Zadania projektowe - Bezprzewodowe sieci WLAN

W1 Podstawy sieci LAN/WLAN. W3 Segmentacja 802.1Q i wirtualne punkty dostępowe. W4 Bezpieczeństwo WPA2/WPA3-PSK.

Zaprojektowanie i wdrożenie logicznej segmentacji sieci bezprzewodowej na routerze MikroTik przy użyciu mechanizmu Bridge VLAN Filtering oraz wirtualnych interfejsów radiowych (Virtual AP). Projekt zapewnia izolację ruchu zarządu firmy (VLAN 10) od pracowników (VLAN 20) na pojedynczym fizycznym module radiowym, niezależną adresację DHCP per-VLAN oraz blokadę routingu między podsieciami na zaporze ogniowej.

Wirtualny punkt dostępowy (ang. Virtual AP, VAP)

Logiczny punkt dostępowy utworzony na bazie fizycznego radia bezprzewodowego (Master Interface); posiada własny identyfikator SSID, odrębny profil zabezpieczeń oraz unikalny adres BSSID.

Filtrowanie VLAN na moście (ang. Bridge VLAN Filtering)

Wbudowany w MikroTik RouterOS mechanizm sprzętowego lub programowego przełączania ramek z tagami 802.1Q wewnątrz mostu sieciowego.

PVID (identyfikator VLAN portu, ang. Port VLAN ID)

Identyfikator VLAN przypisywany automatycznie do nieznakowanych ramek wpływających na dany port mostu (odpowiednik trybu dostępu (Access) w przełącznikach).

Domyślne przekazywanie (ang. Default Forwarding)

Parametr w profilu bezprzewodowym MikroTik; wyłączenie tej opcji blokuje bezpośrednią wymianę ramek pomiędzy klientami podłączonymi do tego samego SSID (izolacja stacji w warstwie 2).

• Fizyczny router MikroTik z interfejsem WLAN (np. hAP mini, hAP ac2, cAP ac) lub maszyna wirtualna MikroTik RouterOS CHR z zewnętrzną kartą Wi-Fi USB.
• Oprogramowanie MikroTik Winbox (wersja 3.x lub 4.x) lub konsola SSH.
• Dwie stacje robocze (laptopy lub smartfony) do weryfikacji asocjacji z różnymi SSID.

1. Utworzenie mostu: Utworzenie mostu bridge-lan z domyślnie wyłączoną opcją vlan-filtering=no (aktywacja nastąpi po dodaniu wszystkich portów).
2. Definicja interfejsów VLAN: Utworzenie interfejsów vlan10-zarzad (VLAN ID: 10) oraz vlan20-pracownicy (VLAN ID: 20) przypisanych do mostu bridge-lan.
3. Konfiguracja profili bezpieczeństwa: Zdefiniowanie profilu WPA2-PSK AES dla zarządu oraz odrębnego profilu i hasła dla pracowników w /interface wireless security-profiles.
4. Konfiguracja radia fizycznego (Master): Ustawienie interfejsu wlan1 w trybie ap-bridge, pasmo 2,4 GHz B/G/N, SSID: „Firma_Zarzad”, przypisanie profilu zarządu.
5. Utworzenie Virtual AP: Dodanie wirtualnego punktu dostępowego wlan2-pracownicy bazującego na wlan1 z SSID: „Firma_Pracownicy”.
6. Przypisanie portów do VLAN: Dodanie wlan1 z PVID=10 oraz wlan2-pracownicy z PVID=20 do tabeli portów mostu. W /interface bridge vlan oznaczenie bridge-lan jako port znakowany (tagged) dla obu sieci, a interfejsów radiowych jako nieznakowane (untagged).
7. Adresacja i serwery DHCP: Przypisanie adresów 192.168.10.1/24 do vlan10-zarzad oraz 192.168.20.1/24 do vlan20-pracownicy; uruchomienie dwóch niezależnych pul i serwerów DHCP.
8. Aktywacja filtrowania i zapora: Włączenie vlan-filtering=yes na moście oraz dodanie reguły w zaporze ogniowej blokującej ruch przekazywany pomiędzy obiema podsieciami.

• Połączenie stacji roboczej A do SSID „Firma_Zarzad” i odczyt adresu IP z puli 192.168.10.0/24 (polecenie ipconfig /all).
• Połączenie stacji roboczej B do SSID „Firma_Pracownicy” i odczyt adresu IP z puli 192.168.20.0/24.
• Wykonanie testu łączności ping 192.168.10.100 ze stacji w VLAN 20 w celu potwierdzenia skuteczności blokady na zaporze sieciowej (oczekiwany brak odpowiedzi).
• Zrzut ekranu z tabeli rejestracji bezprzewodowej: /interface wireless registration-table print prezentujący przypisanie stacji do odrębnych interfejsów logicznych.

• Błąd wczesnego włączenia filtrowania: Aktywacja vlan-filtering=yes przed dodaniem portów do tabeli VLAN powoduje natychmiastowe odcięcie dostępu administracyjnego przez interfejsy mostu (wymagany dostęp przez adres MAC w Winbox).
• Brak znakowania mostu: Pominięcie bridge-lan na liście portów znakowanych (tagged) uniemożliwia komunikację procesów systemowych (DHCP, DNS) z podsieciami VLAN.

W1 Warstwa fizyczna i propagacja fal. W2 Protokoły dostępowe TDMA. W4 Szyfrowanie tuneli w warstwie 3 (IPsec VPN).

