WLAN - bezdrátové LAN

• Information Technology
• Secondary Education

WLAN - bezdrátové LAN

Co si představujete pod pojmem WLAN?

WLAN

• Výhody
• Standardy
• Druhy
• Standardizační organizace

Které bezdrátové technologie se používají nejčastěji?

Zamyslete se a napište výhody bezdrátových sítí

Výhody WLAN

• Bezdrátová síť se běžně používá v domácnostech, kancelářích, školách a průmyslu
• Umožňují mobilitu
• Bezdrátové infrastruktury se přizpůsobují rychle se měnícím potřebám a technologiím

Kterou technologii najdeme pod standardem IEEE 802.15?

1. Wi-Fi
2. NFC
3. Bluetooth
4. WiMAX

Kterou technologii najdeme pod standardem IEEE 802.11?

1. Wi-Fi
2. NFC
3. Bluetooth
4. WiMAX

Kterou technologii najdeme pod standardem IEEE 802.16?

1. Wi-Fi
2. NFC
3. Bluetooth
4. WiMAX

Druhy bezdrátových sítí

• WPAN - nízká spotřeba energie a krátký dosah (6-9 až 100 metrů). IEEE 802.15 o frekvenci 2,4 GHz. Příkladem je Bluetooth a Zigbee
• WLAN - Sítě střední velikosti do 100 metrů. IEEE 802.11 o frekvenci 2,4 nebo 5,0 GHz
• WMAN - Pokrývá město nebo okres
• WWAN - Pokrývá státy nebo světadíly

Bluetooth a WiMAX

• Párování zařízení na krátkou vzdálenost
• Bluetooth Low Energy (BLE) - podporuje topologii mesh
• Bluetooth Basic Rate/Enhanced Rate (BR/EDR) - podporuje topologii point-point a je optimalizován pro streamování zvuku

WiMAX (Worldwide Interoperability for Microwave Access)

• Alternativní širokopásmové kabelové připojení k internetu
  
• Standard IEEE 802.16 pro vzdálenost až 50 km

Mobilní a satelitní sítě

Mobilní širokopásmové připojení - Přenáší hlas i data. Používají se v telefonech, automobilech, tabletech a noteboocích

• Global System of Mobile (GSM) - Mezinárodně používaný
• Code Division Multiple Access (CDMA) - Používá se především v USA

Satelitní připojení - Používá směrovou satelitní anténu zarovnanou se satelitem na geostacionární dráze

• Potřebuje přímou viditelnost
• Používá se v lokalitách, kde není k dispozici kabelové připojení a DSL

Jaké verze Wi-Fi 802.11 vás napadají?

Standard 802.11

Rádiové frekvence

• Všechna bezdrátová zařízení pracují v rozsahu elektromagnetického spektra
• 2,4 GHz (UHF) - 802.11b/g/n/ax
  
• 5 GHz (SHF) - 802.11a/n/ac/ax

Co mají zajišťovat standardy?

1. 
2. 
3. 
4. 

Organizace pro bezdrátové standardy

• International Telecommunication Union (ITU) - reguluje přidělování rádiových frekvencí a satelitních oběžných drah
• Institute of Electrical and Electronics Engineers (IEEE) - určuje způsob modulace rádiové frekvence pro přenos informací. Udržuje normy pro LAN a MAN pomocí rodiny norem IEEE 802
• Wi-Fi Alliance - Podporuje rozvoj WLAN. Jedná se o sdružení výrobců, jehož cílem je zlepšit interoperabilitu produktů, které jsou založeny na standardu 802.11

WPAN je:

1. Malá síť, zástupcem je standard 802.15
2. Střední síť, zástupcem je standard 802.11
3. Malá síť, zástupcem je standard 802.11
4. Střední síť, zástupcem je standard 802.15

WLAN je:

1. Malá síť, zástupcem je standard 802.15
2. Střední síť, zástupcem je standard 802.11
3. Malá síť, zástupcem je standard 802.11
4. Střední síť, zástupcem je standard 802.15

