Вы находитесь на странице: 1из 104

Implantao e administrao de

redes com Mikrotik RouterOS

Mdulo Wireless do curso MTCNA


Copyright Notice
(Aviso sobre direitos autorais)

English:
This material is an effort intended to improve the level of knowledge of professionals
that work with Mikrotik RouterOS and should be used solely for self-study purposes.
Digital copies and/or any printed material contained in this presentation or derived
from it are property of MD Brasil TI & Telecom and cannot be used for any kind of
training, presentation or workshop, even non-commercial ones.
Reproduction of any part or picture requires previous written authorization of MD
Brasil. For information about how to obtain such authorization, please contact
mdbrasil@mdbrasil.com.br.
Portuguese:
Este material um esforo que visa aprimorar o grau de conhecimento de
profissionais que trabalham com Mikrotik RouterOS e deve ser usado apenas com
objetivos de auto estudo.
Cpias digitais e/ou materiais impressos com contedo desta apresentao ou dela
derivados so de propriedade a MD Brasil TI & Telecom a no podem ser usados para
qualquer tipo de treinamento, apresentao ou seminrio, mesmo os de finalidades
no comerciais.
A reproduo de qualquer parte ou figura requer prvia autorizao por escrito da
MD Brasil. Para informaes em como obter esta autorizao, por favor contate
mdbrasil@mdbrasil.com.br.

Copyright md brasil - direitos reservados 2


Wireless com Mikrotik

Tecnologias e
Protocolos
suportados

Copyright md brasil - direitos reservados 3


Protocolos Suportados

Protocolos suportados pelo Mikrotik RouterOS:

Padro IEEE 802.11b


802.11g
802.11a
Protocolos 802.11n
802.11ac

Proprietrios Nstreme
Nstreme dual
Nstreme v2 (Nv2)

4
Protocolos IEEE

Padro IEEE Frequncia Tecnologia Velocidades


DSSS 1, 2, 5.5 e
802.11b 2.4 GHz
11mbps

802.11g 2.4 GHz OFDM 6, 9, 12, 18,


24, 36 48 e 54
OFDM mbps
802.11a 5 GHz

6.5 a 300
802.11n 2.4 e 5 GHz OFDM/MIMO
mbps
OFDM/MIMO,
MU-MIMO,
802.11ac 5 GHz > 6 GHz
SDMA, at 160
MHz

Copyright md brasil - direitos reservados 5


Funes de um dispositivo
Wireless

Um dispositivo wireless pode ser dividido em 2 camadas


com funes distintas:
- A parte fsica da comunicao
- O mtodo de acesso ao meio fsico

Controle de acesso ao meio


(CSMA/CA, Polling, TDMA)

Camada fsica
(frequncia, largura de banda,
potncia, modulao)

6
Camada Fsica

Controle de acesso ao meio


(CSMA/CA, Polling, TDMA)

Camada fsica
(frequncia, largura de banda,
potncia, modulao)

7
Camada Fsica

Frequncias

8
Frequncias

Frequncias suportadas:
- Pode funcionar em qualquer banda suportada pelo
dispositivo Wireless (RouterOS somente o controla)

- utilizado mais frequentemente nas bandas no


licenciadas de 2.4 e 5 GHz, que no Brasil so:

- 2.4GHz : 2.400 a 2.483,50 MHz


- 5 GHz : 5.150 a 5.850 MHz

OBS: Tambm possvel o uso de uma pequena faixa de


900 MHz: 902 a 907,50 e 915 a 928 MHz
9
Faixa de 2.4 GHz

No Brasil a faixa isenta de licena vai de 2.400 a 2483,50 MHz

1 2 3 4 5 6 7 8 9 10 11 12 13

MD1302041311

2401 MHz 2483 MHz

10
Faixa de 2.4 GHz

Canais no interferentes em 2.4 Ghz

Canal 1 Canal 6 Canal 11 Canal 13


2412 2437 2462 2472

22 MHz

2400 MHz Tecnologia DSS 2483,5 MHz


11
Canais do espectro de 5Ghz

20 MHz

Em termos regulatrios a faixa de 5 Ghz dividida em 3 faixas:

Faixa Baixa: 5150 a 5250 e 5250 a 5350 (MHz)


