W-LAN Sicherheit per VPN

[Dak 10]

Hallo,

ich möchte ein WLAN mittels VPN schützen. Mir kamen dazu folgende Ideen:

 

1. Access-Point wird an Windows Server mit Netzwerkkarte 1 angeschlossen

 

2. An Netzwerkkarte 2 befindet sich das LAN

 

3. Auf dem Windows Server wird Routing und VPN aktiviert. Der Windows Server akzeptiert eingehende VPN-Verbindungen des WLAN und leitet diese bei Bedarf an das LAN weiter. WLAN und LAN haben dabei ein anderes IP-Subnetz (sonst wäre es wohl kein Routing).

 

Der Windows-Server ist der einzige Server im Netzwerk und stellt somit alle Dienste bereit. Internetzugriff erfolgt zentral über ein Router, der Firewall-Funktionen etc. bietet und somit das Netzwerk vor dem Internet schützt.

 

Was haltet Ihr von der Idee bzw. gibt es Gegenvorschläge?

 

(EAP mit Radius-Server ist mir ebenfalls schon unter die Nase gekommen, doch möchte ich die Sicherheitsfrage gerne mittels VPN lösen).

 

Danke für euere Antworten

 

 

Grüße,

Dak

[Dak 10]

Hallo,

so, ich habe es direkt heute Abend ausprobiert und eingerichtet. :-)

 

So sieht die "Verkabelung" aus:

 

WLAN ~~~ AP <-> NIC1 ==> WIN-SERVER <== NIC2 <-> LAN

 

~~~ := Funkverbindung;

<-> := Kabel;

==> := eingebaut

 

WLAN: Subnetz1 (192.168.99.*)

LAN: Subnetz2 (192.168.90.*)

 

 

Ich habe unter Windows 2000 folgendes eingerichtet:

-> Routing und RAS konfigurieren: Assistent "VPN-Server"

Die IP-Vergabe lasse ich nicht aus einem statischen Pool, sondern per DHCP-Server machen, der ebenfalls auf dem WIN-Server installiert ist. Als Adapter also NIC 2.

 

So, damit war es erst mal schon eingerichtet. Damit ich aber vom WIN-Server noch per HTTP-Oberfläche auf meinen AP komme, habe ich noch unter Eingehende/Ausgehende Filter der NIC1 die IP des AP freigegeben.

 

Erstmal habe ich nun ohne VPN-Verbindung versucht, per WLAN-Client auf den WIN-Server zu kommen. Ging nicht; gut!

 

Also DFÜ-Verbindung für VPN eingerichtet, als Adresse, die Adresse des WIN-SERVERS. Die Verbindung ins LAN funktionierte nun, doch der Router im LAN wurde nicht auf dem WLAN-Client gesetzt. - Seltsam! - Ich habe also noch mal die DFÜ-Verbindugn genauer unter die Lupe genommen und unter Netzwerkeinstellungen > Erweitert die Option "Standardgateway... verwenden" aktiviert. Auf dem WIN-Server habe ich bei der NIC1 als Standardgateway die Router-Adresse des LAN eingestellt; diese hat zwar ein anderes Subnetz als die IP-Adresse der NIC1, was den Server jedoch nicht weiter stört. Anschließend wurde auch das Standardgateway richtig verwendet.

 

Was mir jedoch nicht so gut gefällt ist der Windows-Logon: Wenn ich mich anmelde, wähle ich DFÜ-Verbindung, damit der WLAN-Client zum Server verbinden kann. Scheinbar funktioniert es, jedoch dauert der Login bestimmt 30 Sekunden (sieht fast wiederrum nach einem DNS-Problem aus; ipconfig liefert aber den richtigen DNS für die VPN-Verbindung)

 

Weiterhin will NETBIOS nicht; meldet einen Fehler: "Der Computername ist schon vergeben" :-(

 

 

Fragen:

 

1. Ist die Konfiguration soweit in Ordnung oder habe ich etwas elementares übersehen?

 

2. Wie verhält es sich, wenn WLAN-Clients untereinander kommunizieren? - Am besten sollten Sie dies nur per LAN-IP-Adresse, damit es über den VPN-Tunnel läuft.

 

3. Habe Ihr noch Vorschläge oder Ideen?

 

Ich freue mich über Antwort.

 

Grüße,

Dak