Frage, Router mit Trennung der Ports

[Domi83]

Hallo Leute, ich habe mal eine kleine Frage an euch.
Hier im Büro soll demnächst eine neue Telefonanlage aufgebaut werden mit VoIP Endgeräten. Die PCs (Clients) hängen an einem handelsüblichen HP ProCurve Switch und für die VoIP Endgeräte wird ein PoE fähiger Switch dazu gehängt.

Damit sich nun die VoIP Geräte und das normale LAN nicht in die Quere kommen, soll man diese trennen. Physikalisch wären sie schon getrennt da die gesamte TK Anlage auf einen PoE fähigen Switch gehängt wird und die Clients + Server an einem anderen Switch hängen. Nun soll aber die Möglichkeit bestehen das man auch mal auf das Webinterface der TK Anlage (Auerswald Compact 5000R) zugreifen kann. Dazu benötige ich ja einen Router der die Ports untereinander trennen kann, mir aber dank Routing die Option bietet von einem PC auf das Webinterface der TK Anlage zugreifen zu können.

Somit wären die Netze durch den Router physikalisch wieder verbunden, virtuell sollen sie ja aber getrennt werden.
Kann man für solch ein Verfahren einen Draytek Vigor2860 verwenden? Laut Anleitung kann er VLAN und somit müsste ich doch die Ports voneinander trennen können. Oder irre ich mich da?

Gruß, Domi

 

[Benzer]

Das kannst du halten wie nen Dachdecker

Entweder physikalische Trennung, oder Trennung über IP, Trennung über VLAN...
Wenn die TK Anlage zwei NIC's hat wäre es das einfachste jede NIC in ein Netz zu hängen und so Zugriff zu bekommen.

 

[Raijin]

Der Draytek ginge wohl auch, ist aber unnötig groß/teuer. Wenn es dir nur um Routing geht, kannst du auch sowas wie den EdgeRouter Lite (ER lite) von Ubituiti nehmen. 3 separate Interfaces, beliebig untereinander routbar mit Firewall, etc.. Kostet knapp 90-100€
Alternativ einen kleinen MikroTik-Router.


Ubiquiti EdgeRouter Lite ~100€
MikroTik RB750GL ~60

Auf den jeweiligen Herstellerseiten findest du noch andere Modelle. Allerdings setzen solche Geräte ein gewisses KnowHow voraus, da die out-of-the-box alles andere als Plug and Play sind wie 08/15 Heimrouter.

https://www.ubnt.com/
http://routerboard.com/


Komischerweise suchen im Moment viele Leute solche Router. Ist seit gestern schon mindestens der 3. Thread in dem ich poste..

 

[Domi83]

He he... Joa... da gebe ich dir vollkommen recht. Da gibt es viele Möglichkeiten.
Spätestens 2018 wird ja komplett auf VoIP umgestellt, somit muss ja der Router die Schnittstelle der beiden Netze (LAN und Telefon) sein. Und für mich persönlich wäre halt nur die Frage ob dieses Draytek Modell genau das kann was ich halt dafür benötige und ob das jemand weiß.

In der Anleitung habe ich gesehen, dass das Gerät VLAN fähig ist und somit müsste ich doch jedem Port ein eigenes VLAN zuordnen können und hinterher mit einer Regel in den Routing Tabellen einstellen können das ich von einem Client aus VLAN1 (an Port 1) auf die TK Anlage (Port 2) zugreifen kann. Oder irre ich mich da? Netzwerktechnik ist schon ein paar Jahre her, darum muss ich mich erst einmal wieder heran tasten

Interessant wäre noch, ob ich mit dem Vigor2860 unsere FritzBox 7490 ersetzen / austauschen kann
Gruß, Domi

Nachtrag1: @Raijin, das liegt vielleicht daran das diverse Leute auf VoIP umstellen. Hier bei uns in der Firma kommt ja erst einmal eine neue TK Anlage rein die noch über den Mehrgeräteanschluss laufen wird aber hinterher komplett auf VoIP umgestellt wird.

Nachtrag2: Und was die Größe / Kosten angeht, man möchte mir eigentlich gerne einen LANCOM Router dazu anbieten da dieser ja VLAN fähig ist und das besser harmonieren würde etc. Wie gesagt, Netzwerktechnik ist schon ein paar Jahre her... aber mit ein wenig einlesen habe ich es (glaube ich) wieder drin.

- WAN Anschluss der Telekom
-- Router
--- Port 1, HP ProCurve Switch für das LAN
--- Port 2, PoE fähiger Switch für TK Anlage und Endgeräte
--- WLAN für mobile Endgeräte

oder mache ich da irgendwo einen Denkfehler?

Nachtrag3: Ach ja, das Draytek Modell ist mir auch ins Auge geschossen weil es fast wie eine Eierlegende-Wollmilch-Sau ist. Einwahlrouter mit VDSL2 Modem und WLAN Funktion etc.

 

[chithanh]

Sogar Consumer-Geräte sind von der Hardware her bereits VLAN-fähig, und mit DD-WRT/OpenWrt drauf lässt es sich dann auch konfigurieren. Recht beliebt sind der TP-Link WR1043ND oder dessen Nachfolger.

