Eine Schule, die die erste Septemberwoche zum ersten Mal überstand

Das drahtlose Netzwerk der Schule funktionierte den Großteil des Jahres über angemessen und versagte in der ersten Septemberwoche zuverlässig. Das war drei Jahre in Folge passiert und war bis zu den Schulträgern eskaliert.

Das Muster war spezifisch: am ersten Montag des Trimesters, ab etwa 08:40 Uhr, verbanden sich Geräte und scheiterten dann daran, eine Adresse zu erhalten oder sich zu authentifizieren. Bis Mittwoch besserte sich die Lage. In der zweiten Woche lief das Netzwerk einwandfrei.

Drei vorherige Untersuchungsrunden waren zu dem Schluss gekommen, dass mehr Access Points nötig seien.

Was tatsächlich passierte

Drei separate Probleme, die im selben Moment aufeinandertrafen.

DHCP-Pool-Erschöpfung. Das Schüler-VLAN hatte ein /22 – rund 1.000 nutzbare Adressen – mit einer 24-Stunden-Lease. Neunhundert Schüler, die mit je zwei Geräten eintrafen, plus Mitarbeitende, plus jedes Gerät, das sechs Wochen ausgeschaltet war und eine neue Adresse anforderte, überschritten den Pool vor der ersten Pause. Der Pool blieb anschließend erschöpft, weil Leases nicht ausliefen.

RADIUS-Sättigung. Der Authentifizierungsserver war eine einzelne virtuelle Maschine, dimensioniert vor mehreren Jahren. Zweitausend gleichzeitige 802.1X-Authentifizierungen um 08:40 Uhr erzeugten eine Warteschlange, Timeouts und wiederholende Clients – was die Last weiter erhöhte.

Echte Kapazitätsprobleme in zwei Räumen. Die Hauptaula und das Sixth-Form-Zentrum waren tatsächlich unterversorgt, und das waren die einzigen Orte, an denen die Diagnose „wir brauchen mehr Access Points“ zutraf.

Zwei der drei Probleme waren überhaupt keine WLAN-Probleme. Sie zeigten sich nur als „das Wi-Fi funktioniert nicht“, weil das ist, was ein Schüler sieht.

Zuerst die unglamourösen Korrekturen

• DHCP-Pool erweitert auf ein /21 und die Lease-Zeit auf 4 Stunden reduziert zu Trimesterbeginn, danach zurück auf 12 Stunden. Diese eine Änderung beseitigte den größten Fehlermodus.
• RADIUS horizontal skaliert auf zwei Instanzen hinter einem Load Balancer, mit angehobenem Authentifizierungs-Timeout und abgestimmtem Client-Wiederholungsintervall, sodass eine langsame Antwort keinen Retry-Sturm erzeugte.
• Zertifikatsbasiertes EAP-TLS für schulverwaltete Geräte, als Ersatz für PEAP-MSCHAPv2. Das beseitigte passwortbezogene Fehler und die zugehörige Helpdesk-Last für diese Geräteklasse vollständig.
• PSK pro Gerät für den Schüler-BYOD-Bestand, der kein Zertifikat verwenden kann. Jedes Schülergerät erhält einen an sein Profil gebundenen Schlüssel und landet im Schüler-VLAN.

Die WLAN-Arbeit

• 16 zusätzliche Access Points, davon 11 in der Hauptaula und im Sixth-Form-Zentrum, wo die Kapazität tatsächlich knapp war.
• Hauptaula neu konfiguriert von einem Deckenraster zu einer front- und seitengerichteten Anordnung für Versammlungen, mit 20-MHz-Kanälen bei schulweiten Veranstaltungen.
• Kanalbreiten auf 20 MHz reduziert in den Unterrichtsräumen, 40 MHz nur in Bereichen niedriger Dichte beibehalten.
• Minimale Basisrate auf 12 Mbps angehoben, und 2,4 GHz auf rund 60 Prozent der Access Points deaktiviert.
• Zwei denkmalgeschützte Gebäude mit aufputzmontierten Kabelkanälen und Access Points an denkmalschutzgerechten Standorten behandelt, was die Platzierung einschränkte und zwei zusätzliche Geräte zum Ausgleich erforderte.

Die Generalprobe

Die Änderung, die alle am nützlichsten fanden, war nicht technisch. Zwei Wochen vor Trimesterbeginn führte die IT eine Lastprobe durch: 40 Mitarbeitendengeräte plus ein Skript, das synthetische Authentifizierungslast erzeugte, in der Hauptaula, im großen Maßstab.

Dabei fand man ein fehlkonfiguriertes RADIUS-Attribut, das am ersten Tag jedes Schülergerät hätte scheitern lassen.

Erste Schulwoche: 22 Helpdesk-Tickets gegenüber 287 im Vorjahr. Keine DHCP-Erschöpfung. Die Spitzen-Authentifizierungsfehler fielen von 410 pro Tag auf 11.

Die Kanalauslastung in der Hauptaula während der schulweiten Versammlung fiel von 84 Prozent auf 38 Prozent.

Das eigene Erfolgsmaß der Schule war, dass das Netzwerk beim ersten Treffen der Schulträger im Jahr nicht zur Sprache kam, was zuvor nie der Fall gewesen war.

Die ehrliche Bilanz

Von den vier wichtigsten Änderungen waren drei keine WLAN-Änderungen. Der DHCP-Pool, die RADIUS-Skalierung und die Authentifizierungsmethode machten zusammen den Großteil der Verbesserung aus.

Die vorherigen drei Jahre der Untersuchung hatten sich auf die Zugangsschicht konzentriert, weil sich das Symptom dort zeigte. Das ist der häufigste Diagnosefehler im WLAN-Bereich, und eine Schule im September ist die Umgebung, die ihn am wahrscheinlichsten offenlegt.