Návrh sítě

[j]

Nevíte, co má v zadání asi znamenat, že je třeba udat "způsob zajištění individuálního nastavení dostupnosti Internetových služeb pro jednotlivá PC"?

Vime, ale slecinko ... pochlub se co je to za skolu ... jen abych se nesplet a nekoho z ni neprijal ...

1) mezi inet a sit patri router+firewall, idealne jako samostatna krabice (z mnoha dobrych duvodu). Tahle vec muze (a nemusi) zaroven plnit fci nejaky proxy (= treba filtrovani dovolenych/zakazanych stranek).

2) dneska se site delaji prakticky vyhradne Gbit - do switche pichnes ten router, servery, klienty ...

3) pri instalaci pro 20 klientu uz tam v kazdym pripade patri nejakej rozvadec (rack). Coz taky znamena, ze kabelaz se neukonci "kostickou", ale patch panelem.

4) bezpecnost se resi i interne - klienti se muzou autorizovat (switch jim nedovoli fungovat). Aby se nemoh jen tak nekdo neco zapojit.  https://cs.wikipedia.org/wiki/IEEE_802.1X trebas. Tohle zaroven (mozna v kombinaci s dalsim SW) je schopno zajistit, ktera stanice se muze/nemuze dostat ke kterymu serveru.

5) dalsi cast je pripadne aplikacni/souborovej server (coz muzou byt dve krabice, nebo jedna na ktere bezi obe, pripadne dneska nejrozsirejnejsi, jedna fyzicka krabice na ktery bezi nekolik vitualnich stroju). Na tom pochopitelne taky muzes nastavovat vsemozna opravneni - at uz na urovni filesystemu, tak na urovni nejake te aplikace ktera ti tam bezi.


Ale tohle vsechno by te ta skola prece mela naucit ne? Kdyz te z toho chteji zkouset.

Apropos, vem si 2m kabelu, nastrihej je po 10cm, a udelej z toho svazek. At mas predstavu, co tou zdi musi projit.

[Reklama]

[JardaP .]

1) mezi inet a sit patri router+firewall, idealne jako samostatna krabice (z mnoha dobrych duvodu). Tahle vec muze (a nemusi) zaroven plnit fci nejaky proxy (= treba filtrovani dovolenych/zakazanych stranek).

Ano, pokud Internet=modre e. Otazka je polozena tak blbe, ze neni jasne, jestli maji na mysli modre e nebo opravdu Internet.

3) pri instalaci pro 20 klientu uz tam v kazdym pripade patri nejakej rozvadec (rack). Coz taky znamena, ze kabelaz se neukonci "kostickou", ale patch panelem.

Rack neni nutny pro funkcnost site, je to akorat hezka soucas instalace, ktera ma sve vyhody, ale lze bez ni zit. Switch s routerem a dalsimi kramy muzete mit postavene na jarmare nebo na polici v kumbalu s kostaty, kde vam ze zdi polezou rovnou draty do switche. V malych kancelarich, kde nemaji penez na rozhazovani, to muze byt bezna praxe. Uz jsem to videl, i kdyz PC tam meli tak 10. Funguje to.

Apropos, vem si 2m kabelu, nastrihej je po 10cm, a udelej z toho svazek. At mas predstavu, co tou zdi musi projit.

A ono to musi projit vsechno jednou dirou nebo se smi provrtat i nekolik der smerem do kazde mistnosti?

[hugochavez]

Nevíte, co má v zadání asi znamenat, že je třeba udat "způsob zajištění individuálního nastavení dostupnosti Internetových služeb pro jednotlivá PC"?

No tak to je otazka. To muze znamenat treba to, ze tam bude firewal, ktery bude nektera PC poustet ven a jina ne. Nebo by to nohlo znamenat, z nektera PC muzou vsude (sef kvuli pornu), zatimco sekretarka smi leda na Seznam. To by vyzadovalo budto nejaka silena pravidla napriklad v iptables v Linuxu nebo nejaky dedikovany stroj, asi s klikacim rozhranim a nejakym desnym softwarem, a pres ten stroj vse pujde a ten bude rozhodovat, kdo smi kam. A takovy software mozna na Linux existuje, ale neznam. Pocitam, ze nejmin na Widle nejaky asi bude.

Uplne nejblbeji by to slo tak, ze tam bude DHCP server, ktery bude pridelovat adresy jednotlivym PC a nekterym proste nerekne, kde je gateway. Nebo tak, ze jim DNS server odmitne prekladat adresy. Tim by se dalo take rozhodovat o pristupu na Internet s jemnejsim rozlisenim, nez ano nebo ne.