Zaprojektowanie i zestawienie przezroczystego mostu radiowego punkt-punkt (PtP) w paśmie 5 GHz przy użyciu urządzeń Ubiquiti airMAX (tryb WDS Transparent Bridge) oraz wdrożenie szyfrowanego tunelu IPsec IKEv2 na routerach brzegowych łączących dwie odległe lokalizacje przedsiębiorstwa.

PtP (połączenie punkt-punkt, ang. Point-to-Point)

Łącze radiowe zestawione wyłącznie pomiędzy dwoma dedykowanymi punktami (stacja nadawcza AP oraz stacja odbiorcza) przy użyciu anten kierunkowych o dużym zysku.

WDS (most przezroczysty, ang. Transparent Bridge)

Format ramki bezprzewodowej zawierający 4 adresy fizyczne MAC, co pozwala na transparentne przesyłanie całych ramek ethernetowych bez modyfikacji źródłowych adresów MAC stacji klienckich.

airMAX (TDMA)

Opracowany przez Ubiquiti protokół dostępu do medium oparty na podziale czasowym, który przydziela szczeliny czasowe poszczególnym stacjom i eliminuje kolizje ukrytych węzłów.

IPsec IKEv2

Protokół budowy wirtualnych sieci prywatnych (VPN) na poziomie warstwy sieciowej (L3); zapewnia poufność (ESP) i integralność danych przesyłanych przez medium radiowe.

• Dwa urządzenia Ubiquiti z systemem airOS (np. NanoStation Loco 5AC, LiteBeam 5AC) lub symulacja profilu łącza w Ubiquiti ISP Design Center.
• Dwa routery sieciowe (MikroTik lub systemy Linux) zlokalizowane po obu stronach mostu radiowego.
• Narzędzie analizy widma Ubiquiti airView (wbudowane w panel airOS).

1. Konfiguracja jednostki bazowej (Ubiquiti AP PtP): Wybór trybu Access Point PtP, włączenie protokołu airMAX, szerokość kanału 40 MHz, wybór czystego kanału 5 GHz na podstawie skanowania w airView, zabezpieczenie WPA2-AES, moc nadawania dopasowana do odległości.
2. Konfiguracja jednostki klienckiej (Ubiquiti Station PtP): Wybór trybu Station PtP, włączenie trybu transparentnego WDS, skanowanie pasma i połączenie z SSID stacji bazowej.
3. Optymalizacja warstwy radiowej: Weryfikacja parametrów sygnału w panelu głównym airOS: moc odbierana (RSSI na poziomie -50 do -55 dBm), poziom szumu (Noise Floor poniżej -95 dBm) oraz wskaźnik CINR powyżej 30 dB.
4. Konfiguracja routerów brzegowych: Ustawienie adresacji transportowej na interfejsach spiętych mostem (np. 10.0.0.1/30 oraz 10.0.0.2/30).
5. Konfiguracja tunelu IPsec IKEv2: Zdefiniowanie profilu IKEv2 z szyfrowaniem AES-GCM-256 oraz grupy Diffie-Hellman modp2048; konfiguracja tożsamości z kluczem współdzielonym (Pre-Shared Key) oraz polityki szyfrującej ruch między podsiecią 192.168.1.0/24 a 192.168.2.0/24.

• Zrzut ekranu z panelu zarządzania airOS (Dashboard) prezentujący parametry połączenia: wynegocjowaną modulację (np. 8x 256QAM) i estymowaną przepustowość łącza.
• Wykonanie testu przepustowości Speed Test wbudowanego w system airOS.
• Weryfikacja stanu sesji IPsec w konsoli routera: /ip ipsec installed-sa print (widoczny licznik zaszyfrowanych i odszyfrowanych bajtów).
• Test przesyłania danych między hostami w LAN A i LAN B poleceniem ping -l 1400 192.168.2.50.

• Przesycenie odbiornika (Overload): Ustawienie zbyt dużej mocy nadawania na krótkim dystansie laboratoryjnym (sygnał mocniejszy niż -40 dBm powoduje zniekształcenia odbiornika i spadek modulacji).
• Wyłączenie trybu WDS: Brak aktywacji WDS powoduje, że urządzenia za stacją kliencką są widoczne pod adresem MAC samej stacji, co uniemożliwia bezpośrednie mostkowanie ruchu w warstwie 2.

W4 Mechanizmy portali powitalnych (Captive Portal). W5 Usługi AAA, protokół RADIUS i zarządzanie pasmem.

Budowa publicznego systemu dostępu do Internetu (Hotspot) na routerze MikroTik z wykorzystaniem portalu powitalnego Captive Portal oraz centralnej bazy użytkowników w pakiecie User Manager (serwer RADIUS). Projekt obejmuje personalizację strony logowania HTML, wdrożenie strefy Walled Garden dla stron instytucji oraz narzucenie limitów prędkości transferu i czasu sesji.

Portal powitalny (ang. Captive Portal)

Mechanizm przechwytywania ruchu HTTP nieautoryzowanego użytkownika w warstwie sieciowej za pomocą reguł NAT i przekierowywania przeglądarki na stronę uwierzytelniania lub regulaminu.

Walled Garden (Ogród za murem)

Wykaz zasobów sieciowych (domen, adresów IP lub portów), do których stacja ma swobodny dostęp przed przejściem procesu logowania w portalu.

User Manager

Oficjalny pakiet systemu MikroTik RouterOS pełniący funkcję serwera RADIUS oraz panelu administracyjnego do zarządzania kontami, voucherami i limitami pasma.

