🥇Անլար և լարային ցանցերի պաշտպանության առանձնահատկությունները: Մաս 2 - Պաշտպանության անուղղակի միջոցառումներ

Մենք շարունակում ենք զրույցը ցանցային անվտանգության բարձրացման մեթոդների մասին։ Այս հոդվածում մենք կխոսենք անվտանգության լրացուցիչ միջոցների և ավելի անվտանգ անլար ցանցերի կազմակերպման մասին։

Երկրորդ մասի նախաբան

Մի նախորդ հոդվածում «Անլար և լարային ցանցերի պաշտպանության առանձնահատկությունները. Մաս 1. Պաշտպանության ուղղակի միջոցառումներ» Քննարկվեց WiFi ցանցի անվտանգության խնդիրների և չարտոնված մուտքից պաշտպանվելու ուղղակի մեթոդների մասին։ Դիտարկվել են երթևեկության գաղտնալսման կանխարգելման ակնհայտ միջոցներ՝ գաղտնագրում, ցանցի թաքցում և MAC զտում, ինչպես նաև հատուկ մեթոդներ, օրինակ՝ Rogue AP-ի դեմ պայքարում։ Սակայն, բացի ուղղակի պաշտպանության մեթոդներից, կան նաև անուղղակի: Սրանք տեխնոլոգիաներ են, որոնք ոչ միայն նպաստում են հաղորդակցության որակի բարելավմանը, այլև ավելի լավացնում են անվտանգությունը:

Անլար ցանցերի երկու հիմնական առանձնահատկությունները՝ հեռակա անհպում հասանելիություն և ռադիոեթեր՝ որպես տվյալների փոխանցման հեռարձակող միջոց, որտեղ ցանկացած ազդանշանի ընդունիչ կարող է լսել օդը, և ցանկացած հաղորդիչ կարող է խցանել ցանցը անօգուտ հաղորդումներով և պարզապես ռադիոմիջամտություններով: Սա, ի թիվս այլ բաների, լավագույն ազդեցությունը չունի անլար ցանցի ընդհանուր անվտանգության վրա:

Դուք միայնակ ապահով չեք ապրի: Մենք դեռ պետք է ինչ-որ կերպ աշխատենք, այսինքն՝ տվյալների փոխանակում։ Եվ այս կողմում կան բազմաթիվ այլ բողոքներ WiFi-ի վերաբերյալ.

ծածկույթի բացերը («սպիտակ բծեր»);
արտաքին աղբյուրների և հարևան մուտքի կետերի ազդեցությունը միմյանց վրա:

Արդյունքում, վերը նկարագրված խնդիրների պատճառով ազդանշանի որակը նվազում է, կապը կորցնում է կայունությունը, և տվյալների փոխանակման արագությունը նվազում է:

Իհարկե, լարային ցանցերի սիրահարները ուրախ կլինեն նշել, որ մալուխային և, հատկապես, օպտիկամանրաթելային միացումներ օգտագործելիս նման խնդիրներ չեն նկատվում:

Հարց է առաջանում՝ հնարավո՞ր է ինչ-որ կերպ լուծել այս խնդիրները՝ առանց որևէ կտրուկ միջոցի դիմելու, ինչպիսին է բոլոր դժգոհ մարդկանց լարային ցանցին նորից միացնելը։

Որտեղի՞ց են սկսվում բոլոր խնդիրները:

Գրասենյակի և այլ WiFi ցանցերի ծննդյան պահին նրանք ամենից հաճախ հետևում էին պարզ ալգորիթմի. նրանք տեղադրեցին մեկ մուտքի կետ պարագծի կենտրոնում, որպեսզի առավելագույնի հասցնեն ծածկույթը: Եթե հեռավոր տարածքների համար բավարար ազդանշանի ուժ չկար, մուտքի կետին ավելացվեց ուժեղացնող ալեհավաք: Շատ հազվադեպ է ավելացվել երկրորդ մուտքի կետ, օրինակ, հեռավոր տնօրենի գրասենյակի համար: Սա, հավանաբար, բոլոր բարելավումները:

