Erfahrungen/Informationen über Ubiquiti/Unifi Produnkte

[MarkusS]

Die unterschiedlichen VLANs können oder können sich nicht sehen - je nach dem wie du es konfigurierst

Quark. Du kannst VLANs Konfigurieren wie Du willst aber die werden sich nie sehen.

Auch nicht mit einem Router dazwischen, weil durch den Router durch gehen keine VLAN-Informationen.

[coliflower]

Verstehe ich nicht …

Wenn ich in der pfSense (L3) die PASS Regel habe, dass ich von VLAN10 auf VLAN20 und umgekehrt zugreifen darf dann kann ich das hier bei mir, die pfSense „sieht" ja alle LANs und VLANs …

Klar, wenn ich nur den L2-Switch habe und dort den Port 10 den VLAN10 untagged und den Port 20 den VLAN20 untagged zuweise, dann kann ich dazwischen nix tun, dann dann habe ich zwei komplett getrennte Netze ..
Ich glaube … Wenn ich den Port 10 den VLAN20 tagged und Port 20 den VLAN 10 tagged zuweisen dann können die VLANs gegenseitig auch auf einander zugreifen … aber glauben heißt nicht wissen ;-)

Oder meinst du etwas anderes und ich bin total

[seppm]

Hier was Wikipedia zu VLANs meint (Auszug)

Jedes VLAN bildet (wie ein normales, physisch separiertes Netzwerksegment) eine eigene Broadcast-Domäne. Um den Verkehr zwischen den VLANs transparent zu vermitteln, benötigt man einen Router. Moderne Switches stellen diese Funktion intern zur Verfügung; man spricht dann von einem Layer-3-Switch.

Die Überlegenheit von VLANs im Vergleich zur physischen Zuordnung zu verschiedenen Subnetzenbasiert darauf, dass ein Wechsel von einem VLAN in ein anderes am Kopplungselement (Multilayerswitch, Router) geschehen kann, ohne dass eine physische Verbindung geändert werden muss.

... und weiter ...

Durch die Möglichkeit, einen Port mehreren VLANs zuzuordnen, können zum Beispiel auch Router und Server über einen einzelnen Anschluss an mehrere VLANs angebunden werden, ohne dass für jedes Teilnetz eine physische Netzwerkschnittstelle vorhanden sein muss. Somit kann ein einzelnes Gerät – auch ohne Router – seine Dienste in mehreren VLANs anbieten, ohne dass die Stationen der verschiedenen VLANs miteinander kommunizieren können.

Das würde meinem Verständnis entsprechen das ich über Layer 3 (Router oder FW) eine Verbindung zwischen den Clients zweier VLANs erreichen kann und auch ohne L3 Verbindung zB ein Server (oder das Internet) an einem Port, an dem tagged VLANs ankommen, den jeweiligen VLANs zur Verfügung stehen kann. Dann kann man aus jedem VLAN zwar auf den Server, aber die VLANs sehen sich untereinander nicht.

Soweit zur Theorie. Wenn es so ist wäre die fehlerfrei Konfiguration die nächste Hürde bei mir :-)

cheers Sepp

[regu]

Auch nicht mit einem Router dazwischen, weil durch den Router durch gehen keine VLAN-Informationen.

Außer du hast einen gescheiten Router auf dem man virtuelle VLAN Interfaces anlegen und routen kann

[regu]

Das würde meinem Verständnis entsprechen das ich über Layer 3 (Router oder FW) eine Verbindung zwischen den Clients zweier VLANs erreichen kann und auch ohne L3 Verbindung zB ein Server (oder das Internet) an einem Port, an dem tagged VLANs ankommen, den jeweiligen VLANs zur Verfügung stehen kann. Dann kann man aus jedem VLAN zwar auf den Server, aber die VLANs sehen sich untereinander nicht. [/SIZE][/FONT][/COLOR]
cheers Sepp

Moin Sepp, dafür musst du aber auf dem Server entsprechende virtuelle Interfaces anlegen und diese dem VLAN zuordnen, ansonsten fängt der Server mit einem tagged Port nicht so viel an. Hier ein Artikel aus dem MS Technet zu virtuellen Interfaces unter Windows Server.
https://technet.microsoft.com/de-de/...(v=ws.10).aspx

Gruß Steffen

[seppm]

Danke Steffen,

mein Logik und Visu-Server hat nur ein normales Win7Pro drunter, da wird sowas wohl eher nicht gehen. War für mich eher zum Verständnis das ich es oben mit dazu schrieb.

