Mulig Konfiguration af hjemmenet

De kan ikke komme på internettet med de IP-adresser - hvis det er det du mener.
Det er "interne" ip-adresser, der skal oversættes via en router til en
eller flere "rigtige" ip-adresser. De kan heller ikke "købes"

Indledningsvis har du faktisk ikke brug for en klasse C ip adresse. Sikkerhedsmæssigt er det faktisk bedre kun at have en IP adresse, ig så køre NAT (network Adress Translation) på routeren. Med denne løsning ville du kunne bruge et ikke routbart IP adressescope på dit interne net, f.eks. 10.0.0.xxx og så have præsenteret en IP udadtil. Fordelen ved denne løsning er bl.a. at du ikke afsløre dit nets struktur ud mod nettet, og dermed gør det sværre for en hacker at lave ulykker. En anden fordel er at du har fuldstændig kontrol over dit eget net og at det scope du kan arbejde med er meget større.

Du skal selvfølgelig have et antal servere, en domæneserver, afhængig af hvor meget den skal lave kan den også løse andre opgaver. Du bør også købe en server til web server og en server til mailserver.
Du skal have se switch, lad nu være med at købe for få porte, jeg vil anbefale f.eks. en ´Cisco Catalyst 2950.
Du skal have en ordentlig firewall og hvis du vil køre web, mail og FTP ud mod internettet skal det være en firewall med DMZ, skal du også arbejde med remote access, skal der også være VPN, kik på Velociraptor, Cisco Pix eller Friewall One. Hvis du har mod på linux kunne Smoothwall være en løsning.


Spørg endelig hvis du vil vide mere

bufferzone> kan du komme med et forslag på en opbygning!
dvs
internet>NAT>server>salg

sådan at jeg kan se opbygningen.
det skal bruges WWW server, og eventuelt skal der også opsættes en mail server, og intranettet skal selvf sikres.
men igen du må meget gerne kommer med et f.eks tegnet forslag til en opbygning så jeg kan få nogle ideer udfra der.

DE ip-adresser som de enkelte pc'er har , SKAL kunne ses på nettet, jeg ved GODT det er fuldstændigt tåbeligt men, sådan er opgaven formuleret. jeg har dog også allerede indsigelser til denne

jeg har også overvejet om det skal være en filter-firewall eller en f.eks applicationsfirewall. hvilke er at foretrække? fordele/ulemper?

"SKAL kunne ses" -- det er umuligt i praksis. Men det er vel bare en skoleopgave.

ja

ved godt, men sådan er det sku formuleret, vi (min gruppe) har også allerede mange indsigelser til opgaven, men det er jo også meningen at vi skal kunne finde de fejl/umuligheder som en e.g. kommende virksomhed (kunde) ønsker

ARGH!!!
stor retttelse. de enkelte pc'er skal kunne ses på INTRANETTET!! vi har løst forkert. så det er ikke så slemt som først antaget.
men det drejer sig stadig om at fremkomme med en mulig opsætning, til de forklarede afdelinger og hvilket udstyr disse burda have?!

internet - Nat router - firewall - (netkort1)- interne net - Fil, print servere
                                - (netkort2)- DMZ - Web, mail og ftp servere

I stedet for at have en server pr. afdeling, vil jeg foreslå at du opdeler dine servere efter opgave og således har afdelingernes filer liggende på en fil server og så styre drev strukturen med rettigheder i AD. En person i salg kunne således have 3 drev, et personligt drev, salgsafdelingens drev og fællesdrevet.

Adgangen til printere styres også i AD via printserveren osv osv

PÅ denne måde bliver administrationen lettest

Hvis du bor i københavnsområdet og vil se st sådant nerværk i praksis, er du velkommen til at besøge mig på arbejde

nu hjælper det på det:
netkort1?? på en server?

hvordan vil den opstilling se ud grafisk? hvis det er noget som du kan klare

Firewallen har 3 netkort, 1 til internettet, 1 til dit interne net og 1 til DMZ. Det du opnår at at isolerer de såkaldte usikre tjenester (web, mail og ftp) således at en hacker der kommer ind på f.eks. mail serveren ikke også kan komme i kontakt med filserveren og dermed læse firmaets dokumenter

Jeg prøver lige at tegne en skitse som jeg loader op i aften

mange tak
hvis du kan lave en som ville passe til det i firma, som jeg har fået til opgave at lave forslaget til.
behøver du yderligere information, så skriv endelig

se her. Der kan sagtens rettes til

http://www.bufferzone.dk/images/net.gif

hvad så med de forskellige afdelinger?

hvor er de placeret`? på linje med de forskellige servere`?
kan du også tegne dem på`?
hvad ville du anbefale som servere`?
hvis nu det skal være fra dell (helst)
hvad med switche osv?

Her er fidusen. PCerne placeres også i switchen(net), i virkeligheden på samme niveau sem serveren. Opdelingen i afdelinger og de dermed følgende rettigheder sker virutuelt på serveren. Hvis du gør det på denne måde, kan en hver medarbejder logge på en hver pc i organisationer og få adgang til egne ressourcer og rettigheder. Alt styres fra serveren og der tages kun backup af serverne. Den fysiske opdeling har ikke nødvendigvis noget med placeringen af serverne at gøre.

Denne metode er meget mere flexibel, sikker og administrationsvenlig end at lade den fysiske opdeling styre servere og lan

Dell er fint, jeg har selv 3 Dell poweredge 4600.