HTTP CHAP / PAP

Metody przesyłania poświadczeń logowania z formularza HTML do systemu operacyjnego routera z wykorzystaniem funkcji skrótu MD5 (CHAP) lub czystego tekstu (PAP).

• Router MikroTik z systemem RouterOS v7 z zainstalowanym pakietem user-manager (lub maszyna CHR).
• Stacja kliencka z przeglądarką internetową.
• Edytor tekstu do modyfikacji plików szablonu HTML strony logowania (login.html).

1. Przygotowanie interfejsu sieciowego: Konfiguracja mostu bridge-hotspot z adresacją 172.16.0.1/22 oraz pulą adresów IP dla gości.
2. Uruchomienie kreatora usługi: Wywołanie polecenia /ip hotspot setup, wskazanie interfejsu, zakresu adresów oraz nazwy DNS (np. hotspot.biblioteka.pl).
3. Integracja z serwerem RADIUS: Włączenie opcji use-radius=yes w profilu serwera Hotspot oraz dodanie lokalnego serwera RADIUS w gałęzi /radius (adres: 127.0.0.1, usługa: hotspot).
4. Konfiguracja strefy Walled Garden: Dodanie domen dopuszczonych do przeglądania bez logowania: katalogu biblioteki i portali rządowych.
5. Konfiguracja pakietu User Manager: Utworzenie routera klienta RADIUS w User Managerze, zdefiniowanie profilu taryfowego (Rate-Limit: 2M/512k, Validity: 1h) oraz wygenerowanie konta użytkownika.
6. Personalizacja strony powitalnej: Pobranie pliku login.html przez menu Files, edycja treści regulaminu i ponowne wgranie na router.

• Połączenie stacji klienckiej z otwartą siecią SSID „Biblioteka_Hotspot”.
• Próba otwarcia adresu HTTP i weryfikacja automatycznego przekierowania na adres http://hotspot.biblioteka.pl/login.
• Weryfikacja strefy Walled Garden: poprawne otwarcie strony dopuszczonej bez wpisywania poświadczeń.
• Zalogowanie kontem testowym, sprawdzenie obecności sesji w /ip hotspot active print oraz weryfikacja limitu pasma testem pobierania.

• Blokady HSTS przy próbie przechwycenia HTTPS: Nowoczesne przeglądarki internetowe wymuszają HSTS i blokują przekierowania na stronach HTTPS; w procedurze testowej pierwsze zapytanie powinno być skierowane na adres czystego protokołu HTTP (np. http://example.com).
• Niespójność sekretu RADIUS: Niezgodność hasła współdzielonego pomiędzy /radius a /user-manager router skutkuje błędem autoryzacji „RADIUS server not responding”.

W1 Wielodostęp radiowy. W2 Propagacja w halach magazynowych. W3 Architektury kratowe 802.11s i Wireless Uplink.

Zaprojektowanie i wdrożenie bezprzewodowej sieci kratowej (Mesh) w przestrzeni hali przemysłowej z wykorzystaniem technologii Wireless Uplink (Ubiquiti UniFi) lub protokołu IEEE 802.11s. Zadanie obejmuje wyznaczenie optymalnego rozmieszczenia węzłów, konfigurację szkieletu bezprzewodowego (Wireless Backhaul) oraz zbadanie mechanizmu samonaprawiania sieci (Self-Healing) i degradacji pasma przy strukturze wieloskokowej.

IEEE 802.11s

Standard definiujący bezprzewodowe sieci kratowe; wprowadza mechanizm routingu ramek w warstwie 2 za pomocą protokołu HWMP (Hybrid Wireless Mesh Protocol).

Dosył bezprzewodowy (ang. Wireless Backhaul)

Bezprzewodowe łącze transmisyjne pomiędzy punktami dostępowymi zastępujące kabel sieciowy; służy do dosyłania ruchu z węzłów pośrednich do stacji bazowej.

Główny punkt dostępowy (ang. Root AP, Mesh Portal)

Punkt dostępowy podłączony fizycznym kablem Ethernet do infrastruktury przewodowej LAN, przez który cały ruch węzłów bezprzewodowych trafia do sieci szkieletowej.

Self-Healing (Samonaprawianie)

Zdolność sieci kratowej do automatycznego znalezienia alternatywnej trasy radiowej po awarii lub wyłączeniu jednego z pośredniczących punktów dostępowych.

• Kontroler Ubiquiti UniFi Network Application (zainstalowany na PC lub w chmurze) oraz minimum 2-3 punkty dostępowe UniFi AP (lub punkty OpenWrt wspierające 802.11s).
• Narzędzie do badania zasięgu i poziomu sygnału (np. WiFi Analyzer na smartfonie lub inSSIDer).

1. Uruchomienie węzła głównego (Root AP): Podłączenie pierwszego punktu kablem Ethernet do przełącznika LAN, przypisanie stałego adresu IP, wdrożenie do kontrolera (Adoption).
2. Włączenie obsługi tworzenia siatki (Meshing): W ustawieniach kontrolera (System -> Wireless Meshing) upewnienie się, że aktywna jest opcja bezprzewodowego łączenia punktów.
3. Adaptacja węzła bezprzewodowego: Podłączenie drugiego punktu AP wyłącznie do zasilacza PoE (bez kabla LAN); po uruchomieniu punkt zostaje wykryty przez radio 5 GHz i zaadaptowany jako węzeł bezprzewodowy (Wireless Adoption).
4. Konfiguracja kanałów i mocy: Ustawienie statycznego, czystego kanału w paśmie 5 GHz o szerokości 40 MHz dla szkieletu radiowego oraz optymalizacja mocy nadawania.
5. Konfiguracja progu Min RSSI: Ustawienie minimalnego poziomu sygnału odbieranego (np. -75 dBm) w celu odcinania słabych klientów i wymuszania roamingu na wózkach widłowych w magazynie.

