Wifi voorzien voor school

[larsg]

Hallo

Ik zit momenteel als leerling op een relatief kleine middelbare school.
Ik heb de opdracht gekregen het hele gebouw van een degelijk wireless netwerk te voorzien.
Het gebruik van dit netwerk is momenteel sporadisch, enkel voor wat internetten op smartphone en notebook.
Daarom lijkt mij dat een n netwerkje meer dan voldoet.
Het is ook maar een school van 500 personen, het plan is om intern ook maar ongeveer 250 clients per AP te voorzien van verbinding, elke AP word achter een eigen DHCP server gezet.

Er komen infeite 3 netwerken, deze liggen in aparte ruimtes/gebouwen en zullen elkaar in principe ook maar net raken.
- Eetzaal: 1 AP + 1 repeater
- Speelplaats: 1 AP + 3 repeaters
- Hoofdgebouw: 1 AP + meerdere repeaters.


Ik zat te denken om dit product te gebruiken: http://www.tp-link.com/en...ls/?model=tl-wa801nd#spec
Lijkt me een handig ding, zelfs poe support.


Mijn idee was om de Ap's en repeaters zo'n 25m uit elkaar te zetten, met max 2 muren tussen.
Ga ik dit redden?
In het hoofdgebouw, komen meerdere repeaters, hoeveel kan ik er eigenlijk achter elkaar zetten?

Alvast bedankt voor alle advies

[BarthezZ]

Slecht plan, repeaters halen je snelheid fors omlaag, en helemaal als je het over 250 clients per AP hebt, zal dit het gewoonweg niet trekken. Ik zou, ondanks dat het waarschijnlijk veel meer budget gaat kosten dan je nu in gedachte heb, eens kijken naar bijvoorbeeld de Aruba Instant serie of diverse access points van Aerohives.

Het leuke aan deze access points zijn dat ze wel enterprise oplossingen bieden, maar niet perse een controller nodig hebben. Alle intelligentie voor een gebalanceerd netwerk zit hierbij dus in het access point zelf.

Daarnaast is "zo'n 25 meter" uit elkaar een heel slecht idee, zorg dat je eerst meet wat de dekking van een access point doet in het gebouw; bij voorkeur laat je deze meting ook uitvoeren door een specialist.

[larsg]

BarthezZ schreef op donderdag 08 november 2012 @ 18:41:
Slecht plan, repeaters halen je snelheid fors omlaag, en helemaal als je het over 250 clients per AP hebt, zal dit het gewoonweg niet trekken. Ik zou, ondanks dat het waarschijnlijk veel meer budget gaat kosten dan je nu in gedachte heb, eens kijken naar bijvoorbeeld de Aruba Instant serie of diverse access points van Aerohives.

Het leuke aan deze access points zijn dat ze wel enterprise oplossingen bieden, maar niet perse een controller nodig hebben. Alle intelligentie voor een gebalanceerd netwerk zit hierbij dus in het access point zelf.

Daarnaast is "zo'n 25 meter" uit elkaar een heel slecht idee, zorg dat je eerst meet wat de dekking van een access point doet in het gebouw; bij voorkeur laat je deze meting ook uitvoeren door een specialist.

Bedankt voor je reactie, om even iets te relativeren, 250 is misschien iets te euforisch, in de huidige situatie zullen er bv nooit meer dan 20 notebooks & 20 smartphones op zitten. Een AP moet toch wel 40 connecties tegelijk aankunnen? Verder is de internet verbinding van de school momenteel maar 50/6.

Qua repeaters, ik had gelezen dat simpel weg je snelheid gehalveerd wordt -> 150 mbit, dus zeg ~75mbit reeel, lijkt me snel genoeg aangezien de wan trager is?

Intern worden er praktish geen bestanden ofzo gedeeld.

[Anoniem: 203842]

Ga nou maar niet naar marketing luisteren. 150 Mbps haal je NOOIT, tenzij je letterlijk 10 cm van de antenne staat.

Het zal realistischer zijn 10 a 15 Mbps. En dan is het de vraag, welk programma haalt deze 10 Mbps? Zelfs HD TV haalt het niet. En kan jouw internet pijp dit wel aan?

En doe maar een testje, ga maar 1 meter van de AP staan, en meet de snelheid een paar keer (speedtest.net). Bereken het gemiddelde.

Ga dan 10 meter vandaan staan, dan 20, en dan een keer met één muur er tussen, dan twee..... Binnen no time zit je op 1 Mbps of lager.

Mensen hebben een "verkeerd" beeld bij snelheden. Men denkt dat die 300 Mbps (wat op de doos staat), van zolder tot kelder gehaald wordt, als de router (of AP) in de meterkast staat (met 30 cm gewapend beton tussen verdiepingen).....

En helemaal, goede AP's (bv. van Egenius Senao), zijn misschien wat duurder, maar veel makkelijker in het beheer, robuust en ook mooi (met name die rookmelder type: EAP-3660 of aanverwant). Ook dat ze PoE ondersteunen is prettig (geen 230V wcd nodig in de buurt). Je kan hem dus "remote" resetten zonder eerst de hele school af te lopen, ladder zoeken, adapter eruit trekken, weer ladder terugbrengen etc.... Ook alternatieve firmware als DD-WRT kan erop. Dan kan je opeens HEEL veel dingen doen....

[larsg]

Anoniem: 203842 schreef op donderdag 08 november 2012 @ 20:26:
Ga nou maar niet naar marketing luisteren. 150 Mbps haal je NOOIT, tenzij je letterlijk 10 cm van de antenne staat.

