Verständnissproblem - Managementnetzwerk VLANID 99

Moin,


Ist der AP selbst den so konfiguriert, dass er VLAN-Tagged-Pakets für das Management entgegennimmt?

Normalerweise macht man es ja am Switch-Port, an dem ein AP hängt, so:

• Untagged VLAN 99 (bei dir)
• Tagged 45

Und natürlich braucht er dann ne IP aus dem Subnet des 99er VLANs, oder man macht es so, wie bei uns: alle APs bekommen ne IP per DHCP. Das liegt aber daran, dass die nur der verlängerte Arm unseres WLAN-Controllers sind…

Moin.


+1

So ist meiner Meinung nach auf jeden Fall die optimale Handhabung.

Machen wir analog.

Gruß
Marc

Absolut korrekt. 👍
Muss auch so sein, denn ansonsten würde Unleashed die Partner APs nicht finden bzw. das ganze Unleashed Management wäre im VLAN 1 anstatt im Management (99) was ja definitiv nicht gewollt ist.

Das gilt im übrigen auch für die Firewall bzw. den Switchport 1 an dem sie angeschlossen ist.
Auch hier kann man dem Firewall Parent Interface eine IP aus dem 99er Management VLAN geben und dem Switchport dann das default VLAN (untagged) am Port auf 99 setzen.
Hat den Vorteil das man ein freies Segment (DMZ, Notfall Port etc.) an der Firewall gewinnt und das Management gleich mit über den Trunk bedient. Da das Management Traffic Volumen quasi Null ist und nicht in Gewicht fällt ist das ebenso best Practise.

Hier ist übrigens noch ein fataler Fehler im Firewall Netzwerk Setup.
Was NICHT geht ist das WLAN (25) doppelt an 2 Firewall Interfaces zu binden (Port 2 und VLAN via Port3). Damit hätte man 2mal das gleiche IP Netz an unterschiedlichen Interfaces. Sowas supportet kein Router oder Firewall auf der Welt. Zumindestens nicht ohne ein Bridging! Nebenbei ist es auch unsinnig.
Siehe dazu auch das VLAN Tutorial was entsprechende Konfigs für OPNsense und ICX Switch zeigt.

Moin,

Jain,
Hätte dass VLAN 22 weggelassen und direkt VLAN 99 untagged. Das wäre ja dann für das Management.
I.D.R. Setzt man alle VLANs, die für eine SSID vorgesehen sind, tagged und das eine, mit denen die APs administriert werden auf untagged.

So wie du es hast, wäre es aber auch nicht falsch, nur etwas überdimensioniert, da du ja jetzt ein eigenes VLAN (nebst Subnet) für 3 APs hast.

Richtig!
Wäre in jedem Falle die bessere und auch deutlich sinnvollere Variante gewesen als ein weiteres überflüssigeres Management Netz zu kreieren wo man mit 99 schon eins hat. War ja oben auch entsprechen auch so vorgeschlagen...
Aber warum einfach machen wenn es umständlich auch geht!

How can I mark a post as solved?

Ja, das ist richtig. Wenn man zentrale gemanagte APs verwendet, wobei das jetzt egal ist ob über einen zentralen Controller oder ein Meshing Verfahren bei dem einer der APs die Controller Funktion übernimmt, benötigt man ja immer ein Management Netz wo die APs untereinander bzw. mit dem Controller Management Daten austauschen.
Dieses Management Netz legt man dann immer in das so oder so abgetrennte Infrastruktur Management Netz. Alternativ kann man dafür bei entsprechender Größe auch nochmal ein völlig separates WLAN Management Netz verwenden.
Bei großen AP Anzahlen vergibt man die AP IP Adressen hier natürlich dynamisch per DHCP, denn niemand will 20 oder 200 APs managementtechnisch mit statischen IP Adressen versorgen.

Wenn du nur 2 standalone konfigurierte APs ohne zentrales Management hast packt man diese dann aber auch immer in so ein separates Infrastruktur Management Netz mit ihren IP Adressen um das Management nicht versehentlich in ein WLAN zu exponieren.
Auf dieses Management Netz mappt man deshalb aus guten Gründen niemals eine WLAN SSID sondern belässt dies rein fürs Management.

Natürlich gibt es auch Billigst APs die kein MSSID supporten. Da bist du dann hardwarebedingt chancenlos und kannst das sicherheitstechnisch dann nicht trennen. In dem Fall muss man dann norgedrungen das WLAN immer mit der AP IP in ein gemeinsames Netzwerksegment legen. Wem die WLAN Sicherheit etwas bedeutet meidet natürlich solche AP Hardware.

Bei Ruckus Unleashed gibt es einen großen Pluspunkt im Management nämlich das man die IP des Controler APs immer statisch definieren kann. Alle APs können sich dann wie oben beschrieben dynamisch eine willkürliche DHCP IP ziehen im Mgmt Netz aber der Controller AP antwortet immer mit der festen, im Setup definierten IP, egal welche Einzel IP Adressen die APs haben.
Das ist sehr vorteilhaft weil man so eine feste statische IP für den Controllerzugang hat die man z.B. in einem DNS usw. hinterlegen oder auch direkt nutzen kann. Man sollte die also immer setzen wenn man dynamische DHCP Adressen für die APs verwendet.

In diesem Thread findest du noch weiterführende Infos zu der Thematik und andere wichtige Setup Tips für ein UNleashed Setup
Ruckus Unleashed Setup Tips