Synology router and Ubiquiti AP's

[dirklammers]

Ik weet eigenlijk niet aan welke kant van het "probleem" ik moet beginnen: aan de Synology kant of aan de Ubiquity kant. Voorbeelden op internet gaan uit van een volledige Ubiquiti setup en dat heb ik dus niet.

Wat heb ik wel: een RT2600AC in de meterkast die al het LAN-verkeer uitstuurt op één poort richting een "domme" switch. Vanuit die switch vertrekt alles verder ons huis in. Op die domme switch zitten ook twee Ubiquiti AP's die het hele huis met Wifi afdekken.

Ik kan op die AP's een gast-netwerk definiëren, maar dat heeft dan weliswaar een ander SSID en wachtwoord, maar komt wél terecht in dezelfde IP-reeks als al mijn andere apparatuur.
Eigenlijk wil ik dus op die AP's een tweede netwerk aanmaken met een eigen VLAN-ID en dan via een (nieuw aangeschafte) managed Ubiquiti switch die dit VLAN kan doorgeven vanaf de Synology-router alwaar dan waarschijnlijk óók een apart VLAN moet worden aangemaakt.

Kun je vanuit de Synology router op één en dezelfde poort zowel het standaard netwerk uitsturen) met de nu in gebruik zijnde IP-reeks alsook een tweede VLAN met een andere IP-reeks die uiteindelijk eindigt in het gast-WiFi netwerk.


Ik houd er ernstig rekening mee dat ik het hele concept van VLAN's nog niet niet voldoende doorzie......en al het bovenstaande klinkklare onzin gedachte is....
Maar hoe dan wel ?

Dank vast

Groet, Dirk

[Plerry]

Ook al heb je een "domme" switch, dan kan het nog best zijn dat deze VLANs gewoon doorgeeft (als een soort trunk).
Dat wordt dan VLAN-transparant genoemd.
Het probleem is dat doorgaans nergens in de specificatie of eigenschappen van een "domme" switch is te vinden of deze VLAN-transparant is.
De meeste "domme" switches die ik in de loop van de tijd gebruikt of geprobeerd heb bleken VLAN-transparant.
Maar, er is geen garantie dat jouw switch dat ook is.
Simpelweg proberen dus. Werkt het, dan heb je geen "slimmere" switch nodig, zo lang je router en access point(s) maar van dezelfde VLAN-IDs gebruik maken.

Alhoewel het "netter" is, hoef bij de Ubiquiti AP's het gasten-SSID niet persé aan een ander/eigen VLAN-ID te koppelen om het veilig te houden. Je kan bij in de settings van je Ubiquiti APs voor je gasten-SSID ook access-control regels instellen, zodat gasten die via dat gasten-SSID zijn verbonden binnen jouw IP-range uitsluitend verbinding kunnen maken met je router/gateway (om Internet op te gaan) maar verder niets anders binnen je thuisnetwerk.
 

[DSGebruiker]

Je HOEFT niet persé met VLAN's te werken.
Je kan in je Unifi config perfect een "filter" aangeven dat alle verkeer naar je interne LAN niet toegelaten is.
Het enige dat wat kan doorlekken zijn mischien mDNS en discovery etc.

Hotspot Manager -> Landing Page -> "Pre Authorization Allowances" en "Post Authorization Restrictions"
Hier kan je dan vb je eigen interne 192.168.x.x range in geven.

Een "Guest" zal dus enkel richting "Internet" kunnen en niets bereiken op je eigen LAN.

[Babylonia]

@dirklammers

Er is "van allees" mogelijk achter welke router dan ook. Dus ook achter een Synology router, (omdat die redelijk  "flexibel" is).
Heb afgelopen jaren met succes "KPN WiFi Points" geïnstalleerd gehad met WiFi connectie  naar de overkant van de straat.
TP-Link routers - Access Points - TP-Link "Power Lines".  10-15 jaar of nog oudere? "Robotics" router (als "switch" ingezet),
en een 10-12 jaar oude Cisco router.  Allemaal functionerend achter een "Synology router".

