Fonctionnement des réseaux sans-fil

Transcription

1 Fonctionnement des réseaux sans-fil Introduction aux réseaux sans fil Didier BARTHE Standards Vitesse Couverture Applications WAN (Wide Area Network) MAN (Metropolitan Area Network) PAN Bluetooth < 1 Mbps Faible Point-à-point Equipement-à- equipement LAN (Local Area Network) PAN (Personal Area Network) LAN a, 11b, 11g HiperLAN2 2 à 54+ Mbps Moyenne Réseaux d Entreprises MAN MMDS, LMDS 22+ Mbps Moyenne-Etendue Fixe, accès au dernier kilomètre WAN GSM, GPRS, CDMA, 2.5-3G 10 à 384 Kbps Etendue PDA, GSM, Historique des réseaux WLAN Années 1990 : premiers produits sans fil basés sur des technologies propriétaires (débits inférieurs à 1 Mbps ) : standard adopté en informatique industrielle sur bande de fréquence de 2,4Ghz (débit de 2 Mbps seulement) b : évolution du standard précédent pour un déploiement en entreprise (débit de 11 Mbps) a : standard sur bande de fréquence 5Ghz (débit de 54 Mbps) g : vers des hauts débits sur bande de fréquence 2,4Ghz (54 Mbps)

2 LE WLAN (Wireless LAN) Le Standard IEEE Premier standard en Juillet 97 Définition de la couche physique (radio DS, FH) Définition de la couche MAC (Medium Access Control) Qu est ce que le Wi-Fi? Un label Validant le respect du standard et l interopérabilité entre matériels, Décerné par un groupement de constructeurs ( Les standards a 5GHz, normalisé en b 11Mbps 2.4 GHz, normalisé en c Pontage entre les réseaux et 802.1d e Qualité de service (QOS) f Protocole Inter Access Point pour faciliter le raoming (changement de point d acces) g Transmission haut débit (54 Mbps théorique) h Sélection dynamique de la fréquence Méchanisme de contrôle de la puissance i Authentification et sécurité Les normes courantes Exemple d utilisation Bâtiment 18 Bâtiment b a g Bande de Fréquence 2.4 GHz 5 GHz 2.4 GHz Disponibilité Débit théorique maximum Mondiale US/AP Partiellement Europe Mondiale 11 Mbps 54 Mbps 54 Mbps Pont Aironet Ethernet 4,2 km 2 Mbps 2,1 km 11 Mbps Pont Aironet

3 Réglementation française Cadre réglementaire : Norme européenne ETS (norme d'application volontaire) Limitée par la spécification SP/DGPT/ATAS/23. 2 types d utilisation : Dans le domaine privé : à l intérieur ou à l extérieur de bâtiments se trouvant sur un campus Dans le domaine public : passage au dessus d une route, d une voie de chemin de fer Réglementation française A l intérieur d un bâtiment : Pas d autorisation à demander Limitation de la puissance à 100mW sur les canaux 1 à 13 En extérieur : Pas d autorisation à demander pour un domaine privé (entreprise, campus, ) pour les canaux de 1 à 9 jusqu à 100mW et pour les canaux 10 à 13 jusqu à 10mW Demande d utilisation pour les canaux 10 à 13 jusqu à 100mW (domaine privé) Fonctionnement des WLAN Transmission de données Plusieurs débits sont proposés par la norme b selon l éloignement :1, 2, 5.5 et 11 Mbps Différents systèmes de modulations sont utilisés BPSK (1 Mbps) QPSK (2 Mbps) CCK (5.5 et 11 Mbps) Pour le g et le a, les débits monte jusqu à 54 Mpbs, un autre système de modulation existe : OFDM

