چگونه يک شبكه بی‌سيم امن بسازيم؟

IRCAR200905018
شبكه هاي بي سيم راه خوبي براي به اشتراك گذاشتن فايلها، پرينترها و اتصال اينترنت بين تمامي كامپيوترهاي يك خانه يا يك شركت كوچك هستند. اما استفاده از اين شبكه ها دردسرهايي را نيز به همراه دارد. يك شبكه بي سيم به ديوارهاي خانه شما محدود نمي­شود. در حقيقت يك شبكه بي سيم معمولا محدوده اي به شعاع 100 متر از محل مسيرياب بي سيم را پوشش مي­دهد و به اين ترتيب همسايگان شما مي­توانند به شبكه بي سيم شما دسترسي داشته باشند. اين موضوع مي­تواند باعث گردد كه سرعت اينترنت شما به دليل استفاده ديگران كند شود، فايلهاي روي كامپيوترهاي شما براي ديگران قابل مشاهده باشد و نرم افزارهاي خطرناك به سراغ كامپيوترهاي شما بيايند، سايرين بتوانند به اطلاعات شخصي شما مانند نامهاي كاربري و كلمات عبور دسترسي پيدا كنند و يا فعاليتهاي غير مجاز را از طريق اتصال اينترنت شما انجام دهند. البته با تنظيم سياستهاي امنيتي مناسب مي­توانيد اين فعاليتها را براي ديگران بسيار سخت نماييد. چيزهايي كه شما بايد بدانيد اين است كه چگونه يك مسيرياب بي­سيم انتخاب كنيد و چگونه يك شبكه را به صورت امن تنظيم نماييد.

انتخاب يك مسيرياب بي­سيم
اين روزها معمولا شما بايد مسيريابي را خريداري كنيد كه از استاندارد 802.11n استفاده كند. ولي لازم است نكاتي را در نظر داشته باشيد. اين پروتكل Wi-Fi با نسلهاي پيشين خود يعني 802.11g و 802.11b سازگار است، بنابراين اگر شما از لپ­تاپي استفاده مي­كنيد از تكنولوژيهاي قديمي استفاده مي­كند، در صورت تنظيم مسيرياب براي سازگاري با نسلهاي قبلي، سيستم شما با مسيرياب جديدتان نيز كار خواهد كرد. پروتكل 802.11n نسبت به دو پروتكل قبلي از خصوصيات بهتري برخوردار است و ارسال داده­ها را نيز با سرعت بيشتري انجام مي­دهد، ولي هنوز به عنوان يك استاندارد پذيرفته نشده است. استفاده از يك مسيرياب دو بانده ايده خوبي است. اين مسيريابها ترافيك را روي دو محدوده مجزاي طيف بي­سيم يعني 2.4 GHz و 5GHz تقسيم مي­كنند. اين كار باعث مي­شود كه شبكه بتواند داده­هاي بيشتري را با سرعت بيشتري انتقال دهد. بسياري از مسيريابها مانند WRT610N مي­توانند ترافيك را روي دو SSID (Service Set Identifier) مختلف تقسيم كنند. اين كار به شما اجازه مي­دهد كه وسايل كندتر يا با امنيت كمتر را كه از 802.11b استفاده مي­كنند در حلقه خودشان قرار دهيد و از بقيه شبكه جدا كنيد. ساير مسيريابها مانند WNDR3700 به شما اجازه مي­دهند كه ترافيك را روي دو شبكه بي­سيم كاملا مجزا تقسيم كنيد. اين كار براي حالتي ايده­آل است كه شما بخواهيد بخشي از شبكه براي ديگران باز باشد و بخش ديگر مثلا اشتراك فايلها فقط براي كامپيوترهاي خودتان باز باشد. تصميم­گيري بعدي شما در مورد مسيرياب مربوط به پورتهاي آن است. حتي اگر به شكل تئوري شبكه خود را به صورت بي­سيم صرف در نظر بگيريد، واقعيت اين است كه شبكه شما به احتمال زياد تركيبي از سيستمهاي بي­سيم و سيمي خواهد بود. ارتباطات سيمي از نظر سرعت بهينه هستند، ساده تر و قابل اعتمادتر هستند و از امنيت بيشتري نيز برخوردارند. بسياري از مسيريابهاي بي­سيم هنوز به جاي استاندارد سريعتر gigabit (1000Base-T) از 100Base-T Ethernet استفاده