Bedraad bestaand bedrijfsnetwerk met WIFI uitrusten

[Verwijderd]

Stel u voor, een middelgroot bedrijfspand met maximaal 30 personen continu binnen. 12 bedrade desktop pc's en op een maximale bezetting 30 notebooks, 30 telefoons en 30 ipads. Verdeeld over 2 verdiepingen, 2 gangen van 25 meter lang met aan weerszijden kantoren.

Momenteel sluit iedereen zijn laptop met kabel aan op het netwerk. Bestaande uit een oude Novell server (volgend jaar vervangen, regelt ook DHCP), een 6 tal netwerkprinters, hardware firewall, 3 24prt switches. Het is de bedoeling alle laptops, ipads en telefoons van wifi te voorzien. Exchange email en VPN worden vanuit ons hoofdkantoor in Duitsland geregeld

Ik had zelf gedacht dit netwerk te voorzien van 3 access points, 2 op de bovenverdieping (waar de meeste mensen werken) voor en achter, 1 beneden in het midden van de gang. Mijn voorlopige keuze is gevallen op 3 D-link DAP-2590 AP's vanwege de ingebouwde RADIUS server t.b.v. WPA2-enterprise beveiliging. Lijkt mij optimaal om niet steeds een wifi key te hoeven veranderen. Éen SSID op channel 1, 6 en 11. Eventueel een VLAN voor guest login om de server af te schermen. . 300N is snel zat, er gaan geen grote bestanden overheen en de internetverbinding zelf is de bottleneck.

Wat zijn jullie ideeën en tips?

[Verwijderd]

Wij gebruiken voor de authenticatie van onze laptops certificaten van onze eigen CA. Die hebben dan dus volledige toegang, net als via een netwerkkabeltje. Eigen devices van het personeel verbinden met dezelfde SSID, maar dan met user-authenticatie op de AD. Dan hebben ze alleen internet en geen toegang tot het LAN. Werkt prachtig. Onze RADIUS server is gewoon een NPS op Windows Server.

Voor gasten hebben we een 2e SSID met een captive portal erachter. Dat SSID geeft toegang tot een apart VLAN met een ADSL lijn eraan.

Je zou eens kunnen kijken naar Aerohive. Dat is misschien iets duurder, maar wel wat meer enterprise spul. Controllerless maar wel volledig gemanaged.

[ Voor 35% gewijzigd door Verwijderd op 26-05-2014 21:00 ]

[Verwijderd]

Ik heb inderdaad Aerohive bekeken en dat ziet er zeker goed uit. Echter, de bestaande infrastructuur is 15 jaar oud en de laatste jaren met elastiekjes en plakband aan de gang gehouden Echt drama.

Eind dit jaar wordt alles gestripped en volledig opnieuw opgebouwd met 100% nieuwe hardware. Hoe we dat precies gaan invullen is nog niet duidelijk. Het idee is nu om WIFI relatief cheap maar wel goed en vooral snel en veilig te implementeren. De nu aangekochte APs zullen eventueel worden herbruikt in de nieuwe situatie maar niet persé.Vandaar dat we nu niet voor een oplossing als Aerohive zullen kiezen.

Even een spoiler, ik ben totaal niet opgeleid binnen ICT (ben chemicus) maar door hobbymatig opgedane ervaring IT support in de schoenen geschoven heb gekregen. Vandaar de vraag:

Wat bedoel je met "eigen CA" en hoe werkt authenticatie via certificaten?

[Gomez12]

Verwijderd schreef op maandag 26 mei 2014 @ 22:10:
Het idee is nu om WIFI relatief cheap maar wel goed en vooral snel en veilig te implementeren.

Ik zie staan :
- Relatief cheap
- Goed
- Snel
- Veilig
En dan geldt als algemene vuistregel, kies er 2 en realiseer je dat de andere 2 niet kunnen in die combinatie.

Zeker snel is een relatief begrip als je met 3 accespoints wilt gaan werken, wifi is een shared medium dus als 5 collega's een 1Gb bestand opentrekken dan merkt iedereen dat, in tegenstelling tot bedraad (behalve als je geen switch maar nog hubs hebt staan (15 jaar oude hw toch))

[Verwijderd]

Aanrader is Ubiquiti AP's. Heel stabiel, goedkoop en makkelijk op te zetten en gratis controller software die op minimale hardware kan draaien. Meer info: \[Ervaringen/discussie] Ubiquiti-apparatuur

[DukeBox]

Lancom heeft ook complete onsite oplossingen met interne radius (proxy) voor wpa2-enterprise en captive portal zonder maandelijkse abbo's e.d. http://www.lancom-systems...om-wlc-4006plus-overview/

[ Voor 43% gewijzigd door DukeBox op 26-05-2014 23:16 ]

[Verwijderd]

@Gomez12, snel refereerde meer naar "snel te implementeren"

Aanvullende vraag. Stel ik neem 3 dezelfde AP's met ingebouwde RADIUS server. Dan dien ik er toch maar in één de RADIUS ook daadwerkelijk te activeren en de usertabel aan te maken? De rest instellen op WPA2Enterprise dezelfde SSID, gescheiden kanalen en dan werkt het, ongeacht met welk AP men op dat moment is geconnecteerd?

