Netzwerk Aufteilung in "viele" VLAN mit WLAN Nutzung

[Das_Pflanze]

Hallo allesamt,

ich habe mich jetzt hier extra angemeldet, nachdem ich hier schon einige Male nur still mitgelesen habe und auch schon viel lernen konnte. Jetzt wird es aber etwas komplizierter und Frage daher hier um etwas Unterstützung:

(Erstmal bin ich mir nicht ganz sicher, ob ich in diesem Unterforum hier richtig bin, da es sowohl um Router als auch um die APs geht, aber ich denke vorrangig geht's ums Routing - also verzeiht mir, falls ich falsch liege)

Es geht darum, dass in einem Verein getrennt anmietbare Räume (geschätzt 30+ Räume) angeboten werden, die alle eigene LAN Anschlüsse haben aber gemeinsam genutzte WLAN APs nutzen. Bisher gibt es für die Mieter zwei WLAN SSIDs, einmal "WLAN 1" (ist natürlich anders benannt) für Endgeräte wie Laptops und Handys sowie "WLAN 2" für Endgeräte zu denen eine Verbindung aufgebaut werden muss (also Drucker z.Bsp.). Bisher sind diese Netze nicht weiter untereinander getrennt, sodass beide WLANs direkt aufs LAN gehen. Lediglich "WLAN 1" verbietet die Kommunikation unter den Endgeräten und der Zugriff wird über Public Spot geregelt. Mieter können sich also unterschiedliche Geschwindigkeiten kaufen und dann über Public Spot einloggen. Es sind auch keine Massen an Geräten im WLAN, also in der Regel unter 100, manchmal sind es vllt ein paar mehr.
Hier funktioniert alles, aber es ist insgesamt sehr aufwendig, etwas unpraktisch sowie unsicher, da alles ein großes Netz ist.

Momentane Hardware:

• WLC-4006+
• 4x GS-2326P+/GS-2328
• 18x LN-1700/LN-1700B/LX6402/LX6400/OAP-830

Geplant ist jetzt, dass das ganze so umgebaut wird, dass jeder Mieter ein eigenes VLAN (mit eigenem DHCP etc.) bekommt und auf dieses dann über WPA-Enterprise sowie seine LAN-Ports im Raum zugreifen kann (Enterprise statt LEPS-U daher, da LEPS-U kein WPA3 unterstützt). Also:

• WLAN 1 mit WPA2/3-Enterprise
• WLAN 2 mit WPA2 LEPS-U ausschließlich für Geräte, die Enterprise nicht unterstützen

Die gebuchte Geschwindigkeit kann dann pro VLAN per Policy Based Routing geregelt werden.

Im Endeffekt soll es für jeden Mieter letztlich so wirken als hätte er ein eigenes Netz und im Idealfall sollte auch alles so funktionieren. Also beispielsweise AirPlay und AirPrint oder ähnliches. Das ist aber zweitrangig.

Jetzt habe ich ein paar Fragen dazu:

1. Broad-/Multicast - einfach auf dem WLAN deaktivieren? Hier gibt es ja wohl Probleme, da es nur 4 Gruppenschlüssel pro AP gibt. Oder kann man das irgendwie anders lösen? (Mutli-to-Unicast-Konvertierung, Firewall, etc.)
2. Ist es hier möglich theoretisch einem Mieter eine eigene externe IP zu geben? Sollte doch wieder über Policy Based Routing gehen, oder?
3. Geht das mit dem WLC-4006+? Vermutlich nicht, so wie ich das recherchiert habe kann der nur 16 getrennte Netze, richtig? Welchen Router würdet ihr hier empfehlen?
4. Habe ich was essentielles übersehen? Würdet ihr das grundlegend anders lösen?

Ich weiß, das ist jetzt erstmal ne Wand voll Text, daher danke an alle die es bis hier geschafft haben und besonders schonmal vielen Dank an alle, die antworten.

Grüße
Das_Pflanze

[tobiasr]

Solange die Mieter nur 'Internet' haben wollen, würde ich auf die Trennung verzichten. Den Schutz muss dann halt die Gerätefirewall bieten. Zudem ist dann auch die Frage, welchen Sicherheitsgewinn WPA3 bringt.

WPA-Enterprise wird von sehr vielen Consumer-Geräten (Spielekonsole, Audioverstärker, etc.) nicht unterstützt. Wir hatten mal was ähnliches und nach wenigen Monaten zurückgestellt.

Hast du konkret Nutzer, die ein eigenes Netzwerk benötigen, weil Sie mit mehreren Geräten auch tatsächlich untereinander kommunizieren und dafür deren Firewall so stark abschalten, dass Sie Angst vor Angriffen aus ihrer Gemeinschaft in diesem Gebäude haben?

[Das_Pflanze]

Die meisten brauchen nur das, aber es gibt eben auch andere (siehe unten). Für diesen Fall hätte ich ja das zweite WLAN mit LEPS-U. Eventuell könnten wir auch erstmal nur das LEPS-U WLAN nutzen und auf WPA3 verzichten.

Wir hatten jetzt beispielsweise mehrfach den Fall, dass Mieter Drucker hatten wo andere Mieter darauf gedruckt haben. Oder ihre Drucker nicht ins Netz genommen haben, da das nicht auf Anhieb (wie von Zuhause bekannt) funktioniert hat. Zusätzlich werden es jetzt auch immer mehr Mieter die ein eigenes NAS oder einen Server betreiben möchten und auch aus der Ferne darauf zugreifen wollen. Ich denke vor böswilligen Angriffen hat niemand wirklich Angst, aber es gibt halt überall irgendwo schwarze Schafe und das haben halt doch manche im Hinterkopf.