🥇תכונות של הגנה על רשתות אלחוטיות וקוויות. חלק 2 - אמצעי הגנה עקיפים

אנו ממשיכים בשיחה על שיטות להגברת אבטחת הרשת. במאמר זה נדבר על אמצעי אבטחה נוספים וארגון רשתות אלחוטיות מאובטחות יותר.

הקדמה לחלק השני

במאמר הקודם "תכונות של הגנה על רשתות אלחוטיות וקוויות. חלק 1 - אמצעי הגנה ישירים" היה דיון על בעיות אבטחת רשת WiFi ושיטות הגנה ישירות מפני גישה לא מורשית. נשקלו אמצעים ברורים למניעת יירוט תעבורה: הצפנה, הסתרת רשת וסינון MAC, כמו גם שיטות מיוחדות, למשל, לחימה ב-Rogue AP. עם זאת, בנוסף לשיטות הגנה ישירות, ישנן גם עקיפות. אלו הן טכנולוגיות שלא רק עוזרות לשפר את איכות התקשורת, אלא גם לשפר עוד יותר את האבטחה.

שתי תכונות עיקריות של רשתות אלחוטיות: גישה מרחוק ללא מגע ואוויר רדיו כאמצעי שידור להעברת נתונים, כאשר כל מקלט אות יכול להאזין לאוויר, וכל משדר יכול לסתום את הרשת עם שידורים חסרי תועלת ופשוט הפרעות רדיו. זה, בין היתר, לא משפיע בצורה הטובה ביותר על האבטחה הכוללת של הרשת האלחוטית.

אתה לא תחיה בביטחון בלבד. אנחנו עדיין צריכים לעבוד איכשהו, כלומר להחליף נתונים. ובצד זה ישנן תלונות רבות אחרות על WiFi:

פערים בכיסוי ("כתמים לבנים");
השפעה של מקורות חיצוניים ונקודות גישה שכנות זה על זה.

כתוצאה מכך, בשל הבעיות שתוארו לעיל, איכות האות יורדת, החיבור מאבד יציבות ומהירות חילופי הנתונים יורדת.

כמובן, אוהדי רשתות קוויות ישמחו לציין כי בעת שימוש בכבלים ובמיוחד בחיבורי סיבים אופטיים, בעיות כאלה אינן נצפו.

נשאלת השאלה: האם ניתן איכשהו לפתור את הבעיות הללו מבלי לנקוט באמצעים דרסטיים כמו חיבור מחדש של כל האנשים הלא מרוצים לרשת הקווית?

מאיפה מתחילות כל הבעיות?

בזמן לידתן של רשתות משרדיות ורשתות WiFi אחרות, הם פעלו לרוב לפי אלגוריתם פשוט: הם הציבו נקודת גישה בודדת במרכז ההיקף על מנת למקסם את הכיסוי. אם לא הייתה עוצמת אות מספקת לאזורים מרוחקים, נוספה אנטנת הגברה לנקודת הגישה. לעתים רחוקות מאוד נוספה נקודת גישה שנייה, למשל, עבור משרד של מנהל מרוחק. זה כנראה כל השיפורים.

לגישה זו היו סיבות. ראשית, עם שחר של רשתות אלחוטיות, הציוד עבורן היה יקר. שנית, התקנת נקודות גישה נוספות פירושה התמודדות עם שאלות שלא היו להן תשובות באותה עת. לדוגמה, איך לארגן מעבר לקוח חלק בין נקודות? איך מתמודדים עם הפרעות הדדיות? כיצד לפשט ולייעל את ניהול הנקודות, למשל יישום סימולטני של איסורים/הרשאות, ניטור וכדומה. לכן, היה הרבה יותר קל לפעול לפי העיקרון: ככל שפחות מכשירים, כך ייטב.

במקביל, נקודת הגישה, הממוקמת מתחת לתקרה, משדרת בתרשים מעגלי (ליתר דיוק, עגול).

עם זאת, הצורות של מבנים ארכיטקטוניים לא מתאימות במיוחד לדיאגרמות התפשטות אותות עגולים. לכן, בחלק מהמקומות האות כמעט ולא מגיע, וצריך להגביר אותו, ובמקומות מסוימים השידור יוצא מההיקף והופך נגיש לגורמים מבחוץ.

איור 1. דוגמה לכיסוי באמצעות נקודה אחת במשרד.

שים לב. זהו קירוב גס שאינו לוקח בחשבון מכשולים להתפשטות, כמו גם את הכיווניות של האות. בפועל, צורות התרשימים עבור מודלים נקודתיים שונים עשויות להיות שונות.

ניתן לשפר את המצב על ידי שימוש בנקודות גישה נוספות.

