Hallo zusammen Ich bin neu hier auf der Swisscom Community und beschäftige mich nun seit kurzem mit meinem (Gast-) Netzwerk. Also wenn ich nicht alles korrekt mache, sorry im Voraus 🤪 Mein Ziel ist das Einrichten einer sicheren Gast-WLAN Verbindung über zwei AP mit der Gewissheit, dass mein privates Netzwerk davon nicht betroffen ist. Meine Geräte: - Swisscom IB Standard - Netgear GS110TP Pro-Safe Switch (managed), gefunden im Keller, Jg ~ 2012 - Cisco SG110D-08HD (nicht managed) - Unifi AP-AC-HD - Unifi UAP-FlexHD - Synology NAS DS281+ - Diverse Geräte (TV, AC-Receiver, VoIP, Asus Notebook…) Ist Zustand: An IB (Port 1) -> Netgear (Port 1) -> AP (Port 2), UAP (Port 3), Cisco (Port 5), TV-Box (Port 6), TV-Box (Port 7); IB steht an ungünstigen Platz deshalb auch zwei AP. NAS und PC sind direkt am Router angeschlossen -> Bild Soll Zustand: Auf dem AP und UAP möchte ich je zwei WLAN (Gast und Privat) anbieten Jetzt zu meinen Fragen 🤪 Was ist die bessere/einfachere/sicherere Lösung. Gast-WLAN über a) Unifi Controller Software mit Einschränkungen… oder b) ein VLAN auf den Port (untagged)? Zu a) Nur Einstellungen in Controller Software? Anderes Netzwerk z.B. 192.168.20.1/24 vergeben? Zu b) VLAN auf Netgear portbasierend einstellen? Was in Controller Software definieren? Meine Versuche haben bis jetzt nix gebracht und irgendwie stehe ich auf der Leitung. Habe auch in Internet gelesen, dass dies mit VLAN ID 1977 und 10.128.0.1/16 möglich wäre. Bei einem Versuch mit VLAN habe ich auf dem AP eine eigenartige IP (169.254.253.xxx, 255.255.0.0) angezeigt bekommen. Verbindung nicht geklappt. Wo mache ich den Fehler oder habe ich die falschen Geräte? Braucht ihr mehr Angaben? Ferner sollen die AP’s mit PoE versorgt werden. Der eine (UAP) wird mit 802.3af unterstützt, beim anderen (AP) habe ich mit probieren 802.3af 4Point and Legacy (was auch immer das bedeutet) auf dem Netgear eingestellt und er bekommt Strom. Schon mal herzlichen Dank fürs Lesen 😀

@Mumioso19 Brauchst Du dieses Gast WLAN nur im privaten Bereich , wenn ja ist das Gast-WLAN bei der Internet-Box schon vom privaten Bereich getrennt. N.b. Du hast schon noch eine “uralt” Internet-Box. https://www.swisscom.ch/de/privatkunden/hilfe/geraet/internet-router.html

@Mumioso19 schrieb: […] Jetzt zu meinen Fragen 🤪 Was ist die bessere/einfachere/sicherere Lösung. Gast-WLAN über a) Unifi Controller Software mit Einschränkungen… oder b) ein VLAN auf den Port (untagged)? Das sind eigentlich 3 Fragen 🙂 Welche Variante “besser” ist, hängt sehr von der Betrachtungsweise ab und lässt sich so pauschal nicht sagen, “sicherer” ist IMO keine der beiden Varianten bzw. beide Wege sind gleich sicher wenn mans richtig macht. “einfacher” dürfte die Variante mit VLAN 1977 sein. Zu a) Nur Einstellungen in Controller Software? Anderes Netzwerk z.B. 192.168.20.1/24 vergeben? Zu b) VLAN auf Netgear portbasierend einstellen? Was in Controller Software definieren? Für die Gästenetzwerkfunktion der Internetbox musst du erstens in der Ubiquiti-Controllersoftware unter Settings->Network ein “VLAN only” Netzwerk erstellen mit VLAN ID 1977 und dieses unter “Wireless Networks” der entsprechenden SSID zuordnen. So musst du in der Controllersoftware auch keinen IP-Range angeben. Zweitens musst du auf dem Netgear den Port zur Internetbox sowie die Ports, an denen ein Accesspoint angeschlossen ist, so konfigurieren dass das Default VLAN (1) untagged und das Gäste-VLAN (1977) tagged geswitcht wird. […] Ferner sollen die AP’s mit PoE versorgt werden. Der eine (UAP) wird mit 802.3af unterstützt, beim anderen (AP) habe ich mit probieren 802.3af 4Point and Legacy (was auch immer das bedeutet) auf dem Netgear eingestellt und er bekommt Strom. Gut zu wissen, danke für die Info.

