Isolierter Modus / Nur Zugriff auf Internet

[ArminB]

Hallo,

auch wenn dieses Thema eventuell an anderer Stelle auch schon mal
diskutiert worden bin, so komme ich nicht weiter.

Ich besitze einen L-305agn (Firmware 7.56.00456).
Dieser ist einem Netzwerk 192.168.1.x eingebunden.

In diesem Netzwerk befinden sich mehrere Computer und
ein Router für den Internetzugang.

Nun möchte ich, dass WLAN-Teilnehmer über den Router in
das Internet gehen können, jedoch keinen Zugriff auf
die anderen Computer haben.

Ich bin nun hergegangen und habe:
1.) Unter TCP-IP der Schnittstelle LAN die IP-Adresse 192.168.1.249 zugewiesen.
2.) Unter TCP-IP der Schnitstelle WLAN die IP-Adresse 192.168.2.249
zugewiesen.
3.) Einen DHCP-Server für die WLAN-Schnittstelle konfiguriert
4.) Unter "LAN-Bridge-Einstellungen" die Option "Verbindung über den Router herstellen (isolierter Modus) anwählen.

Jetzt habe ich das Problem, dass ich ja unter "IP-Router" eine Route
konfigurieren muss.
Wie müssten da die Einstellungen lauten?

Der Router für den Intenetzugang hat die Adresse 192.168.1.252

Vielen Dank für eine Hilfe
Armin

[Fully]

Hallo Armin,

irgendwie passen die Konfiguration am Lancom und das Szenario nicht so recht zusammen.

Annahme: Es gibt nur eine WLAN-ID, die für Gäste.
Wenn das WLAN separiert vom 192.168.1.x Netz sein soll, dann muss das Netz logisch schon am Grenzrouter getrennt werden. Da dieser nicht das Lancom ist, muss man mit VLAN arbeiten, wenn es vom Netzwerkanschluss her nicht anders geht. Ein anderer Ansatz ist der, die ETH-Schnittstelle im Lancom zu einem DSL-Anschluß zu machen und hinter der "WAN-Adresse" 192.168.1.249 das andere Netz zu maskieren. Letzteres ist aber keine saubere Lösung.

Annahme: Es gibt zwei WLAN-IDs u. a. eine für Gäste.
Ja, man braucht eine Route, aber die muss am Gerät mit der Adresse 192.168.1.252 gesetzt werden. Da die Netze unter 1 und 2 sich ja nicht sehen sollen, der 305 nur ein ETH hat und nicht der Grenzrouter zum Internet ist, kommt man mit ARF allein nicht weiter. Es werden zwei VLAN-Tags benötigt, die hinter dem 305 dann aufgedröselt werden. Wenn das Netz unter 2 nicht auch an ETH-1 gebunden ist, geht es auch mit ARF, aber irgendwo müssen die Pakete dann ja hin, möglich wäre noch P2P.

Gruß Fully

[MartinWittwer]

Annahme: Es gibt zwei WLAN-IDs u. a. eine für Gäste.
Ja, man braucht eine Route, aber die muss am Gerät mit der Adresse 192.168.1.252 gesetzt werden. Da die Netze unter 1 und 2 sich ja nicht sehen sollen, der 305 nur ein ETH hat und nicht der Grenzrouter zum Internet ist, kommt man mit ARF allein nicht weiter. Es werden zwei VLAN-Tags benötigt, die hinter dem 305 dann aufgedröselt werden. Wenn das Netz unter 2 nicht auch an ETH-1 gebunden ist, geht es auch mit ARF, aber irgendwo müssen die Pakete dann ja hin, möglich wäre noch P2P.

Gruß Fully

Hallo Fully, ich habe genau dieses Problem mit einem Lancom L-54ag.
Ich habe den ETH-1 und den WLAN-1 in einer Bridge-1 mit Schnittstellentag 0. Das ist für das Intranet und hat die IP 192.168.1.100. Der Router (Lancom 1711) für dieses Netz ist 192.168.1.1. Der Zugriff über dieses W-LAN funktioniert.
Jetzt habe ich einen Gastzugang angelegt und dafür WLAN-1-2 in einer Bridge-2 mit Schnittstellentag 1. Das Gastnetz hat die IP 10.10.10.1. DHCP ist konfigureirt und der Zugriff auf das Gast WLAN funktioniert. Ich habe aber keinen Zugriff auf das Internet? Die Default Route im Accesspoint zeigt auf 192.168.1.1 mit Schnittstellentag 0. In einer Lancom Anleitung steht, das wenn die Default Route Schnittstellentag 0 hat, alle Logischen LANs das internet nutzen können?

Du hast geschrieben das ARF dafür allein nicht reicht und man muss VLANs benutzen. was genau muss ich wo einstellen, damit ich Internet für den Gastzugang bekomme?

[backslash]

Hi MartinWittwer

Die Default Route im Accesspoint zeigt auf 192.168.1.1 mit Schnittstellentag 0. In einer Lancom Anleitung steht, das wenn die Default Route Schnittstellentag 0 hat, alle Logischen LANs das internet nutzen können?

ja, aber....
Hier hast du das Problem, daß das Gateway im LAN mit dem Tag 0 ist... aber genau dieses Netz darf vom Gastnet aus *nicht* gesehen werden, somit darf das Gastnetz nicht einmal das Gateway ansprechen...

In diesem Szenario kommst du um VLANs nicht herum, denn du brauchst ein vom Gatsnets aus sichtbares aber vom Intranet getrenntes Netz, über das du das Gateway erreichst. Das Gateway braucht dann i.Ü. auch zwei Netze (eins für jedes VLAN), die auch mit passenden Schnittstellen-Tags (hier also 0 für das Intranet und 1 für das Gastnetz) ausgestattet sind.

In dieser Situation ist es sinnvoller, den L54 als einfachen AP, der nur die beiden VLANs auf dei SSIDs verteilt, und nicht als Router zu verwenden. Das Routing, die Trennung der beiden Netze voneinander und die IP-Adreßvergabe per DHCP läßt du zentral auf dem 1711 laufen. Das hat zudem den Vorteil, daß du auch mehrere APs aufhängen kannst, zwischen denen normale User und auch Gäste roamen können

Gruß
Backslash

[MartinWittwer]

Hallo Backslash,

danke erstmal für die Antwort. Ich verstehe dann blos Schritt 3 in der Anleitung nicht. Wie ist das dann zu verstehen?

Code: Alles auswählen

Schritt 3: Erstellen des Routingeintrags.

Clients aus den Netzen können alle Routen nutzen, die das Routing-Tag 0 haben. Ist das Routingtag ungleich 0 und ungleich dem eigenen Schnittstellentag, kann die Route aus diesem Netz nicht genutzt werden.

Eine Defaultroute mit dem Routing-Tag 0 kann von allen Netzen als Verbindung genutzt werden.

Was genau ist dann der Unterschied zwischen Schnittstellentags und VLAN?

Viele Grüße,
Martin