Netwerk aanpassen WEP naar WPA2

[Madrox]

De organisatie hier draait met twee accespoints, waarvan er 1 router nog is ingesteld op WEP.
Dit willen ze veranderen naar WPA2. Nu wil ik ik daarbij helpen, maar ik zit nog met een vraag:

Wil weten of ik het af kan doen met een personal key (psk?

Nu weet ik nog niet of ze een WPA2-Enterprise met radius-server draaien of zo, dat configeren blijkt een stuk omslachtiger nml.

Denk dat ik er wel uitkom met de "WPA2-Personal security" optie, de tweede zal wat lastiger worden aangezien ik dan ook mag gaan uitvissen welke server ze draaien en hoe die dan geconfigureerd moet worden.

Heb hier een aardige guide, denk ik: http://www.esecurityplane...rity-from-WEP-to-WPA2.htm

ps: heb mijn vraag al beantwoord gezien; Daar we hier allemaal hetzelfde wachtwoord gebruiken is het dus een WEP personal (we hoeven dus geen geen bijzondere server te configgen..phew)

Hier mag een slotje op (zie laatste post)

[ Voor 23% gewijzigd door Madrox op 27-06-2013 01:14 ]

[aZuL2001]

Als je er geen verstand van hebt, misschien moet je er dan af blijven?
Of je moet je baas graag willen gaan uitleggen waarom het niet werkt.

En je hebt het dus over drie devices? 2 accespoints en 1 router?

[Madrox]

aZuL2001 schreef op woensdag 26 juni 2013 @ 02:12:
Als je er geen verstand van hebt, misschien moet je er dan af blijven?
Of je moet je baas graag willen gaan uitleggen waarom het niet werkt.

En je hebt het dus over drie devices? 2 accespoints en 1 router?

Zoals ik al zei, met een server in het verhaal zou ik idd iets anders adviseren. Kom er net achter dat er geen server in het spel is (zie hierboven). Nu heb ik er alle vertrouwen in dat het goed komt. Er zijn iig twee aanknooppunten, met ieder een eigen wachtwoord.

De baas wil geld besparen en ik denk in dit geval dat dat kan
700~800 euro's om 1 accespoint om te zetten vinden ze een beetje te gortig. Het gaat om 1 accespoint die nog het oude WEP gebruikt. Met de ander hoeft er niets gedaan te worden.

ps: het is geen ramp als er 1 toegangspunt een dagje eruit ligt Al denk ik dat het korter gaat duren
Heb er al wat ervaring mee maar ik doe het niet elke dag en die link is alleen om mijn geheugen op te frissen. Met servers voor Enterprise omgeving word het idd een ander verhaal.

[ Voor 34% gewijzigd door Madrox op 26-06-2013 02:28 ]

[theblindman]

Begrijp ik goed dat de beveiligingsinstellingen van één "gewoon" accesspoint veranderd moeten worden? Is dat dan niet gewoon een kwestie van de webinterface oproepen aangeven dat er van WPA2 gebruik moet worden gemaakt?
Aan de andere kant, het opnieuw instellen van een "gewoon" accesspoint hoeft toch geen €800 te kosten? Gaat het soms om speciale apparatuur?

[Madrox]

Niet dat ik weet (op je laatste vraag) . Wel dat het gewone "thuis netwerk" setups zijn, eentje met WEP en eentje met WPA2.

Misschien is de opgaaf wel wat hoger, omdat er een extra accepspoint bij zou (kunnen) komen. Want er zou wel een extra accespuntje bij kunnen, gezien het beroerde bereik om sommige plaatsen. Dan komt er iig de kosten van een nieuwe accespoint en de installatie ervan bij.

Maar goed, ook daar word ik niet huiverig van. Een extra accespoint neerzetten.

[ Voor 75% gewijzigd door Madrox op 27-06-2013 10:32 ]

[Madrox]

Update!
Net even met Inssider het draadloze netwerk bekeken en het ziet er denk niet zo best uit:

Inssider geeft mij hier een score van 44. Als ik naar de andere zenders kijk, valt mij op dat:

1) De co-channel ook op kanaal 6 zit.
2) Signal = -60 dbm (co-channel -70 dbm)
3) Een ander netwerk (buiten het pand?) vrij sterk is (-65~67 dbm verspreid over 9 kanalen (kanaal 11 ingesteld)) en een overlap heeft op kanaal 7 en 8 met "ons" netwerk.

[dion_b]

- Co-channel interference zit per definitie op dezelfde kanaal
- WiFi netwerken in de 2.4GHz-band overlappen per definitie met naburige kanalen. Hoe erg dat is hangt af of ze DSSS (802.11b) of OFDM (802.11g en nieuwer) modulatie gebruiken, maar op z'n minst twee naar boven en twee naar beneden.
- je meet hier op een enkel punt en hebt niet achterhaald waar de netwerken die je ziet vandaan komen
- je hebt geen duidelijk overzicht van de hardware die je nu hebt en de capabilities erven.

Wil niet lullig zijn, maar het klinkt echt niet alsof jij juiste persoon bent voor deze klus.


Sowieso is (in ieder geval in dit topic) noch de situatie noch de exacte opdracht duidelijk. Om te beginnen is het niet mogelijk dat je met een en dezelfde PSK nu een AP met WEP en de andere met WPA hebt draaien, aangezien de keys anders samengesteld zijn. Als het enkel gaat om WPA2 (CCMP/AES dus feitelijk) kan het zo simpel zijn als een instelling in een apparaat omzetten.

Wil je meer hulp, geef dan wat goede info. Maar ik zou echt afraden om je vingers hieraan te branden gezien je waarschijnlijk weinig kunt doen als iets onverwachts mis gaat

[Madrox]

Bedankt voor de waarschuwing, Dion_b , ben zelf niet roekeloos aangelegt en ben ook niet van plan iets te verneuken. Wat ik uit de tekst heb gelaten is dat het om een eerste indruk gaat, daar ik idd maar op 1 punt gemeten heb (bij mezelf) en nog niet weet wat er precies in huis staat, behalve dat er iig twee acces points zijn. De precieze informatie ga ik nog krijgen.

