GUEST WIFI op AP lukt niet - VLAN

[Toon-VA]

Hoi Iedereen,

Nu heb ik een probleem met het instellen van een Guest Wifi op een ander VLAN bij mijn ouders.
Ikzelf heb volgende setup en heb daar alles reeds een jaar draaien zonder problemen.

• Modem - Telenet Modem Only
• Router - Zywall USG100
• Switch - Avaya ERS4548GT
• Accesspoint - 2x Engenius EAP900H
• 2SSID - LAN - GUEST

Mijn ouders hebben volgende setup maar ik wordt niet wijzer uit de HP switch configuratie en de interface van Engenius (is anders dan mijn model).

• Modem - Telenet Modem Only
• Router - Zywall USG100
• Switch - Avaya ERS4548GT
• Accesspoint - Engenius EAP600
• 2SSID - LAN - GUEST

De opstelling is als volgt ingesteld op mijn apparatuur:

• VLAN400 is op 4 poorten geconfigureerd waarvan er momenteel 3 in gebruik zijn (Modem en 2x WAN)
• * WAN1 --> LAN1
• * WAN2 --> LAN2 (GUEST)
• VLAN1 is de default VLAN voor het interne LAN1 en alle poorten buiten de AP's staan als UntaggAll(accesspoort)
• VLAN2 is de Guest LAN en de poort naar LAN2 staat als TagPivdOnly die van de AP’s op UntagPivdOnly

In mijn accesspoints heb ik dus 2 SSID’s ingesteld met elks een aparte naam en WPA2 key. Het GUEST SSID is in de AP’s ingesteld op Client Isolation en VLAN isolation op ID2. Verder hebben deze een eigen DHCP en wordt het verkeerd dus over een ander Publiek IP het internet op gestuurd zodat mijn intern netwerk hier verder geen last van heeft (WAN2).


Deze setup werkt zonder problemen want dit heb ik getest alleen probeer ik dit dus na te bootsen in de apparatuur van mijn ouders voorlopig zonder succes.

Ik loop vast in de configuratie van de HP switch in combinatie van de Engenius 600 AP. De VLAN400 noemt daar VLAN200 en deze heb ik aangemaakt en in de HP, onder “Packet Type” ALL gekozen en deze poorten enkel op die VLAN200 gezet.

Op het AP heb ik opnieuw een GUEST SSID aangemaakt, deze op isolation en VLANID2 gezet. In de HP switch heb ik dan 2 poorten voorzien voor LAN2 en het AP om te communiceren met de VLAN2 maar dit krijg ik niet werkend.





Momenteel kan ik al surfen op het gewone WIFI LAN netwerk op hetzelfde AP waar de GUEST nog op moet worden gekoppeld. Graag input van jullie hoe en wat ik over het hoofd zie in de configuratie van de HP Switch of het accesspoint.

[ Voor 5% gewijzigd door Toon-VA op 11-04-2016 15:21 ]

[Toon-VA]

Niemand die weet waar het ergens fout loopt?

[Dav1d]

Ik heb geen direct antwoord op je vraag, daarvoor vind ik je verhaal niet duidelijk.
Maar het ziet er sowieso onnodig complex uit: Waarom hangt het modem niet rechtstreeks aan de ZyXEL USG100? En waarom gebruik je 2 fysieke poorten voor WAN en en ook 2 voor LAN? Je kunt gewoon 1 poort voor WAN gebruiken en 1 poort voor LAN (trunk met beide LANs).

[VVV-007]

Kun je wat meer info geven over waar het fout gaat bij het gast wifi welke nu niet werkt?

Kun je er mee verbinden maar krijg je geen IP? of is het nog iets anders..

Was laatst zelf ook met zoiets bezig (maar dan met beide Vlans over 1 kabel) waarbij ik het eerst ook maar niet voor elkaar kon krijgen.... tot ik er achter kwam dat ik was vergeten de dhcp server voor het guest lan aan te zetten... Ik heb er echter geen apparte switch tussen zitten, maar gewoon router en een accespoint welke beide vlan ondersteunen, dus ik kan je verder niet zo veel helpen met de switch vrees ik, behalve dat je ergens een DHCP server moet hebben runnen voor je gast vlan. (maar die heb je vast al wel)

Ik snap ook niet zo goed waarom de switch er tussen zit. Ik neem aan dat je router ook met Vlans overweg kan. Kun je daar niet 1 poort aan maken met daarop je primaire lan + tagged Vlan2. Deze kun je dan verbinden met je accespoint waar tagged vlan2 is gekoppeld aan je gast netwerk en je 'untagged' lan aan je prive netwerk (als ik het zo zie staat je accespoint daarvoor al goed ingesteld). Op je router run je dan 2 DHCP servers, 1 voor je primaire lan en 1 voor je guest lan. Zo heb ik het hier tenmiste ingesteld en dat werkt zoals ik graag wil met ook maar 1 kabel tussen Router en accespoint. Gasten kunnen niet bij het lokale lan en krijgen een IP van mijn 2e DHCP server in een andere range dan het primaire lan. Omdat ik maar 1 wan IP heb, gaan ze vanuit de router wel onder hetzelfde wan ip het internet op, maar als je een 2e IP hebt moet je dat in je router kunnen instellen lijkt me.

[Toon-VA]

Wel, het zit zo dat de Zywall Router 2 WAN poorten heeft. Dit heeft als voordeel dat er dus 2 Public IP's kunnen worden gebruikt om te surfen op het internet. Doordat ik hier al gebruik maak van VLAN krijgen deze 2 WAN poorten beiden een Public IP toegewezen.