Het zal realistischer zijn 10 a 15 Mbps. En dan is het de vraag, welk programma haalt deze 10 Mbps? Zelfs HD TV haalt het niet. En kan jouw internet pijp dit wel aan?

En doe maar een testje, ga maar 1 meter van de AP staan, en meet de snelheid een paar keer (speedtest.net). Bereken het gemiddelde.

Ga dan 10 meter vandaan staan, dan 20, en dan een keer met één muur er tussen, dan twee..... Binnen no time zit je op 1 Mbps of lager.

Mensen hebben een "verkeerd" beeld bij snelheden. Men denkt dat die 300 Mbps (wat op de doos staat), van zolder tot kelder gehaald wordt, als de router (of AP) in de meterkast staat (met 30 cm gewapend beton tussen verdiepingen).....

En helemaal, goede AP's (bv. van Egenius Senao), zijn misschien wat duurder, maar veel makkelijker in het beheer, robuust en ook mooi (met name die rookmelder type: EAP-3660 of aanverwant). Ook dat ze PoE ondersteunen is prettig (geen 230V wcd nodig in de buurt). Je kan hem dus "remote" resetten zonder eerst de hele school af te lopen, ladder zoeken, adapter eruit trekken, weer ladder terugbrengen etc.... Ook alternatieve firmware als DD-WRT kan erop. Dan kan je opeens HEEL veel dingen doen....

Eum, ja, ik zei toch ook niet dat ik 150mbit verwachtte?
Dannog is er niet veel bandbreedte nodig, 4mbit is meer dan genoeg voor wat internetten , zeker voor smartphones.

Trouwens met deze ap's kan je ook alles gwn remote resetten vanuit je luie stoel, zitten ook leuke tooltjes in om traffic te zien enzo

Verder gaan we eerst de eetzaal & speelplaats aanleggen om onze bevindingen te testen. Zodat we ons daar in het hoofdgebouw op kunnen afstemmen.

[ Voor 4% gewijzigd door larsg op 08-11-2012 21:00 ]

[kmsch]

Mag ik je 1 ding echt op het hart drukken? Zorg alsjeblieft dat je voldoende capaciteit hebt. Op onze school (zelfde verhaal, 500 leerlingen) hebben we sinds een jaartje of anderhalf wifi, maar dat werkt slecht. Ten eerste is onze school een soort kooi van Faraday (massief blok beton met staalskelet), maar omdat de aula een open ruimte is is dat nog niet zo'n probleem. De laatste 2 jaar komen er echter steeds meer smartphones/tablets bij, met als gevolg dat niemand meer signaal heeft tijdens de pauzes. Komt geen byte meer door School heeft helaas geen geld om te investeren in andere wifi. Tot grote onvrede van de leerlingen natuurlijk, die zich verheugd hadden op gratis wifi op school

[Paul]

Even kort gezegd: Je schaalt het VEEL te simpel in Toevallig (of niet, het lijkt een recurring theme) zijn er afgelopen weken een stuk of 4 soortgelijke topics geweest.

Middelbare school. Wordt het een publiek beschikbaar Wifi (nu ja, voor de leerlingen dan) of maar voor een beperkt aantal mensen? Want iedere brugwup heeft tegenwoordig al een smartphone lijkt het, dus dan zit je zo aan 500 clients...

Gebaseerd op mijn ervaring met Engenius AP's en een oud gebouw klopt die 25m redelijk, maar natuurlijk verschilt dat per gebouw. We hebben daar 3 AP's geplaatst, ook omdat het 3 verdiepingen zijn.

Repeaten wil je _echt_ niet. Op het totale project nemen die kabels (inclusief installatie! Al doet op veel middelbare scholen de congierge dat...) dan wel een redelijke hap uit je budget, je verdient het dubbel en dwars terug omdat je er een _veel_ stabieler en sneller netwerk door krijgt.

Plan de campagne: Bemachtig een AP (hoeft niet per se het uiteindelijke model te zijn, als het maar een redelijk fatsoenlijke is) en een laptop met inSSIDer en ga meten hoe ver je komt. Dit kan per locatie verschillen, ga er dus niet na één meting vanuit dat je overal X meter ver komt maar bedenk een paar plaatsen in de gebouwen waar je een AP zou plaatsen en ga meten. Meten, meten en nog eens meten

Daarna komt het simpeler (maar ook lastiger, en dure...) deel, de implementatie. Trek een kabel vanaf _iedere_ plek waar je een AP neer wilt zetten naar een centrale locatie, zet op die locatie een switch neer (PoE als je niet bij iedere AP een wcd hebt) en prik daar alle AP's in, zet er een goede router / firewall tussen die bij voorkeur ook traffic kan shapen en cross your fingers...

Als het budget het toelaat zou ik voor (bijvoorbeeld) Ruckus gaan, 'domme' AP's met een controller erbij, maar ik denk dat dit project met losse AP's al het budget van de gemiddelde school gaat overstijgen...

Kijk voor een wat completer overzicht qua hardware en zo ook in Intenetvoorziening voor clubhuis (recent topic, zeer vergelijkbare casus)

[Anoniem: 203842]

De kabels kosten 39 euro per 100 meter. Zie rotor.eu Dat is dus Belden Cat 5e kabel, KOPER!

