leo007
Goto Top

DHCP bleedover bei Cisco WRVS4400N Router. Ersatz benötigt!

Hallo,

ich habe ein Problem und baue dabei auf eure Erfahrung.
Die Grundidee war ein Gast- und ein Firmen- Wlan anzulegen und diese zusätzlich in Vlans zu separieren. Als Wlan- Router stand ein Cisco WRVS4400N zur Verfügung (übrigens tolle Reichweite das Ding!).

Also 2 SSIDs erstellt, Vlans angelegt und Ports am Wlan- Router konfiguriert. Das Firmen- Wlan sollte seine IPs per DHCP- relay über einen L3 Switch vom Windows DC bekommen. Das Gast- Wlan sollte keine Verbindung zum DHCP auf dem DC bekommen und sollte daher entweder selber DHCP auf dem WRVS4400N machen, oder seine IP von einer Watchguard- Firewall beziehen, die als Internetgateway dient.

So hätte ich das Gast Netz völlig isoliert. Die Einstellungen dafür waren jedenfalls auf dem Router vorhanden und laut Handbuch sprach auch nichts dagegen.
Es funktionierte nur nicht. Egal was für DHCP Einstellungen ich für die SSID vom Gast- Wlan vornahm, die Clients erhielten immer eine IP aus dem Firmennetz. Nach langem Rumprobieren bin ich auf folgendes gestoßen:

Link Cisco Forum

Stichwort „DHCP bleedover. Ich brauche also Ersatz.

Nun zu meiner eigentlichen Frage:
Hat jemand Erfahrungen mit den Nachfolgemodellen in dieser Preisklasse in Bezug auf DHCP bleedover: Z.B. Cisco RV130W / RV215W / RV110W oder zur Not auch HP PS110 / R100? Haben die das Problem beseitigt? Kann jemand sonst ein Gerät mit ähnlich guter Reichweite empfehlen bei dem es sicher klappt?

Vielen Dank im Voraus!

Gruß
Leo

Content-Key: 289289

Url: https://administrator.de/contentid/289289

Printed on: April 26, 2024 at 10:04 o'clock

Member: wiesi200
wiesi200 Nov 25, 2015 updated at 06:22:28 (UTC)
Goto Top
Hallo,

sei mir nicht böse aber warum willst du in einer Firma ausgerechnet einen "Home" Router verwenden? Macht doch wenig Sinn.

Kauf einen Vernünftigen Firmen Access Point.

von denen hört man in letzter Zeit viel gutes
https://www.ubnt.com/
Member: Leo007
Leo007 Nov 26, 2015, updated at Nov 27, 2015 at 01:18:37 (UTC)
Goto Top
Hallo Wiesi und danke für deine Antwort.
Ob die aufgeführten Geräte jetzt als Home, SOHO oder Small Office (so werden sie bei Cisco gelistet) bezeichnet werden ist ja erstmal egal. Der Funktionsumfang ist das entscheidende.

In diesem Fall muss der Router nichts anderes können als 2 SSIDs (Wireless-n) und VLANs (L2 802.1q) zur Verfügung zu stellen, Fast Ethernet und eine vernünftige Reichweite haben. Es werden auch nie mehr als 10 Geräte über WLAN angebunden sein. Dafür sollten die Small Office Router meiner Meinung nach ausreichen – wenn sie denn tun was sie sollen face-wink

Und nicht zuletzt bin ich natürlich auch immer verpflichtet, die im Hinblick auf Preis- Leistung beste Lösung zu finden. Wenn also ein Small Office Router die Anforderungen erfüllt, kann ich keine teure Enterprise Lösung a la Aruba und Co wählen.

Die Ubiquiti Lösungen sind mit Sicherheit gut und auch nicht zu teuer, allerdings bin ich mir nicht sicher ob die Geräte die Anforderungen erfüllen. Ich möchte die Netze ja bereits am Router physisch trennen. Das Firmen- WLAN soll über einen Ethernet Port in das Firmennetz gehen (L3 Switch), das Gast- WLAN soll über einen zweiten Ethernet Port direkt auf das Internetgateway (Watchguard Firewall) gelinkt werden. Es kämen also nur die Pro Accesspoints von Ubiquiti in Frage, da nur diese 2 Ethernet Ports haben. Aus dem Datasheet und Controller Software Handbuch kann ich nicht herauslesen ob einem Ethernet Port ein spezielles VLAN und damit WLAN (SSID) zugeordnet werden kann. Es sieht aber so aus als diene der 2. Ethernet Port lediglich als Uplink für einen weiteren Accesspoint.

