CAPsMAN - Client To Client Forwarding

david86

Dobrý den,

potřeboval bych poradit, či objasnit jak funguje forwarding na wifi kartičce.

Jde mi o to, že potřebuji v rámci jednoho AP řídit veškerý provoz a to i v rámci jednoho subnetu firewallem - mám povolený firewall na bridge.

Příklad. na CAP1 je po wifi připojená kamera z rozsahu 192.168.88.0/24 a dále dva PC, jedno PC je ve stejném rozsahu a druhé je z rozsahu 192.168.100.0/24.

Ve firewallu mám na IP adresu kamery povoleny jen některé IP adresy z obou rozsahů. V případě, že se PC připojí na CAP2 vše funguje bez problému - vše jde přes firewall.

Pokud se, ale připojí na CAP1, tak v případě, že je forward na wifi zapnutý - jde to kompletně mimo firewall. Pokud forward na wifi vypnu, zařízení se mezi sebou nevidí - což je vlastně funkce...

Existuje způsob, jak zamezit forwardu na wifi a vše prohnat přes firewall i vrámci jednoho AP?

Díky.

mirek_k

Forward na WiFi vyřadí Firewall. Musí být vypnutý, aby se FW uplatnil.

Mirek

david86

Když forward na wifi vypnu, tak mi stejně přes firewall žádná data nejdou... I když mám ve firewallu forward mezi sebou povolený, žádné pakety neprocházejí a ani si PC mezi sebou nepingnu... Přijde mi, jaky by to ta kartička dropovala...

mirek_k

Kartička nic nedropuje :-).

Forward na Wifi znamená, že klienti AP spolu komunikují přímo. Komunikace vůbec nejde do Mikrotiku a tudíž jím nemůže být zpracována.

Hledal bych v nastavení FW, kde je chyba.

Mirek

david86

To je mi jasný, psal jsem, že mi přijde v případě, že je forward vypnutý jaky by to dropovala. Pakety mi firewallem neprojdou. I když vše povolím, tak se mezi sebou zařízení na jednom AP nevidí. Spíš mi není jasné když je forward na wifi vypnutý, co to s paketem udělá - mělo by to projít forwardem skrz router, resp. firewallem?

david86

Já právě potřebuji docílit stavu, aby všechny pakety prošli firewallem a já je mohl dále zpracovávat.

mirek_k

Forward na wifi musí být vypnutý.

Když tak sem pošlete nastavení FW.

Mirek

david86

Když mám forward na wifi vypnutý, tak přesto, že vypnu ve firewallu pravidla DROP, tak stejně v rámci jednoho AP nevidim zařízení v rámci jednoho subnetu, ale ani z druhé sítě. Nejde to ani, když celý firewall vypnu, ani když dám accept všeho.

Furt mi není jasné, co dropne komunikaci v rámci AP? Resp. kudy paket prochází a co jej zahodí, když ve firewallu žádné pravidlo nemám.

Vždyť izolace klientů na AP funguje nezávisle na firewallu, nebo ne?

mirek_k

Samozřejmě funguje. Neviditelnost nemusí být způsobena jen FW, ale také nastavením adres, routování a ARP.

Je na AP povolena bridge? Je toho prostě hodně, co může být špatně.

Bez komplexnější informace o síti asi moc víc neporadíme.

Mirek

david86

Jedna se o jeden bridge, ARP je reply-only (dhcp + static), zkousel jsem i s ARP enabled, dale mam na bridge zapnuty Use IP Firewall, ale ve filters bridge zadna pravidla nemam. Vse je nastaveno a rizeno na CAPsMANu, ktery je zaroven jako router. Veskere routy jsou pouze dynamicke, krome default.

Na bridge mam rozsah 192.168.88.0/24 a 192.168.100.0/24. CAP a CAPsMAN komunikuji v rozsahu 192.168.88.0/24