MTCWE Aposila1 PDF
December 7, 2022 | Author: Anonymous | Category: N/A
Short Description
Download MTCWE Aposila1 PDF...
Description
T M M MTCWE (MT C W E)
M M MT T
1
A T
C
08:30 18:30
16:00
A
12:30 1
2
I C :
P .
C: D . : S . : E . A: B . E . D
.
A A D
.
C
. S ROS. S
.
Objetivo do Curso
Propor Prop orci cion onar ar conh conhec ecim imen ento to e trei treina name ment ntoo prát prátic icoo para para Mikr Mikrot otik ik RouterOS com recursos avançados em redes sem fio.
Introdução ção ao padrão 802.11AC
Após a ccoonclu clusão são do cu curso so,, vvoocê será cap capaz de pl planejar jar, impl im plem emen enta tarr, ajust justaar e de depu pura rarr pr prob oble lema mass em red redes wi wire rele less ss..
Foco do laborátorios será em: Rede dess Re
Outdo Outdoor or pontoponto-aa-po ponto nto e po ponto nto-m -mul ultip tipon onto. to. Re Rede dess Indo Indoor or mu multlti-i-po pont ntoo de alta alta de desi sida dade de.. 6
T A
A
60
A
5
7
D I 172.25.1.254/24
AP
IP
172.25.1.X 172.25.1. X/24
172.25.1.X 172.25.1. X/24
IP WLAN
IP WLAN
10.1.1.254/24 IP 3
10.1.1.X/24 IP PC
IP 3 10.1.1.254/24
10.1.1.X/24 IP PC
L : X
I I
1
C C
C IP C C DNS C G G ( ) C R
9
1
R .
R
10
1
11
C C
C IP WAN A
IP WAN
T 1) P P R IP: 172.25.1.254 2) P P R IP: 8.8.8.8
1
C A
14
1
T 1) P P R R IP: 8.8.8.8 2) P P R R :: .
15
1
C A
T
DNS
: .
Q
A A , DNS.
16
1
C IP LAN A
IP LAN
17
1
C N
10 1 1 X 255 255 255 0 10
1
1 254
10
1
1 254
18
1
T 1) P P IP: 10.1.1.254 2) P P IP: 8.8.8.8 3) P P :: . 4) A A ..
19
A A NAT,
1.
1
T E
. A . E . A , . E .
21
1
F F B . A . C
22
1
F RF
23
O ? A
,,
, . D : ,
– : . P : : , , . A L N.
– :
. S . S , . X,E , L E M.
O ? P
, , , , .
P
2,4G 5G.
F
R
506, 1 2008
http://www.anatel.gov.br/legislacao/resolucoes/2008/104-resolucao-506
DFS
no radar detect: escan caneia o meio e
esco colh can canal aloem ueefor fo encoontra ntrado do oes m me elhe nor noer onúmer úm ero de qred rede s.r enc
radar detect enco en cont ntrar rar o cana ca : esc enal scan l ane com eiame meno om nor eio eironúme nú para pamero raro
de redes e usa este canal se em 60 seggundo se undo não não for for det deteectad ctadoo um rad radar
utililiz ut izan ando do o mesm mesmoo ca cana nal.l. Obs.: O modo modo DFS é oobri brigat gatório ório no Bra Brasil sil pa para ra as faix faixas as 5250 5250-53 -5350 50 e 5470-5725
O ? E , .
(λ).
O ( λ .
S . ://.../.
Baixa frequência onda grande
F
C
5.8Ghz
5,1 cm
2.4Ghz
12,5 cm
900Mhz
33,3 cm
Alta frequência onda pequena
D D
,. , , A
,
. Q
. .
A
S
,
. Transmissor 10Hz
Receptor 10Hz
Transmissor 900MHz
Receptor 2,4GHz
Transmissor 2,4GHz
Receptor 2,4GHz
Transmissor 2,4GHz
Receptor 5,8GHz
L E 1
Transmissor
10 Hz
Receptor
L = 1
10 Hz
E 2
Transmissor 11Hz 12Hz 13Hz 14Hz 15Hz
L = 5
Receptor 11Hz 12Hz 13Hz 14Hz 15Hz
L E 3
Transmissor 2402MHz . . . 2422MHz
L = 20
Receptor 2402MHz . . . 2422MHz
E 4
Transmissor 2402MHz . . . 2442MHz
L = 40
Receptor 2402MHz . . . 2442MHz
P P B:
E . . T .
B: E
B . E , , .
B : O B G .
E.I.R.P
T
P B P
://..///BW... ://..///BW.
P P MIMO
Q
.
2 , ,
5
P
Q
, C C . A A M , B A G.
36
Freq Fr eque uenc ncyy M Mod odee - Po Potê tênc ncia iass
Quando Quan do a opçã opçãoo “regu “regulat lator oryy domai domain” n” está está habilitada:
Soment Some ntee as fre frequ quên ênci cias as perm permititid idas as para para o paí paíss sele se leci cion onad adoo em “Coun “Country try”” es esta tarã rãoo di disp spon onív ívei eis. s.
O Rou Route terO rOS S aj ajus usta tará rá a pot potên ênci ciaa do rádi rádioo para para at aten ende derr a re regu gula lame ment ntaç ação ão do país país,, leva levand ndoo em conta o valor em dBi informado em “Antenna Gain”.
RX R
. Q , , . D . .
RB 711
D
RB 912
D
A
M
. , , , N , . ,
M
M Q
. C .
BPSK QPSK
BPSK
B 1
QPSK 2
QAM Q Q 16 QAM
4
64 QAM
6
E 1
3
5
7
9
2412
2422
2432
2442
2452
+
11 2462
20 2402
2412
2422
2432
2442
2452
2462
2472
5
C C 5M 10M
M
M M M () A
()
45
5
C C 20M 40M 40M
M
M M () P D
()
46
5
Ferramentas de Site Survey • Scan • Frequency Usage • Spectral Scan/History • Snooper • Align • Sniffer
47
Scan A > A B > BSS P > P R > M N > N
• Escaneia o meio. Obs.: Qualquer operação de site survey causa queda das conexões estabelecidas.