مي­كنند. به دنبال مدلي باشيد كه سرعت بالاتر گيگابيت را دارا باشد تا به اين وسيله شبكه شما قادر باشد ترافيك شبكه سيمي را نيز عبور دهد. به اين ترتيب حتي زماني كه در حال نمايش يك ويدئوي با كيفيت بالا هستيد، مي­توانيد فايلهاي ديگر را بدون كم شدن سرعت به اشتراك بگذاريد. براي داشتن حداكثر سرعت شما بايد از gigabit Ethernet استفاده كنيد، ولي مي­توانيد كلاينتهاي 100Base-T خود را نيز ارتقا دهيد. چراكه اين كلاينتها قادرند با سخت افزار سريعتر نيز كار كنند. برخي مسيريابها پورت USB نيز دارند. اسناد مربوط به مسيرياب را مطالعه كنيد. شما مي­توانيد پورت USB را به يك پرينتر يا درايو سخت متصل كنيد و اين وسايل را وارد شبكه خود نماييد. اگر اين ويژگيها نيازهاي شما را برآورده مي­كنند هزينه آن را تقبل كنيد. در غير اينصورت روي قابليتهايي كه پيش از اين بحث شد تمركز نماييد. اگر شعاع محدوده اي كه مسيرياب پوشش مي­دهد در تنظيمات شما مهم است، اطمينان حاصل كنيد كه مسيرياب تهيه شده داراي يك پورت آنتن خارجي است و بر همه پخشي مطرح شده روي بسته بندي تكيه نمي­كند. بسياري عوامل روي محدوده يك مسيرياب تاثير مي­گذارند. از جمله ساختار ساختمانهاي اطراف و تداخل با همسايه ها. اگر مي­خواهيد يك خانه كامل را پوشش دهيد، ممكن است لازم باشد كه يك نقطه دسترسي (access point) ديگر نيز تهيه نماييد.

مسيرياب خود را تنظيم كنيد
بيشتر مسيريابها بصورت بسته بندي شده و به همراه يك ديسك نصبي ارائه مي­شوند، ولي پيشنهاد مي­دهيم كه آن را كنار گذاشته و مسيرياب خود را به صورت دستي و از طريق يك مرورگر وب تنظيم كنيد. CDهاي نصبي براي افراد مبتدي راحتتر است، ولي از طريق واسط مرورگر به گزينه هاي تنظيم پيشرفته دسترسي بهتري خواهيد داشت. بعلاوه شما مي­توانيد از هريك از كامپيوترهاي خود به واسط دسترسي پيدا كنيد و نيازي هم به ديسك نيست. زماني كه ياد گرفتيد چگونه شبكه خود را از طريق واسط مرورگر تنظيم كنيد، در مورد اتفاقات بعدي كه ممكن است روي شبكه شما بيفتد نيز آماده تر خواهيد بود. پروسه دقيق اين كار بسته به مدل و مارك مسيرياب شما كمي متفاوت است، ولي گزينه هاي منو در بيشتر ماركهاي معروف شبيه هم هستند. حال ببينيم كه چگونه شروع كنيم. براي داشتن حداكثر شعاع پوشش، مسيرياب را روي يك محل بلند يا روي يك ديوار قرار دهيد. يك كابل Ethernet بين مودم خود و مسيرياب بكشيد به طوريكه به پورت اترنت مسيرياب متصل شود. براي اطمينان از بازده بالا، تمامي اتصالات را از طريق كابل Cat-5e يا كابلهاي بهتر برقرار نماييد. سپس يك كابل Ethernet ديگر بين يكي از پورتهاي LAN مسيرياب و كامپيوتر خود بكشيد. اگر از يك لپ تاپ براي تنظيم مسيرياب خود استفاده مي­كنيد، در انتهاي كار اين كابل را جدا خواهيد كرد. اولين نكته اي كه بايد در مورد مسيرياب خود بدانيد آدرس IP آن است. برخي اوقات آدرس IP روي مسيرياب نوشته شده است. اگر اينطور نيست، مي­توانيد آن را در صفحه Windows Network Connections پيدا كنيد. يك ارتباط در فهرست Local Area Connection بايد در وضعيت Connected قرار داشته باشد. روي اين ارتباط كليك كرده و سربرگ Support را انتخاب نماييد. آدرس Default Gateway IP را به خاطر سپرده يا جايي يادداشت كنيد. (احتمالا اين آدرس 