استادتكلوTCP/IPجهاد دانشگاهي،كلاس

به نام خدا

1 -آشنائي با شبكه هاي بي سيم 

2-تشریح مقدماتی شبکه های بیسیم وکابلی

3-انواع شبکه های بیسیم 

4-سه روش امنیتی در شبکه های بیسیم 

5-انواع استاندارد802.11

6-اصطلاحات شبکه های بیسیم 

7-مفاهیم امنیت شبکه 

8-مدارک بین المللی امنیت شبکه comptia security

CISSP2ISC-9

  

---

  

آشنائي با شبكه هاي بي سيم
مقدمه
نياز روز افزون به پويايي كارها ، استفاده از تجهيزاتي مانند تلفن همراه ، پيجرها و ...
بواسطه وجود شبكه هاي بي سيم امكان پذير شده است.
اگر كاربر يا شركت يا برنامه كاربردي خواهان آن باشد كه داده و اطلاعات مورد نياز خود را به صورت متحرك در هر لحظه در اختيار داشته باشند شبكه هاي بي سيم جواب مناسبي براي آنها ست.
اين مقاله دربخش‌هاي مختلفي ارائه ميشود، در بخش حاضر فقط به بيان كلياتي در رابطه با شبكه‌هاي بي‌سيم و كابلي پرداخته شده، در بخش‌هاي بعدي به جزئيات بيشتري در رابطه با شبكه‌هاي بي‌سيم خواهيم پرداخت.

تشريح مقدماتي شبكه هاي بي سيم و كابلي
شبكه هاي محلي (LAN ) براي خانه و محيط كار مي توانند به دو صورت كابلي (Wired ) يا بي سيم (Wireless ) طراحي گردند . درابتدا اين شبكه ها به روش كابلي با استفاده از تكنولوژي Ethernet طراحي مي شدند اما اكنون با روند رو به افزايش استفاده از شبكه هاي بي سيم با تكنولوژي Wi-Fi مواجه هستيم .
در شبكه هاي كابلي (كه در حال حاضر بيشتر با توپولوژي ستاره اي بكار مي روند ) بايستي از محل هر ايستگاه كاري تا دستگاه توزيع كننده (هاب يا سوئيچ ) به صورت مستقل كابل كشي صورت پذيرد(طول كابل ازنوع CAT5 نبايستي 100 متر بيشتر باشد در غير اينصورت از فيبر نوري استفاده ميگردد) كه تجهيزات بكار رفته از دونوع غير فعال (Passive ) مانند كابل ، پريز، داكت ، پچ پنل و.......... . و فعال (Active )مانند هاب ،سوئيچ ،روتر ، كارت شبكه و........... هستند .
موسسه مهندسي IEEE استانداردهاي 802.3u را براي Fast Ethernet و 802.3ab و802.3z را براي Gigabit Ethernet ( مربوط به كابلهاي الكتريكي و نوري ) در نظر گرفته است.
شبكه هاي بي سيم نيز شامل دستگاه مركزي (Access Point ) مي باشد كه هر ايستگاه كاري مي تواند حداكثر تا فاصله 30 متر ي آن (بدون مانع ) قرار گيرد.

شبكه هاي بي سيم (Wlan ) يكي از سه استاندارد ارتباطي Wi-Fi زير را بكار مي برند:
802.11b كه اولين استانداردي است كه به صورت گسترده بكار رفته است .
802.11a سريعتر اما گرانتر از 802.11b مي باشد.
802.11g جديدترين استاندارد كه شامل هر دو استاندارد قبلي بوده و از همه گرانتر ميباشد.
هر دونوع شبكه هاي كابلي و بي سيم ادعاي برتري بر ديگري را دارند اما انتخاب صحيح با در نظر گرفتن قابليتهاي آنها ميسر مي باشد.
عوامل مقايسه

در مقايسه شبكه هاي بي سيم و كابلي مي تواند قابليتهاي زير مورد بررسي قرار گيرد:
نصب و راه اندازي
هزينه
قابليت اطمينان
كارائی
امنيت
نصب و راه اندازي
در شبكه هاي كابلي بدليل آنكه به هر يك از ايستگاههاي كاري بايستي از محل سويئچ مربوطه كابل كشيده شود با مسائلي همچون سوارخكاري ، داكت كشي ، نصب پريز و......... مواجه هستيم در ضمن اگر محل فيزيكي ايستگاه مورد نظر تغيير يابد بايستي كه كابل كشي مجدد و .......صورت پذيرد
شبكه هاي بي سيم از امواج استفاده نموده و قابليت تحرك بالائي را دارا هستند بنابراين تغييرات در محل فيزيكي ايستگاههاي كاري به راحتي امكان پذير مي باشد براي راه اندازي آن كافيست كه از روشهاي زير بهره برد:
Ad hoc كه ارتباط مستقيم يا همتا به همتا (peer to peer ) تجهيزات را با يكديگر ميسر مي سازد.
Infrastructure كه باعث ارتباط تمامي تجهيزات با دستگاه مركزي مي شود.
بنابراين ميتوان دريافت كه نصب و را ه اندازي شبكه هاي كابلي يا تغييرات در آن بسيار مشكلتر نسبت به مورد مشابه يعني شبكه هاي بي سيم است .

هزينه
تجهيزاتي همچون هاب ، سوئيچ يا كابل شبكه نسبت به مورد هاي مشابه در شبكه هاي بي سيم ارزانتر مي باشد اما درنظر گرفتن هزينه هاي نصب و تغييرات احتمالي محيطي نيز قابل توجه است .
قابل به ذكر است كه با رشد روز افزون شبكه هاي بي سيم ، قيمت آن نيز در حال كاهش است .

قابليت اطمينان
تجهيزات كابلي بسيار قابل اعتماد ميباشند كه دليل سرمايه گذاري سازندگان از حدود بيست سال گذشته نيز همين مي باشد فقط بايستي در موقع نصب و يا جابجائي ، اتصالات با دقت كنترل شوند.
تجهيزات بي سيم همچون Broadband Router ها مشكلاتي مانند قطع شدن‌هاي پياپي، تداخل امواج الكترومغناظيس، تداخل با شبكه‌هاي بي‌سيم مجاور و ... را داشته اند كه روند رو به تكامل آن نسبت به گذشته(مانند 802.11g ) باعث بهبود در قابليت اطمينان نيز داشته است .
كارائي
شبكه هاي كابلي داراي بالاترين كارائي هستند در ابتدا پهناي باند 10 Mbps سپس به پهناي باندهاي بالاتر( 100 Mbps و 1000Mbps ) افزايش يافتند حتي در حال حاضر سوئيچهائي با پهناي باند 1Gbps نيز ارائه شده است .
شبكه هاي بي سيم با استاندارد 802.11b حداكثر پهناي باند 11Mbps و با 802.11a و 802.11g پهناي باند 54 Mbps را پشتيباني مي كنند حتي در تكنولوژيهاي جديد اين روند با قيمتي نسبتا بالاتر به 108Mbps نيز افزايش داده شده است علاوه بر اين كارائي Wi-Fi نسبت به فاصله حساس مي باشد يعني حداكثر كارائي با افزايش فاصله نسبت به َAccess Point پايين خواهد آمد. اين پهناي باند براي به اشتراك گذاشتن اينترنت يا فايلها كافي بوده اما براي برنامه هائي كه نياز به رد و بدل اطلاعات زياد بين سرور و ايستگاهاي كاري (Client to Server ) دارند كافي نيست .

امنيت
بدليل اينكه در شبكه هاي كابلي كه به اينترنت هم متصل هستند، وجود ديواره آتش از الزامات است و تجهيزاتي مانند هاب يا سوئيچ به تنهايي قادر به انجام وظايف ديواره آتش نميباشند، بايستي در چنين شبكه هايي ديواره آتش مجزايي نصب شود.
تجهيزات شبكه هاي بي سيم مانند Broadband Routerها ديواره آتش بصورت نرم افزاري وجود داشته و تنها بايستي تنظيمات لازم صورت پذيرد. از سوي ديگر به دليل اينكه در شبكه‌هاي بي‌سيم از هوا بعنوان رسانه انتقال استفاده ميشود، بدون پياده سازي تكنيك‌هاي خاصي مانند رمزنگاري، امنيت اطلاعات بطور كامل تامين نمي گردد استفاده از رمزنگاري WEP (Wired Equivalent Privacy ) باعث بالا رفتن امنيت در اين تجهيزات گرديده است .
انتخاب صحيح كدام است؟
با توجه به بررسي و آناليز مطالبي كه مطالعه كرديد بايستي تصميم گرفت كه در محيطي كه اشتراك اطلاعات وجود دارد و نياز به ارتباط احساس مي شو د كدام يك از شبكه هاي بي سيم و كابلي مناسبتر به نظر مي رسند .
جدول زير خلاصه اي از معيارهاي در نظر گرفته شده در اين مقاله مي باشد . بعنوان مثال اگر هزينه براي شما مهم بوده و نياز به استفاده از حداكثر كارائي را داريد ولي پويائي براي شما مهم نمي باشد بهتر است از شبكه كابلي استفاده كنيد.
بنابراين اگر هنوز در صدد تصميم بين ايجاد يك شبكه كامپيوتري هستيد جدول زير انتخاب را براي شما ساده تر خواهد نمود.

انواع شبكه هاي بي سيم
WLANS(Wireless Local Area Networks )
اين نوع شبكه براي كاربران محلي از جمله محيطهاي(Campus) دانشگاهي يا آزمايشگاهها كه نياز به استفاده از اينترنت دارند مفيد مي باشد. در اين حالت اگر تعداد كاربران محدود باشند مي توان بدون استفاده از Access Point اين ارتباط را برقرار نمود .در غير اينصورت استفاده از Access Point ضروري است.مي توان با استفاده از آنتن هاي مناسب مسافت ارتباطي كاربران را به شرط عدم وجود مانع تاحدي طولاني تر نمود.

WPANS(Wireless Personal Area Networks )
دو تكنولوژي مورد استفاده براي اين شبكه ها عبارت از :IR (Infra Red ) و Bluetooth (IEEE 802.15 ) مي باشد كه مجوز ارتباط در محيطي حدود 90 متر را مي دهد البته در IR نياز به ارتباط مستقيم بوده و محدوديت مسافت وجود دارد .

WMANS(Wireless Metropolitan Area Networks )
توسط اين تكنولوژي ارتباط بين چندين شبكه يا ساختمان در يك شهر برقرار مي شود براي Backup آن مي توان از خطوط اجاره اي ،فيبر نوري يا كابلهاي مسي استفاده نمود .

WWANS(Wireless Wide Area Networks )
براي شبكه هائي با فواصل زياد همچون بين شهرها يا كشورها بكار مي رود اين ارتباط از طريق آنتن ها ي بي سيم يا ماهواره صورت مي پذيرد .


امنيت در شبكه هاي بي سيم
سه روش امنيتي در شبكه هاي بي سيم عبارتند از :

- WEP(Wired Equivalent Privacy )
در اين روش از شنود كاربرهايي كه در شبكه مجوز ندارند جلوگيري به عمل مي آيد كه مناسب براي شبكه هاي كوچك بوده زيرا نياز به تنظيمات دستي( KEY ) مربوطه در هر Client مي باشد.
اساس رمز نگاري WEP بر مبناي الگوريتم RC4 بوسيله RSA مي باشد.

- SSID (Service Set Identifier )
شبكه هاي WLAN داراي چندين شبكه محلي مي باشند كه هر كدام آنها داراي يك شناسه (Identifier ) يكتا مي باشند اين شناسه ها در چندين Access Point قرار داده مي شوند . هر كاربر براي دسترسي به شبكه مورد نظر بايستي تنظيمات شناسه SSID مربوطه را انجام دهد .

- MAC (Media Access Control )
ليستي از MAC آدرس هاي مورد استفاده در يك شبكه به AP (Access Point ) مربوطه وارد شده بنابراين تنها كامپيوترهاي داراي اين MAC آدرسها اجازه دسترسي دارند به عبارتي وقتي يك كامپيوتر درخواستي را ارسال مي كند MAC آدرس آن با ليست MAC آدرس مربوطه در AP مقايسه شده و اجازه دسترسي يا عدم دسترسي آن مورد بررسي قرار مي گيرد .اين روش امنيتي مناسب براي شبكه هاي كوچك بوده زيرا در شبكه هاي بزرگ امكان ورود اين آدرسها به AP بسيار مشكل مي باشد.

انواع استاندارد 802.11
اولين بار در سال 1990 بوسيله انستيتيو IEEE معرفي گرديد كه اكنون تكنولوژيهاي متفاوتي از اين استاندارد براي شبكه هاي بي سيم ارائه گرديده است .
802.11
براي روشهاي انتقال FHSS(frequency hopping spared spectrum ) يا DSSS (direct sequence spread spectrum ) با سرعت 1 Mbpsتا 2Mbps در كانال 2.4 GHz قابل استفاده مي باشد.
802.11a
براي روشهاي انتقال OFDM (orthogonal frequency division multiplexing ) با سرعت 54Mbps در كانال 5GHz قابل استفاده است.
802.11b
اين استاندارد با نام WI-Fi يا High Rate 802.11 قابل استفاده در روش DSSS بوده و در شبكه هاي محلي بي سيم نيز كاربرد فراواني دارد همچنين داراي نرخ انتقال 11Mbps مي باشد.
802.11g
اين استاندارد براي دستيابي به نرخ انتقال بالاي 20Mbps در شبكه هاي محلي بي سيم و در كانال 2.4GHz كاربرد دارد.

Bluetooth
نوع ساده اي از ارتباط شبكه هاي بي سيم است كه حداكثر ارتباط 8 دستگاه را با تكنولوژي Bluetooth پشتيباني مي كند دستگاههايي از قبيل PDA ، نوت بوك ، تلفن هاي همراه و كامپيوترهاي شخصي از جمله اين موارد هستند مي دهد اگرچه اين تكنولوژي ممكن است در صفحه كليدها ،موس ها و Headset و Hands-free تلفن هاي همراه نيز ديده شود اين تكنولوژي در سال 1994 توسط شركت اريكسون ايجاد شد در سال 1998 تعداد كوچكي از كمپانيهاي مشهور مانند اريكسون ،نوكيا ، اينتل و توشيبا استفاده شد . بلوتوس در فواصل كوتاهي بين 9 تا 90 متر كار مي كنند اين فاصله پشتيباني به امنيت اين تكنولوژي مي افزايد .چرا كه اگر كسي بخواهد ارتباط شما را شنود كند گر چه به ابزار خاصي نياز ندارد اما بايستي در فاصله نزديكي از شما قرار بگيرد مهمتري ويژگي بلوتوس اين است كه بر خلاف Infrared موانعي مانند ديوار تاثيري بر روي سيگنال آن ندارند از تكنولوژي راديوئي استفاده كرده كه خيلي گران نبوده و مصرف برق خيلي كمي دارد .

اصطلاحات شبکه های بی سیم

 

VPN ، نظري و عملي

برقرار كردن امنيت براي يك شبكه درون يك ساختمان كار ساده اي است . اما هنگامي كه بخواهيم از نقاط دور رو ي داده هاي مشترك كار كنيم ايمني به مشكل بزرگي تبديل مي شود . در اين بخش به اصول و ساختمان يك VPN براي سرويس گيرنده هاي ويندوز و لينوكس مي پردازيم .

اصول VPN

فرستادن حجم زيادي از داده از يك كامپيوتر به كامپيوتر ديگر مثلا” در به هنگام رساني بانك اطلاعاتي يك مشكل شناخته شده و قديمي است . انجام اين كار از طريق Email به دليل محدوديت گنجايش سرويس دهنده Mail نشدني است .

