Whitepaper: Cisco Meraki Title: Opzetten wireless guest access Author: Jurgen Vermeulen Jurgen@juve-consulting.be +32 (491) 56.35.96 JUVE Consulting BVBA Roosgrachtlaan 27, B-3400 Landen Tel.: +32 (491) 56.35.96
1 INLEIDING... 1 2 HET MERAKI DASHBOARD... 2 2.1 OVERZICHT VAN DE INTERFACE... 2 2.2 BEHEER VAN ACCESS POINTS... 4 2.2.1 ACCESS POINT REGISTREREN CLAIMEN... 4 2.2.2 ACCESS POINT CONNECTEREN... 5 2.3 CONFIGURATIE VAN DE SSIDS... 5 3 VERBINDEN MET HET NETWERK... 8 4 MEER INFORMATIE... 10 24/02/2014, V 0.1 <public> Page i
1 Inleiding Met de opkomst van de smartphones en tablets is wireless netwerktoegang meer dan ooit nodig geworden. Niet alleen binnen het bedrijf zelf, maar ook voor bezoekers wordt vaker toegang verleend via een gastennetwerk. Hoewel het steeds eenvoudiger wordt om een draadloze omgeving te installeren, blijft het een uitdaging om dit op een doordachte en veilige manier te doen. Via de Meraki producten wordt het opzetten van zo een omgeving een stuk eenvoudiger en schaalbaar. Alle configuratie gebeurt centraal via een web interface in de cloud. Deze whitepaper toont een deel van de mogelijkheden aan via een eenvoudig voorbeeld van een guest netwerk, waarbij klanten ook naar de Facebook pagina van het bedrijf gebracht worden. 24/02/2014, V 0.1 <public> Page 1
2 Het Meraki dashboard Alle configuratie van Meraki producten gebeurt via het central Meraki dashboard. Hoewel dit een struikelblok kan zijn voor grote ondernemingen, is dit een zeer flexibele en low-cost optie voor de KMO markt. Er is geen nood aan aparte wireless controllers, configuratie op elk toestel en rack ruimte om alle hardware te plaatsen. 2.1 Overzicht van de interface Bij het inloggen kom je automatisch terecht in de monitoring sectie van het dashboard. Hier staat informatie ter beschikking over het aantal geconnecteerde clients, bandbreedteverbruik en een kaart met de locatie en informatie over de producten die geactiveerd zijn. Figuur 1 Monitoring overview Verder kun je in de interface een overzicht krijgen van alle Access points, clients en overige logging en rapportering. 24/02/2014, V 0.1 <public> Page 2
Het tweede belangrijke onderdeel is de Organization tab, waar alle globale instellingen aangepast worden, beheerders aangemaakt worden en waar ook alle registratie en opvolging van de hardware en licenties gebeurt. Figuur 2 Organization settings In de Configure tab tenslotte gebeurt het meeste dagdagelijkse werk. Hier worden de verschillende SSIDs aangemaakt en beheerd, worden de access policies geconfigureerd en ook de eventuele splash pages en wireless users (gebruikers van de netwerken, niet van het dashboard). Figuur 3 SSID configuratie Een laatste tab is de Help tab, waar alle online documentatie te vinden is rondom het configureren en werken met de dashboard interface. 24/02/2014, V 0.1 <public> Page 3
2.2 Beheer van access points Om een access point te gebruiken, zijn enkele basisstappen nodig op het dashboard. Zo moet het geregistreerd worden binnen de organisatie, om dan de juiste policy te krijgen en in het netwerk opgenomen te worden. 2.2.1 Access point registreren claimen Log in op het dashboard en ga naar Organization -> Inventory. Hier staat de lijst met access points die reeds geclaimed zijn en actief op het netwerk. Figuur 4 Inventory Rechtboven staat de Claim knop. Wanneer deze gebruikt wordt, kan het nieuwe access point geclaimed worden met het order nummer of serienummer. Dit wordt ook telkens meegestuurd in de informatie van de bestelling: Figuur 5 AP claimen Wanneer de claim gelukt is, komt het access point in de inventory te staan en kan het gebruikt worden. 24/02/2014, V 0.1 <public> Page 4
