Gästenetz als Layer 3-Tunnel erstellen

[fildercom]

Hallo zusammen,

ich sollte ein separates Gästenetz mit separatem IP-Bereich erstellen, das komplett vom Haupt-Netz getrennt ist. Es ist ein WLC ohne Public Spot Option vorhanden. Der Traffic soll aber nicht an diesem WLC, sondern an einem anderen Router ausgekoppelt werden (also nur Internet-Zugriff möglich). VLAN soll nicht genutzt werden, da zwei nicht VLAN-fähige Switches dazwischen hängen.

Meine Frage: Gibt es irgendwo eine gute und detaillierte Anleitung, wie sich das realisieren lässt? Aktuell finde ich nur die KB-Artikel, die das in Verbindung mit der Public Spot-Option zeigen.

Vielen Dank vorab und viele Grüße
fildercom.

[Jan P.]

Hallo Fildercom,

ich würde den Client über einen WLC-Tunnel am WLC an einem Port herauskommen lassen an dem der andere Router angeschlossen ist.
Per DHCP kannst du dann ja festlegen das der andere Router GW sein soll.

Einrichten WLC-Tunnel: https://www2.lancom.de/kb.nsf/bf0ed2a4d ... enDocument

Mit dem Port bekommst du den über eine Bridge-Gruppe verbunden.

Gruß
Jan

[fildercom]

Hallo Jan,

vielen Dank für deine Antwort. Das sieht schon einmal gut aus, allerdings gibt es noch ein "kleines" Problem:
Der Router, auf dem der Traffic als Gateway ins Internet geleitet werden soll, steht ganz wo anders als der WLC. Zudem hängt mindestens ein Switch dazwischen, der nicht VLAN-fähig ist.

Gibt es da irgend eine sinnvolle Lösung, wie man das trotzdem realisieren könnte?

Viele Grüße und danke
fildercom.

[Dr.Einstein]

Ein Switch, der nicht VLAN fähig ist, ist erstmal überhaupt nicht schlimm. Da du APs hast, die bereits das Tagging übernehmen funktioniert trotzdem alles. Das einzige Szenario, dass nicht klappen würde, wären verschiedene untagged-Funktionen am Switch selbst, z.B. Port 1 Management PC, Port 2 Gast-Dose, Port 3 Verwaltungs-PC. Wenn der Switch zB nur Ports für APs + ein Uplink hat, oder es gar nur zwei VLANs geben soll wie VLAN1 intern VLAN10 Gast (nur über APs) alles kein Thema.

Gruß Dr.Einstein

[fildercom]

Hallo Dr. Einstein,

vielen Dank für die Antwort. Dann müsste es theoretisch klappen.

Allerdings bleibt noch eine Frage offen:
Ist es möglich, den bisherigen Netzwerk-Traffic auch weiterhin ohne VLAN auf allen Ports auszugeben, so dass einzig und allein der Gästenetz-Traffic in einem VLAN über die teils nicht VLAN-fähigen Switches transportiert wird? Also so dass nur der WLC, die APs und der als Gateway eingesetzte Router überhaupt ein VLAN "sehen"?

Viele Grüße und danke
fildercom.

[Dr.Einstein]

Ist es möglich, den bisherigen Netzwerk-Traffic auch weiterhin ohne VLAN auf allen Ports auszugeben, so dass einzig und allein der Gästenetz-Traffic in einem VLAN über die teils nicht VLAN-fähigen Switches transportiert wird? Also so dass nur der WLC, die APs und der als Gateway eingesetzte Router überhaupt ein VLAN "sehen"?

Jap, genau das meinte ich.

[fildercom]

Vielen Dank!

Angenommen ich sende den Gästenetz-Traffic nun über VLAN 1 von den APs bzw. vom WLC zum Router, wie mache ich das ohne Einsatz zusätzlicher Verkabelung? Kann ich z.B. auf ETH-2 gleichzeitig den internen Traffic (ohne VLAN) als auch den Gästenetz-Traffic mit VLAN-1 an den Router leiten? Wie lässt sich das praktisch konfigurieren?

Viele Grüße und danke
fildercom.

[Jirka]

Hallo fildercom,

Angenommen ich sende den Gästenetz-Traffic nun über VLAN 1 von den APs bzw. vom WLC zum Router,

die VLAN-ID 1 würde ich für's Gastnetz vermeiden, weil es die Default-ID (vom Default-VLAN=Intranet) ist. Ich meine kann man alles ändern, und dann ist es auch kein Problem, aber als Anfänger vielleicht etwas viel. Also suche Dir eine ID zwischen 2 und 4096 aus...

wie mache ich das ohne Einsatz zusätzlicher Verkabelung?

Über VLAN?! Das geht über die physikalisch gleichen Leitungen, ist durch die VLAN-ID aber logisch vom anderen Netz getrennt.

Kann ich z.B. auf ETH-2 gleichzeitig den internen Traffic (ohne VLAN) als auch den Gästenetz-Traffic mit VLAN-1 an den Router leiten?

Ja.

Wie lässt sich das praktisch konfigurieren?

Beim AP über das VLAN-Modul, im Router geht es auch ohne selbiges durch direkte Angabe der VLAN-ID bei der Konfiguration der ARF-Netze.

Viele Grüße,
Jirka

[Dr.Einstein]

Beim AP über das VLAN-Modul, im Router geht es auch ohne selbiges durch direkte Angabe der VLAN-ID bei der Konfiguration der ARF-Netze.

Dadurch, dass es ein WLC ist , geht es noch viel einfacher. Im logischen WLAN Gastnetz auf kA auf tagged
100 stellen. Unter physikalische WLAN Parameter das VLAN Modul aktivieren, nix weiter machen. Unter IPv4 / Netzwerke optional ein Netzwerk mit VLAN ID 100 anlegen + DHCP Server für dieses Netz.

Die APs werden dadurch korrekt von selbst eingestellt.

[Jirka]

Hallo Dr. Einstein,

genau! Das mit dem WLC hatte ich während des Schreibens schon wieder vergessen gehabt und bin mit meinen Erklärungen in das Standardraster ohne WLC zurückgefallen! Danke.

Viele Grüße,
Jirka

[fildercom]

Danke euch allen für die Tipps, werde es am Wochenende so konfigurieren!