Je verhaal over de kanalen is mij al duidelijk, er worden meerdere kanalen gebruikt om hogere snelheden te halen. Kanaal 6 is het instelkanaal en 4,5,7 en 8 worden dan ook benut; voor snelheid en stabiliteit van het signaal meen ik. Veel overlapping is niet zo goed volgens Inssider, maar het kan zo zijn dat je dat soms express opzoekt, als daar nu juist alle zwakkere andere wifi-netwerken zitten en 1 sterke aan de andere kant.

Dat van de co-channel begrijp ik ff niet, dacht dat dat het wpa2 acces point signaal was. Nu zie ik er trouwens twee, allebei met als SSID "Ziggo", eentje met personal en de ander met Enterprise Security.

Bedoel je te zeggen dat de co-channel de router is die het externe Wlan regelt en intern de WiFi ?

Het accespoint met WPA2 heeft idd niet dezelfde inlogkey, daar zit 1 teken verschil tussen.
Goede info komt er waarschijnlijk nog, zodra ik meer weet over hoe het precies in elkaar steekt en welke hardware er gebruikt word.

ps: Waar het precies vandaan komt, is dat echt nodig te weten ? Dacht dat je vooral moest letten op dat je op een zo vrij mogelijk kanaal zit met zo weinig mogelijk andere sterke zenders in de buurt.

[ Voor 27% gewijzigd door Madrox op 27-06-2013 14:32 ]

[aZuL2001]

Je bevestigt Dion_b (en mijn) vermoeden vrij aardig.

Zorg dat je een weg terug hebt.

[Madrox]

Dank je voor de tip. Zal er zeker voor zorgen, dat ik elke stap ongedaan kan maken

Het ene accespoint omzetten naar WPA2 lijkt me nog het meest eenvoudig. (als het betreffende apparaat dat ondersteunt tenminste, anders kan WPA ook nog wel)

Maar even een duidelijk vraag; met twee acces-points is het toch beter aparte kanalen te gebruiken ? Dat is nml. wel wat ik lees hier en daar. 6 voor de ene en 11 of 1 voor de ander. Soms is het beter daarvan af te wijken. 6,11 en 1 overlappen eigenlijk ook wel, lees ik maar toch meestal de beste keus (kort gezegt)

ps: Of Dion_B gelijk heeft aangaande de co-channel waag ik te betwijfelen:
http://windowsitpro.com/n...hy-should-i-care-about-it

Laat ik daaraan toevoegen dat het geen noodzaak is dat iedereen hier met 1 en hetzelfde password overal kan inloggen. Dat kan nu ook al niet. Er zijn twee acces point, met twee verschillende SSID's en ieder een eigen, unieke inlogcode. Het gaat er vooral om dat we het bereik in hele gebouw verbeteren.

[ Voor 111% gewijzigd door Madrox op 27-06-2013 14:35 ]

[aZuL2001]

Hetzelfde SSID en wachtwoord is handig als je gebruikers door het pand wandelen.
Zitten ze op een vaste plek dan is het niet nodig. Maar het is draadloos, dus de kans op wandelen is aanwezig.

Maak op diverse plekken in het pand een screenshot van InSSIDer, en bekijk wat voor die plaatsen het meest rustige kanaal is. Doe dit op het moment dat jullie die wifi verbinding gebruiken, en niet bijvoorbeeld 's avonds omdat het wifi landschap er dan heel anders uit kan zien (mensen die thuiskomen en dan pas hun router aanzetten).

Je wil per AP een rustig kanaal, wat voldoende afstand heeft tot je volgende AP. En daarbij hou je rekening met de AP's van de buren.

Kijk verder of je devices die op het AP aangesloten moeten worden ook de andere security aankunnen.
Anders schop je die van het netwerk af.

[dion_b]

Madrox schreef op donderdag 27 juni 2013 @ 14:13:
Bedankt voor de waarschuwing, Dion_b , ben zelf niet roekeloos aangelegt en ben ook niet van plan iets te verneuken. Wat ik uit de tekst heb gelaten is dat het om een eerste indruk gaat, daar ik idd maar op 1 punt gemeten heb (bij mezelf) en nog niet weet wat er precies in huis staat, behalve dat er iig twee acces points zijn. De precieze informatie ga ik nog krijgen.

Lijkt me sowieso een begin. Op basis daarvan kun je inzichtelijk krijgen hoe groot de uitdaging is, vervolgens of het verstandig is als je het zelf probeerd danwel dat je gelijk iemand anders inschakelt.

Je verhaal over de kanalen is mij al duidelijk, er worden meerdere kanalen gebruikt om hogere snelheden te halen. Kanaal 6 is het instelkanaal en 4,5,7 en 8 worden dan ook benut; voor snelheid en stabiliteit van het signaal meen ik.

Nee, gewoon omdat een WiFi-kanaal (vanaf 802.11g iig) standaard 20MHz breed is, maar de kanalen zitten in de 2.4GHz slechts 5MHz uit elkaar:

Veel overlapping is niet zo goed volgens Inssider, maar het kan zo zijn dat je dat soms express opzoekt, als daar nu juist alle zwakkere andere wifi-netwerken zitten en 1 sterke aan de andere kant.

Dat van de co-channel begrijp ik ff niet, dacht dat dat het wpa2 acces point signaal was. Nu zie ik er trouwens twee, allebei met als SSID "Ziggo", eentje met personal en de ander met Enterprise Security.

Co-channel interference is gedefinieerd als WiFi interferentie in hezelfde WiFi-kanaal, dus netwerken die op exact hetzelfde kanaal zitten. Tenzij je apparaten samenwerken (en dat doen ze met consumentenhardware simpelweg niet) storen ze elkaar maximaal.

Dat wil niet zeggen dat overlappende kanalen geen overlast opleveren. Een WiFi-kanaal van 20MHz is eigenlijk verdeeld in meerdere subcarriers van (paar honderd kHz breed). Als je structureel overlap hebt, is dat voor een deel van je subcarriers wel degelijk als co-channel interference te beschouwen.

