So verbessern Sie die WiFi-Geschwindigkeit ohne den Kauf neuer Access Points

How to Improve WiFi Speed Without Buying New Access Points Ein technisches Briefing von Purple — Ca. 10 Minuten --- EINFÜHRUNG UND KONTEXT (ca. 1 Minute) --- Willkommen zur technischen Briefing-Reihe von Purple. Ich bin Ihr Moderator, und heute widmen wir uns einem der häufigsten Themen, die ich mit IT-Leitern und CTOs an großen Unternehmensstandorten bespreche — dem Problem der WiFi-Kapazität. Sie betreiben ein Hotel, ein Einzelhandelsnetz, ein Konferenzzentrum oder ein Stadion. Ihre Gäste und Mitarbeiter beschweren sich über langsames WiFi. Ihr erster Instinkt — und ehrlich gesagt der Instinkt, auf den Ihr Infrastrukturanbieter setzt — ist der Kauf weiterer Access Points. Neue Hardware, größere Bereitstellung, höhere Rechnung. Aber hier ist der Punkt: In den meisten Fällen, die ich analysiert habe, liegt das Problem überhaupt nicht an den Access Points. Das Problem ist das, was durch sie hindurchfließt. Und das ist ein Softwareproblem, was bedeutet, dass es auch eine Softwarelösung gibt. Heute werde ich Ihnen genau zeigen, wie DNS-Filterung und Optimierungen auf Software-Ebene dreißig Prozent oder mehr Ihrer bestehenden Bandbreite zurückgewinnen können — ohne ein einziges Hardwareteil anzufassen. Wir werden die technische Architektur, reale Bereitstellungsszenarien und den Business Case behandeln, den Sie Ihrem CFO vorlegen können. Legen wir los. --- TECHNISCHER DEEP-DIVE (ca. 5 Minuten) --- Lassen Sie uns zunächst das Kernproblem definieren. Wenn man sich ansieht, was auf einem typischen Guest WiFi-Netzwerk in Unternehmen tatsächlich Bandbreite verbraucht, ist das Ergebnis für die meisten Menschen wirklich überraschend. Werbenetzwerke und Tracker von Drittanbietern — die Hintergrund-Telemetrie, die jede App auf jedem Gerät ständig sendet — machen in einem typischen Gastnetzwerk zwischen fünfundzwanzig und vierzig Prozent des DNS-Abfragevolumens aus. Dies sind keine Anfragen, die Ihre Gäste bewusst stellen. Sie erfolgen automatisch. Jedes Mal, wenn jemand eine Nachrichten-App, eine Social-Media-Plattform oder eine Shopping-App auf seinem Telefon öffnet, startet diese App Dutzende von DNS-Abfragen an Werbeserver, Analyseplattformen und Tracking-Pixel. Nichts von diesem Datenverkehr bietet Ihren Gästen einen Mehrwert. Aber alles davon verbraucht Ihre Uplink-Kapazität. Darüber hinaus haben Sie es mit Malware- und Botnetz-Datenverkehr zu tun. Kompromittierte Geräte — und in einem großen Gastnetzwerk werden Sie kompromittierte Geräte haben — versuchen ständig, Verbindungen zu Command-and-Control-Servern aufzubauen. Dieser Datenverkehr verschwendet nicht nur Bandbreite, sondern stellt auch ein Compliance- und Sicherheitsrisiko dar. Bevor also ein einziges Byte an legitimem Datenverkehr — ein Videoanruf, eine Webseite, eine Zahlungstransaktion — überhaupt Ihren Uplink erreicht, haben Sie bereits ein Drittel bis die Hälfte Ihrer verfügbaren Kapazität für Rauschen verbraucht. Hier setzt die DNS-Filterung auf der Auflösungsebene an. Jede Internetanfrage beginnt mit einer DNS-Abfrage — einer Suche, die einen Domainnamen in eine IP-Adresse übersetzt. Die DNS-Filterung fängt diese Abfrage ab, bevor sie überhaupt Ihren Uplink erreicht. Wenn die Domain zu einem Werbenetzwerk, einem bekannten Malware-Host oder einer per Richtlinie eingeschränkten Kategorie gehört, wird die Abfrage auf der DNS-Ebene blockiert. Das Gerät erhält eine Null-Antwort. Es werden keine Daten übertragen. Es wird keine Bandbreite verbraucht. Dies unterscheidet sich grundlegend von einer Firewall oder einem Proxy. Eine Firewall prüft Pakete, nachdem sie bereits angekommen sind. Ein Proxy fängt den Datenverkehr mitten im Stream ab. Die DNS-Filterung stoppt die Anfrage, bevor sie überhaupt beginnt — weshalb die