Onderwerp: 1 LAN (router), multiple DHCP scopes, multiple AP's and SSID's

Beste WHT'ers,

Het volgende wil ik opzetten alleen ik wil weten of dit technisch mogelijk is en zo ja hoe.

1 LAN (172.16.100.0/22) met 1 router
Meerdere DHCP scopes / pools
Meerdere access points met meerdere SSID's

Het idee is om 1 (+ fallback) DHCP server neer te zetten welke de DHCP scopes / pools beheerd, op basis van het AP / SSID waar je verbinding mee maakt moet er vervolgens een adres worden uitgedeeld uit een bepaalde pool. Bijvoorbeeld als je verbind met SSID 1 krijg je een adres uit 172.16.101.x en wanneer je verbind met SSID 2 krijg je een adres uit 172.16.102.x

Dit zou ik misschien met DHCP relay agents kunnen doen, maar die gebruik je juist wanneer je meerdere LAN's hebt volgens mij.

Ik heb iets vergelijkbaars opgelost met een zelfgemaakte Endian firewall (http://www.endian.com/en/community/efw-251/), maar is vast ook te regelen met een product van bv http://routerboard.com/.
Is een kwestie van meerdere NIC's in je machine zetten en achter een 3e of 4e NIC (1e is bij mij bv WAN, 2e is LAN etc) een eigen AP te hangen. Zo kan je voor iedere AP een aparte zone creeren in je firewall met ieder zijn eigen restricties en IP ranges. Hier wordt het gebruikt om een aparte guest WLAN te hebben die alleen toegang heeft tot internet (poort 80 en 443) en verder geen toegang heeft tot de rest van het netwerk.

Oorspronkelijk geplaatst door Boyke

Beste WHT'ers,

Het volgende wil ik opzetten alleen ik wil weten of dit technisch mogelijk is en zo ja hoe.

1 LAN (172.16.100.0/22) met 1 router
Meerdere DHCP scopes / pools
Meerdere access points met meerdere SSID's

Het idee is om 1 (+ fallback) DHCP server neer te zetten welke de DHCP scopes / pools beheerd, op basis van het AP / SSID waar je verbinding mee maakt moet er vervolgens een adres worden uitgedeeld uit een bepaalde pool. Bijvoorbeeld als je verbind met SSID 1 krijg je een adres uit 172.16.101.x en wanneer je verbind met SSID 2 krijg je een adres uit 172.16.102.x

Dit zou ik misschien met DHCP relay agents kunnen doen, maar die gebruik je juist wanneer je meerdere LAN's hebt volgens mij.

Ik denk dat het wel te bouwen is , als je (uitgaande van de isc dhcp server) matched op het vragende access point.
(classes e.d. ) eventueel via optie 82 data die door de access switch waar het AP aanhangt toegevoegd kan worden.
(switch geeft dan informatie mee achter welke poort een DHCP request vandaan komt).
Dat gaat (ook) met een dhcp relay agent, dat is dus niet altijd voor dhcp over verschillende subnetten.

Op deze manier blokkeer je wel een aantal voordelen.
Want je kiest wel voor een shared (wireless) subnet blijkbaar , maar omdat je de APs verschillende SSIDs geeft kunnen de gebruikers niet roamen van het ene naar het andere AP.

[edit]
Hm, ik zie bij herlezen eigenlijk niet heel duidelijk of je ze toch in hetzelfde subnet wilt of niet.
Zo nee, dan is het erg simpel.
[end edit]

Als roamen toch niet zinvol of nodig is, zie ik niet waarom je dan niet kiest om elk AP z'n eigen subnet te geven, dan hoef je geen lastige dhcp voodoo te doen om hetzelfde effect te bereiken .

Ik denk dat je een betere service hebt als je roaming wel mogelijk maakt (zelfde SSID, shared subnet), en je probleem 'op welk AP zit een client' extern oplost . Dwz, een monitoring systeem waarbij je gewoon de clients per AP kunt opzoeken .

Het gaat er om dat bijvoorbeeld een laptop een adres krijgt uit 172.16.101.x en een mobiele telefoon uit 172.16.102.x liefst geregeld door 1 DHCP server. De laptop zou dan moeten connecten met SSID 1 (AP onafhankelijk, dus roaming moet mogelijk zijn) en de mobiele telefoon met SSID 2 (ook AP onafhankelijk). Elk AP zend dus meerdere SSID's uit. De AP's hebben de mogelijkheid om per SSID een VLAN aan te wijzen.

