Openbaar wifi, maar niet voor iedereen. Hoe te beveiligen?

[Dexs]

Dag forumleden

Mijn ouders hebben een caravan op een camping waar zij in de zomer vertoeven. Sinds dit jaar heeft de campingbaas zowaar een WiFi netwerk geïnstalleerd. De hardware die daarvoor is aangeschaft is goed, ik weet de merken niet maar het WiFi ontvangst is gigantisch. Zo groot dat omliggende campings het signaal ook zonder problemen kunnen ontvangen en laat daar nou net het probleem zitten.

Het WiFi netwerk is beveiligd met een password om te voorkomen dat niet-campinggasten toegang hebben tot het netwerk. Echter komen de personen van de omliggende campings na een passwordreset op bezoek om het nieuwe password te achterhalen. Door het gigantische bereik zitten er 's avonds over de 300 mensen actief op het WiFi netwerk en dat trekt het netwerk niet. Na een reset gaat het een paar dagen goed, maar al snel is het geen doen meer. De campingbaas gaat natuurlijk niet extra hardware aanschaffen voor omliggende campings, dus zoek ik een goede oplossing om niet-campinggasten blijvend te weren.

Hebben jullie een idee hoe dit opgelost kan worden? De beheerder heeft nauwelijks kennis van IT dus mac adressen whitelisten is niet handig. Het bereik verkleinen is een optie, maar dat zou de laatste moeten zijn naar mijn mening. Tijdelijke code's is ook een optie, maar beperkt de vaste gebruikers en daar is geen toepassing voor beschikbaar.

De totale groep 'toegestane' gebruikers is redelijk constant. Wekelijks zijn er +/- 10 tijdelijke gasten de rest heeft een vaste plek.

[migchiell]

Wie vertelt die gasten van omliggende campings steeds dat password dan?

[Switchie]

Echter komen de personen van de omliggende campings na een passwordreset op bezoek om het nieuwe password te achterhalen.

Grootste issue lijkt mij hier te zitten. Je kunt allerhande technische trucs uithalen, de zwakste schakel blijft de menselijke factor.
Hoe kan het dat 'buitenstaanders' zo even het wachtwoord op kunnen halen, en beter nog, hoe kun je dit in de toekomst voorkomen?

[martijnm71]

Is het te simpel gedacht dat mensen moeten bewijzen dat ze op die camping staan eer ze het nieuwe paswoord krijgen?

[Detmer]

Kan er geen gebruik worden gemaakt van tijdelijke username en password dingen? Dat een campinggast een username en password krijgt om in te loggen?

[Rolfie]

capitive portal, en zorgen dat er maar 1 of 2 devices verbinding kunnen maken per code?

pfsense of mikrotik kunnen dit goed.

[Dexs]

Hoe deze mensen aan het password komen blijft een raadsel, en dat blijkt niet op te lossen te zijn. Ik heb ook voorgesteld persoonsgebonden passwords uit te delen welke geblokkeerd kunnen worden bij te veel gebruik, maar ik heb geen idee of dat in te richten is met de beschikbare hardware.

[spokje]

Print gewoon elke dag een nieuw wachtwoord uit? Dat kost echt teveel moeite

[MdO82]

Dan zou je op MAC-adressen kunnen gaan werken, maar dan moet iedereen van de camping dat van elk device doorgeven.

En de camping moet een administratie bij gaan houden.
De vraag is of ze dat willen

Misschien een verlooptijd instellen op de verbindingen ?

Of zoals je regelmatig bij vakantieparken ziet dat ze per bungalow 1 of 2 codes uitgeven en dat er dan een paar devices verbinding mee kunnen maken.

Als het een netwerk is waar maar 1 wachtwoord op zit dan ontkom je er niet aan dat niet-gasten meeliften

[ Voor 32% gewijzigd door MdO82 op 29-08-2016 21:32 ]

[Dexs]

MdO82 schreef op maandag 29 augustus 2016 @ 21:28:
Dan zou je op MAC-adressen kunnen gaan werken, maar dan moet iedereen van de camping dat van elk device doorgeven.

En de camping moet een administratie bij gaan houden.
De vraag is of ze dat willen

Misschien een verlooptijd instellen op de verbindingen ?

Wat haalt een verlooptijd uit? Als ze het password weten verbinden ze gewoon weer opnieuw.

MAC adressen whitelisten lijkt mij nog steeds de beste oplossing, maar weet niet of dit makkelijk (it-leek proof) kan worden ingeregeld.

[Fr33z]

ik zou serieus kijken naar het beperkem van het zendvermogen. Is vaak softwarematig aan te passen en misschien is het daarmee een stuk minder aantrekkelijk voor mensen op de andere campings.

[MdO82]

Dexs schreef op maandag 29 augustus 2016 @ 21:32:
[...]


Wat haalt een verlooptijd uit? Als ze het password weten verbinden ze gewoon weer opnieuw.

True, maar je hebt minder het probleem dat je netwerk vol raakt.

[begintmeta]

Rolfie schreef op maandag 29 augustus 2016 @ 21:23:
capitive portal, en zorgen dat er maar 1 of 2 devices verbinding kunnen maken per code?
...

