[Wireless] Gast netwerk (ECB-9500, VLAN, DHCP)

[PLeX]

Vraag:
Ik wil graag een gastnetwerk (beveiligd) realiseren voor bezoekers welke hier op "locatie X" op visite komen.

Eigen netwerksituatie
2x WAN
1x pfSense router
1x Windows 2008 server (roles: AD, DHCP, VPN)
2x Engenius ECB-9500 routers.

Momenteel is er maar één DHCP actief, namelijk die op de Windows 2008 server.

Op deze DHCP draaien alle medewerkers met werkstations en tablets/smartphones (zowel bedraad als wireless dus).

Het lijkt mij verstandig om het gastnetwerk compleet los te trekken van bovenstaande situatie. Een dedicated WAN hiervoor realiseren is te prijzig, dus ik wil hem graag op één van de twee WAN's knopen, vóór de pfSense router. Hier kan ik nog wel een lijn op kwijt.

De aangeschafte Engenius routers/ap's ondersteunen multiple SSID, en ook VLAN op SSID niveau. Echter hoe knoop ik dit verder aan elkaar? De VLAN's werken op basis van TAGS, waarvan ik niet begrijp hoe ik deze verder kan routeren in m'n netwerk.

Een screenshot ter verduidelijking:


Vereiste is voor mij eigenlijk wel dat ik de Engenius AP's kan gebruiken voor zowel gasten als personeel, kortom qua bekabeling komt het op hetzelfde LAN. Ik hoop dat m'n beschrijving duidelijk genoeg is.


Iemand enig idee/ervaring met soortgelijke oplossingen?

[ Voor 8% gewijzigd door PLeX op 19-01-2012 15:09 ]

[TOYS]

Wil je een wireless voor zowel kantoor als een wireless voor de gasten?

Je kan 2 SSID's maken met elk een eigen vlan. Deze kan je een eigen vlan mee geven. Ik weet niet hoe alles hardwarematig gekoppeld is dus dat is wel belangrijk om even te weten voor de weg naar buiten.

Als je bijvoorbeeld je Kantoor op vlan 1 hebt en gasten op vlan 2 dan moet je zorgen dat deze ook op de switch getaged zijn(indien je die hebt). Zowel aan de kant waar de Engenius op staat als de kant van de dhcp server.

Er zijn meerdere mogelijkheden maar het is even belangrijk om te weten hoe het hardwarematig aan elkaar zit. Kan je een tekeningetje toevoegen?

[PLeX]

Hier mijn l33t tekenskillz:



Ter info: de switches zijn allemaal unmanaged. Ik snap je opmerking om ze op switchniveau uit elkaar te trekken, echter volgens mij heb ik daar andere hardware voor nodig dan die ik nu heb, am I correct?

[_JGC_]

Klopt, je switches moeten 802.1q ondersteunen om dit mogelijk te maken. Het is overigens maar net wat je switches doen, als die de boel zo doorsturen zonder zooi te strippen kan je er ook mee wegkomen om op je pfSense bak virtuele interfaces aan te maken. Als je unmanaged switches de hele pakketjes incl VLAN tag doorlaten kan je die nml op je pfSense bak afvangen.

[PLeX]

_JGC_ schreef op donderdag 19 januari 2012 @ 17:21:
Klopt, je switches moeten 802.1q ondersteunen om dit mogelijk te maken. Het is overigens maar net wat je switches doen, als die de boel zo doorsturen zonder zooi te strippen kan je er ook mee wegkomen om op je pfSense bak virtuele interfaces aan te maken. Als je unmanaged switches de hele pakketjes incl VLAN tag doorlaten kan je die nml op je pfSense bak afvangen.

Stel dat bovenstaande te realiseren is, is het dan niet zo dat de "guests" alsnog in het andere netwerk kunnen komen?

[webfreakz.nl]

PLeX schreef op vrijdag 20 januari 2012 @ 11:10:
[...]


Stel dat bovenstaande te realiseren is, is het dan niet zo dat de "guests" alsnog in het andere netwerk kunnen komen?

Je zal dan op die pfSense bak firewall rules kunnen toepassen om verkeer van de zone "guest" alleen toe te staan richting zone "internet". En andersom.

edit:

Het beste zou zijn je unmanaged switches te vervangen door managed switches. Dan kan je met die AP's ook fatsoenlijke gescheiden SSIDs aanmaken en gekoppeld aan een VLAN. Op de pfSense bak dan subinterfaces aanmaken voor elk VLAN en dan kan je firewall rules instellen voor de routing tussen de VLANs. (zoals ik eerder in dit bericht beschreef)

[ Voor 30% gewijzigd door webfreakz.nl op 20-01-2012 11:56 ]