استفاده از FTP هم به سرويس دهنده مربوطه و همچنين ذخيره سازي موقت روي فضاي اينترنت نياز دارد كه اصلا” قابل اطمينان نيست .

يكي از راه حل هاي اتصال مستقيم به كامپيوتر مقصد به كمك مودم است كه در اينجا هم علاوه بر مودم ، پيكر بندي كامپيوتر به عنوان سرويس دهنده RAS لازم خواهد بود . از اين گذشته ، هزينه ارتباط تلفني راه دور براي مودم هم قابل تامل است . اما اگر دو كامپيوتر در دو جاي مختلف به اينترنت متصل باشند مي توان از طريق سرويس به اشتراك گذاري فايل در ويندوز بسادگي فايل ها را رد و بدل كرد . در اين حالت ، كاربران مي توانند به سخت ديسك كامپيوترهاي ديگر همچون سخت ديسك كامپيوتر خود دسترسي داشته باشند . به اين ترتيب بسياري از راه هاي خرابكاري براي نفوذ كنندگان بسته مي شود .

شبكه هاي شخصي مجاري يا VPN ( Virtual private Network ) ها اينگونه مشكلات را حل مي كند . VPN به كمك رمز گذاري روي داده ها ، درون يك شبكه كوچك مي سازد و تنها كسي كه آدرس هاي لازم و رمز عبور را در اختيار داشته باشد مي تواند به اين شبكه وارد شود . مديران شبكه اي كه بيش از اندازه وسواس داشته و محتاط هستند مي توانند VPN را حتي روي شبكه محلي هم پياده كنند . اگر چه نفوذ كنندگان مي توانند به كمك برنامه هاي Packet sniffer جريان داده ها را دنبال كنند اما بدون داشتن كليد رمز نمي توانند آنها را بخوانند .

 4.1.1- VPN چيست ؟

VPN دو كامپيوتر يا دو شبكه را به كمك يك شبكه ديگر كه به عنوان مسير انتقال به كار مي گيرد به هم متصل مي كند . براي نمونه مي توان ب دو كامپيوتر يكي در تهران و ديگري در مشهد كه در فضاي اينترنت به يك شبكه وصل شده اند اشاره كرد . VPN از نگاه كاربر كاملا” مانند يك شبكه محلي به نظر مي رسد . براي پياده سازي چنين چيزي ، VPN به هر كاربر يك ارتباط IP مجازي مي دهد .

داده هايي كه روي اين ارتباط آمد و شد دارند را سرويس گيرنده نخست به رمز در آورده و در قالب بسته ها بسته بندي كرده و به سوي سرويس دهنده VPN مي فرستد . اگر بستر اين انتقال اينترنت باشد بسته ها همان بسته هاي IP خواهند بود .

سرويس گيرنده VPN بسته ها را پس از دريافت رمز گشايي كرده و پردازش لازم را روي آن انجام مي دهد . در آدرس http://www.WOWN.COM\W-baeten\gifani\vpnani.gif  شكل بسيار جالبي وجود دارد كه چگونگي اين كار را نشان مي دهد . روشي كه شرح داده شد را اغلب Tunneling يا تونل زني مي نامند چون داده ها براي رسيدن به كامپيوتر مقصد از چيزي مانند تونل مي گذرند . براي پياده سازي VPN راه هاي گوناگوني وجود دارد كه پر كاربرد ترين آنها عبارتند از

Point to point Tunneling protocol يا PPTP كه براي انتقال NetBEUI روي يك شبكه بر پايه IP مناسب است .

Layer 2 Tunneling protocol يا L2TP كه براي انتقال IP ، IPX يا NetBEUI روي هر رسانه دلخواه كه توان انتقال Datagram هاي نقطه به نقطه ( Point to point ) را داشته باشد مناسب است . براي نمونه مي توان به IP ، X.25 ، Frame Relay يا ATM اشاره كرد .

IP Security protocol يا Ipsec كه براي انتقال داده هاي IP روي يك شبكه بر پايه IP مناسب است .

 4.1.2-  پروتكل هاي درون تونل

Tunneling را مي توان روي دو لايه از لايه هاي OSI پياده كرد . PPTP و L2TP از لايه 2 يعني پيوند داده استفاده كرده و داده ها را در قالب Frame هاي پروتكل نقطه به نقطه ( PPP ) بسته بندي مي كنند . در اين حالت مي توان از ويژگي هاي PPP همچون تعيين اعتبار كاربر ، تخصيص آدرس پويا ( مانند DHCP ) ، فشرده سازي داده ها يا رمز گذاري داده ها بهره برد.

با توجه به اهميت ايمني انتقال داده ها درVPN ، دراين ميان تعيين اعتبار كاربر نقش بسيار مهمي دارد . براي اين كار معمولا” از CHAP استفاده مي شود كه مشخصات كاربر را در اين حالت رمز گذاري شده جابه جا ميكند . Call back هم دسترسي به سطح بعدي ايمني را ممكن مي سازد . در اين روش پس از تعيين اعتبار موفقيت آميز ، ارتباط قطع مي شود . سپس سرويس دهنده براي برقرار كردن ارتباط جهت انتقال داده ها شماره گيري مي كند . هنگام انتقال داده ها ، Packet هاي IP ، IP X يا NetBEUI در قالب Frame هاي PPP بسته بندي شده و فرستاده مي شوند . PPTP هم Frame هاي PPP را پيش از ارسال روي شبكه بر پايه IP به سوي كامپيوتر مقصد ، در قالب Packet هاي IP بسته بندي مي كند . اين پروتكل در سال 1996 از سوي شركت هايي چون مايكرو سافت ، Ascend ، 3 com و Robotics US پايه گذاري شد . محدوديت PPTP در كار تنها روي شبكه هاي IP باعث ظهور ايده اي در سال 1998 شد .L2TP روي X.25 ،Frame Relay يا ATM هم كار مي كند . برتري L2TP در برابر PPTP اين است كه به طور مستقيم روي رسانه هاي گوناگون WAN قابل انتقال است .

4.1.3 -  VPN-Ipsec فقط براي اينترنت

Ipsec برخلافPPTP و L2TP روي لايه شبكه يعني لايه سوم كار مي كند . اين پروتكل داده هايي كه بايد فرستاده شود را همراه با همه اطلاعات جانبي مانند گيرنده و پيغام هاي وضعيت رمز گذاري كرده و به آن يك IP Header معمولي اضافه كرده و به آن سوي تونل مي فرستد .

كامپيوتري كه در آن سو قرار دارد IP Header را جدا كرده ، داده ها را رمز گشايي كرده و آن را به كامپيوتر مقصد مي فرستد .Ipsec را مي توان با دو شيوه Tunneling پيكر بندي كرد . در اين شيوه انتخاب اختياري تونل ، سرويس گيرنده نخست يك ارتباط معمولي با اينترنت برقرار مي كند و سپس از اين مسير براي ايجاد اتصال مجازي به كامپيوتر مقصد استفاده مي كند . براي اين منظور ، بايد روي كامپيوتر سرويس گيرنده پروتكل تونل نصب شده باشد . معمولا” كاربر اينترنت است كه به اينترنت وصل مي شود . اما كامپيوترهاي درون LAN هم مي توانند يك ارتباط VPN برقرا كنند . از آنجا كه ارتباط IP از پيش موجود است تنها برقرار كردن ارتباط VPN كافي است . در شيوه تونل اجباري ، سرويس گيرنده نبايد تونل را ايجاد كند بلكه اين كار ار به عهده فراهم ساز (Service provider ) است . سرويس گيرنده تنها بايد به ISP وصل شود . تونل به طور خودكار از فراهم ساز تا ايستگاه مقصد وجود دارد . البته براي اين كار بايد همانگي هاي لازم با ISP انجام بگيرد .ٍ

ويژگي هاي امنيتي در IPsec

Ipsec از طريق Authentication Header ( AH ) مطمئن مي شود كه Packet هاي دريافتي از سوي فرستنده واقعي ( و نه از سوي يك نفوذ كننده كه قصد رخنه دارد ) رسيده و محتويات شان تغيير نكرده . AH اطلاعات مربوط به تعيين اعتبار و يك شماره توالي (Seguence Number ) در خود دارد تا از حملات Replay جلوگيري كند . اما AH رمز گذاري نمي شود . رمز گذاري از طريق Encapsulation Security Header يا ESH انجام مي گيرد . در اين شيوه داده هاي اصلي رمز گذاري شده و VPN اطلاعاتي را از طريق ESH ارسال مي كند .

ESH همچنين كاركرد هايي براي تعيين اعتبار و خطايابي دارد . به اين ترتيب ديگر به AH نيازي نيست . براي رمز گذاري و تعيين اعتبار روش مشخص و ثابتي وجود ندارد اما با اين همه ، IETF براي حفظ سازگاري ميان محصولات مختلف ، الگوريتم هاي اجباري براي پياده سازي Ipsec تدارك ديده . براي نمونه مي توان به MD5 ، DES يا Secure Hash Algorithm اشاره كرد .مهمترين استانداردها و روش هايي كه در Ipsec به كار مي روند عبارتند از :

• Diffie-Hellman براي مبادله كليد ها ميان ايستگاه هاي دو سر ارتباط .

• رمز گذاري Public Key براي ثبت و اطمينان از كليدهاي مبادله شده و همچنين اطمينان از هويت ايستگاه هاي سهيم در ارتباط .

• الگوريتم هاي رمز گذاري مانند DES براي اطمينان از درستي داده هاي انتقالي .

• الگوريتم هاي درهم ريزي ( Hash ) براي تعيين اعتبار تك تك Packet ها .

• امضاهاي ديجيتال براي تعيين اعتبارهاي ديجيتالي .

 

4.1.5 - Ipsec بدون تونل

Ipsec در مقايسه با ديگر روش ها يك برتري ديگر هم دارد و آن اينست كه مي تواند همچون يك پروتكل انتقال معمولي به كار برود .

در اين حالت برخلاف حالت Tunneling همه IP packet رمز گذاري و دوباره بسته بندي نمي شود . بجاي آن ، تنها داده هاي اصلي رمزگذاري مي شوند و Header همراه با آدرس هاي فرستنده و گيرنده باقي مي ماند . اين باعث مي شود كه داده هاي سرباز ( Overhead ) كمتري جابجا شوند و بخشي از پهناي باند آزاد شود . اما روشن است كه در اين وضعيت ، خرابكاران مي توانند به مبدا و مقصد داده ها پي ببرند . از آنجا كه در مدل OSI داده ها از لايه 3 به بالا رمز گذاري مي شوند خرابكاران متوجه نمي شوند كه اين داده ها به ارتباط با سرويس دهنده Mail مربوط مي شود يا به چيز ديگر .

4.1.6 – جريان يك ارتباط Ipsec

بيش از آن كه دو كامپيوتر بتوانند از طريق Ipsec داده ها را ميان خود جابجا كنند بايد يكسري كارها انجام شود .
• نخست بايد ايمني برقرار شود . براي اين منظور ، كامپيوترها براي يكديگر مشخص مي كنند كه آيا رمز گذاري ، تعيين اعتبار و تشخيص خطا يا هر سه آنها بايد انجام بگيرد يا نه .

• سپس الگوريتم را مشخص مي كنند ، مثلا” DEC براي رمزگذاري و MD5 براي خطايابي.

• در گام بعدي ، كليدها را ميان خود مبادله مي كنند .

Ipsec براي حفظ ايمني ارتباط از Security Association (SA ) استفاده مي كند . SA چگونگي ارتباط ميان دو يا چند ايستگاه و سرويس هاي ايمني را مشخص مي كند . SA ها از سوي SPI ( Security parameter Index  ) شناسايي مي شوند . SPI از يك عدد تصادفي و آدرس مقصد تشكيل مي شود . اين به آن معني است كه همواره ميان دو كامپيوتر دو SPI وجود دارد :

يكي براي ارتباط A و B و يكي براي ارتباط B به A . اگر يكي از كامپيوترها بخواهد در حالت محافظت شده داده ها را منتقل كند نخست شيوه رمز گذاري مورد توافق با كامپيوتر ديگر را بررسي كرده و آن شيوه را روي داده ها اعمال مي كند . سپس SPI را در Header نوشته و Packet را به سوي مقصد مي فرستد .

4.1.7 - مديريت كليدهاي رمز در Ipsec

اگر چه Ipsec فرض را بر اين مي گذارد كه توافقي براي ايمني داده ها وجود دارد اما خودش براي ايجاد اين توافق نمي تواند كاري انجام بدهد .

Ipsec در اين كار به IKE ( Internet Key Exchange ) تكيه مي كند كه كاركردي همچون IKMP ( Key Management Protocol ) دارد. براي ايجاد SA هر دو كامپيوتر بايد نخست تعيين اعتبار شوند . در حال حاضر براي اين كار از راه هاي زير استفاده مي شود :

• Pre shared keys : روي هر دو كامپيوتر يك كليد نصب مي شود كه IKE از روي آن يك عدد Hash ساخته و آن را به سوي كامپيوتر مقصد مي فرستد . اگر هر دو كامپيوتر بتوانند اين عدد را بسازند پس هر دو اين كليد دارند و به اين ترتيب تعيين هويت انجام مي گيرد .

• رمز گذاري Public Key : هر كامپيوتر يك عدد تصادفي ساخته و پس از رمز گذاري آن با كليد عمومي كامپيوتر مقابل ، آن را به كامپيوتر مقابل مي فرستد .اگر كامپيوتر مقابل بتواند با كليد شخصي خود اين عدد را رمز گشايي كرده و باز پس بفرستد برا ي ارتباط مجاز است . در حال حاضر تنها از روش RSA براي اين كار پيشنهاد مي شود .
• امضاء ديجيتال : در اين شيوه ، هر كامپيوتر يك رشته داده را علامت گذاري ( امضاء ) كرده و به كامپيوتر مقصد مي فرستد . در حال حاضر براي اين كار از روش هاي RSA و DSS ( Digital Singature Standard ) استفاده مي شود . براي امنيت بخشيدن به تبادل داده ها بايد هر دو سر ارتبا طنخست بر سر يك يك كليد به توافق مي رسند كه براي تبادل داده ها به كار مي رود . برا ي اين منظور مي توان همان كليد به دست آمده از طريق Diffie Hellman را به كاربرد كه سريع تر است يا يك كليد ديگر ساخت كه مطمئن تر است .

VPN  با ويندوز

استفاده از اينترنت به عنوان بستر انتقال داده ها هر روزگسترش بيشتري پيدا مي كند . باعث مي شود تا مراجعه به سرويس دهندگان وب و سرويس هاي Email  هر روز بيشتر شود . با كمي كار مي توان حتي دو كامپيوتر را كه در دو قاره مختلف قرار دارند به هم مرتبط كرد . پس از برقراري اين ارتباط ،هر كامپيوتر،كامپيوتر ديگر را طوري مي بيند كه گويا در شبكه محلي خودش قرار دارد. از اين رهگذر ديگر نيازي به ارسال داده ها از طريق سرويس هايي مانند Email نخواهند بود. تنها اشكال اين كار اين است كه در صورت عدم استفاده از كاركردهاي امنيتي مناسب،كامپيوترها كاملا در اختيار خرابكارن قرار مي گيرند. VPN ها مجموعه اي از سرويس هاي امنيتي ردر برابراين عمليات رافراهم مي كنند. در بخش قبلي با چگونگي كار VPN ها آشنا شديد و در اينجا به شما نشان مي دهيم كه چگونه مي توان در ويندوز يك VPN شخصي راه انداخت. براي اين كار به نرم افزار خاصي نياز نيست چون مايكروسافت همه چيزهاي لازم را در سيستم عامل گنجانده يا در پايگاه اينترنتي خود به رايگان در اختيار همه گذاشته.

