Instituts-WLAN (DV-Koordinatoren)

Wir betreiben für die TU Braunschweig eine Wireless LAN Infrastruktur mit mehreren hundert Access-Points, die weiterhin ausgebaut wird. Mit der SSID eduroam werden moderne Verschlüsselungsverfahren eingesetzt, und über den Protokollstandard 802.1X werden auf Basis von Benutzerkennung und Passwort die Zugriffsberechtigten authentifiziert und autorisiert. Über die gleiche Funknetzkennung mit der wir einen geregelten Zugriff auf Netzressourcen bereitstellen, können Sie und Ihre Anwender über das etablierte eduroam-Projekt weltweit an allen teilnehmenden Forschungseinrichtungen das Internet benutzen. Selbstverständlich müssen Sie hierzu keine Konfigurationsänderungen an Ihrem Rechner vornehmen.

Als DV-Koordinator Ihrer Einrichtung suchen Sie nach Möglichkeiten, wie Sie Ihren Benutzern das Arbeiten im Instituts-Netz möglichst komfortabel gestalten können. Mobiles Arbeiten mit Unterstützung durch Wireless LAN im Institutsnetz ist dabei eine der am häufigsten angefragten Lösungen im Bereich Wireless LAN.

Seit August 2008 haben wir dazu ein Angebot für Sie. Ob am Arbeitsplatz, in der Bibliothek oder im Hörsaal: Die IP-Adressen Ihres Institutes können auch im Wireless LAN genutzt werden. Netzwerk-Ressourcen in Ihrem Institutsnetz werden mobil verfügbar. Mitglieder eines Instituts erhalten die Möglichkeit mit ihrem Laptop ohne Änderungen an der Konfiguration so zu arbeiten, als wäre ihr Gerät über ein LAN-Kabel mit einer Netzwerkbuchse im Büro verbunden. Die Nutzung von institutsspezifischen Diensten (Fileserver, u.a.) ist mit diesem Angebot flexibel an allen Standorten der TU Braunschweig möglich. Als Teil des Instituts-Netzes gilt für die mobilen Geräte die gleiche Firewall die ggf. das Institut von außen schützt.

Als DV-Koordinator beantragen Sie die Nutzung von Instituts-WLAN einfach durch ein E-Mail an noc@tu-bs.de. Da wir die Infrastruktur für Sie betreiben, liegt Ihr Vorteil im Wesentlichen in der Einfachheit der Administration. Über das Personen-Interface KDD schalten Sie nach Bereitstellung des Angebots Ihre Anwender einzeln für den drahtlosen Zugriff auf den Institutsnetzbereich frei. Die Einrichtung erfolgt in mehreren Schritten:

1. Sie melden bei uns vorzugsweise per Mail an noc@tu-bs.de Ihr Interesse am Instituts-WLAN Angebot an.
2. Wir prüfen die notwendigen technischen Voraussetzungen und ggf. notwendigen Anpassungen an der Netzkonfiguration in Ihrem Institut und an unseren Routern.
3. Sollten Änderungen an Ihrer Netzwerkkonfiguration nötig sein, um die technischen Voraussetzungen zu schaffen, wird mit Ihnen gemeinsam ein Zeitplan für die Durchführung der Änderungen erarbeitet und die notwendigen vorbereitenden Arbeiten auf Ihrer und unserer Seite abgesprochen.
4. Wenn alle vorbereitenden Arbeiten abgeschlossen sind, wird der Dienst Instituts-WLAN für Ihr Institut bereitgestellt. Im KDD haben Sie dann die Möglichkeit Ihrerseits Ihre Kollegen für diesen Dienst freizuschalten (Option Remote Zugriff in der Rubrik Personen).

In fast allen Netzbereichen ist die Nutzung dieses Angebotes möglich. Eine wesentliche Voraussetzung ist jedoch, dass im Instituts-Netz ein DHCP-Server durch Sie oder uns betrieben wird. In der Regel ist dies bereits der Fall, wenn Sie unser DHCP-Angebot nutzen.

Haben Sie Bedenken, dass die Funkabdeckung durch unsere Access-Points nicht ausreicht? Sprechen Sie uns an, wir möchten gerne mit Ihnen gemeinsam Lösungen zur Verbesserung der Funknetzabdeckung finden.

