VLAN-Konfig für Gastnetz über GS752TP/GS728TP geht nicht

[neismark]

Moin,

ich versuche seit Tagen erfolglos, ein Gastnetz einzurichten.

Die Umgebung beinhaltet drei WNDAP360, die an einem GS752TP (A) hängen. Der ist per LACP mit einem GS728TP (B) verbunden, an dem wiederum das Internet-Gateway hängt. Bisher hatte ich nur das Default-VLAN 1 (untagged) im Netzbereich 192.168.0.0/24 benutzt. Alle Geräte haben die aktuelle Firmware.

Nun hab ich auf einem der APs ein Gastnetz (VLAN 66) eingerichtet im Netzbereich 10.0.0.0/24. Das VLAN habe ich auch auf den beiden Switches angelegt (Routing ist disabled) und auf meinem Gateway (dort: 10.0.0.1 im VLAN 66). Die jeweiligen Ports (g13 auf A für die Connection zum AP, die LAGs auf A und B und g10 auf B, an dem das Gateway hängt) sind im VLAN 66 getagged.

Erstes Problem: Die Switches haben kein DHCP-Relay. Daher habe ich versucht, einen DHCP-Server für VLAN 66 auf dem Gateway zu aktivieren - aber dann kriegt das Notebook keine IP. Testweise habe ich den DHCP-Server auf dem AP für das Netz 10.0.0.0/24, VLAN 66 angeworfen. Dann kriege ich mit einem Notebook eine IP - aber weiterhin keine Verbindung zum Gateway (nur H!).

Wenn ich in der GUI die Portkonfiguration von VLAN66 ansehe, sind die genannten Ports dort als getaggte Ports gelistet. Wenn ich mir allerdings VLAN 1 anzeigen lasse, sind sie ebenfalls gelistet - als untagged Ports, Mein Grundverständnis von VLANs ist ja, dass das pro Port entweder tagged oder untagged geht. Also habe ich versucht, VLAN 1 auf den genannten Ports ebenfalls zu taggen. Das lassen die Switches aber nicht zu ("VLAN 1 wurde nicht vom Nutzer angelegt" oder so ähnlich).

Da ich über die APs beide SSIDs (Normales Netz und Gastnetz) verteilen muss, kann ich die Uplink-Ports auf den Switches nicht untagged nur für das VLAN 66 zur Verfügung stellen.

Und jetzt habe ich ganz viele Fragezeichen und weiß nicht so richtig weiter...

Hat jemand eine Idee, wie hier vorzugehen ist?

[FrankHe]

Hallo @neismark,

Versuch mal folgendes. (Genannte Zahlen und Ports sind zufällig)

Internet Gateway = VLAN10

Der Port für den AP muss dann auch Mitglied des VLAN10 + VLAN66 sein 

Den Gastzugang dann auf VLAN66 

So sollte dann sichergestellt sein das der Gast zwar Internet hat aber nicht mit anderen Geräten im Netzwerk kommunizieren kann.

Das VLAN1 ist das Management VLAN und daran kannst und solltest du nichts verändern.

Freundliche Grüße
FrankHe
NETGEAR Community
 

[neismark]

Hallo Frank,

danke für deine Antwort. Das werde ich leider erst am Wochenende testen können, da ich unter der Woche an dem Produktionsnetzwerk keine großen Veränderungen vornehmen kann. Ich werde das Ergebnis dann berichten.

Grüße,

Mark