Digibox Premium (WLAN Gastnetz mit WLAN Controller)

[flgh]

Hallo!

Ich habe versucht in der Digibox Premium ein LAN Heimnetz, ein LAN Gastnetz, ein WLAN Heimnetz und ein WLAN Gastnetz mit verschiednen IP Addressbereichen einzurichten. Bei WLAN das ganze mit Hilfe des WLAN Controllers und zwei APs.

Es geht mir in erster Linie um die Hilfe bei den WLAN Netzen mit WLC.

Ich habe dabei jedem Ehernet Port eine eigene Schnittstelle zugeordnet (en1-0 bis en1-4).

In den Schnittstellen/Bridge Einstellungen habe ich alles auf routing Modus gestellt.

Der Schnittstelle en1-0 habe ich für WLAN zwei Virtuelle Schnittstellen zugeordnet (1-0-1 und 1-0-2) und IP Adressen vergeben. Dazu habe ich auch die passenden DHCPs eingerichtet.

Nun zu meiner Hauptfrage bevor es wahrscheinlich überhaupt weitergehen kann.

Wenn ich den WLC konfiguriere, dann muss ich eine Schnittstelle auswählen. Mir wird da aber weder en1-0, noch en1-1 oder sonst was angeboten. Es kommt die Meldung das keine Bridge Gruppe existiert. Bei Bintec Beschreibungen habe ich aber gesehen, dass man auch andere Schnittstellen als Bridge auswählen kann. Geht das mit der digibox nicht, denn wenn ich das ganze über die Bridge Schnittstelle versuche zu konfigurieren, kriege ich keine zwei unabhängige WLAN Netze zum Laufen.

Hat jemand einen Lösungsvorschlag für mich?

LG flgh

 

[Kalle2006]

Was heisst "WLAN Controller und 2 APs"?

Es gibt derzeit einige Einschränkungen, wenn die be.IP / Digitalisierungsbox als WLAN-Controller läuft.

http://faq.bintec-elmeg.com/faq_wlan_20_wlc_hints_01_de,115145,194.html

 

[flgh]

Was heisst "WLAN Controller und 2 APs"?

Digibox als WLAN Controller und zwei zusätzliche Access Points w1003n von bintec.

Es gibt derzeit einige Einschränkungen, wenn die be.IP / Digitalisierungsbox als WLAN-Controller

Das heisst, wenn ich das richtig verstehe, dass es nicht geht?

Ich hab das jetzt mit br0 eingerichtet und einfach noch ein zweites WLAN angelgt mit VLAN ID2. Sonst nichts zusätzlich konfiguriert. Jetzt kann ich ins Internet mit dem Gastzgang, kann aber auf die internen Geräte nicht zugreifen. Das ist ja schonmal etwas. Allerdings komme ich auf das Webinterface der Digibox. Wenn ich das noch unterbinden könnte, dann wär es ja wenigstens eine Mini Lösung.

Gibt es denn eine Möglichkeit das ganze mit zwei WLAN Netzen ohne WLC zu konfigurieren?

Gruß flgh

 

[Kalle2006]

du kannst die SSIDs der zusätzlichen APs in einem oder mehreren VLANs laufen lassen. Nur das WLAN der DigiBox (als SLAVE) kann nicht mit VLAN versehen werden.
Den Zugriff auf das Webinterface kannst du über die Firewall unterbinden.

 

[flgh]

Also würde mein oben beschriebenes Szenario laufen, wenn ich das WLAN der Digibox abschalten würde und alles über die Accespoints managen würde (auch den controller?) ?? Ich schreib dich Morgen mal per PN an, wenn du nichts dagegen hast.

Gruß flgh

 

[Kalle2006]

Ja, melde dich ruhig. Du musst das WLAN der DigiBox nicht abschalten.

