Überblick über Wireless-Sicherheit

Ein WLAN steht allen Personen offen, die sich innerhalb der Reichweite eines APs befinden und über die entsprechenden Berechtigungsnachweise verfügen, um sich mit ihm zu verbinden. Mit einer drahtlosen Netzwerkkarte und Kenntnissen über Knackverfahren muss ein Angreifer möglicherweise nicht physisch den Arbeitsplatz betreten, um Zugang zu einem WLAN zu erhalten.

Angriffe können von Außenstehenden, verärgerten Mitarbeitern und sogar unbeabsichtigt von Mitarbeitern ausgehen. Drahtlose Netzwerke sind besonders anfällig für verschiedene Bedrohungen, darunter

• Abfangen von Daten - Drahtlose Daten sollten verschlüsselt werden, um zu verhindern, dass sie von Lauschangreifern gelesen werden können.
• Drahtlose Eindringlinge - Unbefugte, die versuchen, auf Netzwerkressourcen zuzugreifen, können durch wirksame Authentifizierungstechniken abgeschreckt werden.
• Denial-of-Service (DoS)-Angriffe - Der Zugang zu WLAN-Diensten kann entweder versehentlich oder böswillig kompromittiert werden. Abhängig von der Quelle des DoS-Angriffs gibt es verschiedene Lösungen.
• Rogue APs(Access Points) - Nicht autorisierte APs, die von einem gutwilligen Benutzer oder zu böswilligen Zwecken installiert wurden, können mit Hilfe von Verwaltungssoftware erkannt werden.

DoS-Angriffe

Drahtlose DoS-Angriffe können die Folge davon sein:

• Unsachgemäß konfigurierte Geräte - Konfigurationsfehler können das WLAN deaktivieren. Beispielsweise könnte ein Administrator versehentlich eine Konfiguration ändern und das Netzwerk deaktivieren, oder ein Eindringling mit Administratorrechten könnte absichtlich ein WLAN deaktivieren.
• Ein böswilliger Benutzer greift absichtlich in die drahtlose Kommunikation ein - Ihr Ziel ist es, das drahtlose Netzwerk vollständig oder so weit zu deaktivieren, dass kein legitimes Gerät auf das Medium zugreifen kann.
• Versehentliche Störungen - WLANs sind anfällig für Störungen durch andere drahtlose Geräte wie Mikrowellenherde, schnurlose Telefone und beispielsweise Babyphone. Das 2,4-GHz-Band ist anfälliger für Interferenzen als das 5-GHz-Band.

Rogue Access Points

Ein Rogue-AP ist ein AP oder drahtloser Router, der ohne ausdrückliche Genehmigung und entgegen den Unternehmensrichtlinien mit einem Unternehmensnetzwerk verbunden wurde. Jeder, der Zugang zu den Räumlichkeiten hat, kann (böswillig oder nicht böswillig) einen kostengünstigen drahtlosen Router installieren, der möglicherweise den Zugang zu einer sicheren Netzwerkressource ermöglicht.

Sobald die Verbindung hergestellt ist, kann der Rogue-AP von einem Angreifer dazu benutzt werden, MAC-Adressen zu erfassen, Datenpakete zu sammeln, Zugang zu Netzwerkressourcen zu erlangen oder einen Man-in-the-Middle-Angriff zu starten.

Ein persönlicher Netzwerk-Hotspot könnte auch als Rogue-AP genutzt werden. Beispielsweise ermöglicht ein Benutzer mit sicherem Netzwerkzugang seinem autorisierten Windows-Host, ein Wi-Fi-AP zu werden. Auf diese Weise werden die Sicherheitsmaßnahmen umgangen, und andere nicht autorisierte Geräte können nun als gemeinsam genutztes Gerät auf Netzwerkressourcen zugreifen.

Um die Installation von Rogue-APs zu verhindern, müssen Organisationen WLCs mit Rogue-AP-Richtlinien konfigurieren und Überwachungssoftware verwenden, um das Funkspektrum aktiv auf nicht autorisierte APs zu überwachen.

Man-in-the-Middle-Angriff

Bei einem Man-in-the-Middle-Angriff (MITM-Angriff) befindet sich der Hacker zwischen zwei legitimen Einheiten, um die Daten, die zwischen den beiden Parteien ausgetauscht werden, zu lesen oder zu verändern. Es gibt viele Möglichkeiten, einen MITM-Angriff durchzuführen.

