Глупые вопросы про суровую действительность

[LJ]

Итак почему глупые - ну не чуствую я себя настолько знающим чтобы в данной теме рассуждать умно :)

Вопросы - даже не вопросы а жалобы :)

Домашняя сеть и коммутаторы. Без них (комутаторов) нормальной сети не жить. Однако тут в форуме полно размышлений по поводу существующих коммутаторов всех мастей. Я же попробую поразмышлять по поводу идеального для домашних сетей коммутутора.

Итак что прежде всего нужно?

1. Чтобы с одного порта пакет посылался на другой строго определенный.

2. Чтобы было хотя какая-то проверка на подлинность - МАК и ИП.

3. Чтобы можно было менять скорость соединения.

 

Теперь по пунктам.

1. Сейчас для комутации делается проц, прога для вычисления и отслеживания изменений подключившихся, кэш для таблицы соответсвия. Да это необходимо для офисов - поставил комутатор и пошел курить. Но почему нельзя задать простые правила комутации с одного порта на другой? Неужто это потребует больше вычислительных ресурсов чем отслеживания изменений и последующая коммутация? Самое интересное что ведь есть такие коммутаторы в которых и правила задавать можно! Только стоят они... И почему? Потому что кроме вышепревиденного добваляется мощный процессор к ниму пишется операционка которая может делать все и еще правила комутации.

2. Критики ни какой по этому поводу только пожелания. Ведь любой неуправляемый коммутатор имеет и память для соответсвтия МАКи ИП и инструменты для его выделения из пакетов - почему не добавить фильтр на один единственный МАК/ИП (заход от пользователя)

3. Вот уж это хваленный автоматизм распознования скорости, который можно оключить только покопавшись внутри. В домашней сети он явно не нужен.

 

Да и еще по поводу операционки. Мне сказали (дружбаны) - без операционки не сможешь эти правила задавать - телнет нужен или консольное управление. Однако ведь есть же заливка конфигурации прям с компа.

 

Итак получаем что для домашних сетей нужен макисмально упрощенный коммутатор, который и стоить будет дешевле. Вопрос почему никто из производителей их не делает:)

 

 

Итак:

1. Может кто добавит философстования по поводу коммутаторов для домашних сетей?

2. Может кто скажет что такие коммутаторы есть?!!

3. По поводу стостьи о снифинге. IPsec есть в 2000 и ХР по определению а в 98 Ме?

 

Вот пока и все :)

 

P.S.

Если такие мысли и высказывались то к сожалению я не докопался до них в этом форуме.:)

[Sirco]

На счет коммутаторов:

Такие коммутаторы есть - не совсем то что ты описал - ни мака не могут выставить на порт ни про IP адреса они не знают... Но они умеют выставлять скорость на порту и прочие навороты ...

Зайди на

http://www.nag.ru/goodies/foto/

посмотри документацию на микросхемки и там все увидеш...

например

http://www.nag.ru/goodies/foto/switch16/E-...E-line816X.html

...

 

Это я все описывал в предыдущих письмах по поводу внутренностей свичей ...

[LJ]

Уважаемый Sirco.

Помсотрел, почитал, обратил внимание.

Уважаю! Спасибо!

 

Такие коммутаторы есть - не совсем то что ты описал - ни мака не могут выставить на порт ни про IP адреса они не знают... Но они умеют выставлять скорость на порту и прочие навороты ...

С помощью копания во внутренностях можно:

1. выставить скорость порта

2. ?

3. ?

Я не против копания :) Даже очень за. Но хотелось бы иметь девайс который не нужно доделывать :)

Мне интересно:

1. Почему производители в условиях свободного рынка где главное - покупатель не делают такие девайсы, а делают что-то аморфное?

2. Создать портрет нужного устройства. Ведь некоторым нужен VLAN 802.1q если не ошибаюсь, однако это уже другой класс.

3. И кстати прав ли я что простые правила комутации проще чем автоматическая коммутация?

