अरूबा नेटवर्क - भाग 2: एक सुरक्षित वायरलेस इन्फ्रास्ट्रक्चर का निर्माण

परिचय

इस पोस्ट को पढ़ने वाले सभी को बधाई!
इससे पहले मैंने अरूबा नेटवर्क के बारे में "सामान्य तरीके" से बात की , और उसी स्थान पर मैंने सुरक्षा पहलुओं के बारे में एक अलग पोस्ट लिखने का वादा किया। मैं ईमानदारी से आपको तुरंत चेतावनी देता हूं - एक बड़ा पद। किसी भी विक्रेता के साथ कोई तुलना नहीं होगी; पोस्ट का लक्ष्य किसी विशेष विक्रेता की क्षमताओं को दिखाना है। नीचे वर्णित सभी विशेषताएं सभी अरूबा नियंत्रकों द्वारा समर्थित हैं। मुझसे मिल लो।

पहले मैं कुछ तकनीकी विवरणों के साथ, केवल सुविधाओं की पोस्ट-सूची लिखना चाहता था। लेकिन यह विचार जल्दी ही असहमत हो गया। यह मुझे लगता है कि नियंत्रकों की क्षमताओं के शुष्क विवरण के बजाय, जिसे आप डेटाशीट / विपणन सामग्री / मीठी-मीठी बिक्री प्रबंधकों / अन्य व्यक्तियों और सामग्रियों में आसानी से पढ़ सकते हैं, उन्हें बुनियादी ढाँचे की तैनाती के उदाहरण के रूप में समझना अधिक दिलचस्प होगा। आइए कुछ सार संगठन की कल्पना करें, जिसका प्रधान कार्यालय मॉस्को या सेंट पीटर्सबर्ग में है, जिसकी शाखाएँ बड़े शहरों में हैं जहाँ एक सामान्य इंटरनेट है, और शहरों में जहाँ संचार, इसे हल्के ढंग से रखने के लिए, 24/7 काम नहीं करता है। लेकिन एक ही समय में केंद्रीकृत प्रबंधन और उपकरण संचालन के नियंत्रण की आवश्यकता है। योजनाबद्ध तरीके से इसकी कल्पना करें:



(छत से लिया गया कार्यालय के नाम)।
मास्को कार्यालय में हमारे पास एक उच्च गति वाला स्थायी कनेक्शन है, साथ ही साथ लैन के माध्यम से जुड़ा एक कार्यालय है; हम इंटरनेट के माध्यम से डेटा ट्रांसफर के साथ अन्य कार्यालयों के साथ संवाद करते हैं। इस संबंध में, नोवोसिब कार्यालय किसी भी सुपरनाइटिंग का प्रतिनिधित्व नहीं करता है - इसका निरंतर उच्च गति कनेक्शन भी है। केवल एक चीज यह है कि इंटरनेट पर डेटा ट्रांसमिशन को सुरक्षित करना आवश्यक है, साथ ही मॉस्को से केंद्रीकृत प्रबंधन और नियंत्रण प्रदान करना है।
सबसे दिलचस्प कार्यालय - "रूस की विशालता में कहीं।" जहां, जैसा कि आप जानते हैं, हर जगह से दूर है हाई-स्पीड इंटरनेट। और हमेशा एक मजबूत संबंध नहीं होता है।

 ,       (   "-   "  " ",   .        (   )   ""    "".          . 

हमें अतिरिक्त सॉफ़्टवेयर और हार्डवेयर के न्यूनतम उपयोग के साथ, कम से कम पैसे और समय के लिए (सामान्य रूप से ...) लागू करने की आवश्यकता है:

