Discussion:
Welche Netzklasse ist die richtige.
(zu alt für eine Antwort)
Ulrich Reuber
2008-04-18 06:28:13 UTC
Permalink
Hallo NG,
ich plane gerade auf dem Reisbrett die IT-Infrastruktur für ein 2. Werk
eines mittelständischen Industrieunternehmens. In dem 2.Werk wird in Zukunft
eingesetzt:
- Computer / W3K - XP / Linux
- Telefone VOIP
- Mobotix Videoüberwachung
- IP Uhren,
- Zutrittskontrolle
- Ethernet an den Maschinen

Welche IP Class würde da passen? Sollte man gleich auf Class A wie
10.0.100.0 gehen? Sollten die verschiedenen Endgerät wie Telefone und PCs in
pysikalisch verschiedenen Subnetz gefahren werden? Der Ausbau der Endgeräte
wird sich am Anfang zugegeben auf ca. 20 Stk/Art beschränken, doch sicherlich
wachsen
Hat jemand ähnliche Projekte realisiert? Ich bin für jeden Tipp dankbar.

Gruß Uli
--
--- Live long and prosper ---
Thomas Wildgruber
2008-04-18 08:24:58 UTC
Permalink
Post by Ulrich Reuber
Welche IP Class würde da passen? Sollte man gleich auf Class A wie
10.0.100.0 gehen?
Wenn du soviele IP Geräte erwartest, dass sie nicht mehr in ein Class C
Netz passen. Wir haben erst kürzlich einen neuen Standort in Betrieb
genommen und wir haben die Server in ein eigenes VLAN gepackt und die
Clients ebenfalls in mehrere VLANs logisch strukturiert. Gekoppelt ist das
ganze über ein ISA Interface, welches am Core Switch in alle VLANs getagged
ist. Damit haben wir mehr Kontrolle zu den Servern und können das ganze
auch granularer einstellen.
Post by Ulrich Reuber
Sollten die verschiedenen Endgerät wie Telefone und PCs in
pysikalisch verschiedenen Subnetz gefahren werden?
Mindestens die Telefone sollten in ein eigenses VLAN kommen. Je nachdem wie
du die Telefone ans LAN koppelst, solltest du dir Gedanken über die VoIP
Priorisierung machen (QoS; CoS). Du solltest dir die Spezifikationen 802.1p
(Prorisierung) 802.1q (Tagging) genauer anschauen und darauf achten, dass
die entscheidenden Stationen die og Spezifikationen beherrschen.
Post by Ulrich Reuber
Der Ausbau der Endgeräte wird sich am Anfang zugegeben auf ca. 20 Stk/Art
beschränken, doch sicherlich wachsen
Na ja, das ist jetzt nicht die Welt. Eine VoIP Verbindung sollte mit ca.
100kb/s veranschlagt werden. Diverse Kompressationsverfahren drücken diesen
Wert noch aber damit bist auch einer guten Seite. Wir haben das so gemacht,
dass wir die PCs nicht durch die Telefone schleifen, sondern jedem Endgerät
einen eigenen Anschluss spediert haben (4 x RJ45 pro Arbeitsplatz ->
Anschlüsse kann man nie genug haben), dieses Setup impliziert so schon QoS
ohne, dass man gross was tun muss. Lediglich bei den Uplinks der
Accessswitche zum Coreswitsch (Gbit, Glasfaserbackbone) wurde VoIP Vorfahrt
eingeräumt und das funktioniert prima. Das ist z.B bei HP ein simples
Kommando am Switch, eine Konfiguration der Endgeräte ist nicht
erforderlich.

