UniFi Guest Access mit VLANs, nach DHCP Offer keine Verbindung

[TheManneken]

Nabend,

Puh, da weiß sogar ich nicht, ob ich es nicht hätte in den "Casual" Netzwerkbereich posten sollen, weil eigentlich Kindergarten. Aber weil's auch nicht läuft und mein Kopf raucht, dann eben mal hier... Disclaimer: es ist nicht unbedingt alles so sinnvoll im nun folgenden Szenario, aber es soll so laufen. Vorschläge kann ich gerne machen, aber entscheiden tut's ein anderer. Sei's drum...

Gegeben ist ein Internetanschluss mit einer Firewall "as-a-service". d.h. ich selber habe gar keinerlei administrativen Zugriff auf die Firewall. Normalerweise macht man Vorgaben und ansonsten Tickets beim Anbieter auf. Aber es gibt zwei Netze mit dedizierten Ports ohne VLAN Tags an dieser Fireall. Nennen wir sie mal:

192.168.110.0/24 für intern und Management
192.168.120.0/24 für Gäste

Beide Netze werden auf zwei physisch getrennten Ports der Firewall dediziert ausgegeben. Vormals hing am "Gäste-Port" ein dedizierter AP von Zyxel und lief einwandfrei und ist nun weggekommen. Im internen Netz befinden sich Rechner, ein kleiner Server mit DC, ein NAS, ein paar Rechner und alle Netzwerkkomponenten, u.a. ein älterer Netgear GSM7224v2.

Neu hinzu kam jetzt: Ein UniFi Cloud Key Gen 2, diverse UniFi 6 Pro und ein USW 8 Lite PoE Switch. Ironischerweise steht der USW ganz woanders und versorgt nur einen AP, die restlichen APs hängen mit Injektoren am Netgear. Ja, nicht logisch und sinnvoll, aber kann ich auch nix dafür.

Jedenfalls habe ich das ganze in Betrieb genommen. Ohne USG, weil's eben diese fremde Firewall gibt, habe ich ein neues VLAN für die Gäste erstellt. Bisher ist man sich hier ohne VLANs ausgekommen. Dennoch habe ich ja diesen einen Netgear Switch. Also habe ich die Ports der APs alle mit dem VLAN Tag versehen, sagen wir Untagged VLAN 1, Tagged VLAN 10 (U1, T10). Das habe ich mit allen Ports getan, an denen die APs und der USW Switch hängen. Dann habe ich einen Port am Switch mit VLAN Untagged 10 (U10) konfiguriert und direkt zum "Gäste-Port" der Firewall geführt.

Ich habe in UniFi ein Netzwerk "VLAN Only" angelegt und die VLAN ID 10 angegeben und zwei SSIDs erstellt. SSID "intern" im gleichen Netz mit WPA2 Schlüssel und SSID "Gäste" mit Guest Access im VLAN 10. Alle Geräte sind up-to-date, provisioniert und schön. Der USW Switch hat auch die entsprechenden Netzwerke auf den jeweiligen Ports (Uplink zum Netgear und zum AP).

Leider funktioniert das interne WLAN, das Gäste-WLAN aber nicht. Es gibt keine IP-Adresse. Interessanterweise sagt der Support der Firewall, es kommen entsprechende DHCP Requests auf dem "Gäste-Port" an und werden auch mit einem OFFER beantwortet. Ich habe einen Auszug der Logs bekommen, in denen ich die MAC-Adressen der Endgeräte sehen kann, wie ihnen entsprechende IP-Adressen von der Firewall angeboten werden. Ironischerweise merken die Endgeräte davon nichts und UniFi meldet sie unter den Clientgeräten mit einer 169er APIPA. Es geht natürlich auch kein Portal auf, weil nie eine Netzwerkverbindung zustande kommt. Passiert mit allen APs, sowohl dem am USW Switch als auch dem Netgear. WPA3 habe ich ausgeschlossen, ebenfalls WiFi 6 - meine eigenen Endgeräte können das alles.

Ich habe übrigens das ganze Szenario bei mir privat zu Hause nachgestellt, mit ähnlichem Switch (Netgear GS728TPv2), statt Cloud Key habe ich meinen Controller im Docker Container laufen und statt der Firewall habe ich einfach mal eine Opensense entsprechend der Angaben konfiguriert - und bei mir läuft das alles. Was mich ja interessieren würde: Wenn das Gäste-Netzwerk als VLAN konfiguriert wäre, was es aber nicht ist, deshalb zwei Downlinks von der Firewall zum Switch, würde es dann beim Problemkind laufen? Liegt aber nicht in meiner Hand. Privat kann ich das so machen, funktioniert aber in beiden Fällen. Ich meine, wieso auch nicht? Beim Problemkind bekommen die Gäste aber keine IP-Adresse, obwohl die Firewall die DHCP Anfragen erhält und auch eine IP-Adresse anbietet. Ergibt für mich alles keinen Sinn.

Irgendwelche Ideen?