Faixa Mdia: 5470 a 5725 (MHz)
Faixa Alta: 5725 a 5850 (MHz)
Frequncias

Carto R52HnD
Opera tanto em 2.4 como em
5 GHz

Copyright md brasil - direitos reservados 13


Configurao de banda /
protocolo

Copyright md brasil - direitos reservados 14


Frequncias configuraes
no RouterOS
5 GHz 2 GHz

No modo superchannel o Mikrotik pode habilitar toda a


faixa suportada pelo carto
Copyright md brasil - direitos reservados 15
Camada Fsica

Largura de Banda

16
Meio fsico largura de banda

Canais padro Canais mais largos

20 MHz 20 MHz 40 MHz

Maior capacidade terica de banda


Menor nmero de canais
Maior vulnerabilidade a interferncias
Requerida sensibilidade maior
Diminui nvel de potencia de Tx

Copyright md brasil - direitos reservados 17


Meio fsico largura de banda

Canais padro Canais mais estreitos

Menor capacidade terica de banda


Maior nmero de canais
Mais vulnerabilidade a interferncias
Requerida menor sensibilidade
Aumenta nvel de potencia de Tx

Copyright md brasil - direitos reservados 18


Meio fsico largura de banda

Opes de configurao 802.11bgn

Copyright md brasil - direitos reservados 19


Meio fsico largura de banda

Opes de configurao 802.11ac

Exemplos

Ceee Canal central e


3 canais de 20 MHz
acima

eeCe Canal central


com dois canais
abaixo e um acima

Copyright md brasil - direitos reservados 20


Camada Fsica

Tecnologias de
tratamento dos
sinais

21
Camada Fsica - Tecnologias

DSSS: Espalhamento espectral por sequencia direta

Combina um sinal digital com uma


sequencia pseudo aleatria,
resultando um sinal espalhado
no espectro

22
Camada Fsica

Tecnologias:

- OFDM: Multiplexao Ortogonal por diviso de


frequncia

Utiliza vrias portadoras


senoidais para transportar as
informaes

23
Intervalo de Guarda

Em OFDM o intervalo de
guarda a faixa de
segurana que mantida
para assegurar a transmisso
do sinal sem interferncia
adjacente.

Maior GI = maior robustez

Copyright md brasil - direitos reservados 24


Camada Fsica

Tecnologias de
Modulao

25
Modulao

Em telecomunicaes o processo de transmisso de


informao feito com a variao de uma ou mais
propriedades (amplitude, frequncia, fase) da onda peridica
(portadora)

Modulaes mais simples


Menos informao, menores exigncias do meio fsico;

Modulaes mais complexas:


Mais informao no mesmo espao de tempo, mais exigncia
do meio fsico.
Copyright md brasil - direitos reservados 26
Modulao

Modulaes utilizadas nos protocolos 802.11: BPSK,


QPSK, 16QAM, 64QAM, 128QAM

OBS: alguns fabricantes tem oferecido produtos em


512 QAM e 1024 QAM

Copyright md brasil - direitos reservados 27


Code rate

Em telecomunicaes o code
rate (ou information rate) a
proporo til de dados para a
transmisso da informao. Ou
seja, por exemplo um code
rate de 5/6, significa que para
transmitir 5 bits de
informao, 6 so gerados
para efeito de correo de
erros.

Copyright md brasil - direitos reservados 28


Modulao

Modulaes em 802.11a/b/g

Cada modulao define uma


diferente taxa de transmisso
de dados.

Taxas suportadas:
empregadas para o trfego
dos dados
Taxas bsicas:
empregadas para frames de
controle/protocolo

Copyright md brasil - direitos reservados 29


Camada Fsica

Tecnologias:

MIMO: Multiple Input Multiple Output

Tcnica que combina vrios


sinais ou cpias dos sinais
enviados e recebidos por
mltiplos caminhos

30
Camada Fsica
Tecnologia MIMO

SISO: Single Input and Single Output ( 1x1)

MIMO: Multiple Input and Multiple Output

SDM: Spatial Division Multiplexing

Streams espaciais mltiplos atravs de mltiplas antenas.

Configuraes de antenas mltiplas para receber e


transmitir:
- 1x2, 1x3
- 2x2, 2x3
- 3x3
...

