solaris
Goto Top

DUAL WLAN unter OPNSense und pfSense

Hallo

ich interessiere mich für den m0n0wall Nachfolger OPNSense. Angeblich ist das ja auch ähnlich oder in vielem gleich der FW pfsense.

Ich habe eine Frage zu der DUAL WLAN Nutzung, was in diesem Artikel erläutert wird: WLAN oder LAN Gastnetz einrichten mit einem Captive Portal (Hotspot Funktion)

Ich nutze folgende WLAN PCIe Karte: http://www.apu-board.de/produkte/compexwle200nx.html in einem APU 1D4 Board.

Das WLAN ansich kann erstellen in 2.4GHz oder 5GHz. aber es lässt sich unter OPNSense kein "Parent Interface" erstellen um beide Module zu erstellen.
Dabei kommt es zu folgender Fehlermeldung:
"The following input errors were detected:
This wireless clone cannot be modified because it is still assigned as an interface."


Meine Frage ist nun, liegts an dem WLAN Modul oder an OPNSense?!

Danke für eure Unterstützung

Content-ID: 276017

Url: https://administrator.de/contentid/276017

Ausgedruckt am: 22.11.2024 um 16:11 Uhr

117643
117643 30.06.2015 um 10:22:24 Uhr
Goto Top
Solaris
Solaris 30.06.2015 um 10:27:29 Uhr
Goto Top
@117643

ich kenn den Thread dort, der ist ebenfalls von mir face-wink

aber vielleicht hat ja jemand schon hier Erfahrung gemacht?!
aqui
aqui 30.06.2015 aktualisiert um 10:32:41 Uhr
Goto Top
Das liegt sehr wahrscheinlich an der OpenSense, denn auf der pfSense lässt sich das fehlerfrei einrichten wie du im obigen Tutorial ja sehen kannst. Vermutlich supporten die (noch) keinen Parent Interfaces die dafür zwingend sind.
Verwende halt pfSense, das löst dein Problem face-wink
Solaris
Solaris 30.06.2015 um 13:12:10 Uhr
Goto Top
@aqui

Danke für deinen Hinweis, werd mich mal mit pfsense befassen. Sieht ja auf dem ersten Blick ganz gut aus.
aqui
aqui 30.06.2015 um 14:46:17 Uhr
Goto Top
Grundlagen dazu findest du auch hier:
Preiswerte, VPN fähige Firewall im Eigenbau oder als Fertiggerät
bzw. den weiterführenden Links am Schluss.
Solaris
Solaris 30.06.2015 um 15:09:22 Uhr
Goto Top
Danke.

Werd mich dort mal einarbeiten, bei Fragen meld ich dazu in einem passenden Thread.

Btw: IPv6 Unterstüzung hat pfSense auch?! Fand da jetzt nichts auf die schnelle...
aqui
aqui 30.06.2015 aktualisiert um 15:17:02 Uhr
Goto Top
Ja, IPv6 ist seit der 2011 fest mit an Bord !

Wie kann ich einen Beitrag als gelöst markieren?
Solaris
Solaris 30.06.2015 um 16:18:29 Uhr
Goto Top
TOP! Dank Dir!
Solaris
Solaris 01.07.2015 aktualisiert um 17:44:56 Uhr
Goto Top
@aqui

So hab die beiden WLAN Netze und pfSense eingerichtet bekommen.Je eins mit 2.4GHz und 5Ghz
Wie gehts weiter?

Unter welches Interface vergebe ich nun den DHCP?

Ist es möglich das das 2.4GHz den IP Bereich z.b. 192.168.3.x und das 5GHZ 192.168.4.x bekommt?

Muss ich das für alle WLAN Interfaces machen oder nur für den BridgeMode?

Wo stell ich den WPA2 Pre-Shared Key ein damit ich sicheren Zugang zum WLAN bekomme. Bräuchte dann ja sicherlich 2 verschiedene PWs oder?

Das ist leider nicht so ersichtlich in deiner Anleitung.

Wo seh später welcher WLAN Teilenehmer sich ins WLAN einwählen will? Unter DHCP Leases?
Kann ich dann anhand der vergeben IP und MAC den Teilnehmer fest zuordnen in der DHCP Liste?