WMAN je:

1. Síť malé velikosti
2. Síť, která zabírá celé státy nebo světadíly
3. Síť střední velikosti
4. Síť, která zabírá celá města nebo okresy

WWAN je:

1. Síť malé velikosti
2. Síť, která zabírá celé státy nebo světadíly
3. Síť střední velikosti
4. Síť, která zabírá celá města nebo okresy

Bluetooth Low Energy používají hlavně:

1. IoT zařízení
2. myši a klávesnice
3. bezdrátová sluchátka
4. Bezdrátové nabíječky

Zjistěte, jak se standardem 802.11ax souvisí pojem Wi-Fi 6

Zjistěte, co přidává standard Wi-Fi 6E

Infrastruktura a komponenty WLAN

• Součásti bezdrátových LAN
• Kategorie AP
• Druhy antén

Jaké komponenty jsou součástí bezdrátových sítí?

Bezdrátový NIC

• Notebooky, tablety, chytré telefony a dokonce i v nejnovějších automobilech
• Obsahují rádiový vysílač/přijímač
• Bezdrátový adaptér USB

Bezdrátový domácí router

• Slouží pro domácí použití
• Slučuje funkce AP, switche a routeru

Bezdrátové AP

• Klienti používají svůj bezdrátový NIC k vyhledávání blízkých AP
• Klienti se pak pokoušejí spojit a ověřit s přístupovým bodem
• Po ověření mají klienti přístup k síti

Kategorie AP

Autonomní AP

• Samostatná zařízení konfigurovaná prostřednictvím CLI nebo GUI
• Funguje nezávisle na ostatních
• Konfigurován a spravován ručně správcem
  

Controller-based AP (LAP - lightweight AP)

• ke komunikaci s řadičem LWAN (WLC) používají protokol LWAPP (Lightweight Access Point Protocol)
• Každý LAP je automaticky konfigurován a spravován WLC

Druhy antén

• Všesměrové - poskytují pokrytí 360 stupňů
• Směrové - zaměřují rádiový signál určitým směrem. Příkladem je Yagi a parabolická anténa
• Multiple Input Multiple Output (MIMO) - Využívá více antén (až osm) pro zvýšení šířky pásma

K čemu slouží NIC?

1. k připojení periferií počítače
2. K napájení zařízení
3. K připojení zařízení k síti
4. Ke správě domény

Kterou z následujících funkcí nenajdeme u domácího routeru?

1. AP
2. switch
3. router
4. WLC

Jakou výhodu mají AP oproti bezdrátovým routerům?

Jakou mají naopak AP nevýhodu oproti bezdrátovým routerům?

Kde najdeme autonomní AP?

Co potřebujeme pro provoz tzv. LAP?

1. Nic, jsou autonomní
2. Potřebujeme řadič WLC
3. Bezdrátový router
4. Switch

Operace WLAN

• Režimy topologie
• BSS a ESS
• 802.11 rámec
• přístupové metody
• připojení klientů k AP

Jaký je rozdíl mezi autonomním AP a controller-based AP?

Parabolická anténa zaměřuje signál

1. Všemi směry
2. Jedním směrem
3. Dvěma směry
4. Třemi Směry

Jaké vlastnosti bezdrátových sítí vás napadají?

Jaké režimy bezdrátových topologií vás napadají?

