ККС Часть1

стандарт предусматривает квадратурную фазовую манипуляцию – QPSK. На длительности символа сообщения в этом случае передаются два бита. Для этого необходимо уже не два, а четыре различных сигнала. Поэтому вместе с основным несущим колебанием используется дополнительное, сдвинутое относительно него по фазе на 90°. Фаза каждого из этих колебаний управляется прямой или инверсной последовательностью Баркера, и оба колебания складываются. Таким образом, на длительности символа сигнал имеет четыре степени свободы, позволяющие передавать два бита. При этом скорость передачи увеличивается вдвое при сохранении той же полосы частот, что и при двоичной передаче.

Для инфракрасного канала (Infrared PHY) стандарт предусматривает скорость 1 Мбит/с (факультативно 2 Мбит/с) с импульсно–позиционной модуляцией. Большого интереса этот тип канала не представляет, поскольку дальность передачи, предусмотренная стандартом, не превышает 20 м.

Метод частотных скачков, так же как и описанный выше метод прямой последовательности, обеспечивает конфиденциальность и некоторую помехозащищенность передач. Помехозащищенность обеспечивается тем, что если на каком-нибудь из 79 подканалов передаваемый пакет не смог быть принят, то приемник сообщает об этом, и передача этого пакета повторяется на одном из следующих подканалов.

С другой стороны, поскольку при использовании метода частотных скачков, в отличие от метода прямой последовательности, на каждом подканале передача ведется на достаточно большой мощности (сравнимой с мощностью обычных узкополосных передатчиков), про этот метод нельзя сказать, что он не мешает другим видам передач.

Суммируя, мы можем выделить следующие свойства Spread Spectrum технологии:

Помехозащищенность (избыточность кодирования помехоустойчивость).

Не создаются помехи другим устройствам (низкая мощность сигнала – низкий уровень помех).

102

Конфиденциальность передач.

Экономичность при массовом производстве (Низкая мощность сигнала – дешевые высокочастотные компоненты оборудования).

Шумоподобный сигнал – компактные антенны и возможность работы в диапазоне, уже занятом «классическими» системами радиопередач без

взаимных помех Под беспроводные компьютерные сети в диапазоне 2,4 ГГц отведен до-

вольно узкий "коридор" шириной 83 МГц, разделенный на 14 каналов. Для исключения взаимных помех между каналами необходимо, чтобы их полосы отстояли друг от друга на 25 МГц. Несложный подсчет показывает, что в одной зоне одновременно могут использоваться только три канала. В таких условиях невозможно решить проблему отстройки от помех автоматическим изменением частоты, вот почему в беспроводных локальных сетях используется кодирование с высокой избыточностью. В ситуации, когда и эта мера не позволяет обеспечить заданную достоверность передачи, скорость с максимального значения 11 Мбит/с последовательно снижается до одного из следующих фиксированных значений: 5,5; 2; 1 Мбит/с. Снижение скорости происходит не только при высоком уровне помех, но и если расстояние между элементами беспроводной сети достаточно велико.

Подобно проводной сети Ethernet, в беспроводных компьютерных сетях Wi-Fi канальный уровень включает в себя подуровни управления логическим соединением (Logical Link Control, LLC) и управления доступом к среде пере-

дачи (Media Access Control, MAC). У Ethernet и IEEE 802.11 один и тот же LLC,

что значительно упрощает объединение проводных и беспроводных сетей. MAC у обоих стандартов имеет много общего, однако есть некоторые тонкие различия, принципиальные для сравнения проводных и беспроводных сетей.

В Ethernet для обеспечения возможности множественного доступа к общей среде передачи (в данном случае кабелю) используется протокол CSMA/CD, обеспечивающий выявление и обработку коллизий (в терминологии

103

компьютерных сетей так называются ситуации, когда несколько устройств пытаются начать передачу одновременно).

