iT邦幫忙

0

UTM、Switch、VLan網路及設備規劃

  • 分享至 

  • xImage

最近要重新規劃我們公司的Infra, 但有關網路及硬體的部分實在不熟,想請問各位該如何規劃呢?
公司規模約40人.

現在的架構大致如下, UTM上面有DMZ及LAN1,其中LAN1是給辦公室同仁或事務機使用的,而我們的Server不管對不對外都是在DMZ區,只是看防火牆有沒有Mapping控制能不能由外部連到. UTM目前還有兩個空的孔可以使用.
https://ithelp.ithome.com.tw/upload/images/20220331/20144645ncrh23xg0H.png

後續會再新購Server, storage及switch,
希望將新舊Server做成Cluster, 並且用新購的Storage作為Share storage,
因為服務都會作為VM移到Cluster上面,希望可以切成會對外的DMZ、內部的Server Farm、以及Server及Storage溝通用的網路.

想請教下圖中紅色的部分該怎麼規劃才能夠達到我們的需求呢?
註: 圖中的NAS單純作為共用槽給同仁們儲存檔案使用。
https://ithelp.ithome.com.tw/upload/images/20220331/20144645LiAp05MoS5.png

目前不了解的部分如下

  1. 扣除同仁用的網段,因為預算的關係,只能買一組10G的Switch,而每個Nodes會需要三個網段,是不是從UTM那邊切DMZ, LAN_A(For server farm), 並都接到新購的Switch, 而Server及Storage溝通用的則是由Switch切Vlan來用呢? 還是從新購的Switch中去切3個Vlan出來使用?
  2. 因為Cluster中的Node都會需要3個網段(DMZ, Server Farm以及Server跟Storage溝通用的網路), 若每個port都需要兩兩做備援那是否Nodes就都需要6個port? 或是甚麼樣的Switch 可以讓同個port使用兩個Vlan嗎?
  3. Nodes中的VM有的會是DMZ,有的會是Server farm, 希望這兩者之間互通的時候是可以被管制的(透過Switch或是UTM), 1的拉法是能做到的嗎?
  4. 虛擬化平台的部分目前考慮使用Proxmox VE, 若每個網段都是獨立的網卡,那麼建立VM時只要選擇對應的網卡即可,那若是可以同個port使用兩個Vlan, 那建立VM時是只要選擇該張網卡後,ip設定為DMZ的或Server Farm的就都可以通了嗎?

目前有在考慮購買的設備如下,網路都走RJ45, 不知道是否能夠達到我們的需求? 也歡迎各位提供建議!

  1. Switch (100k~150k): NETGEAR M4300-24X(XSM4324CS)
  2. Server (300~400k): Dell R750
  3. Storage (300~400k): Dell EMC PowerVault 4024(iSCSi)、Synology 機架式NAS
    廠商建議走NFS, 推薦NetApp(貴)或Synology、QNAP(便宜)的NAS, 作為VM或Container的Storage走iSCSi應該也行? 這價位的話有沒有比較推薦的Storage呢?
ks1217 iT邦研究生 1 級 ‧ 2022-04-01 09:46:45 檢舉
您好!
建議如下
1. 除非你的UTM效能很好, 不然建議前面加一個Core Switch去做內部路由, 內部流量由Core Switch去處理, 對外才到UTM去處理.
2. 你的Cluster架構太複雜, 建議一次到位, 使用超融合系統, 省掉Server跟Storage這部份, 一組10G Switch可以用作Server Lan(HPE5130), 再去串到Core Switch (HPE1950)建議買有10G的Port)
3. Share storage 買Synology就行了, SSD快取加好加滿就足夠了, 如果有10G就更好了.
4. 設備簡單化, 故障點就減少
5. iSCSI ? 他會是VM I/O瓶頸
6. 如果網路線要重新佈線, 建議開始拉Cat6e了. 未來要升級全10G才不會再來一次.
以上供您參考
圖片
  直播研討會
圖片
{{ item.channelVendor }} {{ item.webinarstarted }} |
{{ formatDate(item.duration) }}
直播中

2 個回答

1
mytiny
iT邦超人 1 級 ‧ 2022-03-31 21:05:17

樓主是不是要先想清楚
LAN與DMZ為何要分隔?
如果server那邊用了10G交換器
一般存取資料卻只有1G的通道
會不會不太合理
還有UTM的效能到底撐不撐得住
分隔兩區後,有做防毒防入侵攻擊嗎?