Režimy bezdrátové topologie

• Režim Ad hoc - připojuje klienty způsobem peer-to-peer bez AP
• Režim infrastruktury - připojuje klienty k síti pomocí AP

• Tethering - Varianta topologie ad hoc, kdy chytrý telefon nebo tablet s mobilním datovým připojením umožňuje vytvořit osobní hotspot

BSS and ESS

Basic Service Set (BSS)

• Používá jediný AP k propojení všech přidružených bezdrátových klientů
• Klienti v různých BSS spolu nemohou komunikovat

Extended Service Set (ESS)

• Spojení dvou nebo více BSS pomocí fyzické kabeláže
• Klienti v různých BSS spolu mohou komunikovat

Struktura 802.11 rámce

• Rámec protokolu 802.11 je podobný rámci Ethernetu, ale obsahuje více políD

CSMA/CA

• WLAN využívají CSMA/CA, aby určily, jak a kdy odeslat data

1. Poslouchá kanál a zjišťuje, zda v něm probíhá nějaký provoz
2. Odešle AP zprávu RTS (ready to send) a požádá o vyhrazený přístup k síti
3. Přijme zprávu CTS (clear to send) od AP, která povoluje přístup k vysílání
4. Pokud neobdrží žádnou zprávu CTS, čeká náhodně dlouhou dobu, než znovu zahájí proces
5. Přenese data
6. Potvrdí všechny přenosy. Pokud neobdrží potvrzení, předpokládá, že došlo ke kolizi, a restartuje proces

Připojení klienta k AP

1. Objevit bezdrátový AP
2. Ověřit svoji totožnost s AP
3. Připojit se k AP

Poté se musí dohodnout na potřebných parametrech:

SSID - klient musí znát název sítě, ke které se chce připojit

Heslo - je nutné, aby se klient ověřil na AP

Režim sítě - používaný standard 802.11

Režim zabezpečení - Nastavení parametrů zabezpečení, tj. WEP, WPA nebo WPA2

Nastavení kanálu - Používaná frekvenční pásma

Aby mohla bezdrátová zařízení komunikovat v síti, musí se nejprve spojit s AP nebo bezdrátovým routerem

Pasivní a aktivní Discover mode

• Klienti se k AP připojují pomocí pasivního nebo aktivního režimu
• Pasivní režim - AP otevřeně nabízí svoje služby pravidelným vysíláním rámců obsahujících SSID, podporované standardy a nastavení zabezpečení

• Aktivní režim - klienti musí znát SSID, zahájí proces vysíláním rámce s žádostí o připojení na více kanálech

Jakým způsobem připojuje klienty režim Ad hoc?

1. Pomocí AP
2. Pomocí routeru
3. Peer-to-Peer
4. Pomocí hotspotu

Jakým způsobem připojuje klienty režim infrastruktury?

1. Pomocí AP
2. Pomocí routeru
3. Peer-to-Peer
4. Pomocí hotspotu

K čemu slouží přidané MAC adresy v rámci protokolu 802.11?

1. Pro komunikaci s vícero počítači
2. Co je to MAC adresa
3. Pro identifikaci routerů
4. Pro identifikaci AP

Pasivní Discovery mód:

1. Aktivně propaguje svoje služby
2. Klient musí znát SSID, aby se mohl připojit

Aktivní Discovery mód:

1. Aktivně propaguje svoje služby
2. Klient musí znát SSID, aby se mohl připojit

Operace CAPWAP

• Představení
• Architektura rozdělených MAC
• DTLS
• Flex Connect AP

Představení CAPWAP

• Vytvořen IEEE, umožňuje WLC spravovat více AP a sítí WLAN
• Vychází z LWAPP, ale přidává další zabezpečení pomocí DLTS (Datagram Transport Layer Security)
• Zapouzdřuje klientský provoz mezi AP a WLC prostřednictvím tunelů s využitím portů UDP 5246 a 5247
• Funguje přes IPv4 i IPv6

Architektura MAC

• Koncepce CAPWAP split MAC provádí všechny funkce, které obvykle vykonávají jednotlivá AP, a rozděluje je mezi dvě funkční složky

Šifrování DTLS

• DTLS zajišťuje zabezpečení mezi AP a WLC
• Ve výchozím nastavení je povolen pro zabezpečení řídicího kanálu CAPWAP a šifrování veškerého provozu správy a řízení mezi AP a WLC
• Šifrování dat je ve výchozím nastavení vypnuto a vyžaduje instalaci licence DTLS

