Seitenhistorie

Seiteneigenschaften

Beschreibung:

Die in diesem Konfigurationsbeispiel beschriebenen Arbeitsschritte sollen folgendes Szenario darstellen, welches z.B. in einem Hotelbetrieb mit öffentlichen LAN und WLAN-Zugängen Anwendung finden kann:

Info: Mit diesem Szenario ist es möglich, maximal 64 Benutzerkonten für die Nutzung der Public-Spot-Funktionalität anzulegen. Wenn Sie mehr Public-Spot-Benutzer benötigen, muss ein WLAN-Controller mit Public-Spot Option eingesetzt werden.

Es wird ein LANCOM 1821n als zentraler Router eingesetzt. Eine Public-Spot Option und eine Content-Filter Option (z.B. 10 User, 3 Jahre Laufzeit) ist auf dem Gerät aktiviert.
Der LANCOM 1821n verfügt bereits über zwei funktionierende DSL-Anbindungen. Die erste Internet-Anbindung (INTERNET 1) ist am WAN-Port (internes Modem) des Gerätes angeschlossen und konfiguriert, die zweite Internet-Anbindung (INTERNET 2) wird über ein externes Modem am Ethernet-Port 3 (ETH-3) betrieben.
Auf dem LANCOM 1821n soll ein lokales Verwaltungs-Netzwerk eingerichtet werden (IP: 192.168.10.0/24), welches folgenden Anforderungen genügen muss:

LAN-seitig wird das Verwaltungs-Netzwerk auf den Ports ETH-1 & ETH-2 konfiguriert, WLAN-seitig auf dem logischen WLAN-Interface WLAN-1.
Das WLAN wird zudem eine SSID mit dem Namen VERWALTUNG erhalten. Die Authentifizierung am WLAN erfolgt wie üblich über die konfigurierte Passphrase.
Die Benutzer des Verwaltungs-Netzwerks sollen ausschließlich die Internet-Verbindung INTERNET 1 verwenden dürfen.

Für die Gäste wird auf dem LANCOM 1821n ein separates Netzwerk eingerichtet (IP: 192.168.20.0/24 , ebenfalls LAN & WLAN). Dieses Gast-Netzwerk muss folgenden Anforderungen genügen:

Das Gast-Netzwerk benötigt einen LAN-Anschluss, an welchen ein kabelgebundenes Internet-Terminal angeschlossen werden kann. Dieser Anschluss wird am Port ETH-4 konfiguriert. Der Zugriff auf das LAN wird über die Public Spot-Funktionalität realisiert und reglementiert.
Im Gast-Netzwerk ist ebenfalls ein WLAN verfügbar (eigene SSID GAESTE). Der Zugriff auf das WLAN wird über die Public Spot-Funktionalität realisiert und reglementiert.
Es soll nicht möglich sein, vom Gast-Netzwerk Zugriffe in das Verwaltungs-Netzwerk durchzuführen.
Die Benutzer des Gast-Netzwerks sollen ausschließlich die Internet-Verbindung INTERNET 2 verwenden dürfen.
Die Internet-Zugriffe aus dem Gast-Netzwerk werden durch den Content-Filter geprüft. Zehn Benutzer sollen den Content-Filter pro Tag verwenden dürfen, kommt ein elfter (oder weitere) Benutzer hinzu, soll der Internet-Zugang für diese(n) Benutzer unterbunden werden.

Image Removed

Image Added

Voraussetzungen:

aktuelle LCOS-Firmware (download aktuelle Version)
aktuelle LANtools (download aktuelle Version)
zwei funktionierende Internet-Verbindungen
aktivierte Public Spot-Option
aktivierte Content-Filter-Option

Einrichtung der lokalen Netzwerke VERWALTUNG und GAESTE:

1. Öffnen Sie den Konfigurationsdialog des LANCOM

-

Routers und wechseln Sie in das Menü TCP/IP

-> Allgemein -> IP

→ Allgemein → IP-Netzwerke.