پيش نيازها

براي اينكه دو كامپيوتر بر پايه ويندوز بتواند از طريق VPN به هم مرتبط شوند دست كم يكي از آنها بايد به ويندوز NT  يا 2000 كار كند تا نقش سرويس دهنده VPN را به عهده بگيرد. ويندوز هاي 9x  يا Me تنها مي توانند سرويس گيرنده VPN باشند. سرويس دهنده VPN بايد يك IP ثابت داشته باشد. روشن است كه هر دو كامپيوتر بايد به اينترنت متصل باشند. فرقي نمي كند كه اين اتصال از طريق خط تلفن و مودم باشد يا شبكه محلي. IP در سرويس دهنده VPN بايد مجاز (Valid) باشد تا سرويس گيرنده بتواند يك مستقيما آن را ببيند. در شبكه هاي محلي كه اغلب از IP هاي شخصي (192.168.x.x) استفاده مي شود VPN را بايد روي شبكه ايجاد كرد تا ايمني ارتباط بين ميان كامپيوترها تامين شود. اگر سرويس گيرنده VPN با ويندوز 95 كار مي كند نخست بايد Dial up Networking Upgrade 1.3  را از سايت مايكروسافت برداشت كرده و نصب كنيد. اين مجموعه برنامه راه اندازهاي لازم براي VPN را در خود دارد . البته مايكروسافت پس از Upgrade 1.3 Networking Dial up نگارش هاي تازه تري نيز عرضه كرده كه بنا بر گفته خودش ايمني و سرعت ارتباط VPN را بهبود بخشيده است .

نصب سرويس دهنده VPN

روي كامپيوتر بر پايه ويندوز NT نخست بايد در بخش تنظيمات شبكه، راه انداز Point to Point Tunneling را نصب كنيد. هنگام اين كار، شمار ارتباط هاي همزمان VPN پرسيده مي شود. در سرويس دهنده هاي NT اين عدد مي تواند حداكثر 256 باشد. در ايستگاه كاري NT،اين عدد بايد 1 باشد چون اين سيستم عامل تنها اجازه يك ارتباط RAS  را مي دهد. از آنجا كه ارتباط VPN در قالب Remote Access  برقرار مي شود ويندوز NT به طور خودكار پنجره پيكر بندي RAS را باز مي كند. اگر RAS هنوز نصب نشده باشد ويندوز NT آن را نصب مي كند. هنگام پيكربندي بايد VPN Adapter  را به پورت هاي شماره گيري اضافه كنيد. اگر مي خواهيد كه چند ارتباط VPN داشته باشيد بايد اين كار را براي هر يك از VPN Adapter ها انجام دهيد .

پيكربندي سرويس دهنده RAS

اكنون بايد VPN Adapterرا به گونه اي پيكربندي كنيد كه ارتباطات به سمت درون (incoming) اجازه بدهد. نخست بايد پروتكل هاي مجاز براي اين ارتباط را مشخص كنيد . همچنين بايد شيوه رمز گذاري را تعيين كرده و بگوييد كه آياسرويس دهنده تنها اجازه دسترسي به كامپيوترهاي موجود در شبكه كامپيوتر ويندوز NT، در اين وضيعت، سرويس دهنده VPN مي تواند كار مسير يابي را هم انجام دهد. براي بالاتر بردن ايمني ارتباط، مي توانيد NetBEUI  را فعال كرده و از طريق آن به كامپيوترهاي دور اجازدسترسي به شبكه خود را بدهيد. سرويس گيرنده، شبكه و سرويس هاي اينترنتي مربوط به سرويس دهنده VPN را نمي بينيد . براي راه انداختن TCP/IP همراه با VPN چند تنظيم ديگر لازم است. اگر سرويس دهنده DHCP نداريد بايد به طور دستي يك فضاي آدرس(Adress Pool ) IP را مشخص كنيد. به خاطر داشته باشيد كه تنها بايد از IP هاي شخصي (Private)  استفاده كنيد.

اين فضاي آدرس بايد دست كم 2 آدرس داشته باشد ،يكي براي سرويس دهنده VPN و ديگري براي سرويس گيرنده VPN . هر كار بر بايد براي دسترسي به سرويس دهنده از طريق VPN مجوز داشته باشد. براي اين منظور بايد در User Manager  در بخش Dialing اجازه دسترسي از دور را بدهيد . به عنوان آخرين كار،Remote Access Server  را اجرا كنيد تا ارتباط VPN بتواند ايجاد شود.

سرويس گيرنده VPN روي ويندوز NT

نصب سرويس گيرنده VPN روي ويندوز NT شبيه راه اندازي سرويس دهنده VPN است بنابراين نخست بايد 4 مرحله گفته شده براي راه اندازي سرويس دهنده VPN را انجام بدهيد،يعني:

. نصب PPTP

. تعيين شمار ارتباط ها

. اضافه كردن VPN به عنوان دستگاه شماره گيري

. پيكر بندي VPN Adapter در RAS، تنها تفاوت در پيكر بندي VPN Adapter آن است كه بايد به جاي ارتباط هاي به سمت درون به ارتباط هاي به سمت بيرون (out going)  اجاز ه بدهيد .

. سپس تنظيمات را ذخيره كرده و كامپيوتر را بوت كنيد. در گام بعدي، در بخش Networking يك ارتباط(Connection) تلفني بسازيد . به عنوان دستگاه شماره گير يا همان مودم بايد VPN Adapter را انتخاب كرده و بجاي شماره تلفن تماس، IP  مربوط به سرويس دهنده VPN را وارد كنيد. در اينجا پيكر بندي سرويس گيرنده VPN  روي ويندوز NT به پايان مي رسد و شبكه هاي شخصي مجازي ساخته مي شود.

 

سرويس گيرنده VPN روي ويندوز 2000

راه اندازي سرويس گيرنده VPN ساده تر و كم زحمت تر از سرويس دهنده آن است. در ويندوز 2000 به بخش مربوط به تنظيمات شبكه رفته يك Connection تازه بسازيد.

گام نخست : Assistant در ويندوز 2000 پيكر بندي VPN را بسيار ساده كرده.

به طور معمول بايد آدرس IP مربوط به سرويس دهنده VPN ر اداشته باشد. در اينجا بايد همان IP معمولي را وارد كنيد و نه IP مربوط به شبكه VPNرا، با اين كار ، VPN پيكر بندي شده و ارتباط بر قرار مي شود.
براي تعيين صلاحيت، بايد نام كاربري و رمز عبور را وارد كنيد كه اجازه دسترسي از طريق Remote Access را داشته باشيد. ويندوز 2000 بي درنگ ارتباط برقرار كرده و شبكه مجازي كامل مي شود.

گام دوم: كافي است آدرس IP مربوط به سرويس دهنده VPN را وارد كنيد.

گام سوم: در پايان فقط كافي است خود را معرفي كنيد.

سرويس گيرنده VPN روي ويندوز 9x

نصب سرويس گيرنده VPN روي ويندوز هاي 95، 98 و SE 98 مانند هم است . نخست بايد پشتيباني از VPN فعال شود. در اينجا بر خلاف ويندوز NT به جاي اضافه كردن پروتكل بايد يك كارت شبكه نصب كنيد. ويندوز x 9  همه عناصر لازم را نصب مي كند. به اين ترتيب كار نصب راه اندازاها را هم كامل مي گردد. در قدم بعدي بايد Dialup adapter يك Connection بسازيد. به عنوان دستگاه شمار گير بايد VPN adapter را معرفي كنيد.

گام نخست: نصب VPN adapter

گام دوم: يك Connection تازه روي VPN dapter

در ويندوز x9، سيستم عامل IP مربوط به سرويس 90 دهنده VPN را در خواست مي كند.

گام سوم: آدرس IP مربوط به سرويس دهنده VPN را وارد كنيد. پيكر بندي سرويس گيرنده VPN در اينجا پايان يافته و ارتباط مي تواند برقرار شود. تنها كافي است كه نام كاربري و رمز عبور را وارد كنيد. اكنون ويندوز به اينترنت وصل شده و تونل را مي سازد و داده هاي خصوصي مي تواند حركت خود را آغاز كنند.

 

 

برنامه هاي كمكي

اگر بخواهيد براي نمونه از دفتر كار( سرويس گيرنده VPN) به كامپيوتر خود در خانه ( سرويس گيرنده VPN) وصل بشويد با دو مشكل روبرو خواهيد شد. نخست اينكه كامپيوتري كه در خانه داريد پيوسته به اينترنت متصل نيست و ديگري اينكه سرويس گيرنده VPN به يك آدرس IP نياز دارد. اين IP را هنگامي كه از يك شركت فراهم ساز (ISP) سرويس مي گيريد از پيش نمي دانيد چون به صورت پويا(dynamic)  به شما تخصيص داده مي شود. Online Jack برنامه اي است كه براي هر دو مشكل راه حل دارد.

Online Jack يك برنامه كوچك است كه بايد روي كامپيوتر خانه نصب شود. از دفتر كار خود مي توانيد از طريق سايت Online Jack و با نام كاربري و رمز عبور به كامپيوتر خود در خانه متصل شويد. با اين كار، IP  كه شركت فراهم ساز به شما تخصيص داده مشخص مي شود كه از روي آن، سرويس گيرنده VPN پيكر بندي شده و كار خود را آغاز مي كند. از اين دست برنامه هاي كمكي موارد زيادي وجود دارد كه با جستجو در اينترنت مي توانيد آنها را بيابيد.

VPN  لينوكس

يكي از توانايي هاي VPN امكان كاربران دور از شبكه(Remote)  در دسترسي به آ ن است . IPsec در اين ميان نقش مهمي در فراهم كردن ايمني لازم براي داده ها دارد . يكي از مناسب ترين و به صرفه ترين وسيله ها در پياده سازي اين امكانات لينوكس و Free S/WAN كه در اين بخش به آن مي پردازيم .

IPsec و Free S/WAN

گر چه لينوكس هم به دليل توانايي هاي خوبFirewall  بستر بسيار مناسبي براي يك دروازه امنيتي(Security Gateway)  برپايه IPsec است مال خودش به طور پيش فرض بخش هاي لازم براي IPsec را به همراه ندارد. اين برنامه ها را مي توانيد در مجموعه Free S/WAN بيابيد. Free S/WAN (www.fresswan.org) در اصل مجمعي متشكل از برنامه نويسان زبده و تامين كنندگان مالي است كه برنامه هاي ويژه لينوكس را فراهم مي كنند. برنامه Free S/WAN  از دو بخش اصلي تشكيل شده يكي KLIPS(Kernel IPsec ) است كه پروتكل هاي لازم را به Kernel  اضافه مي كند و ديگري Daemon كه وظيفه برقراري ارتباط و رمز گذاري را بر عهده دارد.

در اين بخش مي بينيد كه IPsec چگونه كار مي كند و چگونه بايد آن را به كمك Free S/WAN در لينوكس براي VPN  پيكر بندي كرد. در ادامه خواهيم گفت كه با  X.509  چطور زير ساخت هاي لازم براي يك شركت پياده سازي مي شود.

نگاهي به IPsec

IPsec در اصل مجموعه اي از پروتكل ها و روش هايي است كه به كمك آنها مي توان روي اينترنت يك ارتباط مطمئن و ايمن ايجاد كرد.

جزييات IPsec يا Internet Protocol Security در RFC هاي شماره 2401 تا 2410  آمده . IPsec براي اطمينان بخشيدن به ارتباط هاي اينترنتي از شيوه هاي تعيين اعتبار و رمز گذاري داده ها استفاده مي كند. براي اين منظور در لايه شبكه دو حالت انتقال و دو لايه ايمني فراهم مي كند.

Transport در مقايسه با Tunnel

در حالت Transport دو ميزبان به طور مستقيم روي اينترنت با هم گفتگو مي كنند. در اين حالت مي توان IPsec را براي تعيين اعتبار و همچنين يكپارچگي و درستي داده ها به كار برد. به كمك IPsec نه تنها مي توان از هويت طرف گفتگو مطمئن شدبلكه مي توان نسبت به درستي و دست نخوردگي داده هاهم اطمينان حاصل كرد . به كمك عملكرد رمز گذاري مي توان افزون بر آن خوانده شدن داده ها از سوي افراد غير مجاز جلوگيري كرد.

اما از آنجا كه در اين شيوه،دو كامپيوتر به طور مستقيم داده ها را مبادله ميكنند نمي توان مبدا و مقصد داده ها را پنهان كرد. از حالت Tunnel هنگامي كه استفاده مي شود كه دست كم يكي از كامپيوترها به عنوان Security Gateway  به كار برود. در اين وضعيت حداقل يكي از كامپيوترهايي كه در گفتگو شركت مي كند در پشت Gateway قراردارد و در نتيجه ناشناس مي ماند. حتي اگر دو شبكه از از طريق Security Gateway هاي خود با هم داده مبادله كنند نمي توان از بيرون فهميد كه دقيقا كدام كامپيوتر به تبادل داده مشغول است. در حالت Tunnel هم مي توان از كاركردهاي تعيين اعتبار ،كنترل درستي داده ها و رمز گذاري بهره برد.

Authentication Header

وظيفه Authentication Header IP آن است كه داده هاي در حال انتقال بدون اجازه از سوي شخص سوم مورد دسترسي و تغيير قرار نگيرد . براي اين منظور از روي Header مربوط به IP و داده هاي اصلي يك عددHash به دست آمده و به همراه فيلدهاي كنترلي ديگر به انتهاي Header اضافه مي شود. گيرنده با آزمايش اين عدد مي تواند به دستكاري هاي احتمالي در Header يا داده هاي اصلي پي ببرد. Authentication Header هم در حالت Transport و هم در حالت Tunnel كاربرد دارد.

AH در حالت Transport ميان Header مربوط به IP و داده هاي اصلي مي نشيند . در مقابل، در حالت Tunneling ، Gateway  كل Paket را همراه با Header  مربوط به داده ها در يك IP Packet بسته بندي مي كند. در اين حالت، AH  ميان Header جديد و Packet اصلي قرار مي گيرد. AH در هر دو حالت، اعتبار و سلامت داده ها را نشان مي دهد اما دليلي بر قابل اطمينان بودن آنها نيست چون عملكرد رمز گذاري ندارد.

Encapsulated Security Payload

Encapsulated Security Payload IP  براي اطمينان از ايمني داده ها به كار مي رود . اين پروتكل داده ها در قالب يك Header و يك Trailer رمز گذاري مي كند. به طوري اختياري مي توان به انتهاي Packet يك فيلدESP Auth اضافه كرد كه مانند AH اطلاعات لازم براي اطمينان از درستي داده ها رمز گذاري شده را در خود دارد. در حالت Transport، Header  مربوط به ESP  و Trailer  تنها داده هاي اصلي IP از پوشش مي دهند و Header مربوط به Packet بدون محافظ باقي مي ماند.

اما در حالت Tunneling همه Packet ارسالي از سوي فرستنده،داده اصلي به شمار مي رود و Security Gateway آن را در قالب يك Packet مربوط به IP به همراه آدرس هاي فرستنده و گيرنده رمز گذاري مي كند. در نتيجه،ESP  نه تنها اطمينان از داده ها بلكه اطمينان از ارتباط را هم تامين مي كند . در هر دوحالت،ESP در تركيب با AH ما را از درستي بهترين داده هاي Header مربوط به IP مطمئن مي كند.