Kannst du das bestätigen? Gibt es sonst noch Vorschläge oder Erfahrungen mit den Cisco Nachfolgern in Bezug auf DHCP bleedover?

Gruß
Leo
Member: wiesi200
wiesi200 Nov 26, 2015 at 05:35:54 (UTC)
Goto Top
Zitat von @Leo007:

Hallo Wiesi und danke für deine Antwort.
Ob die aufgeführten Geräte jetzt als Home, SOHO oder Small Office (so werden sie bei Cisco gelistet) bezeichnet werden ist ja erstmal egal. Der Funktionsumfang ist das entscheidende.

Genau und zusätzlich auch die Qualität der Hardware.
Dein Cisco Router bietet ja anscheinend auch nicht den Funktionsumfang den du willst. Nein du kaufst sogar noch was ein das du eigentlich nicht brauchen würdest.

In diesem Fall muss der Router nichts anderes können als 2 SSIDs (Wireless-n) und VLANs (L2 801.1q) zur Verfügung zu stellen, Fast Ethernet und eine vernünftige Reichweite haben. Es werden auch nie mehr als 10 Geräte über WLAN angebunden sein. Dafür sollten die Small Office Router meiner Meinung nach ausreichen – wenn sie denn tun was sie sollen face-wink


Genau warum dann einen Router

Und nicht zuletzt bin ich natürlich auch immer verpflichtet, die im Hinblick auf Preis- Leistung beste Lösung zu finden. Wenn also ein Small Office Router die Anforderungen erfüllt, kann ich keine teure Enterprise Lösung a la Aruba und Co wählen.

Die Enterprise Lösung währ ja auch günstiger.

Die Ubiquiti Lösungen sind mit Sicherheit gut und auch nicht zu teuer, allerdings bin ich mir nicht sicher ob die Geräte die Anforderungen erfüllen. Ich möchte die Netze ja bereits am Router physisch trennen. Das Firmen- WLAN soll über einen Ethernet Port in das Firmennetz gehen (L3 Switch), das Gast- WLAN soll über einen zweiten Ethernet Port direkt auf das Internetgateway (Watchguard Firewall) gelinkt werden. Es kämen also nur die Pro Accesspoints von Ubiquiti in Frage, da nur diese 2 Ethernet Ports haben. Aus dem Datasheet und Controller Software Handbuch kann ich nicht herauslesen ob einem Ethernet Port ein spezielles VLAN und damit WLAN (SSID) zugeordnet werden kann. Es sieht aber so aus als diene der 2. Ethernet Port lediglich als Uplink für einen weiteren Accesspoint.

Und hier ist ein eigentliches Problem. Du verstehst den Sinn von VLAN nicht. Warum hast du einen L3 Switch der sicher mit VLAN's umgehen kann, willst zusätzlichen einen Router/Accesspoint der mit VLANS umgehen kann, wenn du dann über eine seperate Verkabelung arbeiten willst?.

Der Access Point braucht nur einen LAN Anschluss, und falls du Sicherheitsbedenken hast. Das ist ein alltägliches Konstrukt das in den Meisten Firmen so zu finden ist. Denn genau dafür gibt es VLAN's
Member: Leo007
Leo007 Nov 27, 2015 updated at 01:18:15 (UTC)
Goto Top
Dein Cisco Router bietet ja anscheinend auch nicht den Funktionsumfang den du willst.
Genau darum sollte es in diesem Beitrag eigentlich gehen. Der Funktionsumfang wird dem WRVS4400N vom Hersteller zugeschrieben. Der Router handelt aber nicht entsprechend seiner Konfiguration, es kommt zum DHCP bleedover. Ich wollte lediglich wissen ob jemand bestätigen kann, dass das Problem bei neueren Modellen behoben wurde.