Ein beliebter drahtloser MITM-Angriff wird als "evil twin AP"-Angriff bezeichnet, bei dem ein Angreifer einen betrügerischen AP einführt und ihn mit derselben SSID wie einen legitimen AP konfiguriert. Standorte mit kostenlosem Wi-Fi, wie Flughäfen, Cafés und Restaurants, sind aufgrund der offenen Authentifizierung besonders beliebte Orte für diese Art von Angriffen. 

Drahtlose Clients, die versuchen, sich mit einem WLAN zu verbinden, würden zwei APs mit derselben SSID sehen, die drahtlosen Zugang bieten. Diejenigen, die sich in der Nähe des betrügerischen AP befinden, sehen das stärkere Signal und assoziieren sich höchstwahrscheinlich mit ihm. Der Nutzerverkehr wird nun an den Rogue-AP gesendet, der wiederum die Daten erfasst und an den legitimen AP weiterleitet. Der Datenverkehr, welcher zurückfließt, wird vom legitimen AP an den Rogue-AP gesendet, erfasst und dann an den ahnungslosen User weitergeleitet. Der Angreifer kann die Passwörter und persönlichen Daten des Benutzers stehlen, sich Zugang zu seinem Gerät verschaffen und das System kompromittieren.

Suchen Sie eine App Agentur? 

Als etablierte App Agentur bieten wir ihnen die Entwicklung von Software für mobile Endgeräte an. Vielleicht wünschen Sie sich eine App, welche mit ihrem Unternehmensnetzwerk eine Verbindung herstellt und Sie so jederzeit zu ihren Unternehmensressourcen zugreifen können?

Wir helfen ihnen bei der Realisierung von komplexen Netzwerk-Anwendungen für die Betriebssysteme iOS, iPadOS und Android. Schicken Sie uns ihre Projekt Anfrage via Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein! oder Rufen Sie uns direkt unter 0176 75191818  an!

Arten von VLANs

VLANs werden in modernen Netzwerken aus verschiedenen Gründen verwendet. Einige VLAN-Typen sind durch Datenverkehrsklassen definiert. Andere VLAN-Typen werden durch die spezifische Funktion definiert, der sie dienen. Diese sind: 

• Default VLAN (Standard)
• Data VLAN (Daten)
• Native VLAN (Natives)
• Management VLAN (Management)
• Voice VLAN (Sprach)

Eine gute Möglichkeit, um Netzwerkadministration zu erlenen oder in diesem Fall mit VLANs zu trainieren ist, sich mit Packet Tracer von Cisco auseinanderzusetzen, um die Fähigkeiten und Kenntnisse zu vertiefen, bzw. sich darin zu beüben. 

Standard-VLAN

Das Standard-VLAN auf einem Cisco-Switch ist beispielsweise VLAN 1. Daher befinden sich alle Switch-Ports auf VLAN 1, es sei denn, es ist explizit für ein anderes VLAN konfiguriert. Standardmäßig ist der gesamte Layer-2-Steuerungsverkehr mit VLAN 1 verknüpft.

Zu den wichtigen Fakten zu VLAN 1 gehören die folgenden:

• Alle Ports sind standardmäßig VLAN 1 zugeordnet.
• Das systemeigene VLAN ist standardmäßig VLAN 1.
• Das Management-VLAN ist standardmäßig VLAN 1.
• VLAN 1 kann nicht umbenannt oder gelöscht werden.

In diesem Fall sind beispielsweise alle Ports dem Standard-VLAN 1 zugewiesen. Es wird kein natives VLAN explizit zugewiesen, und es sind keine anderen VLANs aktiv; daher ist das Netzwerk mit dem nativen VLAN genauso aufgebaut wie das Management-VLAN. Dies wird als Sicherheitsrisiko betrachtet.

Daten-VLAN

Daten-VLANs sind VLANs, die so konfiguriert sind, dass sie benutzergenerierten Verkehr trennen. Sie werden als Benutzer-VLANs bezeichnet, weil sie das Netzwerk in Gruppen von Benutzern oder Geräten trennen. Ein modernes Netzwerk würde je nach organisatorischen Anforderungen viele Daten-VLANs haben. Beachten Sie, dass Sprach- und Netzwerkverwaltungsverkehr in Daten-VLANs nicht erlaubt sein sollte.

Natives VLAN

Der Benutzer-Datenverkehrr von einem VLAN muss mit seiner VLAN-ID gekennzeichnet werden, wenn er an einen anderen Switch gesendet wird. Trunk-Ports werden zwischen Switches verwendet, um die Übertragung von markiertem Verkehr zu unterstützen. Konkret fügt ein 802.1Q-Trunk-Port ein 4-Byte-Tag in den Header des Ethernet-Rahmens ein, um das VLAN zu identifizieren, zu dem der Rahmen gehört.

