Switch/802.3 - Сегментация сети на зоны безопасности (DMZ & VLANs)

Butunin Klim · Отправлено: **13:20, 31-07-2006** | #21

kim-aa

Мы хотим посадить чужого администратора на этот сервер и пускай он его админит но при изменении ip адреса это оборудование оранжевое блокировала бы все пакеты. Сервер будет в обучающей комнате как бы реальный сервер (фаервол). Просто там админ будет иметь полные права на сервер, что очень Нам ненравиться вот и приходится выдумать клин между сервером "Server" и основной сетью.

Планируется создать несколько таких комнат от 1 до 40.

Подскажите оборудование в которое можно вбить что только с определенного ip адреса разрешаются имеено те пакеты которые мы дадим, при изменении ip адреса на сетевой карте "SERVER" оборудование бы блокировало все пакеты в основную сеть но продолжало бы работать комнатаобучения. Так как там стоять будут сервер-клиент приложения.

kim-aa · Конфигурация компьютера

Все зависит от денег.
А архитектуры, вот вам три на выбор.

Butunin Klim · Отправлено: **14:49, 31-07-2006** | #23

Денег компания не жалеет если надо потратить 100 долларов - потратим 100... если 40.000 долларов - потратим 40.000... Тут вопрос в иммено в этом "клине" между "Server" и основной сетю. Нужно что бы каждый порт свича был программируемый. Прости за тофтологию но повторюсь еще раз. Нам нужно, если системный администратор изменить ip адрес на сетевой карте на SERVER но этот свич отключал бы его от себя. тоесть каждый отдельный порт Свича должен программироваться на mac или ip адрес указанный нами

kim-aa · Конфигурация компьютера

Ну желательно конечно уточнить марку фаервола.
Но в любом случае, максимальную гарантию и управляемость Вы получите при применении сегментации на коммутаторах третьего уровня.
Вот вам примерная схема (расматиравалась ранее автор sidelong) с VLANS.

Реально оборудования такого класса достаточно много. Хотите Cisco, хотите 3COM, Cabletron, Lusent, Nortel ....
Однако я бы рекомендовал таки Cisco, и не потому что это "круто", а потому что это единственный производитель который удосужился выпустить литературу на Русском.

Butunin Klim · Отправлено: **15:19, 31-07-2006** | #25

У нас нет специалистов по работе на Cisco, что бы вы порекомендовали по поводу 3сом
А что Вы думаете по поводу Dlink DFL-1600

http://dlink.ru/products/prodview.php?type=18&id=571

kim-aa · Конфигурация компьютера

А что Вы думаете по поводу Dlink DFL-1600 - ничего не думаю. С продукцией данной фирмы я не работаю

(Вобще это как-то не соответствует Вашему высказыванию о 40 000 $)

Цитата:

У нас нет специалистов по работе на Cisco

Тогда Вам следует ориентироваться на подготовленность Ваших специалистов или покупать решения под ключ.

Cisco Я рекомендовал с точки зрения ситуации "когда у Вас нет специалистов, но Вам надо это сделать".

Butunin Klim · Отправлено: **16:03, 31-07-2006** | #27

Не целесообразно нанимать специалиста для настройки одного раза этого маршрутизатора. Можно нанять но это чужой человек будет работать, что опастно.
С 3сом Мы знакомы но как-то не сложились у нас отношения с этой фирмой.

kim-aa · Конфигурация компьютера

Цитата:

Не целесообразно нанимать специалиста для настройки одного раза этого маршрутизатора. Можно нанять но это чужой человек будет работать, что опастно.

Простите, но эта задача не имеет решения. Своих специалистов у Вас нет, пришлым Вы не доверяете.
Исходя из данной логики, аппендицит нужно удалять самому, т.к. операция разовая.

Butunin Klim · Отправлено: **16:11, 31-07-2006** | #29

ну так вот я и спрашиваю какой свич или побочное оборудование может прогаммировать порты свича. все кроме циски

kim-aa · Конфигурация компьютера

Я же Вам сказал. Вариантов море. Вас устроит любой свич 3-го уровня.
У Cisco это 3550, 3750.
У 3COM - 5500.

Однако, хочу сделать следующее замечание, это сложное оборудование.

Если Вы хотите разворачивать своими силами, то наверное проще использовать вариант 2.
Т.е. просто для каждого сегмента свой простой фаервол с web управлением.