Newsgroup: it.comp.reti.locali
Titolo: Aggiungere una rete wifi ma isolarla dalla LAN (no VLAN)

Salve, innanzi tutto vi allego uno schema dell'attuale struttura della
rete:
http://yfrog.com/0nretemj
tutti i dispositivi hanno ip 
192.168.1.0/24
, c'� un unico server che
fa da DHCP/DNS/DC etc (Win 2003 server), ci sono 3 swtich fibra/rame,
uno per ogni "ufficio", gli switch sono collegati tra loro tramite
fibra, ad ogni switch sono connessi circa 10 pc con connessoni
gigabit.
A questa struttura si dovranno aggiungere 2 AP, uno nell'ufficio A ed
uno nell'ufficio B, a questi AP si collegheranno portatili che NON
fanno parte del dominio aziendale e che dovranno unicamente avere la
possibilit� di connettersi ad internet, non dovranno in alcun modo
poter accedere alla LAN ed alle sue risorse.
Il traffico internet di questi portatili verr� gestito dall'appliance
UTM, quest'ultimo pu� gestire altre due interfacce di rete.
Avevo gi� postato qui il problema, mi era stato suggerito di
segmentare la rete tramite VLAN, cosa che in effetti mi era venuta in
mente, salvo poi scoprire che l'appliance UTM NON gestisce le VLAN di
default, infatti si deve acquistare una licenza a parte, cosa che �
fuori discussione.
Come posso fare ?
-- 
=================================
PSN: DZAUKER
LIVE: D0N ZAUKER
WII: 4682 3687 9632 7866
=================================

 fuori discussione.
non gestir� le VLAN ma hai altre due interfacce da sfruttare. dovresti
farcela ugualmente.
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
L'indirizzo em@il non � da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.

farcela ugualmente.
Sfruttando l'infrastruttura hardware attuale ? Senza dover aggiungere
altro ?


farcela ugualmente.
Scusa se ritorno sull'argomento ma ci sono dei concetti che mi
sfuggono.
Metti che imposto sul fw UTM un'interfaccia 
10.0.0.0/24
 ed il suo DHCP
server  per rilasciare ip in quel range, tenendo conto che sulla
stessa infrastruttura � presente un altro DHCP server che rilascia
192.168.1.0/24
, come � possibile che un portatile che si connette ad
uno dei due  AP prenda un ip 
10.0.0.0/24
 ?
E' questa la cosa che non  mi � chiara.


 E' questa la cosa che non  mi � chiara.
Ma gli switch supportano le vlan?

Ma gli switch supportano le vlan?
No, non sono proprio recentissimi... come minimo hanno pi� di 6 anni
di vita.


 di vita.
Puoi acquistare due router da 4 soldi? In questo caso li metti fra i due
AP e i rispettivi switch.

AP e i rispettivi switch.
Prima voglio controllare se ci sono aggiornamenti firmware per gli
switch, magari hanno aggiunto qualcosa...


Ma gli switch supportano le vlan?
Sono riuscito ad aggiornare uno switch, in effetti con l'aggiornamento
del firmware adesso supporta anche le VLAN (non avevo mai messo mano
agli switch, dato che avevano sempre funzionato bene), si � aggiunto
questo pannello:
http://yfrog.com/e8vlanj
Io ho aggiunto la VLAN chiamata wireless, durante il procedimento ho
selezionato anche una porta dello switch dedicata alla VLAN, porta che
sar� occupata dall'AP.
Spero di aver capito bene.
Adesso (sto facendo supposizioni da perfetto ignorante) dovrei
impostare i medesimi parametri sullo switch connesso al firewall,
riservando una porta alla VLAN wireless e connettendo a questa una
delle due interfacce libere del firewall (opportunamente configurate
su ip 
10.0.0.0/24
).
Stessa cosa per lo swtich rimanente.
In questo modo si creer� una rete totalmente separata da quella
attuale ?


 uno dei due  AP prenda un ip 
10.0.0.0/24
 ?
se tutti i client sono collegati sullo stesso switch senza vlan in
mezzo non ce la fai.


