Politechnika Warszawska

Transkrypt

1 Politechnika Warszawska Wydział Elektryczny Laboratorium Teletechniki Skrypt do ćwiczenia T28. Budowa Sieci w modelu Infrastructure

2 1. Budowa Sieci w modelu Infrastructure Celem poniższego ćwiczenia jest poznanie podstawowych zasad tworzenia sieci w modelu Infrastructure. Sieć taka zbudowana jest z bezprzewodowych kart sieciowych pracujących w technologii b i punktu dostępowego. W ćwiczeniu studenci zapoznają się z możliwościami budowy różnych topologii sieci WiFi. Sieci pracujące w modelu Infrastructure stanowią doskonałą większość budowanych obecnie sieci bezprzewodowych. Coraz więcej powstaje ich w szkołach, blokach, osiedlach. Cały ten rozwój możliwy jest dzięki coraz bardziej przyjaznej technologii oraz przystępnej cenie oferowanych produktów. W ćwiczeniu zostaną przedstawione praktyczne przykłady wdrożenia sieci bezprzewodowej zbudowanej zarówno ze stacji przewodowych (na których zostały zainstalowane usługi takie jak serwery www czy ftp) oraz stacji bezprzewodowych oferujących usługi zdalnej konfiguracji (telnet). Wszystkie te stacje będą łączone poprzez punkt dostępu firmy D-Link (model DL-713P) oraz karty bezprzewodowe firmy Linksys. 1.1 Opis stanowiska i urządzeń wykorzystanych w trakcie ćwiczenia Przedstawione na rysunku 1 stanowisko laboratoryjne składa się z komputerów klasy PC z zainstalowanym systemem operacyjnym Windows 2000 Professional. AP-Dlink713 SYSTEM-2 AP-Dlink711 SYSTEM-1 Rys.1. Schemat stanowiska Na stacji zostały zainstalowane zewnętrzne karty Wi-Fi firmy Linksys WUSB 11 ver Dodatkowo, na komputerach PC został zainstalowany program Q-check 2.1 służący do oceny badanej sieci. Stacja SYSTEM-3 została wyposażona w dwa interfejsy sieciowe, pierwszy z nich to standardowa karta sieciowa firmy Realtek, druga to karta bezprzewodowa D-Link, pracująca jako sniffer bezprzewodowy Na rysunku 2 został przedstawiony schemat logiczny badanej sieci. Qcheck System-2 Server FTP, WWW, Telnet System-3 WUSB11 ver.2.5 Kabel Kross Over AP D-Link 713P Interface WAN WUSB11 ver.2.5 System-1 Server FTP, WWW, Telnet Qcheck Rys.2. Schemat logiczny badanej sieci bezprzewodowej

3 Dane ćwiczenie będzie składało się z dwóch części. W pierwszej części należy zestawić połączenie urządzeń wykorzystując punkt dostepowy D-Link 713 i dokonać pomiarów przepustowości sieci wykorzystując program Q-check. Natomiast w drugiej części należy zbadać możliwości zabezpieczania sieci oferowane przez Access Pointa. Punkty dostępowe, podobnie jak bezprzewodowe karty sieciowe czy też anteny, nierozerwalnie kojarzą się z funkcjonowaniem sieci Wi-Fi. Pełnią one bardzo podobną rolę jak huby w sieciach przewodowych, a do ich podstawowych zadań należy dystrybucja sygnału radiowego na określonym terenie. Dodatkowo za pomocą wbudowanego w nie oprogramowania istnieje możliwość konfiguracji parametrów dotyczących zarówno interfejsu przewodowego jak i bezprzewodowego, a poprzez to wpływania na poszczególne parametry pracy sieci WLAN. W ćwiczeniu zostaną użyte dwa punkty dostępowe pełniące rolę wireless gateway. Dane techniczne punktu dostępowego DI-713P: Zgodność ze standardem IEEE b oraz Wi-Fi Obsługa WEP 64 oraz 128 bit Obsługa standardów: IEEE BASE-T Ethernet, IEEE 802.3u 100BASE-T FastEthernet, ANSI/IEEE Nway auto-negotiation Obsługa protokołów: TCP/UDP, IP, NAT, PPPoE (Point to Point over Ethernet), DHCP (Dynamic Host Configuration Protocol) Zarządzanie poprzez interfejs WWW Interfejsy: LAN - 3 porty FastEthernet 10/100BASE-T, WAN - port 10BASE-T, RS 232 Serial (DB9), Port równoległy LPT Obsługiwane pasmo radiowe 2,4 2,4835 GHz Nominalne prędkości pracy części radiowej 11/5/2/1 Mbps, wbudowany mechanizm auto-negocjacji DI-713P to bezprzewodowy, szerokopasmowy router, który pozwala na współdzielenie dostępu do Internetu użytkownikom korzystającym z przewodowej (FastEthernet) oraz bezprzewodowej (802.11b) technologii przesyłu danych. Urządzenie to posiada również wbudowany mechanizm typu firewall, pozwalający kontrolować ruch do/z Internetu. Dla użytkowników sieci wewnętrznej dostępny jest wbudowany serwer DHCP, który umożliwia dynamiczne pobieranie adresów IP przez stacje. Zarządzanie regułami pracy routera odbywa się poprzez prosty interfejs WWW. W celu weryfikacji poprawności pracy urządzenia zastosowano w nim diody sygnalizujące aktualny stan pracy. Ja pokazano na rysunku 3, znajdują się one na przednim panelu.

