Hardware og software anbefaligner for to konkrete foremål

[Roysen]

1) Jeg ønsker tips og råd om hardware, software, oppsett og konfigurasjon for å kunne skjerme enkelte deler av et nettverk totalt fra internet mens andre deler skal ha fri tilgang. Det er også viktig at det er muligheter for å gi tilgang mellom/sperre tilgangen mellom alle delene i nettverket individuelt. Hva finnes av hardware og software som kan benyttes til å styre dette? Det er spesielt internet jeg ønsker å sperre/gi tilgangen til for å sikre mot virus. Deler av nettverket opererer på WiFi og andre deler av nettverket opererer på ethernet.

2) Faste kataloger på en filserver skal replikeres til andre faste komponenter i nettverket med faste intervaller. Hvilke hardware og software løsnigner finnes som er gode for å styre og utføre dette?

Mvh
Roysen

 

[nb]

ad punkt 2
rsync(1) - Linux man page og Man Page for cron (linux Section
- The UNIX and Linux Forums

Alternativt powershell og task scheduler i windows.
Begge metodene krever en del scripting.

Edit: den mer tricky delen er å håndtere at diskene på avspillerene kan gå fulle, da må det være noe logikk for hva som skal bort, og når filer slettes må som regel biblioteket bygges på nytt siden filene det tror finnes er borte.

 

[tore_v1]

Hva med å hyre inn noen til å sette det opp?

Har en bekjent i Oslo som er ganske rå på dette, og det finnes helt sikkert en del andre som kan sette det opp slik at du kan eventuelt drifte det selv.

 

[Asbjørn]

Ad pkt 1: Eneste helt sikre måte ("totalt") er å ha to fysisk adskilte systemer. Sist jeg jobbet med et sånt oppsett var det separate systemet i et eget skjermet rom uten annet enn strømforsyning og ventilasjon ut og inn gjennom stålveggen. Døra var også av stål med pakning av fosforkobber. I en sånn verden er også minnepinner som dras frem og tilbake fy, ettersom de har enda dårligere sikkerhet enn en direkte nettilkobling med brannmur på.

Ad pkt 2: Jeg bruker Python-scripts, men trigger dem stort sett manuelt via ikoner på desktop. Det er ikke noe stort problem å kjøre det til bestemte tider heller, men detaljene avhenger av hvilket operativsystem du bruker. Windows har Task Scheduler/Scheduled Tasks.
Using Windows 7 Task Scheduler - Run Programs At Specific Time or Day

Personlig har jeg en ReadyNAS NVX med all musikken på i tapsfritt format, med UPS, RAID og backup-script på server. Den NASen kjører også de forskjellige serverprogrammene som skal til for å levere musikken til forskjellige avspillingsbokser i huset via kabler og wifi. Nødvendig bufring gjøres lokalt i hver avspiller. Hele greia står bak brannmuren i Altibox' fibermodem, og det holder for meg. NAS'en trenger også programvareoppdateringer fra tid til annen, og de må på en eller annen måte komme fra the interwebs og ned på serveren. Vedlikehold av f eks AAC-kopier av musikkbiblioteket gjøres via Python-scripts.

 

[Roysen]

ad punkt 2
rsync(1) - Linux man page og Man Page for cron (linux Section
- The UNIX and Linux Forums

Alternativt powershell og task scheduler i windows.
Begge metodene krever en del scripting.

Edit: den mer tricky delen er å håndtere at diskene på avspillerene kan gå fulle, da må det være noe logikk for hva som skal bort, og når filer slettes må som regel biblioteket bygges på nytt siden filene det tror finnes er borte.

Jeg har tenkt å gjøre det enkelt. Innholdet på mottakeren slettes for hver replikering. Så sjekkes det om innholdet av det som skal replikeres fra server overstiger plass tilgjengelig på mottakeren. Dersom det ikke er plass genereres en feilmelding. Dersom det er plass replikeres hele katalogstrukturen på nytt.

Mvh
Roysen

 

[Roysen]

1) Når jeg skrev at jeg er helt nazi med hensyn på sikkerhet mener jeg likevel ikke at jeg skal ta det så langt som Asbjørn beskriver at de hadde gjort der han jobbet. Det holder å sikre at de delen av nettverket som ikke skal kunne nås fra internet eller ha tilgang til internet ikke kan nås eller få tilgang gjennom nettverket. Jeg ønsker noe standard hardware eller software jeg kan konfigurere og glemme hele greie uten noe særlig programmering.

2) Her ønsker jeg også noe standard hardware eller software jeg kan konfigurere og glemme uten noe særlig programmering.

Hva finnes på markedet? Filserveren kommer til å kjøre på et OS X.

Mvh
Roysen

 

[Asbjørn]

Det er ingen ting med det oppsettet du beskriver som passer med beskrivelsen "gjøre det enkelt"...

 

[Roysen]

Det er ingen ting med det oppsettet du beskriver som passer med beskrivelsen "gjøre det enkelt"...

Selv om nettverkskonfigurasjonen jeg har tenkt å bruke ikke er enkel håpet jeg at det fantes noe software som kan løse problemstillingene skissert i denne tråden på en enkel måte. Mener du at det ikke finnes? Det er ikke et problem å bytte plattform fra OS X til Windows 8 eller Linux dersom det finnes flere og/eller bedre standard løsninger der.

Mvh
Roysen

 

[nb]

Det er ingen ting med det oppsettet du beskriver som passer med beskrivelsen "gjøre det enkelt"...

Selv om nettverkskonfigurasjonen jeg har tenkt å bruke ikke er enkel håpet jeg at det fantes noe software som kan løse problemstillingene skissert i denne tråden på en enkel måte. Mener du at det ikke finnes? Det er ikke et problem å bytte plattform fra OS X til Windows 8 eller Linux dersom det finnes flere og/eller bedre standard løsninger der.