1. सभी कर्मचारियों को इंटरनेट और कॉर्पोरेट नेटवर्क तक पहुंच प्रदान करें। लेकिन एक ही समय में, गोपनीय सामग्रियों तक पहुंच केवल कुछ उपकरणों के कर्मचारियों और सही क्रेडेंशियल्स के उपयोग के अधीन है। अपने उपकरणों का उपयोग करने वाले कर्मचारी संवेदनशील डेटा तक पहुंच से वंचित हैं।
2. संगठन के मेहमानों के लिए इंटरनेट का उपयोग प्रदान करें। उसी समय, मेहमानों को कॉर्पोरेट रहस्यों तक पहुंच नहीं होनी चाहिए।
3. "विदेशी" वायरलेस नेटवर्क से कनेक्शन से इनकार करें।
4. ताररहित वीओआईपी फोन के कामकाज को सुनिश्चित करें।
5. वायरलेस वीडियो निगरानी प्रणाली के कामकाज को सुनिश्चित करें।
6. कंपनी की सुरक्षा नीति का अनुपालन (आप किसी भी इंटरनेट संसाधनों से कनेक्ट नहीं कर सकते हैं)।
7. WIPS कार्यक्षमता प्रदान करें (वायरलेस घुसपैठ निवारण प्रणाली - एक वायरलेस वातावरण में घुसपैठ को रोकने के लिए प्रणाली)।
8. यह देखने की क्षमता कि फ़्लोर प्लान पर ब्याज की वायरलेस डिवाइस कहाँ स्थित है।
9. विभिन्न कार्यालयों के लिए अलग-अलग सुरक्षा नीतियों को असाइन करने की क्षमता।
10. केंद्रीयकृत नेटवर्क प्रबंधन की संभावना।
11. संगठन की सुरक्षा नीतियों के तहत मोबाइल वायरलेस इंफ्रास्ट्रक्चर बनाने की क्षमता है।

आगे, हम देखेंगे कि इन सभी कार्यालयों में आधारभूत संरचना का निर्माण कैसे किया जाता है; मैं "सरल से जटिल" तक जाने की कोशिश करूँगा: शुरुआत में बुनियादी क्षमताओं के बारे में एक कहानी होगी, फिर हम और गहरी खुदाई करेंगे। यानी मॉस्को में लागू होने वाली हर चीज अन्य कार्यालयों में लागू होती है। नोवोसिब में पड़ोसी कार्यालय में क्या लागू होता है; आदि यह कथन विपरीत दिशा में काम करता है, हालांकि, इस तरह के समाधानों का आवेदन हमेशा उचित नहीं होता है।

मास्को कार्यालय

यहां हमारे पास नियंत्रक है, साथ ही एक्सेस पॉइंट्स (इसके बाद एपी के रूप में संदर्भित) लैन के माध्यम से इससे जुड़ा हुआ है। वायरलेस नियंत्रक के अलावा, अन्य सर्वर भी हेड ऑफिस में स्थित होते हैं, जैसे कि वीओआईपी सर्वर, डोमेन नियंत्रक, प्राधिकरण सर्वर, आदि। नियंत्रक डीएमजेड (और वायर्ड राउटर के रूप में कार्य), और डीएमजेड दोनों के लिए स्थित हो सकता है, लेकिन इस मामले में एपी के लिए नियंत्रक की दृश्यता सुनिश्चित करना आवश्यक है जो इसके साथ संवाद करने के लिए सार्वजनिक नेटवर्क का उपयोग करते हैं।

निम्नलिखित नेटवर्क उठाए जाएंगे: एक अतिथि नेटवर्क जो कि कैप्टिव पोर्टल के माध्यम से पहुंच प्रदान करता है, एक संगठन के कर्मचारियों के लिए एक नेटवर्क है जिसके पास विभिन्न प्रकार के विशेषाधिकार हैं (विशेषाधिकारों का स्तर प्राधिकरण विधि और / या विशिष्ट लॉगिन पर निर्भर करता है), वायरलेस वीओआईपी फोन के संचालन के लिए एक अलग नेटवर्क, एक अलग वायरलेस वीडियो निगरानी कैमरों के कामकाज के लिए नेटवर्क (ज़ाहिर है, वीओआईपी के लिए कुछ सर्वर को उठाया जाना चाहिए, उदाहरण के लिए, तारांकन चिह्न)। ये सभी नेटवर्क वर्चुअल एपी (प्रत्येक अपने बीएसएसआईडी के साथ) के रूप में काम करेंगे।

हमारा नियंत्रक कुछ इस तरह दिखता है:


और पहुंच बिंदु यह है:


जब पहुंच बिंदु बंद कर दिया जाता है, तो हमारे पास इस बारे में कोई जानकारी नहीं होती है कि यह किन नेटवर्क और किन नीतियों के साथ प्रदान किया गया है।
डाउनलोड की प्रक्रिया इस प्रकार है:

1. नियंत्रक लोड किया गया है (लगभग 10 मिनट)।
2. APs अरूबा डिस्कवरी प्रोटोकॉल का उपयोग कर या एक स्थिर आईपी नियंत्रक का उपयोग कर नियंत्रक पाते हैं।
3. टीडी-नियंत्रक कनेक्शन जीआरई सुरंग के निर्माण के साथ स्थापित किया गया है।
4. नियंत्रक से, एपी को सूचना मिलती है: सेवा नेटवर्क, वर्चुअल नेटवर्क, सुरक्षा नीतियों और अन्य मापदंडों के बारे में।
5. आप कनेक्ट कर सकते हैं!

   .       (AP Provision)    " "  " ".   -   ,   .    (  Aruba Discovery Protocol)    ,    ,    GRE -  ,   "" LAN     . 

अब हमारे पास "स्वच्छ" नियंत्रक है। खैर, हो सकता है, आरंभिक कार्य पूरा होने के बाद, उन्हें एक ही सरल नेटवर्क मिल गया। सब कुछ हार्डवेयर में कार्य कर रहा है। हमें एक सुरक्षित बुनियादी ढांचा बनाने की जरूरत है जो उपरोक्त आवश्यकताओं को पूरा करे।

हमने मॉस्को कार्यालय में बुनियादी ढांचे की स्थापना की

यह सबसे लंबा और सबसे महत्वपूर्ण चरण है। यहां हम नियंत्रक पर सभी सेटिंग्स बनाते हैं। और हम दूरस्थ कार्यालयों के आसान "बढ़ाने" के लिए एक स्प्रिंगबोर्ड तैयार कर रहे हैं।
सबसे पहले, हम सभी आवश्यक VLANs बनाते हैं। हमारे मामले में, यह होगा:


सरल बनाने के लिए, यहां 3 वीएलएएन बनाए गए हैं, और इंटरनेट पर यातायात वीएलएएन 1 से होकर गुजरता है, और दूरदराज के कार्यालयों से ट्रैफिक भी इसके माध्यम से गुजरता है, जो अच्छा नहीं है।
अगला, हम वीओआईपी, वीडियो निगरानी, ​​अतिथि पहुंच और कर्मचारियों के लिए वर्चुअल एक्सेस पॉइंट बनाते हैं। यहां विकल्प हैं, आप प्रत्येक के लिए एक अलग बीएसएसआईडी बना सकते हैं, आप एक बीएसएसआईडी पर एसएसआईडी बना सकते हैं। APs मुख्य रूप से 8 BSSIDs का समर्थन करते हैं। कुछ 16 तक। प्रवेश बिंदुओं को समूहीकृत किया जाता है; हम विभिन्न कार्यालयों के लिए अलग-अलग समूह बना सकते हैं।
अगला, हमें प्रमाणीकरण विधि और उपयोगकर्ता भूमिकाओं को निर्धारित करने की आवश्यकता है। प्रत्येक भूमिका के विशिष्ट पहुँच अधिकार हैं; आप नेटवर्क के विभिन्न एक्सेस अधिकारों के साथ, उदाहरण के लिए, "कॉर्पोरेट डिवाइस से कर्मचारी" और "व्यक्तिगत डिवाइस से कर्मचारी" अतिरिक्त भूमिकाएँ बना सकते हैं।
लेकिन, सेटिंग्स के जंगल में भागने से पहले, आपको यह समझने की आवश्यकता है कि सब कुछ कैसे काम करता है। नियंत्रक अपने अरूबाओएस ओएस के तहत काम करता है।

