Fonctionnement des réseaux sans-fil Introduction aux réseaux sans fil Didier BARTHE (didier.barthe@univ-reims.fr) Standards Vitesse Couverture Applications WAN (Wide Area Network) MAN (Metropolitan Area Network) PAN Bluetooth < 1 Mbps Faible Point-à-point Equipement-à- equipement LAN (Local Area Network) PAN (Personal Area Network) LAN 802.11a, 11b, 11g HiperLAN2 2 à 54+ Mbps Moyenne Réseaux d Entreprises MAN 802.11 MMDS, LMDS 22+ Mbps Moyenne-Etendue Fixe, accès au dernier kilomètre WAN GSM, GPRS, CDMA, 2.5-3G 10 à 384 Kbps Etendue PDA, GSM, Historique des réseaux WLAN Années 1990 : premiers produits sans fil basés sur des technologies propriétaires (débits inférieurs à 1 Mbps ) 1997-802.11 : standard adopté en informatique industrielle sur bande de fréquence de 2,4Ghz (débit de 2 Mbps seulement) 1999-802.11b : évolution du standard précédent pour un déploiement en entreprise (débit de 11 Mbps) 2002-802.11a : standard sur bande de fréquence 5Ghz (débit de 54 Mbps) 2003 802.11g : vers des hauts débits sur bande de fréquence 2,4Ghz (54 Mbps)
LE WLAN (Wireless LAN) Le Standard IEEE 802.11 Premier standard en Juillet 97 Définition de la couche physique (radio DS, FH) Définition de la couche MAC (Medium Access Control) Qu est ce que le Wi-Fi? Un label Validant le respect du standard et l interopérabilité entre matériels, Décerné par un groupement de constructeurs (http://www.weca.net) Les standards 802.11 802.11a 5GHz, normalisé en 2002 802.11b 11Mbps 2.4 GHz, normalisé en 1999 802.11c Pontage entre les réseaux 802.11 et 802.1d 802.11e Qualité de service (QOS) 802.11f Protocole Inter Access Point pour faciliter le raoming (changement de point d acces) 802.11g Transmission haut débit (54 Mbps théorique) 802.11h Sélection dynamique de la fréquence Méchanisme de contrôle de la puissance 802.11i Authentification et sécurité Les normes courantes Exemple d utilisation Bâtiment 18 Bâtiment 14 802.11b 802.11a 802.11g Bande de Fréquence 2.4 GHz 5 GHz 2.4 GHz Disponibilité Débit théorique maximum Mondiale US/AP Partiellement Europe Mondiale 11 Mbps 54 Mbps 54 Mbps Pont Aironet Ethernet 4,2 km 2 Mbps 2,1 km 11 Mbps Pont Aironet
Réglementation française Cadre réglementaire : Norme européenne ETS 300 328-2 (norme d'application volontaire) Limitée par la spécification SP/DGPT/ATAS/23. 2 types d utilisation : Dans le domaine privé : à l intérieur ou à l extérieur de bâtiments se trouvant sur un campus Dans le domaine public : passage au dessus d une route, d une voie de chemin de fer Réglementation française A l intérieur d un bâtiment : Pas d autorisation à demander Limitation de la puissance à 100mW sur les canaux 1 à 13 En extérieur : Pas d autorisation à demander pour un domaine privé (entreprise, campus, ) pour les canaux de 1 à 9 jusqu à 100mW et pour les canaux 10 à 13 jusqu à 10mW Demande d utilisation pour les canaux 10 à 13 jusqu à 100mW (domaine privé) Fonctionnement des WLAN Transmission de données Plusieurs débits sont proposés par la norme 802.11b selon l éloignement :1, 2, 5.5 et 11 Mbps Différents systèmes de modulations sont utilisés BPSK (1 Mbps) QPSK (2 Mbps) CCK (5.5 et 11 Mbps) Pour le 802.11g et le 802.11a, les débits monte jusqu à 54 Mpbs, un autre système de modulation existe : OFDM
Couverture du 802.11b Les canaux 802.11 bg 2 Mbps 100mW : 75 à 100 mètres 5.5 Mbps 100mW : 45 à 75 mètres 11 Mbps 100mW : 30 à 45 mètres 14 canaux de 22 MHz de largeur, mais seulement 3 disjoints (1, 6 et 11) 3 points d'accès peuvent couvrir une même zone sans interférence Chevauchement de canaux (802.11bg) Les canaux 802.11 a Il n y a que 8 canaux de 5MHz de large Les canaux ne se recouvrent pas Attention : ce n est pas normé au niveau mondial