192.168.1.1 يا 192.168.0.1 خواهد بود.) يك مرورگر وب باز كرده و آدرس IP مسيرياب خود را در قسمت آدرس وارد كنيد. در اين مرحله از شما يك نام كاربري و كلمه عبور پرسيده مي­شود. اين اطلاعات را مي­توانيد از مستنداتي كه همراه مسيرياب است به دست آوريد. زماني كه وارد صفحه تنظيمات مسيرياب گرديد، مي­توانيد تمامي تنظيمات مسيرياب را تغيير دهيد. قبل از هر كاري كلمه عبور admin مسيرياب را عوض كنيد، چراكه در حال حاضر هر كسي مي­تواند با وارد كردن يك سري كلمه عبور كاملا شناخته شده وارد مسيرياب شما گردد. به دنبال سربرگ Administration بگرديد. كلمه عبور جديد را وارد كنيد و تغييرات را ذخيره نماييد. سپس بايد با وارد كردن كلمه عبور جديد مجددا وارد صفحه تنظيمات مسيرياب شويد. در مرحله بعد زيرشبكه (subnet) داخلي و آدرس IP مسيرياب را تغيير دهيد. اين كار علاوه بر كمك به امنيت، به شما كمك مي­كند كه از تداخل آدرسهاي IP در شبكه هاي پيچيده جلوگيري كنيد. به قسمت تنظيمات پايه برويد و آدرس IP را به 192.168.x.1 تغيير بدهيد. x هر عدد جديدي بين 1 تا 254 است. اين عدد را يادداشت كرده و با در نظر گرفتن آدرس IP جديد به عنوان URL مجددا به مسيرياب وارد شويد. (هربار كه تغييرات را ذخيره مي­كنيد ممكن است نياز باشد چند لحظه براي شروع به كار مجدد مسيرياب صبر كنيد.) اكنون SSID را تغيير داده و رمزنگاري Wi-Fi را به عنوان اولين لايه امنيتي خود فعال نماييد. هيچ چيز به اندازه يك شبكه با نام پيش فرض هكرها را به سوي خود دعوت نمي­كند. ابتدا به دنبال قسمت تنظيم wireless و تنظيمات پايه بگرديد و اگر لازم است Wi-Fi Protected Setup را غير فعال كنيد. نام شبكه را به نام يكتايي تغيير دهيد. علاوه بر اين بهتر است SSID Broadcast را نيز غير فعال نماييد. اگرچه كاربران باهوش به راحتي مي­توانند شبكه هاي پنهان را پيدا كنند، ولي به هر حال در اين صورت شبكه شما به صورت پيش فرض براي ساير كامپيوترها قابل رويت نخواهد بود و يك لايه نازك امنيتي روي شبكه شما ايجاد خواهد شد. اگر شما از سخت افزار 802.11n روي كامپيوترها و مسيرياب خود استفاده مي­كنيد، broadcast 40MHZ پهن باند را فعال كنيد. (اگر با مشكلاتي مثل تداخل با شبكه هاي همسايه در شبكه خود مواجه شديد اين گزينه را غير فعال كرده يا به حالت auto تغيير دهيد.) تغييرات ايجاد شده را ذخيره كنيد. ترافيك Wi-Fi بدون استفاده از كلمه عبور رمز نشده است. اين بدان معني است كه هركسي در نزديكي شبكه شما مي­تواند به سادگي داده هاي شما را بخواند. با فعال كردن امنيت WPA2 Personal كه معمولا در سربرگ Wireless Security قرار دارد اين مشكل را رفع كنيد. يك كلمه عبور طولاني به صورت تركيبي از حروف و اعداد انتخاب كرده و تغييرات ايجاد شده را ذخيره نماييد. اگر مسيرياب يا client شما فقط WPA يا WEP را پشتيباني مي­كند مي­توانيد از يكي از اين استانداردها به جاي WPA2 استفاده كنيد. البته بايد اين نكته را بدانيد كه اين دو استاندارد امنيت كمتري نسبت به WPA2 ايجاد مي­كنند. راه حل بهتر اين است كه از چندين نقطه دسترسي استفاده كنيد و يا از يك نقطه دسترسي استفاده كنيد كه بتواند كار انتشار را به چندين SSID انجام دهد. سپس سخت افزاري را كه در معرض خطر است در شبكه خودش قرار دهيد.