Natürlich sind die weniger leistungsfähig als ein MikroTik oder Ubiquiti, aber für viele Einsatzzwecke sollte es dennoch reichen.

 

[Domi83]

Eines der TP Link Geräte wollte ich mir selbst zulegen, da mein WRT54GL (der als AP in der Einliegerwohnung dient) vom Datendurchsatz für WLAN an seine Grenzen stößt bei meinem VDSL 50 Anschluss. Ich hatte letztens ein Windows neu installiert, ein Update gemacht und anschließend das Kabel dran geschlossen weil das WLAN total lahmarschig war.

Aber im Prinzip wäre es ja egal, ob ich nun den Vigor2860n, ein MikroTik oder Ubiquiti Router oder doch ein TP-Link Gerät verwende. Korrekt?

 

[h00bi]

Damit sich nun die VoIP Geräte und das normale LAN nicht in die Quere kommen, soll man diese trennen

Wo ist denn da der Sinn? Wo kommt diese Info her? Dir gehen so viele Vorteile von VOIP flöten wenn du das so machst.
Steuerung über den PC ist da schon mal das wichtigste, das ist eigentlich DAS Killerfeature einer guten VOIP Lösung.

 

[Domi83]

Also wenn ich die Skizze auf der Auerswald Seite richtig interpretiere, wird so eine VoIP TK Anlage einfach in das bestehende LAN gehängt und überall da wo man ein VoIP Endgerät hinstellt, hat man eigentlich auch sofort eine Verbindung (vorausgesetzt, der Port bietet PoE) oder etwa nicht?

Diese Information habe ich vom Fachhändler... dieser sagte mir, dass ich die Auerswald 5000R nicht einfach an den vorhandenen Switch hängen kann. Denn wenn viel Traffic auf dem Switch ist, mag das die Anlage oder das gesamte VoIP Netz nicht. Geplant ist halt, dass hier eine Auerswald 5000R aufgestellt wird und an den Arbeitsplätzen wird jeweils ein COMfortel 1400IP oder 2600IP hingestellt.

Gruß, Domi

 

[chithanh]

@Domi83,
Von der Funktionalität werden alle drei den Zweck erfüllen. Beim Ubiquiti ist alles Hardware-beschleunigt, die TP-Links würden eher an ihre Grenzen stoßen, besonders wenn noch NAT/Firewall/VPN/... hinzukommen. Für reines Routing sind aber auch die TP-Links bis knapp 1 Gbit/s gut.

@hoobi
Gemeint war wohl, die VoIP-Geräte in ein anderes Subnetz zu stecken, nicht die Kommunikation mit anderen LAN-Geräten komplett zu unterbinden.

 

[Raijin]

Naja, "in die Quere kommen" ist relativ. Natürlich kann das VoIP-Netz vom Büro-Netz beeinflusst werden, wenn am Patchday plötzlich alle Windowsrechner Updates ziehen und für VoIP keine Bandbreite mehr übrig bleibt. Das ist aber die Kernkompetenz von QoS, das sicherstellt, dass zeitkritische Dienste wie zB VoIP Priorität haben. Da würden dann Downloads effektiv gebremst, weil VoIP-Traffic bevorzugt wird.

Je nach Firmangröße würde ich aber eher keinen 08/15-TP-Link-Router mit OpenWRT, etc einsetzen. Die sind was die Hardware angeht arg eingeschränkt. Für daheim sind die super, auch wenn man 2-3 Server stehen hat. In der Firma wird das Netzwerk aber tendenziell deutlich stärker ausgelastet sein, mehr User, mehr Traffic. Da werden ständig Projekte hin und herkopiert, etc..

OpenWRT-Geräte können eben von der Firmware her (fast) "alles", aber die Hardware ist schlicht und ergreifend nicht dafür gedacht.

 

[Domi83]

Bezüglich Downloads (hoffe das verstehe ich gerade korrekt) wird es aktuell bis 2018 aber noch gar keine Probleme geben.

1.) Wir sind hier ein 12 Personen Unternehmen mit 50 Mbit, später 100 Mbit Vectoring

2.) Die Anlage ist zwar VoIP fähig,
a.) wird diese aber bis 2018 noch via ISDN Mehrgeräte- / Anlagenanschluss bedient
b.) werden bei aktueller Planung nur IP basierte Endgeräte angeschlossen

chithanh hat recht, es geht wohl um eine Subnetz mäßige Trennung, damit nicht alle Geräte im 192.168.1.0/24 Netz hängen und sich vielleicht irgendwie stören könnten.

Nachtrag: Ganz zu Anfang dachte ich mir eigentlich, ich ersetze unseren 24 Port Switch gegen einen 48 Port PoE fähigen Switch wo ich alles dran klemme und gut ist. Aber das soll wohl halt nicht gehen, wenn der Windows Server und Clients, sowie mobile Endgeräte, IP basierte Telefone + TK Anlage im 192.168.1.0/24 Netz hängen.