Flex Connect AP

• Umožňuje konfiguraci a ovládání AP přes linky WAN
• Připojený režim - WLC je dosažitelné. AP má spojení s WLC prostřednictvím tunelu CAPWAP. WLC vykonává všechny funkce
• Samostatný režim - WLC je nedostupné. AP ztratilo konektivitu CAPWAP s WLC. AP může převzít některé funkce WLC, například lokální provoz klientů a lokální ověřování klientů

Správa kanálů

• Naplněnost frekvenčních kanálů
• Kanály frekvencí 2,4 GHz a 5GHz
• Nasazení WLAN

Naplněnost frekvenčních kanalů

• Pokud je poptávka po určitém bezdrátovém kanálu příliš vysoká, může dojít k jeho přesycení a zhoršení kvality komunikace
• Direct-Sequence Spread Spectrum (DSSS) - modulační technika určená k rozprostření signálu ve větším frekvenčním pásmu
• Používá se v zařízeních 802.11b, aby se zabránilo rušení od jiných zařízení používajících stejnou frekvenci 2,4 GHz

Naplněnost frekvenčních kanalů

• Frequency-Hopping Spread Spectrum (FHSS) - Přenáší rádiové signály rychlým přepínáním nosného signálu mezi mnoha frekvenčními kanály
• Odesílatel a přijímač musí být synchronizováni, aby "věděli", na který kanál mají přejít
• Používá se v původním standardu 802.11, variantu FHSS používá Bluetooth

Naplněnost frekvenčních kanalů

• Orthogonal Frequency-Division Multiplexing (OFDM) - multiplexování s kmitočtovým dělením, při níž jeden kanál využívá více dílčích kanálů na sousedních frekvencích
• OFDM používá řada komunikačních systémů včetně standardů 802.11a/g/n/ac
  
• 802.11ax používá metodu OFDMA

Výběr kanálu

• Pásmo 2,4 GHz je rozděleno do několika kanálů, z nichž každý má přidělenou šířku pásma 22 MHz a od dalšího kanálu je oddělen 5 MHz
• Osvědčeným postupem pro sítě WLAN 802.11b/g/n vyžadující více AP je používat nepřekrývající se kanály, například 1, 6 a 11

Výběr kanálu

• Pro 5 GHz standardy 802.11a/n/ac je k dispozici 24 kanálů
• Kanály jsou od sebe odděleny frekvencí 20 MHz
• Nepřekrývající se kanály jsou 36, 48 a 60

Plán nasazení WLAN

Při plánování rozmístění AP bychom měli počítat s:

• geografickým uspořádáním objektu
• počtu subjektů a zařízení, které se do prostoru vejdou
• rychlosti přenosu dat, kterou uživatelé očekávají
• použití nepřekrývajících se kanálů

Je také důležitá přibližná kruhová oblast pokrytí

Hrozby pro WLAN

• Přehled bezpečnosti
• Útoky typu DoS
• Podvodné AP
• Man-in-the-Middle

Přehled bezpečnosti ve WLAN

• WLAN jsou přístupné komukoli, kdo je v dosahu AP a má přístupové údaje
• Útoky mohou provádět cizí osoby, nespokojení zaměstnanci, i neúmyslně zaměstnanci
• Zachycení dat
  
• Narušitelé
  
• Útoky typu DoS
• Falešné AP

Útoky typu DoS

Útoky typu DoS ve WLAN mohou mít různé příčiny

• Nesprávně nakonfigurovaná zařízení
  
• Uživatel, který záměrně narušuje bezdrátovou komunikaci
• Náhodné rušení
  

Pro minimalizaci rizika útoku:

• Správně zabezpečíme všechna zařízení
• Vyžadujeme bezpečná hesla
• Zálohujeme a změny konfigurace provádíme mimo pracovní dobu