Gegebenenfalls muss ein Switch auch unmarkierten Verkehr über einen Trunk-Anschluss senden. Ungekennzeichneter Datenverkehr wird von einem Switch erzeugt und kann auch von älteren Geräten stammen. Der 802.1Q-Trunk-Port platziert unmarkierten Datenverkehr auf dem nativen VLAN. Das systemeigene VLAN auf einem Cisco-Switch ist VLAN 1 (d. h. Standard-VLAN).

Es ist ein bewährtes Verfahren, das native VLAN als ungenutztes VLAN zu konfigurieren, das sich von VLAN 1 und anderen VLANs unterscheidet. Tatsächlich ist es nicht ungewöhnlich, ein festes VLAN für die Rolle des nativen VLAN für alle Trunk-Ports in der Switch-Domäne zu reservieren.

Management VLAN

Ein Management-VLAN ist ein Daten-VLAN, das speziell für den Netzwerk-Management-Verkehr einschließlich SSH, Telnet, HTTPS, HHTP und SNMP konfiguriert ist. Standardmäßig ist VLAN 1 als Management-VLAN auf einem Layer-2-Switch konfiguriert.

Sprach-VLAN

Für die Unterstützung von Voice over IP (VoIP) ist ein separates VLAN erforderlich. VoIP-Verkehr erfordert Folgendes:

• Gesicherte Bandbreite zur Gewährleistung der Sprachqualität
• Übertragungspriorität gegenüber anderen Arten von Netzwerkverkehr
• Möglichkeit, um überlastete Bereiche im Netzwerk zu kompensieren
• Verzögerung von weniger als 150 ms im gesamten Netzwerk

Um diese Anforderungen zu erfüllen, muss das gesamte Netzwerk so ausgelegt sein, dass es VoIP unterstützt.

Fassen wir kurz zusammen: 

• VLANs verbessern die Netzwerkleistung durch Segmentierung von Broadcast-Domänen.
• VLANs können die Sicherheit verbessern, indem sensible Daten vom Rest isoliert werden
• Der native VLAN-Typ, mit der Deklaration 802.1Q, wird für den ungetagten(unmarkierten) Datenverkehr verwendet, bzw. für die Trunk-Ports zugewiesen.
• Es ist keine bewährte Praxis, das native VLAN als VLAN 1 zu konfigurieren!

Besonderheiten bei VLAN 1: 

• Alle Switch-Ports sind standardmäßig VLAN zugewiesen.
• Das native VLAN ist standardmäßig VLAN 1.
• Das Management-VLAN ist standardmäßig VLAN 1.
• VLAN 1 kann nicht umbenannt oder gelöscht werden.

Sie benötigen professionelle Hilfe rund um das Thema IT?

Wir bieten Ihnen als IT-Systemhaus in München, rund um das Thema IT, professionelle sowie individuelle Lösungen kostengünstig an. Lassen Sie sich von unseren IT-Experten unverbindlich beraten und überzeugen Sie sich von der Expertise und langjähriger Erfahrung unserer fachlich kompetenten Mitarbeiter. Wir freuen uns auf Ihren Anruf unter der Rufnummer 0176 75 19 18 18 oder via E-Mail an: Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein!. Ihr IT-Systemhaus in München. 

VLAN-Definitionen

Virtuelle LANs (VLANs) bieten Segmentierung und organisatorische Flexibilität in einem geswitchten Netzwerk. Eine Gruppe von Geräten innerhalb eines VLANs kommunizieren, als ob jedes Gerät an dasselbe Kabel angeschlossen wäre. VLANs basieren auf logischen Verbindungen anstelle von physischen Verbindungen.

VLANs ermöglichen in einem geswitchten Netzwerk Benutzern in verschiedenen Abteilungen (d. h. IT, Personalabteilung und Vertrieb) den Anschluss an dasselbe Netzwerk, unabhängig vom verwendeten physischen Switch oder dem Standort in einem Campus-LAN.

Die Tabelle simuliert ein 3-stöckiges Gebäude, bzw. eine Frimenstruktur mit einem Switch auf jeder Etage. Die Switches sind mit einem weiteren Switch verbunden, der an einen Router angeschlossen ist. An jedes Stockwerk sind mehrere Hosts angeschlossen. Es gibt drei VLANs, die sich über alle drei Stockwerke erstrecken und mehrere Hosts auf jedem Stockwerk enthalten. Die VLANs sind: VLAN 2, IT, 10.0.2.0/24; VLAN 3, Einkauf, 10.0.3.0/24; VLAN 4, Vertrieb, 10.0.4.0/24.

