Wie Sie die WiFi Geschwindigkeit verbessern, ohne neue Access Points zu kaufen

So verbessern Sie die WiFi Geschwindigkeit ohne den Kauf neuer Access Points Ein technisches Briefing von Purple - ca. 10 Minuten --- EINFÜHRUNG UND KONTEXT (ca. 1 Minute) --- Willkommen zur Serie der Purple Technical Briefings. Ich bin Ihr Gastgeber, und heute befassen wir uns mit einem der häufigsten Gespräche, die ich mit IT-Leitern und CTOs in großen Veranstaltungsorten führe - dem Problem der WiFi Kapazität. Sie betreiben ein Hotel, ein Einzelhandelsnetz, ein Konferenzzentrum oder ein Stadion. Ihre Gäste und Mitarbeiter beschweren sich über langsames WiFi. Ihr erster Instinkt - und ehrlich gesagt der Instinkt, auf den Ihr Infrastruktur-Hersteller setzt - ist der Kauf weiterer Access Points. Neue Hardware, größere Bereitstellung, höhere Rechnung. Aber die Sache ist die: In den meisten Fällen, die ich analysiert habe, liegt das Problem überhaupt nicht an den Access Points. Das Problem ist das, was über sie läuft. Und das ist ein Software-Problem, was bedeutet, dass es eine Software-Lösung gibt. Heute werde ich Ihnen genau zeigen, wie Sie durch DNS-Filterung und Optimierung auf Software-Ebene 30 Prozent oder mehr Ihrer bestehenden Bandbreite zurückgewinnen können - ohne ein einziges Hardware-Teil anzufassen. Wir werden uns mit der technischen Architektur, realen Bereitstellungsszenarien und dem Business Case befassen, den Sie Ihrem CFO präsentieren können. Lassen Sie uns direkt einsteigen. --- TECHNISCHE TIEFENANALYSE (ca. 5 Minuten) --- Lassen Sie uns zunächst das Kernproblem definieren. Wenn man sich anschaut, was auf einem typischen Enterprise-Gäste-WiFi-Netzwerk tatsächlich Bandbreite verbraucht, ist die Aufschlüsselung für die meisten Menschen wirklich überraschend. Werbenetzwerke und Drittanbieter-Tracker - die Hintergrund-Telemetrie, die jede App auf jedem Gerät ständig sendet - machen auf einem typischen Gästenetzwerk zwischen 25 und 40 Prozent des DNS-Abfragevolumens aus. Das sind keine Anfragen, die Ihre Gäste bewusst stellen. Sie erfolgen automatisch. Jedes Mal, wenn jemand eine Nachrichten-App, eine Social-Media-Plattform oder eine Shopping-App auf seinem Smartphone öffnet, sendet diese App Dutzende von DNS-Abfragen an Werbeserver, Analyseplattformen und Tracking-Pixel. Nichts von diesem Datenverkehr bietet Ihren Gästen einen Mehrwert. All das belastet Ihre Uplink-Kapazität. Darüber hinaus haben Sie es mit Datenverkehr von Malware und Botnets zu tun. Kompromittierte Geräte - und in einem großen Gästenetzwerk werden Sie kompromittierte Geräte haben - versuchen ständig, Verbindung zu Command-and-Control-Servern aufzubauen. Dieser Datenverkehr verschwendet nicht nur Bandbreite, sondern stellt auch ein Compliance- und Sicherheitsrisiko dar. Bevor also überhaupt ein einziges Byte an legitimen Daten - ein Videoanruf, eine Website, eine Zahlungstransaktion - Ihren Uplink erreicht, haben Sie bereits ein Drittel bis die Hälfte Ihrer verfügbaren Kapazität für reines Hintergrundrauschen verbraucht. DNS-Filtering arbeitet auf der Resolution-Ebene. Jede Internetanfrage beginnt mit einer DNS-Abfrage - einer Suche, die einen Domainnamen in eine IP-Adresse übersetzt. DNS-Filtering fängt diese Abfrage ab, noch bevor sie Ihren Uplink erreicht. Wenn die Domain zu einem Werbenetzwerk, einem bekannten Malware-Host oder einer durch Richtlinien eingeschränkten Kategorie gehört, wird die Abfrage auf der DNS-Ebene blockiert. Das Gerät erhält keine Antwort. Es werden keine Daten übertragen. Es wird keine Bandbreite verbraucht. Dies unterscheidet sich grundlegend von einer Firewall oder einem Proxy. Eine Firewall überprüft Pakete, nachdem sie bereits angekommen sind. Ein Proxy fängt den Datenverkehr mitten im Datenstrom ab. DNS-Filtering stoppt die