Bagaimana cara membuat subnet terpisah untuk akses nirkabel?

12

Saya perlu mengkonfigurasi router nirkabel saya sehingga semua perangkat nirkabel berada pada subnet yang berbeda (192.168. 2 .1).

Perangkat nirkabel harus dapat mengakses internet, tetapi idealnya bukan workstation pada LAN.

Inilah jaringan saya:

masukkan deskripsi gambar di sini

Semua saran diterima!

wireless-networking subnet Kekuatan Austin '' Bahaya ''
sumber
Apa merek / model router gateway default dan sakelar inti? Ini bisa langsung dilakukan asalkan keduanya mendukung VLAN.
Paul
Diperlukan sedikit informasi lebih lanjut tentang apa yang sedang Anda jalankan. Apakah ini jaringan rumah (saya anggap tidak) atau jaringan bisnis / kerja? Apa model pengontrol / router nirkabel yang Anda miliki? dll ..
Josh
Ini sebenarnya adalah organisasi nirlaba. Saya tidak memiliki model router dengan saya sekarang- tapi itu semua peralatan kelas perumahan. Saya tidak berpikir VLAN adalah opsi saat ini.
Austin '' Bahaya '' Powers

Jawaban:

9

Cara untuk mencapai ini menggunakan peralatan kelas konsumen adalah menggunakan konfigurasi 3 router Y

masukkan deskripsi gambar di sini

Dengan mengatur dua router menggunakan subnet yang sama tetapi pada "LAN" yang berbeda tidak mungkin bagi satu jaringan untuk berbicara dengan jaringan lain.

Pikirkan seperti ini: Anda memiliki komputer di LAN A dengan IP 192.168.1.2dan salah satu klien nirkabel di LAN B dengan IP 192.168.1.3. Jika pada LAN B Anda meminta 192.168.1.2(salah satu klien nirkabel yang mencoba terhubung ke klien kabel) itu pergi ke router LAN B, melihat bahwa itu adalah permintaan untuk 192.168.1.xsubnet dan tidak meneruskan paket lebih jauh ke atas rantai (itu bisa tetapi tidak masalah, lihat bagian bawah dari jawaban ini). Ia juga melihat bahwa ia tidak mengetahui adanya komputer di 192.168.1.2(Satu-satunya komputer yang diketahuinya adalah 192.168.1.3) dan melaporkan kembali ke komputer asli "host tujuan tidak dikenal". Jika kami meminta IP lain selain 192.168.1.xitu akan menggunakan gateway dan melanjutkan ke internet untuk mencoba dan menyelesaikan koneksi IP Anda.

Ini memberi Anda keamanan penuh pada jaringan Anda memberi Anda dua LAN yang secara fisik tidak mungkin untuk saling berbicara sementara masih membiarkan keduanya terhubung ke internet.

Bergantung pada bagaimana firmware router nirkabel Anda bekerja, Anda mungkin dapat melakukannya dengan dua router hanya dengan memindahkan koneksi nirkabel dari port LAN-nya ke port WAN-nya. Namun Anda hanya dapat melakukan ini jika router nirkabel TIDAK meneruskan permintaannya dan tidak dapat menyelesaikan ke gateway untuk subnetnya sendiri (jadi dalam contoh saya sebelumnya router nirkabel TIDAK harus memeriksa port WAN untuk 192.168.1.2 untuk konfigurasi dua router ). Sisi baiknya adalah jika router Anda berperilaku seperti yang Anda inginkan, Anda tidak perlu membeli perangkat keras tambahan.

Dalam konfigurasi 3 router Y, tidak masalah apakah router meneruskan permintaan atau tidak karena pada Y LAN tidak ada 192.168.1.xkomputer, hanya dua router WAN interface yang keduanya 192.168.0.x.

Berikut adalah diagram baru yang lebih dekat dengan diagram asli Anda untuk membantu menjelaskannya. masukkan deskripsi gambar di sini

Scott Chamberlain
sumber
Jadi hanya untuk memeriksa - tidak akan ada koneksi fisik antara 2 router di bagian bawah diagram? Dan 2 router tersebut (192.168.1.101 & 192.168.1.102) terhubung ke router gateway dengan port WAN mereka?
Austin '' Bahaya '' Powers
@ Dan Benar, pada diagram di atas, biru muda adalah port WAN dan oranye adalah port LAN. Namun, satu koreksi tentang apa yang Anda katakan, Anda salah IP dari port WAN. Semua komputer yang melewati router ke-2 (pada kedua jaringan) memiliki IP dalam kisaran 192.168.1.x, tetapi semua mesin di jaringan Y (dan dalam konfigurasi ini hanya di sisi LAN router internet dan dua sub router sisi WAN) akan memiliki IP dalam kisaran 192.168.0.x.
Scott Chamberlain
@Dan Menambahkan diagram baru agar lebih dekat dengan yang asli Anda untuk membantu menjelaskan.
Scott Chamberlain
1
Anda dapat melakukannya di router tingkat konsumen juga jika Anda menggunakan firmware khusus yang lebih kuat (dd-wrt, tomat, dll.) Yang memungkinkan Anda menulis langsung ke iptablesperintah sistem Linux yang mendasarinya .
Scott Chamberlain
1
@ toffee.beanns Tidak, tidak bisa. Inti dari konfigurasi ini adalah untuk mencegah laptop tamu di wifi untuk mengakses apa pun yang tidak di wifi.
Scott Chamberlain
3

Saya mengasumsikan router nirkabel Anda adalah sub-$ 100 yang akan Anda beli di department store.

Anda benar-benar membutuhkan router dengan 3 antarmuka. PC yang menjalankan Linux dengan 3 kartu jaringan melakukan ini dengan baik - satu NIC adalah WAN, NIC lainnya terhubung ke host LAN Anda, dan yang ketiga router nirkabel Anda terhubung ke. Anda kemudian dapat menjalankan DHCP pada kotak Linux mendengarkan dan memberikan IP pada antarmuka LAN dan WLAN.

Anda memerlukan sedikit iptableskonfigurasi untuk memastikan host WLAN tidak dapat berbicara dengan host LAN (relatif sederhana karena mereka berada di subnet terpisah).

Anda juga bisa meletakkan host LAN di belakang router mereka sendiri, dan mengkonfigurasi pengaturan firewall SPI pada router nirkabel dan kabel untuk menjatuhkan lalu lintas dari subnet lainnya. Perhatikan bahwa dalam situasi ini Anda akan memerlukan server DHCP terpisah yang berjalan di setiap subnet karena lalu lintas siaran tidak diteruskan oleh router.

Anda juga bisa, jika router nirkabel mendukungnya, memerintahkannya untuk memblokir semua lalu lintas keluar yang berasal dari belakangnya ke subnet tempat LAN kabel Anda aktif.

LawrenceC
sumber