Hoi WalterB! Das Gast-WLAN ist für Gäste und eine Einliegerwohnung gedacht, welche seit kurzem von einer Familie bewohnt wird. Aber nicht kommerziell 😜 Ja die IB ist in die Jahre gekommen und stelle dann gerne um, wenn bei mir auch die Glasfasertechnik zur Verfügung steht. Würde dies mit einem neuen Teil besser funktionieren?

Hoi PowerMac Danke für den Lösungsvorschlag, werde es gleich mal ausprobieren.

@Mumioso19 Die meiner Meinung nach einfachste und günstigste Lösung ist eine IB3 + eine WB2 als AP und die Verwendung des Gast-WLAN. Leider haben weder IB noch WB PoE.

Gäste WLAN mit VLAN?

WalterB

hed

@Mumioso19

Das funktioniert hervorragend mit dem Gast-WLAN bei der Internet-Box, da wir hin und wieder Besuch haben geben wir den Code den Gästen und Sie können dann unabhängig von unserem Privaten WLAN das Internet verwenden, das Gast-WLAN hat eine separate IP-Adresse, ist also getrennt von unserer Netzwerk IP-Adresse.

Mumioso19

Hoi WalterB

Ja würde ich am liebsten auch so machen. Da aber der Rauter in einem Schrank ist, kommt das WLAN Signal nirgends hin. Das war auch der Grund, weshalb ich mir zwei AP’s zugelegt habe. Der eine ist draussen, der andere in einer Einliegerwohnung.

Hmmm… muss ich für diese ganze Übung das Gast-WLAN der IB aktivieren?

WalterB

@Mumioso19

Du kannst eine WLAN-Box über LAN als Accesspoint verbinden und somit hast Du das Gast-WLAN ausserhalb vom Standort der Internet-Box.

https://www.swisscom.ch/de/privatkunden/hilfe/geraet/heimvernetzung/wlan-box.html

hed

@Mumioso19

Wenn die IB in einem Schrank steht könntest du zwar das WLAN der IB ausschalten und die AP im unsynchronisierten Mode betreiben, in dieser Konstellation funktioniert das Gast-WLAN dann allerdings nicht, sondern nur im synchronisirten Modus. Das lässt sich im WEB-GUI der IB entsprechend konfigurieren.

Wenn der Kasten nicht aus Metall ist, so sollte das WLAN dennoch gut funktionieren. Mein AP (WB2) steht z.B. in einem Holzkasten und ich decke damit ein ganzes EFH ohne weitere Sender über 4 Stockwerke ab (das WLAN der IB3 im Keller ist aus).

Bei WLAN ist es allerdings schwierig, verbindliche Tipps aus der Ferne zu geben. Am besten du besorgst dir eine IB3 und eine WB2 und testest das ganze mal aus. Dann hast du die aktuelle Hardware und wirst erstaunt sein, was damit bezüglich WLAN-Abdeckung alles möglich ist. Die Unterschiede zur IB-Standard sind gewaltig. Soviel ich weiss hast du ein Rückgaberecht wenn deine Erwartungen nicht erfüllt werden.

