WLAN Gastzugang per VLAN ohne VLAN-Switch

[eddia]

Hallo,

vorhanden ist ein 1811 (für den Internet-Zugang) und mehrere L-54. Alle hängen an einem nicht VLAN-fähigen Switch. Die L-54 sollen ausschliesslich dem Gastzugang ins Internet dienen - ohne Zugriff auf das LAN.

Ok - mit einem VLAN-Switch wäre das einfach, aber auf Grund der Konfigurationsoptionen der Lancoms hatte ich folgende Idee:

Im 1811 und in den L54 wird VLAN mit der gleichen ID aktiviert. Auf den L54 werden abgehende Pakete ins LAN getaggt, damit die im LAN vorhandenen Clients diese verwerfen. Der 1811 sollte auf Grund der selben VLAN-ID diese entgegennehmen. Umgekehrt taggt der 1811 Pakete ins LAN nicht, damit die LAN-Clients auch noch ins Internet können. Die L-54 sind so konfiguriert, dass sie auch ungetaggte Pakete, die sie vom LAN-Port empfangen weiterleiten.

Die VLAN-IDs hab ich erst mal überall auf 1 belassen. Die VLAN-Tabelle umfasst alle möglichen Ports.

Einstellungen am 1811 für LAN-1:

Tagging verwenden: nein
Ungetaggte Frames zulassen: ja
Alle VLANs zulassen: nein

Einstellungen an den L-54 für LAN-1:

Tagging verwenden: ja
Ungetaggte Frames zulassen: ja
Alle VLANs zulassen: nein

Einstellungen an den L-54 für WLAN-1:

Tagging verwenden: nein
Ungetaggte Frames zulassen: ja
Alle VLANs zulassen: nein

Dummerweise können aber noch immer die WLAN-Clients die Clients im LAN erreichen. Hab ich etwas falsch konfiguriert oder geht das prinzipiell nicht?

Gruß

Mario

[alf29]

Moin,

am L-54 muß für LAN-1 eine Port-VLAN-Id ungleich 1 gesetzt werden - So wie das
Port-VLAN ingress das VLAN für ungetaggte Pakete festlegt, legt es egress fest, für
welches VLAN die Pakete kein VLAN-Tag erhalten sollen. Eine Wahl von Null wäre
hier auch möglich, ingress legt dann die Port-Mitgliedschaft von LAN-1 fest, welchem
VLAN ungetaggte Pakete zugeschlagen werden. Ich will aber nicht ausschließen, daß
ich da auch noch etwas übersehe, VLANs einzurichten ist eine Sache, die regelmäßig
Knoten ins Hirn macht

Des weiteren gibt es zum Teil Ethernet-Treiber für Windoes (z.B. bestimmte Intel-Treiber),
die in empfangenen Paketen stehende Tags je nach Einstellung einfach kommentarlos
löschen...

Gruß Alfred

[eddia]

Hallo Alfred,

am L-54 muß für LAN-1 eine Port-VLAN-Id ungleich 1 gesetzt werden - So wie das
Port-VLAN ingress das VLAN für ungetaggte Pakete festlegt, legt es egress fest, für
welches VLAN die Pakete kein VLAN-Tag erhalten sollen. Eine Wahl von Null wäre
hier auch möglich, ingress legt dann die Port-Mitgliedschaft von LAN-1 fest, welchem
VLAN ungetaggte Pakete zugeschlagen werden.

Aha - dann wurde also bei meiner obigen Konfiguration der VLAN-Tag 1 beim Weiterleiten ins LAN wieder entfernt?

Ich will aber nicht ausschließen, daß
ich da auch noch etwas übersehe, VLANs einzurichten ist eine Sache, die regelmäßig
Knoten ins Hirn macht

Ich kann die Knoten bei mir schon gar nicht mehr zählen.

Dann sollte ich die Konfiguration am L-54 folgendermassen ändern(?):

LAN-1: ID 1
WLAN-1: ID 2

VLAN-Tabelle:

Code: Alles auswählen

VLAN-Name  VLAN-ID  Port-Liste
LAN           1      LAN-1
WLAN          2      LAN-1, WLAN-1

Und am 1811 setze ich in der Port-Tabelle einfach das Häkchen 'Pakete erlauben, die zu anderen VLANs gehören'?

Des weiteren gibt es zum Teil Ethernet-Treiber für Windoes (z.B. bestimmte Intel-Treiber),
die in empfangenen Paketen stehende Tags je nach Einstellung einfach kommentarlos
löschen...

Danke für den Hinweis. Hab gerade mal nachgesehen - im Intel ProSet gibt es eine Option QoS/VLAN-Tagging, die standardmäßig deaktiviert ist.

Gruß

Mario

[alf29]

Moin,

Aha - dann wurde also bei meiner obigen Konfiguration der VLAN-Tag 1 beim Weiterleiten ins LAN wieder entfernt?

Es wurde gar nicht erst eingesetzt. Auf der WLAN-Seite
sind noch keine Tags drin, auf dem Weg durch die Bridge
wird das im Ingress-Filter ermittelte VLAN als Attribut am
Paket mitgeführt, und egress wird dann entschieden, ob
ein Tag reinkommt...oder auch nicht...

Dann sollte ich die Konfiguration am L-54 folgendermassen ändern(?):

LAN-1: ID 1
WLAN-1: ID 2

WLAN-1 muß auf 1 bleiben, das VLAN 2 gibt es ja gar nicht
und LAN-1 ist nicht Mitglied von VLAN 2 - deshalb würden
Pakete vom WLAN nicht ins LAN weitergereicht werden.
Wenn man bei LAN-1 das Port-VLAN auf 0 (!) setzt, müßten
wir der Sache näher kommen...

Und am 1811 setze ich in der Port-Tabelle einfach das Häkchen 'Pakete erlauben, die zu anderen VLANs gehören'?

Das würde nichts helfen, die Pakete würden dann zwar vom
Ingress-Filter durchgelassen, aber das 1811 nimmt sie
nicht an, weil 2 ungleich seiner Geräte-VLAN-Id ist. Also
bei VLAN-1 bleiben, in dem LAN und WLAN Mitglied sind.

Gruß Alfred

[eddia]

Hallo Alfred,

WLAN-1 muß auf 1 bleiben, das VLAN 2 gibt es ja gar nicht
und LAN-1 ist nicht Mitglied von VLAN 2 - deshalb würden
Pakete vom WLAN nicht ins LAN weitergereicht werden.

Jetzt bin ich noch mehr irritiert. Die von mir angeführte VLAN-Tabelle des L-54 würde doch genau das erreichen(?)

Das würde nichts helfen, die Pakete würden dann zwar vom
Ingress-Filter durchgelassen, aber das 1811 nimmt sie
nicht an, weil 2 ungleich seiner Geräte-VLAN-Id ist. Also
bei VLAN-1 bleiben, in dem LAN und WLAN Mitglied sind.

Ach so - das ist natürlich ein Argument. Ich war bisher davon ausgegangen, dass die Geräte-VLAN-ID nur zu Verwaltungszwecken benötigt wird.

Ok - ich versuchs dann mal mit der 0 als Port-ID. Danke für Deine Erklärungen.

Gruß

Mario