Quelle anzeigen

LCOS LX-Version und -Syntaxbeschreibung

Dieses Dokument beschreibt die sicherheitsrelevanten Einstellungen LCOS LX-basierter Access Points. Es dient als Nachschlagewerk für die Geräte-Administration und den sicheren Betrieb von LANCOM Access Points.

Die beschriebenen Einstellungen gelten für Geräte mit mindestens LCOS LX-Version 7.10. Um insbesondere im Bereich der zentralen Administratorenverwaltung eine umfassende Absicherung zu gewährleisten, sind die Funktionen dieser LCOS LX-Version erforderlich.

Für alle aufgeführten Konfigurationsparameter werden der zugehörige Kommandozeilenpfad, die erforderlichen Befehle zur Parametereinstellung sowie Empfehlungen zu Einstellungen sicherheitsrelevanter Werte dargestellt.

Bei allen Verschlüsselungs- und Hash-Verfahren empfehlen wir, stets die stärksten Krypto-Algorithmen zu verwenden!

Bitte beachten Sie die Mindestanforderungen für sichere Passwörter:

Um die Mindestanforderung an Passwörter zu erfüllen, sollten die nachfolgenden Anforderungen umgesetzt werden. Alle Passwörter dürfen nicht im Wörterbuch vorkommen, sollten keine persönlichen Daten enthalten (z.B. Geburtsdatum, Name des Haustiers) und dürfen kein Tastaturmuster (z.B. „qwertz“) sein.

Es kann aus einem Merksatz abgeleitet werden und muss alle vier Zeichensätze (Großbuchstaben, Kleinbuchstaben, Ziffern und Sonderzeichen) nutzen (z.B. Unser Zweckverband besteht aus 13 Gemeinden und wir arbeiten alle wirklich sehr gerne dort! => UZba13Guwaawsgd!).

Hinweis: Unbedingt einen eigenen Merksatz ausdenken!

Das Passwort sollte mindestens 10 Zeichen lang sein oder mindestens die technisch maximal möglichen Stellen umfassen. Dies gilt auch für Passwörter für den Zugang zu sensiblen Bereichen z.B. die Passwörter für Systemadministratoren.

Um die Komplexitätsanforderungen zu erfüllen müssen alle der folgenden Zeichensätze genutzt werden:

Großbuchstaben (A bis Z)
Kleinbuchstaben (a bis z)
Ziffern (0 bis 9)
Sonderzeichen (z.B. !, $, -, %)

Sollte dies nicht möglich sein, so sind zumindest die technisch möglichen Zeichensätze zu verwenden.

Beachten Sie auch die Richtline des BSI zur Erstellung sicherer Passwörter .

Dokument im PDF-Format:

SNMP:

Dieses Menü enthält die Konfiguration von SNMP.

Pfad Konsole:

Setup

Parameter	Pfad	Beschreibung
Send-Traps	Setup → SNMP	Bei schwerwiegenden Fehlern, zum Beispiel bei einem unberechtigten Zugriff, kann das Gerät automatisch eine Fehlermeldung an einen oder mehrere SNMP-Manager senden. Schalten Sie dazu diese Option ein und geben Sie in der Tabelle Target-Addresses die Ziele ein, auf denen diese SNMP-Manager installiert sind.
Port	Setup → SNMP	Über diesen Parameter legen Sie den Port fest, über den der SNMP-Dienst für externe Programme wie z. B. LANmonitor erreichbar ist.
Admitted-Protocols	Setup → SNMP	Aktivieren Sie hier die SNMP-Versionen, die das Gerät bei SNMP-Anfragen und SNMP-Traps unterstützen soll.
Allow-Admins	Setup → SNMP	Sollen registrierte Administratoren (darunter fällt auch der Benutzer root) auch den Zugriff über SNMPv3 erhalten, aktivieren Sie diese Option.
Operating	Setup → SNMP	Dieser Eintrag aktiviert oder deaktiviert SNMP-Traps.

Empfehlungen:

Setup → SNMP → Admitted-Protocols: SNMPv3 verwenden.
Setup → SNMP → Allow-Admins: No (nur in Ausnahmefällen „Yes“)
Setup → SNMP → Operating: Yes (nur wenn Trap-Empfänger definiert sind, sonst „No“)

Communities

SNMP-Agents und SNMP-Manager gehören SNMP-Communities an. Diese Communities fassen bestimmte SNMP-Hosts zu Gruppen zusammen, um diese einerseits einfacher verwalten zu können. Andererseits bieten SNMP-Communities eine eingeschränkte Sicherheit beim Zugriff über SNMP, da ein SNMP-Agent nur SNMP-Anfragen von Teilnehmern akzeptiert, deren Community ihm bekannt ist. In dieser Tabelle konfigurieren Sie die SNMP-Communities.

SNMP-Communities werden nur bei der Verwendung von SNMPv1 & SNMPv2 benötigt. LANCOM Systems empfiehlt aus Sicherheitsgründen, immer SNMPv3 zu verwenden!

Pfad Konsole:

Setup → SNMP

Parameter	Pfad	Beschreibung
Name	Setup → SNMP → Communities	Vergeben Sie hier einen aussagekräftigen Namen für diese SNMP-Community.
Security-Name	Setup → SNMP → Communities	Geben Sie hier die Bezeichnung für die Zugriffsrichtlinie ein, die die Zugriffsrechte für alle Community-Mitglieder festlegt.
Status	Setup → SNMP → Communities	Mit diesem Eintrag aktivieren oder deaktivieren Sie diese SNMP-Community.

Empfehlungen:

Default-Community „public“ deaktivieren oder löschen.
Niemals die vordefinierte Community „public“ aktiv lassen, da sie allgemein bekannt ist und unautorisierten Lesezugriff ermöglicht.
Eigene Communities mit komplexen Namen verwenden.
Community-Namen sollten wie Passwörter behandelt werden: mindestens 16 Zeichen, zufällige Kombination aus Groß-/Kleinbuchstaben, Zahlen und Sonderzeichen.
Nicht benötigte Communities deaktivieren.
Communities, die nicht im Einsatz sind, auf Inactive setzen oder ganz löschen.

Groups

Durch die Konfiguration von SNMP-Gruppen lassen sich Authentifizierung und Zugriffsrechte für mehrere Benutzer komfortabel verwalten und zuordnen.

Pfad Konsole:

Setup → SNMP

Parameter	Pfad	Beschreibung
Security-Model	Setup → SNMP → Groups	SNMPv3 hat das Prinzip des „Security Models“ eingeführt, so dass in der SNMP-Konfiguration von LCOS LX hauptsächlich das Security-Model „SNMPv3“ zum Einsatz kommt. Aus Kompatibilitätsgründen kann es jedoch notwendig sein, auch die Versionen SNMPv2c oder sogar SNMPv1 zu berücksichtigen und entsprechend als „Security-Model“ auszuwählen. Entsprechend wählen Sie hier ein Security-Modell aus.
Security-Name	Setup → SNMP → Groups	Wählen Sie hier einen Security-Namen aus, den Sie einer SNMP-Community zugeordnet haben. Auch die Angabe des Namens eines bereits konfigurierten Benutzers ist möglich.
Group-Name	Setup → SNMP → Groups	Vergeben Sie hier einen aussagekräftigen Namen für diese Gruppe. Diesen Namen verwenden Sie anschließend bei der Konfiguration der Zugriffsrechte.
Status	Setup → SNMP → Groups	Aktiviert oder deaktiviert diese Gruppenkonfiguration.

Empfehlungen:

Setup → SNMP → Groups → Security-Model: SNMPv3_USM (AuthPriv mit SHA + AES) verwenden.
Setup → SNMP → Groups → Status: Nur notwendige Gruppen aktivieren, den Rest deaktivieren.

Accesses

Diese Tabelle führt die verschiedenen Konfigurationen für Zugriffsrechte, Security-Models und Ansichten zusammen.

Pfad Konsole:

Setup → SNMP

Parameter	Pfad	Beschreibung
Security-Model	Setup → SNMP → Accesses	Aktivieren Sie hier das entsprechende Security-Model.
Read-View-Name	Setup → SNMP → Accesses	Bestimmen Sie die Ansicht der MIB-Einträge, für die diese Gruppe die Leserechte erhalten soll.
Write-View-Name	Setup → SNMP → Accesses	Bestimmen Sie die Ansicht der MIB-Einträge, für die diese Gruppe die Schreibrechte erhalten soll.
Notify-View-Name	Setup → SNMP → Accesses	Bestimmen Sie die Ansicht der MIB-Einträge, für die diese Gruppe die Notify-Rechte erhalten soll.
Status	Setup → SNMP → Accesses	Aktiviert oder deaktiviert diesen Eintrag.
Min-Security-Level	Setup → SNMP → Accesses	Geben Sie die minimale Sicherheit an, die für Zugriff und Datenübertragung gelten soll.

