H-REAP (Hybrid Remote Edge Access Point)

Átírás

1 Korszerű, biztonságos és menedzselhető vezeték nélküli hálózatok november 12. Kuciński Witold főmérnök

2 Témák IEEE alapfogalmak rövid összefoglaló A WiFi hálózatok biztonsága Cisco Aironet portfolió: eszközök és technológiák Cisco Unified Wireless hálózatok építőkockái és jellemzőik Különleges alkalmazások és technológiák H-REAP (Hybrid Remote Edge Access Point) WiFi helymeghatározás (Location Appliance) Hangátvitel WiFi felett (Voice over WLAN) Wireless Mesh hálózat kül- és beltéri eszközökkel Gyakorlati alkalmazások, esettanulmányok Biztonságos, vezeték-ekvivalens WiFi Menedzselt WiFi vendégfelhasználók HBONE Workshop Mátrafüred, november 12. 2

3 WLAN: alaptétel, röviden Half-duplex átvitel: adás és vétel azonos frekvencián Korlátozott rádiós frekvenciaspektrum: kevés a nem-átlapolódó csatorna Kötelező nyugtázás: minden unicast adatkeret után meg kell várni az ACK-t CSMA/CA: hallgass, mielőtt beszélnél Menedzsment-forgalom: majdnem 50 %-os overhead Késleltés, jitter, csomagvesztés: nem elhanyagolható Biztonság: százféle lehet és mégsincs, passzív lehallgatás ellen nincs védelem HBONE Workshop Mátrafüred, november 12. 3

4 ISM és UNII frekvenciasávok Hangfrekvencia Rövidhullám Középhullám CCIR rádió (FM) UHF televízió GSM (900 MHz) GSM (1.8 GHz) UMTS (2.1 GHz) Infravörös Látható fény Ultraibolya Röntgen Industrial Scientific Medical GHz 83.5 MHz (IEEE b/g) Universal Networking Information Infrastructure GHz 3x100 MHz (IEEE a) HBONE Workshop Mátrafüred, november 12. 4

5 Mikrohullámú digitális rádióátviteli technológiák Frequency Hopping Spread Spectrum (FHSS) or Bluetooth 2.4 GHz Direct Sequence Spread Spectrum (DSSS) b 2.4 GHz Orthogonal Frequency-Division Multiplexing (OFDM) g 2.4 GHz, a 5 GHz, n 2.4 GHz/5 GHz HBONE Workshop Mátrafüred, november 12. 5

6 IEEE b/g: csatorna-kiosztás csatornák átlapolódó csatornák 2412 MHz Channel MHz Channel MHz Channel 11 nem átlapolódó csatornák 11, ill. 13 db, egyénként 22 MHz széleségű rádiós csatorna 3 db nem átlapolódó csatorna (USA: 1, 6, 11 vagy EU: 1, 7, 13) 3 db Access Point lehet ugyanazon a területen, különböző frekvenciákon HBONE Workshop Mátrafüred, november 12. 6

7 IEEE b/g: sebesség és lefedettség 1 Mbps DBPSK Differential Binary Phase Shift Keying 2 Mbps DQPSK Differential Quadrature Phase Shift Keying 5.5 Mbps CCK Complementary Code Keying 11 Mbps CCK Complementary Code Keying 54 (48/36/24/18/12/9/6) Mbps OFDM Orthogonal Frequency-Division Multiplexing HBONE Workshop Mátrafüred, november 12. 7

8 Wireless LAN az épületen belül HBONE Workshop Mátrafüred, november 12. 8

9 IEEE b/g példa: 2D csatorna-kiosztási terv Channel 1 Channel 13 Channel 7 Channel 13 Channel 7 Channel 1 Channel 13 Cella-elrendezés nem átlapolódó csatornákkal HBONE Workshop Mátrafüred, november 12. 9

10 IEEE b példa: 2D lefedettségi (roaming) terv 2 Mbps 2 Mbps 2 Mbps 2 Mbps 2 Mbps 5.5 Mbps 5.5 Mbps 5.5 Mbps 5.5 Mbps 5.5 Mbps 11 Mbps 11 Mbps 11 Mbps 11 Mbps 11 Mbps 11 Mbps 11 Mbps 11 Mbps 11 Mbps 11 Mbps 5.5 Mbps 5.5 Mbps 5.5 Mbps 5.5 Mbps 5.5 Mbps 2 Mbps 2 Mbps 2 Mbps 2 Mbps 2 Mbps HBONE Workshop Mátrafüred, november

