125 Кібербезпека / 4 Курс / 4.2_Управління інформаційною безпекою / Лiтература / Гончарова Основи захисту iнф. в - мер

Доступ до мережі забезпечується шляхом передачі широкомовних сигналів через ефір. Приймаюча станція може отримувати сигнали в діапазоні роботи декількох передавальних станцій. Станція-приймач використовує ідентифікатор зони обслуговування (Service Set Identifier – SSID) для фільтрації отримуваних сигналів і виділення безпосередньо потрібних.

Зоною обслуговування (Service Set – SS) називаються логічно згруповані пристрої, що забезпечують підключення до бездротової мережі.

Базова зона обслуговування (Basic Service Set – BSS) – це група станцій, які пов’язані одна з одною на основі технологій бездротового зв’язку. Технологія BSS передбачає наявність особливої станції, яка називається точкою доступу (access point).

Станція інформаційної мережі бездротового зв’язку – це комп’ютер або інший периферійний пристрій, мережне устаткування, підключене до бездротової мережі через внутрішній або зовнішній бездротовий адаптер мережного інтерфейсу.

Маршрутизатори (Routers). Бездротові маршрутизатори працюють, як «ворота», між зовнішньою глобальною мережею та внутрішніми локальними чи корпоративними мережами. Вони розподіляють трафік між певною комутативною мережею і глобальною. Більшість із них мають вбудований адаптер, що автоматично призначає ІP-адресу кожному комп’ютеру всередині визначеної мережі. Окремий мережний вхід з’єднує маршрутизатор із зовнішньою мережею, даючи змогу користувачам розділяти з’єднання з глобальною мережею. Більшість маршрутизаторів має вбудовану апаратно-програмну систему захисту інформації (firewall) та інші спеціальні функції для підвищення безпеки бездротової мережі [24,

106].

Комутатори бездротової мережі (Switches and hubs). Ethernet-

технологія – це основа кожної інформаційної мережі. При підключенні додаткових елементів мережі використовуються звичайні Ethernetкомутатори. Практично кожний сучасний комп’ютер має вбудований Ethernet-адаптер. Відповідно, більшість бездротових маршрутизаторів мають вбудовані три або чотири Ethernet-порти. Switches і hubs можуть підтримувати безліч з них без значного зменшення швидкості зв’язку для кожного. Багато точок доступу й більшість бездротових мережних адаптерів мають вбудовані всебічноспрямовані антени. У більшості ситуацій, ці вбудовані антени слугують для здійснення процесу передачі та прийому інформаційного потоку даних між точкою доступу й найближчим користувачем (рис. 3.5).

121

Рис. 3.5. Методика обміну даними через точку доступу

Під час зв’язку між базовою станцією та бездротовим мережним адаптером беруть участь дві антени – по одній на кожному кінці. На кожному з них антена з високим коефіцієнтом підсилення впливає на якість сигналу, тому ефективною може бути заміна стандартної антени на спрямовану в точці доступу або на мережному інтерфейсі. Спрямовані антени можуть забезпечити значне поліпшення якості сигналу у вузькій зоні покриття. Крім того, вони здатні зменшити вплив завад від бічних зон за межами пелюстка спрямованості антени.

Бездротові мережі Wi-Fi підтримують декілька різних режимів роботи, що реалізовуються для конкретних цілей. Рівень доступу до середовища передачі даних називають МАС-рівнем (або підрівнем – Media Access Control) канального рівня. Саме на MAC-рівні встановлюються правила спільного використання середовища передачі даних одночасно кількома вузлами бездротової мережі.

МАС-рівень визначає два основні типи архітектури та режими роботи бездротових мереж:

–локальні бездротові Аd-Нос-мережі;

–інфраструктурні мережі (Infrastructure Mode).

