Тегированный трафик через wifi

airMAX — Примеры управления VLAN

Статья описывает несколько различных вариантов настройки управления VLAN. См. содержание. Информацию о том, как добавить функцию управления VLAN, простые инструкции по настройке VLAN на airOS см. в указанных ниже статьях.

• На обоих устройствах airMAX должен быть включен WDS. Удостоверьтесь, что на устройствах установлена ​​последняя версия прошивки.
• Применимо как к линейке airMAX M, так и к линейке АС (за исключением раздела «Режим маршрутизатора», который относится только к АС).
• VLAN, проходящие через модуль AP, не нужно настраивать на AP, только на тегирующем/ детегирующем устройстве.
• Из-за изменений в драйвере беспроводной сети требуется, чтобы WLAN0 был членом моста. Относится только к AirMax AC

Как передать административный трафик как тегированный и доступ к VLAN без тегов

LAN устройство

Предположим, что устройство уже настроено как управляющая VLAN (№3 или №4 в зависимости от режима сети).

1. Перейдите на вкладку «Сеть», переключитесь из режима конфигурации в расширенный.
2. В разделе «Сеть VLAN» добавьте виртуальную локальную сеть, метку которой необходимо удалить. В этом примере мы используем VLAN 107. Поскольку он поступает с тегами через беспроводной интерфейс, мы добавляем VLAN 107 в WLAN0 и нажимаем «Добавить».
3. Для устройств M в разделе Мостовое соединение мы хотим удалить WLAN0 из Bridge0 и добавить WLAN0.107. Для АС устройства переменного тока создайте новый мост (bridge1) и добавьте WLAN0.107 и LAN0, оставив WLAN0 в качестве bridge0 по умолчанию.
4. Нажмите «Изменить» внизу, а затем «Применить».

Беспроводное соединение

В этом примере мы будем управлять модулем через LAN0.100, как в предыдущем примере, описанном выше в разделе LAN-устройство.

1. Создайте VLAN сети LAN0.107
2. Удалите LAN0 из BRIDGE0
3. Добавьте LAN0.107 в BRIDGE0

LAN0.107 детегируется к wlan0. Вот пример детегирования :

Как передавать трафик VLAN как тегированный, а административный трафик — как нетегированный

В этом разделе рассказывается, как передавать административный трафик как «нетегированный» и оставить VLAN трафик «тегированным», то есть прозрачно передавать трафик через AIRMAX.

Настройка довольно проста. Поскольку VLAN на устройстве не требуют детегирования, а порты управления не имеют тегов, коммутатор с поддержкой VLAN потребуется с обеих сторон.

Перейдите на вкладку «Сеть», чтобы выполнить эти настройки, в качестве примеров используйте приведенные ниже скриншоты. Щелкните airMAX M или airMAX AC, чтобы увидеть его в большом размере. Обратите внимание, что не внесено никаких изменений в настройку моста по умолчанию и не создавались интерфейсы VLAN, несмотря на передачу тегированного VLAN трафика.

airMAX M	airMAX AC

Управление VLAN: мост

Конфигурация простого режима

в этом примере для управления используется VLAN10.

1. Перейдите на вкладку «Сеть» в веб-интерфейсе устройства.

2. Переключите режим конфигурации на простой (режим по умолчанию).

3. Щелкните Управление VLAN и добавьте тег VLAN (в данном примере VLAN10).

4. Автоматически создастся новый интерфейс моста, добавьте VLAN 10 к WLAN0 + LAN0 и установите новый интерфейс моста как интерфейс управления.

5. Подтвердите конфигурацию IP-адреса управления.

6. Сохраните изменения.

Теперь устройство должно управляться через VLAN10, если оно настроено для этого порта.

Конфигурация расширенного режима

в этом примере для управления используется VLAN10.

1. Перейдите на вкладку «Сеть» в веб-интерфейсе устройства.

2. Переключите режим конфигурации на расширенный.

3. В разделе «Сеть VLAN» нажмите «Добавить» и добавьте VLAN ID 10 на интерфейс WLAN0. Повторите для LAN0.

Может потребоваться исключить LAN0, если этот клиент работает через Ethernet порт (CPE/Station), и вы не хотите подвергать риску интерфейс управления.

4. Перейдите к разделу «Мостовое соединение». Новый мост автоматически создан при добавлении VLAN10.

5. Щелкните значок карандаша рядом с только что созданным мостом (BRIDGE_10 в данном примере) и убедитесь, что в списке «Выбранные порты» указаны правильные порты.

Пример AP

Пример устройства с беспроводной связью

Может потребоваться отключить доступ к управлению на стороне клиента (станция LAN0). Для этого переключитесь в режим расширенной конфигурации и удалите (в этом примере) LAN0.10 из Bridge1.