अरूबा ओएस 6.1 के बारे में थोड़ा सा

यहां मुख्य "ढीला परिवर्तन" प्रोफाइल है। एक प्रोफ़ाइल में सेटिंग्स का एक समूह होता है, उदाहरण के लिए, एएए प्रोटोकॉल सेटिंग्स या विशिष्ट वायरलेस सेटिंग्स। परंपरागत रूप से, प्रोफाइल को 2 बड़े समूहों में विभाजित किया जा सकता है: समूह 1 - वायरलेस नेटवर्क के वास्तविक कामकाज के लिए जिम्मेदार प्रोफाइल (एसएसआईडी के बारे में जानकारी, एपी की हार्डवेयर सेटिंग्स, रेडियो पर्यावरण नियंत्रण), घुसपैठ की रोकथाम के कार्य; और दूसरा समूह - विस्तृत प्रमाणीकरण सेटिंग्स और अतिरिक्त उपकरण क्षमताओं के लिए जिम्मेदार प्रोफाइल। प्रत्येक समूह में प्रोफाइल पदानुक्रमित हैं; यानी यदि कोई "निचला" प्रोफ़ाइल नहीं है, तो नेटवर्क बंद नहीं होगा। सिद्धांत रूप में, नियंत्रक के प्रारंभिक कॉन्फ़िगरेशन (और नेटवर्क विज़ार्ड के आगे उपयोग) के दौरान, सभी आवश्यक प्रोफाइल बनाए जाते हैं, इसलिए काम का थोक मौजूदा प्रोफाइल को संपादित करना है। इसे स्पष्ट करने के लिए, मैं आपको प्रोफाइल का एक पेड़ ( अरूबा नेटवर्क की वेबसाइट पर मुफ्त प्रलेखन से लिया गया) दूंगा।
WLAN कामकाज प्रोफाइल ट्री:


"अन्य" प्रोफाइल का पेड़:


यह देखना आसान है कि प्रमाणीकरण के संदर्भ में, एएए प्रोफाइल दूसरे समूह के प्रोफाइल को संदर्भित करता है।

उपयोगकर्ता भूमिकाओं के लिए नीतियों के असाइनमेंट के माध्यम से फ़ायरवॉल यहाँ "बंधे" है; प्रमाणीकरण परिणामों के आधार पर उपयोगकर्ता भूमिकाएँ सौंपी जाती हैं। हालाँकि, प्रमाणीकरण समस्या उतनी पारदर्शी नहीं है जितनी कि लगती है; हम इस पर विचार करेंगे। अब आइए संक्षेप में फ़ायरवॉल का वर्णन करते हैं। फ़ायरवॉल एक स्टेटफुल फ़ायरवॉल है, अटैकिंग डिवाइस को ब्लॉक करने के साथ सरल DOS हमलों (SYN TCP, IP स्पूफिंग) का पता लगाना संभव है (थोड़ी देर के लिए या जब तक कि प्रशासक मैन्युअल रूप से इसे "ब्लैक लिस्ट" से हटा नहीं देता)। IPv4 और ipv6, "व्हाइट" एक्सेस लिस्ट का समर्थन करता है।
फ़ायरवॉल को कॉन्फ़िगर करना कोई मुश्किल पेश नहीं करता है: राजनेताओं में सरल नियमों का एक सेट होता है; नियम में आईपी संस्करण (प्रोटोकॉल संस्करण) फ़ील्ड, आउटगोइंग सोर्स (आप अपने स्वयं के स्रोत बना सकते हैं), गंतव्य स्रोत (आप अपना खुद का भी बना सकते हैं), नेटवर्क सेवाएं (फिर से वे स्वयं निर्मित होते हैं; बॉक्स में से अधिकांश नेटवर्क सेवाओं का उपयोग किया जाता है), विभिन्न क्रियाएँ (स्वीकार, अस्वीकार, सुरंग, आदि), मिररिंग और लॉगिंग विकल्प, नियम प्राथमिकता, आदि। सप्ताह के समय / दिन के आधार पर राजनीति में विभिन्न नियमों को लागू करना संभव है। नियंत्रक से समय लिया जाता है; एक अलग समय क्षेत्र में स्थित वस्तुओं के लिए समय सीमा बनाते समय इसे ध्यान में रखा जाना चाहिए।
यह ध्यान दिया जाना चाहिए कि अरूबा ओएस के लिए विशिष्ट, कुछ के लिए बहुत सुखद क्षण नहीं है: वास्तव में, फ़ायरवॉल सेटिंग्स वेब इंटरफ़ेस द्वारा प्रदान की गई तुलना में बहुत व्यापक हैं; सीएलआई का उपयोग करते समय - आप अधिक सूक्ष्म सेटिंग्स निर्दिष्ट कर सकते हैं। एक और सवाल यह है कि वहाँ सेटिंग्स पहले से ही यातायात के महीन मार्ग के करीब हैं, और हमेशा नहीं और हर किसी को उनकी ज़रूरत नहीं है। आप डायरेक्ट कनेक्शन (कंट्रोलर पोर्ट पर) या SSH / टेलनेट के माध्यम से CLI से कनेक्ट कर सकते हैं। बाद के मामले में, आईपी पते को सीमित करना संभव है, जहां से कनेक्शन संभव है। इसके अलावा वेब इंटरफेस में ही वर्चुअल जावा-आधारित सीएलआई की संभावना है। लेकिन यह JRE की स्थापना की ओर जाता है, और इसके अलावा (सैद्धांतिक रूप से) यह सभी जावा कमजोरियों के अधीन है। सामान्य तौर पर, पुट्टी जैसे "पारंपरिक" एसएसएच ग्राहकों के साथ जुड़ना बेहतर होगा।
इस पर मैंने अरूबा ओएस के भ्रमण को समाप्त करने का प्रस्ताव रखा; कुछ तकनीकी जानकारी बाद में बताई जाएगी, आवश्यकतानुसार। यहां फ़ायरवॉल कैसे काम करता है, मुझे लगता है कि हर कोई समझता है; यहाँ कुछ भी नहीं है। आइए इसका पता लगाते हैं, हम अभी भी भूमिका कैसे निभाते हैं?

