Netzwerkplanung

[Sven Rautenberg]

Moin!

Haha, der Satz zur Sicherheit ist große Klasse. Sicherheit ist kein Zustand, sondern ein Konzept. Dementsprechend kann man niemals sagen "Das Netz ist sicher", weil man damit einen Zustand beschreiben würde, den es nicht gibt, sondern man müßte sagen "Wir versuchen, durch $xyz Maßnahmen ein sicheres Netz zu erreichen".

;-) Ich habe die Aufgabe nicht gesellt?! Und schon gar nicht mir ausgesucht :-D

Man kann nicht hingehen und sagen "Bauen Sie mal ein neues Netzwerk - und bitte schön sicher machen!".

Die sofortige Gegenfrage wäre: "Gesichert wogegen?"

• gegen Ausfälle
• gegen Abhören
• gegen Umgehen von Zugriffserlaubnissen
• gegen Angriffe
• gegen Hacks
• gegen Datenmanipulation
• gegen die Auswirkungen von Naturereignissen
• gegen Datenverlust
• gegen verratene Passworte
• gegen vergessene Passworte
• gegen ...

Dachte an NAT, und dann einfach immer die Adresse wechseln... So wird es für Angreifer (zumindest in meiner Vorstellung) schwieriger an den Proxy zu kommen?!

Nein, da liegst du falsch. NAT schirmt den Proxy zwar ab, wenn dieser keine Verbindung nach außen hat - aber genau dafür ist er ja da.

"Internet-Anschluß kam doppelt, da müssen wir einen wieder abziehen". Warum zwei Internet-Anschlüsse? Alle Clients greifen auf den einen Proxy zu, der sie zu HTTP-Servern durchläßt.

Hm... ich dachte dass sonst die Versorgung mit dem Internet für Gebäude 2 schwierig wird?! Aber wie gesagt, nach solchen Dingen habe ich gesucht... Brauche ich einen eigenen Anschluss, oder nicht?!

Wenn die zwei Gebäude mit Glasfaserkabel verbunden sind, brauchst du kein WLAN und keine zwei Internetzugänge (einen pro Gebäude).

Wenn die zwei Gebäude NICHT mit Glasfaserkabel verbunden sind, wäre eine entsprechende Verbindung herzustellen.

Wie gesagt: WLAN funktioniert zwar, ist aber je nach Menge an Datenverkehr nicht wirklich geeignet. Viel mehr als 100MBit Bruttodatenrate (die bei WLAN extrem viel höher liegt, als die nutzbare Nettodatenrate) kriegst du heutzutage nicht zu kaufen. Und dann ist die Datenrate auch noch entfernungs- und wetterabhängig, also variabel.

Wenn das die Lebensader von 100 bis 250 Clients ist, würde ich für die 15 Meter notfalls ein Kabel über die Straße spannen. Alternativ gibt es optische Links - mit "Laserbewaffnung" sogar in höherer Datenrate zu haben, die Selbstbauversion "Ronja" mit Linsen und LED schafft immerhin 10 MBit auf bis zu 1,8 km Entfernung, wobei das natürlich auch von den Sichtbedingungen abhängt, Nebel und Schnee stören beispielsweise.

Ok....dazu kann ich auch was sagen :-) Ich habe das Gefühl, dass die Aufgabe scheisse gestellt ist. Prinzipiell dachte ich auch..super..liegt ja schon Glasfaser...aber dann hat uns der Typ erzählt, dass wir uns ja noch was für die Verbindung zum zweiten Gebäude einfallen lassen sollen. Deswegen die Bridge.

Du brauchst keine Bridge. Weißt du, was eine Bridge macht? Recherchiere das mal, dann lernst du was und bemerkst vielleicht auch deinen Fehler.

Was du brauchst, wenn du eine WLAN-Verbindung errichten mußt, wäre ein Router. Genauer: Zwei Router.

Vor den Router werden Proxy-Server geschaltet (reverse Proxy für Zugriffe auf die Server und Proxy für ausgehende Internetverbindungen). Büro 3 bekommt seinen eigenen Proxy, so dass der ganze Traffic nicht über die Wlan-Bridge muss.

So, wie du hier die Proxys am Verteilen bist, scheinst du "Proxy" als Synonym für "macht Dinge sicher - Punkt!" zu verstehen. Ist aber nicht so.

Webserver können auch ganz ohne Proxy prima sicher konfiguriert werden. Umgekehrt sind schlecht administrierte Proxys genauso gut für Angriffe geeignet, wie schlecht administrierte Webserver.

Ein Begriff, der bei dir nur ganz selten vorkommt: Firewall. Im Zusammenhang mit Demilitarisierter Zone müsstest du sogar den Plural verwenden: Firewalls.

Es wird verlangt, dass der Internetanschluss möglicht wenig "downtime" hat. DAS habe ich vergessen aufzuschreiben...sorry. Ich wollte mit den Proxys die Server absichern

Wenn man wenig Downtime haben will, läßt man sich die maximale Downtime pro Monat und die maximale Reaktionszeit bis zur Behebung vertraglich vom Provider zusichern.

Wenn das nicht ausreicht, oder weitergehende Szenarien wie "Bagger trifft das Telefonkabel - einen Tag Flickarbeit für die Techniker" mit einer Downzeit von mehrern Stunden für den Internetzugang inakzeptabel sind, dann muß man sich redundante Lösungen ausdenken. Wobei "einfach zwei DSL-Anschlüsse nehmen, statt einem" keine Redundanz bedeutet - denn wenn der Bagger das Telefonkabel zerstört, dann wird er mit Sicherheit BEIDE DSL-Anschlüsse zerstören. Solche Szenarien erfordern als Lösung also zwingend eine Analyse der möglichen "single point of failure", und als Antwort beispielsweise die Doppelanbindung einmal per DSL, und einmal per Funk (Satellit, MetroAreaNetwork, etc.). Oder eine garantierte Kabelführung in zwei komplett unterschiedlichen Regionen, niemals nebeneinander in der gleichen Straße.

Nur noch eine Frage: Was bist du dann, wenn du die Aufgabe gelöst hast? Klingt jedenfalls nicht so, als ob diese "Bildungsmaßnahme" von einer sonderlich kompetenten Lehrperson durchgeführt wird.

- Sven Rautenberg