VLANs ermöglichen es einem Administrator, Netzwerke auf der Grundlage von Faktoren wie Funktion, Team oder Anwendung zu segmentieren, ohne Rücksicht auf den physischen Standort der Benutzer oder Geräte. Jedes VLAN wird als ein separates logisches Netzwerk betrachtet. Geräte innerhalb eines VLAN verhalten sich so, als befänden sie sich in einem eigenen unabhängigen Netzwerk, auch wenn sie eine gemeinsame Infrastruktur mit anderen VLANs teilen. Jeder Switch-Port kann zu einem VLAN gehören.

Unicast-, Broadcast- und Multicast-Pakete werden nur an Endgeräte innerhalb des VLANs weitergeleitet und geflutet, von denen die Pakete bezogen werden. Pakete, die für Geräte bestimmt sind, die nicht zum VLAN gehören, müssen über ein Gerät weitergeleitet werden, das Routing unterstützt.

In einem geswitchten Netzwerk können mehrere IP-Subnetze existieren, ohne dass mehrere VLANs verwendet werden müssen. Die Geräte befinden sich jedoch in derselben Layer-2-Broadcast-Domäne. Dies bedeutet, dass alle Layer-2-Broadcasts, wie z. B. eine ARP-Anforderung, von allen Geräten im Wählnetz empfangen werden, auch von denen, die nicht für den Empfang der Broadcasts vorgesehen sind.

Ein VLAN erzeugt eine logische Broadcast-Domäne, die sich über mehrere physische LAN-Segmente erstrecken kann. VLANs verbessern die Netzwerkleistung durch die Trennung großer Broadcast-Domänen in kleinere. Wenn ein Gerät in einem VLAN einen Broadcast-Ethernet-Frame sendet, empfangen alle Geräte im VLAN den Frame, Geräte in anderen VLANs jedoch nicht.

Mithilfe von VLANs können Netzwerkadministratoren Zugriffs- und Sicherheitsrichtlinien entsprechend bestimmter Benutzergruppen implementieren. Jeder Switch-Port kann nur einem VLAN zugewiesen werden (mit Ausnahme eines Ports, der mit einem IP-Telefon oder einem anderen Switch verbunden ist).

Vorteile eines VLAN-Designs

Jedes VLAN in einem geswitchten Netzwerk entspricht einem IP-Netzwerk. Daher muss beim VLAN-Design die Implementierung eines hierarchischen Netzwerkadressierungsschemas berücksichtigt werden. Hierarchische Netzwerkadressierung bedeutet, dass IP-Netzwerknummern so auf Netzwerksegmente oder VLANs angewendet werden, dass das Netzwerk als Ganzes berücksichtigt wird. Blöcke von aneinander grenzenden Netzwerkadressen werden für Geräte in einem bestimmten Bereich des Netzwerks reserviert und auf diesen konfiguriert.

In der Tabelle sind die Vorteile des Entwurfs eines Netzwerks mit VLANs aufgeführt:

Suchen Sie eine App Agentur? 

Als etablierte App Agentur bieten wir ihnen die Entwicklung von Software für mobile Endgeräte an. Vielleicht wünschen Sie sich eine App, welche mit ihrem Unternehmensnetzwerk eine Verbindung herstellt und Sie so jederzeit zu ihren Unternehmensressourcen zugreifen können?

Wir helfen ihnen bei der Realisierung von komplexen Netzwerk-Anwendungen für die Betriebssysteme iOS, iPadOS und Android. Schicken Sie uns ihre Projekt Anfrage via Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein! oder Rufen Sie uns direkt unter 0176 75191818  an!

Site-to-Site IPsec VPNs

Site-to-Site-VPNs werden verwendet, um Netzwerke über ein anderes, nicht vertrauenswürdiges Netzwerk wie das Internet zu verbinden. In einem Site-to-Site-VPN senden und empfangen die End-Hosts normalen unverschlüsselten TCP/IP-Verkehr über ein VPN-Endgerät. Das VPN-Abschlussgerät wird normalerweise als VPN-Gateway bezeichnet. Ein VPN-Gateway-Gerät könnte ein Router oder eine Firewall sein.

Das VPN-Gateway kapselt und verschlüsselt den ausgehenden Datenverkehr für den gesamten Verkehr von einem bestimmten Standort. Anschließend sendet es den Datenverkehr durch einen VPN-Tunnel über das Internet zu einem VPN-Gateway am Zielstandort. Beim Empfang entfernt das empfangende VPN-Gateway die Header, entschlüsselt den Inhalt und leitet das Paket an den Zielhost innerhalb seines privaten Netzwerks weiter.