To jsou ale bastlirny.......

Ano to jsou opravdu bastlirny.
A co treba VLAN?
Kdyz uz soudruzka Michaela sahne do prasatka pro drazsi switch (ty bejvaj managovatelny a umej teda krome LACP zpravidla i VLAN) nemel by bejt problem vytvorit 20+1 VLAN -teda pokud clovek chce opravdu "jemne filtrovani" naprosto vseho co kde kdo ne/smi delat a kam kdo ne/smi jit, a kazdymu z tech 20ti PC se prideli IP patrici prave do "jeho vlastni" VLAN -pripadne se "nahazi" nekolik PC do "spolecnych" VLAN grup, to podle chuti a potreby kazdeho soudruha administratora.
Switch pak preposila VLAN pakety do routeru(zaroven FW) a ten se stara o routovani podle dane tabulky pravidel, cili preposila pakety ven do interfernetu pripadne na file-server KTEREJ JE PRIPOJENEJ TAKY NA ROUTER A NEE DO SWITCHE.

Myslim ze to splnuje "způsob zajištění individuálního nastavení dostupnosti Internetových služeb pro jednotlivá PC"   

PS: Posadit Widlackej server do LANu kde sedi BFU s Widlo stanicema je podle me ruska ruleta a je jen otazkou casu kdy nekdo dotahne z domova USB flashku a strci ji do PC a je vymalovano.
Hacknutej Widlo-server nejenze zacne "volat domu" a z tech 20ti PC se behem kratke chvile stanou cestni clenove botnetu, ale zaroven ten bordel na nem vesele zmapuje/sosne data na vsech PC pripadne pokud botnet Master neni uplnej jouda tak prenastavi i logovani na FW.
Proto se i na pomocnych skolach vyucuje ze server s pristupem na "Wild West"-net umistuje do tzv.DMZ ovsem uz se zapomina studentum rict ze i tahle DMZ musi podlehat FW pravidlum a logovani jinak to je jako posadit batole do vybehu tygru a doufat ze to "bude fungovat".

Je dobre pri navrhu site nezapominat na tzv.managemet (V)LAN protoze asi neni dobre aby 20PC sedelo na stejnym LANu ve kterym je pripojeny napr. IPMI serveru nebo webGUI FW.

Dobra volba pro file-server by podle me byl FreeNAS protoze i ten sam o sobe umi VLAN takze napr. je mozne provozovat ruzne sluzby pro ruzne site a 1 a tom samem serveru+  kazde PC samozrejme muze mit na serveru svuj soukromej "dataset=uloznej prostor" do kteryho nikdo jinej nevidi, ale admin muze tento prostor bez problemu nasdilet mezi jinymi uzivateli podle potreby.

PS2: Pri pouziti L3 switche se "tabulka pravidel" muze odehravat uz ve switchi pri vzajemnem trafiku mezi PC a neni treba zatezovat routovanim FW vedouci do internetu. Ve finale by pak stacilo posilat jen pakety "nevim co s nima" na server+internet = tedy smerem k "hlavnimu routeru" a ten by je rozhazoval podle pravidel do 2 smeru.

PS3: Muzu se zeptat slecny Michaely co to je za skolu+rocnik co studuje? Jenom ramcove =nejde mi o presnou adresu........ciste jen ze zvedavosti.

@JardaP. za tvou trpelivost a pedagogickou osvetovou cinnost v tomto vlaknu si dovolim te odmenit    = tvuj oblibenec mel slabou chvilku a konecne na sebe vyblil co je zac!! ->

https://www.youtube.com/watch?v=vbLGG5UGEKw

https://www.youtube.com/watch?v=D2fSXp6N-vs

[JardaP .]

A co treba VLAN?

Porad zalezi na tom, co si predstavuji pod kontrolou pristupu do Internetu. A VLAN asi bude chtit jiny switch, nez z Tesca.

PS: Posadit Widlackej server do LANu kde sedi BFU s Widlo stanicema je podle me ruska ruleta a je jen otazkou casu kdy nekdo dotahne z domova USB flashku a strci ji do PC a je vymalovano.

Toz zalijes USB porty tavnym lepidlem. Nekde to tak resi. USB si nechas jen na serveru, kde nebudou useri mit lokalni login.

