Zadania projektowe - Bezprzewodowe sieci WLAN

W1 Podstawy sieci lokalnych. W4 Mechanizmy bezpieczeństwa WLAN (WPA2-Personal).

Zaprojektowanie i wdrożenie bezpiecznej sieci bezprzewodowej dla małego biura (SOHO) przy użyciu zintegrowanego routera Linksys WRT300N. Projekt obejmuje konfigurację zabezpieczeń WPA2-Personal AES, wyłączenie rozgłaszania identyfikatora sieci (ukryte SSID), wdrożenie białej listy adresów fizycznych MAC oraz zabezpieczenie dostępu administracyjnego do routera.

WPA2-Personal (WPA2-PSK)

Tryb zabezpieczeń oparty na współdzielonym haśle (Pre-Shared Key) oraz szyfrowaniu blokowym AES (CCMP), przeznaczony do sieci domowych i małych biur.

Ukryte SSID (SSID Broadcast: Disabled)

Wyłączenie rozsyłania nazwy sieci w ramkach Beacon; urządzenia klienckie nie widzą sieci na liście skanowania i muszą konfigurować profil połączenia ręcznie.

Filtrowanie adresów MAC

Mechanizm kontroli dostępu zezwalający na asocjację wyłącznie urządzeniom, których adresy fizyczne karty bezprzewodowej znajdują się na liście autoryzowanej.

Serwer DHCP SOHO

Wbudowana w router usługa automatycznego przydzielania adresów IP, maski podsieci oraz bramy domyślnej dla urządzeń w sieci lokalnej LAN.

• 1x Router bezprzewodowy Linksys WRT300N (urządzenie centralne SOHO).
• 2x laptop z modułem bezprzewodowym WPC300N (wymiana modułu przy wyłączonym zasilaniu stacji).
• 1x komputer PC podłączony kablem miedzianym prostym (Copper Straight-Through) do portu Ethernet 1 routera.
• 1x serwer zewnętrzny (Server-PT) podłączony kablem do żółtego portu Internet (WAN) routera, symulujący zasoby zewnętrzne.

1. Konfiguracja podstawowa LAN i DHCP (WRT300N -> GUI -> Setup -> Basic Setup): Ustawienie adresu IP routera na 192.168.1.1, maski podsieci 255.255.255.0. Włączenie serwera DHCP z zakresem przydzielania od 192.168.1.100 do 192.168.1.149 (maksymalnie 50 użytkowników). Zapisanie ustawień (Save Settings).
2. Konfiguracja parametrów radiowych (WRT300N -> GUI -> Wireless -> Basic Wireless Settings): Ustawienie trybu sieci na Mixed, nazwy sieci (Network Name SSID) na `Serwis_ZlotaRaczka`, kanału radiowego na 1 (2,412 GHz) oraz wyłączenie rozgłaszania SSID (`SSID Broadcast: Disabled`). Zapisanie ustawień.
3. Wdrożenie szyfrowania (WRT300N -> GUI -> Wireless -> Wireless Security): Wybór trybu Security Mode: `WPA2 Personal`, Encryption: `AES`, wprowadzenie klucza WPA Shared Key: `ZlotaRaczka2026!`. Zapisanie ustawień.
4. Konfiguracja białej listy MAC (WRT300N -> GUI -> Wireless -> Wireless MAC Filter): Aktywacja filtra (`Enabled`), wybór opcji `Permit PCs listed below to access wireless network`, odczytanie adresów MAC z kart bezprzewodowych autoryzowanych laptopów i wpisanie ich do tabeli filtrów. Zapisanie ustawień.
5. Zabezpieczenie administracyjne (WRT300N -> GUI -> Administration -> Management): Zmiana domyślnego hasła `admin` na nowe hasło dostępowe, zablokowanie dostępu zdalnego (`Remote Management: Disabled`). Zapisanie ustawień.
6. Konfiguracja stacji klienckich z ukrytą siecią: Na laptopach wejście w Desktop -> PC Wireless -> Profiles -> New. Nadanie nazwy profilowi, wpisanie dokładnej nazwy SSID `Serwis_ZlotaRaczka`, wybór trybu Infrastructure, zaznaczenie WPA2-Personal AES, podanie hasła i kliknięcie „Save” oraz „Connect”.

• Sprawdzenie pobrania adresacji IP z DHCP na laptopach i komputerze przewodowym za pomocą polecenia `ipconfig`.
• Weryfikacja łączności: wykonanie testu `ping 192.168.1.1` z laptopów do bramy domyślnej routera.
• Test łączności ze stacją przewodową: wykonanie testu `ping` między laptopem bezprzewodowym a komputerem PC wpiętym do portu LAN 1.
• Test negatywny filtrowania MAC: próba podłączenia trzeciego laptopa ze znanym hasłem WPA2, lecz z adresem MAC niewpisanym na białą listę routera (oczekiwany brak asocjacji).

W4 Architektura WLAN z kontrolerem. W5 Protokół CAPWAP i zarządzanie punktami AP.

Zbudowanie sieci bezprzewodowej opartej na kontrolerze Cisco WLC 2504 oraz lekkich punktach dostępowych Lightweight AP (LAP). Zadanie obejmuje uruchomienie kontrolera, rejestrację punktów LAP przez protokół CAPWAP, utworzenie sieci WLAN oraz wdrożenie polityki priorytetyzacji ruchu QoS (Platinum) dla urządzeń edukacyjnych.

WLC (Wireless LAN Controller)

Urządzenie centralne zarządzające konfiguracją, politykami bezpieczeństwa, kanałami radiowymi oraz ruchem sieci bezprzewodowej.

