Aiuto Configurazione Omada SDN - Vlan

bortolotti80 · 25 set 2022

giosdm Cosa ne pensate di prendere un router "omada compatibile" da una sessantina di euro e metterlo dietro il router dell'isp?

Sicuramente ti semplifica la vita perché hai a che fare con un unico vendor, perciò risolvi i problemi delle impostazioni differenti e della confusione che ne deriva, oltretutto avresti un router che gestisce più subnet e VLAN, sicuramente è più semplice

Avresti nel caso due opzioni, lasciare come Gateway quello del ISP, mettendo l'omada in DMZ (perciò utilizzi il firewall e la WAN del omada)

Altrimenti utilizzi l'omada come Gateway instauri la connessione ad internet con quello, metti il router dell'ISP in LAN (a cascata dell'omada) apri le porte per il VOIP dall'omada verso il router ISP e dovrebbe funzionare come un ATA (In questo caso potresti chiedere se fosse fattibile e le porte necessarie al tuo ISP), io se possibile tendo a preferire questa soluzione

Nulla è impossibile sia chiaro, io ho fatto un'impostazione simile (più semplice) a quella che stai tentando (router stupido che gestisce al massimo 2 subnet senza VLAN) switch che gestisce le subnet e VLAN e si occupa di fare un minimo di routing per servire i pacchetti al router a due porte ognuna con la propria subnet, una delle difficoltà maggiori è non tanto progettare teoricamente ciò che si vuole fare ma tradurre la teoria nelle impostazioni di due device differenti, che magari non supportano interamente la teoria

Nel tuo caso, non capisco se il gateway ha una porta dedicata a ogni subnet o se supporta le VLAN

[cancellato] · 25 set 2022

giosdm potrebbe mandarmi a quel paese a breve.

Ma no È che io ho un setup non dissimile dal tuo, anzi, per qualche verso anche più complicato (6 VLAN, switch L3 in cascata fra loro, con parte del routing inter-VLAN fatto sugli switch, firewall e router separati) - e funziona tutto senza particolari problemi. I dispositivi sono tutti diversi (il modem/router internet è DrayTek, il firewall è pfSense, gli switch sono HP e Cisco) - non c'è nulla di proprietario da fare nelle configurazioni, sono tutte configurazioni Ethernet e TCP/IP standard.

Però uno dei segreti è 1) partire con le configurazioni semplici e poi aggiungere complessità, specialmente se non si ha una grande esperienza 2) verificare con gli appositi strumenti dove diavolo i pacchetti si fermano.

giosdm invece gli ap risultano disconnessi

Gli AP sono connessi a porte di trunk che fanno passare tutte le VLAN che gestiscono, inclusa quella che viene usata per gestirli? I vari switch, ap, router, ecc. è di solito meglio che abbiano IP statici o assegnati via DHCP reservation, così che non cambino in continuazione rendendoli più difficili da raggiungere, specialmente se non si ha un DNS integrato con il DHCP.

Ma come ho desto sopra, dovresti cominciare ad avere la VLAN/subnet tra switch e router e quella tra tra switch e PC funzionanti. Poi da lì cominci ad aggiungere gli altri pezzi.

Edit: ricapitolando, devi cominciare a fare funzionare una cosa così:

Questa è la configurazione "base" e si fa tutta con porte solo in access mode (non servono trunk). Attenzione che le porte siano configurate con le VLAN giuste. Se funziona questo significa che il routing funziona. Poi si può passare ad aggiungere nuove VLAN/subnet sullo switch, aggiungendo le rotte sia sullo switch che sul router.

