Google Groups no longer supports new Usenet posts or subscriptions. Historical content remains viewable.
Dismiss
Access Point draussen - kann man das sicher machen?
59 views
Skip to first unread message
ma...@invalid.invalid
Jul 29, 2020, 4:28:32 PM7/29/20
to
Hallo --
Da ich Corona-bedingt gerne draussen auf der Terasse arbeite und mein WLAN
dort nicht so enorm stabil ist, wollte ich mir einen zusätzlichen AP
installieren. Mein Netzwerk besteht im wesentlichen aus einem
pfsense-Router, einem vernünftigen managed Switch und momentan zwei
Unifi Access Points. Also habe ich mir einen UAP-AC-M zur Montage im
Aussenbereich bestellt.
Nun ist meine Terasse durch einen hinter dem Grundstück verlaufenden Weg
erreichbar, und obwohl prinzipiell privat, wird man den AP vom Weg aus
sehen, und könnte da auch schnell mal hinhuschen und manipulieren - der
AP wird in erreichbarer Höhe montiert.
Internet klaut mir keiner, da gibt's ein guest network, das verlorene
Wanderer meinetwegen gerne mitnutzen können. Die Kosten für einen
gestohlenen Access Point mag ich auch noch riskieren, im Falle eines
Falles.
Aber - da liesse sich ein Netzwerkkabel abziehen, das geradewegs in mein
LAN geht. Da liegen ein paar VLANs für verschiedene NEtze drauf (home,
guest und iot), aber home ist natürlich relativ angriffig.
Wie würde man sowas sichern? Ich könnte natürlich ein VPN machen und
mich darüber einwählen, aber ich mag das unkomplizierte Roamen zwischen
den access points. Recht lieb wäre mir, wenn das Netz erkennt, dass der
AP vom Kabel abgezogen wird und den Port dann sperrt. Ich bin in
Netzwerkdingen nicht so bewandert, gibt's da Funktionen? Wonach sollte
ich googlen? Meine bisherigen Suchen waren eher erfolglos, das mag aber
gerne daran liegen, dass ich nicht weiss, wonach ich suchen sollte.
cu
.\\arc
Da ich Corona-bedingt gerne draussen auf der Terasse arbeite und mein WLAN
dort nicht so enorm stabil ist, wollte ich mir einen zusätzlichen AP
installieren. Mein Netzwerk besteht im wesentlichen aus einem
pfsense-Router, einem vernünftigen managed Switch und momentan zwei
Unifi Access Points. Also habe ich mir einen UAP-AC-M zur Montage im
Aussenbereich bestellt.
Nun ist meine Terasse durch einen hinter dem Grundstück verlaufenden Weg
erreichbar, und obwohl prinzipiell privat, wird man den AP vom Weg aus
sehen, und könnte da auch schnell mal hinhuschen und manipulieren - der
AP wird in erreichbarer Höhe montiert.
Internet klaut mir keiner, da gibt's ein guest network, das verlorene
Wanderer meinetwegen gerne mitnutzen können. Die Kosten für einen
gestohlenen Access Point mag ich auch noch riskieren, im Falle eines
Falles.
Aber - da liesse sich ein Netzwerkkabel abziehen, das geradewegs in mein
LAN geht. Da liegen ein paar VLANs für verschiedene NEtze drauf (home,
guest und iot), aber home ist natürlich relativ angriffig.
Wie würde man sowas sichern? Ich könnte natürlich ein VPN machen und
mich darüber einwählen, aber ich mag das unkomplizierte Roamen zwischen
den access points. Recht lieb wäre mir, wenn das Netz erkennt, dass der
AP vom Kabel abgezogen wird und den Port dann sperrt. Ich bin in
Netzwerkdingen nicht so bewandert, gibt's da Funktionen? Wonach sollte
ich googlen? Meine bisherigen Suchen waren eher erfolglos, das mag aber
gerne daran liegen, dass ich nicht weiss, wonach ich suchen sollte.
cu
.\\arc
Tim Ritberg
Jul 29, 2020, 5:02:07 PM7/29/20
to
Am 29.07.20 um 22:19 schrieb ma...@invalid.invalid:
> Aber - da liesse sich ein Netzwerkkabel abziehen, das geradewegs in mein
> LAN geht. Da liegen ein paar VLANs für verschiedene NEtze drauf (home,
> guest und iot), aber home ist natürlich relativ angriffig.
>
> Wie würde man sowas sichern?
Firewall/Router oder/und Radius (802.1X) ohne jetzt genau dein
Netz-Layout zu kennen.
Tim
> Aber - da liesse sich ein Netzwerkkabel abziehen, das geradewegs in mein
> LAN geht. Da liegen ein paar VLANs für verschiedene NEtze drauf (home,
> guest und iot), aber home ist natürlich relativ angriffig.
