Intranet - VLAN's & subnetting, veel subnetting

[kvc]

Hallo,

Ik probeer een schoolnetwerkje wat redundanter te maken door het huidige subnet (/23) te gaan opsplitsen in vlans met elk zijn eigen subnetje.
ik dacht per gebouw en per verdiep een vlan te maken + pc klassen telkens in een afzonderlijke vlan te plaatsen.

Helaas hebben wij niet de middelen om een Layer3 router aan te kopen dus vroeg ik me het volgende af:

Kan ik een linux server gebruiken om al deze subnetjes op te routeren ?
Ik zal waarschijnlijk uitkomen op 20-tal kleine subnets. (sommige /26, andere /27)

De meeste van deze subnets moeten niet met elkaar praten enkel met 2 servers, die natuurlijk ook in elke vlan een iptje krijgen.
(Of ik plaats de servers in een apart subnet en laat 1tje alle vlans hiernaar routeren... )

Is zoiets haalbaar op een linux server ?
(Intel c2q, 2GB ram)

[avanmessen]

Tuurlijk, probleemloos.

[Mikey]

je zou ook kunnen kijken naar een routerboard met routeros.

[Wido]

Zeker weten! Zorg dat elk VLAN (tagged) binnen komt op een interface van de Linux machine.

Zorg dat de Linux machine een IP heeft in elk subnet, desnoods kan de Linux machine ook nog de DHCP doen + default gateway.

Als je vervolgens ip_forward in het kernel aan zet kan deze al routeren tussen de subnets.

Met iptables kan je vervolgens restricties aanleggen met wat er wel en niet tussen de VLAN's heen en weer mag.

Maar je kan ook iets als pfSense nemen hiervoor.

[The-BosS]

Maar je kan ook iets als pfSense nemen hiervoor.

Ik ging net zeggen maak het niet te moeilijk een gebruik een opensource routing/firewall iso zoals pfsense, endian, vyatta (doet zelf ospf/bgp), ipcop, ... Kwa hardware kan dat al perfect met een atom, zo bespaar je nog stroom ook, want veel resources hebben static routes niet nodig.

[ichat]

ik weet niet dergelijke reclame wenselijk is, maar als je meer wilt dan enkel routering, kijk dan eens naar zentyal.org

[Magus]

quagga kan ook wel wat aan. vyatta werd al genoemd. Allemaal mooie software oplossingen om op een linux machientje te gooien, en waarmee je kunt doen wat je voor ogen hebt.

edit: kijk ook eens naar clearos, wellicht een leuke aanvulling

[Lite-On]

Zeker weten! Zorg dat elk VLAN (tagged) binnen komt op een interface van de Linux machine.

Zorg dat de Linux machine een IP heeft in elk subnet, desnoods kan de Linux machine ook nog de DHCP doen + default gateway.

Als je vervolgens ip_forward in het kernel aan zet kan deze al routeren tussen de subnets.

Met iptables kan je vervolgens restricties aanleggen met wat er wel en niet tussen de VLAN's heen en weer mag.

Maar je kan ook iets als pfSense nemen hiervoor.

Inderdaad pfSense. Ik gebruik pfSense voor soortgelijke opstelling, alleen dan wat groter (kantoor complex) en met meer dan alleen wat routing.
Draait inmiddels 2 jaar zonder problemen - in mijn ogen een prima alternatief voor een hardware layer 3 oplossing.

[kvc]

Iedereen bedankt voor de vele reacties & info.

Ik ga enkele voorbeelden eens uittesten in een labo-opstelling de volgende weken...

[wijtec]

Nu verwachten we natuurlijk wel een rapport met cijfer

[kvc]

Daar probeer ik voor te zorgen

Nu verwachten we natuurlijk wel een rapport met cijfer

[Wido]

Komen we er dan ook als bronvermelding in?

Nee, pfSense is hier echt prima voor. Je vroeg initieel om een Linux oplossing, maar pak lekker pfSense! Alles wat je zoekt zit er in. Ik zou die pfSense dan ook direct de NAT box laten zijn voor je hosts.

Apart VLAN waar je je servers in stopt en met een paar ACL's filter je precies wat er wel en niet richting je servers mag. Kan je zelf nog van buitenaf dmv OpenVPN mensen bij de servers laten komen mocht dat nodig zijn.

[Thijsvdbrink]

Leuk idee, maar zorg je wel voor een berg administratie en handleidingen?
als jij ermee stopt, moet de volgende wel verder kunnen gaan.
Ik zie helaas vaak dat er goede hobbyprojecten op een school worden opgezet, waar vervolgens niemand meer iets van snapt. ;-)

[kvc]

Handleidingen en schema's blijven inderdaad het eeuwige grote probleem. Dat heb ik de voorbije jaren al ondervonden.
Meestal wordt dat altijd maar uitgesteld wegens tijdsgebrek...

Ik ben in deze school voltijds netadmin dus moet enkel zorgen dat mijn collega's ICT degelijk gebriefd worden over de nieuwe netwerk set-up zodat zij kunnen ingrijpen als ik er eens niet ben....

Leuk idee, maar zorg je wel voor een berg administratie en handleidingen?
als jij ermee stopt, moet de volgende wel verder kunnen gaan.
Ik zie helaas vaak dat er goede hobbyprojecten op een school worden opgezet, waar vervolgens niemand meer iets van snapt. ;-)