Que quadro de gerenciamento Wi-Fi é regularmente transmitido pelos APs para anunciar a sua presença

• Tempo aproximado de leitura: 00:21
• Nível avançado.
• Pré-requisitos: ter domínio sobre mecanismos e protocolos de redes Wi-Fi, redes de computadores, e conceitos básicos sobre segurança em redes de computadores.

"Um desejo não muda nada, uma decisão muda tudo!"

Introdução:

Projetar e executar uma rede wireless de grande porte difere bastante do método convencional usado em pequenas implementações, onde você instala dois ou três roteadores, altera as faixas de IP da rede local, ou quando muito coloca os APs em mesh e está tudo resolvido. Geralmente isso basta para atender uma residência de tamanho médio, mas, para ambientes largos ou com grande densidade de aparelhos que dependem da rede sem fio, não é suficiente, isso por que o processamento dos aparelhos geralmente pecam na hora de gerenciar tantos clientes, se for posto vários APs como roteador, pior ainda, este tipo de cascata pode causar várias panes na sua rede além de demasiado esforço para gerir todos os dispositivos ou para aplicar políticas de controle para grupos de usuários.

Fat APs e Thin APs:

Em redes sem fio, FAT (gordo) referencia-se a roteadores capazes de gerenciar "toda a rede" por si só, ou seja, eles dispõem de todos os protocolos básicos para entregar uma conexão básica a internet para os aparelhos finais, exemplo desse, o roteador da sua casa.

Já os Thin APs,são basicamente compostos por um rádio e uma antena (há exceções), ou seja, eles servem apenas como elo de ligação entre os clientes e o roteador principal ou de gerência, estes são usados para redes de grande porte, quando é necessário vários pontos para atender a cobertura Wi-Fi ou para prover acesso para grandes quantidades de clientes à rede sem fio, pois a gerência fica centralizada, podendo aplicar configurações finas, como controle de grupos de usuários, com permissões personalizadas, monitorar o desempenho da rede, fazer upgrades, tornar o escalonamento mais fácil, ou implementar políticas de segurança na rede.

Tipos de gerenciamento:

Há três métodos básicos para gerenciamento de grandes redes sem fio:

1. Baseado em controlador: é o mais comum entre os três, neste modelo, a rede é gerenciada por um dispositivo central que faz todo o monitoramento dos Thin APs, aplicação de configurações, controle de QoS, monitoramento, etc. Vale notar que este aparelho não é um roteador, ele é apenas controlador, sendo necessário um roteador para entrega de IP, DNS, filtro de NAT, etc.
2. Baseado em nuvem: neste modelo, a rede é gerenciada por um controlador similar ao primeiro método, porém neste modelo a gerência é feita por um software armazenado em nuvem, e geralmente na rede há um dispositivo físico que deixa o acesso disponível ao software baseado em nuvem.
3. Autônomo: sistemas autônomos são gerenciados célula a célula, ou seja, todo o processo de configuração é feito manualmente, esse método não é recomendado por dificultar o gerenciamento, monitoramento e escalabilidade da rede.

Topologias:

1. Controlador local: A topologia de rede com controlador local é bem simples, basta ligar todos os Thin APs e o controlador ao switch, ao acessa-lo ele apresentará uma tela com um assistente de configuração para as configurações iniciais, como nome e senha de usuário, SSID mais senha da rede Wi-Fi, conta cloud para gerência remota, e provisionamento dos Thin APs já conectados a rede, após isto, você já terá sua rede funcionando, a partir daí é possível fazer ajustes a seu modo, criar mais redes, separar por VLANs, definir políticas de grupos, fazer ajustes finos nos rádios, etc.
2. Controlador em nuvem: O que muda de um controlador local para um controlador em nuvem é apenas a disposição remota de configuração, neste modo de arquitetura quase sempre é necessário ter um hardware local que armazene e mantenha online o software controlador, que geralmente é baseado em arquitetura SDN, quando não, é endereçado no sistema local, o caminho de um controlador remoto, que possui a mesma função sem tirar nem pôr, o que muda é apenas a posição geográfica.
3. AP autônomo: Menos comum e também não recomendado, neste modelo, a configuração é feita a unha no próprio AP, isso só é possível quando ele tem um roteador agregado, daí as configurações de SSID, autenticação e parâmetros sem fio, são feitos diretamente no dispositivo, isso pode funcionar em uma rede bem pequena, mas é impraticável em redes de grande porte, ou redes que necessitam de alto desempenho ou de controles de acesso personalizados, não é recomendado implementar este tipo de solução em ambientes corporativos.