4 1 2 3 D-Link Power M1 M2 WAN WLAN Link 10/100 Local Network Rys.3. Przedni panel DI-713P W tablicy 1 zestawiono możliwe kombinacje świecenia poszczególnych diod. Tablica 1. Możliwe kombinacje świecenia poszczególnych diod w AP D-Link713 LED Funkcja Kolor Stan Opis POWER M1 M2 WAN Link/ACT / informacja o zasilaniu informacja systemowa 1 informacja systemowa 2 informacja o pracy interfejsu WAN Informacja o połączeniu stacji z DI-713P Wynegocjowana szybkość transmisji na porcie LAN zielony Świeci Miga Poprawne zasilanie Niewłaściwe zasilania pomarańczowy Miga Urządzenie pracuje poprawnie pomarańczowy zielony zielony Świeci Miga Świeci Miga Świeci Miga Praca w innych konfiguracjach Urządzanie jest w trakcie konfiguracji lub instalacji nowego firmware. Nie wyłączaj ze źródła zasilania Interfejs podłączony Interfejs wysyła/odbiera dane Poprawne połączenie stacji z lokalnym portem LAN Praca w trybie nadawanie/odbiór zielony Świeci Port ustawiony w trybie FastEthernet 100 Mbps Wszystkie dostępne interfejsy znajdują się na tylnym panelu, który został przedstawiony na rys.4. Dostępne są następujące rodzaje złącz: RJ 45 3 porty dla sieci LAN oraz 1 port dla sieci WAN Gniazdo DB 25 służące do podłączenia drukarki Gniazdo DB 9 (standard RS 232) służące do podłączenia modemu back-up Gniazdo zasilania (+12V)

5 Dwa wyjścia antenowe Przycisk Reset służący do restartu urządzenia RESET COM PRINTER WAN DC Rys.4. Tylni panel DI-713P Podstawowe funkcje jakie zapewniają omawiane urządzenia to: obsługa technologii DSL (Digital Subscribe Line) zapewnienie bezpiecznego podłączenia klientów zarówno przewodowych jak i bezprzewodowych do Internetu (funkcja NAT) zapewnienie bezpiecznej transmisji w obrębie sieci dla klientów typu WLAN (zastosowany protokół szyfrowania WEP) możliwość zestawiania połączeń typu VPN (Virutal Private Network) Instalacja i konfiguracja D-Link 713P Zarządzanie i konfiguracja access pointa możliwa jest poprzez interfejs WWW a także (w ograniczonym zakresie) poprzez konsolę (interfejs RS 232 umieszczony w tylnej części urządzenia). Możliwe warianty podłączenia AP z klientami zostały przedstawione na rys.5. Podstawowym sposobem komunikacji jest technologia Ethernet dostępna poprzez trzy dedykowane porty 10/100Mbits umieszczone na tylnim panelu. Oprócz tego do AP można podłączyć się także za pomocą sieci bezprzewodowej; parametry tej sieci zostały podane poniżej. Od strony sieci WAN dostępne są dwa porty dostępowe. Pierwszy z nich to port Ethernet, pracujący tylko z prędkością 10Mbit/s, do którego można podłączyć modem DSL lub inne urządzenie sieciowego pracujące również w technologii Ethernet. Drugim portem dostępowym jest złącze DB9 służące do podłączenia modemu analogowego. Może ono posłużyć jako połączenie zapasowe w przypadku utraty łącza podstawowego.

