Enterprise WLANs erfolgreich planen und betreiben

Transkript

1 Enterprise WLANs erfolgreich planen und betreiben Auf dem Weg zum Controller-basierten WLAN-Design von Dr. Simon Hoff

2 Technologie Report: Enterprise WLANs Seite Aufbau eines virtuellen Distribution System Durch die im Kapitel vorgestellte Zentralisierung von WLAN-Funktionen kommt es letztendlich zu einer Auftrennung eines klassischen Access Points in eine zentrale Komponente (den WLAN-Controller bzw. Wireless Switch) und in Thin Access Points. Abbildung 5.8: Aufteilung der Funktionen eines klassischen Access Points Der grundsätzliche Aufbau eines Controller-basierten WLANs besteht also aus den folgenden Komponenten: WLAN-Controller (auch als Wireless Switch bezeichnet) Thin Access Point Transportnetz zur Kommunikation zwischen WLAN-Controller, Thin Access Point und den WLAN-Controllern selbst. Typischerweise kommen in einem WLAN noch weitere Elemente hinzu (die aber für die Diskussion der Virtualisierung des Distribution Systems keine Rolle spielen): RADIUS-Server als Authentication Server Management Server (je nach System) Was auf den ersten Blick wie eine zwangsläufige Entwicklung aussieht, hat seine Wurzeln in zwei verschiedenen Ansätzen: einem Gateway-basierten Ansatz

3 Technologie Report: Enterprise WLANs Seite und einem Access-Switch-basierten Ansatz. Gemeinsam ist beiden Varianten, dass typischerweise die Unterstützung der Mobilität eines Clients zwischen den Einzugsbereichen verschiedener WLAN-Controller durch Tunneltechniken realisiert wird. Diese Tunnelmechanismen laufen transparent für den Client ab. Heutige Produkte bieten eine mehr oder weniger starke Vermengung der beiden vorgestellten Ansätze. Abbildung 5.9: Aufbau- und Mobilitätskonzepte Gateway-basierter Ansatz Die WLAN-Controller bilden den Abschluss des Distribution Systems, wie in Abbildung 5.10 gezeigt. Das Distribution System wird oft als flaches Layer-2- Netz realisiert, kann jedoch herstellerspezifisch durchaus in mehrere IP-Subnetze strukturiert werden, die an den WLAN-Controllern zusammengeführt werden. Der Schwerpunkt beim Gateway-basierten Ansatz liegt oft auf Sicherheitsfunktionen. Meist bietet der WLAN-Controller hierzu Firewall-Funktionen und kann als VPN-Gateway verwendet werden. Dazu werden verschiedenste Authentifizierungsmöglichkeiten und VPN-Tunnelmechanismen unterstützt. Eine Verwaltung verschiedener Nutzergruppen mit unterschiedlichen Zugriffsrechten wird typischerweise ebenfalls meist mit angeboten. Insbesondere kann mit diesen Mitteln oft auch ein Gastzugang eingerichtet werden. Die Gastnutzer können am WLAN-Controller mit Hilfe von Hotspot-Techniken authentifiziert werden und erhalten lediglich einen kontrollierten Zugang zum Internet. Vom Aufbau her handelt es sich beim Gateway-basierten Ansatz meist um eine Server-Appliance, oft mit einem klassischen Server-Betriebssystem, etwa einem Unix-Derivat. Die am Markt befindlichen Produkte unterscheiden sich hin-

4 Technologie Report: Enterprise WLANs Seite sichtlich der Abhängigkeit der Access Points vom WLAN-Controller. Als Beispiel sei hier die EdgeWall von Vernier Networks genannt, die als ein reiner Gateway-basierten Ansatz keine zusätzlichen Anforderungen an die Access Points stellt, sondern sich auf die Absicherung des Übergangs WLAN-LAN und die Subnetz-übergreifende Mobilität konzentriert. Abbildung 5.10: Gateway-Ansatz für Wireless Controller Access-Switch-basierter Ansatz Hier wird quasi ein konventioneller Ethernet-Switch um mobilitäts- und WLANspezifische Funktionen erweitert. Im Extremfall werden die Access Points direkt an den Wireless Switch angeschlossen. Diverse Produkte gestatten aber auch den Anschluss mehrerer Access Points an einen Port des Wireless Switches (diese Bezeichnung ist beim Access-Switch-Ansatz durchaus gerechtfertigt, wie Abbildung 5.11 am Beispiel eines Wireless Switches von Trapeze zeigt).

