Heute beschäftigen wir uns mit Access Points und Contentfilterlösungen aus dem Hause OctoGate.
Installation, Konfiguration und erweiterte Möglichkeiten.
Wir verwenden wieder unser Standard Setup mit einem Access Point und einem Switch hinter unserer OctoGate.
Die Strategie der OctoGate Komplettlösung ist klar:
Weniger Komplexität und Installationsaufwand durch Komponenten desselben Herstellers.
Access Points, Switches und Firewall spielen zusammen und werden durch ein und dieselbe Konfigurationsoberfläche gesteuert.
Beginnen wir zunächst mir den OctoGate Access Points:
Hier im Beispiel ein OctoGate AX-3000 mit WiFi 6 Technologie und optionalem LTE-Interface.
Verfügt der Kunde bereits über eine OctoGate Firewall, so registriert sich der Access Point direkt in der OctoGate.
Ein Access Point im Werkszustand wird hinter einer OctoGate eingeschaltet
und fragt im lokalen Netz (bevor er sein Betriebssystem lädt) nach einer lokalen OctoGate.
Von dieser erhält er dann den OG Namen, ein ggf. aktualisiertes Betriebssystem und die aktuelle WLAN Konfiguration.
Falls ein Betriebssystem Update fehlschlägt, weil das Gerät währenddessen ausgeschaltet wurde, ist dies kein Problem.
Beim nächsten Start erkennt der Access Point dies und lädt das korrekte Betriebssystem erneut von der OctoGate.
Der Access Point ist somit automatisch in der OctoGate registriert und mit aktueller Software versorgt.
Im Einrichtungsassistenten für Access Points kann die Erstinstallation mit Hilfe eines Wizards erfolgen.
Alternativ dazu, definiert man einzelne WLAN-Netze (SSIDs) samt Zugangsmechanismen (Passwörter, X509, Captive Portal)
und bündelt diese mit Frequenzinformationen zu Konfigurationsprofilen.
Diese werden dann auf Stockwerke oder Access Point Gruppen angewandt.
In diesem Fall ist unser Test Access Point dem Erdgeschoss zugeordnet.
Hier ist dann auch der Grundriss konfiguriert.
Darunter gibt es einzelne Gruppen von Access Points.
Wählt man im Baum links einen Access Point aus, so wird er rechts markiert und man kann seine Position auf dem Gebäudeplan festlegen.
Eine Profil- und somit Konfigurationszuordnung kann direkt am Access Point geschehen.
Ist dieses Feld dort leer, greift eine übergeordnete Zuordnung auf Gruppen- oder Geschossebene.
Eine Umgruppierung des Access Points ist jederzeit bequem via Drag and Drop möglich.
Somit nimmt der Access Point auch direkt die Konfiguration der Zielgruppe oder des Geschosses an.
Durch Aktivierung des Shell Modus eines Access Points, erlangt man vollständige Systemkontrolle über das Gerät.
Zunächst werden die Basis-Systeminformationen angezeigt.
Im "Prozess Monitor (HTOP)" sieht man die Speicher- und CPU-seitige Auslastung des Geräts.
Im "Firmware Tool" Bereich finden sich Werkzeuge, welche in Absprache mit OctoGate Support zur Fehlerfindung genutzt werden können.
Im Bereich "Bandbreiten Analyse" befindet sich ein Werkzeug, um live auf dem Gerät aktuelle Clients und Lastsituationen diagnostisch erfassen zu können.
Und natürlich bietet OctoGate auch eine direkte Kommandozeile (Shell) zu jedem Gerät.
Nun schauen wir uns die WLAN Netz- bzw. SSID-Konfiguration eines Profils mal im Detail an.
Neben dem SSID Namen, wird auf dieser Seite auch die Authentifizierung festgelegt.
Beim Design der OctoGate war es uns sehr wichtig auch die komplizierten Dinge "einfach" zu halten.
Daher ist auch zum Beispiel eine Radius X509 Konfiguration für ein WLAN schnell gemacht.
Im Bereich der WiFi Verschlüsselung bietet die OctoGate nicht nur WPA2 und WPA3,
sondern auch einen Hybrid Modus, um auch ältere Geräte weiterhin reibungslos zu betreiben.
Das Datenziel einer SSID kann wie bei anderen Herstellern auch ein VLAN oder "untagged",
also eine direkte Verbindung mit dem Kupfernetz sein.