В сетях IEEE 802.11 используется полудуплексный режим передачи, т.е. в каждый момент времени станция может либо принимать, либо передавать информацию, поэтому обнаружить коллизию в процессе передачи невозможно. Для IEEE 802.11 был разработан модифицированный вариант протокола

CSMA/CD, получивший название CSMA/CA (Carrier Sense Multiple Access with Collision Avoidance). Работает он следующим образом. Станция, которая собирается передавать информацию, сначала "слушает эфир". Если не обнаружено активности на рабочей частоте, станция сначала ожидает в течение некоторого случайного промежутка времени, потом снова "слушает эфир" и, если среда передачи данных все еще свободна, осуществляет передачу. Наличие случайной задержки необходимо для того, чтобы сеть не зависла, если несколько станций одновременно захотят получить доступ к частоте. Если информационный пакет приходит без искажений, принимающая станция посылает обратно подтверждение. Целостность пакета проверяется методом контрольной суммы. Получив подтверждение, передающая станция считает процесс передачи данного информационного пакета завершенным. Если подтверждение не получено, станция считает, что произошла коллизия, и пакет передается снова через случайный промежуток времени.

Еще одна специфичная для беспроводных сетей проблема – две клиентские станции имеют плохую связь друг с другом, но при этом качество связи каждой из них с точкой доступа хорошее. В таком случае передающая клиентская станция может послать на точку доступа запрос на очистку эфира. Тогда по команде с точки доступа другие клиентские станции прекращают передачу на время "общения" двух точек с плохой связью. Режим принудительной очистки эфира (протокол Request to Send/Clear to Send– RTS/CTS) реализован далеко не во всех моделях оборудования IEEE 802.11 и, если он есть, то включается лишь в крайних случаях.

104

В IEEE 802.11 при передаче потоковых данных применяется централизованное управление с точки доступа. Клиентские станции последовательно опрашиваются на предмет передачи потоковых данных. Если какая-нибудь из станций сообщает, что она будет передавать потоковые данные, точка доступа выделяет ей промежуток времени, в который из всех станций сети будет передавать только она.

Следует отметить, что принудительная очистка эфира снижает эффективность работы беспроводной сети, поскольку связана с передачей дополнительной служебной информации и кратковременными перерывами связи. Кроме этого, в проводных сетях Ethernet при необходимости можно реализовать не только полудуплексный, но и дуплексный вариант передачи, когда коллизия обнаруживается в процессе передачи (это повышает реальную пропускную способность сети). Поэтому, увы, при прочих равных условиях реальная пропускная способность беспроводной сети IEEE 802.11b будет ниже, чем у проводного Ethernet. Таким образом, если сетям Ethernet 10 Мбит/с и IEEE 802.11b с одинаковым числом пользователей давать одинаковую нагрузку, постепенно увеличивая ее, то, начиная с некоторого порога, сеть IEEE 802.11b начнет "тормозить", а Ethernet все еще будет функционировать нормально.

Типы и разновидности соединений.

1. Соединение Ad-Hoc (точка – точка). Все компьютеры оснащены беспроводными картами (клиентами) и соединяются напрямую друг с другом по радиоканалу работающему по стандарту 802.11b и обеспечивающих скорость обмена 11 Mбит/с, чего вполне достаточно для нормальной работы.

2 Инфраструктурное соединение. Все компьютеры оснащены беспроводными картами и подключаются к точке доступа. Которая, в свою очередь, имеет возможность подключения к проводной сети.

Данная модель используется когда необходимо соединить больше двух компьютеров. Сервер с точкой доступа может выполнять роль роутера и самостоятельно распределять интернет-канал.

105

3.Точка доступа, с использованием роутера и модема. Точка доступа включается в роутер, роутер – в модем (эти устройства могут быть объединены

вдва или даже в одно). Теперь на каждом компьютере в зоне действия Wi-Fi , в котором есть адаптер Wi-Fi, будет работать интернет.

4.Клиентская точка.В этом режиме точка доступа работает как клиент и может соединятся с точкой доступа работающей в инфраструктурном режиме. Но к ней можно подключить только один МАС–адрес. Здесь задача состоит в том, чтобы объединить только два компьютера. Два Wi-Fi–адаптера могут работать друг с другом напрямую без центральных антенн.

5.Соединение мост. Компьютеры объединены в проводную сеть. К каждой группе сетей подключены точки доступа, которые соединяются друг с другом по радио каналу. Этот режим предназначен для объединения двух и более проводных сетей. Подключение беспроводных клиентов к точке доступа, работающей в режиме моста невозможно.

6.Репитер. Точка доступа просто расширяет радиус действия другой точки доступа, работающей в инфраструктурном режиме.