Poi si possono aggiungere gli access point che se devono gestire più VLAN vanno messi su porte configurate come trunk sullo switch e sull'AP

Verifiche da fare:

verificare la tabella di routing effettiva dello switch
verificare la tabella di routing effettiva del router
il PC pinga lo switch
il router pinga lo switch
traceroute PC - il router
traceroute router - PC

giosdm · 26 set 2022

bortolotti80 Altrimenti utilizzi l'omada come Gateway instauri la connessione ad internet con quello, metti il router dell'ISP in LAN (a cascata dell'omada) apri le porte per il VOIP dall'omada verso il router ISP e dovrebbe funzionare come un ATA (In questo caso potresti chiedere se fosse fattibile e le porte necessarie al tuo ISP), io se possibile tendo a preferire questa soluzione

Alla fine forse sceglierò questa soluzione, mi sembra abbastanza ragionevole e con una spesa contenuta mi semplifico la vita, ma per ora voglio continuare a sbatterci la testa, quantomeno mi faccio una cultura in merito evitando azioni meccaniche di cui poi non saprei prevedere o risolvere problemi. Siete davvero preziosi

bortolotti80 le porte necessarie al tuo ISP
Intendi la porta che mi hanno fornito nei parametri di configurazione del voip?

giosdm · 26 set 2022

[cancellato] Nel pomeriggio mi ci metto e inizio da zero collegando solo router, switch e controller su pc windows e ti aggiorno

giosdm · 26 set 2022

bortolotti80 le porte per il VOIP dall'omada verso il router ISP e dovrebbe funzionare come un ATA

Scusa, poi ho dimenticato di chiedere se la porta che intendi è quella fornita da pianetafibra per la configurazione del voip?

La 5060, che poi è quella del grandstream ht801 quindi suppongo di si

bortolotti80 · 26 set 2022

giosdm ma per ora voglio continuare a sbatterci la testa

Sicuramente è più formativo e dà maggiore soddisfazione ahahah

giosdm

Esatto, il principio è di accettare il traffico in ingresso dal Gateway verso il router del ISP, mentre la direzione inversa dei pacchetti non ha problemi a livello di firewall

Dopodiché per collegare i telefoni utilizzerai la porta del router del ISP

È stato trattato in altri thread https://forum.fibra.click/d/12084-voip-router-in-cascata, ma ogni situazione può avere le proprie problematiche, preferibilmente vorresti avere un solo Nat sul Gateway

Buon Lavoro

giosdm · 5 ott 2022

[cancellato]
Alla fine ci ho provato in tutti i modi, anche con la mossa della disperazione di sentire tim e il suo supporto. Dal forum sono stati molto gentili, ma dato le mie limitate conoscenze, ho dovuto desistere.
Ho preso un gateway omada e amen.
Ora però ho anche scoperto che ho una grandi lacune o meglio una gran confusione su come organizzare il tutto.
Parto dalla prima domanda, così a catena tutte le altre verranno invalidate
Se ho un NAS connesso alla porta 3 dello switch, che fa passare tutte le vlan, ha indirizzo ip 192.168.0.18 sulla LAN (quella che vorrei tenere solo per me untagged), posso renderlo disponibile alla vlan dipendenti (192.168.20.1/24) e a quella privata (192.168.10.1/24) impendendo però alla vlan dipendenti di vedere tv, nvidia shield, telecamere ecc che sono sulla privata?
Ovviamente ad ora dalla subnet dipendenti e da quella privata non posso vedere il NAS (192.168.0.18).
Ciò che chiedo è possibile o è contro il principio stesso di funzionamento delle vlan come sto iniziando a sospettare?
Grazie mille sempre

bortolotti80 · 5 ott 2022

giosdm posso renderlo disponibile alla vlan dipendenti (192.168.20.1/24) e a quella privata (192.168.10.1/24) impendendo però alla vlan dipendenti di vedere tv, nvidia shield, telecamere ecc che sono sulla privata?

Dovresti riuscire in qualche modo, una soluzione che io avevo con un NAS era la doppia porta ethernet, poteva andare a 2Gbps su singola rete oppure 1Gbps su due reti separate

Altrimenti dovresti poter far comunicare tra loro le VLAN, consentendo però solo il traffico da e verso il nas : https://community.tp-link.com/en/business/forum/topic/269656

giosdm · 5 ott 2022

bortolotti80 Esatto, il principio è di accettare il traffico in ingresso dal Gateway verso il router del ISP, mentre la direzione inversa dei pacchetti non ha problemi a livello di firewall