Empfehlungen:

Setup → SNMP → Accesses → Security-Model: SNMPv3_USM verwenden.
Setup → SNMP → Accesses → Write-View-Name: Leer lassen und nur bei zwingendem Bedarf definieren.
Setup → SNMP → Accesses → Status: Nur notwendige Einträge aktivieren.
Setup > SNMP > Accesses → Min-Security-Level: AuthPriv (SHA+AES) verwenden.

Views

In dieser Tabelle fassen Sie verschiedene Werte oder ganze Zweige der MIB des Gerätes zusammen, die ein Benutzer gemäß seinen Zugriffsrechten einsehen oder verändern kann.

Pfad Konsole:

Setup → SNMP

Parameter	Pfad	Beschreibung
View-Name	Setup → SNMP → Views	Vergeben Sie hier der Ansicht einen aussagekräftigen Namen.
OID-Subtree	Setup → SNMP → Views	Bestimmen Sie durch komma-separierte Angabe der jeweiligen OIDs, welche Werte und Aktionen der MIB diese Ansicht einschließen soll.
Type	Setup → SNMP → Views	Bestimmen Sie, ob die nachfolgend angegebenen OID-Teilbäume Bestandteil („Included“) oder kein Bestandteil („Excluded“) der Ansicht sind.
Status	Setup → SNMP → Views	Aktiviert oder deaktiviert diese Ansicht.

Empfehlungen:

Setup → SNMP → Views → OID-Subtree: Nur relevante Monitoring-OIDs (z. B. ifTable, Systemstatus) verwenden.
Setup → SNMP → Views → Type: Included für notwendige, Excluded für sensible OIDs verwenden.
Setup → SNMP → Views → Status: Nur notwendige Views aktivieren, den Rest deaktivieren.

Users

Dieses Menü enthält die Benutzerkonfiguration.

Pfad Konsole:

Setup → SNMP

Parameter	Pfad	Beschreibung
Username	Setup → SNMP → Users	Geben Sie hier den SNMPv3 Benutzernamen an.
Authentication-Protocol	Setup → SNMP → Users	Bestimmen Sie, mit welchem Verfahren sich der Benutzer am SNMP-Agent authentifizieren muss.
Authentication-Password	Setup → SNMP → Users	Geben Sie hier das für die Authentifizierung notwendige Passwort des Benutzers ein.
Privacy-Password	Setup → SNMP → Users	Geben Sie hier das für die Verschlüsselung notwendige Passwort des Benutzers ein.
Status	Setup → SNMP → Users	Aktiviert oder deaktiviert diesen Benutzer.
Authentication-Password-Type	Setup → SNMP → Users	Passwort für die Authentifizierung. Falls Sie z. B. über die Konsole dort ein neues Passwort eintragen wollen, dann müssen Sie vorher hier den Typ auf „Plaintext“ ändern. Danach kann ein Passwort im Klartext eingegeben werden. LCOS LX wird anschließend das Passwort verschlüsseln und diesen Wert wieder auf „Masterkey“ zurücksetzen.
Privacy-Password-Typ	Setup → SNMP → Users	Passwort für die Verschlüsselung. Falls Sie z. B. über die Konsole dort ein neues Passwort eintragen wollen, dann müssen Sie vorher hier den Typ auf „Plaintext“ ändern. Danach kann ein Passwort im Klartext eingegeben werden. LCOS LX wird anschließend das Passwort verschlüsseln und diesen Wert wieder auf „Masterkey“ zurücksetzen.

Empfehlungen:

Setup → SNMP → Users → Authentication-Protocol: HMAC-SHA256 oder höher verwenden.
Setup → SNMP → Users → Authentication-Password: Langes, komplexes Passwort, regelmäßig rotieren.
Setup → SNMP → Users → Privacy-Protocol: AES256 verwenden.
Setup → SNMP → Users → Privacy-Password: Separates, komplexes Passwort verwenden. Darf nicht Authentication-Password identisch sein.
Setup → SNMP → Users → Authentication-/Privacy-Password-Type: Masterkey (Standard) verwenden. Nur bei Eingabe kurzzeitig Plaintext erlaubt.
Setup → SNMP → Users → Status: Nur aktive und benötigte User verwenden.

Target-Addresses

In der Liste der Empfängeradressen konfigurieren Sie die Empfänger, an die der SNMP-Agent die SNMP-Traps versendet.

Pfad Konsole:

Setup → SNMP

Parameter	Pfad	Beschreibung
Name	Setup → SNMP → Target-Addresses	Geben Sie hier den Ziel-Adress-Namen an.
Transport-Address	Setup → SNMP → Target-Addresses	Die Transportadresse beschreibt die IP-Adresse und Port-Nummer eines SNMP-Trap-Empfängers und wird in der Syntax <IP-Adresse>:<Port> angegeben (z. B. 128.1.2.3:162). Der UDP-Port 162 wird für SNMP-Traps verwendet.
Parameters-Name	Setup → SNMP → Target-Addresses	Wählen Sie hier den gewünschten Eintrag aus der Liste der Empfängerparameter aus.
Status	Setup → SNMP → Target-Addresses	Aktiviert oder deaktiviert diese Zieladresse.

Empfehlungen:

Setup → SNMP → Target-Addresses → Status: Nur produktive Ziele aktivieren, den Rest deaktivieren.

Target-Params

In dieser Tabelle konfigurieren Sie, wie der SNMP-Agent die SNMP-Traps behandelt, die er an die Empfänger versendet.

Pfad Konsole:

Setup → SNMP

Parameter	Pfad	Beschreibung
Name	Setup → SNMP → Target-Params	Vergeben Sie hier dem Eintrag einen aussagekräftigen Namen.
Message-Processing-Model	Setup → SNMP → Target-Params	Bestimmen Sie hier, nach welchem Protokoll der SNMP-Agent die Nachricht strukturiert.
Security-Model	Setup → SNMP → Target-Params	Legen Sie mit diesem Eintrag das Sicherheitsmodell fest.
Security-Name	Setup → SNMP → Target-Params	Wählen Sie hier einen Security-Namen aus, den Sie einer SNMP-Community zugeordnet haben. Auch die Angabe des Namens eines bereits konfigurierten Benutzers ist möglich.
Security-Level	Setup → SNMP → Target-Params	Legen Sie die Sicherheitsstufe fest, die für den Erhalt der SNMP-Traps beim Empfänger gelten soll.
Status	Setup → SNMP → Target-Params	Aktiviert oder deaktiviert diesen Eintrag.

Empfehlungen:

Setup → SNMP → Target-Params → Message-Processing-Model: SNMPv3 verwenden.
Setup → SNMP → Target-Params → Security-Model: SNMPv3_USM verwenden.
Setup → SNMP → Target-Params → Security-Level: AuthPriv verwenden.
Setup → SNMP → Target-Params → Status: Active (nur für produktive Einträge)

Config:

Enthält die allgemeinen Konfigurationseinstellungen.

Pfad Konsole:

Setup

Parameter	Pfad	Beschreibung
Administrator	Setup → Config	Name des Geräte-Administrators. Wird nur zu Anzeigezwecken verwendet.
Config-Aging-Minutes	Setup → Config	Hier können Sie angeben, nach wieviel Minuten der Inaktivität eine Konfigurations-Verbindung über TCP (z. B. SSH-Verbindung) automatisch beendet wird.
Admins	Setup → Config	Legen Sie für Administratoren in dieser Tabelle an, die gegebenenfalls über eingeschränkte Rechte verfügen.
Administrator	Setup → Config → Admins	Anmeldename des Administrators in dieser Zeile der Tabelle.
Function-Rights	Setup → Config → Admins	Aktivieren Sie hier die Funktionsrechte des Administrators in dieser Zeile der Tabelle.
Rights	Setup → Config → Admins	Die Rechte des Administrators in dieser Zeile der Tabelle.
Hashed-Password	Setup → Config → Admins	Hashwert des Passworts des Administrators in dieser Zeile der Tabelle.