Gruß
aqui
aqui 01.07.2015 aktualisiert um 17:54:14 Uhr
Goto Top
Unter welches Interface vergebe ich nun den DHCP?
Immer auf dem Bridge Interface das beide WLANs zusammenfasst. Beide sind ja in einem bemeinsamen IP Netz, oder ??
Du kannst sie auch in separaten IP Segmenten betreiben. Leider teilst du uns das nicht genau mit und zwingst uns so zum Raten face-sad
Ist es möglich das das 2.4GHz den IP Bereich z.b. 192.168.3.x und das 5GHZ 192.168.4.x bekommt?
Ja, das ist möglich ! Dann darfst du keinen bridge definieren. Die pfSense nimmt dann jedes WLAN als eigenes Netzsegment mit eigenem IP Netz.
Muss ich das für alle WLAN Interfaces machen oder nur für den BridgeMode?
Frage ist unverständlich. Sorry was genau meinst du damit ?
Wo stell ich den WPA2 Pre-Shared Key ein damit ich sicheren Zugang zum WLAN bekomme.
Das machst du in den separaten WLAN Settings pro Interface.
Das ist leider nicht so ersichtlich in deiner Anleitung.
Kein Wunder, denn die Anleitung behandelt ja nur das gemeinsame WLAN, das 2,4 und 5 Ghz in einem gemeinsamen Segment behandelt werden.
Wo seh später welcher WLAN Teilenehmer sich ins WLAN einwählen will? Unter DHCP Leases?
Ja, unter anderem aber auch in den Security Logs.
Kann ich dann anhand der vergeben IP und MAC den Teilnehmer fest zuordnen in der DHCP Liste?
Ja, auch das geht problemlos und machst du in den DHCP Server Settings !
Sieh da mal ganz ans Ende dort, da weist du in der Liste Mac Adressen feste IPs aus dem Pool zu ! Eigentlich ganz easy und selbsterklärend.
Solaris
Solaris 01.07.2015 um 18:30:38 Uhr
Goto Top
Hiho

du bist ja fix bei der Sache.... Respekt und Danke

Muss ich das für alle WLAN Interfaces machen oder nur für den BridgeMode?
Frage ist unverständlich. Sorry was genau meinst du damit ?

Damit meinte ich eigentlich das ich die gesamten Einstellungen für jedes WLAN Interface (2,4 und 5GHz) machen muss, sprich den WPA2 Key einrichten usw.
Und letztendlich im BridgeMode den gemeinsamen IP Bereich vergebe. hab ich das insoweit richtig verstanden?

Dann kann ich auch ein WPA2 PW vergeben oder auch zwei? Was macht Sinn?
aqui
aqui 01.07.2015 um 19:28:42 Uhr
Goto Top
hab ich das insoweit richtig verstanden?
Yepp, das hast du genau richtig verstanden !
Dann kann ich auch ein WPA2 PW vergeben
Ja, natürlich ! So oder so nur WPA2 alles andere ist unsicher.
oder auch zwei?
Wie meinst du das ?? 2 in Bezug auf eins für 2,4 und eins für 5 Ghz ?
Wenn du das so meinst ja, das geht wenn du die beiden WLANs separat in jeweils einem eigenen IP Segment betreiben willst. Wenn nicht musst du sie mit einer Bridge zusammenfassen und dann arbeiten beide Funkbänder in einem gemeinsamen IP Segment.
Die IP Adresse und der DHCP Server werden dann immer an des Bridge Interface gebunden !
Hier als Beispiel zw. LAN und WLAN:
PfSense - WiFi AP funktioniert jedoch komme ich nicht ins Internet
Solaris
Solaris 02.07.2015 um 06:50:12 Uhr
Goto Top
@aqui

Moin,

ich bin irgendwie zu blöd. Das WLAN steht, seh das mit nem WLAN Tool.


Also habe jetzt zum Beispiel das 2.4GHz im Bereich 192.168.3.x und das 5 Ghz im Bereich 192.168.4.x wäre soweit auch richtig oder?
Für den BridgeMode würde ich das von StaticIP auf jeweils None stellen und das im BridgeMode auf StaticIP stellen. Dort habe ich dann 192.168.5.x eingestellt.
Aber will das erstmal jeweils separat versuchen.

Habe zwei unterschiedliche SSIDs und zwei unterschiedliche WPA2 PWs erstellt.