Mvh
Roysen

Rsync er et ekstremt kraftig verktøy. Det har funksjonalitet for å replikere filsystemer etc og vil håndtere ting som "kun overføre filer som er nye / endrede", "la hva som ligger på serveren" styre hva som skal finnes etc. Rysnc finnes for *nix og Mac, for Windows er det powershell og robocopy som gjelder så vidt jeg vet. Rsync og robocopy er designet med tanke på å kopiere over nettverk så det har funksjonalitet for å fortsette der den slapp om nettet faller ut osv.

Glem i alle fall vanlig file copy i Windows, det er ikke beregnet på dette. Robocopy er mye raskere, mye mer robust og mye bedre på alle tenkelige måter.

 

[Roysen]

Det er ingen ting med det oppsettet du beskriver som passer med beskrivelsen "gjøre det enkelt"...

Selv om nettverkskonfigurasjonen jeg har tenkt å bruke ikke er enkel håpet jeg at det fantes noe software som kan løse problemstillingene skissert i denne tråden på en enkel måte. Mener du at det ikke finnes? Det er ikke et problem å bytte plattform fra OS X til Windows 8 eller Linux dersom det finnes flere og/eller bedre standard løsninger der.

Mvh
Roysen

Rsync er et ekstremt kraftig verktøy. Det har funksjonalitet for å replikere filsystemer etc og vil håndtere ting som "kun overføre filer som er nye / endrede", "la hva som ligger på serveren" styre hva som skal finnes etc. Rysnc finnes for *nix og Mac, for Windows er det powershell og robocopy som gjelder så vidt jeg vet. Rsync og robocopy er designet med tanke på å kopiere over nettverk så det har funksjonalitet for å fortsette der den slapp om nettet faller ut osv.

Glem i alle fall vanlig file copy i Windows, det er ikke beregnet på dette. Robocopy er mye raskere, mye mer robust og mye bedre på alle tenkelige måter.

Etter 25 år i databransen vet jeg selvsagt at file copy i Windows ikke er veien å gå. Det er nesten litt komisk å se hvordan du undervurderer meg. Rsync og Robocopy skal undersøkes. Tusen takk for de tipsene der. Jeg håper vi har funnet løsningen.

Så gjelder det å finne en løsning på sikkerhetsutfodringene ved tilganger. Jeg antar at enkelte brannmurer har en del funksjonalitet for slikt, men her kommer jeg igjen til kort da dette rett og slett ikke er mitt fagmoråde. Så innspill mottas med takk.

Før jeg har sett på Rsync og Robocopy vil jeg informere om at jeg foretrekker software som i hovedsak er grafisk basert med stor del klikk og pek, men hvor mer avanserte funksjoner kan programmeres.

Mvh
Roysen

 

[nb]

Du kan vel strengt tatt også bruke backupprogramvare om du ønsker et brukergrensesnitt. Det du skal gjøre jo stort sett det samme som å ta daglig backup av en del av et filsystem fra en maskin til en annen. Det finnes et lass av slike på nettet som kan brukes og som er gratis.

Her er sånn ca hva jeg ville gjort om jeg skulle sette opp noe slikt:

1) Sjekk disken på avspillingsdingsen. Dersom det er nok ledig plass, hopp til trinn 3
2) Dersom disken ikke har nok ledig plass, finn alle filer som ikke har vært aksessert på X dager og slett disse filene fra dingsen for å frigjøre plass. Gjenta og øk X til det er nok plass ledig
3) Overfør nye/endrede filer som skal kopieres ned på dingsen
4) Bygg biblioteket på dingsen på nytt.

Denne jobben kan da kjøres hver natt eller noe slikt.

Dette er sikkert ikke den smarteste og mest sexy måten å gjøre det på, men det gir i alle fall en liten indikator på hva som kan gjøres relativt enkelt vha scripting.

For Unix er det kommandoen find som brukes for å sjekke filer og evt slette de, for Windows vet jeg ikke, men om du googler litt rundt powershell så finner du helt sikkert noe, evt noen ferdige scripts.

Dette fordrer at den proprietære avspillingsprogramvaren har funksjonalitet for å kunne styres fra kommandolinje (dvs via et script). Om den programvaren er slik at alt er basert på pek og klikk på en ipad så har du et problem dersom dette skal automatiseres.

Tro meg: Scripting er måten å gjøre dette på, da kan det kjøres automatisk med jevne mellomrom uten at du trenger å gjøre noe. Om dette må gjøres manuelt tar det lang tid å kopiere filer og bygge biblioteket på nytt hver gang.

 

[Roysen]

Du kan vel strengt tatt også bruke backupprogramvare om du ønsker et brukergrensesnitt. Det du skal gjøre jo stort sett det samme som å ta daglig backup av en del av et filsystem fra en maskin til en annen. Det finnes et lass av slike på nettet som kan brukes og som er gratis.

Det har du rett i.

Mvh
Roysen

 

[KJ]

Til #1 kan det høres ut som du egentlig ønsker to adskilte nettverk. Et nettverk til alt mulig og et «isolert» nettverk til HiFi. Sammenkoblingen mellom nettverkene kan styres (sikkerhetspolicy, brannmur, antivirus etc.) med en bro: Bridging (networking) - Wikipedia, the free encyclopedia.

mvh
KJ

 

[Roysen]

Til #1 kan det høres ut som du egentlig ønsker to adskilte nettverk. Et nettverk til alt mulig og et «isolert» nettverk til HiFi. Sammenkoblingen mellom nettverkene kan styres (sikkerhetspolicy, brannmur, antivirus etc.) med en bro: Bridging (networking) - Wikipedia, the free encyclopedia.

mvh
KJ

Det høres interessant ut, KJ. Jeg skal sette meg inn i det.

