Sieci bezprzewodowe WLAN stały się nieodłącznym elementem współczesnej infrastruktury IT.

Standard IEEE 802.11, rozwijany od 1997 roku, przeszedł długą drogę od przepustowości 1-2 Mbps do 46 Gbps w Wi-Fi 7.

Prezentacja koncentruje się na praktycznych aspektach: jak działa CSMA/CA, dlaczego kanały w 2.4 GHz nakładają się na siebie, czym różni się WPA2 od WPA3, jak skonfigurować punkt dostępowy w Cisco Packet Tracer i RouterOS.

Każdy blok teoretyczny jest ilustrowany przykładami konfiguracji i diagnostyki.

Wiedza przedstawiona w tej prezentacji stanowi niezbędną podstawę do projektowania, wdrażania i utrzymania bezpiecznych sieci bezprzewodowych w małych i średnich przedsiębiorstwach.

Prezentacja podzielona jest na cztery bloki tematyczne.

Blok pierwszy omawia podstawy: standardy 802.11, pasma, kanały i elementy sieci WLAN.

Blok drugi koncentruje się na budowie ramki 802.11 i mechanizmie CSMA/CA.

Blok trzeci przedstawia bezpieczeństwo sieci Wi-Fi - od WEP do WPA3 oraz typowe zagrożenia.

Blok czwarty zawiera praktyczne przykłady konfiguracji w Cisco Packet Tracer i RouterOS oraz najlepsze praktyki.

Główną tezą prezentacji jest stwierdzenie, że sieć Wi-Fi, mimo wygody i powszechności, ma fundamentalne ograniczenia w porównaniu z Ethernetem: połowiczny dupleks, współdzielone medium, podatność na zakłócenia i niższe bezpieczeństwo.

Literatura dotycząca sieci bezprzewodowych jest obszerna.

Książka Tanenbauma oferuje systematyczne wprowadzenie do WLAN w kontekście całego modelu OSI.

Publikacje Pytla i Szymanka dostarczają praktycznych przykładów konfiguracji na urządzeniach Cisco i MikroTik.

Książka Matthew Gasta to wyczerpujące źródło wiedzy o standardzie 802.11, uznawane za biblię inżynierów Wi-Fi.

MikroTik Wiki zawiera aktualne przykłady konfiguracji interfejsów bezprzewodowych w RouterOS.

Wi-Fi Alliance publikuje specyfikacje generacji Wi-Fi (Wi-Fi 4, 5, 6, 7) oraz listy certyfikowanych urządzeń.

Standard IEEE 802.11-2020 jest bazowym dokumentem technicznym, a jego omówienia na polskich stronach branżowych pomagają w zrozumieniu złożonych zagadnień.

WLAN to skrót od Wireless Local Area Network - sieć lokalna bez kabli.

Podstawową zaletą jest mobilność użytkowników oraz łatwość rozbudowy (brak konieczności prowadzenia kabli).

Wadami są: niższa przepustowość, większe opóźnienie, podatność na zakłócenia radiowe oraz niższy poziom bezpieczeństwa w porównaniu do sieci przewodowej.

Standard IEEE 802.11 został opublikowany po raz pierwszy w 1997 roku i od tego czasu był wielokrotnie nowelizowany.

Każda nowelizacja (a, b, g, n, ac, ax, be) wprowadzała wyższe prędkości i nowe funkcje.

Wi-Fi Alliance uprościło nazewnictwo dla konsumentów, wprowadzając oznaczenia Wi-Fi 4, 5, 6 i 7.

W środowisku profesjonalnym nadal używa się oznaczeń IEEE 802.11.

Pozwoliło to na osiągnięcie prędkości do 600 Mbps.

Ewolucja standardów 802.11 pokazuje, jak szybko rozwijała się technologia bezprzewodowa.

802.11b był pierwszym standardem, który zdobył masową popularność dzięki niskiej cenie i wystarczającej jak na tamte czasy prędkości 11 Mbps.

802.11a, mimo wyższej prędkości (54 Mbps), był rzadziej stosowany ze względu na wyższy koszt i gorszy zasięg w paśmie 5 GHz.

Przełomem był 802.11n (Wi-Fi 4), który wprowadził technikę MIMO (Multiple Input Multiple Output) - wiele anten pracujących jednocześnie.

802.11ac (Wi-Fi 5) rozszerzył MIMO o obsługę wielu użytkowników (MU-MIMO) i wprowadził szersze kanały 80 i 160 MHz.

Najnowsze standardy, Wi-Fi 6 i Wi-Fi 7, koncentrują się nie tylko na prędkości, ale także na wydajności w gęstych środowiskach (stadion, biurowiec, centrum handlowe).