Empfehlungen:

Setup → Config → Admins → Administrator: Individuellen Benutzername pro Administrator verwenden.
Setup → Config → Admins → Function-Rights / Rights: Nur benötigte Rechte vergeben (Least Privilege).

Tacacs-Plus

Konfigurieren Sie hier Authentifizierung, Autorisierung und Accounting (AAA) mittels des TACACS+-Protokolls. Ist dieses Feature aktiv, werden Admin-Anmeldungen gegen den TACACS+-Server geprüft und angezeigte und geänderte Konfigurationspunkte an den TACACS+-Server zur Freigabe und / oder Logging übertragen.

Pfad Konsole:

Setup → Config

Parameter	Pfad	Beschreibung
Operating	Setup → Config → Tacacs-Plus	Schaltet die Verwendung von TACACS+ ein oder aus.
Internal-fallback-allowed	Setup → Config → Tacacs-Plus	Ist diese Option aktiviert, kann bei nicht erreichbaren TACACS+-Servern ein Login mit lokalen Benutzerdaten durchgeführt werden.
Server-Address	Setup → Config → Tacacs-Plus	Die IP-Adresse des primären TACACS+-Servers.
Server-Port	Setup → Config → Tacacs-Plus	Der Port des primären TACACS+-Servers.
Server-Secret	Setup → Config → Tacacs-Plus	Der für die Kommunikation mit dem primären TACACS+-Server verwendete Schlüssel.
Spare-Server-Address	Setup → Config → Tacacs-Plus	Die IP-Adresse des Backup-TACACS+-Servers.
Spare-Server-Port	Setup → Config → Tacacs-Plus	Der Port des Backup-TACACS+-Servers.
Spare-Server-Secret	Setup → Config → Tacacs-Plus	Der für die Kommunikation mit dem Backup-TACACS+-Server verwendete Schlüssel.

Empfehlungen:

Setup → Config → Tacacs-Plus → Operating: Yes
Setup → Config → Tacacs-Plus → Internal-fallback-allowed: No
Setup → Config → Tacacs-Plus → Server-Address: Interne Management-IP verwenden (z. B. 10.0.0.10).
Setup → Config → Tacacs-Plus → Server-Port: 49
Setup → Config → Tacacs-Plus → Server-Secret: Starkes, komplexes Secret mit mindestens 32 Zeichen verwenden.
Setup → Config → Tacacs-Plus → Spare-Server-Address: Interne Backup-IP verwenden (z. B. 10.0.0.11).
Setup → Config → Tacacs-Plus → Spare-Server-Port: 49
Setup → Config → Tacacs-Plus → Spare-Server-Secret: Ein starkes und eigenes Secret einsetzen.

SSH

Konfigurieren Sie hier Einstellungen zu SSH.

Pfad Konsole:

Setup → Config

Parameter	Pfad	Beschreibung
RSA-Hostkey-Length	Setup → Config → SSH	Die Länge des SSH-Hostkeys kann zwischen 2048 Bits und 4096 Bits gewählt werden. Nach der Änderung der Einstellung wird der Hostkey sofort neu generiert.
Root-Hashed	Setup → Config → SSH	Hashwert des Passworts des Administrators root.

Empfehlungen:

Setup → Config → SSH → RSA-Hostkey-Length: 4096 Bits Schlüssellänge verwenden.

WLAN:

Konfigurationseinstellungen der WLAN-Parameter.

Pfad Konsole:

Setup → WLAN

Network

Konfigurieren Sie hier alle generellen Einstellungen rund um die auszustrahlenden WLAN-Netzwerke (SSIDs). Fügen Sie je WLAN-Netzwerk eine Zeile zur Tabelle hinzu. Standardmäßig ist die Tabelle leer.

Pfad Konsole:

Setup → WLAN

Parameter	Pfad	Beschreibung
Network-Name	Setup → WLAN → Network	Konfigurieren Sie hier einen sprechenden Namen für das WLAN-Netzwerk. Dieser interne Name wird verwendet, um die Interface-Konfiguration in weiteren Teilen der Konfiguration zu referenzieren.
SSID-Name	Setup → WLAN → Network	Konfigurieren Sie hier den nach außen sichtbaren SSID-Namen. Dieser Name wird auf den WLAN-Clients angezeigt, wenn nach WLAN-Netzwerken gesucht wird.
Closed-Network	Setup → WLAN → Network	Konfigurieren Sie hier, ob die konfigurierte SSID während der Netzwerksuche durch Clients angezeigt werden soll. Wenn der SSID-Broadcast unterdrückt wird, dann antwortet der Access Point nicht mehr auf Probe Requests mit leerer SSID. In diesem Fall muss für einen Verbindungsaufbau die SSID explizit am Client eingetragen und konfiguriert werden.
Max-Stations	Setup → WLAN → Network	Die Zahl gibt an, wieviele Clients gleichzeitig im WLAN-Netzwerk eingebucht sein können, bevor die Anfrage eines weiteren Clients abgewiesen wird.
Inter-Station-Traffic	Setup → WLAN → Network	Je nach Anwendungsfall ist es gewünscht oder eben auch nicht erwünscht, dass die an einem Access Point angeschlossenen WLAN-Clients mit anderen Clients kommunizieren. Konfigurieren Sie hier, ob die Kommunikation der WLAN-Clients innerhalb des WLAN-Netzwerks erlaubt sein soll.
Client-Isolation	Setup → WLAN → Network	Soll die Kommunikation von WLAN-Clients untereinander, bzw. generell zu nicht zulässigen Zielen im Netzwerk unterbunden werden, kann die Client-Isolierung konfiguriert werden. Hierbei wird jeglicher Datenverkehr ausgehend von WLAN-Clients zu nicht explizit in einer Whitelist erfassten Zielen verboten. Die Client-Isolierung kann hier je SSID eingeschaltet werden.
Min-Client-Strength	Setup → WLAN → Network	Konfigurieren Sie hier die minimale Signalstärke in Prozent, mit der ein Client vom Access Point „gesehen“ werden muss, damit diesem die Anmeldung am WLAN-Netzwerk erlaubt wird.
Exclude-From-Client-Management	Setup → WLAN → Network	Nimmt diese SSID gegebenenfalls vom Band Steering aus.
Timeframe	Setup → WLAN → Network	Geben Sie hier den Namen eines Zeitrahmens an, über den diese SSID zeitgesteuert an- bzw. abgeschaltet wird.
Block-Multicast	Setup → WLAN → Network	Hiermit können Multicasts, die von WLAN-Clients gesendet oder von diesen empfangen werden, blockiert werden. Es kann nach IPv4 und IPv6 unterschieden werden.
Bridge	Setup → WLAN → Network	Wird bei WLC-Betrieb intern verwendet bzw. bei Verwendung von L2TP muss hier das L2TP-Interface eingetragen werden.
Key	Setup → WLAN → Network	Konfigurieren Sie hier den Pre-shared Key (PSK), der für das WLAN-Netzwerk verwendet wird.
Encryption-Profile	Setup → WLAN → Network	Konfigurieren Sie hier ein Verschlüsselungs-Profil aus den in Setup → WLAN → Encryption vorhandenen, welches definiert, welches Authentisierungs- und Verschlüsselungsverfahren für die SSID zum Tragen kommen soll.
Idle-Timeout	Setup → WLAN → Network	Dies ist die Zeit in Sekunden, nach der ein Client getrennt wird, wenn der Access Point keine Pakete mehr von ihm empfangen hat. Jeglicher Datenverkehr des Clients setzt diesen Timeout wieder zurück.

Empfehlungen:

Setup → WLAN → Network → Inter-Station-Traffic: Yes (Wenn Clients untereinander kommunizieren sollen).
Setup → WLAN → Network → Client-Isolation: No (Keine Isolation, interne Kommunikation erlaubt).
Setup → WLAN → Network → Min-Client-Strength: 20 (Sehr schwache Verbindungen werden verhindert).
Setup → WLAN → Network → Block-Multicast: No (Multicast-Verkehr, z. B. für Drucker/Streaming, bleibt erlaubt)
Setup → WLAN → Network → Key: Starkes WPA3-PSK Passwort (Hohe Sicherheit für WLAN-Zugriff).
Setup → WLAN → Network → Idle-Timeout: 600 s (Trennt inaktive Clients nach 10 Minuten und schont somit Ressourcen)

Encryption

Konfigurieren Sie hier alle Einstellungen rund um die Verschlüsselung und Authentisierung der WLAN-Netzwerke. Standardmäßig sind bereits einige Verschlüsselungsprofile hinterlegt und können in der Konfiguration der WLAN-Netzwerke verwendet werden.

