VoIP im Netzwerk - sichere Lösung?

[Switch!]

Hallo allerseits und schöne Feiertage,
mir raucht der Kopf, ich weiß nicht, für was ich mich entscheiden soll.
Situation: Heterogenes Netzwerk aus einem iMac (late 2013, 10.13.3, darauf virtueller Win 2012 Server unter VMware Fusion und virtuelle Windows Workstation unter Parallels, 10 native Windows Workstations (greifen auf den virtuellen Win 2012 Server zu), 3Com Baseline Switch 2928-SFP (bietet Einstellungen für VLAN und Voice VLAN), diverse Netzwerkdrucker und andere Geräte im Netzwerk. Abgeschottet nach aussen über eine Securepoint UTM v11 Firewall. Kein Funknetz, hochsensible Daten.
Aufgabe: Integration von VoIP-Telefonie ausschließlich mit Yealink Hardphones über eine Starface compact Telefonanlage (derzeit noch über DSL, später übers Internet - die Anlage kann beides). Wichtig: So sicher wie vernünftig möglich (ich schließe mal einen Angriff von innen oder einen Vollprofi im nächsten Schaltkasten aus).
Lösungen? Je nach dem wen ich frage, werden mir verschiedene Lösungen als "richtig" oder "sicher" angeboten - die Preisspanne reicht von einigen hundert bis zu mehreren tausend Euro:
1. Simpel: Rechner, Telefonanlage und Telefone nutzen den gleichen Adressraum z.B. 192.168.0.0/24.
2. Zwei Adressräume: Rechner nutzen 192.168.0.0/24, Telefonanlage und Telefone nutzen einen benachbarten Adressraum mit gleicher Netzmaske z.B. 192.168.100.0/24 oder einen anderen Adressraum mit einer anderen Netzmaske 172.16.0.0/12.
3. VLAN: Rechner nutzen 192.168.0.0/24, Telefonanlage und Telefone werden in ein VLAN eingebunden und nutzen ???.
Fragen: a) Welche der Lösungen ist "richtig" oder "sicher" bzw. zu welcher würdet Ihr zu- oder von welcher abraten?
b) Heißt zwei Adressräume auch zwei Switches? Eigentlich ist der 2928-SFP doch ein OSI2 Switch und der sollte doch ALLES einfach weiter leiten, oder?
c) Wie muss ich mir ein VLAN vorstellen - liegen alle Geräte z.B. im 192.168.0.0/24er Adressraum und es wird dem Brodcast nur eine zusätzliche Kennung angehängt, der sagt, wohin die Daten laufen sollen oder ist es eine besondere Verbindung zweier Adressräume z.B. 192.168.0.0/24 UND 192.168.100.0/24, sprich das VLAN hat bei identischer Subnetzmaske einen anderen Adressraum?
Danke Euch
Switch!

 

[roedert]

Erstmal die Frage ob du überhaupt genügend Netzwerkanschlüsse hast? Oft ist es ja so, dass an jedem Arbeitsplatz nur ein Netzwerkanschluß ist, deswegen haben die Telefone oft auch wieder einen Ethernet-Ausgang und man kann sie einfach zwischen Lan-Anschluß und Computer hängen. Dann würde es aber auch auf Variante 1 hinauslaufen.

 

[Fl0r!an]

Wenn du Angriffe von Innen ausschließt halte ich aus der Sicherheitsperspektive Variante 1 für ausreichend. Das wird man aber üblicherweise eher nicht so machen, da der Traffic von den VoIP-Telefonen priorisiert werden sollte, um Qualitätseinbußen bei großen Datentransfers o.ä. zu vermeiden. Am elegantesten geht das meines Wissens nach mit Voice VLANs.

Bei Variante 2 sehe ich keinen großartigen Sicherheitsgewinn gegenüber Variante 1, wenn alles über dasselbe Switch läuft. Ein Endgerät kann ja ohne weiteres seinen Adressbereich ändern und mit den anderen Teilnehmern reden.

Zu den VLANs: VLANs sind nicht IP-basiert. Es gibt portbasierte VLANs und tagged VLANs.
Bei den portbasierten VLANs weist man jedem Port eines Switches ein VLAN zu. Man erhält so logisch voneinander getrennte Netze, als ob man mehrere physische Switches mit getrennten Leitungen hätte. Die IP-Bereiche sind dementsprechend auch unabhängig. Du kannst z.B. in jedem VLAN einen eigenen DHCP-Server mit beliebigem Adressbereich haben.

Tagged VLANs sind flexibler, erfordern aber VLAN-fähige Endgeräte. Dort wird einfach ein entsprechender Tag an die Pakete angehängt, und jedes Endgerät darf für sich selbst entscheiden, welche Tags es beachtet. Unter Windows wird das im Treiber der Netzwerkkarte konfiguriert und für jedes VLAN bekommt man einen eigenen (virtuellen) Netzwerkadapter, unter macOS hab ich das noch nie gemacht.

Voice VLANs (Achtung Halbwissen, habe ich noch nie selbst genutzt) sind ein Spezialfall, ein so konfigurierter Port erlaubt üblicherweise den Betrieb eines VoIP-Telefons im eigenen VLAN (inkl. Bevorzugung des Traffics) als auch eines PCs (untagged), sodass dort nichts extra konfiguriert werden muss.