Drei SSIDs, um sie alle zu beherrschen: Einrichtungsleitfaden für Gäste-, Mitarbeiter- und IoT-WiFi

PODCAST-SKRIPT: „Drei SSIDs, sie alle zu knechten: Ein Einrichtungsleitfaden für Gäste-, Mitarbeiter- und IoT-WiFi“ [INTRO & KONTEXT - 1 Min.] Sie sind ein Senior Network Consultant, der einem Kunden ein selbstbewusstes, autoritäres Briefing gibt. Sprechen Sie in britischem Englisch mit einem klaren, maßvollen, professionellen Ton. Ruhige Autorität, nicht akademisch. Konversationsstark, aber präzise. Das Tempo ist stetig und bedacht: Willkommen zur technischen Briefing-Reihe von Purple WiFi Intelligence. Heute befassen wir sich mit dem Drei-SSID-WiFi-Design – der Architektur, die Gäste-, Mitarbeiter- und IoT-Traffic auf separate, isolierte Netzwerke über eine einzige drahtlose Infrastruktur aufteilt. Wenn Sie das WiFi für ein Hotel, ein Einzelhandelsgeschäft, ein Konferenzzentrum, ein Stadion oder einen anderen Veranstaltungsort verwalten, an dem Sie sowohl öffentliche als auch betriebliche Netzwerke betreiben, ist dieses Briefing für Sie von direkter Relevanz. [TECHNISCHER DEEP-DIVE - 5 Min.] Lassen Sie mich zuerst den Kontext erläutern. Die meisten Unternehmensstandorte betreiben heute mindestens fünf oder sechs SSIDs. Es gibt eine für Gäste, eine für Mitarbeiter, eine für Point-of-Sale-Terminals, eine für IoT-Geräte, vielleicht eine versteckte für externe Dienstleister und oft eine veraltete, bei der sich niemand mehr so recht daran erinnert, warum es sie überhaupt gibt. Jede dieser SSIDs sendet alle 100 Millisekunden einen Beacon-Frame mit der niedrigsten Datenrate über den Funkkanal. An einem dichten Veranstaltungsort mit 50 Access Points auf demselben Kanal sind das Hunderte von Management-Frames pro Sekunde, die Sendezeit verbrauchen, noch bevor ein einziges Byte an Benutzerdaten übertragen wird. Der Konsens in der Branche ist eindeutig: Senden Sie nicht mehr als drei SSIDs pro Funkmodul. Drei ist die Zahl, die das Gleichgewicht zwischen Sicherheitssegmentierung und Wireless-Performance hält. Das Drei-SSID-Design sieht also wie folgt aus. SSID eins: ein offenes Gäste-WiFi-Netzwerk mit einem Captive Portal für den Besucherzugang. SSID zwei: ein WPA2- oder WPA3-Enterprise-Netzwerk für Mitarbeiter und sichere Gäste, das 802.1X- und RADIUS-Authentifizierung nutzt. SSID drei: ein xPSK-Netzwerk für IoT-Geräte, Kartenterminals, digitale Beschilderung und Drucker, das gerätespezifische Pre-Shared Keys verwendet, um VLANs basierend auf der Geräteidentität dynamisch zuzuweisen. Drei SSIDs. Drei vollständig isolierte Netzwerksgmente. Eine physische drahtlose Infrastruktur. Gehen wir nun im Detail auf jede einzelne ein. Gehen wir nun im Detail auf jede einzelne ein. SSID eins ist Ihr Gäste-WiFi. Sie konfigurieren dieses als offenes Netzwerk – kein Pre-Shared Key, kein WPA2-Personal-Passwort. Der Access Point sendet die SSID ohne Verschlüsselung auf der Assoziationsebene. Wenn sich ein Besucher verbindet, erhält sein Gerät eine IP-Adresse von einem DHCP-Server in Ihrem Gäste-VLAN – in der Regel VLAN 10. Jede DNS-Anfrage und jeder HTTP-Request wird vom Wireless-Controller oder einer dedizierten Captive Portal-Appliance abgefangen, die den Browser des Besuchers auf Ihre Portalseite weiterleitet.Hier setzt die