WLAN mit dem LAN Verbinden, Routing? Firewall?

[darkworld]

Ich tüftele seit einiger Zeit an folgendem Problem:

Wir wollen für Mitarbeiter welche hauptsächlich extern arbeiten in den Firmenräumen ein WLAN zur Verfügung stellen.

Ich habe mich reichhaltig informiert und aufgrund unserer sehr sensiblen Daten entschlossen WPA mit RADIUS-Server einzusetzen, RADIUS habbich schon zum laufen gebracht, auf dem Server im Keller, der WLAN-Router den ich zu Testzwecken hier habe tut auch prima damit.

Dummerweise benötige ich min 4 Accesspoints um alles abzudecken, wobei 2 im 2. Stock (linke Seite eines laaaaangen Gebäudes), zwei im 3. Stock (Rechte Seite) stehen müssen.

Nun hat mein Chef beschlossen, dass WLAN und LAN in getrennte IP-Netze gelegt werden müssen. Die Begründung ist lang und kompliziert, liegt an der Konfig der Clients und ist nicht zu diskutieren.

Ergo brauche ich eine Verbindung zwischen dem WLAN aus 4 unabhängigen Accesspoints mit einem IP-Kreis und dem LAN mit einem anderen IP-Kreis.

Irgendwie ist es mir suspekt die WLAN-Accesspoints mit ihrem IP-Kreis auf den gleichen Leitungen laufen zu lassen wie das LAN... Gibt es da irgendwelche Einwände gegen?

Dann hätte ich nämlich die physikalische Verbindung schon und bräuchte bloss noch irgendwo einen Router aufstellen der die beiden IP-Kreise verbindet...

Wenn das nicht geht, wie dann? muss ich echt von jedem Accesspoint eine neue Leitung bis in den Keller legen? (Direkte Verbindung zwischen den Etagen ist wegen der Versetzung der bereiche im Gebäude nicht möglich) Und dann das ganze durch unsere Firewall durchleiten? (Die ich dafür auch noch erst erweitern müsste)

Oder gibt es Accesspoints (bzw. Router) welche von selbst im Stande sind, getrennte IP's für das LAN und das WLAN zu werwalten und dazwischen dann auch zu routen?

[Sasza]

Musst du nicht.

Es gibt bei jedem Accesspoint die möglichkeit in als Accesspoint (AP) selbst einzustellen und auch ihn als "client" einzustellen.

somit verbindest du einen als AP mit dem Lan. die anderen verbindest du nur über WLAN als Clients mit den AP's. musste natürlich konfigurieren. verschlüsselung etc. nit vergessen!

ich weiß ja nicht wie groß euer gebäude ist und was ihr für AP nutzt. aber beim D-Link DWL-2100AP der reicht locker über nen großen hoff durch zich wände! hab ihn auch nit am fenster stehen.

[darkworld]

Also per Funk durchs Gebäude geht definitiv nicht (getestet), schätze das liegt an diesem Vorweltkrieglichen Bauwerk mit Bunkerähnlichen Wänden.

Selbst wenn leuchtet mir nicht ein wie ich anhand deines Tips das Problem mit den IP-Netzen lösen kann...

[nic_power]

Hallo,

üblicherweise baut man zu diesem Zweck zwei Subnetze auf und verbindet diese über einen Router miteinander (wobei der Router je nach Szenario ggf. noch über weitere Interfaces verfügt, beispielsweise um einen Netzwerkzugang ins Internet zu realisieren). Im ersten Subnetz liegt eher "Festnetz", das zweite Subnetz wird ausschliesslich für das WLAN verwendet. In dieses Subnetz legst Du deine vier WLAN-APs und ggf. weitere Komponenten (DHCP-Server, Radius-Server, etc.). Zusätzlich kannst Du auf dem Router - der die Subnetze miteinander verbindet - auch noch eine Firewall einrichten (oder - je nach Budget - noch eine zusätzliche Firewall aufbauen), die den Zugriff aus dem WLAN-Subnetz einschränkt.

Nic

[darkworld]

Soweit habe ich auch schon gedacht...

Frage war nur, ob es schädlich sein könnte diese beiden Subnetze auf den gleichen Leitungen abzuwickeln... Irgendwie wäre es sehr umständlich für die Verbindungen der Accesspoints untereinander und mit dem Router neue Leitungen zu legen...

Außerdem wäre interessant, wenn der Radiusserver eben in dem LAN bleiben könnte, Sprich: funktioniert das Routing dann für die Authentifizierung schon?

[MichaelP]

Die Netze müssen nicht physisch getrennt werden. Sie können problemlos als logisch getrennte Netze auf der gleichen Leitung betrieben werden.

[nic_power]

Hallo,

theoretisch ja, aber praktisch würde ich das in einem Szenario bei dem die Netze aus Sicherheitsgründen getrennt werden sollen, nicht empfehlen (schon gar nicht, wenn der Zugriff über ein WLAN möglich ist).

Ausnahme: Man verwendet einen VLAN fähigen Switch und einen Router, der die beiden Subnetze über diesen Switch hinweg verbindet.

Nic