11 A WiFi rejtett kliens problémája A B A nagy távolság miatt az A nem hallja a B -t, bár mindketten hallják az AP -t AP B A AP C Az irányított antennák miatt az A nem hallja a B -t, bár mindketten hallják az AP -t HBONE Workshop Mátrafüred, november

12 Épületek közötti WLAN összeköttetés HBONE Workshop Mátrafüred, november

13 EIRP (Effective Isotropic Radiated Power): definíció DCA: Dynamic Channel Assignement TPC: Transmit Power Control Kábelveszteség Cable Loss ( db) Kimenő adóteljesítmény Transmitter Power (+ dbm) EIRP Ethernet LAN Wireless Bridge vagy Access Point Antennanyereség Antenna Gain (+ dbi) A megengedett max. EIRP értékek az ETSI (European Telecommunications Standards Institute) előírása szerint: MHz: b/g - 20 dbm (100 mw ) MHz csak beltérben használható, DCA+TPC: a - 23 dbm (200 mw ) MHz kül- és beltérben használható, DCA+TPC: a - 30 dbm (1 W ) Az EIRP 6 db-es növelése (megnégyszerezése) megduplázza az áthidalható kültéri távolságot HBONE Workshop Mátrafüred, november

14 Vezeték nélküli hálózatok jellemzői összefoglaló (1) A szabványok IEEE b/g: 2.4 GHz, 11, ill. 54 Mbps bitrate, 5, ill. 19 Mbps throughput IEEE a: 5 GHz 54 Mbps bitrate, 23 Mbps throughput IEEE n Draft 5: 2.4 GHz, 5 GHz 300 Mbps bitrate, 98 Mbps throughput Lehallgathatóság és zavarérzékenység Kétféle mikrohullámú katonai rádiós technológia DSSS (egyetlen vivő, szórt spektrumú kódolás: b) OFDM (sok segédvivős, frekvenciaosztásos rendszer: a, g, n; xdsl, DAB, DVB-T, WiMAX...) a frekvenciasávok (ISM GHz, UNII GHz) nem zavarvédettek, nem engedélykötelesek, csak az effektív kisúgárzott teljesítmény- (EIRP-) korlát betartandó eső, hó, madár, rálátás, külső zavaró források (pl. mikrosütő, szomszéd AP) ellen elég jól védekezik nagyon kevés a szabad/nem átlapolódó (non-overlapping) rádiós csatorna (11-13/3, 19/8) megfelelő antennákkal (és utánégetővel ) igen nagy távolságot képes áthidalni: a jelenlegi világcsúcs 382 km! a passzív lehallgatás ellen semmilyen védelmet nem nyújt az aktív csomag-injektálás ellen semmilyen védelmet nem nyújt (kivétel: MFP- CCXv5) HBONE Workshop Mátrafüred, november

15 Vezeték nélküli hálózatok jellemzői összefoglaló (2) a WiFi rádiós interfész half-duplex átvitelt használ (adás és vétel azonos frekvencián) nem CSMA/CD (ütközés-érzékelés), hanem CSMA/CA (ütközés-elkerülés), WiFi hub jelentős overhead (beacon, management, data frames) miatt az effektív sávszélesség kevesebb, mint fele a névlegesnek a menedzsment-forgalom nem titkosított (!), kivéve Cisco MFP WLAN menedzsment-keretek: beacon, probe, (de)authentication, (dis)association, Cisco-féle Management Frame Protection: CCX v5 kliens szükséges a leggyengébb (pl. a legtávolabbi) kliens befolyásolja a többi kliens sávszélességét b fallback: 1, 2, 5.5, 11 Mbps a/g fallback: 6, 9, 12, 18, 24, 36, 48, 54 Mbps a mikrohullámok terjedésével kapcsolatos problémák nem elhanyagolhatóak hullámhossz 12 cm, ill. 5 cm, a látható fényhez hasonlóan terjed Fresnel-zóna a Föld görbülete miatt háttérzaj, visszaverődés, szétszóródás, csillapítás (víz és fém), állóhullám, jelalak-torzulás egy AP max klienst képes kiszolgálni nem lineárisan osztott sávszélességgel HBONE Workshop Mátrafüred, november