 

[achim1108]

Es gibt derzeit einige Einschränkungen, wenn die be.IP / Digitalisierungsbox als WLAN-Controller läuft.

http://faq.bintec-elmeg.com/faq_wlan_20_wlc_hints_01_de,115145,194.html

Also mit dieser "Einschränkungsbeschreibung" komme ich auch noch nicht zurecht. Wer kann mir das mal in verständlicher Form erklären, was die überhaupt meinen damit?
Habs bis heute nämlich nicht geschafft, ein WLAN Gastnetz mit VLAN und WLC einzurichten. Warum genau soll das nicht gehen, wenn alle diese Funktionen vorhanden sind?

Habe eine gleiche Konstellation wie "flgh", nur mit einem W2003n. Nur bei mir funktioniert noch nicht mal das Gast WLAN, bekomme noch nicht mal eine IP-Adresse, somit ist natürlich auch kein Internet Zugang möglich. Wenn ich irgendwie rumstelle, bekomme ich ne IP, aber im gleichen Subnetz wie das normale IP-Subnetz, was ich nicht möchte.

Blöd, das das genau das war, was ein primäres Vorhaben war, als ich hier im Forum extra nach der Digibox nachgefragt habe (als Fritzbox Ablösung...). Da hieß es, es geht alles.

Sollte ich den WLC am besten sein lassen und die jeweiligen WLAN (Heim und Gast) auf Digibox und W2003 einzeln einrichten? Was hab ich dann für einen Nachteil gegenüber "mit" WLC?
Die Beispiel Konfig der Telekom mit Gastnetz berücksichtigt eben nur die Digibox alleine und nicht was man macht, wenn man AP dabei hat... (und dabei werden keine VLAN verwendet...)
Und bei Bintec sebst gibt es auch keine vernünftige Anleitung. Nutzt denn niemand ein Gast WLAN mit zusätzlichen AP´s?

Das größte Problem für mich ist auch, das es so elendig viele Stellen gibt, an denen man etwas dafür konfigurieren muss. Das ist wirklich verwirrend...

Hilfe!

Gruß
Achim

 

[flgh]

HI!
Hier die Beschreibung ist grundsätzlich nicht schlecht:
https://www.bintec-elmeg.com/portal..._wlan_html_de_HTML/ws_wlc-gateway_konfig.html


Das geht aber so mit der Digibox nicht.Sondern, du musst die Schnittstellen, DHCP und die VLANS auf der Digibox einrichten und den WLC auf einem W2003 bzw. 1003. Allerdings kannst du dann den Access Point der Digibox nicht nutzen(zumindest nicht fürs gleiche Netz). Du bräuchtest dann noch einen weiteren AP2003 oder 1003. Es geht also ein Accesspoint (der,der Digibox) verloren. Allerdings kann man noch 5 zusätzliche Slave AP einrichten.

 

[achim1108]

Na super,
das heißt also, ein Profi Produkt für 300 Euro mit Profi AP für 400 Euro kann ich nicht gemeinsam für mein WLAN benutzen und muss NOCH einen AP für 400 kaufen, damit die Abdeckung der Digibox wegen Deaktivierung wieder durch zusätzlichen AP gegeben ist?
Das bekommt ja sogar AVM (rudimentär) hin...

Heul!!!!

Was ist denn mit meinem Vorschlag, einfach gar keinen WLC zu benutzen, was passiert denn dann? Dann hätte ich 4 WLAN von je 2 Geräten. Oder geht das AUCH nicht?

Danke aber und Gruß
Achim

 

[weißnix_]

Also schaut Euch mal die EdimaxPro AP's an. Die haben einen eingebauten WLC. Ich habe bei mir die Digibox + 1 AP. Da komme ich noch gut ohne WLC aus, kann aber problemlos VLAN benutzen.
Für die 300 gesparten Kröten kann ich dann mehrfach mit meiner Frau Essen gehen.
Auf Roaming kann ich gut verzichten, weil in meinem bescheidenen Heim die Endgeräte wegen der ähnlichen Feldstärken meist das falsche WLAN wählen. Was hat der WLC noch für Vorteile? Ach die einheitliche Konfig - nun ja, ich Konfigurier ja nicht jeden Tag neu.