Clientها را به هم متصل كنيد
Clientهاي بي­سيم اغلب شامل نرم افزار تنظيم كننده از شركت سخت افزار Wi-Fi هستند و همچنين نرم افزار Windows Control Panel را نيز دارا هستند. شما مي­توانيد clientها را از طريق هريك از اين دو نرم افزار به هم متصل كنيد. ولي ما روي ابزار Windows تمركز خواهيم كرد. صفحه Control Panel و سپسNetwork Connections را باز كنيد و روي Wireless Network Connection كليك راست نموده و Properties را انتخاب كنيد. سپس سربرگ Wireless Networks را انتخاب كرده و روي Add كليك نماييد. SSID را براي شبكه خود وارد كنيد و روي قسمتي كه با كلمه Connect برچسب گذاري شده كليك نماييد. WPA2 را براي Network Authentication انتخاب كنيد. Data Encryption را بصورت AES تنظيم كرده و سپس دوبار روي OK كليك كنيد. يكبار ديگر روي Wireless Network Connection در Control Panel كليك كرده و شبكه بي­سيم خود را انتخاب نماييد. روي Connect كليك كنيد. كلمه عبور شبكه را وارد كرده و مجددا روي Connect كليك نماييد. كامپيوتر كلمه عبور را ذخيره خواهد كرد و در آينده بطور خودكار متصل خواهد شد.

ارتباطات client را با فيلتر كردن آدرس MAC كنترل كنيد
يك لايه امنيت بي­سيم كه تحت عنوان فيلتر كردن آدرس شناخته مي­شود، سيستمهاي متصل به شبكه را با فهرست سيستمهاي مورد قبول شما چك مي­كند. اگر فردي كلمه عبور شبكه شما را داشته باشد، مسيرياب اجازه نخواهد داد كه از طريق سخت افزاري كه در فهرست شما موجود نيست به شبكه دسترسي پيدا كند. اين فهرست بر اساس آدرس MAC هر سيستم سخت افزاري ساخته مي­شود. اين لايه امنيتي نيز مانند ساير لايه هاي امنيتي غير قابل نفوذ نيست. به صورت تئوري اگر يك هكر آدرس MAC يكي از سيستمهاي مورد قبول شما را بداند، مي­تواند آدرس MAC خود را به آن آدرس تغيير دهد. ولي احتمال موفقيت چنين حمله اي بسيار كم است، به خصوص اگر شما فيلتر كردن آدرس MAC را با ساير گامهاي امنيتي كه پيش از اين مطرح شد تركيب كرده باشيد. فيلتر كردن آدرس زحمت خاصي به پروسه اتصال يك سيستم جديد به شبكه اضافه نمي­كند، ولي در مقابل امنيت خاطر بيشتري براي شما ايجاد مي­كند. به هر حال به خاطر داشته باشيد كه فيلتر كردن آدرس به معناي رمزنگاري نيست و اين ابزار كار WPA2 را انجام نمي دهد. براي شروع، تمامي Clientهاي بي­سيم خود را با استفاده از كلمه عبور WPA2 به شبكه متصل كنيد. به خاطر داشته باشيد كه تمام كامپيوترها، تلفنهاي هوشمند، سيستمهاي بازي بي­سيم، سخت افزار پخش ويدئو و ساير سيستمهاي