receiverbox
Goto Top

Cisco Aironet: Mehrere SSIDs pro VLAN

Hallo,

gibt es eine Möglichkeit mehrer SSIDs auf ein VLAN im Aironet Access Point (hier Cisco AP1131AG) zuzuordnen?

In den Cisco-Unterlagen habe ich lediglich entdeckt, dass ein VLAN nur einem SSID pro Radio zugeordnet werden kann.
Und VLAN-Zuordnung MAC-based nur über einen Radius-Server.

Ich benötigte zwei SSIDs mit unterschiedlicher Verschlüsselung und Authentifiizierung aber letztlich auf das selbe VLAN.
Von einem VLAN wüßte ich sogar die MAC-Adressen, allerdings ist mir ein RADIUS-Server zu komplex zum aufsetzen.
Welche Tricks gibts hierzu?

Danke und Grüße

Content-ID: 256967

Url: https://administrator.de/forum/cisco-aironet-mehrere-ssids-pro-vlan-256967.html

Ausgedruckt am: 23.12.2024 um 02:12 Uhr

114757
114757 06.12.2014 aktualisiert um 15:45:47 Uhr
Goto Top
Moin,
als Workaround könntest du doch die beiden untersch. VLANs der SSIDs den benötigten Zielports deines "einen" benutztem VLAN zuordnen, dann hast du das selbe realisiert nur halt mit einer zusätzlich VLAN-ID.

Gruß jodel32
receiverbox
receiverbox 06.12.2014 um 15:52:02 Uhr
Goto Top
Ähm, ich glaub ich versteht jetzt nicht, was du damit konkret meinst? Kannst du das etwas ausführen?
114757
114757 06.12.2014 aktualisiert um 16:10:35 Uhr
Goto Top
Also,anstatt jetzt nur einem VLAN benutzt du dann 2 VLANs für die AP (für jeden AP eine), und überall dort wo du vorher nur das eine VLAN den Ports zugeordnet hast, ordnest du stattdessen jetzt den Ports immer beide VLANs zu, feddich face-smile
receiverbox
receiverbox 06.12.2014 um 16:11:36 Uhr
Goto Top
Also du meinst auf dem Switch an dem der AP hängt, an dem besagrten Port einfach ein VLAN aufschalten? Dann müsste ich aber alle anderen Geräte, die mit dem WLAN-Geräten im originären VLAN kommunizieren wollen (z. B. Netzwerkdrucker u.ä.) auch auf das zusätzliche VLAN schalten. Bei Netzwerkdruckern geht das z. B. gar nicht so ohne weiteres (da diese keine VLAN-funktionalität unterstützen)...

Da wäre einen zweiten AP zu installieren einfacher (das will ich aber nicht, da ich extra Kabel ziehen müsste).
114757
114757 06.12.2014 aktualisiert um 16:17:18 Uhr
Goto Top
Zitat von @receiverbox:

Also du meinst auf dem Switch an dem der AP hängt, an dem besagrten Port einfach ein VLAN aufschalten? Dann müsste ich
aber alle anderen Geräte, die mit dem WLAN-Geräten im originären VLAN kommunizieren wollen (z. B. Netzwerkdrucker
u.ä.) auch auf das zusätzliche VLAN schalten. Bei Netzwerkdruckern geht das z. B. gar nicht so ohne weiteres (da diese
keine VLAN-funktionalität unterstützen)...
wieso stellst du an Druckern VLAN-Tags ein ?? Normalerweise weist man den Ports des Switches die VLAN-Ids zu und nicht den Endgeräten.
receiverbox
receiverbox 06.12.2014 aktualisiert um 17:30:35 Uhr
Goto Top
Wenn ich einem Port, z. B. dem an welchen der Drucker hängt, zwei VLANs zuweise, kann maximal ein VLAN untagged sein. Das zweite ist minimum tagged. Kann das Endgerät kein VLAN so wird das tagged Datenpacket verworfen. Sprich Zugriff von diesem getagged-dem VLAN funktioniert bei diesem Endgerät, egal was ich auf dem Switch einstelle. Denn müsste ich noch kompliziert über Level3-Layer gehen.
aqui
Lösung aqui 06.12.2014, aktualisiert am 07.12.2014 um 10:48:20 Uhr
Goto Top
Ja, das gibt es aber nur über einen Kniff bzw. Workaround:
Eine VLAN zu mSSID Konfig findest du z.B. hier:
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern
Hier kannst du sehen das allen VLANs auch eine spezifische Bridge ID zugewiesen ist die zum BVI Interface bzw. genau dem Subinterface korrespondiert.
Dadurch hat man isolierte Bridges die den LAN Port dann transparent mit 802.1q VLAN Tags am LAN Port ausgeben.
Wenn du nun z.B. den einzelnen mSSIDs in ihren VLANs die gleiche Bridge ID gibst, dann hängen die per Bridging in einer gemeinsamen L2 Domain zusammen in einem VLAN und du erreichst was du willst.
Eigentlich ist so eine Konfig unsinning, da sinnfrei. Was soll der tiefere Sinn davon sein ? Man will ja gerade SSIDs in separate Segmente trennen mit der mSSID Technik !
receiverbox
receiverbox 06.12.2014 um 22:32:07 Uhr
Goto Top
Sinn ist der einer Migration: Es herrschte ein wirwar mit SSIDs etc und ich räume diese nun auf. Das heißt es gibt mehrer SSIDs mit unterschiedlichen Encryption und Authentication und ich möchte die Rechner erst nach und nach einzeln umkonfigurieren. Alle AP sollen aber ab sofort alle SSIDs und das alte Passwort benutzen können. Langfristig sollen die SSIDs alle auf eine bzw. richtig separarierte zusammengelegt werden.


Verstehe ich das richtig:

Nur, damit ich es richtig verstehe:
In dem Beispiel habe ich ein VLAN 3 auf dem WLAN und ich ändere einfach bei den bridge-group die Nummer von 3 auf 1 - was auch das Native, als ungetaggte Netz wäre. Klappt das so dann? Das WLAN-VLAN3 würde dann über die bridge-group 1 laufen, welche in das LAN native rausläuft. Oder bekomme ich dann mit den Tags noch Probleme?

interface Dot11Radio0.3
encapsulation dot1Q 3
no ip route-cache
bridge-group 1
bridge-group 1 subscriber-loop-control
bridge-group 1 block-unknown-source
no bridge-group 1 source-learning
no bridge-group 1 unicast-flooding
bridge-group 1 spanning-disabled
!
aqui
Lösung aqui 07.12.2014 aktualisiert um 10:48:22 Uhr
Goto Top
Es herrschte ein wirwar mit SSIDs etc und ich räume diese nun auf.
OK, das macht dann in der Tat Sinn face-wink
Ja, das verstehst du richtig. Alle WLANs mit der gleichen Bridge Group werden in eine Layer 2 Bridge Domain gebridged dann auf dem AP und arbeiten dann in einer Broadcast Doamin sprich VLAN.
receiverbox
receiverbox 30.01.2015 um 00:41:24 Uhr
Goto Top
Danke nochmal für die tatkräfite Mithilfe zur Lösung!