WLAN im Hotel

[linux0]

Hey,
möchte ein WLAN in einem etwas größerem Hotel aufbauen (100 Zimmer).
Anbei sind mehrere Skizzen sowie Netzwerkpläne.
Was haltet ihr bis jetzt von meinen Planungen?

Ist-Zustand:

-Internetanschluss an, welchem bereits Firmencomputer angeschlossen sind.
-Internetzugänge nur in der Lobby
-Kein WLAN

Soll-Zustand:

-Internet per WLAN auf jedem Zimmer

Anforderungen:

- Kostengünstig
- Sicher (WPA) (Clients können sich untereinander nicht "sehen")
- Fernwartung aus Deutschland (Hotel befindet sich im Ausland)
- Zeit-/Kostenabrechung pro Nutzer nicht erforderlich
- Zuordnung von User zu Internetaktivität nicht erforderlich aber wäre schön.
(falls mal irgendwer mist mit dem internet baut, wobei mir gesgat wurde, dass das nicht so wichtig sei (in Nord-Afrika)

____________________________

Geplant habe ich bis jetzt:

1 Router, welcher einen Bein an den bestehenden Router vom Firmennetz hat. (Routet die Pckete aus dem WLAN Netz nur ins WAN, ins andere Firmennetzwerk wird der TRaffic "gedropped")

4 Switche, welche an den Router fürs WLAN-Netz angeschlossen werden.
(Diese werden in den Gebäudeteilen verteilt)

20-40 Accesspoint, welche an die Switche (über Patchpanel und Dosen) angeschlossen werden. (Sollen auch über die Switche per PoE versorgt werden)

1 Server (SNMP Server für die Geräte, SSH für Fernwartung, Proxy-Server, Netzlaufwerk für Bilder vom Hotelfotografen inklusive Webserver, evtl Logging wie oben angesprochen)

________________________

Die ganze Verkablung erfolgt über Kupfer Kat.7. (sofern nicht 100meter irgendwo überschritten werden)

Anmerkung Anforderungen: Falls der Server(Proxy) ausfällt, soll ein Betrieb weiterhin möglich sein (Gateway auf Router statt auf Server umschwenken)

Alle Geräte untereinander bekommen Point-to-Point Verbindungen und die Accesspoints "machen" DHCP für die Client.
Jeder Client kommt in ein seperates Netz, sodass sie keine Verbindung haben. (Routing unter diesen Netzes im Router verbieten)

______________________

Benötigte Materialien:
1 Server
1 Router
4 Switche
4 Patchpanel
20-40 Accesspoints
circa. 2km Datenkabel
5 Kleine Datenschränke (wie ist der mit Erdung? Reicht der Schutzleiter in der Zuleitung zur 19" Rack Steckdosenleiste?)
5 Schutzkontaktsteckdosen für 19" Rack

1 Betriebssystem Server
1 Webserver Software
1 SNMP Manager Software
1 SSH Server

Hättet ihr konkrete Vorschläge zur Hard- und Software?

______________

Weitere Informationen gehen aus den Anhängen hervor.

Habe ich bei meiner Planung etwas wichtiges vergessen?
Bin zwar in der Materie, habe allerdings noch nie so ein Projekt im Bereich WLAN durchgeführt und dann noch im Ausland ohne Hilfe

Bin für jeden Ratschlag / Anmerkung offen.

Konkrete Fragen:
WLAN Roaming wie realisieren?
Clients untereinander "unsichtbar" machen per SUbnetze oder gibt es ne bessere Lösung?


Vielen Dank für eure Beiträge.

Anhänge: wlan_t.zip (673,04 KB) - uploaded.to

Mfg
mr. linx0

 

[icebeer]

Clients untereinander "unsichtbar" machen per SUbnetze oder gibt es ne bessere Lösung?

Es gibt doch so einen "Client Isolation Mode" bei manchen Routern - vielleicht sowas? Halte ich für besser als mit Subnetzen zu arbeiten.

Was mich sonst irgendwie verwundert ist die sehr hohe Anzahl an geplanten APs. Wenn man zu viele installiert, stören die sich wahrscheinlich eher gegenseitig...

