Dépannage des réseaux locaux sans fil en vue d améliorer la disponibilité et la sécurité de la technologie Wi-Fi Introduction Autrefois cantonnés aux applications de niche dans les entrepôts et centres de vente au détail, les réseaux locaux (LAN) sans fil axés sur la norme IEEE 802.11, appelés également réseaux Wi-Fi, connaissent aujourd hui une expansion rapide dans d importants secteurs d activité. En conséquence, les ingénieurs et techniciens réseau doivent disposer des outils nécessaires pour dépanner et sécuriser leurs réseaux sans fil, comme c est le cas pour les réseaux câblés. Dans ce contexte, les analyseurs portatifs et intégrés pour réseaux sans fil/câblés se révèlent particulièrement utiles. Le fait de disposer d un seul périphérique pour dépanner les deux segments réseau permet aux techniciens d identifier rapidement la source du problème : câblé ou sans fil (ou s il s agit d un problème sans aucun rapport avec le réseau). Ils peuvent ainsi optimiser la disponibilité du réseau pour des utilisateurs qui se nomadisent de plus en plus. L environnement sans fil Il existe plusieurs modes de configuration Wi-Fi. Dès lors, pour parvenir à une résolution rapide des problèmes, il est essentiel de disposer d une visibilité de tous les périphériques, canaux RF et types de protocole dans ces différents modes. A titre d exemple, il est vital de pouvoir analyser les réseaux ad hoc d égal à égal, ainsi que les réseaux pontés, commutés et maillés, par catégorie de périphérique, interface et port de commutation à l aide d un seul dispositif. Architectures réseau Dans les réseaux ad hoc, les périphériques client communiquent directement entre eux à la manière d un groupe de travail entre homologues. Ces réseaux peuvent présenter une menace si un ou plusieurs clients non autorisés s associent automatiquement à un client reconnu hébergeant des données confidentielles ou s ils se superposent à la connexion de ce client pour obtenir l accès aux ressources du réseau câblé. Les infrastructures sans fil se composent de points d accès qui sont connectés soit directement au réseau sans fil, soit à des commutateurs sans fil. Elles mettent en place l environnement RF pour les périphériques client et peuvent être configurées de manière à créer des réseaux point à point afin de ponter des réseaux entre des bâtiments séparés, par exemple, par un parking. Les réseaux maillés constituent un autre type d infrastructure. Ils se composent de points d accès qui communiquent entre eux à l aide de protocoles de routage sans fil. Les réseaux maillés autorisent les communications avec le réseau câblé via un nombre minimum de points d accès connectés à ce réseau. Leur installation est souvent envisagée pour, d une part, permettre un positionnement souple des points d accès et, d autre part, faciliter le tirage de câbles entre les armoires de câblage et chaque point d accès, et réduire les coûts liés à cette opération. Analyse de canaux multimodes S agissant du réseau d accès radio de clients et points d accès sans fil, l utilisation de l éventail complet des normes 802.11 (à savoir 802.11b et 802.11g, qui fonctionnent dans la bande de fréquence 2,4 GHz, et 802.11a, qui fonctionne dans la bande de fréquence 5 GHz) est de plus en plus fréquente dans un environnement d entreprise donné. Les entreprises souhaitent en effet exploiter le maximum de canaux non parasites, éviter les interférences RF et optimiser la capacité du LAN sans fil. Page 1
OptiView Integrated Network Livre blanc Même si une entreprise utilise un seul mode 802.11, il est conseillé de disposer d un analyseur de réseau sans fil capable de traiter tous les canaux dans les bandes de fréquences 802.11b, a et g. Dans le cas contraire, l entreprise s expose à des menaces de sécurité en provenance de points d accès ad hoc et indésirables opérant sur d autres bandes. Un analyseur multimode balaie les canaux 802.11 sur les fréquences 2,4 GHz et 5 GHz d une implantation géographique donnée afin de vérifier la configuration, le rapport signal/bruit, les niveaux d utilisation de la bande passante, ainsi que d autres critères. S il s avère, par exemple, qu un point d accès atteint son niveau d utilisation maximum, cela peut être dû à l association temporaire d un trop grand nombre de clients sans fil. Il se peut également qu un utilisateur ou protocole monopolise la bande passante. Les techniciens équipés d analyseurs de réseau sans fil peuvent identifier ces émetteurs les plus actifs, ce qui permet à l entreprise de déterminer si le téléchargement de fichiers MP3 ou tout autre trafic gourmand en bande passante doit être proscrit de l environnement sans fil. Point d accès géré B/G Point d accès indésirable Point d accès géré A/B/G Figure 1 : résolution des problèmes et sécurisation d un environnement Wi-Fi mixte Problèmes RF potentiels Contrairement à un réseau câblé, les performances du