Guida: VLAN su router TIM Technicolor

Ciao! Come mio secondo thread su questo forum (yeee) scrivo questa breve guida dopo l'interesse ricevuto da alcuni utenti sul gruppo Telegram.

La guida si rivolge a chi dispone di un altro router, ed è interessato ad utilizzare una CPE Technicolor solo come AP per la propria rete, creando due SSID Wi-Fi separati in due VLAN separate.

Si rivolge anche a chi invece vuole continuare ad utilizzare la CPE come router e vuole configurare una (o più) porte Ethernet per l'accesso alla rete ospiti.
Come primo step andiamo a configurarlo proprio in questo modo.

Disclaimer

Né io né lo staff di fibra.click siamo responsabili di eventuali problemi causati ai vostri apparati. In caso di errata configurazione potreste rimanere bloccati fuori dal dispositivo.

Essendo la mia prima guida (e il mio secondo thread su questo forum ), potrebbe risultare poco chiara e contenere imprecisioni (alcune sono volute per semplificare la guida).
Per cui ogni feedback è ben accetto!

Preciso inoltre che sui nuovi TIM Hub+ prodotti da ZTE, la guida purtroppo non si può applicare , purtroppo non sono basati su OpenWrt.

Parte 1: Configurare una porta ethernet per l'accesso alla rete ospiti.

Nota bene: dovete aver effettuato il root al vostro Technicolor. Tutte le operazioni verranno fatte da terminale (o client SCP) in SSH.
Se non avete "rootato" la vostra CPE, ci sono diverse guide in rete a riguardo.

Colleghiamoci in SSH alla CPE. Per chi ha dimistichezza con il terminale, è possibile utilizzare l'editor vim (già installato sul firmware), altrimenti va benissimo un qualsiasi client SCP, come WinSCP.

Apriamo il file /etc/config/network e prestiamo attenzione ai seguenti blocchi:

config interface 'lan'
        option type 'bridge'
        option proto 'static'
        option netmask '255.255.255.0'
        option ip6assign '64'
        option force_link '0'
        option ipv6 '1'
        option ifname 'eth0 eth1 eth2 eth3 eth5'
        option rpfilter '1'
        list pppoerelay 'waneth4'
        option domain 'homenet.telecomitalia.it'
        option ipaddr '192.168.1.1'

Questo blocco dichiara l'interfaccia LAN, ovvero l'interfaccia della rete principale.

Per quanto riguarda specificamente il DGA4132:
Le porte eth0, eth1 e eth2 sono rispettivamente le porte etichettate come ETH1, ETH2 e ETH3 sul retro del router.
eth3 è una porta non presente sul retro dell'apparato, mentre la porta LAN/WAN è l'interfaccia eth4.
eth5 invece è il nome che è stato dato all'interfaccia del Wi-Fi.

Se tra le porte presenti in option ifname manca la porta 4, è perché è attualmente configurata come porta WAN.

config interface 'wlnet_b_24'
        option proto 'static'
        option ip6assign '64'
        option ipv6 '1'
        option ip6hint '1'
        option netmask '255.255.255.128'
        option ifname 'wl0_1'
        option force_link '0'
        option name 'Ospiti-TIM-xxxx'
        option domain 'homenet.telecomitalia.it'
        option ipaddr '192.168.168.1'

Questo blocco invece dichiara l'interfaccia della rete ospiti 2.4Ghz (sì, nella rete ospiti le reti 2.4 e 5G sono su due interfacce separate, ma volendo è possibile metterle sotto la stessa interfaccia, è però richiesto uno switch che supporta le VLAN, lo vedremo alla fine).

Ciò che vogliamo fare è rimuovere una porta Ethernet dall'interfaccia lan per inserirla nell'interfaccia wlnet_b_24.
Per far ciò dobbiamo configurare la seconda interfaccia come bridge, per cui nella sua configurazione aggiungiamo la riga:
option type 'bridge'

A questo, rimuoviamo ad es. la porta eth1 (è la porta etichettata come ETH2) dall'interfaccia lan e inseriamola nella seconda interfaccia, otteniamo così:

config interface 'lan'
        option type 'bridge'
        option proto 'static'
        option netmask '255.255.255.0'
        option ip6assign '64'
        option force_link '0'
        option ipv6 '1'
        option ifname 'eth0 eth2 eth3 eth5'
        option rpfilter '1'
        list pppoerelay 'waneth4'
        option domain 'homenet.telecomitalia.it'
        option ipaddr '192.168.1.1'

config interface 'wlnet_b_24'
        option type 'bridge'
        option proto 'static'
        option ip6assign '64'
        option ipv6 '1'
        option ip6hint '1'
        option netmask '255.255.255.128'
        option ifname 'wl0_1 eth1'
        option force_link '0'
        option name 'Ospiti-TIM-18279217'
        option domain 'homenet.telecomitalia.it'
        option ipaddr '192.168.168.1'

Salvate e riavviate. A questo punto i dispositivi collegati su quella porta prenderanno un indirizzo IP dal DHCP della rete ospiti. E non potranno comunicare con i dispositivi nella rete LAN.