Je ziet daar trouwens niet twee verschillende AP's, je ziet een Ziggo-modem wiens AP twee SSID's broadcast, eentje voor de klant zelf, de andere voor haar Ziggo WiFispots-dienst. Je ziet twee SSID's, maar ze zitten beide op zelfde AP, zelfde antenne en hebben ook zelfde eigenschappen/instellingen. Voor interferentiebegrippen kun je ze als één netwerk beschouwen.

Bedoel je te zeggen dat de co-channel de router is die het externe Wlan regelt en intern de WiFi ?

Co-channel = "hetzelde kanaal"

Het accespoint met WPA2 heeft idd niet dezelfde inlogkey, daar zit 1 teken verschil tussen.
Goede info komt er waarschijnlijk nog, zodra ik meer weet over hoe het precies in elkaar steekt en welke hardware er gebruikt word.

ps: Waar het precies vandaan komt, is dat echt nodig te weten ? Dacht dat je vooral moest letten op dat je op een zo vrij mogelijk kanaal zit met zo weinig mogelijk andere sterke zenders in de buurt.

Waar het vandaan komt is relevant voor layer 8, oftewel de human factor. Als het komt van binnen jullie gebouw kun je er waarschijnlijk wat aan doen, desnoods met escalatie naar management. Komt het van buiten, dan kun je nog steeds iemand anders erop aanspreken, al heb je dan geen machtsmiddelen om hem te dwingen op ander kanaal te zitten. Dat onderscheid is wel zo handig

Madrox schreef op donderdag 27 juni 2013 @ 14:20:
Dank je voor de tip. Zal er zeker voor zorgen, dat ik elke stap ongedaan kan maken

Het ene accespoint omzetten naar WPA2 lijkt me nog het meest eenvoudig. (als het betreffende apparaat dat ondersteunt tenminste, anders kan WPA ook nog wel)

WPA en WPA2 zijn eigenlijk hetzelfde - of beter gezegd, WPA2 is niets anders dan verplicht CCMP/AES encryption ondersteunen waar het bij WPA optional is.

Je wilt in ieder geval RSN, oftewel CCMP/AES. Dat heb je zeker bij WPA2, bij WPA moet je kijken of het ondersteund is. Gebruik je in plaats van CCMP/AES TKIP beveiliging, dan ben je nog steeds vulnerable - het is niet zo lek als enkel WEP, maar veel beter is het niet.

Maar even een duidelijk vraag; met twee acces-points is het toch beter aparte kanalen te gebruiken ? Dat is nml. wel wat ik lees hier en daar. 6 voor de ene en 11 of 1 voor de ander. Soms is het beter daarvan af te wijken. 6,11 en 1 overlappen eigenlijk ook wel, lees ik maar toch meestal de beste keus (kort gezegt)

1, 6 en 11 overlappen niet. Sterker nog, met OFDM (802.11g of nieuwer) overlappen 1, 5, 9 en 13 niet - zie plaatje hierboven. Als je geen 802.11g kunt met een apparaat, zou ik het zeker vervangen, mede ook omdat je met 802.11b geen WPA doet.

ps: Of Dion_B gelijk heeft aangaande de co-channel waag ik te betwijfelen:
http://windowsitpro.com/n...hy-should-i-care-about-it

Dat is dus wat ik zeg

Laat ik daaraan toevoegen dat het geen noodzaak is dat iedereen hier met 1 en hetzelfde password overal kan inloggen. Dat kan nu ook al niet. Er zijn twee acces point, met twee verschillende SSID's en ieder een eigen, unieke inlogcode. Het gaat er vooral om dat we het bereik in hele gebouw verbeteren.

Dat is dus een stuk meer dan alleen van WEP naar WPA upgraden.

Als je het echt goed wilt doen moet je werken met een controller die clients naadloos van de ene AP naar de ander overzet, maar dat gaat je budget geheid te boven. Quick&dirty is om beide AP's van zelfde SSID en PSK te voorzien, of trouwens voor WPA(2)-Enterprise te gaan en een Radius-server in te richten. Dat is naar de toekomst toe te prefereren, en veel veiliger dan keys uitdelen aan mensen, maar vergt wel enige kennis en tijd. Ik zou het serieus overwegen als je je hier verder in wilt verdiepen, maar eea hangt ook af van de beveiligingseisen. Als jullie niet of nauwelijks gevoelige informatie uitwisselen en het gevaar van ex-werknemers die nog van op de parkeerplaats inloggen en info meepikken klein is, dan is WPA(2)-PSK genoeg.

aZuL2001 schreef op donderdag 27 juni 2013 @ 15:58:
Hetzelfde SSID en wachtwoord is handig als je gebruikers door het pand wandelen.
Zitten ze op een vaste plek dan is het niet nodig. Maar het is draadloos, dus de kans op wandelen is aanwezig.

Lastige is dat je in dit geval van de client afhankelijk bent om van AP naar AP te hoppen op moment dat signaal niet meer zo lekker is. Elk OS heeft z'n eigen manier om dat te bepalen, maar slim zijn ze geen van allen. Meeste blijven op AP1 zolang er nog signaal van is, al is AP2 op bepaald moment veel sterker.

Maak op diverse plekken in het pand een screenshot van InSSIDer, en bekijk wat voor die plaatsen het meest rustige kanaal is. Doe dit op het moment dat jullie die wifi verbinding gebruiken, en niet bijvoorbeeld 's avonds omdat het wifi landschap er dan heel anders uit kan zien (mensen die thuiskomen en dan pas hun router aanzetten).

Je wil per AP een rustig kanaal, wat voldoende afstand heeft tot je volgende AP. En daarbij hou je rekening met de AP's van de buren.

Ja en nee. Je wilt inderdaad een grondige site survey, maar InSSIDer geeft je maar de helft van de informatie die je echt nodig hebt.

Wat geeft InSSIDer?
- welke SSID zit op welk kanaal?
- hoe sterk is het signaal daarvan?

Wat ontbreekt:
- wat is de signaal/ruisverhouding (SNR)van elk kanaal?
- hoe druk is een kanaal?