Image Removed

Image Added

2. Klicken Sie auf Hinzufügen..., um das erste Netzwerk (VERWALTUNG) zu erstellen.

Image Removed

Image Added

3. Tragen Sie bitte folgende Parameter ein:

Netzwerkname: VERWALTUNG
IP-Adresse: 192.168.10.1
Netzmaske: 255.255.255.0
Schnittstellen-Zuordnung: BRG-1 (Das ist die Bridge-Gruppe, unter der die Ethernet-Ports ETH-1 & ETH-2 im späteren Konfigurationsverlauf mit dem logischen WLAN-Interface WLAN-1 zusammengefasst werden).

4. Bestätigen Sie Ihre Eingabe mit OK und klicken Sie dann erneut auf Hinzufügen..., um das Netzwerk GAESTE zu erstellen.

5. Tragen Sie bitte folgende Parameter ein:

Netzwerkname: GAESTE
IP-Adresse: 192.168.20.1
Netzmaske: 255.255.255.0
Schnittstellen-Zuordnung: BRG-2 (Das ist die Bridge-Gruppe, unter der der Ethernet-Port ETH-4 im späteren Konfigurationsverlauf mit dem logischen WLAN-Interface WLAN-1-2 zusammengefasst werden).
Schnittstellen-Tag: 1 (Dieses Schnittstellen-Tag sorgt dafür, dass vom Netzwerk GAESTE kein Zugriff auf das Netzwerk VERWALTUNG möglich sein wird.)

Image Removed

Image Added

6. Bestätigen Sie Ihre Eingaben mit OK. Ihre IP-Netzwerk-Tabelle sollte nun folgendermaßen aussehen:

Image Removed

Image Added

7. Klicken Sie auf OK und Sie befinden sich wieder im Konfigurationsdialog des LANCOM. In den nächsten Schritten werden wir nun die jeweiligen WLAN-Netzwerke für das Verwaltungs- und Gäste-Netz einrichten.

8. Wechseln Sie in das Menü Wireless-LAN und kontrollieren Sie zunächst, ob das physikalische WLAN-Interface aktiviert ist. Sollte das nicht der Fall sein, aktivieren Sie dieses über den Menüpunkt Physikalische WLAN-Einst.

-> WLAN

→ WLAN-Interface. Die weiteren physikalischen WLAN-Einstelllungen belassen wir in diesem Konfigurationsbeispiel bei den voreingestellten Standardwerten.

9. Stellen Sie im Bereich Allgemein die Ländereinstellung auf Deutschland ein (bzw. das Land, in dem Sie das WLAN betreiben wollen).

Image Removed

Image Added

10. Klicken Sie nun auf Logische WLAN-Einstellungen

-> WLAN

→ WLAN-Netzwerk 1 und aktivieren Sie dieses logische WLAN-Netzwerk. Als Netzwerk-Name tragen Sie bitte WLAN_VERWALTUNG ein. Alle anderen Einstellungen in diesem Dialog belassen wir bei den voreingestellten Standardwerten.

11. Schließen Sie den Dialog mit OK.

Image Removed

Image Added

12. Klicken Sie auf Logische WLAN-Einstellungen

-> WLAN

→ WLAN-Netzwerk 2 und aktivieren Sie dieses logische WLAN-Netzwerk. Als Netzwerk-Name tragen Sie bitte WLAN_GAESTE ein. Alle anderen Einstellungen in diesem Dialog belassen wir bei den voreingestellten Standardwerten.

13. Schließen Sie den Dialog mit OK.

Image Removed

Image Added

14. Für die beiden eingerichteten WLAN-Netzwerke müssen nun noch die Verschlüsselungs-Einstellungen konfiguriert werden.

Laut unserer Szenario-Vorgabe, soll das Verwaltungs-WLAN verschlüsselt sein und es soll mit einer fest definierten Passphrase zugegriffen werden können.

Der Zugriff auf das Gäste-WLAN wird später über die Public-Spot Option reglementiert, daher kann die Verschlüsselung für dieses WLAN-Netzwerk deaktiviert werden.

15. Wechseln Sie in den Bereich 802.11i/WEP und klicken Sie auf die Schaltfläche WPA-/Einzel-WEP-Einstell....

Image Removed

Image Added

16. Markieren Sie den ersten Eintrag (Wireless Netzwerk 1) in der Liste und klicken Sie auf Bearbeiten....

Image Removed

Image Added

17. Die Verschlüsselungs-Einstellungen für das Verwaltungs-WLAN belassen wir auf der sicheren WPA1/2 mit TKIP/AES Methode. Im Feld Schlüssel 1/Passphrase müssen Sie nun die zur Authentifizierung nötige Passphrase (Kennwort) eintragen. Schließen Sie den Dialog dann mit OK.

