{"id":1631,"date":"2025-05-17T17:58:30","date_gmt":"2025-05-17T20:58:30","guid":{"rendered":"https:\/\/www.nerdadas.com\/blog\/?p=1631"},"modified":"2025-05-20T17:46:47","modified_gmt":"2025-05-20T20:46:47","slug":"unifi-y-vlans-con-freeradius","status":"publish","type":"post","link":"https:\/\/www.nerdadas.com\/blog\/unifi-y-vlans-con-freeradius\/","title":{"rendered":"UniFi y VLANs con FreeRadius"},"content":{"rendered":"\n

Hoy es un \u00abdocumental\u00bb. Este es un proyecto ya implementado en el que, en su momento, me cost\u00f3 conseguir documentaci\u00f3n detallada de algunas configuraciones en espa\u00f1ol.
Uso Ubiquiti UNIFI, Mikrotik o Cisco Routers y Switches HPE 1910, 1920, 1930.<\/p>\n\n\n\n

La idea es la siguiente: Tener WiFi distribuidos, un mismo SSID y que cada cliente que se conecte tome la VLAN agendada en un Radiu<\/strong>s y por supuesto, la IP que le entregue un DHCP.<\/p>\n\n\n\n

En la vida real el escenario se me hizo m\u00e1s grande. Ac\u00e1 lo simplifiqu\u00e9 para que simplemente se entienda el concepto y se pueda implementar sin errores.<\/p>\n\n\n\n

Router(Mikrotik, Cisco), Switch HPE1920, AP Unifi y su controlador y PCs clientes.<\/p>\n\n\n\n

\"\"<\/a><\/figure>\n\n\n\n

Configuramos el Router<\/h2>\n\n\n\n

Como idea general debe haber un router que se encargue de \u00abroutear\u00bb. (Obvio).<\/p>\n\n\n\n

Necesitamos el rol de DHCP en cada VLAN, para eso configuraremos Router OnStick y un DHCP en cada una de las interfaces virtuales. De m\u00e1s est\u00e1 decir que este ejemplo es funcional, todas las dem\u00e1s configuraciones de seguridad se obvian. Si quieren revisar seguridad se pueden dar una vuelta por ac\u00e1: https:\/\/www.nerdadas.com\/blog\/protegiendo-nuestro-router-mikrotik-hardening\/<\/a>)<\/p>\n\n\n\n

Ahora las configuraciones de acuerdo al router que usemos. Solo les dejo dos ejemplos, Cisco y Mikrotik.<\/p>\n\n\n\n