Այս մոտեցումն ուներ իր պատճառները. Նախ, անլար ցանցերի լուսաբացին նրանց համար սարքավորումները թանկ էին։ Երկրորդ, ավելի շատ մուտքի կետեր տեղադրելը նշանակում էր հարցերի առջև, որոնք այդ պահին պատասխաններ չունեին: Օրինակ, ինչպե՞ս կազմակերպել հաճախորդների անխափան անցումը կետերի միջև: Ինչպե՞ս վարվել փոխադարձ միջամտության հետ: Ինչպես պարզեցնել և պարզեցնել կետերի կառավարումը, օրինակ՝ արգելքների/թույլտվությունների միաժամանակյա կիրառում, մոնիտորինգ և այլն։ Հետեւաբար, շատ ավելի հեշտ էր հետեւել սկզբունքին՝ որքան քիչ սարքեր, այնքան լավ:

Միևնույն ժամանակ, մուտքի կետը, որը գտնվում է առաստաղի տակ, հեռարձակվում է շրջանաձև (ավելի ճիշտ՝ կլոր) դիագրամով։

Այնուամենայնիվ, ճարտարապետական շենքերի ձևերը այնքան էլ լավ չեն տեղավորվում կլոր ազդանշանի տարածման դիագրամներում: Հետևաբար, որոշ տեղերում ազդանշանը գրեթե չի հասնում, և այն պետք է ուժեղացվի, իսկ որոշ տեղերում հեռարձակումը դուրս է գալիս պարագծից և հասանելի է դառնում կողմնակի անձանց համար:

Նկար 1. Ծածկույթի օրինակ՝ օգտագործելով մեկ կետ գրասենյակում:

Նշում. Սա մոտավոր մոտարկում է, որը հաշվի չի առնում տարածման խոչընդոտները, ինչպես նաև ազդանշանի ուղղորդվածությունը: Գործնականում տարբեր կետային մոդելների դիագրամների ձևերը կարող են տարբերվել:

Իրավիճակը կարելի է բարելավել՝ օգտագործելով ավելի շատ մուտքի կետեր:

Նախ, դա թույլ կտա փոխանցող սարքերը ավելի արդյունավետ բաշխել սենյակի տարածքում:

Երկրորդ, հնարավոր է դառնում նվազեցնել ազդանշանի մակարդակը՝ թույլ չտալով այն դուրս գալ գրասենյակի կամ այլ օբյեկտի պարագծից: Այս դեպքում անլար ցանցի տրաֆիկը կարդալու համար անհրաժեշտ է գրեթե մոտենալ պարագծին կամ նույնիսկ մտնել դրա սահմանները։ Հարձակվողը գործում է մոտավորապես նույն կերպ՝ ներխուժելով ներքին լարային ցանց:

Նկար 2. Մուտքի կետերի քանակի ավելացումը թույլ է տալիս ավելի լավ բաշխել ծածկույթը:

Եկեք նորից նայենք երկու նկարներին: Առաջինը հստակ ցույց է տալիս անլար ցանցի հիմնական խոցելիություններից մեկը՝ ազդանշանը կարելի է բռնել պատշաճ հեռավորության վրա:

Երկրորդ նկարում իրավիճակն այնքան էլ զարգացած չէ։ Որքան շատ մուտքի կետեր, այնքան ավելի արդյունավետ է ծածկույթի տարածքը, և միևնույն ժամանակ ազդանշանի հզորությունը գրեթե չի տարածվում պարագծից այն կողմ, կոպիտ ասած, գրասենյակի, գրասենյակի, շենքի և այլ հնարավոր օբյեկտների սահմաններից դուրս:

Հարձակվողը պետք է ինչ-որ կերպ աննկատ մոտենա, որպեսզի կարողանա համեմատաբար թույլ ազդանշան «փողոցից» կամ «միջանցքից» և այլն: Դա անելու համար հարկավոր է մոտենալ գրասենյակային շենքին, օրինակ՝ կանգնել պատուհանների տակ։ Կամ փորձեք մտնել գրասենյակային շենք: Ամեն դեպքում, սա մեծացնում է տեսահսկման միջոցով բռնվելու և անվտանգության կողմից նկատվելու վտանգը։ Սա զգալիորեն նվազեցնում է հարձակման ժամանակի ընդմիջումը: Սա դժվար թե կարելի է անվանել «հաքերի համար իդեալական պայմաններ»:

Իհարկե, մնում է ևս մեկ «բնօրինակ մեղք». անլար ցանցերը հեռարձակվում են հասանելի տիրույթում, որը կարող է գաղտնալսվել բոլոր հաճախորդների կողմից: Իրոք, WiFi ցանցը կարելի է համեմատել Ethernet HUB-ի հետ, որտեղ ազդանշանը փոխանցվում է միանգամից բոլոր նավահանգիստներին: Դրանից խուսափելու համար, իդեալականորեն, յուրաքանչյուր զույգ սարք պետք է հաղորդակցվի իր հաճախականության ալիքով, որին ոչ ոք չպետք է խանգարի:

Ահա հիմնական խնդիրների ամփոփումը. Դիտարկենք դրանց լուծման ուղիները:

Միջոցներ՝ ուղղակի և անուղղակի

Ինչպես արդեն նշվել է նախորդ հոդվածում, կատարյալ պաշտպանություն չի կարող հասնել ոչ մի դեպքում: Բայց դուք կարող եք հնարավորինս դժվարացնել հարձակում իրականացնելը՝ արդյունքը դարձնելով ոչ շահավետ՝ ծախսած ջանքերի համեմատ։

Պայմանականորեն, պաշտպանիչ սարքավորումները կարելի է բաժանել երկու հիմնական խմբի.

ուղղակի երթևեկության պաշտպանության տեխնոլոգիաներ, ինչպիսիք են կոդավորումը կամ MAC զտումը;
տեխնոլոգիաներ, որոնք ի սկզբանե նախատեսված էին այլ նպատակների համար, օրինակ՝ արագությունը բարձրացնելու համար, բայց միևնույն ժամանակ անուղղակիորեն բարդացնում են հարձակվողի կյանքը։

Առաջին խումբը նկարագրվեց առաջին մասում։ Բայց մենք նաև լրացուցիչ անուղղակի միջոցներ ունենք մեր զինանոցում։ Ինչպես նշվեց վերևում, մուտքի կետերի քանակի ավելացումը թույլ է տալիս նվազեցնել ազդանշանի մակարդակը և ծածկույթի տարածքը միատեսակ դարձնել, և դա ավելի է բարդացնում հարձակվողի կյանքը:

Մեկ այլ նախազգուշացում այն է, որ տվյալների փոխանցման արագության ավելացումը հեշտացնում է լրացուցիչ անվտանգության միջոցների կիրառումը: Օրինակ, դուք կարող եք տեղադրել VPN-հաճախորդ յուրաքանչյուր նոթբուքի վրա և տվյալներ փոխանցել նույնիսկ լոկալ ցանցի ներսում կոդավորված ալիքների միջոցով: Սա կպահանջի որոշակի ռեսուրսներ, այդ թվում՝ ապարատային, սակայն պաշտպանության մակարդակը զգալիորեն կբարձրանա:

Ստորև ներկայացնում ենք տեխնոլոգիաների նկարագրությունը, որոնք կարող են բարելավել ցանցի աշխատանքը և անուղղակիորեն բարձրացնել պաշտպանության աստիճանը:

Պաշտպանության բարելավման անուղղակի միջոցներ. ի՞նչը կարող է օգնել:

Հաճախորդի ղեկ

Հաճախորդի ղեկի գործառույթը հաճախորդների սարքերին հուշում է նախ օգտագործել 5 ԳՀց տիրույթը: Եթե այս տարբերակը հասանելի չէ հաճախորդին, նա դեռ կկարողանա օգտագործել 2.4 ԳՀց: Փոքր թվով մուտքի կետեր ունեցող հին ցանցերի համար աշխատանքի մեծ մասը կատարվում է 2.4 ԳՀց տիրույթում: 5 ԳՀց հաճախականության տիրույթի համար շատ դեպքերում անընդունելի կլինի մեկ մուտքի կետի սխեման: Փաստն այն է, որ ավելի բարձր հաճախականությամբ ազդանշանն անցնում է պատերի միջով և ավելի վատ թեքում է խոչընդոտների շուրջը: Սովորական առաջարկություն. 5 ԳՀց տիրույթում երաշխավորված հաղորդակցություն ապահովելու համար նախընտրելի է աշխատել մուտքի կետից տեսադաշտում:

Ժամանակակից 802.11ac և 802.11ax ստանդարտներում, ալիքների ավելի մեծ քանակի շնորհիվ, հնարավոր է մի քանի մուտքի կետեր տեղադրել ավելի մոտ հեռավորության վրա, ինչը թույլ է տալիս նվազեցնել հզորությունը՝ առանց կորցնելու կամ նույնիսկ ձեռք բերելու տվյալների փոխանցման արագությունը: Արդյունքում, 5 ԳՀց տիրույթի օգտագործումը ավելի է դժվարացնում հարձակվողների կյանքը, բայց բարելավում է հասանելիության հասանելի հաճախորդների համար հաղորդակցության որակը:

Այս գործառույթը ներկայացված է.

Nebula և NebulaFlex մուտքի կետերում;
կարգավորիչի գործառույթով firewalls-ներում:

Ավտոբուժում

Ինչպես նշվեց վերևում, սենյակի պարագծի ուրվագծերը լավ չեն տեղավորվում մուտքի կետերի կլոր դիագրամների մեջ:

Այս խնդիրը լուծելու համար նախ պետք է օգտագործել մուտքի կետերի օպտիմալ քանակը, երկրորդ՝ նվազեցնել փոխադարձ ազդեցությունը։ Բայց եթե դուք պարզապես ձեռքով նվազեցնեք հաղորդիչների հզորությունը, նման ուղղակի միջամտությունը կարող է հանգեցնել հաղորդակցության վատթարացման: Սա հատկապես նկատելի կլինի, եթե մեկ կամ մի քանի մուտքի կետեր ձախողվեն:

Auto Healing-ը թույլ է տալիս արագ կարգավորել հզորությունը՝ չկորցնելով հուսալիությունը և տվյալների փոխանցման արագությունը:

Այս գործառույթն օգտագործելիս կարգավորիչը ստուգում է մուտքի կետերի կարգավիճակը և ֆունկցիոնալությունը: Եթե դրանցից մեկը չի աշխատում, ապա հարեւաններին հանձնարարվում է բարձրացնել ազդանշանի ուժը՝ «սպիտակ կետը» լրացնելու համար։ Երբ մուտքի կետը նորից գործարկվի և աշխատի, հարևան կետերին հանձնարարվում է նվազեցնել ազդանշանի ուժը՝ փոխադարձ միջամտությունը նվազեցնելու համար:

Անխափան WiFi ռոումինգ

Առաջին հայացքից այս տեխնոլոգիան դժվար թե կարելի է անվանել անվտանգության մակարդակի բարձրացում, այլ ընդհակառակը, այն հեշտացնում է հաճախորդի (այդ թվում՝ հարձակվողի) անցումը նույն ցանցի մուտքի կետերի միջև։ Բայց եթե օգտագործվում են երկու կամ ավելի մուտքի կետեր, դուք պետք է ապահովեք հարմարավետ շահագործում առանց ավելորդ խնդիրների: Բացի այդ, եթե մուտքի կետը գերբեռնված է, այն ավելի վատ է հաղթահարում անվտանգության գործառույթները, ինչպիսիք են գաղտնագրումը, տվյալների փոխանակման հետաձգումները և այլ տհաճ բաներ: Այս առումով անխափան ռոումինգը մեծ օգնություն է բեռը ճկուն կերպով բաշխելու և պաշտպանված ռեժիմում անխափան աշխատանք ապահովելու համար:

Անլար հաճախորդների միացման և անջատման համար ազդանշանի ուժգնության շեմերի կազմաձևում (Ազդանշանի շեմ կամ ազդանշանի ուժի միջակայք)