Edit: Jeg har nå lest den Wikipedia siden og ser at din foreslåtte løsning kanskje er noe jeg allerede har skissert i min løsning rent hardwre messig. Kanskje du kan avklare dette. I så fall er det som gjenstår da hvilken hardware og software som trengs og hvordan den skal konfigureres for oppnå ønsket sikkerhetspolicy, brannmurkonfigurasjon, antivirus etc når de to nettverkene skal integreres.

Jeg har altså 1 separat nettverk bestående av 1 fiberoptisk internet modem, 2 laptops, 2 iPhones og 2 iPads. Disse er koblet sammen via en Apple Airport Extreme router. Det fiberoptiske modemet er koblet til routeren via hardwired ethernet og de andre enhetene er koblet til routeren trådløst gjennom WiFi via protokollene 802.11n og802.11ac. Alle devicene i dette nettverket skal ha fri tilgang til internet.

Så har jeg 1 annet separat nettverk bestående av 1 Mac Pro m/ekstern Thunderbolt2 RAID diskløsning, 1 NAS med to ekspansjonsenheter, 1 Burmester musikkserver, 1 Audeeva musikkserver, 1 Light Harmonic musikkserver. Disse er koblet sammen via en TP-switch. 2 av portene i TP-switchen er 10 Gigabit Ethernet som Mac Pro og NAS løsningen skal kobles til. De 24 øvrige portene på TP-switchen er 1 Gigabit Ethernet som musikkserverne skal kobles til. Alle devicene i dette nettverket skal være fullstendig skjermet fra internet.

Så skal disse to nettverkene integreres. Apple routerens nettverk skal være fullstendig åpent med full tilgang til internet. TP-switch nettverket skal være fullstendig lukket uten tilgang til omverden og internet. Det er dog et krav at enkelte devices i Apple routerens nettverk har full tilgang til enkelte devices i TP-switchens nettverk. Spesifikt handler det om at laptopene, iPhonene og iPadene skal kunne ha full tilgang til å lese og skrive på NAS løsningens disker. Det handler også om at laptopene, iPhonene og iPadene skal kunne ha full tilgang til å lese og skrive på Mac Pros eksterne Thunderbolt2 RAID løsning.

Ut over det har jeg 1 Auralic Audio musikkstreamer og 1 Astell & Kern musikkstreamer. Disse skal kommunisere med nettverket gjennom WiFi via 802.11n og802.11ac protokollene. Disse vet jeg egentlig ikke helt hvordan jeg skal koble inn i nettverket fordi jeg ønsker at de er like lukket fra internet som de øvrige devicene i det TP-switch nettverket men de skal altså kommunisere over WiFi som TP-switchen ikke støtter, men som Apple routeren i det andre nettverket derimot støtter. Devicene i Apple routerens nettverk har derimot full internet tilgang. Må jeg da koble inn ytterligere en WiFi router i TP-switchens nettverk slik at begge disse er fullstendig skjermet fra internet og koble disse to musikkstreamerne til der?

De to siste avsnittene her samt avsnittet med "Edit:" trenger jeg hjelp for å få hode rundt hvordan jeg skal få løse.

Mvh
Roysen

 

[Roysen]

Du kan vel strengt tatt også bruke backupprogramvare om du ønsker et brukergrensesnitt. Det du skal gjøre jo stort sett det samme som å ta daglig backup av en del av et filsystem fra en maskin til en annen. Det finnes et lass av slike på nettet som kan brukes og som er gratis.

Her er sånn ca hva jeg ville gjort om jeg skulle sette opp noe slikt:

1) Sjekk disken på avspillingsdingsen. Dersom det er nok ledig plass, hopp til trinn 3
2) Dersom disken ikke har nok ledig plass, finn alle filer som ikke har vært aksessert på X dager og slett disse filene fra dingsen for å frigjøre plass. Gjenta og øk X til det er nok plass ledig
3) Overfør nye/endrede filer som skal kopieres ned på dingsen
4) Bygg biblioteket på dingsen på nytt.

Denne jobben kan da kjøres hver natt eller noe slikt.

Dette er sikkert ikke den smarteste og mest sexy måten å gjøre det på, men det gir i alle fall en liten indikator på hva som kan gjøres relativt enkelt vha scripting.

For Unix er det kommandoen find som brukes for å sjekke filer og evt slette de, for Windows vet jeg ikke, men om du googler litt rundt powershell så finner du helt sikkert noe, evt noen ferdige scripts.

Dette fordrer at den proprietære avspillingsprogramvaren har funksjonalitet for å kunne styres fra kommandolinje (dvs via et script). Om den programvaren er slik at alt er basert på pek og klikk på en ipad så har du et problem dersom dette skal automatiseres.

Tro meg: Scripting er måten å gjøre dette på, da kan det kjøres automatisk med jevne mellomrom uten at du trenger å gjøre noe. Om dette må gjøres manuelt tar det lang tid å kopiere filer og bygge biblioteket på nytt hver gang.

Avspillingsprogramvaren er nok pek + klikk fra en iPad bortsett fra med Audeeva. Den kjører et eget operativsystem som kan programmeres. Jeg ser dog heller ikke noe problem med at det er pek + klikk fra en iPad så lenge backupprogrammet har en scheduler som kan sette i gang den konfigurerte kopieringen ved faste intervaller.

Mvh
Roysen

 

[nb]

Den kjører helt sikkert ikke et eget os. En variant av Linux ligger nok i bunn siden folkene bak garantert ikke har kompetanse eller ressurser til å utvikle et os fra schratch. Om det er Linux og du kan få tilgang på lavnivå så er i teorien alt gjennomførbart.

Eventuelle påstander om eget os er nok selvskryt og svært lave krav for når noe kan regnes som "eget".

 

[Roysen]

Jeg skrev ikke et proprietært OS, nb. Det jeg mente er at det kjører et OS som har programeringsmuligheter. Det er en Linux versjon som er strippet ned til bare de prosessene som trengs. Jeg mener å huske at det kun var 6 samtidige prosesser eller noe slikt.