Plattform von Purple an. Das Captive Portal übernimmt die Authentifizierung des Besuchers – sei es per Social Login, E-Mail-Registrierung, SMS-Verifizierung oder Voucher-Code. Es erfasst die Einwilligung gemäß GDPR, zeichnet die Daten des Besuchers als First-Party-Daten auf und signalisiert dem Controller anschließend, den Internetzugang freizugeben. Die Sitzung des Besuchers wird VLAN 10 zugeordnet, und Ihre Firewall setzt eine strenge Richtlinie durch: nur Internetzugang, mit einer expliziten Deny-All-Regel, die jegliche Route zu Ihrem internen RFC-1918-Adressraum blockiert. Der Walled Garden ist hier ein entscheidender Konfigurationsschritt. Bevor ein Besucher die Anmeldung am Portal abschließt, muss sein Gerät die Portalseite selbst erreichen können. Sie konfigurieren einen Walled Garden – eine Whitelist von IP-Adressen und Domains, die ohne Authentifizierung zugänglich sind. Dies muss die IP oder den Hostnamen Ihres Captive Portal-Servers, alle von ihm genutzten CDN-Endpunkte sowie alle Endpunkte von Social-Login-Anbietern wie die OAuth-Server von Facebook oder die Authentifizierungs-Endpunkte von Google enthalten. SSID zwei ist Ihr Staff WiFi. Dieses nutzt WPA2-Enterprise oder WPA3-Enterprise, was eine 802.1X-Authentifizierung bedeutet. Wenn sich ein Mitarbeiter verbindet, initiiert sein Gerät einen EAP-Austausch mit dem Access Point, der als Authentifikator fungiert und die Anmeldedaten an Ihren RADIUS-Server weiterleitet. Der RADIUS-Server validiert die Identität mit Ihrem Identity Provider und gibt eine Access-Accept-Nachricht zurück. Der Schlüssel zur dynamischen VLAN-Zuweisung sind drei spezifische RADIUS-Attribute in dieser Access-Accept-Nachricht. Attribut 64 (Tunnel-Type) muss auf den Wert 13 (VLAN) gesetzt werden. Attribut 65 (Tunnel-Medium-Type) muss auf den Wert 6 (IEEE 802) gesetzt werden. Und Attribut 81 (Tunnel-Private-Group-ID) enthält die eigentliche VLAN-ID als String. Wenn der Access Point diese Attribute empfängt, taggt er diese Sitzung dynamisch mit dem angegebenen VLAN. Ein Mitarbeiter aus dem Finanzteam authentifiziert sich und landet in VLAN 20. Ein externer Dienstleister authentifiziert sich mit anderen Anmeldedaten und landet in VLAN 30 mit eingeschränkterem Zugriff. Dieselbe SSID, dasselbe physische Netzwerk, völlig unterschiedliche logische Segmente. Der Cloud-RADIUS-Dienst von Purple übernimmt die RADIUS-Authentifizierungsebene für das Staff WiFi, integriert sich in Ihren Identity Provider und gibt die korrekten dynamischen VLAN-Attribute pro Benutzer zurück. SSID drei ist Ihr IoT WiFi. xPSK löst ein Problem, das weder offene Netzwerke noch 802.1X sauber lösen können. IoT-Geräte, Kartenterminals, Digital-Signage-Player und Drucker können sich nicht mit 802.1X authentifizieren. Sie können sie jedoch nicht in ein flaches WPA2-Personal-Netzwerk mit einem einzigen gemeinsamen Passwort einbinden, da ein kompromittiertes Gerät Zugriff auf jedes andere Gerät in diesem Segment hätte. xPSK verwaltet eine Datenbank mit eindeutigen Passwörtern, eines pro Gerät oder Gerätegruppe. Das Gerät stellt die Verbindung über seinen eindeutigen Schlüssel her. Der Controller validiert den Schlüssel und gibt die dynamischen VLAN-Attribute zurück. Ein Kartenterminal verbindet sich und landet im VLAN 