OFDMA w Wi-Fi 6 dzieli kanał na mniejsze zasoby, pozwalając wielu klientom na jednoczesną transmisję, co dramatycznie zmniejsza opóźnienia.

Pasmo 2.4 GHz jest współdzielone z wieloma innymi urządzeniami: kuchenkami mikrofalowymi, telefonami bezprzewodowymi, urządzeniami Bluetooth, a nawet niektórymi monitorami dla niemowląt.

Powoduje to wysokie ryzyko zakłóceń, zwłaszcza w gęsto zabudowanych obszarach (blokowiska, biurowce).

Pasmo 5 GHz oferuje znacznie więcej kanałów i mniej zakłóceń.

Jednak fale 5 GHz są silniej tłumione przez przeszkody (ściany, meble), co ogranicza zasięg.

W praktyce biurowej AP 5 GHz pokrywa zazwyczaj 1-2 pomieszczenia, podczas gdy 2.4 GHz może pokryć całe piętro.

Pasmo 6 GHz, udostępnione dla Wi-Fi 6E i Wi-Fi 7, oferuje najwięcej kanałów i najmniej zakłóceń, ponieważ jest to nowe pasmo, w którym pracuje jeszcze niewiele urządzeń.

Wadą jest bardzo krótki zasięg i słaba penetracja ścian - AP 6 GHz wymaga gęstszego rozmieszczenia.

W USA dostępne są tylko kanały 1-11.

Nakładanie się kanałów w 2.4 GHz wynika z konstrukcji standardu 802.11.

Każdy kanał ma 20 MHz szerokości, a odstęp między środkami kanałów wynosi 5 MHz.

Oznacza to, że kanał 1 zajmuje pasmo od 2401 do 2423 MHz, a kanał 2 od 2406 do 2428 MHz - nakładają się na długości 17 MHz.

Tylko kanały rozsunięte o 5 kroków (25 MHz) nie nakładają się: 1, 6, 11.

Kanał 14 (2484 MHz) jest dostępny tylko w Japonii i ma szerokość 20 MHz z ograniczeniem do standardu 802.11b.

Kanały 12 i 13 są w Europie dozwolone, ale z ograniczeniem mocy (ETSI).

W nowoczesnych sieciach Wi-Fi 6 i 7 pasmo 2.4 GHz jest używane głównie dla urządzeń IoT i starszych klientów, podczas gdy większość ruchu obsługują pasma 5 GHz i 6 GHz z szerszymi kanałami (80, 160, a nawet 320 MHz w Wi-Fi 7).

DFS (Dynamic Frequency Selection) to mechanizm obowiązkowy w paśmie 5 GHz w kanałach, które są współdzielone z radarami meteorologicznymi i wojskowymi.

AP przed rozpoczęciem nadawania na kanale DFS musi odsłuchać go przez 60 sekund (CAC - Channel Availability Check).

Jeśli w trakcie pracy wykryje radar, musi opuścić kanał w ciągu 10 sekund i przejść na inny.

Z punktu widzenia planowania sieci kanały bez DFS (UNII-1 i UNII-3) są preferowane, ponieważ nie ma ryzyka nagłej zmiany kanału.

Jednak w gęstych sieciach korzysta się także z kanałów DFS, aby zwiększyć dostępną pojemność.

Pasmo 6 GHz (5925-7125 MHz) zostało udostępnione dla Wi-Fi w 2020 roku (USA) i 2021 (Europa).

Jest to pasmo licencjonowane na zasadzie dostępu bezpłatnego, ale z wymogiem AFC (Automated Frequency Coordination) dla AP na zewnątrz.

W Europie pasmo 6 GHz dla Wi-Fi obejmuje 5945-6425 MHz (480 MHz, 24 kanały 20 MHz).

Elementy sieci WLAN tworzą hierarchię.

Najprostsza sieć składa się z jednego AP i kilku klientów (BSS - Basic Service Set).

Większa sieć to ESS (Extended Service Set) - wiele AP połączonych siecią przewodową (DS - Distribution System), zarządzanych przez kontroler WLC.

WLC (Wireless LAN Controller) pełni kluczową rolę w sieciach korporacyjnych.

Odpowiada za: autoryzację klientów, przypisanie, zarządzanie mocą nadawania, automatyczny wybór kanału, równoważenie obciążenia oraz płynny roaming między AP.

W architekturze Cisco WLC występują w modelach fizycznych (3504, 9800) lub wirtualnych (vWLC).

MikroTik oferuje rozwiązanie CAPsMAN (Controlled Access Point system Manager), które pełni podobną funkcję do WLC Cisco.

