Seguridad, alimentación eléctrica y documentación de la solución

Agenda de la sesión 6

• Seguridad de redes 802.11.
• Alimentación eléctrica (PoE).
• Documentación de la solución y validación post instalación.

Capítulos del CWDP asociados

11. Basic WLAN Security Design

12. Advanced Enterprise WLAN Security Design

13. Documentation and Finalizing the Design Solution.

14. Post-Installation Validation.

15. Design Troubleshooting.

Capítulos del CWNA* asociados

​

12. Power over Ethernet (PoE)

16. Wireless Attacks, Intrusion Monitoring, and Policy

17. 802.11 Network Security Architecture

​

* Corresponde a la versión CWNA-108 (2021)

Se cambió el orden respecto a versiones anteriores y además se agregó WPA3.

Seguridad en 802.11

​

Distintas alternativas definidas en la norma

Aspectos básicos de seguridad en 802.11

• Privacidad e integridad de los datos (TKIP, CCMP).
• Autenticación, autorización y registro (AAA*).
• Segmentación
• Uso de VLANs.
• Monitoreo
• Detección de intrusos y rogue APs.
• Políticas
• Establecer políticas a nivel institucional.

​

AAA* - Authentication, Authorization and Accounting.

Autenticación, autorización y registro (AAA)

• Autenticación
• Verificación de identidad y credenciales (usernames y passwords, certificados).
• Autorización
• Determinar si el dispositivo y/o el usuario tiene los permisos necesarios para acceder a un recurso.
• Registro
• De toda la actividad y el uso de los recursos por usuarios y dispositivos.

Métodos de autenticación - Legacy

​

• Redes abiertas - Open authentication (2-way)
• Opcional: WEP para encriptar (RC4).

​

• Shared Key Authentication - WEP (4-way)
• Misma clave WEP se usa para encriptar.
• WEP fue crackeado y es fácil romper hoy en día.

​

Otros mecanismos de “seguridad”

• Filtros de MAC según dirección de los dispositivos.
• Es posible “mentir” la MAC (spoofing).

​

• SSIDs ocultos
• Puede traer más problemas que soluciones.

WPA - WiFi Alliance y 802.11i

WiFi Protected Access (WPA)

• WPA Personal
• Pre-Shared Key (PSK).
• WPA Enterprise
• 802.1X/EAP (certificados).
• El estándar 802.11i define la seguridad robusta (RSN).
• Cambia la encripción de TKIP a CCMP (AES).
• A esta versión se le denomina WPA2.
• La nueva WPA3 incorpora encripción para redes abiertas (OWE) y cambia el PSK por SAE.

Evolución de la seguridad en 802.11

802.1x - 2004

802.1x - 2004

802.1x/EAP

Implementación en ambiente corporativo

Relación del roaming con la seguridad

• Dada la complejidad que agrega la seguridad, es necesario simplificar el mecanismo para el roaming.
• Charlas CWNP conference sobre roaming en 802.11:
• Relación del roaming con la seguridad.
• Otros aspectos que afectan el roaming.
• Las mejoras al tema del roaming simplifican el intercambio de mensajes de control de acceso.

Tipos de ataques en redes 802.11

​

Ejemplos

• Rogue APs → sistemas de monitoreo.
• Peer to peer → aislación de los clientes.
• Eavesdropping → típicamente en redes públicas.
• Encryption cracking → WEP en menos de 5min.
• MAC spoofing → hay diversas herramientas.
• Secuestro inalámbrico → fuerzo asociación a otra red.
• Ataques de autenticación, DoS, ingeniería social.
• Ataques a los sistemas de gestión (WLC, NMS).

​

Rogue APs en redes 802.11

Ataques peer to peer

Secuestro inalámbrico

Monitoreo y detección de rogues/intrusos

Novedades en seguridad de 802.11

En 2018 la WiFi Alliance anunció WPA3 (ver detalles):

​

• OWE (Opportunistic Wireless Encryption)
• Agrega encriptación a redes abiertas.
• SAE (Simultaneous Authentication of Equals)
• Reemplaza el uso de pre-shared key (PSK) y agrega robustez frente a ataques con diccionarios.
• Introduce encriptación con 256 bits.

​

Va a llevar tiempo que todos los dispositivos lo soporten, pero desde 2020 es obligatorio en las certificaciones.

Alimentación eléctrica

​

Normas del estándar para Power over Ethernet (PoE)

Power over Ethernet (PoE)

• Alimentación eléctrica para el funcionamiento de los APs.
• Se utilizan 2 o más pares del cable Ethernet.
• Suele estar incluido en los switches o WLCs.
• De lo contrario es necesario agregar fuentes específicas para los APs.