Als DV-Koordinator schalten Sie bequem die Benutzerkennungen Ihrer Benutzer im KDD für diese Nutzung frei. Sie können dabei auf Basis der Benutzerkennungen entscheiden, welche Personen diesen Dienst nutzen dürfen und welche Personen in Ihrer Einrichtung weiterhin per WLAN in allgemeine Netze geschaltet werden.

Um die Netzzugehörigkeit festzulegen, gehen Sie bitte wie folgt vor:

• Nach der Anmeldung im KDD gehen Sie bitte zum Modul Personen zu Netzwerk. Sie finden dies in der linken Seitenleiste.
• Im Folgenden sollten Sie eine Tabelle mit den Personen sehen, die Ihrem Institut/ Ihrer Einrichtung angehören.

• Für jeden Benutzer sehen Sie in den Spalten WLAN und VPN jeweils die für diesen Bereich hinterlegte Konfiguration. Wenn in ein rotes Kreuz vorhanden ist, bedeutet dies, dass alle bei dieser Person hinterlegten Benutzernamen nur auf das öffentliche Netz zugreifen können. Sollte ein grüner Haken vorhanden sein, heißt dies, dass für mindestens eine Benutzerkennung der Person ein anderes Netzwerk, als das öffentliche Netzwerk, eingerichtet worden ist.
• Wenn Sie auf den Pfeil bei der jeweiligen Person klicken oder auf den Namen dieser, dann klappen die Benutzerkennungen zu dieser Person auf. Dort sehen Sie jetzt für jede einzelne Benutzerkennung, welcher Dienst einem anderen Netzwerk zugeordnet worden ist oder sich im öffentlichen Netzwerk befindet.

• Möchten Sie nun für eine Benutzerkennung eine Änderung vornehmen, wählen Sie einfach die Zeile mit der Benutzerkennung an - die ausgewählte Zeile wird grau hinterlegt. Klicken Sie anschließend auf den Button Auswählen.

• Es öffnet sich eine neue Seite zu den Einstellungen für die einzelnen Benutzerkennungen der ausgewählten Person.

• Wählen Sie für die zu bearbeitende Benutzerkennung nun den jeweiligen Dienst aus und klicken Sie auf den aktuellen Netzwerknamen. Es öffnet sich daraufhin ein Dropdown-Menü. Dort gibt es die Auswahl zwischen dem Public Network (keine Freischaltung) und dem oder den Netzwerken Ihres Institutes/ Ihrer Einrichtung. Wählen Sie das jeweilige Netz aus und bestätigen die Auswahl dann mit einem Klick auf OK.

Die Möglichkeit das Instituts-WLAN zu benutzen, wird über den DV-Koordinator der jeweiligen Einrichtung eingerichtet. Seitens der Benutzer ist keine weitere Interaktion nötig. Es müssen lediglich die verwendeten Geräte eduroam-konform mit der entsprechend für den Remote-Zugriff freigeschalteten Benutzerkennung konfiguriert sein. Dies gelingt am besten über unser Konfigurationsportal. Siehe auch die Beschreibung unter WLAN einrichten über SecureW2 JoinNow (Plattformunabhängig).

Die Flexibilität in der Nutzung hat jedoch auch ihren Preis: Schalten Sie als DV-Koordinator eine Benutzerkennung für das Instituts-WLAN frei, müssen die autorisierten Geräte konfiguriert werden um über das WLAN mit dem Netz Ihres Instituts/Einrichtung verbunden zu werden. Sie als DV-Koordinator müssen daher im Zuge der Umstellung die dienstlich gestellten und genutzten Geräte umkonfigurieren.

Auch wenn man bei all diesen Geräten aufgrund der IT-Ordnung eine dienstliche Nutzung unterstellt, steht die Frage im Raum, ob alle diese Geräte unbedingt Zugriff auf das interne Netz Ihres Instituts/Ihrer Einrichtung benötigen. Oft ist nur ein einfacher Internetzugang notwendig und nicht der Zugriff auf interne Ressourcen. Geräte dieser Art wurden bisher mit dem Parameter #public betrieben, hier ist keine gesonderte Änderung oder abweichende Konfiguration notwendig: „benutzerkennung“ und „benutzerkennung#puplic“ landen im allg. WLAN-Bereich.