Security Association

براي اينكه بتوانESP/AH  را به كار برد بايد الگوريتم هاي مربوط به درهم ريزي (Hashing)، تعيين اعتبار و رمز گذاري روي كامپيوترهاي طرف گفتگو يكسان باشد. همچنين دو طرف گفتگو بايد كليدهاي لازم و طول مدت اعتبار آنها را بدانند. هر دو سر ارتباط IPsec هر بار هنگام برقرار كردن ارتباط به اين پارامترهاي نياز دارند. SA يا Security Association  به عنوان يك شبه استاندارد در اين بخش پذيرفته شده. براي بالا بردن امنيت، از طريق SA مي توان كليدها را تا زماني كه ارتباط برقرار است عوض كرد. اين كار را مي توان در فاصله هاي زماني مشخص يا پس از انتقال حجم مشخصي از داده ها انجام داد.

Internet Key Exchang

پروتكل Internet Key Exchang يا IKE( RFC 2409 ) روند كار روي IPsec SA را تعريف مي كند. اين روش را Internet Security Association and Key Management Protocol يا ISAKMP نيز مي نامند. اين پروتكل مشكل ايجاد ارتباط ميان دو كامپيوتر را كه هيچ چيز از هم نمي دانند و هيچ كليدي ندارند حل مي كند. در نخستين مرحله IKE(IKE Phase 1) كه به آن حالت اصلي(Main Mode)  هم گفته مي شود دو طرف گفتگو نخست بر سر پيكر بندي ممكن براي SA و الگوريتم هاي لازم براي درهم ريزي (Hashing)، تعيين اعتبار و رمزگذاري به توافق مي رسند.

آغاز كننده(Initiator) ارتباط به طرف مقابل(يا همان Responder) چند گزينه را پيشنهاد مي كند. Responder هم مناسب ترين گزينه را انتخاب كرده و سپس هر دو طرف گفتگو، از طريق الگوريتم Diffie-Hellman يك كليد رمز(Secret Key) مي سازند كه پايه همه رمز گذاري هاي بعدي است. به اين ترتيب صلاحيت طرف مقابل براي برقراري ارتباط تاييد مي شود.

اكنون مرحله دوم IKE(2 ( IKE Phase آغاز مي گردد كه حالت سريع (Ouick Mode) هم ناميده مي شود. اين مرحله SA مربوط به IPsec را از روي پارامترهاي مورد توافق برا ي ESP و AH مي سازد.

 

گواهينامه x.506

همانطور كه پيش از اين گفتيم بهترين راه براي تبادل Public Key ها x.509 Certificate(RFC  شماره 2495 ( است. يك چنين گواهينامه اي يك Public Key براي دارنده خود ايجاد مي كند. اين گواهينامه، داده هايي مربوط به الگوريتم به كار رفته براي امضاء ايجاد كننده، دارنده و مدت اعتبار در خود دارد كه در اين ميان، Public Key مربوط به دارنده از بقيه مهمتر است. CA هم گواهينامه را با يك عدد ساخته شده از روي داده ها كه با Public Key خودش تركيب شده امضاء مي كند.

براي بررسي اعتبار يك گواهينامه موجود، گيرنده بايد اين امضاء را با Public Key مربوط به CA رمز گشايي كرده و سپس با عدد نخست مقايسه كند . نقطه ضعف اين روش در طول مدت اعتبار گواهينامه و امكان دستكاري و افزايش آن است. اما استفاده از اين گواهينامه ها در ارتباطهاي VPN مشكل چنداني به همراه ندارد چون مدير شبكه Security Gateway و همه ارتباط ها را زير نظر دارد.

همانطور كه گفتيم FreeS/WAN مجموعه كاملي براي راه اندازي IPsec روي لينكوس است . البته بيشتر نگارش هاي لينوكس برنامه هاي لازم براي اين كار را با خود دارند. اما بر اساس تجربه بهتر است FreeS/WANرا به كار ببريد.
در اينجا ما از RedHatLinux نگارش 2/7 با هسته 2.4.18 وFreeS/WAN197 (ftp://ftp.xs4all.nl/pub/cryypto/freesean/ )  استفاده كرده ايم. درصورت لزوم مي توان FreeS/WAN را با هسته هسته هاي خانواده 2.2 هم به كار برد. البته در اين حالت دست كم به نگارش 2.2.19 لينوكس نياز داريد. اين را هم بايد در نظر داشته باشيد كه راه انداختن VPN Gateway همراه با ديواره آتش سودمنداست و هسته نگارش 2.4 امكانات خوبي براي راه انداختن ديواره آتش دارد.

نصب
براي نصب بايد هسته را در/usr/ser/linux و Free S/WAN را در /usr/scr/freeswan-versionnumber  باز كنيد. سپس با فرمان هاي make menuconfig و make xconfig پيكربندي هسته را انجام بدهيد. گزينه هاي لازم براي تنظيمات اضافي را در Networking Options\IPsec Options مي يابيد كه معمولا نيازي به تغيير دادن تنظيمات پيش فرض آن نيست . براي راه انداختن x.509 patch بايد بسته مربوطه را باز كرده و فايل freewan.diff را در فهرست Free S/WAN كپي كنيد. پس از آن، فرمان patch-p1 < freewan.diff همه چيز را برايتان تنظيم مي كند. در پايان بايد هسته را كه اكنون تغيير كرده كامپايل كنيد. اين مار را با صادر كردن فرمان make kinstall وقتي در فهرست Free S/WAN هستيد انجام بدهيد.

پس از اضافه كردن هسته تازه به مدير بوت و راه اندازي كامپيوتر مي توانيد نتيجه كارهايي كه انجام داديد را ببينيد. فرمان dmesg پيام هاي آغاز به كار KLIPS را نشان مي دهد. لازم است كه روي Runlevel ها هم كارهايي انجام بدهيد. از آنجا كه Free S/WAN بع رابط هاي eth0 و eth1، ipsec0 را اضافه مي كند، سيستم نخست Networking سپس Free S/WAN و در پايان iptables را اجرا مي كند.

پيكر بندي

ما قصد داريم كه Security Gateway خود را به گونه اي پيكربندي كنيم كه يك Firewall هم باشد. اين ديواره آتش بايد به هر كامپيوتر از فضاي اينترنت با هر IP دلخواه اجازه ارتباط با شبكه داخلي(172.16.0.0/16) را بدهد . اين كامپيوتر براي اين كار دو رابط Ethernet(eth0 براي شبكه داخلي (172.16.0.0/16) و eth1 براي محيط بيروني)‌دارد . بايد ميان اين دو رابط عملكرد IP-Forwarding فعال باشد. نخست بايد ديواره آتش را در اين Security Gateway  طوري تنظيم كنيم كه Packet هاي AH و ESP را بپذيرد. به همين دليل روي رابط بيروني(همان eth1) Packet هاي UDP را روي پورت 500(ESP) مي فرستيم.

تنظيمات FreeS/WAN در فايل /etc/ipsec.conf ثبت مي شود . اين تنظيمات به سه گروه تقسيم مي شوند. Config setup به تنظيمات پايه اي مربوط مي شود و conn%default تنظيمات مشترك براي همه ارتباط ها را در خود دارد. گروه سوم كه با لغت كليدي conn و يك نام دلخواه مشخص مي شود پارامترهاي ارتباطي با همان نام را در خود دارد. در اين مثال ما نام اين بخش را Roadwarrior گذاشته ايم كه كاربراني كه از بيرون با كامپيوترهاي همراه به شبكه متصل مي شوند مربوط مي شود.

/etc/ipsec.conf

در بخش Config setup پيش از هر چيز بايد رابطي كه درخواست ارتباط هاي IPsec روي آن مي روند رامشخص كرد. براي اين منظور، فرمان interfaces=%defaultroute كافي است كه البته مي توانيد بجاي %defaultroute آدرس IP مربوط به كارت را هم وارد كنيد. با تنظيم كردن kilpsdebug  و plutodebug  روي none حالت Debug را غير فعال مي كنيم . Plutoload و plutostart را روي %search تنظيم مي كنيم تا ارتباط ها پس از درخواست از سمت مقابل ، ايجاد شوند.

دربخشي conn %defqult فرمان keyingtries = 0 به Gateway مي گويد كه در صورت تغيير كليدهاي رمز تا پيدايش آنها صبر كند. براي انتخاب اين روش تعيين اعتبار فرمان authby = rsasig باعث مي شود تا هر دو طرف گفتگو حتما ميان خود گواهينامه مبادله كنند : leftrsasigkey = %cert rightsasigkey = %cert

براي left هم دوباره %defaultroute را اعلام مي كنيم كه به عنوان left subnet  شبكه داخلي (172.16.0.0/16) به كار مي رود. كمي بعد اين بخش رابا leftid كامل مي كنيم كه گواهينامه ما را براي Gateway مشخص مي كند. در بخش conn Roadwarrior هم با فرمان right = %any به همه كساني كه بتوانند گواهينامه ارائه كننداجازه دسترسي مي دهيم. حالت ارتباط را هم با type = tunnel  مشخص مي كنيم كه در آن تبادل كليدها از طريق IKE(key exchang = ike) با Perfect Forwarding Secrecy (pfc = yes) انجام مي گيرد. Auto = add هم به Free S/WAN مي گويد كه ارتباط در پي در خواست از سوي كاربران بيرون از شبكه برقرار شود.

گواهينامه
اكنون S/WAN Free براي برقرار كردن ارتباط با يك رمز گذاري قوي از طريق تبادل گواهينامه پيكربندي شده. گواهينامه لازم براي Gateway و كاربران بيرون از شبكه را خودمان مي سازيم. براي اين كار از توانايي هاي SSL open بهره مي گيريم. نخست يك ساختار فهرست براي ايجاد گواهينامه مي سازيم. براي نمونه فهرست /etc/fenrisCA را در نظر مي گيريم. اينجا فهرست هاي certs و private key ها مي سازيم.

فهرست private به طور منطقي بايد در دسترس root باشد. در فهرست/etc/fenrisCA  به دو فايل index.txt و serial  نياز داريم. با  touch، index.txt  را خالي مي كنيم. Open SSL بعدا در اين فايل ليستي از گواهينامه هاي صادر شده ثبت مي كند. اكنون در فايل OPENSSL.CNF (كه در /usr/ssl يا /usr/share/ssl  قرار دارد) مسير فهرست CA را به عنوان پارامتر dir وارد مي كنيم.

RootCA

اكنون به سراغ RootCA مي رويم . براي اين كار نخست يك RSAPrivate به طول 2048 بيت مي سازيم :openssl gersa –des3 –out private/caKey.pem2048 گزينه des3 باعث مي شود كه از طريق روش Triple DES ساخته شود تا افراد غير مجاز نتوانند گواهينامه را درستكاري كنند. البته اكنون گواهينامه را درستكاري كنند. البته اگر خودمان هم Passphrase را فراموش كنيم امكان انجام اين كار را نخواهيم داشت.

اكنون گواهينامه RootCA خودمان را ايجاد كرده و آن را به يك بازه زماني محدوده مي كنيم:

Openssl req –new-x509 –days = 1825 – key private/cakey.pem out caCert.pem  به عنوان passphrase از همان چيزي كه براي Private Key كار برديم استفاده كرده ايم. سپس openssl تك تك عناصر مربوط به شناسايي دارنده گواهينامه مي پرسد.

در پايان گواهينامه Root CA را در /eht/ipsec.d/cacerts براي Free S/WAN كپي مي كنيم.

گواهينامه Gateway

ساختن گواهينامه براي Gateway دقيقا همانند روشي است كه براي گواهينامه Root CA شرح داديم. به كمك گواهينامه Gateway به كاربران بيرون از شبكه اجازه ارتباط و استفاده از آن ر امي دهيم .

نخست به يك Private key نياز داريم كه اين بار طول آن 1024 بيت است:

openssl gersa –des3 –out private/gwKey.pem1024

اكنون گام بعدي را بر مي داريم:

openssl req –new-key private/gwKey.pem –out geReq.pem 3

اكنون Request را به عنوان Root CA امضاء مي كنيم:

Openssl ca –notext –in gwReq.pem –out gwCert.pem

اين گواهينامه را بايد در قالب فايل /etc/x509cert.der به شكل باينر روي Gateway ذخيره كنيم . عمل تبديل با فرمان زير انجام مي گيرد:

openssl x509 –in gwcwert.pem –outform der –out /etc/x509cert.der

Private key با نام gwkey.pem را براي Free S/WAN در /etc/ipsec.d/private كپي مي كنيم. از اين گذشته بايد Passphrase مربوطه به طور واضح در فايل /etc/ipsec.secrets آمده باشد. اگر Passphrase به طور نمونه « asample Passphrase » باشد آن را در سطر زير مي نويسيم :

« asample Passphrase » :RAS gwkey.pem

روشن است كه تنها root بايد به ipsec.secrets دسترسي داشته باشد. اكنون آخرين جاي خالي را در /etc/ipsec.conf پر مي كنيم.

Leftid = "C = IR,ST = Tehran, L = Tehran, O = Rayaneh Magazine, OU = Editorial,CN = fashkain, Email = fashkain@rayanehmag.net"

گواهينامه هاي كاربران

اكنون بايد عمل تعيين اعتبار را براي هر كاربر يكبار انجام بدهيم. در فرمان زير كه براي ساختن Private key براي يك كاربر به كار مي رود:

openssl genrsa –des3 –out private/userkey.pem –out 1024

بايد براي هر كاربر Passphrase جداگانه اي وارد كنيد. در گام بعدي فرمان زير را به كار ببريد:
openssl req –new-key private/gwKey.pem –out geReq.pem

اكنون بايد گواهينامه اي را كه آن را در قالب Root CA امضاءخواهيد كرد بسازيد.-enddate در اينجا براي مشخص كردن مدت اعتبار به كار مي رود:

Openssl ca –notext –eddate 020931200z in gwReq.pem –out gwCert.pem

در آخرين مرحله روي اين گواهينامه يك فايل باينري با فرمت PKCS#12 مي سازيم كهدر ادامه براي سرويس گيرنده هاي ويندوز xp /2000 لازم داريم.

Openssl pkcs12 –export –inusercert.pem –inkey private/userkey.pem –certfile caCert.pem-out user.p12

در بخش پيش بر پايه لينوكس 2.4 و Free S/WAN يك VPN Security Gateway راه انداختيم. با نصب patch هاي x.509 (www.strongsec.com/freewan/) Gateway را با تنامين اعتبار هاي مطمئن و رمز گذاري هاي قوي كامل كرديم. به اين ترتيب پيكر بندي سرويس دهنده به پايان مي رسد. اكنون بايد سرويس گيرنده ها را براي دسترسي به VPN تنظيم كنيم. فرض مي كنيم كه سيستم عامل مورد استفاده كاربران بيرون از شبكه ويندوز 2000 و xp است كه هر دوي آنها برنامه هاي لازم براي ايجاد و مديريت ارتباط هاي IPsec را در خود دارند.

البته بايد اين احتمال را نيز در نظر گرفت كه شايد برخي كاربران با سيستم ويندوز 9x/Me قصد استفاده از VPN را داشته باشند. در اين حالت به يك برنامه سرويس گيرنده IPsec نياز داريم. يكبار معروفترين اين برنامه ها كه براي كاربردهاي شخصي رايگان است PGPnet مي باشد. اين برنامه را مي توان حتي روي ويندوز هاي NT و 2000 هم بكار برد.

ويندوز 2000 و XP

ويندوز هاي 2000و XP با توجه به پشتيباني از IPsec براي استفاده به عنوان سرويس گيرنده IPsec بسيار مناسبند. اين دو سيستم عامل افزون بر سرويس هاي IPsec امكاناتي هم براي ايمني IP دارند. براي ساختن يك تونل VPN، كافي است كه به كاربر تنها سرويس IPsec را اجرا كرده و گزينه هاي لازم را در آن تنظيم كند.

