Sicheres WLan mit Radius oder WPA2 ??

dicker2503 · Beitrag von **dicker2503** » 11 Okt 2011, 10:38

Hallo Liebe Community,

ich habe gerade die Aufgabe bekommen ein möglichst sicheres Wlan aufzuspannen. Möglichst sicher weil es ein Wlan für unser Hausnetz der Firma ist.
Bei der Verschlüsselung gibt es nach meinen Nachforschungen 2 gute Varianten, Radius Server mit Zertifikaten oder WPA2 Verschlüsselung, MACfilter und den AP Nachts ausschalten.

Welcher der Beiden Varianten würdet ihr empfehlen?
Das Problem bei der WPA2 Verschlüsselung ist das man den Schlüssel heraustragen könnte und auch Fremde Geräte so Zugriff haben könnten.

TBright · Beitrag von **TBright** » 16 Okt 2011, 22:48

Hey,

eine Lösung mit PSK fällt für dich wohl eher flach, die sicherste Lösung wird wohl Radius mit EAP-TLS sein, damit kann sich nur ins WLAN einloggen wer sowohl CLIENT als auch Server-Zertifikat hat.

dicker2503 · Beitrag von **dicker2503** » 17 Okt 2011, 08:13

Warum meinst du das eine Lösung mit PSK wohl eher Flach fällt?
WPA2 ist doch auch ziemlich sicher. Wenn man den AP dann Nachts ausschaltet dürfte das mitlogen auch schwer sein.

Ich versuche um die Zertifikatsauthentifizierung drum herum zu kommen da sie doch sehr aufwendig ist.

dicker2503 · Beitrag von **dicker2503** » 17 Okt 2011, 08:40

Was hälst du von der Public Spot Option? Die ist komfortabler als ein Radius Server wie ich finde, da hier die Zertifikatsrausgabe fehlt.

alf29 · Beitrag von **alf29** » 17 Okt 2011, 11:07

Moin,

die ist eigentlich nur für Hotspot-Szenarien gedacht. Ohne
eigenes (und von einer bekannten CA signiertes)
Gerätezertifikat in der WEBconfig wirst Du die Browser-
Warnungen nicht los, alternativ geht die Anmeldung über
HTTP statt HTTPS, dann gehen aber Benutzername und
Paßwort im Klartext durch die Luft. Des weiteren 'dürfen'
noch nicht angemeldete Clients bei der Public-Spot-
Option schon einiges, was man in einem solchen Szenario
vielleicht nicht haben will (z.B. DNS-Anfragen).

WPA(2)-PSK ist in größeren Installationen in erste Linie
ein Problem, weil alle Benutzer die gleiche Passphrase haben
und man bei einem Mitarbeiter, der die Firma verläßt, diese
auf allen APs und Clients austauschen müßte. LANCOMs
unterstützen LEPS, mit dem man jeder MAC-Adresse eine
eigene Passphrase zuordnen kann, dann muß man nur
irgendwo die Client-MAC-Adressen verwalten, und die
Passphrases sind eigentlich eher an einen Rechner und nicht
einen Benutzer gebunden.

Deshalb landen die meisten Kunden in größeren
Unternehmen irgendwann bei 802.1x. Solange man PEAP
und nicht TLS macht, braucht man nur ein Zertifikat
auf (RADIUS-)Server-Seite und der Aufwand für die CA
hält sich in Grenzen.

Das Problem bei der WPA2 Verschlüsselung ist das man den Schlüssel heraustragen könnte und auch Fremde Geräte so Zugriff haben könnten.

Bei PEAP können die Leute ihren Benutzernamen samt
Paßwort genauso 'heraustragen'. Streng genommen gilt
das auch für EAP-TLS, das Nutzerzertifikat und der zugehörige
Schlüssel liegen ja auch irgendwo auf dem Client-Rechner...

Gruß Alfred

dicker2503 · Beitrag von **dicker2503** » 19 Okt 2011, 11:32

Hey alf, danke erstmal für deine Antwort.
Sie war sehr aufschlussreich.

LEAP hört sich interessant an, weißt du ob man das per AD GP rausbringen kann? Es wäre ja der knaller wenn ich als Wlan Passwort das AD Passwort benutzen könnte oder eine Aufforderung kommt das man sich Computerspezifisch ein PW ausdenkt.

Ansonsten wird Public Spot wohl tatsächlich rausfallen, das könnte man wohl eher für Gäste benutzen die kurz mal ins Netz wollen.

Hast du schonmal eine Radius-Umgebung mit dem Lancom erstellt?
Ich bin gerade dabei und scheitere wohl an den Zertifikaten, ich habe Sie so erstellt wie in der Anleitung. Allerdings schlägt die Authentifizierung am Client fehl =(.

Ich habe folgendes Dokument aus der Knowledge Base verwendet: Zertifikatsbasierte Wlan-.Verbindung mit 802.1x

Hast du Tipps was ich evtl. falsch gemacht haben könnte? Bzw. was man bei der Zertifikatserstellung noch beachten sollte.