 

P. S.

Да кстати,

наверно 2NAG я не смог посмотреть даташиты по адресу

http://www.nag.ru/goodies/foto/chip/6216M-...-21-May2401.pdf

[Sirco]

Разработщики микросхем учли - и наделали всяких вланов, транков.

А производители не удосужились поставить несколько свичиков - что-бы это все задействовать , я уже писал про какойто свич (вроде 5 портовый был) в котором управление всеми этими фичами

делаеться через светодиодный интерфейс :

ножку свитодиода цепляеш или на землю или на питание - в даташите на микросхему все описано

но производители свича пожалели несколько свичиков и сопротивлений ...

 

Вот такое загнивающий облик западной конкуренции и маркетинга :-)

[Sirco]

На счет простых правил , может ты и прав , может и можно это сделать, только надо лезть в контроллер свича - и это можно делать через порт ЕЕПРОМ - данное описано в документации

http://www.nag.ru/goodies/foto/chip/an003.pdf

таким же методом можно програмировать еепром итд итп ...

[kaa]

Хочу поделиться своим опытом по этому вопросу.

На рынке Ethernet -провайдинга мы работаем сначала 1998 года, причем подавляющее большинство клиентов находится в жилой зоне.

И если в офисных зданиях вопрос что ставить особо не возникал - управляемые коммутаторы с возможностью фиксации МАС на порту ( эти железки здесь окупаются достаточно быстро ), то с жилыми домами вопрос оставался открытым. На самом деле не будешь ведь ставить в каждый подъезд 3ком или Каталист даже с Е-Bay, и довольно накладно, да и ящик большой ставить надо и железки эти при всей своей функциональности не совсем те что нужны для жилого сектора.

В общем, сформулировали свои требования к данному устройству:

1. Предотвращение воровства трафика соседа (основное)

2. Фильтрация гадких протоколов работающих по броткаст

3. Полное исключение снифера

4. Дистанционное отключение клиента (желательно оставив ему возможность захода на билинг для оплаты по карточке :))

5. Полное предотвращение зависаний (встроенный аппаратный сторожевой таймер, "пинговалка" со сбросом при отсутствии пинга, в общем, всякая перестраховка :))

6 . Низкое энергопотребление, возможность дистанционного питания по свободным парам от общего на весь дом ИБП.

7. Высокая ремонтопригодность и низкая стоимость ремонта.

8. Малые габариты (возможность установки в низкоточном отделении щитка).

9. Не высокая стоимость.

 

Пришли мы с этими пожеланиями к нашим давним друзьям (и клиентам:)) компанию "Оберон". Которая работает на рынке автоматизации производства и эксперимента очень и очень давно (можно отметить, что среди ее клиентов практически все алюминиевые гиганты страны).

В общем сделали они нам такую железочку!

Сейчас весь жилой сектор у нас работает через их коммутаторы, нареканий нет.

В общем рекомендую!

http://www.akadem.ru/switch/switch.html

 

PS. Можно рассматривать на правах рекламы, хотя еще раз повторюсь - я в компании Оберон не работаю :))

[LJ]

В общем, сформулировали свои требования к данному устройству:

1. Предотвращение воровства трафика соседа (основное)

2. Фильтрация гадких протоколов работающих по броткаст

3. Полное исключение снифера

4. Дистанционное отключение клиента (желательно оставив ему возможность захода на билинг для оплаты по карточке :))

5. Полное предотвращение зависаний (встроенный аппаратный сторожевой таймер, "пинговалка" со сбросом при отсутствии пинга, в общем, всякая перестраховка :))

6 . Низкое энергопотребление, возможность дистанционного питания по свободным парам от общего на весь дом ИБП.

7. Высокая ремонтопригодность и низкая стоимость ремонта.

8. Малые габариты (возможность установки в низкоточном отделении щитка).

9. Не высокая стоимость.