6 WAN System /24.1 D-Link 713 P Access Point System LAN Rys.5. Możliwości podłączenia do D-Link 713P O bieżącym stanie pracy AP informują dwie diody LED umieszczone na przednim panelu, są to odpowiednio M1 oraz M2. Przy każdym uruchomieniu router przechodzi test diagnostyczny (tabl.1). Informuje o tym błyskanie M1 oraz M2. Poprawny stan pracy sygnalizowany jest poprzez błyskanie diodą M1 z częstotliwością ok. 1 Hz (jeden błysk na sekundę). W przypadku dostępu do AP za pomocą stacji bezprzewodowej, należy wcześniej przestawić tryb działania karty na Infrastructure oraz wpisać SSID (default). Aby poprawnie skonfigurować ustawienia AP należy wcześniej sprawdzić (ew. przypisać) adresy sieciowe do interfejsów przewodowych jak i bezprzewodowych na stacjach roboczych. Aby to zweryfikować należy na stacji wybrać z menu Start opcję Uruchom wpisać cmd i potwierdzić klawiszem Enter. Uruchomi się okno trybu dosowego, gdzie następnie należy wydać polecenie: ipconfig/all. Ustawienia sieciowe dla stacji będą wyglądały następująco: Dla stacji System-1: Adres IP: Maska sieci: Gateway: Pole DNS należy pozostawić puste. Dla stacji System-2: Adres IP: Maska sieci: Gateway:

7 Pole DNS należy pozostawić puste. W celu sprawdzenie połączenia sieciowego pomiędzy stacją i AP, należy skorzystać z polecenia ping i adres (_ip_ap), czyli przy ustawieniach standardowych wydać polecenie ping W odpowiedzi program powinien zwrócić następujący komunikat: Odpowiedź z : bajtów=32 czas=5ms TTL=64 Odpowiedź z : bajtów=32 czas=5ms TTL=64 Odpowiedź z : bajtów=32 czas=5ms TTL=64 Odpowiedź z : bajtów=32 czas=5ms TTL=64 W przypadku, gdy zamiast podanego wyżej komunikatu pojawi się: Upłynął limit czasu żądania Upłynął limit czasu żądania Upłynął limit czasu żądania Upłynął limit czasu żądania Należy sprawdzić połączenia pomiędzy AP i stacją (w przypadku połączenia przewodowego), a także zweryfikować ustawienia parametrów sieciowych na stacji bezprzewodowej (SSID, WEP). Możliwe błędy to: użyto kabla cross-over lub kabel łączący AP i stację jest uszkodzony, wpięto kabel do portu WAN, urządzenie zawiesiło się, niezgodność parametrów dla połączenia Wi-Fi (niezgodny SSID, włączony protokół WEP, włączone zabezpieczenia dla protokołu TCP/IP na AP) Konfiguracja AP D-Link 713 udostępnia swój interfejs zarządzania za pomocą interfejsu www. Podstawowym wymaganiem stawianym przeglądarce internetowej jest zgodność z interfejsem Java, tak więc wspierane są takie przeglądarki jak Internet Explorer (zalecana wersja 5.X lub wyższa) czy Netscape Navigator. Aby zalogować się do AP, należy w pasku adresowym przeglądarki wpisać następujący adres: Po chwili powinna pojawić się strona główna, pokazana na rys.6.

8 Rys.6. Strona logowania DI-713 Domyślnym hasłem dostępu jest admin. Po wpisaniu hasła zalogować się za pomocą przycisku Login. Jeśli nie popełniono błędu, powinna pojawić się przedstawiona na rys. 7 strona informująca o aktualnym stanie pracy AP. Znaczenie poszczególnych pól przedstawia tablica 2. Tablica 2 Wartości pól w menu informacyjnym IP Address Adres IP interfejsu WAN Subnet Mask Maska sieci dla interfejsu WAN Gateway Adres bramy domyślnej Domain Name Server Serwer rozwiązywania nazw Modem Not ready Stan modemu (port RS 232) Printer Not ready Stan drukarki (port LPT) Firmware version 2.60 build 2 Wersja oprogramowania wgrana do AP MAC Address D-EC-90-A1 Adres sprzętowy dla interfejsu Wi-Fi Aby odświeżyć zawartość strony należy użyć przycisku Refresh, umieszczonego w dolnym lewym rogu strony.

