Configurar AP D-Link DAP-1353 para prestar servicio en dos VLAN diferentes

<div class="separator" style="clear: both; text-align: justify;">El punto de acceso <b>D-Link DAP-1353</b> ofrece soporte <b>Multi SSID</b>, lo que nos va a permitir difundir hasta un máximo de 4 redes inalámbricas diferentes utilizando un único punto de acceso. Ésto es algo verdaderamente interesante porque podemos definir diferentes mecanismos de seguridad para cada SSID.</div><div class="separator" style="clear: both; text-align: justify;"><br /></div><div class="separator" style="clear: both; text-align: justify;">Por ejemplo, en mi centro tengo definido una seguridad WPA2 Enterprise para los usuarios que se conectan a la intranet del centro vía wifi y quien autoriza el acceso es un servidor freeradius que consulta los usuarios en el servidor ldap:</div><div class="separator" style="clear: both; text-align: left;"><br /></div><div class="separator" style="clear: both; text-align: center;"></div><div class="separator" style="clear: both; text-align: center;"></div><div class="separator" style="clear: both; text-align: center;"></div><div class="separator" style="clear: both; text-align: center;"><img border="0" height="318" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhoSOK5fLZCguNkmvmfSxApy-kAXBbjFrD3yc1zXWw98abqVa-KRDO_gHPpZnqkhQn66UJOJT6x8EIgTXRZmdBey83ijZczuwn7H9O-6GwhMABKF-stKOZkrloUCbk_o_ExZzwfuBtpxdlp/s1600/Selecci%C3%B3n_060.png" width="320" /></div><br /><div style="text-align: justify;">Como sabemos que en un futuro no muy lejano los usuarios deberán traer su propio dispositivo para conectarse a la red, y aún no nos han contado cuál va a ser la infraestructura de que dispondremos, me ha parecido conveniente montar un servidor que permita el acceso de dispositivos ajenos al centro garantizando una cierta seguridad y control, de tal manera que los usuarios de estos dispositivos se conectarán mediante puntos de acceso abiertos a través de un portal cautivo. </div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">Naturalmente, todo ésto requiere unos cuantos cambios y supone un trabajo extra al que no puedo dedicarle todo el tiempo que me gustaría, pero poco a poco lo iré terminando.</div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">De momento, necesito que los equipos portátiles del centro se puedan seguir conectando mediante WPA2 Enterprise; básicamente porque necesito que establezcan conexión inalámbrica en el inicio, sin tener que esperar a que el usuario acceda a través del portal cautivo. Pero también quiero que sea posible conectar cualquier equipo de forma inalámbrica, independientemente del sistema operativo de que éste disponga (y las complicaciones que tienen algunos para conectarse con determinados tipos de seguridad, como los Apple o algunas versiones de Windows)</div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">Para mantener ambos modos de acceso, en los D-Link DAP-1353 he definido un nuevo SSID con modo de seguridad Abierta sin contraseña y lo he asociado a la VLAN en la que se conectarán los dispositivos externos que vayan a acceder a la red de forma inalámbrica:</div><br /><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEho0SiKjJZ_NMNHINZmEUHeYNZ_vuDZHskoub7-gM-ke_xIMHe_9L5mzPKu6VRwELZGilSp2_fJXnDfEh_0NuN09G_S9QMPmX7GVshnEY0naBYbDSmQxuHQXxhG9ejBwjtTKxYa1FO7Fb34/s1600/Selecci%C3%B3n_061.png" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="320" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEho0SiKjJZ_NMNHINZmEUHeYNZ_vuDZHskoub7-gM-ke_xIMHe_9L5mzPKu6VRwELZGilSp2_fJXnDfEh_0NuN09G_S9QMPmX7GVshnEY0naBYbDSmQxuHQXxhG9ejBwjtTKxYa1FO7Fb34/s1600/Selecci%C3%B3n_061.png" width="318" /></a></div><br /><div style="text-align: justify;">Lo realmente interesante de todo ésto es que podemos asignar una Vlan diferente para cada SSID, de tal manera que la seguridad WPA2 Enterprise siga utilizándose en la red interna y se permita un acceso sin contraseña en la Vlan 3, donde tengo un portal cautivo para controlar el acceso de los usuarios:</div><br /><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhVy7uXVxnLFM4IRmtUOhZ3WSEpESTKiD5qXWPQ9ovWiQfltbP9wqmN-4v_PAtnl8LsdOsIMdHo28PSstMdrkUcMJ-UuqwCKGMTyl8FW6u14tzAAOeVk_h-h3c-4XpH1pZMaTSLJdrq3_5y/s1600/Selecci%C3%B3n_062.png" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="247" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhVy7uXVxnLFM4IRmtUOhZ3WSEpESTKiD5qXWPQ9ovWiQfltbP9wqmN-4v_PAtnl8LsdOsIMdHo28PSstMdrkUcMJ-UuqwCKGMTyl8FW6u14tzAAOeVk_h-h3c-4XpH1pZMaTSLJdrq3_5y/s1600/Selecci%C3%B3n_062.png" width="320" /></a></div><br /><div style="text-align: justify;">En la Vlan 1 dejaremos los puertos <b>Mgmt</b>, <b>LAN</b> y <b>Primary</b> sin etiquetar (untagged) y el resto (MSSID y WDS) los marcaremos como no miembros:</div><br /><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhTTnGsH3jvbgn4w-BDsfs7fDzBq_6_lIZy0PWoKoVebgdSJIAHrpMQ6A5p_i-k-RjJuwo8yth-GIv3ShCX40rAFQtn9cJUDdcMzxA27Z1iBcpKQs2Gsx-4I0gsWIOLNqkPnc7SmpeDrovq/s1600/Selecci%C3%B3n_063.png" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="247" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhTTnGsH3jvbgn4w-BDsfs7fDzBq_6_lIZy0PWoKoVebgdSJIAHrpMQ6A5p_i-k-RjJuwo8yth-GIv3ShCX40rAFQtn9cJUDdcMzxA27Z1iBcpKQs2Gsx-4I0gsWIOLNqkPnc7SmpeDrovq/s1600/Selecci%C3%B3n_063.png" width="320" /></a></div><br /><div style="text-align: justify;">En la Vlan 3 (la Vlan que he definido para el acceso inalámbrico) dejaremos los puertos de la siguiente manera:</div><ul><li><b>Mgmt</b>: Not member.</li><li><b>LAN</b>: Tagged.</li><li><b>S-1</b>: Untagged. </li><li>Y el resto (MSSID y WDS) los marcaremos como no miembros.</li></ul><div style="text-align: justify;">Es decir, que en la Vlan 3 el puerto S-1 que se corresponde con el Multi-SSID1, lo dejaremos sin etiquetar para recibir el tráfico de esta Vlan en este SSID. Y el puerto LAN será tagged para permitir el tráfico de la Vlan entre el Punto de Acceso y el Switch donde está conectado y cuyo puerto se encuentra etiquetado para recibir tráfico de las dos Vlan:</div><br /><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjQJuB1rJYLhglnJ3vesKo3I_g2TJXYlGtd6YnoYcUSOBgZNJ1PfPtZ_zjBZnDNQj9VfzxwybBS4rPubW1MpyVNb47u3HMnSFU-z9AGuIyJSbr8zsALtDqoskjuLHwQf7_QG7A1oYDyQxKB/s1600/Selecci%C3%B3n_064.png" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="247" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjQJuB1rJYLhglnJ3vesKo3I_g2TJXYlGtd6YnoYcUSOBgZNJ1PfPtZ_zjBZnDNQj9VfzxwybBS4rPubW1MpyVNb47u3HMnSFU-z9AGuIyJSbr8zsALtDqoskjuLHwQf7_QG7A1oYDyQxKB/s1600/Selecci%C3%B3n_064.png" width="320" /></a></div><span id="zsprotentradas">Publicado por primera vez en http://enavas.blogspot.com.es</span>

