1811, VLan, WLan, Sicherheit, Grundlegende Fragen 2Netze

[Falks]

Hallo!

Wir möchten in unserem kleinen Hotel mittels WLan den Gästen einen kostenpflichtigen Service bieten, um ins Internet zu kommen.

Wie richte ich am besten in ein bestehendes Lan den LC 1811 ein, so dass kein Gast:

1. ohne größere Umstände (Softwareinstallation usw.) "sicher" (z.B. WPA-PSK oder ähnlichem) in unser Netz kommt? Ist WPA-PSK das beste Verfahren? Bietet Radius/802.1x mehr Vorteile, zwecks Identifikation zur Protokollierung (s.u.)?

2. einen anderen Gast (dessen Notebook) im Intranet (sprich über das 1811) finden kann. (Dies soll zu Sicherheit der Gäste/Clients beitragen)?

3. in das bestehende Lan Einblick erhält (ausgenommen vom ADSL/Router, der in diesem Fall nicht die 1811 selber ist?)

4. Wollen wir die IP-Logs, wie vom Gesetzgeber vorgeschrieben 90 Tage lag mitprotokollieren. Wie weit kann mir die PublicSpot Option dabei helfen?


Einerseits sind die IPs in unserem Lan fest vergeben, andererseits möchte ich der Einfachheit halber den Gästen einen DHCP-Service anbieten, der unser Lan nicht beeinflußt, sprich sich nur an WLan-Geräte richtet.

Wir werden auch AirLancer USB-54ag an die Gäste ausleihen, um eine einfache MAC-Filterung zu gewährleisten. Kann man den MAC-Adressen gleich eine IP/Subnetz zuordnen?

Aus Kostengründen möchten wir uns keinen zweiten DSL-Anschluß zulegen.

Mir ist nicht nur wichtig, dass es funktioniert, sondern viel mehr dass es uns möglich wird, ein einfaches System zur "Internet-Einwahl" anzubieten, jedoch gleichzeitig Zugriffe von Aussen und von Innen (den Gästen) vollständig abzuwehren bzw. zu kontrollieren und zu protokollieren, ohne einen Server aufzusetzen, der sich damit befassen muß.

Reichen die Fähigkeiten der LC 1811 inkl. PublicSpot Option dafür aus?

Für etwaige Tips währe ich sehr dankbar! :-)

[alf29]

Moin,

1. ohne größere Umstände (Softwareinstallation usw.) "sicher" (z.B. WPA-PSK oder ähnlichem) in unser Netz kommt? Ist WPA-PSK das beste Verfahren? Bietet Radius/802.1x mehr Vorteile, zwecks Identifikation zur Protokollierung (s.u.)?

Wenn Ihr den Kunden Karten ausleihen wollt, werden
diese u.U. nicht um eine Installation (nämlich des dafür
erforderlichen Treibers) herumkommen. Andererseits
muß damit gerechnet werden, daß auch Kunden mit
ihren eigenen WLAN-Karten kommen, die möglicherweise
gar kein WPA können (derer gibt es noch zu hauf...).
Aus diesem Grund laufen Public Spots üblicherweise
komplett ohne Verschlüsselung, der Kunde bekommt
ja einen Internetzugang, und spätestens wenn die
Pakete ins Internet gehen, sind sie erstmal ungeschützt.
Wer sicher kommunizieren will (z.B. einen Tunnel in
sein Firmennetz), tut das über VPN oder SSL/SSH,
und das sichert dann auch die WLAN-Strecke mit ab.

2. einen anderen Gast (dessen Notebook) im Intranet (sprich über das 1811) finden kann. (Dies soll zu Sicherheit der Gäste/Clients beitragen)?

Man kann im Gerät den Datenverkehr von WLAN-Clients
untereinander abschalten.

3. in das bestehende Lan Einblick erhält (ausgenommen vom ADSL/Router, der in diesem Fall nicht die 1811 selber ist?)

Eine wirklich saubere Trennung von Datenverkehr in einen
LAN ist nur über VLANs (802.1q) möglich. LANCVOM-APs
unterstützen VLANs in dem Sinne, daß der Traffic, der
von/zu einem bestimmten WLAN-Netzwerk geht, auf dem
LAN in ein getrenntes VLAN gepackt wird, dann braucht
man aber auf der anderen Seite auch einen VLAN-fähigen
Router, bzw davor geschaltet einen VLAN-fähigen Switch,
der die VLANs wieder auf getrennte physikalische Ports
auseinanderdröselt. Reine LANCOM-Router können im
Augenblick z.B. noch keine VLANs.