Genau warum dann einen Router

Du weißt selber, dass die gängigen WLAN- Geräte von Cisco und Co alle Routingfunktionalität haben und es preislich auch keinen Unterschied macht. Deswegen Router. Aber ja, in diesem Fall wird kein Routing benötigt.

Du verstehst den Sinn von VLAN nicht.

...eine gewagte Behauptung.

Warum hast du einen L3 Switch der sicher mit VLAN's umgehen kann, willst zusätzlichen einen Router/Accesspoint der mit VLANS umgehen kann, wenn du dann über eine separate Verkabelung arbeiten willst?

Nun gut, ich muss wohl doch weiter ausholen... In dieser Firma machen die DCs DHCP. Eine separate DHCP- relay Einstellung für das Gast- VLAN am L3 Switch ist ohne weiteres nicht möglich. Ich habe keinen administrativen Zugriff auf den L3 Switch. Kompliziert. Die physische Trennung ist vom Kunden gewünscht und in dem Fall auch die einzige Möglichkeit. Durch die physische Trennung direkt am Wlan- Router / Accesspoint wird verhindert, dass das Gast- Netz in Kontakt mit dem DC kommt (DHCP) – auch ohne, dass ich Zugriff auf den L3 Switch benötige. 802.1q wird bei physischer Trennung der Netze am WLAN- Gerät für das Gast- WLAN nicht zwingend benötigt, jedoch für das Firmen WLAN. Den Port, den ich am L3 Switch für das Firmen- WLAN benutzen kann, ist als Trunk definiert. Die Ethernet frames müssen also tagged übertragen werden. Deswegen ein VLAN fähiger WLAN- Router/Accesspoint – was aber ja auch nicht das Problem ist, da nahezu alle WLAN- Router in der Preisklasse ab ca. 60€ 4 VLANs unterstützen.

Das ist ein alltägliches Konstrukt das in den Meisten Firmen so zu finden ist.

Das mag richtig sein, ist aber dennoch kein Grund es genauso zu machen. In diesem speziellen Fall wäre es ein Sicherheitsrisiko.


Ich danke dir für deine Hilfsbereitschaft, aber ich wollte hier eigentlich keine Grundsatzfragen diskutieren und den Beitrag nicht derart ausufern lassen. Die Funktionsweisen und Möglichkeiten von VLANS sind mir jedenfalls bekannt.

Gibt es sonst noch Vorschläge oder Erfahrungen mit den Cisco Nachfolgern in Bezug auf DHCP bleedover?
Member: aqui
aqui Nov 27, 2015 at 12:01:55 (UTC)
Goto Top
Die Grundidee war ein Gast- und ein Firmen- Wlan anzulegen und diese zusätzlich in Vlans zu separieren.
Ist ja generell genau der richtige Weg und technisch auch ein Kinderspiel wie dir die hiesigen Tutorials dazu es zeigen:
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern
Siehe "Praxisbeispiel". Und auch:
WLAN oder LAN Gastnetz einrichten mit einem Captive Portal (Hotspot Funktion)
Es funktionierte nur nicht.
Ooops...da hast du dann aber einen gravierenden Konfig Fehler begangen, denn in der regel ist das mit Cisco Komponenten ein Kinderspiel wie bereits gesagt.
Grundlagen für solch eine Konfig auch auf Cisco Komponeten auf dem AP zeigt dir ja das o.a. Praxisbeispiel im Tutorial.
Der Fehler liegt zu 99% an dir und einer fehlerhaften Konfig, denn das ist ein popeliges Standarddesign.

Leider fehlen Konfig Angaben und Screenshots zu deinem Setup so das eine zielgerichtet Hilfe ohne diese Infos schwer möglich ist.
Die o.a. Tutorials sollten dir aber helfen das problemlos umzusetzen.
Member: Leo007
Leo007 Nov 30, 2015 at 05:15:07 (UTC)
Goto Top
Hallo aqui und danke für deinen Beitrag.

Ist ja generell genau der richtige Weg und technisch auch ein Kinderspiel wie dir die hiesigen Tutorials dazu es zeigen:

Deine Tutorials kenne ich bereits. Übrigens auch Schulnetz.info etc.