9 Rys.7. Strona informacyjna urządzenia Kolejnym menu konfiguracyjnym jest Tools, pokazany na rys.8. Rys.8. Strona konfiguracji tools Menu to pozwala na wykonanie następujących czynności: zmiana hasła dostępowego (pole Change Password)

10 przejrzenie zapisów z pracy urządzenia (restarty, próby logowania, etc.) przywrócenie ustawień fabrycznych (przycisk Reset to defaut) restartowanie urządzenia (przycisk Reboot) zapisanie bieżącej konfiguracji urządzenia (przycisk Backup settings) wgranie nowszej wersji firmware (przycisk Firmware Upgrade, a także ewentualne wgranie konfiguracji urządzenia) Aby przejść do kolejnego okna konfiguracyjnego należy kliknąć na zakładkę setup. W menu setup istnieje możliwość zmiany konfiguracji adresów sieciowych zarówno od strony LAN jak i WAN. Zawartość menu została pokazana na rys.9. Rys.9. Menu Setup Jak wynika z rys.9, menu Setup pozwala modyfikować zakresy adresów przypisanych do interfejsów sieciowych AP. Aby zmienić adres sieci od strony LAN, należy zmodyfikować pole LAN IP Address. Uwaga. Jeśli użytkownik zmienił adres sieci dla LAN musi także ustalić adresy IP z tej samej sieci, którą obsługuje AP. Jeśli zaś użytkownik chce zmienić konfigurację interfejsu WAN to powinien wybrać przycisk Change. Możliwe są następujące tryby konfiguracji: Static użytkownik sam konfiguruje odpowiednie opcje na interfejsie

11 Dynamic to ustawienie mówi, że adres zostanie przypisany automatycznie; adres przyznany np.: od ISP (Internet Service Provider) PPP over Ethernet niektórzy dostawcy Internetu wymagają takiego trybu połączenia. Aby ten rodzaj protokołu mógł zadziałać należy wypełnić pole Username oraz Password. Dial-up Networking tego ustawienia używa się w przypadku korzystania z modemu jako łącza podstawowego. Aby naniesione zmiany zostały zastosowane, należy kliknąć na klawisz Safe, a następnie Reboot. Kolejnym oknem konfiguracyjnym jest menu DHCP, przedstawione na rys. 10. Pozwala na opcjonalne załączenie usługi dynamicznego przydziału adresów sieciowych w obrębie sieci (zarówno przewodowej jak i bezprzewodowej). Pokazane opcje umożliwiają następujące możliwości konfiguracji: DHCP Server - pole to określa czy usługa serwera DHCP ma być dostępna dla sieci LAN. IP Pool Starting Address określa początkowy adres, od którego AP będzie przyznawał adresy sieciowe, w przypadku ustawień fabrycznych początkowym adresem będzie IP Pool Ending Address określa końcowy adres puli, z której będą przyznawane adresy z DHCP. Ostatnim adresem będzie IP: Domain name określenie nazwy domeny lokalnej w sieci LAN. Przykładowo może być to nazwa: sieć osiedlowa. Fixed Mapping pozwala na statyczne przypisanie adresu MAC klienta z adresem IP, który ma być z nim powiązany. Jeśli np. użytkownik posiada kartę sieciową bezprzewodową o adresie MAC: 00:0A:A2:33:44:55 i chce aby AP zawsze przyznawał mu adres IP z puli DHCP to powinien skorzystać właśnie z opcji Fixed Mapping.

12 Rys.10. Menu DHCP Menu to pozwala na ustalenie parametrów sieci bezprzewodowej. Są to ustawienia krytyczne dla prawidłowego działania sieci bezprzewodowej pomiędzy AP i stacją. Rysunek 11 przedstawia menu umożliwiające skonfigurowanie następujących parametrów: Network ID (SSID) logiczna nazwa sieci, którą AP będzie rozgłaszał. Aby stacja mogła poprawnie skojarzyć się z AP, musi mieć skonfigurowany identyczny SSID. Channel numer kanału, na którym AP będzie prowadził transmisję. Security Wybór opcji szyfrowania za pomocą protokołu WEP. Możliwe jest użycie dwóch wartości szyfrowania dla protokołu WEP tj. 64 oraz 128 bitów. WEP Key definicja klucza dla danej siły szyfrowania. Dla 64-bitowego WEP-a, klucz musi mieć długość 10 znaków Hex (wartości 0-9, A-F), przykładowym kluczem może być: ABCDF13579; dla WEP-a 128 bitów, klucz musi mieć długość 26 znaków Hex.