Site-to-Site-VPNs werden in der Regel mit IP-Sicherheit (IPsec) erstellt und gesichert.

GRE over IPsec

Generic Routing Encapsulation (GRE) ist ein nicht sicheres Site-to-Site VPN-Tunneling-Protokoll. Es kann verschiedene Netzwerkschichtprotokolle kapseln. Es unterstützt auch Multicast- und Broadcast-Verkehr, was erforderlich sein kann, wenn die Organisation Routing-Protokolle für den Betrieb über ein VPN benötigt. GRE unterstützt jedoch standardmäßig keine Verschlüsselung und bietet daher keinen sicheren VPN-Tunnel.

Ein Standard-IPsec-VPN (Nicht-GRE) kann nur sichere Tunnel für Unicast-Verkehr erstellen. Daher werden Routing-Protokolle keine Routing-Informationen über ein IPsec-VPN austauschen.

Um dieses Problem zu lösen, können Sie den Verkehr des Routing-Protokolls mit einem GRE-Paket einkapseln und dann das GRE-Paket in ein IPsec-Paket einkapseln, um es sicher an das Ziel-VPN-Gateway weiterzuleiten.

Die zur Beschreibung der Einkapselung von GRE über einen IPsec-Tunnel verwendeten Begriffe sind Passagierprotokoll, Trägerprotokoll und Transportprotokoll.

• Passagierprotokoll - Dies ist das ursprüngliche Paket, das von GRE gekapselt werden soll. Es könnte ein IPv4- oder IPv6-Paket, ein Routing-Update und mehr sein.
• Trägerprotokoll - GRE ist das Trägerprotokoll, das das ursprüngliche Passagierpaket einkapselt.
• Transportprotokoll - Dies ist das Protokoll, das tatsächlich zur Weiterleitung des Pakets verwendet wird. Dies kann IPv4 oder IPv6 sein.

Beispielsweise möchten eine Topologie, eine Zweigstelle und ein Hauptquartier OSPF-Routing-Informationen über ein IPsec-VPN austauschen. IPsec unterstützt jedoch keinen Multicast-Verkehr. Daher wird GRE über IPsec verwendet, um den Routing-Protokollverkehr über das IPsec-VPN zu unterstützen. Konkret würden die OSPF-Pakete (d.h. das Passagierprotokoll) durch GRE (d.h. das Trägerprotokoll) eingekapselt und anschließend in einem IPsec-VPN-Tunnel eingekapselt werden.

Eine Topologie, ein Branch-Router und ein HQ-Router tauschen daher OSPF-Routing-Informationen über ein IPsec-VPN aus. Ein Switch ist mit dem Branch-Router verbunden und derBranch-Router ist über das Internet über einen IPsec-VPN-GRE-Tunnel mit dem HQ-Router verbunden. Der HQ-Router ist mit einem Switch und der Switch ist mit einem E-Mail-Server verbunden.

Um das ganze Geschehen und die Komplexität dieses Vorgangs zu erfassen, empfiehlt es sich Wireshark zu benutzen, um den Netzwerkverkehr nachzuverfolgen und zu verstehen. 

Dynamische Mehrpunkt-VPNs

Site-to-Site-IPsec-VPNs und GRE über IPsec sind ausreichend, wenn es nur wenige Standorte gibt, die sicher miteinander verbunden werden können. Sie sind jedoch nicht ausreichend, wenn das Unternehmen viele weitere Standorte hinzufügt. Dies liegt daran, dass jeder Standort statische Konfigurationen zu allen anderen Standorten oder zu einem zentralen Standort erfordern würde.

Dynamic Multipoint VPN (DMVPN) ist eine Softwarelösung von Cisco für den Aufbau mehrerer VPNs auf einfache, dynamische und skalierbare Weise. Wie andere VPN-Typen basiert DMVPN auf IPsec, um einen sicheren Transport über öffentliche Netzwerke, wie z. B. das Internet, zu gewährleisten.

DMVPN vereinfacht die Konfiguration des VPN-Tunnels und bietet eine flexible Möglichkeit, einen zentralen Standort mit Zweigstellen zu verbinden. Es verwendet eine Hub-and-Spoke-Konfiguration zum Aufbau einer vollständigen Mesh-Topologie. Spoke-Standorte bauen sichere VPN-Tunnel mit dem Hub-Standort auf.