 

[madmax2010]

Hast du mal einen AP direkt am entsprechenden Port an der Firewall angeschlossen?
wie schaut die vlan config zwuschen beiden switches aus?
wie schaut die route aus vlan10 aus?
E ist nur 1 Vlan pro port?
Stehen die port a switch auf access oder trunk?

vergleich mal was du da hast mit der config hier:
https://lazyadmin.nl/home-network/unifi-vlan-configuration/
die

 

[TheManneken]

Einen der neuen UniFi APs hab ich an dem entsprechenden Port bisher nicht ausprobiert, lediglich ein Notebook, was eine IP aus dem Netz 192.168.120.0 bekam. Was der alte Zyxel AP an dem Port gemacht hat, weiß ich zwar nicht, aber er funktionierte bis zum Abbau. Auch mit dem Zyxel bekamen WLAN Endgeräte eine IP aus dem gleichen Netz.

Die VLAN Konfig zwischen den beiden Switchen: Bei Netgear gibt's kein Access und Trunk, zumindest dem Namen nach. Es gibt die PVID = primary vlan ID, zusätzlich dazu kann jeder Port separat entweder mit einer jeweiligen ID getagged und ungetagged werden. Das sieht dann bspw. so aus:





g24 ist der Uplink zur Firewall ans Interface/ins Netz 192.168.110.0
g23 ist der Uplink zur Firewall ans Interface/ins Netz 192.168.120.0

g1-g22 sind alle PVID 1 und Tagged VLAN 10, also Trunk. Nach der Definition sind jedoch g23 und 24 auch Trunk, aber ohne Tags. Beide eben jeweils PVID 1 oder 10. Ich würde das Tag eigentlich nicht auf jeden Port des Switches legen, aber hat sich während des Troubleshootings so ergeben.

Am UniFi Switch sind im Grunde alle Ports Trunk, denn sie haben das Profil "all". Das macht UniFi wohl automatisch so, ich könnte jedoch auch die Profile LAN und "vlan_10_guest" auswählen. Das sind ja schlicht die Netzwerke, die ich konfiguriert habe:

Die Konfig für die SSID:


Route aus VLAN 10? Hab ich keine konfiguriert.

Der Link, den du mir geschickt hast, hat ein Beispiel ein Netzwerk, in dem es auch ein Security Gateway gibt. Das ist ja bei mir nicht der Fall.

 

[emulbetsup]

Wir betreiben zwei UniFi-Instanzen ähnlich, mit bis zu drei zusätzlichen VLANs und entsprechend anderen Gateways. Wir hatten auch Ärger mit DHCP, auch wenn sich das etwas anders gestaltet hat, als in deinem Fall.

Drei Dinge würde ich mir spontan ansehen:
1. DHCP ist Broadcast Client zu Server, aber Unicast Server zu Client. Enthält die MAC-Adresstabelle der Switche während des Vorgangs die MAC des Endgerätes?

2. Ist Client Isolation in dem WLAN aktiv?

3. Kannst du auf dem Switch ein Portmirroring für den entsprechenden Switchport einrichten? Vielleicht lohnt es sich hier mal mit Wireshark reinzuschauen.

 

[TheManneken]

zu 1. ja, da taucht sie auf

Client Isolation ist aktiv.

Tja, und Port Mirroring und Wireshark... ich schätze, da müsste ich mich nochmal auf den Hosenboden setzen.

 

[TheManneken]

Nachtrag: Problem konnte heute behoben werden uns es lag - wie ich schon vermutet habe - an der fremdverwalteten Firewall im System, da es grundsätzlich keine Routen vom einen in die anderen Netze gab. Ich dachte schon, ich werde bescheuert. Die wussten mindestens 5 Tage vorher, dass es um mehrere SSIDs geht, davon eines als Gäste WLAN mit Gastportal. Firewall war natürlich auch dicht.

 

[emulbetsup]

War das Problem nicht, dass die Leases die Endgeräte nicht wieder erreicht haben? Die FireWall ist doch auch der DHCP?

Wie sollte die FireWall denn unterscheiden, aus welchem Netz das DHCP-Discover kam? Das war doch ein dediziertes Interface an dem Gerät, oder?

Dann musste sie doch ohnehin ein Beinchen in dem Gästenetz haben, wenn sie für das Netz auch das Gateway spielt?

 

[TheManneken]

Das war (auch) das Problem, ja. Die Firewall hat dedizierte Interfaces mit je einem Subnetz (keine VLANs). Deshalb gingen von der Firewall auch 2 Uplinks zum nächstgelegenen Switch, hier allerdings in unterschiedliche VLANs, wovon die Firewall aber nichts wissen musste. Und ja, die Firewall spielt auch für beide Netze den DHCP. Die DHCP-Anfragen kamen also entweder über das eine oder andere Interface rein. Gäbe es nur ein Interface für beide Netze, dann hätte ich natürlich auf der Firewall auch die VLAN Trennung vornehmen müssen.

Die DHCP Anfragen kamen zwar an, laut Support des Firewallanbieters wurde aber scheinbar zusätzlich auch Broad-/Multicast zwischen den beiden Netzen blockiert. Daher kamen die DHCP Offers an den Clients nicht an. Als das funktionierte, musste noch das Gastportal zur Authentifizierung erreicht werden. Hierzu musste aus dem 110er Netz der Cloud Key im 120er Netz noch Firewallfreigaben für HTTP und HTTPS auf den Ports 8880 und 8843 erhalten.

Dass diese Installation so erfolgt, wusste der Anbieter der Firewall natürlich früh genug und gab auch das OK zurück. Ironischerweise hat der laut eigener Aussage sogar eigens Konfigurationsprofile für UniFi, die er laut eigener Aussage "nur aktivieren" musste. Ja gut... hat man gesehen.