Arbeitsumgebung zweier Firmen realisieren

Sunshine

Hallo Liebe Gemeinde,

Als neuer stell ich mich erstmal vor. Ich heiße Marcus und bin 25 Jahre jung :).
Ich hab aber sofort eine anregende Frage an euch.

Umgebung:

Ein Gebäude
Zwei Firmen die sich gut verstehen und das Gebäude zusammen aufgebaut haben.
Zwei DSL-Anschlüsse (aus rechtlichen gründen bekommt jede Firma ein Anschluss)
Je einmal ISDN an den Leitungen

Aufbau und Fragestellung:

Firma 1:
DSL-Router als Modem–---WAN (PPPoE)-----pfSense-----LAN-----Switch
_ ISDN
Firma 2:
DSL-Router als Modem-----WAN (PPPoE)-----pfSense-----LAN-----Switch
_ ISDN

Jedes Netzwerk hat sein Eigenes Modem und sein eigenes Switch.
Die DSL Anschlüsse sowie die ganze Hardware befinden sich im selben Raum daher wollte ich das über einen pfSense PC machen.
ABER...Ist es nun möglich das ganze über EINEN pfSense PC zu realisieren?
Also WAN1 über pfSense zu LAN1 und WAN2 zu LAN2 ohne das die beiden mit einander zu tun haben?

Ich hoffe ihr kommt mit meiner Aussage hier zurecht
Danke
Gruß

ljmarkus

Hallo..

ja das ist kinderleicht würde ich mal sagen.

Aber Achtung: Die beiden Lans dürfen dann nicht im gleichen Subnet sein. zb. Lan1 192.168.100.0/24 und Lan2 192.168.200.0/24

lg, markus

Sunshine

Das ist ja wunderbar.
Also wenn ich Probleme hab würde ich mich bei euch melden.
Danke

JeGr

So ganz trivial kinderleicht, einfach und spielend ist es dann doch nicht. Da sollte man dann auch rechtlich ein zwei Gedanken rein investieren. Denn wenn beide Firmen, egal wie gut sie sich jetzt verstehen, über das gleiche Gateway ins Internet gehen, ist das ein Zugriffspunkt, an dem potentiell die Daten zusammenlaufen "können"! Das kann - je nach Aufgabengebiet der beiden Firmen - durchaus rechtlich nicht unwichtig sein (bspw. für diverse ISO Zertifizierungen, Datenschutz etc. blafasel). Noch dazu kommt, dass eine Mißkonfiguration an diesem Punkt dazu führen kann, dass bspw. Daten aus dem einen Netz in das andere sickern und umgekehrt - auch das kann unschön sein. Schlußendlich könnten Daten den falschen Weg nach draußen nehmen. Da meistens Anschlüsse inzwischen Flat sind, ist das nicht mehr soo wichtig, sofern aber eine Firma später mal bspw. ne Glasanbindung hat und Traffic zahlt kann das nicht unwichtig sein.

Dann kommt letztlich nocht dazu, WER administriert den Kram (auch wegen dem Traffic den man abgreifen könnte) und ein "einfacher PC" sollte das Ding aus offensichtlichen Gründen auch nicht sein, denn wenn für beide Firmen auf einmal das Netz weg bricht, ist das für keinen schön, da sollte die Hardware schon was taugen und nicht einfach nur ein aufgepimpter PC sein.

Das sind mal meine "Senioren" 0,02€ dazu ;)

Müsste ich das umsetzen würde ich folgenden Weg einschlagen (wenn es schon wirklich EIN Gerät sein muss):

Gerät mit mind. 4 (eher 5-6) Netzwerkports anschaffen (mit entsprechendem Service Level)
Switche überprüfen ob VLAN fähig und ggf. neue Switche anschaffen.
Uplink von Switchen zur pfSense Instanz für jede Firma ein eigenes VLAN konfigurieren, jeden der zwei Switche auf eigenem Port auf pfSense
VLAN 10 (bspw.) und VLAN 20 (für 2. Firma) jeweils auf das entsprechende Gateway mappen
klare Regeln und Verträge ggf. Datenschutzerklärungen etc. vereinbaren.

Wenn ichs RICHTIG GUT machen dürfte und beide Anschlüsse nicht größer als 50MBit/s sind:

ZWEI APUs kaufen (bspw.), passt von der Hardware gut.
JEDEM Anschluß EINE APU zuweisen (Port 0) sowie den Switch der Firma (Port 2)
APUs miteinander verbinden (Port 1)
Firmen fragen, ob sie ggf. ihre APU und ihr Internet "teilen" würden
gegenseitig die APUs als zweites WAN defnieren (vereinfacht ausgrdrückt)
Fallback Plan definieren, dass die APU von Firma 2 bspw. Fallback von Firma 1 ist.

Damit erreicht: Im Normalbetrieb geht der Traffic von jedem über seine APU und ist getrennt (mit VLANs, Routing etc.)
Fällt Line 1 oder APU1 aus, wird via Fallback Line auf APU2 dessen Netzverbindung auch für Firma 1 genutzt und umgekehrt. Damit wird nur dann Traffic zwischen den Firmen geroutet wenn deren Internet oder Router/APU ausfällt, ansonsten ists getrennt. Damit hätten auch beide ein Hardwarefallback beim anderen für den Fall eines defektes.

Das ganze würde dann Netzwerk-Plan mäßig wie ein Doppel H hintereinander aussehen ;)

Grüße
Jens