Tja... installeren is een ander geval. Hangt er van af hoe de school gebouwd is, is er een verlaagd plafond, hoeveel UTP ligt er al etc....

Dit is allemaal maatwerk.

Als het budget niet toelaat, dan kan je om te beginnen alleen in de aula 1 of 2 AP's ophangen. Eens kijken hoe dat gaat. En later besluiten uitbreiden of niet.

[Orion84]

Anoniem: 203842 schreef op donderdag 08 november 2012 @ 22:04:
De kabels kosten 39 euro per 100 meter. Zie rotor.eu Dat is dus Belden Cat 5e kabel, KOPER!

Tja... installeren is een ander geval. Hangt er van af hoe de school gebouwd is, is er een verlaagd plafond, hoeveel UTP ligt er al etc....

Dit is allemaal maatwerk.

Als het budget niet toelaat, dan kan je om te beginnen alleen in de aula 1 of 2 AP's ophangen. Eens kijken hoe dat gaat. En later besluiten uitbreiden of niet.

Proof of concept opstellingen zijn nogal riskant zonder budget en plan om het uiteindelijk compleet / fatsoenlijk uit te rollen.

Je wekt er namelijk verwachtingen mee. Als het in de aula werkt moet het natuurlijk binnen de kortste keren overal werken en daar is dan ineens geen plan/geld voor. Of het werkt slecht en resulteert in een halfbakken oplossing wat een boel klachten geeft die je niet op kan lossen zonder plan en budget. De boel dan zomaar terugdraaien kan ook niet want: je hebt de verwachting al geschapen dat er wifi komt.

[larsg]

Bedankt voor alle kritiek en advies, zeer leerzaam!

Momenteel staan er een aantal rommel ap's die een aantal verschillende netwerken uitzenden, eigenlijk wouden we 1 groot netwerk. Nu heb je amper bereik omdat het 'el'cheapo dingen zijn van aldi merken. Mijn budget is dus bijgevolg bijster groot.

Verder wouden we wel proof of concept opstellingen maken. In de eetzaal komen 2 "zenders", dit dacht ik toch met ap - repeater strucktuur op te lossen, dit is enkel voor wat smartphone gebruik, zo nu en dan.

[Paul]

larsg schreef op vrijdag 09 november 2012 @ 07:20:
Nu heb je amper bereik omdat het 'el'cheapo dingen zijn van aldi merken.

Ah, mooi, je hebt dus al ervaren wat er gebeurt als je het verkeerd aanpakt...

dit dacht ik toch met ap - repeater strucktuur op te lossen

...oh, blijkbaar niet.

Wat is precies je aversie tegen het trekken van die 2e kabel?

[dion_b]

Zoals gezegd, hier zijn afgelopen week meer topics over geweest, lees deze ook even:
Router voor een basisschool

Je hebt het hier alleen over internettoegang, ik lees geen woord over beveiliging (niet WPA WiFi, maar beveiliging tegen gedrag van mensen die correct aangemeld zijn).

Onderschat dat niet, het technisch voorzien van connectivity is maar topje ijsberg. Als je de rest negeert riskeer je een Titanic...

[DJ-Visto]

Mijn oude middelbare school heeft sinds dit jaar volledig open wifi (Ik had een inlog/pass voor m'n laptop)

Aangezien mijn middelbare school sinds dit jaar volledig op de iPad in de 1e jaars zijn overgestapt is er ook een gloednieuw netwerk aangelegd

Hiervoor zijn een hoop metingen gedaan ooit is meegekeken op zo'n scherm, was best leuk om te zien.

Vergis je niet, er was op mijn school vorig jaar alleen nog voor docenten met ipad of iets anders...

Voor de leerlingen van enkele speciale eerste klassen als proef konijn zeg maar, en dan nog wat gevallen zoals ik die door omstandigheden met een laptop moeten werken...

Ik had echt waar, als een klas naast mij zat met 30 ipads geen bereik meer

Dat is inmiddels allemaal opgelost (nieuw netwerk), maar vergis je er gewoon niet in

(Ging om een school met ~1200 leerlingen maar er hadden er lang na niet zoveel toegang sinds dit jaar is het open heb ik begrepen )

[larsg]

Paul schreef op vrijdag 09 november 2012 @ 08:41:
[...]
Ah, mooi, je hebt dus al ervaren wat er gebeurt als je het verkeerd aanpakt...
[...]
...oh, blijkbaar niet.

Wat is precies je aversie tegen het trekken van die 2e kabel?

Daar is geen aversie tegen, alles gebeurt toch sowiso met powerline naar de eetzaal.

De eetzaal word het test traject, we willen daar alleen een internet voorziening hebben voor wat smartphones, het is niet dat er 100man tegelijk op gaat, het is niet dat er een super computer op draait.

We willen gewoon geen 2 verschillende ssid's uitzenden in dezelfde ruimte.


Verder is het budget tamelijk beperkt aangezien het grotendeels betaald wordt vanuit de leerlingenraad.

[Paul]

larsg schreef op vrijdag 09 november 2012 @ 17:16:
Daar is geen aversie tegen, alles gebeurt toch sowiso met powerline naar de eetzaal.

Oh jee. Hmm, ok, hopen dat dat goed gaat Ik heb er hele gemengde ervaringen mee.

We willen gewoon geen 2 verschillende ssid's uitzenden in dezelfde ruimte.

