Firewall και Access Point

[donblunts]

Στις 18/12/2018 στις 11:11 ΜΜ, ΜΑΝΩΛΗΣ1 είπε

Εγώ νομίζω ότι είναι μέγα λάθος να υπάρχει ανοιχτό ασύρματο δίκτυο σε μια εταιρία και να "βλέπει" το τοπικό δίκτυο της εταιρίας. Μια δεύτερη γραμμή την παίρνεις για αυτούς που θέλουν να έχουν μια σύνδεση με το κινητό τους, για τους πελάτες που έρχονται και θέλουν πχ να δουν κάτι, για να μεταδώσεις ασύρματα κάτι τέλος πάντων.

Στατικές IP παντού, κλείνεις το dhcp στο firewall, και βάζεις MAC Filtering στο access point για να δίνει μόνο σε συγκεκριμένες συσκευές

Εγώ στην δουλειά έχω 3 συνδέσεις Internet

Τις 2 τις έχω κάνει bridge σε ένα Cisco Meraki Firewall για να δίνω στο τοπικό δίκτυο και την άλλη την έχω μόνο για ασύρματο. Μπαίνει το αφεντικό μου από το κινητό του , μπαίνει ο λογιστής που έρχεται μια φορά την βδομάδα, μπαίνει κανάς πελάτης από το κινητό του που θέλει να δει κάτι χωρίς να τρέμει το φυλλοκάρδι μου μην γίνει τίποτα. Γενικά για μια εταιρία δεν είναι τίποτα να δίνει 20-30 ευρώ το μήνα για μια απλή ADSL-VDSL για να έχει ξέχωρα το ασύρματο από το τοπικό της δίκτυο.

Τώρα αν θέλει ο άλλος οπωσδήποτε να μπαίνει ασύρματα κλειδώνεις το dhcp από το router , στατικές σε όσους συνδέονται ασύρματα και mac filtering στο access point για όσους επιμένουν στην ασύρματη σύνδεση.

1) Δεύτερη γραμμή ΔΕΝ παίρνεις για τους Guest. Τους guest τους βάζεις σε διαφορετικό VLAN. Δεύτερη γραμμή παίρνεις για redundancy.
2) Στατικές IP παντού; Τι λες; Πως θα πας να βάλεις καρφωτές σε δίκτυο με 50 PC+ ; Καρφωτές διευθύνσεις σε guest; Και πως θα βρεις την MAC του guest για να την κάνεις allow στο AP; Καταλαβαίνεις οτι δεν είναι time efficient.
3) Οπτική Primary, dslάκι backup και VLAN.

Φίλε μου το στατικές και φιλτράρισμα των MAC δεν γίνεται να παίξει παντού, χωρίς να ξέρεις το μέγεθος της επιχείρησης.
Το να το έχεις κάνει εσύ, και να δουλεύει, άσχετα αν το Troubleshooting σου γίνεται πολύ πιο δύσκολο, δεν είναι good practice.

Διαχωρισμός υποδικτύων και VLAN.

[M@dB0x]

To vlan το εχω αντικαταστησει τωρα πια με αλλο δικτυο και firewall rule deny το ενα δικτυο στο αλλο. Κατα τα αλλα καπως ετσι.........