Gast WLAN-Zugang

[ConVuzius]

Hallo liebe Freunde,

hätte mal ein kleines Problemchen.
Mein Vater würde gerne in seinen neuen Geschäftsräumen einen Gast-Wlan-Zugang haben.
Das Problem ist, dass der Router von der Telekom sowas nicht kann (nur WLAN TO GO-Hotspot),
ist der Speedport W 724V.
Ich weiß, dass es Router gibt, die sowas Standardmäßig können, und auch nicht so arg teuer sind
(z.B: Archer C2), aber die Frage ist, ob man das auch irgendwie anders lösen könnte?
Ein alter Router ist noch vorhanden, wenn der irgendwie eingebaut werden könnte.

Bin für alle Anregungen dankbar!

PS: Hab die Suchfunktion schon ordentlich bemüht, aber die Lösungen die ich gefunden hab sind mir zu invasiv.

Liebste Grüße!

 

[Riddimno1]

den zweiten router mit dem speedport verbinden und dessen internetverbindung nutzen um ein zweites, eigenes wlan einzurichten... am besten mit eigener ssid und im routermenü die berechtigungen nach belieben einstellen...

 

[ChavezD]

Und am besten mit eigenem, getrennten ip Bereich.. Ich meine die Speedorts haben meistens 192.168.2.x, dann einfach 192.168.3.x einstellen. So hast du dann, zusammen mit einer anderen ssid ein gänzlich getrenntes Netzwerk. Im dem "alten" Router kannst du dann auch sämtliche Einstellungen nach belieben ändern

 

[chrigu]

gastzugang mit normalen wlan-router ist machbar, jedoch für einen betrieb sehr heikel, da mit einfachsten mitteln auch in das normale netzwerk "geschaut" werden könnte... und danach ist noch die störerhaftung eine sache, die ein gutgemeinter gastzugang zu einem sehr teuren "spass" verkommen lässt..

wenns unbedingt sein muss, würde ich über eine vlan-firewall (hardware) den gastzugang einschränken... diese firewall verhindert ein eindringen ins firmennetz und damit kannst du alles ausser port 80 blockieren (http).

 

[Raijin]

Ich weiß ja nicht was das für ein Betrieb ist, aber sofern im Netzwerk ansonten mehr oder weniger sensible Daten vorhanden sind, würde ich das nur dann in Eigenregie machen, wenn ich selbst das KnowHow zur Absicherung habe - dann wäre dieser Thread aber gar nicht erst entstanden ;-) Mein WLAN ist beispielsweise durch einen Linux-Server/-Router/-Firewall vom Rest des LANs getrennt. Das diente zwar nur dem Spaß, aber prinzpiell kann man damit sämtlichen Traffic vom WLAN ins LAN bzw. ins WWW filtern, weil immer alles durch den Server muss... Geht auch anders (VLAN, etc), aber das war wie gesagt just4fun, weil ich keine Gäste im (W)LAN habe

 _________
/          LAN1 -- InternetRouter
Server --- LAN2 -- HomeLAN
\_________ LAN3 -- WLAN

Im Optimalfall lässt man sich aber von einem Systemhaus beraten, wenn man selbst keine Kenntnisse aus dem Bereich hat. Der worst case sieht ansonsten so aus, dass jemand a) Zugriff auf sensible Daten bekommt oder b) jemand mit dem WLAN/Internet Unsinn anstellt...

 

[D1rty]

Hallo liebe Freunde,

hätte mal ein kleines Problemchen.
Mein Vater würde gerne in seinen neuen Geschäftsräumen einen Gast-Wlan-Zugang haben.

Ein IT-Systemhaus in dein Freund, sowas sollte professionell gemacht werden.

 

[Fr4g3r]

Und am besten mit eigenem, getrennten ip Bereich.. Ich meine die Speedorts haben meistens 192.168.2.x, dann einfach 192.168.3.x einstellen. So hast du dann, zusammen mit einer anderen ssid ein gänzlich getrenntes Netzwerk. Im dem "alten" Router kannst du dann auch sämtliche Einstellungen nach belieben ändern

Das stimmt natürlich nicht, du hast hier mit nichten ein "gänzlich getrenntes Netzwerk".
Es wird ein eigenes Subnetz erstellt, welches aber wieder irgendwie auf den eigentlichen Internetzugang geroutet werden muss. --> Ausbruch ins Firmennetz möglich.

Lasst euch das von einem Systemhaus ordentlich einrichten, alles andere ist fahrlässig. (Zugriff auf Kunden-/Firmendaten, Störerhaftung...)

Das sollte mit komplett getrennten VLans oder einer entsprechenden Firewall umgesetzt werden.
Am besten sogar beides + ggfs. einer Protokollierung über die der Nutzer dann aber informiert werden muss (z.B. auf der Landing-Page).