Uso de frequências Mostra o usoem dastodo o frequências espectro para site survey conforme a banda selecionada no menu wireless.
Scan de spectro •802.11n Possível somente em Chipsets Atheros • Alcance - 2ghz 2ghz,, 5ghz, 5ghz, canal canal atua atuall ou faixa faixa • Valores - méd média, ia, pico pico médio, médio, interfer interferênc ência, ia, máxim máximo, o, mínimo
• Exemplos classificavéis
- wif wifi,i, bl blueto uetooth oth,, microo microonda ndas, s, etc etc
Historico Spectral • Representa o espectrograma em lote • Mostra níveis de potência impressos em diferentes cores • Opção Opção de áudio áudio - execuç execuções ões de de cada cada linha linha conforme impresso - Cad Cadaa linha linha é tocad tocadaa da esque esquerda rda para para a direita, com freqüências mais elevadas correspectrograma co respo spondendo aos valo alores mais eleva evados dos no
Spectral-scan • Mo Moni nito tora ra cont contin inua uame ment ntee os da dado doss espe espect ctra rais is • Cada linha representa um bloco do espe es pect ctro rogr gram amaa conf confor orme me abai abaixo xo:: - Freq Frequê uênc ncia ia - Valo alorr numéric numéricoo médio médio de rx - Caracte Car icas s do gráfico fico de barras barras • Valor Vacteríst alor rística médio médio da potênci potgrá ência a - ':'de • Pico Pico médio médio sustenta sustentado do - '.' • Máxima Máxima flutuaç flutuação ão únicaúnica- ':'
• Também é possível mostrar opções de interferência
Alinhamento • Ferramenta de alinhamento com sinal sinal sonoro
- Colo Colocar car o MAC do AP rremot emotoo no ccampo ampo Filte Filterr MAC Address e Audio Monitor.
Rx Quality: Potência em dBm do último pacote recebido Avg. Rx Quality: Potência média dos pacotes recebidos Last Rx: Tempo em segundos do último pacote recebido Tx Quality: Potência do último pacote transmitido Last TX: Tempo em segundos do último pacote transmitido Correct: Número de pacotes recebidos sem erro
Sniffer Ferramenta para sniffar o ambiente wireless captando e decifrando pacotes. Muito útil para detectar ataques do tipo deauth e monkey jack. Pode ser arquivado no próprio Mikrotik ou passado por streaming para outro servidor com protocolo protoco lo TZSP T ZSP..
Snooper
Com a ferramenta snooper é possível monitorar a carga de tráfego em cada canal por estação e por rede. Scaneia as frequências definidas em scan-list da interface
Historico Spectral
/ =24122462 1
Spectral-scan
/ =24122462 1
P EEE
F
.
802.11
2.4G
20M
11 M
802.11
2.4G
20M
54 M
802.11
5G
20M
54 M
802.11
2.4G 5G
40M
300 M
802.11
5G
80M
866 M
5
I M
: M . R MAC
.
: O
.
: M . N
.
59
5
I M
: E
, AP MAC. : M , AP MAC .
: M
60
MAC . AP . 5
I M
: M
. N .
: A AP SSID.
: C .
: F
AP M.
61
5
Virtual A AP P • Usado para criar um novo com wireless base nas informações físicas doAP cartão • Funciona em cartões Atheros AR5212 e superiores • Limitado a 128 APs por cartão. • Usa diferentes endereços MAC • Pode ter seu próprio SSID, security profile, Access/Connect-list, extenções WDS , etc.
62
Exemploo ddee AP Virtual Exempl
D VLAN
10.50.50.1/24 + H 10.10.10.1/24 + DHCP
1
2
VLAN 50 VLAN 10
3
C E
3
VLAN 50 VLAN 10
VAP 1
VAP2
5 T VPN
Analisando a tabela de registro para solucionar problemas na conexão
121
Solução de problemas clientes wireless de • ACK-timeout • CCQ • TX/RX e Signal Strength • Frames x HW-frames • Data-rate flapping
Tabel abelaa Re Regi gist stra ratition on
CCQ CC Q - Clie Client nt Conne Connecti ction on Qu Qual ality ity • Valoraem porcentagem mostraemo quão eficaz largura de bandaque é usada relação à largura de banda máxima teórica disponível • Média ponderada de valores de Tmin/Treal calculada para cada frame transmitido - Tmin é o tempo qu que seria necessário para tran tr ansm smititirir de dete terrmin minado ado fram framee na na taxa taxa mai maiss elevada re-elev Treada, al é, osem temre-tra potransm rensmiss al toissões maões do para transmitir o frame
Frames x HW-frames •frame Retransmissões são quando a placa e você não recebe de volta o envia um reconhecimento (ACK), então você envia o frame mais uma vez até você receber a confirmação • Se o valor hw-frames é maior o valorestá de frames, então isso significa queque o enlace fazendo retransmissões • No caso do Nstreme você não pode comparar os fram frames es com hw-f hw-fra rame mess
Usando as configurações avançadas para solução de problemas e ajustes finos a conexão sem fio
Opções Wireless A Avançadas vançadas • Aba Advanced no menu Wireless • HW-retries • HW-protection - RTS/CTS
- CTS to self
• Adaptive-noise-immunity •• Configuration Reset WMM
Wireless Advanced
Advance Adv ancedd Wire Wireles lesss T Tab ab • Area - string descreve descre vese o AP, AP , utilizado na connect list deque clientes que conectam escolhendo o AP pela área de prefixo •código Ack-ti Ack-timeo meout ut - tempo tem po limi limite te por de confirm conf irmaç ação ão de em mS; "dinâmico", padrão padrão • PeriodicPeriodic-cal calibr ibrati ation on - para ggara aranti ntirr o desempenho do chipset em casos de excesso de temperatura e mudanças ambientais
HW-retries
• Número de tentativas de envio de frames até que a transmissão seja considerada falha •• Data rate é diminuido a cada Mas se não houver uma taxa falha inferior, 3 falhas seqüenciais ativa a pausa da transmissão on-fail-retry então o tempo e o contador são reiniciados •ouOaté frame retransmitido até o sucesso queserá o cliente seja desconectado
HW-protection • Frame protection ajuda a conter o problema do nó escondido CTS/RT •• Proteção Proteção CTS/RTS “CTS to Sself”
• hw-p hw-pro rote tect ctio ionn-th thre resh shol oldd - lilimi mite te de tamanho do frame em que a proteção deve ser usada; 0 - utilizado para todos os frames
RTS/CTS based protection • Proteção baseada no RTS/CTS
- Qua Quando ndo o dispositi dispositivo vo es está tá dis dispost postoo a enviar enviar frames, inicialmente envia RequestToSend e aguarda ClearToSend ClearToSend do desti destino no - Rec Recebe ebendo ndo frames frames RTS ou ou CT CTS S de dispositivos 802.11 é possível 802.11 saber quando iniciar uma transmissão e consequentemente consequentemente quando não se deve iniciar uma transmissão.
