Guest wifi network met vlan in IP-VPN met Unifi AP-AC-Pro

[Creep]

Mijn vraag: hoe scherm ik mijn bedrijfsnetwerk af op het vlan voor mijn Guest wifi netwerk, maar kan ik wel mijn DHCP-server gebruiken



Relevante software en hardware die ik gebruik
Unify controller, HP 1920 switch, Sonicwall firewall (als gateway voor clients)

Wat ik al gevonden of geprobeerd heb
Ik heb op de locaties een vlan 30 op de switches aangemaakt en ook op de datacenter switch. Ik heb het guest netwerk op de Unifi AP-AC-Pro ingesteld op vlan 30. Ik krijg nu een dhcp adres, mar kan daar ook alle servers mee benaderen. Dit wil ik voorkomen. Moet ik alleen de DHCP server ook in vlan 30 hangen?

[tomdabom]

Dus als ik het goed begrijp wil je dezelfde adressen die ook gebruikt worden in je branches uitdelen op je gasten netwerk ?

Welke servers heb je het over ? Staan deze achter de firewall op de colo ?

[Creep]

De servers staan in hetzelfde netwerk in het datacenter op dezelfde switch (netwerk 10.10.1.0/24). Hier draait ook de DHCP server. Andere servers hier zijn Exchange/SQL/File/apllicatie servers. Ik wil de toegang naar de servers vanaf het gast wifi netwerk op de Unify ontzeggen en alleen internet access geven.

[wwwFan]

Dan zul je op de router die het verkeer tussen de verschillende vlans routeerde met een ip helper adres moeten gaan werken. Daarmee kan je ervoor zorgen dat de DHCP request doorgaan naar een ander netwerksegment.

[valkenier]

Wat doet die firewall op 10.10.1.5? Als ik je plaatje goed begrijp zit die tussen je data-center servers (inclusief DHCP) en alle clients. Daar kun je toch toegang tot de servers blokkeren vanuit je VLAN 30. Moet je alleen zorgen dat DHCP verkeer wel wordt doorgelaten naar je DHCP server. Kennis is een tikje roestig hier, maar kan dat niet?

[drie van acht]

Ik zie even niet wat "IP-VPN" met het verhaal te maken heeft.

Zoals je het neerzet wil je niet alleen dezelfde DHCP-server gebruiken, maar ook dezelfde IP-adresruimte. Dan zijn de twee netwerken dus stiekem een en dezelfde. Dan moet je iets van een scheiding per packet filter verzinnen nadat je een manier hebt gevonden om gastadressen van bedrijfsadressen te onderscheiden.

Wil je dat niet dan heb je een extra adresreeks nodig, bijvoorbeeld 10.10.30.0/24. Dan kun je oftewel je DHCP-server een pootje in dat subnet (en dus ook dat (V)LAN) geven, oftewel met DHCP-relay de DHCP-aanvragen doorgeven naar de DHCP-server en de antwoorden weer terug doorgeven.

[Simon1984]

Even een vraag;

Heb je op de locaties nu een /24 gebruikt voor alles in dat stuk over verschillende VLANs?
Is mijn aanname correct dat VLAN hopping nu plaatsvind, dus untagged ga je van vlan 1 naar vlan 20?

Of zijn het kleinere segmenten?


PS. Je kunt op Ubiquiti toch ook client isolation aanzetten per SSID?