Realisierung mehrer WLAN SSID mit eigenem Ethernet

[ole]

Hallo opnsense Freunde,

der Titel ist evtl. etwas irreführend, daher meine Idee am Anhang. Ich habe eine APU4, bei der ich den gesamten WLAN Kram auf eine von den 4 Dosen legen wollte um ggf. alles mit einmal sperren/ziehen zu können.
Aktuell gibt es bei mir keine DMZ und das Unifi UFO hängt bei mir im LAN, konfiguriert via Unifi Controller auf einem Mini PC als Docker Image. Das geht soweit gut, obwohl mir da schon als Freizeit Admin unwohl ist. Daher alles auf die igb2.

Die Tutorials, welche ich gefunden habe, haben alle? mit VLAN und vom Unifi-Controller aus gearbeitet. Mir ist aber nicht klar, wie ich einen dummen AP aus dem AC Lite machen soll - um alles auf der opnsense zu machen - Vaucher etc. Auch läuft der Uni Controller ja im LAN und weiß erst'mal nichts vom VLAN .... Wie geht man da am besten vor - mit Für und Wider - ich finde den Unifi Controller einfach überfrachtet ...

Auch sollte der Unifi Controller, dem Rat aus diesem Forum folgend, nicht unbedingt auf opnsense laufen. Srv1 hat noch andere Aufgaben und IIR muss der Unifi Controller nicht ständig laufen (wir nur zur Konfig. benötigt).

[micneu]

Also, wenn ich es richtig verstanden habe geht es um dein Netzwerk zuhause.
Ich habe bei mir zuhause den cloud-Key auch in meinem lan laufen und habe noch ein Gäste lan/wlan in einem anderen vlan.

Warum mache ich es so: ich will mich nicht zu Tode Konfigurieren und deshalb habe ich für das wlan KEIN eigenes Netz. Ist ja nur bei mir zuhause.. ich hänge mal mein netzwerkplan an.



Gesendet von iPhone mit Tapatalk Pro

[ole]

Also, wenn ich es richtig verstanden habe geht es um dein Netzwerk zuhause.

Warum mache ich es so: ich will mich nicht zu Tode Konfigurieren und deshalb habe ich für das wlan KEIN eigenes Netz. Ist ja nur bei mir zuhause.. ich hänge mal mein netzwerkplan an.

Ja, es geht um das Netzwerk zu Hause. Für VLAN müssen aber auch die Firewall u.a. Regeln erstellt werden - m.M. ist der Aufwand der Selbe. Nur erlauben VLANs mehrere Netzsegmente über die gleiche Leitung, aber dennoch getrennt, zu schubsen. Mein Switch macht da sogar mit IIRC.

[hkp]

Ich hab mit dem Wechsel auf Unifi mein "Heim-LAN" in ein VLAN gepackt. Dann die verschiedenen WLANs (SSIDs) ebenfalls alle in getaggte VLANs. Das "Heim-WLAN" nutzt entspr. dieselbe VLAN-ID wie das "Heim-LAN". Auf der OPNsense VLAN-Interfaces + FW-Rules angelegt (der Aufwand dafür ist sehr überschaubar).
Ich hab bei mir den Controller als Docker-Image auf ner Synology laufen. Nutze allerdings kein Ticketsystem, sondern nur die Konfiguration + Logging.
Der Controller läuft im Managent-VLAN. Das ist das einzige ungetaggte VLAN in meinem Netz.

[ole]

Danke für Eure Darstellungen. Anbei einige Fragen.

Meine Unifi AP hatte ich vor einem Jahr schon einmal eingebunden in einem anderen Netz als heute (das heutige Projekt hatte ich schon einmal vor einem Jahr angefangen, aber als div. Gründen abbrechen müssen), und hatte arge Probleme den wieder in mein jetziges einzubinden (reset, per SSH auf das UFO und dann die inform URL fixen IIRC). Wie klappt das wenn das Teil am VLAN hängt? IMO ist da busybox drauf ....

Unabhängig davon habe ich etwas mit dem VLAN experimentiert. Ich habe bei meinem alten Alix ein VLAN #20 am vr1 LAN port mit IP 192.168.20.1 an der pfsense mit aktivierten DHCP:



Bei den FW rules habe ich den Zugriff erlaubt, aber alle privaten LAN Bereiche ausgesperrt, so dass es nur ins WAN kann (diese Regeln habe ich auch bei meinem alten WLAN von irgendeinem Tutorial aus dem INET - lange ist's her):



Auf dem Unifi Controller habe ich nun neben dem localen Netzwerk (mein Heim Netz) auch das VLAN:



und das neue WiFi Net:



Wenn ich mich nun auf den AP einlogge, bekomme ich keine IP per DHCP. Vergebe ich dem Client eine statische IP hat er kein Internet.