Die laatste twee zijn eigenlijk veel relevanter. Je hebt totaal geen last van een sterk SSID waar geen gebruik van gemaakt wordt, maar meer van een zwak SSID waar veel verkeer overheen gaat. Idem is een sterk signaal van je eigen AP leuk en wel, maar als er veel storing (ruis) op je kanaal zit heb je er alsnog weinig baat bij. Dergelijke ruis kan komen van slecht ontworpen WiFi-hardware of van niet-WiFi signaalbronnen (analoge beveiligingscamera's zjin een plaag, in woonwijken babyfoons in 2.4GHz ook), en die zie je helemaal niet terug in InSSIDer.

Probleem is dat er eigenlijk geen makkelijke manier is om SNR of kanaal utilization te meten met reguliere hard- en software. De makers van InSSIDer, Metageek, verkopen wel spullen die je ervoor kunt gebruiken, hun WiSpy DBx dongle en Channelyzer Pro spectrum analyzer software. Ik heb ze hier liggen, werken fantastisch en laten je een echt goede site survey doen. Helaas kosten ze samen USD 1000. Dat is uiteraard veel teveel voor een klein bedrijfje die dit eenmalig doet. Daarom dat er mensen zijn die site surveys als (betaalde) dienst aanbieden. In jullie geval waarschijnlijk niet nodig, maar als je tegen problemen aanloopt iets om in het achterhoofd te houden.

De vraag is vervolgens of je met de gebrekkige info van alleen InSSIDer beter af bent dan zonder. Dat is waarschijnlijk wel zo, maar je moet dondersgoed bewust zijn van het feit dat je maar halve info hebt en dus dat wat optimaal lijkt dat niet noodzakelijk hoeft te zijn.

Kijk verder of je devices die op het AP aangesloten moeten worden ook de andere security aankunnen.
Anders schop je die van het netwerk af.

Dat zeker. Te meer omdat in de 802.11i (WiFi security) spec staat dat als gebruik gemaakt wordt van WEP of WPA-TKIP er geen gebruik mag worden gemaakt van High Throughput (802.11n) features. Je kastreert met dergelijke apparaten dus de performance van je WiFi-netwerk. Om optimaal te presteren moet je dus WPA(2)-AES en alleen AES gebruiken.

[ Voor 48% gewijzigd door dion_b op 27-06-2013 17:08 ]

[aZuL2001]

Dion_b: ik had mijn antwoord en info een beetje aangepast naar het door mij ingeschatte kennisnivo van TS

[Madrox]

dion_b schreef op donderdag 27 juni 2013 @ 16:25:
[...]

Lijkt me sowieso een begin. Op basis daarvan kun je inzichtelijk krijgen hoe groot de uitdaging is, vervolgens of het verstandig is als je het zelf probeerd danwel dat je gelijk iemand anders inschakelt.

alvast bedankt voor de goed uitleg. Word een stuk duidelijker zo.

Nee, gewoon omdat een WiFi-kanaal (vanaf 802.11g iig) standaard 20MHz breed is, maar de kanalen zitten in de 2.4GHz slechts 5MHz uit elkaar:
[afbeelding]
[afbeelding]

Ja, dat is dan de "technische reden" waar ik over las.

Co-channel interference is gedefinieerd als WiFi interferentie in hezelfde WiFi-kanaal, dus netwerken die op exact hetzelfde kanaal zitten. Tenzij je apparaten samenwerken (en dat doen ze met consumentenhardware simpelweg niet) storen ze elkaar maximaal.

Met apparaten doel je op Babyfoons, Dect Telefoons etc.etc. ?
Bedoel je dan ook dat daar weinig aan te doen is, die co-channel? (behalve dan de accespoint zover mogelijk van mogelijke stoor-apparaten plaatsen)

Je ziet daar trouwens niet twee verschillende AP's, je ziet een Ziggo-modem wiens AP twee SSID's broadcast, eentje voor de klant zelf, de andere voor haar Ziggo WiFispots-dienst. Je ziet twee SSID's, maar ze zitten beide op zelfde AP, zelfde antenne en hebben ook zelfde eigenschappen/instellingen. Voor interferentiebegrippen kun je ze als één netwerk beschouwen.

Ah ja, de Multi SSiD's devices

Co-channel = "hetzelde kanaal"

Denk dat ik het doorheb (zie hierboven bij co-channels)

Waar het vandaan komt is relevant voor layer 8, oftewel de human factor. Als het komt van binnen jullie gebouw kun je er waarschijnlijk wat aan doen, desnoods met escalatie naar management. Komt het van buiten, dan kun je nog steeds iemand anders erop aanspreken, al heb je dan geen machtsmiddelen om hem te dwingen op ander kanaal te zitten. Dat onderscheid is wel zo handig

Duidelijk

WPA en WPA2 zijn eigenlijk hetzelfde - of beter gezegd, WPA2 is niets anders dan verplicht CCMP/AES encryption ondersteunen waar het bij WPA optional is.

Je wilt in ieder geval RSN, oftewel CCMP/AES. Dat heb je zeker bij WPA2, bij WPA moet je kijken of het ondersteund is. Gebruik je in plaats van CCMP/AES TKIP beveiliging, dan ben je nog steeds vulnerable - het is niet zo lek als enkel WEP, maar veel beter is het niet.

Duidelijk. Dacht ergens gelezen te hebben dat WPA/WPA2 ook efficienter werkt en aldus betere prestaties neerzet dan WEP.

1, 6 en 11 overlappen niet. Sterker nog, met OFDM (802.11g of nieuwer) overlappen 1, 5, 9 en 13 niet - zie plaatje hierboven. Als je geen 802.11g kunt met een apparaat, zou ik het zeker vervangen, mede ook omdat je met 802.11b geen WPA doet.