WalterB

hed

@Mumioso19

Du kannst auch diese Funktion unten beim Bild verwenden.

PowerMac

@Mumioso19 schrieb:

[…] Hmmm… muss ich für diese ganze Übung das Gast-WLAN der IB aktivieren?

Wenn du es mit den bereits bei dir vorhandenen Geräten machst: nein.

Wenn du noch nichts angeschafft hättest, wären eine oder zwei WLAN-Boxen die einfachere Lösung gewesen, aber auch mit den Ubiquiti-APs ist es nicht wirklich schwer einzurichten. Zumal du ja durchaus über ein gewisses Basiswissen zu verfügen scheinst. Meines Erachtens gibts in deiner Situation keinen Grund, dich bei Swisscom mit zusätzlicher neuer (und proprietärer) Hardware einzudecken.

Mumioso19

PowerMac

Hoi PowerMac

Also habe die Einstellungen im Unifi Controller vorgenommen. Jetzt geht es an den Switch. Bin hier ein vollkommener Neuling und wurstle erst seit einer Woche darauf rum 🤪🫣. Das unangenehme ist auch, dass die Web-Oberfläche nur auf Englisch ist, hilft auch nicht gerade 😂.

Hier meine Einstellungen:

-> mit diesen Einstellungen auf dem Controller und im Switch funktioniert es nicht. Bei der SSID Auswahl dreht es im Leeren und dann sehe ich eine eigenartige IP 169.254.255.xx. Hmm…

🤔

Mumioso19

Hoi PowerMac

Danke für die Antwort, aber bevor ich was neues in den Warenkorb lege, möchte ich es mit vorhandenen Geräten versuchen. Ausser jemand sagt mir, dass mit der vorhandenen Infrastruktur dies nicht geht.

hed

@Mumioso19 schrieb:

Hoi PowerMac

… Bin hier ein vollkommener Neuling und wurstle erst seit einer Woche darauf rum…

@Mumioso19

Genau aus solchen Gründen haben @WalterB und ich die “idiotensichere” Lösung mit IB3 + WB2 vorgeschlagen.

Klar kann man mit deinem Equipement sehr viel mehr machen und es ist nicht proprietär. Aber dann sollte man Begriffe wie PVID, Tagged-VLAN, Untagged-VLAN, uvm. sehr gut kennen und genau wissen, was dahinter steckt und wie die Zusammaenhänge sind.

Natürlich bekommt man es auch ohne Know-How via Try-and-Error und mit Hilfe von Foren irgendwie iregndwann zum laufen. Ob das dann befriedigend ist wenn man nicht genau weiss was man tut, ist eine andere Frage. Und spätestens wenn es irgendwann mal eine Störung gibt und es nicht mehr funktioniert, ist das Trouble-Shooting in einer so komplexen Umgebung ohne entsprechendes Know-How sehr schwierig und langwierig.

Hinzu kommt der Faktor Sicherheit. Wenn man nicht genau weiss was man tut und der Gast mehr Know-How hat als der Admin, dann besteht die Gefahr, dass der Gast das ganze sehr schnell aushebelt.

WalterB

@Mumioso19

Wenn sie keinen DHCP-Server erreichen können oder von diesem keine Adresse zugeordnet bekommen dann wird eine falsche IP-Adresse angegeben, wie z.b. diese IP 169.254.255.xx.

Also vermutlich ein Einstellfehler. Da kann Dir vermutlich @Werner helfen.

PowerMac

@Mumioso19 schrieb:

Hoi PowerMac

-> mit diesen Einstellungen auf dem Controller und im Switch funktioniert es nicht. Bei der SSID Auswahl dreht es im Leeren und dann sehe ich eine eigenartige IP 169.254.255.xx. Hmm…

🤔

Kannst du noch sagen, ob der Gästewohnung neben einem eigenen WLAN auch einer oder mehrere LAN-Anschlüsse zur Verfügung gestellt werden sollen?