Der Fehler liegt zu 99% an dir und einer fehlerhaften Konfig, denn das ist ein popeliges Standarddesign.

Mit dem Standarddesign stimme ich dir zu, wette aber auf das eine %

Leider fehlen Konfig Angaben und Screenshots zu deinem Setup so das eine zielgerichtet Hilfe ohne diese Infos schwer möglich ist.

...kommt sofort. Ich beschränke mich allerdings im Westlichen auf den WLAN router, da alles andere wunderbar funktioniert und lediglich die Tags der beiden WLANs im Nirvana verschwinden.

Default VLAN: 1 / Intern VLAN: 30 / Gast Vlan: 60
Watchguard FW ist Gateway und hört auf 10.0.100.1, 10.0.3.1, 10.0.6.1. Dort wird geroutet und DHCPs sind auch hinterlegt. Funktioniert alles super.
Port 1 vom WRVS4400n geht in einen switch (Switchport cfg: VLAN1: untagged, VLAN 30 tagged, VLAN 60 tagged). Gateway ist hinterlegt.

Nun zum WRVS4400n:

SSIDs:
498322ed6d3c797e5523fa44ea0bf45d

Advanced routing:
fe53b80954c401edc31f5d9f2006ab2f

LAN cfg Native/Default VLAN1:
0eabe8873976e4df79fc591f2db51e72

Exemplatisch LAN cfg VLAN60 - hier schon das erste Anzeichen: DHCP relay ist ausgegraut. Es ist aber auch völlig egal was man auf dieser Seite einträgt (DHCP an oder aus, IP Adresse), es hat keinerlei Auswirkungen. Einstellungen werden verworfen und es kommt zum DHCP bleedover. Heißt alle Tags werden verworfen und eine IP vom Default (VLAN1) DHCP vergeben...
43a3e677657e5309759764d24d862f1a

Zu guter Letzt noch das Port assignment (exemplarisch im Port mode "General", Trunk würde auch gehen):
523d478c87124741384bb07789646694

Und hier noch einmal die maßgeblichen Auszuge aus dem Cisco Forum dazu (Link aus meinem ersten Post):
The issue you reported is a know issue.
Engineering and development are aware of this issue...

Hier wird genau das Problem bestätigt:
PROBLEM DESCRIPTION:
If the WRVS4400N is configured with multiple VLANs, and these VLANs are mapped to different SSID, the user cannot use an external DHCP server > > to provide IP scopes for these VLANs.
Hosts connected to both SSID will obtain IP address from native DHCP server only.
The workaround for this is to use the embedded DHCP server for all VLANs defined on the WRVS4400N.

Due to wireless and trunk switch port using different chip set, it is not possible to provide a fix for this issue.
In future product, Engineering & Dev teams will strive to use the same chip set (same vendor).
This functionality has been targeted for next new Product.
...und das hat mich zu meiner Ausgangfrage gebracht, ob die Nachfolgemodelle die gewünschte Konfiguration denn nun bereitstellen. Sollte ja funktionieren wenn denn nun die beiden Chips kompatibel sind und entsprechend kommunizieren können.

Gruß
Leo
Member: aqui
aqui Nov 30, 2015 updated at 09:26:33 (UTC)
Goto Top
Eine grundsätzliche Frage:
Du schreibst (Zitat) "Watchguard FW ist Gateway und hört auf 10.0.100.1, 10.0.3.1, 10.0.6.1. "
Warum versuchst du also noch parallel den Cisco Router auch noch routen zu lassen wenn es doch die Watchguard zentral macht ??
Das ist in deinem Setup vollkommen unverständlich...oder ich habs hier falsch verstanden.
Der Cisco soll doch m.E. hier nur als reiner simper AP laufen in den jeweiligen VLANs, oder ?
Was du dann dann nur machen musst ist die SSIDs einzurichten, die SSIDs auf die VLAN Tags zu mappen und gut iss.
Der Cisco bekommt im VLAN 1 seine IP Adresse zum managen und das ist dann doch schon alles. Er braucht de facto keine IP Adresse in jedem VLAN. Wozu auch, denn er arbeitet ja als simple Bridge und bridged im Layer 2 ja alles in die FW VLANs.
Warum soll der noch parallel zut FW routen ?
Member: wiesi200
wiesi200 Nov 30, 2015 at 12:14:46 (UTC)
Goto Top
Hallo @aqui

