยวชาญ / ออกแบบมาสำหรับงานน้อยกว่าอุปกรณ์ไฟร์วอลล์เฉพาะ) อุปกรณ์มืออาชีพบางส่วนของ Cisco สามารถมีช่วงการเรียนรู้สูง
TOOGAM

อย่างเป็นทางการฉันไม่สามารถเข้าถึงได้ แต่ฉันมั่นใจว่าจะสามารถเจรจาดังนั้นฉันจะเห็นว่าในวันพรุ่งนี้ เพียงแค่มองหาแนวคิดบางอย่างเกี่ยวกับสิ่งที่อาจเป็นไปได้ด้วยอุปกรณ์ที่มีอยู่แล้ว แหล่งที่มาดูเหมือนจะเป็นสายธุรกิจ DSL ปกติซึ่งฉันรู้ว่าไม่ใช่ 'WiFi' (ฉันไม่มีประสบการณ์ในการทำงานกับเครือข่าย แต่ฉันไม่ใช่คนที่ไม่เก่งไม่ต้องกังวล) VLAN ดูน่าสนใจฉันจะตรวจสอบพวกเขาต่อไปอย่างแน่นอน ฉันแค่ดิ้นรนเพื่อรวบรวมแนวคิดเครือข่ายบางอย่างเข้ากับการตั้งค่าในโลกแห่งความเป็นจริง
Hexodus

@TOOGAM ฉันจะไม่คาดหวังว่าผู้ใช้คอมพิวเตอร์โดยเฉลี่ยจะเข้าใจบางสิ่งใน "เราเตอร์" ธุรกิจขนาดเล็กของ Cisco โดยไม่มีคำแนะนำ นับประสาสามารถกำหนดค่าอุปกรณ์เครือข่ายที่ใช้ IOS ของ Cisco ได้ เห็นด้วยกับคุณป่านนี้ แต่ฉันไม่คิดว่ามันเป็นเอกลักษณ์ของซิสโก้ อุปกรณ์พิเศษมักจะมีช่วงการเรียนรู้ที่สูงชัน เฮ็คคุณสามารถตั้งค่าผู้ใช้คอมพิวเตอร์โดยเฉลี่ยต่อหน้าออสซิลโลสโคปโดยเฉลี่ยแล้วเดินดูดอกไม้ไฟ ฉันไม่แน่ใจว่าผู้ใช้คอมพิวเตอร์โดยเฉลี่ยจำนวนเท่าใดจะรู้วิธีใช้ออสซิลโลสโคปด้วยซ้ำ
CVn

คำตอบ:


16

ก่อนปิด: หากคุณอยู่ภายใต้ข้อผูกพันทางกฎหมายในการแยกการรับส่งข้อมูลให้ผู้ที่มีอำนาจทำเช่นนั้นให้ลงชื่อออกในแผนใด ๆ เช่นเดียวกับข้อกำหนดทางกฎหมายก่อนที่จะเริ่มดำเนินการ ทั้งนี้ขึ้นอยู่กับข้อกำหนดทางกฎหมายเฉพาะอาจเป็นไปได้ว่าคุณจะต้องจัดหาเครือข่ายที่แยกจากกันโดยไม่มีจุดเชื่อถือร่วมกัน

ที่กล่าวว่าผมคิดว่าคุณโดยทั่วไปมีสามตัวเลือก: 802.1Q VLANs (ดีกว่า)และหลายชั้นของ NAT (แย่ลง)และเครือข่ายที่แยกทางร่างกาย (ที่เชื่อถือได้มากที่สุด แต่ยังมีความซับซ้อนและมีแนวโน้มมากที่สุดที่มีราคาแพงเนื่องจากการเดินสายกายภาพ)