उपयोगकर्ता प्रमाणीकरण

आइए पहले प्रमाणीकरण प्रक्रिया आरेख देखें (मैं कैनन के अनुसार फ्लोचार्ट के लिए अग्रिम में माफी चाहता हूं):


मशीन प्रमाणीकरण का उपयोग करके एक प्रमाणीकरण योजना यहां वर्णित है। इसका मतलब है कि अगर डिवाइस इस नेटवर्क पर उपयोग के लिए अधिकृत नहीं है, तो उपयोगकर्ता को पूर्ण एक्सेस नहीं मिलेगा, भले ही प्रमाणीकरण सर्वर सकारात्मक रूप से जवाब दे। मशीन प्रमाणीकरण को लागू किया जा सकता है, उदाहरण के लिए, प्रमाण पत्र का उपयोग करके - उपयुक्त नियंत्रण प्रदान किए जाते हैं।
बेशक, आप अधिक सरलीकृत प्रमाणीकरण योजनाएँ बना सकते हैं।
यह योजना निम्नानुसार काम करती है: हमारे पास 3 भूमिकाएं निर्धारित हैं: उदाहरण के लिए, पूर्ण पहुंच, सीमित (कहते हैं, ऐसी सामग्री तक पहुंच है जिसमें गोपनीय डेटा शामिल नहीं है) और अतिथि पहुंच। स्वाभाविक रूप से, गोपनीय सामग्रियों को अलग-अलग सर्वरों पर झूठ बोलना चाहिए; गोपनीय सामग्रियों को नियंत्रित करने के मुद्दे इस पद के दायरे से परे हैं; अब हम उन पर विचार नहीं करेंगे।
प्रमाणीकरण कितना सफल है, इसके आधार पर, उपयुक्त भूमिकाएं प्रदान की जाती हैं। जब भूमिकाएं सौंपते हैं, तो कुछ बारीकियां होती हैं, लेकिन सामान्य तौर पर वे प्रक्रिया को थोड़ा प्रभावित करते हैं।
उपलब्ध प्रमाणीकरण विकल्प:

1. RADIUS
2. एलडीएपी
3. टीएसीएसीएस +
4. NTLM (Windows)
5. 802.1X
6. आंतरिक डीबी
7. कस्टम वेब पोर्टल (कैप्टिव पोर्टल)
8. XML- एपीआई सर्वर (वास्तव में, स्व-लिखित कनेक्टर)