Antallet og typen af switche afhænger lidt af de fysiske forhold, afstande, bygninger osv osv, men kik på Ciscos modeller, jeg bruger selv catalyst 2950 og en Nortel Baystac Accelar som backbone switch

hvis du også kan lave sådan en skitse, med forslag (benævnelse) på brugt materiale, dvs switche osv. det ville bare være super.
hvad ville du bruge som backup løsning`? tape? RAID?

jeg kan med det samme sige at du får points, så bare rolig hehe

Det kan jeg da godt, men det bliver først i aften, da jeg er på vej hjem fra arbejde

det er bare i orden

Så er tegningen klar på:

http://www.bufferzone.dk/images/net.gif

Følgende materiale kunne indgå:

Som Hovedkrydsfelt på det interne netværk (switch (net)) en Cisco Catalyst 3600. Til dette krydsfelt forbindes servere samt forbindelser til under switche. Antallet af disse under switche afhænger af de fysiske forhold, man da I har 28 PC'er har i brug for mindst 2 24 ports, så er der også plads til printere og udvidelser

Underswitche kunne være to (eller flere) Cisco Catalyst 2950

Forbindelserne mellem hovedkrydsfelt og under switche er lyslederkabler, forbindelser til maskiner og printere er PDS kable Kat 5e.

Serverne kunne være Dell Poweredge 4600 som grundlag, alle servere med Hardware raid kontroller, mindst en redundant strømforsyning, SCSI diske, båndstation, og selvfølgelig en UPS pr. server.
Jeg forestiller mig følgende servere:
1 Domænecontroller, der også virker som printserver og andre små roller. Denne behøver ikke de store diske
1 filserver, store, gode og mange diske
1 mailserver. Denne server skal have muskler og store diske
1 webserver/ftp server.

Som arbejdsstationer kan I sagtens kikke på Dell, man et moderne alternativ kunne komme fra http://www.calmsystems.com/show.asp?lang=da hvis man interessere sig for arbejdsmiljø.

Husk at softwarelicenser godt kan blive en stor post.


Skriv hvis jeg mangler at tage højde for noget

Der mangler lige en catalyst 2950 switch til DMZ. En mindre switch kan gøre det, men med standard produkter er det lettere at administrere, derfor anbefaler jeg brug at samme switch hertil

jeg takker mange gange

noget du gerne lige (også) må svare på:
HVORFOR? have en DMZ? det er som jeg opfatter det et område hvor en evt hacker kan komme ind, hvorfor ikke placere WEB- MAIL-server samme sted som de andre maskiner?
er det sikkert nok at have WEB-serveren placeret hvor den er? hvis det er det, hvorfor så ikke placere de andre maskiner DÉR!!

håber du kan forstå mit spørgsmål.
men jeg kan bare ikke helt forstå hvorfor man ikke placere alle maskiner det mest sikre sted!

du kan vel ikke komme med et bud (link) på hvilken net-switch der skal vælges sisco 3600 kan være man (har jeg da fundet ud af)
også på de andre produkter tak!

rettelse>>kan være MANGE ting (har jeg fundet ud af)

Grunden til at bruge en DMZ løsning er at en hacker bruger svagheder i systemet bag en firewall til at komme ind med. Web, mail og FTP er grundlæggende usikre systemer med mange huller. man skal kunne tilgå alle udefra og gøre ting med dem udefra, derfor giver de en hacker mange muligheder for at komme gennem firewallen. Ved at placere disse i DMZ gør man at en hacker kun kan komme ind til dem, og ikke f.eks. komme ind til filserveren, hvor alle firmaets vigtige dokumenter ligger.

Hvad angor Switch (net) er der mange muligheder, de fleste firmaer laver store hovedkrydsfelt switche, eneste krav må være at de kan håndtere lyskabler, hvori da andre under switche kan forbindes. Du kan bruge mærker som Cisco, Nortel, formentlig ogsp D-link og syslink, netgear osv osv.

Jeg kan godt lide at der er sammenhæng i infrastrukturen og da alle Ciscos switche administreres på samme måde letter det arbejdet kun at holde sig til Cisco (eller et andet mærke)

Kikker på et link senere, Ciscos hjemmeside er meger rodet og ikke let at finde runde i

takker igen, jeg arbejder videre på det i morgen, så kan det være jeg har andre spørgsmål, men indtil videre har det hjulpet meget. tak so far

hvad er funktions beskrivelsen over/til den ROUTER som der er placeret på billedet?

Routerens opgave er at videreroute trafik til internettet. Alle netkort opsættes med en default gateway, som er routerens IP adresse, hvis der forespørges på IP adresser der ikke ligger inden for eget net, vil forespørgslen automatisk blive leveret til routeren, der så videresender den ud på internettet.

Var det det du mente?

ja
så det vil sige at hvis en medarbejders forsøger at kommer på nettet, så finder forespørgsel selv vej til serveren?!

hvis du også lige kan komme med en forklaring til hvorfor domæneserveren er placeret hvor den er !

Ja forespørgslen finder selv vej, inden for nettet sørger almindelig IP forespørgsler og opsætningen i den intilligente switch for at forespørgsler havner det rigtige sted og ikke forstyrre andre segmenter. Forespørges uden for nettets IP scope vil forespørgslen altid blive leveret til default gateway, altså routeren, og den vil se vidre formidle den via DNS ud på internettet. Firewallen holder øje med sammenhængen mellem forespørgsler og svar således at en forespørgsel ikke kan leveres et andet sted end det oprinder fra (for at undgå IP spoofing og session hijacking)

Domæneserveren er placeret hvor den er fordi den indeholder meget væsentlige dele at nettets sikkerhed, den skal ikke tilgås direkte ude fra (hvis den skal det, skal det ske gennem VPN) den kan faktisk ikke sidde andre steder.