Radius, WPA2 utan PSK, vad behöver jag veta?

snigel · Post by **snigel** » 2008-06-25 13:01:33

Som andra trådar kanske skvallrat om ska jag sätta upp ett större nät, med runt 200 datorer anslutna trådlöst. Till detta ska det finnas någon form av autentisering, radius känns som det självklara valet även om jag inte har någon större erfarenhet.

Som jag har förstått det ingår inte kryptering per automatik bara för att man använder sig av radius. Skulle vilja använda WPA2 utan PSK, så användarna slipper skriva in någon nyckel.

Ytterligare saker som är bra att veta får ni gärna flika in med, var inte rädd att verka OT.

Post by **linc** » 2008-06-25 20:11:55

Har inget bra svar gällande autentiseringen, men:

Jag är inte säker på att det är en god idé (prestandamässigt) att bygga ett trådlöst nät för 200 datorer. Tänk på att trådlösa nätverk är CSMA/CA vilket kortfattat innebär att mediet är delat av alla enheter (som en hubb ungefär). Detta gör att enbart en enhet kan prata åt gången och pratar mer än en enhet åt gången (vilket CSMA/CA försöker förhindra men inte alltid lyckas så bra med) blir det en kollision (precis som i en hubb) och datan måste skickas om. Detta sker såklart mer ju fler enheter som ska prata på mediet. En AP är precis som vilken annan enhet i sammanhanget och kan därför bara prata/lyssna med/på en enhet i taget.

En möjlig lösning på det problemet är att använda sig av flera frekvenser/kanaler, men beroende på omgivningen kanske inte detta är möjligt. Det är ingen lösning i längden heller.

Kabelburet är alltid bäst prestandamässigt.

HLC · Post by **HLC** » 2008-06-25 22:39:15

Fredrik; att installera många APn med sänkt signalstyrka borde väl åtgärda de problemen?

snigel · Post by **snigel** » 2008-06-26 12:34:09

Fredrik Ågren wrote:Har inget bra svar gällande autentiseringen, men:

Jag är inte säker på att det är en god idé (prestandamässigt) att bygga ett trådlöst nät för 200 datorer. Tänk på att trådlösa nätverk är CSMA/CA vilket kortfattat innebär att mediet är delat av alla enheter (som en hubb ungefär). Detta gör att enbart en enhet kan prata åt gången och pratar mer än en enhet åt gången (vilket CSMA/CA försöker förhindra men inte alltid lyckas så bra med) blir det en kollision (precis som i en hubb) och datan måste skickas om. Detta sker såklart mer ju fler enheter som ska prata på mediet. En AP är precis som vilken annan enhet i sammanhanget och kan därför bara prata/lyssna med/på en enhet i taget.

En möjlig lösning på det problemet är att använda sig av flera frekvenser/kanaler, men beroende på omgivningen kanske inte detta är möjligt. Det är ingen lösning i längden heller.

Kabelburet är alltid bäst prestandamässigt.

Det här är ett ickeproblem. Det är många accesspunkter spridda över ett stort område. Vi pratar på sin höjd runt 20-30 användare per accesspunkt som skall kolla mailen/surfa aftonbladet. Accesspunkterna kommer ligga på spridda kanaler.
Anledningen till att jag skrev antalet användare var att jag ser det som en omöjlighet att ge alla samma nyckel och ha någon form av säkerhet på nätverket. Dessutom är det önskvärt att kunna logga användare i viss mån om något skulle inträffa.

