VLANs en AP met guest network opzetten

[ulixes]

Ik zou in m'n woning graag volgende netwerksetup creëren:
http://users.skynet.be/ulixes/network2.html

De bedoeling zou zijn dat ik met het wireless AP niet alleen een draadloos home network kan creëren (geel) maar ook een guest network (rood) waarmee men enkel toegang krijgt tot internet, maar niet tot mijn privé-netwerk (geel). Alle gele clients moeten elkaar dus kunnen zien.

Ik ben absoluut geen netwerkexpert, maar ik dacht dit te kunnen bereiken met volgende hardware:

Router in de kelder: DrayTek Vigor 2120
Wireless AP: DrayTek VigorAP 902

Volgens deze tutorial kan ik met VLAN tagging bereiken wat ik wil.

Op poort 4 van de router geef ik dan zowel VLAN0 (VLAN tag 10, home network) als VLAN1 (VLAN tag 20 guest network) door. Op poort 4 verbind ik het AP en ik configureer SSID1 voor VLAN tag 10 en SSID2 voor VLAN tag 20)

Het enige wat me echter niet duidelijk wordt, is hoe ik ervoor zorg dat de lan printer en de switch met pc4, pc5 en pc6 afgeschermd zijn van het guest network. Deze toestellen zitten zoals aangegeven dmv UTP verbonden op het acces point.

Alvast bedankt voor jullie hulp / tips / suggesties!

[Mijzelf]

Een firewall regel. Alle verkeer uit het guest subnet met als bestemming het home subnet wordt geblokkeerd.

[TommyboyNL]

ulixes schreef op zaterdag 17 februari 2018 @ 18:40:
Het enige wat me echter niet duidelijk wordt, is hoe ik ervoor zorg dat de lan printer en de switch met pc4, pc5 en pc6 afgeschermd zijn van het guest network. Deze toestellen zitten zoals aangegeven dmv UTP verbonden op het acces point.

Dat doe je door die interfaces in het juiste VLAN te hangen, in jouw geval VLAN10m untagged.

[ulixes]

Sorry voor de domme vraag, maar hoe doe ik dat precies?

Of bedoel je dat ik VLAN0 untagged moet doorgeven aan het AP, en dat de toestellen die via UTP op het AP worden aangesloten dan automatisch op die untagged VLAN komen?

[TommyboyNL]

Geen idee hoe dat op een DrayTek werkt, ik heb dat tot nu toe alleen gedaan op devices van Check Point, Fortinet, Cisco, Netgear, TP-Link, Ubiquiti en 3com.
Je zal in elk geval de interfaces van je "Wireless AP" waat je je printer en switch op aan sluit, untagged VLAN10 moeten geven.
Welk verkeer je op de lijn tussen je router en "Wireless AP" tagged en untagged aanbiedt, zal je zelf moeten kiezen.

[Verwijderd]

Afgezien van de VLAN's.... wil je ook andere subnetten? Dus bv.

Thuis: 192.168.1.0.....
Gast: 10.0.0.1......

Zodat ze ook op dat nivo niet met elkaar kunnen praten.

Indien ja, dan moet je een router hebben (Mikrotik, pFsense, etc...) die twee of meer DHCP servers kan aanmaken, en routeren.

Heb ik opgezet in een kerk, met twee subnetten, twee VLAN's etc.... Zodat de gasten (WiFi) niet op het LAN kunnen komen van de kerk (penningmeester, bibliotheek etc...).

Alleen vanaf één IP adres op het LAN, kan men bij de AP's (om bv. wachtwoorden te wijzigen etc...). Ook de AP's zitten in een apart subnet (zodat van die handige scriptkiddies niet vi WiFi op de AP kunnen komen etc....)

Werkt goed.

[ulixes]

TommyboyNL schreef op zaterdag 17 februari 2018 @ 19:18:
Geen idee hoe dat op een DrayTek werkt, ik heb dat tot nu toe alleen gedaan op devices van Check Point, Fortinet, Cisco, Netgear, TP-Link, Ubiquiti en 3com.
Je zal in elk geval de interfaces van je "Wireless AP" waat je je printer en switch op aan sluit, untagged VLAN10 moeten geven.
Welk verkeer je op de lijn tussen je router en "Wireless AP" tagged en untagged aanbiedt, zal je zelf moeten kiezen.

Mja, probleem is dat ik in de demo-interface van de VigorAP 902 niet meteen een optie terugvindt om de LAN-poorten te configureren.

Heb net nog een andere tutorial gevonden die exact beschrijft wat ik wil bereiken, alleen wordt er dus niets gezegd over de clients die via UTP op het AP zijn aangesloten.

