Gäste-WLAN mit Ubiquiti und einer SG 210, verzweiflung

matze81
Goto Top
Moin,
ich habe momentan keine Idee, was ich noch machen soll.

Wir haben folgende Architektur:

Diverse REDs, die spielen hier vermutlich keine Rolle.

Untagged auf allen Ports das Prod. Netzwerk
VLAN 100 tagged für VoIP mit einem eigenen Adresspool
VLAN 200 tagged auf allen Ports für ein Gästenetzwerk.

Dann gibt es einen Unifi Controller und diverse Switche.

Auf dem Controller ist das Gästenetzwerk mit dem tag 200 definiert.

Es gibt ein WLAN, was als Hotspot definiert ist. Dieses hat das Gästenetzwerk zugewiesen bekommen.

Der Controller hat eine IP-Adresse aus dem Prod Netzwerk.

Dann gibt es eine SG 210. Auf der ist ein Ethernet-VLAN mit dem VLAN tag 200 definiert, als Schnittstelle. Gateway mit der 1.92.168.100.254, dhcp etc.

Dann gibt es Firewallregeln.
- GAST WLAN (Network) any to internal lan verwerfen
- GAST WLAN (Network) any to internet IPv4 zulassen.
-GAST WLAN (Network) any to unifi controller zulassen

Ping und https / http in das Prod. Netzwerk funktioniert. Alle anderen Dienste werden geblockt.

Tracert sagt mir:
1. Hop: 192.168.100.254
nächster das Ziel im Prod. Netzwerk.

Wo fange ich an zu suchen?

Es gibt noch eine Multipathregel (nicht nur die, aber auch die):
any -> web surfing -> any -> uplink interfaces

Da ist es egal, ob sie aktiv ist oder nicht. Selbst wenn ich die ausmache habe ich weiterhin a) Internet und b) zwischen Gäste- und Prod. Netzwerk.

Hat irgendjemand irgendeine Idee, wo ich anfangen könnte?

Content-Key: 2829122587

Url: https://administrator.de/contentid/2829122587

Ausgedruckt am: 27.06.2022 um 15:06 Uhr

Mitglied: chrisiweber
chrisiweber 18.05.2022 um 20:58:06 Uhr
Goto Top
Hallo,

kennen die Switche das VLAN 200 auch?

Ein kleiner Netzplan würde hier helfen.

LG
Mitglied: bitnarrator
bitnarrator 18.05.2022 um 21:39:48 Uhr
Goto Top
Auch mal eine vernünftige Übersicht der Firewall-Regeln. Vlt ist nur irgendwo die Subnetzmaske falsch

VG
Mitglied: matze81
matze81 18.05.2022 um 21:44:39 Uhr
Goto Top
Ja, alle Switche kennen alle VLAN Tags, 200 wird tagged auf alle Ports gelegt.
Mitglied: aqui
aqui 19.05.2022, aktualisiert am 20.05.2022 um 16:54:12 Uhr
Goto Top
200 wird tagged auf alle Ports gelegt.

Das ist doch völliger Unsinn ? Was sollte Sinn und Zweck davon sein? Das getaggte VLAN 200 muss nur dort tagged anliegen wo auch Endgeräte sind die dieses VLAN mit Tagging bedienen können oder müssen.
Das sind in der Regel immer nur die Switch Uplinks und die Accesspoints, niemals aber Endgeräte Ports. Es ist also sinnfrei das auf allen Ports zu taggen.

Du solltest dir einmal genau und in aller Ruhe das VLAN Tutorial durchlesen!
Das Tutorial beschreibt ganz genau den Szenario und wie das einfach und problemlos umzusetzen ist.
Ein Live Design exakt nach deinen Anforderungen und dessen Konfig Schritte erklärt mit vielen bunten Bildern das dortige Praxisbeispiel.
Die VLAN Schnellschulung gibt dir dann noch etwas Grundlagenwissen zum Thema VLANs und Tagging mit an die Hand.
Wie immer: Lesen und verstehen... ;-) face-wink
Mitglied: aqui
aqui 27.06.2022 um 15:03:26 Uhr
Goto Top
Wenn es das denn nun war bitte dann auch deinen Thread hier als erledigt schliessen!