HTH Tom
--
"Ich weiß nicht, was der französische Staatspräsident Mitterand denkt, aber
ich denke dasselbe." (Helmut Kohl)
Ulrich Reuber
2008-04-18 11:43:01 UTC
Permalink
Post by Thomas Wildgruber
Wenn du soviele IP Geräte erwartest, dass sie nicht mehr in ein Class C
Netz passen. Wir haben erst kürzlich einen neuen Standort in Betrieb
genommen und wir haben die Server in ein eigenes VLAN gepackt und die
Clients ebenfalls in mehrere VLANs logisch strukturiert. Gekoppelt ist das
ganze über ein ISA Interface, welches am Core Switch in alle VLANs getagged
ist. Damit haben wir mehr Kontrolle zu den Servern und können das ganze
auch granularer einstellen.
Hallo Thomas,
danke für deine Antwort. Es passen alle Geräte in ein Class-C. Nur wollte
ich den
Standort groß genug auslegen, um nicht irgentwann einmal ein Resubnetting
oder Superscoping betreiben zu müssen. Hat es denn einen "Performanten
Nachteleil"
ein Class-A zu fahren? Du meinst sicherlich Ether-Interface nicht ISA ?:)
Post by Thomas Wildgruber
Mindestens die Telefone sollten in ein eigenses VLAN kommen. Je nachdem wie
du die Telefone ans LAN koppelst, solltest du dir Gedanken über die VoIP
Priorisierung machen (QoS; CoS). Du solltest dir die Spezifikationen 802.1p
(Prorisierung) 802.1q (Tagging) genauer anschauen und darauf achten, dass
die entscheidenden Stationen die og Spezifikationen beherrschen.
VLAN pro Telefon, klingt OK - Aber auch für Kameras und Maschinen und und
und ? Das ist doch mit Kanonen auf Spatzen?!
Post by Thomas Wildgruber
Na ja, das ist jetzt nicht die Welt. Eine VoIP Verbindung sollte mit ca.
100kb/s veranschlagt werden. Diverse Kompressationsverfahren drücken diesen
Wert noch aber damit bist auch einer guten Seite. Wir haben das so gemacht,
dass wir die PCs nicht durch die Telefone schleifen, sondern jedem Endgerät
einen eigenen Anschluss spediert haben (4 x RJ45 pro Arbeitsplatz ->
Anschlüsse kann man nie genug haben), dieses Setup impliziert so schon QoS
ohne, dass man gross was tun muss. Lediglich bei den Uplinks der
Accessswitche zum Coreswitsch (Gbit, Glasfaserbackbone) wurde VoIP Vorfahrt
eingeräumt und das funktioniert prima. Das ist z.B bei HP ein simples
Kommando am Switch, eine Konfiguration der Endgeräte ist nicht
erforderlich.
Wir werden auch Anschlüsse ohne Ende legen. Im Layer2 Bereich switche ich
schon mit HP. Welcher HP Switche wurden bei Deinem Projekt verwendet?

Danke
Thomas Wildgruber
2008-04-18 14:00:33 UTC
Permalink
Hat es denn einen "Performanten Nachteleil" ein Class-A zu fahren?
Nein aber wie gesagt, wir haben unser Netz in mehrere VLANs unterteilt und
was soll ich mit 5 Class A Netzen anfangen? Die kann vermutlich BMW
brauchen aber unsere Klitsche...? ;-)
Du meinst sicherlich Ether-Interface nicht ISA ?:)
Jupp, das interne Interface des ISAs ist in alle VLANs getagget, das
externe steht in der DMZ.
Post by Thomas Wildgruber
Mindestens die Telefone sollten in ein eigenses VLAN kommen. Je nachdem wie
du die Telefone ans LAN koppelst, solltest du dir Gedanken über die VoIP
Priorisierung machen (QoS; CoS). Du solltest dir die Spezifikationen 802.1p
(Prorisierung) 802.1q (Tagging) genauer anschauen und darauf achten, dass
die entscheidenden Stationen die og Spezifikationen beherrschen.
VLAN pro Telefon, klingt OK -
*Ein* VLAN für alle Telefone ;-)
Aber auch für Kameras und Maschinen und und und? Das ist doch mit Kanonen
auf Spatzen?!
Finde ich nicht. Kameras sind Gebäudeüberwachungelemente, was für einen
Sinn soll es haben, dass das Laptop eines Mitarbeiters im gleichen Netz
rumturnt, wo auch die Gebäudeüberwachung drüber läuft. Gleiches für
Maschinen, in unserem Fall sind das Druckmaschinen, nur stehen die noch am
alten Standort. Da greift Heidelberg (der Maschinenhersteller) remote drauf
zu um Störungen zu analysieren. Was macht es für einen Sinn, die Server im
selben Netz stehen zu haben. Ist doch nur ein zusätzliches
Sicherheitsrisiko, welches mit Null Euro vermieden werden kann, wenn die
Hardware das eh schon kann. Oder die Serverfarm, niemandem im Haus geht der
BackupServer etwas an, oder der Server auf den die Kameras streamen bzw.
ihre Events ablegen usw usf. Und Systeme lassen sich IMHO nicht leichter
absichern als sie hinter einer richtigen Firewall zu verstecken. Es wird
nur das zugelassen, was nötig ist. Und du hast die Kontrolle, was da wo hin
will...