Մեկ մուտքի կետ օգտագործելիս այս գործառույթը, սկզբունքորեն, նշանակություն չունի: Բայց պայմանով, որ մի քանի կետեր, որոնք վերահսկվում են վերահսկիչի կողմից, գործում են, հնարավոր է կազմակերպել հաճախորդների շարժական բաշխում տարբեր ԱԵԱ-ներում: Հարկ է հիշել, որ մուտքի կետի վերահսկիչի գործառույթները հասանելի են Zyxel-ից երթուղիչների բազմաթիվ տողերում՝ ATP, USG, USG FLEX, VPN, ZyWALL:

Վերոնշյալ սարքերը թույլ ազդանշանով միացված SSID-ին միացված հաճախորդին անջատելու հատկություն ունեն: «Թույլ» նշանակում է, որ ազդանշանը ցածր է կարգավորիչի վրա սահմանված շեմից: Հաճախորդն անջատվելուց հետո այն կուղարկի հետաքննության հարցում՝ այլ մուտքի կետ գտնելու համար:

Օրինակ, հաճախորդը միացված է մուտքի կետին, որի ազդանշանը ցածր է -65dBm-ից, եթե կայանի անջատման շեմը -60dBm է, այս դեպքում մուտքի կետը կանջատի հաճախորդին այս ազդանշանի մակարդակով: Հաճախորդն այժմ սկսում է վերամիացման ընթացակարգը և արդեն միանալու է մեկ այլ մուտքի կետի՝ -60dBm-ից կամ հավասար ազդանշանով (կայանի ազդանշանի շեմ):

Սա կարևոր է մի քանի մուտքի կետեր օգտագործելիս: Սա կանխում է մի իրավիճակ, երբ հաճախորդների մեծ մասը կուտակվում է մի կետում, մինչդեռ մյուս մուտքի կետերը անգործուն են:

Բացի այդ, դուք կարող եք սահմանափակել թույլ ազդանշանով հաճախորդների միացումը, որոնք, ամենայն հավանականությամբ, գտնվում են սենյակի պարագծից դուրս, օրինակ, հարևան գրասենյակի պատի հետևում, ինչը նաև թույլ է տալիս մեզ այս գործառույթը դիտարկել որպես անուղղակի մեթոդ: պաշտպանությանը։

Անցում WiFi 6-ին՝ որպես անվտանգության բարելավման ուղիներից մեկը

Անմիջական միջոցների առավելությունների մասին մենք արդեն խոսել ենք ավելի վաղ նախորդ հոդվածում։ «Անլար և լարային ցանցերի պաշտպանության առանձնահատկությունները. Մաս 1. Պաշտպանության ուղղակի միջոցառումներ».

WiFi 6 ցանցերն ապահովում են տվյալների փոխանցման ավելի արագ արագություն: Մի կողմից ստանդարտների նոր խումբը թույլ է տալիս բարձրացնել արագությունը, մյուս կողմից՝ կարող եք էլ ավելի շատ մուտքի կետեր տեղադրել նույն տարածքում։ Նոր ստանդարտը թույլ է տալիս ավելի քիչ էներգիա օգտագործել ավելի բարձր արագությամբ փոխանցելու համար:

Տվյալների փոխանցման արագության բարձրացում.

WiFi 6-ի անցումը ենթադրում է փոխանակման արագության բարձրացում մինչև 11 Գբ/վ (մոդուլյացիայի տիպ 1024-QAM, 160 ՄՀց ալիքներ): Միևնույն ժամանակ, նոր սարքերը, որոնք աջակցում են WiFi 6-ին, ավելի լավ կատարում են: Անվտանգության լրացուցիչ միջոցառումների իրականացման հիմնական խնդիրներից մեկը, օրինակ՝ VPN ալիքը յուրաքանչյուր օգտագործողի համար, արագության անկումն է։ WiFi 6-ով ավելի հեշտ կլինի լրացուցիչ անվտանգության համակարգերի ներդրումը։