Dit is het enige in je hele post waaruit ik misschien een klein beetje op zou kunnen maken waarom je wilt repeaten ipv het AP bedraad aan te sluiten, dus laat ik een vraag stellen:

Wist je dat je 2 (3, 4, 5, n) AP's allemaal met hetzelfde SSID in kunt stellen?

[larsg]

Paul schreef op vrijdag 09 november 2012 @ 17:22:
[...]
Oh jee. Hmm, ok, hopen dat dat goed gaat Ik heb er hele gemengde ervaringen mee.
[...]
Dit is het enige in je hele post waaruit ik misschien een klein beetje op zou kunnen maken waarom je wilt repeaten ipv het AP bedraad aan te sluiten, dus laat ik een vraag stellen:

Wist je dat je 2 (3, 4, 5, n) AP's allemaal met hetzelfde SSID in kunt stellen?

De powerline is voorlopig, vrees ik de enige optie, kabels trekken kunnen we niet.

Dat 2e wist ik niet, dat zou juist het beste zijn, want we weten ook dat een netwerk met meerdere hard wired ap's stabieler is. Wat is de naam van, deze technologie?

[CyBeR]

larsg schreef op vrijdag 09 november 2012 @ 17:30:
[...]

Wat is de naam van, deze technologie?

Euh. WiFi.

[ Voor 89% gewijzigd door CyBeR op 09-11-2012 17:46 ]

[larsg]

@ CyBeR

Gelukkig was ik al zover

Nee, van wat ik gezien heb werkt het niet lekker als je verschillende AP's éénzelfde ssid geeft. We willen dus vermeiden dat er een hele lijst komt met verschillende, gewoon 1 met meerdere ap's. Dat is toch een soort repeater implementatie?

[CyBeR]

larsg schreef op vrijdag 09 november 2012 @ 17:49:
Nee, van wat ik gezien heb werkt het niet lekker als je verschillende AP's éénzelfde ssid geeft.

Waar heb je dat gezien dan? Want zo werkt letterlijk elk netwerk wat groter is dan dat bij je schoonmoeder thuis.

[larsg]

CyBeR schreef op vrijdag 09 november 2012 @ 17:50:
[...]


Waar heb je dat gezien dan? Want zo werkt letterlijk elk netwerk wat groter is dan dat bij je schoonmoeder thuis.

Dus gewoon alle ap's dezelfde SSID geven en zelfde kanaal?
Ik dacht dat dan alles haywire ging, of je een lijst vol ap's kreeg...

[alex3305]

Nee, hetzelfde SSID en een ander kanaal. Pas wanneer je 'buiten' bereik bent ga je dezelfde kanalen gebruiken. Maar goed, met verschillende kanalen kun je in het beste geval al 11 tot 13 keer n-meter wifi uitzenden.

Wat ik overigens niet snap is dat je zegt dat je geen aversie hebt tegen het trekken van kabels, maar dat je tevens ook zegt dat kabels trekken niet mogelijk is. Bedoel je daarmee in een testopstelling? Ook is het onduidelijk wat nu ongeveer je budget is. Je zegt dat deze bijster groot is. Ik ben benieuwd wat je daarmee bedoelt.

Daarnaast moet je ook gaan nadenken over NAT en moet de routers of switches die als backbone komen dit ook kunnen ondersteunen. Daarom is het misschien handig om ook in de professionele netwerken jezelf in te lezen.

Edit: Oh ja, wat wil je trouwens doen tegen mensen die flink de pijp dicht willen trekken? Door te downloaden of heel veel half-open connecties te maken met een torrent client? Je zit tenslotte, wat ik lees, in België, waar datalimieten nog vrij gewoon zijn en er dus flink gebruik gemaakt kan worden van 'gratis wifi'.

[ Voor 17% gewijzigd door alex3305 op 09-11-2012 18:18 ]

[larsg]

Ah oke bedankt voor de verduidelijking. Nog 1 "noob" vraagje krijg ik in mijn wifi lijst dan niet gwn x keer dezelfde ssid te zien?

Kabels trekken is niet altijd mogelijk, daarom zal er een hevig beroep gedaan worden op powerlines.
Echter lopen er wel overal lan kabels dus we kunnen daar wel is een kabeltje van overprikken. Dat is opzich niet het probleem. Echter moeten we soms beroep gaan doen op powerline.

Mijn budget is trouwens redelijk berperkt, daarom dat ik waarschijnlijk voor TP-link ap's kies, er zal nooit meer dan 10 man op zo'n ap zitten dus maak ik me weinig zorgen over stability.

De backbone is nu 100mbit, de school wil dit nu niet veranderen. Het huidige internet abbo is ook maar 50/6 (kwam van 8/2 vorig jaar)

[temp00]

In CCNA-wireless wordt geleerd een minimale overlap tussen de verschillende radiocellen van 10% aan te houden. Je zou dus moeten kijken hoe groot je radiocell per AP is en het ruim nemen als je met muren, metalen objecten e.d. te maken heb. Weet overigens niet of die regel ook voor niet-Cisco-apparatuur opgaat, maar het lijkt me best practice.

[larsg]

In praktijk zal er een 20 m tussen ap's zijn, alles hangt in de gangen dus het signaal zou daar zeker ruim moeten overlappen.

[alex3305]

Om even op je noob-vraagje te reageren. Nee. Maar dat had je zelf ook al kunnen uitvinden toch ?

Daarnaast is 20m misschien aan de krappe kant, maar dat is eerst testen voordat je verder gaat!

