Zavier's Blog

LEDE实现SSID绑定VLAN功能(Trunk)

images (1).png

先介绍一下VLAN:

VLAN是Virtual Local Area Network的缩写,中文名“虚拟局域网”。

VLAN广泛应用于企业,通过VLAN技术可以实现广播域的控制、不同用户组的隔离。不同VLAN之间的通信必须通过路由器来实现,因而可以通过路由器对不同用户组的上网行为进行控制。

VLAN技术多用于企业的有线内网中,同时也可以用于无线网络中。

举个高端的应用例子:

某些实力较强的企业或者机关事业单位、火车站,其无线网络覆盖方案采用的是和运营商合作的方式,即运营商提供若干AP,每个AP会同时配置2-3个SSID。如和中国电信合作,会配置“ChinaNet”公共热点,同时再配置一个定制的SSID,如南昌铁路局的某些高铁、火车站,会配置SSID为“AirStation-FreeWiFi”的免费wifi,实际上这两者都是由同一台无线AP发出的,通过网线连接到后端三层交换机或者AC无线控制器。但是用户连接到两个不同的wifi时,其获取的IP地址网段、认证的方式、出口IP却截然不同,其原因就是该无线组网采用了ssid绑定vlan的方式。

解释一下原理:

无线AP在该数据交换中实际是扮演了一台无线三层交换机的角色,通过SSID配置的VLAN ID号,采用IEEE 802.11Q来封装VLAN数据帧,将对应的VLAN ID号透传到后端的三层交换机,后端的三层交换机通过VLAN ID号将用户分配到不同子网。这种VLAN的透传实际上在主流的专业网络设备内叫做"Trunk"模式。

通过IEEE 802.11Q,可以轻松地通过单条链路来共享多个不同的、互相隔离的子网。


实际上该技术也可应用于有线,常见的应用场景就是家庭IPTV的“单线复用”,因为有些运营商强制用户的IPTV机顶盒必须连接光猫的“ITV”接口,业内称为组播接入,这样减少了运营商的带宽压力,但是给用户带来了不小麻烦,如果你家的电视和光猫离得很远,而你又只有一根网线,那就非常麻烦了。而通过VLAN则可以实现“单线复用”的功能,无需多拉线。关于“单线复用”,到时候我会再写一篇相关的操作教程。


实战:

在以往,SSID绑定VLAN的技术只有CISCO、H3C、华为等专业的无线AP才可以实现,应用场景也只局限于企业,但我认为个人用户也很有必要,因为某些客人来你家的时候,连接了你家的wifi,而总有那么一些人手机内的wifi万能钥匙偷偷地将你的密码分享并且上传到了云端,这么一来,有些糙蛋的邻居或者陌生人就能随意地通过wifi万能钥匙来连接你的网络,这就极大地增加了家庭网络的安全隐患。

而现在,我们可以通过刷了openwrt或者LEDE的无线路由器来实现。

手头上正好有两台网件的NETGEAR wndr3800,我将一台作为主路由,另一台作为无线AP,来配置其实现SSID绑定VLAN。

设备:NETGEAR WNDR3800*2

系统:LEDE

附上接线图(LAN1口作为Trunk口):

WNDR3800接线图.png

两台WNDR3800均应刷好LEDE,先配置网关(主路由)

在外网配置通畅的前提下,通过web进入主路由的LUCI管理页面,依次进入网络-交换机,配置端口信息。可以发现目前只有一组VLAN,VID为1,这是默认的内网LAN的VLAN,可作为主人网络使用,另外新建一组VLAN作为访客网络,将其VLAN ID设为2,如下图配置:

image.png

这里我的固件是英文版本,其中untagged和tagged分别在中文版里对应的是不关联和关联,off是关。

这里LAN1口tagged的含义是,允许经过该端口的数据帧采用DOT1Q封装,且其对应的VLAN ID为2。

配置完成后点击“保存&应用”即可。

然后依次进入网络-接口-添加新接口,将刚才新建的VLAN2接口加入此处,并新建一个访客专用的子网192.168.10.0/24,具体操作如下图:

image.png

然后配置子网及DHCP:

image.png

然后在下方的“DHCP服务器选项”,点击“配置DHCP服务器”

image.png

最后点击“保存&应用”即可,这样一来,在网络-接口中可以看到此时主路由已经有了两个网段,一个是默认的192.168.1.0/24,另一个是192.168.10.0/24。

我们将默认的192.168.1.0/24作为主人网络,将192.168.10.0/24作为访客网络。



接下来是无线AP的配置:

同样地,进入网络-交换机,进行如下配置:

image.png

解释一下:WNDR3800的WAN由于芯片是独立的,因而将其舍弃掉,改用LAN1为上联。所以第一组是保留AP原有的LAN,因而在对无线AP进行配置时,电脑网口应连接AP的LAN2-4任意一口。第二组是Trunk链路,与主路由的VLAN2对应,第三组是交换机模式,与主路由里的主人网络对应。

然后进入网络-接口,先将原有的WAN改为eth0.3;

image.png

进入修改页面后,点击“物理设置”,将原有的接口设置改为交换机 VLAN:"eth0.3"。

返回网络-接口页面,点击“添加新接口...”,配置如下:

image.png

接下来是配置无线网络,LEDE默认已经有了一组网络,我们通过网络-无线页面,点击“修改”按钮进行配置:

image.png

配置主人网络:

在接口配置-基本设置内,ESSID为WIFI的SSID,根据实际需求自定义,密码在“无线安全”里面修改,然后在下方的“网络”里,去除原有的勾,将wan打勾,即将主人WIFI关联到对应的VLAN里。

image.png

配置访客网络:

在网络-无线里点击添加,新建一个无线网络,与上一个步骤类似,只需在接口配置-基本设置里的“网络”选项,勾选“vlan2”即可。

这样就实现了不同SSID对应不同VLAN,实现了主人和访客网络的隔离,提高了安全性。



  • 评论列表:

发表评论:

◎欢迎参与讨论,请在这里发表您的看法、交流您的观点。

标签列表
资料/工具
友情链接
分类
文章归档
最新留言

Copyright © 2017-2020 Zavier的博客.网站地图