Lancom 1711 mit 2 Accesspoints (Firmennetz + Gastnetz)

tom63 · Beitrag von **tom63** » 24 Feb 2010, 01:50

hallo forum,

habe jetzt alles durchsucht aber nichts in der richtung finden koennen - hoffe auch dass das hier ueberhaupt die richtige stelle fuer den post ist.

ausgangssituation:
lancom 1711
wan-port: dsl-modem1
lan1-port: dsl-modem2
lan4-port: switch zum lan
am switch haengen dann die verschiedenen rechner, printserver, telefonanlage
und ein dwl-3200 d-link accesspoint im lan (192.168.x.x)

problem:
ueber den accesspoint koennen sich die mitarbeiter mit dem lan verbinden, auf server, freigaben, drucker, internet etc. zugreifen. nun soll fuer gaeste ein wlan zugang zum internet eingerichtet werden der vom firmen lan getrennt ist.

vorstellung:
ein zweiter baugleicher ap is vorhanden - die idee war diesen direkt an lan3-port am router anzuschliessen - aber wie das gehen koennte oder ob es eine viel einfachere loesung gibt ???

fuer eure hilfe waere ich wirklich total dankbar
tom

tom63 · Beitrag von **tom63** » 26 Feb 2010, 20:45

also - nach langem rumsuchen in der bedienungsanleitung - sieht es so aus dass das ueber ein vlan vielleicht gehen koennte.

aber ist das der sinnvolle und einfache/einzige weg?
und wie das dann mit vlan genau geht ist mir auch eher ein raetsel.

wirklich niemand hier der helfen koennte ?

nette gruesse
tom

alf29 · Beitrag von **alf29** » 26 Feb 2010, 23:38

Moin,

Du könntest genauso LAN-Port 3 an LAN-2 binden, darauf ein getrenntes ARF-Netz mit
getrennten IP-Adressraum und einer DHCP-Server-Instanz setzen. Mit passenden
Firewall-Regeln sperrst Du dann das Routing von diesem Gast-IP-Netz in das Firmen-Netz.

Gruß Alfred

tom63 · Beitrag von **tom63** » 27 Feb 2010, 00:14

hallo alfred,

vielen dank fuer deine antwort - lustig - ich hab jetzt noch den ganzen abend in den faqs und auf der lancom seite rumgesucht - und glaube sowas aehnliches mir zusammengereimt.

bin aber nicht so der profi - aber dachte halt eigentlich ist es ja das selbe als wenn an diesem 2ten lan-port ein switch haengen wuerde mit ueber ethernet verbundenen rechnern die sich eben auch nur innerhalb ihres ip-bereiches untereinander erreichen sollen aber beide zugriff aufs internet haben.

was meinst du ist das die bessere loesung - oder mit vlan - oder doch nochmal anders

wie gesagt - weil ich mich da einfach zu wenig auskenne - gibt es denn dafuer irgendwo ein howto auch mit den firewall regeln und allem?

nette gruesse
tom

tom63 · Beitrag von **tom63** » 28 Feb 2010, 11:33

waere super - wenn einer der profis hier im forum mal drueberkuken koennte - das hab ich jetzt gemacht und es funktioniert auch schon ganz gut:

in der konfiguration:

-> schnittstellen->ethernet ports
dem freien port eth-3 lan-2 zugewiesen

-> tcp/ip->ip-netzwerke
das neue gastnetz angelegt
gastnetz 192.168.3.254 255.255.255.0 Intranet 0 LAN-2 Flexibel 1 wlan gastnetz
im bestehenden intranet die schnittstelle von 'beliebig' auf 'lan-1' geandert
intranet 192.168.4.254 255.255.255.0 Intranet 0 LAN-1 Flexibel 0 local intranet

-> tcp/ip->dhcp-netzwerke
dhcp adressbereich fuer das neue gastnetz angegeben
gastnetz Ja Aus Aus 192.168.3.100 192.168.3.149 255.255.255.0 0.0.0.0 192.168.3.254 0.0.0.0 0.0.0.0 0.0.0.0 0.0.0.0 0.0.0.0 Aus Aus

-> im d-link access-point selber die konfigurations seite fuer wlan-clients gesperrt

das ganze funktioniert jetzt eigentlich ganz gut - vom intranet und vom firmen-wlan kommt man auf die konfigurationsseite des gastnetz-accesspoints - vom gast-wlan kommt man auf nichts davon ausschliesslich der internetzugang ist moeglich - und das war ja das ziel. allerdings kann man auch die konfigurationsseite des lancom erreichen - vielleicht laesst sich das ja ueber die firewall noch irgendwie unterbinden? dass das ganze so funktioniert liegt wohl - wenn ich es richtig verstehe - dass ich fuer das intanet das 'tag 0' und fuer das gastnetz das 'tag 1' gesetzt habe?