31
Camada Fsica
Tecnologia MIMO
Canal 0 Canal 1

Carto R11e-5HacT
3 Streams espaciais
R52 HnD
32
Configurao de streams
(MIMO)

Observar que com o uso de


dois canais a potencia dobra
em mw, ou seja, acrescida
de 3 dBm.

Copyright md brasil - direitos reservados 33


Modulao

Esquemas de Modulao
(MCS) em 802.11n

No protocolo 802.11n uma


srie de parmetros
combinados, incluindo a
modulao definem a taxa de
transmisso.

Copyright md brasil - direitos reservados 34


Tabela de MCS para 802.11n
Velocidade (Mbit/s)
Streams Code Canal de 20 MHz Canal de 40 MHz
MCS Modulao
espaciais rate
800 ns GI 400 ns GI 800 ns GI 400 ns GI

0 1 BPSK 1/2 6.5 7.2 13.5 15


1 1 QPSK 1/2 13 14.4 27 30
2 1 QPSK 3/4 19.5 21.7 40.5 45
3 1 16-QAM 1/2 26 28.9 54 60
4 1 16-QAM 3/4 39 43.3 81 90
5 1 64-QAM 2/3 52 57.8 108 120
6 1 64-QAM 3/4 58.5 65 121.5 135
7 1 64-QAM 5/6 65 72.2 135 150
8 2 BPSK 1/2 13 14.4 27 30
9 2 QPSK 1/2 26 28.9 54 60
10 2 QPSK 3/4 39 43.3 81 90
11 2 16-QAM 1/2 52 57.8 108 120
12 2 16-QAM 3/4 78 86.7 162 180
13 2 64-QAM 2/3 104 115.6 216 240
14 2 64-QAM 3/4 117 130 243 270
15 2 64-QAM 5/6 130 144.4 270 300
Copyright md brasil - direitos reservados 35
Camada Fsica

Potncias

36
Potncias

Unidades de medida em mwatts e Dbm

Em telecomunicaes usual
representar potncias, ganhos e
perdas em unidades relativas
(Decibis)

Frmulas:

P(dBm) = 10 x log P(mw)

[P(dBm/10)]
P(mw) = 10
Regra dos 3 dB

A cada 3 dB de ganho a potncia dobra


e
A cada 3 dB de perda a potncia cai pela metade

Exemplos :
20 dBm = 100 mw
23 dBm = 200 mw
26 dBm = 400 mw
29 dBm = 800 mw
Regra dos 10 dB

A cada 10 dB de ganho a potncia multiplicada por 10


e
A cada 10 dB de perda a potncia dividida por 10

Exemplos :
0 dBm = 1 mw
10 dBm = 10 mw
20 dBm = 100 mw
30 dBm = 1000 mw (1 Watt)
Potncias

Relao mw e dBm

0 dBm 1 mW
-10 dBm 0.1 mW
-20 dBm 0.01 mW
-30 dBm 0.001 mW
-40 dBm 0.0001 mW 30 dBm 1000 mW
-50 dBm 0.00001 mW 29 dBm 600 mW
-60 dBm 0.000001 mW 26 dBm 300 mW
-70 dBm 0.0000001 mW 23 dBm 200 mW
-80 dBm 0.00000001 mW 20 dBm 100 mW
-90 dBm 0.000000001 mW 0 dBm 1 mW
Sensibilidade

To ou mais importante
quanto a potncia de
um rdio a sua
sensibilidade, que o
valor mnimo em dBm
em que o rdio escuta
a transmisso. Esse
valor varia em funo
da potncia utilizada.
Clculo de rdio enlaces

PR PT L T G T G R L R A

A = 20 log ( / 4 ) onde:
= comprimento de onda (300000/f (Hz))
D = distncia em metros
Clculo de rdio enlaces
Ferramenta online

https://www.mikrotik.com/test_link.php
Camada Fsica

Potncias e aspectos da
regulamentao brasileira

44
Camada Fsica

Radiao restrita resoluo ANATEL 506/2008

45
Aspectos regulamentares

Potncias:

EIRP = Potncia Efetiva Isotropicamente Irradiada

EIRP = Potncia do rdio (Dbm) + Ganho Antena (Dbi)


*
Exemplo: 24 dBi
EIRP
200 mw = 23 dBm

200 EIRP = 23 + 24 = 47 dBm


mw

* Tecnicamente seria correto deduzir as perdas existentes;


Aspectos regulamentares
em 2.4 GHz

Potncias

Potncia mxima rdio = 30 dBm (1 Watt)

Sistemas multiponto:

Ganho antena (dBi) <= 36 - Pt

Sistemas ponto a ponto:

Ganho antena (dBi) <= 6 + 3 x (30 Pt)

Onde: Pt = Potncia do transmissor em dBm


Aspectos regulamentares
em 2.4Ghz

Cidades com menos e com mais de 500 mil habitantes

Regulamento anexo resoluo 506/2008:


Regula uso para equipamentos de radiao restrita em vrias
frequncias, inclusive 2.4 GHz.

