WLAN Zugang nur für WAN

[Ebenezer 13]

Hallo, es soll ein (firmeninternes) WLAN zur Verfügung gestellt werden über welches nur aufs WAN und nicht auf interne Ressourcen zugegriffen werden soll. An der Firewall gäbe es einen dedizierten Port der den Zugriff auf das interne Netz unterbindet. Jetzt müssen noch die geeigneten Stellen für die AccessPoints (Ubiquity) ausgesucht werden. Mir fallen nun zwei Varianten ein:

 

1. Direktes patchen der AccessPoints zu einem weiteren zentralen Switch der ausschließlich am oben erwähnten Port der Firewall hängt

2. Patchen der AccessPoints über die üblichen LAN-Switche und aktivieren der "guest policies" auf dem AP Controller

 

Variante 1 ist sicherlich aufwändiger, aber m.E. die bessere und im Zweifel auch sicherere Variante. An der Firewall könnte auf dem Port ein eigener DHCP laufen.

Variante 2 wäre erst mal einfacher, aber alle Wifi Geräte müssten vom Windows DHCP bedient werden (ich müsste also Multicasts / Broadcasts durchlassen) und mein DHCP Pool wäre wohl schnell erschöpft

 

Würdet Ihr das vielleicht ganz anders lösen? Mit VLANs?

 

Danke!

 

Nico

[Nobbyaushb 1.475]

Wir setzten aus Sicherheitsgründen gerade die 1te Variante um.

 

Alle Switche haben zudem MAC-Filter auf den Ports, falls einer auf die Idee kommt, ein Telefon (Konferenz-Raum oder einen Drucker (teilweise Flur..) auszustecken...

bearbeitet 28. Februar 2019 von Nobbyaushb

[djmaker 95]

Man könnte die bestehenden Switche nutzen und tagged vlans einsetzen. DHCP spielt entweder der WLAN-Controller oder die FW.

[magheinz 110]

Von wie vielen accesspoint reden wir hier? 

In Variante 1 bräuchte man ja einen zweiten Controller! 

[monstermania 53]

Moin,

bei meinem alten AG haben wir das per VLAN realisiert. DHCP/DNS für das WLAN übernimmt dabei komplett die FW.

VLAN weil diverse Firmenbereiche per FC verbunden sind. Da will man ja keine 2 FC-Leitungen verlegen, nur damit das WLAN separiert wird.

Genutzt werden auch Ubiquiti AP (4 Stück). Der Controller lief dabei auf einem Server mit. Der Controller ist allein schon wegen der FW-Updates absolut empfehlenswert.

 

Gruß

Dirk