Безопасность Wi-Fi сетей. Беспроводные сети отличаются от кабельных только на первых двух – физическом и отчасти канальном – уровнях семиуровневой модели взаимодействия открытых систем. Более высокие уровни реализуются как в проводных сетях, а реальная безопасность сетей обеспечивается именно на этих уровнях. Поэтому разница в безопасности тех и других сетей сводится к разнице в безопасности физического и MAC–уровней.

Для защиты сетей 802.11 предусмотрен комплекс мер безопасности передачи данных. На раннем этапе использования Wi-Fi сетей таковым являлся пароль SSID (Server Set ID) для доступа в локальную сеть, но со временем оказалось, что данная технология не может обеспечить надежную защиту.

Главной же защитой долгое время являлось использование цифровых ключей шифрования потоков данных с помощью функции Wired Equivalent Privacy (WEP). Сами ключи представляют из себя обыкновенные пароли с длиной от 5 до 13 символов ASCII. Данные шифруются ключом с разрядностью от

106

40 до 104 бит. Но это не целый ключ, а только его статическая составляющая. Для усиления защиты применяется так называемый вектор инициализации Initialization Vector (IV), который предназначен для рандомизации дополнительной части ключа, что обеспечивает различные вариации шифра для разных пакетов данных. Данный вектор является 24 - битным. Таким образом, в результате мы получаем общее шифрование с разрядностью от 64 (40+24) до 128 (104+24) бит, в результате при шифровании мы оперируем и постоянными, и случайно подобранными символами.

После 2001 года для проводных и беспроводных сетей был внедрён новый стандарт IEEE 802.1X, который использует вариант динамических 128– разрядных ключей шифрования, то есть периодически изменяющихся во времени. Таким образом, пользователи сети работают сеансами, по завершении которых им присылается новый ключ. Например, Windows XP поддерживает данный стандарт, и по умолчанию время одного сеанса равно 30 минутам. IEEE 802.1X – это новый стандарт, который оказался ключевым для развития индустрии беспроводных сетей в целом. За основу взято исправление недостатков технологий безопасности, применяемых в 802.11, в частности, возможность взлома WEP, зависимость от технологий производителя и т. п. 802.1X позволяет подключать в сеть даже PDA–устройства, что позволяет более выгодно использовать саму идею беспроводной связи. С другой стороны, 802.1X и 802.11 являются совместимыми стандартами. В 802.1X применяется тот же алгоритм, что и в WEP, а именно – RC4, но с некоторыми отличиями. 802.1X базируется на протоколе расширенной аутентификации (EAP), протоколе защиты транс-

портного уровня (TLS) и сервере доступа Remote Access Dial– in User Server.

Протокол защиты транспортного уровня TLS обеспечивает взаимную аутентификацию и целостность передачи данных. Все ключи являются 128– разрядными по умолчанию.

В конце 2003 года был внедрён стандарт Wi-Fi Protected Access(WPA),

который совмещает преимущества динамического обновления ключей IEEE 802.1X с кодированием протокола интеграции временного ключа TKIP, прото-

107

колом расширенной аутентификации (EAP) и технологией проверки целостности сообщений MIC. WPA – это временный стандарт, о котором договорились производители оборудования, пока не вступил в силу IEEE 802.11i. По сути, WPA = 802.1X + EAP + TKIP + MIC, где:

WPA – технология защищённого доступа к беспроводным сетям;

EAP – протокол расширенной аутентификации (Extensible Authentication Protocol);

TKIP – протокол интеграции временного ключа (Temporal Key Integrity Protocol);

MIC – технология проверки целостности сообщений (Message Integrity

Check).

Стандарт TKIP использует автоматически подобранные 128 – битные ключи, которые создаются непредсказуемым способом и общее число вариаций которых достигает 500 миллиардов. Сложная иерархическая система алгоритма подбора ключей и динамическая их замена через каждые 10 Кбайт (10 тыс. передаваемых пакетов) делают систему максимально защищённой.

От внешнего проникновения и изменения информации также обороняет технология проверки целостности сообщений (Message Integrity Check). Достаточно сложный математический алгоритм позволяет сверять отправленные в одной точке и полученные в другой данные. Если замечены изменения и результат сравнения не сходится, такие данные считаются ложными и выбрасываются.