Andersrum betrachtet, lässt sich der Schaden, wenn es doch mal in einem
Segment funken sollte, lokal begrenzen. Unsere Entwickler arbeiten z.B. mit
höheren Rechten (bis hin zu Adminrechten), was die Leute in der Verwaltung
nicht tun. Dieses höhere Sicherheitsrisiko, welches wir bei den Entwicklern
eingehen müssen, begrenzen wir damit grösstenteils lokal auf deren Segment.
Sollte es zu Auffälligkeiten in einem Segment kommen, können wir diesem
Segment am ISA den Hahn abdrehen und die restlichen Segmente bekämen davon
überhaupt nichts mit. Ist aber noch nicht vorgekommen. Die Perspektiven und
Möglichkeiten, die sich dir bei einer Strukturierung deines Netzes bieten,
sind vielfältig...

Wir sind bei unserem Projekt von Anfang an von einer Vollaustattung
ausgegangen. Das Gebäude kann ca. 220 Arbeitsplätze bereit stellen. Am
Anfang wurden auch nur 35 benötigt, das war vor einem halben Jahr und jetzt
sind es bereits knappe 60, Tendenz weiter steigend. Klar es siedeln immer
mehr Leute um und insgesamt sind wir zur Zeit 160. Hätten wir z.B. die
Telefonanlage so dimensioniert, dass nur 60 Anschlüsse vorhanden wären,
dann könnten wir jetzt schon wieder eine Neue einbauen.

Aber die zugrunde liegende Philosophie, hängt halt immer stark von den
örtlichen Gegebenheiten ab. Um nochmal auf deine 25 Stationen
zurückzukommen... ;-)
Post by Thomas Wildgruber
[...]
Wir werden auch Anschlüsse ohne Ende legen. Im Layer2 Bereich switche ich
schon mit HP. Welcher HP Switche wurden bei Deinem Projekt verwendet?
Die Accesss Switche sind ProCurve 2650. 7 Stück, für jeden Gebäudebschnitt
einer, der Vollausbau sieht in jedem Abschnitt aber zwei vor. Die zweite
Glasfaserleitung liegt schon und wenn in einem Abschnitt mal die 50 Ports
nicht mehr ausreichen, wird einfach ein zweiter nachgeschoben. Einer davon
liegt bereits als Spare Part vor. Der Coreswitch ist ein ProCurve 5308XL
mit den benötigten Modulen und auch noch reichlich Luft nach oben.

