Freifunk durch VLAN tunneln

[nkler]

Hallo,

ich möchte den Empfangsbereich von meinem Freifunk WLAN ein bisschen vergrößern und plane dazu die Unifi Accesspoint zu Hilfe zu nehmen. Da ich jedoch verhindern möchte - aus Versehen - mein privates Netz frei zugänglich zu machen, benötige ich ein bisschen Hilfe.

Erst einmal mein der Aufbau meines Netzwerks zur Übersicht. Hierbei sei gesagt, ich wohne in einem Altbau der in ein paar Jahres renoviert wird, bis dahin bleibt dieser kaskadierte Aufbau bestehen.

Das Internet wird von einem OPN Sense Router zur Verfügung gestellt. Dieser teilt das Netz in zwei Bereiche auf, welche nicht untereinander geroutet sind.

• 10.0.0.0/16 privates Netzwerk, hier sind alle privaten Geräte aufgeschaltet.
• 10.1.0.0/24 Freifunk Netzwerk, hier ist nur der Freifunk Router aufgeschaltet.

Im privatem Netz sorgen drei Accesspoints von Unifi für eine gute (private) WLAN Versorgung im Haus auf dem Grundstück und teilweise auch bei den Nachbarn. Diese sollten zusätzlich das WLAN "Freifunk" ausstrahlen und per VLAN zu meinem Freifunkrouter leiten. Der Freifunk router soll sich um die Tunnelung ins Internet kümmern. Daher würde ich einen Switch per LAN Kabel mit der Route-Client Seite verbinden (Rote Linie) um die Daten aus dem Privatem Teil in den Freifunk Teil zu übertragen.

Im Unifi Controller habe ich zwei Netzwerke und zwei WLAN eingerichtet.

• Netzwerk 1: Privat ohne VLAN ID, also VLAN ID 1
• Netzwerk 2: Freifunk VLAN ID 99
• WLAN 1: Privat geknüpft an Netzwerk Privat
• WLAN 2: Freifunk geknüpft an Netzwerk Freifunk

Für den 5 Port Switch (Unifi) sind folgenden Ports die entsprechenden Netzwerke zugeordnet

• Port 1 All --> Verbindung zum TP-Link
• Port 2 All --> Verbindung zum TP-Link
• Port 3 LAN --> Verbindung zum Server
• Port 4 Freifunk--> Verbindung zum Freifunk Router
• Port 5 LAN --> Verbindung zum Router

(Edit: Port-Nummern korrigiert)

So meine Vermutung können die VLAN der WLAN an die passenden Stellen gelangen. Oder verstehe ich das System hier falsch?

Bei den beiden TP-Link Routern bin ich mir bezüglich der VLAN Einstellungen jedoch komplett im unklaren. Hier meine ersten Gehversuche, allerdings bin ich mir trotz einiger Anleitungen nicht sicher es richtig gemacht zu haben.

• Port 1 ist Uplink
• Port 7 und 8 sind für die Accesspoints
• 802.1Q VLAN ist aktiviert
• Port 1-8 sind VLAN 1 zugeordnet (Privat) bzw. untagged
• Port 1, 7 und 8 sind tagged VLAN 99 (Freifunk)

Diese Fragen bleiben bestehen.
Schaffe ich es mit diesen Einstellungen das WLAN Freifunk von den Accesspoints durch mein interes Netzwerk hin zum Freifunk Router zu tunneln?
Muss ich meinem Freifunk Router noch sagen, dass dieser in das VLAN 99 (Freifunk) lauscht?

Spoiler: Bilder Netzwerk

(Aktuell sind das rote Kabel nicht eingesteckt und das WLAN nicht aktiviert)


Viele Grüße
nkler

 

[Raijin]

Versuch es mal so:


Router.eth1 = Hauptnetzwerk 10.0.10.0 /24 (*)
Router.eth2 = Gastnetzwerk 10.0.20.0 /24 (**)
Freifunk.LAN = Freifunknetz 10.0.30.0 /24

VLAN 10 SSID "privat"
VLAN 30 SSID "FREIFUNK"


1) Router (eth2) <--> (WAN) Archer

2) Router (eth1) <--> (10 U) USW
3) Archer (LAN) <--> (30 U) USW

4) USW (10+30 T) <--> (10+30 T) TL-SG108E
5) TL-SG108E (10+30 T) <--> (10+30 T) UAPs

6) USW/TL-SG108E (10 U) <--> private Endgeräte
7) USW/TL-SG108E (30 U) <--> Freifunk Endgeräte


Die VLANs existieren hierbei nur in den Switches und den APs. Die Router benötigen keine VLANs, weil USW und Archer C7 an zwei separaten Interfaces der OPNsense angeschlossen werden, sozusagen Haupt- und Gastnetzwerk. Die Gastfunktion sorgt dabei bereits für die Trennung durch die Firewall. Wie man bei OPNsense ein Gastnetzwerk einrichtet, kannst du der Dokumentation entnehmen.

Der USW bekommt sowohl vom Router als auch vom Archer jeweils einen Uplink, der dem jeweiligen VLAN untagged zugeordnet wird (2+3)

Über Trunk-Ports (ALL) leitet der USW die VLANs an die SG108E weiter (4), die sie ihrerseits an die UAPs durchreichen (5).

Private Endgeräte an USW bzw. SG108E werden mittels VLAN 10 (untagged) verbunden (6). Sofern vorhanden würden etwaige Freifunk-LAN-Geräte entsprechend VLAN 30 (untagged) zugeordnet werden (7)

---

(*)
Bitte keine /16er Subnetze verwenden, wenn du nicht wirklich weißt was du da tust. Das sind über 65.000 Host-Adressen, die man in keinem Heimnetzwerk dieser Erde braucht. Wenn /24 mit 254 IPs nicht reicht, dann nimmt man /23 mit 510 IPs oder von mir aus /22 mit 1022. /16er Subnetze sind im Heimnetzwerk - sorry für den Ausdruck - Schwachsinn. Dadurch potentiert sich die Gefahr von Subnetz-Kollisionen, wenn man von unterwegs eine VPN-Verbindung ins Heimnetzwerk aufbauen möchte.
Subnetze dimensioniert man so groß wie nötig und so klein wie möglich. Natürlich sollte man nicht zu knapp kalkulieren, daher ist /24 schon ein ganz gutes Allround-Subnetz.

(**)
Das Gastnetzwerk kann natürlich auch als separates VLAN ausgeführt und durch die komplette Infrastruktur verteilt werden (zB VLAN 20). Ich habe es hier nur als Zwischennetz zwischen Router und Freifunkrouter verwendet. Deswegen könnte man das Gast-Subnetz theoretisch auch sehr klein machen, zB /30 mit nur 2 nutzbaren IP-Adressen.