 

[Kalle2006]

Für die bintec be.IP plus wird es eine neue Firmware geben mit der die WLC - Beschränkungen dann aufgehoben sind.

 

[achim1108]

Und gibt es ggf. Infos, ob die Telekom das auch bekommt?
Ansonsten kann man ja nur abraten von dem gerät, WENN man noch weitere AP´s benötigt UND ein Gast-WLAN...
Nicht gerade ein Verkaufsargument für die Telekom....

Kannst mir ja mal per PN schreiben, was bei Dir die be.ip plus kostet, um auch etwas Support zu bekommen...

Gruß
Achim, der zu früh auf´s falsche Pferd gesetzt hat...

 

[Kalle2006]

Zum Telekom - Produkt kann ich keine Aussagen machen. Weitere AP's sind auch mit der DigiBox kein Problem, du kannst nur kein VLAN mit dem in der DigiBox eingebauten Slave-AP verwenden.
Die Beschränkungen kann man jetzt nicht der Telekom anlasten, denn die Einschränkungen hat ja auch jedes Bintec Gerät.

 

[achim1108]

Für die bintec be.IP plus wird es eine neue Firmware geben mit der die WLC - Beschränkungen dann aufgehoben sind.

Ist die 10.1.8 Patch 1 für die AP´s bereits der Anfang dieser Updates (http://www.bintec-elmeg.com/de/Downloads-Uebersicht-323,381.html)?
Fehlt dann jetzt nur noch die Firmware der be.ip plus, oder ist das noch nicht dabei? In den Changelogs finde ich jedenfalls diesbezüglich nichts, oder bei über 70 Seiten überlesen ...

Gruß
Achim

 

[Kalle2006]

Nein, in der 10.1.8 Patch 1 ist die geplante Änderung noch nicht enthalten.
Mit diesem Firmware Release gibt es erstmalig eine IPv6 - Unterstützung für die Access Points.

 

[achim1108]

Die FAQ wurde nun verschoben und mit Datum versehen (März 2016). Das heißt wohl immer noch keine Lösung für mein Problem

http://faq.bintec-elmeg.com/index.p.../_WIn-Serie_/_be.IP-Serie_als_WLAN-Controller

Komischerweise wird aber genau das getan im Webinar https://www.youtube.com/watch?v=cpIApbXJRtI
Ein Gastnetz im VLAN 4 über den internen WLAN Controller...???

Gruß
Achim

- - - Aktualisiert - - -

Es scheint wohl so zu sein, das jetzt im Mai was neues rauskommt:
[h=2]Neue Funktionalitäten ab Release 10.1.7 im Überblick:[/h]

• NT-TE-Mode (mit be.IP plus, Hardware-Version 2)
• Neues, modernes und interaktives Design
• SIP-Routing mehrerer DSL-Anschlüsse
• LANCAPI
• Einfaches Einrichten eines WLAN-Gästenetzwerkes
• Managen des internen WLAN Access Points
• NFON Assistent
• SWYX Assistent
• Unterstützung SIP-Trunk

Und etwas weiter unten steht:
Eine Verbesserung im Bereich drahtlose Kommunikation stellt die „neue Bridge" dar. Dank dieser Bridge kann nun auch der in der be.IP-Serie integrierte Accesspoint über den WLAN Controller gemanaged werden und so nahtlos ins Unternehmens WLAN Netz integriert werden.
Könnte es sein, Kalle, das Du dieses update für die be.ip meinst?

Gruß
Achim

 

[Kalle2006]

Ja, genau. Dieses Update (10.1.7) meine ich. Damals gab es noch keine Versionsnummer dafür.

