Kein Zugriff von LAN auf WLAN Netz (umgekehrt allerdings schon)

CyborgNinja90 · February 27, 2025 at 2:08 PM

Hallo zusammen,

Vergangenen Monat habe ich folgendes bei einem Kunden installiert:

Unifi Dream Machine Pro

USW PRO 24POE Switch

9 Unifi Inwall HD Access Points

Der Switch geht zur Dream Machine via LAN

Die Dream Machine ist über den RJ45 LAN/WAN Port 9 über den Kunden Switch (Aruba) mit dem LAN Netz verbunden.

Eingerichtet habe ich zwei WLAN Netze

Das Kunden WLAN Netz und das Kunden GAST WLAN Netz

Einmal das 192.168.110.0/24 Netz

und für die Gäste das 192.168.120.0/24 Netz

Das Gastnetz ist in den Einstellungen der Dream Machine isoliert vom anderen Netz.

Das LAN Netz des Kunden lautet 192.168.100.0/24

Die IP der Dream Machine ist die 192.168.110.1 oder 192.168.100.106 über Port 9 (WAN)

Das WLAN läuft laut Kunden super und macht keine Probleme.

Problematik jedoch ist:

Ich komme vom WLAN Kunden Netz (192.168.110.0/24) auf sämtliche PCs, Drucker, Server usw. im 192.168.100.0 LAN Netz.

Jedoch komme ich nicht vom 192.168.100.0/24 LAN Netz auf das WLAN Netz (192.168.110.0/24)

Der WAN Port bzw Port 9 auf der Dream Machine hat die IP Adresse 192.168.100.106

Was muss ich noch konfigurieren oder umstecken?

Vielen Dank schon mal.

**Networker** · February 27, 2025 at 4:25 PM

Hallo und willkommen hier im Forum!

Dein Basis-Problem ist ziemlich klar, weil Du offenbar versuchst, LAN-Traffic über eine WAN-Schnittstelle zu schieben, was logischer Weise ohne spezielle Firewallregeln nur in eine Richtung funktioniert.

Der Gesamtaufbau ist zumindest mir alles andere als klar und ich kann kein Konzept hinter dem Ganzen erkennen.

Quote from CyborgNinja90

Der Switch geht zur Dream Machine via LAN
Die Dream Machine ist über den RJ45 LAN/WAN Port 9 über den Kunden Switch (Aruba) mit dem LAN Netz verbunden.

Was hatte der Kunde denn vorher bzw. was ist die Idee hinter diesem Konstrukt? Wenn der Aruba ein "Kundenswitch" ist, ist der USW Pro kein "Kundenswitch"?

Warum richtest Du dem Kunden einen neuen Router ein, obwohl er offensichtlich bereits einen hat?

CyborgNinja90 · February 27, 2025 at 9:03 PM

Quote from Networker

Hallo und willkommen hier im Forum!
Dein Basis-Problem ist ziemlich klar, weil Du offenbar versuchst, LAN-Traffic über eine WAN-Schnittstelle zu schieben, was logischer Weise ohne spezielle Firewallregeln nur in eine Richtung funktioniert.
Der Gesamtaufbau ist zumindest mir alles andere als klar und ich kann kein Konzept hinter dem Ganzen erkennen.

Die Firewall Regeln habe ich mal alle durchgespielt schon öfters sogar, leider immer ohne Erfolg.

Mit Any Regeln in allen Richtungen sogar.

Außerdem habe ich auch schon die Verkabelung mal kurzzeitg angepasst, in dem ich mich mit einem LAN Kabel in einem LAN Port der Dream Machine verkabelt habe, welches dann zum Arubaswitch geht. Auch ohne Erfolg.

Quote from Networker

Was hatte der Kunde denn vorher bzw. was ist die Idee hinter diesem Konstrukt? Wenn der Aruba ein "Kundenswitch" ist, ist der USW Pro kein "Kundenswitch"?
Warum richtest Du dem Kunden einen neuen Router ein, obwohl er offensichtlich bereits einen hat?

Der Kunde hatte vorher uralte DLINK Access Points wo einer Master war und die anderen SLAVES.

Diese sind in die Jahre gekommen und haben ständig Probleme gemacht.

Nun musste was vernünftiges her. Sprich Unifi, was wir auch bei vielen anderen Kunden mit Erfolg nutzen und dort auch keine Beschwerden mehr hören, seitdem Unifi im Einsatz ist.

Bisher bei den anderen Kunden, haben wir für das LAN und WLAN immer das selbe Netz genutzt (nach Kundenwunsch, ich weiss es ist blöd aber wollten die so)

Hier nur als Unterschied -> nutzen wir drei Netze, was für uns Premiere ist. Sprich LAN und zwei WLAN Netze

Alle Switche sind vom Kunden.

Der Kunde hat von uns auch eine Securepoint und Server etc..

**Networker** · February 27, 2025 at 11:19 PM

Quote from CyborgNinja90

Bisher bei den anderen Kunden, haben wir für das LAN und WLAN immer das selbe Netz genutzt

Hmm, also ein WLAN baut immer auf einem LAN auf, es ist also zwangsweise dasselbe Netz...

Wenn man Netzwerke unterteilt, was ja durchaus sinnvoll sein kann, tut man dies über VLANs. Mit LAN / WLAN hat dies aber höchstens noch am Rande zu tun.

Quote from CyborgNinja90

Hier nur als Unterschied -> nutzen wir drei Netze, was für uns Premiere ist. Sprich LAN und zwei WLAN Netze

Nicht böse gemeint, aber das ergibt, wie oben schon angedeutet, gar keinen Sinn.

Quote from CyborgNinja90

Der Kunde hat von uns auch eine Securepoint und Server etc..

Gut, aber warum verkauft ihr dem Kunden zu seiner Securepoint-Firewall noch eine Ubiquiti-Firewall (UDM-Pro)?

Wie habt ihr die beiden Firewalls gegeneinander konfiguriert, welche ist wofür zuständig, kennen überhaupt beide die jeweiligen Netze der anderen?

Und was ist mit den Switches, wurde da sowohl im Unifi-Controller als auch über InstantOn bei den HPs alles aufeinander abgestimmt?

**gierig** · February 28, 2025 at 8:28 AM

Persönlich finde ich deine Beschreibung etwas wirr. Gib's ne Zeichnung / Netzplan / LastenHeft / Doko allgemein ?

Sonst das übliche:

Mein Favorit, den das übersehen viele:

Routen aus den Kunden Netz (also hintern dem UDM WAN Port) auf die Netze der UDM Vorhanden ?

also sowas wie 192.168.110.0/24 ist über (hoffentlich statisch ) 192.168.110.106 erreichen ?

Mus auf dem Router des Kunden (also wahrscheinlich die Securepoint)

Sonst:

NAT Abgeschaltet ? wegen Asymmetrischen Routing das sonst entstehen würde ?

FW Reglen modifiziert das WAN Traffic rein darf ?

Participate now!