16 A hálózatok biztonsága (1) Wardriving és warchalking nehéz ellenálni a kísértésnek ott, ahol százával vehető az ismeretlen AP-k adása elsősorban erőforrás-lopás ( ingyenes Internet ), ritkábban céges forgalom lehallgatása és jogosulatlan hozzáférés a nem titkolt célja SSID (Service Set Identifier) max. 32 karakteres hálózati azonosító Broadcast SSID az alapértelmezett beállítás, gyakran így is marad sebaj Public/Hotspot/Guest üzemmód: az üres SSID-vel mindenki bejöhet MAC-cím szűrés a adatkapcsolati réteg a bevált féle, 48-bites MAC-címzést használja az AP képes szűrni a kliens MAC-címeket egy előre definiált Layer 2 címlista alapján, akár RADIUS kiszolgálón keresztül igen gyenge védelem (csak amatőrök ellen hatásos, a Windows XP-ben a Locally Administered Address mezőbe kell beírni az ismert/lehallgatott MAC-címet) HBONE Workshop Mátrafüred, november

17 A hálózatok biztonsága (2) Authentikáció és asszociáció Open Authentication: nincs hitelesítés, az Access Point mindenkit beenged Shared Authentication: WEP-et használ, nem biztonságos! az asszociációhoz az SSID ismerete kell az SSID Probe kerettel kikényszeríthető az SSID Probe Response válaszkeret NetStumbler ( [ ] It sends out a broadcast probe about once a second, and reports the responses (SSID names). When it is connected to a BSS network, it will attempt to get the name of the access point q VLAN trunking egy SSID egy VLAN hozzárendelés az Aironet Access Point eszközök csak Layer 2 bridge üzemmódban képesek működni a BVI logikai menedzsment interfész csak native VLAN-on keresztül érhető el jellemzően 16 VLAN kisugárzása lehetséges HBONE Workshop Mátrafüred, november

18 A WEP és WPA WEP (Wired Equivalent Privacy) fix kulcsok, elhibázott implementáció csak amatőrök ellen véd, linuxos célszoftverrel (pl. Aircrack, percek alatt feltörhető a vállalati/intézményi környezetben soha ne használjuk! WPA (WiFi Protected Access) RC4 titkosító algoritmus, 128 bites kulccsal, 48 bites inicializáló vektorral Temporal Key Integrity Protocol (TKIP): dinamikus kulcs-menedzsment Message Integrity Code (MIC): a CRC-t helyettesítő kivonat-függvény és keretszámláló a visszajátszás megelőzésére WPA Enterprise: IEEE 802.1x + Extensible Authentication Protocol (EAP) révén történő hitelesítés és kulcsgenerálás RADIUS kiszolgáló segítségével WPA Personal/Home: Preshared Key (PSK) üzemmód az önálló, RADIUS nélküli környezethez: kevésbé biztonságos, szótár alapú támadással feltörhető HBONE Workshop Mátrafüred, november

19 A i szabvány WPA2 (WiFi Protected Access v2) IEEE i AES-alapú CCMP (Cipher Block Chaining Message Authentication Code Protocol) gondoskodik titkosításról a WEP/WPA RC4 helyett a 128-bites AES kizárólag hardveres titkosító áramkörrel működik a régebbi WiFi adapterek nem frissíthetők WPA-ról WPA2-re a HMAC-SHA1 szabványos kivonat-függvény biztosítja a keretek integritását a WPA/MIC helyett négy-utas kézfogás (Four-Way Handshake) a biztonságos kulcsmenedzsmentről gondoskodik a TKIP helyett WPA2 Personal: PSK (Pre-Shared Key) alapú hitelesítés, RADIUS kiszolgáló nélkül WPA2 Enterprise: hitelesítés és kulcsgenerálás RADIUS szerver segítségével WPA x + EAP == Cisco IBNS (Identity Based Networking Services) feltörési módszere jelenleg nem ismert, biztonságos a vállalati/intézményi környezetben csak ezt szabad alkalmazni! HBONE Workshop Mátrafüred, november