LAN sans fil et la possibilité, pour les utilisateurs, d accéder au réseau sont liées aux changements des clients et points d accès environnants. Les utilisateurs qui se connectent aux points d accès sans fil sont souvent nomades. Aussi, il peut s avérer difficile de prévoir le nombre de connexions qu enregistrera un point d accès donné à un moment précis. En outre, des trous de couverture intermittents, ou zones mortes, peuvent se matérialiser en cas de surcharge temporaire d un point d accès ou lorsque les clients se déplacent vers des zones où la puissance du signal RF est insuffisante pour maintenir l association. Dans les zones sans couverture où aucun point d accès n a été installé, les zones mortes peuvent devenir problématiques lors du déploiement de nouvelles applications sans fil, telles qu un service Voix sur IP (VoIP) sans fil. Signalons encore que les modifications apportées à l environnement physique après l analyse initiale du site sans fil peuvent avoir une incidence sur la capacité de communication des clients et des points d accès. Il peut s agir, par exemple, de l ajout ou du déplacement de meubles, notamment des classeurs métalliques, et l installation de fours à micro-ondes et d autres appareils grand public sans fil. Page 2
Identification des responsables Il arrive fréquemment que le réseau sans fil, voire le réseau câblé, ne soit aucunement responsable des difficultés rencontrées par les utilisateurs sans fil. Une étude réalisée l année dernière par Infonetics Research fait ainsi apparaître que seulement 22 % de l indisponibilité réseau en Amérique du Nord est due aux produits, câbles et connecteurs réseau. Le cabinet d études estime que, dans 69 % des cas, l indisponibilité du réseau est imputable aux fournisseurs de services, serveurs et applications. Cependant, il appartient toujours au technicien réseau de déterminer la cause des problèmes réseau perçus. Les services d assistance de nombreuses sociétés posent comme préalable au dépannage de leurs applications l élimination du réseau comme cause possible des problèmes. Le processus de dépannage Lorsque des utilisateurs sont confrontés à des problèmes de connexion Wi-Fi, ils font généralement appel à un service d assistance interne. Si un simple dépannage par téléphone s avère insuffisant, le service d assistance dépêche un technicien sur le site du client. Si un utilisateur sans fil éprouve des difficultés à ouvrir une session, le technicien souhaitera, avant toute chose, déterminer avec précision l emplacement du problème. Pour ce faire, la méthode la plus rapide consiste généralement à utiliser un périphérique de test et de mesure portatif capable de tester les réseaux sans fil et câblés. Si le technicien parvient à s authentifier et à créer une association à partir de l emplacement qui pose problème à l aide de l analyseur de réseau sans fil en mode client, le problème se situe probablement au niveau de la configuration du périphérique client de l utilisateur ou des droits d accès de ce client. Si l analyseur ne parvient pas à accéder au serveur d authentification, le problème peut résider dans la couche physique du réseau câblé ou sans fil. Une bande passante insuffisante, une perte de couverture ou des interférences peuvent, par exemple, être à l origine du problème. Le technicien peut utiliser un analyseur de réseau sans fil pour balayer l environnement sans fil et mesurer ainsi la puissance du signal et la capacité des points d accès à partir de l emplacement qui pose problème. Ce type d analyse est souvent désigné sous le nom de mode passif, dans la mesure où l analyseur n est pas à proprement parler associé à un point d accès lors de l exécution de ces tests. En mode passif, le rôle de la carte réseau sans fil de l analyseur se limite à la réception de données sans fil. Si la qualité du signal RF est satisfaisante, le technicien utilise l analyseur pour se connecter au réseau sans fil, en mode client, et effectuer ainsi d autres tests, tels que des tests d authentification, de débit et ping. Les techniciens doivent fréquemment vérifier la conformité de la configuration du client aux stratégies de sécurité de l entreprise en matière d authentification et d encodage des trames (type EAP [Extensible Authentication Protocol], par exemple). Il suffit d un paramètre de sécurité non concordant pour que l authentification et l autorisation échouent. Un analyseur de réseau câblé/sans fil portatif bien conçu doit pouvoir superviser et dépanner chaque étape du processus d authentification afin de déterminer, le cas échéant, l emplacement précis du problème. Si, par exemple, le serveur d authentification refuse l accès à un utilisateur, le problème peut se situer au niveau du serveur proprement dit, de la configuration de sécurité de l utilisateur ou des droits d accès de l utilisateur. L utilisation d un analyseur de réseau sans fil pour superviser le processus d authentification EAP permettra d éliminer un certain nombre de possibilités. Page 3