Eine Besonderheit von OctoGate ist es, dass man VLANs gar nicht benötigt.
Somit spart man sich die aufwändige Konfiguration von Switches und Infrastruktur, wenn eine neue SSID hinzukommt.
Der Access Point erstellt einfach einen Hochgeschwindigkeitstunnel zur OctoGate und überträgt so zuverlässig und gesichert,
ohne dass lokal ansonsten etwas konfiguriert werden muss.
Natürlich können wir die daraus resultierende SSID auch als QR-Code darstellen.
Dieser lässt sich leicht ausdrucken und ggf. öffentlich verfügbar machen.
In der SSID Zusatzkonfiguration definiert man im Weiteren, welche IP Netze und Firewall
bzw. Proxy Funktionalitäten gültig sein sollen.
Ob Captive Portal, Jugendschutzfilter oder Firewall DPI-Filter: Es ist einfach zu konfigurieren und zuverlässig verfügbar.
Es kann auch direkt von diesem Konfigurationsdialog aus definiert werden, ob das Scanning von HTTPS Seiten invasiv
und somit mit einem Stammzertifikat erfolgen soll oder ob OctoGate SNI Scanning Verwendung finden soll.
Vordefinierte Netzbereiche mit anschließender Autokonfiguration der DHCP Funktionalität runden das Bild ab.
Die OctoGate verfügt über drei werksseitig vorkonfigurierte RADIUS Server mit entsprechenden Stamm-, Server- und Clientzertifikaten.
Somit ist die Konfiguration eines "WLAN_SEG", einem Netz für schuleigene Geräte mit Authentifizierung über ein X509 Zertifikat, einfach und ohne Vorarbeit möglich.
Die so konfigurierten SSIDs können in Konfigurationsprofilen genutzt werden.
Der Vorteil: Ändert man etwas an der SSID Konfiguration, ziehen die Konfigurationsprofile automatisch nach.
Im Bereich RADIO-Management eines Profils definiert man die genutzte Bandbreite in einem Frequenzband.
Doppelte Bandbreite heißt doppelte WLAN Geschwindigkeit.
Heißt aber auch: Weniger freie Frequenzen im WLAN für andere.
SSID-Management: Eine Zuordnung von Profilen zu SSIDs – und dies ggf. getrennt für das 2,4 und 5 Gigahertz Band.
Jeder unserer Access Points verfügt über zwei Ethernet Schnittstellen.
Hier wird definiert wie diese zu konfigurieren sind.
Als Bridge spiegelt ein Port einfach den anderen und hilft, Switch Ports zu sparen indem weitere Geräte eingeschleift werden.
Im Single Mode wird der zweite Port getrennt behandelt und mit einer ausgestrahlten SSID gekoppelt.
Zu diesem Einsatzszenario später mehr.
SSIDs werden oft auf VLANs ausgeleitet.
Dies kann auch für die Management IP des Access Points gelten.
Natürlich ist diese Funktion mit Bedacht zu verwenden.
Nun aber ein bisschen Praxis:
Unserem Test Access Point wurde das Profil "Unterricht" zugewiesen.
Somit strahlt er unter anderem die SSID "WLAN_LEHRER" aus.
Diese SSID ist konfiguriert als Captive Portal (Benutzername) –
gesichert mit einem WPA2 Passwort.
Es ist ein DHCP konfiguriert auf 192.168.32.1/24 mit Contentfilter
und ohne invasives scannen von HTTPS Seiten.
Wir melden uns an mit einem Nutzer aus unserem Demo Daten Pool: sjosten.
Der User gehört in der Schule der Gruppe "Klasse 2" an.
Schauen wir uns die Gruppe einmal näher an.
Die Gruppe "Klasse 2" verfügt über ein Sicherheitsprofil und ein Surfprofil.
Ersteres definiert auf welche Seiten der OctoGate Weboberfläche der Nutzer kommt.
Letzteres definiert auf welchen Webseiten der User surfen darf.
Schauen wir uns also das Surfprofil "Sekundarstufe 1" an.
Die OctoGate verfügt über eine Datenbank von 81 Millionen Websites in 25 Kategorien.
An einem Surfprofil können verbotene Kategorien oder verbotene Websites definiert werden.
In diesem Fall ist die Kategorie auf "Alles verboten außer" der Whitelistkategorie "Nachrichten" eingestellt.