20 Cisco Identity Based Networking Services és a WiFi 802.1x port-vezérlés azonos a vezetékes 802.1x-szel (authenticator switch helyett authenticator AP) kliens-szerver architektúra: RADIUS protokoll az AP és az AAA kiszolgáló között a sikeres authentikációt megelőzően adatforgalom nem lehetséges WLAN-specifikus funkció: a RADIUS kiszolgáló egyedi, per-session titkosító kulcsokat generál és küld az AP-nak, amely azokat védetten továbbítja a WLAN-kliensnek a szerver teljesítményét méretezni szükséges, kedveljük a CS ACS Express dobozt EAP (Extensible Authentication Protocol) hitelesítő keretrendszer lásd az összehasonlító táblázatot szeretjük pl. az EAP-TLS implementációt, géptanúsítványokkal színesítve az SSO (Single-Sign On) szép megoldás, de pl. OTP-vel (RSA SecurID) nem működik 802.1x + EAP supplicant Microsoft WZCS (Wireless Zero Configuration Service) PEAP-MSCHAPv2, EAP-TLS Cisco SSC (Secure Services Client, leánykori nevén Meetinghouse Aegis) minden EAP Juniper Odyssey Access Client (leánykori nevén Funk Odyssey) minden EAP HBONE Workshop Mátrafüred, november

21 A népszerű EAP változatok összehasonlítása LEAP EAP-FAST PEAP-GTC PEAP MS-CHAPv2 EAP-TLS Hitelesítő kiszolgáló típusa Active Directory Active Directory, LDAP, OTP szerver OTP (egyszer használatos jelszavak) Active Directory Active Directory, LDAP Kiszolgáló oldali tanúsítvány szükséges Nem Opcionális Igen (SSL) Igen (SSL) Igen (SSL) Kliens oldali tanúsítvány szükséges Nem Opcionális Nem Nem Igen Hitelesítés módja Jelszó Jelszó, OTP token OTP token Jelszó Tanúsítvány (felhasználói és/vagy gépi, chipkártyán is) Windows-belépés Single Sign-On módon Igen Igen Nem Igen Igen Jelszócsere és érvényességi időszak Nem Igen Nem Igen (nincs jelszó) Fast Secure Roaming támogatása CCXv2 CCXv2 CCXv4 CCXv4 CCXv4 Megjegyzés Cisco saját fejlesztése, szótár alapú támadás miatt sérülékeny RFC4851 CS ACS szükséges PAC-problémák nincs géphitelesítés Maximális biztonság, nincs natív Windows támogatás Legkönnyebb implementáció, natív Windows SSO RFC5216 Maximális biztonság, PKI környezet szükséges HBONE Workshop Mátrafüred, november

22 Cisco WiFi megoldások egy kis történelem Aironet, Inc. akvizíció (1999) 799 millió USD, 131 alkalmazott Komplett autonóm (önálló, szuverén AP) WiFi technológia Többféle b Access Point, WiFi bridge, PCMCIA adapter (Intersil PRISM chipset) Radiata, Inc. akvizíció (2000) 295 millió USD, 53 alkalmazott Saját a chipset Airespace, Inc. akvizíció (2005) 450 millió USD, 175 alkalmazott Komplett lightweight ( vékony kliens AP + központi vezérlő) WiFi technológia Többféle lightweight AP, WLAN Controller, Wireless Control System HBONE Workshop Mátrafüred, november

23 Cisco Compatible Extensions (1) CCX v1, v2, v3, v4, v5 de facto ipari szabvány, tkp. az IEEE kiegészítése 120 partnercég (laptop- és WiFi adapter-gyártó) A forgalomban lévő chipset-ek 90%-a CCX-kompatibilis Verziók és tulajdonságok: Gyártók és termékek: HBONE Workshop Mátrafüred, november