Aber sobald ich mit meinem Handy mich auf eines der WLAN verbinden will, stellt der auch eine Verbindung her, aber unter DHCP Leases bzw. unter dem DHCP Server seh nicht welche IP vergeben und welche Mac Adresse (vom Handy)

Kenn das vom IPCOP so das alle WLAN Verbindungen erstmal in einem Adressfilter landen, und die dann explizit freigeben werden für das WLAN
aqui
aqui 02.07.2015 um 13:57:44 Uhr
Goto Top
Deine o.a. Vorgehensweise ist richtig. Denk Dran du kannst aber nur entweder oder, also entweder separat oder Bridge.
Denk dran das im separaten Mode du entsprechende FW Regeln definierst, denn die FW Routet zw. diesen Netzen ! Im Default ist immer alles geblockt !
stellt der auch eine Verbindung her, aber unter DHCP Leases bzw. unter dem DHCP Server seh nicht welche IP vergeben und welche Mac Adresse (vom Handy)
Mmmhhh...sollte aber !! Bekommst du im Handy denn überhaupt eine IP Zugeteilt ?? Hast du dir das in den IP Settings mal angesehen ?
Unter Leases steht in jedem Falle die IP die zur Mac korrespondiert. Das wird auch als Syslog Message geschickt wenn du einen Syslog definiert hast !
Kenn das vom IPCOP so das alle WLAN Verbindungen erstmal in einem Adressfilter landen, und die dann explizit freigeben werden für das WLAN
Das hat damit gar nichts zu tun und ist einen vollkommen andere Funktion. Hier verwechselst du laienhaft 2 Dinge, einmal die Mac Filter Option im WLAN die überflüssiger Unsinn ist, denn Mac sind kinderleicht fakebar und einmal das DHCP Mac Nailing, also die feste Vergabe einer IP auf Basis einer Mac Adresse.
Beides ganz unterschiedliche Baustellen !!
Solaris
Solaris 02.07.2015 um 15:18:42 Uhr
Goto Top
Zitat von @aqui:

Deine o.a. Vorgehensweise ist richtig. Denk Dran du kannst aber nur entweder oder, also entweder separat oder Bridge.
Denk dran das im separaten Mode du entsprechende FW Regeln definierst, denn die FW Routet zw. diesen Netzen ! Im Default ist immer
alles geblockt !

Ja will erstmal hinbekommen das ich überhaupt eine IP zugewiesen bekomme, das ist bis dato nicht der Fall

Mmmhhh...sollte aber !! Bekommst du im Handy denn überhaupt eine IP Zugeteilt ?? Hast du dir das in den IP Settings mal
angesehen ?
Unter Leases steht in jedem Falle die IP die zur Mac korrespondiert. Das wird auch als Syslog Message geschickt wenn du einen
Syslog definiert hast !

Syslog hab ich (noch) nicht definiert. Werd mir das später nochmal anschauen. Unter Leases seh ich nur meinen PC im LAN, aber keinen weiteren Teilnehmer im WLAN...

Ich schau mir das nochmal an... nützt ja nix face-smile
aqui
aqui 02.07.2015 um 15:44:54 Uhr
Goto Top
aber keinen weiteren Teilnehmer im WLAN...
Dann ist wohl entgegen deiner Behauptung auch gar kein Gerät mit dem WLAN verbunden !!
Check das mit einem Laptop aus und dann ipconfig -all oder sowas !
Solaris
Solaris 04.07.2015 um 15:31:32 Uhr
Goto Top
@aqui

hab mich jetzt noch mal eingehender mit dem Thema WLAN beschäftigt.

Also in den separaten Interfaces, also eins für 2.4GHz und 5GHz bekomm ich jeweils Zugang.

Ich habe die Vermutung das meine Karte, kein DUAL WLAN kann, und die entweder nen Knacks weg hat: habe mit dieser Karte, trotz zwei Antennen, weniger Reichte als mit meinem ALIX Board und der COMPEX WLM54SAG23 Wlan Karte: http://www.pcengines.ch/wlm54sag23.htm

Manchmal bricht das Netz auch so zusammen
aqui
aqui 04.07.2015 um 15:38:43 Uhr
Goto Top
in den separaten Interfaces, also eins für 2.4GHz und 5GHz bekomm ich jeweils Zugang.
D.h. du bekommst auch ein gültige IP Adresse vom DHCP (ipconfig -all) und kannst das jeweilige pfSense Interface pingen ??
Ich habe die Vermutung das meine Karte, kein DUAL WLAN kann,
Das wäre natürlich ein böses Faul und dann können wir hier probieren bis wir schwarz sind face-wink
Solaris
Solaris 04.07.2015 um 16:13:27 Uhr
Goto Top
Zitat von @aqui:


D.h. du bekommst auch ein gültige IP Adresse vom DHCP (ipconfig -all) und kannst das jeweilige pfSense Interface pingen ??