Локальною бездротовою мережею (Аd-Нос) називається мережа, яка являє собою автономну групу станцій, що працює без підключення до глобальних мереж передачі даних. Вона містить дві або більше бездротових станцій без використання точок доступу. Аd-Нос-мережі також називаються одноранговими й незалежними базовими наборами служб. У режимі Ad-Hoc (рис. 3.6), який називають також незалежним базовим обслуговуванням (Independent Basic Service Set-IBSS), або режимом типу «точка-точка» (Pоint to Pоint), станції взаємодіють безпосередньо.

Рис. 3.6. Локальна бездротова мережа з Аd-Нос режимом

122

Аd-Нос-режим: однорангова взаємодія типу «точка – точка». Користувачі (комп’ютери) здійснюють обмін інформаційними повідомленнями без застосування точок доступу.

У режимі Ad-Hoc клієнти встановлюють зв’язок безпосередньо один із одним. Встановлюється однорангова взаємодія за типом «точка-точка», і користувачі взаємодіють безпосередньо без використання точок доступу. При цьому створюється одна зона обслуговування, що не має інтерфейсу для підключення до локальної мережі.

Для цього режиму потрібен мінімум устаткування: кожна станція має бути оснащена бездротовим адаптером. За такої конфігурації немає потреби створювати мережеву інфраструктуру. Основними недоліками режиму Ad-Hoc є обмежений діапазон можливостей цієї мережі та неможливість підключення до зовнішньої мережі (наприклад, до Інтернету). Основна перевага даного режиму – простота організації: він не вимагає додаткового устаткування (точки доступу). Режим може застосовуватися для створення тимчасових локальних мереж передачі даних.

Необхідно мати на увазі, що режим Ad-Hoc дозволяє встановлювати з’єднання на швидкості не більше 11 Мбіт/с, незалежно від використовуваного устаткування. Реальна швидкість обміну даними буде нижча і складе не більш 11/N Мбіт/с, де N – число пристроїв в мережі. Дальність зв’язку складає не більше ста метрів, а швидкість передачі даних швидко падає із збільшенням відстані.

Режим Infrastructure Mode. Інфраструктурною бездротовою мережею називається мережа, яка являє собою групу станцій, що працює з підключенням до глобальних мереж передачі даних та інформаційних ресурсів з використанням однієї або більше точок доступу.

Кожна бездротова станція обмінюється повідомленнями та даними з точкою доступу, що передає їх на інші вузли у комутативній мережі. Будьяка мережа, що вимагає комутативного підключення через точку доступу до периферійного устаткування, файлового сервера або інтернет-шлюзу, є інфраструктурною. Інфраструктурну мережу зображено на рис. 3.7.

Базовим набором служб називається інфраструктурна мережа, що використовує тільки одну базову станцію для забезпечення прийому та передачі інформаційних потоків даних.

123

Рис. 3.7. Інфраструктурна бездротова мережа з комутацією через точку доступу до стандартної мережі

Розширеним набором служб називається інфраструктурна бездротова мережа, що використовує дві або більше точок доступу для забезпечення прийому та передачі інформаційних потоків даних.

Крім двох різних режимів функціонування бездротових мереж на канальному рівні ISO/OSI визначаються правила колективного доступу до середовища передачі даних. Необхідність існування таких регламентуючих правил цілком очевидна при організації системи передачі даних, одночасно кожному вузлу бездротової мережі. У результаті інтерференції кількох таких сигналів, базові вузли не можуть одержати та ідентифікувати адресу переданих даних. Саме тому необхідне існування твердих регламентуючих правил, які визначали б колективний доступ до середовища передачі даних.

На рівні каналу визначаються два типи колективного доступу до середовища передачі даних:

–функція розподіленої координації (Distributed Coordination Function

–DCF);

– функція централізованої координації (Point Coordination function –

PCF).

Функція розподіленої координації (DCF) – метод, що дає змогу знизити ймовірність виникнення колізій та одночасно гарантує всім вузлам мережі рівноправний доступ до середовища передачі даних.