CAPsMAN pozwala na centralne zarządzanie wieloma punktami dostępowymi (CAP - Controlled Access Point) z poziomu jednego interfejsu, co znacznie upraszcza administrację w większych sieciach.

Fizyczna budowa AP różni się w zależności od przeznaczenia.

Warunkiem jest obsługa WDS przez wszystkie AP w łańcuchu.

AP wewnętrzne (indoor) mają zazwyczaj obudowę przystosowaną do montażu na suficie lub ścianie, zasilanie przez PoE (Power over Ethernet) i zintegrowane anteny dookólne.

AP zewnętrzne (outdoor) mają obudowy odporne na warunki atmosferyczne i często obsługują anteny kierunkowe.

Tryb Repeater (znany też jako Range Extender) działa poprzez odbior sygnału od głównego AP i retransmisję go z większą mocą.

Wadą tego trybu jest połowa przepustowości, ponieważ repeater musi odbierać i nadawać na tym samym kanale.

W praktyce lepszym rozwiązaniem jest WDS lub Mesh, które wykorzystują osobny interfejs radiowy do łączenia AP.

WDS (Wireless Distribution System) pozwala na łączenie AP bez kabli, zachowując pełną przepustowość.

WDS jest często używany w sieciach Mesh, gdzie AP automatycznie wybierają najlepszą ścieżkę do szkieletu sieci.

W Cisco rozwiązanie to nazywa się Multiple BSSID (MBSSID).

Identyfikatory sieci WLAN pełnią kluczową rolę w procesie łączenia klienta z AP.

Gdy klient skanuje dostępne sieci (aktywny skan - Probe Request, pasywny - nasłuch Beacon), otrzymuje listę SSID i BSSID.

Wybór AP przez klienta zależy od siły sygnału (RSSI), obsługiwanych standardów i preferencji użytkownika.

Ukrywanie SSID polega na wyłączeniu nadawania ramek Beacon z nazwą sieci.

Klient musi znać SSID, aby się połączyć (wysłać Probe Request z konkretnym SSID).

Jest to jednak słabe zabezpieczenie - narzędzia takie jak Wireshark czy Kismet bez trudu wykrywają ukryte SSID, ponieważ nazwa jest przesyłana w ramkach Probe Request i Probe Response.

Wiele SSID na jednym AP (multi-SSID) pozwala na segmentację ruchu bez konieczności stosowania osobnych AP dla każdej grupy użytkowników.

Każde SSID może mieć własne ustawienia: WPA2/WPA3, limit klientów, filtrowanie MAC.

Typ jest określony w polu Frame Control (bity 2-3).

Data frames niosą dane użytkownika.

To kluczowy element CSMA/CA, który redukuje kolizje.

Ramka 802.11 ma trzy typy: Management (zarządzanie - 00), Control (sterowanie - 01) i Data (dane - 10).

Management frames odpowiadają za: Beacon (ogłaszanie sieci), Probe Request/Response (skanowanie), Authentication, Association Request/Response.

Control frames to: RTS/CTS (rezerwacja medium), ACK (potwierdzenie), PS-Poll (pobranie buforowanych danych).

Pole Duration w ramce 802.11 implementuje mechanizm NAV (Network Allocation Vector).

Stacja nadająca ustawia w Duration czas, przez jaki zamierza zajmować medium.

Inne stacje odczytują Duration i ustawiają swój wewnętrzny licznik NAV - przez ten czas nie próbują nadawać.

Cztery adresy w ramce 802.11 są interpretowane w zależności od flag ToDS i FromDS.

W najprostszym przypadku (ramka od klienta do AP: ToDS=1, FromDS=0): Address 1 = BSSID (AP), Address 2 = SA (klient), Address 3 = DA (docelowy, np. router w sieci LAN), Address 4 nie występuje.

W ramce od AP do klienta (ToDS=0, FromDS=1): Address 1 = DA (klient), Address 2 = BSSID (AP), Address 3 = SA (źródłowy).

CSMA/CA jest główną przyczyną niższej wydajności Wi-Fi w porównaniu do Ethernetu.

Każda ramka wymaga potwierdzenia ACK (z wyjątkiem broadcast/multicast), a przed transmisją może odbyć się opcjonalna wymiana RTS/CTS.

Powoduje to znaczny narzut protokołowy, zwłaszcza przy małych ramkach.

Problem ukrytej stacji (hidden station problem) występuje, gdy dwie stacje nie słyszą się nawzajem (są poza zasięgiem), ale obie słyszą AP.

Wtedy obie mogą nadawać jednocześnie, powodując kolizję w AP.

Mechanizm RTS/CTS rozwiązuje ten problem - stacje rezerwują medium przez AP, który słyszy wszystkie.

