Chapter 20 Wireless Management and Security

1. Chapter 20Wireless Management and Security

2. ในบทนี้คุณจะเรียนรู้วิธีการทำดังต่อไปนี้ในบทนี้คุณจะเรียนรู้วิธีการทำดังต่อไปนี้ • อธิบายและกำหนดค่าความปลอดภัยแบบไร้สายกับอุปกรณ์ Ciscoและ APs รวม ถึง SSID, WEP, EAP • อธิบายการจัดการไร้สายพื้นฐานและ WCS • อธิบายการคอนฟิกส์พื้นฐาน ของ WCS • อธิบายเรื่อง WLAN QOS

3. Wireless Security

4. เทคโนโลยีไร้สาย (Wireless Technology) • เครือข่ายไร้สายระยะใกล้หรือเครือข่ายส่วนบุคคล(Short- Range Wireless Network or Personal Area Networks) • เครือข่ายไร้สายเฉพาะบริเวณ (Wireless LAN) • ระบบไร้สายแบบเข้าถึงประจำที่ (Fixed-Access Wireless System) • เครือข่ายไร้สายบริเวณกว้าง (Wireless WAN)

5. ระบบเครือข่ายไร้สาย (Wireless LAN) ระบบเครือข่ายไร้สาย (Wireless LANs) เกิดขึ้นครั้งแรก ในปี ค.ศ. 1971 บนเกาะฮาวาย โดยโปรเจกต์ของนักศึกษาของมหาวิทยาลัยฮาวาย ที่ชื่อว่า “ALOHNET” ขณะนั้นลักษณะการส่งข้อมูลเป็นแบบ Bi-directionalส่งไป-กลับง่ายๆ ผ่านคลื่นวิทยุ สื่อสารกันระหว่างคอมพิวเตอร์ 7 เครื่อง ซึ่งตั้งอยู่บนเกาะ 4 เกาะโดยรอบ และมีศูนย์กลางการเชื่อมต่ออยู่ที่เกาะๆหนึ่ง ที่ชื่อว่า Oahu

6. ระบบเครือข่ายไร้สาย (Wireless Local Area Network) ระบบการสื่อสารข้อมูลที่มีความคล่องตัวมาก ซึ่งอาจจะนำมาใช้ทดแทนหรือเพิ่มต่อกับระบบเครือข่ายแลนใช้สายแบบดั้งเดิม โดยใช้การส่งคลื่นความถี่วิทยุในย่านวิทยุ RF และ คลื่นอินฟราเรด ในการรับและส่งข้อมูลระหว่างคอมพิวเตอร์แต่ละเครื่อง ผ่านอากาศ, ทะลุกำแพง, เพดานหรือสิ่งก่อสร้างอื่นๆ โดยปราศจากความต้องการของการเดินสาย นอกจากนั้นระบบครือข่ายไร้สายก็ยังมีคุณสมบัติครอบคลุมทุกอย่างเหมือนกับระบบ LAN แบบใช้สาย

7. ประโยชน์ของระบบเครือข่ายไร้สายประโยชน์ของระบบเครือข่ายไร้สาย • มีความคล่องตัวสูง • สามารถติดตั้งได้ง่ายและรวดเร็ว • สามารถขยายระบบเครือข่ายได้ง่าย • ลดค่าใช้จ่ายโดยรวม • สามารถปรับขนาดและความเหมาะสมได้ง่าย

8. รูปแบบและการทำงานของระบบเครือข่ายไร้สายรูปแบบและการทำงานของระบบเครือข่ายไร้สาย ระบบเครือข่ายไร้สาย เป็นระบบเครือข่ายคอมพิวเตอร์ขนาดเล็ก ที่ประกอบไปด้วยอุปกรณ์ไม่มากนักและมักจำกัดอยู่ในอาคารหลังเดียวหรืออาคารในละแวกเดียวกัน การใช้งานที่น่าสนใจที่สุดของเครือข่ายไร้สายก็คือ ความสะดวกสบายที่ไม่ต้องติดอยู่กับที่ ผู้ใช้สามารถเคลื่อนที่ไปมาได้โดยที่ยังสื่อสารอยู่ในระบบเครือข่าย

