WLAN mit WPA2

Installation des integrierten WLAN-Moduls.

BIOS-Einstellungen:
* WiFi aktivieren

* HotKey deaktivieren


Bei der Gelegenheit mal ein konzentrierter Blick auf die Bluetooth-Einstellungen:
Aha, garkein Bluetooth-Modul verbaut.
Da hat der Kollege beim Bestellen wohl nicht aufgepaßt - hätte mir einiges an Fehlersuche gespart, wenn ich das vorher gewußt hätte, darum hier die Erwähnung.

Installationsanweisung leicht modifiziert ausführen:

* SubSystem ieee80211 ist schon vorhanden und erneutes Installieren des angegebenen Packets produziert unschöne Fehler.

* Download des Treibers ipw3945-1.2.0.tgz oder eine neuere Version (möglichst stable) von http://ipw3945.sourceforge.net

tar xzvf ipw3945-1.2.0.tgz
cd ipw3945-1.2.0
make

* Neueste Firmware-Version von http://bughost.org/ipw3945/ucode/

tar xzvf ipw3945-ucode-1.14.2.tgz
cp ipw3945-ucode-1.14.2/ipw3945.ucode /lib/firmware

* Neueste Daemon-Version von http://bughost.org/ipw3945/daemon/

tar xzvf ipw3945d-1.7.22.tgz
cp ipw3945d-1.7.22/x86/ipw3945d /sbin

Nun muß man sich noch klar machen, was WLAN heißt - nämlich ungerichtet Daten im Umkreis verteilen, also quasi Rundfunk - und sich für eine Verschlüsselung entscheiden. Aktuell sicherste Variante ist WPA2 und das unterstützt das Modul und mein Router natürlich auch (Posting folgt sicher noch).
Ich verwende die Variante mit einem Pre-Shared-Key (PSK), der von Zeit zu Zeit mal geändert wird und aus einer Phasphrase generiert wird (Diese sollte es einer Wörterbuch-Attacke nicht zu leicht machen und eine gewisse Länge haben).

In der Config wird nun der Key und nicht die PhasPhrase gespeichert, also müssen wir diesen generieren:
* evtl. fehlendes Pakete holen (apt-get install wpasupplicant)
* Key aus der Ausgabe extrahieren

wpa_passphrase MeineSSID MeinSchluessel
626d3fc95a3efe75acaebf1388ed167a90e59390efab91a5841242e49bc62b3a

DHCP für WLAN halte ich ebenfalls deaktiviert (daher der static eintrag). Die Geräte, die sich einwählen können, will ich alle kennen und bekommen von mir eine eindeutige IP zugewiesen (im Gegenzug muß ich noch die Mac-Adresse wissen und diese dem Router bekannt machen).
Da es sich nicht um ein öffentliches Netz handelt, verwende ich einen privates Netzbereich 10.xxx.yyy.zzz und trenne auch noch kabelgebundenes und drahtloses Netzwerk (z.B. 10.100.0.Z und 10.200.0.Z )
Zugegeben ist Sicherheit immer nur das Gefühl von Sicherheit, aber diese Schritte sind leicht zu konfigurieren.


* /etc/network/interfaces anpassen
bei mir ist es eth2 und hier ist nur diese Sektion angegeben.

iface eth2 inet static
network 10.X.Y.0
broadcast 10.X.Y.255
address 10.X.Y.Z
netmask 255.255.255.0
gateway 10.X.Y.1
wpa-ssid MeineSSID
wpa-key-mgmt WPA-PSK
wpa-psk 626d3fc95a3efe75acaebf1388ed167a90e59390efab91a5841242e49bc62b3a
post-up wpa_supplicant -Bw -i eth2 -D wext -c /etc/wpa_supplicant.conf
post-down killall wpa_supplicant

Zeit das Interface hochzufahren:

ifup eth2

Tips:

• Wenn ich nicht in meinem Heimnetz bin, gehe ich ins BIOS und deaktiviere das WiFi-Modul! Irgendwie blinkt nämlich das WiFi-Lämpchen trotz runtergefahrenem Interface - und nicht gebraucht = AUS ist generell eine gute Idee.
• PhasePhrase und Passwörter sollten hinreichend kompliziert und lang sein, aber nicht so schwer zu merken, daß man sie sich vor lauter Verzweifelung irgendwo aufschreiben muß!

• Configs vor der Änderung sichern (am besten "nahe" dem Original, um leicht ein Rollback machen zu können ohne lange suchen zu müssen). Beispiel:

  cp /etc/network/interfaces /etc/network/interfaces20070705-01

Der Vollständigkeithalber sei noch erwähnt, daß die Konfiguration von WPA2 unter Windows XP auch nicht ganz ohne handarbeit funktioniert.
Selbst mit Service Pack 2 ist WPA2 nicht verfügbar! Dazu muß ein weiterer Patch von Microsoft eingespielt werden (siehe dazu auch die gute Rubrik Netzwerke bei heise)
danach ist es gewohntes Klicki-Bunti

Warnung: Das Speichern von Passwörtern ist ein potentielles Sicherheitsrisiko! Gerade Laptops können schonmal ungewollt dauerhaft den Besitzer wechseln!
Ich gebe aber zu hier Gelegentlich auch zur Bequemlichkeit zu neigen.

Nachtrag: /etc/wpa_supplicant.conf muß auch angepaßt werden - siehe hier.

Nachtrag2: Das ieee80211 Subsystem muß doch ausgetauscht werden, da es sonst Probleme bei der Übertragung großer Dateien gibt. Siehe mein Eintrag zu TKIP: ICV error detected: STA=.