Beiträge von TWIN013

Ich hab hier noch so ein paar Drecksgeräte wie Staubsauger etc. die verlangen, dass das Handy beim Einbinden in derselben SSID hängt in die auch das Gerät rein soll. Lustigerweise lässt sich mein iPhone aber absolut nicht in das WPA2/WPA3 Netz per Mac einbinden. Kennt das jemand?

swag: Klingt genial, auch wenn ich kein Wort davon verstehe.

Ja, wobei einige der Dinge in Deinem Feature Request schon sehr hilfreich wäre, gerade was die Verwaltung der Clients angeht.

Gibt es denn irgendeinen Workaround, um unbekannte Cliens zB ins Gastnetzwerk zu werfen?

Ok, hat mir keine Ruhe mehr gelassen. Zuerst alle Sonos-Mac-Adressen als User eintragen, anschließend eine Box in die neue SSID per Sonos App umhängen. Nicht von evtl. Fehlermeldungen schocken lassen - meine Move hat ein wenig gezickt, aber nach einem Reboot war sie in der richtigen, neuen SSID. Sobald das geschehen ist die alte SSID aus der Sonos Konfiguration löschen und nach und nach wandern alle Boxen in die neue SSID. Geschafft!

Für alle Mitleser: mein Fehler war, dass ich die Mac-Adresse als PW nicht nur bei der User-Anlage verwendet habe, sondern ebenfalls in den Endgeräten als PW eingetragen habe, anstatt das PW der SSID zu verwenden.

Morgen kommt die Sonos dran...

Ich wollte ja ursprünglich mit den Sonos Geräten anfangen, weil sich diese bisher immer als größte Hürde hinsichtlich VLAN etc. präsentiert haben - in Verbindung mit 802.1x bin ich aber mit der Mac-Authentifizierung komplett gescheitert, sprich habe nicht mal einen Staubsauger hin bekommen. Ich muss das nochmal mit einem ollen Tablet oder dergleichen testen. Per Nutzername und individuellen PW hat es sofort geklappt.

Verdammt gutes Argument. Morgen wird mal getestet...

Edit: Zwei Fragen... wieso kann ich bei der Anlage des Radius Servers zwischen Wired Networks und Wireless Networks wählen, wenn Wired sozusagen Grundvoraussetzung ist? Und wenn ich hier gemäß des von Dir verlinkten Artikels vorgehe, ist es dann zwingend notwendig z.B. zuerst die Mac des Administrations-PCs zu hinterlegen, da ich mich ansonsten selbst von allen Netzen aussperren kann?

Mir ging es eigentlich rein um die Wireless-Geräte mit Radius, dort habe ich aber nach der Mac-Methode nur Nieten kassiert...

Ich bin mir nicht ganz sicher, ob ich verstehe, wie Du das meinst... wird WPA Enterprise denn von irgendwelchem IoT Gefrickel überhaupt unterstützt, so dass ich User und PW eingeben kann?

Um eine Mac-Adresse zu spoofen müsste dem Angreifer allerdings erst einmal eine im Radius bereits hinterlegte Adresse bekannt sein - ich wäre jetzt mal so naiv zu denken, dass ich mit diesem Risiko durchaus leben könnte.

Die Idee dahinter war ja eine Konsolidierung der WLAN-SSIDs. Wenn gerade da die Mac-Authentifizierung nicht funktioniert, dann wäre das System ziemlich für den A....

Hi zusammen!

Ist es jemandem von euch schon einmal gelungen Sonos Lautsprecher in ein Radius WLAN auf Mac-Adressen-Basis einzubinden?

Ich lege die entsprechenden User an und versuche dann z.B. eine einzelne Sonos Move darüber zu verbinden, trage als Passwort die Mac Adresse wie vorgegeben ein... nur es kommt keine Verbindung zustande. Wäre für eine Hilfestellung (wieder mal) sehr dankbar!

Hab ich. Habe mir eine zusätzliche Regel eingerichtet, die dem PC Zugriff auf alles gewährt und aktiviere diese nur bei Bedarf.

Das Admin Device liegt im Home LAN, ja - liegt da bereits der Denkfehler? Zur Not kann ich dem Gerät ja per eigener Regel Zugriff gewähren, nur hatte ich die beiden o.g. Regeln da wohl anders verstanden.

Mal noch eine Verständnisfrage zu den Firewall-Regeln: sollte es denn nicht so sein, dass die Admin-Devices durch ihre Positionierung in den Regeln ganz weit oben und die Regeln "allow admin devices to MGMT LAN" sowie "allow MGMT LAN to access all VLANs" sozusagen Zugriff auf alle VLANs bekommen? Ich habe von meinem PC aus zwar kein Problem die UDM etc im MGMT LAN zu erreichen, DNS funktioniert ebenfalls, aber ich kann z.B. nicht auf den Raspberry zugreifen, auf dem der DNS Pihole läuft...

Letztere Variante wollte nicht, das war ja sozusagen meine Ausgangsposition.

Wenn ich jetzt z.B. ein Admin Gerät wie meinen PC habe, muss ich den dann über Windows in mehrere VLANs einbinden, oder genügt durch die Firewall-Regeln hier auch das Home VLAN?

Kleine Wasserstandmeldung zwischendurch, die evtl. mal für den einen oder anderen von Interesse werden könnte:

wenn man den LAN Port der Synology auf die VLAN ID konfiguriert, dann muss man den Port in der Unifi nicht auf dieses VLAN einstellen, sondern "All" als Profil wählen - dann klappts auch mit dem Zugriff.

Habe ich bisher auf verschiedenen NICs ausprobiert, um nicht im Notfall den Zugriff zur Syno zu verlieren. Der nächste Schritt werden jetzt mehrere VLAN IDs auf einer NIC.

Ich habe dann gestern Abend noch die Büroklammer des Todes gezückt - kompletter Neuaufbau. Die Unifi-Installation mit den VLANs läuft soweit wieder, DNS hatte ich anfangs ausgespart - hier werde ich jetzt erstmal weiter machen mit dem Raspberry, da mir das der deutlich problemlosere Teil zu sein scheint. Interessant ist übrigens, dass ich nach dem Reset (und damit auch Rückkehr auf den Network Controller 7.3.83) wieder die Port Groups zuweisen kann. Daher werde ich erst einmal auch im Release-Channel verbleiben.

Als zuletzt alles lief waren auf der Syno zwei LAN Ports aktiv. Der ins DNS VLAN (ovp_eth0, 192.168.100.10) und der ins "alte" MGMT LAN (ovp_eth5, 192.168.1.30), den ich ins neue Home LAN umbiegen wollte. Also habe ich die manuell vergebene IP geändert, vorher natürlich den Port in der UDM dem VLAN10 zugewiesen und dann ging nichts mehr.

Alles bereits neu gestartet… leider ohne Erfolg.

Der Raspi ist abgeschaltet und der DNS in allen VLANs wieder auf Auto gesetzt, um die lokalen DNS Server als Fehlerquelle auszuschließen. Jetzt habe ich auch die Syno komplett runter gefahren, um zu sehen, ob die irgendwie mit dem DHCP Probleme macht...

Auch bei vollkommen ausgeschalteter Syno bleibt die DHCP Grütze. Das riecht nach dem bösen Reset Knöpfchen…