2 SSIDs und passend DHCP

buk · Beitrag von **buk** » 01 Mär 2007, 15:31

Hallo zusammen.

Meine Aufgabe hier ist:
2 WLAN-Netze aufzubauen, eins für Gäste, direkter Zugriff ins Inet, eins für interne Mitarbeiter. Beide abgesichert (WPA-PSK), funktioniert auch soweit.
Das ganze ist via VLAN-Switch getrennt, es existiert ein drittes VLAN zur Administration der ingesamt 3 APs.

Mein letztes Problem jetzt ist schliesslich die Konfiguration des DHCP.
Eigentlich hätte ich gerne separate Netzsegmente für beide SSIDs, aber wie mir scheint, kann ich maximal einen DHCP-Server für alle SSIDs konfigurieren.

Erstes Problem, wieso startet der nicht, wenn der AP selbst keine IP im konfigurierten Subnetz hat? Der AP sollte eigentlich nur bridgen.

Zweites Problem, nachdem ich dem DMZ-Interface eine passende IP gegeben habe, startet auch der DHCP-Server, allerdings hält er es nicht für nötig DHCP-Anfragen der Clients zu beantworten, diese schlagen hinter dem AP auf der Firewall auf.

Drittes Problem, woher weiss meine Firewall, wenn alle Clients IPs aus dem gleichen Subnetz haben, in welches VLAN sie die Verbindungen zu den Clients packen soll?

Für Tipps wäre ich sehr dankbar, vielleicht ist auch am Konzept was verbesserungswürdig?

Danke und Gruß.

backslash · Beitrag von **backslash** » 01 Mär 2007, 15:44

Hi buk

Erstes Problem, wieso startet der nicht, wenn der AP selbst keine IP im konfigurierten Subnetz hat? Der AP sollte eigentlich nur bridgen.

Ohne IP-Adresse *KANN* der DHCP-Server nicht antworten...
Wenn der AP nur bridgen soll, dann solltest du auch einen DHCP-Server in deinem LAN stehen haben. In deinem Fall wären das sogar zwei (für jedes VLAN einen)

Zweites Problem, nachdem ich dem DMZ-Interface eine passende IP gegeben habe, startet auch der DHCP-Server, allerdings hält er es nicht für nötig DHCP-Anfragen der Clients zu beantworten, diese schlagen hinter dem AP auf der Firewall auf.

Hast du die DMZ auch an das WLAN gebunedn?

Drittes Problem, woher weiss meine Firewall, wenn alle Clients IPs aus dem gleichen Subnetz haben, in welches VLAN sie die Verbindungen zu den Clients packen soll?

Dass sollte eigentlich der AP separieren. Dann kommen die Pakete schon in verschiedenen VLANs bei deiner Firewall an. Hier kannst du dann auch die zwei DHCP-Server betreiben...

Gruß
Backslash

buk · Beitrag von **buk** » 01 Mär 2007, 16:02

backslash hat geschrieben:Hi buk

Erstes Problem, wieso startet der nicht, wenn der AP selbst keine IP im konfigurierten Subnetz hat? Der AP sollte eigentlich nur bridgen.
Ohne IP-Adresse *KANN* der DHCP-Server nicht antworten...
Wenn der AP nur bridgen soll, dann solltest du auch einen DHCP-Server in deinem LAN stehen haben. In deinem Fall wären das sogar zwei (für jedes VLAN einen)

Zweites Problem, nachdem ich dem DMZ-Interface eine passende IP gegeben habe, startet auch der DHCP-Server, allerdings hält er es nicht für nötig DHCP-Anfragen der Clients zu beantworten, diese schlagen hinter dem AP auf der Firewall auf.
Hast du die DMZ auch an das WLAN gebunedn?

Drittes Problem, woher weiss meine Firewall, wenn alle Clients IPs aus dem gleichen Subnetz haben, in welches VLAN sie die Verbindungen zu den Clients packen soll?
Dass sollte eigentlich der AP separieren. Dann kommen die Pakete schon in verschiedenen VLANs bei deiner Firewall an. Hier kannst du dann auch die zwei DHCP-Server betreiben...

Gruß
Backslash

1.) Ja ok, seh ich fast ein.

2.) Wie würde ich die da "anbinden"?

3.) Das Problem ist nicht der Weg "zurück", sondern wenn ein Client aus dem Intranet eine Verbindung zum WLAN-Client aufbauen will. Ich bin mir nicht sicher, dass die FW weiss, hinter welchem VLAN gerade die passende IP schläft, aber soll mir recht sein.

Ansonsten würde ich eben gerne vermeiden auf der FW einen DHCP-Server zu betreiben, allerdings frage ich mich gerade, wie die Clients von einem zum anderen AP übergeben werden, wenn sie im Haus getragen werden.
Funktioniert das überhaupt oder wäre da eine zentrale DHCP-Lösung geschickter?

Danke.

backslash · Beitrag von **backslash** » 01 Mär 2007, 16:22

Hi buk

2.) Wie würde ich die da "anbinden"?

TCP/IP -> DMZ-Interface passend einstellen (aber letztendlich ist das hier vermutlich egal...)

3.) Das Problem ist nicht der Weg "zurück", sondern wenn ein Client aus dem Intranet eine Verbindung zum WLAN-Client aufbauen will. Ich bin mir nicht sicher, dass die FW weiss, hinter welchem VLAN gerade die passende IP schläft, aber soll mir recht sein.

das Routing dürfte eigentlich nur dann sinnvoll funktionieren, wenn jedes VLAN ein eigenes IP-Netz hat (somit brauchst du auch in jedem VLAN einen eigenen DHCP-Server).

Ansonsten würde ich eben gerne vermeiden auf der FW einen DHCP-Server zu betreiben, allerdings frage ich mich gerade, wie die Clients von einem zum anderen AP übergeben werden, wenn sie im Haus getragen werden.
Funktioniert das überhaupt oder wäre da eine zentrale DHCP-Lösung geschickter?

ein Roaming kann nur mit einem zentralen DHCP-Server richtig funktionieren...

Gruß
Backslash