Lekki punkt dostępowy (ang. Lightweight AP, LAP)

Punkt dostępowy pozbawiony niezależnego panelu zarządzania, pobierający konfigurację z kontrolera WLC i tunelujący ruch użytkowników.

CAPWAP (Control and Provisioning of Wireless Access Points)

Protokół tunelowania warstwy transportowej (porty UDP 5246 dla sterowania i 5247 dla danych) łączący punkty LAP z kontrolerem WLC.

Polityka QoS Platinum

Najwyższa klasa jakości usług w kontrolerach Cisco WLC, nadająca priorytet pakietom wrażliwym na opóźnienia (głos, multimedia szkolne).

• 1x kontroler bezprzewodowy Cisco WLC 2504.
• 2x punkt dostępowy Cisco Lightweight AP (model 3702i lub LAP-PT).
• 1x przełącznik Cisco Catalyst 2960-24TT.
• 1x router Cisco 2911 (brama domyślna i serwer DHCP dla sieci zarządzającej).
• 1x komputer administratora (Admin PC) do obsługi panelu WWW kontrolera.
• 2x tablet PC / laptop szkolny z modułem bezprzewodowym.

1. Przygotowanie infrastruktury przewodowej i DHCP: Na routerze 2911 skonfigurować interfejs G0/0 z adresem IP 192.168.1.1/24. Utworzyć pulę DHCP `MGMT_VLAN1` dla podsieci 192.168.1.0/24 z wykluczeniem adresów 192.168.1.1-192.168.1.10 oraz 192.168.1.254.
2. Konfiguracja przełącznika Catalyst 2960: Porty do punktów LAP (F0/1, F0/2) oraz komputer administratora (F0/10) ustawić w tryb access w VLAN 1. Port do kontrolera WLC (G0/1) oraz do routera (G0/2) ustawić w tryb trunk (native vlan 1).
3. Inicjalizacja kontrolera WLC 2504: Kontroler połączyć portem G1 z portem G0/1 przełącznika. Przypisać kontrolerowi adres Management: 192.168.1.254, maskę 255.255.255.0, bramę 192.168.1.1. Z komputera administratora (IP 192.168.1.10/24) otworzyć przeglądarkę pod adresem `https://192.168.1.254` i dokończyć konfigurację startową w kreatorze WWW.
4. Rejestracja punktów LAP: Punkty dostępowe LAP podłączone do przełącznika pobierają adresy z DHCP routera, odnajdują kontroler WLC w sieci lokalnej i zestawiają tunel CAPWAP. W panelu GUI kontrolera wejść w „Wireless - All APs” i zweryfikować status `Registered`. Zmienić nazwy punktów na `AP_Skrzydlo_A` oraz `AP_Skrzydlo_B`.
5. Konfiguracja sieci WLAN na kontrolerze: W panelu WWW przejść do „WLANs - Create New - Go”. Ustawić Profile Name: `Szkola_WLAN`, SSID: `Szkola_WiFi`, ID: 1. Zaznaczyć pole `Status: Enabled`. W zakładce „Security - Layer 2” wybrać WPA+WPA2, zaznaczyć WPA2 Policy, AES oraz wpisać klucz PSK. W zakładce „QoS” wybrać profil `Platinum`. Zapisać ustawienia (Apply).
6. Podłączenie stacji roboczych: Na tabletach szkolnych wybrać sieć `Szkola_WiFi`, podać hasło i sprawdzić przypisanie adresu IP z DHCP.

• Weryfikacja tabeli punktów dostępowych w GUI kontrolera („Wireless - All APs”): potwierdzenie statusu „Registered” dla obu punktów dostępowych.
• Weryfikacja podłączenia stacji klienckich w GUI kontrolera („Monitor - Clients”): obecność adresów MAC tabletów i przypisanych punktów dostępowych.
• Test komunikacji ICMP: wykonanie polecenia `ping` z tabletu 1 w Skrzydle A do tabletu 2 w Skrzydle B przez infrastrukturę WLC.

W4 Standard IEEE 802.1X, architektura AAA, serwer RADIUS, metody EAP.

Wdrożenie korporacyjnego uwierzytelniania w sieci bezprzewodowej w oparciu o standard IEEE 802.1X, kontroler WLC oraz zewnętrzny serwer RADIUS (AAA). Projekt eliminuje pojedyncze hasło współdzielone (PSK) na rzecz indywidualnych kont pracowników, realizując pełną kontrolę dostępu i rozliczalność logowań.

IEEE 802.1X

Standard kontroli dostępu do medium opartej na portach, blokujący ruch sieciowy klienta do momentu pomyślnego uwierzytelnienia tożsamości.

Suplikant (Supplicant)

Oprogramowanie na stacji końcowej (laptopie) odpowiedzialne za przekazywanie poświadczeń użytkownika.

Autentykator (Authenticator)

Punkt pośredniczący (kontroler WLC lub AP), który blokuje dostęp do sieci i pośredniczy w wymianie komunikatów między suplikantem a serwerem uwierzytelniającym.

Serwer RADIUS (AAA)

Centralny serwer przechowujący bazę użytkowników, weryfikujący poświadczenia za pomocą protokołu RADIUS (port UDP 1812 dla autoryzacji).

EAP-MD5

Podstawowa metoda protokołu EAP obsługiwana w Cisco Packet Tracerze, weryfikująca login i hasło za pomocą skrótu MD5.