Pfad Konsole:

Setup → WLAN

Parameter	Pfad	Beschreibung
Profile-Name	Setup → WLAN → Encryption	Wählen Sie hier einen sprechenden Namen für das Verschlüsselungsprofil. Dieser interne Name wird verwendet, um das Verschlüsselungsprofil in weiteren Teilen der Konfiguration zu referenzieren.
Encryption	Setup → WLAN → Encryption	Konfigurieren Sie hier, ob das WLAN-Netzwerk verschlüsselt sein soll oder keine Verschlüsselung verwendet werden soll (Open Network).
Method	Setup → WLAN → Encryption	Konfigurieren Sie hier die Verschlüsselungsmethode.
WPA-Version	Setup → WLAN → Encryption	Konfigurieren Sie hier die WPA-Version, welche für die Verschlüsselungsmethoden 802.11i-WPA-PSK und 802.11i-WPA-802.1X verwendet werden.
WPA-Rekeying-Cycle	Setup → WLAN → Encryption	Ein 48 Bit langer Initialization Vector (IV) erschwerte bei WEP die Berechnung des Schlüssels für Angreifer. WPA führte darüber hinaus die Verwendung eines neuen Schlüssels für jedes Datenpaket ein (Per-Packet Key Mixing und Re-Keying). Die Wiederholung des aus IV und WPA-Schlüssel bestehenden echten Schlüssels würde erst nach 16 Millionen Paketen erfolgen. In stark genutzten WLANs also erst nach einigen Stunden. Um die Wiederholung des echten Schlüssels zu verhindern, sieht WPA eine automatische Neuaushandlung des Schlüssels in regelmäßigen Abständen vor. Damit wird der Wiederholung des echten Schlüssels vorgegriffen. Konfigurieren Sie hier die Zeit in Sekunden, nach der der Access Point bei Verwendung einer WPA-Version einen Austausch der verwendeten Schlüssel durchführt.
WPA1-Session-Keytypes	Setup → WLAN → Encryption	Konfigurieren Sie hier, welcher Sitzungsschlüssel-Typ für die WPA-Version 1 verwendet wird. Dies beeinflusst auch das verwendete Verschlüsselungsverfahren.
WPA2-3-Session-Keytypes	Setup → WLAN → Encryption	Konfigurieren Sie hier, welcher Sitzungsschlüssel-Typ für die WPA-Version 2 bzw.3 angeboten werden sollen. Dies beeinflusst auch das verwendete Verschlüsselungsverfahren.
Prot.-Mgmt-Frames	Setup → WLAN → Encryption	Die in einem WLAN übertragenen Management-Informationen zum Aufbau und Betrieb von Datenverbindungen sind standardmäßig unverschlüsselt. Jeder innerhalb einer WLAN-Zelle kann diese Informationen empfangen und auswerten, selbst wenn er nicht an einem Access Point angemeldet ist. Das birgt zwar keine Gefahren für eine verschlüsselte Datenverbindung, kann aber die Kommunikation innerhalb einer WLAN-Zelle durch gefälschte Management-Informationen empfindlich stören. Der Standard IEEE 802.11w verschlüsselt die übertragenen Management-Informationen (Protected Management Frames, PMF), so dass ein Angreifer, der nicht im Besitz des entsprechenden Schlüssels ist, die Kommunikation nicht mehr stören kann.
Prot.-Beacons	Setup → WLAN → Encryption	Der Standard IEEE 802.11be (Wi‑Fi 7) schreibt die Verwendung von Beacon Protection vor. Dies kann hier konfiguriert werden.
Pre-Authentication	Setup → WLAN → Encryption	Die schnelle Authentifizierung über den Pairwise Master Key (PMK) funktioniert nur, wenn der WLAN-Client sich bereits zuvor am AP angemeldet hat. Um die Dauer für die Anmeldung am AP schon beim ersten Anmeldeversuch zu verkürzen, nutzt der WLAN-Client die Prä-Authentifizierung. Normalerweise scannt ein WLAN-Client im Hintergrund die Umgebung nach vorhandenen APs, um sich ggf. mit einem von ihnen neu verbinden zu können. APs, die WPA2/802.1X unterstützen, können ihre Fähigkeit zur Prä-Authentifizierung den anfragenden WLAN-Clients mitteilen. Eine WPA2-Prä-Authentifizierung unterscheidet sich dabei von einer normalen 802.1X-Authentifizierung in den folgenden Abläufen: Der WLAN-Client meldet sich am neuen AP über das Infrastruktur-Netzwerk an, das die APs miteinander verbindet. Das kann eine Ethernet-Verbindung, ein WDS-Link (Wireless Distribution System) oder eine Kombination beider Verbindungen sein. Ein abweichendes Ethernet-Protokoll (EtherType) unterscheidet eine Prä-Authentifizierung von einer normalen 802.1X-Authentifizierung. Damit behandeln der aktuelle AP sowie alle anderen Netzwerkpartner die Prä-Authentifizierung als normale Datenübertragung des WLAN-Clients. Nach erfolgreicher Prä-Authentifizierung speichern jeweils der neue AP und der WLAN-Client den ausgehandelten PMK.
OKC	Setup → WLAN → Encryption	Diese Option aktiviert oder deaktiviert das Opportunistic Key Caching (OKC).
WPA2-Key-Management	Setup → WLAN → Encryption	Bestimmen Sie hier, nach welchem Standard das WPA2-Schlüsselmanagement funktionieren soll.
PMK-IAPP-Secret	Setup → WLAN → Encryption	Diese Passphrase wird verwendet, um verschlüsseltes Opportunistic Key Caching zu realisieren. Dies ist erforderlich, um Fast Roaming über IAPP zu verwenden. Dabei muss jeder Schnittstelle in den WLAN-Verbindungseinstellungen eine individuelle IAPP-Passphrase zugewiesen werden. Diese wird verwendet, um die Pairwise Master Keys (PMKs) zu verschlüsseln. Somit können Access Points mit übereinstimmender IAPP-Passphrase (PMK-IAPP-Secret) PMKs untereinander austauschen und unterbrechungsfreie Verbindungen sicherstellen. Stellen Sie daher sicher, dass diese Passphrase auf allen Access Points, zwischen denen mittels Fast Roaming geroamt werden soll, identisch ist.
RADIUS-Server-Profile	Setup → WLAN → Encryption	Konfigurieren Sie hier das RADIUS-Serverprofil, welches bei der Verwendung von 802.1X zum Einsatz kommt. Bei der Verwendung von PSK-basierten Verschlüsselungsmethoden ist hier keine Eingabe erforderlich.
SAE/OWE-Groups	Setup → WLAN → Encryption	Enthält die Auswahl der angebotenen Diffie-Hellman-Gruppen als Bitmaske, auf deren Basis die Protokollpartner einen Schlüssel für den Datenaustausch erstellen. Die vorhandenen Gruppen nutzen elliptische Kurven. Das bei WPA3 verwendete Authentisierungsverfahrens SAE (Simultaneous Authentication of Equals) nutzt diese Verfahren zusammen mit AES zur Erzeugung eines kryptographisch starken Schlüssels.

Empfehlungen:

Setup → WLAN → Encryptionn → Encryption: Yes (Verschlüsselung immer aktivieren für sichere Datenübertragung).
Setup → WLAN → Encryption → Method: 802.11i-WPA-PSK oder 802.11i-WPA-802.1X (Sichere Verfahren für PSK oder RADIUS).
Setup → WLAN → Encryption → WPA-Version: WPA3 (Maximale Sicherheit, moderne WLAN-Clients unterstützen diese).
Setup → WLAN → Encryption → WPA-Rekeying-Cycle: 3600 s (Schlüssel regelmäßig erneuern, denn es schützt vor Schlüsselwiederholung).
Setup → WLAN → Encryption → WPA2-3-Session-Keytypes: AES-CCMP-256 oder AES-GCMP-25 6 (Funktioniert nur mit kompatiblen Clients. Vermeiden Sie die Verwendung von TKIP, da es nicht mehr als sicher gilt).
Setup → WLAN → Encryption → Prot.-Mgmt-Frames: Mandatory (Management Frames verschlüsseln, schützt gegen Manipulation).
Setup → WLAN → Encryption → Prot.-Beacons: Yes (Beacon Protection aktiviert für Wi-Fi 7,).
Setup → WLAN → Encryption → Pre-Authentication: Yes (Schnellere Anmeldung beim Roaming zwischen Access Points).
Setup → WLAN → Encryption → WPA2-Key-Management: Standard+Fast-Roaming (Roaming für moderne WLAN-Clients, Standard für Legacy-Clients).
Setup → WLAN → Encryption → PMK-IAPP-Secret: Identisch auf allen Access Points (Sicheres Fast Roaming über IAPP).
Setup → WLAN → Encryption → RADIUS-Server-Profile: Nur bei 802.1X nötig, ansonsten leer lassen (PSK benötigt keinen RADIUS).
Setup → WLAN → Encryption → Wählen Sie die höchsten verfügbaren Gruppen wenn Sie WPA3 verwenden. Andernfalls ist dies nicht relevant.