[larsg]

alex3305 schreef op vrijdag 09 november 2012 @ 19:20:
Om even op je noob-vraagje te reageren. Nee. Maar dat had je zelf ook al kunnen uitvinden toch ?

Daarnaast is 20m misschien aan de krappe kant, maar dat is eerst testen voordat je verder gaat!

20m in de ruimte van een vals plafond, of daaronder, met enkel lucht tussen 2 AP's moet toch wel lukken?


Bedankt iedereen trouwens voor de adviezen

[alex3305]

Nee, ik bedoel; misschien is dat wel te dicht op elkaar. Test dat eerst eens goed uit.

[Bluepenguin]

De eetzaal word het test traject, we willen daar alleen een internet voorziening hebben voor wat smartphones, het is niet dat er 100man tegelijk op gaat, het is niet dat er een super computer op draait.

Even aanhakend op wat ook al in het Router voor een basisschool topic staat waar dion_b net naar linkte: hoe wil je in hemelsnaam de beveiliging gaan regelen?
In de zin van mensen die gaan downloaden met de laptop omdat ze hun p2p (al dan niet bewust) aan hebben staan, wat als er op een andere manier misbruik wordt gemaakt van het relatief 'anoniem' dingen via dat netwerk kunnen posten / uploaden / wat ook. En dan dus niet zozeer zoals alex net zei qua datalimieten, maar ook juridisch je indekken tegen downloaders en praktisch hoe je misbruik tegen zult gaan qua beleid. Met bijv. een logje van mac adressen o.i.d. ben je er niet (die kunnen makkelijk gespooft).

Wat zijn op dat gebied de eisen? Of beter gezegd, wat is jullie idee daarbij als leerlingraad?
Een tijdje terug kwam ik een vergelijkbare discussie tegen op een amerikaans forum (sorry, maar kan dat zo gauw niet terug vinden), waar men ook voor een middelbare school een oplossing zocht; daar had men het over diverse AP's en dat een deel daarvan met hulpmiddelen geleverd wordt om bijv. mac-spoofing tegen te gaan. Enige wat me daar van bij staat is dat Motorola zoiets biedt onder de naam airdefence. Al zullen alle betere merken je daar wel mee kunnen helpen. Waarom? omdat alles wat kapot kan / fout kan, ooit ook wel een keertje mis loopt.
Waar je denk ik überhaupt verstandig aan doet, omdat er zo veel verbindingen tegelijk goed afgehandeld moeten kunnen worden, is een wat betere router / AP aanschaffen omdat die stabiel blijven onder de 'stress' van vele verbindingen tegelijk. (zeg een Draytek, Asus TP-link, Netgear Cisco). Die heb je niet voor een tientje. Denk eerder €120 à €250,- per stuk.

Maar dan nog, ook al heb je de 'juiste' hardware en software, dan nog gaat zoiets opzetten vooral ook om de policies. Iets à la FON is dan misschien interessanter. Of, als je een jaarlijks budget-potje er voor hebt, in NL heb je KPN en T-Mobile die (tegen betaling) een hotspot voor je op kunnen zetten. Wellicht heeft de provider van de school dat ook? Hoe dan ook de moeite om even na te gaan lijkt me?!

[larsg]

Momenteel is er geen vorm van beveiliging op het netwerk, we zoeken ook niet om er een passwoord op te zetten. Qua exessief downloaders, daar hebben we tot op heden nog geen probleem mee gehad.
Ik wil heir niet op koppige wijze zeggen dat ik het daarom niet doe, maar we kijken wel naar QoS dat ook toegevoegd wordt in de toekomst.

De AP's die we gaan plaatsten hebben tenminste WMM, hoewel dat geen garantie geeft.

Van wat ik momenteel weet is dat ze een custom pc gebruiken als router, ik kan daar is naar kijken om wat caps the implementeren, maar dat zijn zorgen voor later.

[alex3305]

QoS kan omheen gewerkt worden. Vooral op de budgetrouters. Sterker nog, die kun je nog wel makkelijk DoS'en als het moet. Ik kan je een voorbeeld geven van mijn HBO opleiding. Als ik daar in een lokaal een download openzette dan kon het zijn dat mijn buurman geen internet meer had. Als ik hetzelfde deed met een torrent, had de hele klas geen bereik meer.

WMM en QoS zijn dus helemaal geen garanties. En dan nog iets, hoe ga je de routers beheren zonder dat de beheerpagina vanuit de client opgevraagd gaat worden? Zoals ik eerder al zei, wat heb je al gevonden voor NAT, aangezien je meer dan 255 clients tegelijkertijd op je netwerk wilt hebben (inclusief routers, switches en AP's)? Het is voor zo'n situatie niet alleen maar zooi kopen en aan elkaar prikken. Het is een stappenplan maken en deze systematisch invoeren.

Oh en dat je nog geen misbruik hebt gehad, betekend niet dat deze er niet gaat komen. Als het niet in de vorm van downloads is, kan het wel anders. Heb je bijvoorbeeld weleens gehoord van ettercap? Wireshark? Cain? of zelfs de meer toegankelijke Firesheep? Want tegen zulke aanvallen heeft een home-router echt 0,0 beveiliging.

[Bluepenguin]

larsg schreef op vrijdag 09 november 2012 @ 20:01:
Momenteel is er geen vorm van beveiliging op het netwerk, we zoeken ook niet om er een passwoord op te zetten. Qua exessief downloaders, daar hebben we tot op heden nog geen probleem mee gehad.
Ik wil heir niet op koppige wijze zeggen dat ik het daarom niet doe, maar we kijken wel naar QoS dat ook toegevoegd wordt in de toekomst.