2 en 7 ook niet, toch? Iig, had ergens wat gelezen gisteren dacht ik, van iemand die dat uitlegde, dat het eigenlijk een misvatting is dat 1,6, 11 totaal niet overlappen. Technisch gezien gebeurde dat nml. wel, volgens hem. Maar ook hij adviseerd toch sterk 1,6 en 11. Helaas kan ik zijn "blog" niet meer 1,2,3 vinden.
Vandaar mijn opmerking

Dat is dus een stuk meer dan alleen van WEP naar WPA upgraden.

Want? volgens mij moet de WEP AP omgezet worden naar WPA2 en veel meer niet. Mis ik nu weer iets?

Als je het echt goed wilt doen moet je werken met een controller die clients naadloos van de ene AP naar de ander overzet, maar dat gaat je budget geheid te boven. Quick&dirty is om beide AP's van zelfde SSID en PSK te voorzien, of trouwens voor WPA(2)-Enterprise te gaan en een Radius-server in te richten. Dat is naar de toekomst toe te prefereren, en veel veiliger dan keys uitdelen aan mensen, maar vergt wel enige kennis en tijd. Ik zou het serieus overwegen als je je hier verder in wilt verdiepen, maar eea hangt ook af van de beveiligingseisen. Als jullie niet of nauwelijks gevoelige informatie uitwisselen en het gevaar van ex-werknemers die nog van op de parkeerplaats inloggen en info meepikken klein is, dan is WPA(2)-PSK genoeg.

Veiligheid is vanuit de organisatie hier niet zo'n issue. Het is vooral een netwerk voor hun gasten.
Het gaat idd niet om gevoelige data maar puur persoonlijk genot, maar dan voor zo'n 30+ gasten.

Ja en nee. Je wilt inderdaad een grondige site survey, maar InSSIDer geeft je maar de helft van de informatie die je echt nodig hebt.

Wat geeft InSSIDer?
- welke SSID zit op welk kanaal?
- hoe sterk is het signaal daarvan?

Wat ontbreekt:
- wat is de signaal/ruisverhouding (SNR)van elk kanaal?
- hoe druk is een kanaal?

Die laatste twee zijn eigenlijk veel relevanter. Je hebt totaal geen last van een sterk SSID waar geen gebruik van gemaakt wordt, maar meer van een zwak SSID waar veel verkeer overheen gaat. Idem is een sterk signaal van je eigen AP leuk en wel, maar als er veel storing (ruis) op je kanaal zit heb je er alsnog weinig baat bij. Dergelijke ruis kan komen van slecht ontworpen WiFi-hardware of van niet-WiFi signaalbronnen (analoge beveiligingscamera's zjin een plaag, in woonwijken babyfoons in 2.4GHz ook), en die zie je helemaal niet terug in InSSIDer.

Duidelijk.

Probleem is dat er eigenlijk geen makkelijke manier is om SNR of kanaal utilization te meten met reguliere hard- en software. De makers van InSSIDer, Metageek, verkopen wel spullen die je ervoor kunt gebruiken, hun WiSpy DBx dongle en Channelyzer Pro spectrum analyzer software. Ik heb ze hier liggen, werken fantastisch en laten je een echt goede site survey doen. Helaas kosten ze samen USD 1000. Dat is uiteraard veel teveel voor een klein bedrijfje die dit eenmalig doet. Daarom dat er mensen zijn die site surveys als (betaalde) dienst aanbieden. In jullie geval waarschijnlijk niet nodig, maar als je tegen problemen aanloopt iets om in het achterhoofd te houden.

Als 800 euro al teveel is voor wat aanpassingen en eventueel een extra AP, zal zo'n luxe analyzer zeker teveel zijn

De vraag is vervolgens of je met de gebrekkige info van alleen InSSIDer beter af bent dan zonder. Dat is waarschijnlijk wel zo, maar je moet dondersgoed bewust zijn van het feit dat je maar halve info hebt en dus dat wat optimaal lijkt dat niet noodzakelijk hoeft te zijn.

Het word dus meer een trial en error verhaal, zo te horen.

Dat zeker. Te meer omdat in de 802.11i (WiFi security) spec staat dat als gebruik gemaakt wordt van WEP of WPA-TKIP er geen gebruik mag worden gemaakt van High Throughput (802.11n) features. Je kastreert met dergelijke apparaten dus de performance van je WiFi-netwerk. Om optimaal te presteren moet je dus WPA(2)-AES en alleen AES gebruiken.

AES staat ook hoog op het verlanglijstje, desnoods kopen we een paar nieuwe AP's
Dat gezegd hebbende, is zoiets voldoende of moet er toch iets heel anders komen?
pricewatch: TP-Link TL-WA830RE V2

anders.... bijv; pricewatch: EnGenius EAP350

ps: Morgen krijg ik de hardware te zien, eindelijk.

[dion_b]

Madrox schreef op donderdag 27 juni 2013 @ 23:00:
[...]

alvast bedankt voor de goed uitleg. Word een stuk duidelijker zo.


[...]

Ja, dat is dan de "technische reden" waar ik over las.


[...]

Met apparaten doel je op Babyfoons, Dect Telefoons etc.etc. ?
Bedoel je dan ook dat daar weinig aan te doen is, die co-channel? (behalve dan de accespoint zover mogelijk van mogelijke stoor-apparaten plaatsen)

Co-channel is gedefinieerd als dingen in exact dezelfde kanaal. Exact wat doet er niet toe. In praktijk is 90% van co-channel afkomstig van andere WiFinetwerken, maar die overige 10% (babyfoons, analoge beveiligingscameras) kan erger zijn.

DECT zit in EU niet in de 2.4GHz-band, als het wel interfereert is het US apparatuur wat in EU niet verkocht had mogen worden...

[...]

Ah ja, de Multi SSiD's devices

Yup. Kan marginaal voor verwarring zorgen, verder totaal niet problematisch.

[...]

Denk dat ik het doorheb (zie hierboven bij co-channels)


[...]

Duidelijk


[...]

Duidelijk. Dacht ergens gelezen te hebben dat WPA/WPA2 ook efficienter werkt en aldus betere prestaties neerzet dan WEP.

