WLAN-Gastnetzwerk (openWRT) um Roaming-APs erweitern

[dirk11]

Hi Leute,

vielleicht kann mir ja jemand (wie z.B. Sassicaia) weiterhelfen, ich blick' bei der nun folgenden Thematik nicht durch.

Also:
Gegeben sind drei Geräte, jeweils mit openWRT "latest trunk" versehen, administriert wird fast ausschließlich via ssh und mc. Ein Buffalo Airstation WZR-HP-AG300H und zwei D-Link DIR-825.

Der Airstation ist "Haupt-Router", er managt die Anmeldung an das VDSL, er ist DHCP- und DNS-Server, außerdem dient er als Timeserver und selbstverständlich WLAN-AP. Die zwei DIR-825 sind als reine AP konfiguriert, um die WLAN-Reichweite zu erhöhen, was für mein originäres WLAN auch (nach Anfangsschwierigkeiten) problemlos funktioniert. Nun würde ich das Guest-WLAN, welches bis dato nur auf dem Airstation läuft und - da "Guest" - von meinem restlichen Netz getrennt ist, gerne auch mit Hilfe der beiden reinen Access-Points DIR-825 erweitern. Das geht sicherlich, nur verstehe ich leider noch nicht, wie genau das funktioniert. Einfach nur ein Guest-WLAN einzurichten analog dem auf dem Airstation klappt jedenfalls nicht.
Es meinte mal jemand zu mir, das müsse ich mit VLAN lösen. Falls da jemand weiß wie das geht oder gar links zu einem Howto hat, würde ich mich freuen, wenn er dieses Wissen mit mir teilen würde!

Dirk

 

[Sassicaia]

@dirk11

ich vermute mal, dass der WZR-HP-AG300H (Atheros/Switch Atheros) das Gäste Wlan über einen virtuellen AP ausschließlich auf ein separates Wlan interface bridged, welches getrennt vom restlichen Lan ist und zusätzlich einen zweiten DHCP Server mit eigenem Adresspool zugewiesen ist.

Damit ist für die anderen beiden APs (DIR 825) Schicht im Schacht (für das Gäste Wlan), da sie via Lankabel/Wlan aktuell keine Möglichkeit haben Mitglied des Wlan Gastnetzes zu werden (das exklusiv dem Wlan Interface zugewiesen ist), das aber hinsichtlich der Intention eines Gäste-Wlan (Isolation der Clients ) eigentlich auch gewollt ist.

Die APs funktionieren, daher sollte ein Gäste-Wlan darauf auch funktionieren, das muss jedoch auf jedem AP neu konfiguriert werden, ich vermute du hast die physischen Interfaces (innerhalb open wrt --> virtueller AP/ extra DHCP/WAN/Gateway) nicht korrekt/vollständig zugewiesen. Viele mainstream Geräte sind im Access Point Modus auch nicht in der Lage ein komplett isoliertes Gäste Wlan bereitszustellen, da ja nicht direkt auf WAN (physisch) gebridged werden kann, hängt aber wiederum auch von der Firmware ab.

Inwieweit openwrt die beiden DIR 825 (falls unterschiedliche Revisionen) homogen konfiguriert kann ich nicht beurteilen (A1 = SoC Ubicom/Realtek switch, B1 = SoC Atheros/Realtek switch, C1 = SoC Atheros/Atheros switch, D1 = SoC Realtek/ Realtek switch).

Hinsichtlich des client basierten roamings ist es bei einem isolierten Gäste Wlan mit verschiedenen APs eh wurscht, da Gäste Wlan den Wifi Clients ausschließlich Internet zur Verfügung stellen aber keinerlei Netzwerkzugriffe gestatten soll. Ich vermute, dass würde auch mit Vlans eine kniffelige Geschichte.

Keine Ahnung ob ich deinen Beitrag richtig verstanden habe

 

[dirk11]

Hi!

ich vermute mal, dass der WZR-HP-AG300H (Atheros/Switch Atheros) das Gäste Wlan über einen virtuellen AP ausschließlich auf ein separates Wlan interface bridged, welches getrennt vom restlichen Lan ist und zusätzlich einen zweiten DHCP Server mit eigenem Adresspool zugewiesen ist.

Ja, so ist es, allerdings macht das alles ein dnsmasq.

Damit ist für die anderen beiden APs (DIR 825) Schicht im Schacht (für das Gäste Wlan), da sie via Lankabel/Wlan aktuell keine Möglichkeit haben Mitglied des Wlan Gastnetzes zu werden (das exklusiv dem Wlan Interface zugewiesen ist), das aber hinsichtlich der Intention eines Gäste-Wlan (Isolation der Clients ) eigentlich auch gewollt ist.

Das habe ich vermutet.

Die APs funktionieren, daher sollte ein Gäste-Wlan darauf auch funktionieren, das muss jedoch auf jedem AP neu konfiguriert werden, ich vermute du hast die physischen Interfaces (innerhalb open wrt --> virtueller AP/ extra DHCP/WAN/Gateway) nicht korrekt/vollständig zugewiesen. Viele mainstream Geräte sind im Access Point Modus auch nicht in der Lage ein komplett isoliertes Gäste Wlan bereitszustellen, da ja nicht direkt auf WAN (physisch) gebridged werden kann, hängt aber wiederum auch von der Firmware ab.