• 1x kontroler bezprzewodowy Cisco WLC 2504.
• 1x punkt dostępowy Lightweight AP (Cisco 3702i).
• 1x przełącznik Cisco Catalyst 2960.
• 1x router Cisco 2911 (brama domyślna i serwer DHCP).
• 1x dedykowany serwer Server-PT z uruchomioną usługą AAA/RADIUS.
• 2x laptop z kartą bezprzewodową WPC300N (suplikanty 802.1X).

1. Konfiguracja serwera RADIUS (Server-PT): Przypisać serwerowi statyczny adres IP 192.168.1.100/24 i bramę 192.168.1.1. W zakładce „Services - AAA” włączyć usługę (`Service: On`). W tabeli „Network Configuration” dodać kontroler WLC: Client Name: `WLC2504`, Client IP: `192.168.1.254`, Secret: `CiscoRadiusKey123`, Server Type: `radius`. W tabeli „User Setup” dodać konta pracowników: użytkownik `anna` z hasłem `HasloAnny!`, użytkownik `piotr` z hasłem `HasloPiotra!`.
2. Integracja kontrolera WLC z serwerem RADIUS: W panelu WWW kontrolera wejść w „Security - AAA - RADIUS - Authentication - New”. Wpisać Server IP: 192.168.1.100, Shared Secret: `CiscoRadiusKey123`, Port: 1812. Kliknąć Apply.
3. Konfiguracja sieci WLAN z 802.1X na WLC: Wejść w „WLANs - Create New”. Ustawić Profile Name: `Corporate_WLAN`, SSID: `SecureData_Corp`. Zaznaczyć `Status: Enabled`. W zakładce „Security - Layer 2” wybrać WPA+WPA2, zaznaczyć WPA2 Policy, AES, a w Auth Key Management zaznaczyć wyłącznie „802.1X” (upewnić się, że opcja PSK jest odznaczona). W zakładce „Security - AAA Servers” zaznaczyć serwer RADIUS 192.168.1.100:1812. Zapisać ustawienia.
4. Konfiguracja suplikanta na stacjach roboczych: Na laptopie wejść w „Desktop - PC Wireless - Profiles - New”. Nazwać profil, wybrać tryb Infrastructure. W sekcji Security wybrać `WPA2 Enterprise`. W polu EAP Type wybrać „EAP-MD5” (uwaga: Packet Tracer wspiera wyłącznie metodę EAP-MD5). Wpisać login `anna` oraz hasło `HasloAnny!`. Kliknąć „Save” i „Connect”.

• Test autoryzacji pozytywnej: laptop użytkownika `anna` pomyślnie przechodzi proces asocjacji, pobiera adres IP i uzyskuje status „Associated”.
• Test łączności: wykonanie polecenia `ping 192.168.1.100` z laptopa do serwera RADIUS.
• Test negatywny: próba połączenia z laptopa 2 z błędnym hasłem użytkownika - odmowa asocjacji i brak dostępu do sieci.
• Weryfikacja pakietów: w trybie symulacji (Simulation Mode) podgląd komunikatów RADIUS Access-Request i Access-Accept wymienianych na porcie UDP 1812 między WLC a serwerem.

W1 Sieci wirtualne VLAN (IEEE 802.1Q). W2 Mapowanie logiczne urządzeń radiowych, Router-on-a-Stick.

Zaprojektowanie i wdrożenie separacji ruchu bezprzewodowego przy użyciu sieci wirtualnych VLAN oraz technologii Multi-SSID na kontrolerze Cisco WLC 2504. Projekt separuje pracowników instytucji od czytelników za pomocą dedykowanych podsieci, łącza trunk 802.1Q oraz list kontroli dostępu (ACL) blokujących ruch inter-VLAN.

Wiele sieci SSID (ang. Multi-SSID)

Technologia pozwalająca punktom dostępowym na równoległe rozgłaszanie wielu niezależnych sieci radiowych, z których każda może mieć inne zabezpieczenia i powiązanie z innym VLAN-em.

IEEE 802.1Q (Trunking)

Standard znakowania ramek Ethernet etykietą VLAN, umożliwiający przesyłanie ruchu z wielu sieci wirtualnych przez jeden fizyczny przewód.

Interfejs dynamiczny WLC

Wirtualny interfejs tworzony na kontrolerze WLC powiązany z numerem VLAN, adresem IP podsieci oraz serwerem DHCP.

Routing przez jedno łącze (ang. Router-on-a-Stick)

Metoda routingu między sieciami VLAN polegająca na utworzeniu logicznych subinterfejsów z enkapsulacją dot1Q na jednym porcie fizycznym routera.

• 1x kontroler bezprzewodowy Cisco WLC 2504 (adres Management 192.168.1.254/24 w VLAN 1).
• 2x punkt dostępowy Lightweight AP (Cisco 3702i lub LAP-PT).
• 1x przełącznik Cisco Catalyst 2960.
• 1x router Cisco 2911 (konfiguracja Router-on-a-Stick i ACL).
• 1x laptop personelu (karta WPC300N).
• 1x laptop czytelnika (karta WPC300N).