ראשית, זה יאפשר הפצה יעילה יותר של התקני שידור על פני שטח החדר.

שנית, ניתן להפחית את רמת האות, ולמנוע ממנו לעבור מעבר להיקף של משרד או מתקן אחר. במקרה זה, על מנת לקרוא תעבורת רשת אלחוטית, אתה צריך להתקרב כמעט להיקף או אפילו להזין את הגבולות שלו. תוקף פועל באותה צורה כדי לפרוץ לרשת קווית פנימית.

איור 2: הגדלת מספר נקודות הגישה מאפשרת חלוקה טובה יותר של הכיסוי.

בואו נסתכל שוב על שתי התמונות. הראשון מראה בבירור את אחת הפגיעויות העיקריות של רשת אלחוטית - האות יכול להיתפס במרחק הגון.

בתמונה השנייה המצב לא כל כך מתקדם. ככל שיותר נקודות גישה, כך אזור הכיסוי יעיל יותר, ובמקביל עוצמת האות כמעט ואינה משתרעת מעבר להיקף, באופן גס, מעבר לגבולות המשרד, המשרד, הבניין ושאר חפצים אפשריים.

תוקף יצטרך איכשהו להתקרב בלי לשים לב על מנת ליירט אות חלש יחסית "מהרחוב" או "מהמסדרון" וכן הלאה. לשם כך צריך להתקרב לבניין המשרדים, למשל כדי לעמוד מתחת לחלונות. או לנסות להיכנס לבניין המשרדים עצמו. בכל מקרה, הדבר מגביר את הסיכון להיחשף במעקב וידאו ולהבחין על ידי האבטחה. זה מקטין משמעותית את מרווח הזמן להתקפה. זה בקושי יכול להיקרא "תנאים אידיאליים לפריצה".

כמובן, נותר עוד "חטא קדמון" אחד: רשתות אלחוטיות משודרות בטווח נגיש שניתן ליירט על ידי כל הלקוחות. ואכן, ניתן להשוות רשת WiFi ל-Ethernet HUB, שבו האות מועבר לכל היציאות בבת אחת. כדי להימנע מכך, באופן אידיאלי כל זוג מכשירים צריך לתקשר בערוץ התדרים שלו, שאף אחד אחר לא צריך להפריע לו.

להלן סיכום הבעיות העיקריות. בואו נחשוב על דרכים לפתור אותם.

תרופות: ישירה ועקיפה

כפי שכבר צוין במאמר הקודם, לא ניתן להשיג הגנה מושלמת בכל מקרה. אבל אתה יכול להקשות ככל האפשר על ביצוע התקפה, מה שהופך את התוצאה ללא רווחית ביחס למאמץ שהושקע.

באופן קונבנציונלי, ניתן לחלק את ציוד המגן לשתי קבוצות עיקריות:

טכנולוגיות הגנה על תעבורה ישירה כגון הצפנה או סינון MAC;
טכנולוגיות שנועדו במקור למטרות אחרות, למשל, להגביר את המהירות, אך במקביל להקשות בעקיפין על חיי התוקף.

הקבוצה הראשונה תוארה בחלק הראשון. אבל יש לנו גם אמצעים עקיפים נוספים בארסנל שלנו. כפי שצוין לעיל, הגדלת מספר נקודות הגישה מאפשרת להפחית את רמת האות ולהפוך את אזור הכיסוי לאחיד, וזה מקשה על חיי התוקף.

אזהרה נוספת היא שהגדלת מהירויות העברת הנתונים מקלה על יישום אמצעי אבטחה נוספים. לדוגמה, אתה יכול להתקין לקוח VPN על כל מחשב נייד ולהעביר נתונים אפילו בתוך רשת מקומית באמצעות ערוצים מוצפנים. זה ידרוש כמה משאבים, כולל חומרה, אבל רמת ההגנה תגדל באופן משמעותי.

להלן אנו מספקים תיאור של טכנולוגיות שיכולות לשפר את ביצועי הרשת ולהגביר בעקיפין את מידת ההגנה.

אמצעים עקיפים לשיפור ההגנה - מה יכול לעזור?

היגוי לקוח

תכונת ה-Client Steering מבקשת ממכשירי הלקוח להשתמש תחילה בפס 5GHz. אם אפשרות זו אינה זמינה ללקוח, הוא עדיין יוכל להשתמש בתדר 2.4 גיגה-הרץ. עבור רשתות מדור קודם עם מספר קטן של נקודות גישה, רוב העבודה נעשית בפס 2.4 GHz. עבור טווח התדרים של 5 GHz, סכימת נקודת גישה אחת לא תהיה מקובלת במקרים רבים. העובדה היא שאות עם תדר גבוה יותר עובר דרך קירות ומתכופף סביב מכשולים גרועים יותר. ההמלצה הרגילה: כדי להבטיח תקשורת מובטחת בפס 5 GHz, עדיף לעבוד בקו ראייה מנקודת הגישה.