meine bitte waere ob jetzt einmal einer der pros hier im forum drueberkuken koennte - mir vielleicht noch zeigt wie das mit einer firewallregel um den zugriff vom gastnetz auf die konfigurationsseite vom lancom geht - und mir halt sagt ob das jetzt der richtige weg war insgesamt oder ob man es besser/einfacher anders macht oder ob ich hier jetzt fatale sicherheitsfehler gemacht/uebersehen hab?

auf jeden fall find ich prima was man mit den lancoms alles machen kann.

fuer jede hilfe schon jetzt mal danke :)
tom

alf29 · Beitrag von **alf29** » 28 Feb 2010, 21:20

Moin,

allerdings kann man auch die konfigurationsseite des lancom erreichen - vielleicht laesst sich das ja ueber die firewall noch irgendwie unterbinden?

im TCP/IP gibt es eine Zugangsliste, mit der man den Zugang auf interne Dienste des Geräts
(dazu gehört auch die WEBconfig sowie Telnet/SSH) auf IP-Adreßbereiche einschränken kann.
Z.B auf 192.168.4.0/255.255.255.0

Gruß Alfred

tom63 · Beitrag von **tom63** » 01 Mär 2010, 20:55

hallo alfred,

hat super geklappt mit deinem tipp - hatte es nur erst gar nicht gefunden - ist ja im config-tool auf der startseite unter admin - und mit den tabellen kenn ich mich net so aus. also ein riesen dankeschoen fuer deine hilfe in der ganzen sache!

nette gruesse
tom

tom63 · Beitrag von **tom63** » 02 Mär 2010, 11:24

... so jetzt hab ich doch noch ein problem entdeckt:

ich hatte vor einiger zeit nach einer anleitung von backslash eine gegenstelle/route zum externen modem eingerichtet um dessen daten auslesen zu koennen:
http://www.lancom-forum.de/ptopic,37046,.html#37046

durch folgende noetige aenderung:
"im bestehenden intranet die schnittstelle von 'beliebig' auf 'lan-1' geandert"
funktioniert der zugriff jetzt nicht mehr - wie kann man lan-1 und lan-4 und wan zuweisen ohne auf beliebig zu stellen???

nette gruesse
tom

tom63 · Beitrag von **tom63** » 05 Mär 2010, 16:51

nochmal nachgefragt - wirklich niemand hier der helfen kann ?

nette gruesse
tom

Wisi · Beitrag von **Wisi** » 11 Mär 2010, 12:29

vielleicht ist bridge hier das zauberwort, ich nehme mal an, dass die gegenseitig sichtbar sein sollen (hab mir jetzt nicht den vorherigen thread durchgelesen)

tom63 · Beitrag von **tom63** » 14 Mär 2010, 15:06

hallo wisi,

das hatt ich mir auch so gedacht - aber ich find am 1711 keinen punkt wo ich da so eine bridge-gruppe einstellen koennt wie bei den geraeten mit wlan wo ich ein wlan mit nem lan koppeln kann ???
wer kann helfen ?

nette gruesse
tom

alf29 · Beitrag von **alf29** » 14 Mär 2010, 18:55

Moin,

Bridge-Gruppen sind ein Teil der (W)LAN-Bridge, und die ist nur in Geräten mit
WLAN-Schnittstelle enthalten...

Gruß Alfred

tom63 · Beitrag von **tom63** » 14 Mär 2010, 19:01

hallo alfred,

danke - ja genau - und deshalb stellt sich ja die frage wie man mehrere definierbare lans an einen physikalischen lan-port vom 1711 bindet ???

nette gruesse
tom

Wisi · Beitrag von **Wisi** » 15 Mär 2010, 08:36

aber normal stellt man dann doch einfach alle gemeinsamen lan schnittstellen bei der schnittstellen verwendung auf die gleiche bezeichnung und verknüpft das ip-netzwerk damit?

das sollte das gleiche bewirken?

kannst du noch mal in kurzform skizzieren was du tun willst?

tom63 · Beitrag von **tom63** » 15 Mär 2010, 11:46

hallo wisi,

ja genau - so war das vorher auch eingestellt - aber aus gruenden der trennung in intranet und gastnetz siehe weiter oben im thread musste das eben geandert werden. und so stellt sich die frage: wie weise ich einem physikalischen port mehrere dedizierte lans zu - und nicht nur einen oder alle.

nette gruesse
tom