De AP's die we gaan plaatsten hebben tenminste WMM, hoewel dat geen garantie geeft.

Van wat ik momenteel weet is dat ze een custom pc gebruiken als router, ik kan daar is naar kijken om wat caps the implementeren, maar dat zijn zorgen voor later.

Ben er niet zo stellig in als Alex, maar zou je sterk aan raden: werk er in ieder geval gestructureerd aan op de achtergrond.
Misschien iets om het zo aan te pakken:
- breng de wifi 'in de lucht' op één plek met een goede AP. Dan heb je in ieder geval 'bewezen' dat het kan, en kan je na verloop van een paar weken iets zinnigs zeggen over het gebruik aan de schoolleiding (of beheerder of ... ).
>> Op dat moment kun je (afhankelijk van het succes) zeggen dat het werkt & er wordt gebruik van gemaakt, dan is er een sterke zaak richting de school (en misschien ietsje budget daarmee erbij )
- zorg er intussen wel voor dat ook in die eerste tijd geen echt excessief gebruik kan plaatsvinden, ook weer om het geheel tot een succes te kunnen verklaren richting school. (I know, dit zeg je zelf ook al & het is erg basic; maar als het eenmaal goed werkt dan wordt zoiets ook vast echt gebruikt).
- neem als leerlingenraad rustig een paar weekjes de tijd om het gebruik in de gaten te houden, zodat je weet wat je evt. dicht kunt zetten en wat de gewenste capaciteit op die plek is. Overleg daarna wat van alle mogelijke scenario's en soorten gebruik wel gewenst en wat niet gewenst is; zet het op papier voor jullie zelf en de school). Denk vast al een stukje na over hoe je dit ook zou willen handhaven.
- dan voorleggen aan het bestuur van de school en de beheerder wat jullie denken wat ongewenst is en wat gewenst. Bij het schoolbestuur en beheerder expliciet vragen of zij het er mee eens zijn; en of dan kun je zelf (al dan niet met hulp van de beheerder) verder gaan kijken naar de technische uitvoering ervan.
- het technisch dicht zetten (p2p blocken etc.) van het netwerk
En natuurlijk lekker uitbreiden bij nieuw budget van één AP naar de hele school. (voor de duidelijkheid, ik bedoel dit niet bemoederend of op welke manier ook maar negatief, meer hoe ik dit zelf zou aanpakken, hopelijk heb je er wat aan).

Het lijkt me zeer sterk aan te raden voor een iets duurdere maar veel stabielere oplossing te gaan hierbij (een goede AP van een 'beter merk'), en langzaam op die manier de oude routers (Aldi merken zei je ? LOL*) en de oude netwerk opzet stukje bij beetje hier naar over zetten.
Als het immers goed werkt, krijg je waarschijnlijk ook wel meer vraag en daarmee meer verbindingen.
Leuk overigens dat jullie zelf een goed netwerk mogen en kunnen aanleggen

* mooie tegenstelling met de aparte topics voor Aldi smartphones/tablets en pc's op GoT

[dion_b]

Beveiliging is meer dan alleen torrents tegenhouden. Een torrent die de upload plattrekt kan in het ergste geval als DoS werken voor het WiFi-netwerk, maar daar houdt de ellende ook op. Twee veel grotere risico's zijn:
- dat iemand de (NAT) router compromitteert en daarmee vrij andermans verkeer (incl persoonsgegevens die onversleuteld verstuurd worden) kan afluisteren
- dat iemand via de router op het school-netwerk komt en daar persoonsgegevens of bijv cijfers gaat rommelen

Vooral dat laatste heeft enorme potientiele schade en gevolgen voor aansprakelijkheid voor school en zal geheid onmiddellijke einde van WiFi voor de leerlingen tot gevolg hebben.

[larsg]

Bedankt weer voor alle advies.

De eerste spullen zijn nu besteld waardoor we binnekort kunnen gaan testen.

Ik heb vandaag echter een gesprek gehad met de systeembeheerder, maar dit bleek weinig vruchten af te werpen... Ik vroeg naar wat de backbone was. Als antwoord kreeg ik "Wat is een backbone?"

We zullen zien wat het brengt!

[dion_b]

In dat geval zou ik focussen op arse-cover. Laat zwart-op-wit opstellen dat jij alleen de fysieke (laag 1) toegang tot WiFi regelt en alleen de beveiliging wat betreft toegang daartoe regelt. Alle beveiliging van schoolsystemen blijft onveranderd in handen van dezelde partij (de systeembeheerder) en jij bent niet aansprakelijk voor gedrag van mensen die toegang mogen hebben tot het WiFi-netwerk vs schoolsystemen.

Kort gezegd, je verlengt het draadje alleen draadloos, wat er vervolgens over gebeurt is jouw probleem niet.

Trouwens, wat ga je doen qua toegangsbeheer?

Voor wat je hier wilt doen wil je WPA2-Enterprise icm een Radius-server gebruiken. Dat hoeft niet duur te zijn, een 2e hand PCtje kan dat makkelijk af, maar dan moet je het wel inrichten. Ik lees daar niets over...

[larsg]

In principe willen we vrije toegang, zonder wachtwoord. Het is immers voor alle leerlingen.
Er zijn verder nog meerdere ap's die gewoon openstaan.