Image Removed

Image Added

18. Markieren Sie den zweiten Eintrag (Wireless Netzwerk 2) in der Liste und klicken Sie auf Bearbeiten....

Image Removed

Image Added

19. Die Verschlüsselungs-Einstellungen für das Gäste-WLAN können Sie deaktivieren, da sich die Gäste später über die Public-Spot Funktion mit Benutzername und Passwort anmelden müssen, um in das Gäste-LAN bzw. -WLAN zu kommen. Schließen Sie den Dialog dann mit OK.

Image Removed

Image Added

20. Klicken Sie im Dialog WPA-/Einzel-WEP-Einstell... auf die Schaltfläche OK und Sie befinden sich wieder im Konfigurationsdialog des LANCOM. Damit ist die Konfiguration des Verwaltungs- und Gäste-WLAN abgeschlossen.

21. Da die jeweiligen LAN- und WLAN-Netzwerke für Verwaltung und Gäste über den jeweils gleichen IP-Adressbereich erreicht werden sollen, müssen wir die logischen Interfaces für LAN und WLAN nun in sogenannten Bridge-Gruppen zusammenfassen. Folgendes soll zusammengefasst werden:

Netzwerk VERWALTUNG:
- LAN-Ports ETH-1 und ETH-2 sollen mit dem logischen WLAN-Interface WLAN-1 in der Bridge-Gruppe 1 (BRG-1) zusammengefasst werden.

Netzwerk GAESTE:
- LAN-Port ETH-4 soll mit dem logischen WLAN-Interface WLAN-1-2 in der Bridge-Gruppe 2 (BRG-2) zusammengefasst werden.

22. Wechseln Sie in das Menü Schnittstellen

-> LAN

→ LAN.

23. Da auf dem physikalischen LAN-Port ETH 4 das Gäste-Netzwerk betrieben werden soll, müssen Sie dieses zunächst einem anderen logischen LAN-Interface zuweisen. Klicken Sie dazu auf Ethernet-Ports

-> ETH

→ ETH 4 und stellen Sie im folgenden Dialog die Interface-Verwendung auf LAN-4. Schließen Sie das Fenster dann mit OK.

Image Removed

Image Added

24. Jetzt beginnen wir damit, die logischen LAN- und WLAN-Interfaces in Bridge-Gruppen zusammenzufassen.

25. Klicken Sie auf Port-Tabelle → LAN-

> LAN-

1 und weisen Sie dem logischen Netzwerk LAN-1 die Bridge-Gruppe BRG-1 zu. Schließen Sie das Fenster dann mit OK.

26. Klicken Sie auf Port-Tabelle

-> WLAN

→ WLAN-1 und weisen Sie dem logischen Netzwerk WLAN-1 ebenfalls die Bridge-Gruppe BRG-1 zu. Schließen Sie das Fenster dann mit OK.

27. Damit haben Sie die Zusammenfassung in Bridge-Gruppen für das Netzwerk VERWALTUNG abgeschlossen.

Image Removed

Image Added

28. Klicken Sie auf Port-Tabelle

-> LAN

→ LAN-4 und weisen Sie dem logischen Netzwerk LAN-4 die Bridge-Gruppe BRG-2 zu. Schließen Sie das Fenster dann mit OK.

29. Klicken Sie auf Port-Tabelle

-> WLAN

→ WLAN-1-2 und weisen Sie dem logischen Netzwerk WLAN-1-2 ebenfalls die Bridge-Gruppe BRG-2 zu. Schließen Sie das Fenster dann mit OK.

30. Damit haben Sie die Zusammenfassung in Bridge-Gruppen für das Netzwerk GAESTE abgeschlossen.

Image Removed

Image Added

Einrichtung der Public Spot-Funktion für das Netzwerk GAESTE:

1. Wechseln Sie im Konfigurationsdialog des LANCOM

-

Routers in das Menü Public-Spot und aktivieren Sie Option mit dem Modus Public-Spot - mit Name und Passwort anmelden.