Regulamento anexo resoluo 397/2005:


Regula uso de equipamentos em 2.4 GHz em cidades com mais
de 500 mil habitantes e que ultrapassem 400 mw de EIRP.

No existe diferena nos nveis de potncias permitidas em


cidades com mais de 500 mil habitante. Nestas, h necessidade
do licenciamento das estaes que ultrapassem 400mw de
EIRP, independentemente de suas funes.
Aspectos regulamentares do espectro de 5Ghz

Faixa Baixa Faixa Mdia Faixa Alta


Frequncias 5150-5250 5250-5350 5470-5725 5725-5850
Largura 100 MHz 100 MHz 255 MHz 125 MHz
canais 4 canais 4 canais 11 canais 5 canais
Uso indoor apenas Uso indoor e outdoor
Deteco de radar
obrigatria
Aspectos regulamentares
do espectro de 5Ghz
Deteco de radar e
seleo dinmica de frequncia

no radar detect: escaneia o


meio e escolhe o canal em que
for encontrado o menor nmero
de redes

radar detect: escaneia o meio


e seleciona o canal com menos
redes, espera 1 minuto e se no
for detectado radar, entra em
operao nesse canal
Aspectos regulamentares em 5
GHz na faixa baixa e mdia
(5125-5350; 5470-5725)

Regulamento 506/2008

Seo X - Art. 45
Sistema de Acesso sem Fio em Banda Larga para Redes
Locais, operando nas faixas 5.150-5.350 MHz e 5.470-5.725
MHz, devem ser utilizados em aplicaes do servio mvel.

Pargrafo nico. As aplicaes do servio mvel a serem


usufrudas pelos usurios dos Sistemas de Acesso sem Fio em
Banda Larga para Redes Locais sero nomdicas, ou seja,
acesso sem fio em que o terminal do usurio pode se mover
livremente dentro da rea de cobertura mas que, quando em
uso, permanecer estacionrio.
Aspectos regulamentares
em 5 GHz nas faixas baixa
e mdia

5150 5350 MHz


Uso confinado ao interior das edificaes
Potncia mxima E.I.R.P = 200 mw (23 dBm)*

5470 5725 MHz


Potncia mxima do transmissor = 250 mw (24 dBm)
Potncia mxima E.I.R.P = 1 Watt (30 dBm)*

*necessrio TPC (controle de potncia de transmisso)


Sem TPC:
EIRP mxima (5150-5350) = 100 mw
EIRP mxima (5470-5725) = 500 mw
Aspectos regulamentares em 5
GHz na faixa baixa e mdia
(5125-5350; 5470-5725)

Regulamento 506/2008

Seo IX - Art. 39
Equipamentos Utilizando Tecnologia de Espalhamento
Espectral ou outras Tecnologias de Modulao Digital operando
nas faixas 902-907,5 MHz, 915-928 MHz, 2.400-2.483,5 MHz
e 5.725-5.850 MHz devem atender s condies estabelecidas
nesta Seo.

1o. Exceto quando estabelecido o contrrio, os equipamentos


operando de acordo com o estabelecido nesta Seo podem
ser utilizados em aplicaes ponto-a-ponto e ponto-
multiponto do servio fixo e em aplicaes do servio
mvel.
Aspectos regulamentares
em 5 GHz na faixa alta
(5725-5850)

Potncias

Potncia mxima rdio = 30 dBm (1 Watt)

Sistemas multiponto:

Ganho antena (dBi) <= 36 - Pt

Sistemas ponto a ponto:

No h limite para ganho da antena

Onde: Pt = Potncia do transmissor em dBm


Aspectos regulamentares
em 900 MHz

Faixa de 900 MHz

Tambm regulada pela 506/2008. Faixas permitidas:


