Florian WildeandClaude Opus 5.5
08459d8c99
- Woche 9 Virtualisierung (B1, A8, LF9) - Woche 10 Verzeichnisdienst und Serverdienste (B3, A6, LF10) - Woche 11 Netze trennen und verbinden (B2, A6, LF9) - Woche 12 Kundenauftrag von der Anfrage bis zur Abnahme (A2, A3, A7) 12 Handouts, 36 Merkkarten, 4 Praxisaufgaben, 3 Checklisten, 2 Lernzielkontrollen, 23 Glossareintraege, Themenblock Server und Virtualisierung. Die Praxisaufgaben 9.1 und 10.1 bauen aufeinander auf: Der Testserver aus Woche 9 traegt die Testdomaene in Woche 10. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
62 lines
3.9 KiB
Markdown
62 lines
3.9 KiB
Markdown
---
|
||
id: N7
|
||
titel: WLAN im Betrieb – Frequenzen, Verschlüsselung, Gästenetz
|
||
block: netzwerk
|
||
woche: 11
|
||
worum: Ein Funknetz, das zu Hause genügt, genügt im Betrieb selten. Entscheidend sind Ausleuchtung, getrennte Netze und Zugangsdaten, die man einer einzelnen Person wieder wegnehmen kann.
|
||
rahmenplan: [B2, A6, A2]
|
||
lernfeld: LF9
|
||
merksatz: Mitarbeiter mit eigenem Zugang, Gäste im eigenen VLAN, Kanäle so verteilt, dass sich die Access Points nicht gegenseitig stören.
|
||
karten:
|
||
- frage: Welche Kanäle nutzt man im 2,4-GHz-Band, damit sich benachbarte Access Points nicht stören?
|
||
antwort: Die Kanäle 1, 6 und 11. Sie überlappen sich nicht. Alle anderen Kombinationen stören sich gegenseitig.
|
||
- frage: Was unterscheidet WPA2/WPA3-Personal von WPA2/WPA3-Enterprise?
|
||
antwort: Bei Personal teilen sich alle denselben Schlüssel – wer ihn kennt, ist drin, und entziehen lässt er sich nur, indem man ihn für alle ändert. Bei Enterprise meldet sich jeder mit eigenen Zugangsdaten über 802.1X und einen RADIUS-Server an; ein einzelner Zugang lässt sich sperren.
|
||
- frage: Wie richtet man ein Gäste-WLAN sicher ein?
|
||
antwort: Eigenes Funknetz in einem eigenen VLAN mit eigenem Subnetz, Firewallregeln, die nur den Weg ins Internet erlauben, Isolation der Gäste untereinander und ein regelmäßig wechselnder Schlüssel oder Zugangscodes.
|
||
---
|
||
|
||
## Das Wesentliche
|
||
|
||
- **2,4 GHz** reicht weiter und durch Wände, hat aber nur drei überlappungsfreie Kanäle:
|
||
**1, 6 und 11**. Es ist voll mit Nachbarnetzen, Bluetooth und Mikrowellen.
|
||
- **5 GHz** hat viele Kanäle und mehr Durchsatz, aber weniger Reichweite. Im Büro die erste
|
||
Wahl. **6 GHz** (ab Wi-Fi 6E) bietet noch mehr freie Kanäle, setzt aber passende Endgeräte
|
||
voraus.
|
||
- **Ausleuchten statt raten.** Wo Access Points hängen, entscheidet eine Messung vor Ort,
|
||
nicht der Grundriss. Stahlregale im Lager und Brandschutztüren dämpfen mehr als jede
|
||
Rigipswand.
|
||
- **Mehr Access Points mit geringerer Sendeleistung** sind besser als wenige mit voller
|
||
Leistung. Ein Endgerät, das am fernen Access Point festhängt, bremst alle anderen.
|
||
- **WPA3**, wo die Geräte es können, sonst WPA2 mit AES. WEP und WPA (ohne Zahl) sind
|
||
gebrochen.
|
||
- **Mitarbeiter über Enterprise (802.1X):** jeder mit eigenen Zugangsdaten oder einem
|
||
Gerätezertifikat. Verlässt jemand den Betrieb, wird sein Zugang gesperrt – nicht der
|
||
Schlüssel für alle geändert.
|
||
- **Gäste in ein eigenes VLAN**, nur Internet, keine internen Netze, untereinander isoliert.
|
||
Den Schlüssel regelmäßig wechseln oder Tageszugänge ausgeben.
|
||
- **Zentral verwalten:** Bei mehr als zwei, drei Access Points gehört ein Controller dazu,
|
||
der Kanäle, Sendeleistung und Einstellungen einheitlich hält.
|
||
|
||
## Übersicht
|
||
|
||
| Funknetz | Verschlüsselung | VLAN | Darf |
|
||
|---|---|---|---|
|
||
| Firma | WPA3-Enterprise (802.1X) | Verwaltung | wie ein Kabelanschluss der Verwaltung |
|
||
| Lager-Scanner | WPA2/WPA3-Personal, eigener Schlüssel | Produktion | nur die Lagerverwaltung |
|
||
| Gäste | WPA2/WPA3-Personal, wechselnder Schlüssel | Gäste | nur Internet, isoliert |
|
||
|
||
## Prüfungsfrage
|
||
|
||
**Frage:** Im Betrieb wird ein einziges WLAN mit gemeinsamem Schlüssel für Mitarbeiter und
|
||
Gäste genutzt. Ein ehemaliger Mitarbeiter kennt den Schlüssel. Beschreiben Sie die Risiken
|
||
und eine bessere Lösung.
|
||
|
||
**Antwort:** Risiken: Jeder, der den Schlüssel kennt – auch ehemalige Mitarbeiter und Gäste –,
|
||
ist im selben Netz wie die internen Systeme und kann sie erreichen. Entziehen lässt sich der
|
||
Zugang nur, indem man den Schlüssel für alle ändert und auf allen Geräten neu einträgt.
|
||
Bessere Lösung: (1) Ein Funknetz für Mitarbeiter mit WPA2/WPA3-Enterprise über 802.1X und
|
||
einen RADIUS-Server, angebunden an die Benutzerkonten – ein ausgeschiedener Mitarbeiter wird
|
||
mit seinem Konto gesperrt. (2) Ein getrenntes Gästenetz in eigenem VLAN, das per Firewall nur
|
||
ins Internet darf und Gäste untereinander isoliert, mit regelmäßig wechselndem Schlüssel.
|