Ja bekomm jeweils eine IP zugewiesen entweder 192.168.4.x oder 192.168.5.x

Das wäre natürlich ein böses Faul und dann können wir hier probieren bis wir schwarz sind face-wink

Wie funktioniert das generell? Bekommt die WLAN Karte einen Clone mit neuer MAC Adresse? Weil ich manchmal eine zweite MAC gesehen habe die nicht zum System gehört bzw. auch nicht zur WLAN Karte.

Laut nrg-systems kann die das nicht.... aber woran erkennt man das ob das geht oder nicht? Im ersten Post siehst den Typ Karte.

Und bin mit der Leistung net zufrieden, die Reichweite ist echt schlechter als bei meinem jetzigen FW System mit dem IPCop
aqui
aqui 05.07.2015 aktualisiert um 11:01:20 Uhr
Goto Top
Bekommt die WLAN Karte einen Clone mit neuer MAC Adresse? Weil ich manchmal eine zweite MAC gesehen habe
Nein, keinen Clone, denn dann wäre es, wie bei Clonen ja bekanntermaßen üblich, eine exakte Kopie und auch identische Mac.
Bei Dual WAN ist jedes Radio in ein separates Interface gehängt und hat so 2 unterschiedliche IPs wenn man es mit 2 separaten Interfaces konfiguriert.
Beim Bridging werden diese Interfaces über eine Layer 2 Bridge gekoppelt und diese L2 Bridge bzw. das Pseudointerface hält dann zentral die gemeinsame Mac.
Eigentlich ganz einfach face-wink
Das Problem ist generell bei embedded Karten das du dort kein gescheites MIMO bei .11n hinbekommst. Meist schliesst man nur eine einzige Gummiantenne an die dann noch nicht einmal Antennen Diversity kann weil ihr dazu die 2te Antenne fehlt.
Wenn dann müsstest du mindestens immer 2 Dual Band Antennen in das Gehäuse einbauen und die auf dem Modul mit den Antennen Anschlüssen "MAIN" und "AUX" verbinden. So machst du MIMO 2x2 plus Diversity und verbesserst die Abstrahlung erheblich.
Es ist im Endeffekt will man eine größere Fläche per WLAN ausleuchten immer besser das WLAN Segment an der pfSense per LAN rauszuziehen und dort dann separat verteilte APs anzuschliessen. So kannst du alle baulichen Gegebenheiten flexibel ausgleichen. Bauliche Infrastruktur beeinflusst zu 70% das gesamte HF Feld und die Erreichbarkeit im WLAN zusätzlich auch zur Auslastung der verfügbaren Kanäle !
Aus Feldstärke Sicht und Abdeckung ist das generell immer technisch der bessere Weg, egal was für eine Firewall man einsetzt.
Solaris
Solaris 05.07.2015 aktualisiert um 12:01:40 Uhr
Goto Top
@aqui

Danke für Deine Geduld face-smile


Nein, keinen Clone, denn dann wäre es, wie bei Clonen ja bekanntermaßen üblich, eine exakte Kopie und auch
identische Mac.
Bei Dual WAN ist jedes Radio in ein separates Interface gehängt und hat so 2 unterschiedliche IPs wenn man es mit 2 separaten
Interfaces konfiguriert.
Beim Bridging werden diese Interfaces über eine Layer 2 Bridge gekoppelt und diese L2 Bridge bzw. das Pseudointerface
hält dann zentral die gemeinsame Mac.
Eigentlich ganz einfach face-wink

Also, wenn ich das jetzt richtig verstanden haben, erstelle ich im Parent Interface einen Wireless Clone mit der selber Mac Adresse von ath0, weil was anderes steht mir zur Auswahl auch nicht zur Verfügung!
Was mir nur aufgefallen ist, unabhängig von der Erstellung des Parent Interfaces, das manche WLAN Einstellungen erst korrekt nach einem Reboot übernommen werden: Ich ändere z.b ein Interface den Standard von "g" auf "a" und den Kanal von 11 auf 48, wird das nicht direkt ünernommen. Nach einem Reboot war dann alles ok...

