Mikrotik Capsman: VLAN-ID Access List

Mitglied: neipsi

neipsi (Level 1) - Jetzt verbinden

03.05.2021 um 15:39 Uhr, 284 Aufrufe, 10 Kommentare

Hallo!

Ich habe einen RB3011 Router auf dem Capsman läuft und mehrere CAPS. Ich habe mehrere SSID's, die alle über die CAP's Konfiguration einer VLAN-Bridge hinzugefügt werden und der entsprechende VLAN-Tag gesetzt wird. In der VLAN-Bridge ist das VLAN Filtering aktiv und über den VLAN-Tag werden die einzelnen WLAN-Netze dem jeweiligen VLAN zugeordnet. Soweit funktioniert alles.

Ich möchte aber jetzt bei einer (oder später mehreren) SSID in der Access Liste vom Capsman anhand der MAC Adresse einen anderen VLAN-Tag verwenden und somit in ein anderes VLAN abbiegen. Der VLAN-Tag wird auch gesetzt, aber das vom Capsman dynamisch erzeugte WLAN-Interface fehlt natürlich als Tagged-Member im 2. VLAN. Wenn ich das dann manuell hinzufüge, funktioniert alles. Aber das muss ich dann bei jedem Hotspot der hinzukommt manuell machen.

Meine Frage ist jetzt, kann man das auch dynamisch machen? Also dass ein WLAN-Interface Tagged-Member in 2 VLAN's ist? Ich weiß, ich könnte auch noch eine SSID zum Unterscheiden hochziehen, aber mich würde interessieren ob das geht.



kleine Zusatzfrage:

Gibt es auch eine Möglichkeit wie ich im LAN anhand der MAC-Adresse in unterschiedliche VLAN's abbiege? Wenn ich z.B. eine Docking-Station für Firmen-Laptop und privatem habe, möchte ich in 2 verschiedene Netze. Ich habe auch einen CRS328-24P-4S+RM mit SwOS wo ich das über einen statischen Host gemacht habe, hat aber nicht funktioniert.
Mitglied: aqui
03.05.2021, aktualisiert um 15:53 Uhr
anhand der MAC Adresse einen anderen VLAN-Tag verwenden und somit in ein anderes VLAN abbiegen.
Das kann so mit deiner aktuellen Konfig nicht klappen, denn dort selektierst du das VLAN ja immer zentral über die MSSID, da du ja mit einer MSSID Konfig arbeitest. Eine User spezifische Selektion ist damit ja dann ausgeschlossen.
Das ist dann nur mit dynamischen VLANs möglich indem du die User dann nach Mac Adressen oder 802.1x oder beidem selektierst.
Guckst du hier für eine Lösung:
https://administrator.de/tutorial/dynamische-vlan-zuweisung-fuer-wlan-u- ...

Gibt es auch eine Möglichkeit wie ich im LAN anhand der MAC-Adresse in unterschiedliche VLAN's abbiege?
Dynamische VLANs auf Kupfer Interface ist m.W. nicht supportet, jedenfalls nicht mit der aktuellen 6er Firmnware. Soweit bekannt soll das mit der 7er kommen die derzeit aber noch Beta ist. Ob man das produktiv nutzen sollte ist dann immer die Frage...?!
Siehe dazu auch das o.a. Tutorial in den Foren Kommentaren am Schluss.
Sowas könntest du aktuell mit der 6er Version nur statisch lösen indem du dir am Rechner der Docking Station ein VLAN Interface einrichtest:
https://administrator.de/tutorial/vlans-ueber-802-1q-trunk-auf-windows-u ...
Bitte warten ..
Mitglied: neipsi
03.05.2021 um 16:30 Uhr
Danke erstmal für die rasche Antwort. Das Tutorial mit den dynamischen VLAN's habe ich ähnlich, ich wollte mir nur den Radius-Server sparen. Beim Data-Path der betroffenen WLAN-Konfiguration hab ich jetzt nur die VLAN-Bridge angegeben, ohne VLAN. In der Access List hab ich dann MAC-Adresse, VLAN Mode "use tag" und die VLAN-ID eingetragen.