Probabilmente vi interesserà modificare anche gli indirizzi IP e le maschere di sottorete, potete farlo da qui o dalla GUI web.

Attenzione: attualmente le reti 2.4 e 5Ghz ospiti hanno l'AP isolation abilitato (i dispositivi collegati in Wi-Fi non si vedranno tra loro).

Possiamo (a scelta) disabilitarlo: per far ciò rechiamoci nel file /etc/config/wireless, cerchiamo i blocchi config wifi-ap 'ap2' e config wifi-ap 'ap3', e in entrambi sostituiamo option ap_isolation '1' con option ap_isolation '0'.

A questo punto abbiamo terminato la prima parte della guida.

Parte 2: Trasformiamo la CPE in un access point

Da questo momento in poi darò per scontate molte cose, è richiesta una buona dimistichezza con le VLAN.

Le parti 2 e 3 della guida sono da seguire solo se si intende utilizzare un router esterno (che deve supportare le VLAN), e utilizzare il Technicolor solo come AP.

Dalla GUI web (accessibile solo da interfaccia lan) disabilitiamo il DHCP su tutte le reti. Disabilitiamo anche il NAT, non ci serve.

Ora possiamo collegare le due porte (una appartenente all'interfaccia lan, e una all'interfaccia wlnet_b_24) ad uno switch managed (oppure al router, che ovviamente deve supportare le VLAN).

Assegnamo due VLAN (untagged) sulle due porte dello switch, configuriamo tutto sul router e abbiamo finito.

Parte 3: VLAN tagged

Ma se volessimo usare un cavo solo? Invece di utilizzare due porte con due VLAN untagged sullo switch, possiamo definire due VLAN su un'unica porta fisica del Technicolor e assegnarle alle due rispettive interfacce.

Warning: In caso di configurazione errata potreste non riuscire più ad accedere alla CPE. In ogni caso per tornare alle condizioni iniziali vi basterà tenere premuto il pulsante di reset per circa 10 secondi.

In /etc/config/network aggiungiamo:

config device 'vlan01'
        option type '8021q'
        option name 'vlan01'
        option ifname 'eth1'
        option vid '10'

config device 'vlan02'
        option type '8021q'
        option name 'vlan02'
        option ifname 'eth1'
        option vid '20'

Abbiamo così definito due VLAN con ID 10 e 20 sulla porta eth1 (potete usare gli ID e le porte che volete).

Possiamo ora configurare a dovere le due interfacce lan e wlnet_b_24 modificando la riga option ifname, ad es. option ifname 'vlan01'.

Bonus: Impostare la rete 5Ghz ospiti nella stessa interfaccia della 2.4Ghz

Innanzitutto rimuovete wl1_1 dall'interfaccia wlnet_b_5 e modificare wlnet_b_24 in questo modo: option ifname 'wl0_1 wl1_1 vlan01' (ovviamente al posto di vlan01, ci sarà il nome che avete dato alla vostra vlan).

Detto ciò è necessario che nell'interfaccia wlnet_b_5eth5 cambiate il vlan ID con lo stesso ID di vlan01 (o il nome che gli avete dato).
Ottenendo ad esempio:

config device 'wlnet_b_5eth5'
        option type '8021q'
        option name 'wl1_1'
        option enabled '1'
        option ifname 'eth5'
        option vid '10'
        option ipv6 '1'

Facciamo la stessa cosa nel file /etc/config/wireless, sull'interfaccia wl1_1:

config wifi-iface 'wl1_1'
        option device 'radio_5G'
        option mode 'ap'
        option network 'wlnet_b_24'
        option reliable_multicast '0'
        option uapsd '0'
        option qos_prio_override '1'
        option vlan_id '10'
        option state '1'
        option ssid 'rete-iot-5G'

Spero di esservi stato utile. Personalmente utilizzo utilizzavo questo setup per avere VLAN separate per alcuni dispositivi IoT, che voglio isolare dalla rete principale. Come router utilizzo una VM con OPNsense ed uno switch managed L2 Zyxel.

Alla prossima!