Gescheiden wifinetwerken d.m.v. VLAN's met de TP link EAP245

[jh25]

Hallo,

Ik heb een set aangeschaft van TP link met 2x een EAP245 AP en een OC200 controller, deze wil ik gaan gebruiken als vervanger voor de wifi van mijn Fritzbox 7560. (de wifi van de fritzbox moet dus uitgeschakeld gaan worden)

Op de fritzbox heb ik in de huidige situatie een prive en een gastnetwerk ingesteld met de mogelijkheden die de fritzbox daarvoor bied. Het prive netwerk heeft subnet 192.168.178.x en het gastnetwerk 192.168.179.x (zoals standaard)

Nu heb ik op de TP link controller de beide AP's gekoppeld aan de OC200, zodat ze centraal beheerd kunnen worden. En ik heb in de OC200 ook twee netwerken aangemaakt, prive en gast. Bij het gastnetwerk heb ik de optie 'Guest Network' op Enable gezet, en vanaf dit netwerk kan ik ook niet meer bij mijn NAS etc op het privenetwerk komen. Dus dat is in de basis zoals het zijn moet.

Maar als ik verbonden ben met het gastnetwerk van de TP link, heb ik wel een IP adres in de range van het privenetwerk 192.168.178.x.

Ik heb een managed switch (HP ProCurve 1800-24G J9028B) waarin ik twee VLANS ingesteld heb, VLAN 1 is voor het privenetwerk en VLAN 10 voor het gastnetwerk, ik heb poort 1 van de switch ingesteld op VLAN1 en poort 2 op VLAN10, poort 1 aangesloten op LAN2 van de fritzbox en poort 2 aangesloten op LAN4 van de fritzbox, deze LAN4 heb ik in de fritzbox ingesteld op GUEST. Dat werkt allemaal prima, als ik willekeurige poort van de switch VLAN10 toewijs, heb ik op de computer die daarop aangesloten is netjes een IP adres in de 192.168.179.x range. (in het gastnetwerk dus)

De poorten 12 (OC200), 13 (AP1) en 14 (AP2) heb ik ingesteld op VLAN 1 en 10 (weet niet of dat daadwerkelijk zo werkt?)
Als ik nu echter in de OC200 bij de instellingen van het gastnetwerk onder het kopje 'Advanced Settings' VLAN op ENABLE zet en hier VLAN10 ingeef kan ik niet meer verbinden met het gastnetwerk, ik krijg dan een melding 'Kan IP adres niet verkrijgen'

Het 'vreemde' is dat tijdens het verbinden met het gastnetwerk (wat dus uiteindelijk niet lukt) ik wel mijn smartphone in dit geval in de fritzbox zie onder Network > Network Connecties mét een IP adres in de 179 range (dus van het gastnetwerk), zodra ik uiteindelijk de melding van 'Kan IP adres niet verkrijgen' zie, is het ook weer verdwenen uit de fritzbox.

Ben ik misschien vergeten een bepaalde instelling goed te zetten, of iets anders?
Heeft iemand hier ervaring mee?

Alvast bedankt voor het meedenken!

[jadjong]

tagged vlan is het sleutelwoord voor je zoektocht.

[jh25]

Zie de foto voor een screenshot van de instellingen in de switch.

Ik kan wel de optie 'Tagged Only' aanklikken, maar dan is mijn OC200 controller onbereikbaar zowel wanneer ik m op 1 of op 10 zet, alleen bij 'All' is de OC200 bereikbaar.


De afbeelding wordt er niet bijgeplaatst zie ik..

[ Voor 10% gewijzigd door jh25 op 13-03-2021 20:51 ]

[Arthion-nl]

Wat ik ik mis in jou verhaal ondersteund jou Fritzbox wel vlans ? Ik ga er vanuit dat de routering (DHCP,DNS) door de fritzbox geregeld wordt.
Als de Fritzbox geen Vlans ondersteund heeft weinig zin om een Vlan aware switch te gebruiken....

Dus ondersteund de Fritzbox vlans ?

[jh25]

Arthion-nl schreef op zaterdag 13 maart 2021 @ 21:57:
Wat ik ik mis in jou verhaal ondersteund jou Fritzbox wel vlans ? Ik ga er vanuit dat de routering (DHCP,DNS) door de fritzbox geregeld wordt.
Als de Fritzbox geen Vlans ondersteund heeft weinig zin om een Vlan aware switch te gebruiken....