HLC · Post by **HLC** » 2008-06-26 12:45:50

I större nätverk verkar det ju populärt att göra själva nätverket okrypterat men kräva att användaren måste verifieras via ett websystem innan denne ges tillgång till nätverket i övrigt. Riktigt vad de använder för att uppnå det vet jag inte dock men om jag inte helt missminner rykten jag hört så borde Icepic ha träffat på det? (Om han skulle råka förbi) (Näten där jag träffat på detta sättet ligger förvisso snarare i storleksordningen tusentals användare på samma nät)

snigel · Post by **snigel** » 2008-06-26 16:55:58

HLC wrote:I större nätverk verkar det ju populärt att göra själva nätverket okrypterat men kräva att användaren måste verifieras via ett websystem innan denne ges tillgång till nätverket i övrigt. Riktigt vad de använder för att uppnå det vet jag inte dock men om jag inte helt missminner rykten jag hört så borde Icepic ha träffat på det? (Om han skulle råka förbi) (Näten där jag träffat på detta sättet ligger förvisso snarare i storleksordningen tusentals användare på samma nät)

Det är så det fungerar på chalmers till exempel. Känns som man borde kryptera den trådlösa trafiken, men det kanske inte är praxis i större nät, gillar inte tanken på att alla användare kan avlyssnas, borde vara relativt lätt att bara sniffa massor av lösenord i så fall.

HLC · Post by **HLC** » 2008-06-26 18:43:48

Inte om du krypterar de sidor som skall krypteras väl? Kryptering av själva överföringen brukar alltid medföra krångel och sänkt prestanda så kan det undvikas genom att själva användandet av nätet är säkert så är det ju att föredra.

Post by **linc** » 2008-06-28 0:35:42

HLC wrote:Fredrik; att installera många APn med sänkt signalstyrka borde väl åtgärda de problemen?

Det låter logiskt ja. Men du har ju fortfarande problemet med begränsat antal kanaler (mycket beroende på vilka kanaler, om några, som andra nät i närheten kör). Det är ju också enklare att strukturera det hela om det är stationära datorer det rör sig om eftersom man då vet ganska säkert hur många som hör till varje cell vid varje givet tillfälle. Å andra sidan kan man ju lika gärna dra kabel då.

Wikipediasidan föreslår annars att man ska öka signalstyrkan för att bli av med hidden terminal-problemet, men det är ju också förödande för prestandan eftersom den då täcker in fler enheter. Sen får man ju inte dra på hur mycket som helst om man ska följa lagen. :)

(Ursäkta OT snigel, kan bryta loss det till en egen tråd om du vill.)

IcePic · Post by **IcePic** » 2008-07-10 8:17:34

snigel wrote:Det är så det fungerar på chalmers till exempel. Känns som man borde kryptera den trådlösa trafiken, men det kanske inte är praxis i större nät, gillar inte tanken på att alla användare kan avlyssnas, borde vara relativt lätt att bara sniffa massor av lösenord i så fall.

Om du kör krypto (WEP, WPA eller WPA2) så blir det ofantligt mycket svårare för en
user att roam:a mellan två basstationer, eftersom ditt WLankort och basstationen
har kommit överens om en engångsnyckel att använda, som givetvis inte alla
andra basstationer vet om.

Sen är jag sedan typ 95 anhängare av iden att man alltid är avlyssnad på nätet
så man krypterar sin webbank oavsett om man åker kabel eller wlan de sista
50 metrarna. Det är 20 routerhopp och 4 isp:er (och ev. FRA

mellan mig och
min bank som också kan göra fult.

Samma för remote-inloggningar, mailhämtning osv.

IcePic · Post by **IcePic** » 2008-07-10 8:18:50

snigel wrote:Det är så det fungerar på chalmers till exempel. Känns som man borde kryptera den trådlösa trafiken, men det kanske inte är praxis i större nät, gillar inte tanken på att alla användare kan avlyssnas, borde vara relativt lätt att bara sniffa massor av lösenord i så fall.

En grej till, allas jämrans wlan-kort, oavsett om det är el-cheapo usb-wlan
eller mobil-telefon eller G4-maclaptop måste stöda just din typ av krypto på
wlan:et, annars förlorar du.

Och jo, vi har som sagt klartext-wlan på SU och sen måste man vinna över en websida
för att få internet alls.