Tra l'altro ora mi trovo anche nella situazione di dover capire come usare il mio modem come adattatore ata e usare le sue porte dsl.
Ho resettato il tim hub+
Disattivato dhcp e assegnato ip nella LAN di omada 192.168.0.201
Configurato solo i parametri voip
aperto la porta 5060 dal gateway di omada
Ovviamente i numeri, che con il tim hub attaccato all'ont funzionano perfettamente, risultano non registrati.
Ti posto qualche screen per vedere se ho ben capito cosa c'è da fare per registrarli.
Considera che i parametri del voip sono tutti corretti, perché come ti dicevo i due numeri si registrano correttamente quando a fare da modem/router è il tim hub+

giosdm · 5 ott 2022

bortolotti80 Dovresti riuscire in qualche modo, una soluzione che io avevo con un NAS era la doppia porta ethernet, poteva andare a 2Gbps su singola rete oppure 1Gbps su due reti separate

Altrimenti dovresti poter far comunicare tra loro le VLAN, consentendo però solo il traffico da e verso il nas : https://community.tp-link.com/en/business/forum/topic/269656

Ecco, ce l'avevo sotto il naso.
Quindi devo assegnare un profilo alle due porte ethernet dello switch che andranno al nas, una la taggo privata e l'altra dipendenti. Così i due dipendenti vedranno il nas dai loro pc che dirotterò sulla subnet dipendenti.
Io invece potrò continuarlo a vedere sulla LAN principale al suo indirizzo 192.168.0.18, oltre che su 192.168.10.x e 192.168.20.x? Il mio pc è anche il controller quindi immagino di doverlo tenere sulla LAN untagged.

bortolotti80 · 5 ott 2022

giosdm
Sembrerebbe giusto, come diceva @[cancellato] potresti per sicurezza limitare il source IP, ma come test dovrebbe andare, a meno che gli servano altre porte

giosdm
https://youtu.be/UBtPme0RQ2U
Qui c'è un esempio pratico circa minuto 23.00, è un canale che seguo non dovrebbe fare errori e dovrebbe essere preciso, spiega come utilizzare le ACL

Con il router omada c'è comunque bisogno del controller?

giosdm Disattivato dhcp e assegnato ip nella LAN di omada 192.168.0.201

Da telefono non avevo visto bene, comunque io proverei a mantenere il router del ISP non in LAN, la prima prova da fare è collegarlo alla LAN untagged del router omada, tramite la sua porta WAN, in questo modo la configurazione è simile a quella con l'ont, il DHCP in questo modo puoi lasciarlo abilitato, connettendoti alle LAN del router ISP puoi settarlo, lui in automatico dovrebbe aprire le porte necessarie al VoIP verso la WAN esposta alla LAN di omada

Altra cosa, prova a mettere i DNS di pianeta fibra (tuo ISP) nel router ISP (tplink)

giosdm · 5 ott 2022

bortolotti80 Sembrerebbe giusto, come diceva @kmorwath potresti per sicurezza limitare il source IP, ma come test dovrebbe andare, a meno che gli servano altre porte

Limitarlo a quale ip, quello del gateway omada 192.168.0.1?

bortolotti80 Qui c'è un esempio pratico circa minuto 23.00, è un canale che seguo non dovrebbe fare errori e dovrebbe essere preciso, spiega come utilizzare le ACL

Con il router omada c'è comunque bisogno del controller?

Si, viene disabilitata la modalità standalone del router quando lo adotti in omada.
Invece per la stampante come potrei fare?
Le acl mi permettono di bloccare l'accesso a guest su tutte le reti, dipendenti su tutte le reti e private su lan, e fin qui ci sono. Ma come risolvo in questi scenari:

se in ufficio ho un pc/controller su lan (untagged), uno su "dipendenti" (vlan 20) e la stampante in wifi sull'access point che trasmette tutte le reti, come faccio a farli comunicare con la stampante e tra di loro.
come posso trasmettere file sul desktop del pc del mio dipendente se io sono su lan o private e lui su dipendenti?

