Какие бывают роутеры с двумя VLAN?

Question

[Сергей Сахаров]

Суть такая. Есть контора. У неё две сети: офисная для интернета и специальная для охраны и гендира, в которой реализовано видеонаблюдение. И по понятным причинам они не должны пересекаться.
Реализовано это всё на FortiGate, за который уже два года не плачено,
https://ru.wikipedia.org/wiki/Fortinet
Работает непонятно как, специалистов немного, а в провинции их вообще нет. В связи с чем стоит вопрос, на что заменить. Роутеров куча, но у многих из них LAN-порты совместные, то есть создать на них разные VLAN и разделить их на две сети нельзя. Хотелось бы услышать про иные, не слишком дорогие решения. Конечно, Cisco и Juniper рулят, но здесь в конторе меньше сотни компов и смысла покупать дорогое решение нет.

Comments

[Alexey Dmitriev]

Не очень понятно зачем вы ищете роутер. Если нужно поднимать виланы в сети - нужны коммутаторы с поддержкой нужного типа vlan. Если нужен роутер с “двумя виланами“, ему просто нужна третья сетевая карта для второго vlan. Но их поддержка все же есть и в Linux и в микториках и т.п.

[Ziptar]

Я может чего-то не понимаю, но что значит "совместные" lan-порты и при чём тут VLAN - то есть 802.11q тэгирование грубо говоря?

[hint000]

специалистов немного, а в провинции их вообще нет

На самом деле в провинции немного другие проблемы, которые менеджеры порой выдают за "специалистов нет", и это много раз обсуждалось в статьях на Хабре.

[Сергей Сахаров]

Ziptar, это как компьютер не с двумя сетевухами, а с тремя.
На двух из которых висят разные внутренние сети. А не одна.

Сейчас у многих роутеров 4 LAN-порта, на которых висит только одна сеть.

[Сергей Сахаров]

Alexey Dmitriev, То есть лучше брать не роутер, а обычный комп с тремя сетевухами?

[Ziptar]

Сергей Сахаров, я вообще не понимаю о чём речь.
В контексте vlan вам строго плевать, сколько у вас физических интерфейсов на роутере и как они физически скоммутированы, если роутер в принципе умеет 802.11q любым способом. Перед роутером у вас должен быть нормальный управляемый свич, который уже и занимается изоляцией l2 доменов через механизм vlan, в частности снимая и навешивая таги на своих интерфейсах. Роутер разделением сети на l2 домены не занимается, это не его функция. На роутер вланы могут уходить либо через разные физические интерфейсы - зачем огород с вланами тогда вообще? - либо через транк на одном физическом интерфейсе.

[Akina]

Сергей Сахаров,

То есть лучше брать не роутер, а обычный комп с тремя сетевухами?

Лучше описывать задачу/проблему, а не свои попытки её решать. Причём описывать полно, точно, и со всеми задачами и тонкостями.

За каким рожном вообще всё это в кучу? если исходить из текущего описания, в котором требование доступа из одной сети в другую или доступа в Инет из спецсети отсутствует - то нужно просто физически изолировать внутреннюю спецсеть от общей с доступом в Инет.

[Alexey Dmitriev]

Сергей Сахаров, лучше брать то, что подходит под решение поставленной задачи и удовлетворяет требованиям и ТЗ "заказчика".

[Дмитрий]

Настройка VLAN на Fortigate:
https://docs.fortinet.com/document/fortigate/5.6.0...
или на русском
https://docs.selectel.ru/security/firewalls/fortig...
Ничего сложного и принципиально отличного по сравнению с другими вендорами нет. А читать документацию по хорошему нужно у любого сетевого оборудования. И даже комп с тремя сетевухами тоже кому-то придется настраивать, и этот кто-то должен понимать, что он делает. Так что стоит ли менять Fortigate на что-то попроще и классом пониже?

[Сергей Сахаров]

Дмитрий, Вы не поняли, на существующем вланы уже настроены. Но выход в интернет зависит от IP (домена на предприятии нет, я говорю - отставание в технологиях лет на 20). Потому есть мысль разрешить интернет всем и потом ограничивать его группой доступа AD

Есть список IP для выхода в инет. Добавляю ещё IP - не работает. Пытаюсь понять почему.

[Сергей Сахаров]

Akina, Вы не поняли. Проблема в том, что FortiGate настраивали специалисты 4 года назад и с тех пор его не трогали. Выход в интернет (например) задан только для определённых IP и у меня не получается добавить другие. Так же не получается добавить правило для проброса портов.
Да, это проблема. Я достаточно полно описал?

[Сергей Сахаров]

Ziptar, Вы не понимаете, потому что невнимательно прочли.
Вланы трогать не надо. Надо заменить одну железку другой.

[Akina]

Сергей Сахаров, Задачу вы по-прежнему не описываете. Но хотя бы добавили деталей - и они, кстати, в корне меняют понимание того, что у вас имеется.

