Sziasztok
Hogyan lehetne megoldani, hogy az AP tagelt VLAN-ból kapjon IP-t, ne kelljen access portként kiadni a switch portra a menedzsment hálót?
A guest wifi már tagelt VLAN-ból megy, ezt felvettem a controlleren keresztül, azzal sosem volt gond.
Ezúttal az AP IP címét akarom minél jobban elszeparálni...még az irodai hálótól is és levédeni a menedzsment hálót attól, hogy az AP-ra konfigurált portba esetleg PC-t dugjanak...mert akkor ott vannak a mendzsment hálóban.
Köszönöm!
- 1086 megtekintés
Hozzászólások
letrehozol pl egy "AP" nevu vlan-t egy uj ID-val a switchen, majd DHCP-n reservalsz mac alapjan IP-ket az AP-kra, egyeb DHCP-t pedig kikapcsolod ebben a VLAN-ban. A reservalt IP tartomanyt pedig forwardolod a management networkbe tuzfalon keresztul.
Igy is kijatszhato, ha a user fix ip-t allit be (ugyanazt mint az AP ip-je). esetleg ha a tuzfal tudja, lehetne az meg hogy az adott IP tartomanyra MAC whitelistet teszel es csak az AP-kat engeded at management-be.
- A hozzászóláshoz be kell jelentkezni
Köszi a választ.
Jelenleg úgy működik, ahogy az első részben írod. Untaggedként megy ki, ez a probléma.
A MAC whitelist jó ötlet, ezzel hülyeség ellen védett a management háló.
- A hozzászóláshoz be kell jelentkezni
Ahhoz amit szeretnel, az kene, hogy hogy az AP-n lehessen VLAN ID-t allitani es akkor mehetne taggedbe a port. De ilyen opciot en nem talalok.
Most direkt raleptem egy ugyfel serverere de meg a cli alatt sincs ilyen opcio az AP-n...
- A hozzászóláshoz be kell jelentkezni
Én sem találtam, de reméltem, hogy csak elbújt :)
Köszi, hogy megnézted, akkor jobb híján marad az eredeti felállás. A MAC whitelist viszont használható korlátozás, köszi még1x.
- A hozzászóláshoz be kell jelentkezni
Nincs mit :)
Mondjuk lehet tulbiztositas a white list, ha adsz az AP vlan-ban valami lehetetlen IP subnetet akkor eleg eselytelen, hogy valaha is rajonnek, mit kene beirniuk. Persze a user talalekony...:)
- A hozzászóláshoz be kell jelentkezni
Ha a router kezeli a vlan tageket akkor tudod függetleníteni a tartományt. Unifi-nek untaggelve, routernek pedig taggelve adod ki a mgmt vlan-t, ez járható út?
- A hozzászóláshoz be kell jelentkezni
De ebben az esetben router oldalon ugyanugy fol kell venni a tagget porthoz a mgmt ID-t akkor meg ugyanott van nem?
Ha azt akarja, hogy teljesen biztosan semmi ne ferhessen hozza a mgmt networkhoz, akkor tuzfallal kell elvalasztani az IP tartomanyokat mac szuressel. atenged X darab MAC et (AP-kat) ugy tuti nem tud mas hozzaferni.
- A hozzászóláshoz be kell jelentkezni
Adott egy létesítmény, ahol ~100 végpont van, ebből ~20 AP. Én csak kiépítek, de van ott pár mindenes ember.
Néhány szabad portba kérésre patchelnek, ha a végpontot ideiglenesen aktiválni kell.
Attól tartok, hogy félredugnak és az AP-nak szánt mgmt-t adják ki, mivel ugye az AP miatt az untagged kint van a porton. Na ezt szeretném elkerülni és lehetőleg mindent taggelve kitenni ezekre a portokra, főleg az mgmt-t.
- A hozzászóláshoz be kell jelentkezni
Akkor tenyleg amit irtam :)
AP VLANt hozz letre sajat IP range-el, ne legyen rajta DHCP (vagy max csak reservation) tuzfalon meg whitelist.
Persze mar irtad, h most is hasonlokepp van -whitelist :)
Hasonlo problema amugy nalunk is volt, de nalunk eleg volt, hogy kb minden VLAN-nal kikapcsoltuk a DHCP-t , csak reservalas van. Mivel "elvileg" csak ceges eszkozt lehet a halozatra dugni, azon meg csak admin tud DHCP-rol fix IP-re valltani (tehat csak mi :) ) igy problem solved :)
- A hozzászóláshoz be kell jelentkezni
Switchen mgmt vlan untaggelve kiadva az Unifi portjára, guest és normal wifi taggelve?
- A hozzászóláshoz be kell jelentkezni
Igen, pontosan így van jelenleg. Így az AP a mgmt hálóból kapja az IP-t, a wifi kliensek pedig az adott vlanban futó dhcp-ből.
- A hozzászóláshoz be kell jelentkezni
Nem lehet megoldani a taggelt MGMT VLAN működést az AP-n. De cserébe jól leszabályozható a forgalom, úgyhogy szerintem csinálj egy külön AP mgmt VLAN-t és tűzfalazd le hogy csak a controllerrel, azon belül is csak az AP-k számára/felé nyitott portokat érjék el. DHCP maradhat, kisebb szívás így Neked is.
Mindenes embereket felokosítani, hogy ne patcheljenek POE-s portokat (se) mindenfelé.
Sima userek meg úgy sem patchel(het)nek. Ha mégis patchelnek, arra meg ott az IBSZ.
És akkor még nem kevertünk ide mindenféle pro meg reaktív L2 védelmi eszközt.
- A hozzászóláshoz be kell jelentkezni
Ezt irtuk mi is :)
azt mondta a kollega, h most kb igy van neki, a mac szures az AP-k fele az uj, amit meg is fog valositani.
(DHCP nel sztm ugy erdemes ha csak a reservation megy mac-re minden "egyeb" tiltva van.)
- A hozzászóláshoz be kell jelentkezni