Netzwerk mit mehreren POE-Access-Points & VLANs einrichten

[lanse]

Habe mich noch ein bisschen mit OpenWrt beschäftigt. Schon beeindruckend, welche Möglichkeiten diese Firmware bietet.
Und eine kompetente Community gibt's auch, da bist Du vermutlich viel besser aufgehoben als hier im ComputerBase-Forum.


Bei meinen Vermutungen bezüglich CPU(ethX) im Router lag ich wohl falsch, hier kommt man der Wahrheit sicher näher:
https://forum.openwrt.org/t/vlans-and-cpu-eth0-cpu-eth1/30230
(Allerdings musst Du offensichtlich die Doku/Beschreibung Deines speziellen Router-Modells konsultieren, wobei die häufig anscheinend recht besch…eiden ist.)


Mein Setup-Vorschlag mit einem OpenWrt-Router, einem POE-Switch (TL-SG108PE) und vier OpenWrt-POE-APs, für die vermuteten (Du hast ja leider immer nur die beabsichtigte Umsetzung und nicht die eigentliche Aufgabe beschrieben) Anforderungen sähe so aus:

• 3 Subnets auf Basis dreier VLANs ("Default"/"Gast"/"Management")
• Jedes Subnet/VLAN mit eigenem DHCP-Serverdienst (auf dem Router-Endgerät) und unterschiedlichen Adressbereichen, einfach weil's bequemer ist als feste IPs zu verwenden. DHCP ist nun mal die Voreinstellung aller Clients. Das ist mit OpenWrt anscheinend problemlos möglich.
• 2 getrennte WLANs für zwei der Subnets/VLANs ("Default"/"Gast"), anscheinend mit OpenWrt ebenfalls problemlos möglich.
• Management-Zugriff nur via LAN (dafür einen Port am TL-SG108PE-Switch reservieren) … ist aber Geschmackssache, 3 getrennte WLANs wären natürlich alternativ auch vorstellbar.

Im Router den Port, an dem der TL-SG108PE-Switch hängt, also so konfigurieren:

• VLAN "Default"/"Gast"/"Management": tagged/tagged/tagged (Trunk-Port)

Für das "Gast"-Subnet könnte/sollte man hier noch die Firewall Policies anpassen (P2P-Ports etc.).


Die VLANs im TL-SG108PE-Switch so konfigurieren (der Router an Port 5, die vier APs an den Ports 1-4):

• VLAN "Default" / Member Ports 1-5,7-8 / Tagged Ports 1-5 / Untagged Ports 7-8 (Ports 7-8 z. B. für NAS o. Ä.)
• VLAN "Gast" / Member Ports 1-5 / Tagged Ports 1-5 / Untagged Ports - (reines Gast-WLAN)
• VLAN "Management" / Member Ports 1-6 / Tagged Ports 1-5 / Untagged Ports 6 ("Management-PC"-Anbindung via LAN-Port 6 … z. B.)

Die Ports 1-5 sind also ebenfalls Trunk-Ports.

Wie die APs zu konfigurieren sind, habe ich verlinkt … aufpassen, dass deren jeweilige IP-Adressen im Bereich des "Management"-Subnets/VLANs liegen … vorzugsweise mit Static DHCP Leases des passenden DHCP-Serverdiensts auf dem Router-Endgerät.
Wie bereits erwähnt, bei Nutzung von vier APs unbedingt noch 802.11k/r/v (Fast Roaming/Transition) einschalten!

Das wäre mein Vorschlag.

Mich würde natürlich interessieren, ob Du eine andere/bessere Lösung findest!

 

[Nikolei]

Ok ich glaube ich habe das alles richtig eingerichtet, aber ein AP der bereits richtig konfiguriert sein sollte ist über das Admin Netz irgendwie trotzdem nicht erreichbar. Der AP hat auch OpenWRT und diese Interface-Einstellungen:

Der Router hat jetzt auch eine feste IP aus dem Bereich 10.10.10.x. Am AP ist aber auch ein Admin-WLAN vorhanden womit man rein kommt, aber ich bekomme darüber keine Internetverbindung vom Router.