1. Konfiguracja przełącznika Catalyst 2960: Utworzyć VLAN 10 (`name Katalog`) i VLAN 20 (`name Czytelnicy`). Porty F0/1 i F0/2 (do punktów LAP) ustawić w trybie `access vlan 1`. Porty G0/1 (do WLC) i G0/2 (do routera) ustawić w trybie `trunk` z dozwolonymi sieciami VLAN 1, 10, 20 oraz native VLAN 1.
2. Konfiguracja subinterfejsów na routerze 2911: Na porcie G0/0 routera skonfigurować adres 192.168.1.1/24 (VLAN 1, sieć zarządzania). Utworzyć subinterfejs G0/0.10 (`encapsulation dot1Q 10`, IP `192.168.10.1/24`) oraz subinterfejs G0/0.20 (`encapsulation dot1Q 20`, IP `192.168.20.1/24`). Skonfigurować pulę DHCP dla VLAN 1 (punkty LAP i WLC).
3. Konfiguracja interfejsów dynamicznych na WLC: W panelu WWW kontrolera wejść w „Controller - Interfaces - New”. Utworzyć interfejs `vlan10` (VLAN ID: 10, IP: 192.168.10.254, Netmask: 255.255.255.0, Gateway: 192.168.10.1, Primary DHCP: 192.168.10.254) oraz `vlan20` (VLAN ID: 20, IP: 192.168.20.254, Netmask: 255.255.255.0, Gateway: 192.168.20.1, Primary DHCP: 192.168.20.254).
4. Konfiguracja wewnętrznego DHCP na WLC: Wejść w „Controller - Internal DHCP Server - DHCP Scope - New”. Utworzyć zakres dla VLAN 10 (pula 192.168.10.100-149, brama 192.168.10.1) oraz zakres dla VLAN 20 (pula 192.168.20.100-149, brama 192.168.20.1).
5. Konfiguracja sieci WLAN na WLC: Utworzyć sieć WLAN 1: Profile: `KATALOG_WLAN`, SSID: `KATALOG`, Interface: przypisać do `vlan10`, Security: WPA2-Personal AES. Utworzyć sieć WLAN 2: Profile: `CZYTELNICY_WLAN`, SSID: `INTERNET_FREE`, Interface: przypisać do `vlan20`, Security: WPA2-Personal AES z innym hasłem. Obie sieci włączyć (Enabled).
6. Wdrożenie list ACL blokujących ruch inter-VLAN: Na routerze 2911 utworzyć rozszerzoną listę kontroli dostępu odrzucającą ruch z podsieci czytelników (192.168.20.0/24) do podsieci personelu (192.168.10.0/24) i nałożyć ją na subinterfejs G0/0.20.

• Weryfikacja podłączenia: laptop personelu łączy się z `KATALOG` i otrzymuje adres z puli 192.168.10.x; laptop czytelnika łączy się z `INTERNET_FREE` i otrzymuje adres z puli 192.168.20.x.
• Test łączności z bramami: `ping 192.168.10.1` z laptopa personelu oraz `ping 192.168.20.1` z laptopa czytelnika.
• Test izolacji inter-VLAN: wykonanie polecenia `ping 192.168.10.x` z laptopa czytelnika do laptopa personelu - oczekiwany brak odpowiedzi (Request timed out / Destination host unreachable).

W2 Topologie fizyczne WLAN. W3 Propagacja fal wewnątrz budynków, zjawisko zajętości pasma w repeaterze.

Zaprojektowanie wielokomórkowej infrastruktury bezprzewodowej ESS pokrywającej oddalone hale magazynowe oraz analiza techniczna metod dosyłu sygnału. W symulatorze wdrażana jest sieć oparta na punktach AP-PT połączonych szkieletem kablowym na nienakładających się kanałach, natomiast w dokumentacji przeprowadzana jest analiza porównawcza ograniczeń przepustowości w mostach radiowych WDS i wzmacniaczach (ang. repeater).

Wielokomórkowość (ang. Multi-Cell)

Struktura sieci radiowej złożona z wielu punktów dostępowych o nakładających się strefach zasięgu, emitujących wspólny identyfikator SSID.

Kanały nienakładające się (Non-overlapping)

Kanały radiowe o dostatecznym odstępie częstotliwościowym (np. 1 i 6 w paśmie 2,4 GHz), pracujące równolegle bez wywoływania kolizji.

Most radiowy WDS (Wireless Bridge)

Bezprzewodowe łącze punkt-punkt spinające dwa oddalone segmenty sieci LAN na poziomie warstwy 2.

Wzmacniacz sygnału (ang. repeater)

Stacja retransmitująca odebrany sygnał radiowy w tym samym kanale, co powoduje spadek przepustowości o około 50% na każdym przeskoku.

• 2x punkt dostępowy AP-PT (AP_Hala_A oraz AP_Hala_B).
• 1x przełącznik Cisco Catalyst 2960.
• 1x router Cisco 2911 (brama domyślna 192.168.1.1 i serwer DHCP dla magazynu).
• 1x serwer magazynowy Server-PT o stałym adresie IP 192.168.1.10/24 w Hali A.
• 2x laptop z modułem bezprzewodowym WPC300N (symulacja terminali mobilnych).

1. Konfiguracja sieci przewodowej i DHCP: Na routerze 2911 skonfigurować port G0/0 z adresem 192.168.1.1/24. Utworzyć pulę DHCP `MAGAZYN_POOL` dla sieci 192.168.1.0/24 (wykluczyć 192.168.1.1-192.168.1.10). Podłączyć serwer magazynowy do przełącznika i nadać mu stały IP 192.168.1.10.
2. Konfiguracja punktu AP w Hali A (AP-PT): W zakładce „Config - Port 1” ustawić status portu na `On`, SSID na `Logistyka_WLAN`, kanał na `1 - 2.412GHz`, zabezpieczenia: `WPA2-PSK` z hasłem `MagazynPass2026`.
3. Konfiguracja punktu AP w Hali B (AP-PT): W zakładce „Config - Port 1” ustawić status portu na `On`, identyczny SSID `Logistyka_WLAN`, kanał nienakładający się `6 - 2.437GHz`, identyczne zabezpieczenia: `WPA2-PSK` z tym samym hasłem `MagazynPass2026`.
4. Podłączenie terminali: Na laptopach skonfigurować karty bezprzewodowe do łączenia z siecią `Logistyka_WLAN`. Zweryfikować asocjację laptopa w Hali A do AP1 oraz laptopa w Hali B do AP2.
5. Test ciągłości łączności przy przemieszczaniu: Na laptopie uruchomić ciągły test łączności z serwerem: `ping -t 192.168.1.10`. Powoli przemieszczać laptopa w przestrzeni roboczej z zasięgu AP w Hali A w stronę AP w Hali B. Zaobserwować moment przełączenia asocjacji (reasocjacji) z dopuszczalną utratą 1-2 pakietów.