Het is andersom. CCMP/AES eist een stuk meer van de hardware dan WEP of TKIP, maar om interoperability te garanderen moeten alle snelheidsfeatures uitgezet worden zodra WEP of TKIP gebruikt wordt. CCMP/AES is eigenlijk trager maar in praktijk sneller zodra je hardware het ondersteunt.

[...]

2 en 7 ook niet, toch? Iig, had ergens wat gelezen gisteren dacht ik, van iemand die dat uitlegde, dat het eigenlijk een misvatting is dat 1,6, 11 totaal niet overlappen. Technisch gezien gebeurde dat nml. wel, volgens hem. Maar ook hij adviseerd toch sterk 1,6 en 11. Helaas kan ik zijn "blog" niet meer 1,2,3 vinden.
Vandaar mijn opmerking

Klinkt alsof hier ergens klok-klepel in het spel is

Oude kanalen met DSSS-modulatie waren niet 20 maar 22MHz breed waardoor ze daadwerkelijk drie naar boven en beneden stoorden. Maar sinds 802.11g gebruiken we (hopelijk...) allemaal OFDM, wat veel minder naar zijkanten stoort.

Veel van de resources die je online ziet refereren nog naar de DSSS-situatie ipv OFDM. Je wilt sowieso altijd OFDM, wat je bereikt door 802.11b devices van je netwerk uit te sluiten (g/n-only kiezen in GUI is normaal de manier om dat te doen).

[...]

Want? volgens mij moet de WEP AP omgezet worden naar WPA2 en veel meer niet. Mis ik nu weer iets?

Als dat kan. Maar je hebt het nu ook over performance. Alleen WEP naar WPA2 omzetten doet daar niets aan.

[...]

Veiligheid is vanuit de organisatie hier niet zo'n issue. Het is vooral een netwerk voor hun gasten.
Het gaat idd niet om gevoelige data maar puur persoonlijk genot, maar dan voor zo'n 30+ gasten.

30+ tegelijkertijd online?

Dat is best veel. Eén WiFi-cel kan in de regel echt max 30 devices aan, maar dan moet je echt alles goed ingesteld hebben. Met twee AP's kun je meer doen, maar dan moeten de AP's samenwerken met controller.

Vanaf 25 gelijktijdig aangesloten devices zou ik een systeem met een of andere controller (al dan niet in de cloud) aanraden. Dat is ook ongeveer het moment waarop consumentenhardware af begint te vallen.

[...]

Als 800 euro al teveel is voor wat aanpassingen en eventueel een extra AP, zal zo'n luxe analyzer zeker teveel zijn

Yup, dat is echt iets voor als je er professioneel mee bezig bent.

Overigens is er software (voor Linux, in alpha-developmentfase ) wat misschien uit normale NICs dit soort info kan trekken. Kreeg laatst op training tip ernaar te kijken. Allicht dat er hoop gloort, al vermoed ik dat we paar jaar weg zijn van dit in een gebruiksvriendelijke app die ook onder Windows en MacOS draait beschikbaar te hebben.

[...]

Het word dus meer een trial en error verhaal, zo te horen.

Dat is het sowieso met WiFi, zelfs met beste site surveys en plannen kunnen er dingen gebeuren waar je geen rekening mee gehouden hebt.

[...]

AES staat ook hoog op het verlanglijstje, desnoods kopen we een paar nieuwe AP's

Als je zeker wilt zijn van AES moet je kijken naar WPA2 support. Alle nieuwe hardware doet dat sowieso, vraag is enkel of wat er nu hangt dat wel of niet doet.

Dat gezegd hebbende, is zoiets voldoende of moet er toch iets heel anders komen?
pricewatch: TP-Link TL-WA830RE V2

anders.... bijv; pricewatch: EnGenius EAP350

ps: Morgen krijg ik de hardware te zien, eindelijk.

Of iets als dit voldoende is hangt af van eisen. 30 mensen tegelijk vind ik zoals gezegd veel.

Beide apparaten hier zijn nogal low-end. Ik zou anno 2013 niets meer kopen dat niet simultaneous dualband (dus 2.4GHz + 5GHz) aankan. De TP-Link is consumentenhardware, goedkoop maar niet slecht. De Engenius is gericht op kleinzakelijk, maar is duur voor wat het biedt.

Vraag is hoeveel wil je zelf hobbyen en hoeveeel wil je kant en klaar hebben?

- Als je zelf wilt hobbyen zou ik zeggen neem een willekeurige simultaneous dualband routertje en zet er DD-WRT of OpenWRT op en configureer als AP.
- Wil je kant-en-klaar kopen en valt het mee met gelijktijdige clients, dan zou je naar zoiets kunnen kijken:
pricewatch: Netgear WN802T
pricewatch: D-Link DAP-1522
- Moet je echt >30 mensen tegelijkertijd van goed betrouwbaar signaal voorzien, dan zou ik een managed network overwegen. Kost wat meer, maar nog altijd binnen je budget. Is professioneler, makkelijker te onderhouden en er is support beschikbaar als iets mis gaat. Kijk dan bijv hier: http://www.open-mesh.com/
(of voor EUR distributeur hier: http://www.openmesh-uk.com/), ga uit van EUR 250 voor twee APs incl voeding en toegang tot controller. Hun business model is gratis gebruik controller-in-cloud bij aankoop van hun APs. Er zijn andere bedrijven die het omgekeerd doen, verkopen geen APs maar vragen betaald toegang tot controller. Iig zou ik een van twee aanpakken aaraden boven zelf controller in elkaar klussen en draaien, dat loont pas bij veel grotere deployments.

[Madrox]

Misschien zal ongeveer de helft ervan gebruik maken, maar het schommelt wel. Het zal het ene moment meer zijn en het andere moment minder.

We hebben idd nog weleens last van dips, waar de snelheid in elkaar stort. Met de WPA2 AP haal je zo'n 1000Kb per sec en die is vrij stabiel, de WEP AP komt niet verder dan 500kb, maar zit er vaak onder (300kb gemiddeld) en regelmatig instort momenten. Begrijp uit een kort gesprek hier dat de tweede AP (met wep) als range extender is geinstalleerd. Dat betekent denk ik meteen al een halvering van de snelheid, tov het WPA2 netwerk.