Wir haben unser Netz auch mit MAC Based Authentication aufgebaut. Die HP
Komponenten können das über einen RADIUS Server abwickeln und wir sind
endlich das leidige Problem los, dass sich Leute ihr Laptop von zu Hause
mitschleppen oder ein Kunde ganz schnell mal mit seinem Laptop ins Internet
muss zum E-Mail checken. Jede MAC Adresse die der RADIUS nicht kennt, lässt
er im Default VLAN, welches ausschliesslich nur Zugang zum Internet über
die nötigen Ports hat und nicht in die lokale Infrastruktur routet. Und
damit keiner auf den blöden Geadnken kommt eine gültige MAC Adresse zu
spoofen haben wir in der DMZ einen WebDAV Server stehen, der für einen
Datenaustausch zwischen der lokalen Infrastruktur und fremden Geräten
benutzt werden kann. Dieser genießt bei den Admin eine erhöhte
Aufmerksamkeit und alle sind glücklich... ;-)

Das Einbinden von USB-Sticks und dergleichen kann ja über die Registry der
Clients schon recht wirksam unterbunden werden. Aber wir haben die
Erfahrung gemacht, wenn man den Leuten die Möglichkeiten gibt, die sie sich
wünschen, nehmen sie auch gerne mal Umwege in Kauf und sind nicht mehr so
erfinderisch, wenn es darum geht doch noch irgendwie /rein/ zu kommen ;-)

Fazit: Du hast jetzt bei der Neugestaltung einer Infrastruktur ja schon
Laborbedingungen und kannst dich richtig austoben, was das Testen und
Implementieren neuer Features betrifft. Nutze sie, einfacher wird das
später nicht mehr... Viel Spass, wir haben viel dabei gelernt ;-)

Bye Tom
--
"One good Whiskey a day, keeps the doctor away"
Ulrich Reuber
2008-04-18 15:01:02 UTC
Permalink
Post by Thomas Wildgruber
*Ein* VLAN für alle Telefone ;-)
OK ein VLAN für ALLE Telefone, überredet ;)
Post by Thomas Wildgruber
Finde ich nicht. Kameras sind Gebäudeüberwachungelemente, was für einen
Sinn soll es haben, dass das Laptop eines Mitarbeiters im gleichen Netz
rumturnt, wo auch die Gebäudeüberwachung drüber läuft. Gleiches für
Maschinen, in unserem Fall sind das Druckmaschinen, nur stehen die noch am
alten Standort. Da greift Heidelberg (der Maschinenhersteller) remote drauf
zu um Störungen zu analysieren. Was macht es für einen Sinn, die Server im
selben Netz stehen zu haben. Ist doch nur ein zusätzliches
Sicherheitsrisiko, welches mit Null Euro vermieden werden kann, wenn die
Hardware das eh schon kann. Oder die Serverfarm, niemandem im Haus geht der
BackupServer etwas an, oder der Server auf den die Kameras streamen bzw.
ihre Events ablegen usw usf. Und Systeme lassen sich IMHO nicht leichter
absichern als sie hinter einer richtigen Firewall zu verstecken. Es wird
nur das zugelassen, was nötig ist. Und du hast die Kontrolle, was da wo hin
will...
Heidelberg? cool, die sind Kunde von uns. - Dann kristalisiert sich bei mir
4 Vlans raus:
1. PCs
2. Telefon VOIP
3. Kameras
4. Maschinen / Uhren ...
Post by Thomas Wildgruber
Die Accesss Switche sind ProCurve 2650. 7 Stück, für jeden Gebäudebschnitt
einer, der Vollausbau sieht in jedem Abschnitt aber zwei vor. Die zweite
Glasfaserleitung liegt schon und wenn in einem Abschnitt mal die 50 Ports
nicht mehr ausreichen, wird einfach ein zweiter nachgeschoben. Einer davon
liegt bereits als Spare Part vor. Der Coreswitch ist ein ProCurve 5308XL
mit den benötigten Modulen und auch noch reichlich Luft nach oben.
Wir haben unser Netz auch mit MAC Based Authentication aufgebaut. Die HP
Komponenten können das über einen RADIUS Server abwickeln und wir sind
endlich das leidige Problem los, dass sich Leute ihr Laptop von zu Hause
mitschleppen oder ein Kunde ganz schnell mal mit seinem Laptop ins Internet
muss zum E-Mail checken. Jede MAC Adresse die der RADIUS nicht kennt, lässt
er im Default VLAN, welches ausschliesslich nur Zugang zum Internet über
die nötigen Ports hat und nicht in die lokale Infrastruktur routet. Und
damit keiner auf den blöden Geadnken kommt eine gültige MAC Adresse zu
spoofen haben wir in der DMZ einen WebDAV Server stehen, der für einen
Datenaustausch zwischen der lokalen Infrastruktur und fremden Geräten
benutzt werden kann. Dieser genießt bei den Admin eine erhöhte
Aufmerksamkeit und alle sind glücklich... ;-)
Das werde ich in meine Planungen einfliessen lassen. Ich bin mit HP im L2
Bereich sehr zufrieden. Hoffe so auch im L3.
Post by Thomas Wildgruber
Das Einbinden von USB-Sticks und dergleichen kann ja über die Registry der
Clients schon recht wirksam unterbunden werden. Aber wir haben die
Erfahrung gemacht, wenn man den Leuten die Möglichkeiten gibt, die sie sich
wünschen, nehmen sie auch gerne mal Umwege in Kauf und sind nicht mehr so
erfinderisch, wenn es darum geht doch noch irgendwie /rein/ zu kommen ;-)
Für die USB Problematik haben wir eine extra Applikation angeschaft. Mit
Bordmitteln ist es unter 2000/XP nur sehr schwer zu erschlagen.
Post by Thomas Wildgruber
Fazit: Du hast jetzt bei der Neugestaltung einer Infrastruktur ja schon
Laborbedingungen und kannst dich richtig austoben, was das Testen und
Implementieren neuer Features betrifft. Nutze sie, einfacher wird das
später nicht mehr... Viel Spass, wir haben viel dabei gelernt ;-)
Bye Tom
--
"One good Whiskey a day, keeps the doctor away"
Vielen Dank für deine Darstellung und Tipps