• Weryfikacja pobrania adresu IP ze wspólnej podsieci 192.168.1.0/24 przez oba laptopy.
• Test łączności z serwerem bazodanowym: `ping 192.168.1.10` z Hali B z czasem odpowiedzi poniżej 5 ms.
• Zrzut ekranu z wynikiem ciągłego testu `ping -t` dokumentującym płynne przejście między komórkami bez utraty sesji IP.
• Tabela analityczna w dokumentacji: porównanie technologii dosyłu (dosył kablowy vs most dedykowany WDS vs repeater jednoradiowy) z wyliczeniem spadku pasma.

W4 Roaming w warstwie 2, Extended Service Set (ESS), identyfikatory BSSID, progi sygnału RSSI.

Zaprojektowanie i weryfikacja roamingu stacji bezprzewodowej w warstwie 2 modelu OSI. Zadanie polega na zbudowaniu struktury Extended Service Set (ESS) złożonej z trzech punktów dostępowych, zaplanowaniu kanałów radiowych w układzie 1-6-11 oraz udokumentowaniu płynnego przełączania stacji między stacjami bazowymi na podstawie zmian adresu fizycznego BSSID.

BSSID (Basic Service Set Identifier)

Adres fizyczny MAC interfejsu radiowego konkretnego punktu dostępowego, jednoznacznie identyfikujący komórkę radiową.

ESS (Extended Service Set)

Grupa punktów dostępowych pracujących w tej samej sieci logicznej z identyczną nazwą SSID i identycznymi parametrami szyfrowania.

Roaming w warstwie 2 (L2 Roaming)

Proces zmiany punktu dostępowego przez klienta bez zmiany jego adresu IP i bez konieczności ponownego nawiązywania sesji TCP.

Próg roamingu (Roaming Threshold)

Wartość poziomu mocy sygnału RSSI, poniżej której suplikant w urządzeniu rozpoczyna skanowanie eteru w poszukiwaniu silniejszej stacji bazowej.

• 3x punkt dostępowy AP-PT (AP1_OddzialA, AP2_Korytarz, AP3_Blok).
• 1x przełącznik Cisco Catalyst 2960.
• 1x router Cisco 2911 (brama domyślna 192.168.1.1 i serwer DHCP).
• 1x serwer szpitalny Server-PT (adres statyczny 192.168.1.10).
• 1x tablet PC / laptop medyczny z kartą bezprzewodową.

1. Konfiguracja sieci szkieletowej: Wszystkie trzy punkty dostępowe połączyć kablami miedzianymi z portami przełącznika 2960 pracującymi w VLAN 1. Na routerze 2911 skonfigurować bramę 192.168.1.1 oraz pulę DHCP dla sieci 192.168.1.0/24.
2. Konfiguracja punktu AP1 (Oddział A): W zakładce „Config - Port 1” ustawić status `On`, SSID: `Szpital_MedNet`, Channel: `1 - 2.412GHz`, Security: `WPA2-PSK` z hasłem `Medycyna2026!`. Zanotować adres MAC portu radiowego (Port 1 MAC).
3. Konfiguracja punktu AP2 (Korytarz): W zakładce „Config - Port 1” ustawić status `On`, identyczny SSID: `Szpital_MedNet`, Channel: `6 - 2.437GHz`, identyczne hasło `Medycyna2026!`. Zanotować adres MAC portu radiowego.
4. Konfiguracja punktu AP3 (Blok operacyjny): W zakładce „Config - Port 1” ustawić status `On`, identyczny SSID: `Szpital_MedNet`, Channel: `11 - 2.462GHz`, identyczne hasło `Medycyna2026!`. Zanotować adres MAC portu radiowego.
5. Procedura badania roamingu: Podłączyć tablet do sieci Wi-Fi przy punkcie AP1. Uruchomić w wierszu poleceń ciągły test łączności: `ping -t 192.168.1.10`. W oknie „Desktop - PC Wireless” odczytać parametr BSSID (powinien odpowiadać MAC portu 1 punktu AP1).
6. Przemieszczenie stacji: Powoli przeciągać tablet od AP1 w kierunku AP2, a następnie AP3. Obserwować zmianę parametru BSSID przy zachowaniu tego samego adresu IP i ciągłości odpowiedzi ping (dopuszczalna strata 1 pakietu w momencie przełączenia).

• Zestawienie w tabeli dokumentacji trzech punktów dostępowych: nazwa, kanał radiowy, powiązany adres fizyczny BSSID.
• Zrzut ekranu z okna PC Wireless potwierdzający zmianę adresu BSSID po przemieszczeniu tabletu.
• Dowód zachowania adresu IP z DHCP po zmianie stacji bazowej (brak renegocjacji DHCP w roamingu L2).

W4 Bezpieczeństwo sieci gościnnych, izolacja klientów L2 (P2P Blocking), ochrona zasobów firmowych przez ACL.

