W-LAN Access Point mit DHCP?

[Sintar127]

Hallo

Auf der Arbeit haben wir ein Netzwerk was komplett mit statischen IPs arbeitet und wir ein eigenes VLAN mit eigener IP-Range zugewiesen bekommen haben. Da wir viele IOT Geräte haben die miteinander kommunizieren müssen, haben wir uns dafür ein eigenes WLAN eingerichtet.
Wenn wir unseren Router jetzt aber als Access Point einrichten, müssen wir bei jedem IOT Gerät eine statische IP-Adresse vergeben. Leider unterstützen das nicht all unsere Geräte (z.B. Smartwatch).
Wenn wir den Router als normalen Router einrichten, haben wir zwar DHCP für die IOT Geräte, aber alle Geräte stecken hinter der IP des Routers und wir müssen für alle Geräte PortForwarding einrichten und typische "Network Discovery"-Features (z.B. AirLink der Meta Quest) funktionieren nicht, da diese nur im eigenen Netz suchen.

Jetzt zu meiner eigentlichen Frage:
Kann man einen Router als Access Point inkl. DHCP mit vorgewiesener IP-Range aufsetzten und die Geräte als Gateway aber immernoch das Gateway des Hauptnetzes verwenden?

Ich kenne gerade nicht unser genauses Router Model (irgendein ASUS), aber es gibt dort definitiv keine Einstellung von DHCP im Access Point-Modus. Gibt es Router die sowas können?

Vielen Dank!
Sintar

 

[CelestionX]

Ich bin mir nicht ganz sicher ob ich dein Problem richtig verstehe. Ein DHCP bedient immer einen Netzbereich.
Der Router müsste in der Lage sein ein zweites Subnetz aufzuspannen, damit ein eigener DHCP laufen kann. Das bedeutet aber wieder ein separates Gateway.

Das einzige was mir jetzt einfallen würde, du definierst einen DHCP Bereich der nur für die IOT Geräte zuständig ist und den Rest vergibst du mit festen IP Adressen (im selben Subnetz). Es dürfen nur keine Überschneidungen vorhanden sein.

 

[GTrash81]

Hi,
wenn ich nicht etwas übersehen habe, dann ist der Aufbau relativ einfach:
1) Router im Router-Modus betreiben
2) Auf z.B. LAN-Port 4 eine feste IP vergeben, die in dem VLAN existiert
3) DHCP aktivieren
4) Router arbeitet nun als "WLAN-Switch"

Wenn man den WAN-Port und LAN-Port 1 nicht verwendet, funktioniert der Router wie ein Accesspoint.

 

[till69]

Kann man einen Router als Access Point inkl. DHCP mit vorgewiesener IP-Range aufsetzten und die Geräte als Gateway aber immernoch das Gateway des Hauptnetzes verwenden?

TP Link Repeater haben DHCP, z.B.:
https://geizhals.de/tp-link-re450-a1290909.html

Bei kleinanzeigen für 20€ zu haben

 

[xammu]

DHCP und Router sind 2 verschiedene Dinge. Ein DHCP muss nicht auf den Router laufen.

Lass das Netzwerk so wie es ist, setzt nur in euer VLAN einen Computer mit einem DHCP Server welcher Adressen aus eurem Bereich und das Gateway samt DNS vergibt.
Dafür reicht ein Raspberry, ein alter Thinclient, ein alter Laptop oder sowas.

Vielleicht habt ihr schon einen dauerhaft laufenden Rechner der das übernehmen kann.

Da läuft außer DHCP nicht weiter drauf. Wichtig ist nur, das es der einzige DHCP in eurem VLAN ist.

 

[Sintar127]

Danke an alle für die schnellen Antworten!

Ich bin mir nicht ganz sicher ob ich dein Problem richtig verstehe. Ein DHCP bedient immer einen Netzbereich.
Der Router müsste in der Lage sein ein zweites Subnetz aufzuspannen, damit ein eigener DHCP laufen kann. Das bedeutet aber wieder ein separates Gateway.

