Как разделить подсети для LAN и WIFI?

Question

[Данила Потягов]

~130 ноутбуков производил выдачу статических IP. Ноутбуки подключаться как по кабелю, так и по WIFI одновременно. Начинается "битва" за адреса, некоторые ноутбуки из кабинета X занимают адреса кабинета Y. Сеть построена на Keenetic Ultra, несколько Вояджеров и Гига в качестве расширителей покрытия и 4 свитча неуправляемых.
Задачи заключается в том, что бы разделить LAN и WIFI на разные подсети:
LAN: адреса 192.168.100.x
WIFI: адреса 192.168.101.x
После отключения WIFI в сети 100.x и включении её в 101.x устройства, пытающиеся подключиться к WIFI - не могут получить IP адрес. При указании статического в этом периоде - устройство подключается, но не имеет доступа в интернет.

Comments

[Akina]

Для обеспечения удобства удалённого управления парком в ~130 ноутбуков производил выдачу статических IP.

Вот не понял. Если адреса проводных интерфейсов статические в подсети 192.168.100.0/24 - то откуда адреса из этой подсети могут появиться в скопе на DHCP-сервере?Что там вообще делает эта подсеть?

[Ziptar]

Akina, под статическими адресами иногда подразумеваются прибитые гвоздями аренды на dhcp-сервере

[Akina]

Ziptar, это неверная терминология.

Есть статические адреса. Они назначаются на клиенте. Есть динамические адреса. Они назначаются на DHCP сервере.

Адрес может быть статический/динамический, адрес может быть постоянный/изменяющийся - это разные и не зависящие друг от друга категоризации, дающие суммарно 4 варианта сочетаний. Впрочем, вариант статического изменяющегося адреса на практике встречается крайне редко.

Да, есть адреса динамические, но включённые в резервирование с целью обеспечения постоянства выделяемого адреса. Они всё равно динамические - но не изменяющиеся. Кстати, такие адреса потенциально проблемны. Если такой клиент в данный момент не в сети, и этот адрес числится на текущий момент как свободный, то при исчерпании пула и поступлении запроса от другого узла DHCP в принципе имеет право выдать этот адрес - явного запрета на такое действие нет. Конечно, зависит от реализации конкретного DHCP...

[Ziptar]

Akina, с одной стороны она неверная, с другой стороны, она используется

[Данила Потягов]

Akina, Я не совсем точно описал, Ziptar описал так, как сделано у меня - это зарезервированные адреса

[Ziptar]

Akina,

Кстати, такие адреса потенциально проблемны.

К слову, я бы сказал, что проблема тут в том, что в пуле исчерпались адреса. При этом, такой механизм может быть в чём-то лучше статики в определённых ситуациях. Например, позволяет привязать arp-таблицу к арендам dhcp.

И поясню на счёт используется - мы же спокойно воспринимаем "статические белые адреса", выдаваемые провом, вне зависимости от того, выдаёт пров адрес по dhcp (обычно физикам), или там натуральная статика (обычно для юриков)

[Akina]

Ziptar, проблема в том, что никто не хочет использовать слова "постоянный" или "неизменяемый". И получается, что используется два в принципе разных смысла слова "статический", хотя и сходных по внешнему брутто-эффекту. А как итог - приходится уточнять, что имеется в виду.

[Akina]

Данила Потягов,

Ziptar описал так, как сделано у меня - это зарезервированные адреса

Не понял... получается, что у вас есть два резервирования, с разными IP из разных подсетей, но с одинаковым МАС, что ли? Ну тогда понятно, откуда грабли - в этом случае DHCP сервер будет просто выдавать первый соответствующий этому МАС-адресу IP-адрес, и не станет шерстить всю таблицу на предмет ещё одного вхождения.

[Ziptar]

Akina, это вообще частое явление, в отношении it и сетей их ещё довольно мало

Answer 1

[gazetchik]

Данила, привет!
Есть такое у тебя, что неуправляемые свичи находятся между кинетиками?
Если да, то схема с двумя подсетями работать не будет! Потому что под капотам у кинетика с разными сегментами сети обыкновенный VLAN. Ну и соответственно при прохождении пакета через неуправляемый свитч он теряет VLAN и поэтому не выдаются адреса из второй подсети! Инфа 100)

Comments

[gazetchik]

Соответственно чтобы схема работала надо кинетики соединять без посредников, то есть всех напрямую в Ultra. Или управляемые свичи ставить между кинетиками.

[Данила Потягов]

Здравствуйте, именно так и есть. Вояджеры и Гига подключены к Ультре через прослойку из неуправляемых коммутаторов. К сожалению в гос. организации просить управляемые свитчи смысла нет, никто не поймёт зачем столь дорогое оборудование при имении уже существующего. Спасибо большое за ответ

[gazetchik]

статические IP, делаешь средствами роутера или сам вручную прописываешь?
я в таком же кейсе делал просто две записи, условно notebook1-lan и notebook1-wifi. если устройства не будут влезать в одну подсеть, сделай просто маску пошире. то есть если сейчас у тебя 192.168.100.0/24 (254 устройства), а надо сделать 192.168.100.0/22 (1022 устройства)

