Mikrotik Routerboard preporuka za firmu od 250 zaposlenih

Pozdrav svima.
Imao bih pitanje u vezi sa izborom Routerboard-a, koji kupiti kao što naslov kaže za firmu od 250 ljudi, da sav saobraćaj ide preko njega.
Ukratko mreža je sastavljena od sledećeg:
Prvo sve je u jednom opsegu 192.168.1.0/24, telekomov ruter za optiku deli internet.
Ima 2 sviča na tol lokaciji, i nekoliko svičeva na lokaciji 2 koja je takođe optikom povezana, i sve veze između svičeva su optikom povezane.
U mreži ima oko 90 računara, 70 kamera, 30 mašina sa računarom, oko 30 štampača, 5 wifi rutera.
Dolazi sada do problema, sve je skoro popunjeno, na računarima, mašinama i štampačima adrese fiksne. Wifi preko DHCP, ali je malo to oadresa što je ostalo pa se često ne može povezati.
U mreži ima i 2 NAS servera za smeštanje podataka i jedan Windows server na kojem je smešten program firme.
Moje pitanje je koji RB uzeti da može to da podrži i da nije procesor stalno na 100%
Ništa nisam ni pokušavao ubaciti, jer davno sam čačkao sa Mikrotikom, pa ne znam više ni koliko je napredovalo to sve.

Zahvalan na svakoj preporuci.

Ako si uspeo da sve ovo lepo i glatko radi i fali samo adresni prostor - ne bacaj pare! OK, firma placa, taj deo razumem .... ;-) Jednostavno prosiri opseg na /16 i ako ne bude dovoljno ( ? )
moraces ga fiknes na 10.* opseg.

Potpis

U padu jednog carstva stradaju svi, tako je uvek bilo, tako će biti i sada. Verovatno će posle svega ovoga
biti formirani neki novi blokovi, nova uređenja. A mi? Eh, a mi..

Koliko kapiram njemu je problem sto su procesori na 100%? Ako mogu da odrade i sa 100%... ja ne vidim problem :P

Mikrotik je ruter, ne security device - tebi ce da radi DHCP i rutiranje.... Nista bitno. U sustini, nece ti CPU ici do 100% zbog DHCP-a, a protok zavisi od kapaciteta linka.

DHCP povecaj na /23 ili /22 - nemoj na /16 :). Nema svrhe. Bolji scenario je da podelis n VLAN-ove, pa dao onda svaki VLAN ima svoj VLAN... tipa bar kamere u odvojen? Ali to mi deluje da ti je komplikovano.

Potpis

Please do not feed the Trolls!

Blasphemy? How can I blaspheme? I'm a god!'

Kakav /16, šta vam je?

Ako baš mora, onda se ide na /23 i onda bi ti opseg ip adresa bio 192.168.0.0 - 192.168.1.254.

Takođe, ako vam Telekom održava tu opremu, odnosno njihov ruter, a tvoji svičevi podržavaju vlan, kontaktirati njih i videti sa njima da li na LAN strani mogu da odrade par VLAN-ova ili makar još jedan za wireless, pa bi tako vlanovima razdvojio mobilne telefone zaposlenih koji bi onda imali svoj /24 opseg za ip adrese. Takođe, sigurnosne kamere su idealne da čuče u sopstvenom vlanu i adresnom prostoru radi lakše kontrole ko može da im priđe...

Što se odgovora na pitanje tiče, nisi rekao koja je brzina Interneta u pitanju, jer od toga najviše zavisi, ali lično ne bih išao ispod hEX S, ali je svakako preporuka ako se ima budžet da se ide na RB4011iGS+RM, jer je ovo životinja u tom cenovnom rangu.

