Stiftelsen TISIP i samarbeid med Avdeling for informatikk og e-læring, Høgskolen i Sør-Trøndelag Introduksjon, oppsett og konfigurering av et WLAN Stein Meisingseth 06.08.2004 Opphavsrett: Forfatter og Stiftelsen TISIP Lærestoffet er utviklet for faget LO476D WLAN konfigurering og sikkerhet Introduksjon, oppsett og konfigurering av et WLAN Resymé: I I denne leksjonen vil vi se på oppsett ogi konfigurering av et trådløst nettverk. Innhold INTRODUKSJON, OPPSETT OG KONFIGURERING AV ET WLAN...1 INNLEDNING...2 GENERELL BESKRIVELSE AV FORUTSETNINGER FOR WLAN...2 GENERELL BEHOVSBESKRIVELSE...2 FORDELER VED Å TA I BRUK WLAN...2 Hjemmekontor - sikring mot uautoriserte aksesspunker...2 Økt produktivitet, fleksibilitet og mobilitet...3 EKSEMPEL PÅ INSTALLASJON AV TRÅDLØST NETTVERK...3 Bruk av brannmur...7 Oppsummering brannmuroppsett...9 BRUK AV DYNAMISKE IP-ADRESSER OG PPPOE (POINT TO POINT PROTOCOL OVER ETHERNET)...10 Telenor...10 Oppsett med trådløs ruter mot ADSL uten DHCP (Telenor)...11 Oppsett med trådløs ruter mot ADSL med eksisterende DHCP (Telenor)...12 KONFIGURERE ET TRÅDLØST LAN VED HJELP AV WINDOWS XP...13 ORDLISTE:...15
Innledning Dette faget vil ta for seg generell konfigurering av et trådløst nettverk og med hovedvekt på sikkerheten i trådløse nettverk. Selv om konfigurering vil variere fra produkt til produkt og fra sted/bygning til sted/bygning er det en del momenter som er universelle og som det vil bli lagt vekt på i dette faget. Generell beskrivelse av forutsetninger for WLAN Før man setter i gang og skal innføre trådløse nettverk, bør man vurdere om dette er hensiktsmessig for den organisasjonen man jobber i. Hvis alle ansatte bare har faste arbeidsstasjoner og ingen eller svært få har bærbare maskiner vil behovet for trådløse nettverk være svært liten. Men sannsynligvis vil stadig flere ta i bruk bærbare maskiner og/eller man vil ha behov for å flytte stasjonære maskiner i slike situasjoner er trådløse nettverk en stor fordel for brukere, da man kan koble seg på nettet uansett hvor man er i bygningen. Generell behovsbeskrivelse De fleste tradisjonelle nettverk har følgende utforming se figur 1 under: Figur 1a I slike nettverk vil muligheten for å flytte på maskiner ofte kunne føre til behovet for strekking av nettverkskabel med de kostnader og det bryderi det fører med seg. Ved at bedriften/organisasjonen foretar en behovsanalyse og deretter innfører trådløst nettverk, vil man få en langt større fleksibilitet i systemet. Fordeler ved å ta i bruk WLAN Hjemmekontor - sikring mot uautoriserte aksesspunker Mange ansatte føler ofte behov for å kunne arbeide hjemmefra. De ansatte har da ofte bærbare PC er til bruk for dette. De fleste bærbare maskiner har i dag trådløs klient innebygd. Ved at Leksjon 01b 2 lek 01b.pdf
de først har en slik mulighet, vil behovet for et trådløst nettverk både på arbeid og hjemme oppstå. Hvis ikke bedriften selv foretar investeringer i trådløse nettverk, vil kanskje noen ansatte på egenhånd kjøpe og installere dette både hjemme og på jobb. Det vil derfor også rent sikkerhetsmessig være fordeler ved at bedriften selv setter opp et godt organisert nettverk. Økt produktivitet, fleksibilitet og mobilitet De ansatte vil kunne gå rett fra sine kontorplasser og til møter uten å måtte koble fra noen annen kabel enn eventuelt strømkabelen. Tiden før møtet starter vil kunne brukes til arbeide. Det vil være enklere å legge til nye klienter ut over de eksisterende Ethemet punktene. En vil også kunne legge til nye tjenester slik som VoIP (Voice over IP). For de som reiser mye vil man allerede (og stadig mer utbredt) kunne benytte seg av hotspots en finner på en del flyplasser, hoteller og bedrifter. Eksempel på installasjon av trådløst nettverk. I dette eksemplet skal vi bruke et aksesspunkt fra D-link. Den siste utgaven heter DI-link 624 og kan takle teoretiske hastigheter opp til 108 Mbits. D-Link DI-624 er ruteren, i tillegg er brukt nettverkskortet DWL-G650. Begge skal teoretisk kunne oppnå 108 Mbit når de brukes sammen. 