Ik heb dit geregeld met de volgende producten
- 1 routerboard RB2011L-RM (http://www.interprojekt.com.pl/mikro...ig-p-1286.html)
- 1 UBNT (Ubiquiti) Unifi (http://www.interprojekt.com.pl/ubiqu...er-p-1119.html)

De UBNT zend momenteel 3 SSID's uit, die elk hangen aan een eigen VLAN
- VLAN 101 (ssid private.wifi.be.it2go.eu, iprange 10.101.0.0/24)
- VLAN 102 (ssid trusted.wifi.be.it2go.eu, iprange 10.102.0.0/24)
- VLAN 103 (ssid public.wifi.be.it2go.eu, iprange 10.103.0.0/24)

Op het routerboard zijn uiteraard die 3 VLANS ook geconfigureerd. Op deze manier krijgen alle wireless toestellen van mij en mijn vriendin een ip uit de 10.101.0.0/24 pool, krijgen vrienden die komen een ip uit de 10.102.0.0/24 pool (apart WPA2 wachtwoord dat ze kennen) en kan eenieder (bvb buren) surfen via een ip uit de 10.103.0.0/24 pool. Onnodig om te zeggen dat de 10.102.0.0 en 10.103.0.0 gelimiteerd zijn qua snelheid :-)

Oorspronkelijk geplaatst door Boyke

Het gaat er om dat bijvoorbeeld een laptop een adres krijgt uit 172.16.101.x en een mobiele telefoon uit 172.16.102.x liefst geregeld door 1 DHCP server. De laptop zou dan moeten connecten met SSID 1 (AP onafhankelijk, dus roaming moet mogelijk zijn) en de mobiele telefoon met SSID 2 (ook AP onafhankelijk). Elk AP zend dus meerdere SSID's uit. De AP's hebben de mogelijkheid om per SSID een VLAN aan te wijzen.

Dan is het vrij simpel, VLAN == subnet == SSID .
Als alle vlans doorgetrokken zijn tot en met de dhcp server kun je het op de heel standaard manier doen, dhcp server met een trunk interface en dhcp laten luisteren op alle subnets.
Of met dhcp relay (dhcp helper) op de subnetten als die op een andere server/router bij elkaar komen.

Oorspronkelijk geplaatst door visser

Dan is het vrij simpel, VLAN == subnet == SSID .
Als alle vlans doorgetrokken zijn tot en met de dhcp server kun je het op de heel standaard manier doen, dhcp server met een trunk interface en dhcp laten luisteren op alle subnets.
Of met dhcp relay (dhcp helper) op de subnetten als die op een andere server/router bij elkaar komen.

Helaas is er (nog) niks aan VLAN's geimplementeerd, dat wordt dus een flinke klus, maar uiteindelijk wel de beste oplossing denk ik.

Een vergelijkbare oplossing heb ik recentelijk uitgerold op een vakantiepark met 60+ ap's.
2x een Draytek 3900 in HA. AP800 ap's, Antamedia Billing software +RADIUS.

Ieder AP heeft 1 uniek SSID (vlan-X +/24) en 1 algemeen SSID (VLAN-Y + /20) welke op alle ap's gelijk is. Dit is met een zeer beperkt budget toch een succes gebleken. Enige nadeel is dat 'echte' handover niet mogelijk is. Pas als een device zijn connectie met een ap is verloren, connect deze pas weer met een ander ap. In de praktijk blijkt dit echter toch goed te werken.

Dit werkt zeer zeker goed : in Gent is er een bedrijf (studenteninternet.be) die zowat op alle koten (kamers voor de Nederlanders) op dergelijke manier internet voorziet, met de spullen die ik vernoemde...

Oorspronkelijk geplaatst door Boyke

Helaas is er (nog) niks aan VLAN's geimplementeerd, dat wordt dus een flinke klus, maar uiteindelijk wel de beste oplossing denk ik.

Zolang de schaal klein genoeg is dat je inderdaad een shared subnet over alle APs wilt, met roaming e.d. is het m.i. ook de beste keuze.
(klein genoeg ook in verhouding tot de netwerk ruis/broadcast verkeer, dat op wifi nog vervelender is dan op een bedraad net).

VLANs opzetten is niet zo heel moeilijk, en ook al kost het misschien de eerste keer wat tijd, het is nuttig om te kunnen en eens gedaan te hebben.
tip : er is een proc setting (of vconfig set_flag) reorder_hdr bij vlan interfaces. Die moet aan (1) als je daar dhcpd op wilt laten luisteren. Dat is de default sinds vrij lang (2.6.18), maar daar kun je lang naar zoeken als het verkeerd staat.

De vraag is wat vooral je randeisen en budgetten zijn.
Moet het gewoon simpelweg altijd werken en is er weinig ruimte voor hobbywerk zou ik aanraden om een Fortigate (60 of 80C te pakken) al dan niet in HA en daar Forti AP's op te gebruiken.

wil je wat meer hobbyen kan je kiezen voor een Unifi wireless netwerk, hier heb je ook weer voor verschillende budgetten en ap's mogelijkheden voor, en kies hier dan een router met vlan's naar keuze bij.