Het komt bij allen aan op een correcte installatie en begrip van netwerken.
(Maar of die kennis je gegeven is ??)

Wat zijn de mogelijkheden van die Ubiquity Access Points??

Bij een Synology router is er standaard een gast netwerk actief naast het hoofd netwerk.
Dat gast netwerk wordt reeds "ingepakt" als "tagged" signaal via "Trunk" geconfigureerde router LAN poorten aangeboden.
Als enige uitzondering is dat gastnetwerk niet op router niveau zelf al uit te splitsen.
Dat zou je eventueel dan via een managend kunnen doen.

Daarnaast kun je nog tot 3 extra netwerken configureren, die je ofwel direct op een ethernetpoort kunt zetten "untagged".
Is wel uitgesplitst.  Of "ingepakt" (tagged) doorgeven en later alsnog via een managed switch uitsplitsen / uitpakken (untaggen).

Ken de mogelijkheden niet van Ubiquity Access Points.  Maar diverse merken / modellen Access Points
hebben zelf al mogelijkheden om een aantal "tagged" VLAN netwerken over verschillende WiFi SSID's uit te splitsen.
(Evenals de Synology router zelf, die tot 5 netwerken over meerdere WiFi SSID's kan uitsplitsen).

Daarvoor hoef je niet eerst een managed switch in te zetten.  In principe zou je het "tagged" gast WiFi signaal van de Synology router
met een "vast" VLAN ID 1733  zo vanuit twee LAN poorten van de router, kunnen doorgeven naar twee "vreemdmerk" Access Points,
die mogelijkheden hebben "tagged" VLAN netwerken over verschillende WiFi SSID's uit te splitsen.

Als je nu een "domme" switch in gebruik hebt. (Gewoon om meerdere apparaten aan te sluiten).
Is het nog een vraag of die aparte "tagged" VLAN netwerken "ongemoeid" wel of niet doorlaat naar die Access Points toe.
De ene domme switch is niet de andere.  Kom je alleen achter door het uit te proberen.

Heb in het verleden wel Ubiquity "Point to Point" draadloze verbindingen ingezet tussen twee gebouwen pakweg 75 meter van elkaar.
Waarbij "tagged" VLAN netwerken wel gewoon werden doorgegeven, maar waar je dat evt. ook via de gebruiks interface kon regelen.
https://www.synology-forum.nl/the-lounge/keus-aan-'power'-router(s)/msg246348/#msg246348

[dirklammers]

Dit forum met al jullie deskundigheid is toch echt "goud" waard hoor!

Ik ga het steeds verder begrijpen.

Maar of die kennis je gegeven is ??

schreef Babylonia. Nee, maar kennis kun je verwerven en dat gaat goed komen.

Ik denk even hardop en lees graag mee of ik het nu snap:

Het standaard gastnetwerk van de Synology router (1733) gaat over alle 4 de poorten mee naar buiten.
Het hangt af van de huidige "domme" switch of dat ook zo wordt doorgegeven aan de poorten waar nu de twee AP's op zitten.
Zo ja, dan kan waarschijnlijk in de AP's instellen dat het gast Wifi netwerk op VLAN 1733 moet komen. In die AP's wordt dan VLAN 1733 "uitgepakt" en doorgegeven aan het gast Wifi netwerk.

Is mijn domme switch té dom, dan moet er een managed switch komen die wél de ingepakte (Tagged) VLAN 1733 doorgeeft sámen met het standaard LAN. Beide komen dan op de AP's en het standaard LAN blijft gekoppeld een mijn eigen Wifi SSID en het VLAN 1733 wordt uitgepakt naar het gast Wifi.

Nog twee aanvullende vragen:
1. zo'n managed switch hoeft dus eigenlijk niets te managen in mijn geval, maar is wel in staat om de combinatie van mijn standaard LAN en het tagged VLAN 1733 door te geven.
2. Begrijp ik goed dat alleen het gast LAN 1733 door de Synology router wordt doorgegeven op alle 4 de poorten. Zodra je een ánder extra LAN aanmaakt moet je die aan een poort koppelen en die poort is dan losgekoppeld van het standaard LAN. Daar heb ik dus niets aan, want dan ben ik richting de AP's mijn eigen LAN kwijt.