प्रमाणीकरण के लिए आंतरिक डेटाबेस की अत्यधिक अनुशंसा नहीं की जाती है; एक अपवाद अतिथि खातों का निर्माण है। अरूबा ओएस अतिथि खातों के निर्माण के लिए एक सुविधाजनक उपकरण है, जिसमें उस व्यक्ति के ईमेल द्वारा उपयोगकर्ता नाम / पासवर्ड / वायरलेस नेटवर्क नाम को स्वचालित रूप से सूचित करने की क्षमता है जिसके लिए पहुंच बनाई जा रही है। अतिथि खाता अवधि में सीमित है, जिसके बाद यह स्वचालित रूप से बंद हो जाता है (लेकिन आंतरिक डेटाबेस में रहता है; एक तरफ, यह सुविधाजनक है, दूसरी तरफ, मैन्युअल रूप से अनावश्यक प्रविष्टियों को हटाने की आवश्यकता है)।
मुख्य कारण है कि कर्मचारी प्रमाणीकरण के लिए डेटाबेस का उपयोग करने की अनुशंसा नहीं की जाती है, जो कि खाता प्रबंधन प्रणालियों के साथ एकीकृत करने में असमर्थता है (मान लीजिए ... सशर्त असंभवता, एपीआई, पाया जा सकता है); और बस इस मामले में, सिस्टम प्रशासन अधिक महंगा हो जाता है। ऐसा क्यों है, यदि आप AD से, उदाहरण के लिए, डेटा ले सकते हैं
मुझे लगता है कि प्रमाणीकरण तंत्र, आम तौर पर स्पष्ट है। WIPS सबसिस्टम (वायरलेस घुसपैठ निवारण प्रणाली) पर चलते हैं।

WIPS सबसिस्टम; स्थान ट्रैकिंग; इवेंट लॉगिंग

इस खंड में मैं WIPS के काम का वर्णन करूंगा, जो RTLS (रियल-टाइम लोकेशन सिस्टम) के साथ घनिष्ठ रूप से जुड़ा हुआ है, जो अप्रत्यक्ष रूप से उन प्रणालियों को जिम्मेदार ठहराया जा सकता है जो शारीरिक सुरक्षा प्रदान करते हैं; इसके अलावा, RTLS के लिए किसी भी अतिरिक्त कंप्यूटिंग सिस्टम को स्थापित करना आवश्यक नहीं है। एकमात्र "ब्यूट": नियंत्रक की कंप्यूटिंग संसाधन बड़ी संख्या में उपकरणों को ट्रैक करने के लिए पर्याप्त नहीं हैं; इसलिए, यदि क्लाइंट और "दुश्मन" उपकरणों की निरंतर निगरानी को व्यवस्थित करना आवश्यक है, तो अरूबा एयरवेव सॉफ्टवेयर का उपयोग करना बेहतर है। लेकिन यह आवश्यक नहीं है।
इसके अलावा, सुरक्षा के समग्र स्तर को बढ़ाने के लिए, हमारे वायरलेस नेटवर्क के लिए "एलियन" उपकरणों के कनेक्शन को सीमित करना वांछनीय है, साथ ही साथ "आपके" नेटवर्क के कवरेज क्षेत्र में स्थित उपकरणों के कनेक्शन को "एलियन" वायरलेस नेटवर्क से प्रतिबंधित करना है। WIPS को ठीक से काम करने के लिए, आपको सबसे पहले IDS प्रोफ़ाइल में मापदंडों को निर्दिष्ट करना होगा, जैसे - मानदंड जिसके द्वारा पता लगाए गए डिवाइस "दुश्मन" (दुष्ट), नियंत्रित क्षेत्र के भीतर निषिद्ध कनेक्शन के प्रकार (नियंत्रित क्षेत्र - हमारे एपी द्वारा कवर किया गया ज़ोन), आदि। । अरूबा नियंत्रित क्षेत्र के अंदर उपकरणों द्वारा बनाए गए एड-हॉक नेटवर्क को दबा सकते हैं, अमान्य मैक पते का पता लगा सकते हैं (उदाहरण के लिए VMWare आभासी उपकरणों के ज्ञात मैक पते को छोड़कर)। नियंत्रक को स्थानीय नेटवर्क से कनेक्ट करते समय, नियंत्रक को दिखाई देने वाले नेटवर्क के वायर्ड भाग को नियंत्रित करना संभव हो जाता है; निगरानी बुनियादी है - हम एक अनधिकृत डिवाइस के कनेक्शन को ट्रैक कर सकते हैं और वायर्ड नेटवर्क सेगमेंट तक पहुंच को रोक सकते हैं (बशर्ते कि नियंत्रक के पास अतिरिक्त राउटर फ़ंक्शन हैं), या व्यवस्थापक को सतर्क करें।