Wenn nicht, musst du die PVID bei allen Ports auf 1 belassen.

Ebenso sollte VLAN 1 auf allen Ports untagged geswitcht werden (so wie auf dem Screenshot, dh. da nichts mehr ändern).

Das VLAN 1977 muss auf dem Uplink zur Internetbox sowie auf den Ports an denen ein Ubiquiti-Accesspoint hängt tagged geswitcht werden. Gemäss deinem letzten Screenshot hast du dieses VLAN erst auf einem Port (g2) tagged konfiguriert. Dieses VLAN müsste aber auf drei Ports, dh. dem Uplink zur Internetbox und den Links zu den beiden APs, tagged aufgeschaltet sein.

Mumioso19

PowerMac

Hallo PowerMac

ich bin es nochmals. Ich habe dein Vorschlag (s.u.) umgesetzt und folgendes erhalten:

Ich habe zu Testzweck ein SSID “Test1977” gemacht und dies nur auf einem AP (g2) eingerichtet. Es soll ja nicht gleich alles zusammenbrechen 😂! Es scheint zu funktionieren (komme ins Internet mit einer IP 10.128.0.18) jedoch ohne die Gaststeuerung des Unifi-Controllers. Jetzt läuft aber meine zweite SSID “Privat” nicht mehr und der AP wurde getrennt. “Privat” ist im Controller auf Netzwerk LAN eingestellt, da ich mit dieser SSID auch in mein Netz kann.

-> zwei neue allgemeine Fragen, sorry 😬

1) wie kann ich auf ein Abschnitt in diesem Forum antworten ohne ihn zu kopieren (wie ich oben bei dir)

2) wieder zu diesem Thema. Wenn ich in der Unifi Controller Software ein Gast-WLAN erstelle und die Einschränkungen (gem. Bild) mache, sollte dies reichen statt die ganze Übung mit dem VLAN? Ist die Sicherheit gewährleistet?

Besten Dank für deine Bemühungen!!

Tux0ne

Hier hast du ein “Prinzip” wie es bei Netgear so läuft. Mit 2 ISP im Beispiel aber man kann ja etwas antizipieren.

https://community.swisscom.ch/t5/Archiv-Internet/2-ISP-Fiber-Leitungen-Swisscom-TV-benutzen/td-p/541259

Falls das scheitert, kann man ja immer noch die Unifi eigene Lösung nehmen mit dem Gastportal. Das funktioniert sehr schnell. https://www.andysblog.de/ubiquiti-unifi-network-controller-mach-mal-schnell-gast-wlan

hed

@WalterB schrieb:

@Mumioso19

Wenn sie keinen DHCP-Server erreichen können oder von diesem keine Adresse zugeordnet bekommen dann wird eine falsche IP-Adresse angegeben, wie z.b. diese IP 169.254.255.xx.

Also vermutlich ein Einstellfehler. Da kann Dir vermutlich @Werner helfen.

@WalterB

Das ist keine falsche IP-Adresse sondern eine definierte APIPA-Adresse (Automatic Private IP Addressing) aus dem Link-Local Range 169.254.0.0/16 gemäss RFC 3330.

RFC 3330 - Special-Use IPv4 Addresses (ietf.org)

Mumioso19

Kannst du noch sagen, ob der Gästewohnung neben einem eigenen WLAN auch einer oder mehrere LAN-Anschlüsse zur Verfügung gestellt werden sollen?

-> in der Gästewohnung hat es eine 2er LAN Steckdose (eine für TV-Box, andere für UAP). Auf dem UAP sollen die beiden SSID Guest & Privat genützt werden können. Wobei die Gäste nur das Passwort für Guest erhalten.

-> Also probiere ich mal dein zweiter Vorschlag!