IP адрес роутера: 192.168.100.254
Маска: /22 = 255.255.252.0
/22 — это шаг по четырём последним битам третьего октета:
Значения подсетей по третьему октету: 192.168.100, 101, 102, 103 — входят в одну сеть
Таким образом:
Начальный адрес подсети: 192.168.100.0
Широковещательный адрес: 192.168.103.255
Используемые хосты: 192.168.100.1 до 192.168.103.254

[Данила Потягов]

gazetchik, IP делаю и там и там. Спасибо за подсказку по маске, другому человеку ответил что через маску буду делать)

[gazetchik]

руками брось прописывать - это прошлый век и ретроградство) всё делай через морду кинетика. там и скорости им можно резать и фильтры накладывать, чтобы порнушку не смотрели)))

[Данила Потягов]

gazetchik, Фильтры уже есть, были прецеденты). А по поводу рук - тяжело отличать среди устройств - какой это именно ноутбук по счёту и из какого он кабинета. Легче руками сначала забить в настройках, а потом в роутере уже по этому MAC на уже заранее известном IP выставить фиксацию на этом же адресе.

Answer 2

[Drno]

Для того чтобы Ваша схема работала надо создавать отдельную зону и туда перемещать WiFi интерфейс
Т.к. это разные подсети

Comments

[Данила Потягов]

Вот как раз таки этот момент и вызвал вопросы.
Как на OpenWRT переместить интерфейс из одной зоны в другую знаю. Но здесь стоковый Keenetic, и возникли вопросы по поводу размещения данных настроек и представлены ли они в веб морде вообще?

[Drno]

Данила Потягов, так же как и в опенВРТ)
заходите в "домашнюю" сеть, создаете там еще 1 зону. и там уже крутите

[Akina]

Данила Потягов, Почему бы не ввести резервирование + фильтрацию по МАС? Кто свой - получит адрес, определяемый резервированием, кто чужой, вообще не пролезет.

[Данила Потягов]

Akina, здравствуйте, этот вариант - вариант, но для защиты от внешнего подключения даже при знании пароля, а у меня маленько другая цель - есть софт для удалённого управления, Veyon. Самостоятельно стучаться куда то и говорить свой актуальный IP он не умеет, по этому приходится каждому устройству выдавать "статический-динамический адрес". Но с переходом устройства с кабеля на WIFI - устройство сразу теряется. Ещё масло в огонь подливает то, что Windows ставит палки в колёса при попытке установить один и тот же IP для двух разных интерфейсов... То шлюз удалит сама, то IP пустым оставит...

[Данила Потягов]

Drno, Если вы про этот плюсик - так и делал, не получилось, как раз таки и не могут IP получить

[Akina]

Данила Потягов,

Windows ставит палки в колёса при попытке установить один и тот же IP для двух разных интерфейсов... То шлюз удалит сама, то IP пустым оставит...

Ну тут-то она совершенно права. Впрочем, удаление дефолтного шлюза не связано с именно дублированием адреса, там другая причина.

Но с переходом устройства с кабеля на WIFI - устройство сразу теряется.

На разных интерфейсах должны быть разные адреса. И оба адреса должны быть зарегистрированы для использования в вашем софте удалённого управления (или на управляемом устройстве).

[Данила Потягов]

Akina, вот как раз таки я этого и хочу добиться, создать отдельный список устройств, которые подключаются к WIFI. Для этого и хотел разделить подсети, что бы можно было точно знать, что если ноут сейчас не на 100.x, то он точно на 101.x.. При этом что бы другие устройства (залетные так сказать) получали IP не из 100.x, а из 101.x.

[Drno]

Данила Потягов, да тут. делаете новую сеть, назначаете имя сети итд, dhcp, и вперед. работает это 100%

для удаленного управления смените софт, который не будет привязываться к IP, либо создайте сеть p2p поверх
например - Zerotier или meshcentral

[Данила Потягов]

Drno, Не знаю чем поклясться, но не получают устройства IP, если делаю так. DHCP настраивал, не просто так пропустил. Не работает, хоть ты тресни. Единственное - не совсем понял, что нужно указывать в портах. Варианты:
Входит в сегмент
Не входит в сегмент
Входит в сегмент с VLAN

[Drno]

Данила Потягов, ничего не надо указывать, он создает еще одну виртуальную вифи сеть

[Dieman666]

Данила Потягов,
прочти мой ответ.
если раньше с подсетями дело не имел, то и не нужно пока.

Answer 3

[Dieman666]

для начала, если вам для софта нужен стат айпи на рабочих станциях, неплохо было бы уже знать для начала, что многие аппараты ,будь то ноуты или тем более телефоны, по умолчанию подключаются по wifi с рандомизированным мак адресом. и нужно вручную на каждой рабочей станции с беспроводным интерфейсом проверять эту настройку, чтобы к конкретной сети она подключалась с собственным мак адресом.
ну и естественно, что с переходом с лана на wifi ip адрес меняется, так и должно быть.
ибо ip привязывается к мак адресу конкретной сетевухи.
сетевуха сменилась - поменялся и ip
поэтому разделение на подсети в вашем случае по сути вообще не нужно.
достаточно просто зарегать устройство на кинетике с со стат ip и собственным маком
тем более, что могут возникнуть разные нюансы с подсетью vlan на кинетиках.

Comments

[Данила Потягов]

Уже понял. Думаю в таком случае просто расширить маску и руками занести WIFI устройства в 101.x