5 Technologie Report: Enterprise WLANs Seite Quelle: Trapeze Networks Abbildung 5.11: Access-Switch-Ansatz am Beispiel eines Wireless Switch von Trapeze Networks Abbildung 5.12: Access-Switch-Ansatz für Wireless Controller

6 Technologie Report: Enterprise WLANs Seite Die Wireless Switches bilden dabei das Distribution System (siehe Abbildung 5.12). Der Fokus einer solchen Lösung liegt meist auf der Kontrolle von Funktionen der Funkübertragung, dem Management von Access Points sowie der Überwachung der Luftschnittstelle hinsichtlich Fehlern, WLAN-Abdeckung, - Performance und Sicherheitsvorfällen. Wireless Switches, die dem Access-Switch-Ansatz folgen, bieten meist auch Funktionen zur Überwachung der Luftschnittstelle hinsichtlich der Qualität der Übertragung und hinsichtlich Verletzungen der WLAN-Security-Policy. Stichworte sind hier die Erkennung fremder WLAN-Stationen und die Erkennung von Angriffen auf die Infrastruktur (Wireless IDS). Dieser Typ von Wireless Switches erfordert meist den Einsatz von Access Points, die speziell auf den Wireless Switch zugeschnitten sind. Access Points (oft mit einer neuen Bezeichnung versehen, wie Mobility Point, Access Port, Lightweigt Access Point oder eben Thin Access Point) und Wireless Switch kommen daher meist aus einer Hand Tunnel zwischen WLAN-Controllern Abbildung 5.13: Tunnel zwischen WLAN-Controllern 1 1 Im Detail gibt es Unterschiede zwischen den Produkten der verschiedenen Hersteller.

7 Technologie Report: Enterprise WLANs Seite Abbildung 5.14: Beispiel eines getunnelten Datentransfers Server zu Client Eine Kommunikation zwischen WLAN-Controllern ist erforderlich, wenn zwischen den von verschiedenen WLAN-Controller abgedeckten Gebieten eine Online-Mobilität unterstützt werden soll und die Gebiete unterschiedlichen Broadcast-Domänen bzw. IP-Subnetzen angehören. Dabei liegt das in Kapitel diskutierte Problem der Mobilität über Subnetzgrenzen vor. Diverse Produkte im Bereich der Wireless Switches unterstützen hierzu einen Tunnelmechanismus zwischen den WLAN-Controllern (siehe Abbildung 5.13). Beispiele sind die Systeme von Trapeze, Vernier und Aruba. Das Prinzip ist dabei mehr oder weniger ähnlich zu Mobile IP, wobei die beteiligten Knoten keine generischen Router mit Mobile-IP-Funktionen sind, sondern WLAN-Controller eines Herstellers. Eine Interoperabilität zwischen WLAN-Controllern unterschiedlicher Hersteller ist hinsichtlich einer Inter-Controller-Kommunikation nicht gegeben.

8 Technologie Report: Enterprise WLANs Seite Abbildung 5.14 zeigt einen exemplarischen Kommunikationsablauf bei einem Tunnel zwischen WLAN-Controllern Tunnel zwischen Access Points und WLAN-Controllern Abbildung 5.15: Aufbau eines virtuellen Distribution System durch Tunnel zwischen Thin Access Points und WLAN-Controller Die Kommunikation zwischen WLAN-Controller und Thin Access Points dient meist nicht nur dem Management der Thin Access Points, sondern insbeson-

