Проблема с SSIDs UniFI APs на VLANs на трунке Aruba Switch.

Проблема с SSIDs UniFI APs на VLANs на трунке Aruba Switch., wifiman

techpk24

Guest

04.02.2025 19:58:00

Привет, команда!

У меня сложная ситуация с настройкой клиента. У меня есть файрвол с LACP Port-channel к Aruba Switch для агрегации 4 гигабитных портов. Через этот LACP Port-channel идут VLAN 10, 20, 30, 40, 50. Проблем с портами доступа VLAN нет, IP-адреса получаются нормально.

На Aruba Switch порты 1-4 используются для LACP port-channel (Trunk 1). Для UniFi U6 Mesh я использую Trunk 2 на порту 5.

VLAN1 исключена на Trunk 2 для Access point

VLAN 10 - включена - Untagged - на Trunk 2 для Access point

VLAN 20 - включена - Tagged - на Trunk 2 для Access point

VLAN 50 - включена - Tagged - на Trunk 2 для Access point

В итоге - конфигурация VLAN интерфейса

Access Points должны транслировать SSIDs: ADMIN (VLAN 20) и SSID: GUEST (VLAN 50)

Wireless для VLAN ADMIN 20

Wireless для VLAN GUEST 50

AP получает IP VLAN 10 нормально, так как switchport имеет VLAN в качестве VLAN по умолчанию, но когда я проверяю подключение устройств к обоим SSID, клиентские устройства не получают DHCP-лизы, и в результате WiFi не работает.

Я был бы очень благодарен за подсказки, как решить эту проблему, так как она доставляет неудобства клиенту и мне, и мы уже потратили на неё так много времени.

Спасибо!

kaco.netadmin

Guest

13.02.2025 17:43:00

Возвращаюсь к этому вопросу. У меня было очень странное поведение AP/vlan/dhcp, когда я пытался изменить стандартный vlan1 для устройств Unifi, чтобы он использовался только ими, и перенести предыдущий диапазон IP-адресов в новый vlan. В целом всё прошло хорошо, кроме AP. В итоге, теггирование/vlan/dhcp не совпадали с тем, что я видел в GUI. AP, казалось, загружались с каким-то кэшированным конфигом/IP-адресами, в зависимости от профиля uplink-порта коммутатора для каждого AP. Что помогло мне? Полный сброс AP к заводским настройкам, удаление из консоли Unifi, ожидание, пока всё удалится и обработается. Затем повторное подключение. Я использовал ssh-команду для сброса: "syswrapper.sh restore-default & set-default &;". Если вы всё ещё испытываете трудности, возможно, сбросьте свои AP и повторно подключите их.

sait.at Guest	#3 10.02.2025 13:46:00 @techpk24, ты глянь, работают ли твои AP? Ты случайно не оставил транкинг на портах, к которым подключено твое Sophos, со всеми тегированными VLAN и VLAN1 без тега?

techpk24

Guest

10.02.2025 04:12:00

Спасибо, я тоже сделал то же самое. Удалил Switchport для точки доступа из Trunk.

Отменил тег VLAN 10 и отметил VLAN 20, 50 через настройки интерфейса.

Через настройку VLAN интерфейса

Сеть на UniFi

SSID на UniFi

Говорит, не удается подключиться к SSID

Сначала все работало нормально, но через несколько минут стало нестабильно, не знаю почему. Спасибо!

techpk24 Guest	#5 10.02.2025 04:00:00 Спасибо, друг! Я отключил DHCP snooping, но проблема всё та же. Сети GUEST и ADMIN всё равно не работают.

sait.at

Guest

07.02.2025 14:29:00

Как уже упоминалось другими, термин "Trunk" в HP связан с LACP, и его не следует использовать на портах доступа, к которым подключены конечные устройства. Гораздо проще настроить "VLAN Membership - By Interface" для этого. Ваша конфигурация на порту, к которому подключен ваш AP, должна выглядеть так:Untagged: 10 для управления вашим AP, наверноеTagged: 20, 50 и все ваши VLAN, которые вы хотите транслировать.Выберите интерфейс, а затем отредактируйте его с помощью значка карандаша.

its3am

Guest

06.02.2025 10:11:00

Это не имеет никакого смысла. В терминологии UniFi сеть — это VLAN. Можно создать сеть только для VLAN (L2) коммутации, выбрав тип "Third-party gateway". На самом деле, это единственное, что можно сделать, если у вас нет UniFi (Cloud) Gateway. Если у вас есть Gateway, у вас есть дополнительная возможность добавить IP-адрес к виртуальному интерфейсу на этом Gateway и включить (L3) маршрутизацию.