4 Couverture du b Les canaux bg 2 Mbps 100mW : 75 à 100 mètres 5.5 Mbps 100mW : 45 à 75 mètres 11 Mbps 100mW : 30 à 45 mètres 14 canaux de 22 MHz de largeur, mais seulement 3 disjoints (1, 6 et 11) 3 points d'accès peuvent couvrir une même zone sans interférence Chevauchement de canaux (802.11bg) Les canaux a Il n y a que 8 canaux de 5MHz de large Les canaux ne se recouvrent pas Attention : ce n est pas normé au niveau mondial

5 Le mode AdHoc Les PC sont reliés directement les uns aux autres Forte limitation de distance Micro Cellule Le mode Infrastructure Un ou plusieurs point d'accès (AP) couvrent une zone L ensemble des AP s interconnecte au réseau filaire Les clients WiFi «dialoguent» avec les AP pour se connecter au réseau AccessPoint A Channel 1 AccessPoint B Channel 6 Déplacement (roaming) Enregistrement à une AP Access Point A Access Point B Broadcast demande d enregistrement AP répond Client évalue la réponse et selectionne le meilleur AP Client envoi authentification Aironet A Aironet B Aironet C AP confirme authentification et enregistre le client. Channel 1 Channel 6 Channel 11 Choix de l AP par le client Force du signal Taux de paquets d erreur Charge du point d accés Client envoi demande d association à l AP AP confirme l association

6 Service Set Identifier (SSID) SSID Définition du nom du réseau sur lequel on veut se connecter : authentification et association Le SSID n est pas un mécanisme de sécurité Transmit en clair dans les requêtes probe, même lorsque l on désactive la fonction Broadcast SSID (qui ne concerne que les beacons) SSID = Frog AP SSID en clair Probe Resp. (Frog) Probe (Frog) SSID = Frog Probe (Frog) Client SSID = Toad AP Sécurité dans les WLAN Différentes façons de sécuriser Limitation d'accès Confidentialité des données Maintient de l architecture (filaire et WIFI) dans un état stable Attention, en général la sécurisation va à l encontre de la simplification de l utilisation Le contrôle par adresse MAC Tous les adaptateurs réseaux (filaires ou WiFi, AP ou client) possèdent un identifiant unique codé sur 12 caractères hexadécimaux (adresse MAC). Les bornes permettent de créer des listes d accès ne permettant qu aux machines autorisées à se connecter au réseau. Il faut tenir à jour une base des adresse MAC autorisée.

7 WEP (Wired Equivalent privacy) Protocole de chiffrement des trames (algorithme RC4) avec des clés d'une longueur de 64 ou 128 bits. La clé est un secret partagé qui peut être difficile à garder secret. Des failles sur le protocole utilisé ont étés découvertes et rendent ce système de cryptage peu sûr X Norme développée pour les VLAN (un ordinateur est replacé dans son VLAN selon la personne qui se connecte dessus) Contrôle d accès aux ressources de niveau 2 Utilise un serveur d authentification externe : souvent RADIUS mais peut être autre chose (kerberos, LDAP, ) Authentification 802.1X / EAP Jusqu à ce que l authentification 802.1x soit complète; l AP bloque les échanges EAP over Wireless 802.1X Traffic RADIUS Traffic Authentication Traffic Normal Data EAP over RADIUS L AP encapsule trafique 802.1X dans un trafique RADIUS et vice-versa L AP bloque tout ce qui n est pas du trafique d authentification 802.1X RADIUS Server EAPOL Start Identity Request Identity Response EAP Request EAP Response Client Receives or Derives Session Key EAP Success EAPOW Key AP Access Request Access Challenge Access Request Access Success RADIUS Server Démarage du processus Demande de l identité du client Obtention de l identité Requète transmise à RADIUS Exécution de la séquence défini par la méthode d authentification (ex. EAP-TLS, Cisco-EAP Wireless ) Clé de session donnée à l AP Démarage de WEP Délivre la clé de broadcast encryptée avec la clé de session