• 
• 
• 
• 
• 

1. 1
2. 2
3. 3
4. 4
5. 5

• Previous
• Next

Configurar AP D-Link DAP-1353 para prestar servicio en dos VLAN diferentes

El punto de acceso D-Link DAP-1353 ofrece soporte Multi SSID, lo que nos va a permitir difundir hasta un máximo de 4 redes inalámbricas diferentes utilizando un único punto de acceso. Ésto es algo ver…

Leer más »

Algunas cuestiones básicas sobre VLAN

<div style="text-align: justify;">Aprovechando que un compañero me ha preguntado sobre el tema de las VLAN y que actualmente estoy trabajando con ellas, voy a comentar una serie de cuestiones básicas.</div><br /><div style="text-align: justify;">Para los que no lo sepan, una VLAN (Virtual Local Area Network) es una red lógica dentro de una red física, de tal manera que dentro de una red física vamos a poder crear diferentes redes lógicas que se encuentren aisladas entre sí.</div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">Naturalmente, para poder crear VLAN's necesitamos que nuestros switches implemente esta facilidad.</div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">Hay diferentes tipos de VLAN:</div><ul><li><b>Vlan basadas en puerto</b> (vlan de nivel 1): Permiten definir redes virtuales agrupando puertos en el switch o switches.</li><li><b>Vlan basadas en la dirección MAC</b> (vlan de nivel 2): Permiten crear redes virtuales agrupando las direcciones MAC de los equipos que pertenecen a dicha red.</li><li>Vlan de nivel 3:</li><ul><li><b>Vlan basadas en dirección IP</b>: Permiten crear redes virtuales agrupando las direcciones IP de los equipos que pertenecen a la vlan.</li><li><b>Vlan basadas en protocolo</b>: Permiten crear redes virtuales agrupando los equipos que comparten el mismo protocolo en la red.</li></ul></ul><div style="text-align: justify;">Las más comunes y las que más solemos utilizar son las Vlan basadas en puerto. Por lo tanto, vamos a centrarnos en ellas:</div><ul><li style="text-align: justify;">En una Vlan basada en puerto, la VLAN 1 suele ser la vlan por defecto. A ella se encuentran asignados todos los puertos sin etiquetar (untagged).</li><li style="text-align: justify;">Un puerto sin etiquetar (untagged) sólo puede pertenecer a una única VLAN.</li><li style="text-align: justify;">Un puerto etiquetado (tagged) puede pertenecerá a más de una VLAN.</li><li style="text-align: justify;">Utilizaremos puertos etiquetados para "propagar" una VLAN a través de varios switches. Las etiquetas permiten identificar las tramas de una VLAN entre diferentes switches.</li><li style="text-align: justify;">Utilizaremos puertos sin etiquetar para conectar hosts, elementos de red sin soporte de VLAN y routers.</li><li style="text-align: justify;">Habitualmente, los switches nos permiten configurar las VLAN desde una interfaz web o desde un terminal, por ejemplo conectándonos vía telnet. Configurar un switch desde terminal nos permite modificar mayor número de detalles que desde el interfaz web.</li><li style="text-align: justify;">Los switches 3com tienen un interfaz web de configuración más intuitivo que los Dlink.</li><li style="text-align: justify;">Cuando en un switch Dlink queremos asignar un puerto a un host de tal manera que sea un puerto sin etiquetar, debemos definir el identificador de la Vlan de este puerto en la sección "Port Vlan ID".</li><li style="text-align: justify;">Los switches disponen de una opción para monitorizar las Vlan, de tal modo que podemos asegurarnos si la asignación de puertos a cada Vlan es correcta.</li><li style="text-align: justify;">Es muy importante monitorizar las tablas de enrutamiento porque nos van a permitir comprobar a través de qué puertos se llega a las diferentes Vlan configuradas en los switches.</li><li style="text-align: justify;">Si queremos utilizar un punto de acceso con MultiSSID que permita mostrar diferentes SSID y que cada SSID dé servicio en una red diferente, tendremos que configurar y asociar Vlan a los diferentes SSID.</li><li style="text-align: justify;">En nuestro centro disponemos de una Vlan específica para la telefonía VoIP, además de otras Vlan's que definen diferentes redes de datos. </li></ul><span id="zsprotentradas">Publicado por primera vez en http://enavas.blogspot.com.es</span>

Algunas cuestiones básicas sobre VLAN

Aprovechando que un compañero me ha preguntado sobre el tema de las VLAN y que actualmente estoy trabajando con ellas, voy a comentar una serie de cuestiones básicas.Para los que no lo sepan, una VLAN…

Leer más »