Возможность настройки CAPsMAN при том что менеджер не является роутером.

[korn3r]

Здравствуйте.
Возможно ли настроить capsman, если все устройства микротик (3шт) являются беспроводными точками в режиме bridge, а роутером выступает другое устройство?

Я не совсем понимаю принцип работы capsman и мне не понятно какие у него самые минимальные настройки. Обязателен ли nat\dhcp на управляющем устройстве?

Роутер - PfSense
Точки - Cap, Cap Lite и Cap AC

[KARaS'b]

Контроллером капсмана может быть только устройство микротик или х86 машина\виртуалка с ros, т.е. в вашем случае это будет одна из точек, она будет контроллером для себя и остальных двух. При этом в плане настройки минимально это - собрать порты в бридж, задать адреса с маской и прописать, что точка работает с капсманом, что бы она получила от него настройки беспроводной сети, это самый необходимый минимум, дальше по желанию, ну и на одной из точек настроить этот самый капсман.

[mafijs]

собрать порты в бридж

Маленький совет:
WiFi интерфейс в бридж НЕ включать , если этот интерфейс работает под управлением CAPsMan

[KARaS'b]

собрать порты в бридж

Маленький совет:
WiFi интерфейс в бридж НЕ включать , если этот интерфейс работает под управлением CAPsMan

Буду очень благодарен за развернутое обоснование такого совета.

[Erik_U]

собрать порты в бридж

Маленький совет:
WiFi интерфейс в бридж НЕ включать , если этот интерфейс работает под управлением CAPsMan

Буду очень благодарен за развернутое обоснование такого совета.

Аналогично.

У меня, например, без включения WiFi интерфейса в бридж ничего не работает. Вы предлагаете создавать для WiFi другую подсеть и строить туда маршрутизацию?

[KARaS'b]

У меня, например, без включения WiFi интерфейса в бридж ничего не работает. Вы предлагаете создавать для WiFi другую подсеть и строить туда маршрутизацию?

Есть еще вариант выключить "локал форвардинг" и тогда точки начнут пихать весь трафик сначала в контроллер, даже если вай-фай интерфейс не находится в бридже (но это не точно ), но это уже не простейшая настройка и смысла такой конфигурации в простецкой сети я не вижу, если только не нужно как-то контролировать вай-фай трафик или отделять его от остальной сети для каких-то иных задач.

[mafijs]

Аналогично.

У меня, например, без включения WiFi интерфейса в бридж ничего не работает. Вы предлагаете создавать для WiFi другую подсеть и строить туда маршрутизацию?

Попробую объяснить. На примере RouterBOARD wAP 2nD r2
конфиг точки

 

# mar/29/2019 10:06:21 by RouterOS 6.44
# software id = LLPC-AN5U
#
# model = RouterBOARD wAP 2nD r2
# serial number = 676705970146
/interface wireless
# managed by CAPsMAN
# channel: 2412/20/gn(13dBm), SSID: MikroTik, CAPsMAN forwarding
set [ find default-name=wlan1 ] rx-chains=0 ssid=MikroTik tx-chains=0
/interface ethernet
set [ find default-name=ether1 ] advertise=\
10M-half,10M-full,100M-half,100M-full,1000M-half,1000M-full
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip hotspot profile
set [ find default=yes ] html-directory=flash/hotspot
/ip ipsec proposal
set [ find default=yes ] enc-algorithms=aes-128-cbc
/snmp community
set [ find default=yes ] addresses=0.0.0.0/0
/system logging action
set 1 disk-file-name=log
/interface wireless cap
#
set discovery-interfaces=ether1 enabled=yes interfaces=wlan1
/ip address
add address=10.0.0.204/24 interface=ether1 network=10.0.0.0
/ip dns
set servers=91.198.156.20
/ip route
add distance=1 gateway=10.0.0.1
/ip smb shares
set [ find default=yes ] directory=/pub
/ip ssh
set allow-none-crypto=yes
/system clock
set time-zone-name=Europe/Riga
/system identity
set name=DV-3st-4
/system ntp client
set enabled=yes primary-ntp=10.0.0.1 secondary-ntp=10.0.0.1
/system watchdog
set watchdog-timer=no
/tool romon
set enabled=yes

Всем трафиком упраляет CAPsMan контролёр. Никаких "Local forward" или "Client to client forward" на точках нет.
datapath config

 

/caps-man datapath
add bridge=bridge_pub client-to-client-forwarding=no local-forwarding=no \
name=datapath-pub
add bridge=bridge-local client-to-client-forwarding=no local-forwarding=no \
name=datapath_local

На точках два SSID , каждый на своем бридже на контролёре. bridge-local-такая же прдсеть как у точки, рабочая сеть, bridge_pub - уже другая подсеть , публичний доступ в интернет.
Уже на фаерволи или в роутес можно запретить доступ между сетьями.

[KARaS'b]

Замечательно, но вы видимо не прочли вопрос топикстартера, он просит объяснить какой минимум необходим для работы, к вашей конфигурации это не имеет никакого отношения.

[mafijs]

Есть еще вариант выключить "локал форвардинг" и тогда точки начнут пихать весь трафик сначала в контроллер, даже если вай-фай интерфейс не находится в бридже (но это не точно ), но это уже не простейшая настройка и смысла такой конфигурации в простецкой сети я не вижу, если только не нужно как-то контролировать вай-фай трафик или отделять его от остальной сети для каких-то иных задач.

С одним SSID на точке "локал форвардинг" прокатит, но с двумя или более - нет.
и "если вай-фай интерфейс не находится в бридже (но это не точно )" - ето уже точно траляет прямо на контроллер. Получается какой-то тунель с ви-фи интерфейса до контроллера. В торч "по дорге" не видно что там идёт. Только прямо на cap_s интерфейсе или на бридже.

[mafijs]

Замечательно, но вы видимо не прочли вопрос топикстартера, он просит объяснить какой минимум необходим для работы, к вашей конфигурации это не имеет никакого отношения.

На одной точке поднимает контролёр и остальные подключать к нему.
Далше уже конролёр решает куда и на какой шлюз отправить трафик.
На этой точке бридж, к который нaзначен в datapath CAPsMan. И уже через этот бридж дплше в интернет или куда угодно.
Как-то так, я думаю.