Bandbreitenrückgewinnung so enorm ist. Sie bereinigen nicht den bereits eingegangenen Datenverkehr, sondern verhindern, dass er überhaupt angefordert wird. Aus Sicht der Architektur ist die Bereitstellung unkompliziert. Sie konfigurieren Ihren DHCP-Server so, dass Client-Geräte auf Ihren filternden DNS-Resolver verweisen und nicht auf den Standard-DNS Ihres Internetanbieters. Das ist in der Regel eine Änderung von zwei Zeilen in Ihrer DHCP-Konfiguration. Die Filterregeln werden zentral verwaltet — je nach Ihren Compliance-Anforderungen entweder in der Cloud oder On-Premise — und einheitlich auf alle verbundenen Geräte angewendet, unabhängig davon, mit welchem Access Point sie verbunden sind. Dies ist ein entscheidender Punkt für Betreiber mit mehreren Standorten. Eine Einzelhandelskette mit zweihundert Filialen oder eine Hotelgruppe mit fünfzig Häusern kann über eine einzige Managementkonsole eine konsistente DNS-Filterrichtlinie für den gesamten Bestand bereitstellen. Keine Technikerbesuche vor Ort. Keine Konfiguration pro Standort. Richtlinienänderungen werden in wenigen Minuten wirksam. Es gibt jedoch einen wichtigen technischen Aspekt, den ich für die Architekten unter Ihnen hervorheben möchte. Das Aufkommen von DNS over HTTPS — DoH — stellt eine Herausforderung für die traditionelle DNS-Filterung dar. Wenn ein Gerät DoH verwendet, verschlüsselt es seine DNS-Abfragen und sendet sie direkt an einen bestimmten Resolver — meist von einem Browser-Anbieter betrieben. Dadurch wird Ihr DNS auf Netzwerkesbene komplett umgangen. Das bedeutet, dass Ihre Filterregeln umgangen werden. Die Lösung besteht darin, das Abfangen von DoH auf Netzwerkesbene zu erzwingen. Dies beinhaltet die Identifizierung von DoH-Datenverkehr — der über Port 443 an bekannte Resolver-IP-Bereiche läuft — und diesen entweder zu blockieren oder an Ihren eigenen DoH-fähigen Filter-Resolver umzuleiten. Dies ist eine fortgeschrittenere Konfiguration, aber sie ist unerlässlich, um die Filterwirkung in modernen Netzwerken aufrechtzuerhalten, in denen Chrome, Firefox und iOS zunehmend standardmäßig auf verschlüsseltes DNS setzen. Purple hat einen detaillierten Leitfaden zu den Auswirkungen von DNS over HTTPS auf die Filterung in öffentlichen WiFi-Netzwerken veröffentlicht, den ich Ihnen parallel zu diesem Briefing zur Lektüre empfehle. Neben der DNS-Filterung gibt es mehrere ergänzende Optimierungen auf Software-Ebene, die parallel implementiert werden sollten. Band Steering ist eine der wirkungsvollsten. Die meisten modernen Access Points unterstützen sowohl das 2,4-Gigahertz- als auch das 5-Gigahertz-Band. Das 5-Gigahertz-Band bietet einen deutlich höheren Durchsatz, aber eine geringere Reichweite. Ohne aktives Band Steering verbinden sich Geräte — insbesondere ältere Geräte und IoT-Hardware — oft standardmäßig mit dem 2,4-Gigahertz-Band, was zu einer Überlastung eines Bands führt, das ohnehin schon mit Legacy-Datenverkehr überfüllt ist. Die Aktivierung von Band Steering in Ihrem Wireless-Controller verlagert fähige Geräte auf 5 Gigahertz und gibt 2,4 Gigahertz für Geräte frei, die es wirklich benötigen. Die SSID-Konsolidierung ist ein weiterer schneller Erfolg. Jede SSID, die Sie ausstrahlen, verbraucht Sendezeit durch Beacon-Frames — Management-Datenverkehr, den jedes Gerät in Reichweite verarbeiten muss. Ein Standort, der acht oder zehn SSIDs für verschiedene Abteilungen, Dienstleister und Gästeklassen betreibt, verschwendet einen messbaren Prozentsatz der Sendezeit für diesen Management-Overhead. Die Konsolidierung auf drei oder vier SSIDs — Gäste, Personal, IoT und Management — und die Nutzung von VLAN-Tagging zur Segmentierung anstelle separater SSIDs kann diese Sendezeit sofort zurückgewinnen. Die Durchsetzung von QoS-Richtlinien (Quality of Service) ist der dritte Hebel. Ohne