 attuale ?
la VLAN � identica per per entrambi gli switch, non devi collegarli
entrambi al firewall (solo per chiarire).
Comunque la risposta � si, se � tutto fatto per bene avrai due reti
completamente separate.


completamente separate.
Dunque, ti riporto tutti i passaggi che ho fatto, ricordando che la
rete � cos� fatta 
http://img23.yfrog.com/img23/1940/retem.jpg
FIREWALL
Ho impostato l'interfaccia ETH2 in questo modo
http://yfrog.com/0xfirewallkj
non ci dovrebbero essere problemi
SWITCH FIBRA 1
Ho creato una VLAN chiamata WiFi con VID 23
http://img30.imageshack.us/i/switch1.jpg/
selezionando la porta n.2, a quella porta ho connesso il firewall su
ETH2
http://img26.imageshack.us/i/switch2.jpg/
SWITCH FIBRA 3
Ho creato una VLAN chiamata WiFi con VID 23
http://img441.imageshack.us/i/switch21.jpg/
selezionando la porta n.1, a quella porta ho connesso l'access point
http://img7.imageshack.us/i/switch22.jpg/
ACCESS POINT
Ho settato una rete wifi
http://img259.imageshack.us/i/wifi1.jpg/
http://img504.imageshack.us/i/wifi12.jpg/
Non ho toccato l'interfaccia ethernet dell'AP, impostata su DHCP
(prende un ip 192.168.1.x/24), n� ho impostato la VLAN per l'AP
http://yfrog.com/0qwifi13j
  (qui ho provato a impostare il solito VID
ma ovviamente dopo perdo connessione con l'AP).
Settato tutto in questo modo, i client vedono la rete wifi, richiedono
la password di protezione ma poi non si connettono.
Dove sto sbagliando ?


 Dove sto sbagliando ?
il problema secondo me � che ti manca il collegamento vlan tra gli
switch.
Oltre a impostare la porta dove colleghi l'ap devi impostare anche una
porta dove passano tutte le vlan (la porta fibra nel tuo caso) verso
l'altro switch. Altrimenti nel tuo caso hai una vlan per ogni switch
con una sola porta, il che serve veramente a poco.
Per come impostare la porta nel modo corretto dai un occhio al
manuale, c'� scritto di sicuro.


manuale, c'� scritto di sicuro.
Tra le varie voci di impostazione della VLAN sugli switch si parla di 
 Uplink VLAN Port (This will apply to both Multiple VLAN Modes.) 
Uplink Port
When initially switching from disabled to enabled or between any of
the multiple modes, the Uplink Port for the specific multiple mode can
be defined. This can be a number from 1 to MAX_PORTS. Please take
extra care to prevent lock-out from the unit, once locked out
CONSOLE/CLI are the only ways to re-enable access. Use the input text
box to set this value.
Il problema � la frase:
Please take extra care to prevent lock-out from the unit, once locked
out CONSOLE/CLI are the only ways to re-enable access
Se impallo lo switch sono nella melma :-o
Tra l'altro ogni switch ha due porte in fibra ma chi ha montato il
tutto ha visto bene di non segnare la direzione di quella porta... non
vorrei cannare e abilitare la porta sbagliata.


 vorrei cannare e abilitare la porta sbagliata.
non ho capito cosa vuoi dire.


 vorrei cannare e abilitare la porta sbagliata.
Si ma devi forzatamente abilitarlo altrimenti, come ti hanno gi� detto,
le vlan non passano dagli uplink.

le vlan non passano dagli uplink.
Mi sa che aspetto l'anno nuovo e faccio cambiare tutto il pacchetto
switch, in previsione dell'upgrade al gigabit.


 switch, in previsione dell'upgrade al gigabit.
per curiosit� gli attuali sono degli SMC? Dall'interfaccia
sembrerebbe... 
Se vuoi rimanere (o passarare) con SMC, li rivendo... :-)


 Se vuoi rimanere (o passarare) con SMC, li rivendo... :-)
A me sembrano Allied Telesis

 A me sembrano Allied Telesis
� vero hai ragione, mi sono confuso... 