Bedankt vast weer!
Groet Dirk

[Plerry]

> 1. zo'n managed switch hoeft dus eigenlijk niets te managen in mijn geval, maar is wel in staat om de combinatie van mijn standaard LAN en het tagged VLAN 1733 door te geven.

Zelfs een "domme" switch managed het dataverkeer, echter niet op basis van VLAN-ID.
Het verschil is dat een "slimme" switch door jou (de beheerder) gemanaged moet worden.
In jouw geval moet je die layer 2 of 3 switch zodanig configureren dat op de Ethernet poort van de switch waarop je router is aangesloten, zowel het untagged verkeer als het  tagged verkeer met (kennelijk) VLAN ID 1733, zonder, respectievelijk met VLAN ID wordt doorgegeven aan tenminste die uitgaande Ethernet poorten van de switch waarop je AP's zijn aangesloten.
Dat is doorgaans niet de default instelling.
Wellicht wil/moet je voor je VLAN ook IGMP snooping inschakelen. Meestal staat dat standaard uit.

Dat is dan weer het voordeel van een "domme" (layer 1) switch.
Mits deze VLAN transparant is hoef je daarop verder niets in te stellen.
Sterker: je kan daarop helemaal niets instellen!

Met je vraag 2 kan ik je niet helpen; ik heb geen Synology router (maar een Fritz!Box).

[Babylonia]

@dirklammers
Aangaande je vragen in je vorige reactie, waar je refereert naar wat ik heb geschreven.

Wel een cruciaal punt met wat ik heb benoemd, waar je mogelijk te gemakkelijk overheen leest.
Ik ben niet bekend met die Ubiquity Access Points.

Ik weet dus ook niet of die Access Points wel- of niet die functie hebben om aangeboden VLAN netwerken wel- of niet uit te splitsen.
Type?   -   Specificaties?   -   Handleiding?      Daar zul je dus zelf antwoord op kunnen geven.

1. Juist "met" managed switch, zul je dat ook als zodanig moeten gaan "managen".
    Standaard is er alleen maar één VLAN actief. Die moet je dus echt gaan instellen, dat het allemaal correct wordt doorgegeven.
    (Met wat @Plerry hiervoor ook al schreef).

2. "Standaard" zonder extra netwerken te hebben aangemaakt op een Synology router, wordt VLAN 1733 op alle 4 LAN poorten
    "tagged" (ingepakt) aangeboden.  Het primaire netwerk is "untagged" (uitgepakt).

Nieuw in te stellen netwerken kun je er zelf voor kiezen of je die "untagged" (uitgepakt) gebruikt op een LAN poort als enige netwerk.
Of als "tagged" instelling, waarbij het primaire netwerk actief blijft als "normaal" te bereiken netwerk.

Eerder heb ik al eens verwezen naar mijn RT6600ax handleiding (met SRM 1.3.x  die ook voor de RT2600ac geldig is).
Daar is een apart hoofdstuk gewijd aan extra netwerken, met schermafbeeldingen, en voorbeeld van een Netgear managed switch.
Zou zeggen, (eigenlijk een voor de hand liggende optie) om dat eerst eens te gaan bestuderen.         

[aliazzz]

Kijk eens naar dit soort Switches:
TP-Link 8-Port Gigabit Easy Smart Switch

Dit soort switches zijn eenvoudig in gebruik, managed (wel "slimmer" maar niet "super slim") en relatief goedkoop (ongeveer 30 euro)
Ze ondersteunen power over ethernet( poe >> 30eu ), of unmanaged (tot 20 eu).

Ik gebruik deze in mijn LAN toepas is managed zonder poe. De switches kunnen VLAN tagged doorzetten naar pre-defined poorten.
Mooi in combi met een AP, NAS of een Router met gastennetwerkje ;-) en kan je een uitkomst bieden.



PS.
Als je geen zin hebt in reclame lees dan niet verder, maar als je goede hardware wilt voor een relatief gustige prijs, lees dan gerust door.