Potpis

... Vladimir Vučićević aka. Bachi
~~~ www.bachi.in.rs <<<<>>>> [email protected]
>>> It's nice to be important, but it's more important to be nice...

Prvo telekomovi ruteri su jako limitirani sa memorijom. Kada se radi NAT postoji konekciona tabla koja pamti sve konekcije koje se NAT-uju. Kad se prepuni onda ne može da se otvori nova konekcija. Stiče se utisak da je net jako spor i razni drugi čudni siptomi. WIN10 mašine u proseku otvore 30 koneckija sto TCP što UDP.

Toliko velika mrežu prvo treba da se segmentira. Za to ti je dovoljan RB2011 (ima i verzija sa WiFi na sebi) ima 5 Gigabitnih i 5 Fast Ethernet portova+ jedna za optiku. Valjao li bi ubaciti neki upravljiv switch da se udaljena lokacija segmntira i propusti kroz trunk. Obavezno da Mikrotik pravi ppp-oe konekciju, a da se Telekomov ruter prebaci u bridge. Ako se to ne uradi džabe Mikrotik i sve ostalo.

Koliko sam ja razumeo tandrkalo1, a mogao bi dodatno da pojasni, on nema nikakvih problema u radu, osim što mu fali IP adresa za sve uređaje.

Potpis

... Vladimir Vučićević aka. Bachi
~~~ www.bachi.in.rs <<<<>>>> [email protected]
>>> It's nice to be important, but it's more important to be nice...

@tandrkalo1 neko ti je tu mrezu u pocetku standrkao :)
Ovaj model ce ti raditi besprekorno, cak iako nekad odlucis nesto naprednije od logike da koristis sem NAT a i DHCP a
https://mikrotik.com/product/RB750Gr3
Ali po tvom opisu mislim da bi ti vise trebao da se pozabavis switch ing infrastrukturom, jer u toj mrezi brodcast divlja vjerovatno...svakom servisu dodaj poseban VLAN, samim tim i mrezu...sve to zavrsis na tom MT u i to ce da radi super...tj mora da radi!

Potpis

Šaka

Evo moje iskustvo:

Zbog Covida sam poceo da radim od kuce, i zakljucio da mi je potreban stabilniji interet za posao.

Originalno zam bio zadovoljam sa DSL 50/10 Mb, koji je lepo radio na CRS125 ruteru. Novi internet je 300 / 20 Mb, i procesor je 100% pri punom downloadu - cak povremeno nije ni uspevao da postigne punu brzinu.

Prebacio sam taj internet na RB4011, koji pri punoj brzini ne predje 2% opterecenja.


Nadam se da ovo moze da ti pomogne u odluci - pogledaj karaktreristike ovih rutera pa nadji neki sa parametrima koji tebi odgovaraju.

Za jednu firmu $200 ne bi trebalo da bude problem.


Sa druge strane, toliki broj opreme na jednom opsegu je nesreca koje samo ceka da se desi. Dovoljno je da neko doda mali switch, poveze dva porta direktno, i srusi celu mrezu.
Ne bih voleo da budem na mestu onoga ko treba de resi problem za vreme radnog vremena ...


Kod mene u kucnom okruzenju imam 4 vLAN-a - jedan za kamere, drugi za automatiku, treci za streaming uredjaje, i cetvrti za kompjutere.
U slucaju da mi se desi neki problem, mogu sa lakocom da odvojim deo mreze koji pravi problem - ostali uredjaji ce raditi OK dok ne resim problem.

Potpis

http://www.itwizard.ca

@eki_yu

Dovoljno je da na switch evima ima BPDU guard i da to ne moze da se desi :) tako da u njegovom slucaju se treba pozabaviti switch ing infrastrukturom.

Potpis

Šaka

Naravno, kod mene na poslu je neko rotirao kablove ili šta je već radio, i mi se ubili od traženja problema, genije priključio na ruter drugi kraj već priključenog LAN kabla, a koji je ostavljen za one koji žele da priključe laptop na LAN umesto da koriste WiFi...

Potpis

Blessed are those who can laugh at themselves, for they shall never cease to be amused.

Zbog tavkih i slicnih stvari su i napravljeni mehanizmi kao sto su PortSecurity, DHCP Snooping, Source Guard, BPDU guard, Dinamic ARP Inspection, Storm Control...Ljudi malo izgube kompletnu sliku i pokusavaju da rijese probleme koji se desavaju na L2 nivou OSI modela (switc) sa ruterom koji bi trebao da rijesi probleme na L3 (ruter) nivou.