• Zrzut ekranu widoku mapy topologicznej w kontrolerze UniFi prezentujący stan połączenia bezprzewodowego (Uplink: Wireless, wskaźnik sygnału, wynegocjowana prędkość).
• Pomiar przepustowości narzędziem iperf3 przy połączeniu do węzła głównego (Root) oraz po przejściu na węzeł bezprzewodowy (udokumentowanie spadku pasma wynikającego z podziału czasu transmisji na pojedynczym radiu).
• Test samonaprawiania: odłączenie pośredniego punktu AP i rejestracja czasu, po którym kolejny punkt odnajdzie nowe połączenie z węzłem bazowym.

• Zbyt duża odległość między węzłami Mesh: Umieszczenie punktu bezprzewodowego w strefie sygnału słabszego niż -75 dBm prowadzi do drastycznych retransmisji ramek i zrywania łącza dosyłowego.
• Zjawisko pętli w mostach sieciowych: Niewłaściwa konfiguracja protokołu STP/RSTP w sieciach łączących segmenty kablowe z mostami radiowymi może wywołać burzę rozgłoszeniową (Broadcast Storm).

W1 Warstwa transportowa UDP. W4 Mechanizmy WMM (802.11e). W5 Zarządzanie pasmem, klasyfikacja pakietów i drzewa kolejek.

Zaprojektowanie i wdrożenie mechanizmów zarządzania jakością usług (QoS) w sieci bezprzewodowej MikroTik w celu ochrony wrażliwego na opóźnienia i zmienność ruchu telefonii internetowej (VoIP) oraz transmisji wideo. Projekt wykorzystuje znakowanie pakietów w tablicy Mangle, hierarchiczne drzewo kolejek Queue Tree (HTB) oraz optymalizację parametrów WMM na interfejsie radiowym.

WMM (multimedia bezprzewodowe, ang. Wireless Multimedia / 802.11e)

Rozszerzenie standardu 802.11 wprowadzające 4 kategorie dostępu do medium: Głos (Voice), Wideo (Video), Najlepszy wysiłek (Best Effort) i Tło (Background) ze zróżnicowanymi czasami oczekiwania AIFS.

DSCP (kod rozróżniania usług, ang. Differentiated Services Code Point)

6-bitowe pole w nagłówku protokołu IP służące do klasyfikacji ważności danych; wartość EF (Expedited Forwarding / DSCP 46) oznacza najwyższy priorytet dla pakietów głosowych.

Hierarchiczny kubełek żetonów (ang. Hierarchical Token Bucket, HTB)

Algorytm sterowania ruchem w RouterOS (Queue Tree) umożliwiający tworzenie hierarchii kolejek z gwarantowanym pasmem minimalnym (limit-at) i limitem maksymalnym (max-limit).

FastTrack

Moduł akceleracji sprzętowej w RouterOS omijający reguły zapory sieciowej i kolejek; dla poprawnego działania QoS FastTrack musi zostać wyłączony dla znakowanego ruchu.

• Router MikroTik (urządzenie fizyczne lub CHR z dwoma interfejsami).
• Dwie stacje robocze lub laptopy podłączone przez sieć bezprzewodową.
• Generator ruchu sieciowego iperf3 oraz aplikacja do rozmów VoIP (np. Linphone, Mumble lub test ping z rejestracją opóźnień).

1. Dostosowanie reguł zapory: Wyłączenie domyślnej reguły FastTrack w /ip firewall filter dla ruchu podlegającego kolejkowaniu.
2. Klasyfikacja ruchu VoIP w Mangle: Dodanie reguły wykrywającej pakiety protokołu UDP na portach 5060 (SIP) oraz strumienie RTP (zakres portów 10000-20000) lub badającej wartość DSCP 46 (EF), z nadaniem znacznika pakietu pkt-voip.
3. Klasyfikacja strumieni Video w Mangle: Oznaczenie pakietów transmisji wideo znacznikiem pkt-video.
4. Oznaczenie ruchu domyślnego: Przypisanie pozostałym pakietom znacznika pkt-default.
5. Budowa drzewa kolejek (Queue Tree): Utworzenie kolejki nadrzędnej dla mostu bezprzewodowego z maksymalnym limitem pasma łącza.
6. Konfiguracja priorytetów: Utworzenie kolejki podrzędnej VoIP z priorytetem 1 (najwyższym) i pasmem gwarantowanym 5 Mb/s. Utworzenie kolejki Video z priorytetem 3 i pasmem gwarantowanym 15 Mb/s. Utworzenie kolejki najlepszego wysiłku (Best Effort) z priorytetem 8 (najniższym).
7. Włączenie obsługi WMM: Zapewnienie, że w profilu bezprzewodowym interfejsu wlan1 opcja WMM jest aktywna.