مرتبط را متصل كنيد. دوباره به صفحه تنظيمات مسيرياب بي­سيم خود رفته و كلمه عبور خود را وارد كنيد. به دنبال گزينه اي براي تنظيم فيلتر كردن آدرس MAC بگرديد (گاهي به آن فيلتر كردن شبكه نيز گفته مي­شود). اين گزينه اغلب در بخش تنظيمات بي­سيم قرار دارد. فيلتر را فعال كنيد و آن را طوري تنظيم كنيد كه فقط سخت افزارهايي كه آدرس MAC آنها شناخته شده است اجازه دسترسي به شبكه را داشته باشند. بسياري از مسيريابها دكمه اي دارند كه تمامي سيستمهاي متصل به شبكه را نشان مي­دهد و به شما اجازه مي­دهد آنها را به طور خودكار اضافه كنيد. اگر اينطور نيست پيش از فعال كردن فيلتر، آدرسهاي MAC را از جدول DHCP كپي كنيد. اين آدرسها اغلب تحت عنوان Status يا Wireless Status فهرست شده اند. تغييرات را ذخيره كرده و منتظر بمانيد تا اگر لازم است مسيرياب restart شود. در آينده شما بايد آدرس MAC هر سيستم جديدي را كه مي­خواهيد به شبكه اضافه كنيد تايپ نماييد. براي بدست آوردن آدرس MAC يك لپ تاپ به سادگي مي­توانيد روي Start و سپس Run كليك كرده و پس از تايپ cmd روي OK كليك كنيد. سپس دستور ipconfig/all را تايپ كرده و كليد Enter را فشار دهيد. به دنبال مجموعه اي از شش جفت از اعداد و حروف در بخش Wireless Network Configuration بگرديد.

امنيت فايروال
احتمالا مسيرياب شما فايروالي دارد كه از دو قسمت تشكيل شده است: ترجمه آدرس شبكه (NAT) و Stateful Packet Interception (SPI). در بيشتر موارد NAT به طور پيش فرض فعال است. اين روش مسيريابي اجازه مي­دهد كه ترافيك اينترنت از طريق يك آدرس IP واحد خارجي به مسيرياب ارسال شود. مسيرياب كنترل مي­كند كه كدام كامپيوتر داخلي اطلاعات را ارسال و دريافت مي­نمايد. SPI يك گام فراتر رفته و اطمينان حاصل مي­كند كه داده ورودي در پاسخ به درخواست كامپيوترهاي داخلي شبكه شما ارسال شده باشد. فايروال SPI را كه احتمالا در سربرگ security قرار دارد، در صفحه تنظيمات مسيرياب خود فعال نماييد. اگر SPI فعال باشد، مسيرياب ترافيكي را كه شما درخواست نكرده باشيد رد مي­كند. برخي اوقات اين فايروال ممكن است ترافيكي را كه شما درخواست كرده ايد نيز مسدود كند. اگر چنين مشكلي با برنامه هاي مهم خود داريد، تنظيمات port-forwarding خود را تغيير دهيد. اين كار براي افزودن پورتهاي خارجي براي برنامه اي كه مسيرياب آن را مسدود كرده است و وارد كردن يك آدرس IP داخلي براي آن سيستم انجام مي­شود. (بسياري از شماره پورتهاي معمول را مي­توانيد به صورت آنلاين پيدا كنيد.)