Anfrage, bevor sie beginnt - weshalb die Bandbreitenrückgewinnung so signifikant ist. Sie bereinigen nicht den bereits angekommenen Datenverkehr, sondern verhindern, dass er überhaupt erst angefordert wird. Aus architektonischer Sicht ist die Bereitstellung unkompliziert. Sie konfigurieren Ihren DHCP-Server so, dass Client-Geräte auf Ihren DNS-Filtering-Resolver verweisen und nicht auf den Standard-DNS Ihres ISPs. Das ist in der Regel eine Änderung von zwei Zeilen in Ihrer DHCP-Konfiguration. Die Filterregeln werden zentral verwaltet - je nach Ihren Compliance-Anforderungen entweder in der Cloud oder On-Premise - und einheitlich auf alle verbundenen Geräte angewendet, unabhängig davon, mit welchem Access Point sie verbunden sind. Dies ist ein entscheidender Punkt für Betreiber mehrerer Standorte. Eine Einzelhandelskette mit zweihundert Filialen oder eine Hotelgruppe mit fünfzig Objekten kann über eine einzige Management-Konsole eine einheitliche DNS-Filtering-Richtlinie für das gesamte Unternehmen bereitstellen. Keine Technikereinsätze vor Ort. Keine Konfiguration pro Standort. Richtlinienänderungen werden in wenigen Minuten übernommen. Hier gibt es jedoch eine wichtige technische Überlegung, die ich für die Architekten im Raum hervorheben möchte. Das Aufkommen von DNS over HTTPS - DoH - stellt eine Herausforderung für das herkömmliche DNS-Filtering dar. Wenn ein Gerät DoH verwendet, verschlüsselt es seine DNS-Abfragen und sendet sie direkt an einen bestimmten Resolver - in der Regel an einen, der von einem Browser-Anbieter betrieben wird -, wodurch Ihr netzwerkbasiertes DNS vollständig umgangen wird. Dies bedeutet, dass Ihre Filterregeln umgangen werden. Die Lösung besteht darin, eine DoH-Interzeption auf Netzwerkebene zu erzwingen. Dies beinhaltet die Identifizierung von DoH-Verkehr - der über Port 443 zu bekannten Resolver-IP-Bereichen läuft - und dessen Blockierung oder Umleitung an Ihren eigenen DoH-fähigen Filter-Resolver. Dies ist eine fortgeschrittenere Konfiguration, die jedoch unerlässlich ist, um die Filterwirksamkeit in modernen Netzwerken aufrechtzuerhalten, in denen Chrome, Firefox und iOS zunehmend standardmäßig auf verschlüsseltes DNS setzen. Purple hat einen detaillierten Leitfaden zu den Auswirkungen von DNS over HTTPS auf das öffentliche WiFi-Filtering veröffentlicht, dessen Lektüre ich parallel zu diesem Briefing empfehle. Neben dem DNS-Filtering gibt es mehrere ergänzende Optimierungen auf Software-Ebene, die parallel implementiert werden sollten. Band steering ist eine der effektivsten Maßnahmen. Die meisten modernen Access Points unterstützen sowohl das 2,4-GHz- als auch das 5-GHz-Band. Das 5-GHz-Band bietet einen deutlich höheren Durchsatz, aber eine geringere Reichweite. Ohne aktives Band steering verbinden sich Geräte standardmäßig oft mit dem 2,4-GHz-Band - insbesondere ältere Geräte und IoT-Hardware - was zu einer Überlastung eines Bands führt, das ohnehin schon mit Legacy-Verkehr überlastet ist. Die Aktivierung von Band steering in Ihrem Wireless Controller leitet fähige Geräte auf 5 GHz um und gibt das 2,4-GHz-Band für Geräte frei, die es wirklich benötigen. Die Konsolidierung von SSIDs ist ein weiterer schneller Erfolg. Jede SSID, die Sie ausstrahlen, verbraucht Sendezeit durch Beacon-Frames - Management-Verkehr, den jedes Gerät in Reichweite verarbeiten muss. Ein Standort, der acht oder zehn SSIDs für verschiedene Abteilungen, Auftragnehmer und Gast-Klassen betreibt, verschwendet einen messbaren Prozentsatz der Sendezeit für Management-Overhead. Die Konsolidierung auf drei oder vier SSIDs - Guest, Staff, IoT und Management - und die Verwendung von VLAN-Tagging für die Segmentierung anstelle von separaten SSIDs kann diese Sendezeit sofort zurückgewinnen. Die Durchsetzung von QoS - Quality