13 Rys.11. Menu Wireless W kolejnej zakładce Advanced istnieje możliwość skonfigurowania następujących opcji sieciowych: Menu Virtual Server umożliwia ustanawianie reguł dla tworzenia tzw. wirtualnych serwerów. Menu Virtual Server został przedstawiony na rys.12. Menu Special Applications tworzenie reguł bezpieczeństwa dla specjalnych aplikacji takich jak Video-konferencje, gry internetowe, etc. Menu Packet Filter umożliwia utworzenie polityki bezpieczeństwa opierającej się na adresach MAC, dla stacji przewodowych oraz dla urządzeń bezprzewodowych. Menu Routing pozwala na dodanie statycznych tras routingu (np. dla sieci lokalnych, czy też sieci zdalnych) Menu SNMP umożliwia skonfigurowanie opcji związanych z zarządzaniem i dostępnością urządzenia w sieci. Pozwala określić tzw. community name ciągi tekstowe pozwalające identyfikować urządzenie w sieci. Menu Misc Item określa, czy zarządzanie AP poprzez www ma być dostępne tylko z sieci lokalnej czy też z sieci Internet. Pozwala także określić tzw. strefę DMZ (Demilitarized Zone) w postaci jednego komputera. Komunikacja pomiędzy hostem wskazanym jako DMZ a Internetem odbywa się bez ingerencji modułu ochrony sieciowej, tak wiec jako taka nie jest bezpieczna i nie jest zalecana dla tego rozwiązania.

14 Rys.12. Menu Virtual Server Zasada działania mechanizmu Virutal Serwer została przedstawiona na rys.13. Prywatny zakres adresów Zakres adresów przyznany przez ISP Sieć LAN /24 Sieć / Moduł FireWall-a wbudowany w Access Pointa Internet Serwer WWW Stacja kliencka Rys. 13 Zasada działania mechanizmu Virtual Serwer Zasada działania mechanizmu Virtual Server opiera się na tym, że użytkownicy w sieci LAN uruchamiają komputer, na którym zainstalowana jest np.: usługa serwera www. Poprzez skonfigurowanie Virutal Server, użytkownicy z Internetu mogą również przeglądać jego zawartość, równocześnie użytkownicy z sieci LAN mogą łączyć się z siecią Internet. Aby skonfigurować powyższy mechanizm na D-Link 713, należy przejść do zakładki Advanced, a następnie wybrać Virtual Server. Wirtualny serwer konfigurowany jest poprzez wpisanie w polu Service Port numeru portu, na którym działa dana usługa. W polu Server IP należy podać adres IP z sieci LAN, w której działa dany serwer. Tablica 83 przedstawia konfigurację dla przypadku przedstawionego na rys. 13. Tablica 3. Przykład konfiguracji wirtualnego serwera

15 ID Service Port Adres IP Enable Użytkownicy z Internetu jako adres serwera www wpisują adres zewnętrzny AP, tj (adresy z sieci prywatnych nie są poddane procesowi routingu w Internecie i jako takie są odrzucane przez najbliższy router dostępowy). Podobnie jak w powyższym przykładzie, można uruchomić inne usługi w sieci LAN np.: serwer FTP (port 21 TCP), serwer DNS (port 53 TCP) oraz inne usługi pracujące z protokołem TCP/IP. Menu MAC Address Control Menu to pozwala na zarządzanie połączeniami, poprzez definiowanie odpowiedniej polityki bezpieczeństwa. Reguły, które definiuje administrator, udzielają bądź odmawiają dostępu dla ruchu wychodzącego z sieci LAN i kierowanego do Internetu. Ustawienia dotyczą zarówno klientów podłączonych do AP poprzez porty Ethernet jak i poprzez połączenie bezprzewodowe. Menu MAC Address Control zostało zilustrowane na rys.8.14, natomiast w tabl.4 przedstawiono znaczenie pól w tym menu. Rys Menu MAC Address Control