Det er dog nok en gang helt på siden av hva som var viktig med det jeg skrev.

Mvh
Roysen

 

[bambadoo]

Her er mitt ultralette "script" for å replikere musikk biblio mellom 2 stk NAS.

rsync -ave "ssh -c arcfour" --progress --delete /c/Music/ root@NAS_Ultra:/c//Music/

Da har jeg gjort det slik at denne jobben som skrevet har "root" access og ikke trenger å bli spurt om passord.

Kjører jevnlig som en cron jobb.

Enkelt og funker.

Får å sikre data - en enkel brannmur med noen enkle regler - en plugg inn en plugg ut. Skal du opp i 10gbs ytelse her koster det sikkert litt. Har ikke sjekket akkurat det.

 

[Distinctive]

Fant du ut at Checkpoint og tunneling allikevel ikke var tingen?
Check Point Unveils New 2012 Appliance Models - YouTube
Du kan også sjekke ut Juniper sine produkter.

 

[Roysen]

Kjenner lite til Checkpoint. Jeg har ikke rukket å sjekke det ut ennå. Skal gjøre det. Det er definitivt ikke uaktuelt.

Mvh
Roysen

 

[marsboer]

Spørsmål 1 er helt trivielt i nettverksverdenen og kan enkelt løses ved hjelp av et grunnleggende basisnettverk basert på at switchen din faktisk støtter VLAN. Selv om du ikke skulle gå for 10Gbit vil jeg på det sterkeste anbefale at du går for nøyaktig denne arkitekturen med en rimeligere gigabit managed switch i stedet.

Uten videre seremoni, og med basis i ditt presenterte behov, presenterer jeg derfor, uten noen form for ydmykhet, Riktig Svar©

VLAN er enn fullverdig segmentering av nettverkene, uten noen reell mulighet for dataflyt uten å gå via gatewayen. Du kan se på det som to eller flere fysiske switcher i praksis.

Det finnes bedrifstaksesspunkt som støtter flere VLAN slik at du kunne kjørt begge nettverk parallellt på ulike SSIDer på ett aksesspunkt, men siden den trådløse delen er den svakeste delen av løsningen selv om du går for et AC-aksesspunkt, samt ditt uttalte ambisjonsnivå, så ville jeg påspandert en tusenlapp eller to på et dedikert aksesspunkt til hvert nett, selvsagt satt opp fornuftig kanalmessig, for å unngå alle påvirkninger i ytelse mellom nettene. Da vil ikke slarkepakk på ipaden ødelegge for medastreameren. Rutere med såkalte "gjestenett" er en ubrukelig funksjon i denne sammenhengen. Der kan du som regel ikke styre noe som helst og dette er kun en slags automatikk for gi tilgang til internett gitt at trådløsruteren i seg selv står for internettrutingen i huset.

All trafikk rutes mellom nettverkene eller internett via gatewayen. Du kan definere nøyaktig hvordan dataflyten skal være mellom de tre nettverkene i brannmur og NAT regelsettet. Pfsense som ble nevnt her er et veldig godt og brukervennlig alternativ, men en så enkel oppgave som dette kan også løses med en nedskrelt linux-variant om man ikke er redd for å knote litt med iptables via kommandolinjen de få gangene man vil gjøre noen endringer.

Dette oppsettet er kun marginalt mer avansert enn et hjemmenettverk med en custom brannmur i driftskompleksitet, og kan enkelt skaleres mange flere nettverkssegmenter på grunn av VLAN-støtten uten innkjøp av noe mer nettverkshardware. Du kan forresten sende mange segmenterte VLAN via en enkelt 802.1q trunk til gateway. Slik sett kan du f.eks få 10 rutbare interface på brannmuren selv om du bruker bare én fysisk link om du f.eks finner ut at du vil ha et eget LAN for gjestenettbrukere.

Det eneste spørsmålet slik jeg ser det, gitt at dine føringer skal være gjeldende for løsningen, er hvilket produsentnavn det skal stå på aksesspunktene og brannmuren. Husk at brannmuren må kunne rute trafikk i minst 1 gbit/s mellom interfacene med brannmurregler. Det vil si at de slakkeste utgavene ikke holder. Den raskeste ruter/brannmur løsningen jeg har funnet som samtidig er rimelig og ikke en fullverdig datamaskin (noe som er bra med tanke på strømforbruk, drift, støy osv for "normale folk", dvs ikke meg) er Ubuquiti Edgemax routerne.

EdgeMAX | Ubiquiti Networks, Inc.

Disse er nesten wirespeed og har hardware aksellerasjon for rutingbiten. Ulempen er at de er litt røffere å sette opp enn f.eks pfsense.

Det kan være en idé og ha to gigabit linker i en aggregert LACP-link for hver av de to VLANene. Du får ikke mer enn 1gbit/s per klient til tross for dette, men du kan da ha flere klienter samtidig som sammen kan bruke opp mot 2gbit/s mot NASen din som trossalt har 10gbit/s i løsningen du foreslår her.

Av trådløse aksesspunkt så anbefaler jeg Asus RT-A68U: https://www.komplett.no/asus-rt-ac68u-11ac-ac1900-router/798834

Asus aksesspunktene er etter det jeg har erfart den ultimate kombinasjon av brukervennlighet, funksjonalitet og ytelse på markedet i dag. Disse kan blant annet settes i et rent aksesspunktmodus hvor alt av ruting, brannmur og slikt slås av. Det er nøyaktig det du ønsker med mitt arkitekturforlag. Andre aksesspunkt fungerer sikkert fint de også, men de kan ikke jeg gå god for.

 

[marsboer]

Det er en feil på tegningen ser jeg. AP Media skal være på VLAN 2 og AP clients på VLAN3.

