Mikrotik. Capsman. Настройка контроллера и точек доступа с использованием VLAN

Материал из Wiki
Перейти к навигации Перейти к поиску


ПРИ ТАКОЙ НАСТРОЙКЕ БУДЕТ НЕСКОЛЬКО VirtualAP. IP-POOL ДЛЯ КАЖДОЙ VirtualAP. DHCP-СЕРВЕР ДЛЯ КАЖДОЙ VirtualAP.

КЛИЕНТЫ БУДУТ ПОЛУЧАТЬ IP-АДРЕСА ИСХОДЯ ИЗ ТОГО, К КАКОЙ VirtualAP ОНИ ПОДКЛЮЧИЛИСЬ.

-----

// https://wiki.mikrotik.com/wiki/Manual:CAPsMAN_with_VLANs

// входные данные

192.168.111.211 - CAPSMAN сервер (контроллер)

192.168.166.45 - RADIUS сервер (для авторизации EAP)

ether2-lan - LAN физический интерфейс, подключенный в свитч

bridge-local - бридж для LAN

bridge-eap - бридж для VLAN 101

// необходимо сделать 2 wifi сети:

capsman-psk - 192.168.111.0/24 - сеть для SSID capsman-psk (LAN)

capsman-eap - 10.101.111.0/24 - сеть для SSID capsman-eap (VLAN 101)

ВАРИАНТ 1:

CAPSMAN-FORWARDING

ИНТЕРФЕЙСЫ CAP ДОБАВЛЯЮТСЯ В БРИДЖ НА CAPSMAN

НА ТОЧКАХ ДОСТУПА ИНТЕРФЕЙСЫ wlan1 НЕ ДОБАВЛЯЮТСЯ В БРИДЖ

---

НА СЕРВЕРЕ (КОНТРОЛЛЕРЕ) CAPSMAN:

---

# сервер FREERADIUS для EAP авторизации

/radius add address=192.168.166.45 secret=fTrerior service=wireless src-address=192.168.111.211

# BRIDGE LAN

/interface bridge add name=bridge-local

/interface ethernet set [ find default-name=ether2 ] name=ether2-lan

/interface bridge port add bridge=bridge-local interface=ether2-lan

/ip address add address=192.168.111.211/24 interface=bridge-local

# BRIDGE VLAN 101

/interface bridge add name=bridge-eap

/interface bridge vlan add bridge=bridge-eap tagged=bridge-eap untagged=ether2-lan vlan-ids=101

/interface vlan add interface=bridge-eap name=VLAN101 vlan-id=101

/ip address add address=10.101.111.1/24 interface=VLAN101

# CAPSMAN CONFIG

/caps-man configuration

add channel.band=2ghz-b/g/n channel.control-channel-width=20mhz channel.frequency=2412 country=russia3 datapath.bridge=bridge-local datapath.client-to-client-forwarding=yes \

   datapath.local-forwarding=no mode=ap name=capsman-psk rx-chains=0,1,2,3 security.authentication-types=wpa-psk,wpa2-psk security.encryption=aes-ccm \

   security.group-encryption=aes-ccm security.passphrase=x8915rk8101150 ssid=capsman-psk

add channel.band=2ghz-b/g/n channel.control-channel-width=20mhz channel.frequency=2437 country=russia3 datapath.bridge=bridge-eap datapath.client-to-client-forwarding=yes \

   datapath.local-forwarding=no datapath.vlan-id=101 datapath.vlan-mode=use-tag mode=ap name=capsman-eap security.authentication-types=wpa-eap,wpa2-eap \

   security.encryption=aes-ccm security.group-encryption=aes-ccm ssid=capsman-eap

# CAPSMAN PROVISIONING

/caps-man provisioning

add action=create-dynamic-enabled hw-supported-modes=gn master-configuration=capsman-psk name-format=prefix-identity name-prefix=CAP slave-configurations=capsman-eap

# POOLS

/ip pool add name=pool-psk ranges=192.168.111.160/27

/ip pool add name=pool-eap ranges=10.101.111.160/27

# DHCP

/ip dhcp-server add address-pool=pool-psk disabled=no interface=bridge-local name=dhcp-server-psk

/ip dhcp-server network add address=192.168.111.0/24 dns-server=8.8.8.8 gateway=192.168.111.1 netmask=24

/ip dhcp-server add address-pool=pool-eap disabled=no interface=VLAN101 name=dhcp-server-eap

/ip dhcp-server network add address=10.101.111.0/24 dns-server=8.8.8.8 gateway=10.101.111.1 netmask=24

# CAPSMAN MANAGER ENABLE

/caps-man manager set enabled=yes

// ДЛЯ ТОГО, ЧТОБЫ КЛИЕНТЫ ИЗ СЕТИ 10.101.111.0/24 МОГЛИ ХОДИТЬ В ИНТЕРНЕТ, НЕОБХОДИМО:

//    - ДОБАВИТЬ ПРАВИЛО МАСКРАДИНГА "/ip firewall nat add action=masquerade chain=srcnat out-interface=<OUT-IFACE> src-address=10.101.111.0/24"

//        ИЛИ

//    - АНОНСИРОВАТЬ СЕТЬ 10.101.111.0/24 ЧЕРЕЗ BGP

НА ТОЧКЕ ДОСТУПА:

---

/interface wireless cap set caps-man-addresses=192.168.111.211 enabled=yes interfaces=wlan1 bridge=none

// проверяем

// подключаемся к точкам capsman-psk, capsman-eap

// получаем адрес из соответствующей сети

ВАРИАНТ 2:

LOCAL-FORWARDING

ИНТЕРФЕЙСЫ CAP НЕ ДОБАВЛЯЮТСЯ В БРИДЖ НА CAPSMAN

НА ТОЧКАХ ДОСТУПА ИНТЕРФЕЙСЫ wlan1 ДОБАВЛЯЮТСЯ В ЛОКАЛЬНЫЙ БРИДЖ

---

НА СЕРВЕРЕ (КОНТРОЛЛЕРЕ) CAPSMAN:

---

# сервер FREERADIUS для EAP авторизации

/radius add address=192.168.166.45 secret=fTrerior service=wireless src-address=192.168.111.211

# BRIDGE LAN

/interface bridge add name=bridge-local

/interface ethernet set [ find default-name=ether2 ] name=ether2-lan

/interface bridge port add bridge=bridge-local interface=ether2-lan

/ip address add address=192.168.111.211/24 interface=bridge-local

# CAPSMAN CONFIG

/caps-man configuration

add channel.band=2ghz-b/g/n channel.control-channel-width=20mhz channel.frequency=2412 country=russia3 datapath.client-to-client-forwarding=no datapath.local-forwarding=yes \

   mode=ap name=capsman-psk rx-chains=0,1,2,3 security.authentication-types=wpa-psk,wpa2-psk security.encryption=aes-ccm security.group-encryption=aes-ccm \

   security.passphrase=x8915rk8101150 ssid=capsman-psk

add channel.band=2ghz-b/g/n channel.control-channel-width=20mhz channel.frequency=2437 country=russia3 datapath.client-to-client-forwarding=no datapath.local-forwarding=yes \

   datapath.vlan-id=101 datapath.vlan-mode=use-tag mode=ap name=capsman-eap security.authentication-types=wpa-eap,wpa2-eap security.encryption=aes-ccm \

   security.group-encryption=aes-ccm ssid=capsman-eap

# CAPSMAN PROVISIONING

/caps-man provisioning

add action=create-dynamic-enabled hw-supported-modes=gn master-configuration=capsman-psk name-format=prefix-identity name-prefix=CAP slave-configurations=capsman-eap

# CAPSMAN MANAGER ENABLE

/caps-man manager set enabled=yes

# VLAN

/interface vlan add interface=ether2-lan name=VLAN101 vlan-id=101

/ip address add address=10.101.111.1/24 interface=VLAN101

# POOLS

/ip pool add name=pool-psk ranges=192.168.111.160/27

/ip pool add name=pool-eap ranges=10.101.111.160/27

# DHCP

/ip dhcp-server add address-pool=pool-psk disabled=no interface=bridge-local name=dhcp-server-psk

/ip dhcp-server network add address=192.168.111.0/24 dns-server=8.8.8.8 gateway=192.168.111.1 netmask=24

/ip dhcp-server add address-pool=pool-eap disabled=no interface=VLAN101 name=dhcp-server-eap

/ip dhcp-server network add address=10.101.111.0/24 dns-server=8.8.8.8 gateway=10.101.111.1 netmask=24

# SWITCH

/interface bridge set name=bridge-local vlan-filtering=yes

/interface bridge vlan add bridge=bridge-local tagged=ether2-lan vlan-ids=101

НА ТОЧКЕ ДОСТУПА:

---

/interface bridge add admin-mac=<ETHER2-LAN_MAC-ADDRESS> auto-mac=no name=bridge-local

/interface bridge port add bridge=bridge-local interface=ether2

/interface wireless cap set bridge=bridge-local caps-man-addresses=192.168.111.211 enabled=yes interfaces=wlan1

// проверяем

// подключаемся к точкам capsman-psk, capsman-eap

// получаем адрес из соответствующей сети

Источник — https://wiki.cless.pro/index.php?title=Mikrotik._Capsman._Настройка_контроллера_и_точек_доступа_с_использованием_VLAN&oldid=556