Was habe ich da falsch gemacht?

[stefanpf]

Ich würde z.B. 3 Interfaces auf einem Port verwenden:
Igb2 untagged
Igb2_vlan10 für SSID1
Igb2_vlan20 für SSID2

Das Management LAN von dem AP lässt du im Untagged, den das hat das größte Potential zum Aussperren.

Falls du einen Vlan fähigen Switch besitzt, wäre es eventuell sinnvoller die Sense mit einen Trunk Port mit dem Switch zu verbinden. Dann könntest du z.B. SSID1 im gleiche Subnetz wie dein LAN betreiben, ohne dass du Routen (oder eine Bridge einrichten) musst.

[ole]

Ich würde z.B. 3 Interfaces auf einem Port verwenden:
Igb2 untagged
Igb2_vlan10 für SSID1
Igb2_vlan20 für SSID2

Das Management LAN von dem AP lässt du im Untagged, den das hat das größte Potential zum Aussperren.

Falls du einen Vlan fähigen Switch besitzt, wäre es eventuell sinnvoller die Sense mit einen Trunk Port mit dem Switch zu verbinden. Dann könntest du z.B. SSID1 im gleiche Subnetz wie dein LAN betreiben, ohne dass du Routen (oder eine Bridge einrichten) musst.

Das ist die Lösung, die ich gerade versuche umzusetzen. Wie ich zudem gerade gelesen habe, ist das Management des Controllers/AP nur von untagged LAN aus möglich.
Nur klappt es dann praktisch nicht

[stefanpf]

Management Switch vorhanden? Dann teste Leg dir erstmal 3 Ports untagged in jedes Vlan und teste ob DHCP funktioniert.
(zumindest bei der Apu3 muss "Disable VLAN Hardware Filtering" gesetzt werden, sonst klappt das nicht)

Ohne Switch würde ich erstmal nen Lapti an den Port hängen, DHCP kontrollieren. Schauen ob du über den Lapi Port 8080? (den aus der Inform-Url) am Kontroller erreichen kannst
 Wenn das klappt den AP anhängen.
Solltest du im Kontroller "Controller Hostname/IP" gesetzt haben und "Override inform host with controller hostname/IP" aktiviert haben, so muss das DNS diesen Namen auch korrekt auflösen.

Nachträgliche Änderungen bringen nichts, da der App den Kontroller ja nicht kontaktieren kann. Da kannst du nur per SSH mit set-inform-url nachhelfen (das hilft aber nur einmalig, solange du nicht die richtige Konfig abholen lässt.)

Erst wenn das klappt mit der WiFi Konfig beginnen.

[ole]

Management Switch vorhanden? Dann teste Leg dir erstmal 3 Ports untagged in jedes Vlan und teste ob DHCP funktioniert.
(zumindest bei der Apu3 muss "Disable VLAN Hardware Filtering" gesetzt werden, sonst klappt das nicht)

Ohne Switch würde ich erstmal nen Lapti an den Port hängen, DHCP kontrollieren. Schauen ob du über den Lapi Port 8080? (den aus der Inform-Url) am Kontroller erreichen kannst

Bei meinem Switch habe ich Port #6 auf tagged gesetzt - da hängt der POE Adapter mit dem Unifi AP dran. Habe ich das recht verstanden, dass dies der trunk ist (über den alles tagged/untagged läuft)?

Auf meiner Linux Box habe ich mein "eth0" ebenfalls getagt:

Code: [Select]

        $ sudo ip link add link enp5s0 name enp5s0.20 type vlan id 20
        $ sudo ip addr add 192.168.20.20/24 brd 192.168.20.255 dev enp5s0.20
        $ sudo ip link set dev enp5s0.20 up
        $ ip addr show dev enp5s0.20
        6: enp5s0.20@enp5s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
            link/ether 00:1f:d0:9d:e7:81 brd ff:ff:ff:ff:ff:ff
            inet 192.168.20.20/24 brd 192.168.20.255 scope global enp5s0.20
               valid_lft forever preferred_lft forever
        $ route -n
        Kernel IP Routentabelle
        Ziel            Router          Genmask         Flags Metric Ref    Use Iface
        0.0.0.0         192.168.1.1     0.0.0.0         UG    100    0        0 enp5s0
        192.168.1.0     0.0.0.0         255.255.255.0   U     100    0        0 enp5s0
        192.168.20.0    0.0.0.0         255.255.255.0   U     0      0        0 enp5s0.20
        192.168.122.0   0.0.0.0         255.255.255.0   U     0      0        0 virbr0