Nach dem Provision taucht das dynamisch erzeugte Interface nur als Untagged-Member vom Default-VLAN 1 auf, nicht aber als Tagged-Member des betroffenen VLAN's, auch nicht wenn ich den Client verbinde und ich weiß nicht wie ich das dynamisch hinbekomme. Wie gesagt, wenn ich dann die automatisch entstandenen WLAN-Interfaces manuell als Tagged-Member zu den betroffenen VLAN's hinzufüge funktioniert es tadellos. Sobald ich in der Access-Liste beim Client die VLAN-ID ändere, bekomme ich sofort eine IP-Adresse aus dem anderen VLAN. Aber ich hab das jeweils für 2,4 und 5 GHz mal mehrerer VLAN's mal mehrerer Hotspots, da wird's dann fad....


Vielleicht probier ich das doch mit einem Radius-Server, wobei das wahrscheinlich das dynamische Hinzufügen zu meinen VLAN's nicht lösen wird.
Bitte warten ..
Mitglied: aqui
04.05.2021, aktualisiert um 09:33 Uhr
Das ist derzeit mit der 6.48er Firmware nicht möglich. Theoretisch würde es ja mit dem Radius onboard Server des MT gehen, der ist aber nur ein einfacher Subset des Radius Protokolls und erlaubt keinerlei Parameter Übergabe bei der Abfrage. Das ist erst mit der Version 7 möglich. Siehe auch hier.
Vielleicht probier ich das doch mit einem Radius-Server
Ein kleiner Raspberry Pi Zero oder Orange Pi Zero und FreeRadius ist dazu ja schnell aufgesetzt für sehr kleines Geld. ;-) face-wink
Bitte warten ..
Mitglied: neipsi
04.05.2021 um 22:51 Uhr
Mein nächster Versuch wäre über eine Interface Liste gewesen. In der CAPSMAN-Konfiguration kann ich ja das WLAN-Interface einer Interface Liste zuordnen. Der VLAN-Bridge kann ich die Interface-Liste auch zuordnen. Leider aber nicht den Tagged Members der betroffenen VLANs.

Schade, wieder nix.
Bitte warten ..
Mitglied: aqui
05.05.2021 um 11:15 Uhr
Radius ist dein Freund ! 😉
Bitte warten ..
Mitglied: neipsi
05.05.2021 um 15:48 Uhr
Ich habs jetzt anders gelöst (noch ohne Radius). Und zwar benutze ich jetzt Local Forwarding bei den CAP's, die ja allesamt auf meinem PoE Switch hängen. Somit komm ich jetzt einmal mit VLAN-ID 20 und einmal mit VLAN-ID 21 (je nach MAC-Adresse) über den Switch-Trunk zum Router. Der Trunk ist in der VLAN-Bridge (die WLAN-Interfaces nicht mehr) und lösen entsprechend auf. Ist wahrscheinlich eh die gescheitere Lösung.

Ich schau mir den Radius-Server aber trotzdem noch an. Das nächste Thema wird eh eine NAS sein, da kann dann ruhig ein Radius-Server drauf laufen.

:-) face-smile
Bitte warten ..
Mitglied: aqui
05.05.2021, aktualisiert um 15:56 Uhr
Und zwar benutze ich jetzt Local Forwarding bei den CAP's,
Das sollte man so oder so NUR noch machen. Allen WLAN Traffic durch einen Performance fressenden und limitierenden Tunnel zu zwingen ist ja WLAN aus der Steinzeit !
Ist zwar etwas ungewöhnlich deine Lösung mit inkonsistenten VLAN IDs und ein Roaming ist damit ausgeschlossen aber wenn du damit leben kannst ist doch gut. Der Zweck heiligt die Mittel wie man so schön sagt ! ;-) face-wink

Bitte dann auch nicht vergessen den Thread zu schliessen !
https://administrator.de/faq/32
Bitte warten ..
Mitglied: neipsi
05.05.2021 um 16:49 Uhr
Da hat mich das CAPSMAN-Tutorial von den PASCOM-Buam a bissl durcheinander gebracht. Aber das ist ja aus der Zeit bevor das VLAN über die Bridge gemacht wurde.
Bitte warten ..
Mitglied: aqui
05.05.2021 um 17:17 Uhr
Jo mei desch is richtig.... 🤣
Bitte warten ..
Mitglied: neipsi
05.05.2021 um 20:20 Uhr
Ist zwar etwas ungewöhnlich deine Lösung mit inkonsistenten VLAN IDs und ein Roaming ist damit ausgeschlossen

Das Roaming funktioniert. Ich bin gerade dabei alle Amazon-Dinger "einzusperren". Das Ziel ist es über IoBroker eine Firewall-Regel zu aktivieren damit die nicht nach Hause funken können. Über KNX kann man dann z.B. im Schlafzimmer einen Modus aktivieren, wo die Alexa nicht unbedingt zuhören soll. ;-) face-wink Und ich wollte da nicht noch eine SSID aufsetzen.