Client-Isolation-Allowed

Konfigurieren Sie hier die erlaubten Ziele für die Client-Isolierung.

Pfad Konsole:

Setup → WLAN

Parameter	Pfad	Beschreibung
Network-Name	Setup → WLAN → Client-Isolation-Allowed	Wählen Sie hier das Netzwerk / die SSID, für die der Eintrag gelten soll. Erfassen Sie dann wahlweise eine Ziel-IP-Adresse.
IP-Netword	Setup → WLAN → Client-Isolation-Allowed	Erlaubte Ziel-IP-Adresse für dieses Netzwerk.
MeAC-Address	Setup → WLAN → Client-Isolation-Allowed	Erlaubte Ziel-MAC-Adresse für dieses Netzwerk.

Empfehlungen:

Setup → WLAN → Client-Isolation-Allowed → Network-Name: SSID wählen (Isolation nur für das gewünschte WLAN aktivieren).
Setup → WLAN → Client-Isolation-Allowed → IP-Network: IP-Adressen der erlaubten Ziele eintragen (z. B. Drucker oder Server, die erreichbar sein müssen).
Setup → WLAN → Client-Isolation-Allowed → MAC-Address: MAC-Adressen der erlaubten Geräte eintragen (zusätzliche Sicherheit für bestimmte Geräte).

LEPS

Mit LANCOM Enhanced Passphrase Security (LEPS) können Sie WLAN-Stationen benutzerdefinierte Passphrasen zuweisen, ohne die Stationen vorher anhand ihrer MAC-Adresse erfassen zu müssen. Alternativ lässt sich auch ein MAC-Adress-Filter realisieren.

Pfad Konsole:

Setup → WLAN

Parameter	Pfad	Beschreibung
Operating	Setup → WLAN → LEPS	Schaltet LEPS ein oder aus. Im ausgeschalteten Zustand werden die angelegten LEPS-Benutzer bei der Anmeldung von WLAN-Clients nicht beachtet.
Profiles	Setup → WLAN → LEPS	Konfigurieren Sie hier LEPS-Profile und verbinden Sie sie mit einer SSID. Anschließend können die LEPS-Profile den LEPS-Benutzern zugeordnet werden. Dabei können Sie für einen Benutzer die Profilwerte durch individuelle Werte überschreiben.
Name	Setup → WLAN → LEPS → Profiles	Vergeben Sie hier einen eindeutigen Namen für das LEPS-Profil.
Network-Name	Setup → WLAN → LEPS → Profiles	Wählen Sie hier die SSID bzw. beim WLC das logische WLAN-Netzwerk aus, für die das LEPS-Profil gültig sein soll. Es können sich nur LEPS-Benutzer an der SSID bzw. beim WLC an dem logischen WLAN-Netzwerk anmelden, mit der sie über das LEPS-Profil verbunden sind.
Mac-List	Setup → WLAN → LEPS → Profiles	Hier können Sie angeben, ob und wie die MAC-Adressen überprüft werden sollen.
VLAN	Setup → WLAN → LEPS → Profiles	Hier können Sie festlegen, welchem VLAN ein LEPS-Benutzer, der mit diesem Profil verbunden ist, zugewiesen wird.
Users	Setup → WLAN → LEPS	Legen Sie hier einzelne LEPS-Benutzer an. Jeder LEPS-Benutzer muss mit einem zuvor angelegten Profil verbunden werden.
Name	Setup → WLAN → LEPS → Users	Vergeben Sie hier einen eindeutigen Namen für den LEPS-Benutzer.
Profile	Setup → WLAN → LEPS → Users	Wählen Sie hier das Profil aus, für das der LEPS-Benutzer gültig sein soll. Es können sich nur LEPS-Benutzer an der SSID anmelden, mit der sie über das LEPS-Profil verbunden sind.
WPA-Passphrase	Setup → WLAN → LEPS → Users	Vergeben Sie hier die Passphrase, mit der der LEPS-Benutzer sich am WLAN anmelden soll.
VLAN	Setup → WLAN → LEPS → Users	Hier können Sie festlegen, welchem VLAN der LEPS-Benutzer zugewiesen wird. Wird hier kein VLAN konfiguriert, gilt eine eventuelle, im LEPS-Profil konfigurierte VLAN. Wird sowohl im LEPS-Profil als auch am LEPS-Benutzer ein VLAN konfiguriert, gilt die am LEPS-Benutzer konfigurierte VLAN-ID.
MAC-Address	Setup → WLAN → LEPS → Users	Optionale Angabe einer MAC-Adresse für einen MAC-Filter. Abhängig von der Einstellung im Profil wird dieser Eintrag nicht beachtet oder es können sich dann nur die in dieser Tabelle aufgeführten Clientgeräte anmelden (Whitelist). Mittels Blacklist funktioniert der MAC-Filter genau anders herum – die angegebenen MAC-Adressen können sich nicht anmelden.

Empfehlungen:

Setup → WLAN → LEPS → Operating: Yes (LEPS aktivieren, damit Benutzer individuelle Passphrasen nutzen können).
Setup → WLAN → LEPS → Users → Profile: „OfficeLEPS“ (Verbindung zum zuvor erstellten Profil).
Setup → WLAN → LEPS → Users → WPA-Passphrase: Individuelle starke Passphrase verwenden (Sicherheit für jeden Benutzer).
Setup → WLAN → LEPS → Users → MAC-Address: Optional (nur bei Profil mit Whitelist/Blacklist nötig).

RADIUS

Konfigurationseinstellungen der Parameter für RADIUS und IEEE 802.1X.

Pfad Konsole:

Setup → RADIUS

RADIUS-Server

Konfigurieren Sie hier die Einstellungen für RADIUS-Server-Profile zur Verwendung mit WLAN-Netzwerken, die 802.1X als Authentisierungsverfahren verwenden.

Pfad Konsole:

Setup → RADIUS

Parameter	Pfad	Beschreibung
Name	Setup → RADIUS → RADIUS-Server	Wählen Sie hier einen sprechenden Namen für das RADIUS-Server-Profil. Dieser interne Name wird verwendet, um das RADIUS-Server-Profil in weiteren Teilen der Konfiguration zu referenzieren.
Port	Setup → RADIUS → RADIUS-Server	Wählen Sie hier den (UDP)-Port, der verwendet wird, um den RADIUS-Server zu kontaktieren.
Secret	Setup → RADIUS → RADIUS-Server	Konfigurieren Sie hier das Secret, mit welchem der Datenverkehr zwischen dem Gerät und dem RADIUS-Server verschlüsselt wird. Dieses Secret muss ebenfalls auf dem RADIUS-Server hinterlegt sein.
Backup	Setup → RADIUS → RADIUS-Server	Konfigurieren Sie hier ein Backup-Profil, welches verwendet wird, wenn der RADIUS-Server im hier konfigurierten Profil nicht erreichbar ist.
Server-IP-Address	Setup → RADIUS → RADIUS-Server	Konfigurieren Sie hier den Hostnamen oder die IP-Adresse, unter der der RADIUS-Server erreichbar ist.
Accounting-Port	Setup → RADIUS → RADIUS-Server	Wählen Sie hier den Port (UDP), der verwendet wird, um den RADIUS-Accounting-Server zu kontaktieren.
Accounting-IP-Address	Setup → RADIUS → RADIUS-Server	Konfigurieren Sie hier den Hostnamen oder die IP-Adresse, unter der der RADIUS-Accounting-Server erreichbar ist.

MAC-Check

Statt einen Benutzernamen über den RADIUS-Server zu authentifizieren, kann dies auch mit einer MAC-Adresse geschehen.