8 Types d authentification 802.1X LEAP (EAP Cisco Wireless) Authentification mutuelle par nom/mot de passe Supporte les OS : Windows, Linux, Mac OS EAP-TLS (EAP-Transport Layer Security) Authentification mutuelle client/radius par certificats Disponibles sur XP, 2000 et d autres plateformes Windows PEAP (Protected EAP) Authentification utilisateur par login/passwd, serveur RADIUS par certificat Disponible sur XP. Bientôt sur d autre Windows Utilise TLS pour l authentification coté serveur Authentification 802.1X / EAP Pas de standard avec tous les clients Idéal avec un client propriétaire Essai concluant avec un téléphone WiFi (client propriétaire) Portail captif Pas d authentification au niveau de la borne Les utilisateurs connectés au WiFi sont bloqués dans un réseau. Toutes les requêtes WEB sont redirigées vers une page d authentification Une fois authentifié, l utilisateur peut naviguer normalement. VPN Au départ, outil permettant à un utilisateur distant d être considéré comme étant dans son réseau. Pas d authentification nécessaire dans le système WiFi. Etablissement d un cryptage fort entre la machine et le concentrateur (triple DES, AES, )

9 Problèmes électromagnétiques Problèmes de déploiement Interférences externes Les autres D autres entités (particulier, entreprise, ) autour de vous peuvent avoir leur propre système WiFi Des personnes peuvent mettre dans votre réseau des bornes à votre insu.

10 Couverture d une zone dense Pour avoir un débit raisonnable, pas plus de 10 utilisateurs accrochés à une borne (borne ~ hub). Similaire a l éclairage : on éclaire pas un grande pièce avec une seule lampe, mais avec plusieurs petites. Attention aux recouvrements sur le même canal. Le client détermine la meilleur AP suivant la force du signal et de la charge de l AP. Couverture d une zone dense Channel 1 Channel 6 Channel 11 Positionnement des AP La couverture WiFi change selon de nombreux paramètres (météo, passage, ). Pas de moyen théorique, il faut tester la portée sur place : une AP déplacée dans les endroits à tester et un ordinateur portable muni d un scanner WiFi Les tests sont plus efficaces s ils sont faits dans les pires conditions (micro-onde, passage de personnes ) Transparence au WiFi

11 Les puissances d emission Il ne faut généralement pas augmenter la puissance d émission des bornes : Même si la borne émet loin, la carte dans le client n aura pas forcément la puissance pour lui répondre En intérieur, une trop grande puissance provoquera de trop nombreux rebonds sur les mur, perturbant les cartes client Le réglage de la puissance ne sert qu à diminuer la puissance pour éviter que plusieurs bornes ne se chevauchent. Les bornes WiFi Cisco Aironet 1200 ( b/g) Cryptage WEP hardware (40 ou 128 bits) b et g Choix des antennes Alimentation par le câble ethernet possible Mise à jour logiciel simple Options de sécurité, de QOS Intégration des VLANS b/g Aironet 1131AG ( a/b/g) Compatible a, b et g Deux interfaces radio distinctes pour le bg et le a Antennes intégrées

12 3 possibilités d alimentation : Alimentation électrique Switch compatible 802.3af (power over ethernet) (catalyst 3550) Le «Power injector» qui injecte dans le signal ethernet normal les 48V du 802.3af Un transformateur électrique externe Ethernet In-line Power Source: Catalyst 3550-PWR XL Switch No Power Power Power Ethernet In-line Power Source: Aironet Power Injector No Power Classic Power Source: Power Fonctionnalités 4 interfaces de bases (1131) FastEthernet0 Dot11Radio0 (802.11bg) Dot11Radio1 (802.11a) BVI1 (interface virtuelle servant au management) Possibilité d avoir plusieurs SSID, et d en broadcaster qu un certain nombre Un adresse MAC différente par SSID broadcasté Fonctionnalité Gestion des VLANS => 1 VLAN par SSID Utilisation des ACL Authentification par adresses MAC, LEAP Configuration par pages web embarquées ou en ligne de commande Mini serveur RADIUS intégré Merci de votre attention Didier BARTHE (didier.barthe@univ-reims.fr)