Eric Anderson Fordítás:

Átírás

1 Vezetéknélküli Hálózatok Eric Anderson Fordítás: 1

2 Contents 1 Bevezetés 3 2 Működési módok BSS mód IBSS mód Infrastruktúra mód Access pointok FreeBSD-s access point építése Kliensek Titkosítás Eszközök Támogatott kártyák

3 A fordítás a FreeBSD Handbook Wireless Networking fejezete alapján készült. 1 Bevezetés Roppant hasznos lehet, ha egy számítógépet zavaró hálózati kábelek nélkül tudunk hasznalni. A FreeBSD használható kliensként vagy akár access pointként is vezetéknélküli hálózatokban. 2 Működési módok es vezetéknélküli eszközök két módban használhatók: BSS és IBSS. 2.1 BSS mód Általában a BSS mód használatos, ismeretes úgy is mint infrastruktúra mód (infrastructure mode). Ebben a módban számos vezetéknélküli hozzáférési pont csatlakozik egy vezetékes hálózathoz. Mindegyik vezetéknélküli hálózatnak saját neve van, ez a hálózat SSID-je. A vezetéknélküli kliens ezekhez a hozzáférési pontokhoz csatlakozik. Az IEEE es szabvány definiálja a vezetéknélküli hálózatok által a csatlakozáshoz használt protokollt. Az SSID beállításával a kliens csatlakozhat egy adott hálózathoz, vagy bármely hálózathoz, ha nem ad meg konkrét SSID-t. 2.2 IBSS mód Az IBSS vagy más néven ad-hoc módot pont-pont kapcsolatokra tervezték. Valójában két fajta ad-hoc mód létezik. Az egyik az IBSS, ad-hoc vagy IEEE ad-hoc mód, amelyet az IEEE szabvány definiál. A másik a demo ad-hoc vagy Lucent ad-hoc mód (néha megtévesztően szintén ad-hoc módnak nevezik). Ez utóbbi a régi, előtti ad-hoc mód és inkább csak már meglévő telepítéseknél használatos. Egyik ad-hoc módot sem részletezzük a továbbiakban. 2.3 Infrastruktúra mód Access pointok Az access pointok vezetéknélküli hálózati eszközök, melyeket egy vagy több kliens mint központi elemeket használhat. Egy access pointot használva minden kliens azon keresztül kommunikál. Gyakran használnak több access pointot, 3

4 hogy egy egész területet (házat, irodát vagy parkot) lefedjenek vezeték nélküli hálózattal. Az access pointok általában több hálózati kapcsolattal bírnak: a vezetéknélküli kártya, és egy vagy több vezetékes Ethernet csatoló a hálózat többi részéhez. Access pointok kaphatóak készen, vagy akár egy FreeBSD-s gépből és egy támogatott vezetéknélküli kártyából is építhető egy. Számos cég készít vezetéknélküli access pointokat és kártyákat különböző tulajdonságokkal FreeBSD-s access point építése Előfeltételek Egy FreeBSD-s access point felállításához egy kompatibilis vezetéknélküli kártyára van szükség. Jelenleg csak a Prism csipszetes kártyák támogatottak. Szintén szükség van egy FreeBSD által támogatott vezetékes hálózati kártyára (ez nem túl bonyolult, a FreeBSD rengeteg különböző eszközt támogat). Ebben a dokumentumban azt feltételezzük, hogy bridge(4)-elni szeretnéd a vezetéknélküli és a vezetékes hálózati kártya közötti forgalmat. A FreeBSD által az access point megvalósítására használt hostap funkcionalitás a firmware bizonyos verzióival működik a legjobban. Prism 2 kártyákhoz az es vagy újabb firmware ajánlott, Prism 2.5 és Prism 3 kártyákhoz az es. Régebbi firmwareverziók is működhetnek, de ez nem biztos. Jelenleg a firmware frissítésének egyetlen módja a kártya gyártójától beszerezhető Windows alatt futó firmware frissítő software. Beállítás Először bizonyosodj meg róla, hogy a rendszered látja a vezetéknélküli kártyát: # ifconfig -a wi0: flags=8843<up,broadcast,running,simplex,multicast> mtu 1500 inet6 fe80::202:2dff:fe2d:c938%wi0 prefixlen 64 scopeid 0x7 inet netmask 0xff broadcast ether 00:09:2d:2d:c9:50 media: IEEE Wireless Ethernet autoselect (DS/2Mbps) status: no carrier ssid "" stationname "FreeBSD Wireless node" channel 10 authmode OPEN powersavemode OFF powersavesleep 100 wepmode OFF weptxkey 1 4