Zu den anderen Punkten kann ich leider nicht viel sagen. Hab mit sowas eher weniger zu tun.

 

[NicoRR]

Kannst z. B. Router mit DD WRT oder Tomato Firmware nehmen, Clientauthentifizierung dann über Zertifikat auf USB-Stick den die beim Einchecken erhalten. So läuft's in nem kleineren Hotel hier was ich "betreue". Funktioniert sehr zuverlässig.

 

[linux0]

Danke für euere Beiträge.

"Client Isolation Mode" wäre schön, nur wie funktioniert das technisch?

die anzahl der AP's war erstmal geschätzt. werden wohl doch weniger werden (es sei denn das Gebäude ist riesig)

Clientauth per Zert. hört sich gut an, nur wie funktioniert das genau?
Die User landen auf einem Webinterface und loggen sich quasi am Server ein?
und wie loggt man da am besten die Zugriffe bzw. den traffic?

 

[Hummerman]

Kannst z. B. Router mit DD WRT oder Tomato Firmware nehmen, Clientauthentifizierung dann über Zertifikat auf USB-Stick den die beim Einchecken erhalten.

Dann muss man aber einen echten USB-Dongle nehmen und das wird dann ein wenig teurer.

Ich würde das per WPA(2)-Enterprise laufen lassen und temporäre Kennungen auf nem Radius-Server anlegen.

 

[NicoRR]

Dann muss man aber einen echten USB-Dongle nehmen und das wird dann ein wenig teurer.

Ich würde das per WPA(2)-Enterprise laufen lassen und temporäre Kennungen auf nem Radius-Server anlegen.

Ich habe dort 20 1GB USB-Sticks genommen, Stückpreis 2,99 und das Zertifikat draufkopiert. Funzt!

 

[Hummerman]

Besteht aber die Gefahr, das da irgendwelche Schadsoftware drauf kommt. Und ich persönlich würde keinen fremden USB-Stick an meinem Rechner anschließen.

 

[NicoRR]

Besteht aber die Gefahr, das da irgendwelche Schadsoftware drauf kommt. Und ich persönlich würde keinen fremden USB-Stick an meinem Rechner anschließen.

Schreibschutzschalter ftw
Ne, is dann schon vertrauenswürdig. Gast muss natürlich unterschreiben dass er damit kein Unsinn treibt und das Teil wieder zurückgegeben wird, sonst 150 Euro Selbstbeteiligung.

 

[linux0]

Hört sich gar nicht so schlecht an mit den USB-Sticks.
Man könnte sie ja jedesmal formatieren, wenn man sie zurückbekommt.

Nur wie läuft das genauer ab? kannst dazu mal mehr erzählen?
mit dem zertifikat meldet die clients sich am server an? welche software etc.?

und wie habt ihr das mit dem logging realisiert?
aus datenschutzgründen darf ja nicht alles geloggt werden.

Dachte eher an "welcher gast hat zu welcher ip zu welchem zeitpunkt eine verbindung aufgebaut"

 

[NicoRR]

Wie das genau abläuft?
Also:
Router mit DD WRT Firmware
Radius Server auf ThinClient
Zertifikatsausgabe über USB-Stick (is nur ne Datei da drauf mit der man sich im Endeffekt authentifiziert, läuft über'n Java Applet im IE)

Logging gibts IP-basiert über die Firewall bzw. den Proxy der darauf läuft. Diverse Sexseiten usw. sind gesperrt, genauso wie der Download - pro User max 600 kBit/s Down- und 400 kBit/s Upstream.

Läuft mit Kostenaufwand von ca. 300 Euro und Stromverbrauch < 60W

 

[Hummerman]

Und was machen die Leute, die kein Java installiert haben bzw. sich mit einem Mobiltelefon einwählen wollen?

 

[UsAs]

Sehr interessantes Thema. Ich les hier mal mit.

Der Einwand von Hummermann ist durchaus berechtigt. Wenn jemand mit nem Tablet oder Smartphone daher kommt, wird die ganze Geschichte schwierig (umständlicher Zertifikatimport). Ich weiß z.B., dass SonicWall bei ihren FWs und APs zeitlich begrenzte LogIn-Codes generieren lassen können, die nach Session-Ablauf ungültig sind. Wäre sowas noch ein Mittel der Wahl?

