Einführung XV
Der Aufbau dieses Buchs XV
Weitere Informationsquellen XVIII
Hinweisarten XIX


Teil l
Technik und Bestandteile eines drahtlosen Netzwerks 1


1 Ein Überblick über IEEE 802.11 3

IEEE 802.11-Standards 5
802.11-MAC-Schicht 5
802.11-PHY-Schicht 6
IEEE 802.11 6
802.11b 6
802.11a 7
802.11g 7
Drahtlos-LAN-Komponenten nach 802.11 7
Stationen 8
Access Points 8
Anschlüsse 8
IEEE 802.11-Ausführungsmodi 9
Infrastrukturmodus 9
Ad-hoc-Modus 11
Zusammenfassung 11

2 Sicherheit im drahtlosen Netzwerk 13

Sicherheit im drahtlosen Netzwerk nach dem IEEE 802.11-Standard 14
Authentifizierung 14
Verschlüsselung und Datenintegrität 16
Sicherheitsprobleme des IEEE 802.11-Standards 18
Authentifizierung nach dem IEEE 802.1X-Standard 19
802.1X-Elemente 19
EAPOL, oder: EAP over LAN 21
802.IX und die Sicherheitsprobleme des Standards 802.11 21
Wi-Fi Protected Access (WPA) 22
WPA-Sicherheitsfunktionen 23
Erforderliche Software-Änderungen für die WPA-Unterstützung 25
Gemischte Umgebungen 26
Empfohlene Sicherheitskonfigurationen 26
Angriffe auf drahtlose Netzwerke 27
Zusammenfassung 27

3 Drahtlose Windows-Clients 29

Windows XP (vor SPl) 29
Unterstützung von Drahtlosnetzwerkadaptern 30
Unterstützung mobiler Benutzer 30
Konfigurationsfreier Dienst für drahtlose Verbindungen (WZC) 30
IEEE 802.1X-Authentifizierung 32
Die Benutzerschnittstelle zur Konfiguration drahtloser Netzwerke 33
Windows XP (SPl und höher) und Windows Server 2003 38
Änderungen an der Benutzerschnittstelle zur Konfiguration 39
Änderungen am WPA Wireless Security Update 41
Windows 2000-Familie 43
Konfiguration drahtloser Windows-Clients 44
Manuelle Konfiguration 44
Gruppenrichtlinienkonfiguration 45
Zusammenfassung 50

4 RADIUS, IAS und Active Directory 51

RADIUS 51
Komponenten einer RADIUS-Infrastruktur 52
RADIUS-Nachrichten 54
RADIUS-Authentifizierung, -Autorisierung und –Kontoführung 55
Sicherheit des RADIUS-Datenverkehrs 57
IPSec 58
IAS 58
IAS-Konfiguration für Windows 2000 Server 59
IAS-Konfiguration für Windows Server 2003 63
IAS als RADIUS-Server 67
Überblick über RAS-Richtlinien 70
Konfiguration der RAS-Richtlinien 71
Zugriffsautorisierung mit RAS-Richtlinien 78
IAS als RADIUS-Proxy 79
Verbindungsanforderungsverarbeitung 82
Active Directory 90
Konten 91
Gruppen 93
Zusammenfassung 94

5 EAP (Extensible Authentication Protocol) 95

EAP-Typen in Windows 96
EAP-MD5 CHAP 97
EAP-TLS 98
Geschütztes EAP (PEAP) 102
EAP über RADIUS 102
EAP-TLS und der IEEE 802.1X-Authentifizierungsprozess 103
PEAP 106
Konfiguration von PEAP auf dem drahtlosen Client 106
Konfiguration von PEAP auf dem IAS-Server 107
PEAP-MS-CHAP v2 108
PEAP-TLS 111
Schnelle Verbindungswiederherstellung mit PEAP 112
Zusammenfassung 113