[Oogje]

Waarom ook de laptops op wireless? Stel dat iedereen bij elkaar zit, dan zitten er max 90 devices op 1 AP?
En wat betreft het aantal accesspoints, dat ligt compleet aan de dekking die je kan realiseren. Ik heb kleinere panden gezien die toch wat meer nodig hadden

[Verwijderd]

nee, dat haal je niet in de kantoorruimten. Theoretisch maximum zou ongeveer 3 devices per bureau zijn dus 30 per access point . Blijft afwachten natuurlijk maar uitbreiden kan altijd. Plaatsing is de key denk ik.

[Verwijderd]

Even een schopje.. Inmiddels heb ik de drie D-link dap-2590's binnen. Het eerste AP is geconfigureerd en loopt als een trein. De interne RADIUS server is gebruikt en ik heb accounts gemaakt voor alle personeelsleden. Was even puzzelen om Wpa2-enterprise werkend te krijgen onder win7 maar so far so good, het werkt perfect. Het tweede AP is geconfigureerd met hetzelfde SSID en uiteraard hier de interne radius server uitgeschakeld. Het radius serveradres dat ik in AP2 heb ingegeven bij de wpa2-enterprise settings is het adres van AP1. Nu wordt er gevraagd om een radius server shared secret. Ik snap de functie hier wel van, maar niet waar ik dat in de radius server op AP1 moet instellen?! Als ik iets willekeurigs invul lijken de clients niet met AP2 te willen verbinden.

De AP array heb ik nog niet gebruikt, zou dat het kunnen oplossen?

Iemand enig idee?

[_-= Erikje =-_]

vraag is of de radius server van AP1 uberhaubt vanaf buitenaf te gebruiken is (dus door AP2)

[DukeBox]

Dat kan niet bij de dap-2590, zover ik weet geen enkele d(-link)ap.
Het makkelijkst is om een externe radius server te gebruiken, dit kan uiteraard ook IAS zijn.

[ Voor 41% gewijzigd door DukeBox op 18-06-2014 09:40 ]

[Verwijderd]

DukeBox schreef op woensdag 18 juni 2014 @ 09:39:
Dat kan niet bij de dap-2590, zover ik weet geen enkele d(-link)ap.
Het makkelijkst is om een externe radius server te gebruiken, dit kan uiteraard ook IAS zijn.

Volgens mij is IAS de RADIUS server uit Server 2k3 en heet hij in 2k8 en hoger NPS (Network Policy Server). En om nu nog 2k3 servers uit te gaan rollen.....

[Verwijderd]

Het blijkt inderdaad niet te kunnen, de radius server in ap1 is door 2 en 3 niet te bereiken. Door echter de radius server van ap 1 en 2 ook te gebruiken en de userlist te kopieren werkt het wel prima. Ze gebruiken op die manier allemaal hun eigen radiusserver. De verbinding gaat op die manier wel rimpelloos over van het ene naar het andere AP, alsof je wpa2-psk zou gebruiken.

Nadeel is dat die userlists van de radius niet meegekopieerd worden door de master in het ap array zodat ik ze in elke ap moet updaten. So be it. Dit is toch een tijdelijke oplossing.

[DukeBox]

Verwijderd schreef op woensdag 18 juni 2014 @ 19:06:
De verbinding gaat op die manier wel rimpelloos over van het ene naar het andere AP, alsof je wpa2-psk zou gebruiken.

Dat lijkt me stug.. er is geen optie om (self signed) certificaten (én de private key) te exporteren dus kun je deze nergens gelijk krijgen. Er zal dus altijd een re-key zijn voor 802.1x tenzij je via radius proxy kan werken.

[ Voor 5% gewijzigd door DukeBox op 18-06-2014 20:50 ]

[Verwijderd]

Ik ben geen expert op dit gebied, maar het werkt wel. Ik heb een verbinding met onze SAP server open gezet die normaal bij een connection drop direct de verbinding verbreekt. Met een wifi sniffer gechecked met welk ap ik was verbonden en rondgelopen tot ik de ap's van de een naar de ander zag switchen. Aantal keer herhaald maar de verbinding bleef netjes open! Ook met een grote ftp download ging dit goed.