Zou mij ook de beste oplossing lijken inderdaad

[RGAT]

Of gewoon de apparatuur goed instellen zodat ze niet overdreven sterk uitzenden, dat is namelijk het eerste wat je met (wifi/alles) moet doen: het goed instellen
MAC address whitelisting is waarschijnlijk niet de beste optie hier aangezien er dagelijks allerlei apparaten bij komen en weg gaan, los van het gedoe dat je niet bij elk apparaat zomaar het juiste MAC adres kan uitlezen zonder extra apps te downloaden.... Hebben laptops enz. meerdere NIC's en dus ook meerdere MACs en wordt dat gewoon een hoop gepruts...
Denk dat je het beste per campeerplek een wifi code kan uitdelen, instellen dat er 2 of 3 apparaten per code mogen verbinden, als iemand die wachtwoorden deelt gaan er uiteindelijk mensen klagen en kan je gelijk zien wie je moet leren wat het idee achter wachtwoorden is

Verder wel handig te vermelden wat voor apparatuur er beschikbaar is.

[Switchie]

Nog even los van het vraagstuk, vind ik dit wel enigszins opmerkelijk;

De beheerder heeft nauwelijks kennis van IT dus mac adressen whitelisten is niet handig.

Waarom laat hij dit soort zaken niet uitbesteden aan mensen die er wel verstand van hebben? Ga er vanuit dat hij de overige infrastructurele zaken ook niet allemaal eigenhandig aanpakt?
Wat doet de beste campingbeheerder indien er een storing is?
Genoeg mensen die laptop e.d. Meenemen om ook op de camping aan het werk te kunnen en het niet zullen kunnen waarderen als ze zonder wifi zitten omdat er niemand is met de kennis om het te fixen.

[ Voor 9% gewijzigd door Switchie op 29-08-2016 21:37 ]

[Boudewijn]

Of richtantennes, dan heb je op je eigen camping prima bereik... maar daar buiten een stuk minder.
Anders inderdaad captive portals of wifi afzwakken.

Vwb captive portal: op zich is het niet erg als je wifi hardware dit niet ondersteunt. Als je gewoon een router ertussen zet die dit regelt hoeft dat ook niet.

[Dexs]

Het sterke zendvermogen is juist ideaal. Het is een watersportcamping dus mensen die met hun bootje voor anker verder op het meer liggen hebben ook nog prima ontvangst. Uiteraard geen must maar prima dat het nu werkt.

Het is niet professioneel ingericht omdat de camping omdat dat absoluut niet de intentie is van die mensen. De gemeente heeft kosteloos een netwerkverbinding aangeboden aan alle campings, alleen is die van mijn ouders de enige die hier op in is gegaan.

Richtantennes is prima, maar vraagt weer om een investering. Als het niet mogelijk is met de spullen die er staan is het dagelijks resetten van het password misschien de beste oplossing.
Ik zal eens vragen welke hardware er staat, misschien dat daar nog mogelijkheden in zitten.

[SMSfreakie]

Boudewijn schreef op maandag 29 augustus 2016 @ 21:37:
Of richtantennes, dan heb je op je eigen camping prima bereik... maar daar buiten een stuk minder.
Anders inderdaad captive portals of wifi afzwakken.

Vwb captive portal: op zich is het niet erg als je wifi hardware dit niet ondersteunt. Als je gewoon een router ertussen zet die dit regelt hoeft dat ook niet.

zo draait t op de camping waar ik ongeveer elke zomer kom ook.. portal er op.. en je moet helaas een code kopen.. maar goed die kan je natuurlijk ook gewoon bij de kampeerplaats verstrekken.. voor 2 of 3 devices.

verder zou ik als ik een camping had ( of een ander hotspot moest beheren ) een 2 deling maken.. gratis voor iedereen met een beperkte snelheid bv 128/32kbits en voor mensen die sneller willen gewoon voor een bescheiden bedrag een snellere link bieden...

[dennisdennis12]

Of als het ingerichte netwerk daar mogelijkheden voor biedt. Dan kun je elke bezoeker ook een code geven die geschikt is voor bijvoorbeeld 3 apparaten, en die alleen geldig is van aankomstdag t/m vertrekdag.

[Dexs]

dennisdennis12 schreef op maandag 29 augustus 2016 @ 21:42:
Of als het ingerichte netwerk daar mogelijkheden voor biedt. Dan kun je elke bezoeker ook een code geven die geschikt is voor bijvoorbeeld 3 apparaten, en die alleen geldig is van aankomstdag t/m vertrekdag.

Dat werkt juist niet, het overgrote deel van de bezoekers heeft een vaste staplaats en komen het hele jaar door. Je zou verwachten dat ze daarom de code niet doorgeven aan anderen, maar je weet hoe dat gaat.

[RGAT]

Dexs schreef op maandag 29 augustus 2016 @ 21:45:
[...]


Dat werkt juist niet, het overgrote deel van de bezoekers heeft een vaste staplaats en komen het hele jaar door. Je zou verwachten dat ze daarom de code niet doorgeven aan anderen, maar je weet hoe dat gaat.

