Telefonanlage internes VOIP - Netzwerktrennung VLAN/Phys

[PowerShellAdmin 169]

Guten Morgen,

wir werden bei uns im Office die Telefonanlage austauschen..

Derzeit haben wir ein physikalisches Netz und die Telefone sind klassisch über 2 adrige Leitungen mit der Telefonanlage verbunden.

Die neue Telefonanlage wird auf ein internes VOIP aufbauen  - VOIP Dect Empfänger sowie VOIP Nebenstellen.

 

Zur Problemstellung - wir haben hier ein stark frequentiertes Netzwerk aufgrund unserer Entwickler (Gbit-Lan, ca 15 Mitarbeiter, 70VMs mit diversen Diensten)   => daher neben der Produktion diverse SQL Abfragen, RDPs und Dateitransfers.

Echos, schlechte Sprachqualität oder Verzögerungen möchte ich vornerein umgehen. Die physikalische Verkabelung ansich stellt hier auch kein Problem da.

 

1. 2 Vlans (PC-Lan, Telefon-Lan) einrichten und das TK Vlan priorisieren
2. Die Telefonie in separate Verkabelung ausgliedern und ein zweites physikalisches Netzwerk aufbauen (PC-Lan, Telefon-Lan)

Bei Option 1 oder 2 bekäm die Telefonie ein separates Subnetz.

 

Ich würde die 2. Option bestreben da man hier sämtliche Probleme umgehen sollte. Hier steht aber eine Problemstellung - die zukünftige Telefonanlage wird von Aastra sein und bietet keinen speziellen Managmentport für das physikalische PC-Lan an - Mein Ziel war es die Telefonanlage hierrüber mit dem "PC-Lan" zu verbinden.

Hier habe ich also zwei Option, entweder verwende ich einen Managementclient der via 2. Netzwerkkarte mit dem physikalischen "Telefon-Lan" verbunden wird, alternativ verbinde ich beide physikalischen Netzwerke (hier sollte die topologische Trennung ja den Haupttransfer unterbinden - Ausnahme Broadcasts) und kann so quer zugreifen. Eine falsche Verkabelung der VOIP Nebenstellen kann ich auch unterbinden, in dem ich an der Verbindung auf der "Telefon-Lan" Seite via ACL das Subnetz eingehend auf dem Port unterbinde.

 

Da ich kein Netzwerk/Telefonie- Experte bin, wollte ich mir nochmal euren Rat holen  -  Und da der Einwand gerne kommt, ja ich arbeite hier mit einen externen Dienstleister zusammen, allerdings muss ich hier natürlich auch mein Zubrot leisten :)

bearbeitet 26. Mai 2014 von PowerShellAdmin

[NeMiX 76]

Wie viele Traffic habt Ihr euch auf den Uplinks bzw an den Entwicklerports. Lasten die wirklich die Leitungen komplett aus? Meistens können die Workstations kein Gbit Lan auslasten.

Da würde ich evtl. mal monitoren, bevor Ihr Geld für eine weitere Lan Infrastruktur ausgebt. Wenn Ihr Switchtechnisch sowieso erweitern müsst spricht aber nix gegen Option.

Mir wäre ein Mgmt Client zu aufwändig, ich würde die Switche verbinden (natürlich getrennte Vlans) und dann mit Routing/ACL arbeiten.

[s_sonnen 20]

Hi und guten Morgen.

 

Wir betreiben unsere VoIP-Anlage im gleichen physikalischen Netz, wir haben nur eins. Getrennt sind Daten und "Sprache" durch VLANs, die genutzte Infrastruktur unterscheidet sich nur durch die Bezeichnung der Dose, könnte also auch wechselseitig genutzt werden falls mal irgendwo was fehlt. Verdrahtet ist überall achtpolig und 1:1.

Das Management wird duch Firewallregeln erlaubt oder eingeschränkt, für den "normalen" user ist das VLAN Telefonie nicht zu sehen. Inzwischen sind Switche fast überall PoE-fähig, zumindest in den Gebäuden mit dem höchsten Telefonapparateaufkommen.

Die Netzbelastung durch PC und WS ist bei uns nicht übermäßig hoch, ein, wie von NeMiX vorgeschlagenes, Monitoring dürfte Dir da schon eine belastbare Aussage bringen ob Du tatsächlich aus Netzlastgründen teilen solltest.

 

ciao und einen angenehmen Dienstag

M.

[PowerShellAdmin 169]

Guten Morgen,

@Sonnen dein Vorschlag war die erste Idee, allerdings hieße dass, dass ich hier an der Produktion arbeiten muss und Ausfälle provozieren "kann".

 

 

Sämtliche Workstations bei uns sind mit einem Quadcore & SSD bestückt, eine Auslastung des Gbitlans geht daher clientseitig recht problemlos. Dazu kommen auch so Spielereien wie das wöchentliche Backup (hier werden knapp 3 TB Daten gesichert) usw.

Hier laufen auch so nebenbei  diverse SQL Server, Frontends und ebenso die Produktion. Es geht mir weniger um die Auslastung als um die Anzahl der Zugriffe. Hier wollte ich vorab mögliche Probleme einfach umgehen, da es ansich ja auch "problemlos" geht.

Ob in Vlan oder phyiskalisch getrennte Netzwerke, in beiden Fällen wäre es Port basierend (würden ich auf Mac-Vlan gehen), daher gibt es keine sonderlichen Verkabelungsaufwände (an allen Dosen links dann Telefon, rechts Lan). Hier müsste ich lediglich entsprechend umpatchen.