624-ruteren har 4 svitsjede porter for kablet nett og en WAN-port for tilkobling til nettleverandøren. Ruteren har ikke innebygd printserver funksjonalitet. For å komme inn på 624-ruteren kan du bruke en webleser og skrive følgende adresse: http://192.168.0.1 vi kommer da inn på siden for konfigurering. Slike konfigureringer er i prinsippet lik for de fleste merkene fra ulike leverandører i dag vi bruker derfor D-link siden dette er en ny modell og har de fleste nye funksjoner. Figur 1 Som vi ser av figur 1 er dette en veiviser som vil guide deg gjennom oppsettet av ruteren. Deretter må vi angi passord her bør man bruke de retningslinjer som gjelder for sikre Leksjon 01b 3 lek 01b.pdf
passord minst 8 tegn og bruk av store og små bokstaver + tall + spesialtegn (eks. strahy3#ks). I neste bilde må vi velge nettverkstype. Gjelder dette et nettverk med fast IP-adresse er det rimelig enkelt, men gjelder det (oftest) små nettverk med ADSL fra Telenor eller Nextgentel blir det verre. Vi skal først se på en løsning med faste IP-adresser velg derfor oppsett med fast IP-adresse. Figur 2 På figur 3 ser du et typisk oppsett for fast IP-adresse dette er et oppsett som vil kunne brukes for de fleste typer rutere. Figur 3 Leksjon 01b 4 lek 01b.pdf
Alle trådløse nettverk bør ha sin unike SSID, slik at man vet hva man skal logge seg på hvis det er mange nettverk se figur 4. Ved å bruke logiske navn som forteller hvem man er vil det hjelpe de som skal logge seg på at navnet er logisk. Men samtidig vil man bli mer utsatt for feilaktig bruk av nettet, hvis potensielle brukere vet hva som er det eller det nettet. Men derfor vil det være viktig å sikre nettet på andre måter. Som figuren viser har jeg her valgt stein som ID for nettet, det vil ikke være en god løsning ut fra det som er skrevet over. Figur 4 Kanal bør velges med omhu i større nett. Vanligvis vil man i større bedrifter har behov for mange aksesspunkter for at alle brukerne skal ha dekning (kommer tilbake til dette seinere). Det vil da være viktig å kunne skille mellom de ulike aksesspunktene som settes opp slik at man unngår at de forskjellige aksesspunktene ikke overlapper hverandre på samme kanal. Man skal derfor bruke alle kanalene som er tilgjengelig hvis behovet er til stede for mange punkter. Hvis aksesspunktene ligger i forskjellige bygninger og man ser at det ikke vil være fare for at samme kanal kan påvirke hverandre vil det være letter å bruke samme kanal flere ganger. I små bedrifter eller hjemme vil dette vanligvis ikke være noe problem, for oftest brukes bare en kanal i slike sammenhenger. Kryptering er viktig for å beskytte nettet mot inntrengere (dette vil bli mye mer gjennomgått i de kommende leksjoner). Det skal likevel her vises hvordan man setter opp en krypteringsnøkkel, slik at man skal hindre at uvedkommende kommer inn. Som figur 5 viser er det valgt en 64 bits kryptering her og med en litt vanskelig nøkkel. Hvilken nøkkel man skal velge vil være avhengig av behovet for sikkerhet i bedriften. Hvis graden av sikkerhet ikke er så viktig og man skal sikre at de fleste skal kunne huske nøkkelen bør denne være lett å huske. På en skole kan man for eksempel bruke elev som nøkkel. Men samtidig er nettet dermed mye mer åpent. Utenfor en skole vil det være lett å teste om man kan komme inn på nettet ved å teste med ulike nøkler elev vil være en opplagt nøkkel å teste med (sammen med skole, student, larer o.s.v.). Det samme argumentet kan brukes for hjemmeløsninger, men siden så det er så få som har setter opp trådløse nettverk hjemme eller som bruker trådløse nettverk hjemme vil det være logisk å bruke mye mer kompliserte nøkler og kanskje også bruke 128 bits kryptering. Som figur 5 viser er nøkkelen i hexadesimal form (følgende tegn kan brukes: 0 9, A F, a f) Leksjon 01b 5 lek 01b.pdf