50, Ihrem PCI DSS-isolierten Zahlungsnetzwerk. Ein intelligentes Thermostat verbindet sich und landet im VLAN 40, Ihrem IoT-Netzwerk mit eingeschränktem Routing. Die Terminologie der Hersteller variiert. Cisco Meraki nennt es iPSK. HPE Aruba nennt es MPSK. Ruckus nennt es DPSK. Juniper Mist und Ubiquiti UniFi nennen es beide PPSK. Die zugrundeliegende Architektur ist bei allen fünf Anbietern identisch. [EMPFEHLUNGEN FÜR DIE IMPLEMENTIERUNG & FALLSTRICKE - 2 Min.] Sie sind ein leitender Netzwerkberater, der einem Kunden ein selbstbewusstes, autoritäres Briefing gibt. Sprechen Sie in britischem Englisch mit einem klaren, gemessenen, professionellen Ton. Ruhige Autorität, nicht akademisch. Konversationsorientiert, aber präzise. Das Tempo ist stetig und bedacht: Lassen Sie uns nun über Fallstricke bei der Implementierung und Praxisszenarien sprechen. Der erste Fallstrick sind falsch konfigurierte Trunk-Ports. Ihre Switch-Ports, die mehrere VLANs übertragen, müssen als 802.1Q-Trunk-Ports konfiguriert sein, nicht als Access-Ports. Wenn ein Trunk-Port versehentlich als Access-Port eingerichtet wird, bricht der gesamte Datenverkehr auf ein einziges VLAN zusammen und Ihre Segmentierung verschwindet unbemerkt. Überprüfen Sie nach jeder Änderung immer Ihre Switch-Konfiguration. Der zweite Fallstrick ist ein unvollständiger Walled Garden. Wenn Ihre Captive Portal-Seite nicht geladen werden kann, weil Sie die richtigen Endpunkte nicht auf die Whitelist gesetzt haben, sehen Besucher einen leeren Bildschirm und nehmen an, dass das WiFi defekt ist. Testen Sie Ihren Walled Garden von einem neuen Gerät ohne DNS-Cache, bevor Sie live gehen. Der dritte Fallstrick ist die MAC-Adressen-Randomisierung. Moderne iOS- und Android-Geräte verwenden für jedes Netzwerk, dem sie beitreten, eine zufällige MAC-Adresse. Wenn Ihr xPSK-System auf eine MAC-Adressen-Bindung angewiesen ist, um ein Gerät mit seinem eindeutigen Schlüssel zu verknüpfen, kommt es zu Authentifizierungsfehlern, wenn ein Gerät seine Adresse ändert. Nutzen Sie Hersteller-Implementierungen, die die Sitzung an den Schlüssel selbst statt an die MAC-Adresse binden. Lassen Sie mich Ihnen zwei Praxisszenarien vorstellen. Szenario eins: ein Hotel mit 200 Zimmern. Das Hotel muss Gast-WiFi in allen Zimmern und öffentlichen Bereichen, Mitarbeiter-WiFi für die Rezeption, das Housekeeping und das Management sowie IoT-Konnektivität für intelligente Thermostate, IPTV-Systeme und Türschloss-Controller bereitstellen. Sie stellen drei SSIDs über ihre Cisco Meraki Access Points bereit. SSID eins, das Gästenetzwerk, nutzt das Captive Portal von Purple mit E-Mail-Registrierung und GDPR-konformer Einwilligungserfassung. Gäste authentifizieren sich, landen im VLAN 10 und erhalten einen reinen Internetzugang mit einer Geschwindigkeitsbegrenzung von 20 Megabit pro Sekunde und Client. SSID zwei, das Mitarbeiternetzwerk, nutzt WPA3-Enterprise mit RADIUS-Authentifizierung gegen Microsoft Entra ID. Rezeptionsmitarbeiter landen im VLAN 20 mit Zugriff auf das Hotelmanagementsystem. Housekeeping-Mitarbeiter landen im VLAN 21 und haben ausschließlich Zugriff auf die Housekeeping-Anwendung. SSID drei, das IoT-Netzwerk, verwendet Meraki iPSK. Jeder intelligente Thermostat verfügt über einen eindeutigen