VLANs über Mikrotik erstellen mit Unifi APs?

[Johanna K]

a) 1 WLAN-Modul in einem AccessPoint kann tatsächlich 2 SSID haben? 1 WLAN-Modul in einem AccessPoint kann mehrere VLANs bedienen? Das habe ich bislang noch nicht gehört. Hast du da mehr Infos? Welche Router / APs können das?

Die APs von Mikrotik können das. Eine SSID pro VLAN ist möglich, und ich meine, maximal 4096 VLANs sind machbar (mit 4096 kann ich mich irren).

Die Fritz Repeater können übrigens auch zwei SSIDs, eine normale, eine für Gäste, aber das Gästenetzwerk ist kein echtes VLAN.

b) Ein VLAN wird doch gebildet indem die IP-Pakete mit eben einer VLAN-ID getagged werden. Der Switch verteilt das dann. Eine NAT arbeitet auf IP-Adress-Basis, nicht auf den VLAN-IDs.

Korrekt, aber man kann (bei Mikrotik) ein NAT an ein VLAN binden, und dann hat man doch einen Zusammenhang.

Ein Switch hat keine NAT. Für ein NAT braucht es einen Router,

Der im Eingangsbeitrag genannte Switch kann NAT. Überhaupt stellt Mikrotiks RouterOS für Switche sehr viele Funktionen bereit, die üblicherweise für Router gedacht sind, so dass man darüber diskutieren kann, ob das noch ein Switch oder nicht schon ein Router ist. Man kann aber auch auf alle Managementfunktionen verzichten und den Switch einfach als Switch verwenden.

Das VLAN wird im Switch verteilt. Der sorgt dafür, dass die Pakete nur im jeweiligen VLAN sind. Da braucht es keine Firewall.

Ein VLAN kann aber auch einen Ausgang haben, z. B. am NAT oder wenn es über einen Port untagged an ein Gerät (Switch/Router) geht, welches nichts von dem VLAN weiß- Dies ist auch nötig, wenn Geräte aus dem VLAN auf das Internet zugreifen dürfen. An der Stelle muss gegebenenfalls dafür gesorgt werden, dass die VLANs trotzdem abgeschottet sind oder dass gewisse Zugriffe zwischen VLANs nötig sind (z. B. um die Geräte im IoT zu administrieren). Bei manchen Produkten (z. B. Mikrotik) muss da alles manuell konfiguriert werden, andere (z. B. AVM mit Fritzbox beim Gäste-LAN, wenn man mal kurz ignoriert, dass das kein echtes VLAN ist) machen alles automatisch, so dass der Anwender nichts davon mitbekommt.

Dann verstehe ich die Konfiguration (VLAN + jeweiliger IP-Bereich) also so, dass es ein workaround ist, um die mangelnden Fähigkeiten der Fritzbox zu umgehen. Richtig?

Nein, auch ohne die Unzulänglichkeiten der Fritzbox würde man das benötigen, da alle VLANs ins Internet wollen (wo es dann auch kein VLAN mehr gibt) oder für Zugriffen von einem VLAN auf ein anderes.