VLANs και pfSense

[toketog]

Έχω στήσει ένα μικρό οικιακό δίκτυο με pfSense και αντιμετωπίζω ένα πρόβλημα στην επικοινωνία των VLANs με το LAN.

Έχω 2 physical interfaces, το alc0 το οποίο είναι το WAN και παίζει σε PPPoE με το modem, και το re0 στο οποίο είναι το LAN. To LAN είναι στο 192.168.1.1/24 και έχω φτιάξει και 2 VLANs στο re0, το ένα είναι το 192.168.5.1/24 και το άλλο 192.168.6.1/24. Στο Firewall είναι και τα 3 interfaces στο allow from all to all. Ωστόσο αντιμετωπίζω το εξής θέμα. Τα VLANs μπορούνε να μιλήσουν μεταξύ τους, άλλα δεν υπάρχει επικοινωνία μεταξύ του LAN και των VLANs παρά μόνο στις IP των interfaces. Δηλαδή το 192.168.5.0/24 και 192.168.6.0/24 κάνει ping μόνο με το 192.168.1.1, και το 192.168.1.0/24 μόνο στο 192.168.5.1 και 192.168.6.1. Στο σημείο αυτό να προσθέσω ότι μεταξύ των VLANs το ping είναι αρκετά μεγάλο για local network και δεν μπορώ να το εξηγήσω. Ακολουθούν σχετικές εικόνες. Ξέρει κανείς τι ακριβώς συμβαίνει; γιατί εχω την εντύπωση ότι κάτι έχει πάει πολύ στραβά

 

[mad-proffessor]

Πουθενά δεν έχω ακούσει κάποιος να χρησιμοποιεί το parent interface που έχει τα vlans.

Απο το documentation του pfsense:

Αναφορά σε κείμενο

Note

The sole function of the parent interface is, ideally, to be the parent for the defined VLANs and not used directly. In some situations this will work, but can cause difficulties with switch configuration, and it requires use of the default VLAN on the trunk port, which is best to avoid as discussed further in VLANs and Security.

 

Επίσης σε τι hardware έχεις στήσει το pfsense?

Θεωρητικά για να μεταφέρεις σωστά τα διάφορα vlan ids πρέπει να έχεις φτιάξει trunk port, έχεις φτιάξει;

Επεξ/σία 29 Ιουνίου 2019 από mad-proffessor

[HAL10000]

Καταρχήν, από την στιγμή που έχεις VLAN, χρειάζεσαι μετά το pfSense εξοπλισμό που να μπορεί να τα μεταφέρει στις τελικές συσκευές σου. Δηλαδή χρειάζεσαι managed switch.

Αν έχεις και το έχεις συνδέσει με το pfsense και από αυτό διαμοιράζεις δίκτυο στις τελικές συσκευές σου, τότε το πρόβλημα είναι στον προγραμματισμό του switch. Δεν έχεις περάσει τα vlan σου.

Αν δεν το έχεις, πρέπει να αγοράσεις. Ξεκινάνε τα 5portα από 25€ (πχ το TP-LINK TL-SG105E).

Κοιτώντας τις εικόνες σου, δεν βλέπω κάποιο λάθος στην παραμετροποίηση (ανοιχτά έχεις τα πάντα άλλωστε).

Το ping σου οφείλεται στο Hardware σου, μιας και το traffic που δημιουργείς με τα Ping είναι το ίδιο το pfsense (τα interface του).

[toketog]

2 ώρες πριν, HAL10000 είπε

Καταρχήν, από την στιγμή που έχεις VLAN, χρειάζεσαι μετά το pfSense εξοπλισμό που να μπορεί να τα μεταφέρει στις τελικές συσκευές σου. Δηλαδή χρειάζεσαι managed switch.

Αν έχεις και το έχεις συνδέσει με το pfsense και από αυτό διαμοιράζεις δίκτυο στις τελικές συσκευές σου, τότε το πρόβλημα είναι στον προγραμματισμό του switch. Δεν έχεις περάσει τα vlan σου.

Αν δεν το έχεις, πρέπει να αγοράσεις. Ξεκινάνε τα 5portα από 25€ (πχ το TP-LINK TL-SG105E).

Κοιτώντας τις εικόνες σου, δεν βλέπω κάποιο λάθος στην παραμετροποίηση (ανοιχτά έχεις τα πάντα άλλωστε).

Το ping σου οφείλεται στο Hardware σου, μιας και το traffic που δημιουργείς με τα Ping είναι το ίδιο το pfsense (τα interface του).

Δεν έχω σκοπό να βάλω κάποια άλλη συσκευή πέρα από ένα AP με multiple ssid's που χτυπάνε σε διαφορετικά VLAN tags το οποίο υποστηρίζει αυτή την δυνατότητα. 

Επίσης το switch που μου προτείνεις είναι unmanaged 

[HAL10000]

Ωραία.

Συνεπώς, βάλε την management IP του AP σου στο LAN subnet για να έχεις την διαχείρισή του μέσα από το LAN σου και στην συνέχεια φτιάξε 2 SSID, ένα να ακούει στο VLAN50 και ένα στο VLAN51 (άμα σου παρέχει την δυνατότητα το AP σου, θα είσαι οκ συνδέοντας απευθείας το AP στο PFsense). Επίσης, επειδή τα έχεις ανοιχτά όλα τα subnet να μιλάνε σε όλα τα υπόλοιπα subnet, θα μπορείς από το VLAN50 πχ να βλέπεις το pfsense και το διαχειριστικό του wifi ap (το οποίο δεν είναι καλό σας πρακτική εννοείται).

Επίσης, ενεργοποίησε στο Services-->DHCP και τα ανάλογα ranges για αυτόματη διευθυνσιοδότηση αν θες.

Το switch που σου πρότεινα ήταν μέχρι πρότεινως managed (μάλλον το άλλαξε σαν προϊόν η tp-link αν ψάξεις Online - δεν το ήξερα).