4. Wollen wir die IP-Logs, wie vom Gesetzgeber vorgeschrieben 90 Tage lag mitprotokollieren. Wie weit kann mir die PublicSpot Option dabei helfen?

Sofern RADIUS-Accounting konfiguriert ist, werden in
den Logs IP-Adresse und MAC-Adresse mit übermittelt,
sowie der Name, mit der der Benutzer sich Public-Spot-
mäßig angemeldet hat.

Einerseits sind die IPs in unserem Lan fest vergeben, andererseits möchte ich der Einfachheit halber den Gästen einen DHCP-Service anbieten, der unser Lan nicht beeinflußt, sprich sich nur an WLan-Geräte richtet.

Der DHCP-Server im 1811 hat eine Port-Tabelle, mit
der man festlegen kann, an welchen Ports er Anfragen
beantwortet und an welchen nicht (defaultmäßig ist
er auf allen Ports aktiv).

Wir werden auch AirLancer USB-54ag an die Gäste ausleihen, um eine einfache MAC-Filterung zu gewährleisten. Kann man den MAC-Adressen gleich eine IP/Subnetz zuordnen?

Das geht über die Host-Tabelle des DHCP-Servers im
LANCOM.

Aus Kostengründen möchten wir uns keinen zweiten DSL-Anschluß zulegen.

Das ist durchaus verständlich, nur muß man dann eben
dafür sorgen, daß der 'interne' Traffic und der von den
WLAN-Clients irgendwie getrennt werden. Eine Option
sind wie oben geschrieben VLANs, das erfordert aber
auch etwas Einrichtungsaufwand auf der Router-Seite.
Sofern der ADSL-Router selber auch ein LANCOM mit
eingebautem Switch ist, bestünde auch die Möglichkeit,
das 1811 direkt mit dem Router zu verbinden und den
eingebauten Switch des Routers in den Private-Mode
zu schalten.

Wobei die ganze Router-Funktionalität des 1811 dann
natürlich nicht genutzt wird, ein L-54 würde's dafür genauso
tun.

Gruß Alfred

[Falks]

Vielen lieben Dank erstmal!

Das bestättigt alles soweit meinen begrenzten Kenntnisstand.

Falls wir den alten Router durch den LC 1811 ersetzen, der an seinem eigenen Switch - laut Datenblatt - VLan beherrscht, wäre das Sicherheitsprobelm gelöst.

Lässt sich durch MAC-Flodding die LC 1811 nicht vom VLan-Modus in einen einfachen Hub-Modus umschalten?

Wenn ich jedoch VLan richtig konfiguriere, sprich zwichen WLan-Clients und dem Internet-Port, kann man dann noch die Radius-Logfiles an einen Lan-Rechner gesendet/ausgelesen bekommen?

[Falks]

Hi alle!

Also hab die 1811 jetzt seit ein paar Tagen hier.
Alle Achtung! 500 Seiten Referenzhandbuch! Da lernt man so einiges...
Ein super Teil, keine Frage!

Trotz 16 Jahre Computererfahrung und fast 10 jährigem ct-Abo.... ich bekomms nicht gebacken.

Kurze Zielbeschreibung:
1. Die 1811 ist an einen weiteren Router angeschlossen (LANCOM DSL Office: DSL/I-10 bei der Arbeit).
2. Alle WLAN-Clints sollen per DHCP nur ins Internet (nicht ins Firmennetz), sprich DHCP soll später nur auf die WLAN-Gäste ansprechen.
3. Ein WLAN-Notebook hat Zugriff auf einen Netzwerkdrucker im Firmennetz.
4. An den LAN-Ports der 1811 sind weitere Firmenrechner(Feste IP des Frimennetzes) (wichtig: Kein Kontakt zu den WLan-Clients!)
5. Zugang der WLan-Gäste soll der einfach halber erst mal per LEPS zustande kommen, da mir alle berechtigten MACs bekannt sind.

Ausgangskonfiguration:

Alle Firewalls (Rechner, 1881) und WEP, MAC-Filter etc. sind deaktiviert.

Die 1811 hängt (WAN-Port) z.Z. (bin zu Hause zum Austesten) an einem Netopia Router von Braodnet Mediascape, welcher nicht konfiguriert werden kann, da Broadnet das Passwort (und Einwahldaten DSL) nicht mitliefert. Um einen Router am Netopia betreiben zu können, muss dieser die IP 192.168.1.16/24 haben, DNS-Adressen sind bekannt.