Frequncia (MHz) 902 907.5 915 - 928
Largura faixa 5.5 MHz 13 MHz

Canais que o fabricante aconselha o funcionamento:


Canal 3 -> 922 MHz (10 e 5 MHz)
Canal 4 -> 917 MHz (20, 10 e 5 MHz)
Canal 5 -> 912 MHz (20, 10 e 5 MHz)
Canal 6 -> 907 MHz (10 e 5 MHz)

Uso regular no Brasil:


Canal 3 -> 922 MHz (10 e 5MHz)
Manipulao de Potncias

manual txpower: remete


para a aba TxPower

Regulatory domain:
Configura-se o country e
ganho da antena (deveria
ajustar a potncia do rdio

Superchannel:
Permite uso de todas
frequncias suportadas pelo
carto
Manipulao de Potncias

default: usa o default do


carto;

card rates: usa o valor


mximo configurado pelo
usurio respeitando o algoritmo
do carto

All-rates-fixed: usa o valor


mximo configurado pelo
usurio para todas velocidades

Manual: deixa usurio ajustar


potencia para qualquer
velocidade.
Controle de acesso ao meio
fsico

Controle de acesso ao meio


(CSMA/CA, Polling, TDMA)

Camada fsica
(frequncia, largura de banda,
potncia, modulao)

58
Acesso ao meio fsico

Mtodos suportados

Esperando para
- CSMA/CA Carrier Sense Multiple transmitir

Access/Colision Avoidance
no
Canal Espera tempo
Livre? aleatrio
Mtodo no qual as estaes
sim
ouvem o meio fsico e no Espera tempo
transmitem caso ele esteja aleatrio

ocupado, tentando evitar as sim

colises com outras estaes, Canal


elegendo um tempo aleatrio de Ocupado?

conteno no

Transmite

No h coordenao central
59
Acesso ao meio fsico

Mtodos suportados

- Polling AP

Mtodo no qual um controlador


central (AP) pergunta s
estaes se elas querem
transmitir e recebem seus ST1 ST1
ST1
pacotes.

60
Acesso ao meio fsico

Mtodos suportados

- TDMA: Time Division Multiple Access


Fluxo de dados
dividido em
A informao transmitida frames
dividindo-se o tempo til em
slots que so utilizados pelas Frames
estaes. 1 2 3 4 divididos em
slots de tempo

Cada estao tem seu tempo Slots de tempo


contm dados
para transmitir e um intervalo 10101000110
com intervalo
reservado entre elas. de guarda

61
Acesso ao meio fsico no
RouterOS

Mtodos

Protocolo Mtodo de acesso ao meio fsico


CSMA/CA e PCF (polling - no implementado
802.11abgn
comercialmente)
CSMA/CA, PCF (polling no implementado
802.11ac
comercialmente) e SDMA (opcionalmente)
Nstreme Polling

Nstreme dual Polling

Nv2 TDMA

Copyright md brasil - direitos reservados 62


Acesso ao meio fsico no
RouterOS

NStreme

Nstreme v2 (Nv2)

Copyright md brasil - direitos reservados 63


Acesso ao meio fsico no
RouterOS

Nstreme dual Links Full Duplex empregando 2 cartes


half duplex.

MAC a ser
informado ao
outro lado

Copyright md brasil - direitos reservados 64


Acesso ao meio fsico no
RouterOS

Opes

unspecified
any
802.11
nstreme
nv2
nv2-nsteme-802.11
nv2-nstreme

Copyright md brasil - direitos reservados 65


Acesso ao meio fsico no
RouterOS

Detalhes de configurao (1/2)

Valor AP Estao
Estabelece rede Conecta em nstreme* ou
Unspecified
nstreme* ou 802.11 802.11
Conecta em qualquer
any Idem acima
protocolo disponvel
Estabelece rede Conecta apenas em rede
802.11
802.11 802.11
Estabelece rede Conecta apenas em rede
nstreme
nstreme nstreme

*se configurada na aba nstreme

Copyright md brasil - direitos reservados 66


Acesso ao meio fsico no
RouterOS

Detalhes de configurao (2/2)

Valor AP Estao
Conecta apenas em rede
Nv2 Estabelece rede nv2
nv2
Procura nv2, depois por
nv2-nstreme- nstreme e finalmente por
Estabelece rede nv2
802.11 802.11 conectando-se na
que encontrar primeiro.
Procura por nv2, depois
por nstreme, conectando-
nv2-nstreme Estabelece rede nv2
se na que encontrar
primeiro.

