Разработчик зачем-то админит гостиницу. Серия 3: выносим гостевой Wi-Fi гостиницы в отдельный VLAN

Когда я только начал разбираться с сетью гостиницы, оказалось, что практически всё живёт в одной большой локальной сети 192.168.0.0/23. Это около 512 адресов. Серверы, рабочие компьютеры, камеры, сетевое оборудование. И гостевой Wi-Fi тоже.

То есть человек заселяется в номер, подключается к Wi-Fi и технически оказывается примерно в той же сети, где живёт большая часть инфраструктуры отеля. Опасненько! Решил вынести гостевой Wi-Fi в отдельный VLAN 50 с собственной сетью 10.50.0.0/23, из которой можно ходить только в интернет.

Казалось бы:

создал VLAN → указал его в UniFi → готово.

Разумеется, нет. Гейтвей у меня вообще работает виртуальной машиной в Proxmox. Поэтому VLAN сначала нужно было передать с физического коммутатора в Proxmox, добавить отдельный сетевой интерфейс в VM с Linux-гейтвеем, настроить DHCP, маршрутизацию и firewall. А потом протащить этот же VLAN через всю физическую сеть гостиницы до всех точек доступа, которые раздают гостевой Wi-Fi. И вот это было самым трудозатратным, т.к. для этого было нужно знать всю топологию сети, что есть в гостинице. Какой коммутатор за каким, управляется ли он, поддерживает ли VLAN-тегирование.

Причём на пути была довольно разношёрстная коллекция управляемых и неуправляемых коммутаторов, которую я сам тогда ещё только начинал понимать. Поэтому сначала всё проверял на одной точке доступа и временном SSID, не трогая рабочую гостевую сеть.

Очень приятный способ изучать tagged/untagged VLAN:

не на лабораторном стенде, а в работающей гостинице, где прямо сейчас сидят гости.

После проверки уже перевёл production-сеть Bristol-Guest в новый VLAN.

У гостей остался интернет, но пропал доступ к серверам, рабочим компьютерам, камерам, телефонии и management-интерфейсам сетевого оборудования. Заодно гостевые устройства изолировал друг от друга.

Наверное, именно в этот момент я впервые понял, что фраза «я немного поддерживаю инфраструктуру гостиницы» уже не совсем соответствует действительности.

Предыдущая часть: Серия 2: меняем корневые свитчи и стараемся ничего не сломать.