Switch/802.3 - Сегментация сети на зоны безопасности (DMZ & VLANs)

[kim-aa]

kim-aa



Мы хотим посадить чужого администратора на этот сервер и пускай он его админит но при изменении ip адреса это оборудование оранжевое блокировала бы все пакеты. Сервер будет в обучающей комнате как бы реальный сервер (фаервол). Просто там админ будет иметь полные права на сервер, что очень Нам ненравиться вот и приходится выдумать клин между сервером "Server" и основной сетью.



Планируется создать несколько таких комнат от 1 до 40.



Подскажите оборудование в которое можно вбить что только с определенного ip адреса разрешаются имеено те пакеты которые мы дадим, при изменении ip адреса на сетевой карте "SERVER" оборудование бы блокировало все пакеты в основную сеть но продолжало бы работать комнатаобучения. Так как там стоять будут сервер-клиент приложения.

[Ment69]

kim-aa Заметь как вырос Butunin Klim если сравнить первый и второй рисунок Butunin Klim не обижайся

[Butunin Klim]

Все зависит от денег.

А архитектуры, вот вам три на выбор.

Вложения

[Расширение jpg было запрещено, вложение больше недоступно.]

Вложения

[Расширение jpg было запрещено, вложение больше недоступно.]

Вложения

[Расширение jpg было запрещено, вложение больше недоступно.]

[Butunin Klim]

Денег компания не жалеет если надо потратить 100 долларов - потратим 100... если 40.000 долларов - потратим 40.000... Тут вопрос в иммено в этом "клине" между "Server" и основной сетю. Нужно что бы каждый порт свича был программируемый. Прости за тофтологию но повторюсь еще раз. Нам нужно, если системный администратор изменить ip адрес на сетевой карте на SERVER но этот свич отключал бы его от себя. тоесть каждый отдельный порт Свича должен программироваться на mac или ip адрес указанный нами

[kim-aa]

Ну желательно конечно уточнить марку фаервола.

Но в любом случае, максимальную гарантию и управляемость Вы получите при применении сегментации на коммутаторах третьего уровня.

Вот вам примерная схема (расматиравалась ранее автор sidelong) с VLANS.

Реально оборудования такого класса достаточно много. Хотите Cisco, хотите 3COM, Cabletron, Lusent, Nortel ....

Однако я бы рекомендовал таки Cisco, и не потому что это "круто", а потому что это единственный производитель который удосужился выпустить литературу на Русском.

Вложения

Вложение схема сети2.jpg больше недоступно

[Butunin Klim]

У нас нет специалистов по работе на Cisco, что бы вы порекомендовали по поводу 3сом

А что Вы думаете по поводу Dlink DFL-1600

http://dlink.ru/products/prodview.php?type=18&id=571

[kim-aa]

А что Вы думаете по поводу Dlink DFL-1600 - ничего не думаю. С продукцией данной фирмы я не работаю

(Вобще это как-то не соответствует Вашему высказыванию о 40 000 $)

Цитата:

У нас нет специалистов по работе на Cisco

Тогда Вам следует ориентироваться на подготовленность Ваших специалистов или покупать решения под ключ.

Cisco Я рекомендовал с точки зрения ситуации "когда у Вас нет специалистов, но Вам надо это сделать".

[Butunin Klim]

Не целесообразно нанимать специалиста для настройки одного раза этого маршрутизатора. Можно нанять но это чужой человек будет работать, что опастно.

С 3сом Мы знакомы но как-то не сложились у нас отношения с этой фирмой.

[kim-aa]

Цитата:



Не целесообразно нанимать специалиста для настройки одного раза этого маршрутизатора. Можно нанять но это чужой человек будет работать, что опастно.



Простите, но эта задача не имеет решения. Своих специалистов у Вас нет, пришлым Вы не доверяете.

Исходя из данной логики, аппендицит нужно удалять самому, т.к. операция разовая.

[Butunin Klim]

ну так вот я и спрашиваю какой свич или побочное оборудование может прогаммировать порты свича. все кроме циски