michmeie
Goto Top

Office-Netzwerk, LAN und WLAN gleichzeitig

Hallo Zusammen

Wir haben ein kleines Büro Netzwerk mit Internetzugang (interner Bereich: 192.168.1.0).
Zusätzlich haben wir einen weiteren Internetzugang der mit einem Wireless-Router (WPA) verbunden ist (192.168.85.0), diese beiden Netze sind physikalisch komplett getrennt und das sollte auch so bleiben.

Der Wireless-Zugang ist für Gäste gedacht, welche nicht ans Büronetz dürfen. Ich möchte es aber auch unseren Leuten ermöglichen, dass diese WLAN benutzen können (z.B. für Meetings).

Was mir aber Unklar ist:
- Ist es ein Sicherheitsrisiko wenn en Notebook mit dem Büronetzwerk (LAN) und dem WLAN gleichzeitig verbunden ist (missbrauch des Notebooks als Gateway, etc.) ?
- Gibt es eine Domänenpolicy wo ich festlegen kann, dass nicht beide Netze gleichzeitig verwendet werden dürfen?
- Was gibt es sonst für Möglichkeiten dem Herr zu werden?

Vor Allem beim ersten Punkt bin ich sehr unsicher, was dass Sicherheitstechnisch bedeutet.

Vielen Dank für euere Hilfe

Gruss
Michael

Content-ID: 157871

Url: https://administrator.de/contentid/157871

Ausgedruckt am: 05.11.2024 um 17:11 Uhr

maretz
maretz 03.01.2011 um 11:15:49 Uhr
Goto Top
Moin,

gut, du surfst jetzt also vermutlich ohne die Sicherheitsrichtlinien der Firma im WLAN (da das ja für die Gäste ist - d.h. die brauchen ggf. nen VPN-Tunnel usw...). Du hast nen Trojaner auf dem Laptop der auch darüber fröhlich munter die Daten raussendet und eine Remote-Steuerung erlaubt -> und gleichzeitig bist du am unternehmensinternen Netzwerk mit evtl. Freigaben usw. angemeldet.

Ich schicke nun dem Trojaner/Bot den Befehl: "Lösche alle doc, xls, ppt,... Dateien die du irgendwo auf einem der vorhandenen Laufwerke findest".

Beantwortet diese Vorstellung schon deine Frage ob das eine gute Idee ist an beiden Netzwerken zu hängen?
michmeie
michmeie 03.01.2011 um 13:48:02 Uhr
Goto Top
ist mehr als beantwortet face-smile

Kann man das über Policies steuern? (Wenn zu LAN Verbdunden -> WLAN-NIC deaktiviert)
Wäre das eine mögliche Lösung?
maretz
maretz 03.01.2011 um 14:26:24 Uhr
Goto Top
Moin,

die frage ist doch: Warum soll jemand gleichzeitig zu beiden Netzen verbinden können? Du willst doch dein internes Netz normalerweise gegen Angriffe schützen - d.h. du willst gar nicht das ein Gerät welches irgendwo im Netz surft in dein Netz kommt -> der könnte ja schon Trojaner, Viren usw. auf dem System haben.

Daher wird man das im normalfall so machen das nur Gäste ans WLAN dürfen -> für die Mitarbeiter ist der Zugang nicht nötig da die ja über das normale Kabel-Netzwerk überall (wo die es müssen) rankommen. Also brauchen die noch nicht mal den WLAN-Key kennen -> der wird eben durch die IT bei den Gäste-Geräten eingetragen und gut. Alles andere ist riskant -> da du gar nicht weisst was der im offenen WLAN alles macht... (Beim Gäste-Laptop is es dir ja egal ob derjenige sich grad den Rechner grillt -> das ist dann SEIN Problem!)
aqui
aqui 03.01.2011, aktualisiert am 18.10.2012 um 18:45:24 Uhr
Goto Top
Nein, das klappt nicht, den damit bist du auch nicht sicher ! Das Beste ist du machst eine simple User Abfrage mit 802.1x und benutzt einen WLAN AP der ESSIDs supportet und trennst beide WLANs. Die Gäste fackelst du dann über ein CP.
Hier findest du Infos wie es geht:
Sichere 802.1x WLAN-Benutzer Authentisierung über Radius
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern
WLAN oder LAN Gastnetz einrichten mit einem Captive Portal (Hotspot Funktion)
Damit kannst du dann beide Nutzer einwandfrei authentisieren und sie in die entsprechenden WLANs dynamisch verfrachten.
michmeie
michmeie 03.01.2011 um 14:52:57 Uhr
Goto Top
@aqui:

aber so wäre ich auch nicht sicher, die User hätten weiterhin die Möglichkeit gleichzeitig an WLAN (wenn auch einen eigenen für die MA) und LAN zu sein.
oder versteh ich da was falsch?
aqui
aqui 05.01.2011 um 11:21:03 Uhr
Goto Top
Ja, da hast du Recht. Wenn die unkontrolliert beide Adapter aktiv haben und einer Routing aktiviert oder sowas ist das natürlich möglich.
Du kannst aber die WLAN User ganz klar identifizieren. Gäste kommen nur ins Gäste WLAN und die MA in ein MA WLAN was nix mit dem Gäste WLAN zu tun hat.
Wenn du die MA Rechner auch noch per Mac filterst im Gäste WLAN können die sich damit nicht assoziieren.
OK umgehbar ist das alles wenn einer der Gäste den MAs das Passwort für das Gäste Portal verrät.
Solche Backdoor Router Gefahren sind schwer in den Griff zu bekommen...allerdings erfordern sie auch einen gehörigen Aufwand an Know How und damit ziemlicher krimineller Energie.