Regel für Wlan nach Wan

adlerauge1980

Hallo Jager

Ich hatte da ne schlaue idee…. ::) (hätte ich ja auch schon früher drauf kommen können....
Ich habe mir ein Windows PC organisiert und dies mit diesem getestet. Und siehe da ich kann drucken. für mein Mac book bekähme ich das nun sicherlich irgend wie hin, dass dieses den Drucker via IP ansteuert. Leider kann ich das beim IPhone nicht einstellen, dies funktioniert vermutlich nur über Bonjour. An hand meinen Recherchen im Netz habe ich herausgefunden das ich dafür den DNS Server einrichten muss.

Kann mir jemand dazu einige Tipps geben? Leider habe ich keine deutsche Anleitung zum einrichten dieses Dienstes gefunden. Bin jedoch darüber gestollpert, dass es einige User gibt, welche mit Bonjour diesbezüglich Probleme haben. Falls sich jemand damit auskennt und lust hat eine Anleitung fü: "Pfsense und Bonjour" zu schrieben währe vermutlich nicht nur ich sehr häppy.....

Im voraus schon ein ganz herzlichen Dank für eure Mithilfe!
Liebe Grüssse

JeGr

Also wie gesagt, Bonjour/Avahi/Zeroconf ist eigentlich nur die Implementation von Multicast DNS.

Brother selbst schreibt aber auf der Service Seite, dass zur Nutzung mit der App sich Drucker und Endgerät unbedingt im selben Netz befinden sollen. Das wird - denke ich - der Einschränkung von mDNS geschuldet sein, denn Multicasts weiterzurouten ist keine so schöne (einfache) Sache. Noch dazu kommt, dass viele Autokonfigurationen (siehe Windows Homegroup etc.) inzwischen indirekt IPv6 nutzen für die Autokonfiguration, was nochmals zur Komplexität beiträgt.

Im Endeffekt wäre es wahrscheinlich einfacher wenn:

Drucker im LAN angeschlossen, bekommt von DHCP Server eine MAC basierende, statische IP Adresse
Clients im LAN können somit drucken
WiFi AP mit entsprechender Sicherheitseinstellung für Clients die unbedingt Wireless drucken müssen, direkt ins LAN gebridged
Gäste AP an eigenem Anschluß der Sense, die somit vom LAN isoliert sind.

Das entspricht dann auch einem typischen Enterprise-WiFi Aufbau, bei dem mehrere WiFi Zellen aufgespannt sind und freigeschaltete Mitarbeiter direkt mit dem WLAN Gerät ins LAN eingebunden sind, und andere die das nicht brauchen + Gäste isoliert sind.

Grüße

adlerauge1980

Hallo JeGr

Herzlichen Dank für deine Hilfe! Wenn ich dich richtig verstehe müsste ich, um deine Idee zu realisieren, ein weiterer Wifi AP zulegen? momentan nutze ich ein Alix Board mit integrierter W-Lan Karte. PFsense ist auf dem Alix Board drauf.

Ich habe eben das gleiche Problem, mit den VPN Clients, gibt es da auch eine Lösung, oder komm ich dann nicht um des Thema mDNS ect. herum?

JeGr

Mit den VPN Clients wirds noch nen Zacken schwerer, da diese auf jeden Fall geroutet und ggf. dem Drucker nichtmal bekannt sind. Allerdings - wenn es sich da nur um Laptops/PCs handelt, sollte denen das per IP verbunden relativ egal sein, sofern die Routen, Regeln und Namen passen. Aber bspw. ein per VPN eingewähltes iPhone wird per App garantiert nicht glücklich werden. Dafür sind diese Art Drucker/Geräte aber auch überhaupt nicht ausgelegt, weil das meistens nur Arbeitsgruppen-Geräte sind. Keine Full-Scale Printserver für Unternehmenseinsatz.

Evtl. kannst du mit der ALIX auch noch eine zweite SSID aufspannen und diese bridgen. Da ich aber strikt WiFi APs von Border-Gateway Geräten trenne, kann ich dir das nur bedingt sagen. Zumal pfSense nicht gerade die beste Plattform für WiFi ist (durch eingeschränkte Treiberverfügbarkeit). An der Stelle fand ich es dann durchaus einfacher, vorhandene Geräte bzw. ein zusätzliches mit einzubringen.

Bspw. hat privat meine KabelBW Fritz!Box eh nur single-Band WiFi. Macht aber nichts, deshalb macht sie im 2,4GHz Band eben Gäste-AP. Die kommen dann ins Internet und gut. Eine andere alte Fritzbox macht dafür dann im LAN selbst hinter der pfSense den "echten" WiFi AP im 2,4 und 5GHz Band, der ist dann auch stark verschlüsselt und nur für interne Geräte.

Bei meinem letzten WiFi Projekt waren es bspw. APs von HP, die dann auch multiple VLANs und multiple SSIDs pro Kanal aufspannen können. Damit ist das dann sehr einfach zu realisieren, gleich auch noch mit Anbindung an ein internes AD und Auth per Radius ;) Das dürfte an dieser Stelle aber etwas Overkill sein.