Soweit OK! Hab gleich die neuste Firmware installiert (5.02.0020) ---> alles Bestens (Danke für den Konverter-Hinweis!). Hänge ein Notebook an den Switch in der 1811 (Lan2). ---> komme ich problemlos ins Internet
(Vielen lieben Dank für die Assistenten!!!)

Fangen wir mit den einfachen Problemchen an:
a) Am selben Laptop(, der auch am LAN2 der 1811 hängt,) schließe ich den AirLancer USB-54ag an und kann die SSID finden. Einwahlversuche funktionieren nicht. Feste IP fürs drahtlose Netz (in WinXP Pro SP2) ---> auch nix.

b) Viel Interessanter: Habe z.Z. hier das neue Tchibo-Notebook ( ein MSI S270 Klon), welcher noch nie die SSID finden konnte, obwohl ich 802.11g/b (kompatibel eingestellt und auch mit den Kanälen experimentiert habe). Eine MiniPCI 802.11g kompatible Karte ist dort eingebaut. Woran könnte das liegen?

OK OK soweit erstmal. Ich lese mir mal weiter das Ref-Handbuch durch ...
Bin für jeden Tipp Dankbar!!!

p.s.: Viele Beiträge hier und auch die gut dokumentierten FAQs sind Spitze!!!

[alf29]

Moin,

Falls wir den alten Router durch den LC 1811 ersetzen, der an seinem eigenen Switch - laut Datenblatt - VLan beherrscht, wäre das Sicherheitsprobelm gelöst.

Hier irrt - leider - das Datenblatt, der Switch im 1811
kann mit VLANs bestenfalls dahingehend umgehen,
daß beim Durchleiten die VLAN-Tags nicht kaputt
gemacht werden - anhand der Tags kann er keine
Entscheidungen treffen, ob ein Paket auf einen Port
geleitet werden darf oder nicht. VLAN-Support im
1811 ist auf die Bridge zwischen LAN und WLAN
beschränkt.

Lässt sich durch MAC-Flodding die LC 1811 nicht vom VLan-Modus in einen einfachen Hub-Modus umschalten?

Da verwechselst Du die Adreßtabelle im Switch mit
einer VLAN-Konfig. Letztere ist üblicherweise fix und
kann nicht durch 'flooding' außer Kraft gesetzt werden, weil
sie sich für die MAC-Adressen in den Paketen überhaupt
nicht interessiert.

Wenn ich jedoch VLan richtig konfiguriere, sprich zwichen WLan-Clients und dem Internet-Port, kann man dann noch die Radius-Logfiles an einen Lan-Rechner gesendet/ausgelesen bekommen?

Von Gerät selber verschickte Pakete sind dem einzeln
zu konfigurierenden Geräte-VLAN zugeordnet. Wenn ein
Rechner die empfangen können soll, muß er auf irgendeine
Weise ein 'Bein' in diesem VLAN haben.

a) Am selben Laptop(, der auch am LAN2 der 1811 hängt,) schließe ich den AirLancer USB-54ag an und kann die SSID finden. Einwahlversuche funktionieren nicht. Feste IP fürs drahtlose Netz (in WinXP Pro SP2) ---> auch nix.

Was darf ich unter 'Einwahlversuchen' verstehen? Das
ist eine LAN-Konfiguration, da hat der Client per DHCP
oder auf andere Weise eine IP-Konfiguration inklusive
Gateway bekommen - irgendwelchen DFÜ-Netzkram
braucht man da nicht.

b) Viel Interessanter: Habe z.Z. hier das neue Tchibo-Notebook ( ein MSI S270 Klon), welcher noch nie die SSID finden konnte, obwohl ich 802.11g/b (kompatibel eingestellt und auch mit den Kanälen experimentiert habe). Eine MiniPCI 802.11g kompatible Karte ist dort eingebaut. Question Woran könnte das liegen?

So ohne weitere Traces kaum zu sagen. Ist auf dem
AP Closed Network aktiviert? Damit kommen viele
Clients nicht klar.

Gruß Alfred

[Falks]

Hi!

Was darf ich unter 'Einwahlversuchen' verstehen?

"Drahtlosnetzwerkverbindung" aufbauen, nachdem bei "Verfügbare Drahtlosnetzwerk" gefunden wurde. Dann kann man ja nach Einstellung WEP eingeben (bereits ausprobiert) oder z.Z. in meiner Konfiguration (ohne WEP) versucht das Notebook über den Airlancer gleich eine IP zu bekommen.
Habe festgestellt, dass währenddessen die LED am Airlancer fleißig blinkt, an der 1811 jedoch nur gleichmäßig leuchtet.