Funções do controlador:

1. Handoff ou Roaming: Observe que numa rede com vários roteadores, o dispositivo teria que fazer uma requisição de endereço ao DHCP cada vez que mudasse de um roteador para o outro, no caso de uma rede com gerência centralizada isso não é necessário, assim como também apenas um NAT é feito na saída da rede para a WAN, diminuindo a latência na LAN, é boa prática também dividir redes de grande porte em VLANs, afim de diminuir o domínio de broadcast.
2. Segurança: A segurança aplicada nesse tipo de rede obedece ao padrão definido pelo Wi-Fi Alliance, para fins de compatibilidade, o diferencial está em bloqueios aplicados por grupos de usuários, diferenciação por faixas de IPs para grupos específicos de usuários e bloqueio de acesso de clientes de uma determinada faixa de IP a outra faixa destinada a outro grupo.
3. Autenticação de dispositivos clientes: Há vários modos de autenticação disponíveis, podendo escolher entre senha de autenticação comum, chave privada com tempo limitado de acesso, ou até mesmo um Hotspot personalizado.
4. Gerenciar a Qualidade de Serviço (QoS): Neste modelo de rede, pode-se aplicar um filtro de QoS avançado, priorizando os serviços mais carentes de baixa latência e auto consumo de banda.
5. Descoberta e Provisionamento dos APs: Após a instalação e início do software controlador, é realizado uma descoberta de APs na rede, os APs que estiverem na rede, farão uma varredura procurando o protocolo de gerência, uma vez detectado, o AP envia uma requisição de descoberta (Discovery Request), e o controlador por usa vez responde com uma resposta de descoberta (Discovery Response). É feito pelo controlador uma verificação usando certificação digital, e após estabelecido uma conexão, ou provisionamento do Thin AP na rede.
6. Distribuição de firmware: Neste tipo de rede a atualização de firmware pode ser feito de forma automática pelo controlador, manual, em apenas um Thin AP ou em vários a depender da necessidade do administrador, a observar requisitos de compatibilidade, de qualquer modo, o recomendado é manter sempre o firmware de aparelhos de rede com a última versão fornecida, principalmente por questões de segurança.
7. Parâmetros de configurações dos APs: Um dos grandes diferenciais de uma rede com controlador, é a facilidade de configuração e personalização, todas as configurações feitas no controlador são imediatamente provisionadas nos Thin APs a que foram destinadas, isso por que é possível aplicar determinadas configurações apenas a um grupo de aparelhos, ou a todos eles.

Algumas Considerações:

Na maioria das soluções a rede irá continuar funcionando mesmo se o controlador ficar offline, porém com recursos reduzidos.

Sistemas baseados em controlador, também podem ser gerenciados remotamente, porém, o dispositivo controlador necessariamente tem que estar com o software online.

Sistemas que necessitam de alta disponibilidade podem usar um segundo controlador para redundância, para o caso de falha do controlador primário.

Topologias de rede do padrão 802.11 (Service Sets):

1. Independent Basic Service Set (IBSS): Também conhecido pelos termos ad-hoc ou peer-to-peer, trata-se basicamente de uma rede criada por um dispositivo usando apenas o número MAC para difundir o SSID, sem necessidade de um AP, pode ser uma conexão gerada entre dois celulares para compartilhamento de acesso a internet ou para transferência de arquivos por Wi-Fi Direct ou Bluetooth por exemplo, esse tipo de rede caracteriza-se por ser half-duplex, portando conectar vários aparelhos com esse tipo de topologia é um pouco inviável por causa da lentidão gerada.
2. Basic Service Set (BSS): Esta é a topologia mais comum e mais usada em redes sem fio, principalmente em redes domésticas, é formada apenas por um AP e pelas estações que farão associação e terão acesso a Internet, já que geralmente os APs estão agregados a um roteador, o AP difunde um nome de rede sem fio para que as estacões possam solicitar associação denominado SSID (Service Set Identifier).
3. Extended Service Set (ESS): Quando há mais de um BSS na rede é formado então um ESS, estes são conectados por um DS (Sistema de Distribuição), que faz a ligação dos Acess Points a rede cabeda. Exemplo básico disso seria uma rede com vários APs para aumentar a abrangência da rede sem fio.

Há ainda topologias não descritas no padrão 802.11 que são, Bridge; Workgroup Bridge; Repeater; Mesh.