Зазначені методи координації ґрунтуються на організації колективного доступу до інформаційних ресурсів з виявленням частоти носія інформаційного сигналу з умов використання алгоритму запобігання

колізіям (Carrier Sense Multiple Access/Collision Avoidance, CSMA/CA). За такої організації кожний вузол перш ніж почати передачу, «прослуховує» середовище, намагаючись виявити наявність сигналу, і тільки за умови, що середовище вільне, починає передачу даних.

Однак, у цьому разі велика ймовірність виникнення колізій: коли два або більше вузлів мережі одночасно (або майже одночасно) виявлять, що середовище вільне і почнуть передавати інформаційні повідомлення. Для

124

зниження ймовірності виникнення таких ситуацій використовується механізм запобігання колізіям (Collision Avoidance – СA).

Суть цього механізму полягає у тому, що кожний вузол мережі, переконавшись, що середовище вільне, перш ніж почати передачу, очікує дозволу протягом певного проміжку часу. Цей проміжок є випадковим і складається з двох складових: обов’язкового проміжку (DCF Interframe Space) і вибраного у випадковий спосіб проміжку зворотного відліку. У результаті кожний вузол мережі перед початком передачі очікує протягом випадкового проміжку часу отримання дозволу на саму передачу. Зазначена затримка у роботі значно знижує ймовірність виникнення колізій, оскільки ймовірність того, що два вузли мережі будуть очікувати протягом того самого проміжку часу, надзвичайно мала.

Для того, щоб гарантувати всім вузлам мережі рівноправний доступ до середовища передачі даних, необхідно відповідним чином визначити алгоритм вибору тривалості проміжку зворотного відліку (backoff time). Проміжок зворотного відліку хоч і є випадковим, але визначається на підставі деяких дискретних проміжків часу, тобто дорівнює цілому числу – кількості елементарних часових проміжків, названих тайм-слотами (Time Slot). Для вибору проміжку зворотного відліку кожний вузол мережі формує так зване вікно конкурентного доступу (Contention Window – CW),

що використовується для визначення кількості тайм-слотів, протягом яких станція очікувала перед початком передачі. Фактично вікно CW – це діапазон для вибору кількості тайм-слотів, причому мінімальний розмір вікна визначається в 31 тайм-слот, а максимальний розмір – в 1023 таймслоти. Проміжок зворотного відліку визначається, як кількість тайм-слотів, залежна від розміру вікна CW:

Back off time [CWmin , CWmax]×Slot time.

Коли вузол мережі намагається одержати доступ до середовища передачі даних, то після неодмінного проміжку очікування запускається процедура зворотного відліку. Тобто, включається зворотний відлік лічильника тайм-слотів, починаючи від вибраного значення вікна CW. Якщо протягом усього проміжку очікування середовище залишається вільним (лічильник зворотного відліку дорівнює нулю), то вузол починає передачу.

Після успішної передачі вікно CW формується знову. Якщо за час очікування передачу почав інший вузол мережі, то зворотний відлік лічильника припиняється, а передача даних відкладається. Тільки після того, як середовище стане вільним, цей вузол знову почне процедуру зворотного відліку, але вже з меншим розміром вікна CW. Зрозуміло, що даний розмір вікна затримки визначається попереднім значенням лічильника зворотного відліку і, відповідно встановлюється меншим за значенням часу очікування.

125

Рис. 3.8. Реалізація рівноправного доступу до середовища передачі даних у методі DCF

При цьому очевидно, що чим більшу кількість разів вузол відкладає передачу через зайнятість середовища, тим вища ймовірність того, що наступного разу він одержить доступ до середовища передачі даних (рис. 3.8). Розглянутий алгоритм реалізації колективного доступу до середовища передачі даних гарантує рівноправний доступ усіх вузлів мережі до середовища. Однак, за такого підходу, ймовірність виникнення колізій хоча й мала, але однак існує. Зрозуміло, що знизити ймовірність виникнення колізій можна, збільшивши максимальний розмір формованого вікна CW. Проте у цьому разі збільшується час затримок при передачі й тим самим знижується продуктивність бездротової мережі.