Proteção “CTSbaseada to self” em • Proteção baseada em "CTS to self" - Disp Disposit ositivo ivo dispos dispostos tos a enviar enviar frames frames enviam enviam frame CTS "para si“. - Confor Conforme me o protoco protocolo lo 802. 802.111, dispositiv dispositivos os que recebem este frame sabem que não podem transmitir. - A proteçã proteçãoo "CTS "CTS to self" self" causa menos overhead, porém é importante lembrar que a proteção só funcionará para os dispositivos que receberem receberem o frame CTS do AP. AP.
“CTS to self” ou RTS/CTS • Se houver duas ou mais estações “escondidas” a proteção "CTS to self" não terá efeito,frames porqueCTS elaspara não as serão capazes de enviar outras estaçõ est ações es - neste neste caso caso as as estaç estações ões deve devem m utilizar a proteção RTS/CTS para que as outras estação não transmitam quando receber receberem em frames CTS enviados en viados pelo AP. AP . • Você deve optar por utilizar somente um
titipo po de pro prote teçã çãoo.
HW-fragmentation-threshold • É o tamanho máximo do fragmento em bytes, transmitido pela mídia sem fio • Este recurso permite que pacotes sejam frag fragm menta entaddos ante antess da tra trans nsm mis issã sãoo sobr sobree o meio sem fiobem parasucedida para aumentar a probabilidade de transmissão • Somente fragmentos que não foram transmitidos corretamente serão retransmitidos. • Envio de pacote fragmentado é menos eficiente que a transmissão de pacotes não fragmentados devido sobrecarga e uso de recursos emàambos lados de - protocolo transmissão e recepção
Adaptive-noise-immunity • Adinamicamente just justaa vári vários os parâ parâme metr tros os do re rece cept ptoor para minimizar interferências e ruídos sobre a qualidade do sinal • Recurso Atheros 5212 proprietário ou superiores presente em Chipsets • Utiliza mais CPU • São - No3neopções: - desabilitad tado - ClientClient-mod modee - é uutili tilizad zadoo so somen mente te no no modo modo station station ou station-wds - Ap-and Ap-and-cl -clien ient-mo t-mode de - Habili Habilitado tado em qualqu qualquer er modo modo (ponto-a-ponto ou ponto-multi-ponto).
Wireless Configuration reset
A
. P P R C C
.
Wireless MultiMedia (WMM) • São São 4 fil filas as de tran transm smis issõ sões es com com pr prio ioririda dade des: s: •• • •
10,,23 -– bbaecsktgerfofourntd 4,5 - video 6,7 - voice
• Prioridades podem ser setadas por: • Bridge ou IP firewall • Ingress (VLAN ou WMM)
• DSCP
WMM e Prop. Extensions •
WMM Support: QoS no meio
físico(802.11e) -
enabled: permite que o outro dispositivo
use wmm -
required: requer que o outro dispositivo
use wmm -
•
disabled: desabilita a função wmm
Proprietary Extensions: Opção com
a única finalidade de dar compatibilidade com chipsets
Centrino.
Access/Connect Lists • Access List é o filtro filtro de autenticaç autenticação ão do AP • Connect List é o filtro de autenticação do cliente • As entradas nesta lista são ordenadas, assim como no firewall, cada requisição de autenticação terá que passar desde a primeira entrada até a que atenda suas necessidades. • Pode existir várias entradas para o mesmo endereço MAC e uma única entrada para os demais endereços MAC. • Cada registro pode ser especificado especificado para cada
cartão ou para qualquer cartão do rroteador oteador..
Gerenciamento de Acesso • default-for default-forward warding ing ((no no AP) - Define se os clientes conectados ao mesmo cartão podem ter conectividade direta. • default-aut default-authent henticatio icationn - No caso do AP define se qualquer cliente cliente pode conectar ao AP ou somente os que estiverem na access list. No caso da station o que estiver na connect list. list ou • Sempre uma oaccess connectque listhouver , prevalece que estiver nessas
listas.
Access List • Podemos especificar uma política de de sinal. autenticação para uma range de nível • Exemplo: permitir somente conexões de clientes com bom nível de sinal • Podemos especificar uma política de autenticação para um determinado período. •comercial Exemplo: permitir somente conexões no horário
• Podemos especificar uma política de autenticação conforme o perfilcliente de segurança: • Exemplo: permitir que “aquele” se conecte ao
AP somente com a senha escolhida para ele.
