business speed mit >8 IPs

[divB]

Hi,

Ich habe TA business speed - wegen der 8 IPs bestellt - in der Routing-Variante. In den LB steht maximal 8 IPs - ich weiss. Ich habe vor längerem bereits mal ein Problem geschildert dass ich das Netz gerne aufteilen würde um darin routen zu können und so eine anständige Firewall bauen könnte. Dies ist jedoch nur mit Krücken (NAT o.ä.) oder L2-"Firewalls" möglich - oder aber mit einem zweiten /29er Netz oder besser gleich mit einem /28er (also 16 IPs). Ein sehr aktiver Forenteilnehmer (*zwinker*) hat damals geschrieben dass mit etwas Glück durchaus die Möglichkeit besteht ein zweites Netz bzw. ein /28er geroutet zu bekommen.

Nunja, das hab ich damals sein lassen und alle externen Server direkt mit iptables abgesichert. Mittlerweile stehe ich aber vor einem neuen Problem: Die IPs gehen mir aus . Von den sagenhaften 8 IP Adressen fallen ja gleich mal 2 in Netz und Bcast weg. Eine nimmt sich das Modem das ich ja nicht selbst administrieren darf. Da man ja das lokale LAN ins Internet bekommen will braucht der Router noch eine - bleiben 4 übrig. Diese wurden bei mir sukzessive belegt und zwar in einen DNS Server, Mailserver, Webserver sowie eine schaltbare Steckdosenleiste. Die Server möchte ich aus diversen Gründen separat halten und auch nicht NATen, die Steckdosenleiste braucht eine externe IP da sie im Zweifelsfall Hardware resetten soll (und da soll natürlich möglichst wenig dazwischenhängen).
Aus dem gleichen Grunde habe ich jetzt noch eine schaltbare Steckdose, aber keine IP mehr für diese übrig, da ich kein Gerät dazwischenschalten möchte.

(Würde mir die TA erlauben mein Modem zu konfigurieren hätte ich beide Probleme gelöst: Ich würde die fehlende IP einsparen und ich hätte zusätzlich das o.g. Firewallproblem gelöst.)

Lange Rede kurzer Sinn: Nachdem ja einige von euch Leute von der TA kennen bzw. viel Erfahrung haben möchte ich fragen ob mir wer einen Tipp geben kann wie ich das am besten angehe. Gibt es z.B. einen speziellen Kontakt an den ich mich am besten wenden kann? Sollte ich einen Grund für mehr IPs angeben und wenn ja in welchem Detailgrad? Was könnte hierfür das stichhaltigste Argument sein? Sicherheitspolicy? Mehere SSL Zertifikate? Routbarkeit im Subnet (--> Firewallimplementierung)? Um was soll ich am besten anfragen/was ist wohl realistischer: Ein zweites /29er Subnet oder ein neues, vergrößtertes /28?

Grund meines Postings ist dass ich meine einzige Chance den IP Bereich zu vergrößern gerne sorgfältig planen würde

lg und Danke bereits im Vorraus,
divB

[martin]

am ehesten würde ich auf "mehrere SSL zertifikate" setzen, denn da führt fast kein weg an zusätzlichen ip adressen vorbei. verzettel dich aber nicht mit zertifikaten für subdomains, dies ginge (meistens) mit wildcard zertifikaten auch

wie groß deine chancen tatsächlich sind das zu bekommen kann ich dir aber leider auch nicht sagen...

[wicked_one]

0800 100 800 - da werden sie geholfen.

ich würde ein zusätzliches Netz nehmen, spart dir die DNS Records umzudrehen...

[divB]

Danke, danke mal.

Aber da fängts bei mir schon an: Ist die Supportline erfolgversprechender als ein ein Mail an den Businesssupport? Ein Mail könnte ich statisch vorbereiten, wär mir also prinzipiell lieber.

Zu den mehreren SSL Zertifikaten: Ja das ich ich mir eben auch gedacht. Auf der anderen Seite: Wie realistisch ist es dass eine Firma so viele SSL Certs benötigt? Es wäre echt interessant wie genau die sind/nachfragen. Auf der anderen Seite denk ich mir: Für die IPs reicht ein Request an die RIPE die bei der kleinen Menge AFAIK nichtmal eine Begründung braucht...

lg
divB

[martin]

Wie realistisch ist es dass eine Firma so viele SSL Certs benötigt?

naja, sooo unrealistisch ist eine handvoll zertifikate auch wieder nicht:

- eins für den mailserver / outlook web access
- eins fürs ssl vpn
- eins für den kundenbereich auf der homepage

und schon hast 3 beisammen ohne komplett unglaubwürdig zu erscheinen

[preiti]

Am besten ist, wenn du einfach fragst!
Ich sehe auch die Möglichkeit, dass du eine Firewall zu deinem Zugang bei der TA dazu bestellst. Damit schlägst du 2 Fliegen mit einer Klappe: Sicherheit fürs Netzwerk und die Konfiguration wird nach deinen Wünschen gemacht.