Dus ondersteund de Fritzbox vlans ?

Ja en nee, hij heeft wel twee aparte subnets voor het prive en het gastnetwerk (178 en 179 range)
Maar in de fritzbox kan ik nergens een VLAN ID instellen. Alleen dus LAN poort 4 toewijzen aan het gast subnet. En dat werkt wel, want als ik poort 2 en 4 (computer) in dezelfde VLAN ID plaats in de switch krijgt de computer wel een ip adres uit de 179 range, en dat is die van de gasttoegang.

Als ik in de OC200 controller als VLAN ID 1 opgeef krijg ik wel correct verbinding met dat wifi netwerk, ben ik net achter gekomen, maar zodra ik het wijzig naar 10 dus niet meer.

[Ben(V)]

Die Fritzbox zal wel port based vlans hebben, die doet dus niet aan tagging.

Met andere woorden je kent een port van die Fritzbox aan het gewone of het guest netwerk toe.
Dus op de guest poort zit alleen het guest verkeer en niet het overige verkeer, je kunt daarachter dus ook geen vlan selectie meer doen en vice versa.

Om te doen wat jij wilt heb je een router nodig die vlan tagging ondersteund.

Of zoals de meeste mensen doen niet met vlans werken maar gewoon een guest ssid en een gewoon ssid, gebruiken voor je wifi.
Ik neem tenminste aan dat je geen guests op je bekabelde netwerk nodig hebt.

[ Voor 21% gewijzigd door Ben(V) op 13-03-2021 22:51 ]

[jh25]

Ben(V) schreef op zaterdag 13 maart 2021 @ 22:24:
Die Fritzbox zal wel port based vlans hebben, die doet dus niet aan tagging.

Met andere woorden je kent een port van die Fritzbox aan het gewone of het guest netwerk toe.
Dus op de guest poort zit alleen het guest verkeer en niet het overige verkeer, je kunt daarachter dus ook geen vlan selectie meer doen en vice versa.

Om te doen wat jij wilt heb je een router nodig die vlan tagging ondersteund.

Of zoals de meeste mensen doen niet niet vlans werken maar gewoon een guest ssid en een gewoon ssid, gebruiken voor je wifi.
Ik neem tenminste aan dat je geen guests op je bekabelde netwerk nodig hebt.

Ja inderdaad, dat vermoeden had ik ook al..
Ik zit te denken aan een PF sense 'router' heeft daar iemand ervaring mee wat betreft VLAN's etc?
Of zijn er andere/betere alternatieven?

[Ben(V)]

Gewoon ssid's gebruiken, vlans zijn gewoon overkill

[Luxicon]

Ben(V) schreef op zaterdag 13 maart 2021 @ 22:50:
Gewoon ssid's gebruiken, vlans zijn gewoon overkill

Mwa, dat weet ik niet, gezien @jh25 een HP ProCurve 1800-24G J9028B gebruikt. Zou dat toch zonde zijn om niet meer gebruik te maken van de mogelijkheden?

[Ben(V)]

Tuurlijk een extra dure router kopen omdat je een switch hebt die vlans ondersteund.

Dat is meer van "niet omdat het zinvol is, maar omdat het kan".

[Arthion-nl]

jh25 schreef op zaterdag 13 maart 2021 @ 22:07:
[...]


Ja en nee, hij heeft wel twee aparte subnets voor het prive en het gastnetwerk (178 en 179 range)
Maar in de fritzbox kan ik nergens een VLAN ID instellen. Alleen dus LAN poort 4 toewijzen aan het gast subnet. En dat werkt wel, want als ik poort 2 en 4 (computer) in dezelfde VLAN ID plaats in de switch krijgt de computer wel een ip adres uit de 179 range, en dat is die van de gasttoegang.

Als ik in de OC200 controller als VLAN ID 1 opgeef krijg ik wel correct verbinding met dat wifi netwerk, ben ik net achter gekomen, maar zodra ik het wijzig naar 10 dus niet meer.

Correcte antwoord is dus hij ondersteund Vlan niet want hij split de guest network fysiek af en hangt eigen subnetje erachter maar niet virtueel zoals een Vlan.
Klassieke fout dat het vergeten wordt dat de router in zo geval wel Vlan aware moet zijn anders werkt Vlan niet correct.