Kijk ook eens naar de relatief nieuwe golf van 2.5GBPS switches, die as we speak sterk in prijs dalen (eindelijk!) voor 8 ports.
Via Amazon kun je voor max 80 eu een 8 poort managed 2.5GBPS switchje scoren, van een niet onnaardig merk, te weten Mokerlink.
Dit merk is relatief nieuw en timmert aardig aan de weg en gebruikt als interne hardware de designs van TP-Link, maar biedt tegen lagere prijzen aan. Ook de firmware support is goed, dus als je een keer voor niet te duur wat sneller wilt is mokerlink een prima alternatief (https://www.mokerlink.com/) Let op dat mokerlink een nieuwe speler op de markt is en dus zichzelf moet bewijzen en marktaandeel wilt pakken, vandaar de concurerende prijzenstelling.
(MokerLink 8 Port 2.5Gigabit Ethernet Switch with 10G SFP Slot, 8 x 2.5G Base-T Ports Compatible with 10/100/1000Mbps)
De Tp-link variant kost je 144 (TP-Link TL-SG108-M2 8× 2.5-Gigabit Ports 144) en is daarmee eigenlijk te duur voor de SOHO markt (huis, tuin en small office).

[Babylonia]

Met twee Ubiquiti Access Points die PoE gevoed kunnen worden, zou ik beslist naar een switch kijken die PoE+ voeding geeft,
op een aantal LAN poorten.  Bespaart je dat gedoe met losse voeding adapters of PoE "injectors".

Wel goed naar de specs kijken m.b.t. PoE.
Zowel PoE als PoE+ ondersteuning - automatische afstemming ervan bij herkennen van PoE apparaten.
Goede terug schakelende energiebesparende functies "per poort", indien er weinig / geen data-streams door de switch lopen.
Kijk naar de garantie termijn die merken geven.

[dirklammers]

Goedemorgen allen,

wat een nieuwe werelden gaan er weer open na de aanschaf van de Synology router. Geweldig. Dank voor al jullie hulp en tips.

Inmiddels werkt het allemaal zoals ik bedoelde: op de Ubiquiti AP's een apart "netwerk" aangemaakt dat gekoppeld is aan VLAN 1733.
Aan dit nieuwe netwerk een gast SSID gekoppeld (kennelijk moet dat bij Ubiquiti in deze twee stappen).
Als ik nu mij iPad koppel als gast, dan krijg ik inderdaad een IP-adres vanuit het Synology gastnetwerk. Een scan met Fing vanaf de iPad laat alleen die iPad zien en de router, verder geen apparaten. Isolatie werkt dus.

Kennelijk geeft mijn huidige "domme" switch dus de VLAN's ook transparant door....

Niettemin is de tip voor een Poe switch wel prima: die twee injectors nemen onevenredig veel plek in de meterkast in die nu aardig vol begint te hangen.

Nogmaals: dank allen 

Een dag niet geleerd is een dag niet geleefd.



Groet, Dirk

[dirklammers]

Nog een nabrander van mijn kant.
De suggestie om een POE switch te kopen is natuurlijk prima, maar in de praktijk wat lastiger. De twee Ubiquiti AP's ondersteunen alleen passive POE (24V over 4/5/7/8). Schijnt iets specifieks te zijn voor Ubiquity. Een passende Ubiquity switch kost al snel ergens in de € 120 en dat is wel een verschil t.o.v. een TP-Link ....
Ik ben dus bang dat de injectors moeten blijven hangen.

Groet,

Dirk

[Babylonia]

Mooi dat het nu allemaal functioneert zoals bedoeld, met het WiFi gast netwerk "doorgelust" naar de Ubiquiti AP's.
De "domme" switch kennelijk toch wat intelligenter dat die ook ingepakte VLAN netwerken doorgeeft.
Jammer van het door Unifi afwijkend gebruikte "passive POE".

Prettige bijkomstigheid dan wel weer, dat je nu geen aanvullende hardware (nieuwe switch) erbij hoeft te kopen.
Bedankt voor de terugkoppeling.