• Uruchomienie ciągłego testu ping o wysokiej częstotliwości (np. co 100 ms) ze stacji VoIP do routera.
• Wygenerowanie sztucznego zatoru sieciowego poleceniem iperf3 -u -b 60M -t 30 symulującym wysycenie pasma Wi-Fi ruchem najlepszego wysiłku (Best Effort).
• Porównanie opóźnień i strat pakietów przy wyłączonym oraz włączonym drzewie kolejek Queue Tree (udowodnienie redukcji fluktuacji opóźnień (jittera) poniżej 5 ms dla ruchu VoIP).
• Zrzut ekranu z okna statystyk kolejek w Winbox (zakładka Stats w Queue Tree) prezentujący liczniki pakietów w poszczególnych klasach.

• Aktywny FastTrack: Pozostawienie domyślnej reguły fasttrack-connection powoduje ominięcie tablicy Mangle i zerowe liczniki w drzewie kolejek.
• Błędny parametr Passthrough: Ustawienie passthrough=yes w ostatniej regule znakowania pakietów może nadpisać etykietę pakietu kolejną regułą domyślną.

W4 Architektura IEEE 802.1X. W5 Protokoły EAP, WPA3-Enterprise i serwery RADIUS.

Wdrożenie korporacyjnego poziomu bezpieczeństwa w sieci bezprzewodowej Ubiquiti UniFi z wykorzystaniem standardu IEEE 802.1X, protokołu WPA3-Enterprise (tryb 192-bit) oraz zewnętrznego serwera uwierzytelniającego FreeRADIUS. Projekt eliminuje współdzielone klucze PSK, zapewnia indywidualną weryfikację tożsamości użytkowników certyfikatami i poświadczeniami oraz wymusza szyfrowanie ramek zarządzających (PMF).

IEEE 802.1X

Standard kontroli dostępu do medium opartej na portach fizycznych i logicznych; angażuje trzy strony: Suplikanta (stacja kliencka), Autentykatora (punkt dostępowy) i Serwer Uwierzytelniający (RADIUS).

WPA3-Enterprise (192-bit / CNSA)

Najwyższy standard zabezpieczeń Wi-Fi zgodny z wymogami instytucji rządowych; wykorzystuje 256-bitowy szyfr GCMP-256, funkcje skrótu SHA-384 oraz obowiązkową ochronę ramek zarządzających.

EAP-PEAP (MSCHAPv2)

Popularna metoda uwierzytelniania, w której stacja weryfikuje certyfikat serwera RADIUS i zestawia bezpieczny tunel TLS, wewnątrz którego przesyła login i hasło użytkownika.

Chronione ramki zarządzające (ang. Protected Management Frames, PMF / 802.11w)

Mechanizm kryptograficznej ochrony ramek deautentykacji i dysasocjacji, uniemożliwiający przeprowadzenie bezprzewodowych ataków Denial of Service.

• Kontroler Ubiquiti UniFi Network Application oraz punkt dostępowy UniFi AP wspierający WPA3.
• Wirtualna maszyna z systemem Linux (Debian/Ubuntu) z zainstalowanym serwerem FreeRADIUS.
• Stacja robocza klienta (Windows/Linux/Android) z obsługą WPA3 i suplikantem 802.1X.
• Analizator pakietów Wireshark.

1. Konfiguracja serwera FreeRADIUS: W pliku clients.conf dodanie podsieci punktów UniFi wraz z hasłem współdzielonym (Secret). W pliku users dodanie użytkowników testowych wraz z atrybutami VLAN.
2. Generowanie certyfikatów serwera: Zapewnienie poprawnych certyfikatów CA i serwera RADIUS w katalogu /etc/freeradius/3.0/certs/.
3. Konfiguracja profilu RADIUS w UniFi: W kontrolerze UniFi przejście do Profiles -> RADIUS -> Create New; podanie adresu IP serwera, portu 1812 i sekretu.
4. Konfiguracja sieci bezprzewodowej w UniFi: Utworzenie SSID „Korporacja_WPA3”, wybór typu zabezpieczeń: WPA3 Enterprise, wskazanie profilu RADIUS, ustawienie parametru PMF na Required oraz włączenie opcji RADIUS Assigned VLAN.
5. Konfiguracja stacji roboczej: Ustawienie profilu sieci na stacji klienckiej z wyborem metody EAP-PEAP lub importem certyfikatu użytkownika.

• Uruchomienie serwera FreeRADIUS w trybie śledzenia na konsoli: freeradius -X.
• Próba uwierzytelnienia stacji: analiza komunikatów Access-Request, Access-Challenge oraz końcowego Access-Accept.
• Przechwycenie ramek w programie Wireshark: udokumentowanie negocjacji EAPOL i szyfrowania danych algorytmem GCMP-256.
• Test autoryzacji negatywnej z błędnym hasłem użytkownika i rejestracja komunikatu Access-Reject.

• Odrzucenie certyfikatu przez suplikant: Brak zaufania stacji klienckiej do lokalnego urzędu certyfikacji (CA) wystawiającego certyfikat serwera RADIUS powoduje zerwanie tunelu TLS bez przesłania loginu.
• Brak obsługi WPA3 przez starsze karty: Wymuszenie czystego trybu WPA3 bez opcji przejściowej uniemożliwia asocjację urządzeniom starszej generacji nieobsługującym PMF.

W4 Podatności warstwy 2 Wi-Fi. W5 Systemy detekcji anomalii radiowych, ataki Evil Twin i skanowanie pasma.