Figur 5 Bruker man fast IP vil det være naturlig å bruke en DHCP-server til å sette opp og distribuere IP-adresser til alle som kobler seg på det trådløse nettet se figur 6. Her vil IP-adressene gå fra 192.168.0.100 192.168.0.199. Har man bruk for flere IP-adresser kan man starte lavere og gå lengre. Vi ser også av figuren under at lease time er satt til en uke. Det betyr at klienten for beholde denne IP-adressen en uke. Hvor lang denne tiden skal være vil variere, men er sikkerhetsbehovet stort bør leietiden være kort. Figur 6 Som vi også ser av figur 6 kan man også velge å tildele den samme IP-adressen til den samme MAC-adressen hele tiden. I små nettverk kan dette være en grei løsning da vil alle være sikret å ha den samme IP-adressen kontinuerlig. Men i større nettverk vil dette kunne være en Leksjon 01b 6 lek 01b.pdf
uheldig løsning siden mange skifter maskiner/man har mange brukere og dermed kreves det relativt mye arbeid å legge inn alle maskinene i denne databasen. Men samtidig øker dette sikkerheten svært mye, siden bar de som er registrert vil få lov til å logge seg inn på det trådløse nettverket. Bruk av brannmur Brannmuren har mange muligheter, og kan filtrere tjenester ut fra IP-adresser, tidspunkter, dager, porter og protokoller. En enkel måte å bruke brannmurer på i trådløse rutere ser du et eksempel på i figur 7. Her ha vi brukt en forhåndsinnstilt sperring av applikasjoner - her battle.art på port 6112. Like viktig er det at man kan sette sine egne porter som kan sperres. Hvilke porter dette skal være vil avhenge av hvem brukerne er. Det letteste vil være å la alt ligge åpent vi kommer tilbake til dette i seinere leksjoner. Figur 7 En annen måte å sørge for at gitte brukere ikke får ta i bruk Internett er å sperre tilgangen ved hjelp av gitte IP-adresser. Figuren under viser at brukere med IP-adresse 158.38.56.1 158.38.56.39 ikke får ta i bruk portene 21 og 22. Hvis man har dynamisk tildeling av IPadresser (ikke ut fra MAC-adresse) vil dette ikke ha noen reell betydning, hvis man da ikke har en svært lang leietid (Lease Time). Vi ser også at dette gjelder TCP-porter. Her kan man i de fleste rutere velge mellom TCP eller UDP eller begge deler. Leksjon 01b 7 lek 01b.pdf
Figur 8 Denne begrensningen er også som figuren viser satt til å gjelde hele tiden. Hvis man ønsker å sperre noen ute for en gitt tid er det mulig å sette dette i de fleste moderne rutere. Hensikten med dette kan for eksempel være å sperre barn ute fra chatting på dagtid/kvelder eller å forhindre at elever kan ta i bruk FTP på dagtid, men tillate at lærere får bruke dette på kveldstid. Mulighetene vi har sett på overfor gjør det enkelt for hjemmekontorer å kunne jobbe på dagtid uten å miste all hastighet ved at andre i huset laster ned ting som tar mye båndbredde. Her får man vurdere ut fra sikkerhetsbehovet i bedriften/hjemme. Som vi ser av figur 9 vil også rutere kunne filtrere ut gitte adresser eller domener her ser vi at adressen http://www.sex.com er filtret bort. Figur 9 De fleste moderne trådløse rutere vil kunne skanne for mulige angrep fra internett. Her kan man også be om å få en logg tilsendt jevnlig. Man kan også be om å få en mail umiddelbart hvis noe svært alvorlige angrep skjer. Man kan også i dag sette opp bruk av VPN gjennom Leksjon 01b 8 lek 01b.pdf
