Absicherung eines privaten Gastnetzes

Client Isolation per SSID isoliert nicht die Clients, unabhängig vom AP?

Moin,
mal eine Verständnisfrage.
Du hast ein VLAN Gastnetzwerk aufgebaut und zusätzlich möchtest Du eine Client Isolation einrichten. Wozu und was macht die Client Isolation?

Wenn die Clients im Gast-WLAN herumgeistern sind diese doch vom anderen Netzwerk getrennt. Warum sollte man diese noch isolieren?

Oder denke ich hier vielleicht verkehrt?

Gruß

Die sorgt dafür das die Clients im WLAN sich untereinander nicht direkt erreichen können. Z.B. das einer Filesharing freigibt und andere sich connecten können oder das Fremde im WLAN nmap Attacken auf andere WLAN Clients ausführen können. Die direkte Kommunikation der Clients untereinander ist unterbunden. Üblicherweise über alle Clients im gesamen WLAN und üblicherweise natürlich auch immer AP übergreifend wenn man nicht UBQT HW einsetzt.
Wie gruselig aber was will man bei dem Geraffel auch erwarten?! Andere können das deutlich besser.
Wenn dem wirklich so ist (was schwerfällt zu glauben) ist es dann am besten und einfachsten du konfiguriert dir ein Private oder Isolated VLAN (PVLAN) auf dem Switch. Supportet er das nicht musst du tatsächlich mit ACLs auf dem Switch frickeln oder auf bessere WLAN HW wechseln.

Das Verständnisproblem liegt hier augenscheinlich darin begründet, nicht vollständig zu erkennen, auf welchen "Ebenen" im Netzwerk alles eine Kommunikation zwischen den WLAN-Clients erfolgen bzw. (nicht) unterbunden werden kann.

Wird auf einem AP - der ersten "Ebene" der möglichen Kommunikation - eingestellt, dass die WLAN-Clients derselben SSID nicht miteinander kommunizieren können, dann beschränkt sich das in der Regel und denklogisch auf diejenigen WLAN-Clients, die an diesem AP mit dieser SSID angemeldet sind. Andernfalls müsste der AP von parallelen AP's die Daten der jeweils dort bei der gleichen SSID angemeldeten WLAN-Clients erhalten. Eine solche Konfigurationsmöglichkeit ist, sofern dies nicht über einen übergeordneten AP-Controller bereitgestellt werden sollte, nicht vorhanden - in jedem Fall nicht bei den im Heimbereich üblicherweise verwendeten AP's.

Das führt auf der nächsten "Ebene", dem (Layer-2-)Switch, dazu, dass sehr wohl WLAN-Clients, die im selben VLAN, aber an unterschiedlichen AP's angemeldet sind, miteinander kommunizieren können. Die AP's unterbinden es nicht und können es auch nicht. Zudem ist ein solcher Switch kein Router(!) und forwardet alle ankommenden Pakete im selben VLAN entsprechend seiner MAC-Listen weiter.
Der Switch kann dieses Forwarding nur dann zwischen den WLAN-Clients unterschiedlicher AP's unterbinden, wenn er die Funktion der Client-Isolation bereitstellt. Ist das der Fall, dann kann wird der Switch bei Aktivierung dieser Funktion für das Gast-VLAN die von den WLAN-Clients eingehenden Pakete nur noch über seinen Uplink zum Router / Gateway forwarden.
Sollte der Switch diese Funktion nicht haben, wird es bereits trickreich bis unmöglich auf der Ebene des Switches. Ob ACL's das sinnvoll auf dem Switch übernehmen können, erscheint zumindest sehr zweifelhaft, worauf @aqui bereits hingewiesen hat.
Also bleibt beim Fehlen der Funktion auf dem Switch nichts anderes übrig, als netzwerkorganisatorisch eine Kommunikation auf der Layer-2-Ebene zu verhinden. Das ist dann wohl in erster Linie die Einrichtung von je einem VLAN pro AP, wenn die Switch-Hardware nicht ausgetauscht werden soll. Denn zwischen unterschiedlichen VLAN's findet auf einem Layer-2-Switch kein Forwarding statt. Und genau das ist ja die Aufgabe einer Netzwerksegmentierung mittels VLAN's - die Schaffung von einander abgegrenzter Netzwerkbereiche, die ohne ein Routing nicht miteinander kommunizieren können. Folgerichtig muss natürlich auf dem dem Switch übergeordneten Router / Gateway (= dritte "Ebene" des Netzwerks) geprüft werden, ob die dortigen Regeln / Einstellungen ebenfalls die Kommunikation zwischen den Gast-WLAN-Clients unterbinden; diese Prüfung dürfte ohnehin erforderlich sein.