Інтеграція бездротового сегмента. Бездротова інформаційна мережа потребує специфічного набору компонентів комунікаційного обладнання на відміну від стандартної дротової мережі. Найбільш істотна відмінність полягає у відсутності комутативного з’єднання між сервером мережі, комп’ютерами бездротових клієнтів та інших пристроїв, що формують загальну інфраструктуру мережі. Інтерфейс бездротової мережі між дротовою та бездротовою частинами має використовувати радіопередавачі й приймачі для забезпечення проходження інформаційних потоків даних.

Питання вибору конфігурації. Для вибору конфігурації бездротової мережі передусім необхідно виміряти рівень сигналу на певній території та з огляду на вже наявну мережну інфраструктуру скласти проект майбутньої мережі. За наявності стандартної комутаційної мережі з виходом до глобальних інформаційних ресурсів та функціонуванням серверів, робочих станцій, мережних принтерів й т. ін., рекомендовано зберегти відповідну інфраструктуру, лише доповнивши її бездротовими можливостями. У такому разі застосовується одна або кілька точок доступу, що працюють у режимі інфраструктурної бездротової мережі (Infrastructure Mode). Дане устаткування повинно використовуватись для об’єднання всіх бездротових пристроїв з утворенням прозорого мосту між бездротовим і дротовими сегментами мережі. При цьому кожна точка має підключатися до порту дротового комутатора/маршрутизатора.

Якщо використовуються декілька не позв’язаних між собою і розташованих на різних територіях сегментів дротової мережі, їх можна зв’язати за допомогою додаткових точок доступу, які працюють у режимі

мультиплексорного мосту «Wіreless/Multіple Bridge» (рис. 3.9),

призначеному для об’єднання двох і більше сегментів дротових мереж.

126

Рис. 3.9. Режим мультиплексорного мосту для об’єднання двох і більше сегментів дротових мереж

Для поліпшення якості сигналу можна скористатися зовнішніми додатковими антенами: вузько-спрямованою для з’єднання в зоні прямого бачення (коли необхідно, щоб сигнал поширювався в одному напрямі) та всебічно-спрямованою (коли необхідно збільшити зону покриття у приміщенні).

Більшість бездротових мережних інтерфейсних адаптерів виконують тільки одну функцію: вони здійснюють обмін даними між комп’ютером і мережею.

Бездротовий доступ до дротової мережі. Будь-яка точка доступу може виступати, як базова станція, поповнюючи наявну дротову мережу бездротовим зв’язком (рис. 3.10) [40, 63]. Точка доступу забезпечує такий самий зовнішній вигляд іншої частини мережі, як і додатковий комутатор (хаб або світч), що з’єднує дротові вузли. У такому різновиді інтегрованої мережі кожний пристрій може здійснювати обмін даними з будь-яким іншим мережним вузлом, незалежно від способу підключення. При цьому не має значення в який спосіб, за допомогою дротового чи радіозв’язку, підключено конкретне комунікаційне устаткування до мережі.

Рис. 3.10. Інтеграція бездротових сегментів до стандартної мережі

У комбінованій структурі мережі, що містить як дротові підключення, так і бездротові зв’язки, найкращим способом функціонування системи може стати використання окремих пристроїв, що поєднують функції

127

бездротової точки доступу із дротовим хабом або світчем (рис. 3.11). Такий тип точки доступу іноді описується, як широкосмуговий маршрутизатор. Головними перевагами комбінування точки доступу та хаба є зручність їх використання для малих локальних бездротових мереж. Комбінована одиниця може також стати найшвидшим способом розширення наявної мережі з додаванням як дротових так і бездротових вузлів у віддаленому місці розташування.

Рис. 3.11. Використання типу точки доступу, як широкосмугового маршрутизатора

Широкосмуговий шлюз являє собою точку доступу, яка містить та використовує порт для безпосереднього підключення до DSL-передавача або кабельного модему, що підтримує високошвидкісний доступ до глобальної мережі (рис. 3.12).

