• Zarejestrowany: 2014-01-07
  • Posty: 15

Temat: AP + VAP z DHCP

Witam, chodzi mi po głowie zmiana konfiguracja mojej sieci w domu - router (openwrt, DHCP, wyłączone radio ), SW, dwa AP ( openwrt, wyłączony WAN, wyłączone DHCP ). Oba AP rozsiewają ten sam SSID, adresy nadawane przez DHCP z routera. Chciałbym dodać siec gościnną (VAP) na jednym z AP, ale w taki sposób, by siec wirtualna otrzymała inna adresację, czyli żeby dla VAP uruchomić własne  DHCP lub ewentualnie, żeby router przydzielił inną pule adresów dla VAP.  Pytanie czy chcę zbyt wiele, czy jednak można uzyskać taką konfigurację ?

2 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,309

Odp: AP + VAP z DHCP

Bez problemu. Możesz przecież uruchomić serwer dhcp na innej podsieci.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

3 Odpowiedź przez piotrpz

  • Zarejestrowany: 2014-01-07
  • Posty: 15

Odp: AP + VAP z DHCP

Cezary, dzięki za odpowiedź. Jeśli dobrze rozumiem, to muszę odpalić DHCP dla VAP na AP? Konfiguracja fizyczna bez zmian, skrętka w LAN ? ... i jeszcze jedno, po takiej modyfikacji zapominam o GUI, wszelkie modyfikacje tylko z cmd ?

4 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,309

Odp: AP + VAP z DHCP

W luci możesz sobie wyklikać, w gargoyle z konsoli i później nie dotykasz praktycznie gui.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

5 Odpowiedź przez piotrpz

  • Zarejestrowany: 2014-01-07
  • Posty: 15

Odp: AP + VAP z DHCP

Wgrałem obraz z Luci i utworzyłem dwie sieci. AP podpięty przez port LAN do routera. Sieć "główna" prawidłowo otrzymuje adresacje z zewnętrznego routera z DHCP ( siec 192.168.15.0) i mogą dobić się do internetu. Siec gościnna przyznaje z własnego DHCP adresy z sieci 192.168.30.0. i teraz zaczynają sie schody. w sieci gościnnej DNS ustawiony na adres routera 192.168.15.1 prawidłowo rozwiązuje adresy, jednakże ruch już  nie wychodzi. Klient sieci gościnnej otrzymuje default GW 192.168.30.1 ( adres interfejsu dla sieci wirtualnej). Podejrzewam  że brakuje routingu lub blokuje FW. Próbowałem dodać routing w AP dla siec gościnnej by cały ruch był pchany na 192.168.15.1 jednak w taki sposób nie działa.. chyba że brakuje dodatkowego routingu na ruterze ? Będę wdzięczny za wszelkie sugestie.

6 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,309

Odp: AP + VAP z DHCP

Pokaż konfigi, pewnie firewalla nie ustawiłeś.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

7 Odpowiedź przez piotrpz (edytowany przez piotrpz 2014-01-12 17:12:17)

  • Zarejestrowany: 2014-01-07
  • Posty: 15

Odp: AP + VAP z DHCP

Ponizej konfiguracja sieci, wifi i firewall. W FW dodałem DNS i DHCP i rzeczywiscie nie mam reguły na inny ruch. Jeszcze jedno pytanie. W porcie WAN nie mam kabla, chciałbym jednak miec mozliwosc dobicia sie z AP do repozytoriów ale niemam pomysłu jak to zrobić... Wywalic WAN z konfiguracji i na SW przypisac port do LAN ?

konfiguracja:

NETWORK:
config interface 'loopback'
    option ifname 'lo'
    option proto 'static'
    option ipaddr '127.0.0.1'
    option netmask '255.0.0.0'

config interface 'lan'
    option ifname 'eth0.1'
    option type 'bridge'
    option proto 'static'
    option netmask '255.255.255.0'
    option ipaddr '192.168.15.4'
    option dns '192.168.15.1'

config interface 'wan'
    option ifname 'eth0.2'
    option proto 'dhcp'

config switch
    option name 'rtl8366rb'
    option reset '1'
    option enable_vlan '1'

config switch_vlan
    option device 'rtl8366rb'
    option vlan '1'
    option ports '1 2 3 4 5t'

config switch_vlan
    option device 'rtl8366rb'
    option vlan '2'
    option ports '0 5t'

config interface 'Guest'
    option _orig_ifname 'wlan0-1'
    option _orig_bridge 'false'
    option proto 'static'
    option ipaddr '192.168.3.1'
    option netmask '255.255.255.0'