2.2.2 Access point connecteren De tweede stap die genomen moet worden is het connecteren van het access point op het netwerk. Standaard staat het zo ingesteld dat het via DHCP alle IP informatie verkrijgt. Vervolgens zal het access point communicatie opzetten naar de Meraki servers. Indien geen DHCP gebruikt wordt, kan er naar het standaard Meraki SSID geconnecteerd worden met een PC en naar my.meraki.com gesurfd worden om het AP manueel te voorzien van de nodige IP gegevens. 2.3 Configuratie van de SSIDs Nu het access point geconnecteerd is, kunnen we beginnen met de configuratie. Binnen een Meraki netwerk is het mogelijk om tot 15 SSIDs of aparte netwerken te configureren. In het SSID menu onder de Configuration tab vind je een overzicht terug van de SSIDs. Hier kun je deze ook hernoemen naar meer logische namen. Figuur 6 SSID overview Meer gedetailleerde configuratie wordt gedaan in het Access control menu. Hier worden volgende opties geconfigureerd: Encryptie/authenticatie: Wel of geen WPA, 802.1x,... De meest eenvoudige keuze voor een guest network is open of pre-shared key met WPA2, waarbij de key aan de gebruikers gegeven wordt. Een laatste optie is WPA2-enterprise combineren met een authenticatiemethode. Hiervoor dienen gebruikers dan eerst geregistreerd te zijn, bv aan de receptie. In ons voorbeeld houden we het eenvoudig en kiezen voor een open netwerk. Splash page: hier wordt bepaald of gebruikers een splash page te zien krijgen of rechtstreeks op het netwerk terecht komen. In ons voorbeeld gaan we met facebook sign-in werken. Een gebruiker moet een check-in doen op de Facebook pagina van het bedrijf om toegang te krijgen tot het netwerk. IP addressering: hier kiezen we in principe tussen NAT of bridge mode. Bridge brengt de client rechtstreeks op de LAN (eventueel in een specifieke VLAN), bij NAT wordt alle verkeer vertaald door het access point. Hier gaan we voor NAT, om een betere afscheiding te garanderen voor bezoekers zonder specifieke firewall rules te moeten configureren. Adult content wordt ook geblokkeerd om reeds een basis policy te hebben. Wireless opties: hier wordt gekozen op welke band de SSID bereikbaar is (2,4 GHz, 5 GHz). 24/02/2014, V 0.1 <public> Page 5
Figuur 7 Access control Figuur 8 Access control (2) 24/02/2014, V 0.1 <public> Page 6
Nu hebben we een basis SSID en policy. Verdere regels kunnen onder Firewall & traffic shaping aangemaakt worden. Hier hebben we ervoor gekozen om geen toegang tot de LAN te geven aan gasten, enkel verkeer naar Internet zal toegestaan worden. Verder blokkeren we ook peer 2 peer verkeer, bovenop de adult content die reeeds verboden was: Indien gewenst kan ook een beperkte bandbreedte gegeven worden aan gasten, zodat de beschikbare capaciteit naar Internet niet volledig opgesoupeerd wordt door gasten. 24/02/2014, V 0.1 <public> Page 7
3 Verbinden met het netwerk Alles is klaar om te verbinden met het netwerk. Hier maken we gebruik van een tablet om de verbinding te maken: Figuur 9 Verbinding met netwerk Nu kunnen we de broser starten en komen we terecht op de Facebook pagina. Hier moeten we een check-in uitvoeren om verder te kunnen. Figuur 10 Surfsessie starten 24/02/2014, V 0.1 <public> Page 8
Na de check-in kunnen we gebruik maken van de Internetverbinding. Zoals geconfigureerd, zal verbinding maken met geblokkeerde websites onmogelijk zijn: Figuur 11 Surfsessie 24/02/2014, V 0.1 <public> Page 9
4 Meer informatie Dit was een klein voorbeeld van wat mogelijk is met behulp van Meraki technologie. Er zijn nog talloze andere mogelijkheden en veiligere alternatieven die iets meer configuratie vergen, maar dit geeft toch al een deel van de mogelijkheden en gebruiksgemak weer van de technologie. Voor meer informatie of een live demo kan u altijd contact met ons opnemen: JUVE Consulting Jurgen Vermeulen Jurgen@juve-consulting.be +32 (491) 56.35.96 24/02/2014, V 0.1 <public> Page 10