Hotspot naast bedrijfsnetwerk opzetten

[ssmeding]

In het nieuwe kantoorpand van ons bedrijf wordt een vergaderruimte ingericht die ook door derden gehuurd kan worden. Natuurlijk willen we deze gebruikers ook de mogelijkheid aanbieden voor internettoegang. Het bedrijfsnetwerk bestaat op dit moment uit een eenvoudige wireless router aangesloten op kabelinternet, in het nieuwe pand gaan we gebruik maken van ADSL. Het netwerk is deels bekabeld en deels draadloos.

Voor de klanten die gebruik komen maken van onze vergaderruimte willen we graag een hotspot opzetten die internettoegang via de ADSL-aansluiting geeft, maar dat veilig is afgeschermd van het bedrijfsnetwerk. Ook zoeken we een geschikte authenticatiemethode voor deze groep gebruikers. WPA2 of een mac-filter is niet echt een optie, deze opties zijn te omslachtig voor ons en onze gebruikers en bieden tegelijk maar halve controle over wie er wanneer gebruik kan maken van het netwerk.

Met de zoekfunctie heb ik al een aantal topics gelezen die aanknopingspunten bieden:
Via DD WRT-firmware is het mogelijk om de gewenste authorisatie via de browser op te zetten;
Door meerdere routers in te zetten kunnen twee afzonderlijke netwerken worden gemaakt.

Tot nu toe heb ik dit op mijn boodschappenlijstje gezet:
- Draadloze router die de spil wordt in het 'gewone' bedrijfsnetwerk. Taken: gateway en DHCP. Beveliging o.a. d.m.v. WPA2.
- Draadloze router voorzien van DD WRT voor de hotspot. Taken: gateway en DHCP. Beveliging: router staat open, gebruikers worden de eerste keer naar een landing page geleid waar zij zichzelf dienen te authentificeren. Over hoe dit is op te zetten heb ik ook dit artikel gevonden.
- Eenvoudige router die als gateway voor beide netwerken (waarvan de routers statische IP-adressen krijgen) zal dienen om zo de ADSL-verbinding te delen, liefst met mogelijkheid tot traffic shaping e.d.

Ik ben zelf niet heel erg thuis in dit soort specifieke netwerken, het zou super zijn om het plaatje nog wat duidelijker te krijgen en/of alternatieven in overweging te kunnen nemen!

Waar moet ik speciaal nog op letten?
Is het bedrijfsnetwerk op deze manier volledig afgeschermd?
Is het zinvol of juist niet om met verschillende IP-ranges te werken in de drie netwerken?
Is de informatie in het gelinkte artikel nog up-to-date? Misschien zijn er inmiddels betere mogelijkheden.
Beveelt iemand nog specifieke hardware, software of instellingen aan?

[Snow_King]

Je kan eens kijken naar pfSense.

Een Soekris (www.soekris.com) appliance met daarop pfSense zou moeten voldoen. Een Soekris heeft 4 NIC's, dan gebruik je één NIC voor je WAN en twee voor het LAN, de ene voor je publieke WLAN, de andere voor je eigen LAN.

pfSense kent een captive portal, daar moet men dan inloggen om toegang tot het netwerk te krijgen. Je hebt dan alleen nog een Access-Point nodig, maar dan ook een echt accesspoint, oa Cisco/Linksys maken deze. Het apparaat moet dan alleen WiFi doen, pfSense laat je DHCP doen en alle verdere netwerkzaken.

In pfSense kan je vervolgens al het verkeer filteren en precies afstemmen zoals je het wil.

[Archie_T]

Als je één hotspot wilt aanbieden zou ik niet moeilijk doen en gewoon een "open" ADSL op router hangen en klaar, bereik kan je uitbreiden via WDS. Ik zou er wel voor zorgen dat je een dedicated ADSL hiervoor hebt en totaal geen overlap hebt met je productie netwerk, je wilt niet dat iemand iets fout patched en heel je bedrijfsnetwerk op de onveilige wireless zet.
Als router kan je zowat elke gebruiken, ben zelf nogal gek van de Draytek 28xx series, maar volgens mij kan ook een goedekope Linksys dit aan.
Waarom wil je een inlogpagina? Ik zou dat lekker laten zitten en als je toch iets van beveiliging wilt een WEP (hele oude systemen hebben nog wel eens problemen met WPA/ WPA2) key aanbieden bij je klanten.