Problematykę wydajności Wi-Fi pogłębia fakt, że całe medium (jeden kanał) jest współdzielone - w danej chwili tylko jedna stacja może nadawać.

W przeciwieństwie do Ethernetu z przełącznikiem, gdzie wiele par może komunikować się jednocześnie na różnych portach, w Wi-Fi wszystkie transmisje w jednym kanale muszą odbywać się sekwencyjnie.

To fundamentalne ograniczenie przepustowości sieci bezprzewodowych.

Mimo to TKIP został ostatecznie złamany (atak Beck-Tews).

Jest obowiązującym standardem od 2004 roku.

WPA3 dodatkowo wzmacnia ochronę przed tego typu atakami.

WEP (Wired Equivalent Privacy) był pierwszym standardem szyfrowania Wi-Fi.

Używał algorytmu RC4 z 40- lub 104-bitowym kluczem i 24-bitowym wektorem inicjującym (IV).

Ponieważ IV był krótki i przesyłany jawnie, po przechwyceniu około 5000-20000 ramek klucz można było odtworzyć w kilka minut za pomocą narzędzi takich jak Aircrack-ng.

WPA (Wi-Fi Protected Access) został wprowadzony jako szybka łatka dla WEP.

Używał TKIP (Temporal Key Integrity Protocol), który zachował RC4, ale dodał: mieszanie klucza, dłuższy IV (48 bit), sekwencjonowanie ramek i mechanizm detekcji manipulacji (MIC - Michael).

WPA2 (IEEE 802.11i) to pierwszy standard, który można uznać za bezpieczny.

Używa AES-CCMP (Counter Mode CBC-MAC Protocol) z blokowym szyfrem AES (128 bit).

W 2017 roku odkryto podatność KRACK (Key Reinstallation Attack) na 4-Way Handshake, ale została ona załatana przez producentów.

AES

4-Way Handshake jest kluczowym procesem w WPA2.

WPA2-Enterprise wymaga serwera RADIUS (np.

FreeRADIUS, Windows NPS, Cisco ISE).

CCMP składa się z dwóch komponentów: CTR (Counter Mode) do szyfrowania i CBC-MAC (Cipher Block Chaining Message Authentication Code) do uwierzytelniania.

Ramka WPA2 zawiera na początku nagłówek CCMP (8 bajtów: PN - Packet Number, ExtIV, Key ID), a na końcu MIC (Message Integrity Code, 8 bajtów).

Umożliwia negocjację PTK (Pairwise Temporal Key) bez przesyłania hasła przez sieć.

Nawet jeśli atakujący przechwyci cały 4-Way Handshake, nie będzie mógł odtworzyć hasła bez znajomości PMK (Pairwise Master Key), który jest wyprowadzany z hasła i SSID przez funkcję PBKDF2.

Jednak atak brute-force na przechwycony handshake jest możliwy offline (słabe hasła są podatne).

Użytkownik podaje login i hasło, a AP przekazuje dane uwierzytelniające do serwera RADIUS.

Po pomyślnej weryfikacji serwer przekazuje klucz PMK do AP, a następnie odbywa się standardowy 4-Way Handshake.

Enterprise jest znacznie bezpieczniejszy niż PSK, ponieważ każdy użytkownik ma unikalny klucz, a unieważnienie dostępu nie wymaga zmiany hasła u wszystkich.

PMF jest obowiązkowy w WPA3 i opcjonalny w WPA2.

SAE (Simultaneous Authentication of Equals) to protokół uwierzytelniania oparty na Dragonfly Key Exchange.

Zamiast przesyłać materiał do weryfikacji hasła (jak w 4-Way Handshake WPA2), SAE wykonuje uwierzytelnianie wzajemne z użyciem kryptografii krzywych eliptycznych.

Nawet jeśli atakujący przechwyci całą komunikację, nie może przeprowadzić ataku brute-force offline, ponieważ każda próba wymaga interakcji z AP.

OWE (Opportunistic Wireless Encryption) to rozszerzenie 802.11, które umożliwia szyfrowanie w sieciach otwartych (bez hasła).

Działa poprzez wymianę kluczy Diffie-Hellman podczas asocjacji.

OWE chroni przed biernym nasłuchem (sniffing), ale nie zapewnia uwierzytelniania - każdy może się podłączyć.

WPA3-OWE jest rekomendowany dla hotspotów publicznych zamiast całkowicie otwartej sieci.

PMF (Protected Management Frames) to dodatkowy mechanizm w WPA2/WPA3, który szyfruje ramki zarządzania (Deauthentication, Disassociation).

Chroni przed atakami deauth, w których atakujący wysyła fałszywe ramki Deauth, rozłączając klientów.

Evil Twin to jeden z najczęstszych ataków na sieci Wi-Fi.