BSS գունավորում

Ավելի վաղ գրել էինք, որ ավելի միասնական ծածկույթը կարող է նվազեցնել WiFi ազդանշանի ներթափանցումը պարագծից այն կողմ: Բայց մուտքի կետերի քանակի հետագա աճով, նույնիսկ Auto Healing-ի օգտագործումը կարող է բավարար չլինել, քանի որ հարևան կետից «օտար» երթևեկությունը դեռ կներթափանցի ընդունման տարածք:

BSS Coloring-ն օգտագործելիս մուտքի կետը թողնում է հատուկ նշաններ (գունավորում) իր տվյալների փաթեթները: Սա թույլ է տալիս անտեսել հարևան հաղորդիչ սարքերի ազդեցությունը (մուտքի կետեր):

Բարելավված MU-MIMO

802.11ax-ը նաև կարևոր բարելավումներ ունի MU-MIMO (Multi-User - Multiple Input Multiple Output) տեխնոլոգիայի մեջ: MU-MIMO-ն թույլ է տալիս մուտքի կետին միաժամանակ շփվել բազմաթիվ սարքերի հետ: Սակայն նախորդ ստանդարտում այս տեխնոլոգիան կարող էր աջակցել միայն չորս հաճախորդների խմբերին նույն հաճախականությամբ: Սա հեշտացրեց փոխանցումը, բայց ոչ ընդունումը: WiFi 6-ն օգտագործում է 8x8 բազմաֆունկցիոնալ MIMO փոխանցման և ընդունման համար:

Նշում. 802.11ax-ը մեծացնում է MU-MIMO խմբերի չափերը՝ ապահովելով ավելի արդյունավետ WiFi ցանցի աշխատանքը: Բազմաֆունկցիոնալ MIMO uplink-ը 802.11ax-ի նոր հավելումն է:

OFDMA (ուղղահայաց հաճախականության բաժանման բազմակի մուտք)

Ալիքների հասանելիության և կառավարման այս նոր մեթոդը մշակվել է LTE բջջային տեխնոլոգիայի մեջ արդեն իսկ ապացուցված տեխնոլոգիաների հիման վրա:

OFDMA-ն թույլ է տալիս միաժամանակ մեկից ավելի ազդանշան ուղարկել նույն գծի կամ ալիքի վրա՝ յուրաքանչյուր հաղորդման ժամանակ նշանակելով և կիրառելով հաճախականության բաժանում: Արդյունքում ոչ միայն արագությունը մեծանում է ալիքի ավելի լավ օգտագործման շնորհիվ, այլ նաև բարձրանում է անվտանգությունը։

Ամփոփում

WiFi ցանցերը տարեցտարի ավելի ապահով են դառնում։ Ժամանակակից տեխնոլոգիաների կիրառումը թույլ է տալիս կազմակերպել պաշտպանության ընդունելի մակարդակ։

Պաշտպանության ուղղակի մեթոդները երթևեկության գաղտնագրման ձևով բավականին լավ են ապացուցել իրենց: Մի մոռացեք լրացուցիչ միջոցների մասին՝ զտում MAC-ով, ցանցի ID-ի թաքցում, Rogue AP-ի հայտնաբերում (Rogue AP Containment):

Բայց կան նաև անուղղակի միջոցներ, որոնք բարելավում են անլար սարքերի համատեղ աշխատանքը և մեծացնում տվյալների փոխանակման արագությունը:

Նոր տեխնոլոգիաների օգտագործումը հնարավորություն է տալիս նվազեցնել ազդանշանի մակարդակը կետերից՝ ծածկույթն ավելի միատեսակ դարձնելով, ինչը լավ ազդեցություն է ունենում ամբողջ անլար ցանցի առողջության վրա՝ որպես ամբողջություն, ներառյալ անվտանգությանը:

Ողջամտությունը թելադրում է, որ անվտանգությունը բարելավելու համար լավ են բոլոր միջոցները՝ և՛ ուղղակի, և՛ անուղղակի: Այս համադրությունը թույլ է տալիս հնարավորինս դժվարացնել կյանքը հարձակվողի համար:

Օգտակար հղումներ

Source: www.habr.com

Անլար և լարային ցանցերի պաշտպանության առանձնահատկությունները. Մաս 2 - Պաշտպանության անուղղակի միջոցառումներ