看得出樓主網路不太熟
把規劃預算都放在server上
卻未考慮網路交通
更不要說資安顧慮基本沒有放預算進去
建議您多找幾家專業公司評估
而不是光想採購設備而已

現在建置Infra若是沒有考慮資安
估計後來的麻煩會比建置更多

看更多先前的回應...收起先前的回應...
xiphias iT邦新手 5 級 ‧ 2022-04-08 16:38:15 檢舉

LAN與DMZ為何要分隔,應該主要是因為DMZ是對外開放的,而與LAN隔離,中間透過UTM(或防火牆)來作檢查吧?

因為同仁存取資料目前使用的才100M也沒有甚麼問題,因此一般存取資料1G也是夠了,server這邊10G是考慮Server與Storage之間的溝通以及備份的速度,所以希望網路可以快速一些。

目前是UTM分出LAN1跟DMZ,RAM長期在50%以下,CPU Loading 10%以下,後續若是由此台UTM切出LAN1, LAN_A, DMZ, UTM的負擔應該是增加DMZ->LAN_A的部分?
不過因為這邊架構要怎麼切我也不清楚,因此目前沒辦法判斷現在的UTM是否撐不撐得住...

分隔兩區後座防毒防入侵的部分是指說要在兩段之間加上防火牆嗎?

謝謝您的回覆

mytiny iT邦超人 1 級 ‧ 2022-04-11 19:34:11 檢舉

如果資料都要經過防火牆
且防火牆要開防毒/防入侵/應用程式管理
那麼各段user到server資料防護能量夠了嗎?
DMZ防護能量呢?
所以不要光把預算投某一部分
忘記基礎建設及網路資安也是要顧到喔

xiphias iT邦新手 5 級 ‧ 2022-04-20 17:58:38 檢舉

您好, 資安的部分也有考量, 但實在是不知道該怎麼接, 如果要採購防火牆他應該具備甚麼功能、應該串在甚麼地方呢?

mytiny iT邦超人 1 級 ‧ 2022-04-21 09:20:09 檢舉

先查明既有UTM的規格
一般而言都會有很明確的標示
例如開啟IPS時效能多少
開啟NGFW又是多少
不要只是看防火牆效能
以上處理的資安檢核內容都不同
如果說會有一樣的效能是不太合理的

設備接取網路首重於合理性
10G設備接1G網路口就一定會有瓶頸
網路流量都有方向性
何者該進,何者該出要弄明白
如果覺得太複雜就找專業的SI來協助
主力賣伺服器主機的,不見得熟網路
要是專弄軟體系統的SI,也不見得懂網路資安
實際狀況要多多溝通清楚

0
bluegrass
iT邦高手 1 級 ‧ 2022-04-02 00:07:34

喵的你字真多

以Esxi為例.

你"VM GUEST"上面的網路卡都先分配到"VM HOST"上對應的VLAN上

再把VM HOST上能用的網路口設定成LAG, 在上面TAG 剛剛說 VLAN

但vlan 1 就別用了.

這LAG再接到Layer 2的交換機上, 交換機上的LAG接口改成TRUNK
(TRUNK就是同個物理口上可以跑多個NETWORK/SUBNET的技術)

Layer 2交換機上再接到UTM, UTM的口也是TRUNK, 有LAG更好. 沒的給老子去換個FORTIGATE

UTM上決定網路之間的POLICY和資安就好了

UTM慢你也都得用, 別用Layer 3 Switch當路由

那天資安出問題, 發現你用Layer3當GATEWAY, 第一件事就是先辭退你

我要發表回答

立即登入回答