Рис. 3.12. Режим – широкосмуговий шлюз для змішаної мережі

Деякі шлюзові пристрої містять кілька Ethernet-портів для комутаційних підключень до локальних комп’ютерів. Такий підхід особливо ефективний для найбільш розгалуженої комбінованої інформаційної мережі.

Режими WDS і WDS WITH AP. Термін WDS (Wireless Distribution System) розшифровується як «розподілена бездротова система». У цьому режимі точки доступу з’єднуються лише між собою, утворюючи мостове з’єднання При цьому кожна точка може з’єднуватися з декількома іншими точками. Всі точки у цьому режимі повинні використовувати один і той же

128

канал, тому кількість точок, що беруть участь в утворенні моста, не повинна бути надмірно великим. Підключення клієнтів здійснюється лише по дротовій мережі через uplink-порти точок (рис. 3.13).

Рис. 3.13. Складний мостовий режим

Режим бездротового моста, аналогічний дротовим мостам, призначений для об’єднання підмереж в спільну мережу. За допомогою бездротових мостів можна об’єднувати проводові LAN, що знаходяться як в сусідніх будівлях, так і на відстані до декількох кілометрів. Це дозволяє об’єднати в мережу філії і центральний офіс, а також підключати клієнтів до мережі провайдера Internet (рис. 3.14).

Бездротовий міст може використовуватися там, де прокладання кабелю між будівлями неможливе. Дана реалізація дозволяє досягти значної економії засобів і забезпечує простоту налаштування і гнучкість конфігурації при переміщенні офісів.

До точки доступу, що працює в режимі моста, підключення бездротових клієнтів неможливе. Бездротовий зв’язок здійснюється лише між парою точок, що реалізовують міст.

Рис. 3.14. Мостовий режим між будівлями WDS Internet

Термін WDS with АР (WDS with Access Point) означає «розподілена бездротова система, що включає точку доступу», тобто за допомогою цього режиму можна не лише організувати мостовий зв’язок між точками доступу, але і одночасно підключити клієнтські комп’ютери (рис. 3.15). Даний підхід дозволяє досягти істотної економії устаткування і спростити топологію мережі. Зазначена технологія підтримується більшістю сучасних точок доступу. Проте необхідно пам’ятати, що всі пристрої у складі однієї WDS with AP працюють на одній частоті і створюють взаємні перешкоди, що обмежує кількість клієнтів до 15-20 вузлів. Для збільшення кількості клієнтів, що підключаються, можна використовувати декілька

129

WDS-мереж, налаштованих на різні канали і поєднаних кабелем через uplink-порти [106].

Рис. 3.15. Режим WDS with AP

Топологія організації безпровідних мереж в режимі WDS аналогічна звичайним дротовим топологіям.

Режим повторювача. При роботі точки доступу з клієнтами може виникнути ситуація коли виявляється неможливо з’єднати точку доступу з дротовою інфраструктурою, або присутні деякі перешкоди, що безпосередньо утрудняють здійснення зв’язку точки доступу з місцем розташування бездротових станцій клієнтів. У такій ситуації можна використовувати точку доступу в режимі повторювача (Repeater) (рис.

3.16).

Рис. 3.16. Режим повторювача

Аналогічно дротовому повторювачу, бездротовий повторювач просто ретранслює всі пакети інформаційного потоку. Ця ретрансляція здійснюється через той же канал, через який вони були отримані.

При використанні точки доступу в режимі повторювача (ретранслятора) слід пам’ятати, що накладення широкомовних доменів може привести до скорочення пропускної спроможності каналу удвічі, бо початкова точка доступу також приймає сигнал, що ретранслюється.

Режим повторювача не включений в стандарт 802.11, тому для його реалізації рекомендується використовувати однотипне устаткування одного виробника. З появою WDS даний режим втратив свою актуальність.

Режим клієнта. При переході від комутаційної архітектури до бездротової інколи можна виявити, що наявні мережні пристрої підтримують дротяну мережу Ethernet, але не мають стандартних інтерфейсних роз’ємів комутаційного устаткування для бездротових

130