Управление VLAN: режим маршрутизатора

• Применимо только к устройствам airMAX AC с текущей прошивкой. Не применимо к серии M.
• Из-за изменений в драйвере беспроводной сети требуется, чтобы WLAN0 был членом моста.
• ПРЕДУПРЕЖДЕНИЕ. Настоятельно рекомендуется настроить данную конфигурацию в тестовой среде перед ее применением в локальной сети.

1. Перейдите на вкладку «Сеть» в веб-интерфейсе устройства.

2. Переключите режим конфигурации на расширенный.

3. В разделе «Сеть VLAN» нажмите «Добавить» и добавьте VLAN ID 10 на интерфейс WLAN0. Обратите внимание, что в этом примере для управления используется VLAN10. Убедитесь, что он включен, для упрощения идентификации добавьте комментарий.

4. Перейдите к настройкам сети управления, выберите новый интерфейс VLAN WLAN0.10 и вставьте IP-адрес и маску сети.

5. На этом этапе устройство должно быть доступно через VLAN 10. Сохраните изменения, чтобы убедиться, что устройство доступно по новому IP-адресу. Если устройство недоступно, дважды проверьте конфигурацию маршрутизатора и коммутатора.

6. Теперь устройство доступно в управлении VLAN, отключите доступ к управлению на других интерфейса, включив блокировку доступа к управлению в настройках сети WAN и настройках сети LAN.

Источник

UniFi — как назначить тег трафику VLAN?

Краткий ответ следующий: точка доступа UniFi AP тегирует пакеты, когда они выходят из WLAN в проводную сеть. Когда из проводной сети поступает тегированный трафик, то тег с него снимается и этот трафик передается в WLAN. Для лучшего понимания реальных конфигураций коммутаторов, готовых к поддержке VLAN, мы скомпилировали пример развертывания .

1. Трафик, инициированный в направлении от АР является нетегированным (посылается через br0). Он включает в себя трафик управления и трафик RADIUS, как описано ниже:
   1. AP Контроллер (трафик управления)
   2. AP RADIUS (когда используется WPA-Enterprise)
2. Трафик от WLAN без сконфигурированных VLAN является нетегированным (athX соединен мостом с br0).

3. Трафик от WLAN с сконфигурированными VLAN всегда тегированный (athX соединен мостом с br0.VLAN и с eth0.VLAN):

   1. AP RADIUS (когда используется WPA-Enterprise)
   2. Станция -> AP (с тегами) -> коммутатор
   3. Станция

   Неважно, был ли трафик перенаправлен (на гостевой портал) или нет. Когда WLAN сконфигурирована с VLAN, трафик, покидающий АР, будет тегированным. Однако, после того, как трафик тегируется AP, он попадает к Вам и далее должен быть пропущен в восходящий поток. Пример: Моя сеть управления: 10.0.0.0/24 Гостевая сеть VLAN: 15.0.0.0/24 Коммутатор: AP подключена к порту 5 (vlan1-нетегированная и vlan5-тегированная) Ubuntu подключена к порту 1 (vlan1-нетегированная и vlan5-тегированная) Контроллер подключен к порту 8 (vlan1-нетегированная) Ubuntu (работает, как маршрутизатор) eth0: 10.0.0.2/24, может быть маршрутизован в Internet (шлюз 10.0.0.1) eth0.5: 15.0.0.1/24, через NAT связан с eth0 Контроллер находится в 10.0.0.26

   Естественно предполагать, что сеть VLAN используется для гостевого доступа, при этом гости помещенные в их собственную VLAN, изолированы от других частей сети. Однако при этом существует несколько технических моментов, которые следует обсудить. Начнем с базового развертывания VLAN, при котором гостевой портал не включен. 1. UniFi AP тегирует трафик wlan->wire 2. Трафик AP-Контроллер является нетегированным 3. Контроллер , скорее всего , работает на нетегированном интерфейсе 4. Внутри AP сконфигурировано: гость — br0.3 — eth0.3 —3—+ br0 ——————+—u,3—порт1 корпоративный клиент ——+ Пример развертывания:

   

   • порт8 соединяем с портом DMZ маршрутизатора, добавляем порт8 в vlan3 и удаляем теги. Включаем DHCP-сервер на Вашем DMZ;
   • порт5 соединяем с внутренней сетью, оставляем порт5 нетегированным.

   Что происходит, когда гостевой портал включен с VLAN? Когда гостевой портал включен, контроллер работает, как сервер портала и гости будут перенаправлены в http://unifi_ip:unifi_http_portal_port/guest/. При этом могут возникать проблемы — гость находится на vlan3, по мосту передан в DMZ. Отсутствует маршрут, по которому он может достичь unifi_ip:unifi_http_portal_port. В сценарии, приведенном выше, одним из решений проблемы является добавление правил на Вашем маршрутизаторе.

   1. Добавим маршрут для трафика DMZ->unifi_ip
   2. Разрешим DMZ->unifi_ip:unifi_http_portal_port

   Другое решение: предвидя такую ситуацию изменить масштаб — перенести рабочий контроллер в NOC или облако.

   Источник