Ted jeste nejak vynyslet, jak lidem zabranit ve spusteni sajrajtu, co si stahnou z netu a ktery neni v chranenych systemovych adresarich. BTW, s widlositi spousta adminu musi nejak zit. A podle posledniho rozhodnuti widloserver zde do Internetu nemusi - tedy ne ve smyslu, ze by provozoval treba web server. To se na jednom serveru s ostatnimi daty neda. To by byl opravdu blby napad.

Je dobre pri navrhu site nezapominat na tzv.managemet (V)LAN protoze asi neni dobre aby 20PC sedelo na stejnym LANu ve kterym je pripojeny napr. IPMI serveru nebo webGUI FW.

Nekomplikuj to. Je to 20 PC, tedy nejaka mala firmicka, ktera si ani nebude moci zaplatit admina.

https://www.youtube.com/watch?v=vbLGG5UGEKw

https://www.youtube.com/watch?v=D2fSXp6N-vs

Dobre! Konecne mluvi pravdu.

[snuff1987]

Dievca robi semestralny projekt na 4 strany o malej sieti kde ma byt 1 fileserver a 20 klientov a vy jej tu pletiete VLANy, oddeleny manazment a co ja viem co.. Ak si chcete dokazovat kto ma vacsie ego a virtualne vedomosti, zvolil by som na to ine miesto ako tuto temu..

[Reklama]

[j]

Ne, ona resi jak to popise u zkousky kde na to bude mit 2x 15 minut . A ta zkouska bude nejspis maturitni, jinak by nepsala o tahani otazek.

A tudiz je ucelem predevsim to, aby zvanila, je jedno co, ale idealne tech 15 minut nepusti prisedici ke slovu. Tudiz idealne je zavalit termitama, o kterejch ani oni netusej vocogo. Ve skutecnosti i kdyby povidala o tom jak mame dneska pekne pocasi, tak to nejspis "dostane" . Pricemz vysledna znamka stejne pak uz nikdy nikoho zajimat nebude.

[JardaP .]

Doufam, ze jsme ji pred zkouskami nedohnali do deprese a k sebevrazde. Je nejak ticho po pesine. :-)

[hugochavez]

.....A tudiz je ucelem predevsim to, aby zvanila, je jedno co, ale idealne tech 15 minut nepusti prisedici ke slovu. Tudiz idealne je zavalit termitama, o kterejch ani oni netusej vocogo. Ve skutecnosti i kdyby povidala o tom jak mame dneska pekne pocasi, tak to nejspis "dostane" . Pricemz vysledna znamka stejne pak uz nikdy nikoho zajimat nebude.

No prave! taxem myslel ze kdyby si nadrtila management LAN a IPMI tak by tam mohla vsechny impressnout do bezvedomi a pak jako Grand finale by se uz jen letmo zminila o nutnosti blokovat urcite typy ODCHOZIHO trafiku napr. aby LAN kde drepi server nemoh "volat ven na IRCko" protoze ty se s oblibou pouzivaj na komandovani botnetuu, a sem si skoro jistej ze by si cela komise z toho strikla do kalhotek 

[hugochavez]

Toz zalijes USB porty tavnym lepidlem. Nekde to tak resi. USB si nechas jen na serveru, kde nebudou useri mit lokalni login.

Tak useri jsou nebezpecny prave tim ze bejvaj dost vynalezavy.
Napr. tady v DK mela 1 velka banka dost velkej pruser, kdyz se compy v 1 jeji filialce zacly chovat jako botnet.... Admin si toho vsimnul a celou pobocku odriznul od zbytku site a zaclo vysetrovani. USB sloty ty boxy budto vubec nemaj anebo sou zataveny- vsichni zamestnanci maj striktni zakaz cokoliv zvenku nosit a internet jako takovej je defaultne offline. OVSEM dabel je skryty v detailu, takze zapomeli na printer v zadni "kafe-mistnosti" kterej se moc nepouzival ale presto byl zapojenej do LANu + mel nezaslepenej USB slot. A jeden ze zamestnancu si toho vsimnul a taxi u kafe do toho pichnul na dobiti "e-cigaaro" protoze jinaxe vevnitr uz davno hulit nesmi. No a zacly se dit veci, protoze to cigaro je puvodne z Ciny a ten USB chip v nem se ukazalo je ten samej jetel jakose cpe do beznejch flashek. On je v tom nakej soft kterej ridi dobijeni ty LiPo baterky podobne jako v mobilech+ nahrejvani toho svinstva co si pak zoufalci sosaj do plic.....tech par slastnych let nez se vsichni sejdou kolektivne na onkologii....
Cili takovej nevinne zabalenej cinskej badUSB    https://en.wikipedia.org/wiki/Firmware#BADUSB