Wireless Access List
Wireless Connect List • Permite ou nega conexão ao AP baseado em: • SSID • MAC address do AP • Prefixo de Area Area do AP • Range de níve de sinal
Security Profile • É •possível priorizar conexão a um AP em relação ao outro somente trocando a ordem de entrada
na lista. • A Connect list em redes WDS, quando você quer
priorizar conexão com um determinado AP
LAB – Connect Li List
Coloque seu equipamento para se conectar ao AP teste encontrado com SSID =ou parar e caso de funcionar esse SSID seunão equipamento for deve se conectar ao AP com SSID – MTCWE
Scan List
A Scan Scan Li List st é ut utililiz izad adaa some soment ntee para para va varr rred edur uraa de cana canais is,, ness nessee caso caso el elaa nunc nuncaa será será uti utilizada ada em um di dissposi posittivo que este steja funci uncion onaando ndo no modo odo AP, a não não ser que o di disp spos osititiv ivoo este esteja ja ut utililiz izan ando do algu alguma ma ferr ferram amen enta ta de SCAN SCAN..
Frequê Freq uênc ncia iass padr padrão ão da list listaa de veri verififica caçã çãoo serã serãoo most mostra rada dass em negr negrititoo no cam campo de freqü freqüênc ência ia (Som (Soment entee no Winbo Winbox) x)..
Val alor ores es padr padrão ão do scan scan-l -lis istt serã serãoo mo most stra rado doss quan quando do o país país in indi dica cado do for for o “de “defa faul ult” t”.. Utilizand Utili zando o a scanscan-listc listc “default” “default” Utilizando Utiliz ando a scan-list scan-list separada separada por hífen Utilizando Utiliz ando a scan-list scan-list com frequênc frequência ia especifica especifica
A conf config igur uraç ação ão da imag imagem em acim acimaa pode poderi riaa ser ser feit feitaa vi viaa term termin inal al usan usando do o segu seguin inte te comando: /interface wireless set 0 scan-list=default,2482-2497,2477
Segurança de Acesso sem fio em redes
Segurança na Wireless • Autenticações - PSK
- EAP
• Encriptações -- A EISP TK - WEP
• Segurança por EAP RADIUS
Falsa segurança • Nome da rede escondido: - Pontos Pon tos de dfazem e acess acesso sem fio por padrão o obroadcast de seu SSID nos pacotes chamados “beacons”. Este comportamento pode ser modificado no Mikrotik habilitando a opção “Hide SSID”.
• Pontos - SSID SSID negativos: deve deve ser ser conhec conhecido ido ppelo eloss clientes
- Scanne Scanners rspelos passi passivos vos o desc descobr em facilmente pacotes deobrem “probe request” dos clientes.
Falsa segurança •
Controle de MACs: -
Descobrir MACs que trafegam no ar é
muito simplese com ferramentas apropriadas inclusive o Mikrotik como sniffer. Spoofar um MAC é bem simples. Tanto usando windows, linux ou Mikrotik. -
Falsa segurança • Criptografia WEP: - “Wir “Wired ed Equ Equiv ival alen entt Priva Privacy cy”” - Foi Foi o siste sistema ma de de criptografia inicialmente especificado no padrão 802.111 e está 802.1 está baseado no compartilhamento de um segredo entre o ponto de acesso e os clientes, usando um algoritmo RC4 para a criptografia. - Várias Várias fragilidades fragilidades da WEP foram reveladas reveladas ao lon longo go do tempo e publicadas na internet, existindo várias ferramentas Airodump para quebrar a chave, como: Airreplay Aircrack
• Hoje com essas ferramentas é bem simples quebrar a WEP.
WEP (obsoleto)
Fundamentos de Segurança Privacidade As informações não podem ser legíveis para terceiros. Integridade As informações não podem ser alteradas quando em transito. Autenticação AP Cliente: O AP tem que garantir que o cliente
éClquem ser. iente diz A P: O cliente tem que se certificar que está conectando no AP correto. Um AP falso
possibilita o chamado ataque do “homem do meio”.
Privacidade e Integridade Tanto a privacidade como a integridade s são ão garantidos por técnicas de criptografia.
O algoritmo de criptografia de dados em WPA é omais RC4, porémque implementado de uma bem segura na WEP WEP.. E nna a WPA2 WP A2forma utilizautiliza-se se o AES. Para a integridade dos dados WPA usa TKIP(Algoritmo de Hashing “Michael”) e WP WPA2 A2 usa CCM(Cipher Check - CBCChaining - MAC) Message Authentication
TKIP Temporal Key Integrity Protocol é o •protocolo de segurança usado em redes wireless do tipo IEEE 802.11 • TKIP é a evolução da WEP e ambas são baseadas no algoritmo RC4 • Ao contrário da WEP a TKIP fornece
• Mistura de chave por pacote, • Men Mensag sagem em de verif verifica icaçã çãoo de inte integri grida dade de,,
Mecanismo de re criação de chave
AES-CCM • AES - Advanced Encryption Standard é um codificador em bloco que funciona com um bloco 128 umatamanho chave dede128, 192fixo oude 256 bitsbits e
Unicast/Group Cipher O
AP .
Para tráfego unicast Para tráfego tráfego multicast multicast e broa broadcas dcas
Chave WP WPA e WPA2 WPA2 - PSK • A configuração da chave WPA/WAP2-PSK é muito simples no Mikrotik. • Configure o modo de chave dinâmico e a chave précombinada para cada tipo de autenticação. Obs.: As chaves são alfanuméricas de 8 até 64 caracteres.
Segurança de WPA / WPA2 • Atualmente a única maneira conhecida para quebrar a WPA-PSK é somente por ataque dese dicionário. • Como a chave mestra PMK combina uma contra-senha com o SSID, escolhendo palavras fortes torna o sucesso de força bruta praticamente impossível. • A maior fragilidade fragilidade paras os WISP’s é que a chave se encontra em texto plano nos computadores dos clientes ou no próprio
Mikrotik.