Op de tweede etage kan niemand WPA2 ontvangen, die zijn nu de klos.

Iig bedankt voor de prima uitleg, daar kan ik echt wat mee

[ Voor 5% gewijzigd door Madrox op 28-06-2013 16:38 ]

[aZuL2001]

Kijk anders ook eens naar UniFi.
Ziet er veelbelovend uit, en zijn al een aantal mensen op GoT enthousiast over.
Heb er zelf nog geen ervaring mee.

[ Voor 12% gewijzigd door aZuL2001 op 28-06-2013 17:20 ]

[dion_b]

Madrox schreef op vrijdag 28 juni 2013 @ 16:36:
Misschien zal ongeveer de helft ervan gebruik maken, maar het schommelt wel. Het zal het ene moment meer zijn en het andere moment minder.

We hebben idd nog weleens last van dips, waar de snelheid in elkaar stort. Met de WPA2 AP haal je zo'n 1000Kb per sec en die is vrij stabiel, de WEP AP komt niet verder dan 500kb, maar zit er vaak onder (300kb gemiddeld) en regelmatig instort momenten. Begrijp uit een kort gesprek hier dat de tweede AP (met wep) als range extender is geinstalleerd. Dat betekent denk ik meteen al een halvering van de snelheid, tov het WPA2 netwerk.

Op de tweede etage kan niemand WPA2 ontvangen, die zijn nu de klos.

Iig bedankt voor de prima uitleg, daar kan ik echt wat mee

Vraag is wat ze met "range extender" bedoelen, dat is een veelgebruikte maar technisch niet gestandaardiseerde marketingterm. Als het een repeater is, dus iets wat draadloos signaal van de AP ontvangt en dan weer uitzendt, dan verklaart dat de performancehit, nog veel meer dan WEP/WPA. Sterker nog, het zou kunnen dat het een prima stuk modern hardware is, maar omdat WPA icm WDS repeating niet ondersteund is, moet het op WEP terugvallen.

In dat geval: draad trekken naar dat ding, op WPA zetten en win

aZuL2001 schreef op vrijdag 28 juni 2013 @ 17:20:
Kijk anders ook eens naar UniFi.
Ziet er veelbelovend uit, en zijn al een aantal mensen op GoT enthousiast over.
Heb er zelf nog geen ervaring mee.

Zelf nooit mee gespeeld, wel van gehoord. Zou idd leuk spul zijn, o.a. omdat iedere client een eigen virtuele SSID zou krijgen waardoor clients niets merken van handover tussen APs.

Zou stiekem graag met aantal van deze dingen spelen, maar gezien wij nogal een Cisco en Alcatel shop zijn zie ik dat niet snel gebeuren, hebben hemel en aarde moeten bewegen om Ruckus in overweging mee te krijgen...

[Anoniem: 203842]

Ik ga twee van die dingen in de zomer in mijn buitenhuisje installeren. Daarna een grondige test doen, om te zoen of hij echt doet wat hij hoort te doen.

Tijdens mijn Mikrotik training (oh jee..... ik heb het M-woord genoemd, Koffie kan nu boos worden... ), heb ik het met de trainer er ook over gehad. Hij zei toen dat het roamen niet echt denderend werkt, zonder controller.
Met controller gaat het goed, maar daar hangt een veel groter prijskaartje aan.


Haik

[dion_b]

Zonder controller ben je afhankelijk van client voor goed roamen, en ik moet de eerste client implementatie nog tegenkomen die dat goed doet...

[Madrox]

Idd, de collega hier sprak over een repeater. Hoop niet dat dat zo is, want het is een mooi apparaat; nml. de Draytek Vigor AP 800. De router bij de gateway naar buiten, kpn-lijn beprijp ik, is ook een Draytek; de Vigor 2910g. Die lijkt me net wat minder, want die ondersteunt de "n" niet:
http://www.smallnetbuilde...or-2910g-reviewed?start=4

Er schijnen nog 1 of twee AP's te zijn, maar daar hadden we geen tijd voor
Hopelijk kom ik a.s. maandag meer te weten, want ik weet nu nog steeds niet welk apparaat op WEP draait.

[dion_b]

Klinkt redelijk als best-case scenario voor jou.

802.11g is niet ideaal, maar WPA hoort gewoon ondersteund te zijn. Ik vermoed dat de repeater op WEP staat omdat repeating met WPA(2) niet in standaard omschreven is (sommige apparaten doen het toch, met gemengde resultaten).

Actieplan:
1) trek UTP van router naar de AP800. Stel dat ding in als AP, niet als repeater. Scheelt je in een klap al minimaal 50% performance.
2) zoek idd uit wat op WEP staat. Als mijn vermoeden klopt kun je de AP800 zodra je het bedraad aangesloten hebt geljik op WPA2 instellen incl zelfde SSID als de 2910g
3) inventariseer rest van de hardware. Als dat zelfde AP800 blijkt te zijn twee keuzes:
3a) schakel WiFi uit op de oude router, zet een AP800 ernaast en geniet overal van 802.11n
3b) kijk waar nu slechtste bereik is, trek daar UTP heen en hang AP800 daar op met wederom zelfde SSID en key en WPA2.

Mogelijk kun je zowel 3a als 3b doen als je er twee hebt

Naar de toekomst toe zou ik trouwens aanraden:
- Draytek is overpriced en presteert ondermaats. Tenzij het als onderdeel van totaaloplossing aangeboden wordt, overwegen om voor beter presterende en beter gesupporte hardware te gaan.
- Alles wat je nu hebt hangen is 2.4GHz-only. Ga ervan uit dat tussen nu en 5 jaar de 2.4GHz door totale overbelasting niet meer bruikbaar zal zijn en maak een plan voor migratie naar 5GHz client devices en simultaneous dualband AP's. Hoeft als het nu nog goed werkt allerminst van vandaag op morgen, maar zorg dat budget ervoor in long-range plans opgenomen wordt. We hebben het trouwens over peanuts, je hebt prima enterprise-grade hardware die het aankan voor EUR 100 per AP.