Pfad Konsole:

Setup → RADIUS → RADIUS-Server

Parameter	Pfad	Beschreibung
Fallback-Dynamic-VLAN-ID	Setup → RADIUS → RADIUS-Server	Wenn von einem RADIUS-Server keine VLAN-ID für einen WLAN-Client übermittelt wird, so wird die hier vergebene
Require-Message-Authenticator	Setup → RADIUS → RADIUS-Server	Mit dieser Option lässt sich festlegen, ob das Vorhandensein eines Message-Authenticators in RADIUS-Nachrichten zwingend gefordert wird. Ist dies der Fall, werden Nachrichten ohne Message-Authenticator nicht bearbeitet und verworfen.

Empfehlungen:

Setup → RADIUS → RADIUS-Server → Server-IP-Address: IP-Adresse des RADIUS-Servers (Verbindungsziel für Authentifizierung).
Setup → RADIUS → RADIUS-Server → Port: 1812 (Standardport für RADIUS-Authentifizierung).
Setup → RADIUS → RADIUS-Server → Secret: Ein starkes und gemeinsames Secret verwenden (Verschlüsselt die Kommunikation zwischen Access Point und RADIUS-Server).
Setup → RADIUS → RADIUS-Server → Backup: optionales Backup-Profil (Stellt die Authentifizierung sicher, falls der Hauptserver ausfällt).
Setup → RADIUS → RADIUS-Server → Accounting-IP-Address: IP-Adresse des RADIUS-Accounting-Servers für Nutzungsprotokollierung.
Setup → RADIUS → RADIUS-Server → Accounting-Port: 1813 (Standardport für Accounting)
Setup → RADIUS → RADIUS-Server → Require-Message-Authenticator: Yes (Dies erhöht die Sicherheit, weil nur gültige RADIUS-Nachrichten werden akzeptiert).

LAN-Supplicant

Hier finden Sie die Einstellungen für die 802.1X-Supplicant-Funktionalität, um das Gerät LAN-seitig an einer mit 802.1X gesicherten Switch-Infrastruktur zu authentifizieren.

Pfad Konsole:

Setup → RADIUS

Parameter	Pfad	Beschreibung
Interface-Name	Setup → RADIUS → LAN-Supplicant	Der Name der LAN-Schnittstelle. Aktuell gibt es nur die Schnittstelle INTRANET, daher kann diese nicht geändert werden.
Method	Setup → RADIUS → LAN-Supplicant	Die zur Anmeldung an der 802.1X-Infrastruktur zu verwendende EAP-Methode.
Username	Setup → RADIUS → LAN-Supplicant	Der zur Anmeldung an der 802.1X-Infrastruktur zu verwendende Benutzername.
Passsword	Setup → RADIUS → LAN-Supplicant	Das zur Anmeldung an der 802.1X-Infrastruktur zu verwendende Passwort.

Empfehlungen:

Setup → RADIUS → LAN-Supplicant → Method: PEAP/MSCHAPv2 (sicherste Authentifizierungsmethode für Ihren LAN-Supplicant).
Setup → RADIUS → LAN-Supplicant → Username: Eindeutiger 802.1X-Benutzername (zur Authentifizierung am Switch).
Setup → RADIUS → LAN-Supplicant → Password: Starkes Passwort oder Zertifikat verwenden (sichert die Anmeldung am Switch).

WLAN-Supplicant

Hier finden Sie die Einstellungen für die 802.1X-Supplicant-Funktionalität, um das Gerät WLAN-seitig an einer mit 802.1X gesicherten Infrastruktur zu authentifizieren.

Pfad Konsole:

Setup → RADIUS

Parameter	Pfad	Beschreibung
Profile-Name	Setup → RADIUS → WLAN-Supplicant	Verwenden Sie einen eindeutigen Profilnamen, welchen Sie später im Verschlüsselungsprofil angeben.
Method	Setup → RADIUS → WLAN-Supplicant	Wählen Sie eine für Ihre Anforderung passende Methode aus. Bei der Verwendung von TLS ist das Hochladen eines Zertifikates notwendig.
Username	Setup → RADIUS → WLAN-Supplicant	Tragen Sie hier den RADIUS-Benutzernamen ein. Bei der Nutzung der Methode „TLS“ ist hier kein Eintrag notwendig.
Password	Setup → RADIUS → WLAN-Supplicant	Tragen Sie hier das RADIUS-Passwort ein. Bei der Nutzung der Methode „TLS“ ist hier kein Eintrag notwendig.
Certificate	Setup → RADIUS → WLAN-Supplicant	Sie können das RADIUS-Server Zertifikat automatisch annehmen oder das hochgeladene Zertifikat prüfen lassen. Wir empfehlen immer, ein Zertifikat hochzuladen, um die Integrität des RADIUS-Servers zu verifizieren.
Delete-WLAN-Supplicant-Certificates	Setup → RADIUS → WLAN-Supplicant	Mit dieser Aktion löschen Sie alle vorhandenen Zertifikate der WLAN-Supplicants.

Empfehlungen:

Setup → RADIUS → WLAN-Supplicant → Method: PEAP/MSCHAPv2 (sicherste Authentifizierungsmethode für den WLAN-Supplicant).
Setup → RADIUS → WLAN-Supplicant → Certificate: Container (hochgeladenes Zertifikat prüfen, sichert die Integrität des RADIUS-Servers).

WLAN-Management

LCOS LX-basierte Access Points können von einem LANCOM WLAN-Controller (WLC) verwaltet werden. Wie bei LCOS-basierten Access Points kommt hierzu das Protokoll CAPWAP zum Einsatz.

Pfad Konsole:

Setup

Static-WLC-Configuration

Konfiguriert benutzerdefinierte WLAN-Controller. Dies kann notwendig sein, wenn ein WLC nicht über das lokale Netzwerk (z. B. bei gerouteten Verbindungen) gefunden wird und auch der DNS-Name „WLC-Address“ nicht verwendet werden kann, um dem Access Point die Adresse des WLCs mitzuteilen.

Pfad Konsole:

Setup → WLAN-Management

Parameter	Pfad	Beschreibung
IP-Address	Setup → WLAN-Management → Static-WLC-Configuration	Geben Sie die IP-Adresse oder den DNS-Namen eines WLAN-Controllers an.
Port	Setup → WLAN-Management → Static-WLC-Configuration	Konfiguriert den Port, unter dem versucht wird, einen WLC zu erreichen.
Operating	Setup → WLAN-Management	Konfiguriert, ob ein Access Point aktiv nach einem WLC sucht und von diesem verwaltet werden kann.
Update-Cert-Before	Setup → WLAN-Management	Konfiguriert, wie viele Tage vor dem Ablaufdatum das Gerätezertifikat erneuert wird, mit dem sich der Access Point am WLC authentifiziert.
Capwap-Port	Setup → WLAN-Management	Konfiguriert den Port, unter dem versucht wird, einen WLC zu erreichen. Der Standardwert von 1027 ist der Standardport des CAPWAP-Protokolls. LANCOM WLCs verwenden standardmäßig ebenfalls diesen Port.

Empfehlung:

Setup → WLAN-Management → Static-WLC-Configuration → IP-Address: <IP-Adresse oder DNS-Name des WLC> (damit der AP den Controller zuverlässig findet, auch bei gerouteten Netzwerken).
Setup → WLAN-Management → Static-WLC-Configuration → Port: 1027 (Standard CAPWAP-Port, passend zum LANCOM WLC).
Setup → WLAN-Management → Operating: Yes (ermöglicht dem AP, aktiv nach dem WLC zu suchen und verwaltet zu werden).
Setup → WLAN-Management → Update-Cert-Before: 30 (Tage vor Ablauf, sichert, dass Zertifikate rechtzeitig erneuert werden).
Setup → WLAN-Management → Capwap-Port: 5246 (Standardport für CAPWAP-Kommunikation, sorgt für stabile Verbindung zum WLC).

L2TP

LCOS LX unterstützt das Layer 2 Tunneling Protocol (L2TP) in Version 3. Bei L2TPv3 wird Ethernet-Traffic (Layer 2) getunnelt über UDP übertragen. Hiermit können also LANs über Netzwerk- und Standortgrenzen hinweg verbunden werden. Insbesondere bietet es sich an, WLAN-Traffic auf Seiten der Access Points in einen L2TPv3 Ethernet-Tunnel einzukoppeln und an einem zentralen Konzentrator wieder auszukoppeln. Dies erforderte ohne L2TPv3 immer einen WLAN-Controller, der dieses mittels CAPWAP Layer-3-Tunnel realisiert hat. Nun ist dies mit L2TPv3 losgelöst von WLAN-Controllern möglich, so dass der WLAN-Traffic getunnelt übertragen und zentral ausgekoppelt werden kann.