 

[lanse]

Das kann ich leider nicht deuten. Das könnte vermutlich jemand erklären, der sich mit OpenWrt gut auskennt.

 

[Raijin]

OpenWRT ist zwar als solches ein durchaus fähiges Betriebssystem, muss aber stets mit den Ressourcen auskommen, die das System bietet. So würde ein "echter" fortgeschrittener Router beispielsweise 4 bzw. 5x separate LAN-Schnittstellen inkl. eigenem NIC haben, während ein 08/15 WLAN-Router derer eben maximal 2 hat, 1x für den 4-Port-LAN-Switch und 1x für WAN, wobei letzterer oftmals auch einfach nur ein per VLAN-getrennter 5. Switch-Port ist und somit gar nur eine einzelne HW-Schnittstelle zur Verfügung steht.

Daraus ergeben sich zwangsläufig Nachteile bei der Flexibilität im Einsatz als fortgeschrittener Router, wenn die Hardware-Voraussetzungen dies nur eingeschänkt zulassen. Ich sehe OpenWRT daher nur als etwas umfangreichere Alternative zu den Stock-Firmwares, aber nicht als gleichwertig mit EdgeOS @ EdgeRouter, RouterOS @ MikroTik oder pfSense @ netgate, o.ä. an - es sei denn OpenWRT wird auf gleichwertiger Hardware installiert.

 

[lanse]

Da hast Du sicher recht. Ich denke auch, dass die Wahl des "richtigen" Routers/APs beim Einsatz einer alternativen Firmware entscheidend ist, weil (viel) Funktionalität auch (viele) Ressourcen beansprucht und der "one fits all approach" leider häufig auf Optimierung verzichtet.
(So ähnlich kenne ich das von CyanogenMod/LineageOS: Es war/ist bei meinen Smartphones und Tablets eher die Ausnahme, dass die Geräte damit in wirklich allen Belangen genauso gut wie mit dem jeweiligen Stock-ROM funktionieren.)

Bei OpenWrt findet man auch immer wieder die Unterscheidung zwischen "supported devices" und "recommended devices". Wirklich "recommended" sind anscheinend nur der Linksys WRT3200ACM und die Turris Omnia Router (dank offiziellem Hersteller-Support für alternative Firmwares).

Es brennt mir ja irgendwie schon unter den Nägeln, mal mit OpenWrt zu "spielen". Allerdings sitze ich gerade im Homeoffice und bin auf ein funktionierendes Netz angewiesen … also erst mal weiter mit der Fritte vom Provider und den UniFi-APs@Stock-ROM … funktioniert ja.

 

[Raijin]

OpenWRT kann man auch virtualisieren und damit "rumspielen"

 

[snaxilian]

Der Vergleich zu Handys und Custom-ROMs hinkt aber sehr... Wenn die zugrunde liegende HW nur mit Umwegen und Sondergefrickel 2+ Interfaces hat dann kann man zwar trotzdem openWRT o.ä. darauf installieren, hat aber für sein Problem trotzdem die falsche Hardware oder nur durch Gefrickel.
Da kann man sich besser direkt passende Hardware als Grundlage beschaffen, der die notwendige Anzahl unabhängiger Interfaces hat und darauf dann die Router-/Firewall-Firmware bzw. OS installieren was man bevorzugt. Ob das dann openwrt, ddwrt, pfense, opnsense, ipcop, ipfire oder sonst etwas anderes ist, dürfte zweitrangig sein... Alle sind nur Werkzeuge mit anderer Optik und je nach Ausprägung besseren oder schlechteren Assistenzsystemen und Wizards zur Einrichtung oder Zusatzfunktionen.
Als Admin muss man trotzdem die Grundfunktionalitäten wie routing, switching, vlans, nat, firewall, usw. usf. verstanden haben um es danach mit der gewünschten Software umzusetzen.

Ansonsten kann man zum herum frickeln vieles heutzutage wunderbar vieles virtualisieren. Da kann man sogar einfach weitere NICs dran kleben wenn man dies braucht.