EDIT: Jeg oppdaterte tegningen

 

[Distinctive]

Jeg synes også at VLAN segmentering mellom nett er godt nok.
Jeg tar som en selvfølge at alle de valgte switchene blir managed med web interface.
IOM at jeg har Asus RT-66AC så holder jeg en knapp på Asus, men du bør fremdeles vurdere om du skal koble opp en sekundær ruter i Bridge mode som feeder brukere som ikke er streaming relatert.

 

[marsboer]

En ruter i bridge mode, er per def ingen ruter. I praksis får man da en switch, men ordet bridge benyttes gjerne i stedet for switch der man har ulike media i hver ende, f.eks DSL mot Ethernet.

En ruter i bridge mode med ethernet på begge sider kan i praksis med fordel erstattes av en ren switch. Det vil gi samme resultat, bortsett fra at trafikken nå går med wirespeed via ASICs.

 

[Roysen]

Tusen takk, marsboer! Jeg skal forsøke å få en forståelse av det du har presentert og kommer tilbake med evt spørsmål etter hvert. Beskivelsen ligger etter første øyekast en del over hodet mitt.

Mvh
Roysen

 

[Distinctive]

En ruter i bridge mode, er per def ingen ruter. I praksis får man da en switch, men ordet bridge benyttes gjerne i stedet for switch der man har ulike media i hver ende, f.eks DSL mot Ethernet.

En ruter i bridge mode med ethernet på begge sider kan i praksis med fordel erstattes av en ren switch. Det vil gi samme resultat, bortsett fra at trafikken nå går med wirespeed via ASICs.

Min Airport Extreme er satt i bromodus (med statisk IP) mot Asus ruter, men jeg kan fremdeles konfigurere wifi nettverk på den.
Dette nettverket brukes av husstanden. En switch vil ikke kunne etablere wifi nettverk.

 

[marsboer]

Så med ruter så mente du et aksesspunkt? I såfall gir det mer mening.

Et ordentlig gjestenett, dvs ikke et jallagjestenett, kan i mitt arkitekturforslag enkelt løses ved å legge til nok et aksesspunkt i aksesspunktmodus (det er vel det du kaller for bridgemodus, dvs ingen ruting), på et VLAN 4 og sørge for at VLAN 4 føres frem til gateway, enten som en trunk som deles med f.eks VLAN3, eller som en egen kabel.

Tanken min var vel egentlig at Clients-VLANet er "hummer og kanari", i hvertfall i begynnelsen, mens "Media" er det skjermede nettverket hvor data ligger. Jeg føler det blir litt overkill driftsmessig med et dedikert gjestenett igjen så lenge man har et fornuftig regelsett på brannmuren for traffikkflyt mot "Media", men det er ikke opp til meg å vurdere.

 

[Roysen]

Først må jeg spørre hva AP Media og AP Clients er? Jeg antar det er musikkserverne og steamerne, men vet egentlig ikke. Dersom det er rett hva er i så fall streamerne og hva er musikkserverne?

Mvh
Roysen

 

[marsboer]

AP = Access Point. Altså et dedikert trådløst aksesspunkt for henholdsvis mediaspillerne dine og "alt det andre". Mediaspilleraksesspunktet er på VLAN2 og snakker derfor direkte med NAS/Mac Pro, men vil ikke snakke med VLAN 3 med mindre du åpner opp for dette i gateway.

Clients og Media var bare noen fiktive nettverksnavn jeg fant opp.

Jeg har ikke tegnet inn noen klienter i tegningen. Disse vil kobles opp enten trådløst eller kablet og tilknyttes enten VLAN 2 eller 3 i switchkonfigurasjonen avhengig av hva slags nettverk du ønsker å ha de på. De trådløse klientene vil automatisk havne i det nettverket aksesspunktet de knytter seg til står i.

 

[Distinctive]

Så med ruter så mente du et aksesspunkt? I såfall gir det mer mening.

Et ordentlig gjestenett, dvs ikke et jallagjestenett, kan i mitt arkitekturforslag enkelt løses ved å legge til nok et aksesspunkt i aksesspunktmodus (det er vel det du kaller for bridgemodus, dvs ingen ruting), på et VLAN 4 og sørge for at VLAN 4 føres frem til gateway, enten som en trunk som deles med f.eks VLAN3, eller som en egen kabel.

Tanken min var vel egentlig at Clients-VLANet er "hummer og kanari", i hvertfall i begynnelsen, mens "Media" er det skjermede nettverket hvor data ligger. Jeg føler det blir litt overkill driftsmessig med et dedikert gjestenett igjen så lenge man har et fornuftig regelsett på brannmuren for traffikkflyt mot "Media", men det er ikke opp til meg å vurdere.

I praksis kan du vel si det, men jeg brukte terminologien til Apple, så slapp jeg å bli slaktet for dette.
Som tidligere påpekt så er det viktig at man ikke har fler enn en DHCP server i nettet.

 

[marsboer]

Det er intet galt med å bruke bridge mode som begrep. Det er helt korrekt siden man bridger det trådløse interfacet mot det kablede uten ruting. I normal dagligtale ville jeg skjønt at du med ruter mente et trådløst aksesspunkt også, men akkurat i dette tilfellet hadde vi faktisk en dedikert fysisk ruter i arkitekturen så jeg feiltolket deg bare litt.

 

[Distinctive]

Det er intet galt med å bruke bridge mode som begrep. Det er helt korrekt siden man bridger det trådløse interfacet mot det kablede uten ruting. I normal dagligtale ville jeg skjønt at du med ruter mente et trådløst aksesspunkt også, men akkurat i dette tilfellet hadde vi faktisk en dedikert fysisk ruter i arkitekturen så jeg feiltolket deg bare litt.

