3
WPA automatische Key-Verteilung durch Domäne?
Ich verwalte ein Schulnetz mit einer Win2k Domäne und einem Win2k Fileserver. Jeder Schüler hat seinen eigenen Benutzeraccount.
Guten Tag,
wir statten unsere Schule mit 6 neuen Wlan-Accespoints aus. Als Verschlüsselung soll WPA dienen.
Meine Frage lautet: Ist es möglich den WPA Key durch die Domäne zu verteilen? D.h. der Schüler meldet sich an einem Schullaptop mit seinem Benutzeraccount an und bekommt dadurch den aktuellen WPA-Key in die Software eingetragen?
Ihr werdet mir sicher PSK empfehlen, aber wenn es eine Möglichkeit gäbe den Key über die Domäne zu verteilen wäre der spätere verwaltungstechnische Aufwand wesentlich geringer da der Key jedes Jahr geändert werden soll.
Gibt es da eine möglichkeit? Andere Vorschläge zu Problemlösung sind gerne gesehen.
Gruß
Sebastian
wir statten unsere Schule mit 6 neuen Wlan-Accespoints aus. Als Verschlüsselung soll WPA dienen.
Meine Frage lautet: Ist es möglich den WPA Key durch die Domäne zu verteilen? D.h. der Schüler meldet sich an einem Schullaptop mit seinem Benutzeraccount an und bekommt dadurch den aktuellen WPA-Key in die Software eingetragen?
Ihr werdet mir sicher PSK empfehlen, aber wenn es eine Möglichkeit gäbe den Key über die Domäne zu verteilen wäre der spätere verwaltungstechnische Aufwand wesentlich geringer da der Key jedes Jahr geändert werden soll.
Gibt es da eine möglichkeit? Andere Vorschläge zu Problemlösung sind gerne gesehen.
Gruß
Sebastian
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 36355
Url: https://administrator.de/contentid/36355
Printed on: April 23, 2024 at 13:04 o'clock
3 Comments
Latest comment
Hallo,
es gibt eine andere Art der Zentralisierung. Und zwar mit Hilfe eines Radius Servers und Zertifikaten, der die Authorisierung der Clients übernimmt. Bei Microsoft gibt es dazu auch ein paar Whitepaper zu diesem Thema. Die Implementierung ist nicht mal eben gemacht, deswegen schreibe ich hier auch keinen weiteren Details rein.
Ich habe aber auch eine brauchbare Anleitung dafür, allerdings in Englisch. Schick mir deine Email-Adresse als PM, falls du die Anleitung haben möchtest.
mfg
Schnitzelchen
es gibt eine andere Art der Zentralisierung. Und zwar mit Hilfe eines Radius Servers und Zertifikaten, der die Authorisierung der Clients übernimmt. Bei Microsoft gibt es dazu auch ein paar Whitepaper zu diesem Thema. Die Implementierung ist nicht mal eben gemacht, deswegen schreibe ich hier auch keinen weiteren Details rein.
Ich habe aber auch eine brauchbare Anleitung dafür, allerdings in Englisch. Schick mir deine Email-Adresse als PM, falls du die Anleitung haben möchtest.
mfg
Schnitzelchen
Ich hätte ebenfalls Interesse an dieser Anleitung. Könntest du sie mir ebenfalls schicken?
Den Link zu einer Anleitung von MS habe ich vor einer Weile hier gepostet.
Wenn man Zertifikate für die Clients verteilen will wird es etwas komplizierter und soweit ich weiß braucht man dann einen 2003 Adv server für die PKI. Mit PEAP geht es aber leichter.
So als kleiner Abriss zur Installation:
Dazu muss der Radius Server (bei Windows noch IAS) aufgesetzt werden. Der braucht dann noch ein Serverzertifikat, dessen Rootzertifikat den Clients bekannt sein muss. Am einfachsten geht das mit einer Unternehmens-CA, da dort die Root Zertifikate automatisch übers AD verteilt werden. Dann Im Radius die Berechtigungen erteilen und das wars eigentlich schon, wenn man von der Clientkonfiguration absieht.
Von PSK kann ich nur abraten. Das kann man vielleicht zu Hause machen. Aber sobald ein Server vorhanden ist würde ich immer Radius zur Authentifizierung nehmen.
Wenn man Zertifikate für die Clients verteilen will wird es etwas komplizierter und soweit ich weiß braucht man dann einen 2003 Adv server für die PKI. Mit PEAP geht es aber leichter.
So als kleiner Abriss zur Installation:
Dazu muss der Radius Server (bei Windows noch IAS) aufgesetzt werden. Der braucht dann noch ein Serverzertifikat, dessen Rootzertifikat den Clients bekannt sein muss. Am einfachsten geht das mit einer Unternehmens-CA, da dort die Root Zertifikate automatisch übers AD verteilt werden. Dann Im Radius die Berechtigungen erteilen und das wars eigentlich schon, wenn man von der Clientkonfiguration absieht.
Von PSK kann ich nur abraten. Das kann man vielleicht zu Hause machen. Aber sobald ein Server vorhanden ist würde ich immer Radius zur Authentifizierung nehmen.