Le mode AdHoc Les PC sont reliés directement les uns aux autres Forte limitation de distance Micro Cellule Le mode Infrastructure Un ou plusieurs point d'accès (AP) couvrent une zone L ensemble des AP s interconnecte au réseau filaire Les clients WiFi «dialoguent» avec les AP pour se connecter au réseau AccessPoint A Channel 1 AccessPoint B Channel 6 Déplacement (roaming) Enregistrement à une AP Access Point A Access Point B Broadcast demande d enregistrement AP répond Client évalue la réponse et selectionne le meilleur AP Client envoi authentification Aironet A Aironet B Aironet C AP confirme authentification et enregistre le client. Channel 1 Channel 6 Channel 11 Choix de l AP par le client Force du signal Taux de paquets d erreur Charge du point d accés Client envoi demande d association à l AP AP confirme l association
Service Set Identifier (SSID) SSID Définition du nom du réseau sur lequel on veut se connecter : authentification et association Le SSID n est pas un mécanisme de sécurité Transmit en clair dans les requêtes probe, même lorsque l on désactive la fonction Broadcast SSID (qui ne concerne que les beacons) SSID = Frog AP SSID en clair Probe Resp. (Frog) Probe (Frog) SSID = Frog Probe (Frog) Client SSID = Toad AP Sécurité dans les WLAN Différentes façons de sécuriser Limitation d'accès Confidentialité des données Maintient de l architecture (filaire et WIFI) dans un état stable Attention, en général la sécurisation va à l encontre de la simplification de l utilisation Le contrôle par adresse MAC Tous les adaptateurs réseaux (filaires ou WiFi, AP ou client) possèdent un identifiant unique codé sur 12 caractères hexadécimaux (adresse MAC). Les bornes permettent de créer des listes d accès ne permettant qu aux machines autorisées à se connecter au réseau. Il faut tenir à jour une base des adresse MAC autorisée.
WEP (Wired Equivalent privacy) Protocole de chiffrement des trames 802.11 (algorithme RC4) avec des clés d'une longueur de 64 ou 128 bits. La clé est un secret partagé qui peut être difficile à garder secret. Des failles sur le protocole utilisé ont étés découvertes et rendent ce système de cryptage peu sûr. 802.1X Norme développée pour les VLAN (un ordinateur est replacé dans son VLAN selon la personne qui se connecte dessus) Contrôle d accès aux ressources de niveau 2 Utilise un serveur d authentification externe : souvent RADIUS mais peut être autre chose (kerberos, LDAP, ) Authentification 802.1X / EAP Jusqu à ce que l authentification 802.1x soit complète; l AP bloque les échanges EAP over Wireless 802.1X Traffic RADIUS Traffic Authentication Traffic Normal Data EAP over RADIUS L AP encapsule trafique 802.1X dans un trafique RADIUS et vice-versa L AP bloque tout ce qui n est pas du trafique d authentification 802.1X RADIUS Server EAPOL Start Identity Request Identity Response EAP Request EAP Response Client Receives or Derives Session Key EAP Success EAPOW Key AP Access Request Access Challenge Access Request Access Success RADIUS Server Démarage du processus Demande de l identité du client Obtention de l identité Requète transmise à RADIUS Exécution de la séquence défini par la méthode d authentification (ex. EAP-TLS, Cisco-EAP Wireless ) Clé de session donnée à l AP Démarage de WEP Délivre la clé de broadcast encryptée avec la clé de session