6 Zertifikate und Public Key-Infrastruktur 115

Zertifikate 116
Felder eines Zertifikats 117
Public Key-Infrastruktur 117
Zertifizierungsstellen 118
Zertifizierungshierarchien 119
Sperrung von Zertifikaten 121
Zertifikatsperrung und IAS 122
Zertifikatprüfung 124
Zertifikatprüfung durch den IAS-Server 124
Zertifikatprüfung durch den drahtlosen Windows-Client 126
Zertifikate unter Windows 126
Zertifikatverwaltung mit dem Zertifikate-Snap-In 126
Zertifikatdienste 129
Beschaffung eines Zertifikats zur IEEE 802. IX-Authentifizierung 130
Automatische Registrierung 130
Anforderung eines Zertifikats via Web 133
Anforderung eines Zertifikats mit dem Zertifikate-Snap-In 133
Import eines Zertifikats mit dem Zertifikate-Snap-In 134
Entwicklung eines Programms oder Skripts mit CAPICOM 135
Computer- und Benutzerauthentifizierung 135
Computer- und Benutzerauthentifizierung mit EAP-TLS 135
Computer- und Benutzerauthentifizierung mit PEAP-MS-CHAP v2 136
Steuerung der Computer- und Benutzerauthentifizierung mit der
Registrierungseinstellung AuthMode 136
Gruppenrichtlinien und IEEE 802.IX-Authentifizierung 137
EAP-TLS und Computerkonfigurations-Gruppenrichtlinien 138
EAP-TLS und Benutzerkonfigurations-Gruppenrichtlinien 138
Drahtlose Authentifizierung mit Zertifizierungsstellen von anderen Herstellern 138
Zertifikate auf IAS-Servern 139
Zertifikate auf drahtlosen Clientcomputern 139
Zusammenfassung 140


Teil II
Einführen von drahtlosen Netzwerken 141

7 Anordnung der Access Points 143

Der Entwurf von drahtlosen LANs 143
Anforderungen, die an Access Points zu stellen sind 144
Kanaltrennung 145
Hindernisse im Strahlenweg 146
Störungen durch andere Sender 147
Anzahl der Access Points 147
Aufstellung der Access Points 147
Untersuchung der Standorte der Access Points 148
Führen Sie eine Testinstallation der Access Points durch 149
Führen Sie eine Standortbegehung durch 149
Optimieren Sie die Aufstellung der Access Points 150
Überprüfen Sie den Sendebereich 150
Aktualisieren Sie Ihre Pläne 150
Zusammenfassung 150

8 Drahtlose Intranetnetzwerke mit EAP-TLS 153

Erforderliche Komponenten 153
Konfiguration der Zertifikatinfrastruktur 154
Installation einer Zertifikatinfrastruktur 156
Automatische Registrierung von Computerzertifikaten 157
Automatische Registrierung von Benutzerzertifikaten 158
Konfiguration von Active Directory-Konten und Gruppen für den drahtlosen Zugriff 160
Konfiguration des IAS-Servers 161
Konfiguration des primären IAS-Servers 161
Konfiguration einer Drahtlos-RAS-Richtlinie 168
Konfiguration des sekundären IAS-Servers 172
Konfiguration der Drahtlosnetzwerkrichtlinien-Gruppenrichtlinieneinstellungen 174
Konfiguration der Access Points 175
Konfiguration drahtloser Clientcomputer 175
Installation des Computerzertifikats 175
Installation des Benutzerzertifikats 176
Konfiguration der 802. IX-Authentifizierung mit EAP-TLS 178
Zusammenfassung 180

9 Fallstudie: Das drahtlose Netzwerk von Microsoft 181

Geschichte des drahtlosen Microsoft-LANs 181
Die Microsoft-WLAN-Technologie 182
Vorüberlegungen bei der Planung 183
Leistung 183
Skalierbarkeit 183
Ortsveränderung und Mobilität 183
Sicherheit 184
Installation des drahtlosen Netzwerks 185
Phase 1: Planung 185
Phase 2: Installation 185
Phase 3: Abnahme 186
Phase 4: Übergabe an Microsoft-Benutzer 186
Aktuelle Ausbaustufe und Infrastruktur 186
Active Directory-Domänencontroller 187
Zertifizierungsstellen unter Windows Server 2003 188
Drahtlose Clients mit Windows XP 189
Access Points aus der Produktreihe Cisco Aironet 340 und 350 189
RADIUS-Server und -Proxys mit Windows Server 2003 190
Zusammenfassung 194

