finius
Nov 09, 2019, updated at 13:41:15 (UTC)
view4315
view11
0
Goto Top

PFsense + Unifi - Wlan in Vlan

GermanQuestionNetwork ManagementNetworks
Hallo zusammen,

ich verliere langsam die Nerven. Ich versuche mit Pfsense und Unifi über einen Unifi AP das Gastnetz in ein Vlan zu bekommen und scheitere. Vielleicht hat ja jemand von euch eine Idee oder sieht etwas was ich übersehen habe.

Aufbau:
PFsense auf der Netgate 3100 über PPPOE an ein Draytek Vigor im Bridgemode

Netgate an Unifi Switch an Unifi AP

Unifi Controller auf einer Ubuntu VM

Derzeitige Konfiguration:

2019-11-09 14_31_52-meinepfsense.localdomain - status_ dashboard
2019-11-09 14_32_37-meinepfsense.localdomain - interfaces_ guest (mvneta1.30)
2019-11-09 14_33_07-meinepfsense.localdomain - interfaces_ vlans_ edit
2019-11-09 14_32_24-meinepfsense.localdomain - interfaces_ guest (mvneta1.30)
2019-11-09 14_32_52-meinepfsense.localdomain - interfaces_ interface assignments
2019-11-09 14_34_25-meinepfsense.localdomain - services_ dhcp server_ guest
2019-11-09 14_35_04-meinepfsense.localdomain - firewall_ rules_ guest
2019-11-09 14_36_02-unifi
2019-11-09 14_35_38-unifi
2019-11-09 14_36_16-ecodms connection-manager

Ich kann mich mit der SSID (Schmarotzer) verbinden bekomme jedoch keinen Zugang zum Internet und der Client bekommt keine Adresse aus dem definierten Adressbereich.

Sieht jemand meinen Denkfehler?
Vielen Dank
Finius
comment-contentCommentShareShare
Share on Facebook Share on Twitter Share on Reddit Share on Linkedin

Content-Key: 513549

Url: https://administrator.de/contentid/513549

Printed on: April 16, 2024 at 09:04 o'clock

11 Comments
Latest comment
Goto Top
Member: Spirit-of-Eli
Spirit-of-Eli Nov 09, 2019 at 14:00:50 (UTC)
Goto Top
Moin,

ist LAN zu WLAN Multicast deaktiviert?
Das war bei mir letztens ein Problem.

Zusätzlich einmal die Funktion des vlans prüfen. Gibt es schon firewall regeln?

Gruß
Spirit
heart1
Member: farddwalling
farddwalling Nov 09, 2019 at 14:16:51 (UTC)
Goto Top
Und der Port an dem deine Ubuntu VM hängt ist auch vlan 30 getagged?
heart1
Member: finius
finius Nov 09, 2019 at 14:41:16 (UTC)
Goto Top
2019-11-09 15_38_45-unifi
nein ist aktiv.

Wie die funktion des Vlan prüfen?

Firewallregeln:
2019-11-09 15_40_46-efe1251a44f8455f124c464fa1b5bc04 (1160×116)
Member: finius
finius Nov 09, 2019 at 14:43:26 (UTC)
Goto Top
nach meinem Verständnis übernimmt der Controller (in der Ubuntu VM) nur die Konfiguration. Die Steuerung übernehmen die einzelnen Netzwerkkomponenten (Switch und AP).
Also nein die VM hängt nicht im Vlan
Member: aqui
aqui Nov 09, 2019 at 14:54:25 (UTC)
Goto Top
Das dazu korrespondierende VLAN Tutorial hast du gelesen ??
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern
Dort werden eigentlich alle Details zu diesem Setup erklärt. Ganz besonders nochmal im Praxis_Beispiel das ja exakt deinem Setup entspricht !

Um das wasserdicht zu testen solltest du am VLAN Switch erstmal einen Untagged Kupfer Testport einrichten in diesem Gast VLAN. Dort dann einen PC oder Laptop aufstecken und checken das er in diesem Gast VLAN auch sauber eine IP Adresse von der pfSense bekommt und auch ins Internet kommt.
Dann weisst du sicher das die Adressierung usw. in diesem Gast VLAN sauber und sicher funktioniert.
Ggf. kannst du auch dort gleich ein Captive_Portal einrichten und das ebenfalls wasserdicht testen für die Gäste.
Achtung !!
Die VLAN Interfaces haben Firewall üblich eine DENY any any Regel aktiv blocken also ALLEN Verkehr ! Nur das du das auf dem Radar hast und hier eine entsprechende regel einrichtest. Das Praxis Tutorial weist explizit auf diese Falle hin !!
Erst wenn das alles sauber klappt machst du dich an den Access Point und checkst dort die SSID zu VLAN ID Zuweisung im Setup usw.
heart1
Member: finius
finius Nov 09, 2019 at 16:30:47 (UTC)
Goto Top
ja das habe ich gelesen ...
Die Firewallregel besteht auch (siehe erster Post)

