CAPsMAN проблема настройки гостевой сети

[andy-ru]

Всем привет!
Произвел все настройки гостевой сети в CAPsMAN, как описано во многих видео и текстовых инструкциях. Сам по себе CAPsMAN работает в 2 и 5 ГГц диапазонах в рабочей сети. Тут проблем и вопросов нет.
Коротко о конфигурации гостевой сети:
- сконфигурен IP пул для гостевой сети
- сконфигурен гостевой бридж
- сконфигурен датапас
- сконфигурен секьюрити профиль
- сконфигурен DHCP сервер для гостевой сети
- создана конфигурация в CAPsMAN использующая вышеперечисленные настройки

Ну не появляется гостевой WiFi, хоть тресни.
Прошу помощи у сообщества!

[Chupaka]

Приветствую.

Давайте хотя бы начнём с версии CAPsMAN: вы какую настраиваете? В каком меню?

Проще всего для начала показать /export hide-sensitive

[andy-ru]

Доброго дня!
Вот тут это все делал через веб консоль.


https://disk.yandex.by/d/tKzavfJBLvYPPg

Пытался найти экспорт конфигурации, но не нашел...

[Chupaka]

Экспорт в Терминале делайте, "/export hide-sensitive file=myconfig", потом файл myconfig.rsc из Files забирайте на локальный комп.

cap1, cap2, cap3, cap4 - это что? Какой из них должен быть гостевой сетью?

[andy-ru]

Добрый день!
Экспортировал конфигурацию и выложил вот тут https://disk.yandex.ru/d/vanuVaMHEFDiDA
cap1, cap2, cap3, cap4 - это, я так полагаю, поключенные к CAPsMAN устройства.
В этом списке нет гостевой сети.

[Chupaka]

В этом списке нет гостевой сети.

Т.е. вы интерфейс только создали? Теперь в CAPsMAN -> Interface жмите Add и создавайте виртуальный интерфейс для гостевой сети, в Master Interface выберите тот физический cap, поверх которого он должен работать, и привяжите нужную конфигурацию. Если надо поверх всех четырёх - создавайте четыре интерфейса (копированием первого, когда убедитесь, что он работает)

[andy-ru]

Спасибо за совет! Сделал, гостевой WiFi стал виден.
однако интернет на нем не появился
вот обновленная конфигурация https://disk.yandex.ru/d/1Jx-i7iTmMcOwA

[Chupaka]

А откуда Интернет берётся? А то я на этом роутере не вижу даже ни одного правила NAT. Строго говоря, вообще ничего в /ip firewall нет.

[andy-ru]

В изначальной конфигурации интернет брался из интерфейса ether1, который в свою очередь подключен к проводной сети с раздачей IP по DHCP. DNS сервер 192.168.255.1 (он же модем-роутер). И в микротике прописано правило маршрутизации 0.0.0.0 -> 192.168.255.1
попробую прописать правило маршрутизации и для гостевой сети... может поможет.

[Chupaka]

Да, 192.168.255.1 должен знать, где искать гостевую сеть, так что на нём надо прописать маршрут к ней

[andy-ru]

ну как сказать...
есть сеть (основная, она же и распространяется на wifi) с диапазоном 192.168.255.0/24
default gateway - 192.168.255.1. Она же работает как основная сеть WiFi на CAPsMAN
Гостевая WiFi сеть развернута только на CAPsMANе с IP диапазоном 192.168.10.0/24. Default gateway
В гостевой сети настроен свой DHCP, который раздает IP адреса в этом диапазоне.
По-моему, проблема в том, что гостевая сеть ничего "не знает" об основной сети, куда, по моему видению, она должна слать сетевые пакеты. Иными словами - нет роутинга между гостевой сетью и основным гейтвеем 192.168.255.1
как-то так...
но с другой стороны, в разделе IP->Routes есть правило
0.0.0.0/0 -> 192.168.255.1
В общем, пока не совсем понимаю чего не хватает

[Chupaka]

Я ж вам выше написал. Гостевая сеть всё знает, что надо, у неё есть шлюз по умолчанию. А вот 192.168.255.1 вообще не представляет, где эти ваши 192.168.10.0/24 расположены, поэтому ему и надо прописать маршрут к 192.168.10.0/24 через CAPsMAN. В качестве костыля можете добавить правило NAT Masquerade для трафика src-address=192.168.10.0/24 - тогда 192.168.255.1 будет видеть трафик как приходящий с адреса CAPsMAN, а не самих гостевых клиентов.

[andy-ru]

Добрый день!
что-то я не совсем догоняю своим умом... Подскажите, а возможен вариант нам с вами совместного онлайн созвона и попробовать/посмотреть, как говориться, на месте?

[Chupaka]

Сложно будет выбрать время...

Что именно не догоняете? Из более провокационных вопросов: зачем вам отдельная подсеть для гостевых клиентов?

[andy-ru]

Добрый день!
Я готов подстроиться под доступное время у Вас
зачем гостевая сеть - сделать ее беспарольной и запретить доступ к внутренним сетевым ресурсам

[Chupaka]

Может, проще будет добавить гостевые интерфейсы в тот же бридж, что и остальные клиенты, и потом просто правилом Bridge Filter запретить все пакеты в chain=forward, где in-interface-list=список_гостевых интерфейсов или out-interface-list=список_гостевых_интерфейсов? Тогда и изолируете, и не нужно городить отдельную подсеть