24 Cisco Compatible Extensions (2) HBONE Workshop Mátrafüred, november

25 Cisco Aironet abg WLAN adapter CB21AG: PC CardBus adapterkártya PI21AG: PCI adapterkártya Atheros dual-band chipset Beépített dual-band diversity antenna CCXv5 Cisco Site Survey segédprogram L N X H Á L Ó Z A T I N T E G R Á C I Ó S R T. HBONE Workshop Mátrafüred, november

26 Cisco Aironet 1130 Series Access Point Dual Radio: 2.4 GHz és 5 GHz rádiómodul a/b/g kompatibilis Beépített antennák 2.4 GHz: 3.0 dbi omni / 50 5 GHz: 4.5 dbi omni / 40 nem csatlakoztatható hozzá külső antenna! Max. adóteljesítmény b: 50 mw (17 dbm) g: 25 mw (14 dbm) a: 50 mw (17 dbm) In-line / Local Power (12.2W) IOS / LWAP (32 MB RAM / 16 MB Flash) HBONE Workshop Mátrafüred, november

27 Cisco Aironet 1240 Series Access Point Dual Radio: 2.4 GHz és 5 GHz rádiómodul a/b/g kompatibilis Két-két RP-TNC antennacsatlakozó Max. adóteljesítmény b: 50 mw (17 dbm) g: 50 mw (17 dbm) a: 50 mw (17 dbm) Tetszőleges külső antenna csatlakoztatható In-line / Local Power (12.95W) IOS / LWAP (32 MB RAM / 16 MB Flash) HBONE Workshop Mátrafüred, november

28 Cisco Aironet 1250 Series Access Point Dual Radio: 2.4 GHz és 5 GHz rádiómodul a/b/g/n kompatibilis n Draft 2 certified *) Max. 300 Mbps data rate 2x3:2 MIMO, két stream (40 MHz) Három-három RP-TNC antennacsatlakozó 10/100/1000 GE Ethernet port In-line / Local Power (16.9 W > 12.95W Class 3) IOS / LWAP (64 MB RAM / 32 MB Flash) *) n aktualitások Draft 5.0: júliusában elfogadva a szabvány-véglegesítés tervezett időpontja: november HBONE Workshop Mátrafüred, november

29 Cisco Aironet 1300 Series Bridge / AP Kültéri bridge vagy AP 2.4 GHz radiómodul b/g kompatibilis Beépített antenna (13 dbi, 36 ) vagy két RP-TNC antennacsatlakozó Egyedi In-line Power megoldás Tápellátás az Etherneten keresztül, koaxiális vezetékkel Splitter mellékelve Kültéri kivitel IOS / LWAP HBONE Workshop Mátrafüred, november

30 Cisco Aironet 1400 Series Bridge / AP Kültéri bridge vagy AP 5 GHz radiómodul a kompatibilis Beépített antenna Egyedi In-line Power megoldás Tápellátás az Etherneten keresztül, koaxiális vezetékkel Splitter mellékelve Kültéri kivitel Csak IOS HBONE Workshop Mátrafüred, november

31 Cisco Integrated Service Routers Fix kiépítésű: 850W, 870W, 1800W Moduláris: 1841, 2801, 2811, 2821, 2851, 3825, 3845 Modulok: HWIC-AP-G, HWIC-AP-AG Csak teljes Cisco IOS-változat létezik (valódi IOS router Linksys WRT54G) HBONE Workshop Mátrafüred, november

32 Cisco Aironet antennák Omni-Directional körsugárzó antenna dbi / 360 Directional Patch irányitott folt - antenna dbi / dbi / 30 Yagi irányított antenna Egységes RP-TNC mikrohullámú csatlakozó HBONE Workshop Mátrafüred, november

33 Cisco Unified Wireless Network: az alapelv Vékony kliens a vezeték nélküli hálózatban Szerver Vékony kliensek HBONE Workshop Mátrafüred, november

34 Cisco Unified Wireless Network: a funkciók szétválasztása HBONE Workshop Mátrafüred, november

35 Cisco Unified Wireless Network: terhelés-megosztás WLC a LWAP-nak: ne válaszolj! Probe Request Probe Response HBONE Workshop Mátrafüred, november

36 Cisco Unified Wireless Network: jellemzők Korszerű: lightweight (kontroller + vékony kliens AP) Hagyományos: autonóm (önálló access point) HBONE Workshop Mátrafüred, november