QoS kann ein einzelner Gast, der 4K-Videos streamt, eine Funkzelle auslasten und das Erlebnis für jedes andere Gerät an diesem Access Point beeinträchtigen. Die Implementierung von Ratenbegrenzungen pro Client und die Priorisierung des Datenverkehrs — indem VoIP- und POS-Transaktionen über das reine Streaming gestellt werden — stellt sicher, dass geschäftskritischer Datenverkehr selbst unter Spitzenlast geschützt bleibt. Schließlich die Kanalplanung und die Optimierung der Sendeleistung. Diese werden bei der Erstinstallation oft einmalig eingerichtet und nie wieder überprüft. Wenn sich die RF-Umgebung ändert — neue Gebäude, neue Störquellen, Änderungen der Gerätedichte —, können Ihre Kanalzuweisungen Gleichkanalstörungen verursachen, die den Durchsatz erheblich verringern. Die Durchführung einer passiven RF-Messung und die Neuoptimierung der Kanalzuweisungen ist eine kostenlose Maßnahme, die erhebliche Durchsatzverbesserungen bringen kann. --- EMPFEHLUNGEN FÜR DIE IMPLEMENTIERUNG UND STOLPERSTEINE (ca. 2 Minuten) --- Lassen Sie mich Ihnen eine praktische Abfolge für die Bereitstellung an einem mittelgroßen Standort aufzeigen — beispielsweise in einem Hotel mit zweihundert Zimmern oder einem regionalen Logistikzentrum im Einzelhandel. Beginnen Sie mit einer Basismessung. Bevor Sie etwas ändern, richten Sie Ihr Netzwerk so ein, dass das DNS-Abfragevolumen nach Kategorie, der Bandbreitenverbrauch pro Client und die Uplink-Auslastung nach Tageszeit erfasst werden. Dies liefert Ihnen den Ausgangszustand für Ihre ROI-Berechnung. Die meisten Enterprise-WiFi-Analyseplattformen stellen diese Daten nativ dar — die Analyseplattform von Purple bietet beispielsweise Transparenz auf Geräteebene, was diese Basismessung sehr einfach macht. Schritt zwei: Stellen Sie die DNS-Filterung im Monitoring-Modus bereit. Die meisten DNS-Filterlösungen für Unternehmen unterstützen einen passiven Modus, in dem Abfragen protokolliert und kategorisiert, aber nicht blockiert werden. Lassen Sie diesen Modus achtundvierzig bis zweiundsiebzig Stunden laufen, um die Zusammensetzung Ihres Datenverkehrs zu verstehen, bevor Sie Richtlinien durchsetzen. Dies verhindert, dass Fehlalarme den legitimen Datenverkehr am ersten Tag stören. Schritt drei: Aktivieren Sie die Blockierung in Phasen. Beginnen Sie mit den Kategorien, bei denen Sie die höchste Sicherheit haben — bekannte Malware-Domains, Botnetz-Command-and-Control und Werbenetzwerke. Dies sind risikoarme Blockierungen mit großer Auswirkung auf die Bandbreite. Überprüfen Sie in der ersten Woche täglich die Protokolle, um unerwartete Blockierungen abzufangen. Schritt vier: Fügen Sie QoS und Band Steering hinzu. Sobald die DNS-Filterung stabil läuft, implementieren Sie Ratenbegrenzungen pro Client und Band Steering. Testen Sie diese Änderungen außerhalb der Spitzenzeiten und stellen Sie sicher, dass POS-Terminals, VoIP-Telefone und andere geschäftskritische Geräte ordnungsgemäß funktionieren. Schritt fünf: Dokumentieren und messen. Rufen Sie nach dreißig Tagen Ihre Metriken zur Bandbreitennutzung ab und vergleichen Sie diese mit Ihrem Ausgangszustand. In den meisten Fällen werden Sie eine Reduzierung der Uplink-Auslastung um zwanzig bis vierzig Prozent feststellen. Das ist Ihr ROI. Nun zu den Stolpersteinen. Der häufigste Fehler, den ich sehe, ist eine zu aggressive Blockierung. Wenn Sie strenge Kategorien für die Inhaltsfilterung aktivieren, ohne vorher die Protokolle zu prüfen, werden Sie legitime Dienste blockieren. Cloud-Speicher, Business-SaaS-Anwendungen und sogar einige Zahlungsabwicklungs-Domains können in breit gefassten Kategorie-Blockierungen landen. Beginnen Sie immer konservativ und erweitern Sie schrittweise. Der zweite Stolperstein ist das Ignorieren der DoH-Umgehung. Wenn Sie eine DNS-Filterung ohne Berücksichtigung von