Col NAS ho parzialmente risolto. Una porta su private, una su dipendenti e le prove vanno a buon fine, anche se dovrei capire poi come accedervi da LAN cioè untagged principale.

So che la miglior soluzione sarebbe isolare ufficio, privato e guest e avere dispositivi adibiti solo a quegli scopi, ma essendo casa e attività mi chiedevo se fosse possibile quello che chiedo, scusandomi se sono stupidaggini.

giosdm · 5 ott 2022

giosdm se in ufficio ho un pc/controller su lan (untagged), uno su "dipendenti" (vlan 20) e la stampante in wifi sull'access point che trasmette tutte le reti, come faccio a farli comunicare con la stampante e tra di loro.

come posso trasmettere file sul desktop del pc del mio dipendente se io sono su lan o private e lui su dipendenti?

Qui ho parzialmente risolto collegandomi alla rete wifi dell'ufficio con il pc connesso allo switch, quindi vedo sia una che l'altra. Un po' un accrocchio, ma quando ho bisogno della stampante o del pc in ufficio mi basta restare connesso a entrambi, o nel caso di un altro dispositivo, basta switchare la rete wifi e amen.

giosdm · 5 ott 2022

bortolotti80 Da telefono non avevo visto bene, comunque io proverei a mantenere il router del ISP non in LAN, la prima prova da fare è collegarlo alla LAN untagged del router omada, tramite la sua porta WAN, in questo modo la configurazione è simile a quella con l'ont, il DHCP in questo modo puoi lasciarlo abilitato, connettendoti alle LAN del router ISP puoi settarlo, lui in automatico dovrebbe aprire le porte necessarie al VoIP verso la WAN esposta alla LAN di omada

Dunque,
collegato il timhub alla lan del gateway tramite porta wan
lasciato dhcp e subnet in 192.168.1.1
configurtazione voip come prima
portforwarding della 5060 da omada a 192.168.1.1

niente, non registra

Non so perché la lan del gateway assegna l'indirizzo 192.168.10.144 al tim hub appena collegato.

[cancellato] · 5 ott 2022

giosdm Io invece potrò continuarlo a vedere sulla LAN principale al suo indirizzo 192.168.0.18, oltre che su 192.168.10.x e 192.168.20.x?

Attenzione alla differenza fra VLAN e subnet. Le prime funzionano a livello Ethernet (L2), le seconde a livello TCP/IP (L3). Di solito si associa una VLAN ad una subnet, ma non c'è un obbligo specifico, è solo una comodità per assicurare che dispositivi su subnet diverse non possano tentare di comunicare fra loro se non passando per i router/firewall designati.

Il fatto che su una porta passino più VLAN quindi non comporta automaticamente che un dispositivo collegato a quella porta possa comunicare su tutte le subnet associate alle VLAN, se non configurato per ogni VLAN e subnet. Se il dispositivo lo supporta è possibile creare tante interfacce di rete "virtuali" quante sono le VLAN su quella porta, e per ognuna assegnare quindi un indirizzo IP.

Se il NAS ti permette di farlo puoi quindi creare tante interfacce quante sono le VLAN attestate, e configurare gli IP per ogni subnet. In questo modo ad esempio dipendenti vedranno il NAS come connesso alla loro rete, e non c'è bisogno di fare routing tra la subnet dei dipendenti e quella del NAS, routing che senza un firewall (o ACL sullo switch) gli darebbe accesso anche ad altri dispositivi sulla subnet del NAS.

Nel tuo caso il NAS immagino prenda l'IP solo sulla VLAN untagged (la 1, associata alla subnet 192.168.0.0/24) perché le altre non sono configurate (sul NAS), e saranno ignorate dalla sua interfaccia di rete.

giosdm e in ufficio ho un pc/controller su lan (untagged), uno su "dipendenti" (vlan 20) e la stampante in wifi sull'access point che trasmette tutte le reti, come faccio a farli comunicare con la stampante e tra di loro.