Muß ich womöglich In der LANconfig folgende Einstellungen ändern?:
TCP/IP-->Adressen-->Adressberich für Einwahl-Zugänge

Da stehen bei mir z.Z. nur "0.0.0.0". Wodurch unterscheidet sich dieser Adressraum von dem unter TCP/IP-->DHCP?

AP Closed Network aktiviert?

Nein, SSID ist öffentlich.

Na, ich schau mich mal wegen dem Tchibo-Notebook noch in anderen Foren um. Vielleicht ist es defekt. Muß es noch mit einem anderen AP austesten.

[LoUiS]

Hi,

Muß ich womöglich In der LANconfig folgende Einstellungen ändern?:
TCP/IP-->Adressen-->Adressberich für Einwahl-Zugänge

Da stehen bei mir z.Z. nur "0.0.0.0". Wodurch unterscheidet sich dieser Adressraum von dem unter TCP/IP-->DHCP?

"Adressbereich für Einwahl-Zugänge" Der Adressbereich der verwendet wird, wenn sich Clients aus dem WAN EINWAEHLEN (per ISDN, VPN ...). Da Du ja nicht einwaehlst, musst Du da auch nichts eintragen.


Ciao
LoUiS

P.S.: Schau mal, ob Du auch die MAC Adresse des Client in die Stationsliste eingetragen hast. Evtl. hast du ja die Stationsliste bereits umgestellt auf "Daten von den aufgefuehrten Stationen uebertragen, alle anderen ..." und die MAC des Clients nicht hinzugefuegt.

[Falks]

aus dem WAN EINWAEHLEN (per ISDN, VPN ...).

Ahh, gut zu wissen.... VPN ist ein interessanter Punkt.... aber damit lasse ich mir noch Zeit.

P.S.: Schau mal, ob Du auch die MAC Adresse des Client in die Stationsliste eingetragen hast. Evtl. hast du ja die Stationsliste bereits umgestellt auf "Daten von den aufgefuehrten Stationen uebertragen, alle anderen ..." und die MAC des Clients nicht hinzugefuegt.

Nope, das wäre mein nächster Punkt gewesen, wenn es den funken würde.

[Falks]

So, hab jetzt den neusten AirLancer USB-54ag Treiber installiert....
es funktioniert.

Danke nochmal!!!!

p.s.: Hab so das bestimmte Gefühl mich demnächst hier noch öfter zu melden.

[Falks]

Hmmm, Netstumbler hat mich auf etwas hingewiesen:

Normalerweise sind bei Netstumbeler pro WLan-Gerät zwei Divices aufgeführt, Treiber und NDIS (soweit meine Erfahrung). Hat das nicht immer so zu sein?

Beim Tchibo Kaffe ist es nur der NDIS Divice.... und der findet nicht mal eine öffentliche SSID. Habs mittlerweile mit den Treiber von MSI (MS-6833) und auch mit den Treibern von Ralink (RT2500) versucht..... kein Erfolg.

Beim MSI Treiber kann man zwar Kanäle einstellen, nur abspeichern will er nicht. (Kanal 1 ist voreingestellt, aber es bringt nichts das in der Lancom auch einzustellen).

Werde es am Wochenende mal mit einem Low-Cost-Router probieren.

Wenns dann immer noch nicht funktioniert..... ist entweder der Ralink Chip defekt oder die Treiber sind schuld.

Gute Nacht!

[alf29]

Moin,

Kanäle stellt man normalerweise nur am AP ein, die Clients suchen
alle Kanäle nach einem AP mit passender SSID ab und rasten dann
auf diesem Kanal ein. Kanaleinstellung auf dem Client ist höchstens
für Adhoc-Betrieb ohne AP gedacht.

Ist auf dem 1811 im WLAN-Setup das Land auf Deutschland eingestellt?
Wenn nicht, wird das LANCOM nichts anderes als Kanal 10 oder 11
benutzen wollen.

Gruß Alfred

[LoUiS]

Werde es am Wochenende mal mit einem Low-Cost-Router probieren.

Wenns dann immer noch nicht funktioniert..... ist entweder der Ralink Chip defekt oder die Treiber sind schuld.

Da es ja mit der USB54 funktioniert ist wohl nicht der AP schuld. Nimm das Notebook und geh mal ein paar Meter durch eure Stadt/Dorf, du bist doch bestimmt nicht der Einzige, der WLAN nutzt. Findest Du da auch kein Netz, bring das Teil zurueck nach Tschibo!


Ciao
LoUiS