16 Tablica 4. Znaczenie pól w menu MAC Address Control MAC Address Enable Control Connection Control Association Control Wireless and wired clients with C checked can connect to this device and ALLOW/DENY unspecified MAC addresses to connect. Wireless clients with A checked can associate to the wireless LAN, and DENY/ALLOW unspecified MAC address to associate. Znaczenie Stacje bezprzewodowe oraz przewodowe z pola C mogą zostać podłączone do urządzenia a stacje, których adresy MAC nie zostały wyspecyfikowane na liście MOGĄ/NIE MOGĄ podłączyć się do urządzenia Stacje bezprzewodowe z pola A mogą zostać podłączone do sieci, a stacje, bezprzewodowe, których adresy MAC nie zostały wyspecyfikowane na liście MOGĄ/NIE MOGĄ podłączyć się do sieci. Odblokowanie pola Connection Control pozwala na kontrolę nad stacjami przewodowymi oraz bezprzewodowymi zarówno do AP jak i połączeń do Internetu. Jeśli stacja nie otrzymała zezwolenia, za pomocą tej funkcji może jedynie łączyć się z komputerami z sieci przewodowej, natomiast nie może łączyć się z Internetem, korzystać z wewnętrznego serwera wydruku, komunikować się ze stacjami z sieci bezprzewodowej, ani zarządzać konfiguracją AP poprzez przeglądarkę internetową. Reguła Association Control pozwala zarządzać połączeniami dla stacji bezprzewodowych, innymi słowy zezwala lub zabrania podłączania się stacji bezprzewodowej do access pointa. Jeśli stacja nie znajdzie się na liście zezwalającej na dołączenie, nie będzie mogła wysyłać ani odbierać ramek do AP, a tym samym nie będzie mogła komunikować się z żadną stacją w sieci LAN. Aby uruchomić reguły filtrowania ruchu wychodzącego, dla stacji podłączonych po stronie sieci LAN należy zaznaczyć pole Enable dla Mac Address Control, następnie, w zależności czy inspekcji ma podlegać ruch ze stacji przewodowych i bezprzewodowych (pole C) czy też tylko dla stacji bezprzewodowych (pole A), należy zaznaczyć odpowiednie pola. Następnie należy ułożyć reguły dopuszczające bądź blokujące danych ruch. W poniższym przykładzie zostały użyte dwie stacje bezprzewodowe oraz jedna stacja przewodowa. Zestawienie stacji zostało przedstawione w tabl.5. Ich adresy MAC/IP zostały przedstawione poniżej: Stacja 1 MAC: 00:12:34:56:78:90 Adres IP: Stacja 2 MAC: 00:12:34:56:78:92 Adres IP: X Stacja 3 MAC: 00:98:76:54:32:10 Adres IP: Stacja 2 może otrzymać adres IP z puli DHCP lub adres taki może zostać przypisany statycznie. Reguła Connection Control jest włączona, a wszystkie stacje nieumieszczone na liście mogą podłączyć się do AP.

17 Reguła Association Control jest włączona, a wszystkie stacje nie wyspecyfikowane na liście nie mogą podłączyć się do AP Tablica 5. Przykład konfiguracji blokady wykorzystującej adres MAC ID MAC Address IP Address C A 1 00:12:34:56:78: :12:34:56:78: X 3 00:98:76:54:32: Dzięki polityce zabezpieczeń skonfigurowanej w ten sposób, poszczególne stacje mają następujące uprawnienia w sieci: Stacje 2 i 3 a także inne stacje nie wyspecyfikowane na liście mogą połączyć się do AP. Stacja 1 nie może jednak połączyć się z AP. Stacje 1 i 2 mogą skojarzyć się z AP, ale inne stacje bezprzewodowe, których adresy MAC nie zostały wyspecyfikowane, nie mogą zostać skojarzone z AP. Funkcja Association Control nie wpływa na stacje przewodowe. Ta część konfiguracyjna umożliwia kształtowanie ruchu na poziomie adresów IP oraz portów TCP/UDP, które w zależności od konfiguracji będą przepuszczane lub blokowane przez mechanizm ściany ogniowej zawartej w AP. Menu Packet Filter dzieli się na dwa podmenu: Outbound Packet Filter (rys.15) oraz Inbound Packet Filter. Pierwszy z nich ma zastosowanie dla ruchu wychodzącego z sieci do Internetu, drugi zaś dla ruchu przychodzącego z Internetu do sieci. Reguły te mają zastosowanie w przypadku gdy wykorzystywany jest mechanizm Virtual Server czy DMZ Host. Rys.15. Menu Outbound Packet Filter