Von der Umsetzung wäre also eine physikalische Trennung am einfachsten - man muss bedenken dass wir lediglich knapp 20 Arbeitsplätze haben durch zwei Stockwerke verteilt). Die Tärtiere- und Sekundäre -Verkabelung ist ebenfalls entsprechend vorhanden (ja zwischen den Stockwerken sind noch ungenutzte Leitungen) und der Investitionsaufwand wäre entsprechend gering.

Mich stört lediglich die Umsetzung, da die Telefonanlage angeblich keine Managementport konfigurieren kann. (das blöde Ding hat immerhin 3 Lanports..) allerdings nehme ich an, dass es sich dennoch umsetzen lässt.

 

Edit... ich habe mir die Anleitung durchgelesen und gehe doch von aus, dass ich es einfach physikalisch getrennt umsetzen kann.

1. Port der TK geht in das physikalische Telefonlan - (hier nutze ich das Netz 10.1.4.0 )ist darüber erreichbar, den zweiten Lanport packe ich ins PC-Lan und habe auf die TK direkt zugriff (dank Supernetting auch von den Clients auf das Netz und störe gleichzeitig aber nicht die Verbindung). Ich kann zwar die Ports nicht unterschiedlich einrichten, aber wohl über mehrere Ports drauf zugreifen.

Es geht um eine OpenCom X320 (so nebenbei ;) )

bearbeitet 27. Mai 2014 von PowerShellAdmin

[NeMiX 76]

Was passiert den, wenn du einen der 3 Ports der Anlage ins Userlan hängst und eine IP vergibst? Sagt der DL dir was dazu?

[PowerShellAdmin 169]

Was passiert den, wenn du einen der 3 Ports der Anlage ins Userlan hängst und eine IP vergibst? Sagt der DL dir was dazu?

Ich hatte die Info, dass man keine getrenntes IPs konfigurieren kann, allerdings ist das wohl nur die halbe Wahrheit. So wie ich das sehe, kann ich ein Port der TK mit dem Telefon-Lan und den zweiten mit dem PC-Lan verbinden - Die VOIP Geräte wären getrennt und die TK ist aus beiden Netzen erreichbar (auch sinnvoll, falls eine spätere Erweiterung via CTI ).

 

Die Anlage ist ja noch nicht angeschaft ;), ansonsten hätte ich das mal getestet.

bearbeitet 27. Mai 2014 von PowerShellAdmin

[PadawanDeluXe 75]

Hi,

 

ich verstehe dein Problem so: Ich möchte keine Ausfälle/Störungen des TK-Dienstes, deswegen möchte ich meine TK-Anlage ausgliedern.

 

Also mir fällt jetzt folgendes dazu ein: Man kann Traffic auf der DSL Leitung priorisieren. Da VoIP ja ein Echtzeitprotokoll ist benötigst du einen möglichst konstanten Datenstream. Allerdings ist die Bandbreite nicht sehr groß, die dafür benötigt wird. Das sind 85kbit/s. (meines Wissens) Wenn du also in der Firewall die Kommunikation priorisieren kannst wärst du damit schon raus. Wenn du jetzt noch der Kollision im eigenen Netzwerk entgehen möchtest würde ich dir VLAN empfehlen. Ich habe damit bereits bei mehreren Kunden gute Erfahrungen gemacht. Mein absolutes pro Argument dafür ist schlicht die Flexibilität die du damit hast.

 

Wenn du Probleme mit dem Management richte dir einfach eine Regel ein auf der Firewall mit der du auf das Management Interface zugreifen kannst. :-)

[PowerShellAdmin 169]

Hallo Padawan,

prinzipiell ist deine Problemstellung richtig, innerhalb des Intranets möchte ich keine Störung des TK Dienstes. Extern läuft das Ganze noch via Anlagenanschluss (Umstellung Anlagenanschluss auf VOIP ist ein anderes Thema und in einen zweiten Schritt ausgegliedert).

Vlan mit Priorisierung ist sicherlich ein guter Ansatz, aber aus meiner Erfahrung weiß ich auch, dass es einige Aufwände macht. Vor Jahren hatte ich mal ein Netzwerk mit 2 Vlans, diversen ACLs eingerichtet (da mehrere Firmen in einem Netz getrennt werden mussten) - Lief auch alles am Ende sehr gut, allerdings kostete es einige Arbeit und es handelte sich um eine Neu/Ersteinrichtung (wenn ich alleine an die Bugs der Switchfirmwares denke ...)

Die physikalische Trennung spart viel Zeit und erlaubt eine einfachere Produktivstellung. Wenn man routiniert ist, geht es sicherlich viel schneller, aber da ich es in diesem Gebiet nicht bin muss ich praktischer denken ;)

 

Edit: Scheinbar hängen die 3 Lanports an einem Switch und lassen sich nicht  trennen. Mir ist jetzt noch ein weiterer einfacher Kompromiss eingefallen  - ich denke er wurde ja auch angedeutet.

Ich verbinde das Telefon-Lan direkt mit dem einem freien Lan-Port der TK. Zusätzlich verbinde ich das PC-Lan über einen Router und setze dort entsprechende Firewallregeln ( Block: ALL 10.1.1.0;10.1.2.0;10.1.3.0; -> 10.1.4.0  Allow 10.1.1.0;10.1.2.0;10.1.3.0 -> 10.1.4.1:443 [iP TK])

 

 

                  |TK|

                  |    |

                  |    |Router/Firewal|

                  |        |

|Telefon Lan|      PC Lan|

bearbeitet 27. Mai 2014 von PowerShellAdmin