5 A részletek miatt most ne aggódj, csak bizonyosodj meg róla, hogy mutat valamit, ami egy vezetéknélküli hálókártyára utal. Ha nem látod az interfészt, és PC Cardot használsz, olvasd el a pccardc(8) és pccardd(8) man oldalakat további információért. Most be kell töltened egy modult a bridginghez. A bridge(4) modul betöltéséhez egyszerűen add ki a következő parancsot: # kldload bridge A modul betöltése nem szabad, hogy hibaüzenet(ek)et produkáljon. Ha mégis, lehet, hogy a kernelbe kell fordítanod a bridge(4) kódot. A Handbook Bridging fejezete segítségedre lehet ebben. Most hogy a bridging be van töltve, közölnünk kell a FreeBSD kernellel, hogy mely interfészek között bridgeljen. Ezt a sysctl(8)-lel tehetjük meg: # sysctl net.link.ether.bridge=1 # sysctl net.link.ether.bridge_cfg="wi0 xl0" # sysctl net.inet.ip.forwarding=1 FreeBSD 5.2-RELEASE illetve magasabb verzió esetén a következő parancsok használata szükséges: # sysctl net.link.ether.bridge.enable=1 # sysctl net.link.ether.bridge.config="wi0 xl0" # sysctl net.inet.ip.forwarding=1 Elérkezett az ideje a vezetéknélküli kártya beállításának. A következő parancs access point módba állítja a kártyát: # ifconfig wi0 ssid my_net channel 11 media DS/11Mbps mediaopt hostap up stationname "FreeBSD AP" Ez az ifconfig(8) sor felhúzza a wi0 interfészt, az SSID-et my_net-re állítja, az állomás nevét pedig FreeBSD AP-ra. A media DS/11Mbps opció a kártyát 11Mbps módba állítja, ez a mediaopt használata esetén szükséges. A mediaopt hostap opció az interfészt access point módba állítja. A channel 11 opció a használni kívánt b csatornát állítja be. A te domainedben érvényes csatornákat a wicontrol(8) man oldalon találod. Most már egy működő access pointtal kell hogy rendelkezz. További információért érdemes elolvasni a wicontrol(8), ifconfig(8), és wi(4) man oldalakat. Javasolt a következő, titkosításról szóló fejezet elolvasása is. 5

6 Állapot információ Ha az access point be van konfigurálva és működik, előfordulhat, hogy az operátor szeretné látni a hozzá csatlakozott klienseket: # wicontrol -l 1 station: 00:09:b7:7b:9d:16 asid=04c0, flags=3<assoc,auth>, caps=1<ess>, rates=f<1m,2m,5.5m,11m>, sig=38/15 Ez a csatlakozott állomást mutatja egyéb paramétereivel együtt. Az itt mutatott jel csak relatív viszonyítási pontként jelzi a jelerősséget. Átváltása dbm-be vagy más mértékegységbe firmwareverzió-függő Kliensek Egy vezetéknélküli kliens olyan rendszer, amely egy access pointot vagy egy másik klienst közvetlenül elér. A vezetéknélküli kliensek általában csak egy hálózati eszközzel, a vezetéknélküli hálózati kártyával rendelkeznek. Több különböző módja van a vezetéknélküli kliensek konfigurálásának. Ezek a különböző vezetéknélküli működési módokon alapulnak, általában a BSS-en (infrastruktúra mód, ennek access pointra van szüksége), és IBSS (ad-hoc, vagy peer-to-peer mód). A mi példánkban a kettő közül a népszerűbbiket, a BSS módot fogjuk használni, hogy az access pointtal beszélgessünk. Előfeltételek Annak, hogy egy FreeBSD-s vezetéknélküli klienst használj, csak egy feltétele van: egy olyan vezetéknélküli kártyára van szükséged, amely támogatott FreeBSD alatt. FreeBSD kliens konfigurálás Mielőtt elkezdenéd, tudnod kell néhány dolgot a vezetéknélküli hálózatról, amihez csatlakozol. Ebben a példában mi egy my_net nevű hálózathoz csatlakozunk, titkosítás nélkül. Megjegyzés: ebben a példában nem használunk titkosítást, ami nemkívánatos lehet. A következő fejezetben megtanuljuk hogyan kapcsoljuk be a titkosítást, miért fontos, hogy így tegyünk, és miért nem képes teljeskörű védelmet nyújtani néhány titkosítási technológia. Bizonyosodj meg róla, hogy a kártyádat felismerte a rendszer: 6