Conf Co nfig igur uran ando do E EAP AP-T -TLS LS - Se Sem m Certificados C EAPTLS W .
Segurança de EAP-TLS sem certificados • O resultado da negociação anônima resulta em uma chavedas PMK quepartes. é de conhecimento exclusivo duas Depois disso toda a comunicação é criptografada criptografada por AES(WP AES(WPA2) A2) e o RC4(WPA). • Seria um método muito seguro se não houvesse a possibilidade de um atacante colocar um Mikrotiknormalmente chave com a mesma como configuração se fosse um e negociar cliente. a • Uma idéia para utilizar essa essa configuração de forma segura criando um túnel criptografado PPtP ou L2TPéentre os equipamentos depois de
fechado o enlace.
Trabalhando com certificados certificados •identifica Certificado digital inequívoca é um arquivo que de forma o seu proprietário. • Certificados são criados por instituições emissoras chamadas de CA (Certificate Authorities). • Os certificados podem ser: - Assina Assinados dos por por uma instit instituição uição “acredi “acreditada” tada” (Verisign, Thawte, etc...) - Certif Certifica icados dos autoauto-ass assina inados dos..
Passos para implementação de EAP-TLS com certificados auto Assinados 1. Crie a entidade certificadora(CA) 2. Crie as requisições de Certificados 3. Assinar as requisições na CA 4. Importar os certificados assinados para os Mikrotiks 5. Se necessário, criar os certificados para
máquinas windows
EAP-TLS sem Radius em ambos lados •
O método EAPTLS também pode ser usado com certificados.
EAP-TLS sem Radius em ambos lados • Métodos TLS dont verify certificate: Requer um
certificado, porém não verifica.
no certificates: Certificados são
negociados dinamicamente com o algoritmo de Diffie Hellman. verify certificate: Requer um certificadopor e verifica se foi assinado uma CA.
WPAx com radius
EAP-TLS com certificado ransport ort Laye Layerr Secur Security ity)) • EAP-TLS (EAP - Transp
- O Mikrotik Mikrotik supo suporta rta EAP-TLS EAP-TLS tanto tanto como ccliente liente como AP e ainda repassa esse método para um Servidor Radius. - Prover maior nível de de segurança segurança e necessita necessita de certificados em ambos lados(cliente e servidor). - O passo a passo completo completo para para configurar configurar um servidor servidor Radius pode ser encontrado em:
EAP-TLS com Radius em ambos lados • A cliente configuração do é bem da parte simples. - Sele Seleci cion onee o métod métodoo EAP-TLS - Certi Certifiq fique ue-s -see qu quee os certificados instalados eestão assinados pela CA. -segurança Associ Associee o annovo ovo perfil perfil de de interface
wireless correspondente.
EAP-TLS com Radius em ambos lados •método No ladoEAP do AP selecione o “passthrough”. • Selecione o certificado correspondente. O.: V NTP . C , .
Segurança de EAP-TLS com Radius • Sem dúvida este é o método mais seguro seguro que podemos obter . Entretanto exist existee fragilidade: um ponto que podemos obter. levantar como possível
P P
- Se um atacante atacante tem acesso físico ao lin linkk entre o AP e opara Radius ele pode tentar um ataque de força bruta descobrir a PMK.
- Uma forma forma de de proteger proteger este este trecho trecho é usando um um túnel L2TP.
Resumo dos métodos de implantação e seus problemas. WPA-PSK Chaves presentes nos clientes e acessíveis aos operadores. Método sem certificados Passível de invasão por equipamento que também opere nesse modo.
Problemas com processador. Mikrotik com Mikrotik com EAP-TLS
Método seguro porém inviável economicamente implantação praticamente impossível em redes e de
existentes.
Resumo dos métodos de implantação e seus problemas. Mikrotik com Radius EAP-TLS e EAP-PEAP: Sujeito ao ataque do “homematuais. do meio” e pouco disponível em equipamentos
EPA-TLS Método seguro, porém também não
disponível dos equipamentos. Em placas na PCImaioria é possível implementá-lo.
Método alternativo com Mikrotik •
A partir da versão 3 o Mikrotik oferece a possibilidade possibi lidade de distribuir uma chave WPA2 WPA2 PSK por cliente. Essa Essa chave é configurada na Access List do AP e é vinc vinculada ulada ao MAC Address do cliente, possibilitando que cada um tenha sua chave.
O.: C PSK , M.
Método alternativo com Mikrotik • Por outro lado, o Mikrotik permite essas chaves sejam distribuídas porque Radius, o que torna esse método muito interessante. • Para isso necessário: - Cri Criar ar um épperf erfil il no no mo modo do NON NONE; E; - Hab Habilit ilitar ar a autenti autenticaç cação ão vi viaa MAC no AP AP;; - Ter a mesma chave chave configu configurada rada tanto no
cliente como no Radius.
RADIUS MAC Authentication
Método alternativo com Mikrotik
RADIUS MAC Authentication • Opção de autenticação remota através de um servidor RADIUS • É possível utilizar este recurso recurso para autenticar e desautenticar um cliente cliente em um um determinado AP • MAC mode mode - usernam usernamee ou usern username ame and password • MAC Caching Caching Time - quanto tempo a resposta resposta de autenticação RADIUS para autenticação de endereços MAC, se considerados válidos para o
cache
Configurando o cliente RADIUS • Crie um cliente RADIUS no menu ‘Radius’ • Especifique o serviço, endereço IP do servidor RADIUS e senha • A aba St Status atus mostra os andamento das requisições.
Segurança na Wireless • Estabeleça um link entre você e seu parceiro: •segurança Escolhamaeutilizar. combinem entre si um perfil de
• Utilizem a access list para testar testar o método wpa-psk com senhas individuais.
D / A O
?
P ? C ? T F. C WPA/WPA2
?
M . C ?