Porad zalezi na tom, co si predstavuji pod kontrolou pristupu do Internetu. A VLAN asi bude chtit jiny switch, nez z Tesca.

tak ja myslel ze panuje shoda na tom ze Michaella sahne pro poradnej switch do prasatka....?
Takze kdyz mluvime o "poradnem" tak tim logicky nemame na mysli ten z Tesca 
Obecne kdyz mluvime o kvalite a cemkoliv poradnem tak tipuju ze vetsina (premyslejicich) lidi nema na mysli Tesco 

[JardaP .]

@hugochavez: No, to je pekna historka, ta patri do adminskych analu. Holt neni nad to, kdyz banka prejde na Widle a widlacke apklikace.


S tim switchem to vubec neni jasne. Ona s nama nemluvi a nechce se sverit, jak velke ma prasatko a kolik z nej hodla v ramci maturity na ten switch hypoteticky vytahnout. Asi sprta. Ale na poradny switch by potrebovala spis prase. Ono to v tech mincich zabere dost prostoru a pak jeste potrebujes kolecko, abys to odvezl. A to jsme jeste nezminili nutnost pouziti odolnejsiho materialu s pevnosti umerne vaze minci, ktere ma takove prase obsahovat a potize s jeho naslenym rozbitim, kdy bude asi nutno pouzit kango!

[hugochavez]

S tim switchem to vubec neni jasne. Ona s nama nemluvi a nechce se sverit, jak velke ma prasatko a kolik z nej hodla v ramci maturity na ten switch hypoteticky vytahnout. Asi sprta. Ale na poradny switch by potrebovala spis prase. .....

Tak oproti nam ma porad tu vyhodu ze se muze u zkousky zkusit "vyprsit" -dost casto to zabira obzvlast kdyz zkousejici je uz "ve veku" a tim padem "advanced prase" 

Jinak vypada to ze nas dala do klatby takze jeto fuk ale nekdo jinej kdo si tohle vlakno precte a rad by se dovzdelal (zadarmo) by moh upotrebit tyhle tutorialy:
http://www.freeccnastudyguide.com/study-guides/icnd1-100-101/
(pod "study guides" je toho dalsi hromada, vlastne cely pensum pripravy na CCNA) -a to se vyplati!

[hugochavez]

@hugochavez: No, to je pekna historka, ta patri do adminskych analu. Holt neni nad to, kdyz banka prejde na Widle a widlacke apklikace.

jj s Widlema se clovek nenudi- dokazou se vetrit dokonce i do predpovedi pocasi 
http://www.geek.com/microsoft/windows-10-nag-screen-interrupts-live-weather-broadcast-1653522/

[32bit]

Ted jeste nejak vynyslet, jak lidem zabranit ve spusteni sajrajtu, co si stahnou z netu a ktery neni v chranenych systemovych adresarich. BTW, s widlositi spousta adminu musi nejak zit. A podle posledniho rozhodnuti widloserver zde do Internetu nemusi - tedy ne ve smyslu, ze by provozoval treba web server. To se na jednom serveru s ostatnimi daty neda. To by byl opravdu blby napad.

nu ale aplikacni servery vetsinou bezi na http(s) I kdyz umoznuji i jiny binding...

[Michaela]

Víte, mám toho hodně a nejen sítě, tak jsem se už sem nedívala. A nemám moc chuť to tady zmiňovat, ale jedná se o zkoušky bakalářské... na sítě jsme měli jediný předmět, kde jsme seděli u wiresharku a koukali, jak vypadá komunikace, když najedem na nějaký web, co se posílá, jaká čísla tam jsou... no prostě super příprava na návrh sítě.

Ale tohle vsechno by te ta skola prece mela naucit ne? Kdyz te z toho chteji zkouset.

Ano, takhle by to v dokonalém světě být mělo, ale reálně jsme nic z toho nebrali, nic z toho není v materiálech a praxe žádná nebyla, ale co mi zbývá....

[JardaP .]

Aha, tak to mate dobre. To je jako ukazat lidem, jak se pumpuje guma u auta a pak je poslat delat automechaniky.

Toz drzim palce. Nezapomente se pochlubit, jak jste dopadla.