Copyright md brasil - direitos reservados 67


Configuraes de camada 2

68
Configuraes de enlace
em camada 2

Configuraes de bridge

Copyright md brasil - direitos reservados 69


Configuraes de enlace

Modos de configurao da Interface Wireless

Copyright md brasil - direitos reservados 70


Configuraes de enlace
modos de operao

ap-bridge:
Permite mltiplas conexes e pode funcionar como
bridge transparente;

bridge:
Permite apenas uma conexo e pode funcionar como
bridge transparente;

station:
Modo apenas estao. No pode ser colocado em
bridge;

Copyright md brasil - direitos reservados 71


Configuraes de enlace
modos de operao

station-wds:
Modo estao que pode ser colocada em bridge. Pode
funcionar como bridge transparente desde que o outro
lado seja um AP ou bridge com suporte a WDS
ativado;

station-bridge:
Modo estao que pode ser colocada em bridge. Pode
funcionar como bridge transparente desde que o outro
lado seja um AP ou bridge Mikrotik com a opo bridge
habilitada (default) ;

Copyright md brasil - direitos reservados 72


Configuraes de enlace
modos de operao

station-pseudo-bridge:
Modo estao que pode ser colocada em bridge e que
faz a chamada bridge falsa, passando vrios Ips atrs
de um mesmo MAC;

station-pseudo-bridge-clone:
Idntica a anterior com a possibilidade de clonar um
MAC arbitrrio;

Copyright md brasil - direitos reservados 73


Configuraes de enlace

Possibilidades de Bridging em modo transparente

Lado A Lado B OBS


station-wds AP c/ WDS Multi Vendor
station-wds bridge c/ WDS Multi Vendor
AP c/WDS AP c/ WDS Multi Vendor
bridge c/WDS bridge c/ WDS Mikrotik proprietrio
station-bridge AP Mikrotik proprietrio
station-bridge Bridge Mikrotik proprietrio

Copyright md brasil - direitos reservados 74


Configuraes bsicas

Configurao da interface Wireless

Modo
Banda

SSID (Nome da rede)

Copyright md brasil - direitos reservados 75


Controle de acesso
e segurana

76
Controle de acesso e segurana
Access list
Access List:
Lista endereos MAC e as aes especficas para estes,
como autenticao, forwarding, criptografia individual, etc

Copyright md brasil - direitos reservados 77


Controle de acesso e segurana
Connect list
Connect List:
Lista endereos MAC e as aes especficas que o Mikrotik
quando configurado como estao cliente

Copyright md brasil - direitos reservados 78


Controle de acesso
Polticas padro da Interface

default-authenticate:
Com essa opo habilitada aceita a
conexo de qualquer MAC;

default-forward:
Com essa opo habilitada permite
o encaminhamento dos pacotes
entre os clientes do mesmo carto.

OBS: ambas opes funcionaro


somente se no houver ao
contrria na access list

Copyright md brasil - direitos reservados 79


Controle de acesso e segurana
Access lists

default-authenticate:
a poltica padro da interface com relao autenticao
na interface Wireless. Com essa opo habilitada (default)
aceita a conexo de qualquer MAC.

default-forward:
a poltica padro da interface com relao ao
encaminhamento de pacotes entre os clientes conectados
na mesma interface Wireless. Com essa opo habilitada
(default) permitido o encaminhamento.

Ambas opes so ignoradas para um determinado MAC,


caso haja uma entrada na Access List para este MAC

Copyright md brasil - direitos reservados 80


Laboratrios
Default authenticate
Default forward
Filtros de Bridge
Configuraes de Horizon

81
Ferramentas de
Escaneamento

82
Interface Wireless / Geral / Scan

Escaneia o meio (causa queda das conexes estabelecidas)


A Ativa
B BSS
P Protegida
R rede Mikrotik
N Nstreme
Na linha de comando pode ser acessada em /interface/wireless/scan wlan1 83
Interface Wireless / Geral / Uso de frequencias

Mostra o uso das frequencias em todo o espectro, para site survey


(causa queda das conexes estabelecidas)