O ? P
. A = A D = D
E
.
P ? U
,
: A SSID . C WPA/WPA2
. G ARP ARP.. O / .
O
DS (D ) .
.
C ? P
AP (A P) S (). C
A
A
T M
C
D
A . A
CE 2
C
A
CE 1
N
AP.
A . A
CE 2
C
A
CE 1
N
AP .
C WPA/WPA2 ?
A
, NO.
C D
D
C
M
O ?
C
M
N
C ? P
.
N MT
M P.
Management Frame Protection • RouterOS implementa uma chave de gerenciamento de proteção de frame. • Dispositivos wireless RouterOS verificar a veracidade da origempodem do frame e confirmar se este frame particular é malicioso ou não. • Isso previne o atacante de lançar o típico
ataque de desautenticação.
Management Protection Settings • Configurada nosabi perfil segurança - disabled - desa de bililita ta ode rec recur urso so - allowed - habilita habilita o recurso recurso caso o outro outro lado lado su suporte porte •• Para Par - permite perm ite ambos ambos metodos metodos recurso recurso Paraa oo AP clienteclienteconecta em em APs com -oucom sem semouosem método método - required - estabel estabelece ece conexõ conexões es com disp disposi ositiv tivos os
remotos somente se eles suportarem o método
• Para o AP - aceita somente somente cliente cliente que suportam o método • Para o client client - conecta somente somente em APs que suportam suportam o método.
Bridge Wireless Transparente • Colocar em bridge clientes Ethernets usando WDS • Utilizar AP Bridge e Station WDS • Modo Pseudobridge com ou sem MAC Cloning • Colocar em bridge clientes Wireless
usando WDS
ColocandoEthernet em bridge clientes
Link AP-Station WDS
Station-WDS Selecione o modo station-wds W D S a st s t a t i o n seta este modo desabilitado O modo StationWDS pode ser
colocado em bridge
Clientes Wireless em Bridge
Bridge Transpar Transparente ente • Crie uma bridge entre você e seu vizinho • Teste os 3 métodos - WDS - Mo Modo do Pseu Pseudo dobr brid idge ge - Mo Modo do Pse Pseudo udobr bridg idgee clo clone ne
• Cheque a comunicação entre os notebooks atrás dos roteadores.
Bridge transparente em enlaces N nãonão suporta de frame frames e• WDS portanto provêagregação a velocidade total s da tecnologia “n” • EoIP incremente overhead • Para fazer bridge transparente com
velocidades maiores com menos overhead em enlaces “n” devemos utilizar MPLS/VPLS.
Bridge transparente em enlaces N •
Para se configurar a bridge transparente em enlaces “n”, devemos estabelecer um link AP Station e configure uma rede ponto a ponto /30. -
-
-
Ex.: 192.168.X.Y/30(AP) e 192.168.X.Y/30(Station) Habilitar o LDP (Label Distribution Protocol) em ambos lados. Adicionar a wlan1 a interface MPLS
Bridge transparente em enlaces N •
•
•
Configurar o túnel VPLS em ambos os lados Crie uma bridge entre a interface VPLS e a ethernet conectada Confira o status do LDP e do túnel VPLS
Brid Br idge gess VPLS VPLS - Cons Consid ider eraç açõe õess
• O túnel VPLS incrementa o pacote. Se este pacote excede MPLS MTU da interface de saída, este seráo fragmentado. • Se1522 de a interface ou superior, ethernet a fragmentação suportar MPLS pode MTU ser evitada alterando o MTU da interface MPLS. • Uma lista completa sobre as MTU das
RouterBoards pode ser encontrada em: http://wiki.mikrotik.com/wiki/M http://wiki.m ikrotik.com/wiki/Manual:Maximum_T anual:Maximum_Transmission_Unit_on_RouterBoards ransmission_Unit_on_RouterBoards
Setup Outdoor para enlaces “N” • Recomendações segundo a Mikrotik: - Teste de canal separad separadamen amente te ante antess de usá-los ao mesmo tempo. - Par Paraa op opera eração ção em 2 canais, canais, usar polarizações diferentes
- Qua Quando ndoa uutil tilizar izarão anten antenas as derecomendada polari polarizaç zação ão da dupla, isolaç isolação mínima antena é de 25dB.
Data Rates •
A velocidade em uma rede wireless é definida pela modulação que os dispositivos conseguem trabalhar. Supported Rates: São as
velocidades de dados entre o AP e os clientes. Basic Rates: São as velocidades
que os dispositivos se comunicam independentemente do tráfego de dados (beacons, sincronismos, etc...)
Opções de mudança nos Data rates
dimi di Baix Ba minu ixar nui ar ioomai mnúme nú aior mero or sroup uppo de port flflap rted aps. eds.da data ta rate ratess em em cl cliiente entess co com m prob probllem emaa de si sina nal,l,
Baixar Baix ar o maio maiorr su supp ppor orte tedd data data rat rates es no no AP, AP, ca caso so a ma maio ioririaa dos dos cl clie ient ntes es estmtej es eja ami accoampa pr pro bl bleedm pr onpo ecta r em vel elo ocaidsad ades stabi ubil pe per res es, dim di inu nui pac coida dad e as da pra céalula ulcaonec por rtar ém au aume ment nta uaes es esta lirdioade. ad e.,
Nã Não o eénrrec des abil ar to data ra bnaix os, d. eixxan ando do so m teecom somen os enda altdado osdo , pode isspab odilit eitar octodo ordos rers dos iveda rsta as rate detes sscobai exxos õe,sdei
Observe qquue tanto o AP ccoomo o C Clliente devem suportar os mesmos
Basicc rate Basi ratess para para que o llink ink wireles wirelesss sej sejaa esta estabele belecid cido. o.
