Gasten in het netwerk van locatie West
Op locatie West van een middelbare school staan alle apparaten in één netwerk: 192.168.10.0/24. Er zijn 88 leerlinglaptops, 24 docentlaptops, 8 netwerkprinters en beamers, en gemiddeld 30 gasten per dag die met het gastennetwerk verbinden. De DHCP-server deelt adressen uit van 192.168.10.100 tot en met 192.168.10.254. Vorige week zaten er op dinsdag 165 apparaten in het netwerk en werkten sommige laptops niet meer omdat de pool leeg was. Ook had een docent zijn eigen server een vast adres in de DHCP-range gegeven, waarna twee leerlingen een IP-conflict kregen. Behalve dat konden gasten via het netwerk bij de fileserver met de cijferbestanden. De systeembeheerder wil daarom vier VLAN's: leerlingen, docenten, randapparatuur en gasten. De printers en beamers moeten bereikbaar blijven voor docenten en leerlingen, maar niet voor gasten. In het gebouw hangen de access points op één switch die VLAN's ondersteunt. Er is geen extra geld voor nieuwe apparatuur.
1. Maak een subnetplan voor 192.168.10.0/24. Geef per VLAN het netwerkadres in CIDR-notatie en het aantal bruikbare adressen, en leg uit waarom je de printers en beamers niet in het gasten-VLAN zet.
Read the worked answer
Eerst de omvang: een /24 heeft 254 bruikbare adressen en er zijn 88 + 24 + 8 + 30 = 150 apparaten. Het tekort komt dus niet door de grootte van het netwerk, maar door de DHCP-pool van 155 adressen en door het ontbreken van scheiding.
- VLAN 10 Leerlingen – 192.168.10.0/25 → 126 bruikbaar (88 nodig, 38 over voor pieken)
- VLAN 20 Docenten + randapparatuur – 192.168.10.128/26 → 62 bruikbaar (24 + 8 = 32 nodig)
- VLAN 40 Gasten – 192.168.10.192/26 → 62 bruikbaar (30 nodig, dus ruimte voor een drukke dag)
Samen vullen die precies het /24. De printers horen bij VLAN 20: ze moeten door docenten én leerlingen gebruikt worden. Zet je ze bij de gasten, dan moet je ze met een firewallregel openzetten en staat daarmee ook de weg naar de rest van het gastnetwerk open. Zo blijft de regel simpel: gasten mogen alleen naar internet, niet naar interne adressen. Nadeel van deze indeling is dat printers en docenten één broadcastdomein delen, wat bij veel printverkeer extra ruis geeft. Een eigen /27 voor randapparatuur is netter, maar dan wordt het gastnetwerk krap of heb je meer dan vier VLAN's nodig.
2. De lege DHCP-pool en de IP-conflicten lossen niet vanzelf op door alleen VLAN's te maken. Leg uit welke DHCP-instellingen je per VLAN moet aanpassen.
Read the worked answer
Per VLAN is een eigen scope nodig met een bereik binnen dat subnet, bijvoorbeeld leerlingen 192.168.10.10–192.168.10.120 en docenten 192.168.10.130–192.168.10.180. Vaste adressen van servers en printers zet je buiten de pool of je maakt er een reservation op het MAC-adres van. De docent die een vrij adres binnen de pool koos, veroorzaakt nu eenmaal een conflict zodra DHCP datzelfde adres uitgeeft; dat is met een reservering of een exclusion-range op te lossen.
Verder: de DHCP-server staat in één VLAN, terwijl een DHCP-verzoek een broadcast is die binnen het eigen VLAN blijft. Op de router moet dus per VLAN een DHCP-relay (ip helper) staan die de aanvraag doorstuurt. Voor gasten stel je een korte leasetijd in, bijvoorbeeld twee uur, zodat dertig gasten niet de hele dag adressen bezet houden. Tot slot controleer je per scope of de pool groot genoeg is voor de piek van dinsdag (165 apparaten); anders herhaal je het probleem alleen in een kleiner subnet.
3. Gasten konden bij de fileserver met cijferbestanden. Leg uit waarom een firewallregel op de router dit niet oplost zolang alles in één netwerk zit, en welke twee maatregelen je wel neemt.
Read the worked answer
In één netwerk is er één broadcastdomein en zitten alle apparaten in hetzelfde subnet. Verkeer tussen twee hosts in hetzelfde subnet gaat via de switch en niet via de router; een firewallregel op de router ziet dat verkeer dus nooit. De regel die je wilt ('gasten niet naar de fileserver') heeft geen plek om uitgevoerd te worden.
Maatregel 1: een eigen VLAN voor gasten met een eigen subnet, zodat hun verkeer naar de andere subnetten per definitie via de router moet. Daar zet je een ACL of firewallregel die alles van en naar de interne netten blokkeert en alleen internet toestaat. Maatregel 2: client isolation (AP-isolatie) op het gastnetwerk, zodat gasten ook elkaar niet kunnen bereiken; anders kan een gast een nep-access point opzetten of meekijken bij een andere gast. Gebruik daarnaast een apart gast-SSID met een captive portal, zodat je de regel ook echt op het juiste netwerk toepast en niet per ongeluk op het docentnetwerk.