Routers Cisco<\/strong><\/p>\n\n\n\n

#modo config\nR2#configure terminal\n\n#Nombramos al router\nRouter(config)#hostname R1\n\n#Configuramos la wan como dhcp-client(Nos dar\u00e1 ip nuestro proveedor)\nR1(config)#interface gigabitEthernet 0\/1\nR1(config-if)#ip address dhcp \nR1(config-if)#no shutdown\nR1(config-if)#exit\n\n#Creamos las vlans\nR1(config)#interface vlan 10\nR1(config-if)#description VLAN10\nR1(config-if)#exit\nR1(config)#interface vlan 20\nR1(config-if)#description VLAN20\nR1(config-if)#exit\nR1(config)#interface vlan 30\nR1(config-if)#description VLAN30\nR1(config-if)#exit\nR1(config)#interface vlan 99\nR1(config-if)#description VLAN99\nR1(config-if)#exit\n\n#Configuramos las interfaces para las vlans\nR1(config)#interface gigabitEthernet 0\/2.10\nR1(config-subif)#encapsulation dot1Q 10\nR1(config-subif)#ip address 192.168.10.1 255.255.255.0\nR1(config-subif)#no shutdown \nR1(config-subif)#exit\nR1(config)#interface gigabitEthernet 0\/2.20\nR1(config-subif)#encapsulation dot1Q 20\nR1(config-subif)#ip address 192.168.20.1 255.255.255.0\nR1(config-subif)#no shutdown \nR1(config-subif)#exit\nR1(config)#interface gigabitEthernet 0\/2.30\nR1(config-subif)#encapsulation dot1Q 30\nR1(config-subif)#ip address 192.168.30.1 255.255.255.0\nR1(config-subif)#no shutdown \nR1(config-subif)#exit\nR1(config)#interface gigabitEthernet 0\/2.99\nR1(config-subif)#encapsulation dot1Q 99\nR1(config-subif)#ip address 192.168.99.1 255.255.255.0\nR1(config-subif)#no shutdown \nR1(config-subif)#exit\n\n#Generamos los DHCP\n\nR1(config)#ip dhcp pool 10\nR1(dhcp-config)#network 192.168.10.0 255.255.255.0\nR1(dhcp-config)#default-router 192.168.10.1\nR1(dhcp-config)#exit\n\nR1(config)#ip dhcp pool 20\nR1(dhcp-config)#network 192.168.20.0 255.255.255.0\nR1(dhcp-config)#default-router 192.168.20.1\nR1(dhcp-config)#exit\n\nR1(config)#ip dhcp pool 30\nR1(dhcp-config)#network 192.168.30.0 255.255.255.0\nR1(dhcp-config)#default-router 192.168.30.1\nR1(dhcp-config)#exit\n\nR1(config)#ip dhcp pool 99\nR1(dhcp-config)#network 192.168.99.0 255.255.255.0\nR1(dhcp-config)#default-router 192.168.99.1\nR1(dhcp-config)#exit\n<\/code><\/pre>\n\n\n\n
Routers Mikrotik<\/strong><\/p>\n\n\n\n
#Nombramos el router\n\/system identity set name=R1\n#Configuramos la wan como dhcp-client(Nos dar\u00e1 ip nuestro proveedor)\n\/ip dhcp-client add interface=ether1 \n#Generamos las Interfaces virtuales de VLANs en la ether2\n\/interface vlan\nadd comment=VLAN10 interface=ether2 name=vlan1 vlan-id=10\nadd comment=VLAN20 interface=ether2 name=vlan2 vlan-id=20\nadd comment=VLAN30 interface=ether2 name=vlan3 vlan-id=30\nadd comment=VLAN99 interface=ether2 name=vlan4 vlan-id=99\n#Asignamos las ips\n\/ip address\nadd address=192.168.10.1\/24 interface=vlan10 network=192.168.10.0\nadd address=192.168.20.1\/24 interface=vlan20 network=192.168.20.0\nadd address=192.168.30.1\/24 interface=vlan30 network=192.168.30.0\nadd address=192.168.99.1\/24 interface=vlan99 network=192.168.99.0\n#Creamos el servicio de DHCP en cada interfaz.\n\/ip dhcp-server setup #(vlan10, vlan20, vlan30 y vlan99).\n\n<\/code><\/pre>\n\n\n\n
Instalaci\u00f3n y Configuraci\u00f3n Radius<\/h2>\n\n\n\n
Tambi\u00e9n, en un Linux con Debian o Ubuntu, instalaremos un Freeradius que usaremos para validar las mac de los dispositivos y asignarles las VLANS correspondientes. As\u00ed cada equipo, cuando se conecte al WiFi se conectar\u00e1 y tendr\u00e1 IP de la vlan que le corresponda. En caso de no tener agendado ese equipo en nuestro freeradius crearemos una conexi\u00f3n Default que enviar\u00e1 a estas personas a la VLAN 30 que har\u00e1 de VLAN de Visitas. (Deberemos en alg\u00fan momento aislar a esta VLAN del resto).<\/p>\n\n\n\n
#La ip de este equipo es: 192.168.99.200\/24\n#Debian o Ubuntu\nsudo apt install freeradius3 freeradius3-common freeradius3-config freeradius3-util\n\n#Editamos el archivo con la Mac del equipo que asignaremos la VLAN20 y sino est\u00e1 en la lista tomar\u00e1 la VLAN30.\nnano \/etc\/freeradius\/3.0\/mods-config\/files\/authorize\n\n#Escribir el siguiente contenido\n74:c6:38:d9:d2:7f Cleartext-Password := \"74:c6:38:d9:d2:7f\"\nTunnel-Type = VLAN,\nTunnel-Medium-Type = 6,\nTunnel-Private-Group-Id = 20\n\nDEFAULT                 Auth-Type := Accept\n                        Tunnel-Type = VLAN,\n                        Tunnel-Medium-Type = 6,\n                        Tunnel-Private-Group-Id = 30\n\n#Tambi\u00e9n deberemos autorizar a nuestros clientes que tienen permitido validar\n#Editamos el archivo\nnano \/etc\/freeradius\/3.0\/mods-config\/files\/clients.conf\n#Escribir el contenido\nclient vlan1 {\n        ipaddr = 192.168.99.0\/24\n        secret = passwordradius\n}<\/code><\/pre>\n\n\n\n
Configuraci\u00f3n de Switches<\/h2>\n\n\n\n
Configuraci\u00f3n de VLANs en los puertos donde conectamos los UNIFI
Obviamente primero creamos las VLANS en el Switch. (VLANS 10,20,30,99).<\/p>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n