Zaprojektowanie i wdrożenie systemu wykrywania i powiadamiania o bezprzewodowych zagrożeniach radiowych (WIDS) na routerze MikroTik. Projekt obejmuje konfigurację interfejsu radiowego w trybie monitorowania/snoopera, autorski skrypt wykrywający fałszywe punkty dostępowe podszywające się pod sieć firmową (Evil Twin) oraz automatyczne generowanie alarmów do dziennika zdarzeń i poczty e-mail.

WIDS / WIPS

System wykrywania (Detection) i zapobiegania (Prevention) intruzom w sieci bezprzewodowej poprzez ciągłą analizę widma i przechwytywanie ramek transmisyjnych.

Nieautoryzowany punkt dostępowy (ang. Rogue AP)

Nieautoryzowany punkt dostępowy podłączony do wewnętrznej sieci przewodowej firmy bez wiedzy i zgody administratora (np. prywatny router pracownika).

Evil Twin (Zły bliźniak)

Wrogi punkt dostępowy rozgłaszający ten sam identyfikator SSID co legalna sieć firmowa, mający na celu wywołanie asocjacji stacji pracowników i przechwycenie danych logowania.

Atak deautentykacyjny (ang. Deauthentication Attack)

Atak polegający na rozsyłaniu fałszywych ramek deautentykacyjnych ze sfabrykowanym adresem MAC punktu bazowego, wymuszający natychmiastowe zerwanie połączenia klienta.

• Router MikroTik z dwoma modułami radiowymi (np. wlan1 obsługuje klientów, wlan2 dedykowany do skanowania WIDS).
• Dodatkowe urządzenie do symulacji ataku (smartfon z funkcją hotspota lub laptop z narzędziem airbase-ng).

1. Konfiguracja radia monitorującego: Przełączenie drugiego modułu wlan2 w tryb bez nadawania z dostępem do narzędzia skanera i snoopera.
2. Zdefiniowanie białej listy BSSID: Zapisanie autoryzowanych adresów fizycznych MAC legalnych punktów dostępowych przedsiębiorstwa.
3. Opracowanie skryptu detekcji: Napisanie skryptu w języku RouterOS Scripting odpytującego tabelę snoopera w poszukiwaniu sieci o firmowym SSID, lecz z adresem MAC nienależącym do białej listy.
4. Konfiguracja akcji alarmowej: Dodanie wpisu do dziennika o poziomie error oraz wysłanie wiadomości przez narzędzie /tool e-mail.
5. Harmonogramowanie skryptu: Uruchomienie narzędzia /system scheduler wykonującego badanie widma co 30 sekund.
6. Włączenie ochrony PMF: Aktywacja Management Protection: required na legalnym punkcie w celu neutralizacji ataków deautentykacyjnych.

• Weryfikacja stanu spoczynkowego: brak alertów w dzienniku /log print.
• Symulacja wrogiego punktu: uruchomienie na telefonie hotspota z identyczną nazwą firmowego SSID.
• Odczyt dziennika zdarzeń routera: udokumentowanie pojawienia się wpisu alarmowego [WIDS ALERT] Wykryto atak Evil Twin! z adresem MAC intruza.
• Zrzut ekranu z tabeli wykrytych stacji w narzędziu Snooper.

• Blokowanie obsługi klientów podczas skanowania: Uruchomienie procedury skanowania na module radiowym obsługującym podłączone stacje robocze powoduje chwilowe przerwanie transmisji (konieczność dedykowania drugiego modułu do zadań WIDS).
• Zmienne formatowanie adresu MAC: Porównywanie wielkich i małych liter w adresach MAC w skrypcie wymaga ujednolicenia formatu łańcucha znaków.

W1 Warstwa sieciowa. W4 Protokół IPv6, autokonfiguracja SLAAC i ICMPv6 w sieciach bezprzewodowych.

Zaprojektowanie i wdrożenie dwustosowej architektury sieciowej Dual-Stack (IPv4 oraz IPv6) w bezprzewodowej sieci lokalnej na routerze MikroTik. Projekt obejmuje konfigurację globalnego prefiksu IPv6, bezstanowej autokonfiguracji stacji roboczych (SLAAC) za pomocą komunikatów Router Advertisement (RA), bezstanowego serwera DHCPv6 dla parametrów DNS oraz zabezpieczenie ruchu zaporą ICMPv6.

Podwójny stos (ang. Dual-Stack)

Równoległe działanie dwóch niezależnych protokołów sieciowych (IPv4 i IPv6) na tym samym interfejsie i w tym samym medium bezprzewodowym bez konieczności translacji adresów.

SLAAC (bezstanowa autokonfiguracja adresu, ang. Stateless Address Autoconfiguration)

Mechanizm bezstanowego przydzielania adresów IPv6, w którym urządzenie klienckie samo generuje swój adres globalny na podstawie prefiksu z ramki Router Advertisement oraz identyfikatora interfejsu.

Wykrywanie sąsiadów (ang. Neighbor Discovery, ND / ICMPv6)

Zestaw komunikatów protokołu ICMPv6 zastępujący tradycyjny protokół ARP; służy do wykrywania routerów, badania dostępności sąsiadów oraz unikania kolizji adresów (DAD).

Bezstanowy serwer DHCPv6 (ang. Stateless DHCPv6)

Tryb pracy serwera DHCPv6, w którym serwer nie zarządza stanem dzierżaw adresów IP, a jedynie przekazuje klientom adresy serwerów DNS i parametry domenowe.

• Router MikroTik (urządzenie fizyczne lub CHR z aktywnym pakietem IPv6).
• Stacje klienckie z obsługą stosu IPv6 (systemy Windows 10/11, Linux lub Android).