>
> Wie würde man sowas sichern?
Netz-Layout zu kennen.
Tim
Kay Martinen
Jul 29, 2020, 6:20:01 PM7/29/20
to
Am 29.07.20 um 22:19 schrieb ma...@invalid.invalid:
>
>
> Aber - da liesse sich ein Netzwerkkabel abziehen, das geradewegs in mein
> LAN geht. Da liegen ein paar VLANs für verschiedene NEtze drauf (home,
> guest und iot), aber home ist natürlich relativ angriffig.
Auf dem Port dieses AP sollte nur ein Netz liegen, das für
> LAN geht. Da liegen ein paar VLANs für verschiedene NEtze drauf (home,
> guest und iot), aber home ist natürlich relativ angriffig.
Wireless-Clients. Alles andere kannst du besser im Router erlauben oder
verbieten. Wäre mein Gedanke dazu.
> den access points. Recht lieb wäre mir, wenn das Netz erkennt, dass der
> AP vom Kabel abgezogen wird und den Port dann sperrt. Ich bin in
> Netzwerkdingen nicht so bewandert, gibt's da Funktionen? Wonach sollte
sagen das er nur diese MACs durch lässt. Das lässt sich vermutlich mit
MAC-spoofing umgehen.
Wenn ich dich aber oben richtig Verstehe hast du auch Wireless
verschiedene VLANs zugleich oder?
Wenn du Befürchtung um Physischen Zugriff auf das Kabel hast, warum dann
nicht das jemand die Verschlüsselung knackt und direkt drahtlos einbricht?
Generell solltest du so ein Setup vielleicht umstricken und deinen
Router auch zum Routen zwischen deinen VLAN Zonen nutzen. Der kann dir
vermutlich besser helfen. Entweder mit RADIUS oder Portauthentifizierung
(WPA-Supplicant), und auch in dem er nur bekannte Clients in andere
VLANs durch routet.
Und ein tool wie 'arpwatch' auf der Wireless-zone kann dir unbekannte
Clients melden oder wenn eine MAC zwischen verschiedenen IPs hin und her
hüpft. Da bekämst du dann eine Ping-Pong Message in der die MAC, die IPs
und die Ethernet-vendors stehen die es fand. Kann helfen Fremdnutzer zu
identifizieren.
Problem bei Radius könnte sein. Wenn dir jemand deinen AP klaut könnte
er aus dem Gerät den Secret-key auslesen mit dem es den Radius
kontaktiert. Das muß ja zwangsläufig über das gleiche Kabel gehen...
Kay
--
Posted via leafnode
Ralph Aichinger
Jul 30, 2020, 3:44:14 AM7/30/20
to
ma...@invalid.invalid wrote:
> Aber - da liesse sich ein Netzwerkkabel abziehen, das geradewegs in mein
> LAN geht. Da liegen ein paar VLANs für verschiedene NEtze drauf (home,
> guest und iot), aber home ist natürlich relativ angriffig.
Dann mach das nicht ;)
> Aber - da liesse sich ein Netzwerkkabel abziehen, das geradewegs in mein
> LAN geht. Da liegen ein paar VLANs für verschiedene NEtze drauf (home,
> guest und iot), aber home ist natürlich relativ angriffig.
Genau dafür hat man ja VLANs, daß man auf einzelne Ports nur
bestimmte Netzwerke schickt. Am Switch wegkonfigurieren.
Eine zweite einfach zu realisierende Möglichkeit ist ein "Alarm",
der davon ausgelöst wird, daß sich der Portstatus am Switch auf
dem betreffenden Port ändert. Das kriegt man bei den meisten Teilen
per Syslog oder SNMP, und man könnte z.B. eine SMS auf dein Handy
oder eine Mail damit auslösen.
Eine dritte Variante ist viel Heißkleber: Wenn jemand den AP entfernt
so geht das dann nicht mehr "nicht-destruktiv" z.B. nur durch Abschneiden
oder mit Beschädigung des Steckers und er kann nix einfach mehr anhängen.
Oder ähnliches mit Stahlbügeln etc die den Stecker im AP halten.
Eine weitere Möglichkeit ist die Tarnung (z.B. Vogelhaus aus nichtleitendem
Material drüber).
Mehr als die vier genannten Varianten hielte *ich* im Privathaushalt für
Overkill, insbesondere 802.1x wäre mir zu mühevoll.
/ralph
--
-----------------------------------------------------------------------------
https://aisg.at
ausserirdische sind gesund
Marc Haber
Jul 30, 2020, 4:21:23 AM7/30/20
to
Kay Martinen <use...@martinen.de> wrote:
>Am 29.07.20 um 22:19 schrieb ma...@invalid.invalid:
>> Aber - da liesse sich ein Netzwerkkabel abziehen, das geradewegs in mein
>> LAN geht. Da liegen ein paar VLANs für verschiedene NEtze drauf (home,
>> guest und iot), aber home ist natürlich relativ angriffig.