Potpis

Šaka

Da, samo što treba znati namestiti gore navedeno, a nije da se ne može načiniti greška i postići isti efekat kao onaj koji bi trebalo da se zaustavi. :D

Jedna od najboljih prevencija je ona fizička, a to je da kabl ide direktno od centralnog sviča koji je zaključan, pa do utičnice u zidu. I da što manje ima aktivne mrežne opreme i nikako ne dozvoliti da stoje mini svičevi ispod nogu korisnika jer ko će da razvlači novi kabl kad dođe novi korisnik. :)

Ovo poslednje i sam mučim muku, ali sad na novoj lokaciji radim upravo onako, od centralne sobe do utičnica, pa nek je 150 kablova.

Potpis

... Vladimir Vučićević aka. Bachi
~~~ www.bachi.in.rs <<<<>>>> [email protected]
>>> It's nice to be important, but it's more important to be nice...

@bachi

Ovo bi trebalo da je pod obavezno u bilo kojoj ozbiljnijoj organizaciji...sve ostalo je "paukova mreza" :)

Opet nije prevencija, jer ako imas a imaces u nekoj od prostorija vise izlaznih mjesta koja su slobodna...i zavrsavaju na switch-u npr...i sta sprecava nekoga da ti prepecha kabal iz uticnice u uticnicu i opet napravi loop?

Potpis

Šaka

Sreća. :) 17 godina nisam imao loop, a do skoro sam furao samo piglu svičeve. :D

Sve razumem kako treba i kako je pravilno, ali budžet boga ne moli.

Potpis

... Vladimir Vučićević aka. Bachi
~~~ www.bachi.in.rs <<<<>>>> [email protected]
>>> It's nice to be important, but it's more important to be nice...

Skidanje sa plate kao disciplinska mera, na primer ;-) Sabotiranje firmine mreže je ozbiljan disciplinski prestup, ako se ne zna ko je uradio rebneš kaznu svima, pa da vidiš kako će obraćati pažnju ko se smuca naokolo sa peč kablovima i dojavljivati čim vide sumnjivu aktivnost ;-)

@valjan
Jos bolja je opcija kad PortSecurity obori port i onda znas u kojoj kancelariji da smanjujes platu :)

Potpis

Šaka

@dragansar

Ipak je ovo zavidno-inatna Srbija, "da komšiji crkne mreža", možda koleze iz susedne kancelarije imaju neraščišćene račune pa naprave diverziju sa peč kablom kada je komšijska kancelarija prazna ;-)

Preventivno svima naplatiti kaznu unapred i od tih para kupiti potreban hardver ... Ne zaboraviti nesto ozbiljnije za 'vatreni zid' - racunaj da bar 50 sluzbenika radi od kuce / bar 5 sefica nadgleda kamerama sta se radi u firmi dok se opijaju po kafanama ...

Potpis

U padu jednog carstva stradaju svi, tako je uvek bilo, tako će biti i sada. Verovatno će posle svega ovoga
biti formirani neki novi blokovi, nova uređenja. A mi? Eh, a mi..

Nisam bio tu par dana, sada videh da tema ima baš dosta odgovora.
Problem je samo taj što je mali broj adresa.
Da li je dovoljno da opseg podesim /23?
Nemam problema sa procesorom na 100%, bar mislim da nema, net je 100/50. Brzina je skroz ok, i sve to funkcioniše...
Mislio sam staviti Mikrotik,jer bih tako mogao dodati i neko ograničenje brzine, problem mi je kada neki manijak počne dizati nešto na wetransfer, sigurno ga ne bi podizao da nema bar 100 megabajta.
To mi je bilo jedno, a drugo mogao bih blokirati neželjenu gospodu koja se kači na wifi i bespotrebno opterećuje mrežu. Svaki wifi ruter ima password, ali to ne pije vode, jer se to za 10 dana pročuje i onda je svi imaju.
Da stavim svaki wifi ruter da bude odvojena mreža i to ne ide jer tada ne mogu preko wifi mreže videti server, a to mi je svakako potrebno jer dosta zaposlenih ima i laptop koji koristi kojekuda po pogonu.
Zamisao mi bila da Mikrotik dodeljuje adrese, wan mu se uključi u telekomov ruter, ostalo sve radi Mikrotik, pa bih za mesec dana već blokirao sve neposlušne. I uveo neka ograničenja protoka.
Sa Mikrotikom sam radio, nije mi to strano, zato sam pitao samo koji je model ok da može to odraditi.
Svičevi jesu upravljivi, samo ja nisam sa tim radio nikada, to mi je strano.