Запросы DHCP не проходят через VLAN - UDR7.

Запросы DHCP не проходят через VLAN - UDR7., UniFi Network

jojoman33

Guest

12.04.2025 16:31:00

Развернули UDR 7 со sfp 10G, настроили его как транк для 3 VLAN. Пытались подключить беспроводных клиентов к UDR, WiFi подключен к VLAN2000 через сторонний шлюз. Клиенты не получают IP-адрес и выходят из строя. При изучении выяснилось, что на VLAN вообще не видно никаких широковещаний и ARP/протоколов уровня 2 в режиме стороннего шлюза. Подключились к UDR через консоль и запустили tcpdump на интерфейсах br2000, switch и wifi. Видим DHCP-пакет, приходящий на WiFi, но он никуда не уходит. Однако, если настроить “Network 2000” как DHCP-сервер с IP-адресом и настроить кастомный шлюз/DNS, клиенты получают IP-адрес от UDR и могут общаться. Какие-нибудь идеи, как использовать сторонний шлюз? Не хотим, чтобы UDR был доступен через WiFi-клиентов уровня 3, а назначение ему IP-адреса для работы в качестве DHCP-сервера делает его доступным через LAN, и нам приходится добавлять дополнительные правила FW для защиты. Спасибо!

marcg1

Guest

12.04.2025 20:00:00

Пока все устройства — UniFi, Cisco и т.д. — правильно пропускают/маркируют трафик VLAN 2000, всё должно работать. Я регулярно использую такую настройку с UDM: несколько Third-Party Gateway сетей на коммутаторах+точках доступа UniFi, все соединены в один тронк к отдельному роутеру по одному физическому каналу вместе с Default сетью. Порт UniFi коммутатора настроен как Native=Default+Tagged=AllowAll в моем случае, и соответствующий порт шлюза делает нечто подобное в той версии этой платформы (Default передается без тега). Тронкинг VLANs отличается от случая с одной VLAN. В случае с одной VLAN, вышестоящий шлюз не обязательно должен сам помечать трафик; маркировку может делать порт коммутатора, который соединяет его с оборудованием UniFi. С несколькими VLAN, вышестоящий шлюз должен применять теги к трафику перед отправкой его на коммутатор. Не уделил внимания комментарию про интернет-порт. Если порт SFP назначен как LAN-порт, он должен работать нормально как тронк. Хотя нет UDR для тестирования.

jojoman33

Guest

12.04.2025 19:38:00

Ага, да. Там есть DHCP-сервер, и все остальные устройства на стороне "правой" на коммутаторе Cisco получают адреса. Но запросы не доходят до порта-канала/эфирного порта "sfp", поэтому они не переходят на сервер. Я раньше использовал стороннее ПО без порта-канала в другом сценарии. Это моя первая попытка с UDR, не уверен, что порт в замешательстве, ведь он обычно предназначен для интернет-порта?

marcg1 Guest	#4 12.04.2025 17:34:00 Обычно Third-Party Gateway используется как отдельный шлюз на VLAN для маршрутизации, DHCP и т.д. У вас есть такой на VLAN 2000? Third-Party Gateway отключает практически всю L3 обработку UniFi оборудованием на VLAN. Если вам нужно, чтобы UDR сам маршрутизировал и выдавал DHCP для этой подсети, можно настроить правила LAN Local, чтобы заблокировать доступ к UDR, обычно на портах 80, 443, 22. Похоже, что вы уже это делаете.

Читают тему (гостей: 1)