 

[linux0]

Die Lösung mit dern zertifikaten per usb finde ich sehr schön.
Bleiben dort nur die angesprochenen Probleme.

Man sollte schon mit PDA, Tablet online gehen können.
Man könnte das Zert. per Mail schicken.
ist aber auch nur mehr nen Gedankengang. Von wegen unverschlüsselt, aufwendig.

Der Kunde/Hotelgast soll mögich keine oder wengi Afuwand haben.

Login-Codes zeitlich generieren hört sich auch interessant an. Muss mich mal einlesen. Nur muss man ja die Benutzer auf Zuordnen können für nen ordenltiches Logging was einen entlastet wenn einer Mist im Inet baut.


So hier mal meine überlegung für konkrete komponenten.

könnt mir ja ein wenig helfen wenn ihr lust habt

_______________________________________
-Router:

- Günstig (unter 100€ zur Not bis 250€)
- min. 6 Fast Ethernet Ports (bzw. min. 100Mbit/s Ports)
- Firewall Funktionalität (+ Pakete nach Vorgaben zwischen bestimmten Netzen verwerfen bzw. routingregeln)
- SNMP-Managebar
- Zuverlässig hinsichtlich Ausfallzeiten durch bspw. Aufhängen
- Per SSH konfigurierbar (nicht zwingend, wäre aber schön)
- QoS bzw. Traffic Shaping um allen WLAN Nutzern das "schnelle" Surfen zu ermöglichen bzw. lange große downloads nur langsam etc.
- 19" Rackformat wäre nett aber nicht zu 100% zwingend


-Switch [Hier mal grundsätzlich die Frage ob ein Switch oder ein WLAN Controller?] (Bringt ein WLAN Controller außer zentrales Verwalten der APs und Zusatzfunktionen wie Zugangcode per Voucher drucken es?)
- Günstig (unter 100€ zur Not bis 250€)
- Mindestens 12 Fast Ethernet Ports
- SNMP-Managebar
- Zuverlässig hinsichtlich Ausfallzeiten durch bspw. Aufhängen
- Per SSH konfigurierbar (nicht zwingend, wäre aber schön) (falls überhaupt ein managebarer)
- QoS bzw. Traffic Shaping um allen WLAN Nutzern das "schnelle" Surfen zu ermöglichen
- PoE 15,4W auf allen Ports
- 19" Rackformat wäre nett aber nicht zu 100% zwingend

-Access Point

- Günstig (unter 50€ zur Not bis 100€)
- Per PoE betreibar
- Möglichst klein und optisch "schön"
- b/g standard, wobei n nett wäre
- WLAN-Roaming (wechseln der funkzelle/des ap's ohne verbindungsabbruch)
- Client Isolation (User können unterienander nicht kommunizieren)
- nett wäre wenn er durch dd-wrt unterstützt wird
- WPA2-PSK und WPA2-Enterprise
- Per SSH konfigurierbar (nicht zwingend, wäre aber schön, kanna uch per http sein)

-Server
- Günstig (unter 300€ zur Not bis 500€)
- Genügend Festplattenkapazität / RAM / und CPU
- Hardware RAID (Oder doch Software?) auf jedenfall ein RAID 1
- evtl noch andere bauteiel redundant (für das geld aber warschienlich nicht möglich)
- 19" Rackformat wünschenswert

-Software
- Windows oder Linux Server (Linux spart Lizenzen)
- Welcher SNMP Manager
- Proxyserver, welche Software?
- evtl. beim Proxy logging (nur wie hotelbenutzer bei dieser "low-budget" lösung identifizieren?)
- remotedesktop per ssh über dyndns über internet
- möglichst wartungsfrei (da wie gesagt im ausland)

-Datenschrank
- Günstig (unter 100€ zur Not bis 150€)
- benötige Kleine 19" Datenschränke mit 10HE (oder so, muss server+router+patchpanel rein, in die anderen nur switche+patchpanel)
- mit schutzkontaktsteckdosenleisten im 19" format

-Patchpanel
- mindestnes cat5e...besser 6
- möglichst günstig
- 19" format

-Kabel
- AUF ELEKTRO GEHE ICH HIER MAL NICHT EIN
- Kat 6 oder Kat 7 Datenleitung
- möglichst "dünn" "optisch neutral" und güsntig

-RJ45-Dose
-Aufputz RJ45 Dosen (Einzeloder Doppeldoen egal)
-günstig

-Kabelkanal
-klein, weiss (eventuell sogar brüstungskanal (streckenweise für dosen??)