Power over Ethernet (PoE)

• Estandarización comenzó en 1999, antes soluciones propietarias:
• Incompatibles, distintos voltajes, podía provocar daños.
• IEEE 802.3af → 2003
• PoE para Ethernet 10Mbps, Fast 100 Mbps y 1000BaseT (Gig.).
• IEEE Std 802.3-2005, Clause 33
• Se incorpora 802.3af en la cláusula 33 del estándar 802.3.
• IEEE 802.3at-2009
• Conocido como PoE+ o PoE plus → más potencia (30 watts)
• IEEE Std 802.3-2012, Clause 33
• Ídem anterior, se agrega 802.3at en la cláusula 33.

Power over Ethernet (PoE)

Definiciones de la norma

PD - Powered Devices

• Dispositivos alimentados por PoE (Ej. Access Point).
• Deben soportar una tensión de hasta 57 V DC.

PSE - Power Sourcing Equipment

• Dispositivo que suministra energía a los PD.
• Tensión nominal 48 V DC (rango 44 a 57 VDC).

​

Tipos de PSE:

​

​

​

Endpoint

(Ej. switch con PoE)

Midspan

Fuente con inyector

​

​

​

​

​

2 - Clasificación (opcional)

PD puede enviar información de cantidad de energía que necesita.

1 - Detección

PD responde a PSE si es 802.3-2012 compatible.

PoE - 2 y 3

(data + power)

Par 2: +V

Par 3: GND

PoE - 1 y 4

(only power)

Par 1: +V

Par 4: GND

Clasificación de Devices alimentados

• The power-sourcing equipment (PSE) provides power to the PD.
• The power supplied is at a nominal 48 volts (44 volts to 57 volts).

​

Distintas alternativas de implementación

Distintas alternativas - Endpoint PSE

Distintas alternativas - Endpoint PSE

Distintas alternativas - Midspan PSE

Distintas alternativas - Midspan PSE

Nuevo estándar de PoE (2018) - 802.11bt

El avance de los estándares 802.11 también aumenta los requerimientos en la alimentación eléctrica de los APs (mayor potencia).

Documentación de la solución

​

Recomendaciones para documentar un proyecto

Documentación de un proyecto

• Es una parte fundamental del trabajo.
• Habitualmente se descuida y repercute en el resultado.
• Hay que tener en cuenta varios aspectos:
• Público objetivo.
• Contenido técnico.
• Almacenamiento y gestión de la documentación.

Documentación de un proyecto

Requerimientos mínimos

• Diseño de RF, ubicación de los APs, cobertura.
• Eventualmente asignación de canales y potencias.
• Representación lógica de la red.
• Diseño físico de las solución indicando:
• Cableados a los equipos.
• Ubicación y tipo de montaje de los APs.
• Otros detalles necesarios (ej. tipo de PoE).
• Incluir todas las fotos necesarias!!!

Documentación detallada de diseño de RF

• Mapa del sitio con la ubicación de los equipos.
• Descripción de cada puntos, zonas que cubre el AP.
• Marca y modelo de cada uno de los APs.
• Detalles de montaje e instalación.
• Selección de antenas y orientación (si aplica).
• Canales y niveles de potencia de cada AP (si aplica).
• Detalle de los cableados, indicando tipo, ductos y otros detalles necesarios.
• Indicar alimentación de los equipos (PoE).
• Especificar ubicación de equipos centrales.

Diseño lógico de la solución

Esquema físico de la solución

Descripción de alto nivel de la solución

• Indicar los requerimientos del sitio y su correspondencia en requerimientos técnicos.
• Servicios y aplicaciones considerados en el diseño.
• Dar una idea general de la arquitectura propuesta.
• Mencionar principales casos de uso, dispositivos y usuarios típicos de las solución.
• Resumen ejecutivo:
• Omitir los detalles técnicos y centrarse en el problema, las aplicaciones y mostrar las ventajas.

Resumen técnico del diseño

• Indicar los criterios de diseño utilizados para cada una de las decisiones tomadas:
• Ubicación de los APs y configuración.
• Direccionamiento y tamaño de las subredes.
• Definición de VLANs y segmentación.
• Redundancia de la solución.

Otros puntos relevantes

• Si el objetivo es un presupuesto o una propuesta comercial
• Detallar lista completa de materiales y costos (tanto de equipos como de instalación).
• También incluir temas como garantías, upgrade de SW, contratos de mantenimiento.
• Puede ser necesario definir un plan de mantenimiento de la solución.
• También se podría incluir capacitación a usuarios o técnicos de TI que van a administrar la red.

Validación de la solución

Relevamiento con herramientas profesionales:

• Cobertura, canales, potencias, CCI, pruebas.

Reportes del diseño/relevamiento