Standortanbindung

[basti19885 10]

Hallo,

ich soll mir mal gedanken zu einer Standortrealisierung machen.

Vielleicht erst einmal paar worte zum IST bzw Soll Stand.

 

IST:

Dienste:

• Samba
  
• PSQL
  
• HTTP/HTTPS
  
• SSH
  
• VNC/RDP
  
• Telefon (Swyx)
  
• Opsi
  

Aufbau:

Client - LAN - Firewall (IP-Tables) - WAN

 

SOLL:

 

Hauptsitz

Client - LAN - Firewall (IP-Tables) - WAN -  Firewall (IP-Tables) -LAN 
                    |_ 2. FireWall - VPN -  2. FireWall _|

 

Der neue Standort soll weitesgehend vom jetztigen aus administriert werden. (SSH, VNC, RDP)

HTTP/HTTPS zugriffe unterweinander

Samba - Da da hab ich schon ne Idee das als Art Cluster zu bauen (Sprich: daten liegen Lokal auf NAS insofern diese 1. von der Ausenstelle sind oder/und schon mal angefordert wurden) -- geht das überhaupt?

Telefon - Swyx-Connect

Opsi - kann man das ohne das "VPN/WAN"-Modul?

 

Hardware VPN vs. Software VPN

=> das einzige was mir hierzu einfällt, Sollte es einen fehler eben können die User die Hardware einfach neu starten + das Netz konfiguriert sich neu / steht wieder (oder hab ich da nen denkfehler?)

 

Stichwort DMZ kann oder muss ???

(Hab die bisher nur in verbindung mit Web-Servern kennen gelernt &

weis eigentl. auch nur das es sie gibt)

[Simposs 10]

Hi!

Also erstmal vorweg, es müssten noch viele viele Fragen bezüglich des Projekts geklärt werden aber grundsätzlich würde ich sagen, du brauchst entweder eine Standleitung oder einen vernünftigen VPN-Tunnel (mit festen IPs und evtl Backup-Leitung!), Swyx ist dann kein Problem mehr (2 Mbit Upstream+), je nachdem wieviele Leute dort überhaupt arbeiten.

DMZ ist deine Entscheidung (kommt wieder auf die Infrastruktur an) und heißt grob gesagt nur, dass du einen Bereich innerhalb deines LANs durch eine zweite Firewall "abgrenzt" oder bei den heutigen Firewalls über den separat konfigurierbaren DMZ/Opt-Port. Sprich, die DMZ ist einfach eine separte Zone und kann zB. so aussehen, dass du LAN A (192.168.0.x) dahingehend von LAN B (192.168.1.x) abgrenzt, dass die Server in LAN B nur deinen Proxy nutzen dürfen und du aus LAN A nur über RDP auf die Server in LAN B gelangst.

 

Grüße

[basti19885 10]

Danke ersteinmal für deine Antwort.

 

VPN ist klar doch was die Standleitung angeht, hab ich egher an so dinge wie DynDNS oder DNS4BIZ gedacht.

 

Hat damit jemand Erfahrungen, im speziellen in Verbindung mit VPN?

[lefg 276]

Hallo,

 

wir machen die "Standverbindungen" für unser landesweites Intranet nicht mehr selbst, wir haben uns dafür einen Provider gesucht, dem unsere Anforderungen, EWünsche geschildrt, der hat sich das angeschaut, eine Analyse (Bandbreite) gemacht, das gebaut. Der Provider überwacht die Verbindungen ständig, Fehler werden in deren Zentrale sofort festgestellt, Behebung sofort eingeleitet. Den Anruf des Providers habe ich meist noch vor dem der User.

 

Unter dem Strich fahren wir mit dem Provider besser als früher dem Eigenbau: Weniger, kürzerer Ausfall, gegen Null tendierend, damit weniger Produktionsaufall, weniger genervte Benutzer.

[basti19885 10]

welchen provider habt ihr da?

 

zum anderen wird diese leitung nicht für kunden benötigt sondern "nur" für mitarbeiter (zur Zeit sind das in den betreffenden Abteilungen 7 also wenn da irgendwann mal 15 sitzen ist das schon weit geplant.

 

Diese wiederrum nutzen größtenteils Server, die irgendwo im Rechenzentrum stehen.

[lefg 276]

....zum anderen wird diese leitung nicht für kunden benötigt ....

 

Wir benötigen die Leitungen ja auch nicht für Kunden, wir beutzen sie für unsere Verwaltungorganisation, ein Intranet, ca 15 Standorte im Lande und eine Zentrale.

 

Ich habe da den Begriff Provider benutzt, es ist kein ISP gemeint; es ist ein regionaler Dienstleister, der mietet bei den Netzbetreibern die Kapazitäten an, stellt die Router auf und schliesst uns an; wir müssen uns darum nicht kümmern.

[unst 10]

Ansosten bieten auch div. ISPs sowas an.

Wenn du VPN willst, ist das kein Hexenwerk. Es muss aber klar sein, ob die MA über die Zentrale Surfen. Wenn ja, mehr Bandbreite.

 

Das was du bei deinem Samba Cluster machen willst gibt es und nennt sich WAN Optimierung. Siehe Riverbed oder BlueCoat z.B.

 

Weiterer Vorteil von nicht-selbstbau-vpn: Du kannst dir ggf nen Dienstleister dahinter klemmen wenns Eng wird - du bekommst aber irgendwo Support. Bei nem OpenVPN auf zwei Linux Kisten ists sone Sache. Guck dir doch mal Astaro und Astaro Red an.

[basti19885 10]

So nun nimmt das ganze Langsam gestallt an und ich suche nach Hardware.

Auf den ersten Blick tendiere ich zu LANCOM.

 

Folgendes hab ich mal in die engere Auswahl genommen:

 

• Cisco WRVS4400N (wohl eher SOHO?)
  
• Linksys RV082
  
• LANCOM 1611+ VPN
  
• LANCOM 1721+ VPN
  

 

Die Angabe der gleichzeitigen "IPSec" Verbindungen irritiert mich ein wenig. wie ist das zu verstehen?

 

Wie funtioniert das mit der Astaro Red?

Brauch ich da auf der einen "Seite" ne Astaro und auf der anderen eine Astaro Red?