   :         (,  Ad-Hoc ,    , ,    )?      : .91:   - ,                   ,     ,      ,              .   57:    -    .  ,    .  ,         . ,      ;        . 

हम वायरलेस क्षेत्रों में क्या कर सकते हैं? और यहाँ है:

1. अनधिकृत कनेक्शन का पता लगाएं और इसे दबा दें।
2. अनधिकृत तदर्थ नेटवर्क, पुल का पता लगाएं।
3. एक अनधिकृत पहुंच बिंदु का पता लगाएं।
4. वायरलेस डिवाइस की स्थिति जानें।
5. "विदेशी" नेटवर्क से कनेक्शन दबाएं।
6. "विदेशी" क्लाइंट के कनेक्शन को अपने नेटवर्क पर दबाएं।

फर्श योजना पर स्थान का पता लगाने और गणना त्रिकोणासन के उपयोग के माध्यम से की जाती है; एक्सेस पॉइंट जिनके निर्देशांक ज्ञात होते हैं, ज्ञात निर्देशांक वाले बेस स्टेशन के रूप में कार्य करते हैं। इसी समय, पहुंच बिंदु अपने मुख्य कार्यों को करना जारी रखते हैं - वास्तव में, नेटवर्क तक पहुंच प्रदान करते हैं।
पहचान की गुणवत्ता में सुधार करने के लिए, आप एपी - एयरमॉनिटर के विशेष मोड का उपयोग कर सकते हैं। इसे हवा को नियंत्रित करने और आधिकारिक संचालन करने के लिए डिज़ाइन किया गया है, जैसे कि नेटवर्क अनुकूलन, अवैध उपकरणों का पता लगाना, आदि। हालाँकि, जब इस मोड में काम कर रहा है, तो एपी क्लाइंट को नेटवर्क एक्सेस प्रदान करना बंद कर देता है। यह ध्यान देने योग्य है कि कुछ मामलों में "हाइब्रिड" APs बनाना संभव है: एयरमोनिटर मोड में काम करने का समय और सामान्य मोड में समय का हिस्सा।
"शत्रु" उपकरणों को उस श्रेणी में खोजा जाता है जिसमें एपी काम करता है। चूंकि ज्यादातर एपी 2.4 और 5 गीगाहर्ट्ज बैंड में एक साथ काम कर सकते हैं, दोनों बैंडों की निगरानी की जाती है। नीचे एक संकेत है कि किन चैनलों की निगरानी की जा रही है (स्वतंत्र रूप से वितरित प्रलेखन से लिया गया है):


