私の前回の記事で私は、エンタープライズ環境でWPAを展開することで、問題を議論した。 我々はワイヤレスネットワークを保護する理由のは、ビットとリストをバックアップしてみましょう：
- 制御されていないアクセスを許可すると、妥協する可能性があります
- 認証は、に接続する人物を確認するために必要です。
- データは暗号化がデータプライバシーのために必要とされるので、盗聴することができます
かなりまっすぐ進む推論が、現在停止して、彼らはインターネットからの接続時に我々は、リモートユーザーを保護する理由を考えてみます。
- 制御されていないアクセスを許可すると、妥協する可能性があります
- 認証は、に接続する人物を確認するために必要です。
- データは暗号化がデータプライバシーのために必要とされるので、盗聴することができます
理由は同じです注意してください。 私は、根本原因分析に大きな影響だ、と私たちの多くは、WPAとフープもジャンプの理由は、我々は丸い穴に四角いくいに合うようにしようとしているということです。 言い換えれば、無線信号が別々の管理されていないエンティティーであることを認識するのではなく、我々は、それが私たちのオフィスの壁の背後で保護さ有線セグメントと同じレベルで信頼できるように、簡単な修正で平手打ちすることが非常に困難してみてください。 本当に、我々は無線を確保するために与えられた最初のプロトコルが呼び出されたことを驚き与えられていないはWired Equivalent Privacy （WEP）プロトコル。 名前は、直接その無線、有線のスイッチポートと同様に安全にすることができる意味は言うまでもない。 歴史が示すように、それ以外の場合はしかし、表示し続けています。
図＃1でのネットワーク図面を考慮してください。 私たちはより良い無線と根本原因の問題に対処するためにネットワークを再構成していることに注意してください。 無線はもはや有線のスイッチポートとして信頼できるとみなされていません。 そのは、最も近い一致するセキュリティゾーン、インターネットと同様の方法で扱われます。 我々は、単に別のファイアウォールのポートの我々のアクセスポイントをオフにハングアップすると同様のセキュリティポスチャを適用します。
そう誰かがアクセスポイントに接続したときに、何が起こりますか？ なしで接続がセキュリティを有効にしてクリアテキストで行われます。 単に適切に接続するSSIDと行く。 ローカルのDHCPサーバは、システムにIPアドレスを渡します。 この時点で我々のセットアップは、他の非セキュアなネットワークのような役割を果たします。
無線システムは、しかしへのアクセスを取得するかを見てください。 ファイアウォールを介して、アクセスの唯一許可されている点は、VPNゲートウェイです。 これにより、ユーザーはインターネットから接続するときと同じです。 そうではなく、データのプライバシー（AES）のための単一の選択肢を持つ単一のセキュリティの実装（WPA）を信頼しなくても、あなたが適切であると感じるものをこれまで展開することができます。 の堅牢性と柔軟性SSH 、 SSLとIPSecは 、すべてのデータストリームを保護するための可能性となる。 各ソリューションは、データのプライバシーのためにAESをサポートしていますが、彼 らはのような他の、いくつかの良い感じ、多くのオプションを開いフグとTwofishはを 。
しかし、待って、攻撃者は私のアクセスポイントに接続しに接続しているノートPCの後に行くことができなかった？ 絶対に。 再び、このゾーンは、同じルールが適用されますので、インターネットと同じセキュリティレベルを持っています。 しかし、典型的なワイヤレスユーザを考える。 彼らはまた、インターネットからの接続道路の戦士、になる傾向があります。 これは彼らのシステムはすでに、必要なVPNソフトウェアおよびパーソナルファイアウォールシステムを使用している必要があることを意味します。 ノートパソコンがインターネットからの接続に設定されているのであれば、そのようにもこのワイヤレス構成で行って準備ができて。
この構成について、私が本当に好きなことの一つは、それだけではなく、バックエンドの管理を（これ以上のWPAの管理）が削減されることですが、同様にデスクのサポート時間を助ける。 ユーザーはちょうど彼らのラップトップが仕事をしたいと彼らは一貫したプロセスに従うことができるときに、より効果的です。 我々は彼らが言うときは"の手順を実行し、次にB、次にインターネットからに接続するが、手順はD、そしてEそしてFあなたがオフィスにいる場合、C"、ある必然性は混乱になる。 上記の設定で、彼らは常に物理的な場所を問わず、同じ接続のプロセスに従ってください。
ないセキュリティソリューションはこれまで完璧でないので、いくつかマイナス面、右がなければならない？ まず、ファイアウォール上でわずかに高い負荷を入れている。 無線システムとサーバ間の内部通信は、通常、ファイアウォールを伴うだろうが、今ではありません。 この問題は簡単しかし、番目のファイアウォールで解決することができます。
第二の問題は、セキュリティ関連ですが、我々は上記の構成を展開する方法に依存しています。 理想的な世界ではすべてのアクセスポイントは、単一の孤立したスイッチに接続されます。 大規模環境での現実は、しかしの使用必要とする可能性がVLANをアクセスポイントが地理的に互いに分散しているので。 VLANの使用は、VLANホッピングの可能性を開きます。 この著者は考えていませんが、攻撃者がで台無しことができるDTPトランク、誰かが賢い私はそれを把握可能性よりも、最終的には直接接続されたシステムから、その確かに可能へのアクセスを得るために、アクセスポイント経由で。 要するに、このセキュリティゾーンがインターネットと同じ信頼レベルを持っているし、それに応じて扱うことに注意してください。 DTPやベンダーがデフォルトでオンになっている他の自動VLANネゴシエーション機能をオフにシャットダウンします。
最後に、不正なアクセスポイントはまだ問題です。 このソリューションは、自宅からアクセスポイントにもたらし、あなたはまだ保持する必要があるインチそれを差し込むからエンドユーザーを停止するには何もしません監視の目をこの活動のために。 このソリューションはあなたのために約唯一の事は不正であり、対処する必要がある、 任意のアクセスポイントが有線ネットワークに接続されて知っている今です。
これは便利ですね！
C
