2x L-321agn, kein Controller, 2x Gast WLAN, DHCP ü. FRITZBox

[chris001]

Hallo zusammen!

Ich hoffe ihr könnt mir beim Start in die Lancom Welt und bei meiner Konfiguration etwas weiterhelfen. Denn ich bin leider durch die vielen Einstellungen und unterschiedlichen Dokumente/Anleitungen/Forum gerade etwas durcheinander.

Folgende Ausgangssituation liegt vor:

Port X an Unternehmensswitch stellt VLAN 10 & VLAN100 bereit
VLAN 10 – Unternehmensnetz – zur Konfiguration der APs
VLAN 100 – separater DSL Anschluss, DHCP über FRITZ!Box
APs haben feste IPs aus dem Unternehmensnetz

Benötigt werden 2 SSIDs:
SSID1 - Zugang Besucher - Schlüssel wird monatlich getauscht
SSID2 - Zugang privat Geräte Mitarbeiter - Schlüssel wird pro User definiert (LEPS)

Ich bin jetzt wie folgt vorgegangen:

1. Aktivieren der VLAN Option (Schnittstellen/VLAN/VLAN-Modul aktiviert)
2. Zuweisen der VLAN ID 10 für das INTRANET (TCP/IP/Allgemein/IP-Netzwerke/INTRANET/VLAN-ID)
3. Erweitern der VLAN Tabelle (Schnittstellen/VLAN/VLAN-Tabelle)

VLAN-Name - VLAN-ID - Port-Liste
Default_VLAN - 10 - LAN-1
WLAN_Besucher - 100 - LAN-1,WLAN-1
WLAN_Mitarbeiter - 100 - LAN-1,WLAN-1-2

4. Ändern der Port-Tabelle (Schnittstellen/VLAN/Port-Tabelle)

VLAN-Port - Tagging-Modus - Alle VLANs erlauben - Port-ID
LAN-1 - Gemischt - Ja - 10
WLAN-1 - Ankom. gemischt - Nein - 100
WLAN-1-2 - Ankomm. Gemischt - Nein - 100

5. + die benötigten WLAN Settings (SSID, Verschlüsselung, etc.)

Ich kann zwar die beiden APs aus dem Unternehmensnetz mit LANconfig konfigurieren, aber leider funktioniert in dieser Konfiguration das WLAN nicht. Ist es überhaupt möglich mit nur einem LAN Port beide VLANs zu bedienen? Fehlt evtl. eine Route o. ein IP-Netzwerk Eintrag bzw. ist die Konfiguration/Herangehensweise grundsätzlich falsch?

Vielen Dank für eure Unterstützung!
Chris

[Pothos]

Hi chris001,

auf der LANCOM Webseite gibt es ein Knowledgebase Dokument, indem die verschiedenen Tagging Verfahren beschrieben sind:

VLAN Knowledgebase Dokument

Ist es überhaupt möglich mit nur einem LAN Port beide VLANs zu bedienen? Fehlt evtl. eine Route o. ein IP-Netzwerk Eintrag bzw. ist die Konfiguration/Herangehensweise grundsätzlich falsch?

Das muss sogar gemacht werden, da über die WLAN Interface ja verschiedene VLANs reinkommen und beide VLANs über das LAN weiter in Richtung Gateway gereicht werden.

4. Ändern der Port-Tabelle (Schnittstellen/VLAN/Port-Tabelle)

VLAN-Port - Tagging-Modus - Alle VLANs erlauben - Port-ID
LAN-1 - Gemischt - Ja - 10
WLAN-1 - Ankom. gemischt - Nein - 100
WLAN-1-2 - Ankomm. Gemischt - Nein - 100

Hier stimmt der Tagging Modus für die WLANs nicht. Die müssen auf "Niemals" gestellt werden, damit ausgehende Pakete indem Fall niemals getaggt werden. Sonst müsste der Client die VLAN Pakete selber annehmen und das können die normalerweise nicht (sofern nicht extra konfiguriert).

Gruß

Pothos

[chris001]

Hallo Pothos,

als erstes einmal vielen Dank für die schnelle Antwort. So ganz falsch scheine ich ja nicht unterwegs zu sein

Eine kurze Rückfrage zu deiner Bemerkung:

Das muss sogar gemacht werden...

- Eine Route oder ein IP-Netzwerk eintragen?

... da über die WLAN Interface ja verschiedene VLANs reinkommen...

- Über das WLAN Interface kommt nur das VLAN100, VLAN10 dient der Konfiguration auf dem LAN Port. Oder habe ich jetzt was falsch verstanden?

Danke für den Hinweis mit dem Tagging Modus, diesen habe ich jetzt wie folgt abgeändert:

VLAN-Port - Tagging-Modus - Alle VLANs erlauben - Port-ID
LAN-1 - Gemischt - Ja - 10
WLAN-1 - Niemals - Nein - 100
WLAN-1-2 - Niemals - Nein - 100

Ich werde mir auch noch einmal das KB-Dokument anschauen, vielleicht macht es ja endlich klick.

Ich bin aber für jeden weiteren Hinweis der mich zum Ziel führt sehr dankbar!
Chris

[janosch]

Du bist dir sicher, dass du eine SSID für Gäste und eine für Mitarbeiter machst und beide trotzdem in das selbe Netzsegment lässt?

Das muss sogar gemacht werden...

- Eine Route oder ein IP-Netzwerk eintragen?

Pro Port mehrere VLANs. Tagbasiert zu arbeiten ist einfach die elegantere Methode und hier auch definitiv sinnvoll.

Da du mit VLAN auf Layer-2 arbeitest kommen hier auch erstmal keine Routen ins Spiel, die sind nämlich für die Layer-3 Kommunikation zuständig.

[chris001]

Hallo Janosch,

Du bist dir sicher, dass du eine SSID für Gäste und eine für Mitarbeiter machst und beide trotzdem in das selbe Netzsegment lässt?

Kurz zur Erklärung: Die Mitarbeiter dürfen das WLAN für ihre privaten Endgeräte nutzen und sollen auch nur Zugriff auf den separaten DSL Anschluss (VLAN100) bekommen. Dadurch das ich es mit zwei SSIDs auftrenne, kann ich für das Gastnetz (SSID1) einen festen Schlüssel (der monatlich wechselt) verwenden und für die Mitarbeiter (SSID2) LEPS. So habe ich immer die Übersicht welche Geräte Zugriff haben und kann bei einer Kündigung etc. das entsprechende Gerät löschen.

OK, an den Routen liegt es schon mal nicht. Also kann es nur ein Problem beim Tagging sein, oder?

Danke für eure Hilfe!
Chris

[janosch]

Wenn du LEPS benutzt hast du ohnehin separate Einträge in der Stationstabelle insofern kannst du dir dann auch die zweite SSID sparen

Speicher mal bitte alles was im Baum /setup/vlan/ enthalten ist in einer Skript-Datei hoch und lad die entweder ins Forum oder schick Sie mir per PM, dann schaue ich mir mal an ob es am Tagging liegt.

[chris001]

Hey Janosch,
danke für dein Angebot , ich werde den Auszug direkt am Montag hochladen bzw. Dir per PM zusenden (bin gerade unterwegs)...

Wenn du LEPS benutzt hast du ohnehin separate Einträge in der Stationstabelle insofern kannst du dir dann auch die zweite SSID sparen

Nur müsste ich dann bei jedem Besucher einen neuen Eintrag erstellen (Schlüssel & MAC) und das ist dann doch zuviel des Guten

[janosch]

Solange ein Client nicht in der Stationsliste mit einem eigenen PSK steht benutzt er das normale PSK.