Data rates • Configu Configure re o AP ppara ara pe permi rmitir tir data data rates rates de atéé 24Mb at 24Mbps ps e tes teste te o máx máxim imoo thro throug ughp hput ut • Configure o AP para permitir somente 54Mbps e teste o máximo throughput e a estabilidade da conexão.
Recu Re curs rsos os do 80 802. 2.111n
Altoss da Alto data ta rate ratess - até 300M 00Mbps bps Supo Su port rtee para para ca cana nais is de 20Mh 20Mhzz e 2x20 2x20Mh Mhzz
Funciona em 2.4 e 5ghz Usa múltiplas antenas pra receber e transmitir
Agre Ag rega gaçã çãoo de Fra Frame mess
MIMO
MIMO: M I M O
Múltltip Mú ipla lass stre streaams espa espaci ciaais atra atravé véss de mú múltltip ipla lass anten ntenaas.
Conf Co nfig igur uraç ação ão de múlt múltip ipla lass an ante tena nass pa para ra rece recebe berr e tr tran ansm smititirir..
802.11 V
N card Data Rates
Chan Ch anne nell bbon ondi ding ng - 2x 2x20 20Mh Mhzz • Adiciona um canal de 20Mhz ao canal existente • Adicionado acima ou abaixo do canal principal •20M Compatível com clientes “legados” 20Mhz hz - conexã conexão o feita fei ta atrav através és do do canal cande al principal
• Permite utilizar altos data rates
Agregação de Frames • Combinando múltiplos frames de dados em um únicoo frame únic frame - o que dim diminui inui o overhe overhead ad • Aggregation of MAC Service Data Units (AMSDU) • Aggregation of MAC Protocol Data Units (AMPDU) - Utiliza Utiliza Reco Reconhe nhecim cimento ento em Bloco Bloco - Pode aumentar aumentar a latência, latência, por padrão padrão é habilitado habilitado somente para tráfego de melhor esforço
- Envio e recebimento recebimento de AMSDUs AMSDUs incrementa incrementa o uso uso de CPU
Configuração do cartão Wireless
Configuração do cartão Wireless • ht-rxch ht-rxchain ains/h s/ht-t t-txch xchain ainss - qua quall conecto conectorr do cartão será usado para transmitir e receber • ht-amsd ht-amsdu-l u-limi imitt - máxim máximoo AMSDU AMSDU que que o dispositivo pode preparar •frame ht-amsdu ht-am sdu-th -thres reshol d -inserido máx máxim imoono tam tamanh anhoo de permitido ahold ser A AMSDU MSDU
Configuração do cartão Wireless • ht-guard-in ht-guard-interv terval al - permitir permitir utilizar utilizar um int intervalo ervalo de guarda curto •deht-extensi ht-ex tension-c on-channe hannell - permit permitirir utilizar utilizar o canal 20MHz adicional • ht-ampdu-p ht-ampdu-priori riorities ties - prioridade prioridadess do frame frame para cada AMPDU
TX-power para cartões N • Quando se usa dois canais ao mesmo tempo o tx-power é incrementado em 3db - veja veja a co colu luna na to tota tal-ltx-powerse usa três • Quando canais ao mesmo
tempo o tx-power é incrementado em 5db
802.11AC
802.11AC
Wireless WDS and MESH
WDS and MESH • Modos WDS: - Dynam amiic WD WDS - Static WDS
• RSTP Bridge • HWMP+ MESH - Modo odo R Rea eact ctiv ivee
-- Mo Modo Proa oact ctiv ivee Pordo taisPr
WDS WD S - Wire Wirele less ss D Dis istr trib ibut utio ion n System • WDS permite criar uma grande cobertura wireless personalizada usando vários APs. um O que com AP seria impossível fazer apenas • WDS permite que os pacotes passem de um AP para outro, como se os APs fossem portas de um switch Ethernet
• Os APs devem mesma banda,canal. mesmo SSID eusar operar no mesmo
Wireless Distribution System • O AP (modo bridge/ap-bridge) bridge/ap-bridge) pode criar links WDS com: • Outro AP em modo bridge/ap-bridge • Outro AP em modo wds-slave • Um Cliente em modo station-wds
• Você Você deve desabilitar o DFS caso você te tenha nha mais de um AP em modo bridge/ap-bridge e sua rede WDS
•fabrica fabricament A implementação mentee para para fabrica fdo abricament WDS mente pode e - portanto portan diferenciar to pode de ser que não aja compatibilidade WDS entre diferentes fabricantes.
Configuração do WDS • Existem 4 modos de operação do WDS
• Dynami Dynamicc - as interf interface acess WDS sã sãoo criadas criadas automaticamente conforme se conecta a outro dispositivo compatível • Static Static – as iterfaces iterfaces WDS devem devem ser ser criadas criadas manualmente • Dynamic-m Dynamic-mesh esh - o mesmo mesmo que o modo modo dinâmico, dinâmico, porém com suporte HWMP+ (proprietário Mikrotik e não compatível com outros fabricantes.)
• Static-mes Static-meshh - mesmo que o modo estático estático,, porém porém com suporte HWMP+ (proprietário Mikrotik e não compatível com outros fabricantes.)
Configuração WDS • WDS custoDefault padrão Cost das portas da bridge para links WDSCost Range • WDS margem de custo ajustável throughputconforme o • WDS Ignore SSID - se
deve se conectar outros AP WDSaqu quee estiverem no mesmo canal
Dynamic WDS • Criada por demanda, irá adicionar a interface WDS no menu interfaces com a “flag” (D).um link WDS cai, os endereços IP • Quando a ele associado irão ficar inativos e as portas da bridge serão removidas. • Especifique o parâmetro “wds-default-
bridge” e bridge interface atribuapara o endereço resolverIPeste a esta problema.
