DD-WRT: AP mode en 2 SSIDs

[DriesA]

Hoi,

Ik heb een TP-Link TL-WR1043ND met custom firmware DD-WRT v24-sp2. Enerzijds moet deze in Access Point mode draaien. Het IP adres moet hij van de hoofd router (192.168.3.1) krijgen.

Dit werkt probleemloos door deze guide te volgen. Concreet heb ik dit ingesteld (ik som de belangrijkste op):
* WAN connection: disabled;
* IP adres: 192.168.3.3;
* DHCP : disabled;
* Operation mode: router
* Service DNSMasq: Disable => maar heb ik dmv de tweede guide weer geactiveerd.
* Service ttraff Daemon: Disable => maar heb ik dmv de tweede guide weer geactiveerd.
* Disable SPI firewall
* In Administration routing = disabled;


Vervolgens wou ik een 2e SSID aanmaken, waar andere gebruikers kunnen op connecteren. Hiermee zouden ze toegang moeten krijgen tot het internet, maar mogen ze geen verbinding maken met het thuisnetwerk (zijnde subnet 192.168.3.x). Ik heb deze guide gevolgd om dit te realiseren. Maar hier loopt het mis, via het openbaar netwerk krijg ik namelijk geen internet toegang!

Gebaseerd op deze guide, heb ik de volgende configuratie gebruikt:
* 2e SSID aangemaakt (ath.0.1 met SSID "Openbaar") met zelfde security settings als the eerste SSID (WPA2-Personal);
* Een bridge aangemaakt (br1) met IP 192.168.10.1 en subnet mask 255.255.255.0
* De bridge (br1) gekoppeld aan de nieuwe SSID (ath0.1);
* De nodige aanpassingen gedaan in "Multiple DHCP server";
* DNSMasq heb ik terug op "enabled" gezet (itt dus wat de eerste guide vroeg). De volgende opties heb ik gebruikt:

code:

# Enables DHCP on br1
interface=br1
# Set the default gateway for br1 clients
dhcp-option=br1,3,192.168.10.1
# Set the DHCP range and default lease time of 24 hours for br1 clients
dhcp-range=br1,192.168.10.100,192.168.10.150,255.255.255.0,24h

* Vervolgens heb ik de toegang willen inperken (br1 wel toegang tot internet, maar niet tot br0). Ik heb diverse instellingen geprobeerd, waaronder:

code:

iptables -I FORWARD -i br1 -m state --state NEW -j ACCEPT
iptables -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
iptables -I FORWARD -i br0 -o br1 -m state --state NEW -j DROP
iptables -I FORWARD -i br1 -d `nvram get lan_ipaddr`/`nvram get lan_netmask` -m state --state NEW -j DROP
iptables -t nat -I POSTROUTING -o br0 -j SNAT --to `nvram get lan_ipaddr`
iptables -I INPUT -i br1 -m state --state NEW -j DROP
iptables -I INPUT -i br1 -p udp --dport 67 -j ACCEPT
iptables -I INPUT -i br1 -p udp --dport 53 -j ACCEPT
iptables -I INPUT -i br1 -p tcp --dport 53 -j ACCEPT

Het resultaat is het volgende:
* Verbind ik met het eerste SSID (br0), werkt alles zoals het hoort. De TP-Link werkt als AP, ik krijg mijn IP van de hoofdrouter (vb. 192.168.3.105). Ik heb toegang tot internet en andere interne IP-adressen.
* Verbind ik met het tweede SSID (de openbare / br1), dan krijg ik een IP adres (192.168.10.106) zoals het hoort. DNS vertaling gebeurt ook (als ik google.com wil pingen krijg ik het juiste IP adres terug). Ik heb géén toegang tot 192.168.3.x wat ook prima is. Alleen, ik heb geen internettoegang.

Iemand een idee? De moeilijkheid lijkt me dat de "hoofdtaak" van de TP-Link is om als "Access Point" te dienen, echter, via een virtuele interface moeten er wel routing activiteiten gebeuren.

Ik zit echt compleet vast. Iemand een idee wat ik nog kan proberen?

[DriesA]

Niemand?

[NATStudent]

Dries_Aendekerk schreef op zaterdag 27 augustus 2011 @ 18:42:
Het IP adres moet hij van de hoofd router (192.168.3.1) krijgen.

...

Ik heb géén toegang tot 192.168.3.x wat ook prima is. Alleen, ik heb geen internettoegang.