Mumioso19

Hoi Hed

ja da pflichte ich dir bei mit deiner Meinung. Ja es wäre vielleicht besser gewesen gleich von Beginn an mich besser damit auseinander zu setzen. Jetzt haben sich aber die Umstände ziemlich schnell geändert, da bei uns jetzt eine Flüchtlingsfamilie wohnt. Ich nehme nicht an, dass sie gleich alles hacken, aber es soll für alle sicher sein 😜

hed

@Mumioso19

Danke, alles klar. Wenn es dann mit Hilfe der Kollegen hier im Forum mal läuft wäre es dennoch nicht schlecht, wenn du dich mit der Thematik etwas vertiefter befassen würdest, denn früher oder später steht eine Erweiterung, eine Anpassung der Konfiguration oder eine Störung an. Dann ist es hilfreich, wenn man die im eigenen Netzwerk eingesetzten Devices und deren Konfiguration etwas genauer kennt.

PowerMac

Mumioso19 schrieb:
[…] Ich habe zu Testzweck ein SSID “Test1977” gemacht und dies nur auf einem AP (g2) eingerichtet. Es soll ja nicht gleich alles zusammenbrechen 😂! Es scheint zu funktionieren (komme ins Internet mit einer IP 10.128.0.18) jedoch ohne die Gaststeuerung des Unifi-Controllers. Jetzt läuft aber meine zweite SSID “Privat” nicht mehr und der AP wurde getrennt. “Privat” ist im Controller auf Netzwerk LAN eingestellt, da ich mit dieser SSID auch in mein Netz kann.

Hast du die PVID auf Port g2 vielleicht noch auf 1977 gesetzt wie auf deinem Screenshot? Wenn ja, setze sie auf den Defaultwert von 1 zurück.

-> zwei neue allgemeine Fragen, sorry 😬

1) wie kann ich auf ein Abschnitt in diesem Forum antworten ohne ihn zu kopieren (wie ich oben bei dir)

Das geht mit der Funktion “Beitrag zitieren”:

Screenshot 2022-04-25 214104.png

2) wieder zu diesem Thema. Wenn ich in der Unifi Controller Software ein Gast-WLAN erstelle und die Einschränkungen (gem. Bild) mache, sollte dies reichen statt die ganze Übung mit dem VLAN? Ist die Sicherheit gewährleistet?

Diese Funktion nutze ich nie, ich kann daher nichts zu Sicherheit oder Unsicherheit sagen. Zudem vermute ich, dass diese ein Gateway von Unifi erfordert. Ich würde den Ansatz mit den VLANs bevorzugen.

Wegen der Sicherheit ist das halt so eine Sache. Grundsätzlich könnten deine Gäste ja z.B. die TV-Box oder den Accesspoint ausstecken und stattdessen den LAN-Port ihres Laptops anhängen, dann wären sie genauso in deinem privaten Netz als wenn sie sich mit der privaten SSID verbunden hätten. Da die TV-Box nur im privaten Netz funktioniert, müsste man da wieder andere Schutzmechanismen implementieren, was dann sehr rasch so komplex wird dass es im vorliegenden Kontext kaum mehr Sinn ergibt. Von daher würde ich primär darauf achten dass Router, Unifi-Controller und allfällige weitere Netzwerkgeräte in deinem privaten Netz mit seriösen Passwörtern geschützt sind und auch sonst auf einem sicheren Stand sind. Wenn du nicht ein professionelles Hochsicherheitsnetz bauen (lassen) willst, wirst du um eine gesunde Portion Vertrauen in die Ehrlichkeit der von dir aufgenommenen Gäste nicht herumkommen.

Mumioso19

Hallo PowerMac

So wie es aussieht funktioniert es! Besten Dank für deine Unterstützung!!!

was jetzt noch nicht passt ist die Gaststeuerung (mit Anmeldebild…), aber ich glaube dies selber - mit probieren 😜 - hinzukriegen.

DANKE

Nächste Seite »