Wlan Authentifizierung über DC

[Voodo 10]

Hallo zusammen,

 

vielleicht hat jmd. nen Tip für mich. Ich möchte mein Wlan etwas sicherer machen und will die Authentifizierung über meinen DC machen. Vielleicht hat mir jmd. nen tip wie ich vorgehen kann. Hab schon an nen Radiusserver gedacht nur bißle zu aufwendig. Am besten wäre es einfach User und Passwort abfrage.. Der Schlüssel sollte automatisch bereitgestellt werden...

Bin über jeden Tip dankbar..

 

Gruß Daniel

[Frank_Steinmetz 10]

Hi

 

verwendest du einen WLAN-Router ?

Ich hab bei mir am Router die MAC-Adressen der Clients die Zugreifen können angegeben.

 

Alle anderen bleiben aussen vor.

[MacBoon 10]

Hi

Ich hab bei mir am Router die MAC-Adressen der Clients die Zugreifen können angegeben.

Alle anderen bleiben aussen vor.

 

Hallo Frank,

 

ich bin zwar kein Wlan Experte, aber wie ich eine MAC-Abfange und die MAC meines NOtebooks verändere, weiß ich auch. Der MAC-Filter zählt nicht gerade zu den sicheren errungenschaften.

 

@ Voodo

 

Ich habe mein Kabel-Netz soweit vom Wlan-Netz abgeschottet.Zugriff ist nur über eine VPN Verbindung möglich (Zertifikat). Somit kann ich mir erlauben, keinerlei Schutz im WLAN einzurichten. Wer will kann sich einloggen, aber weiter kommt er dann nicht (hoffentlich).

 

Gruß MAcBoon

[traced82 10]

Wer will kann sich einloggen, aber weiter kommt er dann nicht (hoffentlich).

Gruß MAcBoon

 

Is aber auch ne mutige Aussage :suspect:

 

VG

Basti

[kurisa 10]

ebenso mutig wie die wlan-clients direkt über's ad laufen zu lassen... :shock:

 

die bessere variante wär da sicher ein radius-server bzw. die verbindung über vpn/zertifikate/etc. aufbauen zu lassen...

[Tobikom 10]

Hallo Voodo,

 

mit einem Radius-Server bist du doch schon richtig. Der WLAN-AP sollte natürlich auch Radius am besten WPA mit Radius unterstützen. Dann richte doch eine Radius Authentifizierung mit Benutzern ein. z.B. Alle Benutzer der Gruppe WLAN-User etc.. Das ganze Funktioniert meines wisssen aber nur mit nem Win XP SP2 Client. Dann muß der User bei jedem Connect Username und Passwort eingeben, oder es wird aus der Domainanmeldung übernommen.

 

Grüße

 

Tobias

[Voodo 10]

Hallo Tobias,

 

danke für die Infos. ich habe gestern etwas gegoogelt und bin zur gleichen Entscheidung gekommen, hab auch schon ein paar nützliche HowTo´s gefunden- leider steig ich da nicht durch. Mein Wlan (Sonicwall Pro) kann WPA über Radius hab das ganze auch schon soweit beim Wlan eingestellt. Bei meinem DC hab ich den "internetauthentifizierungsdienst" installiert und soweit möglich konfiguriert bekomm leider nur Fehler im Log von WLAN. Kennt jmd. vielleicht nen guten HowTo ?? Das dubbelige ist das das ganze nur mit Zertifikaten gehen soll und ich brauch für meine 5 hansele keine Zertifikate...

 

 

Gruß Daniel

[Voodo 10]

@Rest danke für eure Infos...

folgende Möglichkeiten möchte ich nicht verwenden "MAC Adressen" da es für mich ein zu großer Aufwand ist das ganze ständig nachzupflegen.

Die User direkt ohne Authentifizierung zugriff aufs AD zu lassen.....

 

Also muss doch ein Radius her... ;)

[firefox80 10]

ich weiß aus erfahrung das wlans, die

- versteckte ssid haben

- web 128 bit verschlüsselt sind

- einen mac filter haben

 

innerhalb einer halben stunde ohne großen aufwand zu öffnen sind

der einzig sichere weg ist wpa mit zertifikaten zu verwenden

[GreenDevil 10]

@firefox

genauso so ist, die mac adressen lassen sich mittlerweile bei fast allen karten über das system ändern, nur die billigen karten schaffen es nicht das wlan "abzuhören"

aber es gibt genug offene

 

also ich habe vor mein ap noch ne extra firewall und der ap at wpa und mac und desweitere wer sich auch noch im inet darüber surfen will, sollte noch zugangsdaten für den proxy haben ;-) ...

[=BT=Viper 11]

Wobei halt WPA um einiges mehr die Bandbreite ausbremst. Aber es ist mit einem RADIUS auf jeden Fall sicherer.

 

MAC Filterung bringts nicht wirklich. Ich habe sogar schon Netzwerkkarten mit identischer MAC gehabt (Herstellerfehler). Abgesehen davon lässt sich eine MAC ändern.

 

Man sollte sich halt immer überlegen wie groß die Bedrohung ist. Ich glaube z.B. nicht, daß bei mir im Dorf einer runfährt und nach APs sucht. Somit reicht mir WEP aus. Auch wenn man den Schlüpssel relativ einfach rausbekommt. Würde ich in einer Stadt wohnen, wo ich zig andere APs in der Nachbars***aft finde, sähe das anders aus.

Bei einem Firmen WLAN sollte auf jeden Fall die maximale Sicherheit genutzt werden.

[Voodo 10]

hat den jmd. für mich ne gute Howto ?? Ich hab zwar ein paar gefunden finde die aber etwas unübersichtlich.... Gruß

[Hr_Rossi 10]

hi

 

wie wärs mit 802.1x ?ß

 

IEEE 802.1X

The 802.1X standard defines port-based, network access control used to provide authenticated network access for Ethernet networks. This port-based network access control uses the physical characteristics of the switched LAN infrastructure to authenticate devices attached to a LAN port. Access to the port can be denied if the authentication process fails. Although this standard was originally designed for wired Ethernet networks, it has been adapted for use on 802.11 wireless LANs.

 

To provide a standard authentication mechanism for IEEE 802.1X, the Extensible Authentication Protocol (EAP) was chosen. EAP is a Point-to-Point Protocol (PPP)-based authentication mechanism that was adapted for use on point-to-point LAN segments. EAP messages are normally sent as the payload of PPP frames. To adapt EAP messages to be sent over Ethernet or wireless LAN segments, the IEEE 802.1X standard defines EAP over LAN (EAPOL), a standard way to encapsulate EAP messages.

 

 

http://www.microsoft.com/germany/technet/datenbank/articles/900157.mspx

 

http://www.microsoft.com/technet/prodtechnol/winxppro/deploy/ed80211.mspx

http://www.microsoft.com/technet/prodtechnol/winxppro/deploy/wlandply.mspx

http://www.microsoft.com/resources/documentation/Windows/XP/all/reskit/en-us/Default.asp?url=/resources/documentation/Windows/XP/all/reskit/en-us/prdc_mcc_corc.asp

http://www.microsoft.com/technet/prodtechnol/windowsserver2003/library/ServerHelp/fe1d12a1-650a-4006-b389-e1f4ea68b991.mspx

 

lg

rossi

[Frank_Steinmetz 10]

Na, wenn das so ist, werd ich demnächst mal auf WPA umsteigen.

 

Mit Radius hab ich mich noch nicht weiter beschäftigt......