"Kawiarnia-WiFi") i zazwyczaj z wyższą mocą nadawania.

Klienci automatycznie łączą się z AP o silniejszym sygnale.

WPA3 jest odporny na KRACK.

Atakujący konfiguruje AP z tym samym SSID co legalna sieć (np.

Po połączeniu atakujący może przechwytywać cały ruch (Man-in-the-Middle), podmieniać strony WWW, wykradać hasła.

Ochrona przed Evil Twin wymaga uwierzytelniania wzajemnego - w WPA2-Enterprise klient weryfikuje certyfikat serwera RADIUS, co uniemożliwia podszycie się.

Deauth Attack wykorzystuje brak ochrony ramek zarządzania w starszych standardach.

Ramki Deauthentication i Disassociation nie są szyfrowane ani uwierzytelniane, jeśli nie jest włączony PMF (Protected Management Frames, standard 802.11w).

Atakujący może wysłać ramkę Deauth z fałszywym adresem źródłowym (spoofing MAC), rozłączając dowolnego klienta.

Narzędzia takie jak aireplay-ng (z zestawu aircrack-ng) automatyzują ten atak.

KRACK (Key Reinstallation Attack) został odkryty w 2017 roku przez Mathy'ego Vanhoefa.

Atak polega na zmuszeniu AP lub klienta do ponownego zainstalowania już używanego klucza sesji (nonce) w 4-Way Handshake.

Powoduje to resetowanie licznika pakietów i ponowne użycie wektora inicjującego, co z kolei umożliwia odszyfrowanie ruchu.

Atak dotyczył wszystkich implementacji WPA2 i wymagał aktualizacji firmware.

Każdy wzrost o 3 dBi podwaja moc skuteczną (zysk anteny), ale zawęża wiązkę.

Większość AP domowych używa polaryzacji pionowej.

Polaryzacja krzyżowa daje stratę około 20-30 dB.

Typowy AP Wi-Fi 5 ma 3-4 anteny, Wi-Fi 6 może mieć do 8.

Zysk energetyczny anteny wyrażany w dBi (decibel izotropowy) określa, o ile decybeli antena wzmacnia sygnał w porównaniu do anteny izotropowej (teoretycznej anteny punktowej promieniującej jednakowo we wszystkich kierunkach).

Antena 2 dBi ma prawie kulistą charakterystykę, antena 15 dBi tworzy wąską wiązkę o zasięgu kilku kilometrów.

Polaryzacja anteny (pionowa, pozioma) musi być zgodna między nadajnikiem a odbiornikiem.

Anteny z polaryzacją pozioma są stosowane w mostach Wi-Fi, gdzie obie anteny można ustawić w tej samej płaszczyźnie.

MIMO (Multiple Input Multiple Output) wykorzystuje wiele anten do jednoczesnej transmisji wielu strumieni danych.

Każda antena nadaje ten sam sygnał z nieznacznym opóźnieniem (beamforming), co powoduje wzmocnienie sygnału w kierunku klienta przez interferencję konstruktywną.

W Wi-Fi 6 dodano UL MU-MIMO (klient -> AP).

MIMO wykorzystuje zjawisko wielodrogowości (multipath propagation) na swoją korzyść.

W tradycyjnych systemach radiowych odbicia od przeszkod były problemem.

W MIMO każda droga (bezpośrednia i odbita) może nieść osobny strumień danych, jeśli anteny są odpowiednio rozsunięte (zalecany odstęp to co najmniej połowa długości fali).

MU-MIMO (Multi-User MIMO) to znaczący postęp w stosunku do SU-MIMO.

W SU-MIMO AP musi obsłużyć klientów sekwencyjnie - jeden po drugim.

W MU-MIMO AP może nadawać do wielu klientów jednocześnie, dzieląc między nich strumienie przestrzenne.

W Wi-Fi 5 (802.11ac) MU-MIMO działa tylko w kierunku Downlink (AP -> klient).

Beamforming (kształtowanie wiązki) w 802.11ac/ax różni się od wcześniejszych implementacji.

W 802.11n beamforming był opcjonalny i każdy producent implementował go inaczej.

W 802.11ac i 802.11ax beamforming jest obowiązkowy i standaryzowany jako Explicit Beamforming - klient wysyła do AP informację zwrotną (CSI - Channel State Information), na podstawie której AP oblicza optymalne wagi dla każdej anteny.

BSS Coloring dodaje 6-bitowe pole koloru w nagłowku PHY.

Target Wake Time (TWT) to mechanizm oszczędzania energii.

OFDMA (Orthogonal Frequency Division Multiple Access) to najważniejsza innowacja Wi-Fi 6.