Maar ik ga in de toekomst idd wel proberen wat meer security en snelheid dat netwerk op te rammen want ik ben vandaag toch een beetje geschrokken.
Zo heeft de router (keurig een server) een 10mbit netwerk kaart -.-"

[DJ-Visto]

larsg schreef op maandag 12 november 2012 @ 21:02:
In principe willen we vrije toegang, zonder wachtwoord. Het is immers voor alle leerlingen.
Er zijn verder nog meerdere ap's die gewoon openstaan.

Maar ik ga in de toekomst idd wel proberen wat meer security en snelheid dat netwerk op te rammen want ik ben vandaag toch een beetje geschrokken.
Zo heeft de router (keurig een server) een 10mbit netwerk kaart -.-"

Misschien eerst maar is beginnen bij de basis

[matthijs33]

inderdaad beginnen bij de basis, en als je dan toch bezig bent met de server kun je best een soort van firewall er op zetten (of een dedicated firewall zoals watchguard (goede ervaringen mee)) en hiermee enkel poort 80 open laten. Zo sluit je alle torrent, p2p en andere ongewenste protocollen uit. Doe je dit niet, zal je netwerk binnen de kortste keren plat gaan als iemand begint te downloaden.

[dion_b]

larsg schreef op maandag 12 november 2012 @ 21:02:
In principe willen we vrije toegang, zonder wachtwoord. Het is immers voor alle leerlingen.

Dat alle leerlingen erop mogen is helder, maar wat als ik voor de deur geparkeerd sta, inlog en kinderporno op mijn laptop download vanaf jouw netwerk? De gesprekken die je dan met de politie krijgt wil je echt liever niet hebben

Wat je wilt hebben is een lijst van leerlingen met een unieke login voor iedere leerling. Als er al een login voor het schoolnetwerk is, is het elegant om het daaraan te koppelen (tip: LDAP), maar dat hoeft niet.

Bijkomend voordeel: als je per user een login hebt kun je per user in het geval van abuse ook toegang intrekken. Doe je dat niet en iemand gaat over de schreef, dan ben jij (en niet de user!) aansprakelijk

Er zijn verder nog meerdere ap's die gewoon openstaan.

Er zijn ook mensen die overdag van huis weggaan en de deur open laten staan. Misschien iets wat je diep op het platteland kunt permitteren, niet iets wat je hier in Amsterdam in je hoofd moet halen als je spullen je lief zijn.

Idem voor open WiFi. Als je als particulier iets doet op een locatie waar abuse onwaarschijnlijk is, kun je het misschien permitteren. Maar een middelbare school is zo ongeveer de ergste plek die je je kunt voorstellen voor abuse van netwerken, het is de A'dam Slotervaart van netwerkomgevingen. Daar moet je deur op slot, op je netwerk evenzeer.

Maar ik ga in de toekomst idd wel proberen wat meer security en snelheid dat netwerk op te rammen want ik ben vandaag toch een beetje geschrokken.
Zo heeft de router (keurig een server) een 10mbit netwerk kaart -.-"

Je wilt op z'n minst access control op dag 1 op orde hebben. Reken maar dat iemand diezelfde dag iets lomps doet waar je gedonder mee krijgt. Als je hem niet (tijdelijk) af kunt sluiten kan je hele netwerk neergehaald worden erom. Een '3 strikes'-policy op mindere vergrijpen (incl copyrightmeuk waar je geheid op aangeschreven gaat worden) is ook aan te raden. Bewaar sowieso logs van alle aanmeldingen op het newerk (MAC-adres en tijdstip).

Iig eerst focussen op security, performance kan later altijd nog.

[Anoniem: 356260]

Ik lees hier een paar keer dat elke leerling gebruik moet kunnen maken zonder het netwerk dicht te timmeren, misschien een beetje gek, maar op mijn opleidingslocatie staat een bord met de wifi code erop, soms wordt de code veranderd, loop je naar het bord, toetst de code over en je zit er weer op. Zo kan iedereen van de school op het netwerk, en iemand buiten school heeft geen toegang (niet uitgaande van insider werk, en fysiek zou je toch een kabel pakken).

Daarnaast vergis je je bijzonder in de hoeveelheid gebruikers en de data.
Je weet dat ~80=% van de categorie 12 - 16 over een smartphone beschikt ? Dat in combinatie met gratis internet zorgt ervoor dat minimaal de helft er vrijwel dagelijks gebruik van maakt, filmpje hier, muziekje daar, streampje zus, chatroulette zo, willekeurige download etc etc. klinkt als niet veel, maar als er 30 lui in een pauze actief bezig zijn, trekken ze je lijn vol.

[jvanhambelgium]

vetrouwen is goed, controle is beter...
Ik zou nooit zo'n omgeving in de lucht brengen zonder een deftige proxy als "policy enforcing" punt ! (al dan niet met authenticatie)

Authenticatie is mischien geen must, maar dan moet je wel zorgen dat je goed kan bepalen wat kan en niet kan!
Ik heb ook zo weet van een transparant (Bluecoat) proxy (aangezien je op menig smartphone niet zo eenvoudig proxy-settings hebt) met daaraan netjes een whitelist van de mogelijkheden...