>
>Auf dem Port dieses AP sollte nur ein Netz liegen, das für
>Wireless-Clients. Alles andere kannst du besser im Router erlauben oder
>verbieten. Wäre mein Gedanke dazu.
Sobald man mehrere Netze per WLAN anbieten möchte, müssen diese Netze
>Am 29.07.20 um 22:19 schrieb ma...@invalid.invalid:
>> Aber - da liesse sich ein Netzwerkkabel abziehen, das geradewegs in mein
>> LAN geht. Da liegen ein paar VLANs für verschiedene NEtze drauf (home,
>> guest und iot), aber home ist natürlich relativ angriffig.
>
>Auf dem Port dieses AP sollte nur ein Netz liegen, das für
>Wireless-Clients. Alles andere kannst du besser im Router erlauben oder
>verbieten. Wäre mein Gedanke dazu.
am Accesspoint anliegen. Außer man verwendet eine controllerbasierte
Lösung, da gibt es einige bei denen der Accesspoint nur mit dem
Controller spricht und die Daten erst dort "aufgefächert" werden.
>> den access points. Recht lieb wäre mir, wenn das Netz erkennt, dass der
>> AP vom Kabel abgezogen wird und den Port dann sperrt. Ich bin in
>> Netzwerkdingen nicht so bewandert, gibt's da Funktionen? Wonach sollte
>
>Ich kann in meinem Managed Switch eine MAC Liste eintragen und dem Port
>sagen das er nur diese MACs durch lässt. Das lässt sich vermutlich mit
>MAC-spoofing umgehen.
Grüße
Marc
--
-------------------------------------- !! No courtesy copies, please !! -----
Marc Haber | " Questions are the | Mailadresse im Header
Mannheim, Germany | Beginning of Wisdom " |
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 621 72739834
Marc Haber
Jul 30, 2020, 4:22:48 AM7/30/20
to
ma...@invalid.invalid wrote:
>Da ich Corona-bedingt gerne draussen auf der Terasse arbeite und mein WLAN
>dort nicht so enorm stabil ist, wollte ich mir einen zusätzlichen AP
>installieren. Mein Netzwerk besteht im wesentlichen aus einem
>pfsense-Router, einem vernünftigen managed Switch und momentan zwei
>Unifi Access Points. Also habe ich mir einen UAP-AC-M zur Montage im
>Aussenbereich bestellt.
Wie dick sind die Wände? Wie gut ist das WLAN, wenn Du den Accesspoint
>Da ich Corona-bedingt gerne draussen auf der Terasse arbeite und mein WLAN
>dort nicht so enorm stabil ist, wollte ich mir einen zusätzlichen AP
>installieren. Mein Netzwerk besteht im wesentlichen aus einem
>pfsense-Router, einem vernünftigen managed Switch und momentan zwei
>Unifi Access Points. Also habe ich mir einen UAP-AC-M zur Montage im
>Aussenbereich bestellt.
innen in Fensternähe montierst? Hast Du vieleicht ein GArtenhaus o.ä.?
Kannst Du den Accesspoint nachts abschalten oder überhaupt nur dann
eincshalten wenn Du auf der Terrrasse arbeitest?
ma...@invalid.invalid
Jul 30, 2020, 5:28:32 AM7/30/20
to
Ralph Aichinger <r...@pi.h5.or.at> wrote:
> ma...@invalid.invalid wrote:
>> Aber - da liesse sich ein Netzwerkkabel abziehen, das geradewegs in mein
>> LAN geht. Da liegen ein paar VLANs für verschiedene NEtze drauf (home,
>> guest und iot), aber home ist natürlich relativ angriffig.
>
> Dann mach das nicht ;)
:)
> ma...@invalid.invalid wrote:
>> Aber - da liesse sich ein Netzwerkkabel abziehen, das geradewegs in mein
>> LAN geht. Da liegen ein paar VLANs für verschiedene NEtze drauf (home,
>> guest und iot), aber home ist natürlich relativ angriffig.
>
> Dann mach das nicht ;)
> Genau dafür hat man ja VLANs, daß man auf einzelne Ports nur
> bestimmte Netzwerke schickt. Am Switch wegkonfigurieren.
zwischen den AP's roamen kann.
> Eine zweite einfach zu realisierende Möglichkeit ist ein "Alarm",
> der davon ausgelöst wird, daß sich der Portstatus am Switch auf
> dem betreffenden Port ändert. Das kriegt man bei den meisten Teilen
> per Syslog oder SNMP, und man könnte z.B. eine SMS auf dein Handy
> oder eine Mail damit auslösen.