Für mein Verständnis sollte nun zumindest ein ping auf das gateway möglich sein:

Code: [Select]

        $ ping 192.168.20.1
        PING 192.168.20.1 (192.168.20.1) 56(84) bytes of data.
        From 192.168.20.20 icmp_seq=1 Destination Host Unreachable
        From 192.168.20.20 icmp_seq=2 Destination Host Unreachable
        From 192.168.20.20 icmp_seq=3 Destination Host Unreachable

Auf der pfsense gab es auch keine DHCP Vergabe, auch wenn lt. log dort gelauscht wird:

Code: [Select]

May 8 21:01:31 dhcpd Sending on BPF/vr1_vlan20/00:0d:b9:32:41:71/192.168.20.0/24
May 8 21:01:31 dhcpd Listening on BPF/vr1_vlan20/00:0d:b9:32:41:71/192.168.20.0/24

Aber auch wenn ich ein gateway per Hand eingebe.

Code: [Select]

        $ sudo ip route add default via 192.168.20.1
        $ route -n
        Kernel IP Routentabelle
        Ziel            Router          Genmask         Flags Metric Ref    Use Iface
        0.0.0.0         192.168.20.1    0.0.0.0         UG    0      0        0 enp5s0.20
        0.0.0.0         192.168.1.1     0.0.0.0         UG    100    0        0 enp5s0
        192.168.1.0     0.0.0.0         255.255.255.0   U     100    0        0 enp5s0
        192.168.20.0    0.0.0.0         255.255.255.0   U     0      0        0 enp5s0.20
        192.168.122.0   0.0.0.0         255.255.255.0   U     0      0        0 virbr0
        $ping 192.168.20.1
        PING 192.168.20.1 (192.168.20.1) 56(84) bytes of data.
        From 192.168.20.20 icmp_seq=1 Destination Host Unreachable
        From 192.168.20.20 icmp_seq=2 Destination Host Unreachable

klappt es nicht. Nebenbei habe ich eben/oben das Netzwerk abgeschossen? Nachdem ich das VLAN device gelöscht habe war ich wieder online ...

In der Theorie klingt das taggen recht einfach, nur die Praxis fehlt mir hier wohl ... (nie zuvor damit gearbeitet).

Edit: Wie ich gerade am Unifi Controller gesehen habe, darf ich den Port #6 nicht VLAN 'taggen', da sonst die Einbindung nicht klappt - also wieder untagged gemacht. Somit hängen AP und Controller wieder im normalen LAN.

[stefanpf]

Am Anfang Versuch Mal nicht die Server etc. mit VLANs zu konfigurieren. Dann hast du irgendwann zuviele Unbekannte
Mal eine Beispielkonfig:
VLANs:
1- Management
2 - normales LAN
3- Gäste LAN

Angenommen du hast einen 8 Port Switch
P1 - Opnsense
        Untagged:VLAN1,
        Tagged:  VLan 2&3
P2 - Unifi Ap
        Untagged:VLAN1,
        Tagged:  VLan 2&3
P3 - Unifi Controller
        Untagged: VLAN 1
P4,5&6- Irgend ein Client im LAN
        Untagged: VLAN 2
P8- Irgend ein Client im Gästenetz (per Kabel)
        Untagged: VLAN 3

Prinzip grundsätzlich verstanden?
Alle Untagged Ports im gleichen VLAN bilden eine Art virtuellen Switch.

Die Begriffe sind bei den Herstellern teilweise unterschiedlich.
Aruba redet von un-/tagged, bei anderen kommt dann noch Begriffe wie  PVID mit ins Spiel.

[hkp]

Vielleicht noch ein paar Details zum besseren Verständnis:
Du kannst für jeden einzelnen Switch-Port einstellen, wie er getaggte und ungetaggte Pakete behandelt.

Im obigen Bsp. von stefanpf:

(a) ein ungetaggtes Paket an P1 wird vom Switch mit 1 getaggt und intern weiter geleitet. Verlässt es den Switch an P2, wird das Tag entfernt. Das Paket erreicht als "normales ungetaggtes" Paket den AP.

(b) ein ungetaggtes Paket an P4 wird mit 2 getaggt. Verlässt es den Switch an P2, wird das Tag NICHT entfernt. Der AP ordnet es deshalb der SSID zu, die mit VLAN2 konfiguriert ist.