9. รูปแบบการเชื่อมต่อของระบบเครือข่ายไร้สายรูปแบบการเชื่อมต่อของระบบเครือข่ายไร้สาย • Peer-to-peer ( ad hoc mode ) • Client/server (Infrastructure mode)

10. Peer-to-peer ( ad hoc mode ) รูปแบบการเชื่อมต่อระบบแลนไร้สายแบบ Peer to Peer เป็นลักษณะ การเชื่อมต่อแบบโครงข่ายโดยตรงระหว่างเครื่องคอมพิวเตอร์ จำนวน 2 เครื่องหรือมากกว่านั้น เป็นการใช้งานร่วมกันของ wireless adapter cards โดยไม่ได้มีการเชื่อมต่อกับเครือข่ายแบบใช้สายเลย โดยที่เครื่องคอมพิวเตอร์แต่ละเครื่องจะมีความเท่าเทียมกัน สามารถทำงานของตนเองได้และขอใช้บริการเครื่องอื่นได้ เหมาะสำหรับการนำมาใช้งานเพื่อจุดประสงค์ในด้านความรวดเร็วหรือติดตั้งได้โดยง่ายเมื่อไม่มีโครงสร้างพื้นฐานที่จะรองรับ ยกตัวอย่างเช่น ในศูนย์ประชุม, หรือการประชุมที่จัดขึ้นนอกสถานที่

11. Peer-to-peer ( ad hoc mode )

12. Client/server (Infrastructure mode) เป็นลักษณะการรับส่งข้อมูลโดยอาศัย Access Point (AP) หรือเรียกว่า “Hot spot” ทำหน้าที่เป็นสะพานเชื่อมต่อระหว่างระบบเครือข่ายแบบใช้สายกับเครื่องคอมพิวเตอร์ลูกข่าย (client) โดยจะกระจายสัญญาณคลื่นวิทยุเพื่อ รับ-ส่งข้อมูลเป็นรัศมีโดยรอบเครื่องคอมพิวเตอร์ที่อยู่ในรัศมีของ AP จะกลายเป็น เครือข่ายกลุ่มเดียวกันทันที โดยเครื่องคอมพิวเตอร์ จะสามารถติดต่อกัน หรือติดต่อกับ Server เพื่อแลกเปลี่ยนและค้นหาข้อมูลได้ โดยต้องติดต่อผ่าน AP เท่านั้น ซึ่ง AP 1 จุด สามารถให้บริการเครื่องลูกข่ายได้ถึง 15-50 อุปกรณ์

13. Client/server (Infrastructure mode)

14. Multiple access points and roaming การเชื่อมต่อสัญญาณระหว่างเครื่องคอมพิวเตอร์ กับ Access Point ของเครือข่ายไร้สายจะอยู่ในรัศมีประมาณ 500 ฟุต ภายในอาคาร และ 1000 ฟุต ภายนอกอาคาร หากสถานที่ที่ติดตั้งมีขนาดกว้าง มากๆเช่นคลังสินค้า บริเวณภายในมหาวิทยาลัย สนามบิน จะต้องมีการเพิ่มจุดการติดตั้ง AP ให้มากขึ้น เพื่อให้การรับส่งสัญญาณในบริเวณของเครือข่ายขนาดใหญ่ เป็นไปอย่างครอบคลุมทั่วถึง

15. Multiple access points and roaming

16. Use of an Extension Point กรณีที่โครงสร้างของสถานที่ติดตั้งเครือข่ายแบบไร้สายมีปัญหาผู้ออกแบบระบบอาจจะใช้ Extension Points ที่มีคุณสมบัติเหมือนกับ Access Point แต่ไม่ต้องผูกติดไว้กับเครือข่ายไร้สาย เป็นส่วนที่ใช้เพิ่มเติมในการรับส่งสัญญาณ

17. Use of an Extension Point

18. The Use of Directional Antennas ระบบแลนไร้สายแบบนี้เป็นแบบใช้เสาอากาศในการรับส่งสัญญาณระหว่างอาคารที่อยู่ห่างกัน โดยการติดตั้งเสาอากาศที่แต่ละอาคาร เพื่อส่งและรับสัญญาณระหว่างกัน