WIPS मोड को सक्रिय करने के बाद, AP का उपयोग करने वाला नियंत्रक आसपास के उपकरणों के बारे में डेटा प्राप्त करता है और प्रत्येक AP समूह के लिए IDS प्रोफ़ाइल में कॉन्फ़िगर किए गए मापदंडों के अनुसार उन्हें वर्गीकृत करता है। प्रोफ़ाइल सेटिंग्स के आधार पर, स्वचालित रूप से कनेक्शन को दबाने या डैशबोर्ड पर "दुश्मन" उपकरणों के बारे में जानकारी प्रदर्शित करना संभव है।
तारपिट शील्ड तकनीक का उपयोग करके वायरलेस उपकरणों का दमन होता है; इस तकनीक का सार इस तथ्य में निहित है कि एक "शत्रुतापूर्ण" ग्राहक को स्पष्ट रूप से गलत बीएसएसआईडी या चैनल से कनेक्ट करने के लिए मजबूर किया जाता है; इसके साथ ही, क्लाइंट को हमारे नेटवर्क के एपी से अलग (डिस्कनेक्ट) किया जाता है। जब आप "विदेशी" नेटवर्क से कनेक्ट करने का प्रयास करते हैं, तो डेटा को इंटरसेप्ट किया जाता है और फिर अपने आप पर एक गलत रूट लगाया जाता है।
उपयोगकर्ता की ओर से, यह नेटवर्क के लिए एक अंतहीन सामंजस्य के रूप में देखा जाता है; बड़े नेटवर्क लोड के साथ, कुछ पैकेट "के माध्यम से पर्ची" कर सकते हैं, लेकिन नुकसान का प्रतिशत काफी अधिक है (कहते हैं, 10 अनुरोधों के लिए पिंग 90-97% नुकसान लौटाएगा); जब आप हमारे एक्सेस पॉइंट से कनेक्ट करने का प्रयास करते हैं, तो डिवाइस को "ब्लैक लिस्ट" में जोड़ना संभव है।
जब एयरवेव स्थापित और मॉनिटर मोड चालू होता है, तो हम ऐसी तस्वीर देखेंगे (नियंत्रक का उपयोग करते समय, चित्र लगभग समान होगा, लेकिन आपको इसके स्थान को देखने के लिए ब्याज की डिवाइस का चयन करना होगा):


लाल त्रिकोण "दुश्मन" टीडी को इंगित करते हैं, लैपटॉप के साथ पीले घेरे कानूनी ग्राहक हैं।
उच्च रेडियो शोर वाले क्षेत्र में WIPS स्थापित करते समय, कुछ समय प्रणाली को प्रशिक्षित करने के लिए समर्पित होना चाहिए - ताकि यह पड़ोसियों के "तटस्थ" एपी को याद रखे और उनके लिए पड़ोसी उपकरणों के कनेक्शन को न दबाए; पड़ोसी उपकरणों के लिए "अपने" उपकरणों के कनेक्शन को बाहर करने के लिए, आपको संबंधित एपी के लिए आईडीएस प्रोफाइल को ठीक से ट्यून करना चाहिए, विशेष रूप से, "निषिद्ध" नेटवर्क से कनेक्ट होने वाले डिवाइस के अधिकतम सिग्नल स्तर को निर्धारित करने के लिए (क्योंकि अधिकांश मामलों में पड़ोसी डिवाइस स्पष्ट रूप से अधिक होगा "उनके" की तुलना में एक कमजोर संकेत)।

मुख्य कार्यालय में कॉन्फ़िगरेशन का अंतिम स्पर्श नियंत्रक तक पहुंच को प्रतिबंधित करना चाहिए (काली सूची वाले उपकरणों को भेजने की संभावना के साथ जो अनधिकृत आईपी से नियंत्रक से जुड़ने की कोशिश करता है)। यदि आवश्यक हो, तो आप क्लाइंट ट्रैफ़िक के एन्क्रिप्शन की आवश्यकता दर्ज कर सकते हैं।
यदि कोई इंस्टॉल की गई सीएमई प्रणाली है, तो आप सीधे इसे (सिसलॉग प्रोटोकॉल) में लॉग भेज सकते हैं।
हम मॉस्को के पास कार्यालय जाते हैं।

पड़ोसी कार्यालय

; -, , : - , , 220. Mesh-.
: (Mesh-), () .
, , ; — , .
:

1. ; , , , ,
2. , . ;

, — «» «mesh» .
; . : mesh GRE ( LAN- ), , «» «», - .

«» — .

«»

; LAN , . , ( , - … ). — «- ».
, VPN . , VPN VPN` . — ( -) — . . , , LAN, , , :


, , , ; , , , , -, .
, , , «» . mesh- , , «». , VPN (IPSEC), , , - .
— , , , LAN. , .
.

«- », « »

: , — . , . , «» . — . , ( — « »):


Aruba RAP (Remote Access Point). RAP « » ; . VPN ( ..) . RAP DHCP ; , , . , , , .

- , , USB GPRS/3G/4G . RAP :


USB , USB- (, ; , , Huawei), USB- NAS-. , - .

-.

VoIP

. . VoIP ( ). , .

; , - , , ; .
!