ฉันสมมติว่าที่นี่ทุกสิ่งที่มีสายอยู่แล้วอีเธอร์เน็ต ส่วนหนึ่งของมาตรฐานอีเธอร์เน็ตโดยรวมคือสิ่งที่รู้จักกันในชื่อIEEE 802.1Qซึ่งจะอธิบายวิธีสร้าง LAN เลเยอร์ลิงก์ที่แตกต่างกันบนฟิสิคัลลิงก์เดียวกัน สิ่งนี้เรียกว่า VLAN หรือLAN เสมือน (หมายเหตุ: WLAN ไม่เกี่ยวข้องอย่างสมบูรณ์และในบริบทนี้หมายถึงLAN แบบไร้สายและบ่อยครั้งอ้างถึงหนึ่งในIEEE 802.11รุ่นต่างๆ) จากนั้นคุณสามารถใช้สวิตช์ระดับสูงกว่า (สิ่งที่ราคาถูกที่คุณสามารถซื้อเพื่อใช้ในบ้านโดยทั่วไปไม่มีคุณสมบัตินี้คุณต้องการค้นหาสวิตช์ที่มีการจัดการซึ่งเป็นแนวคิดที่สนับสนุน 802.1Q เป็นพิเศษแม้ว่าจะเตรียมจ่ายเบี้ยประกันภัยสำหรับฟีเจอร์) ที่ตั้งค่าให้แยก VLAN แต่ละตัวเป็นชุดพอร์ต (อาจเป็นเพียงพอร์ตเดียว) ในแต่ละ VLAN นั้นสวิตช์ผู้บริโภคทั่วไป (หรือ NAT เกตเวย์ที่มีพอร์ตอัปลิงค์อีเธอร์เน็ตหากต้องการ) สามารถใช้เพื่อกระจายการรับส่งข้อมูลภายในหน่วยสำนักงานได้

ส่วนต่าง ๆ ของ VLANs เมื่อเปรียบเทียบกับ NAT หลายเลเยอร์คือว่ามันขึ้นอยู่กับประเภทของการจราจรบนสายไฟ ด้วย NAT คุณจะติดอยู่กับ IPv4 และอาจ IPv6ถ้าคุณโชคดีและยังต้องขับเคี่ยวกับทุกอาการปวดหัวแบบดั้งเดิมของ NATเพราะแบ่ง NAT แบบ end-to-end เชื่อมต่อ (ความจริงง่ายๆที่คุณจะได้รับรายการไดเรกทอรีจาก เซิร์ฟเวอร์ FTP ผ่าน NAT เป็นเครื่องยืนยันถึงความเฉลียวฉลาดของบางคนที่ทำงานกับสิ่งนั้น แต่แม้กระทั่งวิธีแก้ปัญหาเหล่านั้นมักจะคิดว่ามีNAT เพียงตัวเดียวตามเส้นทางการเชื่อมต่อ) กับ VLANs เพราะมันใช้นอกจากเฟรม Ethernet ที่แท้จริงอะไรที่สามารถถ่ายโอนผ่านอีเธอร์เน็ตสามารถถ่ายโอนผ่าน VLAN อีเธอร์เน็ตและการเชื่อมต่อแบบ end-to-end ได้รับการเก็บรักษาไว้เท่าที่ IP มีความกังวลไม่มีอะไรเปลี่ยนแปลงยกเว้นชุดของโหนดที่สามารถเข้าถึงได้ในส่วนเครือข่ายท้องถิ่น มาตรฐานอนุญาตให้ VLAN สูงถึง 4,094 (2 ^ 12 - 2) บนลิงก์ฟิสิคัลเดียว แต่อุปกรณ์เฉพาะอาจมีขีด จำกัด ต่ำกว่า

ดังนั้นข้อเสนอแนะของฉัน:

  • ตรวจสอบว่าอุปกรณ์หลัก (มีอะไรอยู่ในสวิตช์ขนาดใหญ่ในห้องเครือข่าย) รองรับ 802.1Q หากเป็นเช่นนั้นให้ค้นหาวิธีกำหนดค่าและตั้งค่าอย่างถูกต้อง ฉันขอแนะนำให้เริ่มต้นด้วยการรีเซ็ตเป็นค่าจากโรงงาน แต่ให้แน่ใจว่าคุณจะไม่สูญเสียการกำหนดค่าที่สำคัญโดยทำเช่นนั้น โปรดแน่ใจว่าได้ให้คำแนะนำอย่างถูกต้องกับทุกคนที่เชื่อมั่นในการเชื่อมต่อที่ว่าจะมีการหยุดชะงักของบริการในขณะที่คุณทำเช่นนี้
  • หากอุปกรณ์หลักไม่รองรับ 802.1Q ให้ค้นหาอุปกรณ์ที่ตรงกับความต้องการของคุณในแง่ของจำนวน VLANs จำนวนพอร์ตและอื่น ๆ และซื้อ จากนั้นหาวิธีกำหนดค่าและตั้งค่าอย่างถูกต้อง สิ่งนี้มีโบนัสที่คุณสามารถแยกเก็บไว้ในขณะตั้งค่าต่างๆลดการหยุดทำงานสำหรับผู้ใช้ที่มีอยู่ (คุณต้องตั้งค่าก่อนจากนั้นนำอุปกรณ์เก่าออกแล้วเชื่อมต่อใหม่ดังนั้นการหยุดทำงานจะถูก จำกัด โดยทั่วไป นานคุณจะต้องถอดปลั๊กและเสียบปลั๊กใหม่ทุกอย่าง)
  • ให้แต่ละหน่วยงานใช้สวิตช์หรือ "เราเตอร์" ที่บ้านหรือธุรกิจขนาดเล็ก (เกตเวย์ของ NAT) ด้วยพอร์ตอัปลิงค์อีเธอร์เน็ตเพื่อกระจายการเชื่อมต่อเครือข่ายระหว่างระบบของตนเอง