Ok.
AE er fysisk koblet på LAN'et til WAN-ruter. AE er 192.168.1.2.
WAN ruter er koblet på Altibox sentralen (statisk IP).
Her er et eksempel hvordan det kan se ut (ikke alle noder er vist):

 

[Roysen]

AP = Access Point. Altså et dedikert trådløst aksesspunkt for henholdsvis mediaspillerne dine og "alt det andre". Mediaspilleraksesspunktet er på VLAN2 og snakker derfor direkte med NAS/Mac Pro, men vil ikke snakke med VLAN 3 med mindre du åpner opp for dette i gateway.

Clients og Media var bare noen fiktive nettverksnavn jeg fant opp.

Jeg har ikke tegnet inn noen klienter i tegningen. Disse vil kobles opp enten trådløst eller kablet og tilknyttes enten VLAN 2 eller 3 i switchkonfigurasjonen avhengig av hva slags nettverk du ønsker å ha de på. De trådløse klientene vil automatisk havne i det nettverket aksesspunktet de knytter seg til står i.

Ok, men da falt jeg av. For at jeg skal forstå dette tror jeg dessverre at du må tegne inn alle klientene også.

Mvh
Roysen

 

[nb]

Det er en ting til jeg ikke helt forstår. To av klientene (musikkstreamerne Auralic Audio Aries og Astell & Kern AK240) opererer på WiFi. Hvor er WiFi routeren i den tegningen? Jeg antar at GW (Gateway) er modemet fra Altibox? Den HP switchen støtter vel ikke WiFi. Husk også at både WiFi protokollene 802.11n og802.11ac skal benyttes.

Som jeg antok forstod jeg ikke så mye av tegningen. Jeg tror forklaringen din derfor også må ned på det nivået jeg skrev min skisse i åpningsinnlegget i denne tråden for at jeg skal forstå: http://www.hifisentralen.no/forumet...spillingsla-sning-hos-roysen.html#post1838939

Jeg beklager.

Mvh
Roysen

GW er en separat boks som det kobles nettverkskabler i, Marsboer linket til den i posten sin. Om man er over gjennomsnittelig avansert (som Marsboer) er Gatewayen en dedikert datamaskin som kjører ymse tjenester for å håndtere dette. Modemet fra Altibox er plassert der det står WAN på tegningen, dvs i enden av den streken. WAN betyr "Wide Area Network" og betyr i praksis internett. I skissen til Marsboer har du ingen WiFi Router, routing skjer i gatewayen - den håndterer DHCP, altså utdeling av IP-adresser på nettverkene. Det du etterspør er tårdløse aksesspunkter, de kables til HP-switchen og plasseres i rikitg VLAN av den.

Mulig litt begrepsforvirring, et trådløst aksesspnukt er som regel en trådløs router med ruterfunksjonaliteten slått av. Om det er mer enn en enhet på et nettverk som deler ut IP-adresser blir det fort kuk i computer.

Trådløse aksesspunkt som skal ha tilgang til datene på NASet ditt må da ligge i VLAN2. Mest presis ville det være å ha fire streker merket VLAN2, en for hver av de tre mediaspillerene og en til et trådløst aksesspunkt (evt flere av sorten om nødvendig pga dekningsforholdene hjemme hos deg) som da dekker trådløse enheter som skal kunne se musikkbiblioteket. iPads som skal fjernstyre vil da også ligge her, men da koble seg til via det trådløse aksesspunktet i VLAN2.

 

[Roysen]

Spørsmål 1 er helt trivielt i nettverksverdenen og kan enkelt løses ved hjelp av et grunnleggende basisnettverk basert på at switchen din faktisk støtter VLAN. Selv om du ikke skulle gå for 10Gbit vil jeg på det sterkeste anbefale at du går for nøyaktig denne arkitekturen med en rimeligere gigabit managed switch i stedet.

Jeg kan nesten garantere at jeg kommer til å gå for denne løsningen bare jeg forstår den. Jeg kommer også til å gå for den HP switchen du anbefalte tidligere.

Uten videre seremoni, og med basis i ditt presenterte behov, presenterer jeg derfor, uten noen form for ydmykhet, Riktig Svar©

Vis vedlegget 266351


VLAN er enn fullverdig segmentering av nettverkene, uten noen reell mulighet for dataflyt uten å gå via gatewayen. Du kan se på det som to eller flere fysiske switcher i praksis.

Jeg tolker deg dit at du mener at VLAN deler opp nettverket i individuelle deler hvor det ikke er mulighet for å overføre informasjon mellom disse uten å gå via nettverkets Gateway. Jeg antar videre at Altibox modemet er den gatewayen du her nevner. Dersom den ikke er det, er det vel snakk om en ny device her. Kan du i så fall anbefale en som passer til foremålet?

Det finnes bedrifstaksesspunkt som støtter flere VLAN slik at du kunne kjørt begge nettverk parallellt på ulike SSIDer på ett aksesspunkt, men siden den trådløse delen er den svakeste delen av løsningen selv om du går for et AC-aksesspunkt, samt ditt uttalte ambisjonsnivå, så ville jeg påspandert en tusenlapp eller to på et dedikert aksesspunkt til hvert nett, selvsagt satt opp fornuftig kanalmessig, for å unngå alle påvirkninger i ytelse mellom nettene. Da vil ikke slarkepakk på ipaden ødelegge for medastreameren. Rutere med såkalte "gjestenett" er en ubrukelig funksjon i denne sammenhengen. Der kan du som regel ikke styre noe som helst og dette er kun en slags automatikk for gi tilgang til internett gitt at trådløsruteren i seg selv står for internettrutingen i huset.

Her forstår jeg lite. Jeg tolker deg slik at det du åpner med vedr aksesspunkt ikke er aktuelt for meg. Hva er det du ønsker at jeg skal spandere et par tusenlapper til på`Er det flere moduler til TP-switchen? Kan du spesifisere ved anbefalinger? Ruteren var i utgangspunktet spesifisert inn i løsningen for å gi WiFi muligheter. Gjestenett har aldri vært på tenkt.

