Проводная и wi-fi сети через один шлюз, как сделать безопасно?

Question

[Key8567]

В офисе есть проводная локальная сеть выходящая на шлюз Mikrotik RB2011iL-IN, сейчас требуется настроить еще и wi-fi.

Wi-fi на RB2011iL-IN нет, нужно подключить к нему какой-нибудь еще роутер в режиме точки доступа.

Из wi-fi сети не должно быть доступа к проводной локальной сети, но должен быть доступ в интернет.

На RB2011iL-IN планирую выделить отдельный порт и подсеть для подключений от wi-fi с запретом доступа к проводной подсети, как сделать всё это чтобы было безопасно?

Comments

[Артём]

А что вы подразумеваете под понятием "безопасно"?

[Константин]

Например в роутерах keenetik есть такой режим. Создается для вай-фай клиентов гостевая сеть, которые имеют другой диапазон ип адресов и не имеют доступа к локальной (проводной ) сети, но при этом доступ в интернет имеют. Думаю и у других брендов такая возможность должна быть

[Ziptar]

Константин, у микрота есть, только вручную - создаешь виртуальный wlan, изолируешь его в отдельном vlan; на других брендах зависит от бренда, по хорошему на пограничный маршрутизатор и должен приходить vlan, в котором изолирован гостевой вайфай на точке доступа

[Akina]

Да просто запретить форвардинг между физическими интерфейсами к LAN и к AP.

[Константин]

В целом можно любой даже самый дешевый роутер подключить. Воткнуть ему в wlan кабель и он будет все ви-фи устройства держать за натом

[pilligrimm]

Akina, Поддерживаю. Человек ищет простое решение и это оно и есть. С учетом "на будущее" взять нормальную точку доступа, если потом вайфай надо будет разделить на корпоративный и гостевой, то можно будет заморочиться и с vlan'ми.

Answer 1

[Drno]

Вы в вопрос описали уже как сделать безопасно..
вынести на отдельную подсеть вифи
можно еще в настройках роутинга запретить хождение пакетов из одной сети в другую
либо дропать фаерволлом

Answer 2

[Юрий MikroTik]

1. Делаешь Vlan гостя
2. Изолируешь на firewall трафик
3. Ставишь точку доступа mikrotik в режиме caps Mode
4. Настаиваешь на RB2011 CAPsMAN

RB2011 очень старая и слабая железка - лучше обновиться например на RB5009

Comments

[Ziptar]

RB2011 очень старая и слабая железка

Но она работает, зараза! Как часы работает!

Не вижу смысла тут с capsman возиться, кстати. Это ничего не даёт с одной точкой доступа, а сам по себе он сильно менее интуитивно понятен, чем прямая тупая настройка интерфейса.

[Юрий MikroTik]

Ziptar, работает до появления туннелей... и упирается в 20Мбит.

CAPsMAN гибче, чем Standalone настройка

[Ziptar]

Юрий MikroTik,

работает до появления туннелей... и упирается в 20Мбит.

ну с аес да, но я лично пришёл к тому, что лучше держать впн сервер на отдельной вм на сервере

CAPsMAN гибче, чем Standalone настройка

Мнээ, нет, ну тебе виднее, конечно, я то мимопроходил в конце то концов, но мне оно так не показалось.

[Юрий MikroTik]

Ziptar, я про гибче, а не проще :)

[Ziptar]

Юрий MikroTik, читать я умею, я правда не вижу в чём он гибче, то есть что там можно настроить такого, что нельзя в standalone настройке?

[Юрий MikroTik]

Ziptar, даже не знаю с чего начать...
В 7 версии на qcom CAPsMAN запихнули в WiFi и настройка Standalone мало чем отличается от CAPsMAN

[Ziptar]

Юрий MikroTik, ну так, снова, в чём гибче то, если разницы, кроме автоматического добавления в бридж и влан, никакой, но всё распихано по нескольким интерфейсам, что для настройки одиночной точки доступа неудобно, а профита никакого?