Als 192.168.3.x geblokkeerd is, krijg je dus geen toegang tot de hoofdrouter, dus geen internet. Of denk ik nu te simpel?

Edit: Dat verklaart alleen niet dat DNS vertaling wel lukt. Als je de DNS-cache leegt, lukt het dan nog steeds?

code:

ipconfig /flushdns

[ Voor 15% gewijzigd door NATStudent op 01-09-2011 00:17 . Reden: typo ]

[Verwijderd]

ik ben hier vorige week ook meebezig geweest krijg alles ingesteld.
2 aparte SSIDs, Aparte Subnet's, Limiet op bandbreedte zelfs.
Alleen krijg ik niet geblokkeerd dat de 2e zone niet in het controlpanel mag.

Exact zelfde config in de linksys wrt54gl werkt wel

[dre111]

Dries_Aendekerk schreef op woensdag 31 augustus 2011 @ 16:45:
Niemand?

Ik heb exact hetzelfde probleem en krijg het dus ook niet voor elkaar.

Is het bij jou inmiddels gelukt? Zo ja dan zou ik graag weten hoe.
Alvast dank!

Groeten,
Dre

[Jeroen_ae92]

Je mist deze in je firewall: iptables -I FORWARD -i br1 -o br0 -m state --state NEW -j DROP
br1 mag niet bij br0 komen. Jij hebt em net andersom. Dus br0 mag niet naar br1 maar dat zal je een worst wezen waarschijnlijk.

Misschien omdat de router alleen als WAP functioneert (dus geen aangesloten WAN poort) werkt bovenstaand niet en zal je de volgende rules moeten gebruiken:

iptables -I FORWARD -i br1 -d `nvram get lan_ipaddr`/`nvram get lan_netmask` -m state --state NEW -j DROP
iptables -t nat -I POSTROUTING -o br0 -j SNAT --to `nvram get lan_ipaddr`
iptables -I INPUT -i br1 -m state --state NEW -j DROP
iptables -I INPUT -i br1 -p udp --dport 67 -j ACCEPT
iptables -I INPUT -i br1 -p udp --dport 53 -j ACCEPT
iptables -I INPUT -i br1 -p tcp --dport 53 -j ACCEPT

[dre111]

Bedankt!

Ik heb dit in het weekend geprobeerd, maar ik het nog niet werkend gekregen.
Nu is er een nieuwe versie/build van dd-wrt uit, dus ik ga het nog een keer helemaal opnieuw proberen.
Ik zal hier de resultaten nog wel laten weten.

Groeten,
Dre

[dre111]

Het lukt me nog niet... graag nog jullie help. Ik heb nu DD-WRT build 19342 draaiend.
Mijn TP-LINK 1043 is via een LAN poort gekoppeld aan een LAN poort van mijn modem/router.
Met het eerste standaard AP, werkt alles prima, inclusief "pingen" en internet toegang.

Met het tweede, virtuele AP, dus niet. Dit AP is bedoeld voor bezoekers en heeft geen beveiliging als WEP/WPA. Ik heb al diverse firewall commando's geprobeerd (zie hierboven), maar ik blijf steken op het toegewezen krijgen van een IP, dat gaat goed. Daarna krijg ik geen internet toegang. Het "pingen" werkt niet.

Iemand nog een suggestie voor me?

Alvast dank!
Dre

[MrDummy]

Mijn ervaringen met DD-WRT is slecht. Ik heb vroeger eens poging gedaan met 4 routers aan elkaar (WRT54GL routers) Twee routers gaat nog goed, drie wordt vreemder en 4 nog vreemder.

Het is enorm gedoe met instellen en veel te onzeker. Het werkt gedeeltelijk of het doet gewoon niks meer.
Pas als ik overstap op Tomato, werkt alles opeens vlekkeloos. Instellen is fluitje van een cent en alle 4 routers zien elkaar keurig en meteen. Heel groot verschil.

Ik snap eigenlijk niet waarom DD-WRT zo complex en erg moeilijk is gemaakt. Er is niet eens goede wizard voor. Tomato is jammer genoeg beperkt aantal routers ondersteund, maar is wel zeer goede firmware want het is eenvoudig gehouden en het werkt perfect.

Ik kan alleen zeggen dat DD-WRT een troep is. Ze maken firmware onnodig complex. Zeker met instellen voor wifi brug tussen routers is onvoorstelbaar. Teveel guides spreken elkaar tegen, er is geen goeie guide dat goed werkt. Het is rommel geworden in community hoe het nou wel moet... Je raakt door al die opties en adviezen in de war.