เมื่อคุณกำหนดค่าสวิตช์ตรวจสอบให้แน่ใจว่าได้ จำกัด VLAN แต่ละตัวไว้ที่ชุดพอร์ตของตัวเองและตรวจสอบให้แน่ใจว่าพอร์ตเหล่านั้นทั้งหมดไปยังหน่วยสำนักงานเดียวเท่านั้น มิฉะนั้น VLANs จะยิ่งใหญ่ไปกว่ามารยาท "ห้ามรบกวน" สัญญาณเล็กน้อย

เนื่องจากทราฟฟิกเดียวที่มาถึงช่องเสียบอีเทอร์เน็ตของแต่ละยูนิตจะเป็นของตัวเอง (ด้วยการกำหนดค่าแยก VLAN แยกของคุณ) สิ่งนี้ควรให้การแยกที่เพียงพอโดยไม่ต้องให้คุณทำการวนซ้ำทุกอย่างเป็นเครือข่ายแยกทางกายภาพอย่างแท้จริง

นอกจากนี้โดยเฉพาะอย่างยิ่งถ้าคุณใช้ VLANs หรือท้าย rewiring ทุกอย่างจะใช้โอกาสที่จะติดแท็กอย่างถูกต้องสายเคเบิลทั้งหมดที่มีตัวเลขหน่วยและพอร์ต! จะใช้เวลาเพิ่ม แต่จะคุ้มค่ากว่าที่จะไปข้างหน้าโดยเฉพาะหากมีปัญหาเครือข่ายใด ๆ ในอนาคต ลองดูฉันได้รับรังสายเคเบิลของหนู เกิดอะไรขึ้น บน Server Fault สำหรับคำแนะนำที่เป็นประโยชน์


2
ขอบคุณ Michael นี้ข้อมูลที่มีประโยชน์มากและคำแนะนำของคุณดูเหมือนเป็นเรื่องที่สมเหตุสมผล (ฉัน upvoted แต่ไม่มีตัวแทน 15 คนในขณะนี้) ฉันจะทำการตรวจสอบเพิ่มเติมในวันพรุ่งนี้เกี่ยวกับสิ่งที่ฮาร์ดแวร์ที่มีอยู่สนับสนุนและพูดคุยกับเจ้าของอาคารว่าจะสามารถนำกลับมาใช้ใหม่ได้ด้วยวิธีนี้หรือไม่ แน่นอนว่า VLANs ฟังดูคล้ายกับสิ่งที่ฉันกำลังมองหาที่จะประสบความสำเร็จด้วยทราฟฟิกที่แยกจากกันอย่างสมบูรณ์ดังนั้นฉันจะอ่านบางอย่างเกี่ยวกับเรื่องนั้น คำถามที่เกิดจากความผิดพลาดของเซิร์ฟเวอร์ที่คุณเชื่อมโยงทำให้ฉันหัวเราะขอบคุณที่ไม่ดีเท่านั้น ฉันจะใช้คำแนะนำของคุณในการเรียงลำดับออกว่า ไชโย!
Hexodus

2
นอกจากนี้ยังมีตัวเลือกอื่น ใน บริษัท ที่ฉันทำงานอยู่เราได้รับเราเตอร์ 4G ด้วยสัญญาแยกต่างหาก สิ่งนี้ช่วยลดภาระให้กับเครือข่ายไร้สายที่มีอยู่เดิมและคุณสามารถมั่นใจได้ว่าคุณจะได้รับบริการเดียวกันไม่ว่าคุณจะไปที่ไหน สิ่งนี้ไม่ได้เพิ่มความซับซ้อนมากนักและนั่นก็ไม่คุ้มค่า
Ismael Miguel
โดยการใช้ไซต์ของเรา หมายความว่าคุณได้อ่านและทำความเข้าใจนโยบายคุกกี้และนโยบายความเป็นส่วนตัวของเราแล้ว
Licensed under cc by-sa 3.0 with attribution required.