Zaprojektowanie i wdrożenie wydzielonej sieci bezprzewodowej dla gości kawiarni z pełną izolacją od systemów wewnętrznych firmy. Wdrożenie obejmuje utworzenie sieci gościnnej w osobnym VLAN-ie, uruchomienie blokady ruchu między klientami (P2P Blocking) na kontrolerze WLC oraz zastosowanie list ACL na routerze uniemożliwiających dostęp gości do terminala sprzedaży POS.

Blokowanie P2P (ang. Peer-to-Peer Blocking)

Mechanizm kontrolera WLC blokujący bezpośrednie przesyłanie ramek między stacjami bezprzewodowymi w obrębie tego samego identyfikatora SSID.

Izolacja w warstwie 3 (ACL)

Stosowanie reguł zapory sieciowej na bramie domyślnej w celu uniemożliwienia pakietom z podsieci gościnnej dotarcia do podsieci firmowej.

Sieć POS (Point of Sale)

Wydzielona podsieć dla kas fiskalnych i terminali płatniczych podlegająca rygorystycznym normom bezpieczeństwa danych finansowych.

• 1x kontroler bezprzewodowy Cisco WLC 2504.
• 1x punkt dostępowy Cisco Lightweight AP 3702i.
• 1x przełącznik Cisco Catalyst 2960.
• 1x router Cisco 2911 (Router-on-a-Stick z listami ACL).
• 1x komputer stacjonarny POS (podłączony kablem do portu przełącznika przypisanego do VLAN 10).
• 2x laptop / Smartfon gościa (karta bezprzewodowa).
• 1x serwer zewnętrzny symulujący internet (Server-PT podłączony do routera w odrębnej podsieci WAN).

1. Konfiguracja sieci przewodowej na przełączniku: Utworzyć VLAN 10 (`name POS_Biuro`) oraz VLAN 30 (`name Goscie`). Port do komputera kasy POS ustawić jako `access vlan 10`. Port do punktu LAP ustawić jako `access vlan 1`. Porty do routera i WLC skonfigurować jako `trunk`.
2. Konfiguracja podsieci i ACL na routerze 2911: Utworzyć subinterfejs G0/0.10 (IP 192.168.10.1/24) dla sieci POS oraz subinterfejs G0/0.30 (IP 172.16.30.1/24) dla gości. Skonfigurować pule DHCP. Utworzyć listę ACL 101 blokującą ruch z 172.16.30.0/24 do 192.168.10.0/24 (`deny ip 172.16.30.0 0.0.0.255 192.168.10.0 0.0.0.255`) z zezwoleniem na pozostały ruch (`permit ip any any`) i nałożyć ją na subinterfejs G0/0.30.
3. Konfiguracja WLC dla sieci gościnnej: W panelu WWW kontrolera utworzyć interfejs dynamiczny `vlan30` (VLAN ID: 30, IP: 172.16.30.254, brama: 172.16.30.1). Utworzyć sieć WLAN: Profile: `Goscie_WLAN`, SSID: `Kawiarnia_Gosc`, Interface: `vlan30`. W zakładce „Security - Layer 2” wybrać WPA2-PSK.
4. Aktywacja izolacji P2P na WLC: W ustawieniach sieci WLAN `Goscie_WLAN` wejść w zakładkę „Advanced”, znaleźć pole „P2P Blocking Action” i ustawić wartość na „Drop”. Zapisać ustawienia (Apply).

• Weryfikacja adresu IP: laptopy gości pobierają adresy z podsieci 172.16.30.x z bramą 172.16.30.1.
• Test wyjścia do internetu: wykonanie polecenia `ping` z laptopa gościa do zewnętrznego serwera WWW w sieci internet (odpowiedź pozytywna).
• Test izolacji L3 (ACL): wykonanie polecenia `ping 192.168.10.10` z laptopa gościa do komputera kasy POS - żądanie odrzucone (Destination host unreachable / Timeout).
• Test izolacji L2 (P2P Blocking): wykonanie polecenia `ping` z laptopa gość 1 do laptopa gość 2 w tej samej sieci `Kawiarnia_Gosc` - pakiety odrzucone przez kontroler.

W2 Topologie WLAN z wieloma punktami dostępowymi. W5 Zarządzanie infrastrukturą bezprzewodową, technologia PoE.

Zaprojektowanie i wdrożenie skalowalnej infrastruktury WLAN złożonej z czterech punktów dostępowych zasilanych technologią Power over Ethernet (PoE) i zarządzanych przez kontroler WLC. Zadanie obejmuje koordynację planu kanałów radiowych w paśmie 2,4 GHz, symulację awarii punktu AP oraz analizę porównawczą architektury kablowej z wieloma punktami dostępowymi z bezprzewodową siecią kratową (ang. Wireless Mesh).

PoE (Power over Ethernet)

Standard przesyłania energii elektrycznej prądu stałego do punktów dostępowych tym samym kablem skrętkowym, którym prowadzona jest transmisja danych.

Redundancja komórkowa

Planowanie obszarów pokrycia radiowego w taki sposób, aby w przypadku awarii jednego AP sąsiednie stacje bazowe przejęły obsługę stacji klienckich.

Sieć kratowa (ang. Wireless Mesh)

Topologia, w której punkty dostępowe łączą się ze sobą bezprzewodowo (łączem dosyłowym, ang. backhaul), przekazując ruch do stacji bazowej podłączonej kablowo (głównego punktu dostępowego, ang. Root AP).