so weit war ich doch auch schon, er will das nicht.
Member: aqui
aqui Nov 30, 2015 at 17:56:35 (UTC)
Goto Top
Wer ? Der TO (PEBKAC) oder der Router ??
Member: Leo007
Leo007 Nov 30, 2015 updated at 23:51:50 (UTC)
Goto Top
Warum versuchst du also noch parallel den Cisco Router auch noch routen zu lassen wenn es doch die Watchguard zentral macht ??
Das ist in deinem Setup vollkommen unverständlich...oder ich habs hier falsch verstanden.

Ich glaube da haben wir uns missverstanden. Ich bezeichne den WRVS4400n als "Router" weil es de facto ein Gerät mit Routingfunktionalität ist. In dem Fall nutze ich aber lediglich die L2 Komponente. Er dient in dem Netz also als Accesspoint und macht kein Routing. Das mag etwas irreführend gewesen sein.

Dass das Gerät nicht als Router betrieben wird, zeigen auch die Advanced routing Einstellungen. Oder habe ich was übersehen?
fe53b80954c401edc31f5d9f2006ab2f

Irreführend bezüglich der Funktionalität als Accesspoint und nicht als Router ist auch, dass im LAN Setup von beispielsweise "VLAN60" die VLAN IP/local IP nicht ausgegraut wird:
43a3e677657e5309759764d24d862f1a
Diese muss natürlich nur bei einem Gateway, das das Routing erledigt, gesetzt sein. In dem Fall stammen die Eingaben von einer vorherigen Testkonfiguration, sind aber zu ignorieren, da wie gesagt alle Einstellungen auf dieser Seite verworfen werden. Ich glaube ich habe auch versucht den Wert für "local IP Adress" zu löschen, einen "leeren" Wert hatte er aber glaube ich nicht akzeptiert. Operation Mode ist jedenfalls "Gateway", "Inter VLAN routing" ist aus. Es sind keine Routen definiert.

Der Cisco soll doch m.E. hier nur als reiner simper AP laufen in den jeweiligen VLANs, oder ?
Richtig.

Was du dann dann nur machen musst ist die SSIDs einzurichten, die SSIDs auf die VLAN Tags zu mappen und gut iss.
Nichts anderes habe ich gemacht.

Der Cisco bekommt im VLAN 1 seine IP Adresse zum managen und das ist dann doch schon alles. Er braucht de facto keine IP Adresse in jedem
VLAN. Wozu auch, denn er arbeitet ja als simple Bridge und bridged im Layer 2 ja alles in die FW VLANs.
Warum die local IP von VLAN60 nicht ausgegraut wird, weiß ich nicht. Vielleicht habe ich da ja was übersehen, aber ich habe vermutet, dass es ein Anzeigefehler ist, da ich das Routing ja deaktiviert habe und er wie gesagt alle Einstellungen dieser Seite ignoriert - und das ist in dem Fall ja auch gut so, da er ja kein routing machen soll.

Warum soll der noch parallel zut FW routen?
Soll er nicht. Macht er auch nicht.

Mal eine ganz andere Frage: Warum sollte Cisco dieses Problem bestätigen, wenn es keines gäbe. Die bieten ja sogar die Rückerstattung des Kaufpreises an:
Note: If this feature/function is mission critical to your deployment, and you would like to recover the cost of the WRVS4400N, please forward the
serial number and a copy of the proof of purchase, and we will gladly provide a refund.

Gruß
Leo
Member: Leo007
Leo007 Nov 30, 2015 at 22:38:14 (UTC)
Goto Top
Wer ? Der TO (PEBKAC) oder der Router ??
wiesi meint mich face-big-smile Ist aber Quatsch. Er hat das mit dem WLAN "Router" auch missverstanden.

Zitat von @wiesi200:
Genau warum dann einen Router

Zitat von @Leo007:
(...) in diesem Fall wird kein Routing benötigt.

Gruß
Leo