Grüße aus dem Norden.

alf29 · Beitrag von **alf29** » 19 Okt 2011, 11:49

Moin,

LEAP hört sich interessant an, weißt du ob man das per AD GP rausbringen kann? Es wäre ja der knaller wenn ich als Wlan Passwort das AD Passwort benutzen könnte oder eine Aufforderung kommt das man sich Computerspezifisch ein PW ausdenkt.

Du meinst hoffentlich PEAP und nicht LEAP

Das sollte
gehen, wenn man einen AD-Server verwendet, der auch
gleichzeitig RADIUS-Server ist. Ich *vermute*, mit einem
IAS bekommt man so etwas hin, damit kenne ich mich
aber nicht aus. Der RADIUS-Server im LCOS selber
enthält keinen AD/LDAP-Client.

Ansonsten wird Public Spot wohl tatsächlich rausfallen, das könnte man wohl eher für Gäste benutzen die kurz mal ins Netz wollen.

Dafür ist's gedacht...

Hast du schonmal eine Radius-Umgebung mit dem Lancom erstellt?

Das eine oder andere Mal...

Ich bin gerade dabei und scheitere wohl an den Zertifikaten, ich habe Sie so erstellt wie in der Anleitung. Allerdings schlägt die Authentifizierung am Client fehl =(.

PEAP mit den ganzen Layern ist leider eine ziemlich
komplizierte Sache, und Clients liefern so gut wie nie
eine aussagekräftige Fehlermeldung. Fehlerdiagnose
ohne einen RADIUS + EAP + TLS-Trace ist kaum
möglich. ACHTUNG: Trace mit Putty o.ä. händisch
erzeugen, nicht den LANmonitor benutzen, der benutzt
selber Telnet über SSL/TLS, um die Traces abzuholen,
und man baut sich einen Elektronenbeschleuniger...

Hast du Tipps was ich evtl. falsch gemacht haben könnte? Bzw. was man bei der Zertifikatserstellung noch beachten sollte.

Ist ohne die Traces wie gesagt ein reines Ratespiel. Ein
gängiges Problem ist, daß man auf Client- (Windows-)
Seite das CA-Zertifikat nicht korrekt abgelegt hat, so daß
der Client das Zertifikat des RADIUS-Servers nicht akzeptiert.
Ist aber wie gesagt reine Raterei.

Gruß Alfred

dicker2503 · Beitrag von **dicker2503** » 19 Okt 2011, 12:55

für die zertifikatserstellung habe ich folgendes Tutorial verwendet:
http://www2.lancom.de/kb.nsf/675ae5e653 ... enDocument
und dann bin ich nach der Anleitung vorgegangen:
http://www2.lancom.de/kb.nsf/0/8CE39818 ... endocument

Wie habe ich das Client zertifikat abzulegen?

Eine Log kann ich nicht erstellen oder?

dicker2503 · Beitrag von **dicker2503** » 20 Okt 2011, 10:08

muss ich im Radius Server eigentlich auch Benutzer anlegen oder ist das nicht unbedingt notwendig?

alf29 · Beitrag von **alf29** » 20 Okt 2011, 14:50

Moin,

was hast Du denn als EAP-Methode benutzt? Bei TLS ist das nicht erforderlich, da
steht der Benutzername schon im Zertifikat drin. Bei PEAP natürlich schon, die
Benutzer weisen sich ja mit Namen und Paßwort aus.

Gruß Alfred

dicker2503 · Beitrag von **dicker2503** » 27 Okt 2011, 15:56

Hey,

ich habe TLS ausgewählt. Aber die Authentifizierung klappt leider trotzdem nicht =(
kannst du mir evtl. Zertifikate erstellen?

Grüße
Tom

alf29 · Beitrag von **alf29** » 27 Okt 2011, 23:13

Moin,

ich fände's eigentlich deutlich sinnvoller, wenn Du die Traces machst, dann könnte ich
Dir vermutlich sagen, woran's klemmt...

Gruß Alfred

dicker2503 · Beitrag von **dicker2503** » 02 Nov 2011, 08:21

kannst du mir kurz sagen wie ich dabei vorgehen muss?

alf29 · Beitrag von **alf29** » 02 Nov 2011, 10:03

Moin,

Code: Alles auswählen

trace + wlan-data @ eapol
trace + eap

auf dem AP, Logging im Terminalprogramm
einschalten dann vom Client einen Anmeldeversuch
starten. Die Traces kann man natürlich auch vom
LANmonitor aus starten, wenn man Angst vor der
Kommandozeile hat

Gruß Alfred

dicker2503 · Beitrag von **dicker2503** » 07 Nov 2011, 08:44

Angeschaltet ist das Logging nun. Ausglsen habe ich die Tracedatei auch schon,
bloß leider kann ich sie hier nicht hochladen.

http://dl.dropbox.com/u/30439425/Lancom ... 083842.lct

http://dl.dropbox.com/u/30439425/Lancom ... 083842.spf