Deswegen wirst Du - und genau das meint @aqui mit seinen Hinweisen - zuerst Deinen Switch auf das Vorhandensein der Client-Isolation-Funktion prüfen müssen. Ist das Ergebnis negativ, wirst Du Dir überlegen müssen, ob Du diesen Switch gegen einen mit der Funktion austauschen möchtest. Andernfalls machst Du das über unterschiedliche VLAN's pro AP oder bastelst mit ACL's auf dem Switch herum oder ziehst in Betracht, die AP's gegen solche zu tauschen, die eine AP-übergreifende Unterbindung der Kommunikation zwischen WLAN-Clients derselben SSID ermöglichen. Vielleicht bietet das aber auch Dein AP-Controller an, was Du prüfen solltest.

Viel mehr Möglichkeiten werden für die Lösung Deines Problems nicht bleiben. Insoweit hat @aqui eigentlich schon alles gesagt, wenn auch kurz und knackig.

Viele Grüße
HansDampf06

Das ist so pauschal gesagt nicht ganz richtig. Im Groben ist die Client Isolation ein ARP Blocking. Inbound ARP Requests werden geblockt und das macht der AP auch an seinem Kupferinterface so das generell keine inbound L2 Kommunikation mit den WLAN Clients möglich ist. Andersherum aber schon. Das ist quasi eine PVLAN Funktion auf dem AP.
So ist sichergestellt das WLAN übergreifend immer eine Isolation besteht egal ob standalone APs oder Controller basiert. Andernfalls wäre diese Funktion ja auch völlig sinnfrei wenn es nur auf einem singulären AP klappt aber jeder weitere AP im WLAN diese Funktion gleich wieder aushebelt. Was hätte sie dann für einen tieferen Sinn?!
Normalerweise braucht es nur eine Regel (ARP Request Block) oder wenn du PVLANs benutzt gar keine.
Firewall Funktionen auf standalone APs sind bei einfacher Hardware aber sehr selten bis gar nicht vorhanden. Per se also richtig aber beim Gros der einfachen APs nicht umsetzbar weil schlicht und einfach dieses Feature fehlt.

Davon ganz abgesehen ist es wieder ein typischer Fall, dass der Fragensteller wichtige Informationen schlicht nicht mitteilt. Wie sollen diejenigen, die helfen sollen, solche Besonderheiten kennen, wenn sie nicht üblich sind und der Fragensteller sie nicht mitteilt.

Hinzukommt, dass er dann sein Problem eigentlich ganz einfach totschlagen könnte, wenn er denn diese Firewall-Funktion auf seinen AP's nutzen würde. Dann hätte es auch nicht dieser Fragerunde bedurft. Immerhin nimmt er für sich in Anspruch, keine Verständnisschwierigkeiten zu haben. Wo liegt dann aber das Problem, die Dinge, die man hat, sachgerecht zu verwenden?

Das war auch gar nicht so pauschal gemeint, sondern bezog sich im Kontext des Switches und des vorangegangenen Absatzes erkennbar darauf, dass ein AP - der KEINE Firewall hat - den Inter-AP-Verkehr oder den Von-sonstwo-her-/Nach-sonstwo-hin-Verkehr regelmäßig nicht blocken kann, sondern seine Blockfähigkeiten auf die bei ihm angemeldeten WLAN-Clients beschränkt sind und eher auch nur zwischen diesen WLAN-Clients.

Viele Grüße
HansDampf06

Das Fazit was man dann leider daraus ziehen muss: Falsche Hardware beschafft!
Case closed...
Wie kann ich einen Beitrag als gelöst markieren?

ARP-Auflösung lässt sich besonders im WLAN mit den bekannten Station-MACs und DHCP-Ranges relativ leicht überspringen. Die Limitierung des Traffics auf Broadcast und von und zum Gateway, wie eingangs vorgeschlagen, ist daher sinnvoller, und so funktioniert das in der Regel auch auf den APs. Wegen des Aufwands, den Gateway der jeweiligen Netze zu detektieren, gibt es wahrscheinlich bei den meisten Herstellern Serien oder Betriebsarten, die eine Switch-Konfiguration erfordern: https://community.cisco.com/t5/wireless/client-isolation-cisco-catalyst- ...
PVLAN wird in vielen Fällen nicht funktionieren, weil z.B. bei der Cisco-SG-Serie die Zuweisung der PVLANs an den Switch-Port durch einen dedizierten Port-Modus erfolgt (Access/Trunk vs. Host/Promiscuous). Der normalerweise zum AP nötige VLAN-Trunk lässt sich damit nicht (bestehend aus isolierten PVLANs) umsetzen.

Grüße
Richard