37 Cisco Unified Wireless Network: fő komponensek WLC opcionális elem opcionális elem LWAP (AP, monitor, wireless IDS) HBONE Workshop Mátrafüred, november

38 Cisco Unified Wireless Network: építőkockák Mobility Services Cisco Self-Defending Network Cisco Wireless Location Appliance, Advanced features of Cisco WCS, Cisco SDN, VoWLAN phones. World-Class Network Management Cisco Wireless Control System (WCS) Network Unification 4400 Wireless LAN Controllers, 2100 Wireless LAN Controllers, Cisco Catalyst 6500 Series WiSM, Wireless Controller Module for ISRs, Cisco Catalyst 3750 Integrated Wireless LAN Controller Mobility Platform Cisco Aironet Access Points: 1500, 1250, 1300, 1240AG, 1230AG, 1130AG Client Devices Cisco Compatible Client Device (CCX) HBONE Workshop Mátrafüred, november

39 Cisco NM-AIR-WLC Wireless LAN Controller 6, 8, 12, 25 LWAP-t képes kezelni Cisco 2800/3800 NM router-modul HBONE Workshop Mátrafüred, november

40 Cisco Catalyst 3750G Integrated Wireless LAN Controller 25, 50 LWAP-t képes kezelni 24 db10/100/1000 PoE + 2 db SFP port 3750 Stack: max. 9 db switch Példa: 4 db 3750G IWLC + 5 db 3750G switch 200 db LWAP HBONE Workshop Mátrafüred, november

41 Cisco 2100 Standalone Wireless LAN Controller 6, 12, 25 LWAP-t képes kezelni 8 db FE port, ebből 2 db PoE IEEE 802.3ad LACP/LAG ( PAgP EtherChannel) HBONE Workshop Mátrafüred, november

42 Cisco 4400 Standalone Wireless LAN Controller 4402: 12, 25, 50 LWAP-t képes kezelni 4404: 100 LWAP-t képes kezelni 2 vagy 4 db GE port (SFP: réz vagy optika) IEEE 802.3ad LACP/LAG (Link Aggregation Group) HBONE Workshop Mátrafüred, november

43 Cisco Catalyst 6500 Series Wireless Services Module (WiSM) Max. 300 LWAP-t képes kezelni HBONE Workshop Mátrafüred, november

44 WLC redundáncia N:1 N:N N:N:1 HBONE Workshop Mátrafüred, november

45 WLC: Lightweight AP Protocol Data VLAN Voice VLAN udp/12223: LWAPP Control (titkosított, AES) udp/12222: LWAPP Data IETF Draft: HBONE Workshop Mátrafüred, november

46 WLC: menedzsment-csoportok WLC Mobility Group WLC RF Group AP Group HBONE Workshop Mátrafüred, november

47 Wireless Control System (WCS) LWAP központi menedzselése Wireless IDS Helymeghatározás WiFi-háromszögeléssel HBONE Workshop Mátrafüred, november

48 Cisco Unified Wireless Network Hybrid REAP technológia LWAPP (Lightweight Access Point Protocol) H-REAP: a WLC nélkül részben önnáló működésre is képes LWAP HBONE Workshop Mátrafüred, november

49 Helymeghatározás WiFi segítségével: Location Appliance HBONE Workshop Mátrafüred, november

50 IP alapú hangátvitel WiFi felett - VoIP over WLAN Cisco 7921G a/b/g telefonkészülék Nokia E-Series dual-mode telefonkészülékek Alapkövetelmény 1.: Fast Secure Roaming Alapkövetelmény 2: WLAN Quality of Service (IEEE e WiFi Alliance WMM (Wireless Multimedia) HBONE Workshop Mátrafüred, november

51 Wireless Mesh hálózat kül- és beltéri eszközökkel PAP PAP WLC RAP PAP PAP WLC RAP Pont-multipont hálózat Teljes mesh hálózat HBONE Workshop Mátrafüred, november

52 Esettanulmány: tipikus vállalati/intézményi igények HBONE Workshop Mátrafüred, november

53 Kérdések? Köszönöm a figyelmet! kucinski.witold@kfkizrt.hu HBONE Workshop Mátrafüred, november 12.