W Wi-Fi 5 (i wcześniejszych) cały kanał (20, 40, 80 MHz) był przydzielany jednemu klientowi na czas transmisji.

Jeśli klient miał do wysłania mało danych (np. potwierdzenie), reszta kanału się marnowała.

W OFDMA kanał jest dzielony na mniejsze Resource Units o szerokości od 26 do 996 tonów (w 802.11ax jeden ton = 78.125 kHz).

AP może przydzielić różne RU różnym klientom w tej samej ramce, co dramatycznie zwiększa efektywność.

BSS Coloring rozwiązuje problem wspólnego kanału (Co-Channel Interference).

Wcześniej, jeśli AP słyszał sygnał na swoim kanale (nawet z sąsiedniej sieci), musiał czekać z transmisją.

Jeśli AP odbiera sygnał z innego koloru, może nadawać (o ile sygnał jest wystarczająco słaby).

To znacznie zwiększa wykorzystanie medium w gęsto zabudowanych obszarach.

Klient negocjuje z AP harmonogram transmisji - umawia się na konkretne przedziały czasowe, w których będzie odbierał i nadawał.

Poza tymi przedziałami klient może przejść w stan głębokiego uśpienia, oszczędzając baterię.

TWT jest kluczowy dla urządzeń IoT zasilanych bateryjnie, gdzie priorytetem jest wieloletnia praca bez wymiany baterii.

MLO (Multi-Link Operation) to przełomowa funkcja Wi-Fi 7.

Jeśli AP obsługiwał wiele pasm, klient wybierał jedno.

To zwiększa przepustowość i niezawodność.

W poprzednich standardach klient łączył się z AP na jednym paśmie (2.4, 5 lub 6 GHz).

MLO pozwala na jednoczesne połączenie na wszystkich dostępnych pasmach.

Klient może nadawać dane na 5 GHz, podczas gdy odbiera potwierdzenia na 6 GHz.

W razie zakłóceń na jednym paśmie, ruch automatycznie przechodzi na inne.

320 MHz kanały są dostępne tylko w paśmie 6 GHz, gdzie jest wystarczająco dużo miejsca.

W 5 GHz maksymalna szerokość kanału to 160 MHz, w 2.4 GHz - 40 MHz.

Połączenie 320 MHz z 4096-QAM i 16 strumieniami daje teoretyczną prędkość 46 Gbps.

W praktyce rzeczywista prędkość będzie niższa (około 5-10 Gbps dla pojedynczego klienta), ale to wciąż ogromny postęp.

Wi-Fi 7 wymaga nowego sprzętu - starsze karty Wi-Fi 6 nie obsługują 320 MHz, 4096-QAM ani MLO.

Producenci (Qualcomm, Intel, Broadcom) już produkują chipy Wi-Fi 7.

Cena urządzeń Wi-Fi 7 jest obecnie wyższa niż Wi-Fi 6, ale spodziewany jest szybki spadek cen w miarę upowszechnienia standardu.

Mesh Wi-Fi różni się od tradycyjnej sieci z wieloma AP tym, że węzły komunikują się między sobą bezprzewodowo (WDS lub dedykowany backhaul).

W tradycyjnej sieci każdy AP musi być podłączony kablem do sieci przewodowej (switch).

W Mesh tylko jeden węzeł (gateway) ma połączenie kablowe - pozostałe łączą się bezprzewodowo.

Ułatwia to instalację, ale kosztem przepustowości (każdy przeskok dzieli pasmo).

Niektóre systemy Mesh używają osobnego radia do backhaulu (tri-band), co eliminuje ten problem.

802.11k (Neighbor Reports) pozwala AP przesłać klientowi listę sąsiednich AP (z kanałami i sygnałem).

Klient może szybciej znaleźć najlepszy AP bez skanowania wszystkich kanałów.

802.11r (Fast BSS Transition) skraca 4-Way Handshake podczas roamingu z 4 wiadomości do 2 (lub 0 w trybie pre-authentication).

802.11v (BSS Transition Management) umożliwia AP rekomendowanie klientowi przejścia na inny AP.

AP może obsługiwać do 8 klientów jednocześnie.

Packet Tracer oferuje dwa typy urządzeń bezprzewodowych: AccessPoint-PT (sam AP) i Wireless Router-PT (router z wbudowanym AP i 4-portowym switchem).

Dla celów edukacyjnych lepiej użyć osobnego AP, aby pokazać, że AP jest urządzeniem warstwy 2.

AP w Packet Tracer ma dwa interfejsy: Port 0 (Ethernet, przewodowy) i Port 1 (Wireless, radiowy).

Port 0 wymaga adresacji IP (do zarządzania i komunikacji z siecią LAN).

