Re: quale nas scegliere per il mio ufficio
Inviato: giovedì 20 marzo 2014, 13:46
Non conosco tutta la tua infrastruttura hw. Tu parlavi di diversi pc, stampanti e plotter di rete e telefoni cisco. I telefoni cisco lasciano intendere la telefonia voip. Supportano l'alimentazione PoE?
Un po di consigli:
Struttura: router, nas (con porte lan aggregate), ups e:
- switch tipo HP1910-16G o HP1910-24G (se i telefoni non sono PoE)
- switch Netgear GS516TP o GS728TP (nel caso tu voglia alimentare telefoni, accesspoint, telecamere con il PoE)
Il nas, router ed un unico switch centrale ti permetterà di gestire correttamente il traffico della tua lan e l'instradamento verso la wan (router) con eventuali vlan usando il QoS e le ACL per gestire priorità ed accessi. Se lo switch è PoE questo essendo sotto ups estenderà la copertura anche ai telefoni ed eventuali telecamere garantendone il funzionamento anche durante il blackout. Inoltre la resa è migliore non avendo tutte le apparecchiature gli alimentatorini esterni con le loro perdite.
Tutti i client, il nas, il router ed eventuale centralino voip (in realtà questo potrebbe farlo il nas con asterisk) vanno collegati allo switch di cui sopra. A seconda del supporto vlan/qos del router, il centralino voip e le stampanti di rete, in mancanza di porte, potrebbero essere collegate allo switch integrato del router.
Detto ciò poi sul nas con i due dischi in raid1 e quello singolo installi il server dhcp (non occorre per il dsm5, integrato), server dns, server radius, time backup, antivirus
- tutti i pacchetti vanno installati sul volume raid, per sicurezza (bisogna intervenire con uno script) tieni una copia di backup della cartella @appstore sul disco singolo: in caso di disastro e necessità di reinstallazione del DSM, dopo aver reinstallato i pacchetti potrai così recuperare le loro configurazioni.
- server dhcp: configurato opportunamente in ridondanza (assieme) a quello del router ti garantirà il funzionamento della rete. Se si guasta il nas i pc funzioneranno, accederanno ad internet ma non ai file del nas. Se si guasta il router i pc funzioneranno, accederanno ai file ma non a internet. In ogni caso riceveranno il loro indirizzo ip.
- server dns: avendo molti pc la sua funzione di caching ti permetterà di ridurre il traffico sulla wan delle query dns inoltre è semplicissimo da configurare come blocco (gratuito) dei banner pubblicitari nelle varie pagine e così specialmente in presenza di più pc non sprecare inutilmente la banda della adsl. I client statici ed i server dhcp vanno configurati con server dns primario ip del nas e server secondario ip del router.
- server radius: la gestione degli utenti del nas può esser estesa ai client wireless che così oltre alle credenziali dovranno essere in possesso anche del certificato digitale, impedendo così l'hackeraggio del wifi o eventuale collegamento abusivo di apparecchiature non autorizzate alle porte dello switch.
- time backup: svolge la funzione delle copie shadow di win 7. In pratica le cartelle dati di accesso comune avranno uno storico e backup sul disco singolo. Dopo una sovrascrittura accidentale o cancella zione di un file potrai recuperarlo all'ultima versione, quella di due ore fa, di ieri, della settimana precedente ... Crea una cartella condivisa es "MyLan" dove dentro salverai le configurazioni di router, switch accesspoint, telefoni voip ... accessibile solamente all'amministratore e parte del piano di backup. Tale cartella se contenente anche elenchi di password sarebbe meglio fosse crittografata e non montata in automatico.
- antivirus: con almeno pianificata scansione notturna di base (sistema e cartelle download) e settimanale (in ambiente office generalmente nel we) completa del nas. Ciò ti permetterà di limitare la diffusione di virus all'interno della rete, ovviamente anche i pc devono avere il loro antivirus.
- eventualmente server ldap se vorresti usare le stesse credenziali del nas anche per il logon su windows, ma non credo sia necessario, non è un controller di dominio AD ed oltre al SSO (ed una eventuale rubrica centralizzata) non offre nessun altro vantaggio. Diverrebbe invece utilissimo in caso di nas multipli non-HA.