[moppentappers]

Ik zou inderdaad toch zorgen voor een vorm van filtering, al is het maar zoiets als dansguardian, ik vermoed dat je een aantal belangrijke aspecten over het hoofd ziet en waar je met de proef in de kantine nog geen kennis van zult nemen. Powerline is bijvoorbeeld te instabiel en repeaters zullen ook snel problematisch worden.
Wat je dan beter zou kunnen doen is voor AP's gaan die zelf kunnen meshen, zodat je in ieder geval waar wordt gerepeat optimale snelheden behoud en zo min mogelijk hops naar de kabel. In oude hotels wordt dat regelmatig ook zo gedaan. Door het zo te doen kan je op plekken in het gebouw waar de snelheid onvoldoende is daar een kabel naartoe trekken waarna de snelheid in dat gebied verbeterd.
Verder kan je met AP's die dit ondersteunen ook radius koppelingen maken en cappen om te voorkomen dat als een paar mensen gaan downloaden je verbinding vol zit.

[dion_b]

Ik zit op het werk _{als ik op het office netwerk zit en niet een van m'n eigen testlijnen} achter Bluecoat en word er niet vrolijk van. Het werkt prima met platte HTML, maar zowat alles wat onder de noemer "Web 2.0" valt gaat brak. Hoe brak verschilt per site en per browser (IE7 ), maar zelfs een geupdate IE8 heeft issues met GoT, om maar een voor de hand liggend voorbeeld te noemen. Denk aan pagina's die zouden moeten updaten ("x nieuwe berichten gepost") die dat niet doen of aan posts die niet verschijnen na het posten. Druk je nogmaals op "Verstuur bericht" dan krijg je waarschuwing voor dubbelpost. En dan is GoT nog redelijk statisch, Facebook (ook iets wat scholieren gebruiken) is nauwelijks bruikbaar zonder herhaaldelijk F5-en.

Overigens is maar de vraag of andere proxies dat beter doen, proxy+web2.0=ellende.

Ik zou zelf eerder kijken naar soorten verkeer en alles wat niet bekend en toegestaan is deny-en.

[Tarquin]

Ik zou klein beginnen om de aannames eens te toetsen.
Bijvoorbeeld met een AP in de aula, of juist in een lokaal.

Alle aannames over of het nou wel of niet door de muur heen kan, of een AP wel of geen 40 users aankan, of de leerlingen in de pauze je netwerk overbelasten, kun je dan mooi toetsen.

Verder lijkt een dagelijks of wekelijks wijzigende code die op het bord hangt (niet van buitenaf zichtbaar, duh) me geen overbodige luxe.

En laat tot slot de detaillogging voorlopig zitten, het is een hoop werk en mogelijk mag het niet eens qua privacy.

[Bluepenguin]

Tarquin schreef op maandag 26 november 2012 @ 16:04:
En laat tot slot de detaillogging voorlopig zitten, het is een hoop werk en mogelijk mag het niet eens qua privacy.

Bij mijn weten, ben niet al te bekend met de Belgische gang van zaken, kun je diverse 'standaard' zaken rustig loggen. Dus mac-adres, moment van het begin en einde van de verbinding. Wel netjes vermelden in de gebruikersovereenkomst / luid en duidelijk vermelden naast het 'password van de week", mocht je voor het model met password op een bord in de aula oid kiezen.
Inhoud of verkeer loggen is inderdaad ten strengste verboden, maar dat is ook eigenlijk nergens goed voor. Verbindingen die je niet wilt, gewoon adressen blacklisten danwel het type verkeer blokkeren (zoals p2p /ftp / etc.).

Hoe gaat het eigenlijk met het project?

[MaximusTG]

Is aan (laten) sluiten op eduroam niet een betere optie?
http://www.itscomputers.nl/pages/%7B%7BEduroam%7D%7D

[Tarquin]

Bluepenguin schreef op maandag 26 november 2012 @ 18:21:
[...]

Bij mijn weten, ben niet al te bekend met de Belgische gang van zaken, kun je diverse 'standaard' zaken rustig loggen. Dus mac-adres, moment van het begin en einde van de verbinding.

Da's dus hetzelfde als Nederland.
Denk dat je met het bijhouden van MAC adressen weinig problemen krijgt omdat de logging
a) niet zomaar op personen zijn terug is leiden (met veel moeite wel, maar beslist niet zomaar)
b) een doel dient, namelijk het gebruik te monitoren en niet-leerlingen buiten te kunnen sluiten.

[ Voor 9% gewijzigd door Tarquin op 26-11-2012 19:57 ]

[larsg]

(sorry voor de late reactie & nog is bedankt voor alle input!)

Vandaag is een eerste AP live gegaan, in een ruimte enkel voor de 6e jaars studenten aangrenzend aan de speelplaats.
We hebben dit ding opgehangen pricewatch: TP-Link TL-WA801ND
Het bereik valt reuze mee, de hele speelplaats (80m) wordt namelijk overbrugt. (getest met smartphone)
Omdat het nu momenteel een examen periode is, is er nog maar weinig verkeer. Dus in januari zal ik eens kijken hoe dat ding het volhoudt tijdens de pauzes.

Mijn hoofzorg is echter wel de breedband verbinding van de school, dit zit momenteel op coax 60/?.
Natuurlijk is dit een moeilijk punt in België, maar voor minder kun je 2 50/6 verbindingen krijgen, dat lijkt me toch beter.

Voor de wifi security, zitten we te denken aan een inlog-systeem. Maar de security laat ik waarschijnlijk meer aan de school-systeem beheerder over.

[Bluepenguin]

Leuk te horen, gefeliciteerd & succes ermee!!

[ Voor 21% gewijzigd door Bluepenguin op 11-12-2012 23:14 ]