Se isoli le reti è perché non vuoi che comunichino fra di loro I servizi "comuni" si possono mettere su una subnet apposita che è raggiungibile da tutte le altre reti. Queste cose però si fanno meglio con un firewall che permette di limitare gli accessi, ad esempio le stampanti sono sì raggiungibili da tutti ma solo per dire sulla porta 9100 di JetDirect. Idem per un NAS che si può rendere accessibile solo via SMB, tranne che per la subnet degli amministratori che possono accedere anche all'interfaccia d amministrazione.

giosdm come posso trasmettere file sul desktop del pc del mio dipendente se io sono su lan o private e lui su dipendenti?

Dovresti fare un'area di scambio ad esempio sul NAS. Non puoi avere l'isolamento e l'accesso - è come la proverbiale moglie e botte.

giosdm Tra l'altro ora mi trovo anche nella situazione di dover capire come usare il mio modem come adattatore ata

Vedo che c'è una pagina "ALG". Puoi provare prima ad usare l'Application Layer Gateway per VoIP. Se funziona con quello, non devi configurare altro.

Altrimenti se metti l'ATA in cascata, il problema principale è che non ha più un indirizzo pubblico. Poiché per chiamarti il server SIP deve iniziare una connessione dall'esterno, deve sapere a che IP pubblico chiamarti. Quell'IP viene comunicato nella registrazione. Ma se l'ATA ha un IP privato gli passerà quello, ma così non può funzionare.

ALG prova a rimediare intercettando il traffico e modificando IP e porte come necessario. Se è scritto bene, ed è in grado di interpretare il traffico SIP correttamente, tutto funziona senza fare altro. Altrimenti bisogna far sì che l'ATA conosca l'IP pubblico assegnato alla tua connessione. Se l'IP è statico, basta inserirlo nella configurazione dell'ATA. Se è dinamico occorre far sì che l'ATA possa trovare qual è - ad esempio usando il protocollo STUN. STUN serve anche per determinare il tipo di NAT e il mapping delle porte, perché non è detto che il NAT usi esternamente la stessa porta che l'ATA usa internamente.

giosdm · 5 ott 2022

[cancellato] Il fatto che su una porta passino più VLAN quindi non comporta automaticamente che un dispositivo collegato a quella porta possa comunicare su tutte le subnet associate alle VLAN, se non configurato per ogni VLAN e subnet. Se il dispositivo lo supporta è possibile creare tante interfacce di rete "virtuali" quante sono le VLAN su quella porta, e per ognuna assegnare quindi un indirizzo IP.

Questa cosa è fattibile in mac o windows? Posso effettivamente avere un solo cavo ethernet ed essere connesso a due subnet ?

[cancellato] Se il NAS ti permette di farlo puoi quindi creare tante interfacce quante sono le VLAN attestate, e configurare gli IP per ogni subnet. In questo modo ad esempio dipendenti vedranno il NAS come connesso alla loro rete, e non c'è bisogno di fare routing tra la subnet dei dipendenti e quella del NAS, routing che senza un firewall (o ACL sullo switch) gli darebbe accesso anche ad altri dispositivi sulla subnet del NAS.

Il nas ha due porte ethernet adesso entrambe collegate. Una sulla porta 14 dello switch assegnata alla subnet dipendenti e una che va sulla lan untagged (questo mi serve necessariamente per la vpn). La vpn wireguard viene generata dal nas qnap, dunque le due interfacce fisiche fanno capo a un'interfaccia virtuale.
Ora non avendo una terza ethernet non so come mettere il NAS anche sulla privata.
Ti posto uno screen perché potrei aver detto una sfilza di imprecisioni.

[cancellato] Nel tuo caso il NAS immagino prenda l'IP solo sulla VLAN untagged (la 1, associata alla subnet 192.168.0.0/24) perché le altre non sono configurate (sul NAS), e saranno ignorate dalla sua interfaccia di rete.