[divB]

Argh, verdammt, ich schwanke ständig zwischen "SSL Zertifikaten", "Firewall" und "Zusätzliche IP für weiteren Server". Hat alles seine Gründe bzw. könnte bei genauer Analyse wohl alles mit dem vorhandenen /29er gelöst werden.

Ich denke ich werd schreiben dass die derzeitigen belegt sind und nun ein weiterer VPN Server dazu kommt der ebenfalls direkt dranhängen muss. Da bin ich glaub ich noch am flexibelsten.

@Martin: Ooooh doch! Die Services hängen ja alle an nem anderen Port! Solange dies der Fall ist kann man beliebig viele SSL Zertifikate verwenden. Einzig bei "Name based virtual hosts" gehts nicht weshalb man hier zusätzliche IPs benötigen wüde. D.h. ich bäruchte für die Argumentation 4-5 https:// Seiten (und das ohne Subdomains). Für einen !Reseller eher unrealistisch IMHO.

@preiti: Verstehe zwar nicht genau wie du das meinst, aber von dieser Möglichkeit würde ich gerne Abstand nehmen. Dann hab ich bestenfalls noch ein Kasterl auf das ich keinen Zugriff habe - auch würden dadurch gewiss nicht unerhebliche Mehrkosten entstehen.

lg,
divB

[wicked_one]

dann halt dich neutral und schreib "Wegen Wachstum des Netzwerkes"...

[hotze_com]

Zu den mehreren SSL Zertifikaten: Ja das ich ich mir eben auch gedacht. Auf der anderen Seite: Wie realistisch ist es dass eine Firma so viele SSL Certs benötigt? Es wäre echt interessant wie genau die sind/nachfragen. Auf der anderen Seite denk ich mir: Für die IPs reicht ein Request an die RIPE die bei der kleinen Menge AFAIK nichtmal eine Begründung braucht...

NAT ist *KEIN* Argument weniger IP-Adressen herauszurücken.
Wenn der ISP vernünftig arbeitet dann muss er auch für Delegationen die innerhalb seines AW (assignment window) liegen die selben Kriterien ansetzen als wenn er das Netz extra bei der RIPE begründen muss, weil im Zweifel die RIPE bei einer Kontrolle eben diese Belege fordert.

Aber: wenn du 10 Clients hast und ein brauchbares Wachstum in den nächsten ca. 2 Jahren dann ist ein /27 IMnsHO kein Thema.

[hotze_com]

Argh, verdammt, ich schwanke ständig zwischen "SSL Zertifikaten", "Firewall" und "Zusätzliche IP für weiteren Server". Hat alles seine Gründe bzw. könnte bei genauer Analyse wohl alles mit dem vorhandenen /29er gelöst werden.

Wie wäre es mit der Wahrheit?

[ANOther]

Argh, verdammt, ich schwanke ständig zwischen "SSL Zertifikaten", "Firewall" und "Zusätzliche IP für weiteren Server". Hat alles seine Gründe bzw. könnte bei genauer Analyse wohl alles mit dem vorhandenen /29er gelöst werden.

Wie wäre es mit der Wahrheit?

gute idee, denn das könnte wohl auch alles mit EINER ip gelöst werden...

[hotze_com]

Wie wäre es mit der Wahrheit?

gute idee, denn das könnte wohl auch alles mit EINER ip gelöst werden...

hä?

sorry, aber ich kann's bei Gelegenheit irgendwohin meisseln: NAT ist kein Argument (für weniger IPs)! Wenn dir also (d)ein ISP sagt dass du weniger "öffentliche" IPs verwenden sollst oder nicht mehr bekommst *WEIL* man das mit NAT "lösen" kann (*örks*) dann sollte man sich überlegen ob man beim richtigen ISP ist.
Den ISP hat es nicht zu interessieren was der Kunde (huch!) hinter der Anbindung macht. Wenn du zB hinter einem Billigst-ADSL 20 PCs, 5 Drucker und 3 Server betreibst dann kannst das mit 1 "öffentlichen" IP machen, aber hier ein /26 zu verweigern würde ich kühn finden.

andersrum: der OP hat ECHTEN Bedarf an mehr IP Adressen. Was soll er sich also lang für Gschichtln aus den Fingern saugen?

