Local-forwarding в настройках CAPsMAN

[Sweik]

Добрый день.

Самое внятное описание этого параметра нашел здесь:
https://wiki.yola.ru/mikrotik:capsman:c ... forwarding

Local-forwarding — если он активирован, то всем трафиком клиентов точки доступа управляет сама точка. И большинство настроек datapath не используются, так как контроллер не управляет трафиком. Если этот параметр не установлен, то весь трафик с клиентов поступает на контроллер сети и там управляется в зависимости от настроек. Если вам необходим трафик между клиентами, то укажите параметр Client To Client Forwarding.

но все равно, не понятно

всем трафиком клиентов точки доступа управляет сама точка

как именно она управляет?

Речь идет о FW? Если "да", то я в обоих режимах на САРе могу запрещать / разрешать трафик.

Если более конкретно, то имеется RB3011UAS и 2-3 cAP AP. Конфигурацию пока тестирую. Не могу понять плюсы и мнусы обоих режимов.

С уважением

[Chupaka]

Добрый.

Local - всё, грубо говоря, как и на отдельно стоящей точке. В противном же случае трафик на WiFi-интерфейсах CAP'ов инкапсулируется, пересылается по сети на CAPsMAN - и там уже виден на виртуальных интерфейсах. Соответственно, и firewall работает только на CAPsMAN'е.

Т.е. если не включать local - то по сути мы видим машинку CAPsMAN с кучей WiFi-интерфейсов, географически распределённых по территории, и не задумываемся, как трафик "телепортируется" с CAPsMAN'а на физические интерфейсы. Если же включен local-forwarding - надо самостоятельно убеждаться, что трафик попадёт куда надо.

Речь идет о FW? Если "да", то я в обоих режимах на САРе могу запрещать / разрешать трафик.

Вот у меня слегка сомнения в этом... Но на четыре точки дома я использую local-forwarding

[Sweik]

Вот у меня слегка сомнения в этом... Но на четыре точки дома я использую local-forwarding

чес-слово. Поэтому-то и возник вопрос.
По прочему - спасибо. Думаю, можно сделать такую рекомендацию - если мощность контролера и пропускная способность сети позволяют, желательно не включать CAPsMAN и контролировать все на контролере (тьфу ты, масло маслянное).

Спасибо

[Chupaka]

Если трафик в основном "клиенты вайфая лезут в Интернет через общий шлюз", а CAP'ы могут не только быть подключены в ту же локалку, но и располагаться в других сетях - то тут сам Б-г велел никакого local не иметь, всё удобно собирается на CAPsMAN'а Если же в сети есть много "местного" трафика, который может ходить в обход CAPsMAN'а - то тут, естественно, local. Каждому по потребностям

[Sweik]

А вот это заставиило взглянуть на вопрос под другим углом.

Спасибо

[Sweik]

Гостевая сеть.
им нечего делать в сети, они работают по принципу "клиенты вайфая лезут в Интернет через общий шлюз". Следовательно, для них:
- local forwarding - no
- client-to-client forwarding - no
На контролере разворачивается DHCP-сервер для гостевой сетки и настраиваем правила FW, запрещающие доступ гостям в LAN

WiFi сеть для работников
В XXI веке сложно посадить юзера (особенного, творческого и мобильного) на провод Ethernet-a. Со своих ноутбуков они могут и печатаь, и по Интернету лазить и пользоваться внутреними ресурсами сети.
- local forwarding - yes
- client-to-client forwarding - yes
Выходит, так логичнее. Зачем при печати на сетевое МФУ идти на устройство по цепочке клиент -->CAP-->CAPsMAN-->MFD, если можно клиент -->CAP-->MFD
Да, это потребует отдельной настройки каждого САР-а, но уберет "лишние" звенья в цепи и уменьшит нагрузку.

Я же прав?

[Chupaka]

Да, именно эти потребности я и имел в виду

[KvP]

Доброго всем дня.

Вроде все логично когда одна сеть WI-FI, а вот если две сети через CAPsMAN раздаются
(как тут расписано https://ithelp.bakabuka.com/mikrotik-ca ... %83%D1%8E/)

то вообще непонятно куда трафик идет при включенной опции Local-forwarding !
логично предположить, что нужно сделать гостевой интерфейс на втором роуторе, но что-то не идет через него трафик.

[KvP]

Путем метода тыка сам накопал ответ. Пишу для тех кому интересно.

Чтобы работала опция "Local-forwarding" надо интерфейс WLAN1 включать в бридж на всех подконтрольных устройствах, если "Local-forwarding" отключен, то WLAN1 может быть и изолированным.

А вот со вторым SSID сложнее, на подконтрольных устройствах, при каждом подключении к контроллеру CAPsMAN, создается устройство WLAN каждый раз с новым номером и соответственно это устройство оказывается НЕ в бридже. При включенной опции "Local-forwarding" на втором SSID клиенты подключающиеся к нему остаются без сети

[Корпич]

если "Local-forwarding" отключен, то WLAN1 может быть и изолированным.

Не может, а должен быть изолированным, иначе будет петля

Для простоты понимания если у Вас меньше 10 точек то "Local-forwarding" включать не нужно

[Chupaka]

А вот со вторым SSID сложнее, на подконтрольных устройствах, при каждом подключении к контроллеру CAPsMAN, создается устройство WLAN каждый раз с новым номером и соответственно это устройство оказывается НЕ в бридже. При включенной опции "Local-forwarding" на втором SSID клиенты подключающиеся к нему остаются без сети

Всё работает согласно ваших настроек. Если у вас в CAPsMAN настроен провиженинг динамических интерфейсов и в конфигурации (в Datapath, например) не указан бридж - то, естественно, интерфейс в бридж добавляться не будет.