Static WDS Interface • Exige que você especifique manualmente o endereço MAC do destinatário e a interface ao qual será feita a conexão. • Interfaces WDS nunca desaparecem, a não ser que você remova ou desabilite-as •O parâmetro WDS-default-bridge deve ser alterado para “none”
Interface Static WDS
Link WDS Point-to-point
Single Band Mesh
Dual Band Mesh
WDS Mesh e Bridge • WDS Mesh não é possível sem uso de bridge • Para criar o WDS mesh todas interfaces WDS do roteador devem ser colocadas na mesma bridge, inclusive todas interfaces que os clientes estejam conectados •necessário Para evitaro possíveis loops Spanning na rede WDS uso do (Rapid) Tree Treeé Protocol ((R)STP)
• RSTP funciona mais rápido com mudanças de topologia do que o STP, porém ambos tem mesma funcionalidade.
(Rapid) Spanning Tree Protocol •address (R (R)S )STP TPser eli elimi mina na por a pposs ossibi ibilid lidad ade e do mesm me o MAC MAC visto múltiplas portas dasmo mesma bridge desabilitando portas secundárias para este MAC address
• Primeiramente o (R)STP elege a bridge root baseado na bridge ID • Em seguida o (R)STP usa o algoritmo de breadthfirst search tomando a root bridge com ponto de partida
• Se o algoritmo encontra o MAC address pela primeira vez tornará o link ativo • Se o algoritmo encontra o MAC address pela segunda vez tornará o link inativo
(R)STP em ação
Topologia (R)STP
Estado das porta na bridge (R)STP • Disabled po port - para po portas em loop • Roo Roott ppor ortt - ca cami minh nhoo para para a roo roott bri bridg dgee • Alte Altern rnat ativ ivee ppor ortt - back backup up da root root (só (só exis existe te no RSTP) • Des Desig igna nate tedd port port - port portaa ativ ativaa de pass passag agem em • Backu Backupp port port - backup backup da da desig designat nated ed port port
(só existe no RSTP)
Admin MAC Address
• A Bridge usa o endereço endereço MAC da po porta rta ativa com menor número de porta. • A porta wireless está ativa somente quando existem hosts
conectados a ela. • Para evitar que ooss MACs fiquem variando, é possível atribuir um MAC manualmente.
Configuração das portas RSTP • Cos Costt - pe perm rmititee priorizar um caminho • Pri Prior ority ity - caso caso o custo custo empate, a prioridade irá determinar o caminho • Hori Horizo zonn - re recu curs rsoo utilizado pelo MPLS
• Não pacote encaminha para as portas o com mesmo rótulo
Configuração de portas RSTP • Existem 3 opções para otimizar o desempenho do protocolo RSTP: • Edge port - indic indicaa se est estaa port portaa eestá stá conectada a outras bridges • Point-to-point - ind indica ica que esta esta port portaa esta esta conectada a somente um dispositivo de rede (WDS, wireless em modo bridge)
External-fdb - permite o uso da tabela de •re regi gist stro ro,, em em ve vezz da base base de dado dadoss ddee enca en cami minh nham amen ento to (s (som omen ente te no AP) AP)
Roteamento Layer-2 para redes Mesh • MikroTik MikroTik oferece oferece uma uma alternativ alternativaa ao RSTP RSTP - o HWMP+ •em HWMP+ um protocolo Mikrotik de roteamento Layer-2é para rede wireless mesh • O protocolo HWMP+ por ser proprietário não tem compatibilidade com outros dispositivos wireless IEEE 802.11s
• HWMP+ funciona somente com: • wds-mode=static-mesh • wds-mode=dynamic-mesh
HWMP+ •o Para HWMP+ deve usar menuconfigurar menu “/inter “/interfac faceeo mesh” mes h” - a você config configura uração ção é bem similar a da bridge. • HWMP+ prover um roteamento otimizado baseado na métrica dos links •estaticamente Para links Ethernet a métrica é configurada • Para links WDS a métrica é atualizada atualizada
dinamicamente dependendo do nível de sinal e qualidade do link
MikroTik Nstreme • Nstreme é um protocolo wireless com proprietário MikroTik (incompatível outros fabricantes) criado para melhorar o desempenho de links wireless ponto-aponto e ponto-multiponto.
Protocolo Nstreme • Benefícios do protocolo Nstreme: • Client polling • Disable CSMA • A distância do link não afeta o protocolo • Pequeno overhead por frame o que permite atingir altos data rates
Protocolo Nstreme: Frames • framerframer-lim limitit - tam tamanh anhoo máximo máximo do fr frame ame • framerframer-po policy licy - mét método odo ppara ara co combi mbinar nar os frames. Existem 4 modos: • none none - não combin combinaa pacote pacotess • best-fit best-fit - preenche preenche o frame frame com com a quantidade quantidade máxima de pacotes, até atingir o limite estabelecido, sem fragmentar • exact-si exact-size ze - preenche preenche o frame frame com com a quantidade quantidade
máxima de pacotes mesmo que seja necessário fragmentar o último pacote • dynamicdynamic-size size - seleciona seleciona o melhor melhor tamanho tamanho de frame frame dinamicamente.
Nstreme Lab • Estabeleça um link com seu vizinho e teste o troughput • Em seguida habilite o Nstreme e teste novamente utilizando diferentes políticas de agrupamento de frames.
Nstreme Dual Protocol • Protocolo Wireless proprietário MikroTik (não compatível com outros fabricantes) que funciona com pares de de cartões cartões (somente (somente chipsets chipsets Ather Atheros) os) - um para transmitir e outro para receber
Interface Nstreme Dual • Coloque cartões em ambos modo “nstreme_dual_slave” • Crie a interface Nstreme dual • Especifique o remote MAC add addre ress ss - O MAC address da dual interface nstreme da outra ponta
•deSelecione uma política frame caso queira
NV2 P M ( • ). B TDMA (T D M A). R . . •• R M PMP. PMP. • M
F F NV2 • D D 802.11 , NV2 AP ( AP ).
• E N NV2 V2 AP (T). • E (T) D U , ,
View more...
Comments