1. Przypisanie globalnego adresu IPv6: Przypisanie prefiksu 2001:db8:acad:1::1/64 do mostu bezprzewodowego bridge-wlan z włączoną opcją advertise=yes.
2. Konfiguracja protokołu Neighbor Discovery: Ustawienie czasu rozsyłania ogłoszeń routera (RA Interval: 10-30 sekund), ustawienie flagi other-configuration=yes oraz managed-address-configuration=no.
3. Konfiguracja bezstanowego DHCPv6: Zdefiniowanie opcji DNS z adresem 2001:db8:acad:1::53 i uruchomienie serwera DHCPv6 powiązanego z mostem.
4. Zabezpieczenie zapory IPv6: W /ipv6 firewall filter dodanie reguł bezwzględnie przepuszczających pakiety protokołu icmpv6 w łańcuchach input i forward.
5. Weryfikacja przypisania adresów: Sprawdzenie, czy stacje klienckie poprawnie wygenerowały adresy globalne oraz adresy prywatne (Temporary IPv6 Address).

• Odczyt konfiguracji sieciowej na stacji roboczej poleceniem ipconfig /all (widoczny adres IPv4, brama domyślna IPv4, adresy IPv6 GUA, Link-Local oraz adresy serwerów DNS IPv6).
• Test łączności ICMPv6 z bramą domyślną poleceniem ping -6 2001:db8:acad:1::1.
• Weryfikacja tablicy sąsiadów w konsoli routera: /ipv6 neighbor print prezentująca adresy MAC oraz stany połączeń (Reachable, Stale).

• Zablokowanie ruchu ICMPv6 w zaporze: Błędne potraktowanie ICMPv6 jak IPv4 ping i zablokowanie protokołu uniemożliwia działanie autokonfiguracji SLAAC i wykrywania duplikatów adresów (DAD).
• Niewłaściwa flaga w ND: Ustawienie managed-address-configuration=yes przy braku stanowej puli DHCPv6 powoduje, że urządzenia z systemem Windows oczekują na adres z serwera i nie konfigurują SLAAC.

W1 Fizyka propagacji fal radiowych. W2 Strefy Fresnela, tłumienie wolnej przestrzeni i bilans łącza radiowego.

Zaprojektowanie i analiza parametrów dalekosiężnego mostu radiowego punkt-punkt w paśmie 5 GHz na dystansie 3,5 km z wykorzystaniem urządzeń Ubiquiti airMAX AC. Projekt obejmuje analizę profilu wysokościowego terenu w narzędziu Ubiquiti ISP Design Center, obliczenie promienia pierwszej strefy Fresnela i wymaganego prześwitu (60%), wyznaczenie teoretycznego budżetu łącza (Link Budget) oraz weryfikację zgodności mocy nadawczej EIRP z limitami UKE.

Pierwsza strefa Fresnela

Elipsoida obrotowa wokół osi optycznej łączącej nadajnik z odbiornikiem; przeszkody wnikające w jej przestrzeń wywołują zjawiska dyfrakcji i interferencji niszczącej fale radiowe.

Zasada 60% prześwitu

Warunek czystości propagacyjnej stanowiący, że co najmniej 60% promienia pierwszej strefy Fresnela musi być wolne od przeszkód terenowych, drzew i budynków.

Tłumienie w wolnej przestrzeni (ang. Free Space Path Loss, FSPL)

Tłumienie sygnału w wolnej przestrzeni wynikające z geometrycznego rozpraszania energii fali elektromagnetycznej wraz z kwadratem odległości.

EIRP (zastępcza moc promieniowana izotropowo, ang. Equivalent Isotropically Radiated Power)

Zastępcza moc promieniowana izotropowo; w Polsce w paśmie 5470-5725 MHz dopuszczalny limit UKE wynosi 1000 mW (30 dBm) z aktywną kontrolą mocy TPC.

• Darmowe narzędzie online Ubiquiti ISP Design Center (ispdesign.ui.com).
• Kalkulator parametrów radiowych lub arkusz kalkulacyjny do wyznaczenia budżetu łącza.
• Panel konfiguracyjny Ubiquiti airOS (wersja laboratoryjna urządzeń lub emulator interfejsu).

1. Zdefiniowanie lokalizacji w ISP Design Center: Wprowadzenie współrzędnych geograficznych stacji A i stacji B oddalonych o 3,5 km.
2. Dobór modeli anten: Wybór urządzeń Ubiquiti PowerBeam 5AC Gen2 o zysku energetycznym 25 dBi.
3. Analiza profilu terenu i wysokości masztów: Ustawienie wysokości zawieszenia anten na masztach (np. 18 m nad poziomem terenu na stacji A i 16 m nad poziomem terenu na stacji B) w celu uzyskania pełnego prześwitu 60% strefy Fresnela ponad przeszkodami.
4. Obliczenie promienia strefy Fresnela: Zastosowanie wzoru $r_1 = 8{,}656 \cdot \sqrt{d / f}$ w połowie trasy.
5. Obliczenie budżetu łącza: Wyznaczenie tłumienia wolnej przestrzeni FSPL dla częstotliwości 5,5 GHz oraz estymacja mocy sygnału odebranego RSSI.
6. Weryfikacja zgodności z normami UKE: Sprawdzenie, czy moc nadajnika skorygowana o zysk anteny nie przekracza dopuszczalnego limitu EIRP 30 dBm.