18 Domyślną polityką zastosowaną przez producenta jest przepuszczanie całego ruchu, i dopiero interwencja administratora sieci może zmienić ten układ. Aby uruchomić filtrowanie pakietów, należy zaznaczyć pole Enable, a następnie wybrać zestaw reguł, którym będzie poddawany ruch sieciowy. Możliwe są dwie opcje. Pierwsza to Allow all to pass except those match the following rules, co oznacza, iż ruch sieciowy stacji wymienionych w polu Source IP, nie zostaje przepuszczony, natomiast reszta stacji nie występująca na liście będzie mogła swobodnie komunikować się z innymi sieciami (np. korzystać z zasobów Internetu). Druga opcja to Deny all to pass except those match the following rules, co oznacza że tylko stacje wymienione na liście będą mogły komunikować się z Internetem, zaś cała reszta ruchu będzie zablokowana. Ten rodzaj polityki jest bardziej restrykcyjny i umożliwia dokładniejszą kontrolę ruchu w sieci z Internetem (np. możliwość przepuszczania tylko pewnych portów TCP/UDP) W poniższym przykładzie, zilustrowanym na rys.16, zastosowano reguły określone w tabl.6. Tablica 6. Konfiguracja Packet Filter ID Source IP Ports Destination IP Ports Enable ,25,53,80 Jako domyślną regułę filtrowania zastosowano opcję: Deny all to pass except those match the following rulet, co oznacza, że tylko stacje wymienione w wierszach od 1 3 będą mogły łączyć się z Internetem. Reszta ruchu będzie zablokowana do czasu, dopóki osoba zarządzająca AP nie doda stosownych wpisów w regułach. Rys.16. Okno konfiguracyjne Packet Filter

19 W wyniku tak zaprojektowanej polityki zabezpieczeń, hosty w sieci LAN (przewodowe i bezprzewodowe) będą miały następujące możliwości korzystania z zasobów sieciowych: Stacja o adresie IP , będzie mogła łączyć się z dowolnego portu źródłowego do innego dowolnego hosta (puste miejsce w polu oznacza zapis dowolny ) umieszczonego w Internecie, ale tylko na docelowy port 23 (telnet). Stacja o adresie IP będzie mogła łączyć się z dowolnego portu źródłowego do innego dowolnego hosta umieszczonego w Internecie, ale tylko na docelową grupę portów tj.: Grupa stacji, których adresy źródłowe będą zawarte w zakresie będzie mogła łączyć się z dowolnego portu źródłowego do innego dowolnego hosta umieszczonego w Internecie, ale tylko na docelowe porty tj: 21 (FTP), 25 (SMTP), 53 (DNS) i 80 (WWW). Przywrócenie ustawień fabrycznych w D-Link 713 P Procedura przywrócenia nastawień fabrycznych jest następująca: Odłączyć zasilanie od access pointa, Za pomocą cienkiego śrubokręta wcisnąć przycisk reset znajdujący się na tylnim panelu AP, Włączyć zasilanie, cały czas trzymając przycisk reset, w takim stanie odczekać około 3 minut, Wyłączyć zasilanie, zwolnić przycisk reset, Włączyć zasilanie, ustawienia fabryczne zostały załadowane. Ustawienia fabryczne są następujące: SSID default, Adres IP od strony sieci LAN , DHCP włączone (zakres adresów ), Filtrowanie MAC/IP oraz IP/TCP wyłączone, Interfejs WAN ustawiony w tryb automatycznego przypisania adresu, Hasło dostępu administracyjnego: amin, Szyfrowanie wyłączone, Kanał 6. Procedura zgrania konfiguracji:

20 Aby zgrać bieżącą konfigurację urządzenia do pliku, należy: Uzyskać dostęp do konsoli zarządzania www (opisany powyżej), Przejść do zakładki Tools, Wybrać przycisk Backup Settings, Pojawi się okno informujące o zapisaniu pliku config.bin na komputerze, należy potwierdzić za pomocą przycisku OK. lub zmienić nazwę pliku konfiguracyjnego, Sprawdzić czy plik znajduje się w docelowym miejscu (np. C:\winnt\pulpit\config.bin). W celu odtworzenia konfiguracji z pliku, należy: Uzyskać dostęp do konsoli zarządzania www (opisany powyżej), Przejść do zakładki Tools, Wybrać przycisk Firmware Upgrade, Wskazać plik z zapisaną konfiguracją (np. C:\winnt\pulpit\config.bin), Dokonać restartu urządzenia (przycisk Reboot).