[Anoniem: 203842]

@dion: Welke merken of types van AP's kan je voor 100 euro kopen? Ruckus? Ubuquitu?

[Madrox]

Dank je , Dion B. Denk dat ik er wel uitkom met wat er staat. En de hulp hier natuurlijk

DHCP zet je ook overal uit, toch? (behalve de router dan).
En de kanalen, zet je die toch allemaal op 6 bijv. en niet op 1 en 11 ook?
Hoor daar nml. nogal wisselende verhalen over, de een zegt alles op hetzelfde, de andere weer niet.
Sommige hardware boeren zeggen btw. zelf dat alle AP's op hetzelfde kanaal moeten. Vandaar nog even deze vraag.

Geld dat dan ook voor de router, op hetzelfde kanaal zetten ?

Dan ben ik er wel ongeveel uit. De utp sluit ik iig wel even aan, wel zo makkelijk om in de config te komen

[dion_b]

Anoniem: 203842 schreef op zaterdag 29 juni 2013 @ 09:45:
@dion: Welke merken of types van AP's kan je voor 100 euro kopen? Ruckus? Ubuquitu?

Als je in Pricewatch gaat kijken bij Access Points en filtert op 1Gbps Ethernet en 802.11a krijg je overzicht van dualband gevallen met Gb. Als je onder de EUR 100 gaat zitten krijg je niet bepaald Ruckus of Ubiquiti, maar wel degelijke Netgear en D-Link gevallen. Vooral die D-Link vind ik een heel aardige low-end device aangezien het een Gb switch ingebouwd heeft. Je kunt het inzetten overal waar je switches zou moeten plaatsen. Ideaal, eentje per kantoor ofzo

Let wel dat dergelijke dingen alleen voor low-density geschikt zijn, als je echt tientallen mensen in een ruimte wilt bedienen moet je stapje omhoog. Ik zou dan sowieso voor managed network gaan, en dan zit je wel richting Ubiquiti of Openmesh ofzo.

Madrox schreef op zaterdag 29 juni 2013 @ 10:48:
Dank je , Dion B. Denk dat ik er wel uitkom met wat er staat. En de hulp hier natuurlijk

DHCP zet je ook overal uit, toch? (behalve de router dan).
En de kanalen, zet je die toch allemaal op 6 bijv. en niet op 1 en 11 ook?
Hoor daar nml. nogal wisselende verhalen over, de een zegt alles op hetzelfde, de andere weer niet.
Sommige hardware boeren zeggen btw. zelf dat alle AP's op hetzelfde kanaal moeten. Vandaar nog even deze vraag.

Volgens mij haalt iemand AP en repeater voorbij. Repeaters moeten per definitie in zelfde kanaal, AP's juist niet.

Zoals ik ergens hierboven al aangaf, je kunt 1, 5, 9 en 13 gebruiken zonder te overlappen. Zodra je meer dan vier AP's hebt moet je wat beter na gaan denken over wat waar moet, maar met max 4 is het gewoon kiezen uit die kanalen.

Geld dat dan ook voor de router, op hetzelfde kanaal zetten ?

Nee, router is in dezen AP, dus ook op ander kanaal.

Dan ben ik er wel ongeveel uit. De utp sluit ik iig wel even aan, wel zo makkelijk om in de config te komen

Dat sowieso

[Madrox]

Oke, op een ander kanaal. Zie dat er verschillende AP-Modes zijn. Welke is het beste?

AP
This mode allows wireless clients to connect to access point and
exchange data with the devices connected to the wired network.
Station-Infrastructure Enable the Ethernet device such as TV and Game player
connected to the VigorAP 800 to an access point.

AP Bridge-Point to Point
This mode can establish wireless connection with another
VigorAP 800 using the same mode, and link the wired network
which these two VigorAP 800s connected together. Only one
access point can be connected in this mode.

AP Bridge-Point to Multi-Point
This mode can establish wireless connection with other VigorAP
800s using the same mode, and link the wired network which
these VigorAP 800s connected together. Up to 4 access points
can be connected in this mode.

AP Bridge-WDS
This mode is similar to AP Bridge to Multi-Point, but access
point is not work in bridge-dedicated mode, and will be able to
accept wireless clients while the access point is working as a
wireless bridge.

[dion_b]

Madrox schreef op zaterdag 29 juni 2013 @ 23:00:
Oke, op een ander kanaal. Zie dat er verschillende AP-Modes zijn. Welke is het beste?

AP
This mode allows wireless clients to connect to access point and
exchange data with the devices connected to the wired network.
Station-Infrastructure Enable the Ethernet device such as TV and Game player
connected to the VigorAP 800 to an access point.

AP Bridge-Point to Point
This mode can establish wireless connection with another
VigorAP 800 using the same mode, and link the wired network
which these two VigorAP 800s connected together. Only one
access point can be connected in this mode.

AP Bridge-Point to Multi-Point
This mode can establish wireless connection with other VigorAP
800s using the same mode, and link the wired network which
these VigorAP 800s connected together. Up to 4 access points
can be connected in this mode.

AP Bridge-WDS
This mode is similar to AP Bridge to Multi-Point, but access
point is not work in bridge-dedicated mode, and will be able to
accept wireless clients while the access point is working as a
wireless bridge.

Meeste merken gaan aan de haal met "Wireless Extender" als technisch nietszeggende term waar van alles en nogwat achter kan hangen. Dat is al erg genoeg, maar "Extender" is sowieso geen term die in de 802.11 standaard voorkomt.

Draytek vindt het blijkbaar nodig om op gelijke wijze de betekenis van de term "Access Point" te verkrachten, terwijl dat wel degelijk een technische term is met heldere definitie...

Eerste setting is AP, de rest niet.

2e: wireless bridge. Verbindt dus twee bedrade netweken met draadloos segment.
3e: wireless repeater zonder WDS maar met mesh-functie
4e: wireless repeater met WDS

Geen wonder dat een leek de bomen door het bos niet meer ziet als de meeste bomen door de meeste fabrikenten nietszeggende of (deels) foute namen opgeplakt hebben gekregen