den test werde ich so mal durchführen ... danke für den Tipp.
Member: finius
finius Nov 09, 2019 at 22:13:56 (UTC)
Goto Top
Nov 9 21:58:25	dhcpd		DHCPNAK on 192.168.5.186 to MAC-Adresse via mvneta1.30
Nov 9 21:58:25	dhcpd		DHCPREQUEST for 192.168.5.186 from MAC-Adresse (Surface) via mvneta1.30: wrong network.
Nov 9 21:58:25	dhcpd		DHCPNAK on 192.168.5.186 to MAC-Adresse via mvneta1.30
Nov 9 21:58:41	dhcpd		DHCPDISCOVER from MAC-Adresse via mvneta1.30
Nov 9 21:58:42	dhcpd		DHCPOFFER on 10.1.30.101 to MAC-Adresse (Surface) via mvneta1.30
Nov 9 21:58:46	dhcpd		DHCPDISCOVER from MAC-Adresse (Surface) via mvneta1.30
.
.
.
.
Nov 9 22:05:19	dhcpd		DHCPDISCOVER from MAC-Adresse (Surface) via mvneta1
Nov 9 22:05:20	dhcpd		DHCPOFFER on 192.168.5.186 to MAC-Adresse (Surface) via mvneta1
Nov 9 22:05:20	dhcpd		reuse_lease: lease age 596 (secs) under 25% threshold, reply with unaltered, existing lease for 192.168.5.186
Nov 9 22:05:20	dhcpd		DHCPREQUEST for 192.168.5.186 (192.168.5.1) from MAC-Adresse (Surface) via mvneta1
Nov 9 22:05:20	dhcpd		DHCPACK on 192.168.5.186 to MAC-Adresse (Surface) via mvneta1

Das spuckt mir das log aus wenn ich das ding via Kabel verbinde. MAC-Adresse = eigentliche MAC-Adresse
Member: Spirit-of-Eli
Spirit-of-Eli Nov 09, 2019 at 22:15:40 (UTC)
Goto Top
Das Device bekommt die response nicht würde ich sagen.
Member: finius
finius Nov 10, 2019 at 08:54:01 (UTC)
Goto Top
an was kann das liegen?
Member: Looser27
Looser27 Nov 10, 2019 at 09:41:00 (UTC)
Goto Top
Hat der AP tagged Ports für alle VLAN, im Die Clients verschoben werden sollen?
Member: aqui
aqui Nov 10, 2019 updated at 09:50:32 (UTC)
Goto Top
Die Firewallregel besteht auch (siehe erster Post)
Und ist falsch.
Sie dir die mal genau an !!!
Als Destination steht da ein Netzwerk Alias deines Privat Netzes drin ! Sprich die Regel lässt einzig und allein nur IP Pakete durch dessen Quellnetzadresse das Gastnetz ist und dessen Zieladresse das Private Netz ist.
Mal abgesehen das diese Regel für ein Gastnetz völliger Unsinn ist (man will Gäste ja gerade NICHT im Privatnetz haben !!!) ist sie auch falsch. DHCP hat als Source 0.0.0.0 und als Destination 255.255.255.255.
Ändere deine Gastenetz Adresse testweise erstmal ab in:
PASS, Source: <Gast_net>, Port: ANY --> Destination: ANY, Port: ANY
Danach sollt es klappen !
Um das Gastnetz nachher zu sperren vom Privatnetz wäre:
DENY, Source: <Gast_net>, Port: ANY --> Destination: <Privat_net>, Port: ANY
PASS, Source: <Gast_net>, Port: ANY --> Destination: ANY, Port: ANY
dann das richtige Regelwerk.
Oder...
Wenn du den Gästen rein nur surfen erlauben willst dann:
DENY, Proto: IP, Source: <Gast_net>, Port: ANY --> Destination: <Privat_net>, Port: ANY
PASS, Proto: UDP/TCP, Source: <Gast_net>, Port: ANY --> Destination: ANY, Port: 53
PASS, Proto: TCP, Source: <Gast_net>, Port: ANY --> Destination: ANY, Port: 80
PASS, Proto: TCP, Source: <Gast_net>, Port: ANY --> Destination: ANY, Port: 443
Wenn du dein Gastnetz mit einem [ Captive_Portal] auf der pfSense ausgerüstet hast musst du im Regelwerk auch die Portalseite erlauben:
DENY, Proto: IP, Source: <Gast_net>, Port: ANY --> Destination: <Privat_net>, Port: ANY
PASS, Proto: UDP/TCP, Source: <Gast_net>, Port: ANY --> Destination: ANY, Port: 53
PASS, Proto: TCP, Source: <Gast_net>, Port: ANY --> Destination: <Gast_address>, Port: 8000-8003
PASS, Proto: TCP, Source: <Gast_net>, Port: ANY --> Destination: ANY, Port: 80
PASS, Proto: TCP, Source: <Gast_net>, Port: ANY --> Destination: ANY, Port: 443
Das wars...
Wie gesagt erstmal alles wasserdicht an einem LAN Kupferport testen.
GermanQuestionNetwork ManagementNetworks