Das einzige was mir jetzt einfallen würde, du definierst einen DHCP Bereich der nur für die IOT Geräte zuständig ist und den Rest vergibst du mit festen IP Adressen (im selben Subnetz). Es dürfen nur keine Überschneidungen vorhanden sein.

Das ist im Prinzip meine Frage: Ob das zwingend notwendig ist ein zweites Subnetz aufzuspannen um ein eigenen DHCP laufen zu lassen. Wir werden es mal mit @xammu's Vorschlag testen. Das klingt vielversprechend.

Hi,
wenn ich nicht etwas übersehen habe, dann ist der Aufbau relativ einfach:
1) Router im Router-Modus betreiben
2) Auf z.B. LAN-Port 4 eine feste IP vergeben, die in dem VLAN existiert
3) DHCP aktivieren
4) Router arbeitet nun als "WLAN-Switch"

Wenn man den WAN-Port und LAN-Port 1 nicht verwendet, funktioniert der Router wie ein Accesspoint.

Leider verstehe ich den Aufbau nicht ganz :/
Ich bin mir nicht sicher ob wir bestimmten LAN-Ports verschiedene Einstellungen geben können. Würden mit dem Aufbau nicht alle Geräte im WLan Netz hinter der festen IP des Routers stecken? Dann müssten wir ja weiterhin PortForwardings einrichten.

TP Link Repeater haben DHCP, z.B.:
https://geizhals.de/tp-link-re450-a1290909.html

Bei kleinanzeigen für 20€ zu haben

Danke für den Link! Aber mit einem Repeater hätten wir doch weiterhin ein weiteres Subnetz, oder nicht? Das wollen wir ja vermeiden.

DHCP und Router sind 2 verschiedene Dinge. Ein DHCP muss nicht auf den Router laufen.

Lass das Netzwerk so wie es ist, setzt nur in euer VLAN einen Computer mit einem DHCP Server welcher Adressen aus eurem Bereich und das Gateway samt DNS vergibt.
Dafür reicht ein Raspberry, ein alter Thinclient, ein alter Laptop oder sowas.

Vielleicht habt ihr schon einen dauerhaft laufenden Rechner der das übernehmen kann.

Da läuft außer DHCP nicht weiter drauf. Wichtig ist nur, das es der einzige DHCP in eurem VLAN ist.

Danke! Das klingt sehr vielversprechen! Wir werden das mal versuchen (Wir haben eh einen Server in unserem VLAN)

Kennt vielleicht jemand einen WLAN-Router der DHCP im Bridge-Modus und WIFI 6 unterstützt? Wir müssen eh einen weiteren Router kaufen und dann bietet sich ja einer an, welcher @xammu's Lösung von Haus aus kann.

Vielen Dank!

 

[xammu]

Wir haben eh einen Server in unserem VLAN)

Dann dort mit drauf

 

[till69]

Aber mit einem Repeater hätten wir doch weiterhin ein weiteres Subnetz, oder nicht?

Nein, und der Repeater geht auch als AP

 

[Raijin]

Auf der Arbeit haben wir ein Netzwerk was komplett mit statischen IPs arbeitet und wir ein eigenes VLAN mit eigener IP-Range zugewiesen bekommen haben. Da wir viele IOT Geräte haben die miteinander kommunizieren müssen, haben wir uns dafür ein eigenes WLAN eingerichtet.

Hat man diesen Weg "einfach nur so" gewählt oder gibt es Gründe dafür? Konkret: Sollen die IoT-Geräte explizit vom Hauptnetzwerk getrennt sein?

Wenn eine Trennung nicht zwingend ist, sehe ich keinen Grund für ein eigenes VLAN und man könnte ganz banal im Router des Hauptnetzwerks den DHCP-Server aktivieren und den vorhandenen Asus-Router als Access Point ohne DHCP betreiben. Nur weil im Netzwerk ein DHCP-Server aktiv ist, heißt es nicht, dass man nicht trotzdem alle Clients mit einer manuellen statischen IP versorgen kann bis auf eben jene Geräte, die ihre IP via DHCP bekommen sollen. Man muss lediglich darauf achten, dass die statischen IPs außerhalb des DHCP-Bereichs liegen, also zB statisch = .1 - .199 und DHCP = .200 - .254. Ein DHCP ist passiv, er tut also rein gar nichts bis er von einem DHCP-Client nach einer IP-Adresse gefragt wird. Der DHCP an sich ist also gar nicht unbedingt das Problem.