9 Technologie Report: Enterprise WLANs Seite dere der Übertragung der Nutzdaten 1. Pakete eines Clients werden also nicht vom Thin Access Point aus direkt ins Netz geleitet, sondern stets erst zum WLAN-Controller geschickt, der dann entscheidet, ob und wohin er das Paket weiterleitet. WLAN-Controller verhalten sich hier wie eine Bridge oder (je nach Produkt) wie ein Router. Abbildung 5.16: Beispiel eines getunnelten Datentransfers Client zu Client Die Kommunikation zwischen Thin Access Point und WLAN-Controller folgt dem Tunnelprinzip: Ein MAC-Paket eines WLAN-Clients wird in ein Paket vom Thin Access Point an den WLAN-Controller eingekapselt und umgekehrt. Dieser Mechanismus ist eigentlich vollständig unabhängig vom verwendeten Transportnetz. In der Praxis erwarten Thin Access Point und WLAN-Controller Ethernet-Schnittstellen und der Tunnel wird entweder direkt auf Ethernet (also 1 In der im Kapitel 5.3 vorgestellten Standardisierungsaktivität CAPWAP wird explizit betont, dass der Kontrollverkehr zum WLAN-Controller fließen muss; der Nutzerverkehr kann auch diesen Weg nehmen, muss es aber nicht. Sollte sich lediglich der Kontrollverkehr (Management und Administration) zwischen Thin Access Point und WLAN-Controller bewegen, ist der WLAN-Controller eigentlich als WLAN-Managementsystem aufzufassen. Im Folgenden wird daher davon ausgegangen, dass ein WLAN-Controller eine aktive Komponente ist, durch die der WLAN-Nutzverkehr fließt. So ist es auch in den meisten Produkten implementiert.

10 Technologie Report: Enterprise WLANs Seite nur innerhalb einer Broadcast-Domäne) oder auf IP aufgesetzt. Letzteres gestattet natürlich prinzipiell, dass auch MAN- und sogar WAN-Strecken transparent durchtunnelt werden können. Die WLAN-Clients und die an den WLAN- Controller angebundene Infrastruktur bemerken also nicht, dass es sich bei Thin Access Point und WLAN-Controller um unterschiedliche Geräte handelt. Das virtuelle Distribution System wird aus einem Overlay-Netz über einem Transportnetz gebildet. Sofern das Transportnetz als Träger IP (oder Ethernet, je nach Wireless-Switch-System) bietet, kann ein WLAN über das Netz realisiert werden. Der Aufbau eines WLAN-Systems ist damit weitestgehend unabhängig von der genutzten LAN-Architektur. Insbesondere kann eine bestehende LAN-Infrastruktur verwendet werden. Dieser Vorteil ist fundamental, denn auf diese Weise kann ein modernes Layer- 3-strukturiertes Netz (mit allen Vorteilen dieser Technik, wie schnelle Failover- Zeiten durch Routingprotokolle) als Basis für den Aufbau eines WLANs dienen. Natürlich befinden sich die Clients immer noch in einer flachen (wenn auch virtuellen) Layer-2-Struktur. Auch die Verwendung von Wireless VLAN ändert nichts an dieser Situation, da auf dem Funkkanal alle Broadcasts wieder zusammenfließen. Hier kann erst die Aufteilung in mehrere Broadcast-Domänen und eine entsprechende geographische Zuordnung auf mehrere WLAN- Controller helfen, was auf die eben in Kapitel beschriebenen Tunnel zwischen WLAN-Controllern hinaus läuft. Ein Tunnel-Mechanismus zwischen Thin Access Point und WLAN-Controller wird inzwischen von den meisten Controller-basierten WLAN-Lösungen angeboten und es gibt erste Ansätze die zugehörigen Architekturen und Kommunikationsprotokolle zu standardisieren (siehe Kapitel 5.3) Sicherheitsaspekte Bei einem Controller-basierten WLAN-Design unterscheidet sich der Schutz der Luftschnittstelle nicht von einem entsprechenden Aufbau mit intelligenten Access Points. Bei Nutzung von IEEE i bzw. WPA/WPA2 kann die Luftschnittstelle adäquat hinsichtlich der Sicherheitsziele Vertraulichkeit und Integrität geschützt werden. Auf der Ethernet-Schnittstelle an einem klassischen Access Point geschieht die Übertragung dagegen zunächst ungeschützt (wie bereits in Abbildung 4.9 gezeigt). Der Controller-basierte Ansatz hat hier ein weiteres Potenzial, da die Kommunikation sowieso kontrolliert zwischen Thin Access Point und WLAN-Controller abläuft. Damit kann grundsätzlich basierend auf einer Authentifizierung (über X.509-Zertifikate oder Pre-Shared Keys) von Thin Access Point und WLAN-

