Как настроить на роутере несколько wi-fi сетей с одной точкой интернета, но по разным протоколам?

Question

[Олег Степанов]

Добрый день.
Хочу дома организовать, наверно немного странную схему, нескольких wi-fi сетей. Хотел узнать у профессионалов, возможно ли такое или нет.
Дома есть несколько ноутбуков, телефонов и xbox, которые инет получают через обычную wi-fi сеть. Хочу сделать 3 сети для каждой из групп получателей:

• Компы и телефоны. Хочу чтобы все клиенты этой сети получали интернет через какой-либо шифрованный vpn.
  
• Xbox. Просто хочу, чтобы он имел отдельную сетку и никто не видел его. Возможно для него и не нужно будет беспроводной сети, так как думаю его подключить через провод.
  
• Гостевая сеть. Хочу открытую сеть для гостей, но при этом чтобы был фильтр по доступным сайтам.
  

Причем основной доступ в интернет у меня 1 обычный кабель витой пары.
Хотел бы узнать можно ли вообще такое поднять на обычном роутере и если да, то какая модель позволит такое.

Заранее спасибо за помощь.

Comments

[iBird Rose]

3 роутера и вперед)

[Олег Степанов]

iBird Rose, Слишком затратно :)

Answer 1

[vreitech]

нужен отдельный роутер (какой-нибудь дешёвый Mikrotik) и точка доступа (например, Linksys LAPN300) с поддержкой VLAN. на роутере делаете нужное вам количество подсетей со своими номерами VLAN, также делаете VPN-подключение к какому-либо поставщику VPN; одну подсеть роутите через этот VPN, остальные пускаете напрямую. ну а точка доступа будет раздавать WI-FI для этих VLAN.

Comments

[Олег Степанов]

Спасибо за помощь. Я конечно в сетях вообще ничего не понимаю, но вроде как примерно понял, о чем вы. Я правильно понимаю, что инет приходит в роутер, там по сеткам раскидывается, и точка доступа уже раздает его?
А не подскажите можно ли как то настроить фильтрацию сайтов только для гостевой сетки?

[vreitech]

Олег Степанов, да, роутеру - и по подсетям. насчёт фильтрации сайтов не скажу - этим функционалом в микротиках не пользовался, но вроде как должон быть.

[Олег Степанов]

Филипп, Большое спасибо за ответ

[l0ser140]

А зачем отдельная точка доступа, если можно взять микротик с wifi?

Пункты 1 и 2 можно реализовать и внутри одного SSID, просто отключив форвардинг между клиентами, а дальше разрулить всё правилами фаервола.

Насчет фильтрации сайтов - есть много разных схем:
Из просто реализуемых:
Фильтрация DNS запросов.
Фильтрация по IP адресам серверов.

Для первого в микротике есть Layer7 фильтр в фаерволе, для второго возможность добавлять в адрес листы по hostname.

[vreitech]

l0ser140, можно, всё можно. я пишу то, как делал бы я.

[Олег Степанов]

l0ser140, Если честно, то не совсем понял вас, но если можно то расскажите пожалуйста немного по подробнее. Я просто в этом не особо понимаю

[l0ser140]

Олег Степанов А что именно непонятно?

[Олег Степанов]

l0ser140, не понятно что конкретно нужно делать тут:
"Пункты 1 и 2 можно реализовать и внутри одного SSID, просто отключив форвардинг между клиентами, а дальше разрулить всё правилами фаервола."

[l0ser140]

Ну для начала поднимаете VPN туннель по вкусу.

Потом отключаете default forwarding в настройках wifi сети. С этой настройкой весь трафик между wi-fi клиентами будет ходить через процессор, а соответственно и firewall.
Затем в фаерволе запрещаете с ip вашего Хбокса любые соединения, кроме исходящих наружу. Ну и вторым правилам любые соединения с ip Хбокса. Выходит, что Хбокс никуда не может, кроме как во внешнюю сеть и внутри вашей сети его тоже никто не видит на l3 уровне.

Чтобы определённых клиентов через ваш VPN туннель маршрутизировать - сначала маркируете соединения от желаемых клиентов, а потом в таблице маршрутизации прописываете маршрут через ваш VPN для пакетов с соответствующей меткой.

Можете маркировать весь трафик с wi-fi интерфейса, можете от отдельных клиентов по IP, это уже как именно хотите.

Answer 2

[Pavel R]

Поднять две wifi (обычную и гостевую) сети сможет, например Zyxel Keenetic Giga III, но это без VPN

Comments

[Олег Степанов]

а как тогда сделать чтобы они получали интернет из одного провода?

[Ezhyg]

Олег Степанов, две сети - обычная + гостевая может большинство домашних роутеров (начиная с ADSL-мопедов с точкой доступа), выдачу им интернета обеспечивает роутер (маршрутизатор), потому что это и есть его основная функция.

[Олег Степанов]

Ezhyg, если просто взять обычный роутер и включить основную и гостевую сеть то они будут питаться от одного интернета. Вся суть в другой схеме. В вопросе есть описание схемы которую мне нужно, а то что вы предлагаете это не много другое.

[Ezhyg]

Олег Степанов, так и я отвечал только на один вопрос, прозвучавший в комментарии :).

а как тогда сделать чтобы они получали интернет из одного провода?

Не надо ничего делать, оно само именно так и настраивается. Обычно. Почти всегда. :D

Есть варианты и с запасным каналом, когда приходят "два интернета", есть варианты типа OpenWRT, где гостевая сеть и настройка получения ей интернета делается вручную. Хотя там вообще можно настроить почти что угодно и как угодно.

[Олег Степанов]

Ezhyg, по моему вы не много не понял что я хочу. Я хочу чтобы у меня было 2 обычные сетки и 1 гостевая. Одна сетка должна весь трафик гнать через vpn, другая должна получать интернет напрямую, обычным способом. Гостевая сетка тоже должна получать обычным способом интернет, но трафик должен фильтроваться по списку разрешенных мной сайтов.

[Ezhyg]

Олег Степанов, да всё я понял. Чай, не глупее паровоза.

Мой ответ был в противовес этому утверждению:

сможет, например Zyxel

Потому что это же самое может почти любой роутер. А "форсинг" зухелей - уже утомил.