Потому есть мысль разрешить интернет всем и потом ограничивать его группой доступа AD

Вы серьёзно? поднимать домен исключительно из-за такой ерунды? Нет, оно можно, конечно, но как по мне - из пушки по воробьям. Я бы обошёлся одним микротиком, и даже из не очень продвинутых. Всего-то и делов - два вилана, два DHCP-скопа, и контролируемая маршрутизация (в т.ч. и в Инет) по белому списку МАС-адресов.

[Ziptar]

Сергей Сахаров, ну что я могу сказать в такой ситуации, если корректировать конфигурацию на конвенционально корректную под легкодоступное оборудование для вас сложнее, чем искать то, сами не знаете чего? Мучайтесь!
... как будто новое оборудование не надо будет настраивать...

[Сергей Сахаров]

Ziptar, "Лучше оно, конечно, помучиться" © Сухов, "Белое солнце пустыни".
По другому оборудованию и мануалы проще найти. А если комп с тремя сетевухами, задача вообще сводится к тривиальной установке и настройке FreeBSD.
Да, мне проще настроить другое оборудование аналогично, чем разбираться с существующим "почему новое правило не работает".

[Сергей Сахаров]

Akina,

Вы серьёзно? поднимать домен исключительно из-за такой ерунды?

А кто сказал, что "исключительно"? Меня брали на удалёнку, но обойти порядка 40 компов в разных точках завода и настроить доступ по DameWare или RAdmin - задача нетривиальная, да и пользователи на своих компах - локаладмины, и сменить айпишник им - минутное дело. Вы серьёзно считаете модель, когда доступ пользователя в инет основана на IP нормальной? Тогда нам с Вами не о чем говорить, если для Вас это "ерунда". Пусть берут мальчика на побегушках вроде Вас и пусть он сам и бегает...

[Akina]

Сергей Сахаров,

А кто сказал, что "исключительно"?

Вы. Я дважды просил озвучить задачу. Вы ни разу не ответили - не то что деталями, а вообще.

обойти порядка 40 компов в разных точках завода и настроить доступ по DameWare или RAdmin - задача нетривиальная

Удалённый помощник.

пользователи на своих компах - локаладмины

Вы будете это менять?

Вы серьёзно считаете модель, когда доступ пользователя в инет основана на IP нормальной?

Это зависит от организации. Например, если доступ к порту коммутатора разрешён по белому списку МАС, и включен DHCP Snooping, то всё уже не так грустно, как вы себе представляете.

Тогда нам с Вами не о чем говорить

Ну заставлять не буду... не у меня проблема, в конце концов.

Пусть берут мальчика на побегушках вроде Вас и пусть он сам и бегает...

Только давайте обойдёмся без перехода на личности и оскорблений. Я всё-таки постарше буду...

[Ziptar]

Akina, ммм, dhcp snooping тут вроде не поможет; а вот прибитая гвоздями к dhcp серверу arp таблица на роутере да

[Akina]

Ziptar, почему? Его включение заблокирует подключение компьютеров со статическим назначением, оставив только возможность получения адреса по DHCP. Плюс уже сработает белый список, позволив подключиться (и получить адрес) только зарегистрированным МАС. Как итог - в сети только легальные узлы, получившие адрес строго DHCP. И получающие по МАС доступ в Интернет в соответствии с настройками маршрутизатора.
Какие вы видите пути обхода? ну кроме изменения своего МАС несознательным сотрудником, конечно... хотя если на предприятии бардак, все сидят локальными админами, делают что хотят и не несут за это никакой ответственности, то я как-то вообще не вижу вменяемых способов ограничения, даже если поднять домен и установить там жесточайшие ограничения - сто пудов загрузку с внешнего носителя тоже никто не запретил.

[Сергей Сахаров]

Akina,

Только давайте обойдёмся без перехода на личности и оскорблений. Я всё-таки постарше буду...

Вы уверены?

Ещё раз, задача - обслуживать удалённо организацию примерно с 40 АРМ. Завод. С видеонаблюдением. Есть компы в офисе, есть в цехах. Компы сильно разные, но в основном старьё с HDD, DDR2 и двухъядерными процами. При этом:
1. Компы не в домене (чо там по поводу удалённого помощника)?
2. Доступ в интернет по IP, который пользователи могут на раз сменить ("безопасность, основанная на незнании").
3. Компы не в одном месте, а разнесены по заводу.
4. Доступ в интернет через FortiGate. Подписки нет (по сути только роутер и файрволл - NAT, проброс портов...). В целом ничего экстраординарного кроме второй сети (видеонаблюдение), изолированной от первой.

В целом я ещё не принял дела, но уже принял решение уходить. Ибо внедрять новое не спешат, а текучкой заниматься можно пятилетку (особенно при отсутствии удаленного доступа).

[Сергей Сахаров]

Akina, это работает только в том случае, если все пользователи привязаны к конкретным АРМ. Рассмотрите ситуацию когда за одним компом сидят по очереди два сотрудника, причём у одного интернет должен быть, у другого не должен. Сильно вам при этом ограничение по мак-адресам поможет?

Да и загрузку со сторонних носителей можно запретить . Поставить пароль на BIOS и опломбировать компы. За срыв пломб - санкции.