11 Technologie Report: Enterprise WLANs Seite Controller zwischen den Kommunikationspartnern ein verschlüsselter Kanal aufgebaut werden. Auf diese Weise kann ein virtuelles Distribution System auch über einem als unsicher klassifizierten Transportnetz aufgebaut werden. Trotzdem bleibt ein anderes Problem: Angenommen, in einem LAN, welches als Transportnetz für ein virtuelles WLAN dient, sind über den Anschlusspunkt eines Access Points im Netz kritische Ressourcen zu erreichen. Ist nun ein Thin Access Point an einem Ort montiert, an dem ein unberechtigter physikalischer Zugang zum Thin Access Point besteht, ergeben sich unmittelbar Angriffsmöglichkeiten auf die LAN-Infrastruktur durch eine Kompromittierung am Ethernet- Anschluss des Thin Access Points. Hierzu wird ein Hub, ein Switch oder ein Access Point des Angreifers zwischengeschaltet, und der Angreifer kann versuchen, über das LAN Netzelemente oder Server zu erreichen und dort einzudringen. Der Thin Access Point muss hierzu kurz aus dem Netz genommen werden. Das Netzmanagement sollte allerdings Link-Down-Ereignisse registrieren. Es besteht also eine grundsätzliche Möglichkeit diesen Angriff zu detektieren (sofern der Netzadministrator im entsprechenden Moment aufpasst). Eine solche Lücke besteht im Vergleich zum klassischen Aufbau mit intelligenten Access Points tatsächlich immer noch. Der Angriff kann aber durch folgende Maßnahme erschwert werden. Da der Verkehr zum WLAN-Controller getunnelt wird, sind auf den Strecken zwischen Thin Access Points und WLAN-Controller nur die MAC Adressen der Thin Access Points sichtbar und nicht die der WLAN-Clients (denn die sind ja im Tunnel verpackt ). Durch den Einsatz von Port Security bzw. einer MAC ACL an den Ports der Access Switches, an denen Thin Access Points angeschlossen werden, werden nur diejenigen Pakete durchgelassen, deren Quell-MAC-Adresse mit einem Thin Access Point übereinstimmt. Der Angreifer kann aber an Stelle des Thin Access Points die an einem Port erlaubte MAC-Adresse übernehmen. Die Maßnahme erschwert zwar den genannten Angriff, schließt ihn aber auch nicht aus. Aus einer Sicherheitsperspektive bleibt es also bei der Forderung der unscheinbaren Anbringung von Thin Access Points (am besten nicht direkt sichtbar montiert, z.b. oberhalb einer Zwischendecke). Bei einem entsprechend hohen Schutzbedarf sollte weiterhin in Betracht gezogen werden, die Thin Access Points entweder direkt oder über eine eigene separate Infrastruktur an die WLAN-Controller anzuschließen. Alternativ kann durch Policy-based Routing erzwungen werden, dass aus Netzen, die dem Anschluss von Thin Access Points dienen, ausschließlich WLAN-Controller erreicht werden können. So kann ein Angreifer als Ziel lediglich einen WLAN-Controller erreichen. Hier würde auffallen, dass er nicht die richtigen Protokolle eines Thin Access Points

12 Technologie Report: Enterprise WLANs Seite spricht. Außerdem ist es an dieser zentralen Stelle leicht möglich, den Kommunikationsverkehr über einen Paketfilter zu kontrollieren. In dem betrachteten Szenario eines Angriffs auf die Ethernet-Schnittstelle eines Thin Access Points ist der Thin Access Point selbst eher nicht das direkte Angriffsziel, da dieser eigentlich nur vom WLAN-Controller aus konfiguriert werden darf. Ein Angreifer müsste also einen WLAN-Controller simulieren. Dahinter verbirgt sich eine Attacke vom Typ Man in the Middle (MitM). Ein solcher Angriff sollte zunächst an der Authentifizierung scheitern. Weiterhin sind zurzeit WLAN- Controller und Thin Access Points allerdings noch so proprietär, dass eine MitM-Attacke eher akademischer Natur ist. Insgesamt ermöglicht der Controller-basierte Ansatz mit einem spezifischen Protokoll zwischen Thin Access Point und WLAN-Controller eine im Vergleich zum klassischen Aufbau mit intelligenten Access Points verbesserte Sicherheit am LAN-Zugang. Allerdings werden nicht alle bekannten Angriffsmöglichkeiten verhindert.