All trafikk rutes mellom nettverkene eller internett via gatewayen. Du kan definere nøyaktig hvordan dataflyten skal være mellom de tre nettverkene i brannmur og NAT regelsettet. Pfsense som ble nevnt her er et veldig godt og brukervennlig alternativ, men en så enkel oppgave som dette kan også løses med en nedskrelt linux-variant om man ikke er redd for å knote litt med iptables via kommandolinjen de få gangene man vil gjøre noen endringer.

Hvor befinner brannmur seg i dette nettverket? Hva er NAT og hvor befinner den seg?

Dette oppsettet er kun marginalt mer avansert enn et hjemmenettverk med en custom brannmur i driftskompleksitet, og kan enkelt skaleres mange flere nettverkssegmenter på grunn av VLAN-støtten uten innkjøp av noe mer nettverkshardware. Du kan forresten sende mange segmenterte VLAN via en enkelt 802.1q trunk til gateway. Slik sett kan du f.eks få 10 rutbare interface på brannmuren selv om du bruker bare én fysisk link om du f.eks finner ut at du vil ha et eget LAN for gjestenettbrukere.

Igjen blir dette over hodet mitt. Er det her noe ytterligere utstyr du mener jeg skal ta med i spesifikasjonen?

Det eneste spørsmålet slik jeg ser det, gitt at dine føringer skal være gjeldende for løsningen, er hvilket produsentnavn det skal stå på aksesspunktene og brannmuren. Husk at brannmuren må kunne rute trafikk i minst 1 gbit/s mellom interfacene med brannmurregler. Det vil si at de slakkeste utgavene ikke holder. Den raskeste ruter/brannmur løsningen jeg har funnet som samtidig er rimelig og ikke en fullverdig datamaskin (noe som er bra med tanke på strømforbruk, drift, støy osv for "normale folk", dvs ikke meg) er Ubuquiti Edgemax routerne.

EdgeMAX | Ubiquiti Networks, Inc.

Disse er nesten wirespeed og har hardware aksellerasjon for rutingbiten. Ulempen er at de er litt røffere å sette opp enn f.eks pfsense.

Her kommer altså brannmuren, ja. Den må da tegnes inn på tegningen for at jeg skal forstå dette. Sorry. Forøvrig skriver du her noe som jeg tyder på at jeg må kjøpe flee aksesspunkter. Hva er det for noe og hvor skal de inn i tegningen?

Det kan være en idé og ha to gigabit linker i en aggregert LACP-link for hver av de to VLANene. Du får ikke mer enn 1gbit/s per klient til tross for dette, men du kan da ha flere klienter samtidig som sammen kan bruke opp mot 2gbit/s mot NASen din som trossalt har 10gbit/s i løsningen du foreslår her.

Av trådløse aksesspunkt så anbefaler jeg Asus RT-A68U: https://www.komplett.no/asus-rt-ac68u-11ac-ac1900-router/798834

Asus aksesspunktene er etter det jeg har erfart den ultimate kombinasjon av brukervennlighet, funksjonalitet og ytelse på markedet i dag. Disse kan blant annet settes i et rent aksesspunktmodus hvor alt av ruting, brannmur og slikt slås av. Det er nøyaktig det du ønsker med mitt arkitekturforlag. Andre aksesspunkt fungerer sikkert fint de også, men de kan ikke jeg gå god for.

Denne trådløse routeren var egentlig mitt opprinnelige valg, men JohnnyGrandis forklarte at han hadde byttet den ut til fordel for Apple Airport Extreme pga av ustabilitet og mye nedetid med Asus routeren. Det andre du skriver her forstår jeg ikke og trenger nærmere forklaring. Dessverre.

To av klientene (musikkstreamerne Auralic Audio Aries og Astell & Kern AK240) opererer på WiFi. Hvor er WiFi routeren i den tegningen? Jeg antar at GW (Gateway) er modemet fra Altibox? Den HP switchen støtter vel ikke WiFi. Husk også at både WiFi protokollene 802.11n og802.11ac skal benyttes.

Som jeg antok forstod jeg ikke så mye av tegningen. Jeg tror forklaringen din derfor også må ned på det nivået jeg skrev min skisse i åpningsinnlegget i denne tråden for at jeg skal forstå: Ny filbasert avspillingsløsning hos Roysen

Jeg beklager.

Mvh
Roysen

 

[Distinctive]

Det jeg savner fra tegningen er Asus ruter som deler ut IP adresser til iDevices.
Har du tenkt å slå på wifi delen av Altibox sentralen eller skal trådløst AP for klienter brukes?

 

[nb]

Marsboer mener nok at du bør spandere et par tusenlapper på å ha separate trådløse aksesspunkter i hvert av "subnettene" dine, dvs ett for mediabruk og ett for privatbruk/surfing på ipad/laptop etc. De skal da kables via HP-switchen og plasseres i riktig VLAN.

Brannmurfunksjonaliteten finnes i Gateway-boksen, NAT er Network Adress Translation og er funksjonalitet i GW som sørger for at datapakker sendes dit de skal.

 

[Distinctive]

Marsboer mener nok at du bør spandere et par tusenlapper på å ha separate trådløse aksesspunkter i hvert av "subnettene" dine, dvs ett for mediabruk og ett for privatbruk/surfing på ipad/laptop etc. De skal da kables via HP-switchen og plasseres i riktig VLAN.

Ja, det var dette jeg antok.
Det vil fungere.
Hvilket AP skal brukes?
Det bør vel snart etableres en BOM for dette.

 

[Roysen]

Jeg har dessverre falt av lasset. Jeg har behov for en tegning som ikke er beregnet for en fagmann. Jeg har behov for at tegningen inneholder alle detaljene om alle de ulike aktive komponentene og evt software som er involvert.