Si, infatti ho dovuto creare un'altra interfaccia di rete virtuale che prendesse l'ip dal dhcp private taggando la porta14

C'è un metodo meno macchinoso per far sì che il nas sia visto dalle tre subnet che mi interessano. Credo proprio di si, ma non mi viene in mente.

giosdm · 5 ott 2022

[cancellato] Se isoli le reti è perché non vuoi che comunichino fra di loro I servizi "comuni" si possono mettere su una subnet apposita che è raggiungibile da tutte le altre reti. Queste cose però si fanno meglio con un firewall che permette di limitare gli accessi, ad esempio le stampanti sono sì raggiungibili da tutti ma solo per dire sulla porta 9100 di JetDirect. Idem per un NAS che si può rendere accessibile solo via SMB, tranne che per la subnet degli amministratori che possono accedere anche all'interfaccia d amministrazione.

Suppongo che il gateway omada funga anche da firewall, ma andiamo con calma. Poi bloccherò tutte le porte, gli url e i servizi per le reti interessate iniziando a imprecare anche contro quello.

giosdm · 5 ott 2022

[cancellato] Vedo che c'è una pagina "ALG". Puoi provare prima ad usare l'Application Layer Gateway per VoIP. Se funziona con quello, non devi configurare altro.

Altrimenti se metti l'ATA in cascata, il problema principale è che non ha più un indirizzo pubblico. Poiché per chiamarti il server SIP deve iniziare una connessione dall'esterno, deve sapere a che IP pubblico chiamarti. Quell'IP viene comunicato nella registrazione. Ma se l'ATA ha un IP privato gli passerà quello, ma così non può funzionare.

ALG prova a rimediare intercettando il traffico e modificando IP e porte come necessario. Se è scritto bene, ed è in grado di interpretare il traffico SIP correttamente, tutto funziona senza fare altro. Altrimenti bisogna far sì che l'ATA conosca l'IP pubblico assegnato alla tua connessione. Se l'IP è statico, basta inserirlo nella configurazione dell'ATA. Se è dinamico occorre far sì che l'ATA possa trovare qual è - ad esempio usando il protocollo STUN. STUN serve anche per determinare il tipo di NAT e il mapping delle porte, perché non è detto che il NAT usi esternamente la stessa porta che l'ATA usa internamente.

Queste le due voci relative all'ALG in omada e nel timhub

[cancellato] · 5 ott 2022

giosdm Questa cosa è fattibile in mac o windows? Posso effettivamente avere un solo cavo ethernet ed essere connesso a due subnet ?

Sì, ma serve il supporto dal driver della scheda di rete. Intel e Broadcom con il software giusto lo fanno fare. Altrimenti in Windows si può fare via Hyper-V e Powershell, ma è un po' più convoluto.

giosdm Ora non avendo una terza ethernet non so come mettere il NAS anche sulla privata.

Si può fare solo se supporta le VLAN per le interfacce di rete. Non conosco i QNAP e non saprei dirti come fare, mi sembra che un supporto per le VLAN ci sia, comunque.

giosdm C'è un metodo meno macchinoso per far sì che il nas sia visto dalle tre subnet che mi interessano.

I metodi sono due - o fai routing da qualche parte, o attesti più subnet sul NAS tramite schede di rete e/o VLAN.

giosdm Suppongo che il gateway omada funga anche da firewall, ma andiamo con calma.

Certo, affronta una configurazione per volta.

giosdm Queste le due voci relative all'ALG in omada e nel timhub

ALG devi abilitarlo solo sull'Omada - ALG è specifico per protocollo, quindi devi abilitarlo per SIP. Se abiliti ALG, prova a
togliere la regola di port forwarding, dovrebbe gestirsela da solo automaticamente.

giosdm · 5 ott 2022

[cancellato] I metodi sono due - o fai routing da qualche parte, o attesti più subnet sul NAS tramite schede di rete e/o VLAN.

[cancellato] ALG devi abilitarlo solo sull'Omada - ALG è specifico per protocollo, quindi devi abilitarlo per SIP. Se abiliti ALG, prova a
togliere la regola di port forwarding, dovrebbe gestirsela da solo automaticamente.

Abilitato ma nulla, resta sempre "non registrato" sul timhub attivando SIP ALG su Omada.

Ho provato a registrare il numero su microSIP e riesco a chiamare verso il mio telefono mobile, ma non a ricevere, squilla una volta e poi da occupato. Può essere un indizio?