البته فرض بر اين است كه تنظيمات امنيتي از پيش انجام شده باشد. انجام اين كار در ويندوز چندان ساده نيست. در ويندوز 2000 بايد برنامه IPsecPOL

http://agent.microsoft.com/windows2000/techinfo/reskit/tools/existing/ipsecpol-o.asp
را از ResourceKit نصب كنيد. در ويندوز XP بجاي آن به IPsecCmd نياز داريم. براي دستيابي به اين برنامه بايد Support Tools را در ويندوز XP به طور كامل نصب كنيد(فهرست \SUPPORT\TOOLS روي CD ويندوز XP).

تنظيم ipsec.conf

اكنون ipsec.conf را كه قبلا آماده كرده بوديم مطابق كاربردمان تنظيم كنيم. در conn %default ارتباط هاي تلفني(Dail up) كه بايد به طور خودكار فعال شوند مشخص مي شوند.

سپس بخشي قرار مي گيرد كه با conn آغاز مي شود و پارامترهاي ارتباط VPN را در خود دارد. آدرس هاي محلي كه به طور خودكار براي آدرس هاي سرويس گيرنده ها به كار مي روند با با left = %any مشخص مي شوند. در right آدرس IP مربوط به VPNGateway را واردكنيم. پارامترrightsubnet هم آدرس IP و ماسك شبكه اي كه ارتباط با آن برقرار مي شود را در خود دارد. در اينجا مي توانيد از هر دو شيوه نوشتن آدرس ها يعني 172.16.0.0/16 يا172.16.0.0/255.255.0.0 استفاده كنيد. Network مشخص مي كند كه ارتباط از طريق تماس تلفني (network = ras)، شبكه (network = lan) يا هر دو (network = both) برقرار شود.

پيكر بندي سرويس گيرنده

اكنون بايد فايل آرشيوي كه براي گواهينامه كاربر، رمز عبور،IPsec و ipsec.conf ساختيم را از يك راه مطمئن (مثلا Email رمز گذاري شده) به كامپيوتر سرويس گيرنده بفرستيم. پس از باز كردن اين فايل، بايد يكSnap in را همان طور كه در شكل مي بينيد اضافه كنيد . براي اين منظور در "Start,Run" ، mmc را وارد كنيد. سپس از طريق "File,Add/Remove Snap-in" يك Plug in از از جنس Certificate بسازيد. اين Plug in بايد از جنس Compeuter account براي Local computer باشد. پس از اتمام كار و زدن كليدهاي Finish ، Close وOk ،Plug in را در پنجره MMC خواهيد ديد.

آموزش راه‌اندازي شبكه خصوصي مجازي (VPN)

شبكه خصوصي مجازي يا VPN (Virtual Private Network) در اذهان تصور يك مطلب پيچيده براي استفاده و پياده كنندگان آن به وجود آورده است . اما اين پيچيدگي ، در مطالب بنيادين و مفهومي آن است نه در پياده‌سازي .
اين نكته را بايد بدانيد كه پياده‌سازي VPN داراي روش خاصي نبوده و هر سخت‌افزار و نرم‌افزاري روش پياده‌سازي خود را داراست و نمي‌توان روش استانداردي را براي كليه موارد بيان نمود . اما اصول كار همگي به يك روش است .

مختصري درباره تئوري VPN

مفهوم اصلي VPN چيزي جز برقراري يك كانال ارتباطي خصوصي براي دسترسي كاربران راه دور به منابع شبكه نيست . در اين كانال كه بين دو نقطه برقرار مي‌شود ، ممكن است كه مسيرهاي مختلفي عبور كند اما كسي قادر به وارد شدن به اين شبكه خصوصي شما نخواهد بود . گرچه مي‌توان از VPN در هر جايي استفاده نمود اما استفاده آن در خطوط Dialup و Leased كار غير ضروري است (در ادامه به‌دليل آن پي خواهيد برد).
در يك ارتباط VPN شبكه يا شبكه‌ها مي‌توانند به هم متصل شوند و از اين طريق كاربران از راه دور به شبكه به راحتي دسترسي پيدا مي‌كنند. اگر اين روش از ارائه دسترسي كاربران از راه دور را با روش خطوط اختصاصي فيزيكي (Leased) مقايسه كنيم ، مي‌بينيد كه ارائه يك ارتباط خصوصي از روي اينترنت به مراتب از هر روش ديگري ارزان‌تر تمام مي‌شود .

از اصول ديگري كه در يك شبكه VPN در نظر گرفته شده بحث امنيت انتقال اطلاعات در اين كانال مجازي مي‌باشد . يك ارتباط VPN مي‌تواند بين يك ايستگاه كاري و يك شبكه محلي و يا بين دو شبكه محلي صورت گيرد. در بين هر دو نقطه يك تونل ارتباطي برقرار مي‌گردد و اطلاعات انتقال يافته در اين كانال به صورت كد شده حركت مي‌كنند ، بنابراين حتي در صورت دسترسي مزاحمان و هكرها به اين شبكه خصوصي نمي‌توانند به اطلاعات رد و بدل شده در آن دسترسي پيدا كنند.

جهت برقراري يك ارتباط VPN ، مي‌توان به كمك نرم‌افزار يا سخت‌افزار و يا تركيب هر دو ، آن را پياده‌سازي نمود . به طور مثال اكثر ديواره‌هاي آتش تجاري و روترها از VPN پشتيباني مي‌كنند . در زمينه نرم‌افزاري نيز از زمان ارائه ويندوز NT ويرايش 4 به بعد كليه سيستم عامل‌ها داراي چنين قابليتي هستند .

پياه‌سازي VPN

براي پياده‌سازي VPN بر روي ويندوز 2000 كافيست كه از منوي Program/AdministrativeTools/ ، گزينه Routing and Remote Access  را انتخاب كنيد . از اين پنجره گزينه VPN را انتخاب كنيد . پس از زدن دكمه Next وارد پنجره ديگري مي‌‌شويد كه در آن كارت‌هاي شبكه موجود بر روي سيستم ليست مي‌شوند .

براي راه‌اندازي يك سرور VPN مي‌بايست دو كارت شبكه نصب شده بر روي سيستم داشته باشيد .

از يك كارت شبكه براي ارتباط با اينترنت و از كارت ديگر جهت برقراري ارتباط با شبكه محلي استفاده مي‌شود. در اين‌جا بر روي هر كارت به‌طور ثابت IP قرار داده شده اما مي‌توان اين IPها را به صورت پويا بر روي كارت‌هاي شبكه قرار داد .

در پنجره بعد نحوه آدرس‌دهي به سيستم راه دوري كه قصد اتصال به سرور ما را دارد پرسيده مي‌شود . هر ايستگاه كاري مي‌ تواند يك آدرس IP براي كار در شبكه محلي و يك IP براي اتصال VPN داشته باشد . در منوي بعد نحوه بازرسي كاربران پرسيده مي‌شود كه اين بازرسي مي‌ تواند از روي كاربران تعريف شده در روي خود ويندوز باشد و يا آنكه از طريق يك سرويس دهنده RADIUS صورت گيرد در صورت داشتن چندين سرور VPN استفاده از RADIUS را به شما پيشنهاد مي‌كنيم . با اين روش كاربران ، بين تمام سرورهاي VPN به اشتراك گذاشته شده و نيازي به تعريف كاربران در تمامي سرورها نمي‌باشد.

پروتكل‌هاي استفاده شونده

عملياتي كه در بالا انجام گرفت تنها پيكربندي‌هاي لازم جهت راه‌اندازي يك سرور VPN مي‌باشد .

اما (Remote Routing Access Service) RRAS داراي دو پروتكل جهت برقراري تونل ارتباطي VPN مي‌باشد. ساده‌ترين پروتكل آن PPTP (Point to Point Tunneling Protocol) است ، اين پروتكل برگرفته از PPP است كه در سرويس‌هاي Dialup مورد استفاده واقع مي‌شود ،‌ در واقع PPTP همانند PPP عمل مي‌كند .

پروتكل PPTP در بسياري از موارد كافي و مناسب است ،‌ به كمك اين پروتكل كاربران مي‌توانند به روش‌هاي PAP (Password Authentication Protocol) و Chap (Challenge Handshake Authentication Protocol) بازرسي شوند. جهت كد كردن اطلاعات مي‌توان از روش كد سازي RSA استفاده نمود.

PPTP براي كاربردهاي خانگي و دفاتر و افرادي كه در امر شبكه حرفه‌اي نيستند مناسب است اما در جايگاه امنيتي داراي پايداري زيادي نيست . پروتكل ديگري به نام L2TP (Layer2 Forwarding) به وسيله شركت CISCO ارائه شده كه به لحاظ امنيتي بسيار قدرتمندتر است.

اين پروتكل با استفاده از پروتكل انتقال اطلاعات UDP (User Datagram Protocol) به‌جاي استفاده از TCP به مزاياي زيادي دست يافته است . اين روش باعث بهينه و ملموس‌تر شدن براي ديواره‌هاي آتش شده است ، اما باز هم اين پروتكل در واقع چيزي جز يك كانال ارتباطي نيست . جهت حل اين مشكل و هر چه بالاتر رفتن ضريب امنيتي در VPN شركت مايكروسافت پروتكل ديگري را به نام IPSec (IP Security) مطرح نموده كه پيكربندي VPN با آن كمي دچار پيچيدگي مي‌گردد.

اما در صورتي كه پروتكل PPTP را انتخاب كرده‌ايد و با اين پروتكل راحت‌تر هستيد تنها كاري كه بايد در روي سرور انجام دهيد فعال كردن قابليت دسترسي Dial in مي‌باشد. اين كار را مي‌توانيد با كليك بر روي Remote Access Polices در RRAS انجام دهيد و با تغيير سياست كاري آن ، آن را راه‌اندازي كنيد (به‌ طور كلي پيش‌فرض سياست كاري کرد كليه درخواست‌ها مي‌باشد).

دسترسي ايستگاه كاري از طريق VPN

حالا كه سرور VPN آماده سرويس‌دهي شده ، براي استفاده از آن بايد بر روي ايستگاه كاري نيز پيكربنديهايي را انجام دهيم . سيستم عاملي كه ما در اين‌جا استفاده مي‌كنيم ويندوز XP مي‌باشد و روش پياده‌سازي VPN را بر روي آن خواهيم گفت اما انجام اين كار بر روي ويندوز 2000 نيز به همين شكل صورت مي‌گيرد . بر روي ويندوزهاي 98 نيز مي‌توان ارتباط VPN را برقرار نمود ، اما روش كار كمي متفاوت است و براي انجام آن بهتر است به آدرس زير مراجعه كنيد :

www.support.microsot.com

بر روي ويندوزهاي XP ، يك نرم‌افزار جهت اتصال به VPN براي هر دو پروتكل PPTP و L2TP وجود دارد. در صورت انتخاب هر كدام ،‌ نحوه پيكربندي با پروتكل ديگر تفاوتي ندارد . راه‌اندازي VPN كار بسيار ساده‌اي است ،

كافيست كه بر روي Network Connection كليك نموده و از آن اتصال به شبكه خصوصي از طريق اينترنت (Private Network Through Internet)  را انتخاب كنيد .

در انجام مرحله بالا از شما يك اسم پرسيده مي‌شود . در همين مرحله خواسته مي‌شود كه براي اتصال به اينترنت يك ارتباط تلفني (Dialup) تعريف نماييد ، پس از انجام اين مرحله نام و يا آدرس سرور VPN پرسيده مي‌شود .

مراحل بالا تنها مراحلي است كه نياز براي پيكربندي يك ارتباط VPN بر روي ايستگاه‌هاي كاري مي‌باشد . كليه عمليات لازمه براي VPN به صورت خودكار انجام مي‌گيرد و نيازي به انجام هيچ عملي نيست . براي برقراري ارتباط كافيست كه بر روي آيكوني كه بر روي ميز كاري ايجاد شده دو بار كليك كنيد پس از وارد كردن كد كاربري و كلمه عبور چندين پيام را مشاهده خواهيد كرد كه نشان‌دهنده روند انجام برقراري ارتباط VPN است .

اگر همه چيز به خوبي پيش رفته باشد مي‌توانيد به منابع موجود بر روي سرور VPN دسترسي پيدا كنيد اين دسترسي مانند آن است كه بر روي خود سرور قرار گرفته باشيد .

ارتباط سايت به سايت (Site-to-Site VPN)

در صورتي كه بخواهيد دو شبكه را از طريق يك سرور VPN دومي به يكديگر وصل كنيد علاوه بر مراحل بالا بايد چند كار اضافه‌تر ديگري را نيز انجام دهيد .

جزئيات كار به پروتكلي كه مورد استفاده قرار مي‌گيرد . جهت اين كار بايد سرور را در پنجره RRAS انتخاب كرده و منوي خاص (Properties) آن را بياوريد .

در قسمت General مطمئن شويد كه گزينه‌هاي LAN و Demand Dial انتخاب شده باشند (به طور پيش گزيده انتخاب شده هستند). هم‌چنين اطمينان حاصل كنيد كه پروتكل را كه قصد روت (Route) كردن آن را داريد فعال است .

پس از مراحل بالا نياز به ايجاد يك Demand Dial داريد ، اين كار را مي‌توانيد با يك كليك راست بر روي واسط روت (Routing Interface) انجام دهيد .

در پنجره بعدي كه ظاهر مي‌شود بايد براي اين ارتباط VPN خود يك نام تعيين كنيد اين نام بايد همان اسمي باشد كه در طرف ديگر كاربران با آن به اينترنت متصل مي‌شوند در صورتي كه اين مطلب را رعايت نكنيد ارتباط VPN شما برقرار نخواهد شد .

پس از اين مرحله بايد آدرس IP و يا نام دامنه آن را مشخص كنيد و پس از آن نوع پروتكل ارتباطي را تعيين نمود .

اما مرحله نهايي تعريف يك مسير (Route) بر روي سرور ديگر مي‌باشد بدين منظور بر روي آن سرور در قسمت RRAS ، Demand Dial  را انتخاب كنيد و آدرس IP  و ساب‌نت را در آن وارد كنيد و مطمئن شويد كه قسمت
Use This to Initate Demand

انتخاب شده باشد . پس از انجام مرحله بالا كار راه‌اندازي اين نوع VPN به پايان مي‌رسد .

 

• شبکه بی سیم
اگر چه سرمایه گذاری اولیه برای تجهیزات سخت افزاری شبکه بی سیم عموما(نه همیشه) شبکه ای مثل اترنت تمام می شود و لیکن جمع هزینه های نصب، پیاده سازی، پیکربندی، و نگهداری آن بطور قابل ملاحظه ای از شبکه های سیمی کمتر است. بنابراین شبکه های بی سیم عموما در رده شبکه های ارزان رده بندی میشوند. ارزان بودن شبکه بی سیم دلیل بر مفید بودن آن در تمام محیط ها نیست و بکارگیری بی هدف، فقط اتلاف سرمایه به دنبال خواهد داشت. لذا در طرح مقدماتی خود باید پارامترهای زیر را ارزیابی کرده باشید:
میزان سرمایه گذاری برای پیاده سازی یک شبکه با حداقل کارایی مورد نیاز
میزان سرمایه گذاری برای پیاده سازی یک شبکه با قابلیت رشد و گسترش 5 ساله
میزان استهلاک سرمایه
مقایسه هزینه شبکه بی سیم با شبکه ای سیمی با همان اندازه کارایی
مقایسه هزینه شبکه بی سیم با شبکه ای سیمی با همان اندازه قابلیت رشد
مقایسه هزینه پشتیبانی و نگهداری شبکه بی سیم با راه حل های سیمی
مدیران سازمان عموما از مباحث تخصصی طرح چیزی سر در نمی آورند و در صورت نیاز باید مشاور بگیرند و لیکن مباحث مالی و سرمایه گذاری را خوب می فهمند و برایشان اهمیت دارد. لذا توصیه می کنیم بخش محاسبه هزینه را بدقت انجام داده و از آمار، عدد و رقم و منحنی غافل نشوید و در صورت لزوم از یک متخصص اقتصادی مشاوره بگیرید.

