2 Firmen mit eigener Infrastruktur und ein neuer Server, den beide sehen sollen

[evilass]

Hallo zusammen,

der Titel hört sich wahrscheinlich einfach an, aber irgendwie stehe ich gerade auf dem Schlauch.

Also Ich betreue zwei Agenturen, die mit vielen Daten hantieren (Bestand: ca. 4-5 TB, tägl. Traffic im LAN: 10-40 GB). Diese sitzen in einem Gebäude auf der gleichen Etage, haben allerdings eine mir unbekannte Firma dazwischen. Soviel zum geografischen "Teil".

Diese beiden Firmen haben jeweils ihre eigene Infrastuktur (Agentur Eins: 192.168.2.0 und Agentur Zwei: 192.168.178.0) mit je einem Linux Fileserver und Mac-Clients. DHCP / DNS wird jeweils von deren Routern gemanaged.

Nun brauchen beide Agenturen einen Fileserver auf den sie beide per GBit-LAN zugreifen können. Der Fileserver ist auch nicht mein Problem.
Meine Frage bezieht sich eher auf die Netzwerk-Infrastruktur. Was wäre hier Best Practice? Es ist nicht gewollt, dass die Agentur Eins die Macs von Agentur Zwei sieht und vice versa. Nur der Fileserver soll für alle Parteien sichtbar sein.

 

[[W2k]Shadow]

hm, 2 netzwerkarten und zwei vms, entsprechemd zugeordnet?

 

[hominidae]

static vlans, mit....3 oder 4 Netzwerkkarten für den Server...einen kleinen Smart-Switch.
Dann separate VLANs auf Ports für Agentur 1 (zB VLAN11) und für Agentur 2 (zB VLAN12) legen....Du brauchst 2 Ports je Agentur (1xFileserver und 1x "zum Switch der Agentur")
Drittes Netzwerk auf dem Server für Admin (VLAN1, default)...auch für Switch-Admin.
Viertes Netzwerk auf dem Server für I-Net. (VLAN1, VLAN2)
Auf dem Server das IP-Routing deaktivieren

 

[evilass]

Hmm, spannend. Ich werde mir wohl VLAN Best Practices ansehen müssen und dann auch mal Hands-On. Ich poste mal ein Bild von der Infrastruktur wie ich sie mir vorgestellt hatte bevor ich eure Vorschläge gesehen habe.

 

[hominidae]

ja, OK..also QNAP Fertig-NAS....wird auch gehen.
Die Grundidee ist es mit den VLAN auf Port-Basis im Switch zu arbeiten...dann braucht sonst niemand VLAN-Fähigkeit ausser dem Switch selbst.
Du kannst beim Fertig NAS den einzelnen Port auch für beide VLANs freigeben...wichtig ist, das jede Agentur in einem eigenen VLAN sitzt/reinkommt
und Du Dich nicht aus dem default VLAN des Switch aussperrst, da da das Management drüber läuft.
Das NAS braucht auch den Admin Zugang und I-Net Zugang für updates..dass sollte auch über ein VLAN laufen...am besten so, dass nur Du dran kannst und nicht eine Agentur.
Bei nur einem Port muss das NAS aber zwei IP-Adressen (besser drei, eine für Admin) unterstützen....und, da es beide Routen kennst und Teilnehmer beider VLANs ist, darf es *nicht* routen, sonst läuft Traffic über das NAS zwischen den Agenturen.

 

[evilass]

Okay, verstanden. Danke für die genauere Erklärung Eine Frage habe ich doch noch. "Bei nur einem Port muss das NAS aber zwei IP-Adressen" <- Das heißt wenn einem Port mehrere VLAN zugewiesen sind, bekommt die NAS auch pro VLAN eine eigene IP, also 192.168.2.X für Agentur Eins, 192.168.178.X für Agentur Zwei, usw. ?

 

[hominidae]

...ich weiss aktuell nicht ob das auf Port-Basis bei LAG funzt.
Evtl. musst Du doch auf tagged VLAN umstellen...dann sollte das mMn gehen...aber dann brauchst Du evtl drei smart-switches (A-1, A-2 und NAS).
Switch A-1 taggt alles was "reinkommt und zum NAS-Switch läuft als A-1, Switch A-2 analog für Agentur-2, NAS Switch lässt A1-Traffic nur zum NAS und nicht zum Switch-A2....analog für A2-Traffic.

- - - Updated - - -

Ja, ich würde die jeweiligen IP Netze beibehalten...dann kannst Du so tun, als ob das NAS in jeder Agentur "allein" steht.
Immer unter der Annahme, das das NAS keine Verbindung in eines der Agentur-Netze initiert, sondern das dies immer ein Client in der Agentur macht. Edit: ...egal...sollte auch gehen.

Alternativ steht das NAS in einem dritten Netz und jede Agentur hat eine Route (im eigenen, internen Router) auf das NAS-Netz, zB 192.168.101.X und Du braucht noch einen Router zwischen NAS und NAS-Switch.
Dann musst Du aber auch in dem Router das Routing zwischen den Netzen der Agenturen unterbinden, sonst kann man die Verbindungen so hinkriegen, dass die sich doch "sehen".
Edit: Anders als mit den VLANs und L2-Verbindung über den Switch musst Du dann mit IP über ne Router-Verbindung gehen....mMn können die smart Switches nicht routen..der Router müsste dann ja auch LAG können nd performant sein.

Edit2: ....bin gerade nicht sicher, ob es wirklich mit einem NAS-Port am Switch geht (egal ob LAG oder nicht)...dedizierte Ports pro Agentur gehen bestimmt...evtl muss das NAS auch VLANs taggen können.

 

[evilass]

Ich lese gerade QNAP Turbo NAS Software User Manual und stelle fest, dass ich, durch das Weglassen von LAG, jeden Port eine eigene IP geben kann, um genau das zu erreichen, was ich will. Oder sehe ich das falsch?

 

[hominidae]

...du meinst ganz ohne VLANs?...wenn jeder Port in einem eigenen Switch steckt, dann ja.
Aber Du musst Dich entscheiden, welche Seite (IP) I-Net und Admin-Seite ist....und wie gesagt, das NAS darf nicht zwischen den IPs routen.

 

[evilass]

Das wäre kein Thema, ich habe als Admin eh VPN-Zugänge in beide Netze und deshalb würde es keine Rolle spielen, wo der Adminzugang liegt.

Ich denke ich habe nun drei verschiedene Möglichkeiten mit unterschiedlichen Preisen, so dass sich der Kunde selbst ein Bild davon machen kann.

Danke nochmal an alle, besonders an hominidae.