lernbar/content/handouts/N7-wlan-im-betrieb.md

id, titel, block, woche, worum, rahmenplan, lernfeld, merksatz, karten

id	titel	block	woche	worum	rahmenplan	lernfeld	merksatz	karten
N7	WLAN im Betrieb – Frequenzen, Verschlüsselung, Gästenetz	netzwerk	11	Ein Funknetz, das zu Hause genügt, genügt im Betrieb selten. Entscheidend sind Ausleuchtung, getrennte Netze und Zugangsdaten, die man einer einzelnen Person wieder wegnehmen kann.	B2 A6 A2	LF9	Mitarbeiter mit eigenem Zugang, Gäste im eigenen VLAN, Kanäle so verteilt, dass sich die Access Points nicht gegenseitig stören.	frage antwort Welche Kanäle nutzt man im 2,4-GHz-Band, damit sich benachbarte Access Points nicht stören? Die Kanäle 1, 6 und 11. Sie überlappen sich nicht. Alle anderen Kombinationen stören sich gegenseitig. frage antwort Was unterscheidet WPA2/WPA3-Personal von WPA2/WPA3-Enterprise? Bei Personal teilen sich alle denselben Schlüssel – wer ihn kennt, ist drin, und entziehen lässt er sich nur, indem man ihn für alle ändert. Bei Enterprise meldet sich jeder mit eigenen Zugangsdaten über 802.1X und einen RADIUS-Server an; ein einzelner Zugang lässt sich sperren. frage antwort Wie richtet man ein Gäste-WLAN sicher ein? Eigenes Funknetz in einem eigenen VLAN mit eigenem Subnetz, Firewallregeln, die nur den Weg ins Internet erlauben, Isolation der Gäste untereinander und ein regelmäßig wechselnder Schlüssel oder Zugangscodes.

Das Wesentliche

• 2,4 GHz reicht weiter und durch Wände, hat aber nur drei überlappungsfreie Kanäle: 1, 6 und 11. Es ist voll mit Nachbarnetzen, Bluetooth und Mikrowellen.
• 5 GHz hat viele Kanäle und mehr Durchsatz, aber weniger Reichweite. Im Büro die erste Wahl. 6 GHz (ab Wi-Fi 6E) bietet noch mehr freie Kanäle, setzt aber passende Endgeräte voraus.
• Ausleuchten statt raten. Wo Access Points hängen, entscheidet eine Messung vor Ort, nicht der Grundriss. Stahlregale im Lager und Brandschutztüren dämpfen mehr als jede Rigipswand.
• Mehr Access Points mit geringerer Sendeleistung sind besser als wenige mit voller Leistung. Ein Endgerät, das am fernen Access Point festhängt, bremst alle anderen.
• WPA3, wo die Geräte es können, sonst WPA2 mit AES. WEP und WPA (ohne Zahl) sind gebrochen.
• Mitarbeiter über Enterprise (802.1X): jeder mit eigenen Zugangsdaten oder einem Gerätezertifikat. Verlässt jemand den Betrieb, wird sein Zugang gesperrt – nicht der Schlüssel für alle geändert.
• Gäste in ein eigenes VLAN, nur Internet, keine internen Netze, untereinander isoliert. Den Schlüssel regelmäßig wechseln oder Tageszugänge ausgeben.
• Zentral verwalten: Bei mehr als zwei, drei Access Points gehört ein Controller dazu, der Kanäle, Sendeleistung und Einstellungen einheitlich hält.

Übersicht

Funknetz	Verschlüsselung	VLAN	Darf
Firma	WPA3-Enterprise (802.1X)	Verwaltung	wie ein Kabelanschluss der Verwaltung
Lager-Scanner	WPA2/WPA3-Personal, eigener Schlüssel	Produktion	nur die Lagerverwaltung
Gäste	WPA2/WPA3-Personal, wechselnder Schlüssel	Gäste	nur Internet, isoliert

Prüfungsfrage

Frage: Im Betrieb wird ein einziges WLAN mit gemeinsamem Schlüssel für Mitarbeiter und Gäste genutzt. Ein ehemaliger Mitarbeiter kennt den Schlüssel. Beschreiben Sie die Risiken und eine bessere Lösung.

Antwort: Risiken: Jeder, der den Schlüssel kennt – auch ehemalige Mitarbeiter und Gäste –, ist im selben Netz wie die internen Systeme und kann sie erreichen. Entziehen lässt sich der Zugang nur, indem man den Schlüssel für alle ändert und auf allen Geräten neu einträgt. Bessere Lösung: (1) Ein Funknetz für Mitarbeiter mit WPA2/WPA3-Enterprise über 802.1X und einen RADIUS-Server, angebunden an die Benutzerkonten – ein ausgeschiedener Mitarbeiter wird mit seinem Konto gesperrt. (2) Ein getrenntes Gästenetz in eigenem VLAN, das per Firewall nur ins Internet darf und Gäste untereinander isoliert, mit regelmäßig wechselndem Schlüssel.