 

انواع شبکه های بی سیم:

• شبکه voip
ارتباطات يكی از نيازهای حياتی بشريت است و انسان همواره به دنبال ابداع فن آورهائی بوده است كه بتواند با استفاده از آنان با ساير همنوعان خود ارتباط برقرار نمايد . در گذشته ای نه چندان دور كه انسان استفاده از اينترنت را تجربه نكرده بود ، ارتباطات محاوره ای صرفا" از طريق تلفن و به كمك خطوط PSTN ( برگرفته از Public Switched Telephone Network ) ، انجام می گرديد . در سيستم فوق ، سيگنال های صوتی آنالوگ با استفاده از كابل های مسی حمل و مبادله داده خصوصا" در مسافت های طولانی گرانقيمت و ارتباطات دوسويه ويديوئی رويائی بيش نبود ( در آن زمان صرفا" از تلويزيون استفاده می گرديد كه به عنوان يك رسانه دوسويه محسوب نمی گردد ).
در ساليان اخير ما شاهد اتفاقات جالبی بوده ايم كه هر يك به سهم خود تاثيری غيرقابل انكار در حيات بشريت داشته اند . ابداع كامپيوترهای شخصی ، فن آوری های جديد ارتباطی نظير تلفن های سلولی و نهايتا" اينترنت نمونه هائی در اين زمينه می باشند كه باعث شده است انسان بتواند با استفاده از سرويس های جديدی نظير نامه الكترونيكی ، چت و مواردی‌ ديگر با ساير افراد ارتباط برقرار نمايد .
در حال حاضر می توانيم نظاره گر يك انقلاب واقعی در عرصه ارتباطات باشيم . هر شخص با استفاده از كامپيوتر و اينترنت می تواند با ساير افراد مورد علاقه خود ارتباط برقرار نموده ، داده ئی را مبادله و يا از طريق امكانات نرم افزاری موجود با يكديگر گفتگو نمايند . ما نمی دانيم دقيقا" در آينده چه اتفاقی خواهد افتاد ولی اين را می دانيم كه كامپيوتر دارای نقشی محوری و اساسی در اين رابطه خواهد بود . اينترنت با سرعت بالا در همه جا استفاده خواهد شد و مردم با يكديگر به صورت صوتی و تصويری ارتباط برقرار خواهند نمود .
به هرحال ، رشد بی سابقه اينترنت در ساليان اخير اين نويد را می دهد كه بتوان از زيرساخت موجود به عنوان يك گزينه مطلوب به منظور ارتباطات استفاده نمود .

VoIP • چيست ؟
VoIP ( برگرفته از Voice over internet protocol ) که با نام IP تلفنی نیز از آن یاد می شود ، امکان استفاده از اینترنت به منظور مکالمات تلفنی را فراهم می نماید . در مقابل استفاده از خطوط تلفن سنتی ، VoIP از فن آوری دیجیتال استفاده می نمايد و نیازمند یک اتصال broadband نظیر DSL است . هم اینک شرکت های متعددی سرویس فوق را در اختیار علاقه مندان قرار می دهند .
در واقع ، با استفاده از فن آوری VoIP صدای انسان توسط بسته های اطلاعاتی IP و از طريق اينترنت ارسال می گردد . VoIP می تواند به منظور تامين خواسته فوق از سخت افزارهای شتاب دهنده استفاده نمايد و يا از آن در يك محيط مبتنی بر كامپيوترهای شخصی استفاده گردد .

VoIP • چگونه كار می كند ؟
در گذشته ای نه چندان دور ، پيشگامان عرصه های علمی به اين نتيجه رسيدند كه می توان يك سيگنال را به صورت ديجيتال و در يك مسافت طولانی ارسال نمود . بدين منظور می بايست قبل از ارسال سيگنال ، آن را با استفاده از يك مبدل آنالوگ به ديجيتال(ADC ) ، ديجيتال و سپس ارسال و در نقطه پايانی انتقال،با استفاده از يك مبدل ديجيتال به آنالوگ(DAC ) مجددا" آن را به آنالوگ تبديل نمود .
فن آوری VoIP نظير آنچه اشاره گرديد كار می كند . در ابتدا ، صدای ديجيتال شده در بسته های اطلاعاتی قرار می گيرد و پس از ارسال در مقصد مجددا" به صوت تبديل می گردد. با ذخيره اطلاعات به فرمت ديجيتال می توان بر روی آنان كنترل بهتری را اعمال نمود . مثلا" می توان آنان را فشرده ، مسير آنان را تعيين و يا آنان را به يك فرمت جديد ديگر تبديل نمود .
شبكه های مبتنی‌ بر پروتكل TCP/IP از بسته های اطلاعاتی IP تشكيل می گردند كه شامل يك هدر ( برای كنترل ارتباطات ) و يك paylaod به منظور مبادله داده می باشند . فن آوری VoIP از بسته های اطلاعاتی IP به منظور حركت در شبكه و رسيدن به مقصد نهائی استفاده می نمايد .

• مزاياي VoIP
از­آن­جايي­كه با استفاده از VoIP شما از هر جايي كه به پهناي باند مناسب دسترسي داشته باشيد، مي­توانيد ارتباط برقرار كنيد، كاربران مي­توانند هنگام مسافرت ATAها يا IP Phoneهايشان را همراه داشته باشند و به تمام خدماتي كه تلفن خانگي­شان ارائه مي­دهد دسترسي داشته باشند.
برخي افراد از يك softphone براي دسترسي به سرويس VoIPشان استفاده مي­كنند. يك softphone يك نرم­افزار ويژه است كه سرويس VoIP را به كامپيوتر يا laptop شما load مي­كند. اين برنامه­ها اين امكان را به شما مي­دهد كه از طريق laptopتان از هرجاي دنيا كه به يك ارتباط با پهناي باند مناسب دسترسي داشته باشيد ارتباط تلفني برقرار كنيد.
اغلب شركت­هاي تلفني سنتي هزينه سرويس­هاي اضافي را در صورت حساب شما مي­گنجانند. در حالي­كه اگر از سرويس­دهنده­هاي VoIP استفاده كنيد، اين سرويس­ها استاندارد به حساب مي­آيد. سرويس­هايي مثل:

Caller ID

Call Waiting

Call Transfer

Repeat Dialing

Return Call

Three-way Dialing

بعضي از سرويس­دهندگان VoIP مزاياي بيش­تري در مورد فيلتر كردن تماس­هاي تلفني ارائه مي­دهند. اين قابليت­هاي اضافي به شما اين امكان را مي­دهد كه در مورد چگونگي انتقال تماس­هاي تلفني بر اساس اطلاعات Caller ID تصميم­گيري نمائيد. اين قابليت­ها به شما امكان انجام كارهاي زير را مي­دهد:
:: انتقال تماس تلفني به يك شماره تلفن خاص (Forwarding )
:: ارسال مستقيم تماس به Voicemail
:: ارسال پيغام اشغال بودن مشترك به تماس گيرنده
:: امكان سرويس در دسترس نبودن مشترك
بسياري از سرويس­هاي VoIP امكان بررسي Voicemail شما را از طريق اينترنت و يا توسط فايل پيوست نامه الكترونيكي كه به كامپيوتر يا PDA شما ارسال شده است را مي­دهد. در هنگام تهيه سرويس VoIP از سيستم تلفن و سرويس دهنده VoIP در مورد قابليت­هاي آن­ها و هزينه خدمات سوال كنيد.
براي مديران شبكه، سيستم تلفن VoIP به اين معني است كه به جاي دو شبكه تنها با يك شبكه روبرو هستند. جابجايي سيستم VoIP نيز به آساني صورت مي­گيرد. اين بدين دليل است كه اكثر سيستم­هاي تلفن مورد استفاده در شبكه VoIP داراي رابط Web بوده و به راحتي توسط مدير شبكه قابل مديريت هستند. پروسه MAC(Move, Add, Change ) به راحتي قابل انجام خواهد شد و لازم نيست براي هر بار انجام MAC با سرويس­دهنده­تان تماس بگيريد. تمام اين­ها به معناي هزينه كم­تر براي سازمان شما مي­باشد.
يكي ديگر از منافعي كه براي شركت­هاي داراي VoIP مي­تواند وجود داشته باشد اين است كه شعب سازمان­ها مي­توانند در سرتاسر دنيا پراكنده شده باشند و نيازي به مجتمع بودن آن­ها نيست.

Voice (source) - > ADC - - - Internet - - - DAC - > Voice (dest)

 

• مزايای استفاده از VoIP نسبت به PSTN
در زمان استفاده از خطوط PSTN ، كاربران عملا" هزينه زمان استفاده شده توسط شركتی كه مديريت خط PSTN را برعهده دارد ،‌ پرداخت می نمايند و هر اندازه كه بيشتر با تلفن صحبت نمايند هزينه بيشتری را نيز می بايست پرداخت نمايند. علاوه بر اين ، نمی توان بطور همزمان با بيش از يك شخص گفتگو نمود .
در فن آوری VoIP می توان هر زمان و با هر شخص گفتگو نمود . كافی است كه در آن مقطع زمانی ساير افرادی كه شما می خواهيد با آنان گفتگو نمائيد نيز به اينترنت متصل شده باشند . مكالمه برقرار شده تا زمان دلخواه ( مستقل از هزينه های مربوطه ) می تواند ادامه يابد. علاوه بر اين ، می توان در يك زمان با چندين نفر گفتگو نمود . در زمان گفتگو با ساير افراد و بطور همزمان می توان با آنان داده ئی ( نظير تصاوير ، نمودارها و تصاوير ويديوئی ) را نيز مبادله نمود .

• چرا تاكنون از اين فن آوری در ابعاد گسترده ای استفاده نشده است ؟
در اين بخش لازم است به برخی مسائل حاصل از ائتلاف بين معماری VoIP و اينترنت اشاره گردد. مبادله داده صوتی می بايست به صورت بلادرنگ و بدون توقف انجام گردد و اين موضوع با معماری نامتجانس اينترنت كه ممكن است از تعدادی روتر ( ماشين هائی كه مسيريابی بسته های اطلاعاتی را انجام می دهند ) به منظور مسيريابی بسته های اطلاعاتی استفاده نمايد، همخوانی نداشته و می تواند باعث بروز مسائل خاصی نظير افزايش زمان RTT ( برگرفته Round Trip Time ) گردد . بنابراين ، می بايست با اعمال تغييرات لازم و بكارگيری فن آوری های ديگر ، زمينه استفاده موثر از فن آوری VoIP را فراهم نمود .

• نحوه ايجاد يك اتصال VoIP
برای ايجاد يك ارتباط مبتنی بر VoIP ،‌ می بايست مراحل زير را دنبال نمود ( تمامی مراحل می بايست به صورت بلادرنگ انجام گردد).

تبديل سيگنال آنالوگ به ديجيتال : تبديل سيگنال صوتی آنالوگ به سيگنال ديجيتال ( مجموعه ای از صفر و يك ) توسط يك مبدل آنالوگ به ديجيتال ( ADC )

فشرده سازی سيگنال ديجيتال : پس از تبديل سيگنال صوتی به ديجيتال ، بيت های موجود می بايست بر اساس يك فرمت مناسب فشرده تا آماده ارسال گردند . در اين رابطه از پروتكل های متعددی استفاده می گردد . PCM و استاندارد ITU-T G.711 نمونه هائی در اين زمينه می باشند .

استفاده از يك پروتكل بلادرنگ : در اين مرحله ، بسته های صوتی در بسته های اطلاعاتی و با استفاده از يك پروتكل بلادرنگ ( عموما" RTP بر روی UDP ) قرار می گيرند.

استفاده از يك پروتكل سيگنالينگ : در اين مرحله لازم است از يك پروتكل سيگنالينگ به منظور فراخوانی كاربر استفاده گردد . پروتكل ITU-T H323 نمونه ای دراين زمينه می باشد . تبديل سيگنال ديجيتال به آنالوگ : در سمت گيرنده ، می بايست بسته های اطلاعاتی از يكديگر مجزاء ، داده ها استخراج و به سيگنال های صوتی آنالوگ تبديل و در نهايت برای كارت صدا و يا تلفن ارسال گردند .

 

• نحوه برقراري ارتباط
با سيستم­هاي VoIP به يكي از سه روش زير مي­توان ارتباط تلفني برقرار كرد:

ATA(gatewa ) •
ساده­ترين روش برقراري ارتباط VoIP با استفاده از ATA(Analog Telephone Adaptor )ها كه gateway هم ناميده مي­شوند، مي­باشد. اين ابزارها اين امكان را به شما مي­دهند كه از تلفن­هاي آنالوگ استاندارد فعلي­تان استفاده كنيد(اگر هنوز از تلفن­هاي آنالوگ استفاده مي­كنيد). به آساني مي­توانيد handset استانداردتان را به ATA متصل كنيد، سپس ATA را به كامپيوتر يا ارتباط اينترنت­تان وصل كنيد. با اين كار قادر به برقراري ارتباط VoIP خواهيد بود. ATA سيگنال آنالوگ را از تلفن استاندارد شما مي­گيرد و آن را به سيگنال ديجيتال آماده براي انتقال در بستر اينترنت تبديل مي­كند. همراه برخي ATAها يك نرم­افزار هست كه روي كامپيوتر load مي­شود و شما را قادر مي­سازد كه آن را براي VoIP با دقت پيكربندي كنيد.

IP Phones •
اين handsetها كاملاً شبيه handsetهاي استاندارد معمولي است. داراي يك كانكتور RJ 45 Ethernet به جاي كانكتورهاي استاندارد RJ 11 هستند. اين تلفن­ها تمام نرم­افزارها و سخت­افزارهاي لازم براي برقراري ارتباطات VoIP را به صورت built-in دارند. مستقيمأ به روتر شما وصل مي­شوند و يك ورودي سريع و مقرون به صرفه به دنياي VoIP فراهم مي­كنند.

• كامپيوتر به كامپيوتر
اين روش آسان­ترين روش استفاده از تكنولوژي VoIP است. شركت­هاي زيادي هستند كه نرم­افزارهاي مقرون­به­صرفه­اي ارائه مي­دهند كه مي­توانيد براي اين نوع VoIP از آن­ها استفاده كنيد. معمولاً تنها مبلغي كه بايد پرداخت كنيد فقط هزينه ماهانه ISP است. تمام آن­چه كه نياز داريد يك ميكروفون،بلندگو، يك كارت صداي مناسب و يك ارتباط اينترنت با سرعت مناسب است.
شركت­هاي تلفني بزرگ امروزه با استفاده از VoIP هزاران تماس تلفني راه دور را از طريق يك circuit switch به درون يك IP gateway مسيردهي مي­كنند. اين داده­ها در طرف ديگر توسط يك gateway دريافت ­شده و سپس با يك circuit switch محلي ديگر مسيردهي مي­شود. هر روزه شركت­هاي بيش­تري سيستم­هاي تلفني VoIP را نصب مي­كنند و تكنولوژي VoIP در حال رشد است.

