Beschreibung:
Im folgenden Dokument wird beschrieben, wie Sie mit LEPS-MAC (LANCOM Enhanced Passphrase Security) die Konfiguration von separaten Zugangsschlüsseln für jeden Teilnehmer eines WLAN-Netzwerkes auf einem LANCOM Access Point mit LCOS LX einrichten können.
Was ist LEPS-MAC? Bei LEPS-MAC wird jeder MAC-Adresse in einer zusätzlichen Spalte der ACL (Access Control List) eine individuelle Passphrase zugeordnet – eine beliebige Folge aus 8 bis 63 ASCII-Zeichen. Nur die Verbindung von Passphrase und MAC-Adresse erlaubt die Anmeldung am Access Point. Da Passphrase und MAC-Adresse verknüpft sind, ist auch das Spoofing der MAC-Adressen wirkungslos – LEPS-MAC schließt damit auch einen möglichen Angriffspunkt gegen die ACL aus. Wenn als Verschlüsselungsart WPA2 verwendet wird, kann zwar die MAC-Adresse abgehört werden – die Passphrase wird bei diesem Verfahren jedoch nie über die WLAN-Strecke übertragen. Angriffe auf das WLAN werden so deutlich erschwert, da durch die Verknüpfung von MAC-Adresse und Passphrase immer beide Teile bekannt sein müssen, um eine Verschlüsselung zu verhandeln. LEPS-MAC kann sowohl lokal im Gerät genutzt werden als auch mit Hilfe eines RADIUS-Servers zentral verwaltet werden. LEPS-MAC funktioniert mit sämtlichen am Markt befindlichen WLAN-Client-Adaptern, ohne dass dort eine Änderung stattfinden muss. Da LEPS-MAC ausschließlich im Access Point konfiguriert wird, ist jederzeit die volle Kompatibilität zu Fremdprodukten gegeben. Im Vergleich zu LEPS-U ist der Verwaltungsaufwand etwas höher, da für jedes Gerät die MAC-Adresse eingetragen werden muss. |
LEPS ist auf LANCOM Access Points mit LCOS LX nur mit WPA2 kompatibel. |
Voraussetzungen:
Vorgehensweise:
1. Konfiguration von LEPS-MAC auf einem Standalone Access Point:
1.1 Konfiguration von LEPS-MAC auf einem Standalone Access Point mit der LEPS-Benutzer-Tabelle:
1.1.1 Öffnen Sie die Konfiguration des Access Points in LANconfig, wechseln in das Menüs Wireless-LAN → Stationen/LEPS und wählen bei LEPS aktiviert die Option Ja aus.
1.1.2 Wechseln Sie in das Menü Profile.
1.1.3 Erstellen Sie ein neues Profil und passen folgende Parameter an:
1.1.4 Wechseln Sie in das Menü Benutzer.
1.1.5 Erstellen Sie einen neuen Benutzer und passen folgende Parameter an:
Wiederholen Sie diesen Schritt gegebenenfalls für weitere WLAN-Endgeräte. |
1.1.6 Die Konfigurationsschritte zur Einrichtung von LEPS-MAC auf einem Standalone Access Point über die LEPS-Benutzer sind damit abgeschlossen. Schreiben Sie die Konfiguration in den Access Point zurück.
1.2 Konfiguration von LEPS-MAC auf einem Standalone Access Point mit einem externen RADIUS-Server:
1.2.1 Wechseln Sie auf dem Access Point in das Menü Wireless-LAN → RADIUS → RADIUS-Server.
1.2.2 Erstellen Sie einen neuen Eintrag und passen die folgenden Parameter an:
Durch Aktivierung der RADIUS-MAC-Adr.-Prüfung verwendet der Access Point die MAC-Adresse als RADIUS-Server Passwort-Quelle. In diesem Fall muss auf dem externen RADIUS-Server im Benutzer die MAC-Adresse als Benutzername und als Passwort hinterlegt werden. Im Normalfall verwenden die WLAN-Teilnehmer den WPA-Key aus dem WLAN-Netzwerk. Da in diesem Szenario für jeden WLAN-Teilnehmer ein separater WPA-Key verwendet werden soll, muss dieser über den RADIUS-Parameter LCS-WPA-Passphrase übermittelt werden. Dieser Parameter muss auch vom verwendeten RADIUS-Server unterstützt werden. Gegebenenfalls muss dazu auf dem RADIUS-Server noch ein entsprechendes Dictionary importiert werden. |