Port 1 konfiguruje się przez GUI: SSID, tryb zabezpieczeń, kanał.

W trybie Simulation Packet Tracer można prześledzić cały proces łączenia klienta Wi-Fi: skanowanie kanałów (Probe Request/Response), uwierzytelnianie (Authentication), asocjacja (Association Request/Response), a następnie dla WPA2 - 4-Way Handshake.

Po asocjacji klient otrzymuje adres IP z serwera DHCP routera i może komunikować się z siecią.

W Packet Tracer klient Wi-Fi po włączeniu automatycznie skanuje dostępne sieci (wysyła Probe Request na wszystkich kanałach).

AP odpowiada Probe Response z SSID, obsługiwanymi standardami i zabezpieczeniami.

Lista dostępnych sieci jest widoczna w PC Wireless -> Connect.

Po wybraniu SSID i podaniu hasła (dla WPA2-PSK) klient wykonuje: Open System Authentication (2 ramki: Authentication Request i Authentication Response z AP), następnie Association Request/Response, a potem 4-Way Handshake.

W Packet Tracer proces ten widać w trybie Simulation - można kliknąć na każdą ramkę i zobaczyć jej szczegółową zawartość (pola Frame Control, Addresses, Sequence Control).

Po asocjacji klient otrzymuje adres IP z DHCP (jeśli router ma włączony serwer DHCP z odpowiednim zakresem).

Jeśli DHCP nie działa, adres IP trzeba skonfigurować statycznie (w PC Wireless -> IP Configuration).

Domyślnie Packet Tracer używa adresacji z sieci 192.168.0.0/24 dla DHCP na routerach.

W starszych wersjach (6.x) używano /interface wireless.

Nowy stos jest zalecany dla nowych instalacji z Wi-Fi 6.

RouterOS w wersji 7.x (opartej na jądrze Linux) zmienił sposób konfiguracji interfejsów bezprzewodowych.

W wersji 7.x dostępne są dwa stosy: legacy (wireless) i nowy (wifiwave2).

Przykład powyżej dotyczy legacy (Wireless) zgodnego z RouterOS 6.x i 7.x.

Nowy stos wifiwave2 obsługuje Wi-Fi 6 (802.11ax), OFDMA, MU-MIMO.

Konfiguracja różni się składnią: zamiast /interface wireless używa się /interface wifiwave2.

Profil zabezpieczeń konfiguruje się przez /interface wifiwave2 security.

CAPsMAN (Controlled Access Point system Manager) to rozwiązanie MikroTik do centralnego zarządzania AP.

AP (CAP) łączy się z kontrolerem CAPsMAN i pobiera konfigurację automatycznie.

Umożliwia to scentralizowane zarządzanie wieloma AP z jednego interfejsu WinBox/WebFig.

Komendy: /caps-man manager enable, /caps-man channel, /caps-man security, /caps-man configuration.

Skanowanie kanałów (interface wireless scan) w RouterOS pokazuje wszystkie AP w zasięgu: BSSID (AP), SSID, kanał, siłę sygnału (RSSI w dBm), typ zabezpieczeń, obsługiwane standardy.

To narzędzie jest nieocenione przy wyborze optymalnego kanału dla nowego AP.

Należy wybrać kanał, na którym jest najmniej innych sieci (lub najsłabszy sygnał z innych sieci).

Registration-table print pokazuje klientów podłączonych do lokalnego AP: adres klienta, interfejs, sygnał (signal strength w dBm), SNR (Signal-to-Noise Ratio), TX/RX rate (aktualna prędkość nadawania/odbioru), czas podłączenia.

Jeśli klient ma niski SNR (poniżej 20 dB) lub niski TX rate, oznacza to słaby sygnał - warto sprawdzić odległość lub przeszkody.

Wireshark z kartą Wi-Fi w trybie monitora (promiscuous) pozwala na przechwytywanie i analizę ramek 802.11.

Można zobaczyć: ramki Beacon (co 102.4 ms), Probe Request/Response, 4-Way Handshake, a także zdekodować zawartość ramek.

Filtry Wireshark dla WLAN: wlan.fc.type eq 0 (management), wlan.fc.type eq 2 (data), wlan.ssid, wlan.bssid.

To zaawansowane narzędzie dydaktyczne do zrozumienia protokołu 802.11.

Najlepsze praktyki WLAN wynikają z wieloletniego doświadczenia w projektowaniu i utrzymaniu sieci bezprzewodowych.

Wybór WPA3 jako standardu szyfrowania jest obecnie rekomendowany przez Wi-Fi Alliance i wszystkie organizacje bezpieczeństwa.

WPA3 z SAE eliminuje podatność na offline brute-force, która jest głównym zagrożeniem dla WPA2-PSK.