• انتخاب يك سيستم تلفن VoIP
اگر شما تصميم به پياده­سازي سيستم VoIP در سازمان خود داريد، ابتدا مشخص كنيد كه كدام­يك از تجهيزات تلفني فعلي­تان را مي­توانيد حفظ كنيد. بدين ترتيب مي­توانيد به ميزان زيادي در هزينه­ها صرفه­جويي كنيد. بسياري از سيستم­هاي تلفن ديجيتال با افزودن كم­ترين سخت­افزار و به­روزرساني نرم­افزار داراي قابليت آدرس­دهي مي­شوند.
لاوه بر اين شما بايد مطمئن باشيد كه تمامي دستگاه­هاي مورد استفاده شما مانند فكس، پردازشگر كارت اعتباري، سيستم­هاي امنيتي و ... مي­توانند به صورت يكپارچه به سيستم تلفن VoIP شما متصل شود.
در آخر توصيه مي­شود كه هيچ­گاه سعي نكنيد با خريدن تلفن­هاي VoIP دست دوم در هزينه­ها صرفه­جويي كنيد. به خاطر داشته باشيد كه VoIP يك تكنولوژي جديد بوده و حتي ممكن است تجهيزات مربوط به يك سال قبل هم از رده خارج شده باشند. هم­چنين هزينه نصب چه تلفن شما نو باشد چه دست دوم تفاوتي نمي­كند، و حتي ممكن است در صورت استفاده از تلفن­هاي دست دوم مجبور شويد هزينه خدمات بيش­تري بپردازيد.

Vsat • چيست ؟
Very Small Aperature Terminal  يا بطور خلاصه Vsat به مفهوم يک پايانه زمينی بسيار کوچک ميباشد که برای ارسال و دريافت اطلاعات از طريق ماهواره مورد استفاده قرار می گيرد.
عبارت بسيار کوچک (Very Small ) بدان جهت به اين پايانه ها اطلاق ميشود که معمولا قطر آنتن اين نوع پايانه های زمينی بين ۵۵ تا ۲۴۰ سانتی متر است که اين آنتنها بر روی بام ساختمان يا بسته به شرايط محيطی در سطح زمين نصب می شوند.
هر پايانه زمينی VSAT شامل دو بخش به نامهای Outdoor Unit , Indoor Unit است.
يک آنتن که به يک LNB و يک Transmitter متصل ميشود ٫ بخش خارجی يا Outdoor Unit ) ODU ) را تشکيل ميدهد. LNB   کار دريافت سيگنال از ماهواره و ترنسميتر عمل ارسال سيگنال به ماهواره را انجام ميدهد.
بخش داخلی پايانه زمينی Indoor Unit ) ODU ) شامل يک جعبه کوچک شبيه يک ريسيور است که در آن بردهای الکترونيکی ويژه جهت دريافت و ارسال اطلاعات و نيز رابط کاربری Interface برای تجهيزاتی نظير LAN و کامپيوتر و تلفن و دوربين ويديويی و... می باشد.
دو بخش IDU , ODU از طريق يک زوج کابل به يکديگر متصل ميشوند و يک پايانه زمينی بسيار کوچک VSAT را ميسازند.

• مزيتها :
a ) مانند شبکه مخابراتی زمينی نياز به کابل کشی و محدوديتهای مربوطه را ندارد.
b ) يک VSAT ميتواند در هر نقطه از سطح زمين که ماهواره پوشش دهد نصب و راه اندازی شود.
c ) و يک VSAT قادر است هر نوی محتوای اطلاعاتی را با سرعتی بالا بدون اهميت نزديک بودن به مرکز switching مخابراتی ارسال و دريافت نمايد.

 

 

تهیه کننده : کبری برزویی

 

مقدمه:
موضوع امنيت در شبكه ها آنقدر مهم است كه لازم باشد ضمن تأكيد مداوم بر آن، هراز گاهي نگاهي دوباره به آن انداخت و با توجه به تحولاتي كه در اين حوزه روي ميدهد، موضوع جديدي درباره آن نوشت يا موضوعات قبلي را با رويكردهاي جديد بازخواني كرد. موضوع امنيت در شبكه*هاي محلي بيسيم نيز از جمله مسايلي است كه در حال تغييرات مستمر است و با ظهور فناوري*هاي نو، مسأله امنيت در آن نيز وجوه ديگري مييابد. در اين مقاله سعي داريم تا بار ديگر نگاهي به اين مقوله بيندازيم. براي آشنايي بيشتر با موضوع شبكه*هاي بيسيم نيز ميتوانيد به مقالات قبلي كه فهرست آنها در انتهاي همين شماره آمده است، مراجعه فرماييد.

 

شبكه  محلي بيسيم
شبكه هاي بيسيم كه زماني به عنوان پروژه هاي راديوي آماتوري به كار گرفته مي شدند و زماني ديگر در اختيار نيروهاي نظامي بودند، اكنون به يكي از روش هاي متداول شبكه سازي و انتقال اطلاعات تبديل شده اند و از تلفن هاي سلولي تا PDAها، فراخوان ها و از همه مهمتر شبكه*هاي (Wireless LAN WLAN) بر مبناي همين تكنولوژي كار مي كنند و متناسب با همين كاربردها نيز استانداردهايي نظير 802.11 يا Bluetooth تعريف شده ند. براي بررسي مسأله امنيت در اين قبيل شبكه ها، شناخت اجزايي كه ممكن است مورد آسيب قرار بگيرند يا نحوه آسيب رساني كلي به اين شبكه ، بسيار مفيد است.

يكي از اجزاي اصلي در اين زمينه، Access Pointها يا نقاط دسترسي هستند كه آن ها را اختصاراً AP مي ناميم. APها در نقاط خاصي نصب مي شوند و كار سرويس دهي به همه ايستگاه هاي كاري شبكه را عهده دار مي شوند. تقريباً مانند همان كاري كه آنتن هاي تلفن هاي موبايل انجام مي دهند.


عوامل اصلي كه امنيت در شبكه بي سيم را تعريف مي كنند يا امنيت در اين شبكه ها از آن ها متأثر مي شوند، پنج عنصر هستند كه عبارتند از:

1- سارقان (Theft)

2- كنترل دسترسي (Access Control)

3- احراز هويت (Authentication)

4- رمزنگاري (Encryption)

5- حراست (Safegurad)

ارتباط اين عوامل را در شكل 1 مي توانيد ببينيد.
سارقان
كاربران غيرمجازي كه سعي مي كنند كه وارد شبكه شما شوند و داده هاي ارزشمند شما را بربايند. كارمندان قبلي يا اخراجي شركت  كه به هر علتي سعي در انتقام گرفتن از شركت را دارند، از جمله كانديدادهاي اصلي چنين افرادي مي باشند. ساده ترين كار براي جلوگيري از خرابكاري آن ها، غيرفعال كردن نام كاربري آن ها در زمان پايان قرارداد كاري مي باشد. اين كار ساده، يكي از كارآمدترين روش ها براي مقابله با اين افراد است.

كنترل دسترسي
در بسياري از سازمان ها، مجوزهاي دسترسي به آساني به همه اعطا مي شوند. خيلي ساده است كه در ويندوز روي Network Neighborhood كليك كنيد و همه اجزاي بيسيم يا باسيم موجود در شبكه (يا قسمتي از شبكه مربوط به خودتان) را مشاهده كنيد. اما آيا براي دسترسي به هر قسمت، رمزهاي عبور تعريف شده اند و در اين مورد سياستگذاري شده است؟

آيا مشخص است كه چه چيزهايي براي چه كساني به اشتراك گذاشته شده است؟ بسياري از كارمندان براي اين كه يك سند را براي شخص ديگري به اشتراك بگذارند، كل درايو حاوي آن سند را share مي*كنند و اين امكان را با تمام مجوزهاي خواندن و نوشتن فراهم مي*كنند. در چنين حالتي اگر يك ويروس به شبكه نفوذ كند، به سادگي ايستگاه كاربري آن كاربر را از كار مي*اندازد و متعاقب آن، امنيت كل شبكه را به مخاطره خواهد انداخت.

شبكه هاي بي سيم نه تنها همه آسيب پذيري هاي شبكه هاي كابلي (wired)را دارند، بلكه يك نفوذگر يا خرابكار مي تواند از بيرون از ساختمان شركت، با داشتن يك كارت شبكه بي سيم و مقداري مهارت، به AP شبكه شما متصل شود. پس اين جاست كه اهميت كنترل كردن دسترسي ها خود را بيشتر نشان مي دهد.

احراز هويت
آيا مي*دانيد هويت واقعي كاربري كه اكنون به شبكه وارد شده است چيست؟ ممكن است يك نفر از حساب كاربري شخص ديگري براي ورود به شبكه استفاده نموده باشد. در بسياري از سازمان*ها، تنها يك حساب كاربري با نامwireless user ايجاد مي*شود و همه افراد از همان اكانت براي ورود به شبكه استفاده مي*كنند. در نتيجه ورود هكرها نيز به شبكه به همان سهولت صورت مي*گيرد.

براي احراز هويت كاربران، مي*توانيد روتر شبكه را طوري تنظيم كنيد كه فقط به كارت*هاي شبكه مجاز امكان اتصال به شبكه را بدهد. از آن*جايي كه هر كارت شبكه بي*سيم داراي يك آدرس MAC منحصر به فرد است، لذا انجام اين كار به سادگي صورت مي*پذيرد.

رمزنگاري
اگر يك نفوذگر نتواند به*طور مستقيم و غيرمجاز به شبكه شما وارد شود، ممكن است از طريق packet sniffing بر ترافيك شبكه شما نظارت كند و آن را مورد حمله قرار دهد و با كنترل ترافيك شبكه به اطلاعات ارزشمندي همچون نام*هاي عبور، رمزهاي عبور و ساير اطلاعات دسترسي پيدا كند و در مرتبه بعدي با استفاده از آن اطلاعات به سادگي به شبكه وارد شود.

براي اين منظور بايد از روش*هاي رمزنگاري كه در روترها يا AP*ها تعبيه شده*اند استفاده كنيد. متأسفانه اغلب كاربران، ويژگي*هاي رمزنگاري را روي ادوات بي*سيم خود فعال نمي*كنند. پروتكل امنيتي WEP يكي از اين روش*هاي رمزنگاري است كه براي استاندارد IEEE 802.11b تعريف شده است. WEP امنيتي را معادل امنيت شبكه*هاي كابلي مي*دهد وليكن به تنهايي كافي نيست.

زيرا خطرات بيشتري شبكه*هاي بي*سيم را تهديد مي*كنند. پروتكل WEP در لايه*هاي پيوند داده (Data Link) و فيزيكي (Physical) استفاده مي*شود اما نمي*تواند ارتباطات نقطه به نقطه را پوشش دهد. اغلب روترها از رمزنگاري 64 بيتي و 128 بيتي پشتيباني مي*كنند. با اين*كه WEP امنيت كامل را برآورده نمي*كند وليكن بسياري از كاربران با غيرفعال كردن امكان رمزنگاري، از همين مزيت نيز خود را محروم مي*كنند.
حراست از شبكه
بهترين حفاظ براي شما، آشنا شدن خودتان با شبكه WLAN و تجهيزات بي*سيم*تان است. موضوعي كه درباره رمزنگاري گفتيم را بايد به دقت رعايت كنيد و حداقل رمزنگاري 64 بيتي را داشته باشيد، ولي توصيه مي*كنيم كه از رمزنگاري 128 بيتي استفاده كنيد. وقتي كه رمزنگاري را فعال كرديد بايد به سراغ محدود كردن دسترسي*ها و مجاز شمردن نشاني*هاي MAC خاصي برويد كه مي*توانند به شبكه متصل شويد.

شناخت امكانات و ويژگي*هاي روتر يا AP نيز بسيارمهم است. اغلب دستگاه*ها داراي چراغ راهنماي نشان*دهنده در جريان بودن ترافيك شبكه هستند. در ضمن نرم*افزارهايي دارند كه مي*توانند ترافيك را اندازه بگيرند و حجم ترافيك هر ارتباط را اندازه*گيري كنند و نشان بدهند. با همين نرم*افزارها مي*توانيد متوجه ترافيك*هاي غيرعادي در شبكه بشويد و علت را بررسي كنيد.

اگر متوجه شديد كه ارتباط غيرمجازي برقرار شده است، ممكن است نفوذ به شبكه شما صورت گرفته باشد. موضوع ديگر ثبت كردن يا log كردن فعاليت*هاي روي شبكه است. هكرها ممكن است در آن سوي ديوار شركت باشند و در هر ساعتي از شبانه*روز قصد ورود به شبكه را داشته باشند. ثبت وقايع شبكه و مرور مستمر آن*ها مي*تواند شما را از فعاليت آن*ها آگاه كند. اين*كه بارها براي ورود به شبكه تلاش ناموفق صورت گرفته است مي*تواند يكي از نشانه*هاي حمله مهاجمان باشد.

سيستم*هاي آشكارسازي نفوذ
وقتي از حراست از شبكه صحبت مي*كنيم، ناچاريم كه توضيحاتي هم درباره سيستم*هاي آشكارسازي نفوذ يا Intrusion Detection System داشته باشيم.

روش*هاي خودكار يا غيرخودكار زيادي براي نفوذ به شبكه*ها وجود دارند كه سيستم*هاي آشكارسازي نفوذ يا IDS ها مي*توانند آن*ها را كشف كنند. اين تلاش*ها مي*تواند در داخل شبكه يا خارج از شبكه صورت گيرد كه در هر دو صورت IDSها بايد بتوانند آن*ها را نشان دهد. انواع اوليه سيستم*هاي IDS در شكل 2 نشان داده شده است.
در اين شكل روش*هايي ديده مي*شوند كه عبارتند از:

آشكارسازي الگو (Pattern Detection): يك IDS داده*هاي مربوط به شبكه را جمع*آوري مي*كند و براي تحليل آن*ها، از يك پايگاه داده*اي بزرگ كه شامل الگوهاي انواع حمله*ها است كمك مي*گيرد. اين روش* براي مواقعي بسيار مناسب است كه نفوذگر از روش*هاي شناخته شده*اي كه الگوي آن*ها در بانك اطلاعاتي موجود است، استفاده مي*نمايد.

NIDS و HIDS: سيستم*هاي مبتني بر شبكه و ميزبان كه پكت*هاي شبكه را تحليل مي*كنند. NIDS پكت*هايي كه ز فايروال عبور كرده*اند را بررسي مي*كند و HIDS فعاليت همه كامپيوترها يا ميزبان*هاي موجود در شبكه را كنترل مي*كند.
سيستم*هاي غيرفعال و واكنشي
سيستم*هاي IDS غيرفعال (Passive)، اطلاعات شبكه را ثبت مي*كنند و در صورت ديدن مشكل، آن* را اعلام مي*كنند. سيستم*هاي واكنشي (Reactive) با ديدن مشكل، ارتباط آن كاربر را با شبكه قطع مي*كنند يا فايروال را طوري برنامه*ريزي مي*كنند كه مانع از ورود ترافيك از جانب نفوذگر شود.