Als je iets stoers wilt hebben en wat geld kan uitgeven zou ik een Cisco 4400 of 2100 met Cisco Aironet AP's aanschaffen maar ik denk dat dat wel iets buiten je budget zal vallen.

[ssmeding]

@Snow_King Zoals ik aangaf ben ik niet echt thuis in deze wereld, mijn achtergrond ligt in webdevelopment. Hoewel ik er van overtuigd bent dat jouw oplossing goed kan werken, trekt een constructie met zo veel mogelijk conventionele netwerkapparatuur mij meer dan een platform dat ik totaal niet ken. Koudwatervrees? Misschien. Ik ben benieuwd naar je gedachten over de constructie die ik zelf voorstel. Wellicht overtuig je me zo dat ik toch serieus naar jouw oplossing moet kijken.

@Archie_T Als ik jou advies opvolg moet ik twee ADSL-abonnementen afsluiten. Voor bedrijven van 20 of meer medewerkers misschien geen probleem, maar voor ons minder interessant. Ook lijkt het me niet verstandig om een access point volledig open te gooien, zo kan elke voorbijganger er mee doen wat hij wil, met alle risico's op misbruik van dien. De inlogpagina dient er vooral voor om er voor te zorgen dat alleen klanten van de vergaderruimte het internet op zullen kunnen en dat we eventueel elke gebruiker een tijdelijke inlogcode kunnen geven.

Er is wel wat budget beschikbaar, maar dit zal met een paar honderd euro wel op moeten houden.

[Archie_T]

ssmeding schreef op woensdag 29 september 2010 @ 20:48:
@Snow_King Zoals ik aangaf ben ik niet echt thuis in deze wereld, mijn achtergrond ligt in webdevelopment. Hoewel ik er van overtuigd bent dat jouw oplossing goed kan werken, trekt een constructie met zo veel mogelijk conventionele netwerkapparatuur mij meer dan een platform dat ik totaal niet ken. Koudwatervrees? Misschien. Ik ben benieuwd naar je gedachten over de constructie die ik zelf voorstel. Wellicht overtuig je me zo dat ik toch serieus naar jouw oplossing moet kijken.

@Archie_T Als ik jou advies opvolg moet ik twee ADSL-abonnementen afsluiten. Voor bedrijven van 20 of meer medewerkers misschien geen probleem, maar voor ons minder interessant. Ook lijkt het me niet verstandig om een access point volledig open te gooien, zo kan elke voorbijganger er mee doen wat hij wil, met alle risico's op misbruik van dien. De inlogpagina dient er vooral voor om er voor te zorgen dat alleen klanten van de vergaderruimte het internet op zullen kunnen en dat we eventueel elke gebruiker een tijdelijke inlogcode kunnen geven.

Er is wel wat budget beschikbaar, maar dit zal met een paar honderd euro wel op moeten houden.

Ok, dan wordt het toch één ADSL, router met 2 VLANs en een WEP/WPA key. Kijk eens naar een Draytek 2820, deze kan meerdere VLANs en meerdere SSID's aan. Maak je één VLAN voor je productie data en één voor je klant data. Aan beide VLAN's koppel je een ander SSID met andere security en je bent klaar. Kost je totaal 259 euro volgens routershop (ga ik wel uit van een 2920 ipv een 2820 maar neem aan dat die hetzelfde kan)

[Sosabowski]

with ^^ ga voor draytek.
Je kan simpel een 2e SSID instellen en members daarvan isoleren tov de rest van het netwerk.

[DJSmiley]

Of je knupt een los accesspointje op een 2e IP adres. Beetje ratelimiting toepassen dat ze je link niet dichttrekken en je bent al een heel eind.

Bij de KPN officedsl lijntjes krijg je 5 IP's, en dan heb je meteen een goede scheiding met je bedrijfsnetwerk. Op 1 IP kan natuurlijk ook, apart ssid/vlan oid, net wat mogelijk is.

In alle gevallen wel waar nodig poorten dichtzetten imho (25 oa)