Dodatkowy sposób ograniczenia dostępu do sieci LAN

Maksymalne ograniczenie dostępu do sieci dla osób nieupoważnionych jest ważnym tematem dla większości użytkowników, a przynajmniej powinien być ważnym dla wszystkich osób korzystających z sieci. Oprócz podstawowych i dobrze znanych sposóbów zabezpieczeń, można wykorzystać różne dodatkowe techniki, pozwalające jeszcze bardziej ograniczyć ten dostęp, każdy nierutynowy sposób może zwiększyć szansę, że osoba nieupoważniona będzie miała większe trudności podczas próby uzyskania dostępu do sieci.

Rozwiązanie to szczególnie przyda się w przypadku sieci bezprzewodowej, gdyż to medium jest łatwiej dostępne dla osób spoza sieci, niż połączenie przewodowe, osoba niepowołana po prostu nie ma możliwości podłączenia kabla do przełącznika, czy innego urządzenia łączącego z siecią, które znajduje się w domu, czy innym zamknietym pomieszczeniu, ale sprawdzi się również, jeśli taka osoba uzyska fizyczny dostęp do urządzenia pośredniczącego (routera bądź przełącznika, czy koncentratora) i będzie próbowała podłączyć się kablem do sieci. Sposoby te niestety nie będą również możliwe do wykorzystania w każdej sytuacji i zależą od routera jaki się posiada. Wszystkie zamieszczone poniżej porady będę opisywał z wykorzystaniem routera TP‑Link WR543G.

Ustalenie adresacji w sieci LAN

Wypadałoby zacząć od przypisania adresu IP w sieci LAN zarówno routerowi, jak i urządzeniom końcowym w sieci. Ustawienia fabryczne posiadają domyślnie ustaloną adresację sieci LAN i domyślnie skonfigurowany serwer DHCP, większość tych opcji można zmienić. Oprócz zmiany samego adresu IP, niektóre routery umożliwiają również ręczne ustalenie maski podsieci co daje dodatkowe możliwości konfiguracji routera, w tym podział sieci na podsieć. Podzielenie sieci na podsieci pozwala ustalić liczbę adresów. Można ustalić taką liczbę adresów, które zostaną zajęte przez urządzenia końcowe użytkownika, osoba nieupoważniona takiego adresu nie uzyska, gdyż będzie on przypisany do innego komputera i w ten sposób blokujemy takiej osobie uzyskanie adresu IP. Nie będę tutaj szczegółowo opisywał jak podzielić sieć na podsieć, gdyż nie jest to specjalnie wymagane, użytkownicy nie muszą posiadać takiej wiedzy, gdyż można tutaj skorzystać z dostępnych w internecie różnego rodzaju kalkulatorów IP i/lub kalkulatorów podsieci. Opiszę tylko w skrócie jak ustalić adresację wedle potrzeb sieci.

Domowe sieci składają się przeważnie z kilku do kilkudziesięciu urządzeń końcowych i prawdopodobnie nie przekraczają 10 takich urządzeń. Urządzeniem końcowym są komputery, serwery, telefony IP, drukarki sieciowe, czy kamery IP (możliwe, że mogłem jeszcze coś pominąć). W zależności od tego ile posiada się urządzeń końcowych, tyle potrzebnych jest adresów IP, należy również brać pod uwagę urządzenie pośredniczące, jakim jest w tym przypadku router, który również potrzebuje adresu IP. Gdy zna się już liczbę urządzeń, które wymagają adresu IP, można przystąpić do ustalenia adresacji. Ja w swoim domu posiadam 2 komputery oraz urządzenia bezprzewodowe takie, jak telefon, które mogę podłączyć do sieci, podłączam również przynajmniej jedną maszynę wirtualną, łącznie potrzebuję 4 adresy. Użytkownicy, którzy nie posiadają wiedzy na temat obliczania adresacji IP, mogą wykorzystać przygotowany do tego celu kalkurator VSLM/CIDR, na przykład dostępny pod tym adresem http://www.vlsm-calc.net/