Hier die Zusammenfassung:

Also mein "normales" WLAN hat VLAN-ID 20, alle Alexas bekommen per Eintrag in der Access List vom VLAN per MAC-Adresse die VLAN-ID 21. Die CAPs machen jetzt Local Forwarding, somit wird dieser VLAN-Tag an die Datenpakete angehängt, über den Switch an den Router, und dort landet alles in der VLAN-Bridge. Die einzelnen VLAN's hängen an dieser VLAN-Bridge.

Die CAPs selber laufen über ein eigenes MGMT-VLAN. Zu Testzwecken brauche ich meinem Telefon in der Access List nur eine andere VLAN-ID umhängen, und schon lande ich im anderen Netz. Ich bin auch schon umhergewandert, das Handover zwischen den Hotspots funktioniert tadellos.

Ist das eine halbwegs praktikable Lösung, oder unnötig kompliziert? Beim Mikrotik gibt es derartig viele Sachen einzustellen, dass ich selbst bei einer funktionierenden Lösung immer noch zweifle, ob es nicht noch besser geht.

Wie täte da Max Grünzinger sagen:

Die Erfohrung is no ned a so do, oba des wiad scho

Bitte warten ..
Heiß diskutierte Inhalte
Windows Server
Lizenzen für Virtualisierungshost
TakworianVor 1 TagFrageWindows Server16 Kommentare

Hallo, ich werde demnächst einen HA-Cluster aus 3 x HP DL580 in Betrieb nehmen. Der Cluster wird unter Proxmox betrieben und es sollen diverse ...

Router & Routing
Suche Tipps für Selfmade-Load-Balancing-Router auf HP MicroServer Gen10+
gelöst MagicChris86Vor 1 TagFrageRouter & Routing7 Kommentare

Hi Leute, ich habe einen HP MicroServer Gen10+ Performance übrig, der bei einer Kundin rausgeflogen ist, weil sie mehr Power brauchte für Desktopvirtualisierung für ...

Windows 7
Win7 64bit - ssd - Dateien verschwinden
rellixVor 1 TagFrageWindows 77 Kommentare

Grüße in die Runde, ich hab nach 20+ Jahren IT Erfahrung viel gesehen und schreibe hier meist erst, wenn ich keine Idee mehr habe ...

Webentwicklung
Webdesigner ist verschwunden
Janno100Vor 19 StundenFrageWebentwicklung3 Kommentare

Hallo zusammen Kunde hat einen Webdesigner der die Domain des Kunden vor einigen Jahren einfach unter seinen eigenen Name weiter geführt hat. Diese haben ...

Netzwerke
Erfahrungen mit HPE Aruba Switches (Aruba OS)
sixofeightVor 11 StundenAllgemeinNetzwerke11 Kommentare

Holla zusammen, Wer von euch setzt Aruba Switches (Aruba OS, ehemals HP ProCurve) ein und wie sind eure Erfahrungen bzw. wie zufrieden seid ihr ...

Netzwerke
Sporadisch, temporäre nicht erreichbare IPs
BlueBookVor 1 TagFrageNetzwerke7 Kommentare

Hallo zusammen, ich habe ein Problem seit mehreren Monaten schon mit meinem Netzwerk. Ich hoffe jemand hat eine Idee oder einen Tipp. Hin und ...

Router & Routing
Routing Verständnisfrage
gelöst GrueneSosseMitSpeckVor 1 TagFrageRouter & Routing6 Kommentare

Moin, ich steh gerade etwas auf dem Schlauch. Ich habe im Wesentlichen zwei Netze: 1.) 192.168.0.0 / 24 Das ist das Netz hinter meinem ...

Netzwerkgrundlagen
Aufgabe - Subnetting
gelöst cornflakes01Vor 1 TagFrageNetzwerkgrundlagen5 Kommentare

Hi, bin zufällig auf diese Seite gestoßen und habe eine Frage bezüglich Subnetting. Wir haben kurz vor unserer Abiturprüfung eine Aufgabenstellung im Unterricht behandelt, ...