Pfad Konsole:

Setup

Endpoints

In dieser Tabelle werden die grundsätzlichen Einstellungen zur Konfiguration eines L2TP-Tunnels vorgenommen.

Pfad Konsole:

Setup → L2TP

Parameter	Pfad	Beschreibung
Tunnel-Id	Setup → L2TP → Endpoints	Die Bezeichnung des Tunnel-Endpunkts. Wenn zwischen zwei Geräten ein authentifizierter L2TP-Tunnel aufgebaut werden soll, müssen die Einträge Tunnel-Id und Hostname überkreuz übereinstimmen.
IP-Address	Setup → L2TP → Endpoints	Die IP-Adresse des Tunnel-Endpunkts. Anstelle einer IP-Adresse (IPv4 oder IPv6) kann auch ein FQDN angegeben werden.
Port	Setup → L2TP → Endpoints	Der zu nutzende UDP-Port.
Hostname	Setup → L2TP → Endpoints	Der Benutzername für die Authentifizierung. Wenn zwischen zwei Geräten ein authentifizierter L2TP-Tunnel aufgebaut werden soll, müssen die Einträge Tunnel-Id und Hostname überkreuz übereinstimmen.
Password	Setup → L2TP → Endpoints	Das Passwort für die Authentifizierung. Dieses wird auch zur Verschleierung bei der Tunnelaushandlung genutzt, sofern die Funktion aktiviert ist.
Auth-Peer	Setup → L2TP → Endpoints	Angabe, ob die Gegenstelle authentifiziert werden soll.
Hide	Setup → L2TP → Endpoints	Angabe, ob die Tunnelaushandlung mit Hilfe des angegebenen Passworts verschleiert werden soll.
Operating	Setup → L2TP → Endpoints	Dieser L2TP-Endpunkt ist aktiv oder inaktiv.

Empfehlung:

Setup → L2TP → Endpoints → IP-Address: IP-Adresse oder FQDN des Tunnel-Endpunkts.
Setup → L2TP → Endpoints → Port: 1701 (Standard-UDP-Port für L2TP).
Setup → L2TP → Endpoints → Hostname: Benutzername zur Authentifizierung, muss mit Tunnel-Id gekreuzt übereinstimmen.
Setup → L2TP → Endpoints → Password: Passwort zur Authentifizierung / optional für Verschleierung.
Setup → L2TP → Endpoints → Auth-Peer: Yes (Gegenstelle muss authentifiziert werden).
Setup → L2TP → Endpoints → Hide: Yes (Tunnelaushandlung verschleiern).
Setup → L2TP → Endpoints → Operating: Ja (Endpunkt aktivieren).

Ethernet

In dieser Tabelle verknüpfen Sie L2TPv3-Endpunkte mit einem WLAN-Netzwerk.

Pfad Konsole:

Setup → L2TP

Parameter	Pfad	Beschreibung
L2TP-Endpoint	Setup → L2TP → Ethernet	Konfigurieren Sie hier den Namen des in der L2TP-Endpunkte-Tabelle konfigurierten L2TP-Endpunkts (2.61.1.1 Tunnel-Id). Somit wird eine Ethernet-Tunnel-Session über diesen Endpunkt aufgebaut. Wenn nur Verbindungen angenommen, aber nicht selber aufgebaut werden sollen, kann durch leer lassen des Feldes erwirkt werden, dass beliebige Sessions angenommen werden. Natürlich müssen diese trotzdem über einen akzeptierten / aufgebauten Endpunkt aus der L2TP-Endpunkte-Tabelle „laufen“. Dies kann in Szenarien, in denen nicht jeder Endpunkt auf der annehmenden Seite separat konfiguriert werden soll, sinnvoll sein.
Remote-End	Setup → L2TP → Ethernet	Konfigurieren Sie hier den Namen, anhand dessen der Ethernet-Tunnel auf der Gegenseite zugeordnet werden soll. Je Ethernet-Tunnel muss dieser Name also auf aufbauender und annehmender Seite gleich lauten.
Interface-Name	Setup → L2TP → Ethernet	Die für die L2TPv3-Session zu verwendende virtuelle L2TP-Ethernet-Schnittstelle.
MTU	Setup → L2TP → Ethernet	Diese Einstellung passt die MTU eines L2TP-Ethernet-Tunnels auf den angegebenen Wert an, z. B. bei Verbindung des Tunnels über Netzwerke mit kleinerer MTU hinweg.

Empfehlung:

Setup → L2TP → Ethernet → L2TP-Endpoint: <Tunnel-Id aus Endpoints-Tabelle>
Setup → L2TP → Ethernet → Remote-End: <Name des gegenseitigen Endpunkts. Muss auf beiden Seiten identisch sein.
Setup → L2TP → Ethernet → MTU: 1500 (angepasst, z. B. bei kleineren Netzwerk-MTU)

IP-Configuration

In diesem Menü werden Parameter für die IP-Konfiguration des Gerätes konfiguriert.

Pfad Konsole:

Setup

Parameter	Pfad	Beschreibung
Static-Parameters	Setup → IP-Configuration	Einstellungen rund um die IP- und Netzwerkkonfiguration, die zum Tragen kommen, wenn Sie statische IP-Adressen verwenden möchten.
Interface-Name	Setup → IP-Configuration → Static-Parameters	Tragen Sie hier den Namen des Interface ein, auf das sich die weiteren hier vorgenommenen Einstellungen beziehen sollen.
IPv4-Gateway	Setup → IP-Configuration → Static-Parameters	Konfigurieren Sie hier das IPv4-Gateway für das referenzierte Interface.
IPv6-Gateway	Setup → IP-Configuration → Static-Parameters	Konfigurieren Sie hier das IPv6-Gateway für das referenzierte Interface.
Primary-IPv4-DNS	Setup → IP-Configuration → Static-Parameters	Konfigurieren Sie hier den primären IPv4-DNS-Server für das referenzierte Interface.
Secondary-IPv4-DNS	Setup → IP-Configuration → Static-Parameters	Konfigurieren Sie hier den sekundären IPv4-DNS-Server für das referenzierte Interface.
Primary-IPv6-DNS	Setup → IP-Configuration → Static-Parameters	Konfigurieren Sie hier den primären IPv6-DNS-Server für das referenzierte Interface.
Secondary-IPv6-DNS	Setup → IP-Configuration → Static-Parameters	Konfigurieren Sie hier den sekundären IPv6-DNS-Server für das referenzierte Interface.

Empfehlungen:

Setup → IP-Configuration → Static-Parameters → IPv4-Gateway: <interne, vertrauenswürdige IPv4-Adresse des Gateway nutzen>
Setup → IP-Configuration → Static-Parameters → IPv6-Gateway: <interne, vertrauenswürdige IPv6-Adresse des Gateway nutzen>
Setup → IP-Configuration → Static-Parameters → Primary-IPv4-DNS: <interne IPv4-Adresse des DNS-Servers nutzen>
Setup → IP-Configuration → Static-Parameters → Secondary-IPv4-DNS: <interne IPv4-Adresse des sekundären DNS-Servers für Redundanz nutzen>
Setup → IP-Configuration → Static-Parameters → Primary-IPv6-DNS: <interne IPv6-Adresse des DNS-Servers nutzen>
Setup → IP-Configuration → Static-Parameters → Secondary-IPv6-DNS: <interne IPv6-Adresse des sekundären DNS-Servers für Redundanz nutzen>

LAN-Interfaces

Legen Sie hier grundsätzliche Konfigurationsoptionen rund um die eigenen IP-Einstellungen und den Netzwerkzugriff des Gerätes fest.

