Gast-WLAN per VLAN vom lokalen Netz trennen

[Roffa]

Hallo liebe Forenuser,

ich benötige Hilfe zum Thema VLAN. Ich habe mich damit bisher noch nie auseinander gesetzt (leider) und muss nun folgendes Szenario realisieren:


- 2 Netze getrennt per VLAN
- 2 Accesspoints mit jeweils 2 SSID`s --> SSID 1 Intern --> SSD2 Gast


Intern :
Zugriff auf lokale Ressourcen und Internetanbindung

Gast:
Isolierte Clients, eigener IP-Adressbereich, kein Zugriff auf lokale Ressourcen, Internetverbindung

Vorhanden sind:
- 2 Accesspoints welche Multi-SSID beherrschen (jede SSID kann eine Vlan-ID zugewiesen werden).
- VLAN-Fähiger Switch
- LanCom Router

Ich habe mir es so vorgestellt:

Clients die sich am Internen Netz anmelden (VID 1) können auf andere Clients, NAS und co zugreifen und kommen über den LanCom Router ins Internet.
Clients die sich am Gast-Netz anmelden (VID 2) werden isoliert (Funktion in den Accesspoints vorhanden) und sollen lediglich über den LanCom Router ins Internet, ohne auf lokale Resourcen zugreifen zu können. Außerdem sollen diese einen anderen IP-Adressbereich bekommen und vom LanCom mit DHCP versorgt werden.
Mit dem Lancom müsste es ja sicherlich möglich sein, jede VLAN-ID einen DHCP / IP-Bereich zuordnen zu können, oder?


Meine Frage ist nun, wie konfiguriere ich den Router und Switch passend? Ich verstehe noch nicht ganz wie es funktioniert mit Tagged, untagged usw.

Die Accesspoints sind jeweils per einem Kabel am Switch verbunden, sagen wir Port 47 und Port 48.
Wie muss ich diese Ports im Switch konfigurieren? Die Accesspoints sollten ja je nach verwendeter SSID den VID-Tag 1 oder 2 vergeben.
Im Endeffekt muss ja nur VID2 vom restlichen Netz (VID1) getrennt werden.

Und muss der Router mit 2 Netzwerkkabeln am Switch verbunden verbunden werden oder geht das auch mit einem Kabel?
Wie müsste dann Port 1 (und 2?) am Switch konfiguriert werden, wo der Router dran hängt?
Wie müssen die restlichen Ports wo beispielsweise die NAS oder andere clients dran hängen konfiguriert werden?


Ich hoffe ihr könnt mir ein wenig auf die Sprünge helfen, damit ich es grob verstehe und dann selber weiß wie ich es konfigurieren müsste.

Vielen Dank schon mal für eure Mühe

 

[MasterBade]

Was sind denn das alles genau für Geräte?

Hier vielleicht schon mal eine grobe Übersicht:
https://www2.lancom.de/kb.nsf/1275/BF3A86301C98D1C6C12575C50030D0FD?OpenDocument

 

[rayze]

Die Accesspoints sind jeweils per einem Kabel am Switch verbunden, sagen wir Port 47 und Port 48.
Wie muss ich diese Ports im Switch konfigurieren? Die Accesspoints sollten ja je nach verwendeter SSID den VID-Tag 1 oder 2 vergeben.
Im Endeffekt muss ja nur VID2 vom restlichen Netz (VID1) getrennt werden.

Port 47,48 auf VLAN 1 Untagged, VLAN 2 Tagged

Und muss der Router mit 2 Netzwerkkabeln am Switch verbunden verbunden werden oder geht das auch mit einem Kabel?

Ein Kabel reicht. Nennt sich Trunk. Damit lassen sich ein Untagged und mehrere Tagged VLANs über ein Kabel übertragen

Wie müsste dann Port 1 (und 2?) am Switch konfiguriert werden, wo der Router dran hängt?

Port 1 auf VLAN 1 Untagged, VLAN 2 Tagged

Wie müssen die restlichen Ports wo beispielsweise die NAS oder andere clients dran hängen konfiguriert werden?

Restliche Ports auf VLAN 1 Untagged


Virtual LANs (VLANs) - YouTube

 

[Roffa]

Danke für die Hilfe. Jedoch scheint es nicht so zu funktionieren. Muss ich am Switch Trunks anlegen?
Wenn ja, für jeden Port (1, 47, 48) jeweils ein Trunk?

Und was muss ich am Lancom einstellen, Hybrid modus oder Trunk?


Ich habe es nun hinbekommen, das der LANCom beide vlans mit unterschiedlichen ip's versorgt.

Wenn ich mich an ssid1 anmelde, bekomme ich das 100er netz per dhcp und bei ssid 2 den 200er.

Soweit so gut, jedoch erreiche ich von ssid 1 keine lokalen Geräte. stecke ich in den port ein lan kabel wo der accesspoint drin steckt, dann komme ich an die geräte.

Wo steckt der Fehler?
Die Ports sind aktuell so eingerichtet wie es rayze geschrieben hat.

 

[Roffa]

So hat doch so geklappt. Nach stundenlanger Fehlersuche, hat doch tatsächlich der Accesspoint rumgespackt. Hatte noch einen baugleichen da und damit läuft es 1a.

Vielen dank

 

[rayze]

Und was muss ich am Lancom einstellen, Hybrid modus oder Trunk?

-> Hybrid

Tagging-ModusSteuert die Verarbeitung und Zuweisung von VLAN-Tags auf diesem Port.

Access (Niemals): Ausgehende Pakete erhalten auf diesem Port kein VLAN-Tag. Eingehende Pakete werden so behandelt, als hätten sie kein VLAN-Tag. Haben die eingehenden Pakete ein VLAN-Tag, so wird es ignoriert und so behandelt, als ob es zur Payload des Paketes gehört. Eingehende Pakete werden immer dem für diesen Port definierten VLAN zugewiesen.

Trunk (Immer): Ausgehende Pakete erhalten auf diesem Port immer ein VLAN-Tag, egal ob sie dem für diesen Port definierten VLAN angehören oder nicht. Eingehende Pakete müssen über ein VLAN-Tag verfügen, anderen*falls werden sie verworfen.

Hybrid (Gemischt): Erlaubt einen gemischten Betrieb von Paketen mit und ohne VLAN-Tags auf dem Port. Pakete ohne VLAN-Tag werden dem für diesen Port definierten VLAN zugeordnet. Ausgehende Pakete erhalten ein VLAN-Tag, außer sie gehören dem für diesen Port definierten VLAN an.

Default: Hybrid (gemischt)