rutere, noe som sikrer nettet i langt større grad. Det er også for de fleste rutere mulig å sette dynamisk DNS. De fleste rutere kan også sette opp regler for å sperre for trafikk på gitte porter. Som vi ser under er port 139 sperret for alle (det mangler litt på utfyllinga under TCP her). Her kan man i de fleste tilfeller kunne differensiere mellom IP-adresser og TCP eller UDP eller begge deler. Man kan også angi for hvilke dager og tidspunkter på døgnet det skal gjelde. Figur 10 Oppsummering brannmuroppsett Summarisk kan vi derfor si at brannmuren i moderne rutere kan settes opp til å regulere: Hvilke porter som skal være åpne Hvilke porter som skal være åpne når og for hvem Hvilke URL-adresser som skal være sperret Hvilke domener som skal være sperret Filter for å sperre ute gitte IP-adresser for tilgang til internett Applikasjoner som ikke skal tillates og for hvem Leksjon 01b 9 lek 01b.pdf
Bruk av dynamiske IP-adresser og PPPoE (Point to Point Protocol over Ethernet) Telenor Skal man koble en trådløs ruter opp mot ADSL fra Telenor må man velge PPPoE se figur 2. På figur 10 tas med oppsettet av tilkoblingen som skal velges når man skal opprettet en forbindelse ved hjelp av ADSL til Telenor. Dette har ingen ting med ruteroppsett å gjøre. En vanlig ruter kan ha følgende inn/utganger: Figur 10 Figur 11 1 WAN port Dette er tilkoblingsporten for bredbåndstilknytningen. Koble en nettverkskabel fra denne porten og til porten på bredbåndsmodemet (ADSL modemet). 2 LAN porter (X1 til X4) Denne ruteren har fire tilkoblingsporter og skal brukes av de PC ene som skal ha direkte tilknytning til Internett. Leksjon 01b 10 lek 01b.pdf
3 Strøm tilkobling (DC 5V) 4 Reset knapp Normalt vil rest medføre at du må konfigurere en ruter på nytt alt du har lagt inn blir slettet 5 - WLAN antenne For å sikre best mulig dekning kan du forsøke å endre retning på antennen Oppsett med trådløs ruter mot ADSL uten DHCP (Telenor) Et typisk oppsett for en trådløs tilkobling til alle maskinene til Telenor ADSL vil se slik ut: Figur 12 Her må du sette opp at du vil bruke DHCP (se figur 6), siden ADSL fra Telenor ikke tildeler dynamiske IP-adresser. Du må bruke inngangen WLAN fra ADSL-modemet, og resten av inngangene kan brukes for å komme inn med fysiske kabler. Hvis du allerede har satt opp en ruter tidligere, må du vurdere om denne skal brukes videre. Hvis denne har funksjoner som den trådløse ruteren ikke har, for eksempel Print server, må den gamle ruteren beholdes. Du må da deaktivere DHCP og koble den trådløse ruteren direkte til en av inngangene for LAN (port 1 4). I tillegg må du sette en fast IP på den trådløse ruteren. Ved å sette opp nettverket ditt som vist overfor, vil du kunne sikre deg at du kan bruke det eksisterende utstyret. Leksjon 01b 11 lek 01b.pdf
Oppsett med trådløs ruter mot ADSL med eksisterende DHCP (Telenor) Et typisk oppsett for en trådløs tilkobling til alle maskinene til NextGentel ADSL vil se slik ut: Figur 13 Som vi ser her vil den som leverer ADSL også levere med en ruter som tildeler dynamisek IPadresser. Hvis man da velger å setet en trådløs ruter som også tildeler dynamiske IP-adresser, vil man få problemer. Her må man da sørge for å deaktivere DHCP på den trådløse ruteren, og gi denne en fast Ip som ligger i samme serien som man har på ruteren fra ADSLleverandøren. Hvis ruteren fra ADSL har en adresse på for eksempel 10.0.0.1, kan man gi den nye trådløse ruteren en fast adresse 10.0.0.50 (den siste tallet kan være hva som helst innen IP-rangen, men bruk ikke en adresse som andre enheter allerede bruker). Husk at du ikke skal koble ruteren fra ADSL-leverandør til wlan-utgangen på den trådløse ruteren, men til en av de 4 LAN-utgangene på den trådløse ruteren. Netter overfor vil dermed se slit ut etter at dynamiske adresser er tildelt: Figur 14 Leksjon 01b 12 lek 01b.pdf
Konfigurere et trådløst LAN ved hjelp av Windows XP Installere trådløst kort. Har du en bærbar PC av nyere dato, vil sikkert denne allerede har trådløst kort installert. Hvis ikke må et trådløst kort installeres. Det er bare å sette kortet inn i den rette porten på PC en (vil variere far PC til PC). Du vil trolig få opp men melding om at en ny enhet er funnet, gå videre og installer driveren til den kortet du har satt inn (driveren følger vanligvis med når du kjøper kortet, hvis ikke kan denne lastes ned fra produsentens side på Internett). Undersøk at kortet er gjenkjent Klikk Start, Kontrollpanel Klikk Nettverkstilkoblinger Ved å dobbelklikke på Nettverkstilkoblinger vil du få opp følgende bilde: Figur 15 Leksjon 01b 13 lek 01b.pdf