בתקנים המודרניים 802.11ac ו-802.11ax, בשל מספר הערוצים הגדול יותר, ניתן להתקין מספר נקודות גישה במרחק קרוב יותר, מה שמאפשר להפחית את הספק מבלי לאבד, או אפילו לצבור, את מהירות העברת הנתונים. כתוצאה מכך, השימוש בפס 5GHz מקשה על החיים לתוקפים, אך משפר את איכות התקשורת עבור לקוחות בהישג יד.

פונקציה זו מוצגת:

בנקודות הגישה של Nebula ו- NebulaFlex;
בחומות אש עם פונקציית בקר.

ריפוי אוטומטי

כפי שהוזכר לעיל, קווי המתאר של היקף החדר אינם מתאימים היטב לתרשימים העגולים של נקודות הגישה.

כדי לפתור בעיה זו, ראשית, עליך להשתמש במספר האופטימלי של נקודות גישה, ושנית, להפחית השפעה הדדית. אבל אם אתה פשוט מפחית ידנית את הספק של המשדרים, הפרעה ישירה כזו יכולה להוביל להידרדרות בתקשורת. זה יהיה בולט במיוחד אם נקודת גישה אחת או יותר נכשלת.

ריפוי אוטומטי מאפשר לך להתאים במהירות את הכוח מבלי לאבד אמינות ומהירות העברת נתונים.

בעת שימוש בפונקציה זו, הבקר בודק את המצב והתפקוד של נקודות הגישה. אם אחד מהם לא עובד, אז השכנים מקבלים הוראה להגביר את עוצמת האות כדי למלא את "הנקודה הלבנה". ברגע שנקודת הגישה פועלת שוב, נקודות שכנות מקבלים הוראה להפחית את עוצמת האות כדי להפחית הפרעות הדדיות.

נדידת WiFi חלקה

במבט ראשון, בקושי אפשר לקרוא לטכנולוגיה הזו הגברת רמת האבטחה, אלא להיפך, היא מקלה על לקוח (כולל תוקף) לעבור בין נקודות גישה באותה רשת. אבל אם נעשה שימוש בשתי נקודות גישה או יותר, אתה צריך להבטיח פעולה נוחה ללא בעיות מיותרות. בנוסף, אם נקודת הגישה עמוסה יתר על המידה, היא מתמודדת גרוע יותר עם פונקציות אבטחה כמו הצפנה, עיכובים בחילופי נתונים ודברים לא נעימים אחרים מתרחשים. בהקשר זה, נדידה חלקה היא עזרה גדולה לפיזור גמיש של העומס ולהבטיח פעולה רציפה במצב מוגן.

הגדרת ספי עוצמת האות לחיבור וניתוק לקוחות אלחוטיים (סף אות או טווח עוצמת אות)

בעת שימוש בנקודת גישה בודדת, פונקציה זו, באופן עקרוני, אינה משנה. אך בתנאי שפועלות מספר נקודות הנשלטות על ידי בקר, ניתן לארגן הפצה ניידת של לקוחות על פני נקודות גישה שונות. כדאי לזכור שפונקציות בקר נקודות גישה זמינות בקווים רבים של נתבים מבית Zyxel: ATP, USG, USG FLEX, VPN, ZyWALL.

למכשירים הנ"ל יש תכונה לניתוק לקוח שמחובר ל-SSID עם אות חלש. "חלש" פירושו שהאות נמצא מתחת לסף שנקבע בבקר. לאחר ניתוק הלקוח, הוא ישלח בקשת בדיקה למציאת נקודת גישה אחרת.

לדוגמה, לקוח המחובר לנקודת גישה עם אות מתחת ל-65dBm, אם סף ניתוק התחנה הוא -60dBm, במקרה זה נקודת הגישה תנתק את הלקוח עם רמת האות הזו. הלקוח מתחיל כעת את הליך החיבור מחדש וכבר יתחבר לנקודת גישה אחרת עם אות גדול או שווה ל-60dBm (סף אות תחנה).

זה חשוב בעת שימוש במספר נקודות גישה. זה מונע מצב שבו רוב הלקוחות מצטברים בנקודה אחת, בעוד שנקודות גישה אחרות אינן פועלות.

בנוסף, אתה יכול להגביל את החיבור של לקוחות עם אות חלש, שככל הנראה ממוקמים מחוץ להיקף החדר, למשל, מאחורי הקיר במשרד שכן, מה שגם מאפשר לנו להתייחס לפונקציה זו כשיטה עקיפה. של הגנה.

