Netzwerk-Grundlagen – Switched Wireless Local Area Networks (WLAN) Planung, Aufbau und Absicherung von Controller-basierten Wireless LANs

Die wichtigsten WLAN-Treiber sind die Ablösung bestehender DECT-Systeme durch VoIP over Wireless LAN (VoWLAN) sowie die Einbindung von SmartPhones und PDAs mit GSM/GPRS, UMTS, Bluetooth und WLAN Schnittstellen in das Unternehmensnetz (Fixed Mobile Convergence; FMC). Die wichtigsten Grundlagen zum Aufbau und zur Absicherung eines geswitchten bzw. Controller-basierten WLANs zeichnet dieser Beitrag nach.

Anbieter zum Thema

Moxa Europe GmbH

Extreme Networks GmbH

Viele Aspekte und Mehrwerte in drahtlosen Netzen konnten erst mit der WLAN-Switching-Architektur vollwertig und praktikabel umgesetzt werden. Hierbei wird die bei der „Thick-AP“-Architektur vorhandene verteilte Intelligenz jedes Access Points in eine zusätzliche Komponente, dem so genannten WLAN Switch oder WLAN Controller, zentralisiert.

Die Access Points selbst werden dabei in so genannte „Thin-APs“ umgewandelt und fungieren nur noch als „intelligente Antennen“. Dadurch wird eine skalierbare, flexible und zukunftssichere WLAN Umgebung geschaffen die Hunderte von WLAN-Switches und Tausende von APs umfassen kann. Als oberste Hierarchieebene wird meist auch noch ein WLAN Management System eingesetzt, das zentral über WLAN-Switch-Grenzen hinweg Planungs-, Konfigurations-, Monitoring- und Alarmierungsdienste zur Verfügung stellt. Typische Funktionen einer WLAN-Switching-Lösung sind beispielsweise:

• Automatische Kanalwahl
• Automatische Regelung der Sendeleistung
• Loadbalancing zwischen den APs
• Verarbeitung von Gebäude- und Geländeplänen, um die Funkausbreitung, die Clients und RFID-Tags sowie die Fremd-APs visuell darzustellen
• Verkürztes, subnetübergreifendes Roaming
• Automatisiertes Erkennen, Lokalisieren und Bekämpfen von Fremd-APs und Clients
• Zentralisierte Planung, Deployment, Reporting & Alarmierung

Sicherung von WLAN Netzen

Zur Sicherung der Luftschnittstelle wurde ursprünglich der Sicherheitsstandard Wired Equivalent Privacy (WEP) eingeführt. Dieser erwies sich jedoch schon nach kurzer Zeit als lückenhaft, das heißt, durch das Aufzeichnen und Analysieren der Kommunikation ist es möglich, den Netzwerkschlüssel zu ermitteln und somit die „Privacy“ zu kompromittieren.

Der eigentliche Standard zur Sicherung von WLANs (IEEE 802.11i) war zu diesem Zeitpunkt noch in Arbeit, daher etablierte sich WPA als Zwischenlösung. Hier wurden durch diverse Hilfsmittel wie dynamische Schlüssel, bessere Authentifizierung, insbesondere durch Berücksichtigung von RADIUS Authentifizierung, eine höhere Sicherheit gewährleistet.

Das Thema Sicherheit im Wireless LAN ist nach langer Diskussion nun final gelöst: Der Standard 802.11i (auch WPA2 genannt) ist verabschiedet und bietet für alle existierenden Sicherheitslücken innerhalb der 802.11 Familie eine adäquate Lösung. Die Authentifizierung via 802.1x (Port Based Authentication) und dessen gängige Methoden EAP-TLS, PEAP und EAP-TTLS (zertifikats- und passwortbasiert) stellen neben der eigentlichen Authentifizierung die Basis für das Key Management dar. Die Verschlüsselung ist 128-Bit AES-basiert (Advanced Encryption Standard). Die Integrität von Daten und Header wird durch CCM (CCM = Counter Mode Encryption mit CBC-MAC) gewährleistet. Replay Attacks werden durch ein IV (Initialization Vector) Sequencing mit 48 Bit IV verhindert.

Ein weiterer Punkt bei der Sicherung von WLAN Netzen ist der Umgang mit Fremd-APs/Clients sowie 802.11-fremden Störungen, wie z.B. defekten Mikrowellen oder DECT-Stationen, die das gesamte RF-Spektrum stören. Hierzu scannen die APs automatisch das Netz nach anderen Geräten, die im selben RF-Band arbeiten. Dadurch werden fremde Sender sowie die APs, die zum eigenen System gehören, erkannt. Alle fremden Sender stellen potentielle Rogues, also möglicherweise schädliche Access Points, dar. Hierbei ist eine automatische Unterscheidung zwischen „Interfering AP“, „Rogues“ und „Ad-hoc Clients“ wichtig.

Ein Interfering AP wird auf der RF-Schnittstelle von den APs gesehen. Dieser hat jedoch keine Verbindung über die LAN Schnittstelle ins eigene Netz und stellt daher nur eine Störung auf der Funkseite dar. Meist sind dies Netze in benachbarten Gebäuden oder interne, unabhängige WLANs.

Ein Rogue hingegen hat auch eine Verbindung über die LAN Schnittstelle ins eigene Netz und stellt damit ein erhöhtes Sicherheitsrisiko dar, da sich über diesen AP auch fremde Clients in das interne Netz einloggen können.

Ad-hoc Clients kommunizieren direkt miteinander ohne Verbindung zum eigentlichen Netzwerk. Dies stellt ähnlich wie die Interfering APs kein direktes Sicherheitsrisiko dar, allerdings werden sie als Störung auf der Funkseite erkannt.

Diese Unterscheidung wird automatisch von den Systemen vorgenommen und kategorisiert. Weiterhin stellen die Systeme Möglichkeiten zur Verfügung, um Gegenmaßnahmen zu ergreifen, die verhindern, dass sich WLAN Clients mit einem Rogue AP verbinden. Hierbei gibt sich das WLAN Switching System als Rogue AP aus und sendet Disassociation Frames zu den am eigentlichen Rogue AP eingeloggten Clients. Diese verlieren dadurch die Verbindung und es kann keine saubere Kommunikation mehr aufgebaut werden. Zusätzlich können alle Arten von Fremd-APs/Clients mit Hilfe von Gebäudeplänen lokalisiert werden.

weiter mit: Voice over WLAN – QoS & Security

(ID:2046203)