Durch das Konfigurieren des Remote-Zugriff im KDD haben weder DV-Koordinatoren noch Benutzer bislang die Option gehabt, bestimmte Geräte von dieser Konfiguration auszunehmen. Die Möglichkeit optional einige Geräte vom Remote-Zugriff auszunehmen wird mit diesem Opt-In Verfahren nun realisiert: ausschließlich mit #intern authentifizierte Geräte landen im Institutsbereich.

Um bei aktiviertem Remote-Zugriff einzelne Geräte per Opt-In in in das Instituts-Netz zu schalten, muss lediglich bei der auf dem betreffenden Gerät konfigurierten Benutzerkennung die Zeichenfolge #intern ergänzt werden. Weitere Geräte verbleiben im öffentlichen Bereich. Dies kann schon bei der initialen Konfiguration oder einer erneuten Konfiguration des Gerätes über das SecureW2 JoinNow Portal geschehen. Ferner kann auch die bestehende Konfiguration manuell geändert werden.

Beispiel SecureW2 JoinNow Installer
Windows SecureW2 JoinNow Installer
	Empfehlung: Wenn Sie den SecureW2 JoinNow Installer verwendet haben, nutzen Sie ihn bitte erneut, um die Konfiguration anzupassen. Dies gilt für alle Betriebssysteme, die mit dem SeucreW2 JoinNow konfiguriert werden können.
Android SecureW2 JoinNow Installer
Eingabe im Installer:	Ergebnis in Gerätekonfiguration:

Beispiel SecureW2 Enterprise (Einrichtungen, die den Enterprise-Installer über SCCM verteilen)

Hier finden Sie gelegentlich gestellte Fragen und die dazugehörigen Antworten zu unserem Angebot Instituts-WLAN:

• F: Wenn wir das Instituts-WLAN nutzen wollen, benötigen wir dann noch SecureW2?
• A: Ja, weiterhin benötigen Sie einen 802.1X-Supplikanten wie beispielsweise SecureW2 auf Ihrem Rechner. Dieser wird weiterhin benötigt, um den Benutzer an der Infrastruktur zu authentifizieren. Der Benutzer bekommt dann jedoch nicht eine Adresse aus dem „allgemeinen Pool von Adressen“, sondern eine IP aus Ihrem Institut.

• F:Mein DV-Koordinator hat mir gesagt, dass mein Institut jetzt diesen Instituts-WLAN Dienst nutzt. Aber was muss ich jetzt an meinem Notebook einstellen? Ich nutze bisher die über das Gauß- IT-Zentrum bereitgestellte Software und eduroam.
• A:Um den Dienst Institus-WLAN benutzen zu können müssen Sie an ihrer Benutzerkennung „#intern“ angeben, wenn Sie über JoinNow ihr Gerät konfigurieren.

• F: Ich war an der University of South Australia. Zwar konnte ich das Internet nutzen, jedoch konnte ich nicht auf das Institutsnetz zugreifen. Das müsste doch möglich sein?
• A: Nein. Wenn Sie sich außerhalb des Campus der TU Braunschweig an einer Partnereinrichtung mit der SSID eduroam verbinden, nutzen Sie das Netz der gastgebenden Einrichtung und eben die IP-Adressen die dort genutzt werden können. Der Dienst Instituts-WLAN ist für Sie spezifisch für den Standort Braunschweig.

• F: Mein DV-Koordinator hat mir gesagt, ich darf nur das Notebook im Instituts-WLAN benutzen. Nun habe ich aber – dienstlich notwendig – ein Smartphone. Klar, ich kann auch über LTE auf E-Mail und Groupware zugreifen, um meine Termine zu managen. Aber wir haben doch fast überall eduroam. Darf ich das nun nicht mehr nutzen?
• A: Wenn Ihr DV-Koordinator Ihre Benutzerkennung für das Instituts-WLAN freischaltet und Ihnen gleichzeitig aufgibt, nur bestimmte Geräte in das Instituts-WLAN zu bringen, hat das seinen Grund. Neben Sicherheitsüberlegungen spielt sicher auch eine Rolle, dass sich Ihr DV-Koordinator/Admin im Institut in einem heterogenen Umfeld mit schier unendlich vielen verschiedenen Geräten nicht um alle Geräte kümmern kann, wenn er seine Arbeit ordentlich machen möchte. Daher helfen Sie ihm bitte und nutzen Sie die „opt-in“-Lösung, Stichwort „#intern“ weiter oben auf dieser Seite.