 

[Raijin]

Nur mal so: 192.168.1.0/24 würde ich sowieso unter keinen Umständen verwenden, nicht privat und schon gar nicht in einem Firmennetzwerk. Sollte irgendwann ein zweiter Standort dazukommen oder es gibt Bedarf für Heimarbeitsplätze, Roadwarrior, Fernwartung oder sonstige Szenarien, in denen das Firmennetzwerk in irgendeiner Form mit/durch Fremdnetze verbunden wird, kann es gewaltig knallen.


192.168.0.0 - 192.168.255.255
172.16.0.0 - 172.31.255.255
10.0.0.0 - 10.255.255.255

Das sind die Adressbereiche, die für private (im Sinne von "nicht öffentlich") Netzwerke reserviert sind. 192.168.0.0/24 ..1.0/24 ..2.0/24 ..178.0/24 sind die wohl am häufigsten verwendeten Subnetze, die man nach Möglichkeiten meiden sollte wie die Pest.

 

[Domi83]

Naja, wir sind halt ein 12 Personen unternehmen und die Chefs haben nicht vor zu expandieren. Und ein handelsübliches Class C Netz reicht doch im Prinzip völlig aus. Nenne mir mal Subnetze die du in Firmennetzwerken bevorzugst... du verwirrst mich nämlich gerade ganz schön stark.

Nachtrag: Aber mal davon ab, welches Subnetz ich hier im Büro verwende... Kann ich die TK Anlage und die IP Endgeräte in das gleiche Netz hängen, oder sollte man diese definitiv in ein anderes Subnetz packen? Wenn man diese nicht trennen muss, brauche ich mir nur einen zweiten Switch hier hin stellen der PoE kann. Diesen hänge ich in mein vorhandenes Firmennetz rein und daran klemme ich die ganzen Auerswald Geräte

 

[Benzer]

Nicht 1, 2 oder 178. Das sind Standardkonfigurationen von Heimroutern. Sollte man sich mal nur ausversehen irgendwo hin verbinden könnte es schon knallen.

 

[Raijin]

Speziell zu firmenweitem VoIP kann ich leider keine fachlichen Aussagen treffen, weil ich mich damit im Detail nicht gut genug auskenne.


Zu den Subnetzen:

Wenn die Firma 192.168.1.0/24 einsetzt und man Frau Musterfrau Zugang von außen für Heimarbeit geben will damit sie daheim ihre Kinder hüten kann, dann verbindet sie sich via VPN mit der Firma. Hat Frau Musterfrau daheim aber AUCH 192.168.1.0/24, weil der 08/15-Router das werksseitig so eingestellt hatte (wie gefühlt 99% aller Router), dann klappt das nicht. Pingt man dann zB 192.168.1.1 an, landet man auf dem heimischen Router und nicht wie gedacht auf dem Firmen-Router/-Server. Der PC wüsste nämlich gar nicht wie er 192.168.1.1 in der Firma und in der Wohnung auseinanderhalten sollte... So als wenn du in Frankfurt einen Brief an "Hauptstraße 1" abschickst, ohne Postleitzahl. Es gibt gefühlt 17384 "Haupstraßen" in Deutschland. Woher sollte die Post wissen, dass der Brief nicht nach Frankfurt, sondern nach Hamburg soll?


Besser wäre zum Beispiel 192.168.48.0/24 oder 192.168.117.0/24 oder 10.89.221.0/24 oder 172.23.66.0/24... Such dir was aus..

 

[Domi83]

@Raijin, jetzt weiß ich was du meinst... Das ist das was ich intuitiv bei mir Zuhause eingerichtet habe. Dort habe ich nämlich ein 10.12.0.0/24 Netz und was du wegen den Verbindungen vom VPN zum Firmennetz meinst, kann ich nun auch nachvollziehen. Klar, kenne das Phänomen ja selbst... als ein Bekannter von mir im Urlaub war, habe ich seinen Kunden solange in Vertretung übernommen (bin Selbstständig im Nebenerwerb) und dem sein Kunde hat das gleiche Subnetz wie wir hier in der Firma. Als ich also mit meinem Notebook darauf zugreifen wollte via VPN habe ich blöde aus der Wäsche geschaut

Aber klar, dass macht natürlich Sinn und ist verständlich. Das einzige was ich letztens feststellen musste... Das Apple Geräte wohl Probleme haben mit 10.12.0.0/24 und einem DHCP der solche Adressen vergibt. Ich wollte nämlich bei mir Zuhause ein iPhone ins WLAN bringen, dass Gerät hatte sich auch verbunden. Aber es konnte keine IP beziehen

Da ich bei den Chefs die Netze auch eingerichtet habe und diese neben mir die einzigen mit VPN Zugang sind, habe ich an das beschriebene Szenario nicht gedacht weil ich es bei den Chefs automatisch umgangen habe mit 192.168.2.0/24 (Chef1) und 192.168.3.0/24 (Chef2)

Aber nun muss ich noch schauen wie ich das mit der neuen TK Anlage und den IP Telefonen mache