7 # ifconfig -a wi0: flags=8843<up,broadcast,running,simplex,multicast> mtu 1500 inet6 fe80::202:2dff:fe2d:c938%wi0 prefixlen 64 scopeid 0x7 inet netmask 0xff broadcast ether 00:09:2d:2d:c9:50 media: IEEE Wireless Ethernet autoselect (DS/2Mbps) status: no carrier ssid "" stationname "FreeBSD Wireless node" channel 10 authmode OPEN powersavemode OFF powersavesleep 100 wepmode OFF weptxkey 1 Most pedig a mi hálózatunknak megfelelő beállítások következnek: # ifconfig wi0 inet netmask ssid my_net és helyett a vezetékes hálózatodnak megfelelő IP címet és netmaszkot használj. Az access pointunk bridgel a vezetéknélküli és a vezetékes hálózat között, tehát a hálózatodon lévő többi eszköz számára úgy fog tünni, mintha a vezetékes hálózaton lennél, akárcsak ők. Ezután meg kell hogy tudd pingelni a vezetékes hálózatodon lévő gépeket, ugyanúgy mintha egy hagyományos vezetékes kapcsolatot használnál. Ha problémákat tapasztalsz a vezetéknélküli kapcsolatoddal, ellenőrizd, hogy hozzá vagy -e rendelve az access pointodhoz: # ifconfig wi0 visszaad némi információt, és a következőt kellene látnod: status: associated Ha nem ezt mutatja, akkor lehet, hogy az access point hatósugarán kívűl vagy, vagy nincs bekapcsolva a titkosítás, esetleg más konfigurációs problémád van Titkosítás A titkosítás a vezetéknélküli hálózatokon különösen fontos, mivel nincs lehetőség arra, hogy a hálózatot egy jól védett területen belül tartsuk. Az adatokat szórjuk, bárki akit érdekel belenézhet. Itt jön a képbe a titkosítás; bár az adat ugyanúgy terjed továbbra is, sokkal nehezebbé tesszük a kíváncsiskodók számára hogy kihámozzanak belőle valamit. A két leggyakrabban használt mód az adatok titkosítására a kliens és az access point között a WEP és az ipsec(4). 7

8 WEP A WEP a Wired Equivalency Protocol (a vezetékessel egyenértékű protokoll) rövidítése, egy kísérlet a vezetéknélküli hálózatoknak a vezetékeshez hasonlóan biztonságossá tételére. Sajnos feltörték, és eléggé triviális a megtörése. Ez egyben azt is jelenti, hogy a WEP-ben nem bízhatunk, ha szenzitív információ titkosítása kerül szóba. A semminél mindenesetre jobb, a következőképpen tudod bekapcsolni az új FreeBSD AP-don: # ifconfig wi0 inet up ssid my_net wepmode on wepkey 0x media DS/11Mbps mediaopt hostap A kliensen a következő paranccsal tudod bekapcsolni a WEP-et: # ifconfig wi0 inet netmask ssid my_net wepmode on wepkey 0x IPsec A 0x et cseréld le valami más kulcsra. Az ipsec(4) egy sokkal robosztusabb és hatékonyabb eszköz adatok titkosítására, ez a követendő út vezetéknélküli hálózatok esetén is. Ha további információra van szükséged, a Handbook IPsec fejezetében megtalálod Eszközök Vezetéknélküli hálózatok hibakeresésére és konfigurálására is létezik néhány eszköz, néhányukról az alábbiakban ejtünk néhány szót. A bsd-airtools csomag A bsd-airtools csomag egy komplett eszközkészlet vezetéknélküli hálózatok auditálására (WEP kulcs feltörése, AP-k detektálása, stb). A bsd-airtools a net/bsd-airtools porton keresztül installálható. Portok installálásáról a Handbook 4. fejezetében találsz információt. A dstumbler program AP-k detektálását és jel/zaj viszony grafikonok készítését teszi lehetővé. Ha nehézségekbe ütközöl az AP-d beállítása közben, a dstumbler segíthet. Vezetéknélküli hálózatod biztonságának teszteléséhez választhatod akár a dweputils - t (dwepcrack, dwepdump és dwepkeygen) is, amely segít eldönteni, hogy a WEP a megfelelő megoldás -e biztonsági igényeidre. 8

9 A wicontrol, ancontrol és raycontrol eszközök Ezekkel az eszközökkel tudod befolyásolni, hogyan viselkedjen vezetéknélküli kártyád a hálózaton. A fenti példában a wicontrol(8)-t használtuk, mivel a kártya a wi0 interfész volt. Amennyiben egy Cisco eszközzel rendelkezel, azt an0-ként húzza fel, és az ancontrol(8) használható hozzá. Az ifconfig parancs Az ifconfig(8) parancs szintén használható a wicontrol(8) helyett, azonban néhány opcióval nem rendelkezik. Olvasd el az ifconfig(8) man oldalt ha a parancssori paraméterekre és opciókra vagy kíváncsi Támogatott kártyák AP-k Jelenleg csak a Prism 2, 2.5 és 3 csipszettel rendelkező kártyák támogatottak BSS módban (AP-ként). Teljes listát a wi(4) man oldalon találsz. Kliensek Szinte mindegyik b vezetéknélküli kártya támogatott FreeBSD alatt. A legtöbb Prism, Spectrum24, Hermes, Aironet, és Raylink kártya működik IBSS módban (ad-hoc, peer-to-peer és BSS). 9