В общем сделали они нам такую железочку!

 

 

Итак примерно цену?

И по порядку :)

1. Напрямую связан со 2 и 3.

2. про это ничего нет в опимании, сделано?

3. А АРП?

4. нет вопросов

5. "пинговалка" со сбросом при отсутствии пинга?

6. нет вопросов

7 - 9 нет вопросов :)

[ЛОНГер]

не заставляйте меня плакать -- скажите цену!

и, может, посмеемся вместе.......

[Nag]

Цена и описание этой штуки проходила по обзорам. :-)

180 баксов, если память не изменяет.

 

Только один момент, на который хочу обратить внимание...

Считаю неправильным размещение "устройства на подъезд". Логичнее и технологичнее "устройство на дом".

Обоснование - см. http://nag.ru/goodies/book/ch6-5.html

[LJ]

Цена и описание этой штуки проходила по обзорам. :-)

180 баксов, если память не изменяет.

Нда цена просто "очень маленькая"

8 портов - 180 баксов.

Сейчас нашел Lantech GF A2402M на 24 порта и вроде с большей функциональностью (кроме таймера наверное) на 24 порта на украине стоит 280$

[kaa]

Итак примерно цену?

И по порядку :)

1. Напрямую связан со 2 и 3.

2. про это ничего нет в опимании, сделано?

3. А АРП?

4. нет вопросов

5. "пинговалка" со сбросом при отсутствии пинга?

6. нет вопросов

7 - 9 нет вопросов :)

 

Цена за восемь портов 150$ (без корпуса)

 

1. Не совсем. Имелось ввиду исключить возможность подмены IP (MAC) на соседский и потребление траффика за его счет.

2. Конечно, фильтруется все кроме стека IP, все остальное ходит поверх. Есть возможность запрета IP-броткастов от клиентских портов.

3. ARP- запрос имеет вполне конкретный IP-адрес получателя, ARP - ответ еще и отправителя, МАС-адреса коммутатором вообще не расматриваются. Так что снифер исключен.

5. Коммутатор несколько раз пингует заданный узел через заданное время и при отсутствии ответа перегружается. Предусмотрено и обратное - перезагрузка при отсутствии пингов с заданных узлов в течении заданного времени. Кроме того, возможна удаленная перезагрузка, и, естественно, автоматический перезапуск при зависании.

 

 

Только один момент, на который хочу обратить внимание...

Считаю неправильным размещение "устройства на подъезд". Логичнее и технологичнее "устройство на дом".

Обоснование - см. http://nag.ru/goodies/book/ch6-5.html

 

Согласен, что удобней обслуживать устройства расположенные в одном месте (так и делали пять лет назад), но сейчас пришли к схеме:

Два комутатора Оберон в каждом подъезде (3 и 7 этажи) включенные каскадом, один неуправляемый D-Link на дом, объеденяющий подъезды с выходом на магистраль 100 мБ. Все это не противоречит Вашей книге - большое количество клиентов на подъезд (в некоторых подъездах не хватает и двух коммутаторов), практически все жилые здания многоподьездные (читай очень длинные), узкие слаботочные каналы, к тому же частично занятые телефонными кабелями (3 десятипарника) и ТВ- фидером.

Дистанционное питание делает возможным подключение к питающей сети в одном месте, с использованием одного ИБП (мы используем источник производимый также Обероном).

[kaa]

Цена и описание этой штуки проходила по обзорам. :-)

180 баксов, если память не изменяет.

Нда цена просто "очень маленькая"

8 портов - 180 баксов.

Сейчас нашел Lantech GF A2402M на 24 порта и вроде с большей функциональностью (кроме таймера наверное) на 24 порта на украине стоит 280$

 

8 портов - 150$

 

Судя по описанию на сервере Lantech, GF A2402M это продолжение линейки GF A24GE2M цена которого в России не менее 730 $.