TKIP сейчас не является лучшим в реализации шифрования, поскольку в силу вступают новые алгоритмы, основанные на технологии Advanced Encryption Standard (AES), которая, уже давно используется в VPN.

Помимо этого, параллельно развивается множество самостоятельных стандартов безопасности от различных разработчиков, в частности, в данном направлении преуспевают Intel и Cisco. В 2004 году появляется WPA2, или 802.11i, который, в настоящее время является максимально защищённым.

108

Сегодня беспроводную сеть считают защищенной, если в ней функционируют три основных составляющих системы безопасности: аутентификация пользователя, конфиденциальность и целостность передачи данных. Для получения достаточного уровня безопасности необходимо воспользоваться рядом правил при организации и настройке частной Wi-Fi–сети:

–шифровать данные путем использования различных систем. Максимальный уровень безопасности обеспечит применение VPN;

–использовать протокол 802.1X;

–запретить доступ к настройкам точки доступа с помощью беспроводного подключения;

–управлять доступом клиентов по MAC–адресам;

–запретить трансляцию в эфир идентификатора SSID;

–располагать антенны как можно дальше от окон, внешних стен здания, а также ограничивать мощность радиоизлучения;

–использовать максимально длинные ключи;

–изменять статические ключи и пароли;

–использовать метод WEP–аутентификации “Shared Key" так как клиенту для входа в сеть необходимо будет знать WEP–ключ;

–пользоваться сложным паролем для доступа к настройкам точки доступа;

–по возможности не использовать в беспроводных сетях протокол TCP/IP для организации папок, файлов и принтеров общего доступа. Организация разделяемых ресурсов средствами Net BEUI в данном случае безопаснее;

–не разрешать гостевой доступ к ресурсам общего доступа, использовать длинные сложные пароли;

–не использовать в беспроводной сети DHCP. Вручную распределить статические IP–адреса между легитимными клиентами безопаснее;

109

–на всех ПК внутри беспроводной сети установить файерволлы, не устанавливать точку доступа вне брандмауэра, использовать минимум протоколов внутри WLAN (например, только HTTP и SMTP);

–регулярно исследовать уязвимости сети с помощью специализированных сканеров безопасности (например, Net Stumbler)

–использовать специализированные сетевые операционные системы та-

кие как, WindowsNT, Windows 2003, WindowsXP.

Практическая реализация на примере D–Link DWL–3200AP. Точка доступа DWL–3200AP, является устройством класса SMB (small business – малый бизнес), и может использоваться для построения надежных сегментов беспроводных сетей и беспроводных сетей общего доступа Hot Spot. При необходимости, данное устройство при работе в режиме multi SSID позволит безопасно сегментировать вашу беспроводную сеть на несколько виртуальных сегментов (VLAN). При этом, будет возможность использоваться несколько беспроводных сетей с различными SSID, с различным типом шифрования или без него и все это на базе одного устройства.

Так же устройство поддерживает функции балансирования нагрузки и приоритеты. На базе DWL–3200AP реализован сканер обнаружения беспроводных сетей, работающих рядом. И долгожданная функция Management VLAN, которая позволяет управлять точкой доступа только из определенного VLAN.

Поддержка технологии PoE позволит разместить точку доступа в тех местах, куда нельзя подвести питание 220 Вольт, все необходимое для этого у нее в комплекте.

Для подключения и настройки устройства необходимо выполнить следующие пункты.

1.Настроить сетевую карту компьютера. Необходимо присвоить IP адрес сетевого адаптера той же подсети, в которой находиться точка беспроводная точка доступа

2.Подключиться к точке доступа через Web интерфейс. IP–адрес точки доступа –192.168.0.50. Имя пользователя admin, пароль пустой.

110

3. Загрузиться WEB–интерфейс (рисунок 5.1).

Рисунок 5.1. WEB-интерфейс точки доступа

Слева располагается основное меню с разделами настроек устройства. 1.Раздел Basic Settings. Wireless.

Wireless Band – Стандарт, на котором будет работать точка доступа

(IEEE 802.11b/g).

Mode – Режим работы точки доступа: их всего три.

oРежим WDS with AP –режим беспроводного моста (Bridge) с поддержкой режима точки доступа.

111