Daarom geef je ze 1 code voor hun standplaats die werkt voor 2 of 3 apparaten, als ze die code uitdelen kunnen ze zelf niet meer verbinden

[Frogmen]

Simpelste methode is denk ik een radius server opzetten linux servertje met ldap omgeving en radius bijna alle apparatuur kan daarmee praten. In de logs kan je misbruik zien.

[Boudewijn]

Dexs schreef op maandag 29 augustus 2016 @ 21:41:
Het sterke zendvermogen is juist ideaal. Het is een watersportcamping dus mensen die met hun bootje voor anker verder op het meer liggen hebben ook nog prima ontvangst. Uiteraard geen must maar prima dat het nu werkt.

Het is niet professioneel ingericht omdat de camping omdat dat absoluut niet de intentie is van die mensen. De gemeente heeft kosteloos een netwerkverbinding aangeboden aan alle campings, alleen is die van mijn ouders de enige die hier op in is gegaan.

Richtantennes is prima, maar vraagt weer om een investering. Als het niet mogelijk is met de spullen die er staan is het dagelijks resetten van het password misschien de beste oplossing.
Ik zal eens vragen welke hardware er staat, misschien dat daar nog mogelijkheden in zitten.

Tsja voor niets gaat de zon op. Dan zou ik er alsnog een router tussen piepen en en een passwordje uitgeven bij aanmelden. Standaard wekelijks oid laten verlopen... mensen die op de camping staan kunnen uiteraard kosteloos nieuwe halen bij de receptie.

Lijkt mij echt niet duur, en veel minder gedoe dan overal je WPA-key vervangen... (want om hoeveel APs gaat het? Is dat centraal gemanaged?)

Frogmen schreef op maandag 29 augustus 2016 @ 22:15:
Simpelste methode is denk ik een radius server opzetten linux servertje met ldap omgeving en radius bijna alle apparatuur kan daarmee praten. In de logs kan je misbruik zien.

Yup , moet je alleen nog ff uitleggen aan iedereen hoe het zit. Captive portal is niet veel duurder en makkelijker denk ik . Kun je wat meer info geven.

[ Voor 14% gewijzigd door Boudewijn op 29-08-2016 22:16 ]

[Frogmen]

Captive portal lijkt erg leuk maar vaste gasten worden daar vaak niet erg blij van, Niet alle devices werken er lekker mee en vaak maar single gebruik plus je wilt niet iedere keer weer je telefoon aanmelden etc. Leuk voor een hotel of zo maar niet echt fijn voor vaste gasten.
Als je een simpele linux distro wilt kijk dan naar ClearOS deze zou je ook nog als transparant proxy in kunnen zetten maakt snelheidservaring beter.

[Boudewijn]

Maar hoe doe je dan je authenticatie? je moet ergens een device aan een betalende campinggast binden. De meeste devices werken in mijn ervaring overigens prima met een captive portal.

[begintmeta]

Voor tijdelijke gasten een captive portal, de devices van de vaste gasten skippen dat. Die gasten kunnen vervolgens hun eigen devices (bijvoorbeeld 4 devices per gast/individueel afgesproken) kunnen laten beheren (bijvoorbeeld whitelisten) via een webinterface. Je kan de boel dan monitoren, gespoofte MACs etc vang je daarmee natuurlijk nog niet...

[Stef87]

Hoe weet je zo zeker dat het gasten van een andere camping zijn? Zijn het niet gewoon meer apparaten per persoon van je eigen camping? 1 Persoon kan al snel een tablet, telefoon en/of laptop hebben + een eventuele losse muziekspeler?

[D4NG3R]

Dexs schreef op maandag 29 augustus 2016 @ 21:41:
Het sterke zendvermogen is juist ideaal.

Nee. Als de ontvanger niet op hetzelfde vermogen terug kan zenden voegt het alsnog niks toe.

Maar goed, werk met een captive portal i.c.m. useraccounts en laat standaard max 2 of 3 devices toe per user.

[Nox]

Zotac heeft mooie Mini-PC's met dual gigabit, die kan je dus als lan-wan configureren op pfsense en dan kan je een captive portal instellen, tevens wat filtering, QoS, virusscanner enz enz. Max 2 apparaten per key en dan kan je die vooraf bedrukken en gewoon weggeven. Willen mensen meer dan 2 apparaten geef je nog een key weg. Dit is de enige methode, indien je Ruckus accesspoints met controller hebt kan je nog een PSK aanmaken (zoals een normaal wifiwachtwoord) en dan werkt dat op laag 2 waardoor het voor een apparaat echt heel makkelijk is. Xboxen en playstations werken bijv. minder goed met een captive portal.

Zo'n oplossing is zo'n 200-300 euro. Andere antenne's of vermogen beperken kan wel maar kijk goed uit naar blind spots. Als het is aangelegd door een partij mag je die vragen wat de mogelijkheden zijn. Zomaar vermogen terugschroeven is niet slim. Wellicht heb jij een AP achter je en zitten er elders blind spots.

[ Voor 24% gewijzigd door Nox op 30-08-2016 01:09 ]