(c) ein mit 3 getaggtes Paket an P1 behält sein Tag. Es könnte den Switch an P2 (weiterhin getaggt) oder an P8 (danach ungetaggt) verlassen. Alle anderen Ports sind für das Paket gesperrt, da sie nicht zu VLAN3 gehören.

Der Unifi AP erwartet für seine Konfiguration immer ungetaggte Pakete. Du musst deinen Switch deshalb so einstellen, dass die Pakete des Controllers den AP ungetaggt erreichen (im Bsp. als VLAN1 realisiert).

Wenn du auf der OPNsense zusätzliche VLAN Interfaces (zB IF2, IF3) anlegst und sie dem "physischen" Interface  zuordnest, kann sie über das physische If ungetaggt, über IF2 und IF3 getaggt kommunizieren. Du würdest deshalb den Controller über das physische Interface ansprechen, das "normale LAN" über IF2 und das "Gäste LAN" über IF3. Genauso würden deine beiden WLAN SSIDs auf IF2 bzw. IF3 abgebildet werden.

Warum sind P3..P8 ungetaggt?
Da "gewöhnliche PCs" erst mal nicht VLAN-fähig sind, würden sie getaggte Pakete nicht verarbeiten können.

Zur Wahl der VLAN-IDs:
Ich habe (abgesehen von PVID1) erst ab >= 10 genutzt, da mein Netgear Switch diverse einstellige IDs standardmäßig für protokollbasierte Dinge verwendet (zB. VoIP Traffic)...

[stefanpf]

Guter Hinweis mit den einstelligen IDs!
Unifi benutzt z.B. auch ID 1 für das normale LAN, so dass die ID dort nicht zur Verfügung steht.

Btw. man kann auch das Management Netz bei Unifi in ein Vlan packen. Ich würde  aber dringend davon abraten. 
Wenn man dann noch die 'tollen' Unifi Switche benutzt, hat man im Fehlerfall eine riesen Denksportaufgabe vor sich.

[hkp]

Ich war mir im Nachhinein tatsächlich nicht ganz sicher bzgl. der (un)?getaggten Kommunikation für die AP Config.
Da aber in meinem Controller das "Corporate LAN" keine VLAN-ID gelistet hat, hab ich's mal so unterstellt
Ja, ich hab die APs an einem Unifi 8P  hängen...

Ich hab desweiteren bei meinen Switches und der OPNsense drauf geachtet, mindestens einen ungetaggten Port zu haben, über den die Management-Oberfläche erreichbar ist. Ich hatte mich mal aus meiner alten Sophos UTM ausgesperrt nach einer verunglückten VLAN Konfiguration, war nicht schön

[ole]

Ersteinmal vielen Dank für die Geduld und Erklärungen. Ich hoffe, ich habe das Prinzip verstanden - bis auf den Trunk Port im zweiten Posting, welche Rolle er nun in diesem Beispiel spielt.

Ich habe nun 3 VLAN mit dem parent auf dem LAN device erstellt, VLAN10 (management) ist noch inaktiv, Normal (20) und Guest(30) LAN mit statischer IP auf 192.168.{20,30}.1 und DHCP in dem entsprechenden Netzsegment.



Auf dem Switch (Zyxel GS1900) habe ich nun folgendes eingestellt:



Ich hoffe, es spiegelt obiges Bsp. korrekt wieder (bis auf die Trunk Port Frage - nach den Dokus muss das der opnsense port sein). IMO sehr intuitiv ist das API von dem Zyxel nicht - eher pragmatisch/funktional.

Die Idee ist nun zu checken, ob am Port 10, 12, 14 das DHCP mir die IPs im Netz 192.168.{10,20,30}.0/24 vergeben werden. Eben getestet: klappt nicht mit den Settings bzw. Alix Board (die Settings für's APU3 habe ich bei mir nicht gefunden)

[stefanpf]

Kenne mich mit Zyxel nicht aus, aber für mich sieht das so aus als hängen alle Ports noch Mal untagged in VLAN1.

Bei den Untagged genutzten Ports sollte die PVID auf das gleiche VLAN eingestellt werden.
Bisschen Lesestoff:
https://support.zyxel.eu/hc/de/articles/360001390814-So-konfigurieren-Sie-VLAN-auf-Zyxel-Switche

Was meinst du mit APU3 Einstellungen? Etwa das Disable Vlan Hardware Filtering? Die Einstellung ist unter Interfaces / Settings zu finden.