Høyreklikk og velg Egenskaper. Følgende bilde vil komme opp som viser at nettverkskortet er installert: Figur 16 Som vi ser av figur 15 er det to nettverk tilgjengelig stein og hist. Ved å velge hvem som vil stå øverst bestemmer vi hvem som skal være vår primære oppkobling. I tette områder med mange trådløse nettverk kan du oppleve at du vil se flere nettverk. Forhåpentligvis er disse lukket på korrekt måte, men det er ikke alltid like sikkert. Ved å velge Egenskaper vil du kunne legge inn korrekt Nettverksnøkkel- se figur 17: Figur 17 Leksjon 01b 14 lek 01b.pdf
På figur 17 er allerede nettverket hist valgt dette er navnet SSID som vi anga når vi konfigurerte ruteren (se figur 4). Hvis nøkkelen angis automatisk (bør ikke brukes, da sikkerheten blir lav), er det ikke nødvendig å skrive noen wep-nøkkel. Viktigheten av å sikre nettverk kan vi finne i følgende verdensomspennende undersøkelse gjort av sikkerhetsselskapet Red-M: 80 prosent av alle installerte trådløse nettverk har store sikkerhetsbrister. Det gjør det enkelt å stjele informasjon og manipulere informasjon 66 prosent av bankene hadde store sikkerhetsbrister i sitt trådløse nett. 60 prosent av finansielle tjenesteselskap hadde usikrede nett. 100 prosent av utdanningsinstitusjonene i undersøkelsen var ikke sikret, og det samme gjaldt 79 prosent av IT-selskapene. 100 prosent av e-posten på usikrede interne nettverk kunne snappes opp, leses og manipuleres For å sjekke hastigheten du på dataoverførsel på din PC, kan du laste ned en måler fra http://www.dumeter.com/download.php Til slutt en liten Ordliste: WLAN: Wireless Local Access Network eller det trådløse nettverket. IEEE 802.11b: IEEE 802.11b godkjent standard, og sørger derfor for kompatiblitet med alt utstyr som følger denne standarden. IEEE 802.11g: Dette er godkjent standard, og sørger derfor for kompatiblitet med alt utstyr som følger denne standarden. I tillegg er det fullt kompatibelt med IEEE 802.11b utstyr. Gir 4-5 ganger hastigheten til 11Mbps nettverk, og vil være en fordel dersom du trenger mer futt i ditt lokale trådløse nettverk. Fortsatt noe dyrere enn 11Mbps utstyr. 108Mbps: Dette er "SuperG" produkter som ennå ikke er en godkjent standard, og vil derfor ikke kunne garantere for kompatibilitet med annet 802.11g utstyr. SuperG vil ennå kunne bruke mesteparten av det eksisterende trådløse frekvensområdet på 2,4 GHz-nettet og kan derfor gi problemer for et eksisterende trådløst nettverk. WEP (Wired Equivalent Privacy Protocol): En krypteringsprotokoll som er ment til å gi like god sikkerhet som vanlige nettverk. MAC (Medium Access Control): En helt unik kode som er brent på hvert nettverkskort. SSID (Service Set Identifier): Navnet på det trådløse nettverket du bruker. VPN (Virtual Private Networking): Dette er et virtuelt nettverk som er kryptert over andre nettverk. Dette kan være et trådløst nettverk som må godkjennes for å komme inn til det ordinære nettverket. DHCP (Dynamic Host Configuration Protocol): En måte for å gi alle maskinene på nettverket en IP-adresse som ingen andre har fra før i et nettverk. Leksjon 01b 15 lek 01b.pdf
40bit/64bit kryptering: Forskjellige fabrikanter av trådløst utstyr har forskjellige benevninger på krypteringen. 64bit kryptering er det samme som 40bit kryptering. Grunnen til at enkelte kaller det 64bit kryptering er at de tar med alle pakkene for godkjenning som da er på 64bit, men det er bare 40bit av disse som er kryptert. Leksjon 01b 16 lek 01b.pdf