Podvodné AP

• Útočník propaguje nepovolený AP v síti 
• Může zachytávat MAC adresy, datový provoz, získat přístup k síťovým prostředkům nebo provádět útoky typu Man-in-the-Middle
• Může být použit i osobní mobilní hotspot
• Pro zakázání nepovolených AP je potřeba nakonfigurovat WLC tak, aby uživatelé nemohli vytvářet hotspot ze sítě z AP
• Je potřeba monitorovat rádiová spektra pro vyhledávání nepovolených AP

Man-in-the-Middle

• Jedním z útoků je "útok zlého dvojčete AP" 
• Útočník nasadí falešné AP a nakonfiguruje ho se stejným SSID jako legitimní AP
• Obranou je správa a identifikace legitimních zařízení v síti
• Nejdříve jsou ověřeni uživatelé a pak sledujeme síť, zda v ní nejsou neobvyklá zařízení nebo provoz

Opakování

https://forms.office.com/Pages/ResponsePage.aspx?id=Iw_R_IGNR0iFNaFpxPZo2j7Xbiky4oFJnJx_Dp5jXWNURTY2VTgwQjBVTVVPNURWTUZSUEVWSDFHOS4u

Zabezpečení WLAN

• SSID Cloaking a filtr MAC adres
• Metody ověřování
• Možnosti ověřování
• Šifrovací protokoly
• Enterprise
• WPA 3

SSID Cloaking a filtr MAC Adres

SSID Cloaking

• Zakázání vysílání rámce SSID beacon
• Aby se klienti mohli připojit k síti, musí znát a nakonfigurovat SSID

Filtrování MAC adres

• Povolení nebo zakázání bezdrátového přístupu zařízení na základě jejich MAC adresy

Ověřování původního 802.11

• S původním standardem 802.11 byly zavedeny dva typy ověřování

Otevřené ověřování

• Není vyžadováno heslo
• Používá se ve veřejných prostorách, jako jsou kavárny, letiště a hotely
• Klient je zodpovědný za zajištění bezpečnosti, například prostřednictvím sítě VPN

Ověřování sdíleným klíčem

• Mechanismy WEP, WPA, WPA2 a WPA3 pro ověřování a šifrování dat mezi klienty a AP
• Heslo však musí znát obě strany, aby se mohly připojit

Metody ověřování sdíleným klíčem

Možnosti ověřování

Osobní

• Uživatelé se ověřují pomocí předem sdíleného klíče (PSK)
• Není vyžadován žádný speciální ověřovací server

Enterprise

• Zařízení musí být ověřeno serverem RADIUS (Remote Authentication Dial-In User Service)
• Uživatelé se poté ověřují pomocí 802.1X a protokolu EAP (Extensible Authentication Protocol)
  

Šifrovací protokoly

TKIP (Temporal Key Integrity Protocol)

• používá se v protokolu WPA
• Využívá WEP, ale pomocí TKIP šifruje data

AES (Advanced Encryption Standard)

• Využívá protokol CCMP (Block Chaining Message Authentication Code Protocol)
• Umožňuje cílovým hostitelům rozpoznat, zda byly šifrované a nešifrované bity změněny
  

Enterprise ověřování

• Režim Enterprise vyžaduje server RADIUS pro služby AAA
• IP adresa RADIUS serveru
• Čísla portů UDP - 1812 pro ověřování a 1813 pro accounting
• Sdílený klíč - Slouží k ověření AP se serverem RADIUS
• Ověřování a autorizaci uživatelů zajišťuje standard 802.1X

WPA 3

• Protože WPA2 již není považováno za bezpečné
• Personal - Znemožňuje útoky typu brute force pomocí SAE
• Enterprise - Používá ověřování 802.1X/EAP. Vyžaduje však použití 192bitových klíčů a odstraňuje míchání bezpečnostních protokolů předchozích standardů 802.11
• Otevřené sítě - Nepoužívá žádné ověřování. Používá OWE k šifrování veškerého provozu
• IoT Onboarding - Používá protokol DPP (Device Provisioning Protocol) k rychlému připojení zařízení IoT