GF A2402M в России не нашел. На той же Украине видел в одной фирме по цене 1594$ :)

Подозреваю 280 $ это цена модуля к этому коммутатору :)

[LJ]

1. Не совсем. Имелось ввиду исключить возможность подмены IP (MAC) на соседский и потребление траффика за его счет.

2. Конечно, фильтруется все кроме стека IP, все остальное ходит поверх. Есть возможность запрета IP-броткастов от клиентских портов.

3. ARP- запрос имеет вполне конкретный IP-адрес получателя, ARP - ответ еще и отправителя, МАС-адреса коммутатором вообще не расматриваются. Так что снифер исключен.

Мне непонятно следующее:

1. Оберон справляется с привязкой IP/МAC к порту?

2. Запрета IP-броткастов от клиента. это значит выделение IP стэка? Это получается 3 урвень?

3. В последнем обзоре Нага утверждается что комутатор с port security

не препятствует ARP-spofing.

Вывод (на недостаточных пока основнаиях) - 1 условие не выолнено.:(

 

 

Судя по описанию на сервере Lantech, GF A2402M это продолжение линейки GF A24GE2M цена которого в России не менее 730 $.

GF A2402M в России не нашел. На той же Украине видел в одной фирме по цене 1594$ :)

Подозреваю 280 $ это цена модуля к этому коммутатору :)

1594 - это по моему гривны :)

http://hard.ukrinfo.com/?shop=1&group=229&...=24940&id=52466

[kaa]

 

Мне непонятно следующее:

1. Оберон справляется с привязкой IP/МAC к порту?

2. Запрета IP-броткастов от клиента. это значит выделение IP стэка? Это получается 3 урвень?

3. В последнем обзоре Нага утверждается что комутатор с port security

не препятствует ARP-spofing.

Вывод (на недостаточных пока основнаиях) - 1 условие не выолнено.:(

 

 

1. На МАС он вообще не смотрит, коммутация происходит на уровне IP.

2. Да

3. Коммутатору L3 ARP-spofing не страшен

[LJ]

1. На МАС он вообще не смотрит, коммутация происходит на уровне IP.

2. Да

3. Коммутатору L3 ARP-spofing не страшен

Извини действительно пропустил про L3 :(

 

Однако 20$ на порт может и номально для L3, но для сети дороговато.

Меня интересовали

1. именно простые коммутаторы у которых бы были те возможности которые в них нашел Sirco.

2. Создать общими усилиями картину, схему идеального коммутатора и вдруг(или не вдруг) кто-нибудь из производителей решится :))

 

P.S.

2NAG или лучше создать отдельную ветку?

[Nag]

Честно говоря, уверен что производители не пойдут на поводу "наших" домашнихх сетей. Объем рынка, откровенно говоря, смешной.

А насчет идеальности... Есть хорошая поговорка.

Мы умеем быстро, дешево и качественно. Выбирайте любые два пункта. ;-)

Быстро и дешево - Суреком за 50 баксов.

Дешево и качественно - Оберон, старый каталист, триком

Быстро и качественно - МРВ, Каталист, и т.п.

:-)))

 

Я к чему... Давайте ограничиваться разумными на сегодня требованиями.

Например, определимся, что для клиентского порта максимум на сегодня - 10 баксов. Не больше... Тогда "в кругу" остаются Сурекомы, да еще 3ком 1100 с аналогами. Но при этом надо забыть про IP, и не ходить дальше МАК-адреса. Это на мой взгляд вполне логично.

Если сеть не может жить без IP на порту - извиняйте, надо поднимать планку до 20 баксов за порт в лучшем случае Оберона (и до 30 в случае чего-то приличного).

Ну а если хочется все круто - это к сиске или МРВ... Только про это писать не буду из-за малой актуальности.

[kaa]

1. На МАС он вообще не смотрит, коммутация происходит на уровне IP.

2. Да

3. Коммутатору L3 ARP-spofing не страшен

Извини действительно пропустил про L3 :(

 

Однако 20$ на порт может и номально для L3, но для сети дороговато.

