Problem z rozdawaniem adresacji po stronie Brancha

[iTSeba]

Witam serdecznie,

Może zanim zadam pytanie, przedstawię jak wygląda w skrócie środowisko, z którym mam problem.



Po stronie HQ:
Tutaj działa WLC, który jest w VLANie 5. AP są w VLANie 6 i dzięki opcji DHCP 43 podłączają się do WLC i działają bezproblemowo.

Branch:
Natomiast ostatnio konfigurowałem stronę "Branch". Zestawiłem widoczny na obrazku tunnel IPSec, dodałem odpowiednie policy, routing itp i sieć LAN po stronie BRANCH działa bezproblemowo.

Po stronie Brancha ustworzyłem dodatkowy VLAN 9, który ma rozdawać adresy tylko dla AP. Opcja DHCP 43 idealnie wskazuje miejsce WLC, ponieważ AP po stronie Branch łączy się z WLC po stronie HQ, pobiera sobie jego konfigurację i jest widoczny w WLC. Natomiast kiedy chcemy się podłączyć do jakiegokolwiek SSIDa po stronie Branch, niestety nie rozdaje nam prawidłowej adresacjiv- urządzenia dostają błędny adres : 169....

Poszukałem trochę i jedynie znalazłem, że WLC może być w Mode Direct, a powinien być w mode tunnel.

Powiem szczerze, że nie bardzo wiem już gdzie to sprawdzić i czy na pewno to jest problemem. Nie ukrywam, że nie chce rozgrzebać WLC po stronie HQ, gdyż niektóre AP posiadają uptime nawet ponad 2 lata...

Czy ktoś spotkał się z takim problemem, bądź jest mi w stanie pomóc ?

Z góry dzięki za zainteresowanie tematem

[michaliwanczuk]

musisz uruchomić na forti dhcp realey, aby przekazywać zapytania DHCP do konkretnego serwera.

[iTSeba]

Nie wydaje mi się, że to będzie bezpośrednim problemem, bo gdy postawimy jakieś urządzenie i nadamy mu Static IP w danym SSID to i tak nie działa w tej sieci.

Teoretycznie AP powinien po podłączeniu się do WLC (a to mu się udało) zestawić tunel, który będzie "przenosił" adresacje z konkretnych SSIDow - a tego już niestety nie robi. Bo i DHCP nie rozdaje adresu i statyczny też nie działa.

[kurđ]

To rzeczywiście dziwny problem. I tak, AP zestawia tunel LWAPP czy CAPWAPP i przez niego powinien uzyskać IP dla klienta, dhcp relay na Forti nie ma tu znaczenia.

Proponowałbym ssh na AP i sprawdzić na konsoli co się dzieje, ewentualnie debugging.

[Rilke]

Hej,
pokaż jakie reguły firewall są dla komunikacji AP -> WLC i WLC -> AP.

W jakim trybie pracuje AP?

[Seba]

A co to za WLC? Jaki masz soft na nim?

[iTSeba]

To rzeczywiście dziwny problem. I tak, AP zestawia tunel LWAPP czy CAPWAPP i przez niego powinien uzyskać IP dla klienta, dhcp relay na Forti nie ma tu znaczenia.

Proponowałbym ssh na AP i sprawdzić na konsoli co się dzieje, ewentualnie debugging.

Przez ssh nie dostanę się, musiałbym przez kabel konsolowy. Aczolwiek jak wtedy obserwowałem rekację to nie wykazywał jakiś "dziwnych" komunikatów.

Hej,
pokaż jakie reguły firewall są dla komunikacji AP -> WLC i WLC -> AP.

W jakim trybie pracuje AP?

Zezwolony jest cały ruch dla adresacji WLC z adresacji AP oraz odwrotnie. Ja moge z tej adresacji pingowac wszystko - nawet interfejsy na WLC, więc nie podejrzewam problemu z polisami.

A co do za WLC? Jaki masz soft na nim?

Soft na nim to 7.5.102.0. Będę na dniach robił jego upgrade, może coś to pomoże.

[camelw]

W jakim trybie działa AP w branch, zakładam ze we FlexConnect. Jeśłi flexconnect to czy w rozgłaszanym SSID jest zaznaczona opcja Flexconnect local switching?
Drugie pytanie, czy te samo SSID rozgłaszasz w HQ i branch?
Do jakiego interfejsu na WLC przypisany jest SSID rozgłaszany w branch oraz czy na tym interfejsie jest wpisany DHCP serwer.

Kolejna rzecz jak ustawiony jest port na przełączniku w branch do którego podłączony jest AP.
Czy to jest switchport access vl 9 czy to jest trunk?
Jeśli access i rozgłaszane SSID jest przypisane do interfejsu management, wtedy user dostanie adres IP z tej podsieci, pod warunkiem, że opcja flexconnect local swwitching jest odznaczona w profilu WLAN.
Może musisz utworzyć nowy profil o innej nazwie z tą samą nazwą SSID oraz utworzyć grupę wlan group, do której przypiszesz AP z branch'a oraz nowy profil.

[iTSeba]

Teraz dopiero zobaczyłem odpowiedź - dzięki wszystkim za zainteresowanie. Udało mi się rozwiązać problem poprzez upgrade jednego z Forti do nowszego oprogramowania (było już tak stare, że kończyło się jego wsparcie).


Pozdrawiam