Eine typischere Anwendung eines Surfprofils wäre "Alles erlaubt außer" und dann die Definition einer Blacklistkategorie
wie zum Beispiel "Erwachsenen Inhalte".
Nun aber zum iOS Tablet und dem Testszenario.
Zunächst verbinden wir uns mit der SSID "WLAN_LEHRER".
Das iOS Gerät erkennt sofort die Captive Portal Konfiguration und fordert zur Anmeldung auf.
Wir nutzen den vorbereiteten User und sichern zu uns gesetzeskonform zu verhalten und gelangen so auf die Info Seite der OctoGate.
und gelangen so auf die Info Seite der OctoGate.
Diese kann auch später jederzeit unter https://info.octogate.online aufgerufen werden.
Man erhält allerlei informationen über den aktuellen Nutzer und kann von hier direkt eventuell notwendige Stammzertifikate herunterladen
oder auf die OctoGate Nutzeroberfläche (Dashboard) wechseln.
Nun zum Contentfilter:
Wir geben die Website www.heise.de an.
Das scheint noch nicht optimal zu laufen – heise.de ist erreichbar, aber ohne Bilder.
Warum ist das so?
Schauen wir zunächst in das Firewall Web-Surf Log.
Nach einem Blick ins Surf Log ist die Sache klar:
"*.heise.de" steht auf der Whitelist, aber die Content Delivery Pages, von welchen heise seine Bilder bezieht, werden von der Firewall rejected.
Wir können allerdings einfach Abhilfe schaffen.
Wir filtern die Log Resultate auf Reject Meldungen dieses Tablets,
selektieren die Sites der letzten Minute und setzen diese auf die Whitelist.
Und schon wird die Seite korrekt angezeigt.
Nun zurück zum Thema WLAN:
Es gibt ja noch mehrere weitere definierte Netze.
Eines davon ist das der schuleigenen Geräte "WLAN_SEG".
Es ist geschützt durch ein X509 Zertifikat.
Sicherer als ein Passwort, einfach per Mobile Device Management (MDM) auf die Geräte zu bringen.
OctoGate macht es dem Administrator sehr einfach ein solch vergleichsweise komplexes Szenario einzurichten.
Ab Werk werden drei vollständig konfigurierte Radius Server nebst zugehörigen individuellen Zertifikaten für das lokale System mitgeliefert.
Auch die Konfiguration von DHCP für diese Netze und die Basis Surf Filter Funktion kann direkt auf der WLAN Konfigurationsseite mit erledigt werden.
Die drei vorkonfigurierten RADIUS Server für X509 (Zertifikat), 802.1X (Domain Nutzername und Passwort)
und PPSK (Private preshared Key, nutzerindividuelles Passwort) benötigen insgesamt drei Zertifikate um zu funktionieren.
Alle benötigten Zertifikate sind bereits im Zertifikatsmanager der OctoGate bei der Installation generiert worden.
Selbstverständlich können auch eigene Zertifikate hochgeladen werden oder auf Basis eigener Stammzertifikate weitere Zertifikate erstellt werden.
Selbst die Beantragung und Pflege von lets encrypt Zertifikaten ist möglich.
Für die Radius X509 Zertifikatsinstallation benötigen wir minimal das entsprechende X509 Zertifikat,
welches wir auf dieser Konfigurationsseite im CERT oder P12 Format mit Passwort für das MDM herunterladen können.
Nun zurück zum iOS Gerät:
Probieren wir die Funktionalität einmal aus.
Zunächst muss das Zertifikat auf das iOS Gerät transferiert werden.
Nach der Aktivierung wird daraus ein iOS Konfigurationsprofil.
In den Einstellungen steht oben "Profil geladen".
Wir aktivieren diese Schaltfläche und installieren das Zertifikat aus dem Profil.
Nun ist das Profil geladen und bereit.
Diese manuellen Schritte dienen nur der Veranschaulichung – mit einem MDM geschieht dies automatisch.
Auch die folgende Erstanmeldung am WLAN.
Nach Auswahl des Netzes muss das X509 Zertifikat für das Netz aktiviert werden.
Schaltfläche: Modus auf EAP-TLS.
Danach wird via "Identität" das Zertifikat ausgewählt.
Wir vertrauen weiterhin diesem Zertifikat und haben uns somit erfolgreich an diesem WLAN angemeldet.