DoH bereitstellen, wird die Wirksamkeit Ihrer Filterung mit der Zeit abnehmen, da immer mehr Geräte standardmäßig verschlüsseltes DNS nutzen. Gehen Sie dieses Thema vom ersten Tag an auf der Ebene der Netzwerkrichtlinien an. Der dritte Stolperstein ist die fehlende Segmentierung des IoT-Datenverkehrs. IoT-Geräte — Smart-TVs, Gebäudemanagementsysteme, digitale Beschilderung — erzeugen oft erheblichen DNS-Datenverkehr zu den Telemetrieservern der Hersteller. Wenn Sie IoT-Geräte nicht in ein separates VLAN mit einer eigenen Filterrichtlinie segmentieren, blockieren Sie möglicherweise unbeabsichtigt Gerätefunktionen, wenn Sie Ihre Filterregeln verschärfen. --- SCHNELLE FRAGEN UND ANTWORTEN (ca. 1 Minute) --- Lassen Sie uns die Fragen durchgehen, die mir am häufigsten gestellt werden. „Wird die DNS-Filterung das Gasterlebnis beeinträchtigen?“ In der Praxis bemerken die Gäste davon nichts. Die blockierten Domains betreffen Hintergrund-Telemetrie, nicht Inhalte, die sie aktiv anfordern. Wenn überhaupt, verbessert sich ihr Erlebnis, weil mehr Bandbreite für die Dinge zur Verfügung steht, die sie tatsächlich tun möchten. „Erfordert dies Änderungen an unseren Access Points?“ Nein. Die DNS-Filterung wird auf der DHCP- und DNS-Resolver-Ebene konfiguriert. Ihre Access Points bleiben unberührt. „Ist das GDPR-konform?“ Die DNS-Filterung protokolliert Domain-Abfragen, keine Inhalte. Sie führen keine Deep Packet Inspection durch. Solange Sie über angemessene Richtlinien zur Datenaufbewahrung verfügen und Ihr Datenschutzhinweis die Netzwerküberwachung abdeckt — was ohnehin der Fall sein sollte —, ist die DNS-Filterung vollständig mit der GDPR vereinbar. Im öffentlichen Sektor und im Gesundheitswesen ist dies oft sogar eine Compliance-Anforderung und keine freiwillige Entscheidung. „Wie sieht es mit PCI DSS aus?“ Die DNS-Filterung stärkt Ihre PCI DSS-Konformität, da sie verhindert, dass Umgebungen mit Karteninhaberdaten mit bekannten bösartigen Domains kommunizieren. Es ist eine Sicherheitskontrolle, kein Risiko. --- ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE (ca. 1 Minute) --- Zusammenfassend lässt sich sagen: Die Mehrheit der WiFi-Leistungsprobleme in Unternehmen sind keine Hardwareprobleme. Es sind Softwareprobleme — genauer gesagt das Fehlen eines intelligenten Traffic-Managements auf der DNS-Ebene. Durch die Bereitstellung einer DNS-Filterung können Sie dreißig Prozent oder mehr Ihrer bestehenden Bandbreite zurückgewinnen, die Betriebsdauer Ihrer aktuellen Access Point-Infrastruktur um zwei bis vier Jahre verlängern und gleichzeitig Ihre Sicherheits- und Compliance-Situation verbessern. Der Zeitaufwand für die Bereitstellung wird in Stunden gemessen, nicht in Monaten. Die Investitionskosten sind ein Bruchteil einer Hardware-Erneuerung. Die praktischen nächsten Schritte sind einfach. Führen Sie diese Woche ein Audit des DNS-Datenverkehrs in Ihrem Netzwerk durch — die meisten Enterprise-Plattformen liefern Ihnen diese Daten ohne zusätzliche Tools. Identifizieren Sie Ihre Domains mit dem höchsten Bandbreitenverbrauch. Evaluieren Sie dann eine DNS-Filterlösung für diese Kategorien. Wenn Sie ein Guest WiFi-Netzwerk in großem Stil betreiben — in der Hotellerie, im Einzelhandel, bei Veranstaltungen oder im öffentlichen Sektor —, integriert die Plattform von Purple die DNS-Filterung mit dem Guest WiFi-Management und den Analysen in einer einzigen Bereitstellung. Das bedeutet, dass Sie die Bandbreitenrückgewinnung, die Compliance-Kontrollen und die Erkenntnisse über Gästedaten aus einer einzigen Plattform erhalten und nicht aus dreien. Vielen Dank für Ihr Interesse an diesem technischen Briefing von Purple. Ausführliche Implementierungshilfen, Architekturdiagramme und Praxisbeispiele finden Sie im begleitenden schriftlichen Leitfaden. Bis zum nächsten Mal.