Witaj Cezary,

W Twoim liście datowanym 8 maja 2006 (23:07:13) można przeczytać:

Dnia poniedziałek, 8 maja 2006 10:38, Dariusz Kowalczyk napisał:

...

On Mon, 8 May 2006 05:20:56 +0200, Cezary Listkowski wrote

...

Moze kots z madrych ludzi, bez przycinek powie mi co zrobic w takiej sytuacji.

Mielm klienta ktory mial odemnie internet droga radiowa. Kient przesiadl sie do konkruncji ale powiadomil mnie dopiero po fakcie czyli miesiac pozniej. Cwaniczek provider (chyba) z konkurencyjnej sieci przeskanowal moja i zna adresy MAC z powiaznymi IP. Na Access Pointach filtruje adresy MAC, posiadam free radiusa ale co z tego kiedy dla klientow radiowych haslem jest adres MAC. Teraz cwaniaki moga sie podszywac i nie mozna tego udowodnic. Skad wiem? ano stad ze ludzie czasami zglaszaja mi konflikty adresow IP.

Zmiana adresacji sieci i wylaczenie DHCP moze by troszke pomogla ale adresow MAC przeciez ludziom nie pozmieniam (40osob) Mysle sobie fajnie by bylo gdyby byl zaimplementowany w AP serwer pppoe dla uwierzytelniania klientow :) ale o tym moge zapomiec bo nie spotkalem sie z takim sprzetem.

Cholerne radiowki, czy tez nie ma sposobu na cwaniaka?

-- Czarek

wlacz po porstu szyfrowanie jak nie masz czasu bawic sie z portalem przechwytujacym w stylu nocat zawsze to jakiej utrudnienie mac adres byle debil moze wykorzystac a szyfrowanie juz trzeba minimum wiedzy ...

Dariusz Kowalczyk

Szyfrowanie WEP lamie sie bardzo prosto, bawilem sie nie raz a narzedzia sa ogolnie dostepne lacznie nawet z filmikami jak to sie robi, ponadto oslabia to syganal dlatego tez zadne to utrudnienie. Nocata i PPPOE zainstalowany na serwerku tez malo w tym przypadku da poniewaz jesli gosc ma MAC to wejdzie mi na AP i wystarczy skan sieci i wszystkie zabezpieczenia sa do d....py. Dlaczego? bo ludzie jak wicie nie wszyscy sa orlami i nie zabezpieczaja sie osobiscie a ja jako dostawca chce ich ochronic przed cwaniakami. Choci o to ze w AP jest zabezpieczenie tak naprawde tylko opierajace sie na filtracji adresow MAC. Jak wiecie MACa mozna sobie zmieniac i to jest ogromny bol i blad tego kto to wymyslil. Najlepszym zabezpieczeniem bylo by postawienie serwera PPPOE z karta Wi-Fi na PCI w trybie AP, ale jak mam postawic kompa na dachu :) to by bylo troszke smieszne i nie rozwazne, podjrzewam ze szybko bym go stracil, i tak juz stracilem 2 anteny i jednego Access Pointa przez je...nych zlodzieji. Bardzo ubolewam ze jescze zaden z producentow nie zrobil Access Pointa z uwierzytelnianiem i tunelowaniem polaczen i to byl by strzal w dziesiatke. No ale to sa tylko mznoki na ktore moze poczekamy sobie jeszcze troche. Mam inny pomysl, ale brakuje mi wiedzy, moze ktos z Was pomoze. Chce odzielic siec Access pointow od sieci z uzytkownikami.

Moj pomysl na bezpieczna siec jest taki:

1. Access Pointy niech stoja bez szyfrowania z filtracja MAC.
2. Serwer zaopatrzec w dwie 3 karty sieciowe

• jedna eth0 w ktora wpinam sygnal np.: z modemu DSL
• druga eth1 w ktora wpinam Access Pointa
• trzecia eth2 w ktora wpinam userow

2. W Access Pointach ustawic IP klase na 10.0.0.0
3. Karte eth2 usawic w innej klasie np C 192.168.1.0

a klase C podzielic tak aby kady user mial po 3 adresy lub po dwa adresy i wyregulowac to maska (tu nie wiem jak sie dzieli-czy jest jakis kalulator?) W ogole brakuje mi troszke teorii i praktyki. Nie wiem czy warto dzielic siec klasy C na czesci i ja ustawic routing aby klienci laczacy sie z Access Pointami mogli polaczys sie poprzez PPPOE z serwerem.

Moze ktos z Was ma lepszy pomysl odzielenia porzadnie klientow z AP od klientow z LAN i serwera?

A moze ktos te zagadnienia przetestowal juz wczesniej i podzieli sie wiedza?

Jesli zle mysle prosze wyprowadzcie mnie z bledu.

Pozdrawiam

Niestety sam sobie otworzyłeś furtkę lub bardziej obrazowo - strzeliłeś gola ustawiając hasło, które można łatwo odczytać/wydedukować.

Teraz możliwości jest kilka.

1) poptop - to już jest vpn po gre możesz na nim wymusić szyfrowanie, co prawda ze stałym kluczem, ale zawsze jakieś. posiada autoryzację - użytkownik/hasło

2) obrzydzić maksymalnie sposób autoryzacji tak aby dla uprawnionego klienta był prosty jasny i oczywisty a dla kombinatora, dziwny, nieodgagniony, pochrzaniony. Systemy FreeBSD (nie wiem jak linux) oferują mechanizm authpf który generuje odpowiednie regułki firewalla w momencie uzyskania autoryzacji. Może to wyglądać np. poprzez uzyskanie dostępu do internetu dla użytkownika który otworzy sesję ssh i będzie ona otwarta. Sesja ssh może być zainicjowana TYLKO za pomocą klucza, który to użytkownik dostanie od Ciebie. W puttym pod windows czy ssh pod unixy taka konfiguracja zajmuje 3 kliknięcia myszą, a zaczyna się to robić skuteczne. Po pierwsze - będziesz miał bazę kluczy a jednocześnie użytkowników uprawnionych do korzystania z sieci. Po drugie - intruz dostanie się do sieci, ale nie skorzysta z internetu, a skanowanie nic nie da bo zobaczy tylko śmieci. Po trzecie - TY będziesz zarządzał dostępem w TOBIE tylko znany sposób. End user dostanie tylko dyskietkę z kluczem i instrukcję.

Taki scenariusz można dowolnie modyfikować np - strona którą trzeba mieć otwartą non stop i tym podobne mechanizmy.

3) inne sposoby - np. wykorzystanie IP-sec z isakmp + ssl czyli stworzenie szyfrowanych tuneli dla każdego użytkownika dodatkowo z dynamiczną wymianą kluczy, wszystko oparte na certyfikatach, tylko czy to już nie jest przerost formy nad treścią?? Nie każdy ruter wifi sobie z tym radzi. Poza tym wydajność rutera też musi być na odpowiednim poziomie. No i jeszcze konfiguracja...........

Co do komputerów na dachu - przecież masz jednopłytowce.. cenowo wychodzą praktycznie tyle co za normalny sprzęt i masz prawie te same możliwości. Jednopłytowiec do dużej puchy porządnie zamontowanej, zabezpiecz jeszcze klapę od dachu i powinno pomóc. Chociaż złodziej jak nie oknem to drzwiami wejdzie.