• 1x kontroler bezprzewodowy Cisco WLC 2504.
• 4x punkt dostępowy Cisco Lightweight AP 3702i.
• 1x przełącznik Cisco Catalyst 2960 z obsługą zasilania PoE.
• 1x router Cisco 2911 (brama i serwer DHCP).
• 1x serwer IoT Server-PT o stałym adresie IP 192.168.1.10/24.
• 4x czujnik IoT / Laptop bezprzewodowy.

1. Konfiguracja przełącznika PoE i rejestracja AP: Podłączyć 4 punkty LAP do portów F0/1-4 przełącznika 2960. Upewnić się, że punkty otrzymują zasilanie PoE. Zweryfikować rejestrację wszystkich 4 urządzeń w kontrolerze WLC („Wireless - All APs”).
2. Zarządzanie nazwami i lokalizacjami w WLC: Nadać punktom nazwy odpowiadające sektorom: `AP_Park_A`, `AP_Park_B`, `AP_Park_C`, `AP_Park_D` oraz przypisać im nazwy lokalizacji w menu kontrolera.
3. Koordynacja planu kanałów radiowych: Przypisać ręcznie kanały nienakładające się w paśmie 2,4 GHz tak, aby sąsiadujące punkty nie generowały interferencji: AP_A = kanał 1, AP_B = kanał 6, AP_C = kanał 11, AP_D = kanał 1 (komórka D oddalona przestrzennie od A).
4. Uruchomienie sieci WLAN: Skonfigurować na WLC sieć o nazwie SSID `Park_IoT` z zabezpieczeniem WPA2-PSK i rozgłosić ją na wszystkich 4 punktach AP.
5. Symulacja awarii stacji bazowej: Rozmieścić czujniki IoT w pobliżu punktów AP. Na czujniku przypisanym do `AP_Park_B` uruchomić ciągłe badanie łączności `ping -t 192.168.1.10`. W symulatorze wyłączyć zasilanie punktu `AP_Park_B` (poleceniem `shutdown` na porcie przełącznika). Zaobserwować proces reasocjacji czujnika do sąsiedniego punktu (np. AP_A lub AP_C) i powrót odpowiedzi ICMP.

• Zrzut ekranu z tabeli kontrolera „Wireless - All APs” z widocznymi czterema punktami o statusie „Registered”.
• Tabela obciążenia komórek („Monitor - Summary”): wykaz przypisania klientów do poszczególnych punktów AP.
• Udokumentowanie testu awarii: zrzut ekranu z konsoli czujnika z widoczną krótką przerwą w odpowiedziach ping i automatycznym wznowieniem transmisji po reasocjacji.
• Analiza w dokumentacji: porównanie zalet zasilania kablowego PoE z ograniczeniami bezprzewodowej sieci kratowej Mesh (kumulacja opóźnień i spadek pasma o 50% na każdy przeskok radiowy).

W3 Pasma 2,4 GHz i 5 GHz, szerokości kanałów, poziom mocy nadawania (TxPower), stosunek SNR.

Praktyczne opanowanie technik zarządzania zasobami radiowymi (RRM) w miejscach o dużym zagęszczeniu użytkowników (sale konferencyjne, aule). Zadanie polega na koordynacji kanałów w pasmach 2,4 GHz i 5 GHz, optymalizacji szerokości pasma (20 MHz vs 40 MHz) oraz ręcznym ograniczeniu mocy nadawania punktów AP w celu eliminacji interferencji współkanałowej.

Interferencja współkanałowa (CCI - Co-Channel Interference)

Zjawisko wzajemnego zakłócania się stacji bazowych pracujących na tej samej częstotliwości, wymuszające oczekiwanie na zwolnienie medium.

Poziom mocy nadawania (TxPower Level)

Dyskretny stopień regulacji mocy modułu radiowego w kontrolerach Cisco (poziom 1 oznacza 100% mocy, poziomy wyższe redukują moc, np. poziom 4 to 12,5%).

Ponowne wykorzystanie częstotliwości (Frequency Reuse)

Projektowanie małych komórek radiowych o ograniczonej mocy w celu wielokrotnego użycia tego samego kanału w jednym obiekcie bez wywoływania kolizji.

• 1x kontroler bezprzewodowy Cisco WLC 2504.
• 3x punkt dostępowy Cisco Lightweight AP 3702i (obsługa dwóch pasm, ang. Dual-Band).
• 1x przełącznik Cisco Catalyst 2960.
• 1x router Cisco 2911.
• 1x laptop testowy 2,4 GHz (karta WPC300N).
• 1x laptop testowy dwuzakresowy (karta obsługująca pasmo 5 GHz).

1. Konfiguracja pasma 2,4 GHz (802.11b/g/n): W panelu WWW kontrolera wejść w „Wireless - Radios - 802.11b/g/n”. Dla punktu AP1 ustawić kanał `1`, dla AP2 kanał `6`, dla AP3 kanał `11`. Szerokość kanału ustawić na stałe na `20 MHz`.
2. Konfiguracja pasma 5 GHz (802.11a/n/ac): W sekcji „Wireless - Radios - 802.11a/n/ac” skonfigurować niezależne kanały: AP1 = kanał `36`, AP2 = kanał `40`, AP3 = kanał `44`. Ustawić szerokość kanałów na `40 MHz` dla uzyskania wyższej przepustowości.
3. Ręczna redukcja mocy nadawania (TxPower Tuning): W ustawieniach radia 2,4 GHz poszczególnych AP zmienić tryb przydziału mocy z automatycznego na manualny. Zmniejszyć poziom mocy z poziomu 1 (maksymalny) do poziomu 4 lub 5, ograniczając zasięg pojedynczej komórki do bezpośredniego otoczenia stacji bazowej.
4. Utworzenie sieci WLAN: Utworzyć sieć `Konferencja_WLAN` emitowaną w obu pasmach z zabezpieczeniem WPA2-Personal AES.
5. Pomiary na stacjach roboczych: Podłączyć laptop 1 do sieci w paśmie 2,4 GHz, a laptop 2 w paśmie 5 GHz. Odczytać parametry połączenia: poziom sygnału RSSI oraz przepustowość wynegocjowaną na karcie sieciowej.