Port kurz fällt, wird er am Switch abgeschaltet, und muss manuell wieder
eingeschaltet werden.
> Eine dritte Variante ist viel Heißkleber: Wenn jemand den AP entfernt
> so geht das dann nicht mehr "nicht-destruktiv" z.B. nur durch Abschneiden
> oder mit Beschädigung des Steckers und er kann nix einfach mehr anhängen.
> Oder ähnliches mit Stahlbügeln etc die den Stecker im AP halten.
>
> Eine weitere Möglichkeit ist die Tarnung (z.B. Vogelhaus aus nichtleitendem
> Material drüber).
installiere.
> Mehr als die vier genannten Varianten hielte *ich* im Privathaushalt für
> Overkill, insbesondere 802.1x wäre mir zu mühevoll.
sehr komplex :)
cu
.\\arc
ma...@invalid.invalid
Jul 30, 2020, 5:28:32 AM7/30/20
to
Marc Haber <mh+usene...@zugschl.us> wrote:
> Wie dick sind die Wände? Wie gut ist das WLAN, wenn Du den Accesspoint
> innen in Fensternähe montierst? Hast Du vieleicht ein GArtenhaus o.ä.?
> Kannst Du den Accesspoint nachts abschalten oder überhaupt nur dann
> eincshalten wenn Du auf der Terrrasse arbeitest?
War mein erster Ansatz, geht aber erstaunlich schlecht. Vollverglasung
> Wie dick sind die Wände? Wie gut ist das WLAN, wenn Du den Accesspoint
> innen in Fensternähe montierst? Hast Du vieleicht ein GArtenhaus o.ä.?
> Kannst Du den Accesspoint nachts abschalten oder überhaupt nur dann
> eincshalten wenn Du auf der Terrrasse arbeitest?
3-fach, Fliegengitter und Aluminium-Stores scheinen eine schlechte
Kombination für WLAN zu sein. Ich dachte auch schon daran, den AP nur
selektiv zu betreiben, aber das sollte dann schon etwas automatisch
sein, wegen WAF (wir arbeiten momentan ja beide zu hause).
Mal kucken - das mit dem Port abschalten scheint mir elegant.
cu
.\\arc
ma...@invalid.invalid
Jul 30, 2020, 5:38:32 AM7/30/20
to
Kay Martinen <use...@martinen.de> wrote:
>
> Wenn ich dich aber oben richtig Verstehe hast du auch Wireless
> verschiedene VLANs zugleich oder?
Ja - mein LAN, ein guest network und ein iot Network.
>
> Wenn ich dich aber oben richtig Verstehe hast du auch Wireless
> verschiedene VLANs zugleich oder?
> Wenn du Befürchtung um Physischen Zugriff auf das Kabel hast, warum dann
> nicht das jemand die Verschlüsselung knackt und direkt drahtlos einbricht?
sowieso guten Zugriff (und auf ein dutzend andere WLANs). Das mit dem
Kabel ist neu, und das Kabel hat noch nicht mal einen WPA-Key :)
> Generell solltest du so ein Setup vielleicht umstricken und deinen
> Router auch zum Routen zwischen deinen VLAN Zonen nutzen. Der kann dir
> vermutlich besser helfen. Entweder mit RADIUS oder Portauthentifizierung
> (WPA-Supplicant), und auch in dem er nur bekannte Clients in andere
> VLANs durch routet.
'funktionieren' die Unifi-AP's einfach, ohne dass ich mir da Gedanken
machte. iot und guest werden sowieso im Router geblockt und kommen nur
sehr selektiv bis gar nicht rein.
cu
.\\arc
Karl-Josef Orth
Jan 13, 2021, 7:43:13 PM1/13/21
to
Am 29.07.20 um 22:19 schrieb ma...@invalid.invalid:
> Hallo --
>
> Da ich Corona-bedingt gerne draussen auf der Terasse arbeite und mein WLAN
> dort nicht so enorm stabil ist, wollte ich mir einen zusätzlichen AP
> installieren.
Mal an D-LAN gedacht?
>
> Da ich Corona-bedingt gerne draussen auf der Terasse arbeite und mein WLAN
> dort nicht so enorm stabil ist, wollte ich mir einen zusätzlichen AP
> installieren.
D-LAN Adapter auf der Terasse einfach in die nächste Steckdose und per
LAN-Kabel oder WLAN arbeiten.
Nach der Arbeit einfach den Steckdosenadapter wieder ins Haus - fertig.
Mach ich hier und funktioniert super.
Solltest aber nicht den billigsten M... kaufen!
LG
Karl-Josef
0 new messages