Guest Network Netgear

Hello Malte,

the wireless management functions are only meant to be used together with Sophos Accesspoints. There is no way to integrate other vendors hardware with it.

And, only the newer Sophos APX hardware is supported with XG- and XGS-firewalls. You could use older Sophos-"AP" models with the Sophos central offer and manage them via cloud. Maybe you get some cheap AP55C to use for case.

Hallo Philipp,

Ich vermute du sprichst deutsch?

das ich fremd AP‘s nicht integrieren kann ist mir leider bekannt. Ich könnte aber in den Netgear AP‘s den Gäste-Zugang aktivieren und einen anderen IP-Adressbereich festlegen.

jetzt frage ich mich ob das funktionieren würde.

Der IP-Adressbereich der Sophos ist bei mir 192.168.0.xxx 

Wenn ich dem AP sage nimm den Bereich 192.168.200.xxx würden ja die Geräte die sich mit dem AP verbinden eine solche IP Adresse bekommen da der AP sogesehen als DHCP Server fungiert.

Führt das dann zu Konflikten oder kann man das so irgendwie hinbasteln?

liebe Grüße 

Mer spreche hessisch hier.

Aber: was willst du denn erreichen? Du kannst natürlich ganz normale Netzwerksegmente mit der XG verwalten.

 Soll heißen: du definierst ein Netzwerk für deine APs und legst dann Regeln fest. Vergiss diese "Gast Netzwerk"-Objekte.

Mein laienhafter Gedanke ist, das sich die Gäste mit dem Gast-WLAN der Netgear AP‘s verbinden und zwar im Internet surfen können aber nicht auf mein Heimnetzwerk zugreifen können. So wie es die Sophos AP‘s auch tun wenn die SSID auf separate Zone und ein entsprechender IP Adressbereich festgelegt ist. 
Problem ist, das ich ja nicht nach der IP der AP‘s gehen kann weil da auch meine SSID drauf läuft. Daher der Gedanke die Netgear AP,s mit Gäste WLAN und dann irgendwie auf der Sophos das hinzubekommen…

Mein laienhafter Gedanke ist, das sich die Gäste mit dem Gast-WLAN der Netgear AP‘s verbinden und zwar im Internet surfen können aber nicht auf mein Heimnetzwerk zugreifen können. So wie es die Sophos AP‘s auch tun wenn die SSID auf separate Zone und ein entsprechender IP Adressbereich festgelegt ist. 
Problem ist, das ich ja nicht nach der IP der AP‘s gehen kann weil da auch meine SSID drauf läuft. Daher der Gedanke die Netgear AP,s mit Gäste WLAN und dann irgendwie auf der Sophos das hinzubekommen…

Hallo zusammen,

fast hochdeutsche Grüße aus dem Potsdamer Raum.

Das Problem dürfte sein, dass dein Netgear die WiFi-Netze (und damit auch das Gast-Netz) nicht als separate Subnetze auf den Netzwerkport und damit zur XG weiterleitet. Meist wird hier mit dem "WAN/externen"-Port maskiert. Damit kommen alle Geräte aus dem gleichen Subnetz ... oder schlimmer ... von der gleichen IP.

Wie soll die XG das auseinanderhalten? Wenn echten die "Client"-IP#s irgendwie weitergeleitet werden könnten, wird es einfacher.

Das ist die Frage… Wollte es aber nicht unversucht lassen. Und da ich nicht so viel Ahnung von der XG habe dachte ich frag einfach. Folgende Einstellungen sind auf den Netgears möglich:

Ich dachte das man der Sophos irgendwie sagen kann: wenn Geräte in diesem IP-Adressbereich „auftauchen“ dann behandle diese als Gast oder so.

So eine Art forwarding oder so.

Malte Söhner said:

wenn Geräte in diesem IP-Adressbereich „auftauchen“ dann behandle diese als Gast

Das wäre sicher möglich, wenn auf der Seite, mit welcher der AP an die Sophos verbunden ist, diese Gast-IP's noch zu sehen sind. ...

Ich verstehe leider nicht was du damit meinst…

Hallo Malte,

am besten wäre es, wenn die Netgear APs in der Lage wären, jeder SSID (egal ab "Gast" oder nicht) ein eigenes VLAN zuzuweisen.

Dann könntest du an der XG diese wieder auseinanderdröseln und verschiedenen Regeln verwenden.

Was du uns oben als Screenshot gezeigt hast sagt nur, dass der AP im "Gastnetzwerk" einen weiteren (anderen) IP-Bereich an die Wifi-Clients geben kann, so dass diese Netze quasi getrennt sind.

Dirk meint, dass man diese getrennten IP-Bereiche auf der XG ja unterschiedlich behandeln könnte, damit hättest du dein Ziel erreicht.

Das setzt allerdings voraus, das der Netgear nicht alles "maskiert", also mit einem NAT alle angeschlossenen Clients hinter seiner IP versteckt. ´Dann würde es nicht gehen.

Hallo Philip,

habe leider keine Ahnung von Maskierung, NAT und VLAN.

Ich sehe aber in den einzelnen SSID‘s folgende Einstellmöglichkeiten für VLAN. Wäre das das?

Hallo Malte,

auch ohne die Netgear APs zu kennen, sieht das ganz danach aus, was ich meinte.

Du gibst dem Gast-WLAN (ich würde es nicht "SOPHOS_GUESTS" nennen) ein eigenes VLAN, sagen wir "10" .

Dann hast du zwei Möglichkeiten:

- du hast ein Switch der VLANs beherrscht (also managebar ist), dort kannst du die VLANs auftrennen.

- du führst den LAN-Anschluss des APs an die Sophos und definierst dort die VLANs, quasi ein weiterer Anschluss am selben physischen Port. Dem VLAN 10 kannst du eine eigene IP zuweisen aus einem anderen Netz, die du als Gateway für den AP verwendest.

Alles weitere ist herkömmliches Firewall-Handwerk.

Hallo Philipp,

mein Switch (unmanaged) hängt an Port1 der Sophos. An dem Switch hängt mein POE Switch (unmanaged) und daran u.a. die AccessPoints.

Könnte ich für Port1 ein VLAN erstellen? Oder zerschieße ich mir dann was? Würde das auch gehen ohne die AP‘s direkt an die Sophos zu klemmen?

Habs hinbekommen. Herzlichen Dank für die Unterstützung.