Benutzer den VLANs zuweisen mit RAS Richtlinien?

[tat! 10]

Hallo,

ich bin gerade dabei, ein WLAN für unsere Seminarteilnehmer einzurichten.

Was ich bisher erledigt habe und was funktioniert:

- Konfiguration des Radiusservers (IAS)

- Konfiguration des Access Points (Netgear WAG 302)

- Konfiguration 2er BSSIDs

- Konfiguration der VLANs (funktioniert auch alles einwandfrei)

 

Nun habe ich folgendes Problem,

BSSID_intern = VLAN 1 ist für das Intranet für unsere Mitarbeiter

BSSID_extern = VLAN 2 für den Internetzugang für die Gäste

 

Nun haben die Gäste aber noch die Möglichkeit, weil der IAS auf das selbe Active Directory zugreift, sich mit ihren Daten am internen Netz anzumelden und somit eine interne IP Adresse kriegen.

Gibt es eine Möglichkeit zu sagen: Teilnehmer1 darf sich nur authentisieren wenn Anfrage von VLAN2 kommt?

 

Ich war jetzt so weit gekommen, in den RAS-Richtlinien folgendes einzustellen:

Name: WLAN für extern

Richtlinienbedingungen:

- Windows Groups stimmen überein mit "TEST\TeilnehmerExtern"

- NAS-Port-Type stimmen überein mit "Drahtlos - IEEE 802.11"

 

Im Profil steht unter "Erweitert"

- Tunnel-Medium-Type Wert: 802(...)

- Tunnel-Pvt-Group-ID Wert: 2

- Tunnel Type Wert: Virtual LANs(VLAN)

 

Ich nahm an, er bezieht damit die VLAN ID auf die Gruppe.

Falsch gedacht ;)

 

Vielen Dank schon einmal,

Gruß

Markus

[weg5st0 10]

Hallo Markus,

 

bei manchen Herstellern muss nicht die VLAN ID sondern der Name des VLANS angegeben werden. Also bei:

Tunnel-Pvt-Group-ID Wert: Gastwlan

 

Das ist sinnvoll, da in großen Umgebungen häufig Stockwerksweise verschiedene VLAN IDs für bestimmte VLANs gelten.

[tat! 10]

hi,

danke für deine antwort.

Hab es mal ausprobiert, aber hat leider auch nichts gebracht.

Woher sollte der IAS denn den VLAN Namen her kriegen? Steht doch nicht im Header mit drinne... wobei die ID ja dabei ist.

 

Kann es sein, dass wenn ich 2 Richtlinien habe

also

eine für intern - Benutzergruppe_intern und im Profil dann die VLAN Settings

eine zweite für extern - Benutzergruppe_extern und im Profil die identischen VLAN Einstellungen, halt nur mit anderer ID, dass er sich denn die einfach greift?

Hab mit WireShark alles geprüft, die VLAN ID packt er von anfang an richtig in den header rein, bis zum schluß, also vom AP bis zum IAS.

deshalb ging ich davon aus, dass ich die richtlinien vielleicht nicht verstanden habe oder die richtlinien mich nicht :D

[Hr_Rossi 10]

hi

 

dies sollte helfen ...

 

Bereitstellung von sicheren 802.11-Unternehmensnetzwerken mit Microsoft Windows

 

lg

[tat! 10]

hi, danke für den link.

ich mache das nun ganz anders ;)

 

hab schon alle möglichkeiten durch, is ja nich der einzige weg.

 

gruß

markus