Bobby der Bär

Hallo Freunde,

Wer seinen (neuen) Nintendo DS ins bestehende WLAN integrieren möchte, ohne Kompromisse bei der Security einzugehen,
dem empfehle ich unseren neuesten Artikel:

Problemstellung:
Die unterschiedlichen technischen Möglichkeiten von WLAN-Security bei Spielekonsolen (z.B. Wii™, Nintendo DS oder Sony PSP™) sind bei der Integration ins Heimnetz oft ein Sicherheitsrisiko. Während z.B. die Wii™ Konsole über WPA-Verschlüsselung verfügt, so bietet der Nintendo DS leider nur das schwache WEP Verfahren. Um auch diese Konsolen mit dem heimischen WLAN-Router zu verbinden, wird oft der kleinste gemeinsame Nenner gesucht und der heimische WLAN-Router auf die (relativ leicht zu brechende) WEP Verschlüsselung umkonfiguriert. Wenn sich dann noch eigene Mail- oder Fileserver im gleichen Heimnetz befinden, so ist das Risiko erheblich, denn ein Angreifer kann auch auf diese Ressourcen zugreifen, sobald er das schwache WEP-Verfahren geknackt hat.

Andererseits ist es auch keine Lösung, solche "unsicheren" WLAN Clients für alle Zeiten aus dem heimischen Netzwerk zu verbannen, denn mittlerweile gibt es hervorragende Lösungen für die friedliche Koexistenz der unterschiedlichen WLAN Clients.

Unsere Vision: Sämtliche WLAN Clients (Laptops und Spielkonsolen) greifen gemeinsam auf unser Heimnetz zu. Hierbei benutzen die WLAN Clients unterschiedliche Verschlüsselungsverfahren und können in Gruppen mit unterschiedlichen Zugriffsrechten eingeteilt werden.

Anforderungen: Unsere Lösung muss den gleichzeitigen Zugriff von WLAN Clients mit verschiedenen Verschlüsselungsverfahren unterstützen. Der Zugriff auf Netzwerkressourcen muss konfigurierbar sein. Dies betrifft unsere Server und Drucker im Heimnetz genauso wie den Internetzugang per DSL Modem.
Bei den Zugriffsrechten reicht uns die Unterscheidung von zwei unterschiedlichen Gruppen:
1) Spielkonsolen dürfen über WLAN nur den Internetzugang benutzen (mit WEP Verschlüsselung).
2) Laptops dürfen über WLAN alle internen Server, Drucker und den Internetzugang benutzen (mit WPA Verschlüsselung).
Willkommen in
der Business-Class: Die gleichen Anforderungen existieren beisspielsweise in Firmennetzwerken, wo Gäste einen eingeschränkten Zugriff per WLAN haben müssen und gleichzeitig das Netzwerk gegen unbefugten Zugriff geschützt werden muss. Auf der Suche nach einer eleganten Lösung macht es daher Sinn, sich professionelle WLAN Komponenten einmal näher anzuschauen. Besonders interessant für uns sind hierbei Access Points, welche normalerweise in Unternehmensnetzwerken eingesetzt werden.
Bis vor kurzem waren solche Systeme für Privatanwender völlig unerschwinglich und kosteten mehrere tausend Euro. Mittlerweile bieten jedoch zahlreiche Hersteller die notwendigen Features in Ihren "Business" WLAN Access Points und -routern an, so dass sich die Preise in vernünftigen Regionen bewegen.
Multi-SSID: Für unsere unterschiedlichen WLAN Clients benötigen wir in jedem Fall einen Access Point mit Multi-SSID Unterstützung.
Viele "Business" Access Points verfügen heute über Multi-SSID Features. Hierbei kann ein einzelner Access Point gleich mehrere WLAN s anbieten und verwalten. Für einen WLAN Client sieht es so aus, als ob mehrere physikalische Wireless-Netzwerke bestehen. Den verschiedenen SSIDs können sogar unterschiedliche Security Settings mit unterschiedlichen Verschlüsselungsalgorithmen zugeordnet werden. Die leistungsfähigsten "Business" Access Points verwalten bis zu 16 SSIDs gleichzeitig, d.h. 16 WLAN Netze an einem einzigen Access Point.
Einige Hersteller dieser beeindruckenden Geräte sind z.B. Funkwerk mit den artem-Produkten, ZyXel mit der NWA-Serie und natürlich der Netzwerkgigant Cisco Systems mit der Aironet™-Serie. Die Preisspanne für solche Access Points bewegt sich je nach Ausstattung von 150,- bis 500,- Euro.
Zugegeben, dies ist viel Geld, aber der Funktionsumfang dieser Geräte ist gewaltig und nicht mit herkömmlichen "Consumer" Access Points vergleichbar. Diese Produkte findet man normalerweise auch nicht beim EDV-Discount um die Ecke, denn hier kommt es auf die richtige Fachberatung an. Unser kleiner Artikel hier kann keine Beratung ersetzen; bei Interesse empfehlen wir daher dringend den Besuch in einem Fachgeschäft mit IT-Systemlösungs-Know-How!
IP-Routing/
Filtering: Die Multi-SSID Fähigkeit reicht im Allgemeinen jedoch nicht aus, denn schliesslich wir wollen ja auch den Zugriff auf unser Netzwerkressourcen konfigurieren. Hier hat jeder Hersteller seine eigene Begriffsbezeichnungen entwickelt: Einige Hersteller nennen es IP-Routing/Filtering, Client Isolation, Access Control List (ACL) oder Layer-2 Isolation.
Egal, wie man das Feature nennt - die Datenpakete, die per WLAN am Access Point ankommen, müssen über konfigurierbare Routing-Tabellen bearbeitet werden können. Hierbei ist wichtig, dass den verschiedenen SSIDs auch unterschiedliche Filter/Routings zugeordnet werden können.
Wichtig! Multi-SSID und IP-Routing/Filtering sollte der neue Access Point ohne teure zusätzliche Hard- oder Software unterstützen! Einige Gegenbeispiele: Viele Access Points verfügen über Virtual-LAN (VLAN) Features. Dies wäre in unserem Szenario jedoch nutzlos, denn ohne teure VLAN-Switches und VLAN-Router kann man dieses Feature nicht sinnvoll einsetzen! Ebenfalls wenig sinnvoll sind Access Points, die nur mit einem externen Access-Control Server arbeiten; den administrativen Aufwand eines weiteren 24x7 Rechners sparen wir uns gerne!

Eine Konfiguration am Beispiel des NWA-3100 "Business" Access Points von ZyXel könnt Ihr hier "paper-tiger.info - WLAN "Business" Technologie für zu Hause - sicher mit dem Nintendo DS online gehen!" im Rest des Artikels lesen.

Viele liebe Grüße,

Bobby der Bär

__________________
---

Ich bin abwaschbar! www.paper-tiger.info