VLANs und L2TP VPN

Hallo zusammen,

ich spiele gerade ein bisschen mit der VPN-Funktionalität unserer UDMP herum. Teleport/Wifiman war zwar erstmal einfach einzurichten, aber ernüchternd in der Funktion. Es ist schon beim Test am iPhone alle paar Sekunden abgestürzt. Nun also DDNS eingerichtet und den L2TP-VPN Server aktiviert. Klappt auch soweit. Mein Problem ist, dass ich jetzt Zugang in alle VLANs habe. Idealerweise können aber in Zukunft bestimmte Nutzer nur in bestimmte VLANs. Da ich unter Radius (zumindest im Legacy Interface) jedem Nutzer eine VLAN-ID zuordnen konnte, dachte ich, dass diese dann auch automatisch mit dem richtigen VLAN verbunden werden und sich nur dort "bewegen" können. Das ist nicht der Fall. Gibt es hier einen Workaround?

Meine Google-Suche brachte mich zu folgenden Ergebnissen: https://administrator.de/forum…-vpn-und-vlan-561986.html und https://www.reddit.com/r/UNIFI…ers_into_different_vlans/ Demnach scheint es einfach nicht zu gehen. Irgendwie kann ich mir aber nicht richtig vorstellen, dass es da nicht irgendeine Lösung geben sollte. Es ist doch ein Standard-Szenario, dass bestimmte Nutzer über VPN einen Zugang zu bestimmten Ressourcen/Subnetzen bekommen können und zu anderen eben nicht. Wenigstens das Subnetz sollte doch zugeordnet werden können. Ist bei meiner Frau in der Firma auch so (die btw. auch eher klein als groß ist...). Da wir hier das Netz in mehrere private, dienstliche (und öffentliche) Bereiche segmentiert haben ist das VPN-Tool so für mich leider erstmal nutzlos. Einen Super-User soll das hier nicht ermöglichen ;-). Vielleicht hat ja jemand noch eine Idee.
Falls die Wireguard-Implementierung irgendwann mal auf die UDMP kommen sollte. Wäre die Zuordnung zu VLANs damit möglich? Über eine Antwort wäre ich sehr dankbar. Ist im Moment noch nicht soooo dringend, aber mittelfristig halt schon und da braucht es dann eine Lösung.

Hi mAik,

vielen Dank für deine Rückmeldung. Deinen Lösungsansatz hatte ich mir so in etwa auch gedacht, aber irgendwie trotzdem gehofft, dass sich individuellere Freigaben und Zuordnungen ermöglichen lassen. Ich weiß jetzt, dass das nicht möglich ist. Nichtsdestotrotz bietet dein Ansatz zumindest eine Art provisorische Lösung, weil dadurch ein "Super-User" vermieden wird. Damit ließe sich erstmal arbeiten, wenn auch nicht optimal. Mit pfSense/OPNsense hatte ich mich in diesem Zusammenhang auch schonmal beschäftigt, aber ehrlich gesagt, bin ich mit der UDMP in unserem Einsatzszenario gar nicht mal so unzufrieden und würde die nicht gerne austauschen wollen. Ich hoffe mal auf ein entsprechendes Update, wobei ich, ehrlich gesagt, auch gar nicht weiß, ob die Wireguard-Implementiereung, wie sie bei der SE verwirklicht ist, mein Problem mit den VLANs wirklich lösen würde. Wäre ja nicht das erste Mal, dass Unifi es "anders" machen würde. Wenn alle Stricke reißen, müsste die UDMP halt trotzdem raus.

Zitat von maikki

Zur Umsetzung der Wireguard Implementierung kann eventuell ein UDMP SE User mehr dazu sagen.

Das wäre definitiv hilfreich :-).