Sollen die IoT-Geräte hingegen explizit gekapselt werden, sind gewisse Hürden beim Zugriff zwischen Haupt- und IoT-Netzwerk natürlich vorprogrammiert und vom Sicherheitskonzept her auch ein Stück weit gewollt. Die meisten 08/15 WLAN-Router am Markt sind zu 98% vorkonfiguriert und lassen keine Konfiguration abseits des 08/15 Standards zu. Das heißt zum Beispiel, dass sich NAT am WAN nicht abschalten lässt und somit kein neutrales routingbasiertes Netzwerk aufbauen lässt, weil man WAN->LAN stets auf Portweiterleitungen angewiesen ist. Der Zugriff vom Haupt- auf das IoT-Netzwerk gestaltet sich entsprechend schwierig bis unmöglich, weil so ein Szenario im 08/15 WLAN-Router nicht vorgesehen ist.

Mit alternativer Firmware wie zB OpenWRT käme man schon weiter, weil man NAT abschalten bzw. die WAN-Firewall öffnen kann. Alternativ kämen auch ein EdgeRouter, MikroTik oder ähnliche fortgeschrittene Router in Frage und das WLAN im IoT-Netz würde man mittels Access Point realisieren. Desweiteren wird lediglich eine statische Route im Gateway des Hauptnetzwerks benötigt, die auf das Subnetz hinter dem OpenWRT-Router zeigt.

Bei zwei Netzwerken gilt aber generell: Direkter Zugriff via IP wäre möglich, aber Anwendungen, die mit Broadcasts arbeiten, was bei IoT-Apps sehr häufig der Fall ist, können im jeweils anderen Netz keine Geräte finden. Die Bediengeräte/-Apps müssen sich also fast immer im selben Netzwerk befinden wie die IoT-Komponenten. Ausnahmen wären beispielsweise Philips Hue, wo man die Hue-Bridge nach fehlgeschlagener Suche (=Broadcast) auch mittels IP verbinden kann, netzübergreifend. Auch ohne Möglichkeit der direkten IP-Verbindunge gäbe theoretisch einen Workaround, ein Broadcast-Relay im IoT-Router, aber das ist nochmal ne Ecke komplexer...


Daher nochmal die Frage: Soll es explizit zwei Netzwerke geben oder war das einfach nur die erstbeste Idee?

 

[Sintar127]

Hat man diesen Weg "einfach nur so" gewählt oder gibt es Gründe dafür? Konkret: Sollen die IoT-Geräte explizit vom Hauptnetzwerk getrennt sein?

Das mit dem Gateway, VLAN und den statischen IP Addresse ist vom Arbeitgeber vorgegeben. Innerhalb von unserem VLAN sollten die IoT Geräte aber nicht getrennt sein und im selben Netz wie unsere PCs (welche auch schon im VLAN sind) etc. sein. Deswegen der Ansatz mit dem Router als Access Point. Leider haben wir dann kein DHCP für die IoT Geräte

Wenn eine Trennung nicht zwingend ist, sehe ich keinen Grund für ein eigenes VLAN und man könnte ganz banal im Router des Hauptnetzwerks den DHCP-Server aktivieren und den vorhandenen Asus-Router als Access Point ohne DHCP betreiben. Nur weil im Netzwerk ein DHCP-Server aktiv ist, heißt es nicht, dass man nicht trotzdem alle Clients mit einer manuellen statischen IP versorgen kann bis auf eben jene Geräte, die ihre IP via DHCP bekommen sollen. Man muss lediglich darauf achten, dass die statischen IPs außerhalb des DHCP-Bereichs liegen, also zB statisch = .1 - .199 und DHCP = .200 - .254. Ein DHCP ist passiv, er tut also rein gar nichts bis er von einem DHCP-Client nach einer IP-Adresse gefragt wird. Der DHCP an sich ist also gar nicht unbedingt das Problem.