19. The Use of Directional Antennas

20. Topic • มาตรฐาน Wireless LAN • การพิสูจน์ทราบตัวตนของ Wireless • มาตรฐาน IEEE 802.1X • โปรโตคอล EAP • การเข้ารหัสข้อมูล Wireless LAN • WEP • WPA, WPA2

21. มาตรฐาน Wireless LAN

22. การพิสูจน์ทราบตัวตนของ Client • ไคลเอนท์บรอดคาสการร้องขอเพื่อเชื่อมต่อไปทุกช่องสัญญาณ • Access Point ที่อยู่ในพื้นที่ตอบกลับการร้องขอของไคลเอนท์ • ไคลเอนท์พิจารณาว่า Access Point ไหนที่ดีที่สุด และส่งการร้องขอเพื่อพิสูจน์ทราบตัวตน • Access Point วิเคราะห์ข้อมูลที่ได้รับจากไคลเอนท์ แล้วส่งผลการได้รับอนุญาตกลับไปให้ไคลเอนท์ • ถ้าการพิสูจน์ทราบตัวตนสำเร็จ ไคลเอ้นท์ก็จะส่งข้อมูลที่เหลือกลับให้ Access Point • Acces Point ตอบกลับการได้รับข้อมูลที่เหลือ • หลังจากนี้ไคลเอนท์ก็พร้อมที่จะรับ-ส่งข้อมูลผ่านเครือข่าย

23. การพิสูจน์ทราบตัวตนแบบเปิด (Open Authentication) การพิสูจน์ทราบตัวตนแบบเปิด จะมีการรับ-ส่งเฟรมข้อมูลอยู่ 2 ประเภท • เฟรมการร้องขอการเชื่อมต่อ (Authentication request) • เฟรมการตอบกลับการร้องขอ (Authentication response)

24. การพิสูจน์ทราบตัวตนแบบแชร์คีย์ (Shared key authentication) • การพิสูจน์ทราบตัวตนแบบแชร์คีย์ เป็นวิธีที่กำหนดในมาตรฐาน IEEE 802.11 • ไคลเอนท์ต้องกำหนดคีย์ WEP แบบตายตัวในทุกๆ เครื่อง

25. การพิสูจน์ทราบตัวตนแบบใช้หมายเลข MAC (MAC Address Authentication) • เป็นการพิสูจน์ตัวตนแบบใช้หมายเลข MAC ของไคลเอนท์ • Access Point จะมีรายการหมายเลข MAC ของไคลเอนท์ที่อนุญาติให้เข้าใช้งาน

26. โปรโตคอล EAP • EAP-MD5 • LEAP (Lightweight Extensible Authentication Protocol) • EAP-TLS (Transport Layer Security) • EAP-TTLS • PEAP (Protected EAP)

27. การเข้ารหัสข้อมูลของ Wireless LAN • WEP (Wired Equivalent Privacy) • WPA (Wi-Fi Protected Access) • TKIP (Temporal Key Integrity Protocol)

28. มาตรฐาน IEEE 802.1x & REDIUS IEEE 802.1x คือ มาตรฐานที่ใช้ในการตรวจสอบและรับรองผู้เข้าใช้ผ่าน RADIUS server โดยจะให้ผู้ใช้ทำการ ล็อกออน ด้วย User name และ Password ซึ่งเทคนิคนี้มีความยืดหยุ่นมากสามารถนำไปพัฒนาได้ ซึ่งรายละเอียดและเทคนิคต่างๆจะได้กล่าวต่อไป

29. มาตรฐาน IEEE 802.1x & REDIUS มาตรฐาน IEEE 802.1x เป็นมาตรฐานใหม่สำหรับ MAC Layer ที่ช่วยเสริมให้การตรวจสอบผู้ใช้ (Authentication) ในเครือข่าย LAN และ WLAN มีความปลอดภัยสูงขึ้น ในกรณีนี้เมื่อผู้ใช้ต้องการเข้าใช้เครือข่าย WLAN จะต้องมีการแสดงหลักฐานสำหรับประกอบการตรวจสอบ (credential) ต่ออุปกรณ์แม่ข่าย หลังจากนั้นอุปกรณ์แม่ข่ายจะส่งผ่านหลักฐานดังกล่าวต่อไปยัง RADIUS เซิร์ฟเวอร์ ซึ่งเป็นระบบสำหรับตรวจสอบผู้ใช้โดยเฉพาะที่ใช้กันอยู่ทั่วไป โดยการแลกเปลี่ยนข้อมูลกันระหว่าง RADIUS เซิร์ฟเวอร์และอุปกรณ์ WLAN ซึ่งวิธีนี้จะเป็นไปตามโพรโตคอลที่เรียกว่า EAP (Extensible Authentication Protocol)