WIRELESS:
config wifi-device 'radio0'
    option type 'mac80211'
    option path 'platform/ath9k'
    list ht_capab 'SHORT-GI-40'
    list ht_capab 'DSSS_CCK-40'
    option channel '3'
    option hwmode '11ng'
    option htmode 'HT40+'
    option country 'PL'
    option txpower '20'

config wifi-iface
    option device 'radio0'
    option network 'lan'
    option mode 'ap'
    option encryption 'none'
    option ssid 'ABC'

config wifi-iface
    option device 'radio0'
    option mode 'ap'
    option encryption 'none'
    option ssid 'ABC_GUEST'
    option network 'Guest'



FIREWALL: 

config defaults
    option syn_flood '1'
    option input 'ACCEPT'
    option output 'ACCEPT'
    option forward 'REJECT'

config zone
    option name 'lan'
    option input 'ACCEPT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option network 'lan'

config zone
    option name 'wan'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option masq '1'
    option mtu_fix '1'
    option network 'wan wan6'

config forwarding
    option src 'lan'
    option dest 'wan'

config rule
    option name 'Allow-DHCP-Renew'
    option src 'wan'
    option proto 'udp'
    option dest_port '68'
    option target 'ACCEPT'
    option family 'ipv4'

config rule
    option name 'Allow-Ping'
    option src 'wan'
    option proto 'icmp'
    option icmp_type 'echo-request'
    option family 'ipv4'
    option target 'ACCEPT'

config rule
    option name 'Allow-DHCPv6'
    option src 'wan'
    option proto 'udp'
    option src_ip 'fe80::/10'
    option src_port '547'
    option dest_ip 'fe80::/10'
    option dest_port '546'
    option family 'ipv6'
    option target 'ACCEPT'

config rule
    option name 'Allow-ICMPv6-Input'
    option src 'wan'
    option proto 'icmp'
    list icmp_type 'echo-request'
    list icmp_type 'echo-reply'
    list icmp_type 'destination-unreachable'
    list icmp_type 'packet-too-big'
    list icmp_type 'time-exceeded'
    list icmp_type 'bad-header'
    list icmp_type 'unknown-header-type'
    list icmp_type 'router-solicitation'
    list icmp_type 'neighbour-solicitation'
    list icmp_type 'router-advertisement'
    list icmp_type 'neighbour-advertisement'
    option limit '1000/sec'
    option family 'ipv6'
    option target 'ACCEPT'

config rule
    option name 'Allow-ICMPv6-Forward'
    option src 'wan'
    option dest '*'
    option proto 'icmp'
    list icmp_type 'echo-request'
    list icmp_type 'echo-reply'
    list icmp_type 'destination-unreachable'
    list icmp_type 'packet-too-big'
    list icmp_type 'time-exceeded'
    list icmp_type 'bad-header'
    list icmp_type 'unknown-header-type'
    option limit '1000/sec'
    option family 'ipv6'
    option target 'ACCEPT'

config include
    option path '/etc/firewall.user'

config include 'miniupnpd'
    option type 'script'
    option path '/usr/share/miniupnpd/firewall.include'
    option family 'IPv4'
    option reload '1'

config zone
    option name 'Guest'
    option forward 'REJECT'
    option output 'ACCEPT'
    option input 'REJECT'
    option network ' '

config forwarding
    option dest 'wan'
    option src 'Guest'

config rule
    option target 'ACCEPT'
    option proto 'tcp udp'
    option dest_port '53'
    option name 'Guest_DNS'
    option src 'Guest'

config rule
    option target 'ACCEPT'
    option proto 'udp'
    option dest_port '67-68'
    option name 'Guest_DHCP'
    option src 'Guest'

8 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,309

Odp: AP + VAP z DHCP

Jeżeli nie używasz wanu to te regułki na wan są ci na plaster. Na forwarding lan <> guest zezwól.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

9 Odpowiedź przez piotrpz

  • Zarejestrowany: 2014-01-07
  • Posty: 15

Odp: AP + VAP z DHCP

Aktualny FW ponizej. Niestety dalej nie działa. Dodałem na routerze trase do sieci 192.168.3.0/24 przez 192.168.15.4 ( adres AP) i jestem w stanie wbic sie z guest do lan ale na zewątrz juz nie. Chodziło mi jednak zupełnie o odwrotną sytuacje, chciałbym z sieci Guest dostac się do WAN przez router, ale juz do LAN nie.

