Ubiquity unifi: basis VLAN setup

[Boudewijn]

Hoi allen,

Ik heb een ubiquity setupje: Access point, controller, unified security gateway en switch. Allemaal van ubiquity, unifi serie.

Nu heb ik bedacht hoe ik mijn VLANs wil, maar ik krijg het niet goed aan de praat. Ik wil 3 WiFi's:

- 192.168.1.0/24:(geen vlan) mijn eigen wifi (voor mezelf + vriendin).
- 192.168.2.0/24: (vlan 2) een gasten wifi met captive portal, werkt. Ook zonder vlan werkt dat prima, unifi controller regelt een captive portal, dhcp en een firewall rule (die alle communicatie met 192.168,172.16 en 10.* verbiedt).
- 192.168.3.0/24: (vlan 3) een iot wifi. Dit is voor iot devices die wel van mij zijn, maar die ik niet echt vertrouw.


Mijn idee is dat alle hardware die fysiek aan het netwerk hangt by default in het ongetagde netwerk komt, je hebt dan immers al toegang tot mijn switch. Ik wil ook niet allerlei nieuwe spullen elke keer in een vlan moeten zetten, dus dat lijkt te kloppen.

Ik heb gelezen:
Wat algemene lectuur over VLANs en de 802.1Q implementatie ervan, en ik heb de tutorial van ubnt bekeken:
YouTube: Virtual LANs (VLANs)


Waar ik nu mee zit is hoe ik die VLANs aan 'netwerken' in unifi hang; de controller wil graag netwerken hebben zodat hij daar netjes DHCP op uit kan geven.
Die koppeling zie ik ook wel: zie de vlan-iprange mapping hierboven.

Hoe moet ik dit nu goed instellen? Aan het default netwerk kan ik geen VLAN hangen, dit is dus kennelijk de trunk. Moet ik voor mijn prive-netwerk dan alsnog een vlan4 maken waar de prive dingen inzitten? Als nieuwe clients daar default inkomen lijkt me dit niet de bedoeling of wel?
Een andere reden waarom ik meerdere netwerken aan moet maken: als ik wil dat de router meerdere IPs op het LAN heet (in de verschillende subnets) moet ik netwerken aan maken, anders gebeurt dit niet.

Concreet: hoe map ik correct mijn vlan's aan mijn "networks" in ubiquiti unifi?

[ThinkPad]

Het default netwerk zal luisteren op VLAN1 vermoed ik, dit is zover ik weet altijd het default VLAN als je niet expliciet een VLAN meegeeft.

M.b.t. DHCP, volgens mij heb je een USG nodig als je een DHCP server wilt opzetten binnen de UniFi controller, met alleen een AP lukt dat niet. Je hebt een USG zie ik. Geen idee dan, ik heb zelf geen USG dus even wachten tot er een Ubiquiti expert langskomt

Je idee kan overigens prima hoor, ik heb een gastennetwerk op een apart VLAN en IoT spul ook (met hidden SSID) op een eigen VLAN. Mijn router is pfSense (als VM) en ik zorg dat de VLANs als aparte interface in pfSense binnenkomen. Vervolgens is het super simpel om daar een DHCP server aan toe te wijzen. Met een set firewall regels zorg ik vervolgens dat gast alleen het internet op kan (niet bij m'n LAN kan komen) en dat de IoT niet op internet kan, tenzij het device in de allow rule voorkomt.

Ik zou trouwens niet 192.168.1.0 als range pakken. Is niet handig als je een VPN-verbinding naar huis wilt opzetten vanuit een netwerk die ook die range gebruikt. Begin bijv. bij x.x.3.0 en pak voor je gast x.x.4.0 en voor je IoT x.x.5.0

[ Voor 38% gewijzigd door ThinkPad op 22-08-2017 23:06 ]

[Boudewijn]

ThinkPadd schreef op dinsdag 22 augustus 2017 @ 22:46:
Het default netwerk zal luisteren op VLAN1 vermoed ik, dit is zover ik weet altijd het default VLAN als je niet explicitet een VLAN meegeeft.

Ha ThinkPad, dank voor je reactie!
Ja dat snap ik.

Ik zou trouwens niet 192.168.1.0 als range pakken. Is niet handig als je een VPN-verbinding naar huis wilt opzetten vanuit een netwerk die ook die range gebruikt. Begin bijv. bij x.x.3.0 en pak voor je gast x.x.4.0 en voor je IoT x.x.5.0

Goed punt, die ga ik morgen omkatten.

Enige waar ik dus wel mee zit is hoe ik die netwerken aanmaak (zodat de router netjes in alle subnets hangt aan de LAN kant) en en goed aan de VLANs knoop.

[Shinji]

Ik heb momenteel volgens mij wat jij wil draaien.

Private VLAN 10.10.1.X - met DHCP van 10.10.1.20 - 10.10.1.200 - Geen VLAN tag
Guest VLAN 192.168.1.X - met DHCP 192.168.1.20 - 192.168.2.200 - VLAN tag 10

Bij de laatste is het type netwerk ook echt een Guest netwerk.

Dit configureer je gewoon bij Settings -> Networks. Op beide moet dus gewoon een DHCP server instellen. Bij Gateway / subnet configureer je eigenlijk het IP adres van je USG op dat segment.

Daarna kan je bij je Settings -> Wireless Networks hetzelfde VLAN opgeven voor het gasten SSID als je bij je Guest netwerk heb gedaan (10 in geval van het voorbeeld). Voor je eigen SSID hoef je dan geen VLAN op te geven.

De controller provisioned dit automatisch naar zowel controller als switch als USG.

[ Voor 5% gewijzigd door Shinji op 23-08-2017 11:28 ]