Tieni abilitati tutti i firewall: quello del router (se presente attiva e configura le protezioni DoS), quello del nas (abilita la risposta ICMP solo per la lan) e quello dei pc (anche qui risposta al ping solo per la lan locale). Ricorda che gli attacchi possono avvenire anche internamente, per la presenza di un dipendente malizioso piuttosto che per la navigazione di un portatile quando in viaggio (meno protetto es con chiavetta 3G) che poi quando si connette internamente distribuisce il malware raccolto esternamente. Imposta password sicure per tutti i dispositivi per evitare che non autorizzati smanettino con le configurazioni (router, switch, stampanti di rete; ed in particolare modo centralini voip, primi bersagli: recentemente mi è capitato di "collaborare" con la polizia postale emiliana dove sono stati sfruttati i nas per entrare remotamente nella rete e riprogrammare i centralini voip per triangolare traffico internazionale, la truffa a prodotto svariate decine di migliaia di euro in un solo weekend, l'indagine è ancora in corso e non posso dire altro, ma non serve chiudere la stalla quando i buoi sono già scappati).
Per le tue richieste di accesso remoto invece, come ti ha ben detto Burgy non usare ez-internet e disabilita inoltre l'upnp sul router che ti espone a seri rischi di sicurezza inutilmente evitandoti di configurarlo manualmente, operazioni occasionali che puoi benissimo fare in prima persona sapendo così cosa viene fatto.
Per l'accesso remoto ti consiglio di usare la VPN possibilmente sul router in alternativa con il server del nas, ma sempre basata anche su certificato digitale in modo che gli sprovvisti non possano accedervi, le sole credenziali (user/pass) non sempre sono sufficienti a garantire la sicurezza. Anche il ddns se devi usarlo ove possibile configuralo sul router.
Come ti ha detto Burgy per la prima sperimentazione fai il port-forwarding sul router (chiaramente il nas deve avere un ip statico fuori dal range dhcp) ma io lo farei con la 5001 (dopo averla abilitata, senza redirect, dal pannello di controllo del nas). Ovviamente va aperta anche sul FW del nas, mentre sul router il port-forwarding dovrebbe già aprire il firewall, controlla. Prima di aprire tale porta DEVI però impostare una password COMPLESSA per l'account amministratore del nas. Se il router lo supporta usa anche il PAT (port address translation), ovvero redirigi una porta esterna diversa alla 5001 interna. La 5001 e oramai una porta standard ed i male intenzionati sanno che dove esistono 5000/5001 c'è dietro un synology. ABILITA il blocco degli ip sul nas per numero di password errate.
Un po di consigli:
Struttura: router, nas (con porte lan aggregate), ups e:
- switch tipo HP1910-16G o HP1910-24G (se i telefoni non sono PoE)
- switch Netgear GS516TP o GS728TP (nel caso tu voglia alimentare telefoni, accesspoint, telecamere con il PoE)
Il nas, router ed un unico switch centrale ti permetterà di gestire correttamente il traffico della tua lan e l'instradamento verso la wan (router) con eventuali vlan usando il QoS e le ACL per gestire priorità ed accessi. Se lo switch è PoE questo essendo sotto ups estenderà la copertura anche ai telefoni ed eventuali telecamere garantendone il funzionamento anche durante il blackout. Inoltre la resa è migliore non avendo tutte le apparecchiature gli alimentatorini esterni con le loro perdite.
Tutti i client, il nas, il router ed eventuale centralino voip (in realtà questo potrebbe farlo il nas con asterisk) vanno collegati allo switch di cui sopra. A seconda del supporto vlan/qos del router, il centralino voip e le stampanti di rete, in mancanza di porte, potrebbero essere collegate allo switch integrato del router.
Detto ciò poi sul nas con i due dischi in raid1 e quello singolo installi il server dhcp (non occorre per il dsm5, integrato), server dns, server radius, time backup, antivirus
- tutti i pacchetti vanno installati sul volume raid, per sicurezza (bisogna intervenire con uno script) tieni una copia di backup della cartella @appstore sul disco singolo: in caso di disastro e necessità di reinstallazione del DSM, dopo aver reinstallato i pacchetti potrai così recuperare le loro configurazioni.
- server dhcp: configurato opportunamente in ridondanza (assieme) a quello del router ti garantirà il funzionamento della rete. Se si guasta il nas i pc funzioneranno, accederanno ad internet ma non ai file del nas. Se si guasta il router i pc funzioneranno, accederanno ai file ma non a internet. In ogni caso riceveranno il loro indirizzo ip.