Na linha de comando pode ser acessada em


/interface/wireless/frequency-monitor wlan1

84
Interface Wireless / Geral / Alinhamento

Ferramenta de alinhamento com sinal sonoro


( Colocar o MAC do AP remoto no campo Filter e campo Audio)

Rx Quality Potencia (dBm) do ltimo pacote recebido

Avg. Rx Quality Potencia mdia dos pacotes


recebidos.
Last Rx tempo em segundos do ltimo pacote foi recebido

Tx Quality Potencia do ltimo pacote transmitido


OBS: Filtrar MAC do PtP
Last Rx tempo em segundos do ltimo pacote transmitido

85
Correct nmero de pacotes recebidos sem erro
Interface Wireless / Geral / Sniffer

Ferramenta para sniffar o ambiente Wireless captando e decifrando pacotes


Muito til para detectar ataques do tipo deauth attack e monkey jack
Pode ser arquivado no prprio Mikrotik ou passado por streaming para outro sevidor com o protocolo TZSP
86
Na linha de comando habilita-se em / interface wireless sniffer sniff wlan1
Interface Wireless / Geral / Snooper

Com a ferramenta Snooper possvel monitorar a carga de trfego em cada canal, por estao e
por rede.
Escaneia as frequencias definidas em scan-list da interface
87
Medidas de segurana
complementares/paliativas

1 - Nome de rede (SSID) escondido


Pontos de acesso sem fio por padro fazem
o broadcast do seu SSID nos pacotes
chamados beacons. Este comportamento
pode ser modificado no Mikrotik habilitando
a opo Hide SSID.

Fragilidades:
- SSID tem de ser conhecido pelos clientes
- Scanners Passivos descobrem facilmente
pelos pacotes de probe requestdos
clientes.

mdbrasil - todos direitos reservados 88


Medidas de segurana
complementares/paliativas

2 Controle de endereos MAC atravs das access lists

Fragilidades:
Descobrir MACs que trafegam no ar muito simples com
ferramentas apropriadas. Ex
- Airopeek para Windows
- Kismet, Wellenreiter, etc para Linux/BSD
- Spoof de um MAC operao trivial

mdbrasil - todos direitos reservados 89


Criptografia legada
WEP

Criptografia WEP

Wired Equivalent Privacy foi o sistema de criptografia


inicialmente especificado no padro 802.11 e est baseada no
compartilhamento de um segredo (semente) entre o ponto de
Acesso e os clientes, usando o algoritmo RC4 para
criptografia.

Vrias fragilidades da WEP foram reveladas ao longo do tempo


e publicadas na Internet, existindo muitas ferramentas para
quebrar a chave. A sute Aircrack-ng prov uma srie de
ferramentas para a quebra de WEP:
Airodump-ng, Aireplay-ng, Aircrack-ng

Hoje trivial a quebra da WEP que pode ser feita em poucos


minutos com tcnicas baseadas nas ferramentas acima.
mdbrasil - todos direitos reservados 90
IEEE 802.11i
Devido aos problemas apresentados pela WEP o IEEE criou
o Grupo de trabalho 802.11i com a tarefa de fazer a
especificao de um padro de fato seguro.

Durante o desenvolvimento, foram lanados padres


intermedirios, como o WEP+, TKIP e o WPA (Wireless
Protected Access)

Aprovao do padro em junho/2004, batizado de WPA2.

IEEE WEP 802.11i

Indstria WEP +
WEP WPA WPA2
(Wi-Fi Alliance) TKIP

mdbrasil - todos direitos reservados 91


Fundamentos de Segurana

Privacidade:
A informao no pode ser entendida por terceiros.

Integridade:
A informao no pode ser alterada quando em transito.