Types d authentification 802.1X LEAP (EAP Cisco Wireless) Authentification mutuelle par nom/mot de passe Supporte les OS : Windows, Linux, Mac OS EAP-TLS (EAP-Transport Layer Security) Authentification mutuelle client/radius par certificats Disponibles sur XP, 2000 et d autres plateformes Windows PEAP (Protected EAP) Authentification utilisateur par login/passwd, serveur RADIUS par certificat Disponible sur XP. Bientôt sur d autre Windows Utilise TLS pour l authentification coté serveur Authentification 802.1X / EAP Pas de standard avec tous les clients Idéal avec un client propriétaire Essai concluant avec un téléphone WiFi (client propriétaire) Portail captif Pas d authentification au niveau de la borne Les utilisateurs connectés au WiFi sont bloqués dans un réseau. Toutes les requêtes WEB sont redirigées vers une page d authentification Une fois authentifié, l utilisateur peut naviguer normalement. VPN Au départ, outil permettant à un utilisateur distant d être considéré comme étant dans son réseau. Pas d authentification nécessaire dans le système WiFi. Etablissement d un cryptage fort entre la machine et le concentrateur (triple DES, AES, )
Problèmes électromagnétiques Problèmes de déploiement Interférences externes Les autres D autres entités (particulier, entreprise, ) autour de vous peuvent avoir leur propre système WiFi Des personnes peuvent mettre dans votre réseau des bornes à votre insu.
Couverture d une zone dense Pour avoir un débit raisonnable, pas plus de 10 utilisateurs accrochés à une borne (borne ~ hub). Similaire a l éclairage : on éclaire pas un grande pièce avec une seule lampe, mais avec plusieurs petites. Attention aux recouvrements sur le même canal. Le client détermine la meilleur AP suivant la force du signal et de la charge de l AP. Couverture d une zone dense Channel 1 Channel 6 Channel 11 Positionnement des AP La couverture WiFi change selon de nombreux paramètres (météo, passage, ). Pas de moyen théorique, il faut tester la portée sur place : une AP déplacée dans les endroits à tester et un ordinateur portable muni d un scanner WiFi Les tests sont plus efficaces s ils sont faits dans les pires conditions (micro-onde, passage de personnes ) Transparence au WiFi
Les puissances d emission Il ne faut généralement pas augmenter la puissance d émission des bornes : Même si la borne émet loin, la carte dans le client n aura pas forcément la puissance pour lui répondre En intérieur, une trop grande puissance provoquera de trop nombreux rebonds sur les mur, perturbant les cartes client Le réglage de la puissance ne sert qu à diminuer la puissance pour éviter que plusieurs bornes ne se chevauchent. Les bornes WiFi Cisco Aironet 1200 (802.11 b/g) Cryptage WEP hardware (40 ou 128 bits) 802.11b et 802.11g Choix des antennes Alimentation par le câble ethernet possible Mise à jour logiciel simple Options de sécurité, de QOS Intégration des VLANS 802.11b/g Aironet 1131AG (802.11 a/b/g) Compatible 802.11a, b et g Deux interfaces radio distinctes pour le 802.11bg et le 802.11 a Antennes intégrées
3 possibilités d alimentation : Alimentation électrique Switch compatible 802.3af (power over ethernet) (catalyst 3550) Le «Power injector» qui injecte dans le signal ethernet normal les 48V du 802.3af Un transformateur électrique externe Ethernet In-line Power Source: Catalyst 3550-PWR XL Switch No Power Power Power Ethernet In-line Power Source: Aironet Power Injector No Power Classic Power Source: Power Fonctionnalités 4 interfaces de bases (1131) FastEthernet0 Dot11Radio0 (802.11bg) Dot11Radio1 (802.11a) BVI1 (interface virtuelle servant au management) Possibilité d avoir plusieurs SSID, et d en broadcaster qu un certain nombre Un adresse MAC différente par SSID broadcasté Fonctionnalité Gestion des VLANS => 1 VLAN par SSID Utilisation des ACL Authentification par adresses MAC, LEAP Configuration par pages web embarquées ou en ligne de commande Mini serveur RADIUS intégré Merci de votre attention Didier BARTHE (didier.barthe@univ-reims.fr)