LG Uli
Denis Jedig
2008-04-24 20:56:32 UTC
Permalink
Post by Thomas Wildgruber
Wir haben unser Netz auch mit MAC Based Authentication aufgebaut.
"MAC based authentication" ist ein Widerspruch in sich. Eine MAC-Adresse
ist weder geheim noch ein Token, sie kann nicht mehr Sicherheit bei der
Authentifizierung bieten, als jede andere öffentlich verfügbare
Information.
Post by Thomas Wildgruber
Komponenten können das über einen RADIUS Server abwickeln und wir sind
endlich das leidige Problem los, dass sich Leute ihr Laptop von zu Hause
mitschleppen oder ein Kunde ganz schnell mal mit seinem Laptop ins Internet
muss zum E-Mail checken.
"Inconviniencing users" hat zwar seine Berechtigung für die Steuerung des
Nutzerverhaltens, ist aber wirklich kein Sicherheitsfeature. BTW: was war
der Grund dafür, dass ihr nicht 802.1x verwendet habt, wo ihr doch schon
ohne Weiteres konntet?
--
Denis Jedig
syneticon networks GbR http://syneticon.net/service/
Thomas Wildgruber
2008-04-25 07:56:20 UTC
Permalink
Post by Denis Jedig
"MAC based authentication" ist ein Widerspruch in sich. Eine MAC-Adresse
ist weder geheim noch ein Token, sie kann nicht mehr Sicherheit bei der
Authentifizierung bieten, als jede andere öffentlich verfügbare
Information.
Es ist ein Strukturierungsfeature.
Post by Denis Jedig
[...]BTW: was war der Grund dafür, dass ihr nicht 802.1x verwendet habt,
wo ihr doch schon ohne Weiteres konntet?
Weil wir auch kein Vertrauen in portable Authentifizierungsmerkmale hatten.
Ein Passwort taugt nicht, weil die User es kennen und Softzertifikate kann
man kopieren. Um das wirksam durchzusetzen hätten wir TPM einsetzen müssen
-> hatten wir aber nicht.