10 Drahtlose Intranetnetzwerke mit PEAP-MS-CHAP v2 195

Erforderliche Komponenten 195
Konfiguration von Active Directory-Konten und Gruppen für den drahtlosen Zugriff 196
Konfiguration des IAS-Servers 198
Konfiguration des primären IAS-Servers 198
Konfiguration einer Drahtlos-RAS-Richtlinie 204
Konfiguration des sekundären IAS-Servers 208
Konfiguration der Drahtlosnetzwerkrichtlinien-Gruppenrichtlinieneinstellungen 209
Konfiguration der Access Points 210
Konfiguration drahtloser Clientcomputer 210
Installation des Stammzertifizierungsstellenzertifikats 211
Konfiguration der 802.1X-Authentifizierung für PEAP-MS-CHAP v2 214
Zusammenfassung 215

11 Weitere Konfigurationen eines drahtlosen Intranets 217

Internetzugriff für Geschäftspartner 217
Der Gastzugriff 218
Überprüfter Internetzugang 221
Gesamtstrukturübergreifende Authentifizierung 222
Konfiguration der Zertifikatinfrastruktur 225
Konfiguration der Active Directory-Gesamtstrukturen für Konten und Gruppen 225 Konfiguration des primären IAS-Servers auf einem Computer in der ersten
Gesamtstruktur 225
Konfiguration des sekundären IAS-Servers auf einem anderen Computer in der
ersten Gesamtstruktur 225
Konfiguration des primären IAS-Servers auf einem Computer in der zweiten
Gesamtstruktur 226
Konfiguration des sekundären IAS-Servers auf einem anderen Computer in der
zweiten Gesamtstruktur 226
Konfiguration des primären IAS-RADIUS-Proxys 226
Konfiguration des sekundären IAS-RADIUS-Proxys 229
Konfiguration der RADIUS-Authentifizierung auf den Access Points 229
Konfiguration drahtloser Clientcomputer 230
Skalierung von Authentifizierungen mit RADIUS-Proxys 230
Konfiguration der Zertifikatinfrastruktur 231
Konfiguration von Active Directory-Konten und Gruppen 232
Konfiguration von IAS als RADIUS-Server auf mehreren Computern 232
Konfiguration des primären IAS-RADIUS-Proxys 232
Konfiguration des sekundären IAS-RADIUS-Proxys 233
Konfiguration der RADIUS-Authentifizierung auf den Access Points 234
Konfiguration drahtloser Clientcomputer 234
Gemeinsamer Einsatz von EAP-TLS und PEAP-MS-CHAP v2 235
Konfiguration von Windows 2000-IAS für die EAP-TLS- und
die PEAP-MS-CHAP v2-Authentifizierung 235
Konfiguration von Windows Server 2003-IAS für die EAP-TLS- und die
PEAP-MS-CHAP v2-Authentifizierung 236
Zusammenfassung 237

12 Sichere drahtlose Netzwerke für den Privathaushalt und kleine Firmen 239

Aktivieren und konfigurieren Sie die Sicherheit in Ihrem drahtlosen Netzwerk 240
Sicherheit im drahtlosen Netzwerk 241
Verschlüsselung 241
Authentifizierung 242
Der Windows XP-WZC-Dienst 245
Einrichtung eines drahtlosen Netzwerks mit einem Access Point 245
Konfiguration des Access Points 246
Konfiguration der drahtlosen Windows-Clients 247
Der Drahtlosnetzwerkadaptertreiber unterstützt den WZC-Dienst unter
Windows XP (vor SP1) 247
Der Drahtlosnetzwerkadaptertreiber unterstützt den WZC-Dienst unter
Windows XP (SP1 und höher) 249
Der Drahtlosnetzwerkadaptertreiber unterstützt den WZC-Dienst nicht 250
Der Drahtlosnetzwerkadaptertreiber unterstützt den WZC-Dienst unter
Windows XP (SP1 und höher) 251
Der Drahtlosnetzwerkadaptertreiber unterstützt den WZC-Dienst nicht 252
Einrichtung eines drahtlosen Netzwerks ohne Access Point 253
Konfiguration des ersten drahtlosen Clients 253
Der Drahtlosnetzwerkadaptertreiber unterstützt den WZC-Dienst unter
Windows XP (vor SP1) 253
Der Drahtlosnetzwerkadaptertreiber unterstützt den WZC-Dienst unter
Windows XP (SP1 und höher) 254
Der Drahtlosnetzwerkadaptertreiber unterstützt den WZC-Dienst nicht 256
Konfiguration der weiteren drahtlosen Windows XP-Clients 256
Der Drahtlosnetzwerkadaptertreiber unterstützt den WZC-Dienst unter
Windows XP (vor SP1) 256
Der Drahtlosnetzwerkadaptertreiber unterstützt den WZC-Dienst unter
Windows XP (SP1 und höher) 257
Der Drahtlosnetzwerkadaptertreiber unterstützt den WZC-Dienst nicht 258
Zusammenfassung 259