So wie ich es verstand war es nicht das Ziel (jedenfalls nicht bei mir) das ich VLAN tags über Router-Grenzen hinweg bekomme. Ich meinte das man mit einem Router halt VLAN Netze (wie "normale" Netze halt auch) verbinden kann damit die Nutzer ggf. gemeinsame Ressourcen verwenden können, zB den Internet-Zugang. Aber das scheint nicht ganz so trivial zu sein und bei der Fritzbox eine statische IP4 Route einzutragen nutzt dafür scheinbar nicht, obwohl das bisher keiner so schrieb.

Aber jetzt driften wir wohl zu weit ab von der Intention sich über Ubiquiti auszutauschen.

Cheers Sepp

[MarkusS]

Außer du hast einen gescheiten Router auf dem man virtuelle VLAN Interfaces anlegen und routen kann

Von mir aus.

Ich lasse Euch Profis mal weiter werkeln, Ihr macht das bestimmt richtig.

[regu]

Hallo Sepp,

man kann mit einem Router schon VLAN Netze verbinden, dafür braucht man aber ein Router auf dem man virtuelle VLAN Interfaces anlegen kann.
Sprich man richtet sich an diesem ein tagged Port und legt die virtuellen Interfaces an, eine Fritzbox is dafür allerdings nicht geeignet.

[netpages]

seppm


in deiner konstellation mit Fritzbox und V-LAN fähigem Switsch sollte das mit den AC Pro gehen.

In der Fritzbox das Gast Netzt auf z.B. Ethernet 4 legen, wo genau das einzustellen ist müsste ich nachsehen.

Dann am V-LAN Switch Ethernet 1 und Ethernet 4 von der FritzBox jeweils an einen Port vom Switch.

Dann im Switch den Prot an dem Ethernet 4 angeschlossen ist als V.LAN Trunk einrichten und mit einem Tag zB. 100 Taggen lassen.

Den AC Pro an einen weiteren Switch Port anschliessen und dort das V-LAN 100 mit drauflegen und den AC Pro entsprechend für V-LAN 100 konfigurieren.

VG

[seppm]

Danke Euch,

ich hab mir das in den Settings der FB angesehen, findet sich bei "Heimnetz - Netzwerk - Netzwerkeinstellungen". Da kann man LAN4 als Gastnetz freigeben. Allerdings steht dabei:
"Der Gastzugang steht nur dann zur Verfügung, wenn die Internetverbindung direkt über das integrierte Modem der FRITZ!Box aufgebaut wird."
Das könnte bei mir ein Problem sein da mein Provider im Hausanschluss mit Glas ankommt, dort ein meine ich Alcatel Modem sitzt und das mit seinem Ethernet Ausgang an der Fritzbox LAN1 hängt. Das würde ich mal so interpretieren das nicht das FritzBox integrierte Modem die Verbindung aufbaut.
Allerdings ist es auch so das derzeit das Gast-WLAN der Fritzbox auch ins Internet kommt, aber vlt. ist das dort ein anderer Mechanismus der das ermöglicht.

Werde das trotzdem in der Richtung (auch mit dem VLAN Tagging) verfolgen, sollte ich also ein paar Wochen offline sein, dann hab ich mir den Ast auf dem ich sitze abgesägt ;-)

Wenn ich nicht zurecht komme, mache ich dann aber eher einen neuen Thread auf das dies ja mit Ubiquiti nun nur noch am Rande zu tun hat.