Sécurité et performances Comme nous l avons indiqué précédemment, les réseaux sans fil sont dynamiques. Ainsi, une fois déployé, un environnement réseau sans fil continue à évoluer. Cela est dû en partie aux erreurs humaines et, parfois, à l ajout de périphériques non autorisés par des employés désireux d améliorer leur accès sans fil. Dans certains cas, en raison de la nature tridimensionnelle de la connectivité sans fil, des personnes situées physiquement hors de l enceinte de l entreprise peuvent se connecter à des points d accès non autorisés, que ce soit de manière fortuite ou à dessein. Localisation de réseaux ad hoc et de points d accès indésirables Toutes les entreprises ne peuvent pas justifier les coûts liés au déploiement d un réseau de capteurs superposés, tel qu un système de détection d intrusion, pour rechercher des points d accès non autorisés ou indésirables. Dans la plupart des cas, il est possible de localiser les réseaux ad hoc et points d accès indésirables en effectuant des inspections réseau ambulantes visant à tester les vulnérabilités de l infrastructure. Cela suppose la configuration d un périphérique de test portatif de telle sorte que les points d accès de production soient désignés comme «autorisés» dans le logiciel du système de test. Le périphérique pourra alors identifier rapidement, explicitement et en temps réel les réseaux ad hoc et points d accès non autorisés au cours des inspections périodiques. Figure 2 : analyse du réseau sans fil Inspections réseau Sur le plan de la sécurité, Gartner Inc. estime que, d ici 2006, 70 % des attaques réussies contre des réseaux Wi-Fi seront dues à la mauvaise configuration des points d accès et logiciels client. Les outils d analyse réseau sans fil peuvent remédier à ce problème en contribuant au respect des meilleures pratiques, lesquelles préconisent des inspections régulières du réseau sans fil pour s assurer que la configuration des points d accès et des clients est conforme à la stratégie de l entreprise, suivant en cela les recommandations de l Institut SANS de Bethesda, dans le Maryland. L Institut SANS propose des informations, des cours de formation sur la sécurité et des séances de certification. L institut invite les entreprises à procéder à un contrôle régulier de la configuration de chacun des points d accès et à vérifier leur conformité avec les stratégies de sécurité internes de l entreprise. Prenons l exemple d une entreprise qui a adopté le cryptage WPA et qui a opté pour le protocole PEAP (Protected Extensible Authentication Protocol), l une des nombreuses méthodes d authentification disponibles. Dans ce cas, les administrateurs réseau sont invités à vérifier régulièrement que tous les points d accès sont bien configurés pour le protocole PEAP. Une fois l analyse initiale du site sans fil effectuée, les techniciens réseau peuvent utiliser leurs analyseurs portatifs à intervalles réguliers pour inspecter l environnement RF et rechercher les modifications susceptibles d entraîner une dégradation des performances. Ils peuvent également consulter les tendances d utilisation (localisation des points de rassemblement des utilisateurs sans fil, par exemple) afin d identifier les zones où installer des points d accès supplémentaires. Page 4
Types d analyseurs Il existe plusieurs types d analyseurs pour dépanner et sécuriser votre réseau sans fil. Pour l heure, le type le plus utile est certainement un périphérique portatif conçu pour dépanner les segments câblés et sans fil du réseau d entreprise. Systèmes portatifs Les analyseurs réseau intégrés renforcés présentent plusieurs avantages par rapport aux ordinateurs portables, aux dispositifs de type assistant numérique personnel (PDA) et aux systèmes centralisés (voir ci-après). Les performances des ordinateurs portables, par exemple, sont limitées par les pilotes Windows NDIS (Network Driver Interface Specification) qui définissent le mode de communication utilisé entre les protocoles de communication, tels que TCP/IP, et la carte réseau de l ordinateur. Les limitations NDIS entraînent souvent une baisse des performances de l ordre de 50 %. Sur le plan de la facilité d utilisation, les ordinateurs portables ne constituent pas la solution idéale, dans la mesure où les techniciens hésitent à les prêter à d autres utilisateurs pour mener des tests. De plus, il est probable qu ils sont réticents à l idée de les «abandonner» à un endroit pour effectuer des tests et des analyses sur une période prolongée. Figure 3 : analyseur portatif pour réseaux câblés et sans fil Pour leur part, les ordinateurs de poche (PDA) pâtissent de l absence de prise en charge d une carte bus intégrée, condition sine qua non pour activer l analyse des canaux Wi-Fi (802.11a/b/g). Comme indiqué