13 RADIUS-Infrastruktur für öffentlich zugängliche Bereiche 261

Komponenten einer RADIUS-Infrastruktur für den drahtlosen Zugriff auf
öffentlichen Plätzen 263
WISP-Konfiguration 265
Konfiguration der Access Points 265
Konfiguration des primären IAS-RADIUS-Proxys 265
Konfiguration des sekundären IAS-RADIUS-Proxys 271
Konfiguration des Dienstanbieters 272
Konfiguration der privaten Organisation 274
Einsatz von IAS-RADIUS-Servern 274
Einsatz von IAS-RADIUS-Proxys 275
Zusammenfassung 281


Teil III
Problembehandlung in drahtlosen Netzwerken 283

14 Problembehandlung beim drahtlosen Windows-Client 285

Werkzeuge zur Problembehandlung 285
Der Ordner Netzwerkverbindungen 286
Ablaufverfolgung 287
Microsoft Netzwerkmonitor 288
Drahtlosmonitor-Snap-ln 289
Häufiger auftretende Probleme mit der Verbindungsherstellung und Authentifizierung 290
Zusammenfassung 291

15 Problembehandlung beim Access Point 293

Hilfsmittel zur Problembehandlung auf Access Points 293
Statusanzeige 293
Site-Survey-Software 294
SNMP-Support 294
Diagnoseprogramme 295
Häufiger auftretende Probleme bei Access Points 295
Der Access Point ist nicht zu erreichen 295
Es ist keine Authentifizierung beim Access Point möglich 296
Die Kommunikation reicht nicht über den Access Point hinaus 298
Zusammenfassung 299

16 Problembehandlung in der Authentifizierungsinfrastruktur 301

Werkzeuge zur Problembehandlung auf dem IAS 301
IAS-Ereignisprotokollierung und die Ereignisanzeige 302
Der Netzwerkmonitor 302
Die SChannel-Protokollierung 303
Die Ablaufverfolgung 303
Der SNMP-Agent 304
Das Snap-In Leistungsprotokolle und Warnungen 304
Problembehandlung bei der IAS-Authentifizierung und –Autorisierung 304
Problembehandlung bei der Zertifikatprüfung 306
Überprüfung des Zertifikats des drahtlosen Clients 306
Überprüfung des Zertifikats des IAS-Servers 309
Problembehandlung bei Überprüfungen auf Kennwortbasis 310
Überprüfung der Anmeldeinformationen des drahtlosen Clients 310
Überprüfung des Zertifikats des IAS-Servers 311
Häufiger auftretende Authentifizierungsprobleme 311
Zusammenfassung 314


Teil IV
Anhänge 315


A Empfehlungen für die Einrichtung eines drahtlosen Netzwerks 317

Sicherheit 317
PKI 318
Access Points 320
Drahtlosnetzwerkadapter 320
Active Directory 320
RADIUS 321
Leistung 323
Skalierbarkeit 323

B WISPs und Windows Provisioning Services 325

Windows XP Wireless Provisioning Services 326

C Einrichtung des sicheren Drahtloszugriffs in einem Testlabor 327

PEAP-MS-CHAP v2-Authentifizierung 327
DC1 328
IAS1 337
IIS1 342
Access Point 343
CLIENT1 343
EAP-TLS-Authentifizierung 345
DC1 345
IAS1 351
CLIENT1 354

Zusammenfassung 355

Stichwortverzeichnis 356

Der Autor 364