Tutorial gesucht: WLC4006 mit einigen Spielereien einrichten

[asapHO]

Hallo zusammen,

letztlich landen Sie alle in der Community .

Ich hab hier einen etwas schwierigeren Konfiguraitonstask vor mir und ich ziehe durchaus in Erwägung die LC Schulungen zum Thema LCWL1, LCWL2 und LCWLC zu besuchen, aber bevor ich die bekomme hätte ich an die Experten hier eine Frage. Bevor Sachen wie www.gidf.de kommen wollte ich erwähnen, dass ich Onkel Google schon zuhauf genervt habe und mir jetzt lieber Expertenrat einholen möchte.

Folgende Konfig:

Ich hab einen WLC4006 und ein paar APs.
Den WLC habe ich konfiguriert und mich an dem Tutoral WLAN Layer-3 Tunneling: WLAN-Controller mit Public Spot gerichtet. Die Fundamentale Funktion der APs ist gegeben, das mit dem Public Spot ist noch so eine Sache...

Folgende Herausforderung:

• - Zentraler WLAN Controller
  - Mehrere APs die in verschiedenen Standorten (Bereits verbunden) stehen
  - 2 SSIDs, davon eine als Public Spot
  - Die "geschlossene" SSID soll vorerst als WPA2PSK laufen, wird dann über IAS abgewickelt, aber erstmal "nur" PSK
  - Die "geschlossene" SSID wird direkt in die lokale Kollisionsdomäne abgeworfen
  - Es werden (leider) noch keine VLANs verwendet (das kommt noch)
  - Die "public spot" SSID soll via Policy Based Routing an einen Proxyserver abgeworfen werden
  - Public Spot wird über den lokalen Radius des WLC abgehandelt und soll getunnelt zum Controller laufen (wie im Tutorial gezeigt) und dann eben für spezielle Fälle (HTTP/HTTPS/FTP) an einen Proxy weitergeleitet werden - die Schwierigkeit ist, dass der WLC als transparenter Proxy auftreten soll

Was ist bisher passiert:
Ich hab das Tutorial durchgemacht und auf unsere Gegenheiten angepasst. Zusätzlich habe ich die Dinge wie unter: Änderungen in der Public-Spot-Benutzerverwaltung ab der LCOS-Version 7.70 beschrieben einfließen lassen.
Das aufgespannte Gastnetzwerk wird über den DHCP des WLC versorgt - gleichzeitig habe ich 2 Firewall Regeln eingepflegt:
NAME=GUEST_ALLOWSVC; SRC=GUESTNET; SRCSVC=FTP, WEB, DNS; TGT=ANY; TGTSVC=FTP, WEB, DNS; PRIO=11
NAME=GUEST_BLOCKALL; SRC=GUESTNET; SRCSVC=ANY; TGT=ANY; TGTSVC=ANY; PRIO=10

Damit will ich erreichen, dass die "Gäste" erstmal nur WWW, FTP und DNS können und sonst NIX - das Problem ist, dass ich die Netze momentan leider nicht mit VLANs abkapseln kann.

Mein Ziel ist, dass ich alle Anfragen an die genannten Services transparent an einem Proxy (z.B. 192.168.0.100:3128) weiterleite, ohne dass andere Ziele erreicht werden können. Die "Firmenclients" sind allerdings "flach" in der jeweiligen Kollisionsdomäne und können direkt arbeiten.

Ich habe noch Schwiergikeiten das Policy Based Routing aufzusetzen, das LCOS Referenzhandbuch war hier nicht wirklich hilfreich. Hätte hier jemand Beispiele wie man sowas sauber bewerkstelligt (weil ich ja keinen "klassischen" Internetzugang bereitstellen kann).

Gleichzeitig habe ich noch Schwierigkeiten mit der Public Spot Option, die wollen einfach nicht authentifizieren. Als RADIUS habe ich hier nicht - wie im Beispiel 127.0.0.1 eingetragen, sondern die statische IP des WLC (die APs befinden sich ja unter Umständen in anderen Lokationen).

Da es sich um ein geroutetes Netzwerk handelt, gibt es was zu beachten, wenn ich die APs in andere Standorte absetze? Ich könnte mir vorstellen, dass man hier eine "virtuelle" VPN Managementverbindung aufbauen muss (ähnlich macht es ARUBA) um die APs weiterhin mit dem Controller gemanaged zu bekommen... Gibt es hier Erfahrungswerte?

