Radius, Bandbreitenbeschränkun und 802.1X

Forum zu den aktuellen LANCOM Wireless Accesspoint Serien

Moderator: Lancom-Systems Moderatoren

Antworten
blackbird
Beiträge: 23
Registriert: 10 Jan 2007, 22:29

Radius, Bandbreitenbeschränkun und 802.1X

Beitrag von blackbird »

Hallo,

also ich möchte in nächster Zeit ein Lancom Netzwerk aufbauen mit mehreren L-54g Accesspoints.

Die Authentifizierung soll über 802.1x an einem zentralen Radius Server geschehen.

Dies habe ich auch schon eingerichtet und es funktioniert (mit einem linksys AP ;) ). Die Authentifizierung funktioniert von einem Win XP Client.

-Nun möchte ich das ganze aber im ersten Schritt darauf erweitern, das ich eine maximal Bandbreite erhalte. Diese soll dann User bezogen individuell einstellbar sein. Z.B. User1 1mbit User2 2mbit etcpp.

Ich habe gesehn, das das mit dem Lancom AP angeblich funktionieren soll. Liege ich da richig? Kann ich die Bandbreitenangaben auch über meinen zentralen Radius Server pflegen?

- Als nächstes wäre dann die Frage, ob ich als Client auch einen weiteren Lancom Router oder AP hinstellen könnte, oder noch besser etwas günstigeres. Dieser soll sich dann auf den Lancom AP connecten und sich per 802.1X authentifizieren, sodaß ich dahinter dann einen PC per LAN hängen kann und dieser kann dann ohne weitere Authentifizierung ins Internet.

- Der dritte Schritt wäre, das ich mein WLAN vergrößern kann über weitere Accesspoints. Funktioniert das? D.h. ich möchte mit dem ersten AP einen zweiten AP anfunken und an diesen sollen sich dann auch weitere Clients connecten und authentifizieren können.

Ich denke, da ich 802.1X benutzen möchte kann ich die Public Spot Option vergessen aber wäre gut wenn mein Konstrukt doch machbar wäre.

Vielen Dank

Matthias
Benutzeravatar
alf29
Moderator
Moderator
Beiträge: 6207
Registriert: 07 Nov 2004, 19:33
Wohnort: Aachen
Kontaktdaten:

Beitrag von alf29 »

Moin,
-Nun möchte ich das ganze aber im ersten Schritt darauf erweitern, das ich eine maximal Bandbreite erhalte. Diese soll dann User bezogen individuell einstellbar sein. Z.B. User1 1mbit User2 2mbit etcpp.

Ich habe gesehn, das das mit dem Lancom AP angeblich funktionieren soll. Liege ich da richig? Kann ich die Bandbreitenangaben auch über meinen zentralen Radius Server pflegen?
Prinzipiell ja, es ist aber im Moment nicht möglich, daß
der 802.1x-RADIUS-Server in seinem abschließenden
Accept die Bandbreitenlimits übermittelt. Lösbar wäre
das mit zusätzlichen MAC-Filterlisten per RADIUS.
- Als nächstes wäre dann die Frage, ob ich als Client auch einen weiteren Lancom Router oder AP hinstellen könnte, oder noch besser etwas günstigeres. Dieser soll sich dann auf den Lancom AP connecten und sich per 802.1X authentifizieren, sodaß ich dahinter dann einen PC per LAN hängen kann und dieser kann dann ohne weitere Authentifizierung ins Internet.
Client-Adapter, die 802.1x unterstützen, sind recht dünn
gesät, das ganze ist ja eher ein im Enterprise-Segment
übliches Szenario. Von daher glaube ich eher nicht, daß
Du in der 'Linksys-Klasse' einen 1x-fähigen Client-Adapter
findest, höchstens Linux-basierte Geräte, in die man
mit viel Eigenbastelei einen wpa_supplicant hineinoperiert
bekommt.

Die LANCOMs selber können ja gerade erst seit LCOS
6.2x 802.1x auf der Client-Seite, ansonsten ist mir bisher
nur ein Client-Adapter von Symbol über den Weg gelaufen,
der das auf seiner Ausstattungsliste stehen hatte. Es
würde mich aber wundern, wenn der wesentlich billiger
wäre als ein LANCOM...
- Der dritte Schritt wäre, das ich mein WLAN vergrößern kann über weitere Accesspoints. Funktioniert das? D.h. ich möchte mit dem ersten AP einen zweiten AP anfunken und an diesen sollen sich dann auch weitere Clients connecten und authentifizieren können.
Die WLAN-Anmeldung von Client selber passiert immer
am ersten AP, d.h. für den RADIUS-Server gibt es dann
zwei RADIUS-Clients, was aber kein Problem ist. Bei
LANCOMs richtet man zwischen den APs eine P2P-Strecke
ein, auf der läuft dann WPA-PSK läuft (802.1x auf P2P-
Strecken geht bei LANCOMs nicht).
Ich denke, da ich 802.1X benutzen möchte kann ich die Public Spot Option vergessen aber wäre gut wenn mein Konstrukt doch machbar wäre.
802.1x und Public Spot lassen sich bei LANCOMs
prinzipiell kombinieren, weil die Authentifizierungen auf
unterschiedlichen Ebenen ablaufen. Erst läuft das 802.1x,
danach dann die Public-Spot-Anmeldung im Browser.

Gruß Alfred
“There is no death, there is just a change of our cosmic address."
-- Edgar Froese, 1944 - 2015
blackbird
Beiträge: 23
Registriert: 10 Jan 2007, 22:29

Beitrag von blackbird »

Danke erstmal für deine schnelle Antwort.
Client-Adapter, die 802.1x unterstützen, sind recht dünn
gesät, das ganze ist ja eher ein im Enterprise-Segment
übliches Szenario.
Gut damit hätte sich dann schon einmal die Radius Sache erledigt.

Eine Lösung wäre dann wohl, wenn ich einen "Routerzwang" mache, in den Routern eine WPA2 Verschlüsselung angebe und auf den AP connecte. Auf dem AP dann die MACFiltertabelle mit Bandbreitenbegrenzung einstelle.

Das sollte doch Sicherheitstechnisch ausreichen oder?
Benutzeravatar
alf29
Moderator
Moderator
Beiträge: 6207
Registriert: 07 Nov 2004, 19:33
Wohnort: Aachen
Kontaktdaten:

Beitrag von alf29 »

Moin,
Das sollte doch Sicherheitstechnisch ausreichen oder?
Solange Du eine WPA-Passphrase wählst, die hinreichend lang und nicht per Wörterbuch
zu erraten ist...

Gruß Alfred
“There is no death, there is just a change of our cosmic address."
-- Edgar Froese, 1944 - 2015
Antworten