Unsere Überlegung war es den Forschungsdrang unserer User dadurch zu
minimieren, dass wir ihnen gaben was sie wollen -> Aber ducr einen
vernünftigen Konsens. Wenn es jemand darauf anlegt kommt er auch an 802.x
vorbei. Zumindest waren das unsere Einschätzungen.

Bye Tom
--
"Manches Gewissen ist nur rein, weil es nie benutzt wurde" (Robert Lembke)
Denis Jedig
2008-04-28 07:17:51 UTC
Permalink
Post by Thomas Wildgruber
"MAC based authentication" [...]
Es ist ein Strukturierungsfeature.
Mag sein. Aber "Authentication" gehört dann nicht in den Featurenamen. Eher
schon "RADIUS-basierter FDB Filter" o.Ä.
Post by Thomas Wildgruber
[...]BTW: was war der Grund dafür, dass ihr nicht 802.1x verwendet habt,
wo ihr doch schon ohne Weiteres konntet?
Weil wir auch kein Vertrauen in portable Authentifizierungsmerkmale hatten.
Ein Passwort taugt nicht, weil die User es kennen und Softzertifikate kann
man kopieren.
Aber beides nur mit Mitwirkung oder grober Fahrlässigkeit seitens der
Nutzer. Nicht, dass das nicht vorkommt, aber für eine MAC-Adresse braucht
man nichts dergleichen. Und das Handling von 802.1x ist ja auch nicht
wesentlich anders, als das eures aktuellen Konstruktes. Nicht zuletzt
sollten bei erhöhtem Sicherheitsbedürfnis für dieses Bedrohungsszenario
auch für 802.1x unter Windows Smartcards einsetzbar sein (zugegebenermaßen
nie probiert).
--
Denis Jedig
syneticon networks GbR http://syneticon.net/service/
Thomas Wildgruber
2008-04-28 08:26:35 UTC
Permalink
Post by Denis Jedig
Post by Thomas Wildgruber
Weil wir auch kein Vertrauen in portable Authentifizierungsmerkmale hatten.
Ein Passwort taugt nicht, weil die User es kennen und Softzertifikate kann
man kopieren.
Aber beides nur mit Mitwirkung oder grober Fahrlässigkeit seitens der
Nutzer.
Genau um die geht es bei uns. Einbrüche und Hackversuche von extern müssen
an anderer Stelle verhindert werden. Dafür sind die hier diskutierten
Features alle nicht geeignet.

Da geht Kunde A mit seinem Laptop zu Mitarbeiter B und bittet um einen
Internetzugang um seine E-Mails zu checken. Früher gab es ständig
Diskussionen, heute kann er sich einstöpseln wo er will, er hat überall
Internet und da der RADIUS seine MAC nicht kennt, hat er keinen Zugang zur
internen Infrastruktur. Den will er aber auch gar nicht haben und wenn er
dennoch mal was braucht -> Bitte, in der DMZ steht der WebDAV Server.
Post by Denis Jedig
Nicht, dass das nicht vorkommt, aber für eine MAC-Adresse braucht
man nichts dergleichen.
Mal abgesehen davon, dass er eine gültige MAC kennen muss, stimmt das
schon.
Post by Denis Jedig
Und das Handling von 802.1x ist ja auch nicht wesentlich anders, als das
eures aktuellen Konstruktes.
Auch das mag gut sein aber wie gesagt, wir hatten das diskutiert und uns
eben dagegen entschieden.
Post by Denis Jedig
Nicht zuletzt sollten bei erhöhtem Sicherheitsbedürfnis für dieses
Bedrohungsszenario auch für 802.1x unter Windows Smartcards einsetzbar
sein (zugegebenermaßen nie probiert).
Auch immer nur dann, wenn man die Schwachstelle nicht bei den prinzipiell
berechtigten Usern sieht. Die Smartcard hindert diesen nicht daran, sein
eigenes Laptop hier ans Netz zu hängen. Und in unserem Setup ebenso wenig,
stimmt schon, aber ein wirklicher Gewinn ist 802.1x in diesem Kontext auch
nicht, zumindest ohne TPM.