- server dns: avendo molti pc la sua funzione di caching ti permetterà di ridurre il traffico sulla wan delle query dns inoltre è semplicissimo da configurare come blocco (gratuito) dei banner pubblicitari nelle varie pagine e così specialmente in presenza di più pc non sprecare inutilmente la banda della adsl. I client statici ed i server dhcp vanno configurati con server dns primario ip del nas e server secondario ip del router.
- server radius: la gestione degli utenti del nas può esser estesa ai client wireless che così oltre alle credenziali dovranno essere in possesso anche del certificato digitale, impedendo così l'hackeraggio del wifi o eventuale collegamento abusivo di apparecchiature non autorizzate alle porte dello switch.
- time backup: svolge la funzione delle copie shadow di win 7. In pratica le cartelle dati di accesso comune avranno uno storico e backup sul disco singolo. Dopo una sovrascrittura accidentale o cancella zione di un file potrai recuperarlo all'ultima versione, quella di due ore fa, di ieri, della settimana precedente ... Crea una cartella condivisa es "MyLan" dove dentro salverai le configurazioni di router, switch accesspoint, telefoni voip ... accessibile solamente all'amministratore e parte del piano di backup. Tale cartella se contenente anche elenchi di password sarebbe meglio fosse crittografata e non montata in automatico.
- antivirus: con almeno pianificata scansione notturna di base (sistema e cartelle download) e settimanale (in ambiente office generalmente nel we) completa del nas. Ciò ti permetterà di limitare la diffusione di virus all'interno della rete, ovviamente anche i pc devono avere il loro antivirus.
- eventualmente server ldap se vorresti usare le stesse credenziali del nas anche per il logon su windows, ma non credo sia necessario, non è un controller di dominio AD ed oltre al SSO (ed una eventuale rubrica centralizzata) non offre nessun altro vantaggio. Diverrebbe invece utilissimo in caso di nas multipli non-HA.
Tieni abilitati tutti i firewall: quello del router (se presente attiva e configura le protezioni DoS), quello del nas (abilita la risposta ICMP solo per la lan) e quello dei pc (anche qui risposta al ping solo per la lan locale). Ricorda che gli attacchi possono avvenire anche internamente, per la presenza di un dipendente malizioso piuttosto che per la navigazione di un portatile quando in viaggio (meno protetto es con chiavetta 3G) che poi quando si connette internamente distribuisce il malware raccolto esternamente. Imposta password sicure per tutti i dispositivi per evitare che non autorizzati smanettino con le configurazioni (router, switch, stampanti di rete; ed in particolare modo centralini voip, primi bersagli: recentemente mi è capitato di "collaborare" con la polizia postale emiliana dove sono stati sfruttati i nas per entrare remotamente nella rete e riprogrammare i centralini voip per triangolare traffico internazionale, la truffa a prodotto svariate decine di migliaia di euro in un solo weekend, l'indagine è ancora in corso e non posso dire altro, ma non serve chiudere la stalla quando i buoi sono già scappati).
Per le tue richieste di accesso remoto invece, come ti ha ben detto Burgy non usare ez-internet e disabilita inoltre l'upnp sul router che ti espone a seri rischi di sicurezza inutilmente evitandoti di configurarlo manualmente, operazioni occasionali che puoi benissimo fare in prima persona sapendo così cosa viene fatto.
Per l'accesso remoto ti consiglio di usare la VPN possibilmente sul router in alternativa con il server del nas, ma sempre basata anche su certificato digitale in modo che gli sprovvisti non possano accedervi, le sole credenziali (user/pass) non sempre sono sufficienti a garantire la sicurezza. Anche il ddns se devi usarlo ove possibile configuralo sul router.
Come ti ha detto Burgy per la prima sperimentazione fai il port-forwarding sul router (chiaramente il nas deve avere un ip statico fuori dal range dhcp) ma io lo farei con la 5001 (dopo averla abilitata, senza redirect, dal pannello di controllo del nas). Ovviamente va aperta anche sul FW del nas, mentre sul router il port-forwarding dovrebbe già aprire il firewall, controlla. Prima di aprire tale porta DEVI però impostare una password COMPLESSA per l'account amministratore del nas. Se il router lo supporta usa anche il PAT (port address translation), ovvero redirigi una porta esterna diversa alla 5001 interna. La 5001 e oramai una porta standard ed i male intenzionati sanno che dove esistono 5000/5001 c'è dietro un synology. ABILITA il blocco degli ip sul nas per numero di password errate.