Was auch nicht geht sind die separaten Kanal Eintellungen, wenn das auf einem Interface geändert wird, wirds auch auf dem anderen gleich mit geändert...
Sehe aber mit einen Wifi Tool zwei unterschiedliche MACs

Das Problem ist generell bei embedded Karten das du dort kein gescheites MIMO bei .11n hinbekommst. Meist schliesst man nur eine
einzige Gummiantenne an die dann noch nicht einmal Antennen Diversity kann weil ihr dazu die 2te Antenne fehlt.
Wenn dann müsstest du mindestens immer 2 Dual Band Antennen in das Gehäuse einbauen und die auf dem Modul mit den
Antennen Anschlüssen "MAIN" und "AUX" verbinden. So machst du MIMO 2x2 plus Diversity und verbesserst die
Abstrahlung erheblich.

Habe ja zwei DUAL Band 5dBi Antennen verbaut, trotzdem ist das was meiner Meinung nach nicht ok, oder die Karte kann wirklich kein DUAL WLAN, aber ich gebe nich auf!! face-wink

Es ist im Endeffekt will man eine größere Fläche per WLAN ausleuchten immer besser das WLAN Segment an der pfSense
per LAN rauszuziehen und dort dann separat verteilte APs anzuschliessen. So kannst du alle baulichen Gegebenheiten flexibel
ausgleichen. Bauliche Infrastruktur beeinflusst zu 70% das gesamte HF Feld und die Erreichbarkeit im WLAN zusätzlich auch zur
Auslastung der verfügbaren Kanäle !
Aus Feldstärke Sicht und Abdeckung ist das generell immer technisch der bessere Weg, egal was für eine Firewall man
einsetzt.

Könnte ja auch einen WLAN Repeater verwenden?!
aqui
aqui 05.07.2015 um 16:17:43 Uhr
Goto Top
Was mir nur aufgefallen ist, unabhängig von der Erstellung des Parent Interfaces, das manche WLAN Einstellungen erst korrekt nach einem Reboot übernommen werden:
Ja, das ist richtig ! Warum das so ist ist mir derzeit auch unklar. Reboot ist immer hilfreich face-wink
Ist übrigens bei DD-WRT und OpenWRT auch oft so.
Was auch nicht geht sind die separaten Kanal Eintellungen, wenn das auf einem Interface geändert wird, wirds auch auf dem anderen gleich mit geändert...
Funktioniert hier mit Wistron Karten und Atheros Chipsatz wunderbar !
Könnte ja auch einen WLAN Repeater verwenden?!
Nein das wäre mehr als kontraproduktiv, denn Repeater halbieren per se durch ihr Half Duplex Verhalten die Bandbreite.
Zudem müsstest du ein sehr weitreichenden Bereich nämlich den von AP und Repeater vollkommen frei von Nachbarkanälen mit mindestens 4 Kanälen Abstand (1, 5 , 9 13er Regel) finden, was in der regel im vollkommen überfüllten 2,4 Ghz Band in Ballungsgebieten utopisch ist.
Hast du Nachbarkanal Störungen dann killt dir das Hidden Station problem noch den Rest der spärlichen Bandbreite:
https://en.wikipedia.org/wiki/Hidden_node_problem
was das WLAN dann meist komplett zum Erliegen bringt.
Repeater sind generell das Schlechteste was man machen kann ! Besser separate APs...
Solaris
Solaris 06.07.2015 um 15:13:36 Uhr
Goto Top
@aqui

nutzt Du ein ALIX oder APU Board? Welche den WLAN Karten nutz Du dann, genaue Type? Für APU Boards gibts ja nur miniPCI

Was ich bis jetz am laufen bekommen habe ist folgendes: seh jetzt im WLAN Tool auf meinem Handy zwei Kanäle: je auf Kanal 48 (5GHz) einen, mit zwei verschiedenen MACs.

Diese beiden Interface habe ich mit einer Bridge zusammengefasst.

Ich bekomm es aber nicht hin, je ein Kanal im 2.4 GHz und 5GHz Bereich. Ich denke es liegt an der Karte.

Im nachbarlichen Umfeld hab ich keine großen WLAN Störungen im 2.4GHz, alle liegen außerhalb meines Bereichs... da passt da schon.
aqui
aqui 06.07.2015 um 15:39:03 Uhr
Goto Top
ALIX, kann es aber auch auf einem APU testen face-wink
Wistron Karte aktuell für das APU hätt ich aber nur ne Intel.
Solaris
Solaris 07.07.2015 um 11:50:25 Uhr
Goto Top
@aqui

meine Karte scheint das nicht zu können. Wenn Du das mal beizeiten testen kannst, wäre echt nett.


Was mir zudem aufgefallen ist, bei schwacher Senderstärke, kann ich mich nicht eins WLAN einwählen...obwohl ich alles korrekt eingestellt habe.

Alles sehr merkwürdig