Изолировать беспроводных гостей от проводной сети компании

Изолировать беспроводных гостей от проводной сети компании, UniFi Network

KCrane

Guest

10.08.2015 14:30:00

Я установил Unifi AP Pro в розничном магазине исключительно для того, чтобы предоставить клиентам точку доступа к интернету. Хочу, чтобы гостевой доступ был бесплатным и без каких-либо лишних шагов для подключения. Я настроил гостевую SSID, но похоже, что гостям назначаются IP-адреса из той же подсети, что и у моей проводной сети. Полагаю, это даёт гостям доступ к моей внутренней сети. Как мне изолировать использование гостевого доступа от сети компании? У меня простая одноранговая сеть с межсетевым экраном SonicWall в качестве входной точки.

johnpoz

Guest

03.09.2015 18:50:00

Какой свитч ты купил и какие у тебя сейчас? Как я уже говорил, управляемый/умный свитч даёт гораздо больше, чем просто поддержку VLAN. Если только у тебя дома нет ни малейшего понятия о базовых сетевых вещах и ты просто хочешь подключить пару устройств, я не вижу смысла использовать что-то кроме умного или управляемого свитча.

Вот с ходу несколько функций, почему стоит взять именно такой свитч, а не только ради VLAN. Возможность объединять порты в агрегаты (LAG), возможность зеркалировать порт для диагностики или системы обнаружения вторжений (IDS). Возможность видеть счётчики трафика по каждому порту, чтобы отслеживать нагрузку и устранять неполадки. IGMP snooping для контроля мультикаст-трафика, настройка скорости и дуплекса для порта. Ограничение скорости на портах или даже QoS. STP, если у тебя есть несколько свитчей и есть риск петель в сети с несколькими соединениями. Или возможность использовать несколько соединений для резервирования. 802.1x, безопасность на портах и так далее, и так далее. Список практически бесконечен.

Некоторые недорогие управляемые свитчи могут не иметь всех этих функций, и, возможно, тебе не всё это нужно — но в офисной сети абсолютно бессмысленно пользоваться простыми свитчами. Да, можно подключить обычный свитч к VLAN, но если ты захочешь сделать несколько VLAN на этом свитче, это не получится без тегирования на клиентах и, уж тем более, никакой безопасности между портами в разных VLAN не будет. И всё такое прочее.

dpurgert

Guest

03.09.2015 17:31:00

Ну, управляемый коммутатор может сделать для вас гораздо больше, чем просто упростить работу с VLAN. Честно говоря, учитывая, насколько они сейчас дешевы (пусть даже и сомнительного качества, как у D-Link или TP-Link), я использую управляемые коммутаторы везде.

KCrane

Guest

03.09.2015 17:13:00

Ответы, которые я получил, заставили меня подумать (из-за моего незнания), что для настройки нужной VLAN нужен управляемый коммутатор. В итоге я купил управляемый коммутатор Cisco, но оказалось, что в моём случае он не нужен. Теперь буду держать его про запас, если вдруг сломается один из моих других коммутаторов. Судя по последним комментариям, мне не нужен управляемый коммутатор, а просто такой, который сможет обрабатывать увеличенный пакет VLAN.

dpurgert Guest	#5 03.09.2015 17:01:00 Именно то, что сказали последние двое. Когда придёт время менять, поставьте пару коммутаторов Edge (или UniFi), и дело сделано.

johnpoz

Guest

03.09.2015 15:23:00

Запуск VLAN на обычных коммутаторах — это не самая лучшая идея. Если хочешь использовать VLAN, нужно убедиться, что вся инфраструктура поддерживает их сквозь всю сеть, а не только на твоём SonicWall. Не обязательно покупать полностью управляемый Cisco за 10 тысяч долларов — сейчас есть много «умных» коммутаторов с поддержкой VLAN, да ещё и по очень доступной цене. Советую поставить замену этих обычных коммутаторов на умные или управляемые в свой список дел на ближайшее время.

DavidCMN

Guest

03.09.2015 15:06:00

Стандартный размер кадра (или пакета) в Ethernet-сетях (любой скорости) — 1500 байт. Кадры с VLAN-тегами (например, для вашей гостевой сети) будут на 4 байта больше — 1504 байта, и подавляющее большинство коммутаторов без проблем пропускает такие кадры, как и ваши. Проблемы могут возникнуть, если один из ваших коммутаторов выйдет из строя, а его замена не будет пропускать чуть увеличенные VLAN-кадры. Поэтому совет dpurgert — оставить заметку на текущем оборудовании, чтобы напомнить себе, что может происходить, если после замены коммутатора что-то перестанет работать. Если искать коммутаторы с поддержкой «джамбо-кадров» (jumbo frames), они отлично справятся и с VLAN-кадрами размером 1504 байта. (Джамбо-кадры больше 1500 байт, обычно намного — поддержка кадров до 9000 байт распространена, а для некоторых устройств доступна даже 16000-байтная поддержка.) Сегодня поддержка джамбо-кадров встречается довольно часто, но далеко не везде. Однако если убедиться, что любое новое оборудование поддерживает джамбо-кадры, с гостевой VLAN проблем не возникнет.

KCrane

Guest

03.09.2015 14:58:00

Примечание по результатам: Два неуправляемых коммутатора обслуживают другие подключения в моей локальной сети, кроме гостевой точки доступа UniFi. Первый коммутатор неуправляемый имеет занятыми 17 портов, а второй — 14, включая UniFi. Так что эти «тупые» коммутаторы успешно передают два разных подсети.

dpurgert

Guest

03.09.2015 14:48:00

Обрати внимание, что хоть в твоём случае использование простых коммутаторов сработало, это не всегда так. Есть несколько нюансов, так что не забудь это зафиксировать на видном месте, чтобы через 9 месяцев ты или кто-то другой не ломали голову, почему интернет не работает.

KCrane Guest	#10 03.09.2015 14:41:00 Хорошо, после того как я так и не смог разобраться, в итоге пригласил сетевого специалиста, который решил мою проблему. Вот мое неф техническое объяснение того, что он сделал: он настроил VLAN на моем SonicWall с ограничениями, чтобы новый гостевой беспроводной подсеть не мог получить доступ к моей LAN-подсети. SonicWall раздает IP-адреса из диапазона гостевой беспроводной сети (который отличается от моего LAN-диапазона). Трафик VLAN успешно проходит (в моем случае) через два неуправляемых (простых) коммутатора между моей точкой доступа UniFi и SonicWall. Конечно, UniFi настроен использовать VLAN, заданный в SonicWall. Управляемый коммутатор не нужен. Кроме того, я могу настраивать фильтры просмотра в SonicWall, чтобы контролировать нежелательный контент в гостевой сети. В итоге я достиг своей цели — у меня есть гостевая беспроводная точка доступа в моем офисе, где клиенты могут серфить в интернете, но не имеют доступа к моей LAN.

Читают тему (гостей: 1)