Bye Tom
--
"One good Whiskey a day, keeps the doctor away"
Ulrich Reuber
2008-05-09 13:34:00 UTC
Permalink
Hi Tom,

mit welchem Radius kann man den auch Mac Based authentication realisieren?
Bei W2003 hab ich nichts gefunden.... Thx Uli
Nice Pfingsten!
Thomas Wildgruber
2008-05-09 13:55:34 UTC
Permalink
Post by Ulrich Reuber
mit welchem Radius kann man den auch Mac Based authentication realisieren?
Bei W2003 hab ich nichts gefunden.... Thx Uli
Wir haben FreeRADIUS auf FreeBSD laufen. Geht aber auch mit W2K3 (IAS),
wobei man dann AFAIK eine Extension in den ISA integrieren muss.

http://www.rt-solutions.de/upload/0_1164022039.pdf?PHPSESSID=03863f819c757badae6fe988f5d5c6b2

Ich habe aber auch noch so im Hinterkopf, dass man die MAC Adresse auch als
(User)-Objekt im AD ablegen kann. Aber weder FreeBSD noch FreeRADIUS kosten
was und wenn dir Linux mehr zusagt, da geht das ebenso problemlos.

Bye Tom
--
Francesco Totti
(auf die Frage eines Journalisten, was er als echter Römer von dem Motto
"Carpe diem" halte) "Was soll der Scheiß, ich kann kein Englisch."
Ulrich Reuber
2008-05-13 16:06:02 UTC
Permalink
Hallo Tom,

dank Dir. Da ich eine 2k3 Domain fahre würde ich schon gern den IAS nehmen.
Dann komme ich an der RT-Solution Dll nicht vorbei ...

Uli

Amos Walker
2008-04-18 11:25:27 UTC
Permalink
Ich nehme derzeit für große, segmentierte und QSPF geroutete Netze immer
10.er Netz, aber mit 20 Bit Subnetzmaske (255.255.240.0).

Ergibt 4096 Subnetze mit jeweils 4094 Hosts pro Subnetz.

Da ist genügend Reserve für jede Konstellation drin.....

Die Standard Dinger mit ClassA/B/C finde ich für größere Installationen
nicht unbedingt passend, weil C mir i.d.R. zu klein ist, A/B jedoch wieder
zu groß und zu wenig Subnetze dabei rumkommen.

Natürlich kann man auch die Standard B Ranges schön mit einer 20 Bit Maske
zerteilen, damit ordentlich was rumkommt.

Ich emfehle den SolarWinds Subnetcalculator (Freeware)
Ulrich Reuber
2008-04-18 15:06:01 UTC
Permalink
Post by Amos Walker
Ich nehme derzeit für große, segmentierte und QSPF geroutete Netze immer
10.er Netz, aber mit 20 Bit Subnetzmaske (255.255.240.0).
Ergibt 4096 Subnetze mit jeweils 4094 Hosts pro Subnetz.
Natürlich kann man auch die Standard B Ranges schön mit einer 20 Bit Maske
zerteilen, damit ordentlich was rumkommt.
Hi,
genau so werde ich es wahrscheinlich auch machen. 4096 klingt ein wenig
viel, aber 240 kann ich mir gut merken :) und die 10.x.x.x hat was. BTW:
http://www.subnet-calculator.com/subnet.php?net_class=A ist auch ein netter
Calculator...