Cargamos todas las VLANs tagged en el puerto de red donde conectaremos nuestro UniFi AP. Estas VLANS ser\u00e1n distribuidas por nuestro AP seg\u00fan Radius diga a qui\u00e9n corresponden.<\/p>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n
Una vez que tenemos como tagged las vlans que va a distribuir el UniFi AP vamos a configurar como Untagged la VLAN de management para administrar nuestros APs con UNIFI. De esta manera nos ahorramos el paso de meter en la vlan de administraci\u00f3n a los UniFI, automaticamente obtendran una ip en el mismo rango que el UniFi Controller con solo conectarse. En HPE es un puerto hybrid.<\/p>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n
Configuraci\u00f3n UniFi<\/h2>\n\n\n\n
Creamos nuestra red WiFI con lave WPA2.<\/p>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n
Luego, en el perfil, vamos a agregar el server radius que configuramos antes.<\/p>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n
Tildamos la casilla Wireless Networks y usamos como secret la clave de clientes que generamos antes. En el ejemplo el Radius es 192.168.10.1 pero deber\u00eda ser 192.168.99.200, por ejemplo, para que est\u00e9 en la misma vlan de administraci\u00f3n.<\/p>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n
Ahora configuramos nuestra red Test en forma manual para agregar la  validaci\u00f3n de vlan con radius para los clientes.<\/p>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n
Resumen<\/h2>\n\n\n\n
El funcionamiento ser\u00eda el siguiente. Cada vez que un equipo(Laptop, M\u00f3vil, etc) se conecte al WiFi tendr\u00e1 que seleccionar el SSID (Test en este caso) y poner la password. Al validar la conexi\u00f3n, UniFi preguntar\u00e1 al servidor Radius si esa MAC Address tiene una VLAN asignada. Si es as\u00ed, conectar\u00e1 al dipositivo en esa VLAN. En el caso contrario, le asignar\u00e1 la VLAN 30. (Se aplica en el Radius la secci\u00f3n DEFAULT)<\/p>\n\n\n\n
Es muy com\u00fan aplicar 802.1x o validar las conexiones cableadas con Freeradius pero no tan com\u00fan aplicarlo al WiFi. Hay varias consideraciones de seguridad al hacer esto yo solo quiero destacar una. La VLAN de management y cualquier otra VLAN que tenga accesos privilegiados no deber\u00eda ser accesible v\u00eda WiFI ya que es posible escuchar y spoofear una MAC address para ganar acceso. Tambi\u00e9n recomiendo  calcular los l\u00edmites de los dispositivos WiFI para que sean accesibles solo desde los recintos de la empresa o lugar donde se pongan y no desde la calle o a la distancia..<\/p>\n\n\n\n
<\/p>\n","protected":false},"excerpt":{"rendered":"
Hoy es un \u00abdocumental\u00bb. Este es un proyecto ya implementado en el que, en su momento, me cost\u00f3 conseguir documentaci\u00f3n detallada de algunas configuraciones en espa\u00f1ol. <\/p>\n
Uso Ubiquiti UNIFI, Mikrotik o Cisco Routers y Switches HPE 1910, 1920, 1930.<\/p>\n
La idea es la siguiente: Tener WiFi distribuidos, un mismo SSID y que cada cliente que se conecte tome la VLAN agendada en un Radius y por supuesto, la IP que le entregue un DHCP.<\/p>\n
En la vida real el escenario se me hizo m\u00e1s grande. Ac\u00e1 lo simplifiqu\u00e9 para que simplemente se entienda el concepto y se pueda implementar sin errores.<\/p>\n
Router(Mikrotik, Cisco), Switch HPE1920, AP Unifi y su controlador y PCs clientes.<\/p>\n","protected":false},"author":1,"featured_media":1661,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[64,1223,161,17,804],"tags":[1353,1354,1355,1357,1358,1148,1352,1351,10,37,1230,242,569,1064,1312,1311,138,1359,1360,1356,1254],"class_list":["post-1631","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ideas","category-redes","category-seguridad","category-tecnologia","category-ti","tag-1353","tag-1354","tag-1355","tag-ap-uap","tag-ap-uap-pro","tag-cisco","tag-hp","tag-hpe","tag-jeremias-palazzesi","tag-linux","tag-mikrotik","tag-network","tag-redes","tag-router","tag-switch","tag-switches","tag-trabajo","tag-uap","tag-uap-pro","tag-ubiquiti","tag-unifi"],"_links":{"self":[{"href":"https:\/\/www.nerdadas.com\/blog\/wp-json\/wp\/v2\/posts\/1631","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.nerdadas.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.nerdadas.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.nerdadas.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.nerdadas.com\/blog\/wp-json\/wp\/v2\/comments?post=1631"}],"version-history":[{"count":18,"href":"https:\/\/www.nerdadas.com\/blog\/wp-json\/wp\/v2\/posts\/1631\/revisions"}],"predecessor-version":[{"id":1669,"href":"https:\/\/www.nerdadas.com\/blog\/wp-json\/wp\/v2\/posts\/1631\/revisions\/1669"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.nerdadas.com\/blog\/wp-json\/wp\/v2\/media\/1661"}],"wp:attachment":[{"href":"https:\/\/www.nerdadas.com\/blog\/wp-json\/wp\/v2\/media?parent=1631"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.nerdadas.com\/blog\/wp-json\/wp\/v2\/categories?post=1631"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.nerdadas.com\/blog\/wp-json\/wp\/v2\/tags?post=1631"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}