30. มาตรฐาน IEEE 802.1x & REDIUS แต่วิธีนี้ Hacker ก็สามารถที่จะ แคร็กโค้ดได้แต่อาจจะใช้เวลานาน ด้วยเหตุนี้เองจึงได้เกิดการพัฒนา โปรโตคอล EAP ขึ้นในหลายๆรูปแบบ ซึ่งในในปัจจุบันมีการใช้โพรโตคอลดังกล่าวใน 4 รูปแบบหลักๆคือ EAP-MD5, LEAP, EAP-TLS, และ EAP-TTLS

31. Protocal EAP

32. EAP-MD5 EAP-MD5 ในกรณีนี้หลักฐานที่ส่งผ่านไปยัง RADIUS เซิร์ฟเวอร์ คือ username และ password ซึ่งจะถูกเข้ารหัสด้วยเทคนิคที่เรียกว่า MD5 การใช้กลไก EAP-MD5 ช่วยแก้ไขปัญหาเรื่องการตรวจสอบผู้ใช้ในเครือข่าย WLAN ให้มีความปลอดภัยมากขึ้น แต่ไม่ได้ช่วยแก้ไขปัญหาเรื่องความไม่ปลอดภัยของการใช้รหัสลับเครือข่าย (WEP Key) ซึ่งมีความคงที่ (static) ดังนั้นผู้โจมตียังคงสามารถดักฟังและเจาะรหัสลับของเครือข่ายซึ่งมีความคงที่ได้ถึงแม้จะมีการใช้ EAP-MD5 เมื่อผู้โจมตีทราบรหัสลับของเครือข่ายแล้วก็จะสามารถเข้าใจข้อมูลที่รับส่งอยู่ในเครือข่ายและอาจทราบ username และ password โดยอาศัยเทคนิคต่างๆสำหรับการเจาะรหัส MD5 ได้ในที่สุดนอกจากนี้ข้อบกพร่องในกลไก EAP-MD5 อีกอย่างหนึ่งคือผู้ใช้ไม่สามารถตรวจสอบอุปกรณ์แม่ข่าย ซึ่งทำให้ผู้โจมตีอาจจะสามารถหลอกลวงให้ผู้ใช้ต่อเชื่อมเข้ากับอุปกรณ์แม่ข่ายของผู้โจมตีได้

33. LEAP LEAP หรือ EAP-Cisco Wireless โพรโตคอล LEAP (Lightweight Extensible Authentication Protocol) ได้รับการพัฒนาขึ้นโดยบริษัท Cisco ซึ่งในโพรโตคอลนี้นอกจากจะมีกลไกในการส่งผ่านข้อมูลเกี่ยวกับ username และ password ของผู้ใช้ไปยัง RADIUS เซิร์ฟเวอร์ เพื่อทำการตรวจสอบแล้ว LEAP ยังมีการจัดการและบริหารรหัสลับของเครือข่าย (WEP Key) ให้มีการเปลี่ยนแปลงค่า นั่นคือเมื่อผู้ใช้ผ่านการตรวจสอบเรียบร้อยแล้วจะได้รับ WEP Key เพื่อใช้ในการเข้ารหัสข้อมูลสำหรับผู้ใช้นั้นๆ ซึ่งหมายความว่า WEP Key ของแต่ละผู้ใช้สามารถมีความแตกต่างกันออกไปได้