naokibizen

Guest

06.02.2025 04:02:00

Привет, @techpk24, так называемые VLAN (вроде как Cisco, Aruba) используют тег ethernet frame, так что это технология Layer 2. Однако Unifi VLAN — это уровень IP (технология Layer 3), когда ты создаешь VLAN в Unifi — тебе выделится новый диапазон IP-адресов. Так что словосочетание одно и то же — VLAN, но смысл разный в Unifi.

kaco.netadmin Guest	#9 05.02.2025 14:17:00 Да, убери из группы штампа, и настрой трафик VLAN на порту как нужно. Честно говоря, должно сработать и так. Сообщи, если проблема решится, когда DHCP Snooping будет отключен.

techpk24 Guest	#10 05.02.2025 13:58:00 На Арубе, порт 5 – нужно убрать настройку trunk. Следует ли выбрать этот порт и сделать untag 10, tag 20, 50, чтобы он мог общаться с SSID на UniFi U6 Mesh и чтобы DHCP заработал?

techpk24 Guest	#11 05.02.2025 13:53:00 Спасибо, дружище, за потрясающую помощь. Да, всё было включено. DHCP guarding в сети отключён.

techpk24 Guest	#12 05.02.2025 13:50:00 Спасибо, что сообщил. VLAN (слой 3) не мог бы ты немного объяснить? Я, как человек с опытом работы с Cisco, знаю только про Layer 2. Спасибо, дружище!

kaco.netadmin Guest	#13 05.02.2025 13:05:00 Убедитесь, что это отключено как минимум до тех пор, пока у вас все не заработает, как ожидается, глобально и для каждой сети/vlan.

naokibizen Guest	#14 05.02.2025 05:48:00 @techpk24, терминология UNFI ("VLAN" (Layer 3)) не то же самое, что и "VLAN" у Aruba (Layer 2)....

kaco.netadmin

Guest

#15

05.02.2025 04:54:00

Тип порта trunk vs группа trunk. Не уверен в окружении Aruba, но группы trunk на некоторых устройствах HP используются для агрегации каналов/LACP, похоже, что это и ваш случай с Aruba. Типы trunk-портов могут передавать трафик любых VLAN. Проверьте конфигурацию порта. Включена ли глобально DHCP snooping на UniFi? Если да, отключите её.

techpk24

Guest

#16

05.02.2025 04:32:00

@kaco.netadmin, спасибо, друг, за полезный ответ. Настрой один порт для приёма/передачи данных с VLAN для точки доступа, а не транк на стороне Aruba. Транки на стороне Aruba/HP могут быть статическими или динамическими, обеих можно включить lacp, но UniFi Switches поддерживают только динамический lacp 802.3ad, не статичный/ручной. Не думаю, что U6 AP поддерживает какой-либо тип lacp/lag. Как можно настроить один порт на свитче с несколькими VLAN? Я думал, транк позволяет использовать несколько VLAN одновременно? Если бы ты мог немного подробнее объяснить, это было бы здорово, спасибо!

kaco.netadmin

Guest

#17

05.02.2025 04:30:00

Выключи/отключи прослушивание DHCP в глобальных настройках сети и защиту DHCP на каждом сетевом интерфейсе. LACP от файрвола к Aruba можно оставить… если файрвол это поддерживает. Это никак не влияет на твою текущую проблему. Это можно будет поменять в другой раз, если потребуется.

techpk24

Guest

#18

05.02.2025 04:23:00

Ребята, спасибо за полезные ответы. Извините, VLAN20 на скриншоте не видно.

От Aruba к точке доступа трафик идет по статическому Trunk-ом. Используется только порт 5, LACP на нем нет. Влияет ли LACP от файрвола к коммутатору на связь коммутатора и точки доступа? Если да, я готов убрать LACP от файрвола к коммутатору Aruba.

kaco.netadmin

Guest

#19

05.02.2025 00:16:00

Я тоже так думал, только убедись, что на порту/port channel, ведущем к AP, не включен LACP. Ещё можешь отключить DHCP guarding на каждом сетевом сегменте и DHCP snooping глобально (если включен), пока не заработает. Помню, что у меня была проблема с DHCP на VLAN-ах с сторонним шлюзом, если был включен глобальный snooping. Шлюз/файрвол тоже был DHCP-сервером для этих VLAN-ов и был отмечен как trusted.

its3am Guest	#20 05.02.2025 00:03:00 Статический LAG с одним портом по сути то же самое, что и отсутствие LAG, так что, может быть, и сработает.

Читают тему (гостей: 1)