Image Removed

Image Added

2. Öffnen Sie die Registerkarte Public-Spot und aktivieren Sie die Option nun für das logische Interface LAN-4 und das logische WLAN-Interface WLAN-1-2.

Image Removed

Image Added

3. In diesem Konfigurationsbeispiel verwenden wir den internen RADIUS-Server des LANCOM

-

Routers zur Verwaltung der Public-Spot Benutzerdaten. Daher müssen Sie die Verbindungsdaten des internen RADIUS-Servers in der Anbieter-Liste der Registerkarte Public-Spot-Benutzer eintragen.

Image Removed

Image Added

4. Klicken Sie auf die Schaltfläche Hinzufügen....

Image Removed

Image Added

5. Tragen Sie im Feld Anbieter einen Namen ein. In diesem Beispiel verwenden wir RADIUS.

6. Da wir den internen RADIUS-Server des LANCOM Routers verwenden, müssen Sie in den Feldern Auth.-Server IP-Adresse und Acc.-Server IP-Adresse jeweils die Localhost-Adresse des LANCOM eintragen (127.0.0.1).

7. Als Port-Nummern für Auth.- bzw. Acc.-Server verwenden wir die Standard-Ports 1.812 (Auth.-Server Port) und 1.813 (Acc.- Server Port).

Image Removed

Image Added

8. Bestätigen Sie Ihre Eingaben mit OK.

9. Jetzt müssen noch einige Konfigurationsschritte am internen RADIUS-Server des LANCOM

-

Routers vorgenommen werde. Wechseln Sie dazu in das Menü RADIUS-Server.

10. Unter RADIUS-Dienst müssen Sie die Port-Nummern für Authentifizierungs-Port (1.812) und Accounting-Port (1.813) eintragen.

11. Eine nützliche Funktion ist die automatische Bereinigung der Benutzertabelle, daher sollten Sie diese Funktion zusätzlich aktivieren.

Image Removed

Image Added

12. Damit ist die Konfiguration der Public-Spot-Funktion für das Netzwerk GAESTE abgeschlossen.

13. Schreiben Sie die bisherige Konfiguration des LANCOM

-

Routers mit OK in das Gerät zurück.

Einrichtung der Content-Filter-Funktion für das Netzwerk GAESTE:

Eine weitere Anforderung an unser Szenario ist, dass die Internetzugriffe im Gäste-Netzwerk durch den Content-Filter reglementiert werden. Es wird in diesem Beispiel eine Content-Filter-Lizenz für 10 Benutzer verwendet. Der Internet-Zugriff für einen elften (oder weitere) Content-Filter Benutzer soll geblockt werden.

Info:
In diesem Beispiel wird eine Grundkonfiguration des Content-Filters durchgeführt. Es gibt sehr viele weitere Konfigurationsvarianten. Informationen dazu können Sie im Handbuch des Content-Filters oder der LANCOM Support Knowledgebase nachlesen.

1. Zur initialen Einrichtung des Content-Filters empfiehlt es sich, den Setup-Assistenten des Gerätes zu verwenden.

2. Wählen Sie die Option Content-Filter einrichten und klicken Sie auf Weiter.

Image Removed

Image Added

3. Bestätigen Sie den folgenden Dialog mit Weiter.

Image Removed

Image Added

4. In diesem Beispiel verwenden wir das Sicherheits-Profil Basis, da dieses die wesentlichen Sicherheitsparameter abbildet.

Image Removed

Image Added

5. Klicken Sie auf Weiter und beenden Sie den Setup-Assistenten mit Fertig stellen.

Image Removed

Image Added

6. Öffnen Sie den Konfigurationsdialog des LANCOM-Routers und wechseln Sie in das Menü Content-Filter.

7. Stellen Sie sicher, dass der Content-Filter aktiviert ist und das bei der Option Bei Lizenzüberschreitung der Parameter Verboten eingestellt ist. Damit ist sichergestellt, das der Internetzugriff für einen elften (oder weitere) Benutzer (siehe Szenario-Vorgabe) geblockt wird.