Autenticao:
1- O AP tem que garantir que o cliente quem ele diz ser.
2- O Cliente tem que se certificar que est se conectando no
AP verdadeiro.

mdbrasil - todos direitos reservados 92


Fundamentos de Segurana

Privacidade e Integridade
Garantidas por tcnicas de criptografia:
WPA utiliza RC4
WPA2 utiliza AES
*Existe uma chave nica por cliente e uma chave de bloco
para as mensagens de broadcast

Autenticao:
Dependendo da implementao, pode ser mais ou menos
segura

mdbrasil - todos direitos reservados 93


Autenticao e distribuio
de chaves
Autenticao

WPAx-PSK WPAx-EAP
(modo pessoal) (modo corporativo)

Mikrotik Mikrotik c/
proprietrio outros vendors

Diversos mtodos EAP


Sem certificados Certificados 2 lados
utilizando RADIUS

Trabalhos sobre diversos mtodos EAP/Certificados em:


http://mdbrasil.com.br/downloads/artigos/Maia
mdbrasil - todos direitos reservados 94
Como funciona a WPAx-PSK

Client AP Uma chave mestra chamada


Passhrase (PSK) Passhrase (PSK)
PMK Pairwise Master Key

PMK = f ( passphrase, SSID ) PMK = f ( passphrase, SSID )


criada por um hash entre a
semente e o SSID.
256-bit pairwise master key (PMK) 256-bit pairwise master key (PMK)

Outra chave chamada PTK


Pairwise Transient Key
Derive PTK
S-nounce criada de maneira
Derive PTK,
OK, install MIC dinmica aps um processo
Check MIC
Check MIC
de handshake de 4 vias. PTK
nica por sesso e cliente.
Install Key Install Key
Begin encrypting Begin encrypting

mdbrasil - todos direitos reservados 95


Configurao do Perfil de
segurana WPAx-PSK

Os dois mtodos, WPA e WPA2


esto presentes na aba Security
Profile;

Caso sejam configurados ambos,


e o cliente suporte, o Mikrotik
utilizar o mais seguro

Utilizar WPA somente se na rede


houver equipamento legado que
no suporte WPA2

mdbrasil - todos direitos reservados 96


Utilizando WPA/WPA2 PSK
muito simples a configurao de
WPA/WPA2-PSK com o Mikrotik

WPA - PSK
Configure o modo de chave dinmico,WPA
PSK, e a chave pr combinada.
WPA2 PSK
Configure o modo de chave dinmico
WPA2, PSK, e a chave pr combinada.

As chaves so alfanumricas de 8 at
63 caracteres
mdbrasil - todos direitos reservados 97
Mtodo alternativo Mikrotik
O Mikrotik na verso V3 oferece a possibilidade de distribuir uma chave WPA2 por
cliente . Essa chave configurada no Access List do AP e vinculada ao MAC
address do cliente, possibilitando que cada cliente tenha sua chave.

Cadastrar porm nos access lists, voltamos ao problema da chave ser visvel a
usurios do Mikrotik !
mdbrasil - todos direitos reservados 98
Mtodo alternativo Mikrotik

Felizmente porm o Mikrotik permite que a chave seja atribuda por Radius o que
torna muito interessante esse mtodo.

Para configurar precisamos:


Criar um perfil WPA2 qualquer
Habilitar a autenticao via MAC no AP
Ter a mesma chave configurada tanto no cliente como no Radius.

mdbrasil - todos direitos reservados 99


Configurando o Perfil

mdbrasil - todos direitos reservados 100


Configurando a Interface Wireless

mdbrasil - todos direitos reservados 101


Arquivo users: (/etc/freeradius)
# Sintaxe:
# MAC Cleartext-Password := MAC
# Mikrotik-Wireless-Psk = Chave_PSK_de_8_a_63_caracteres

001DE05A1749 Cleartext-Password := "001DE05A1749


Mikrotik-Wireless-Psk = "12345678912
001B779ADD5D Cleartext-Password := "001B779ADD5D"
Mikrotik-Wireless-Psk = "12345678911
001B77AF82C9 Cleartext-Password := "001B77AF82C9"
Mikrotik-Wireless-Psk = "12345678911"

mdbrasil - todos direitos reservados 102


Radius (dictionary)
/usr/share/freeradius/dictionary.mikrotik

mdbrasil - todos direitos reservados 103


Laboratrio de PSK por cliente

O aluno que quiser participar, crie um arquivo texto no formato abaixo e


coloque no FTP com a identificao XY-PSK, onde XY seu nmero.

# Sintaxe:
# MAC Cleartext-Password := MAC
# Mikrotik-Wireless-Psk = Chave_PSK_de_8_a_63_caracteres

#Exemplo:
001DE05A1749 Cleartext-Password := "001DE05A1749
Mikrotik-Wireless-Psk = "12345678912

mdbrasil - todos direitos reservados 104