Protocolos de gerenciamento LWAPPe CAPWAP:

Desde a criação e aprovação do padrão 802.11 pelo IEEE em 1997, tem-se enfrentado vários problemas em implantações de redes corporativas, onde há necessidade de agregação de muitos pontos de acesso,alguns desses problemas estão definidos na RFC-3990, podemos destacar, limitações de escalabilidade, já que cada AP é endereçável por IP requer gerenciamento, monitoramento e controle, todos terão que ser configurados manualmente, e isso pode gerar conflitos, além de atribuir um esforço adicional para gerência de toda a rede, além disso manter essa configuração atualizada conforme necessidades mutantes ao longo do tempo se torna trabalhoso e as vezes inviável, outro problema grave está no gerenciamento da WLAN devido ao meio compartilhado, que usa parâmetros de controle coordenado, portanto quanto mais pontos de acesso individuais, mais difícil controlar tudo isso sem gerar colisões na rede, e por último a segurança da rede fica comprometida já que geralmente os APs ficam em locais expostos e são fáceis de ser acessados pelas interfaces físicas, podendo qualquer invasor adicionar um equipamento a rede, monitorar um equipamento já em uso, ou furtar um equipamento com informações confidenciais, o que é dificultado numa rede com gerência centralizada.

Alguns fabricante começaram então, a desenvolver soluções proprietárias para resolver os problemas encontrados, porém ainda ficava a desejar o princípio da interoperabilidade na rede, já que eram usadas arquiteturas diversas nas implementações. Ainda hoje, muitas fabricantes usam seus próprios protocolos, mas prezando a interoperabilidade e o software Open Source, serão descritos os modelos públicos descritos nas RFCs. São eles o LWAPP e o CAPWAP, por onde também são baseadas a maioria das soluções comerciais proprietárias.

LWAPP (Protocolo de Ponto de Acesso Leve) IETF RFC-5412:

(AC - Access Controller) Controlador de acesso

(WLC - Wireless Lan Controller) Controlador de Lan Sem Fio

(WTP - Wireless Terminal Point) Ponto de Terminação Sem Fio

(ETAs) Interfaces de Rádio Frequência

(STA) Estação Cliente

O primeiro passo para resolução do problema foi a criação de um protocolo de gerência centralizada, o LWAPP, que possibilita aos Pontos de Terminação Sem Fio (WTPs) se comunicarem através da camada 2 (MAC) ou camada 3 (IP) com um controlador de acesso (AC). O controlador de acesso encaminha todos os quadros que deseja transmitir para um WTP pelo protocolo LWAPP, o contrário também é verdade, quando as estações encaminham pacotes, os WTPs encaminham para o controle de acesso pelo mesmo protocolo.

Para verificar requisitos de interoperabilidade entre dispositivos de rede sem fio de designs alternativos ver RFC - 4564

Apesar de ser propulsor deste modelo de rede, este protocolo encontra-se obsoleto, servindo apenas como base para um outro mais recente e difundido no mercado atual, o CAPWAP.

CAPWAP (Controle E Provisionamento de Pontos de Acesso sem Fio) IETF RFC-5415:

(AC - Access Controller) Controlador de acesso

(WLC - Wireless Lan Controller) Controlador de Lan sem fio

(WTP - Wireless Terminal Point) Ponto de terminação sem fio

(ETAs) Interfaces de Rádio Frequência

(STA) Estação Cliente

Apesar de ser baseado em LWAPP o CAPWAP é o sucessor na hierarquia e responsável pela obsolescência do seu antecessor. Criado pelo IETF e adequado ao 802.11 na RFC 5416, ele tem algumas melhorias como mudança da criptografia AES para adição do tráfego em túneis criptografados DTLS, adicionando mais segurança, o processo de descoberta foi aprimorado no CAPWAP, além disso também é possível fazer descoberta de MTU da rede (MTU Discovery) permitindo melhor comunicação entre o controlador e a rede, quando a unidade máxima de transmissão é excedida, a carga de dados ou mensagens de controle podem ser fragmentadas. Vale notar também que diferente do LWAPP que faz descoberta na rede em níveis 2 (MAC) e 3 (IP), o CAPWAP faz descoberta apenas em camada de nível 3 (IP), fazer descoberta pela camada de nível 2 (MAC) requer que todos os controladores e APs estejam na mesma sub-rede, o que quase sempre não é a melhor prática de design. A proposta do CAPWAP é que controladores de empresas diferentes sejam interoperáveis no futuro, Thin APs com suporte ao LWAPP ainda podem se unir a um controlador CAPWAP.

O CAPWAP, que tem por objetivo atuar como um protocolo independente da camada 2 (Layer2), provendo interoperabilidade e simplicidade em implantações de redes sem fio,ele permite que um Controlador de Acesso (AC) gerencie vários Pontos de Terminação sem Fio (WTPs). Para clareza do conteúdo, o AC seria um controlador, e os WTPs o pontos terminais ou Thin APs descritos previamente.