1.2.3 Wechseln Sie in das Menü Wireless-LAN → WLAN-Netzwerke → Verschlüsselung.
1.2.4 Klicken Sie auf Hinzufügen, um ein neues Verschlüsselungs-Profil zu erstellen.
1.2.5 Passen Sie die folgenden Parameter an:
1.2.6 Wechseln Sie in das Menü Wireless-LAN → WLAN-Netzwerke → Netzwerke.
1.2.7 Bearbeiten Sie die vorhandene SSID und weisen dieser über das Dropdown-Menü das in Schritt 1.2.5 erstellte Verschlüsselungs-Profil zu.
1.2.8 Die Konfiguration der LEPS-MAC-Authentifizierung über einen externen RADIUS-Server auf einem Standalone Access Point ist damit abgeschlossen. Schreiben Sie die Konfiguration in das Gerät zurück.
2. Konfiguration von LEPS-MAC auf einem WLAN-Controller:
2.1 Konfiguration von LEPS-MAC auf einem WLAN-Controller über die Stationsregeln:
2.1.1 Wechseln Sie auf dem WLAN-Controller in das Menü WLAN-Controller → Profile → RADIUS-Profile.
2.1.2 Stellen Sie sicher, dass im Profil DEFAULT unter Authentifizierungs-Server die Standard-Einstellungen gesetzt sind:
2.1.3 Wechseln Sie in das Menü WLAN-Controller → Profile → Logische WLAN-Netzwerke (SSIDs).
2.1.4 Passen Sie in dem vorhandenen logischen WLAN-Netzwerk die folgenden Parameter an:
2.1.5 Wechseln Sie in das Menü RADIUS → Server und aktivieren die Option RADIUS-Authentisierung aktiv, um den RADIUS-Server zu aktivieren.
Auf einem WLAN-Controller muss im Gegensatz zu einem Standalone Access Point der RADIUS-Server aktiviert werden, da die MAC-Filterung hier über RADIUS läuft. |
Beachten Sie, dass die Passphrase max. 63 Zeichen umfassen kann und keine Umlaute verwendet werden können. Folgende Zeichen können für der Passphrase verwendet werden: #ABCDEFGHIJKLMNOPQRSTUVWXYZ@{|}~!$%&'()*+-,/:;<=>?[\]^_.0123456789abcdefghijklmnopqrstuvwxyz Beachten Sie zu den Parametern MAC-Adressen-Muster und SSID-Muster auch den folgenden Knowledge Base Artikel: |
2.2 Konfiguration von LEPS-MAC auf einem WLAN-Controller mit einem externen RADIUS-Server:
2.2.1 Verbinden Sie sich per LANconfig mit dem WLAN-Controller und wechseln in das Menü WLAN-Controller → Profile → RADIUS-Profile.
2.2.2 Klicken Sie auf Hinzufügen, um ein neues RADIUS-Profil zu erstellen.
Die bereits vorhandenen Standard-Profile DEFAULT und BACKUP dürfen auf keinen Fall modifiziert werden. Da das Profil DEFAULT in jedem logischen WLAN-Netzwerk hinterlegt ist, kann dies sonst Auswirkungen auf bereits vorhandene WLANs haben. |
2.2.3 Passen Sie die folgenden Parameter an:
Das RADIUS-Profil wird mitsamt dem WLAN-Profil direkt an die Access Points ausgerollt. Die Access Points stellen die RADIUS-Anfragen somit direkt an den RADIUS-Server. Auf dem RADIUS-Server müssen die Anfragen der Access Points dann gegebenenfalls noch erlaubt werden. Access Points mit LCOS LX verwenden immer die MAC-Adresse als RADIUS-Server Passwort-Quelle. In diesem Fall muss auf dem externen RADIUS-Server im Benutzer die MAC-Adresse als Benutzername und als Passwort hinterlegt werden. Weiterhin muss der verwendete RADIUS-Server den RADIUS-Parameter LCS-WPA-Passphrase unterstützen. Gegebenenfalls muss dazu auf dem RADIUS-Server noch ein entsprechendes Dictionary importiert werden. |
2.2.4 Wechseln Sie in das Menü WLAN-Controller → Profile → Logische WLAN-Netzwerke (SSIDs).
2.2.5 Passen Sie in dem vorhandenen logischen WLAN-Netzwerk die folgenden Parameter an