_____________________________________


Könnt ihr mir ein paar Produkte vorschlagen?
Auch allgemeine Tipps sind willkommen

Werde jetzt 1-3 Konzepte planen

1. WLAN ohne Logging/Benutzeridentifikation mit WPA2 PSK [evtl. option nur port 80 freigeben wobei das sehr sehr unschön ist)
2. WLAN mit Logging / Kostenabrechung/ Benutzeridentifikation per VOUCHER-Druck (WLAN controller)
3. WLAN mit logging per bastel-lösung

Diese Planung oben ist erstmal für Variante 1.


Man muss auch berücksichtigen, dass es so wartungsfrei wie möglich sein sollte, da ich nicht mal eben vor ort hin kann wenn was nciht läuft.

 

[NicoRR]

Und was machen die Leute, die kein Java installiert haben bzw. sich mit einem Mobiltelefon einwählen wollen?

Wenn jemand mit nem Tablet oder Smartphone daher kommt, wird die ganze Geschichte schwierig (umständlicher Zertifikatimport).

Notfalls kann ich auch MAC-Adressen in die Berechtigung per Hand aufnehmen, das ist kein Thema. Ansonsten steht in den Flyern geschrieben, dass nur Geräte bzw Notebooks mit Windows Betriebssystemen sicher unterstützt werden. Hatten ehrlichgesagt noch nie den Fall dass jemand sein iPad oder sowas dabei hatte ^^

 

[Hummerman]

Man sollte schon mit PDA, Tablet online gehen können.
Man könnte das Zert. per Mail schicken.
ist aber auch nur mehr nen Gedankengang. Von wegen unverschlüsselt, aufwendig.

Mails ohne Internet sind nicht so einfach.

Notfalls kann ich auch MAC-Adressen in die Berechtigung per Hand aufnehmen, das ist kein Thema. Ansonsten steht in den Flyern geschrieben, dass nur Geräte bzw Notebooks mit Windows Betriebssystemen sicher unterstützt werden.

Ist aber nicht unbedingt Kunden freundlich, gibt auch welche die kein Java installiert haben usw.

 

[NicoRR]

Ist aber nicht unbedingt Kunden freundlich, gibt auch welche die kein Java installiert haben usw.

In den letzten Jahren haben wir glaub so 250 Zertifikate ausgestellt, kein Problem gehabt bisher, welche Java Version ist so ziemlich egal. Dazu sei aber gesagt, die Gäste sind zu 90% Geschäftsleute von größeren Konzernen wie z. B. Dell, Fujitsu und sonstigen EDV-Betrieben, die hier in eben für einige Tage bleiben. Da ist meist alles installiert.

 

[daheym]

Sorry NicoRR, aber dass das bisher bei dir mit den USB-Dongles funktioniert hatte und auch keine Leute mit iPad und co da sind, halte ich eher für einen glücklichen Zufall als eine praktikable, zukunftsorientierte Lösung.
Vielen Dank übrigens für die Information dass Dell und Fujitsu ihre USB-Ports am Laptop noch nicht via ClientSecurity deaktiviert haben, ich werde ihnen die Tage ein entsprechendes Angebot zukommen lassen

Also auf gut deutsch: Nette Spielerei (mit Zertifikaten und so) aber in der Praxis viel zu aufwändig und einschränkend.

Wenn es nicht viel kosten darf stell dir ein opensource captiveportal hin (auf ner pfsence oder so was auf ner alten Kiste) und generiere Voucher für die Kunden. Accesspoints mit Client Isolation sind nice2have, aber kein muss. Wer keine Personal Firewall aktiv hat - selbst schuld!

Wenn du was professionelles haben möchstes: Cisco APs, Cisco WLAN Controller, Cisco ASM