Inhalte: Wochen 9 bis 12

- Woche 9 Virtualisierung (B1, A8, LF9)
- Woche 10 Verzeichnisdienst und Serverdienste (B3, A6, LF10)
- Woche 11 Netze trennen und verbinden (B2, A6, LF9)
- Woche 12 Kundenauftrag von der Anfrage bis zur Abnahme (A2, A3, A7)

12 Handouts, 36 Merkkarten, 4 Praxisaufgaben, 3 Checklisten,
2 Lernzielkontrollen, 23 Glossareintraege, Themenblock Server und
Virtualisierung. Die Praxisaufgaben 9.1 und 10.1 bauen aufeinander auf:
Der Testserver aus Woche 9 traegt die Testdomaene in Woche 10.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

content/handouts/N7-wlan-im-betrieb.md

@@ -0,0 +1,61 @@
+---
+id: N7
+titel: WLAN im Betrieb – Frequenzen, Verschlüsselung, Gästenetz
+block: netzwerk
+woche: 11
+worum: Ein Funknetz, das zu Hause genügt, genügt im Betrieb selten. Entscheidend sind Ausleuchtung, getrennte Netze und Zugangsdaten, die man einer einzelnen Person wieder wegnehmen kann.
+rahmenplan: [B2, A6, A2]
+lernfeld: LF9
+merksatz: Mitarbeiter mit eigenem Zugang, Gäste im eigenen VLAN, Kanäle so verteilt, dass sich die Access Points nicht gegenseitig stören.
+karten:
+  - frage: Welche Kanäle nutzt man im 2,4-GHz-Band, damit sich benachbarte Access Points nicht stören?
+    antwort: Die Kanäle 1, 6 und 11. Sie überlappen sich nicht. Alle anderen Kombinationen stören sich gegenseitig.
+  - frage: Was unterscheidet WPA2/WPA3-Personal von WPA2/WPA3-Enterprise?
+    antwort: Bei Personal teilen sich alle denselben Schlüssel – wer ihn kennt, ist drin, und entziehen lässt er sich nur, indem man ihn für alle ändert. Bei Enterprise meldet sich jeder mit eigenen Zugangsdaten über 802.1X und einen RADIUS-Server an; ein einzelner Zugang lässt sich sperren.
+  - frage: Wie richtet man ein Gäste-WLAN sicher ein?
+    antwort: Eigenes Funknetz in einem eigenen VLAN mit eigenem Subnetz, Firewallregeln, die nur den Weg ins Internet erlauben, Isolation der Gäste untereinander und ein regelmäßig wechselnder Schlüssel oder Zugangscodes.
+---
+
+## Das Wesentliche
+
+- **2,4 GHz** reicht weiter und durch Wände, hat aber nur drei überlappungsfreie Kanäle:
+  **1, 6 und 11**. Es ist voll mit Nachbarnetzen, Bluetooth und Mikrowellen.
+- **5 GHz** hat viele Kanäle und mehr Durchsatz, aber weniger Reichweite. Im Büro die erste
+  Wahl. **6 GHz** (ab Wi-Fi 6E) bietet noch mehr freie Kanäle, setzt aber passende Endgeräte
+  voraus.
+- **Ausleuchten statt raten.** Wo Access Points hängen, entscheidet eine Messung vor Ort,
+  nicht der Grundriss. Stahlregale im Lager und Brandschutztüren dämpfen mehr als jede
+  Rigipswand.
+- **Mehr Access Points mit geringerer Sendeleistung** sind besser als wenige mit voller
+  Leistung. Ein Endgerät, das am fernen Access Point festhängt, bremst alle anderen.
+- **WPA3**, wo die Geräte es können, sonst WPA2 mit AES. WEP und WPA (ohne Zahl) sind
+  gebrochen.
+- **Mitarbeiter über Enterprise (802.1X):** jeder mit eigenen Zugangsdaten oder einem
+  Gerätezertifikat. Verlässt jemand den Betrieb, wird sein Zugang gesperrt – nicht der
+  Schlüssel für alle geändert.
+- **Gäste in ein eigenes VLAN**, nur Internet, keine internen Netze, untereinander isoliert.
+  Den Schlüssel regelmäßig wechseln oder Tageszugänge ausgeben.
+- **Zentral verwalten:** Bei mehr als zwei, drei Access Points gehört ein Controller dazu,
+  der Kanäle, Sendeleistung und Einstellungen einheitlich hält.
+
+## Übersicht
+
+| Funknetz | Verschlüsselung | VLAN | Darf |
+|---|---|---|---|
+| Firma | WPA3-Enterprise (802.1X) | Verwaltung | wie ein Kabelanschluss der Verwaltung |
+| Lager-Scanner | WPA2/WPA3-Personal, eigener Schlüssel | Produktion | nur die Lagerverwaltung |
+| Gäste | WPA2/WPA3-Personal, wechselnder Schlüssel | Gäste | nur Internet, isoliert |
+
+## Prüfungsfrage
+
+**Frage:** Im Betrieb wird ein einziges WLAN mit gemeinsamem Schlüssel für Mitarbeiter und
+Gäste genutzt. Ein ehemaliger Mitarbeiter kennt den Schlüssel. Beschreiben Sie die Risiken
+und eine bessere Lösung.
+
+**Antwort:** Risiken: Jeder, der den Schlüssel kennt – auch ehemalige Mitarbeiter und Gäste –,
+ist im selben Netz wie die internen Systeme und kann sie erreichen. Entziehen lässt sich der
+Zugang nur, indem man den Schlüssel für alle ändert und auf allen Geräten neu einträgt.
+Bessere Lösung: (1) Ein Funknetz für Mitarbeiter mit WPA2/WPA3-Enterprise über 802.1X und
+einen RADIUS-Server, angebunden an die Benutzerkonten – ein ausgeschiedener Mitarbeiter wird
+mit seinem Konto gesperrt. (2) Ein getrenntes Gästenetz in eigenem VLAN, das per Firewall nur
+ins Internet darf und Gäste untereinander isoliert, mit regelmäßig wechselndem Schlüssel.