از يك switch براي افزودن پورتهاي بيشتر استفاده كنيد
تعداد كمي از شبكه هاي خانگي ممكن است بيش از چهار پورت Ethernet كه معمولا هر مسيريابي دارد لازم داشته باشند. ولي شبكه هاي اداري كوچك اغلب به پورتهاي اضافي نياز دارند. به جاي خريدن تعداد بيشتري مسيرياب، يك switch ساده و ارزان تهيه كنيد. هابها چندان براي اين كار مناسب نيستند، چراكه اولا قادر نيستند به طور همزمان عمليات ارسال و دريافت بسته ها را انجام دهند و ثانيا، داده ها را به همه جا منتشر مي­كنند. در نتيجه بسته ها با يكديگر برخورد كرده و بايد دوباره ارسال شوند كه باعث كند شدن شبكه مي­شود. سوئيچها مي­توانند داده را به طور همزمان ارسال و دريافت نمايند. سوئيچي تهيه كنيد كه تعداد پورت كافي براي برآوردن نياز شما داشته باشد. ولي اگر باز هم پورت كم آورديد يك سوئيچ ديگر تهيه كنيد. بهتر است سوئيچي انتخاب كنيد كه از gigabit Ethernet استفاده كند. حتي اگر در حال حاضر از سخت افزار 100Base-T استفاده مي­كنيد، مي­توانيد در آينده با سيستمهاي جديد به سرعتهاي بالاتر برسيد. از خريداري سوئيچهاي 10Base-T خودداري كنيد. نصب سوئيچ كار آساني است. فقط يك كابل Ethernet بين مسيرياب و سوئيچ وصل كرده و سپس سيستمهاي جديد را به پورتهاي سوئيچ متصل كنيد.

شبكه بي­سيم را به يك وسيله سيمي متصل كنيد
اگر شما سيستمهايي داريد كه فقط Ethernet دارند، بهتر است به جاي كابل از طريق يك bridge به شبكه متصل شويد. روش bridge بي­سيم مي­تواند با Xbox 360، TiVo يا ساير سيستمهاي سيمي به خوبي كار كند. اگرچه سادگي و سرعت يك شبكه سيمي بهتر است، ولي شبكه بي­سيم جذابتر است. حال ببينيم كه چگونه شروع كنيم. پروسه به صورت معكوس تنظيم مسيرياب بي­سيم است. ابتدا يك كامپيوتر را مستقيما از طريق Ethernet به bridge متصل كنيد. (اگر لازم است به طور موقت Wi-Fi كامپيوتر را غيرفعال كنيد.) از آنجايي كه bridge آدرس DHCP را منتشر نخواهد كرد، مجبور هستيد جزئيات Ethernet كامپيوتر خود را به صورت دستي تنظيم كنيد. صفحه Control Panel و سپسNetwork Connections را باز كرده و روي Local Area Connection كليك راست نماييد. Properties را انتخاب كنيد. روي Internet Protocol (TCP/IP) كليك كرده و روي Use the following IP address كليك كنيد. در مورد آدرسي كه به شكل پيش فرض مورد استفاده قرار مي­دهد به اسناد Bridge مراجعه نماييد. يك آدرس IP انتخاب كنيد كه سه قسمت اول آن با اين آدرس پيش فرض يكسان باشد و قسمت چهارم آن متفاوت باشد و آن را وارد كنيد. براي مثال اگر آدرس پيش فرض bridge شما 192.168.0.241 است، شما مي­توانيد آدرس IP كامپيوتر را 192.168.0.2 انتخاب كنيد. (بخش چهارم آدرس مي­تواند عددي بين 2 و 254 باشد.) Subnet mask را 255.255.255.0 انتخاب كنيد مگر اينكه ويندوز آدرس ديگري به آن نسبت داده باشد. دوبار روي OK كليك كنيد. آدرس IP مربوط به bridge را در يك مرورگر وب وارد كنيد و وارد صفحه تنظيمات آن شويد. تنظيمات بي­سيم آن را طوري انجام دهيد كه با تنظيمات شبكه بي­سيم شما همخواني داشته باشد. SSID و جزئيات رمزنگاري يكساني انتخاب كنيد. اجازه بدهيد كه bridge جزئيات DHCP را از مسيرياب شما دريافت كند. اكنون bridge را restart نماييد و با باز كردن Local Area Connection در Network Connections Control Panel كامپيوتر خود را به DHCP برگردانيد. Internet Protocol (TCP/IP) را باز كرده و روي دكمه Obtain an IP address automatically كليك كنيد. اگر كامپيوتر توانست آنلاين شود، كابل Ethernet را قطع كنيد و bridge را به سيستم سيمي خود متصل كنيد. اگر پورت كم آورديد باز هم يك سوئيچ اضافه كنيد.

منبع: http://www.computerworld.com