Меня интересовали

1. именно простые коммутаторы у которых бы были те возможности которые в них нашел Sirco.

2. Создать общими усилиями картину, схему идеального коммутатора и вдруг(или не вдруг) кто-нибудь из производителей решится :))

 

P.S.

2NAG или лучше создать отдельную ветку?

 

Для любительской сети может и дороговато, но там достаточно и сурка :)

В коммерческой сети клиент готов платить за подключения сумму, превышающую 600 руб, если нет то такой клиент и не нужен, как показывает практика :))

Уважаемый мною Sirco нашел пока только как у дешевых свитчей переключать 10/100 (Sirco поправь, если я ошибаюсь), что практически ничего не решает.

Для красивого и комплексного решения всех проблем юзерского порта

нужен именно коммутатор L3, можно подождать пока подешевеют монстры от Киски или от Бая (на сегодняшний день стоимость порта колеблется около 200$ :)) , или китайцы все таки обратят внимание на потребности "нашего" рынка (только им надо будет объяснить зачем все эти навороты в "бюджетных свитчах для малого офиса"), а можно поставить Оберон и уже сегодня зарабатывать деньги, благо он окупается двумя клиентами уже в момент их подключения :)

[kaa]

1. На МАС он вообще не смотрит, коммутация происходит на уровне IP.

2. Да

3. Коммутатору L3 ARP-spofing не страшен

Извини действительно пропустил про L3 :(

 

Однако 20$ на порт может и номально для L3, но для сети дороговато.

Меня интересовали

1. именно простые коммутаторы у которых бы были те возможности которые в них нашел Sirco.

2. Создать общими усилиями картину, схему идеального коммутатора и вдруг(или не вдруг) кто-нибудь из производителей решится :))

 

P.S.

2NAG или лучше создать отдельную ветку?

 

Для любительской сети может и дороговато, но там достаточно и сурка :)

В коммерческой сети клиент готов платить за подключения сумму, превышающую 600 руб, если нет то такой клиент и не нужен, как показывает практика :))

Уважаемый мною Sirco нашел пока только как у дешевых свитчей переключать 10/100 (Sirco поправь, если я ошибаюсь), что практически ничего не решает.

Для красивого и комплексного решения всех проблем юзерского порта

нужен именно коммутатор L3, можно подождать пока подешевеют монстры от Киски или от Бая (на сегодняшний день стоимость порта колеблется около 200$ :)) , или китайцы все таки обратят внимание на потребности "нашего" рынка (только им надо будет объяснить зачем все эти навороты в "бюджетных свитчах для малого офиса"), а можно поставить Оберон и уже сегодня зарабатывать деньги, благо он окупается двумя клиентами уже в момент их подключения :)

[Nag]

Все бы ничего.

Но объясните мне, зачем нужен имено L3?

Для домашнего клиента - только лишний наворот...

[kaa]

Самому клиенту все равно :)

А вот провайдеру управлять такой сетью одно удовольствие :)

не надо поддерживать статическую таблицу ARP на маршрутизаторах (и постоянно корректировать ее, если вдруг клиенту захочется поменять карточку или подключить ноутбук, принесенный с работы на выходные), можно честно говорить клиенту что его сосед не видит по каким серверам он ходит или о чем он переписывается по почте :), можно фильтровать все гадкие протоколы которые работают по МАС броткастам (NetBIOS установленный не поверх IP хотя бы на десяти машинах, забивает IP подсеть, так что работать противно, и ни какой МАС коммутатор от этого не спасет, он просто в этом случае превращается в хаб) ну и все вкусности, о которых я писал выше.

 

Вообще-то Оберон сначала планировался как MAC-коммутатор с возможностью привязки МАС- адресов к портам и управлением по IP, но в процессе разработки тех. задания выяснилось, что переход на коммутацию по IP-адресам не увеличит стоимость изделия, но при этом позволит намного упростить управление сетью и значительно повысит безопасность в сети.

