Архив форумов ЦИТФорума

[grf]

Началось все невинно , главной бухгалтерше подарили ноутбук. Как и полагается по статусу, большой и навороченный. Среди прочего есть контроллер WI FI, а это в понимании главбуха просто супер, т.к. можно работать и в столовой и из кабинета и пр.

В связи с чем мне дали указание срочно организовать WI FI покрытие территории.

Для этого куплены такие маршрутизаторы, точки доступа
http://www.mototelecom.ru/?cat=products&id=22572

А дальше начались вопросы:
У нас есть сеть 192.168.0.х, с AD и прочими приблудами. Насколько я понимаю, включать так просто беспроводной доступ в сеть дело опасное (с точки зрения безопасности)
http://citforum.ru/nets/wireless/crack/

И хотя WEP я, естественно, включу, но хотелось как то себя обезопасить.
1. Где можно толково почитать про методы защиты беспроводных сетей WEP, WPA etc, что бы узнать, что это такое, буду благодарен за ссылки?
2. Хочу на точке доступа LAN выделить в особую подсеть, например 192.168.1.х , а WAN уже в нашу сеть, например 192.160.0.1, соответственно закрыв на маршрутизаторе все, кроме IP (MAC) ноута главбуха.
3. Надо ли организовывать VPN канал для безопасности между нашим серваком и ноутом.
4. Что еще можно придумать и надо ли что-то думать для обеспечения собственной безопасности.

C Wi FI не работал, поэтому вопросы может и наивные.


_________________
Errare humanum est

[and3008]

Да нет, здраво все. Только п.2, где про MAC - это для детей. Приличный парни снифернут трафик, а потом прикинутся IP и MAC-адресом главбуха.

Делай отдельный сегмент. Своди в него провода с WiFi-роутеров и VPN-сервер. Хочешь в сеть офиса? Милости просим в VPN.

[bvvtver]

[and3008]

Не стоит, наверно объяснять, что две двери с сложными замками более серъезно, чем одна дверь с одним, пусть очень сложным замком?

Почему? Потому что в первом случае надо сломать сперва одну дверь (WPA), а потом еще и VPN. А во втором случае достаточно изломать только WPA.
В первом случае вы на VPN-сервере может логирование включить и в случае взлома хотя бы понять "что ж это было", а во втором случае убаюкивайте себя мыслью, что WPA2 - это супер, WPA2 не ломается.

Думайте сами, решайте сами. У меня доступ из WiFi в локальный сегмент только через VPN. Юзверю при коннекте надо не 5-10, а 15-20 кнопок нажать (пароль в Windows+пароль на VPN). Ну "ооочень сложно", дальше некуда, с учетом того, что они это делают один раз при входе в сеть.

[bvvtver]

[grf]

Спасибо, понял куда плыть.

Это еще актуально

[San_dok]

to bvvtver

[bvvtver]

[grf]

Спасибо.


_________________
Errare humanum est

[and3008]

Разработать разработали, однако помяните мое слово, приедет великая шишка со сраным ноутбуком с WAP-only и будете вы понижать защиту своей чудной сети. Зачем? VPN не так и трудно развернуть.

Дело ваше. Мое мнение такое, что беспроводная связь в основной своей массе пока небезопасна. Производители делают усилия, чтобы устранить недостатки, но на то, чтобы насытить рынок совершенными Wi-Fi устройствами по приемлемой цене уйдет время. Думаю годика два надо обождать.

[grf]

Да нет, я то как раз за принцип "лучше перебдеть, чем недобдеть"

Потому и фишка с mac адресом хоть и детская пресыпка, но не помешает, хотя бы на то, что займет у злоумышленника лишние полчаса, за которые я, возможно, успею как-то среагировать.


Спасибо.


_________________
Errare humanum est

[bvvtver]

[grf]

А вариант WPA+VPN не прокатит?
_________________
Errare humanum est

[and3008]

Я рассуждаю с позиции что проводная сеть ценнее, чем беспроводная.

Если у вас все наоборот, но вероятно вы правы. Парадигма безопасности будет отличаться от моего предложения.

Однако будьте реалистами. Стырить инфу у топа через WiFi дорого. Есть 3 млн. способов более простых и надежных, чем хакинг.

[bvvtver]

[Dimasm]

а я разок вообще столкнулся с такой ситуацией....
нетстамлером нашёл сетку, покатался выявил где ярче светит...
подключение вообще без всякого шифрования... губа раскаталать.. азарт... а дальше -
просканил диапазоны IP - HTTP сервак с SSL каналом на линухе, авторизация и VLAN (я не вижу соседних беспроводных клиентов)
ну подолбился я ещё немного всё бестолку без пароля и логина никуда.
И людям подключаться удобно, ловит почти сеть автоматом, и просто так доступа к ресурсам не получишь
_________________
С уважением Dimasm

[grf]

Разъясню еще свои проблемы

Сервак у меня один, по железу не ахти, и загруз у него почти полный

AD, DNS, DHCP, файлсервер, сервер печати, IIS с внутренним сайтом, ISA работающая в каскаде, репликация с другим контроллером домена в соседнем сайте, может чего еще забыл!

Поднимать еще и IAS с RADIUS сервером и центром сертификации мне не особо хотелось, по причине загруженности.

На самой точке доступа есть возможность использовать WPA в режиме без дополнительного RADIUS (если я конечно все правильно понял в мануале
), поэтому хотел организовать доступ к WIFI подсетки с помощью WPA в этом режиме, а проход во внутреннюю сетку только по VPN.


Очень возможно, что я ошибаюсь в своих размышлениях, поправтье, плиз

_________________
Errare humanum est

[bvvtver]