of Service - Richtlinien ist der dritte Hebel. Ohne QoS kann ein einzelner Gast, der 4K-Videos streamt, eine Funkzelle auslasten, was die Qualität für jedes andere Gerät an diesem Access Point beeinträchtigt. Die Implementierung von Ratenbegrenzung pro Client und Verkehrspriorisierung - die Priorisierung von VoIP- und POS-Transaktionsverkehr gegenüber normalem Streaming - stellt sicher, dass geschäftskritischer Verkehr selbst unter Spitzenlast geschützt ist. Schließlich die Kanalplanung und die Optimierung der Sendeleistung. Diese werden bei der Erstbereitstellung oft einmalig eingestellt und nie wieder überprüft. Wenn sich die RF-Umgebung ändert - neue Gebäude, neue Störquellen, Änderungen der Gerätedichte -, können Ihre Kanalzuweisungen zu Co-Kanal-Interferenzen führen, die den Durchsatz erheblich beeinträchtigen. Die Durchführung einer passiven RF-Messung und die Neuoptimierung der Kanalzuweisungen ist eine kostenlose Maßnahme, die erhebliche Durchsatzverbesserungen bringen kann. --- IMPLEMENTIERUNGSEMPFEHLUNGEN UND FALLSTRICKE (ca. 2 Minuten) --- Hier ist eine praktische Bereitstellungssequenz für einen mittelgroßen Standort - beispielsweise ein Hotel mit zweihundert Zimmern oder ein regionales Einzelhandels-Vertriebszentrum. Beginnen Sie mit einer Basismessung. Bevor Sie etwas ändern, konfigurieren Sie Ihr Netzwerk so, dass es das DNS-Abfragevolumen nach Kategorie, den Bandbreitenverbrauch pro Client und die Uplink-Auslastung nach Tageszeit erfasst. Dies liefert Ihnen den Ausgangszustand für Ihre ROI-Berechnung. Die meisten Enterprise WiFi-Analyseplattformen stellen diese Daten nativ bereit - die Analyseplattform von Purple bietet beispielsweise eine Transparenz auf Geräteebene, die diese Basismessung unkompliziert macht. Schritt zwei: DNS-Filterung im Überwachungsmodus bereitstellen. Die meisten DNS-Filterlösungen für Unternehmen unterstützen einen passiven Modus, in dem Abfragen protokolliert und kategorisiert, aber nicht blockiert werden. Lassen Sie diesen Modus achtundvierzig bis zweiundsiebzig Stunden lang laufen, um Ihre Traffic-Zusammensetzung zu verstehen, bevor Sie Richtlinien durchsetzen. Dies verhindert, dass Fehlalarme den legitimen Traffic am ersten Tag stören. Schritt drei: Blockierung phasenweise aktivieren. Beginnen Sie mit den Kategorien mit der höchsten Zuverlässigkeit - bekannten Malware-Domains, Botnetz-Befehls- und Kontrollservern sowie Werbenetzwerken. Dies sind risikoarme Blockierungen mit großer Auswirkung auf die Bandbreite. Überprüfen Sie die Protokolle in der ersten Woche täglich, um unerwartete Blockierungen abzufangen. Schritt vier: QoS und Band-Steering hinzufügen. Sobald die DNS-Filterung stabil ist, implementieren Sie Client-basierte Ratenbegrenzung und Band-Steering. Testen Sie diese Änderungen außerhalb der Stoßzeiten und validieren Sie, dass Kassenterminals, VoIP-Handgeräte und andere geschäftskritische Geräte ordnungsgemäß funktionieren. Schritt fünf: Dokumentieren und messen. Rufen Sie nach dreißig Tagen Ihre Metriken zur Bandbreitennutzung ab und vergleichen Sie diese mit Ihrer Baseline. In den meisten Implementierungen werden Sie eine Reduzierung der Uplink-Auslastung um zwanzig bis vierzig Prozent feststellen. Das ist Ihre ROI-Kennzahl. Nun zu den Fallstricken. Der häufigste Fallstrick, den ich sehe, ist übermäßiges Blockieren. Wenn Sie aggressive Kategorien für die Inhaltsfilterung aktivieren, ohne vorher die Protokolle zu prüfen, blockieren Sie legitime Dienste. Cloud-Speicher, Business-SaaS-Anwendungen und sogar einige Zahlungsabwicklungs-Domains können in breit gefassten Kategorie-Blockierungen auftauchen. Beginnen Sie immer konservativ und erweitern Sie schrittweise. Der zweite Fallstrick ist das Ignorieren von DoH-Bypässen. Wenn Sie eine DNS-Filterung bereitstellen, ohne