Persoonlijk zou ik voor router gaan die Vlan aware is i.p.v. een router met guestwork(SSID) i.v.m. vele beperkingen.

[Kasper1985]

Afhankelijk van wat voor een verbinding je hebt volstaat hiervoor een Edge router X (SFP) of goedkoop mikrotik ding zonder wifi.

Je begint dan met de keten op de router: dus interfaces aanmaken met de vlans eth0.10 en eth0.1 bijvoorbeeld.

Die tag je naar de switch en op de switch tag je de poort waar de accesspoint op zit ook weer.

Wat je nu hebt gedaan is het vlan pas aanmaken bijna aan het einde van de keten.

Als je het leuk vindt om te hobbyen/tweaken zijn bovenstaande leuke routers om mee te beginnen.

Als je gewoon wil dat het werkt zonder inspanning hou het dan bij de fritzbox

[jadjong]

jh25 schreef op zaterdag 13 maart 2021 @ 22:42:
[...]


Ja inderdaad, dat vermoeden had ik ook al..
Ik zit te denken aan een PF sense 'router' heeft daar iemand ervaring mee wat betreft VLAN's etc?
Of zijn er andere/betere alternatieven?

Aangezien je wel een gast-ip krijgt door een computer met kabel te verbinden werkt router <-> switch zoals gewenst.
Je moet alleen nog even de vlans van de switch naar het accespoint goed krijgen.
Lokaal vlan: untagged op poorten 12,13,14
Guest vlan: tagged op poorten 12,13,14
HP werkt met pvid. Je zet de poorten dus op 'ALL' en het vlan wat je niet wilt taggen selecteer je in het pvid.
Zie link:
https://community.hpe.com...tgear-switch/td-p/7092476
1: All, pvid 1
2: All, pvid 10
12,13,14: All, pvid 1
Dan nog twee kabels naar de Fritz en hopen dat spanning-tree geen roet in het eten gooit.

[ Voor 25% gewijzigd door jadjong op 14-03-2021 10:35 ]

[Vorkie]

2 kabels naar je switch

1 in pvid 1, 178 netwerk
1 in pvid 10, 179 netwerk

AP zet je default in 1, tagged 10

Gastennetwerk ssid in vlan 10
De rest default

Zo zou het moeten werken.

[jh25]

jadjong schreef op zondag 14 maart 2021 @ 10:28:
[...]

Aangezien je wel een gast-ip krijgt door een computer met kabel te verbinden werkt router <-> switch zoals gewenst.
Je moet alleen nog even de vlans van de switch naar het accespoint goed krijgen.
Lokaal vlan: untagged op poorten 12,13,14
Guest vlan: tagged op poorten 12,13,14
HP werkt met pvid. Je zet de poorten dus op 'ALL' en het vlan wat je niet wilt taggen selecteer je in het pvid.
Zie link:
https://community.hpe.com...tgear-switch/td-p/7092476
1: All, pvid 1
2: All, pvid 10
12,13,14: All, pvid 1
Dan nog twee kabels naar de Fritz en hopen dat spanning-tree geen roet in het eten gooit.

Vorkie schreef op zondag 14 maart 2021 @ 10:32:
2 kabels naar je switch

1 in pvid 1, 178 netwerk
1 in pvid 10, 179 netwerk

AP zet je default in 1, tagged 10

Gastennetwerk ssid in vlan 10
De rest default

Zo zou het moeten werken.

En zo werkt het inderdaad! Maar niet als je de een van de beide AP's in de verkeerde poort van de switch stopt....

Ik ben er achter gekomen doordat ik nu op een andere plek in huis zat dan gisteravond, waardoor ik dus dichter bij het andere AP zat en daar dus mee verbond, en toen bleek dat ik het ene AP op poort 11 van de switch had aangesloten in plaats van in poort 13.. (zitten ook vlak bij elkaar natuurlijk ) En poort 11 was niet aangevinkt in VLAN 10.

Nu werkt het goed, als ik met het wifi netwerk verbind wat in VLAN 10 zit krijg ik netjes een IP uit de 179 range, en kan ik niet meer bij apparaten in het 178 subnet komen.

Allemaal bedankt voor het meedenken en de tips!