[ANOther]

NAT ist kein sicherheitsfeature, doch es erhöht die sicherheit (ned 1:1)
NAT ist kein feature um ip-adressen zu sparen, doch ...
MOOOMENT
NAT _IST_ ein feature, um ips zu sparen...
da kann man doch tatsächlich ein ganzes netz hinter einer einzigen(!!!!) ip verstecken
da kann man auch ein paar tausend server hinter einer ip verstecken...


@m#
ich denke, ich werde mich in zukunft noch etwas klarer ausdrücken:

> gute idee, denn das könnte wohl auch alles mit EINER ip gelöst werden...

damit wollte ich andeuten, dass "mehrere zertifikate", "mehrere server" und "firewall" auch mit einer ip betrieben werden könnten, daher die annahme
"könnte bei genauer Analyse wohl alles mit dem vorhandenen /29er gelöst werden"
nicht unrichtig ist.
was ich mir sparte dazuzuschreiben, da du ohnehin schon "die wahrheit" vorschlugst, war, dass der isp (==vertragspartner) sicherlich versucht ist, seinem kunden entgegenzukommen, wenns
- ihm möglich ist (in relation zu aufwand und kosten)
- im bereich des produktumfangs ist (keine allzugroßen überschneidungen zu einem höherwertigen produkt)
(- im interesse des isps ist, dem kunden alle wünsche ohne rücksicht auf verluste zu erfüllen)

da ich denke, dass punkt 1+2 auf das produkt des ops zutreffen könnte (3 schließe ich eigentlich aus) bin ich der festen überzeugung, dass der op mit den worten "könnte ich bitte ein weiteres /29ernetz haben[0]" erfolg haben wird/würde

weiters bin ich der überzeugung, dass sich kein "anbieter" wegen ein paar ips auf eine genaue analyse (des netzwerkes) einlassen wird.



[0] "ich brauch ein /29, /28, /..er" würd ich nur empfehlen, wenn obriger punkt 3 zutreffen würde...

[divB]

Zuerst einmal danke noch für die restlichen Antworten. Das Problem nun gelöst Mein Dank geht an einen sehr netten Telekom Mitarbeiter

Mein kurzes Kommentar noch zu der IP Diskussion: Im Endeffekt ist es genau das was Martin angesprochen hat. Die Anwendungen könnte ich zwar alle selbst nur mit einer IP Adresse laufen lassen allerdings möchte ich das aus verschiedensten Gründen nicht. Vor allem erachte ich NAT als üble Krücke. Natürlich, das interne LAN ist über einen Router geNATet, aber die Server würde ich gerne mit offizieller IP Adresse betreiben. Ich habe lange genug Server hinter NAT betrieben und weiss dass das problematisch sein kann. Das fängt bei der Abhängigkeit des Routers an und geht über diverse Protokolle (FTP, VPN etc.) die man erst selbst anpassen muss.

lg,
divB

[hotze_com]

@m#

ich denke, ich werde mich in zukunft noch etwas klarer ausdrücken:

> gute idee, denn das könnte wohl auch alles mit EINER ip gelöst werden...

damit wollte ich andeuten, dass "mehrere zertifikate", "mehrere server" und "firewall" auch mit einer ip betrieben werden könnten, daher die annahme
"könnte bei genauer Analyse wohl alles mit dem vorhandenen /29er gelöst werden"
nicht unrichtig ist.

nein, nicht wenn das vom ISP kommt; der ISP kann dir das eben nicht vorschreiben. Gut, er kann dir sagen dass das in dem Produkt nicht inkludiert ist oder dass das $$$ kostet.

was ich mir sparte dazuzuschreiben, da du ohnehin schon "die wahrheit" vorschlugst, war, dass der isp (==vertragspartner) sicherlich versucht ist, seinem kunden entgegenzukommen, wenns
- ihm möglich ist (in relation zu aufwand und kosten)
- im bereich des produktumfangs ist (keine allzugroßen überschneidungen zu einem höherwertigen produkt)
(- im interesse des isps ist, dem kunden alle wünsche ohne rücksicht auf verluste zu erfüllen)

dann sind wir ein recht komischer Laden.
bei uns bekommt man im Bereich IP Adressen das was der Kunde will (im Rahmen der RIPE Bestimmungen), einzig bei ADSL ist das Feature an sich aufpreispflichtig.