Auf den APs ist dnsmasq deaktiviert, sie sollen ja nur durchreichen, auch deshalb habe ich auf diesen das (du hast mit deiner Vermutung recht, sicherlich auch noch nicht korrekt konfigurierte) Gäste-WLAN auch gar nicht aktiv.

Inwieweit openwrt die beiden DIR 825 (falls unterschiedliche Revisionen) homogen konfiguriert kann ich nicht beurteilen (A1 = SoC Ubicom/Realtek switch, B1 = SoC Atheros/Realtek switch, C1 = SoC Atheros/Atheros switch, D1 = SoC Realtek/ Realtek switch).

Sind beides B1 und vollkommen identisch konfiguriert (mache ich manuell mit mc).

Hinsichtlich des client basierten roamings ist es bei einem isolierten Gäste Wlan mit verschiedenen APs eh wurscht, da Gäste Wlan den Wifi Clients ausschließlich Internet zur Verfügung stellen aber keinerlei Netzwerkzugriffe gestatten soll. Ich vermute, dass würde auch mit Vlans eine kniffelige Geschichte.

Keine Ahnung ob ich deinen Beitrag richtig verstanden habe

Hast du eigentlich schon, ja. Nur beim letzten Absatz bin ich mir nicht sicher. Ich möchte quasi das Gäste-WLAN genauso aufspannen wie das normale WLAN, also erreichen, dass für die Gäste auch Client-roaming im Gäste-WLAN möglich ist, weil dort, wo die APs stehen, das WLAN vom Router (Airstation) doch recht "dünn" ist.

Dirk
P.S.: ich kann auch gern /etc/config/dnsmasq und /etc/config/network von Airstation und D-Link zur Verfügung stellen, falls das hilft.

- - - Updated - - -

Nachtrag:
dhcp-airstation
dhcp-dlink AP
network-airstation
network-dlink AP

 

[Sassicaia]

Das Gäste Wlan soll ja nur Internet bereitstellen, dann würde ich auf den beiden APs einfach ein zusätzliches Wlan einrichten (virtueller AP, SSID WPA2 AES, Wlan Key Gäste Wlan identisch bei allen drei Geräten) . Das client roaming reduziert sich eh auf die Internetverfügbarkeit und die kurzen Verbindungsabbrüche zwischen den drei APs wird man beim Surfen nicht merken. Echtzeitanwendungne wie z. B. VOIP kannst du allerdings vergessen.

Problematisch wird das allerdings auch mit Android Smartphones, da ist das client roaming nicht der Bringer, das machen iPhones besser.

 

[dirk11]

Hmm, ok. D.h., "richtiges" Roaming ist das eigentlich nicht, wird aber auch nicht benötigt in dem Fall, habe ich das richtig verstanden?
Habe dann aber noch nicht verstanden, wie ich das in network-dlink und dhcp-dlink korrekt einbinde.

Das hier steht in der /etc/config/firewall der Airstation. Kann ich das so auf die APs übernehmen?
Wobei - des "wan" wäre ja schonmal falsch, oder?

### Guest WLAN
config 'zone'
        option 'name' 'guest'
        option 'input' 'REJECT'
        option 'forward' 'REJECT'
        option 'output' 'ACCEPT'
        option 'network' 'guest'
## Allow Guest -> Internet
config 'forwarding'
        option 'src' 'guest'
        option 'dest' 'wan'
## Allow DNS Guest -> Router
## Client DNS queries ordinate from dynamic UDP ports (>1023)
config 'rule'
        option 'src' 'guest'
        option 'dest_port' '53'
        option 'proto' 'tcpudp'
        option 'target' 'ACCEPT'
## Allow DHCP Guest -> Router
## DHCP communication uses UDP ports 67-68
config 'rule'
        option 'src' 'guest'
        option 'src_port' '67-68'
        option 'dest_port' '67-68'
        option 'proto' 'udp'
        option 'target' 'ACCEPT'
### Guest WLAN Ende

 

[Sassicaia]

Wobei - des "wan" wäre ja schonmal falsch, oder?

yo, das WAN Interface steht den APs (außer der Airstation) nicht zur Verfügung.

Die config für die Airstation kannst du für die APs komplett vergessen, die APs laufen zurzeit und haben deaktivierte Firewalls, das übernimmt ja der Buffalo, denn die APs agieren ja lediglich als Switch für Wlan & Lan.

..........ehrlich gesagt verstehe ich grad nur Bahnhof

ok, dann einfach:

du richtest auf beiden APs (DIR 825) einen virtuellen AP (Guest Wlan) ein zusätzlich zum Standard Wlan
diesen virtuellen APs (Guest Wlan) weist du einen einen neuen Adresspool mit zusätzlichem DHCP Server zu

die Wlan Konfiguration (SSID, WPA2 AES, Key und unterschiedliche channels) ansich ist für alle APs identisch

 

[dirk11]

Ok, da ich gar nicht zu Hause bin, ist das nicht so schlimm. Aber es wäre toll, wenn du das nochmal in Reinform schreiben könntest, denn ehrlich gesagt verstehe ich grad nur Bahnhof. Das hat aber Zeit.