34. LEAPต่อ และเมื่อใช้งานร่วมกับ RADIUS ซึ่งสามารถกำหนดอายุของแต่ละ sessionได้ จะทำให้ WEP Key ของแต่ละผู้ใช้เปลี่ยนค่าไปทุกๆช่วงเวลาสั้นๆด้วย ในกรณีเทคนิคการเจาะรหัสลับเครือข่าย (WEP Key) ที่มีอยู่ในปัจจุบันจะไม่สามารถนำมาใช้ประโยชน์ได้ นอกจากนี้ LEAP ยังกำหนดให้มีการตรวจสอบทั้งเครื่องแม่ข่ายและผู้ใช้ (Mutual Authentication) เพื่อป้องกันไม่ให้ผู้โจมตีสามารถหลอกลวงผู้ใช้ให้เชื่อมต่อกับเครื่องแม่ข่ายของผู้โจมตีได้ จะเห็นได้ว่า LEAP สามารถเพิ่มความปลอดภัยให้กับเครือข่าย WLAN ได้มาก แต่อย่างไรก็ตามข้อเสียอย่างหนึ่งก็คือในปัจจุบัน LEAP ยังถูกจำกัดอยู่แต่ในผลิตภัณฑ์ของ Cisco เท่านั้น

35. EAP-TLS EAP-TLS โพรโตคอล EAP-TLS (Transport Layer Security) ได้รับการพัฒนาขึ้นโดยบริษัท Microsoft ซึ่งในโพรโตคอลนี้จะไม่มีการใช้ username และ password ในการตรวจสอบผู้ใช้ แต่จะใช้ X.509 certificatesแทน ซึ่งการทำงานของโพรโตคอลนี้จะอาศัยการส่งผ่าน PKI ผ่าน SSL (Secure Sockets Layers) มายัง EAP เพื่อใช้กำหนด WEP Key สำหรับผู้ใช้แต่ละคน EAP-TLS กำหนดให้มีการตรวจสอบทั้งเครื่องแม่ข่ายและผู้ใช้ (Mutual Authentication) ด้วยเช่นเดียวกับ LEAP แต่อย่างไรก็ตามปัญหาหลักของ EAP-TLS ความยุ่งยากและค่าใช้จ่ายในการติดตั้งจัดการและบริหารระบบ PKI Certificate

36. ProtocalEAP-TLS

37. EAP-TTLS EAP-TTLS โพรโตคอล EAP-TTLS ถูกเริ่มพัฒนาโดยบริษัท Funk Software ซึ่งการทำงานของ EAP-TTLS คล้ายกับ EAP-TLS คือจะมีการตรวจสอบเครื่องแม่ข่ายโดยใช้ Certificate แต่ผู้ใช้จะถูกตรวจสอบโดยการใช้ username และ password ซึ่งความปลอดภัยของ EAP-TTLS จะน้อยกว่า EAP-TLS และที่สำคัญ EAP-TTLS อาจไม่ได้รับความนิยมมากนักในเวลาต่อไปเนื่องจาก Microsoft และ Cisco ได้ร่วมมือกันพัฒนาโพรโตคอลขึ้นมาใหม่ชื่อว่า PEAP (Protected EAP) ซึ่งมีการทำงานเช่นเดียวกับ EAP-TLS ที่กล่าวมาแล้วข้างต้น

38. ProtocalEAP-TTLS

39. IEEE 802.1x Enabled AP ในการที่จะติดตั้งระบบเครือข่าย WLAN ที่มีความปลอดภัยสูงโดยใช้ IEEE 802.1x จะต้องมีองค์ประกอบ 3 อย่างคือ อุปกรณ์แม่ข่ายที่สามารถส่งผ่านข้อมูลไปยัง RADIUS ด้วย IEEE 802.1x ได้ (IEEE 802.1x Enabled AP), เซิร์ฟเวอร์ RADIUS ที่สามารถทำงานร่วมกับ EAP ที่ต้องการได้, ซอฟต์แวร์สำหรับ Client ซึ่งสามารถทำงานร่วมกับ RADIUS และ IEEE 802.1x ได้