DoH zu berücksichtigen, wird die Wirksamkeit Ihrer Filterung mit der Zeit abnehmen, da immer mehr Geräte standardmäßig verschlüsseltes DNS verwenden. Gehen Sie dieses Problem vom ersten Tag an auf Netzwerkrichtlinienebene an. Der dritte Fallstrick ist die mangelnde Segmentierung des IoT-Traffics. IoT-Geräte - Smart-TVs, Gebäudemanagementsysteme, digitale Beschilderungen - erzeugen oft erheblichen DNS-Traffic zu den Telemetrieservern der Hersteller. Wenn Sie das IoT-Netzwerk nicht auf einem separaten VLAN mit einer eigenen Filterrichtlinie segmentieren, blockieren Sie möglicherweise unbeabsichtigt Gerätefunktionen, wenn Sie Ihre Filterregeln verschärfen. --- SCHNELLE FRAGEN UND ANTWORTEN (ca. 1 Minute) --- Lassen Sie mich die Fragen durchgehen, die mir am häufigsten gestellt werden. "Wird sich die DNS-Filterung auf das Gästeerlebnis auswirken?" In der Praxis bemerken Gäste davon nichts. Die blockierten Domains sind Hintergrundtelemetrie und keine Inhalte, die sie aktiv anfordern. Wenn überhaupt, verbessert sich ihr Erlebnis, weil mehr Bandbreite für die Dinge zur Verfügung steht, die sie tatsächlich tun möchten. "Erfordert dies Änderungen an unseren Access Points?" Nein. Die DNS-Filterung wird auf der DHCP- und DNS-Resolver-Ebene konfiguriert. Ihre Access Points bleiben unberührt. "Ist dies GDPR-konform?" DNS-Filterung protokolliert Domain-Abfragen, keine Inhalte. Sie führen keine Deep Packet Inspection durch. Vorausgesetzt, Sie verfügen über angemessene Richtlinien zur Datenaufbewahrung und Ihre Datenschutzerklärung deckt die Netzwerküberwachung ab - was sie ohnehin tun sollte -, ist die DNS-Filterung vollständig kompatibel mit der GDPR. Für Bereitstellungen im öffentlichen Sektor und im Gesundheitswesen ist sie oft eher eine Compliance-Anforderung als eine Option. "Was ist mit PCI-DSS?" Die DNS-Filterung stärkt Ihre PCI-DSS-Position tatsächlich, indem sie verhindert, dass Karteninhaber-Datenumgebungen mit bekannten bösartigen Domains kommunizieren. Sie ist eine positive Kontrollmaßnahme, kein Risiko. --- ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE (ca. 1 Minute) --- Zusammenfassend lässt sich sagen: Die Mehrheit der Performance-Probleme beim Enterprise WiFi sind keine Hardware-Probleme. Es sind Software-Probleme - genauer gesagt, das Fehlen eines intelligenten Traffic-Managements auf der DNS-Ebene. Durch den Einsatz von DNS-Filterung können Sie 30 Prozent oder mehr Ihrer bestehenden Bandbreite zurückgewinnen, die Betriebsdauer Ihrer aktuellen Access-Point-Infrastruktur um zwei bis vier Jahre verlängern und gleichzeitig Ihre Sicherheits- und Compliance-Position verbessern. Der Zeitrahmen für die Implementierung wird in Stunden gemessen, nicht in Monaten. Die Investitionskosten sind ein Bruchteil einer Hardware-Erneuerung. Die praktischen nächsten Schritte sind unkompliziert. Führen Sie diese Woche ein DNS-Traffic-Audit in Ihrem Netzwerk durch - die meisten Enterprise-Plattformen liefern Ihnen diese Daten ohne zusätzliche Tools. Identifizieren Sie Ihre Domain-Kategorien mit dem höchsten Bandbreitenverbrauch. Evaluieren Sie dann eine DNS-Filterlösung anhand dieser Kategorien. Wenn Sie ein Gäste-WiFi in großem Stil betreiben - Hotellerie, Einzelhandel, Events, öffentlicher Sektor -, integriert die Plattform von Purple die DNS-Filterung mit dem Gäste-WiFi-Management und den Analysen in einer einzigen Bereitstellung. Das bedeutet, dass Sie die Bandbreitenrückgewinnung, die Compliance-Kontrollen und die Erkenntnisse über Gästedaten von einer Plattform statt von dreien erhalten. Vielen Dank, dass Sie sich das Purple Technical Briefing angehört haben. Vollständige Implementierungsleitfäden, Architekturdiagramme und Praxisbeispiele finden Sie im begleitenden schriftlichen Leitfaden. Bis zum nächsten Mal.