Jeg trenger også en forklaring som ikke er ment for en fagmann på nivå med det jeg skisserte i åpningsinnlegget i den andre tråden. Den hardwaren og softwaren som ikke har vært spesifisert før vi havnet i denne tråden må spesifiseres med konkrete anbefalinger. Jeg betaler deg gjerne for å gjøre dette marsboer dersom du er interessert. Faktisk kunne jeg også tenke deg betale meg for å sette opp alle komponentene når de er anskaffet dersom du skulle være interessert i det.

Kontakt meg gjerne på PM for å diskutere det.

Mvh
Roysen

 

[marsboer]

Jeg tolker deg dit at du mener at VLAN deler opp nettverket i individuelle deler hvor det ikke er mulighet for å overføre informasjon mellom disse uten å gå via nettverkets Gateway. Jeg antar videre at Altibox modemet er den gatewayen du her nevner. Dersom den ikke er det, er det vel snakk om en ny device her. Kan du i så fall anbefale en som passer til foremålet?

Det er korrekt. WAN-kabelen skal til Altibox internettfeeden du får ut fra modemet du får tilsendt fra Altibox.

Her forstår jeg lite. Jeg tolker deg slik at det du åpner med vedr aksesspunkt ikke er aktuelt for meg. Hva er det du ønsker at jeg skal spandere et par tusenlapper til på`Er det flere moduler til TP-switchen? Kan du spesifisere ved anbefalinger? Ruteren var i utgangspunktet spesifisert inn i løsningen for å gi WiFi muligheter. Gjestenett har aldri vært på tenkt.

Neida, AP'ene i tegningen er aksesspunkt. Du skal altså bruke aksesspunkt som normalt. Kommentarene angående gjestenett var egentlig ment til et tidligere innlegg i denne tråden som lanserte gjestenettfunksjonaliteten på en del aksesspunkt som en mulig løsning på problemet ditt. Det er er det altså ikke.

Hvor befinner brannmur seg i dette nettverket? Hva er NAT og hvor befinner den seg?

Hehe, jeg tok det for gitt at folk forstod hva GW, FW, NAT, DHCP og DNS var, men jeg skjønner jo at ikke alle har tenkt på disse som enkeltfunksjoner før. Det er altså boksen som er koblet til HP-switchen med to kabler. En liten begrepsavklaring:

GW = gateway, som bare er et samlebegrep for rollen denne spiller i nettverket ditt
FW = firewall, altså håndtering av brannmurregler og trafikkflyt mellom nettverkene du tilknytter gatewayen (VLAN2, 3 og WAN i dette tilfellet)
NAT = Network Address Translation, funksjonaliteten som oversetter dine interne adresser til en ekstern offisiell internettadresse som du får tildelt automatisk av altibox.
DHCP = Dynamic Host Configuration Protocol. Servertjenesten som deler ut IP-adresser til alle dine enheter. Denne skal stå for denne funksjonen både i VLAN2, 3 og eventuelle fremtidige nett du måtte finne på å kaste på.
DNS = Domain Name Service. Tjenesten som gjør at f.eks vg.no oversettes til en IP-adresse som nettverkslaget faktisk kan innlede nettverkskommunikasjon med.

Grunnen til at DHCP og DNS er nevnt i tegningen er at dette er to kjernetjenester du er nødt til å ha, og for å slippe og rote med dette ute på hvert aksesspunkt eller på en egen server, så er det aller enklest å samle dette på den sentrale gatewayen.

Igjen blir dette over hodet mitt. Er det her noe ytterligere utstyr du mener jeg skal ta med i spesifikasjonen?

Tvert i mot. Det var bare en tydeligvis alt for teknisk beskrivelse av potensialet som ligger i denne arkitekturen. Du kan altså segmentere nettverket ytterligere uten å bruke en krone ekstra på infrastruktur i fremtiden. Bare se bort fra dette punktet om du ikke helt forstår hva jeg snakker om. Det spiller ingen rolle i forhold til ditt nå-behov.

Her kommer altså brannmuren, ja. Den må da tegnes inn på tegningen for at jeg skal forstå dette. Sorry. Forøvrig skriver du her noe som jeg tyder på at jeg må kjøpe flee aksesspunkter. Hva er det for noe og hvor skal de inn i tegningen?

Se ovenfor. Brannmuren er FW'en i gateway-boksen (GW'en). Gatewayboksen er altså firewallen du tenker på.

Denne trådløse routeren var egentlig mitt opprinnelige valg, men JohnnyGrandis forklarte at han hadde byttet den ut til fordel for Apple Airport Extreme pga av ustabilitet og mye nedetid med Asus routeren. Det andre du skriver her forstår jeg ikke og trenger nærmere forklaring. Dessverre.

To av klientene (musikkstreamerne Auralic Audio Aries og Astell & Kern AK240) opererer på WiFi. Hvor er WiFi routeren i den tegningen? Jeg antar at GW (Gateway) er modemet fra Altibox? Den HP switchen støtter vel ikke WiFi. Husk også at både WiFi protokollene 802.11n og802.11ac skal benyttes.

Jeg har ikke hatt ett eneste sekund med problemer med min Asus router, men dersom det han sier ikke gjaldt hans installasjon eller produkt spesifikt så kan du like gjerne gå for Apple'en. Jeg ville ikke gjort det personlig, men siden den anbefales så er det helt sikkert et veldig godt valg og om du føler deg tryggere på den så gå for all del for den.

WiFi og trådløst aksesspunkt er det samme. Et aksesspunkt er bare den normale tekniske benevnelsen på enheten som distribuerer trådløsnettverket. Mange kaller aksesspunkt for trådløse rutere og det er slike som "alle" har i hjemmet sitt.

Alt du trenger av infrastruktur utover kabling er med på tegningen. Det eneste som ikke er tegnet inn er Altibox-modemet som da skal i den andre enden av WAN-kabelen, og alle klientene/nettbrett/mediastreamerne dine da.