[Akina]

Сергей Сахаров,

1. Компы не в домене (чо там по поводу удалённого помощника)?

Не в домене пользователь с проблемой просто не может сам запросить помощь, ткнув в учётку админа, вот и всей разницы. Так что он начнёт с телефонного звонка или сообщения в мессенджере. А уже зная, кому надо помогать, подключиться не проблема. Ну и да, надо настроить разрешение на подключение без подтверждения, конечно.

2. Доступ в интернет по IP, который пользователи могут на раз сменить ("безопасность, основанная на незнании").

Как я говорил выше - блокируется ещё на L2. Смена адреса означает статическое назначение, а DHCP Snooping такой узел просто не подключит в сеть.

3. Компы не в одном месте, а разнесены по заводу.

Ну у меня тоже разнесены - и не только по заводу, где я сижу, но и ещё на 2 площадках.

Рассмотрите ситуацию когда за одним компом сидят по очереди два сотрудника, причём у одного интернет должен быть, у другого не должен.

А вот это уже аргумент. Хотя, если у каждого своя личная учётная запись на этом компьютере, то это уже теоретически лечится - авторизацией на шлюзе. Правда, не лечится практически, если все - локальные админы.

PS.

Вы уверены?

Ну если у вас в профиле не фотография сына - то да.

[Сергей Сахаров]

Akina, всё верно, но вы забываете - это завод с отставанием по технологиям на 20 (!!!) лет. Тётки обычно начинают со звонка по телефону со словами "У меня тут чёта проблема, подойди...". А настроить заранее порядка 40 компов - задача нетривиальная.

Задачи надо решать, исходя из практики. И подходить только в случае, если компьютер не включается.

[Akina]

Сергей Сахаров,

Тётки обычно начинают со звонка по телефону со словами "У меня тут чёта проблема, подойди...".

Ну очень знакомо. Я тут всех уже 8 лет дрессирую - так половина просто принципиально необучаемы. Порой по собственной рукой записанной бумажке не могут воспроизвести простейшие действия. Ну с этим можно только смириться. Хорошо хоть сейчас молодёжь пошла, там откровенно необучаемых мизер.

настроить заранее порядка 40 компов - задача нетривиальная.

Согласен. Чтобы сидеть и плевать в потолок, надо сперва сильно побегать. У меня, при 120 хостах в сети это заняло почти два года.

[Ziptar]

Akina, а dhcp snooping разве не просто dhcp offer левые отфильтровывает?

Answer 1

[SunTechnik]

У Fortigate по подписке работает встроееный антивирус.
Как роутер и firewall он будет работать и без подписки.

Для рекомендаций, надо понять какие функции вы планируете получить от устройства.

Если нужны только router, firewall, vlan —посмотрите в сторону микротиков.

Comments

[Сергей Сахаров]

По сути да, нам надо только чтобы работал интернет и проброс портов.
Что касается подписки... как я понял, она то есть, то нет - зависит от левой ноги очередного руководства. Сейчас вроде убедил всё сделать правильно (отставание в технологиях лет на 20), но кто знает, что будет через пару лет или даже через полгода...

Answer 2

[ElxkoT]

Попроще - Keenetic. Функционала и гибкости обычно хватает для небольшого предприятия или "продвинутой" домашней сети. Удобный интерфейс, множество "продвинутых" настроек можно натыкать по наитию, не будучи сетевиком.
Посложнее - Mikrotik. В бесконечное количество раз гибче, но во столько же раз менее дружелюбен, требует изучения как минимум основ сетей и десятков страниц официальных мануалов, зато позволяет реализовать в сети всё, что может прийти в голову и ещё на будущие нужды останется.

Comments

[Drno]

кто не дружелюблый, я не дружелюбный?? (микротик)

spoiler

Answer 3

[Drno]

Для Вас видимо Кинетик, как наиболее простое решение.
Или микротик

Answer 4

[Rogue-One]

Можно купить любой подходящий по характеристикам роутер и прошить его на OpenWRT, если брать бу, то должно выйти дешевле чем брать Keenetic. Ну или реально не мучаться и взять или Keenetic или Mikrotik.

Comments

[N_kolay]

Согласен, openwrt рулит))
Кстати у gl-Inet используется openwrt просто сверху ещё свой интерфейс допилен

Answer 5

[hrabrahrabr]

Роутеров куча, но у многих из них LAN-порты совместные, то есть создать на них разные VLAN и разделить их на две сети нельзя.
это вы какие то древние модели смотрите, даже у д-линк и тр-линк в новых моделях каждый порт программируется отдельно.
впрочем под вашу задачу гарантировано можно брать любой роутер , у которого обозначены порты ван (один или два), DMZ и лан (эти даже если тут свич неуправляемый) .
под офис лан порты , под видео или ван2 или дмз порты, в инет ван1 порт,
ну и правила доступа между этими тремя группами.

Comments

[Сергей Сахаров]

Уж какие есть. Извините, каждый новый роутер не изучаю, могу быть не в курсе.