Omdat ik graag volledige scheiding heb van LAN en Guest wil ik dat mijn Guest netwerk via WAN2 het internet op gaat zodat er totaal geen link is met mijn intern LAN.
In de Firewall regels wordt er momenteel al gezorgd dat WAN1 dient voor LAN1 (intern LAN) en WAN2 dient voor LAN2 (Guest LAN).

Dit heeft nog als voordeel dat er soms download website's zijn waar je als Free user maar om de X tijd een download mag starten en ze dit tracken met je WAN IP. Doordat ik er 2 heb kan ik snel even op het ander netwerk gaan met de laptop en sneller een 2e download starten.


Nu om verder op de vragen te komen wat er lukt en wat niet.
Het Guest SSID werkt zonder problemen, ik zie het via mijn netwerkcentrum in Windows en kan er mee verbinding maken. Alleen als ik dan kijk naar de DHCP lease dan is dit de range van mijn Intern LAN wat niet mag. Speel ik met de VLAN's op de poorten van het AP dan geeft dit als resultaat dat het Guest netwerk werkt maar het gewone Interne LAN niet meer naar internet kan.

Ik zit dus ergens vast dat als ik VLAN1/2 verkeerd koppel er telkens maar één van de 2 SSID's op het internet kan.

[Sneezydevil]

Ik zie even door de bomen het bos niet meer, maar je AP zit met 1 kabel op de switch aangesloten?

Zo ja moeten toch ook beiden vlans over die kabel heen? Bijvoorbeeld vlan1 untagged en vlan2 tagged of beiden tagged (Is een beetje afhankelijk van je AP).

Vervolgens nog de poort naar LAN2 op de switch op zo instellen dat het verkeer van vlan2 daarover gaat.

[VVV-007]

Zoals Sneezydevil al aangeeft en ik ook zie hoe je AP momenteel is ingesteld is dat inderdaad het geval. Je moet de 2 Wan kabels van het modem dan aansluiten op je switch en toewijzen aan tagged VID1(private) en tagged VID2 (guest)
Vervolgens moet je je AP aansluiten op een van de 2 trunk poorten van je switch. Op deze mannier komen beide Vlans via 1 kabel aan bij de AP welke ze dan weer scheid.

Stel je verbind je switch via poort 1 met je modem wan poort voor je interne netwerk en poort 2 met het guest netwerk.

stel dan in de switch VID1 in voor poort 1 en VID2 voor poort 2

Vervolgens moet je je accespoint verbinden met 1 van de 2 TRUNK poorten van je switch. (indien nodig moet je de trunk poort activeren)

Via de TRUNK worden namelijk al je VLANS door gegeven, waarna je accespoint ze weer van elkaar scheid en toewijst aan de verschillende SSID's.

Volgens mij moet het op die mannier gaan werken voor je. Op je switch moet je vervolgens alle poorten die je wilt gebruiken via je private lan ook toewijzen aan tagged VID1 (en als je dat wilt, poorten voor je guest lan aan tagged VID2).

note...
Ik ben zelf echter ook nog maar sinds kort met Vlan's aan het 'spelen' maar voor zover als ik het nu begrijp zou dit moeten werken. Als ik het niet bij het juiste eind heb hoor ik graag een reactie want daar leer ik ook weer van tevens hoop ik dat er dan iemand reageert die hier meer verstand van heeft om te helpen

[geerttttt]

Even heel wat anders. Waarom helemaal een zywall, vlans, LAN bonding en weet ik wat voor een internetverbinding van je ouders. Of zit er aan hun huis een compleet MKB kantoor vast ofzo?

[s3.]

Je opstelling op de USG is sowieso fout waarbij je gebruik maakt van 2 WAN poorten:

1. Definieer je WAN-IP's als address objects
2. Activeer 1 WAN op je USG
3. Definieer de LAN IP's als address objects, desnoods in groepen die via een bepaalde WAN-IP naar buiten moeten
4. Maak gebruik van Routing Policy om bepaalde address objects via een andere WAN-IP naar buiten te sturen bijv:

Incoming: LAN1
Source: <Guest VLAN subnet>
Destination: Any
Service: Any
Next-Hop: WAN1
SNAT: WAN-IP2

Incoming: LAN1
Source: <Normale VLAN subnet>
Destination: Any
Service: Any
Next-Hop: WAN1
SNAT: WAN-IP1

Als je met 2 WAN poorten werkt, loop je naar mijn idee tegen teveel dingen aan.

Ik heb niet je volledige verhaal gelezen, maar de wijze waarop ik Guest VLAN's op AP's aanmaak achter HP switches en een ZyWALL is als volgt:

1. Maak VLAN2 aan op de USG (interface type: internal, DHCP aanzetten op een ander subnet)
2. Maak een address object aan op basis van de DHCP subnet van bovenstaande VLAN (naam: VLAN2-range)
3. Maak een firewall rule aan: FROM LAN1 > TO LAN1 > Source VLAN2-Range > Destination LAN1_Subnet > Service Any > Reject
4. Maak op basis van mijn vorige alinea een Policy route aan als het met een ander WAN-IP naar buiten moet
5. Maak dezelfde VLAN aan op de HP switch
6. Zet zowel de uplink poort als de AP poort op Tagged VLAN 1-2

Dan zou alles moeten werken. Ik snap niet waarom ik diverse VLAN ID's op verschillende poorten in je verhaal lees.

Tip: Speel nooit met de default firewall rules van een ZyWALL