O CAPWAP suporta dois modos de operação, Split MAC e MAC Local:

No Split MAC, todos os dados e quadros de gerenciamento são encapsulados por meio do CAPWAPe trocados entre o AC e o WTP, desta forma a carga de trabalho, transmissão e controle é dividida entre o controlador e o AP, resultando em menor latência e melhor desempenho da rede, os frames recebidos de uma STA são encapsulados pela ETA e encaminhado ao CAna seguinte ordem:

frames sem fio > wireless PHY > CAPWAP > Subcamada MAC > STA > WTP > AC

todas as tarefas que precisam ser executadas instantaneamente são geridas pelo AP, como descoberta, buffer de pacote, fragmentação, enfileiramento, as tarefas menos urgentes são geridas pelo WLC como associação, desassociação, classificação, autenticação 802.1x / EAP.

No MAC Local, os quadros de gerenciamento são processados localmente pelo ETA usando tunelamento como quadros 802.3 (Ethernet) e depois encaminhados ao AC, que neste modo de operação, não necessariamente será um controlador, pode ser um roteador comum, que está estregando recursos de acessos aos WTPs, como DNS, DHCP, NAT, etc, como notado a seguir:

frames sem fio > 802.3 frames > wireless PHY > CAPWAP > Subcamada MAC > STA > WTP > AC

Este modo força o AP a fazer a função de controlador, ficando responsável pelas autenticações, associações, criptografia e demais pacotes de controle da rede, mais os dados, portanto é um modo mais limitado de rede, não recomendado em grandes implementações, já que causará acumulo de funções para os APs, aumentando o risco de gargalho no processamento do dispositivo.

Para funcionamento básico, usa-se um canal de controle, com um fluxo bidirecional definido pelo IP do AC e pelo IP do WPT, uma porta de controle do AC uma porta de controle do WTP e o protocolo da camada de transporte, UDP ou UDP-Lite, sobre o qual pacotes com dados CAPWAP são enviados e recebidos.

O CAPWAP carrega na camada de transporte mensagens de dados e mensagens de controle, por portas UDP diferentes, 5247 e 5246 respectivamente, ambos criptografados usando criptografia AES com o protocolo DTLS (Datagram Transport Layer Security), que é um protocolo IETF de rastreamento de padrões baseado em LTS, porém a criptografia de dados pode ser alterada dependendo dos recursos de hardware do controlador.

Máquina de estado do CAPWAP:

00 - sem estado

01 - iniciar

02 - descoberta

03 - configurar DTLS

04 - desmontar DTLS

05 - junte

06 - redescobrir

07 - ocioso

08 - configurar

09 - redefinir

10 - dados da imagem

11 - rodar

Etapas do provisionamento de um Access Point Thin:

1° - É dado boot no Thin AP.

2° - Após a inicialização do Thin AP, ele envia periodicamente solicitações de descobrimento (Discovery Request). O descobrimento pode ser feito usando DHCP Option 43 ou DNS Lookup.

3° - O controlador, já instalado, irá apresentar uma lista com os Thin APs disponíveis para provisionamento, que foi criada automaticamente pelos pacotes de controle de (Discovery Request) do Thin AP com uma resposta de descobrimento (Discovery Response) do controlador.

4° - É feito então uma verificação de segurança com certificado digital por meio do tunelamento DTLS.

5° - Após a aprovação da verificação de segurança é feito a associação do Thin AP, caso a verificação de segurança falhe, o AP é "resetado" e nenhuma informação da rede é provisionada.

6° - Com o Thin AP associado, é feito uma verificação da versão de firmware, e caso necessário, feito atualização e reiniciado o aparelho após.

7° - Após isto, é feito a configuração no controlador, que fará todo o resto da administração da rede, em modo Split MAC ou MAC Local, a depender da topologia implementada.

8° - O Thin AP começa então, a operar na rede.

Sugestões de melhoria e/ou correção podem ser deixadas como comentários.

Referências:

https://tools.ietf.org/html/rfc5412

https://tools.ietf.org/html/rfc5415

https://tools.ietf.org/html/rfc3990

https://tools.ietf.org/html/rfc4118

https://www.cisco.com/c/pt_br/support/docs/wireless-mobility/wireless-lan-wlan/99947-lwapp-traffic-study.pdf

https://www.wlan.com.br/topologias-802-11/

https://www.cisco.com/c/pt_br/support/docs/wireless-mobility/wireless-lan-wlan/99947-lwapp-traffic-study.html

https://www.cisco.com/c/pt_br/support/docs/wireless/aironet-1200-series/70278-lap-faq.html

https://medium.com/ubntbr/tagged/tutorial

Que quadro de Gerenciamento de Wi

Qual parâmetro é comumente usado para identificar um nome de rede sem fio quando um ponto de acesso sem fio está sendo configurado?

Quais são os dois métodos normalmente usados em um dispositivo móvel para fornecer conectividade com a internet?

Que tipo de rota e criado quando um administrador de rede configura manualmente uma rota que tem uma interface de saída ativa?