précédemment, il s agit là d une fonctionnalité essentielle pour procéder à un dépannage complet de l environnement sans fil. Systèmes centralisés Les systèmes qui prennent en charge certaines fonctions de gestion RF dans une armoire de câblage ou un commutateur ou contrôleur de centre de données se révèlent particulièrement utiles ; cependant, leur vision se limite à ce que les points d accès de l infrastructure répartie peuvent «détecter» et à ce qu ils sont capables de leur signaler. Ainsi, un système de gestion RF centralisé ne pourra peut-être pas détecter une zone morte suite à une modification de l environnement physique. De même, il est possible qu un système centralisé soit en mesure d indiquer l emplacement général d un point d accès indésirable. Cependant, pour le technicien dépêché sur site pour le désactiver, les points d accès environnants paraissent identiques. Les analyseurs portatifs, en revanche, complètent idéalement ces systèmes centralisés en proposant des indicateurs de puissance du signal sonores et visuels qui dirigent les techniciens vers le point d accès indésirable. Enfin, de nombreuses entreprises gèrent aujourd hui encore des infrastructures Wi-Fi héritées avec points d accès traditionnels. En fait, la migration vers des infrastructures centralisées ou l installation de systèmes de détection d intrusion propriétaires n étaient tout simplement pas justifiées ou prévues dans le budget. Dans ces environnements, l exécution d inspections fréquentes à l aide d un analyseur de réseau sans fil portatif constitue une solution de gestion et de maintenance efficace. Page 5
Résumé A mesure que la technologie WLAN gagne du terrain, de plus en plus d utilisateurs de réseau sans fil vont faire appel aux services d assistance pour signaler des problèmes réseau. Heureusement, l époque où les techniciens devaient transporter plusieurs instruments pour tester et dépanner leurs réseaux est révolue! Les analyseurs portatifs et intégrés pour réseaux sans fil/câblés peuvent rapidement détecter les problèmes au niveau du réseau câblé ou sans fil, du périphérique client ou de l application. Pour les techniciens, cela se traduit par une résolution plus rapide des problèmes. Les analyseurs de réseau sans fil détectent les périphériques connectés au réseau et livrent des informations sur leur état, la puissance du signal et leurs configurations de sécurité. Ils peuvent également faire office de clients sans fil, ce qui permet aux techniciens de déterminer immédiatement si le problème est spécifique au périphérique d un utilisateur donné. Par rapport aux dispositifs concurrents, les analyseurs de réseau intégrés portatifs présentent des avantages non négligeables : performances supérieures par rapport aux ordinateurs portables, capacité d analyse multimode, contrairement aux ordinateurs de poche, et enfin, coûts inférieurs et précision accrue par rapport aux systèmes centralisés. A propos de l analyseur de réseau sans fil intégré OptiView de Fluke Networks L analyseur de réseau intégré OptiView Séries II de Fluke Networks identifie rapidement les périphériques (802.11a/b/g) connectés à un LAN sans fil et affiche des informations synthétiques à leur sujet sur la page initiale de l écran du périphérique portatif. Il analyse automatiquement tous les canaux afin de recueillir et de dégager des statistiques sur l état du réseau RF et permet aux techniciens d explorer tout périphérique afin d en visualiser la configuration sans fil. Lorsqu il teste la sécurité du réseau sans fil, l analyseur indique si un périphérique est autorisé sur le réseau, s il n est pas autorisé (indésirable) ou s il s agit d un voisin. Le cas échéant, il identifie également le type de sécurité Figure 4 : analyseur portatif OptiView pour lequel ce périphérique a été configuré. L analyseur Analyse de réseaux câblés et sans fil signale les problèmes de sécurité en indiquant les périphériques qui n ont pas été configurés conformément à la stratégie de sécurité de l entreprise, par exemple. Le périphérique s accompagne d un instrument permettant de localiser les points d accès et les périphériques client à l aide d un indicateur de puissance relative du signal. Lorsqu un réseau ad hoc ou un point d accès non autorisé apparaît sur l écran de l OptiView, le technicien peut activer l outil de localisation et suivre l indicateur de puissance de réception et les signaux sonores progressifs pour localiser le périphérique responsable. Pour plus d informations, consultez notre site à l adresse www.flukenetworks.com/wireless. NETWORKSUPERVISION Fluke Networks P.O. Box 777, Everett, WA USA 98206-0777 Page 6 Fluke Networks est présent dans plus de 50 pays. Pour connaître les coordonnées du bureau le plus proche, rendez-vous à l adresse www.flukenetworks.com/contact. 2005 Fluke Corporation. Tous droits réservés. Imprimé aux Etats-Unis. 3/2005 2455994 A-FRN-N Rév. A