 

[wolk_tambowskij]

Grundsätzlich ist es so, dass man zum Verbinden mehrerer physisch von einander getrennter Schnittstellen zu einem Netzwerk zwingend eine Bridge und keine virtuelle Ethernet-Schnittstelle verwenden sollte.
Was stört Dich denn daran, 2 Bridge-Gruppen mit verschiedenen DHCP-Bereichen anzulegen?
Du brauchst bloß an Stelle des Routing-Modus "Neue Bridge-Gruppe" auszuwählen - dann gibt es BR1, BR2 usw.
Mit Hilfe der Firewall z.B. können sie dann auch Zugriffstechnisch komplett voneinander getrennt werden.

 

[achim1108]

Ob das das Problem mit Gast-WLAN über den WLAN-Controller in Verbindung mit separaten VLAN löst und dem internen AccessPoint löst, was hier diskutiert wird?

Bin dafür zu wenig Profi, aber ich vermute, da wäre doch schon jemand drauf gekommen, oder?

Wenn Du mir das noch etwas genauer erläuterst, was genau dafür noch gemacht werden muss, kann ich das auf meiner DigiBox ja mal probieren, denn ob es dafür die neue FW gibt, ist ja noch unbekannt. Somit wäre eine Lösung natürlich für jeden DigiBox Benutzer interessant.

Meine Idee war, mir demnächst dann beim Kalle die Original be.ip plus zu besorgen, wenn die neue FW raus ist...

Gruß
Achim

 

[wolk_tambowskij]

Im Prinzip, lassen sich ähnliche Probleme mit der Digi/Be.IP vielerlei lösen...
Ich habe mir selbst erst vor ein Paar Tagen die Be.IP Plus als Tausch für meine Digi Premium geholt - im Prinzip, kannst Du Dir gern einfach meine Netzwerk- bzw. WLAN-Konfig. anschauen, damit es einfacher ist - der Zugang wäre über https://ip-tek.net, Benutzer: demo, Kennwort: demo1 - alle empfindlichen Daten und Telefonieeinträge habe ich natürlich gesperrt.
Meine Konstellation sieht folgendermaßen aus:
Be.IP als Hauptrouter, dahinter eine FB 7490 als WLAN-AP und Telefonie-Gateway;
2 getrennte Ethernetschnittstellen - 1-0 und 1-4;
2 WLAN-Gastnetze, 1 WLAN-Hauptnetz auf der 7490;
Netzwerke: 10.254.128.0\24 (Hauptnetz Bridge BR0 - untagged), 10.128.0.0\24 (Access-Technik VLAN8 1-4-1 - tagged), 172.17.0.0\24 (Voice VLAN9 1-4-2 - tagged), 172.118.17.0\24 (WLAN-Gastnetz - Routing), 172.17.128.0\24 (WLAN-Media-Netz, z.B. für SmartTV u.ä. - Routing);
Die BR0 liegt auf den Ethernet-Schnittstellen 1-0 und 1-4, auf 1-4 liegen zusätzlich die VLANS 1-4-1 und 1-4-2, 7490 hängt auf 1-4, WLAN-Hauptnetz mit BR0 wird von der 7490 aufgebaut (hätte ich auch über die Be.IP machen können, war mir aber so bequemer);
BR0, 1-4-1 und 1-4-2 sind transparent durchgeroutet, Zugriff vom WLAN-Gastnetz und Media-Netz auf die anderen Netze gesperrt, Zugriff in der Gegenrichtung (z.B. Hauptnetz --> Gastnetz) möglich.