Image Removed

Image Added

8. Da der Content-Filter nur für Internet-Zugriffe aus dem Gäste-Netzwerk eingesetzt werden soll, müssen Sie nun noch die Firewall-Regel für den Content-Filter modifizieren.

Wechseln Sie hierzu in das Menü Firewall/QoS und bearbeiten Sie die Firewall Regel CONTENT-FILTER.

Image Removed

Image Added

9. In der Registerkarte Stationen müssen Sie bei der Verbindungs-Quelle das Objekt LOCALNET entfernen und stattdessen das Netzwerk GAESTE eintragen.

10. Markieren Sie zunächst das Objekt LOCALNET und klicken Sie dann auf Entfernen.

Image Removed

Image Added

11. Klicken Sie auf Hinzufügen

-> Benutzerdefinierte

→ Benutzerdefinierte Station hinzufügen.

12. Wählen Sie im folgenden Dialog Alle Stationen in lokalen Netzwerk aus und stellen Sie bei Netzwerk-Name den Parameter GAESTE ein.

13. Bestätigen Sie Ihre Eingaben mit OK.

Image Removed

Image Added

14. Die modifizierte Firewall-Regel sollte dann folgendermaßen aussehen:

Image Removed

Image Added

15. Damit ist die Konfiguration des Content-Filters abgeschlossen.

Einrichtung der Internet-Zugriffs-Regelung für die Netzwerke VERWALTUNG und GAESTE:

Eine weitere Vorgabe dieses Szenarios ist es, dass die Netzwerke VERWALTUNG und GAESTE jeweils eine eigene Internet-Verbindung benutzen sollen.

Dazu sind auf dem LANCOM

-

Router zwei DSL-Gegenstellen eingerichtet (INTERNET1 und INTERNET2) und fertig konfiguriert.

Image Removed

Image Added

Es soll nun möglich sein, dass die Internet-Zugriffe aus dem Netz VERWALTUNG nur über die Internet-Verbindung INTERNET1 laufen, die Internet-Zugriffe aus dem Netz GAESTE sollen ausschließlich über die Internet-Verbindung INTERNET2 laufen.

Um dies zu realisieren müssen in der Firewall zwei entsprechende Regeln angelegt werden.

1. Öffnen Sie den Konfigurationsdialog des LANCOM-Routers und wechseln Sie in das Menü Firewall/QoS

-> Regeln -> Regeln

→ Regeln → Regeln....

Image Removed

Image Added

2. Klicken Sie auf Hinzufügen... und vergeben Sie in der Registerkarte Allgemein einen Namen für die Firewall-Regel (hier: INTERNET_VERWALTUNG).

Image Removed

Image Added

2. Stellen Sie in der Registerkarte Aktionen das Aktions-Objekt ACCEPT ein.

Image Removed

Image Added

3. Wählen Sie unter Verbindungs-Quelle die Option Verbindung von folgenden Stationen und fügen Sie mit Hinzufügen... die benutzerdefinierte Station VERWALTUNG hinzu.

Image Removed

Image Added

4. Wählen Sie unter Verbindungs-Ziel die Option Verbindung von folgenden Stationen und fügen Sie mit Hinzufügen... die benutzerdefinierte Station INTERNET1 hinzu.

5. Speichern Sie die Firewall-Regel dann mit der Schaltfläche OK.

Image Removed

Image Added

6. Klicken Sie in der Firewall-Liste erneut auf Hinzufügen... und vergeben Sie in der Registerkarte Allgemein einen Namen für die zweite Firewall-Regel (hier: INTERNET_GAESTE).

Image Removed

Image Added

7. Stellen Sie in der Registerkarte Aktionen das Aktions-Objekt ACCEPT ein.

Image Removed

Image Added

8. Wählen Sie unter Verbindungs-Quelle die Option Verbindung von folgenden Stationen und fügen Sie mit Hinzufügen... die benutzerdefinierte Station GAESTE hinzu.

Image Removed

Image Added

9. Wählen Sie unter Verbindungs-Ziel die Option Verbindung von folgenden Stationen und fügen Sie mit Hinzufügen... die benutzerdefinierte Station INTERNET2 hinzu.

10. Speichern Sie die Firewall-Regel dann mit der Schaltfläche OK.