• Zestawienie w tabeli parametrów radiowych trzech punktów AP (częstotliwości, kanały, szerokość pasma, poziom TxPower).
• Zrzut ekranu z konfiguracji radia 802.11a oraz 802.11b na kontrolerze WLC potwierdzający brak konfliktów częstotliwościowych.
• Wnioski w dokumentacji: wykazanie, dlaczego w gęstych skupiskach użytkowników mniejsza moc nadajnika skutkuje wyższą sumaryczną pojemnością sieci.

W2 Nowoczesna adresacja sieciowa. W3 Bezstanowa autokonfiguracja SLAAC, protokół ICMPv6, rekordy DNS AAAA.

Zaprojektowanie i uruchomienie bezprzewodowej sieci lokalnej opartej na protokole IPv6. Zadanie obejmuje aktywację routingu IPv6 na bramie, wdrożenie bezstanowej autokonfiguracji adresów SLAAC, uruchomienie serwera DNS z rekordami AAAA oraz weryfikację komunikacji bez stosowania translacji NAT.

SLAAC (bezstanowa autokonfiguracja adresu, ang. Stateless Address Autoconfiguration)

Mechanizm pozwalający urządzeniom bezprzewodowym na samodzielne wygenerowanie globalnego adresu IPv6 na podstawie prefiksu rozgłaszanego przez router.

Komunikat RA (Router Advertisement)

Wiadomość protokołu ICMPv6 wysyłana cyklicznie przez router, informująca urządzenia o prefiksie sieci, długości prefiksu i adresie bramy.

Adres lokalny łącza (ang. Link-Local, fe80::/10)

Lokalny adres IPv6 wykorzystywany wyłącznie do komunikacji w obrębie pojedynczego segmentu łącza fizycznego, niewymagający routingu.

Rekord DNS AAAA

Wpis w usłudze DNS przypisujący 128-bitowy adres IPv6 do czytelnej nazwy domenowej.

• 1x router Cisco 1941 lub 2911 (brama IPv6).
• 1x przełącznik Cisco Catalyst 2960.
• 1x punkt dostępowy AP-PT (przezroczysty most warstwy 2 dla IPv6).
• 1x serwer uczelniany Server-PT (usługi DNS z rekordem AAAA oraz serwer WWW HTTP).
• 2x urządzenia klienckie (laptop i smartfon z modułem Wi-Fi).

1. Konfiguracja routingu IPv6 na routerze: Wejść w tryb konfiguracji globalnej routera i włączyć obsługę routingu poleceniem `ipv6 unicast-routing`.
2. Adresacja interfejsu bramy: Na interfejsie G0/0 routera przypisać globalny adres Unicast `2001:db8:acad:1::1/64` oraz adres łącza lokalnego `fe80::1 link-local`. Upewnić się, że wysyłanie ogłoszeń RA jest aktywne (`no ipv6 nd managed-config-flag`, `no ipv6 nd other-config-flag`).
3. Konfiguracja punktu dostępowego AP-PT: W zakładce „Config - Port 1” włączyć port (`On`), ustawić SSID: `Uczelnia_IPv6`, kanał: `6`, zabezpieczenia: `WPA2-PSK` z hasłem `StudentIPv6!`.
4. Konfiguracja serwera uczelnianego (Server-PT): Przypisać serwerowi statyczny adres IPv6 `2001:db8:acad:1::100/64` oraz bramę `fe80::1`. W zakładce „Services - DNS” włączyć usługę DNS i dodać rekord AAAA o nazwie `portal.uczelnia.edu` wskazujący na adres `2001:db8:acad:1::100`. W zakładce „Services - HTTP” włączyć serwer WWW z prostą stroną informacyjną.
5. Konfiguracja bezstanowego DHCPv6 dla DNS na routerze: Utworzyć pulę `IPV6_DNS_POOL` na routerze zawierającą wpis `dns-server 2001:db8:acad:1::100` i przypisać ją do interfejsu G0/0.
6. Podłączenie klientów bezprzewodowych: Na laptopie i smartfonie połączyć się z siecią `Uczelnia_IPv6`. W zakładce konfiguracji IP w sekcji IPv6 zaznaczyć opcję „AutoConfig”.

• Weryfikacja autokonfiguracji na stacji roboczej: sprawdzenie poleceniem `ipconfig` pobrania globalnego adresu IPv6 z prefiksem `2001:db8:acad:1::` oraz bramy `fe80::1`.
• Test łączności ICMPv6: wykonanie polecenia `ping 2001:db8:acad:1::100` z laptopa do serwera uczelnianego.
• Test rozwiązywania nazw i przeglądarki: otwarcie strony o adresie `http://portal.uczelnia.edu` w przeglądarce internetowej laptopa i wyświetlenie strony serwera.
• Inspekcja protokołu ICMPv6: w trybie symulacji (Simulation Mode) podgląd pakietów Router Solicitation (RS) wysyłanych przez stację oraz Router Advertisement (RA) generowanych przez router.