Version Deutsch In diesem HOWTO wird die grundlegende Netzwerk-Infrastruktur der IACBOX beschrieben.

Transkript

1 Version Deutsch In diesem HOWTO wird die grundlegende Netzwerk-Infrastruktur der IACBOX beschrieben.

2 Inhaltsverzeichnis Hinweise Netzwerkintegration Interfaces Office-LAN Surf-LAN Management-LAN Weitere Netzwerkkomponenten Plug & Play Port Weiterleitung/DNAT Routing...7

3 Bitte beachten Sie folgende Hinweise Das Surf-LAN muss unbedingt bridged sein (gilt nicht für den Routing Mode der IAC-BOX) Proxy DHCP, Proxy ARP und ähnliche Dienste dürfen im Surf-LAN nicht aktiviert sein Office-LAN und Surf-LAN müssen sauber voneinander getrennt sein

4 An der Abbildung unten erkennen Sie einen häufigen Netzwerkaufbau mit IAC-BOX. In diesem Beispiel stellt das dritte Interface der IAC-BOX (Management-LAN) die Verbindung zur DMZ dar. Das Office-LAN Interface dient nur mehr als Uplink zum WAN. Die Access Points im Surf-LAN müssen für den korrekten Betrieb der IAC-BOX bridged sein. Es darf nicht geroutet oder genattet werden und Dienste wie Proxy DHCP und Proxy ARP sind im Surf-LAN nicht erlaubt.

5 Das Office-LAN Interface stellt den Uplink zum WAN dar und ist außerdem die Schnittstelle über welche die IAC-BOX administriert werden kann. Die Standard-Einstellungen für das Office-LAN sind: IP-Adresse: Subnetzmaske: Standardgateway: DNS Server: Surf-LAN Das Surf-LAN Interface stellt die Verbindung zum Client/Gäste Netzwerk dar in welchem sich die Benutzer an der IAC-BOX authentifizieren müssen. Dafür macht die IAC-BOX im Surf-LAN DHCP. Die Standard-Einstellungen für das Surf-LAN sind: Geschützter DHCP Bereich: /20 (standardmäßig aktiviert) Ungeschützter DHCP Bereich: /22 Eine genauere Beschreibung des geschützten bzw. ungeschützten DHCP Bereichs finden Sie in dem folgenden HowTo auf Seite 4: pdf

6 3.3. Management-LAN Durch das optionale Management-LAN können Sie Geräte, die zum Betrieb des Surf-LANs benötigt werden (Ticketdrucker, PMS-System, ), über ein eigenes Netzwerk-Interface bedienen. Die Geräte im Management-LAN können hierbei über einen eigenen Uplink verfügen, wobei dieser nicht für das Surf-LAN verwendet wird. Auch können Sie über das Management-LAN auf das WebAdmin-Menü zugreifen und die IAC-BOX administrieren. Standard-Einstellungen für das Management-LAN sind: IP-Adresse: Subnetzmaske: Weitere Netzwerkkomponenten Da das Surf-LAN bridged sein muss, dürfen die Netzwerkkomponenten den Datenaustausch zwischen Clients und der IAC-BOX nicht beeinflussen oder modifizieren. Es gibt folgende Möglichkeiten Access Points und andere Geräte im Surf-LAN zu konfigurieren: Die manuelle Konfiguration der Netzwerkeinstellungen auf den Geräten selbst. Die Geräte holen sich per DHCP die Netzwerkeinstellungen der IAC-BOX (wie normale Clients). Es werden Static Leases auf der IAC-BOX konfiguriert, welche sich die Geräte per DHCP holen. Dabei können die NetzwerkEinstellungen auch außerhalb des Surf-LAN Bereichs liegen. Beachten Sie, dass die Access Points für den Betrieb der IAC-BOX nicht online sein müssen.

7 Durch das Plug & Play der IAC-BOX werden auch Clients mit Netzwerkeinstellungen außerhalb des Surf-LAN Netzwerkbereichs auf die Anmeldeseite umgeleitet. Diese Funktion wird durch ARP und DNS Spoofing realisiert. Damit bestimmte Geräte im Surf-LAN trotzdem untereinander kommunizieren können (Bsp. Access-Points, Access-Point Controller, etc.), können diese vom Plug & Play der IAC-BOX ausgenommen werden. Dazu müssen lediglich die MAC-Adressen der betroffenen Geräte im WebAdmin Menü Module/Plug & Play Ignorierte Geräte eingetragen werden. 6. Port Weiterleitung/DNAT Port Weiterleitung/DNAT erlaubt es Ihnen Netzwerkkomponenten im SurfLAN aus dem Office-LAN bzw. dem Management-LAN erreichbar zu machen. Zum Beispiel um Access Points, Switches und andere Netzwerkkomponenten administrieren zu können. Wichtig dabei ist, dass das zu managende Gerät die IAC-BOX als Gateway konfiguriert hat, andernfalls kann keine Verbindung zum Gerät aufgebaut werden. Beispiel: Surf-LAN Access Point mit der IP Adresse soll aus dem OfficeLAN administriert werden können. Dazu wird folgende DNAT-Regel im WebAdmin Menü auf der IAC-BOX eingetragen ( Sicherheit/Port Weiterleitung ). - Ziel IP-Adresse: Lokaler Port: 9080 (zwischen 9000 und 65000) - Ziel Port: 80 (Web-Interface des Access Points) - Protokoll: TCP - Interface: Office-LAN Der Access Point ist dann im Office-LAN unter der IP-Adresse der IAC-BOX und dem konfigurierten lokalen Port erreichbar (Bsp :9080).

8 Durch spezielle Routen auf der IAC-BOX können Sie bestimmte Dienste und andere Netzwerkkomponenten, wie z.b. Server, Drucker, erreichbar machen. Standardmäßig sind bereits 2 Routen vordefiniert, eine für das Office-LAN und eine für das Management-LAN (falls aktiviert). Dabei ist für beide Routen der Firewall-Schutz aktiviert. Diese Routen sind notwendig, damit die Geräte aus dem Surf-LAN keinen Zugriff auf das Office-LAN bzw. Management-LAN haben. Beispiel 1: Sie möchten einige Geräte/Dienste in einem abgeschotteten Netz ( /24) hinter dem Office-LAN ( ) im Surf-LAN ( /22) erreichbar machen. Die Einstellung für eine neue Route sieht wie folgt aus: - Zieladresse: Gateway: Subnetzmaske: Firewall-Schutz deaktiviert Beispiel 2: Die Anbindung eines PMS-Systems ( ), welches in einem Netz ( ) hinter dem Management-LAN Netz ( ) sitzt. - Zieladresse: Gateway: Subnetzmaske: Firewall-Schutz aktiviert, da nur die IAC-BOX Zugriff auf den PMS-Service haben soll, jedoch nicht die Clients aus dem Surf-LAN.