Schlüssel, der dem VLAN 40 zugewiesen ist. Jeder Türschloss-Controller verfügt über einen eindeutigen Schlüssel, der dem VLAN 41 zugewiesen ist. IPTV-Systeme haben Schlüssel, die dem VLAN 42 zugewiesen sind. Alle IoT-VLANs haben keinen Internetzugang und strenge Firewall-Regeln, die die Kommunikation auf ihre spezifischen Management-Server beschränken. [SCHNELLE FRAGEN & ANTWORTEN - 1 Min.] Nun zu einigen schnellen Fragen. Benötige ich einen separaten RADIUS-Server für xPSK? Das hängt vom Anbieter und der Skalierung ab. Für kleine Bereitstellungen können Cisco Meraki iPSK und HPE Aruba MPSK-Local Schlüssel direkt auf dem Controller ohne RADIUS-Server speichern. Für Unternehmensgrößen benötigen Sie einen zentralen RADIUS-Server – entweder Ihre eigene FreeRADIUS- oder NPS-Instanz oder einen Cloud-RADIUS-Dienst wie den von Purple. Ist WPA3-Enterprise zwingend erforderlich? Noch nicht, aber stellen Sie es dort bereit, wo Ihre Client-Geräte es unterstützen. Der 192-Bit-Sicherheitsmodus von WPA3 und Protected Management Frames eliminieren mehrere Angriffsvektoren, die in WPA2 vorhanden sind. Betreiben Sie WPA3 im Transition-Modus, um die Abwärtskompatibilität zu gewährleisten. Wie handhabe ich BYOD auf der Mitarbeiter-SSID? Verwenden Sie PEAP-MSCHAPv2 für die anmeldedatenbasierte Authentifizierung, was mit persönlichen Geräten funktioniert, ohne dass Zertifikate bereitgestellt werden müssen. Wenn Sie eine stärkere Sicherheit benötigen, stellen Sie EAP-TLS mit Zertifikaten bereit, die über Ihr MDM übertragen werden. Was ist das minimale Setup für einen kleinen Standort? Drei SSIDs, drei VLANs, eine Firewall mit Inter-VLAN-Regeln und ein Captive Portal für Gäste. Das ist Ihre Ausgangsbasis. Sie können RADIUS und xPSK hinzufügen, wenn Ihr Gerätebestand wächst. [ZUSAMMENFASSUNG & NÄCHSTE SCHRITTE - 1 Min.] Zusammenfassend: Das Drei-SSID-Design bietet Ihnen die erforderliche Segmentierung ohne den Airtime-Overhead, der durch den Betrieb von fünf oder sechs separaten Netzwerken entsteht. Gast-WiFi mit einem Captive Portal regelt den Besucherzugang und die GDPR-Konformität. Mitarbeiter-WiFi mit 802.1X and dynamischer VLAN-Zuweisung übernimmt die identitätsbasierte Zugriffskontrolle. IoT-WiFi mit xPSK verwaltet Headless-Geräte mit Isolierung auf Geräteebene. Ihre nächsten Schritte: Überprüfen Sie die Anzahl Ihrer aktuellen SSIDs. Wenn Sie mehr als drei ausstrahlen, planen Sie eine Konsolidierung. Überprüfen Sie Ihr VLAN-Design und Ihre Firewall-Inter-VLAN-Regeln. Und wenn Sie nicht bereits ein verwaltetes Captive Portal mit GDPR-konformer Datenerfassung nutzen, ist dies die wertvollste Änderung, die Sie heute an Ihrem Gäste-Netzwerk vornehmen können. Die Plattform von Purple unterstützt diese Drei-SSID-Architektur an über 80.000 Live-Standorten weltweit. Wir stellen das Captive Portal für das Gäste-WiFi, das Cloud-RADIUS für das Mitarbeiter-WiFi und die Integrationen mit Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist und Ubiquiti UniFi bereit, damit das gesamte Design als ein einziges verwaltetes System funktioniert. Vielen Dank, dass Sie sich dieses technische Briefing von Purple angehört haben. Links zum vollständigen schriftlichen Leitfaden und zu den Architekturdiagrammen finden Sie in den Show-Notes.