Ich würde mich sehr über Feedback freuen

Grüße an alle und Dank für euere Unterstützung,

AsapHO

[asapHO]

Hallo Community,

ich bin nun immerhin einen gehörigen Schritt weiter. Eines der Kernprobleme bei den WLCs ist ja der Sync mit der Uhrzeit. Jetzt befinden sich die WLCs und die APs in verschiedenen Klasse C Segmenten in dem Stil 192.168.x.x/24 die allesamt geroutet sind. Dumm nur, dass die Standardrouten das Routing dieser Netze verbieten und nicht auf die Default Route ausgewichen wurde. Ich hab nun die Einträge (testweise) gelöscht und nur die Defaultroute aktiviert und siehe da, der WLC erreicht den Zeitserver und DNS Server (in den anderen Segmenten) und zeigt mir auf dem LCOS zumindest eine gültige Zeit an.

[alf29]

Moin,

Gleichzeitig habe ich noch Schwierigkeiten mit der Public Spot Option, die wollen einfach nicht authentifizieren. Als RADIUS habe ich hier nicht - wie im Beispiel 127.0.0.1 eingetragen, sondern die statische IP des WLC (die APs befinden sich ja unter Umständen in anderen Lokationen).

Hast Du denn die Public Spot Option auf den APs freigeschaltet oder nur die 'eingebaute'
Public Spot Option des WLC? Wenn letzteres, dann ist die 127.0.0.1 schon völlig OK, denn
die Anmeldeseiten kommen ja von der Public Spot Option im WLC.

Gruß Alfred

[asapHO]

Moin,
Hast Du denn die Public Spot Option auf den APs freigeschaltet oder nur die 'eingebaute'
Public Spot Option des WLC? Wenn letzteres, dann ist die 127.0.0.1 schon völlig OK, denn
die Anmeldeseiten kommen ja von der Public Spot Option im WLC.
Gruß Alfred

Moin Alfred,

ich nutze nur die Option des WLC (anders ist das Tunneling ja meines erachtens nicht sinnvoll) - daher werde ich die Option mal ändern - vielen Dank.

Ich denke, dass das Thema hier ein ganz anderes ist, denn letztendlich lande ich immer beim Problem des triangular Routing. So komme ich letztlich nicht weiter.

Wenn der WLC nicht in der Lage ist für den Public Spot eine "Proxy Cascade" durchzuführen, muss ich mir wohl was fundamental anderes überlegen. Der Bereich der "Public Spot" Benutzer befindet sich in einem eigenen Klasse C Netz (hier 192.168.200.0/24) wohingegen mein produktives Netz ebenfalls ein Klasse C Netz ist (192.168.100.0/24 via 192.168.100.1). Der AP (IF5) läuft hier unter 192.168.100.10, der Proxy befindet sich unter 192.168.0.100:3128. Problem hier ist, dass ich zwar vom AP aus den Proxy pingen kann, der Proxy (bzw. der Router in der Kollisionsdomäne des Proxies) nicht das Netzwerk des Public Spot kennt. Ich haber hier auch leider keine Möglichkeit das Netz bekannt zu machen, also habe ich hier nicht nur die Schwierigkeit die Pakete immer an den Proxy zu leiten, sondern dass hier auch NAT betrieben wird.

Ich seh schon, das einfachste wird sein, dass ich mir hier eine separate Internetleitung (vorhanden!) an das andere IF (IF2) hänge. Hier ist es aber so, dass ebenfalls ein Router in dem Netzwerk ist (direkt und unbeschränkt ins Internet).

Nun ist es so, dass ich wie im Tutorial die Netze mit einem Schnittstellen Tag versehen habe. Wenn ich nun eine default Route (IP Router --> Routing) mit dem Routing-Tag einpflege, dann müsste er den doch als "Internet Zugang" verwenden können und das Netz zwischen IF2 und dem Router als Transfernetz nutzen können. Hier müsste ich dem System lediglich NAT beibringen (sonst habe ich wieder das "Netzproblem").

Ganz schön verzwickt, aber ich halte euch auf dem laufenden und freue mich über Vorschläge. Am liebsten wäre es mir, wenn ich irgendwie die Proxy Cascade hinbekäme.

Grüße - AsapHO

[asapHO]

Nun ist es amtlich - der WLC4006 kann keine ProxyCascade (Aussage Lancom Support). Bedeutet für mich, dass ich doch die Sache mit dem extra Netzwerk machen muss...

Ich melde mich dann wenn ich eine Lösung habe

[asapHO]

So, nachdem alles erstmal mit WPAPSK lief, ist nun die Herausfoderung: WPA2 mit 802.1X... mehr dazu hier http://www.lancom-forum.de/ptopic,60959.html#60959 Den Thread hab ich damit umgezogen