40. มาตรฐาน IEEE 802.1x จะใช้โพรโตคอลที่เรียกว่า EAP ซึ่งปัจจุบันมีการใช้โพรโตคอลดังกล่าวใน 4 รูปแบบหลักๆคือ EAP-MD5, LEAP, EAP-TLS, และEAP-TTLS ซึ่งโพรโตคอลเหล่านี้สามารถช่วยให้ระดับความปลอดภัยในเครือข่าย WLAN สูงขึ้นด้วยวิธีเฉพาะของแต่ละโพรโตคอล แต่การที่จะทำใช้มาตรฐาน IEEE 802.1x ให้มีความปลอดภัยสูงได้นั้น เครื่องแม่ข่ายจะต้องข้อมูลไปยัง RADIUS SEVER ด้วยมาตรฐาน IEEE 802.1x ได้ RADIUS SEVER จะต้องทำงานร่วมกับ โพรโตคอล EAP ได้ และจะต้องมี Software สำหรับ Client ที่สามารถทำงานร่วมกับ RADIUS และ IEEE 802.1x ได้

41. Wireless QoS QoSเป็นตัวกำหนดชุดของคุณสมบัติของประสิทธิภาพของการติดต่อ หรือเรียกว่าเป็นการส่งข้อมูลในเครือข่ายโดยรับประกันว่าการส่งข้อมูลจะเป็นไปตามคุณภาพหรือเงื่อนไขที่ต้องการ เช่น ดีเลย์แบนด์วิดธ์ การเปลี่ยนแปลงของดีเลย์ (jitter) อัตราการสูญหายของข้อมูล (loss) หลักการทั่วไปของ QoS Routing จึงเป็นการตรวจวัดและควบคุมการไหลของข้อมูลให้เป็นไปตามเงื่อนไขที่กำหนด

42. Wireless QoS • Reservation • Prioritization

43. Reservation การรับประกันด้วยวิธีจองทรัพยากรของเครือข่าย ก่อนที่จะเริ่มส่งข้อมูล ทรัพยากรที่จำเป็นต้องจองก็คือ บัฟเฟอร์ , แบนด์วิดธ์ และ ดีเลย์ ในส่วนของการคำนวณนั้นจะเน้นไปที่การหาขนาดของบัฟเฟอร์และแบนด์วิดธ์ที่เหมาะสมที่จะรักษาดีเลย์ระหว่างต้นทางไปยังปลายทางไม่ให้เกินที่กำหนด

44. Reservation • Queueing Delay ดีเลย์ที่เกิดจากการรอคิวส่ง • Processing Delayดีเลย์ที่เกิดจากการประมวลผลของเราท์เตอร์ • Transmission Delayดีเลย์ที่เกิดจากอัตราการส่งข้อมูล • Propagation Delay ดีเลย์ของสื่อที่ใช้ส่งข้อมูล

45. Prioritization เป็นการจัดลำดับความสำคัญ คือข้อมูลที่มีความสำคัญมากจะได้รับการส่งก่อน หรือให้การเซอร์วิสก่อน การเลือกระดับความสำคัญจะเป็นไปตามชนิดของข้อมูลเป็นหลัก ซึ่งการส่งข้อมูลที่ต้องการดีเลย์น้อย ๆ จะมีระดับความสำคัญสูง ข้อดีของวิธีการนี้คือ ไม่ต้องมีการจองทรัพยากรของเครือข่าย จึงสามารถใช้งานได้ในวงกว้าง บางครั้งการทำงานแบบ Prioritization จะเรียกว่าเป็น Class-of-Service Routing (CoS Routing) เพราะแพ็คเกตจะถูกแบ่งออกเป็นคลาส หรือระดับความสำคัญ ข้อมูลในคลาสเดียวกันจะมีความสำคัญเท่ากัน ใช้ทรัพยากรทั้งหมดร่วมกัน ซึ่งเป็นข้อเสีย เนื่องจากวิธีนี้ไม่สามารถรับประกันได้แน่นอนว่าการจัดส่งจะเป็นไปตามเงื่อนไข

46. Configuring Wireless Management Devices

47. กด แฟ้มซอฟแวร์ WCSสองครั้ง เพื่อเริ่มต้นติดตั้งโปรแกรม

48. กรอก พอร์ท HTTP และ HTTPS

49. กรอกรหัสผ่านและกดถัดไปเพื่อดำเนินต่อไปกรอกรหัสผ่านและกดถัดไปเพื่อดำเนินต่อไป

50. ใส่รหัสผ่านสำหรับ FTP