Obliczanie adresacji sieci

W celu podzielenia sieci na podsieć, potrzebny jest adres sieci, w sieci LAN wykorzystywane są przeważnie adresy prywatne, które można dowolnie przypisywać urządzeniom. Ustawienia fabryczne często ustalają adres 192.168.0.1 (z domyślną maską podsieci 255.255.255.0) lub podobny, do tej sieci można podłączyć 254 urządzenia końcowe, można wykorzystać ten adres lub pójść o krok dalej i przypisać inny, niż standardowy adres sieci, bo przecież o niestandardowość tutaj właśnie chodzi i proponuję podzielić sieć o adresie 192.168.240.0. Znając podstawowe informacje,

• Adres sieci: 192.168.240.0;
• Maska podsieci: 255.255.255.0 (maska podsieci 24-bitowa);
• Liczba potrzebnych adresów IP: 4.

można użyć kalkulatora do obliczeń.

W rezultacie, powinno się uzyskać takie informacje,

czyli adres naszej podsieci, to 192.168.240.0, maska podsieci 255.255.255.248 (maska 29‑bitowa), adresy które można przypisać komputerom 192.168.240.1 - 192.168.240.6 i adres rozgłoszeniowy 192.168.240.7, razem 8 adresów, z czego 6 do wykorzystania, a nie 254, jak wcześniej. Routerowi przypisuje się najczęściej najniższy, bądż najwyższy adres w sieci, w tym przypadku jest to albo 192.168.240.1, albo 192.168.240.6, oczywiście nic nie stoi na przeszkodzie przypisać, inny z tej puli.

Konfiguracja routera

Po zalogowaniu się do panelu administracyjnego routera, należy znaleźć ustawienia, dotyczące sieci LAN. Ja przyjąłem opcję najwyższy adres w sieci dla routera.

Prawdopodobnie zostanie utracone połącznie z routerem, w tym celu wystarczy odnowić dzierżawę adresu IP. W systemie Windows można to zrobić szybko i łatwo w wierszu poleceń, wpisując poniższe polecenia.

ipconfig /release
ipconfig /renew

W systemach Linux/Unix, przy użyciu polecenia.

dhclient wlan0

lub

dhcpd wlan0

Rezerwacja adresów IP

Powyższy sposób umożliwia w pewnym sensie blokowanie uzyskania adresu IP, w powyższym przykładzie widać jednak, że zostały do wykorzystania 2 wolne adresy, które nieupoważniona osoba mogłaby uzyskać, drugą sprawą jest to, że serwer DHCP dzierżawi adres na określony czas, a później go zwalnia, gdy komputer jest wyłączony, adres również jest wolny. Niektóre routery posiadają możliwość przypisywania adresów IP do adresów MAC, w ten sposób adres jest dzierżawiony na stałe, co oznacza, że tylko urządzenie z określonym adresem MAC może uzyskać dany adres IP i nawet jeśli urządzenie jest wyłączone, inne nie uzyska tego adresu. Można tę opcję wykorzystać jako uzupełnienie ograniczenia uzyskania adresu IP przez niepowołaną osobę, przypisując wszystkie adresy IP do adresów MAC, jeśli w sieci są wykorzystane tylko 4 adresy, a dwa są wolne, można zarezerwować adres IP do dowolnego adresu MAC, nawet urządzenia, które nigdy nie zostanie podłączone do sieci, np. adres MAC karty sieciowej wirtualnej maszyny.

Konfiguracja serwera DHCP

W celu konfiguracji serwera DHCP, należy odnaleźć w panelu routera sekcję, dotyczącą ustawień routera i powinna wyglądać jak poniżej,

opcja rezerwacji adresów IP, prawdopodobnie będzie w osobnej podsekcji.

Nie należy oczywiście traktować tego sposobu jako jedyne zabezpieczenie sieci bezprzewodowej, dobrze zabezpieczona sieć, tj. ustawione odpowiednie szyfrowanie transmisji oraz skomplikowane hasło nie wymaga specjalnie wykorzystania tego typu działań, dlatego należy je traktować jako dodatkowe, jeśli ktoś chce ograniczyć lub utrudnić dostęp do sieci w przypadku, gdyby osoba nieupowżniona poznała hasło, np. od innego użytkownika, lub w jakiś sposób je podejrzała. Nie należy również traktować tego sposobu jako zabezpieczenie, ale jako sposób na ograniczenie dostępu do sieci zarówno przewodowej, jak i bezprzewodowej.