Pfad Konsole:

Setup → IP-Configuration

Parameter	Pfad	Beschreibung
Interface-Name	Setup → IP-Configuration → LAN-Interfaces	Vergeben Sie hier einen sprechenden Namen für das Interface. Dieser Name wird verwendet, um die Interface-Konfiguration in weiteren Teilen der Konfiguration zu referenzieren.
VLAN-ID	Setup → IP-Configuration → LAN-Interfaces	Legen Sie hier eine VLAN-ID fest, für die das Interface aktiv und erreichbar sein soll.
IPv4-Address-Source	Setup → IP-Configuration → LAN-Interfaces	Wählen Sie hier, woher die IPv4-Adresse des Interface bezogen werden soll.
IPv6-Address-Source	Setup → IP-Configuration → LAN-Interfaces	Wählen Sie hier, woher die IPv6-Adresse des Interface bezogen werden soll.
Static-IPv4-Address	Setup → IP-Configuration → LAN-Interfaces	Konfigurieren Sie hier die IP-Adresse, welche genutzt wird, wenn als IPv4-Address-Source static eingestellt ist. Ergänzen Sie die Subnetz-Maske in CIDR-Notation (z. B. „/24“).
Static-IPv6-Address	Setup → IP-Configuration → LAN-Interfaces	Konfigurieren Sie hier die IP-Adresse, welche genutzt wird, wenn als IPv6-Address-Source static eingestellt ist. Ergänzen Sie die Subnetz-Maske in CIDR-Notation (z. B. „/64“).

Empfehlungen:

Setup → IP-Configuration → LAN-Interfaces → VLAN-ID: Getrenntes Management- oder Client-VLAN, z. B. 10 für Management, 20 für WLAN
Setup → IP-Configuration → LAN-Interfaces → IPv4-Address-Source: static (nur wenn feste IPs benötigt werden; sonst DHCP)
Setup → IP-Configuration → LAN-Interfaces → IPv6-Address-Source: static (oder Router-Advertisement, falls Netzwerk dynamisch IPv6 verteilt)
Setup → IP-Configuration → LAN-Interfaces → Static-IPv4-Address: <statische IPv4-Adresse mit CIDR, z. B. 192.168.10.5/24>
Setup → IP-Configuration → LAN-Interfaces → Static-IPv6-Address: <statische IPv6-Adresse mit CIDR, z. B. fd00:10::5/64>

LMC

Einstellungen für die Konfiguration und das Monitoring Ihres Gerätes durch die LANCOM Management Cloud (LMC).

Pfad Konsole:

Setup

Parameter	Pfad	Beschreibung
Operating	Setup → LMC	Legen Sie fest, ob das Gerät über die LMC verwaltet werden soll.
Proxy	Setup → LMC	Soll die Verbindung vom Gerät zur LMC über einen HTTP-Proxy-Server aufgenommen werden, kann dieser hier konfiguriert werden. Sobald eine Proxy-URL eingetragen ist, wird die LMC-Verbindung immer über den Proxy-Server aufgenommen. Ist zusätzlich der Schalter (2.102.2.4 Tunnel) aktiviert, wird eine transparenter Tunnel über den Proxy-Server mittels der HTTP CONNECT-Methode verwendet. Der Proxy-Server muss dies unterstützen. Ist der Schalter nicht aktiviert, werden einzelne HTTP-Requests über den Proxy weitergeleitet.
URL	Setup → LMC → Proxy	Soll die Verbindung vom Gerät zur LMC über einen HTTP-Proxy-Server aufgenommen werden, kann dieser hier konfiguriert werden. Sobald eine Proxy-URL eingetragen ist, wird die LMC-Verbindung immer über den Proxy-Server aufgenommen.
Username	Setup → LMC→ Proxy	Benutzername zur Verwendung mit einem HTTP-Proxy-Server.
Password	Setup → LMC→ Proxy	Passwort für den Benutzer zur Verwendung mit einem HTTP-Proxy-Server.
Tunnel	Setup → LMC→ Proxy	Falls eine Proxy-URL angegeben wurde und dieser Schalter aktiviert wird, dann wird ein transparenter Tunnel über den Proxy-Server mittels der HTTP CONNECT-Methode verwendet. Der Proxy-Server muss dies unterstützen. Ist der Schalternicht aktiviert, werden einzelne HTTP-Requests über den Proxy weitergeleitet.
Delete-Certificate	Setup → LMC	Mit dieser Aktion löschen Sie das LMC-Zertifikat.

Empfehlungen:

Setup → LMC → Operating: No (Nur aktivieren, wenn Geräteverwaltung über LMC erforderlich ist).
Setup → LMC→ Proxy → URL: Nur eintragen, falls Proxy benötigt wird, z. B. https://proxy.example.local:8080.
Setup → LMC→ Proxy → Username: Benutzername für Proxy-Zugang, wenn erforderlich.
Setup → LMC→ Proxy → Password: Sicheres Passwort für Proxy, wenn erforderlich.
Setup → LMC→ Proxy → Tunnel: Yes (HTTP CONNECT Tunnel verwenden, falls Proxy unterstützt wird, für sichere Verbindung)
Setup → LMC → Delete-Certificate: Nur verwenden bei Zertifikatswechsel oder Bereinigung.

Automatic-Firmware-Update

Der LANCOM Auto Updater ermöglicht die automatische Aktualisierung von im Feld befindlichen LANCOM Geräten ohne weiteren Benutzereingriff (unattended). LANCOM Geräte können auf Wunsch ohne Nutzerinteraktion nach neuen Software-Updates suchen, diese herunterladen und einspielen. Sie wählen, ob Sie Security Updates, Release Updates oder alle Updates automatisch installieren möchten.

Sollen keine automatischen Updates durchgeführt werden, so kann das Feature auch zur Prüfung auf neue Updates verwendet werden. Der LANCOM Auto Updater kontaktiert zur Update-Prüfung und zum Firmware-Download den LANCOM Update-Server. Die Kontaktaufnahme erfolgt via HTTPS.

Bei der Kontaktaufnahme wird der Server mittels der im LANCOM Gerät bereits hinterlegten TLS-Zertifikate validiert. Zusätzlich sind Firmware-Dateien für aktuelle LANCOM Geräte signiert. Der LANCOM Auto Updater validiert vor dem Einspielen einer Firmware diese Signatur.

Pfad Konsole:

Setup

Parameter	Pfad	Beschreibung
Mode	Setup → Automatic-Firmware-Update	Stellen Sie hier den Betriebsmodus des LANCOM Auto Updaters ein.
Check-Firmware-Now	Setup → Automatic-Firmware-Update	Dieser Befehl veranlasst das Gerät, zu prüfen, ob auf dem LANCOM Update-Server eine neuere Firmware vorhanden ist.
Update-Firmware-Now	Setup → Automatic-Firmware-Update	Dieser Befehl veranlasst das Gerät, die neueste Firmware vom LANCOM Update-Server herunterzuladen und zu installieren.
Cancel-Current-Action	Setup → Automatic-Firmware-Update	Dieser Befehl veranlasst das Gerät, die aktuelle laufende Aktion des Auto Updaters abzubrechen. Dies bezieht sich sowohl auf manuell gestartete als auch auf geplant ausgeführte Aktionen.
Reset-Updater-Config	Setup → Automatic-Firmware-Update	Dieser Befehl setzt die auf den Auto Updater bezogenen bootpersistenten Konfigurationsdateien zurück. Dies schließt die lokale Blacklist ein, die Firmware-Versionen enthält, mit denen ein automatisches Update fehlgeschlagen ist.
Base-URL	Setup → Automatic-Firmware-Update	Gibt die URL des Servers an, der die aktuellen Firmware-Versionen zur Verfügung stellt.
Check-Interval	Setup → Automatic-Firmware-Update	Der Auto Updater bestimmmt beim ersten Start einen zufälligen Zeitraum innerhalb eines Tages oder einer Woche, an dem die Prüfung durchgeführt wird. Das eigentliche Update soll dann im nächsten Zeitraum zwischen 2-4 Uhr (Voreinstellung) durchgeführt werden.
Version-Policy	Setup → Automatic-Firmware-Update	Stellen Sie hier die Versionsrichtlinie des LANCOM Auto Updaters ein. Diese steuert, welche Firmware-Versionen einemGerät zum Update angeboten werden.

Empfehlungen:

Setup → Automatic-Firmware-Update → Mode: Check (immer aktuellen Firmewarestand verwenden)
Setup → Automatic-Firmware-Update → Cancel-Current-Action: Bei Bedarf laufende Aktionen abbrechen.
Setup → Automatic-Firmware-Update → Check-Interval: Daily (kürzestes Zeitinterval)
Setup → Automatic-Firmware-Update → Version-Policy: security-updates-only (nur sicherheitsrelevante Updates)
Setup → Automatic-Firmware-Update → Reset-Updater-Config: Nur bei Fehlern oder fehlerhafter Konfiguration verwenden.

Vielen Dank für Ihr Feedback! Konstruktive Vorschläge zur Verbesserung unserer Knowledge Base oder Anregungen zu neuen Artikeln können Sie uns auch per E-Mail an knowledgebase@lancom.de senden.