• Wygenerowanie i załączenie do dokumentacji raportu PDF z Ubiquiti ISP Design Center prezentującego profil terenu, elipsoidę strefy Fresnela i estymowaną przepustowość.
• Zestawienie tabelaryczne parametrów budżetu łącza: $P_{TX}$, $G_{TX}$, $FSPL$, $L$, $G_{RX}$ oraz wyliczone $P_{RX}$.
• Opis procedury wizowania anten na podstawie wskaźników sygnału dla obu polaryzacji (Chain 0 / Chain 1) z dopuszczalnym odchyleniem do 2 dB.

• Pomijanie krzywizny Ziemi: Na dystansach powyżej 3 km krzywizna Ziemi wynosi kilkadziesiąt centymetrów i w połączeniu ze strefą Fresnela może powodować zasłonięcie łącza przy niskich masztach.
• Przekroczenie limitów EIRP: Pozostawienie maksymalnej mocy nadawczej urządzenia (np. 24 dBm) przy antenie o zysku 25 dBi daje EIRP rzędu 48 dBm, co stanowi naruszenie przepisów prawa telekomunikacyjnego.

W1 Topologie sieci. W4 Tunele warstwy 2 (EoIP) i szyfrowanie. W5 Dynamiczny routing OSPF i zbieżność sieci.

Zaprojektowanie i wdrożenie odpornej na awarie infrastruktury sieciowej łączącej trzy odległe lokalizacje za pomocą łączy radiowych MikroTik w topologii pierścienia. Projekt obejmuje konfigurację protokołu dynamicznego routingu OSPF v2 (Area 0), budowę tunelu warstwy 2 Ethernet over IP (EoIP) zabezpieczonego protokołem IPsec oraz optymalizację parametru MTU w celu eliminacji fragmentacji pakietów.

OSPF (Open Shortest Path First)

Hierarchiczny protokół routingu dynamicznego stanu łącza (Link-State); zapewnia szybką zbieżność topologii po awarii jednego z połączeń transmisyjnych.

EoIP (Ethernet over IP)

Własny protokół firmy MikroTik enkapsulujący ramki ethernetowe warstwy 2 bezpośrednio wewnątrz pakietów IP (protokół GRE), co pozwala na transparentne mostkowanie odległych sieci LAN.

Zbieżność sieci (Convergence Time)

Czas potrzebny routerom sieciowym na wykrycie braku odpowiedzi sąsiada i wyznaczenie nowej ścieżki przesyłania pakietów w tablicy routingu.

MSS Clamping (Reguła change-mss)

Mechanizm w zaporze sieciowej automatycznie obniżający pole Maximum Segment Size w pakietach TCP SYN, co zapobiega problemom ze zbyt dużymi ramkami w tunelach o obniżonym MTU.

• 3 routery MikroTik (urządzenia fizyczne lub 3 maszyny MikroTik CHR spięte w wirtualnej sieci trójkąta).
• Stacje robocze lub generatory ruchu sieciowego.

1. Adresacja łączy punkt-punkt: Przypisanie podsieci transmisyjnych /30 na łączach między węzłami (A-B: 10.0.12.0/30, B-C: 10.0.23.0/30, C-A: 10.0.31.0/30).
2. Definicja interfejsów Loopback: Skonfigurowanie stabilnych adresów IP /32 na każdym węźle (1.1.1.1, 2.2.2.2, 3.3.3.3) stanowiących Router ID procesu OSPF.
3. Uruchomienie OSPF v2 (RouterOS v7): Utworzenie instancji OSPF, obszaru backbone (Area 0) oraz dodanie szablonów interfejsów (Interface Templates) typu point-to-point.
4. Ustawienie kosztów metryk OSPF: Zróżnicowanie kosztów łączy (np. łącze A-B koszt 10, trasa okrężna A-C koszt 40) w celu wyznaczenia ścieżki domyślnej i zapasowej.
5. Konfiguracja tunelu EoIP z IPsec: Zestawienie tunelu eoip-do-B na węźle A wskazującego na adres loopback węzła B z kluczem ipsec-secret.
6. Mostkowanie sieci L2 przez tunel: Dodanie interfejsu EoIP oraz portu lokalnego LAN do mostu bridge-lan na obu końcach tunelu.
7. Wdrożenie MSS Clamping: Dodanie reguły w /ip firewall mangle zapobiegającej fragmentacji pakietów TCP.

• Weryfikacja relacji sąsiedztwa OSPF na każdym routerze: /routing ospf neighbor print (stan: Full).
• Sprawdzenie tablicy routingu: /ip route print (widoczne trasy dynamiczne OSPF z flagą DAo).
• Test przezroczystości tunelu L2: wykonanie polecenia ping z komputera w budynku A do komputera w budynku B pracujących w tej samej podsieci 192.168.100.0/24.
• Test odporności na awarię (Failover): wyłączenie interfejsu głównego łącza A-B podczas ciągłego testu ping i pomiar liczby utraconych pakietów do momentu przełączenia ruchu trasą zapasową przez węzeł C.

• Pominięcie MSS Clamping: Narzut nagłówków GRE i IPsec na standardową ramkę Ethernet powoduje odrzucanie dużych pakietów TCP (np. strony internetowe zawieszają się podczas ładowania, mimo że polecenie ping działa poprawnie).
• Konflikt Router ID: Przypisanie tego samego Router ID na dwóch węzłach OSPF powoduje odrzucanie ogłoszeń LSA i brak wyznaczenia tras zapasowych.