 

Павел, почему у меня "quote" не работает, что я не так пишу?

[Nag]

Ну, без статической АРП-таблицы удобнее конечно. Хотя если есть фиксация МАСа на порту - по большому счету никто трафик воровать не будет и без жесткой фиксации, ибо попадется ну очень быстро. :-)

Остальное, в общем, не так существенно, если за сетью присматривают. ;-)

Вроде работает

[Sirco]

Я уже давно прицениваюсь , в принципе и для того сделали внутренности свичей .

Если не цепляться к макам - то вполне достаточно поставить какойто 5 - 8- 16 портовый свич и шить ЕЕПРОМ.

 

Если все таки хочеться МАК то тут выбор довольно маленький - надо свич на уровне

3СОМ1000 3СОМ1100 стоимость порта (24портовогосвича) в которых меньше 10 баксов за порт .

Только тут вопрос - что данные свичи интересно ставить в сетях с большой насыченностью аббонентов - если его ставить в сетях с малой плотностью - то выходит что стоимость порта увеличиваеться до 20-30 баксов , правда в данной ситуации выходит резерв по портам но это мало кого обрадует ...

[kaa]

Ну, без статической АРП-таблицы удобнее конечно. Хотя если есть фиксация МАСа на порту - по большому счету никто трафик воровать не будет и без жесткой фиксации, ибо попадется ну очень быстро. :-)

Остальное, в общем, не так существенно, если за сетью присматривают. ;-)

 

Лучше сделать так чтоб украсть было невозможно, чем ловить за руку пионера, возамнившего себя крутым хакером, доказывать его родителям (которым еще надо долго объяснять про МАС и IP), что это он украл, извиняться перед клиентом у которого украли ( при этом у него зараждаются сомнения по поводу надежности защиты от воровства) и т.д., нервы дороже...

Павел, держать (круглосуточно) человека, чтобы он тупо ждал сигнала на подмену IP или вылавливал всяких сниферов ...

Службе поддержки и так есть чем заняться, без работы сидят редко :)

А админу я более квалифицированную работу найду :)

[zoro]

Хочу поделиться своим опытом по этому вопросу.

................... В общем сделали они нам такую железочку!

Сейчас весь жилой сектор у нас работает через их коммутаторы, нареканий нет.

В общем рекомендую!

http://www.akadem.ru/switch/switch.html

хорошая штучка по описанию ток 3 вопроса возникло :)

1рвый.. корпус :) он присутствует там или нет? на фотках он как плата отдельная представлен..

2рой... карточки .... ты тоже сам должен ставить их? по изображению там вроде все они на 8029 чипсете сделаны... и моно туда запихать 8139 хотябы один а то на магистраль 10 это извращение...

3тий питание говорят что там импульсное.... там вообщето кренка стоит как я вижу и даже диодного моста не видно... а просто диод от переплюсовки стоит.... :) и предохранительююю так что о 36 вольт переменки мечтать неприходиться..

[zoro]

Хочу поделиться своим опытом по этому вопросу.

................... В общем сделали они нам такую железочку!

Сейчас весь жилой сектор у нас работает через их коммутаторы, нареканий нет.

В общем рекомендую!

http://www.akadem.ru/switch/switch.html

хорошая штучка по описанию ток 3 вопроса возникло :)

1рвый.. корпус :) он присутствует там или нет? на фотках он как плата отдельная представлен..

2рой... карточки .... ты тоже сам должен ставить их? по изображению там вроде все они на 8029 чипсете сделаны... и моно туда запихать 8139 хотябы один а то на магистраль 10 это извращение...

3тий питание говорят что там импульсное.... там вообщето кренка стоит как я вижу и даже диодного моста не видно... а просто диод от переплюсовки стоит.... :) и предохранительююю так что о 36 вольт переменки мечтать неприходиться..