Nun kurz zur Einrichtung. Es gibt da 2 Möglichkeiten, beide werde ich beschreiben.
Die ersten Schritte sind jeweils gleich.
1. unter WLAN --> Drahtlosnetzwerke neue Schnittstelle Einrichten,
2. unter Lokale Dienste --> DHCP-Server einen IP-Pool festlegen,
3. a) (Mögl. 1 - Routing-Modus) unter Systemverwaltung --> Schnittst. u. Bridge-Gruppen, sicherstellen, dass die neue Schnittstelle (vss7-xx) auftaucht und auf "Routing-Modus" gestellt ist (wenn nicht, hinzufügen),
3. b) (Mögl. 2 - neue Bridge-Gruppe) unter Systemverwaltung --> Schnittst. u. Bridge-Gruppen, sicherstellen, dass die neue Schnittstelle (vss7-xx) auftaucht (wenn nicht, hinzufügen) und auf "neue Bridge-Gruppe" stellen,
4. a) unter LAN --> IP-Konfig. bei der Schnittstelle vss7-xx auf "Bearbeiten" (Schraubenschlüssel),
4. b) unter LAN --> IP-Konfig. bei dem Eintrag BRx (BR0 ist von der Grundkonfig. aus da, d.h. der nächste Eintrag an dieser Stelle müsste BR1 heißen) auf "Bearbeiten" (Schraubenschlüssel),
5. !WICHTIG! Schnittstelle auf "Vertrauenswürdig" stellen,
6. Adressmodus "Statisch" auswählen, durch "Hinzufügen" dem Router eine IP-Adresse aus dem Netzsegment, in dem sich auch der DHCP-Bereich befindet, vergeben und übernehmen,
7. !WICHTIG! unter Netzwerk --> NAT prüfen, dass bei unserer Schnittstelle/Bridge keine Häkchen gesetzt sind,
8. unter Lokale Dienste --> DHCP-Server --> DHCP-Konfig. den DHCP-Bereich der Schnittstelle/Bridge zuordnen.

Das war's eigentlich - unser WLAN-Netz mit Internetzugang ist jetzt erfolgreich eingerichtet. /sollte die Schnittstelle auf "Nicht Vertrauenswürdig" gesetzt sein bzw. unter Netzwerk --> NAT ein Häkchen z.B. bei "NAT aktiv" stehen, könnte es sein, dass dann über diese Schnittstelle kein Internetzugang möglich ist!/

Nun können wir auch den Zugriff aus diesem Netz bzw. auf dieses Netz sperren:
1. wenn der Zugriff zwischen 2 Netzen komplett gesperrt werden soll müssen 2 neue Firewall-Richtlinien erstellt werden: Schnittstelle1 --> Schnittstelle2 für Dienst "any" "Verweigern" und Schnittstelle2 --> Schnittstelle1 für Dienst "any" "Verweigern" - wenn nur eine dieser Regeln definiert wird, ist Zugriff in eine Richtung immer noch möglich,
2. Wenn z.B. die Clients des Gastnetzes nicht untereinander kommunizieren dürfen sollen, muss eine Regel erstellt werden, wo Gastnetz als Ziel und als Quelle für Dienst "any" auf "Verweigern" gesetzt wird.
3. Wenn Dienste des Routers selbst (z.B. Web-Interface) aus diesem Netz unzugänglich gemacht werden sollen, ev. unter Systemverwaltung --> Administrativer Zugriff die entsprechenden Häkchen für die Schnittstelle entfernen (oder komplett über Firewall mit Sperren des Dienstes "any" von der Schnittstelle auf "LAN_LOCAL").

Man kann, natürlich, auch nur bestimmte Protokolle sperren, bei Zugriffsversuch auf einen gesperten Netzbereich bzw. Port auf eine andere Adresse bzw. einen anderen Port (z.B. auf eine Webseite) umgeleitet werden usw. und so fort...

Zu den Feinheiten des Advaced Routings aber lieber ein anderes Mal...



Es gibt da, unter anderem, auch eine "feinere" Methode, ein Gastnetz einzurichten (wenn ich mich recht entsinne, ist eine entsprechende Einrichtungsanleitung bereits auch auf den Telekom-Support-Seiten für die Digi Pro zu finden), jedoch ist diese hier etwas einfacher und reicht von der Logik völlig aus.

Ich hoffe, ich habe helfen können.


Gruß

Micha