Verwijderd schreef op zaterdag 17 februari 2018 @ 19:45:
Afgezien van de VLAN's.... wil je ook andere subnetten? Dus bv.

Thuis: 192.168.1.0.....
Gast: 10.0.0.1......

Zodat ze ook op dat nivo niet met elkaar kunnen praten.

Indien ja, dan moet je een router hebben (Mikrotik, pFsense, etc...) die twee of meer DHCP servers kan aanmaken, en routeren.

Volgens mij ondersteunt de 2120 dit wel, bij de specs wordt in ieder geval "DHCP Server
Up to 2 IP Subnet" vermeld.

[TommyboyNL]

Als ik zo snel door de instellingen van de 902 klik, kan die niet wat jij wilt. Wellicht is het verstandig om naar wat professioneler spul te gaan kijken, zoals Ubiquiti.
Met de volgende spullen ben je er, en is alles vanuit één interface te managen (Dit vervangt in jouw tekening de router, switch, en wireless AP):

#	Product	Prijs	Subtotaal
2	Ubiquiti UniFi Switch (8-poorts, 60W PoE)	€ 109,95	€ 219,90
1	Ubiquiti UniFi AP-AC LITE (1-Pack)	€ 74,-	€ 74,-
1	Ubiquiti Unifi Security Gateway (USG)	€ 107,50	€ 107,50
1	Ubiquiti UniFi Cloud Key	€ 73,22	€ 73,22
Bekijk collectie Importeer producten		Totaal	€ 474,62

Als je geen PoE nodig hebt en alle kabels naar één punt kan krijgen, kan je de twee losse switches vervangen door bijvoorbeeld pricewatch: Ubiquiti UniFi Switch 24

[Verwijderd]

Een Cloudkey is pas nodig bij meer dan 3 AP's. Zit je eronder, dan is een Cloudkey overkil.

Éénmaal ingesteld, laat je de AP´s met rust.

[TommyboyNL]

Verwijderd schreef op zaterdag 17 februari 2018 @ 21:23:
Een Cloudkey is pas nodig bij meer dan 3 AP's. Zit je eronder, dan is een Cloudkey overkil.

Éénmaal ingesteld, laat je de AP´s met rust.

Maar je wilt ook je USG en switches kunnen beheren, dan is een cloud key toch behoorlijk praktisch, kan ik je uit ervaring vertellen.

[Verwijderd]

ulixes schreef op zaterdag 17 februari 2018 @ 18:40:
Het enige wat me echter niet duidelijk wordt, is hoe ik ervoor zorg dat de lan printer en de switch met pc4, pc5 en pc6 afgeschermd zijn van het guest network. Deze toestellen zitten zoals aangegeven dmv UTP verbonden op het acces point.

De poortjes waar je de PCs en de switch in steekt zet je ook in je thuisnetwerk (vlan 10), maar "untagged".

Dan worden er dus ethernet frames zonder tag heen en weer gezonden op die poortjes, maar de router en het AP zien ze toch als "ze horen in het thuisnetwerk VLAN".

[DiedX]

Hmmmm. Je kan kijken of je je router kan patchen naar de opvolger van OpenWRT. Ik ben zelf redelijk tevreden over mijn MikroTik, maar zou liever gaan voor Ubiquity of een Juniper SRX.

Prijsreeksen: 30 voor de openwrt, 60, 100, 500. Vergeet niet dat je managed switches nodig hebt.

[Quas]

Als je een afgeschermt gast netwerk wilt kan je ook af met een enkel unify accesponts. Hier zitten guest control opties op die je per wlan toe kan passen. Je kan dan zeggen dat de mensen die verbinding maken met netwerk gast niet bij de lokale subnetten mogen komen.
Dus geen gedoe met vlans enzovoort.

[WoBBeL]

De apparatuur die je hebt kan dit opzich aan, alleen moet je een switch op de plek van het AP aansluiten en daar het AP op aansluiten de overige apparatuur. Op de switch stel je dan de VLANs in.

[ulixes]

Bedankt voor alle antwoorden! Ik heb nog geen apparatuur gekocht, dus ga nu even verder uitzoeken wat me het beste zou uitkomen.

Ubiquiti spul ziet er leuk uit, maar is ook wat duurder en misschien wat overkill voor een setup die ik 1x wil configureren en dan vergeten. Ik zou het AP ook aan de muur moeten bevestigen, en ik meen te hebben begrepen dat de Ubiquiti APs eerder bedoeld zijn voor plafondmontage.

[ Voor 0% gewijzigd door ulixes op 19-02-2018 20:04 . Reden: spelfout ]

[Verwijderd]

Nee, de AP's van Ubiquiti kan je gewoon aan de muur bevestigen hoor.