מעבר ל-WiFi 6 כאחת הדרכים לשיפור האבטחה

כבר דיברנו על היתרונות של תרופות ישירות מוקדם יותר במאמר הקודם. "תכונות של הגנה על רשתות אלחוטיות וקוויות. חלק 1 - אמצעי הגנה ישירים".

רשתות WiFi 6 מספקות מהירויות העברת נתונים מהירות יותר. מצד אחד, קבוצת התקנים החדשה מאפשרת להגביר מהירות, מצד שני, ניתן למקם עוד יותר נקודות גישה באותו אזור. התקן החדש מאפשר להשתמש בפחות כוח לשידור במהירויות גבוהות יותר.

מהירות העברת נתונים מוגברת.

המעבר ל-WiFi 6 כולל הגדלת מהירות ההחלפה ל-11Gb/s (סוג אפנון 1024-QAM, ערוצי 160 מגה-הרץ). יחד עם זאת, למכשירים חדשים שתומכים ב-WiFi 6 יש ביצועים טובים יותר. אחת הבעיות העיקריות בעת יישום אמצעי אבטחה נוספים, כמו ערוץ VPN לכל משתמש, היא ירידה במהירות. עם WiFi 6, יהיה קל יותר ליישם מערכות אבטחה נוספות.

BSS צביעה

כתבנו קודם שכיסוי אחיד יותר יכול להפחית את חדירת אות ה-WiFi מעבר להיקף. אך עם גידול נוסף במספר נקודות הגישה, ייתכן שאפילו השימוש ב-Auto Healing לא יספיק, שכן תנועה "זרה" מנקודה שכנה עדיין תחדור לאזור הקבלה.

בעת שימוש ב-BSS Coloring, נקודת הגישה משאירה סימנים מיוחדים (צבעים) את מנות הנתונים שלה. זה מאפשר לך להתעלם מההשפעה של התקני שידור שכנים (נקודות גישה).

MU-MIMO משופר

ל-802.11ax יש גם שיפורים חשובים לטכנולוגיית MU-MIMO (Multi-User - Multiple Input Multiple Output). MU-MIMO מאפשר לנקודת הגישה לתקשר עם מספר מכשירים בו זמנית. אבל בתקן הקודם, טכנולוגיה זו יכלה לתמוך רק בקבוצות של ארבעה לקוחות באותו תדר. זה הקל על השידור, אבל לא קליטה. WiFi 6 משתמש ב-MIMO מרובה משתמשים בגודל 8x8 לשידור וקבלה.

הערה. 802.11ax מגדיל את הגודל של קבוצות MU-MIMO במורד הזרם, ומספק ביצועי רשת WiFi יעילים יותר. MIMO uplink מרובה משתמשים הוא תוספת חדשה ל-802.11ax.

OFDMA (גישה מרובה בחלוקת תדרים אורתוגונלית)

שיטה חדשה זו של גישה ובקרת ערוצים פותחה על בסיס טכנולוגיות שכבר הוכחו בטכנולוגיית ה-LTE הסלולרית.

OFDMA מאפשר שליחת אות אחד באותו קו או ערוץ באותו זמן על ידי הקצאת מרווח זמן לכל שידור והחלת חלוקת תדרים. כתוצאה מכך, לא רק המהירות עולה עקב ניצול טוב יותר של הערוץ, אלא גם האבטחה עולה.

תקציר

רשתות WiFi נעשות בטוחות יותר מדי שנה. השימוש בטכנולוגיות מודרניות מאפשר לנו לארגן רמת הגנה מקובלת.

שיטות הגנה ישירות בצורה של הצפנת תעבורה הוכיחו את עצמן די טוב. אל תשכח על אמצעים נוספים: סינון לפי MAC, הסתרת מזהה הרשת, זיהוי AP של רוע (Rogue AP Containment).

אבל יש גם אמצעים עקיפים המשפרים את הפעולה המשותפת של מכשירים אלחוטיים ומגבירים את מהירות חילופי הנתונים.

השימוש בטכנולוגיות חדשות מאפשר להפחית את רמת האות מנקודות, מה שהופך את הכיסוי לאחיד יותר, מה שמשפיע לטובה על תקינות הרשת האלחוטית כולה, כולל אבטחה.

השכל הישר מכתיב שכל האמצעים טובים לשיפור הבטיחות: ישירים ועקיפים כאחד. השילוב הזה מאפשר לך לעשות חיים קשים ככל האפשר לתוקף.

קישורים שימושיים:

מקור: www.habr.com

תכונות של הגנה על רשתות אלחוטיות וקוויות. חלק 2 - אמצעי הגנה עקיפים