Merci Sepp

[DerStandart]

Hallo zusammen,

im Gäste WLAN habe ich "Apply guest policies" aktiviert und im "Guest Control" den Zugriff auf die privaten Adressbereiche deaktiviert. DHCP macht die FRITZ!box. Die Gäste sind somit zwar im gleichen IP-Bereich wie mein privates Netzwerk, haben aber keinen Zugriff auf Geräte in diesem IP-Adressbereich. Ich habe keinerlei Konfiguration mit VLAN und so weiter.

Vielleicht hilft das.

Grüße,
Christoph

[seppm]

Vielen Dank Christoph,

das hab ich zwar gesehen, aber nicht in die Verbindung gebracht, die Du gerade aufzeigst.
Das hört sich mir stark nach der Lösung an die ich suche. Und es wäre ja viel einfacher als ich dachte! Und mit weniger Risiko meiner evtl. Fehlkonfiguration behaftet.

Werde ich morgen, falls die Dinger ankommen, auch so ausprobieren.

Die Frage die dann noch übrig wäre ist ob jemand weiss ob ich mehrere DHCP-Server im gleichen Netzwerk, hier 192.168.1.0, laufen lassen kann wenn sich die Ranges nicht überlappen. Würde gerne den DHCP-Server der Fritzbox (den ich verdächtige das nicht immer gut zu machen) mindestens für die WLAN Clients, die dann ja alle über UniFi laufen, durch DHCP-Server im UniFi entlasten.

Merci
Sepp

[bezel]

Hi Seppm,

du kannst zwar mehrere DHCP laufen lassen und denen auch eine bestimmte Range geben. Aber woher soll der Client wissen, von welchem DHCP er jetzt die IP beziehen soll. Dazu müsstest du in den DHCP Servern einstellen, dass er nur bestimmten Mac-Adressen eine IP aus seiner Range gibt.

Wenn du die FritzBox als DHCP ausschaltest und stattdessen den vom unifi Controller nimmst, sollte das den Ansatz des Gedankens mal erfüllen.

Desweiteren: wenn ich mir die Config so anschaue, kriegst du nur eine Teilung zwischen 2,4G und 5G über WLAN-Groups hin. AC ja/nein kannst du nicht beeinflussen.

[seppm]

Danke Bezel,

guter Punkt mit den DHCP, ich hatte mir naiv gedacht das wenn ein Client über UniFi kommt dann würde er dort die DHCP bekommen, hier war wohl der Wunsch Vater des Gedanken :-) Dann werde ich DHCP erstmal noch in der FB nutzen um nicht zuviel Dinge auf einmal zu ändern. Und wenn sonst alles läuft kann ich DHCP ja auf UniFi verschieben.

Ja, das mit AC separat hatte ich nicht durchdacht. AC bedeutet ja dann hier immer 5GHz sowie auch N und A auf dem einen der beiden Radios.
Das mit der eigenen SSID für 2,4GHz Radio brauche ich noch zwingend für die Apple Watch da diese Hardware leider kein 5GHz kann. Ich muss also mein iPhone zwingend in eine SSID mit 2,4GHz einbuchen. Aber das ist verschmerzbar, brauch 2,4GHz eh noch für ein paar ältere Geräte auch.
Dann wäre es also so:
SSID1: Bewohner1 mit 2,4GHz 11N/B/G
SSID2: Bewohner2 mit 5GHz auf 11N/A/AC
SSID3: Gast. Hier vermute ich das ich die SSID auf beide Radios mappen kann, damit könnte ein Gast mit ziemlich jedem Client zugreifen.

VLAN werde ich dann in allen Netzen derweil nicht machen da ich mich eh zu wenig damit auskenne und es so lösen wie es auch Christoph vorschlug.

Werde berichten. Für weitere Ideen und Vorschläge bin ich aufgeschlossen :-)

cheers Sepp

[bezel]

Hi Seppm,

bzgl. der AppleWatch: reicht es nicht, wenn sich die Geräte im selben "Lan" befinden? Wie die beiden jeweils darauf Zugriff haben, ist imho egal. Sie sehen sich ja quasi über die Lan-Infrastruktur, an das die AP's angeschlossen sind.

Btw. Habe ich von meinem Händler noch keinen Bescheid über meine ausstehenden AP's bekommen.


Gruss Björn