Como configurar esta rede: vários pontos de acesso sem fio atuando como roteadores

Question

Eu quero criar uma WLAN onde eu tenha 3 pontos de acesso WiFi separados (conectados uns aos outros via cabo Ethernet) e onde todos os clientes conectados a esses WAPs possam se comunicar enquanto estão atrás de um firewall.

Se eu adicionar mais um dispositivo, um roteador e um firewall, sei como criar essa configuração de rede:

[Cable Modem]
192.168.0.1
│
└─[Wireless Router & Firewall]
        192.168.1.0
        │
        ├── Wireless Access Point #1 - 192.168.1.1
        ├── Wireless Access Point #2 - 192.168.1.2
        └── Wireless Access Point #3 - 192.168.1.3

No entanto, é possível realizar a mesma coisa sem adicionar um quarto dispositivo?

Todos os 3 pontos de acesso sem fio são, na verdade, roteadores sem fio. Se eu colocá-los no modo roteador e conectar como mostrado abaixo, como configuro as regras de roteamento e firewall para que os dispositivos conectados a cada roteador formem uma rede e também tenham alguma proteção do mundo externo?

[Cable Modem]
192.168.0.1
│
├── Wireless Router #1 - 192.168.1.1
├── Wireless Router #2 - 192.168.1.2
└── Wireless Router #3 - 192.168.1.3

O modem a cabo faz NAT, é um servidor DHCP e tem um switch de 4 portas. Os 3 roteadores sem fio são capazes de executar o dd-wrt.

Meu objetivo é ter 1 roteador / firewall atrás do modem a cabo, como no primeiro layout de rede, ou ter 3 roteadores / firewalls atrás do modem a cabo (evitando o custo de comprar um 4º dispositivo) onde todos os 3 esses roteadores / firewalls podem atuar como uma única rede. Eu não quero apenas colocar pontos de acesso por trás do modem a cabo.

Suponho que eu configuraria intervalos de endereços exclusivos 192.168.1.X nos servidores DHCP de cada um dos três roteadores.

    

Answer 1

Supondo que você faça exija um roteador / firewall (digamos que o modem a cabo não forneça um), você tem duas maneiras de fazer isso:

Método óbvio: transforme o primeiro ponto de acesso em um roteador.

[Cable Modem]
192.168.0.1
│
└─[Wireless Access Point #1 & Router & Firewall]
        192.168.1.1/24
        │
        ├── Wireless Access Point #2 - 192.168.1.2/24
        └── Wireless Access Point #3 - 192.168.1.3/24

Os pontos de acesso # 2 e # 3 permaneceriam no modo de ponte.

Vantagem: isso permite que você tenha uma única sub-rede em todos os pontos de acesso (permitindo a descoberta automática de dispositivos, como para Chromecasts & c).

O outro método: tem sub-redes separadas.

I assume I would set up unique 192.168.1.X address ranges in the DHCP servers of each of the 3 routers.

Não - você configuraria intervalos de endereços exclusivos 192.168. X .0 em cada roteador.

[Cable Modem]
192.168.0.1/24
│
├── WAN 192.168.0.2 - Wireless Router #1 - LAN 192.168.2.1/24
├── WAN 192.168.0.3 - Wireless Router #2 - LAN 192.168.3.1/24
└── WAN 192.168.0.4 - Wireless Router #3 - LAN 192.168.4.1/24

Todo roteador deve, geralmente, ter sua própria sub-rede. Isso permite que cada roteador tenha rotas para as sub-redes restantes. Por exemplo, o roteador nº 1 poderia ter uma tabela de rotas:

DESTINATION        GATEWAY        INTERFACE
192.168.2.0/24     -              lan
192.168.3.0/24     192.168.0.3    wan
192.168.4.0/24     192.168.0.4    wan

Desvantagem: Isso exige que cada roteador / AP tenha um SSID diferente (sem roaming automático porque as sub-redes são diferentes) e não permite a descoberta de dispositivos em diferentes sub-redes.

Desvantagem: requer configuração mais complexa de NAT e firewall. Você deve fazer o tráfego para outras sub-redes da LAN "pass through" (ser encaminhado sem qualquer tipo de NAT). Da mesma forma, suas regras de filtragem em cada roteador devem aceitar pacotes recebidos das sub-redes de outros roteadores.

Aqui está um exemplo áspero do iptables:

-t filter
    -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
    -A FORWARD -s 192.168.2.0/24 -j ACCEPT
    -A FORWARD -s 192.168.3.0/24 -j ACCEPT
    -A FORWARD -s 192.168.4.0/24 -j ACCEPT
    -A FORWARD -j REJECT
-t nat
    -A PREROUTING -d 192.168.2.0/24 -j ACCEPT
    -A PREROUTING -d 192.168.3.0/24 -j ACCEPT
    -A PREROUTING -d 192.168.4.0/24 -j ACCEPT
    -A PREROUTING -o <wan> -j MASQUERADE (or SNAT or whatever)

Ainda outro método: tenha uma sub-rede e três servidores DHCP.

Você provavelmente pode se safar disso:

[Cable Modem]
192.168.0.1/24
│
├── WAN 192.168.0.2 - Wireless Router #1 - LAN 192.168.1.1/24
│                                           │
├── WAN 192.168.0.3 - Wireless Router #2 - LAN 192.168.1.2/24
│                                           │
└── WAN 192.168.0.4 - Wireless Router #3 - LAN 192.168.1.3/24

Sim, isso indica todas as três LANs dos roteadores conectadas para formar uma única ethernet - embora importante não em um loop (a menos que o DDWRT suporte RSTP, caso em que fique louco). A interconexão de todas as LANs é necessária se você quiser um SSID comum.

Sim, todos os três roteadores podem fazer o DHCP. Nessa situação, o intervalo de endereços DHCP de cada roteador deve ser diferente da mesma sub-rede (por exemplo, 192.168.1.101–192.168.1.125, 192.168.1.126-192.168.1.150, etc.)

Vantagem: você tem uma única sub-rede - todos os três pontos de acesso podem compartilhar o mesmo SSID, trabalhos de roaming e de descoberta de dispositivos.

Desvantagem: A resolução de problemas pode ficar irritante. O encaminhamento de portas será inferno .

(Dito isto, não é um método louco. É semelhante ao tamanho das redes que implementam o failover do roteador: eles têm dois roteadores compartilhando a mesma ethernet, a mesma sub-rede da LAN, e compartilhando um endereço IP usando um protocolo como o VRRP. Somente um servidor DHCP e um pool são necessários.

    

Answer 2

Parece que o modem a cabo é mais do que apenas um modem (porque tinha várias portas Ethernet). Assumindo que está fazendo NAT, o que é razoável para adicionar)

Para configurar isso eu desabilitaria o DHCP nos roteadores DDWRT, configuraria eles como APs com o mesmo SSUD e senha (mas diferentes canais não sobrepostos) e conectaria etherenet do modem à porta LAN - desta forma você tem uma rede de tempo em que o modem está fornecendo DHCP para tudo, e o roaming entre os dispositivos é perfeito porque os APs estão conectando em vez de rotear.