Wie gesagt das VLAN ist vorgegeben, aber es spielt sich auch alles nur im VLAN ab. Abgesehen vom Internet müssen wir nicht aus dem VLAN hinaus kommunizieren. Auf den Router im Hauptnetz haben wir keinen Zugriff (und werden wir auch nicht bekommen) und können deshalb leider kein DHCP-Server aktivieren. Aber wir werden den Ansatz verfolgen in unserem VLAN einen DHCP zu betreiben und den WLAN-Router als AP. Wenn du zufällig einen Router kennst der beides vereint (DHCP und AP gleichzeitig), sag Bescheid!

Sollen die IoT-Geräte hingegen explizit gekapselt werden, sind gewisse Hürden beim Zugriff zwischen Haupt- und IoT-Netzwerk natürlich vorprogrammiert und vom Sicherheitskonzept her auch ein Stück weit gewollt. Die meisten 08/15 WLAN-Router am Markt sind zu 98% vorkonfiguriert und lassen keine Konfiguration abseits des 08/15 Standards zu. Das heißt zum Beispiel, dass sich NAT am WAN nicht abschalten lässt und somit kein neutrales routingbasiertes Netzwerk aufbauen lässt, weil man WAN->LAN stets auf Portweiterleitungen angewiesen ist. Der Zugriff vom Haupt- auf das IoT-Netzwerk gestaltet sich entsprechend schwierig bis unmöglich, weil so ein Szenario im 08/15 WLAN-Router nicht vorgesehen ist.

Nein die IoT-Geräten sollen nicht gekapselt sein. Das haben wir bisher nur, weil einige unserer Geräte keine statischen IPs unterstützen und unser Router im AP kein DHCP unterstützt.

Mit alternativer Firmware wie zB OpenWRT käme man schon weiter, weil man NAT abschalten bzw. die WAN-Firewall öffnen kann. Alternativ kämen auch ein EdgeRouter, MikroTik oder ähnliche fortgeschrittene Router in Frage und das WLAN im IoT-Netz würde man mittels Access Point realisieren. Desweiteren wird lediglich eine statische Route im Gateway des Hauptnetzwerks benötigt, die auf das Subnetz hinter dem OpenWRT-Router zeigt.

Auf OpenWRT sind wir auch schon gestoßen. Aber da wir alle keine Zeit haben und viel damit zu beschäftigen und so ein System zu warten, würden wir lieber auf eine proprietäre Lösung zurückgreifen um uns etwas Arbeit abzunehmen (Also TP-Link, ASUS etc). Nur findet man keine Informationen auf den normalen Shopseiten ob die Router AP+DHCP unterstützen oder nicht.

Daher nochmal die Frage: Soll es explizit zwei Netzwerke geben oder war das einfach nur die erstbeste Idee?

Also das VLAN ist gegeben, aber innerhalb sollte es keine zwei Netzwerke geben, aber DHCP.

Danke!

 

[CelestionX]

Fast alle Customer Router sind Gateway, Router, Switch, DHCP Server und WLan AP in einem.
Wenn am Router DHCP eingerichtet wird (standardmäßig meist aktiv) dann macht er das immer im Lan und WLAN, weil sich beides im selben Netz befindet.

Ihr müsst in diesem Fall dann den DHCP Bereich so wählen, dass die WLan Geräte keine IP erhalten, die irgendwo fest eingetragen sind.

 

[Raijin]

Das mit dem Gateway, VLAN und den statischen IP Addresse ist vom Arbeitgeber vorgegeben.

Am einfachsten wäre es, wenn die IT nun auf dem VLAN-Interface, das sie ja offensichtlich zur Verfügung stellen, den DHCP-Server aktivieren. Das sollte meines Erachtens kein Problem sein, weil das im Router, der die VLANs bedient, ein Klick zum Aktivieren und eine Handvoll Felder für weitere Einstellungen (zB DNS) zum Eingeben ist - 30 Sekunden. Stattdessen opferst du Arbeitszeit oder womöglich sogar noch Freizeit, obwohl das Aufgabe der IT wäre..