 

[ChavezD]

Stimmt, das mit dem Firmenbetrieb habe ich komplett ausgeblendet.. Mit meiner lösung oben könnte man zwar im privaten Netzwerk ein gast wlan eröffnen, aber auch da würde ich immer und auf jede Fall noch eine verschlüsselung benutzen.
Da es hier aber nicht um privat geht, lass dich dort professionell beraten..

 

[ConVuzius]

So Freunde,

erstmal danke für die Antworten.

Also der allerletzte Mensch in solchen Dingen bin ich jetzt auch nicht.
Die häufigste Möglichkeit die ich gefunden hab bisher war ein auch hier schon angesprochenes VLAN,
die zweite wäre den Router, der das Firmennetz hat, hinter den anderen Router zu schalten und den ersten dann freizugeben, was auch gehen müsste.
Die Frage ist halt obs doch nicht irgendwie möglich ist, das auf einfache Weise zu lösen.

Aber ich glaube das Beste ist einfach den Telekom-Router zurückzugeben und einen zu holen der
das schon Standardmäßig kann.

Störerhaftung ist da jetzt nicht so das Problem, da der Zugang nicht einfach an jeden verteilt wird.

Trotzdem nochmal danke.

 

[chrigu]

wenn du den anderen wlan-router hinter den ersten schaltest ist das weder sicher (kann trotzdem ins netzwerk, wenn er der zweit-allerletzte mensch ist.) noch hat das was mit gast-wlan zu tun.

 

[ConVuzius]

wenn du den anderen wlan-router hinter den ersten schaltest ist das weder sicher (kann trotzdem ins netzwerk, wenn er der zweit-allerletzte mensch ist.) noch hat das was mit gast-wlan zu tun.

Das glaube ich nicht, sondern das du mich falsch verstanden hast. Router 1 hängt am Internet, und spannt WLAN 1 auf. Router 2 hängt an Router 1, spannt WLAN 2 auf und beheimatet alle Geschäftsgeräte. D.h. das Netzwerk in router 2 kann (bin ich mir eigentlich sicher) man einfach vom ersten Router abschirmen, so dass man vom WLAN 1 nur ins Internet und sonst nirgendwo hinkommt.

 

[chrigu]

nö, wenn beide am gleichen netzwerk hängen, ist es möglich alles im netzwerk zu sehen.. sonst würde es keine VLAN oder router mit Gastwlan oder firewalls mit VLAN geben.

 

[Fr4g3r]

Da du keine Kontrolle für Störerhaftung benötigst, müsste es vermutlich reichen wenn du dir einen Layer-3-Switch besorgst.
An den schließt du an Port 1 den Internet-Router an, an Port 2 den Zugang zu deinem Firmennetz und an Port 3 einen AP für das Gäste-Wlan.
Jeden der 3 Ports setzt du nun in ein eigenes VLAN.
Anschließend richtest du auf dem Layer-3-Switch für die verschiedenen Netzwerke in den VLans eine defaultroute auf den Port 1 ein, an dem dein Router hängt.
In den Clients im Firmennetz muss dann als Gateway die IP des Layer-3-Switches für das jeweilige Netz angeben und beim Gäste-Wlan eben die Ip des Layer-3-Switches für dessen Vlan.

Wenn du das sauber machst, dann hast du das alles in getrennten VLans und zwischen dem Guest-Wlan und dem Firmennetz darf KEIN Routing vorhanden sein.
Solche Geräte bekommt man denke ich schon recht günstig, z.B. von Hp (ca. 200-300€).

 

[phreeze]

suche nach "HP manages switch", da gibts kleine die nicht allzuteuer sind, die managebar sind und wo du halt VLANs setzen kannst

 

[ConVuzius]

Ok so was in der Art hatte ich gesucht, dachte nur dass es da vllt schon komfortablere Lösungen gibt.

Danke nochmal.

 

[h.kluncker]

nö, wenn beide am gleichen netzwerk hängen, ist es möglich alles im netzwerk zu sehen.. sonst würde es keine VLAN oder router mit Gastwlan oder firewalls mit VLAN geben.

Ich lerne gerne dazu, was meinst Du denn mit "alles"?

Bei der Konfiguration wie ein Post über Deinem beschrieben:
Internet - Router1/GastWLAN - Router2 - InternesNetz

Welchen Vorteil bringt ein managebarer Switch in diesem Szenario?

 

[chrigu]

"alles"= sämtliche im netzwerk angeschlossene geräte und dessen daten, sofern diese nicht passwortgeschützt sind...
ein VLAN schottet z.b. den switchport 1 komplett ab, in der konfig kannst du genau definieren, wo der standardgatway ist (internet) und noch vieles mehr.. (nein ich definiere "vieles" nicht, da jeder managed-switch mit VLAN andere features hat)