LG Uli
Amos Walker
2008-04-18 15:47:23 UTC
Permalink
http://www.subnet-calculator.com/subnet.php?net_class=A

nett gemacht, gut für unterwegs...
Denis Jedig
2008-04-24 21:00:02 UTC
Permalink
Post by Amos Walker
Die Standard Dinger mit ClassA/B/C finde ich für größere Installationen
nicht unbedingt passend, weil C mir i.d.R. zu klein ist, A/B jedoch wieder
zu groß und zu wenig Subnetze dabei rumkommen.
Hm, ist ein Ethernet mit mehreren Tausend Stationen nicht ein wenig ...
krank? Ich weiß nicht, ob es in größeren Unternehmen vielleicht Szenarien
gibt, wo das Sinn macht, aber ich könnte mir vorstellen, dass alleine schon
die Anforderungen, Netze mit unterschiedlichen Sicherheitsrichtlinien zu
segmentieren, in fast allen Fällen zu wesentlich kleineren Netzen führen
dürfte.
--
Denis Jedig
syneticon networks GbR http://syneticon.net/service/
Amos Walker
2008-04-25 16:09:06 UTC
Permalink
Krank?

Immer viele Standorte mit vielen VLAN Segmenten vorausgesetzt:

Ich habe in meheren Projekten die Erfahung gemacht, dass

255 Netze mit nur 254 Hosts nicht ausreicht.

Ebenso nur 16 Netze mit zwar 65534 Hosts.

Natürlich ist ein Netz mit 16777214 Hosts Quatsch.

So wird aber jeder am Anfang seine Netze u.U wählen, etc...

Ich behaupte:

Ein besserer Ansatz ist von vorne herein sowohl viele wie auch große
Subnetze zu haben und da bietet sich halt
z.B. ein 10er Ansatz mit 20 Bit Maske an (oder auch andere Konstellationen,
die etwas von Class A/B/C abweichen)....

Damit meine ich nicht den Handwerksbetrieb mit einem Home-Offce, sondern
z.B.
Krankhausketten mit komplexen Netzen und vollgerouteten Standortvernetzungen
und jeweils zig angebundenen Arztpraxen....

Ich habe noch keine Firma gefunden, auf die die 10er Range mit 20 Bit nicht
passen würde........

Ulrich wollte Meinungen ander Administratoren, wo is eigentlich dein
Problem, das du gleich mit "krank" um die Ecke kommst.....
Denis Jedig
2008-04-28 07:09:52 UTC
Permalink
Post by Amos Walker
Krank?
Mhm.
Post by Amos Walker
Ich habe in meheren Projekten die Erfahung gemacht, dass
255 Netze mit nur 254 Hosts nicht ausreicht.
Offenbar willst du darauf hinaus, dass die Anzahl der Netze (255) für viele
Anwendungen nicht ausreicht. Das will ich auch gar nicht bestreiten.
Post by Amos Walker
z.B. ein 10er Ansatz mit 20 Bit Maske an (oder auch andere Konstellationen,
die etwas von Class A/B/C abweichen)....
CIDR ist eine überaus sinnvolle Sache.
Post by Amos Walker
Ulrich wollte Meinungen ander Administratoren, wo is eigentlich dein
Problem, das du gleich mit "krank" um die Ecke kommst.....
Ich habe kein Problem, lediglich eine abweichende Meinung. Mehr als 200
Stationen machen in einer Ethernet-Broadcastdomain mit einem
Protokollbouquet, wie es in einem heutigen Netz mit Windows-Hosts üblich
ist, viel mehr Arbeit als nötig. Außerdem werden Sicherheitsanforderungen
in aller Regel durch Segmentierung der IP-Netze (Zoning) umgesetzt und
führen damit schon fast automatisch zu kleineren Netzen. Natürlich kann man
an eine Unterabteilung oder einen Standort /20 zuweisen, wenn dort ohnehin
voraussichtlich der Bedarf besteht, weiter zu segmentieren. Das gibt aber
dann im Ergebnis aber wesentlich kleinere Netze, als /20.
--
Denis Jedig
syneticon networks GbR http://syneticon.net/service/
Loading...