# cat /etc/config/firewall 

config defaults
    option syn_flood '1'
    option input 'ACCEPT'
    option output 'ACCEPT'
    option forward 'REJECT'

config zone
    option name 'lan'
    option input 'ACCEPT'
    option output 'ACCEPT'
    option network 'lan'
    option forward 'ACCEPT'

config include
    option path '/etc/firewall.user'

config include 'miniupnpd'
    option type 'script'
    option path '/usr/share/miniupnpd/firewall.include'
    option family 'IPv4'
    option reload '1'

config zone
    option name 'Guest'
    option output 'ACCEPT'
    option input 'ACCEPT'
    option forward 'ACCEPT'
    option network 'Guest'

config rule
    option target 'ACCEPT'
    option proto 'tcp udp'
    option dest_port '53'
    option name 'Guest_DNS'
    option src 'Guest'

config rule
    option target 'ACCEPT'
    option proto 'udp'
    option dest_port '67-68'
    option name 'Guest_DHCP'
    option src 'Guest'

config forwarding
    option dest 'lan'
    option src 'Guest'

config forwarding
    option dest 'Guest'
    option src 'lan'

10 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,309

Odp: AP + VAP z DHCP

Więc używasz wan czy nie w końcu? W poprzednim poście pisałeś że wan nie masz kabla, więc o jakim dostaniu się z Guest do WAN w ogóle piszesz?

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

11 Odpowiedź przez piotrpz

  • Zarejestrowany: 2014-01-07
  • Posty: 15

Odp: AP + VAP z DHCP

Ok, mogłem wprowadzic w bład. Konfiguracja sieci.:
WAN <->router (192.168.15.1) <-> AP ( podłączany po int LAN; LAN/WIFI 192.168.15.4; WIFI 192.168.3.1)
stan obecny z hosta:
192.168.15.X - WAN dostepny.  192.168.15.0/24 dostepne
192.168.3.X- WAN niedostepny. 192.168.15.0/24 dostepne ( tylko po IP pomimo ustawionego DNS na 192.168.15.1)

dodatkowo router:

~# netstat -rn
Kernel IP routing table
Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
0.0.0.0         192.168.21.1    0.0.0.0         UG        0 0          0 eth0
192.168.3.0     192.168.15.4    255.255.255.0   UG        0 0          0 eth1
192.168.15.0    0.0.0.0         255.255.255.0   U         0 0          0 eth1
192.168.21.0    0.0.0.0         255.255.255.0   U         0 0          0 eth0

12 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,309

Odp: AP + VAP z DHCP

Więc w firewallu masz zezwolić na forwarding guest<>wan

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

13 Odpowiedź przez piotrpz

  • Zarejestrowany: 2014-01-07
  • Posty: 15

Odp: AP + VAP z DHCP

... chyba Guest <>LAN (bo WAN na AP nie istnieje, a przynajmniej interfejs WAN jest pusty) Konfiguracja z AP

# cat /etc/config/firewall 

config defaults
    option syn_flood '1'
    option input 'ACCEPT'
    option output 'ACCEPT'
    option forward 'REJECT'

config zone
    option name 'lan'
    option input 'ACCEPT'
    option output 'ACCEPT'
    option network 'lan'
    option forward 'ACCEPT'

config include
    option path '/etc/firewall.user'

config include 'miniupnpd'
    option type 'script'
    option path '/usr/share/miniupnpd/firewall.include'
    option family 'IPv4'
    option reload '1'

config zone
    option name 'Guest'
    option output 'ACCEPT'
    option input 'ACCEPT'
    option forward 'ACCEPT'
    option network 'Guest'

config rule
    option target 'ACCEPT'
    option proto 'tcp udp'
    option dest_port '53'
    option name 'Guest_DNS'
    option src 'Guest'

config rule
    option target 'ACCEPT'
    option proto 'udp'
    option dest_port '67-68'
    option name 'Guest_DHCP'
    option src 'Guest'

config forwarding
    option dest 'lan'
    option src 'Guest'

config forwarding
    option dest 'Guest'
    option src 'lan'

14 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,309

Odp: AP + VAP z DHCP

Guest <>LAN potrzebujesz jak chcesz mieść z guest dostęp do lan. Zwykle nie chcesz tego, bo po co ci wtedy byłby guest.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

15 Odpowiedź przez piotrpz

  • Zarejestrowany: 2014-01-07
  • Posty: 15

Odp: AP + VAP z DHCP

Być możne ja czegoś nie rozumiem... W mojej konfiguracji sieci ( tak jak pisałem wcześniej ) router i AP to fizycznie  dwa rożne urządzenia. AP jest spięty z routerem po interfejsie LAN. W tym przypadku strefa WAN na AP jest nieużywana. Chyba że się mylę..