Bridge VLAN - LAN (internes und Gäste WiFi)

[boehan]

Hallo zusammen,

ich habe ein kleines Problem mit meiner Konfiguration und hoffe, dass mir jemand weiterhelfen kann.
Ich betreibe eine APU2 mit 3 Interfaces mit opnsense (igb0 --> WAN; igb1 --> LAN). Für WLAN habe ich mir jetzt einen AP zugelegt und am dritten Interface angeschlossen (igb2 --> OPT1). Zur Trennung von internem und Gäste-Wlan habe ich am entsprechenden Interface 2 VLANs (vlan20 --> VLAN_extern; vlan30 --> VLAN_intern) angelegt und den entsprechenden WLAN-Netzen am AP zugewiesen.

Die Geräte im internen VLAN (vlan30) würde ich nun gerne direkt ins LAN einbinden und habe daher ein BRIDGE-Interface angelegt. Damit der AP via DHCP eine IP erhält habe ich das Interface OPT1 ebenfalls zur bridge hinzugefügt.
BRIDGE0: LAN, VLAN_intern, OPT1

Mein Problem ist, dass die Geräte im WiFi des internen VLAN zwar via DHCP eine IP zugeteilt bekommen, aber keine Kommunikation in das restliche LAN oder ins Internet möglich ist und umgekehrt. Firewall-Regeln wurden am bridge-Interface erstellt und funktionieren für das LAN auch. Es werden auch keine Firewall-Logs vom internen VLAN-generiert, also an den Reglen sollte es nicht liegen.
Die Kommunikation von externen/guest VLAN ins Internet funktioniert hingegen, wie gewünscht.

Irgendeine Ahnung wo der Fehler liegen könnte? Andere Vorschläge zur Umsetzung (ohne auf einen VLAN-fähigen Switch zu setzen)?
Ist es überhaupt richtig, dass das Interface der VLANs an dem der AP angeschlossen ist (OPT1) Teil der Bridge ist, oder stellt das gar ein Problem mit der Abgrenzung des ebenfalls am selben Interface liegenden externen VLAN dar? Wenn nicht, wie bekommt er sonst eine IP aus dem LAN-Netz?

Hoffe das folgende Diagramm stellt die Situation einigermaßen klar dar.

Code Select Expand

      WAN / Internet
            :
            : DialUp-/PPPoE-/Cable-/whatever-Provider
            :
      .-----+-----.
      |  Gateway  |  (or Router, CableModem, whatever)
      '-----+-----'
            | DHCP
        WAN |
            |
      .-----:-------.   OPT1
      |  OPN:sense  +---------.
      |  (Br:dge)   |         |
      '-----:-------'         |
            |           .-----:-------. 
        LAN |           |   WiFi-AP   +-------- VLAN20 (VLAN_extern)
            |           '-----:-------'
            |                 |
            |           VLAN30 (VLAN_intern)
      .-----+------.          |
      | LAN-Switch +--------bridge
      '-----+------'
            |
    ...-----+------... (Clients/Servers)

[boehan]

Hat sich erledigt, war bloß etwas zu kompliziert gedacht. Ich habe jetzt das interne VLAN einfach weggelassen und lasse auch das interne WLAN ungetagged. Bleibt also nur mehr ein VLAN für das Gastnetz und die Bridge zwischen LAN und OPT1 und alles funktioniert wie gewünscht.