Jeśli starsze urządzenia nie obsługują WPA3, należy skonfigurować tryb mieszany WPA2/WPA3 (transition mode).

Planowanie kanałów to kluczowy element projektu sieci Wi-Fi.

W 5 GHz należy zaplanować siatkę kanałów tak, aby AP na sąsiednich kanałach nie nakładały się.

W 6 GHz, dzięki większej liczbie kanałów, można stosować 160 MHz bez ryzyka zakłóceń.

Wykrywanie nieautoryzowanych AP (rogue AP) to ważny element bezpieczeństwa w sieciach korporacyjnych.

Pracownik może podłączyć do sieci firmowej własny AP, tworząc tylne drzwi dla atakujących.

Systemy WIPS (Wireless Intrusion Prevention System) automatycznie wykrywają rogue AP i blokują je przez wysłanie ramek Deauth (wireless containment).

Cisco WLC ma wbudowany moduł wIPS, a MikroTik oferuje skanowanie w poszukiwaniu rogue AP.

AP zapewniają dostęp bezprzewodowy dla klientów.

Tabela porównawcza Ethernet vs Wi-Fi pokazuje fundamentalne różnice, które mają bezpośredni wpływ na projektowanie sieci.

Wi-Fi oferuje mobilność i wygodę - jest idealne dla laptopów, smartfonów i urządzeń klienckich.

W praktyce sieci korporacyjnej obie technologie są komplementarne.

Switch szkieletowy (core) łączy serwery i AP przez Ethernet (1/10/40/100 Gbps).

Klient Wi-Fi ma realną przepustowość rzędu 200-800 Mbps w zależności od standardu, odległości od AP i liczby innych klientów.

Opóźnienie (latency) w Wi-Fi jest wyższe niż w Ethernecie z kilku powodów: CSMA/CA wymaga wymiany RTS/CTS przed transmisją, każda ramka wymaga potwierdzenia ACK (SIFS = 10 us w 2.4 GHz, 16 us w 5 GHz), a retransmisje w przypadku zakłóceń dodatkowo wydłużają czas.

Dla aplikacji czasu rzeczywistego (VoIP, gry online, VR) Ethernet pozostaje bezkonkurencyjny.

Prezentacja przedstawiła kompletny obraz sieci bezprzewodowych WLAN - od fizycznych podstaw (pasma, kanały, anteny) przez protokoły (CSMA/CA, ramka 802.11) po bezpieczeństwo (WPA2, WPA3) i praktyczną konfigurację (Packet Tracer, RouterOS).

Kluczowym wnioskiem jest zrozumienie, że Wi-Fi, mimo wygody i powszechności, ma fundamentalne ograniczenia w porównaniu do sieci przewodowej.

Zrozumienie CSMA/CA i współdzielonego medium wyjaśnia, dlaczego Wi-Fi ma niższą przepustowość i większe opóźnienie niż Ethernet.

Znajomość kanałów i zakłóceń pozwala na poprawne planowanie sieci.

Wiedza o bezpieczeństwie WPA2/WPA3 i zagrożeniach (Evil Twin, deauth, KRACK) jest niezbędna do ochrony sieci przed atakami.

Umiejętność konfiguracji AP w Cisco Packet Tracer i RouterOS daje praktyczne podstawy do pracy z rzeczywistym sprzętem sieciowym.

Symulacje w Packet Tracer pozwalają na bezpieczne eksperymentowanie i zrozumienie procesu łączenia klienta Wi-Fi bez ryzyka uszkodzenia produkcyjnej sieci.

Pytanie 5 dotyczy bezpieczeństwa WPA2 vs WPA3.

Pytanie 6 weryfikuje znajomość zagrożeń.

Pytania kontrolne sprawdzają zrozumienie wszystkich kluczowych zagadnień przedstawionych w prezentacji.

Pytanie 1 dotyczy pasm częstotliwości - podstawowej wiedzy potrzebnej przy projektowaniu sieci Wi-Fi.

Pytanie 2 weryfikuje zrozumienie nakładania się kanałów w 2.4 GHz.

Pytanie 4 wymaga opisania całego procesu łączenia klienta Wi-Fi, co można przećwiczyć w Packet Tracer w trybie Simulation.

Pytanie 7 to zadanie praktyczne w Packet Tracer, które można wykonać na zajęciach laboratoryjnych.

Zaleca się, aby studenci odpowiedzieli na pytania pisemnie, a następnie zweryfikowali odpowiedzi w Packet Tracer (szczególnie pytania 4 i 7).

Prezentacja dostarcza wszystkich informacji potrzebnych do udzielenia poprawnych odpowiedzi.