لازم به توضيح است كه IDS با فايروال تفاوت دارد. يك ديواره آتش به*طور معمول از ورود هكرهاي خارج از شبكه جلوگيري مي*كند و به هكرهاي درون سازمان توجهي ندارد. اما يك IDS به محض رويت اولين تلاش براي نفوذ به شبكه، هشدار مي*دهد. ضمن آن*كه به هكرهاي درون سازمان نيز به دقت توجه دارد.
ابزار Net Stumbler شكل 4- شبكه*هاي عمومي و خصوصي شكل 5- ايمن*سازي شبكه بي*سيم*شكل 6- مديريت كليدهاچند سايت مفيد شكل 7- حملات فعال و غيرفعال*
خود*آموز استاندارد 802.11
1120-planet.com/tutorials 8www.
سازمان مهندسان برق و الكترونيك
www.ieee.org
بخش مربوط به WLAN در سازمانIEEE
/802Grouper.ieee.org/groups/
درباره طيف گسترده راديويي
www.sss-mag.com
گروه فوريت*هاي امنيت* رايانه*اي
www.cert.org شكل 7- حملات فعال و غيرفعال*
شكل 3- يك نفوذگر روي سيگنال*هاي Wi-Fi در پي Stumble است
NetStumber يكي از ابزارهايي است كه تحت سيستم*عامل ويندوز كار مي*كند و براي شبكه*هاي 802.11b ساخته شده است. در استاندارد 802.11 تجهيزات اغلب سازندگان با يكديگر سازگار است. اين ابزار به عنوان وسيله*اي براي كاهش مشكل inherent در ارتباطات بي*سيم ساخته شده است.


در اصل اين ابزار براي مشاوراني ساخته شده است كه مي*خواهند يك شبكه بي*سيم را از لحاظ دسترسي*پذيري و قابليت*هاي نفوذ مورد بررسي قرار دهند. به غيرازاين، مسؤول شبكه نيز مي*تواند از اين ابزار براي بررسي نقاط تحت پوشش شبكه خود استفاده كند و نحوه پوشش*دهي جغرافيايي شبكه 802.11 را ترسيم نمايد. البته اين اطلاعات مي*تواند توسط هكرها نيز مورد استفاده قرار بگيرد تا بدانند كه در كدام نقاط فيزيكي مي*توانند براي ورود به شبكه مستقر شوند. اين ابزار مزيت ديگري نيز دارد و آن اين است كه مي*توانيد نوع شبكه*اي كه بايد ايجاد كنيد را از قبل بدانيد. مثلاً شبكه*هاي غيرامن اغلب در مكان*هاي عمومي نظير ساختمان*هاي عمومي و فروشگاه*ها يا رستوران*ها برپا مي*شوند. (شكل 4)
غيرحرفه*اي*ها
اكنون ديگر نفوذگري به افراد پرتلاش و با معلوماتي كه ساعت*ها وقت صرف مي*كنند تا به نوعي به شبكه نفوذ كنند و اطلاعات آن را بربايند، محدود نمي*شود. بسياري از نوجوانان و جوانان غيرحرفه*اي هم هستند كه فقط لازم است برنامه*هايي را اجرا كنند تا به منابع شبكه دسترسي بيابند. اين قبيل از نفوذگران را اغلب با عنوان Script kiddies مي*شناسند. SKها فقط مي*خواهند بدانند كه به چه تعداد از شبكه*هاي بي*سيم مي*توانند نفوذ كنندو وارد شدن به حريم WLAN*ها براي آن*ها حكم سرگرمي را دارد. پس مي*توان با رعايت حداقل تدابير امنيتي، مانع ورود اين قبيل نفوذگران به شبكه شد.
نفوذ به شبكه
عواملي كه امنيت داده*هاي موجود روي شبكه*هاي بي*سيم را تهديد مي*كنند، متعدد و گوناگون هستند. در اين*جا مسأله را از سه جنبه كلي بررسي مي*كنيم، اين موارد عبارتند از:*

- آيا داده*ها در حين انتقال ايمن هستند؟

- آيا دسترسي به جريان داده*ها و يا دسترسي به هر گونه اطلاعات ديگر در شبكه كنترل مي*شود؟

- آيا شبكه در مقابل حملات DoS (انكار سرويس: Denial of Service) ايمن است؟

همان*گونه كه گفتيم، شبكه*هايي كه برمبناي استاندارد 802.11 پياده شده*اند (Wi-Fi) به*طور توكار از مكانيسم WEP براي رمزنگاري و برقراري امنيت استفاده مي*كنند. WEP روشي براي برقراري امنيت ارتباط نقطه به نقطه نيست اما تلاش مي*كند كه كانال داده*ها را از طريق رمزنگاري، ايمن كند. اما همان*طور كه اشاره شد، همين امكان اوليه نيز در اغلب شبكه*ها، غيرفعال است.

پس براي اضافه كردن امنيت به محيط شبكه بايد دو منظور اوليه را تأمين كنيم:
1- احراز هويت به معناي آن كه با استفاده از روشي مانند WEP معين كنيم كه وضعيت هر ايستگاه كاري چگونه است و در صورت لزوم با افزودن كنترل*ها، دسترسي ايستگاه*هاي كاري به برخي اطلاعات را منوط به احراز هويت درخواست*كننده بنماييم.

- محرمانگي كه از طريق رمزنگاري كانال داده*ها با WEP حاصل مي*گردد. يعني مطمئن باشيم كه در هنگام ارتباط سرور با ايستگاه كاري، هيچگونه اطلاعات رمز نشده بين آن*ها تبادل نمي*شود. البته اين محرمانگي به معناي سالم بودن محتواي اطلاعات نيست. (شكل 5)

احراز هويت
وقتي كه يك كاربر شبكه بي*سيم مي*خواهد به شبكه شما متصل شود، مي*توان به دو طريق اين دسترسي را ميسر نمود:

1- سيستم باز: هر كاربري كه در محدوده AP يا نقطه دسترسي باشد مي*تواند به سيستم* وارد شود. با اين فرض كه ورود به شبكه به آدرس*هاي MAC خاصي محدود نشده است.

2- سيستم رمزنگاري شده: همه داده*ها و دسترسي*ها طوري انجام مي*شود كه براي نفوذگران قابل فهم نباشد. در سيستم*هاي باز، هر ايستگاه كاري كه از روش*هاي كاري شبكه مطلع باشد مي*تواند به آن وارد شود. درخواست ايستگاه توسط سرور از طريق (Service Set Identifier SSID) انجام مي*پذيرد.

در اين*صورت در واقع ايستگاه كاري احراز هويت نمي*شود و فقط به سادگي به شبكه داخل مي*گردد. از آن*جايي كه SSID براي هر شبكه به طور خاص تنظيم مي*گردد، بسياري فكر مي*كنند كه چنين نفوذگران از SSID منحصر به فرد شبكه مطلع نيستند در نتيجه نمي*توانند به آن متصل شود. اما واقعيت آن است كه SSID را مي*توان تهي (Null) يا خالي (Blank) گذاشت تا ايستگاه كاري آن را به*طور خودكار جستجو كند تا بتواند به شبكه متصل شود.

يعني اين*كه اين روش از احراز هويت اصلاً كارايي ندارد. از همين جاست كه مشخص مي*شود دو موضوع رمزنگاري و احراز هويت از چه اهميت بالايي برخوردار هستند. اما سيستم*هاي بسته نيز براي رفع اين مشكل تعريف شده*اند. در اين سيستم*ها براي ورود به شبكه به SSID نياز است و بدون آن، امكان اتصال به شبكه وجود ندارد.
كليدهاي اشتراكي
روش رمزنگاري احراز هويت با كليد اشتراكي نيز روش مناسب ديگري براي احراز هويت است. در اين روش از مكانيسم "-challenge-response " استفاده مي*شود. ايده اصلي اين روش آن است كه ايستگاه*هاي كاري از يكshared secret يا <راز مشترك> مطلع هستند. AP يك challenge تصادفي را توليد مي*كند و به همه ايستگاه*ها مي*فرستد. ايستگاه*هاي كاري با استفاده از WEP، كليدي را با AP به اشتراك مي*گذارند يعني خود challenge را رمزنگاري مي*كنند و به AP ارسال مي*كنند. اين كار باعث مي*شود كه فقط ايستگاه*هايي كه واقعاً عضو شبكه هستند موفق به انجام اين كار شوند.
مديريت كليدها
يكي از مشكلات استاندارد 802.11 آن است كه براي مديريت كليدهاي مورداستفاده در رمزنگاري، روش مناسبي را پيشنهاد نمي*كند. در نتيجه مدير شبكه بي*سيم در مقابل ايجاد كليدها، توزيع آن*ها بين كاربران، بايگاني و ذخيره كردن كليدها و محافظت از آن*ها در مقابل نفوذگران، بررسي اين*كه از كدام كليدها براي رمزنگاري استفاده مي*شود و از بين بردن كليدهايي كه به هر علت قابل استفاده نيستند، بايستي پاسخگو باشد. يعني اين كليدها اگر به درستي مراقبت نشوند، به سادگي راه را براي نفوذ هكرها هموار مي*كنند و اين خطرات بروز خواهد كرد:

- كليدهايWEP منحصر به فرد نيستند و مي*توانند تكراري باشند.

- رمزهاي عبور پيش*فرض كارخانه را معمولاً هكرها مي*دانند.

- كليدها به خوبي تعريف نمي*شوند. كليدهايي شامل فقط صفر يا فقط شامل يك كاراكتر خاص از اين جمله*اند.

- بقيه پيش*فرض*هاي كارخانه*اي تجهيزات نيز در صورتي*كه تغيير نكنند، راه ورود خوبي براي هكرها هستند.

البته با رشد تعداد كاربران شبكه، مديريت ونگهداري كليدها نيز مشكل*تر مي*شود و اين نيز از جمله چالش*هاي پيش*رو است. ( عكس 6)

الگوهاي حمله*هاي متداول
حملات هكرها به شبكه*هاي بي*سيم به دو گروه فعال (Active) و غيرفعال (Passive) تقسيم مي*شود كه در شكل 7 آمده است.


الگوهاي حملات فعال
الگوهاي حمله فعال به اين صورت است كه هكر تلاش مي*كند كانال داده، پيام*ها يا فايل*ها را دستكاري كند و تغيير دهد. اين حملات معمولاً از نوع DoS يا MA هستند.

1- حملات انكارسرويس (DoS)

يك حمله DoS يا DDoS (نوع توزيع شده DoS) با هدف قطع دسترسي كاربران به شبكه صورت مي*گيرد. اين حملات مي*تواند از داخل يا خارج شبكه سازماندهي شوند و زيان*هاي زيادي را در بردارد.

2- حملات MA) Message Alteration )
در اين قبيل حملات، هكر تلاش مي*كند كه يك پيام واقعي را با افزودن، حذف كردن يا تغيير دادن آن، تغيير دهد. اين كار باعث مي*شود كه اطمينان به پيام*هاي تبادل شده روي شبكه كاهش يابد و ترافيك زايد شبكه افزايش پيدا كند.

الگوهاي حملات غيرفعال
در اين حملات، كاربر غيرمجاز به منابع شبكه دسترسي پيدا مي*كند اما نمي*خواهد كه متن پيامي را تغيير كند. بلكه مي*خواهد از اطلاعات شبكه استفاده نمايد. سه نوع حمله غيرفعال وجود دارد كه عبارتند از:*


1- پاسخ*گويي. در اين روش، هكر به كانال داده*ها دسترسي دارد و در ابتداي كار زياني به سيستم وارد نمي*كند اما مي*تواند كه بعضي پيام*ها را طوري به كاربران مجاز شبكه بفرستد كه آن*ها گمان كنند پيام از جانب سرور آمده است.

2- Eavesdropping. در اين روش، نفوذگر به همه داده*هاي تبادلي روي شبكه گوش مي*كند تا پيام مناسبي كه از سمت يك ايستگاه به سمت سرور رفته است را پيدا كند.

3- تحليل ترافيك. روشي ديگري براي حمله كه در آن هكر، ترافيك شبكه را تحليل مي*كند تا الگوي كلي شبكه را به دست بياورد. وي با اين كار متوجه مي*شود كه دقيقاً هر ايستگاه كاري چه كار مي*كند و چگونه كار مي*كند.
نتيجه*گيري
آنچه كه تاكنون گفتيم ممكن است در تغيير ديدگاه شما نسبت به امنيت شبكه مؤثر بوده باشد يا آن*كه بعضي مسايل را كه مي*دانستيد ولي فراموش كرده بوديد را به شما يادآوري كرده باشد. ضمن تأكيد براين نكته كه آنچه كه گفته شد فقط نمايي كلي از مسأله امنيت و مسايل مرتبط با آن را ترسيم كرده است، نكاتي را به عنوان توصيه براي كساني كه قصد راه*اندازي شبكه WLAN را دارند يا در حال حاضر از آن استفاده مي*كنند، بيان مي*كنيم:


1- همواره هنگام تصميم*گيري براي ايجاد و نصب شبكه يا هنگام استفاده از آن، موضوع امنيت و مديريت شبكه را توامان در نظر داشته باشيد و آن*ها را موضوعاتي فرض نكنيد كه در آينده نيز مي*توان به آن*ها پرداخت.

2- هدف از ايجاد شبكه WLAN را به روشني مشخص كنيد. اين فناوري هم، همانند ساير فناوري*هاي شبكه داراي نقاط ضعف و قوت خاص خود است. نقاط ضعف آن به*خصوص در حوزه امنيت نبايد شما را از استفاده از آن منصرف كند و نقاط قوت آن هم نبايد باعث شود كه از ايرادات آن چشم*پوشي كنيد. اما آنچه كه فعلاً مشخص است، آن است كه نبايد براي كارهاي حساس و حياتي خود از WLAN استفاده كنيد.


3- در تعريف كاربران شبكه و افراد مجاز ورود به شبكه دقت كافي داشته باشيد. همان*گونه كه اشاره كرديم اگر در اين مورد سهل*انگاري كنيد، هيچكدام از شيوه*هاي امنيتي نمي*توانند به سادگي جلوي خرابكاري كاربران مجاز ولي غيرمسؤول را بگيرند.


4- از همه ويژگي*هاي امنيتي شبكه*هاي بي*سيم استفاده كنيد. فعال*سازي رمزنگاري WEP كه اكنون به WPA ارتقاء يافته است را فراموش نكنيد. اكنون تقريباً تمامي سازندگان تجهيزات از WPA پشتيباني مي*كنند كه اين امنيت بيشتري را نسبت به WEP به همراه دارد. پس حداقل هنگام خريد تجهيزات دقت كنيد كه همه دستگاه*ها از روش*هاي جديد رمزنگاري همچون WPA پشتيباني كنند.


5- از انتشار عمومي SSID جلوگيري كنيد و آن را فقط براي كاربران مجاز و احراز هويت شده ارسال نماييد.

6- مقادير پيش*فرض كارخانه (در موارد مختلف) را كه براي كليه محصولات شركت سازنده، يكسان هستند را تغيير دهيد. اين مورد شامل SSIDها يا رمزهاي عبور نيز مي*گردد.

7- تحولات فناوري*هاي اين حوزه را دنبال كنيد و تازه*هاي آن را در نظر داشته باشيد. شايد با مطالعه بيشتر دريافتيد كه مثلاً به*جاي استفاده از استاندارد Wi-Fi بهتر است به سراغ استاندارد جديدتري همچون wiMax برويد.
منابع:
كتاب Wi-Fi Security نوشته -Stewort s.miller انتشارات مك گروهيل - 2003
كتاب 208.11 Security نوشته Fleck و -Potter انتشارات2002 -O'Reilly
كتاب 208.11 Wireless Networks نوشته- Mathew Gast انتشارات2002 -O'Reilly
كتاب Real 208.11 Security نوشته Edney و-Arbaugh انتشارات300 - Addison Wesley -2

آفتابي لب درگاه شماست كه اگر در بگشاييد به رفتار شما مي تابد...
Good Luck
Hamed

پاسخ با نقل قول   گرد اورنده:مصطفی رضایی راد.

راه اندازی شبکه های بی سیم Wireless Network

 

شما می توانید برای به اشتراک گذاشتن اتصال اینترنت، فایل ها، چاپگرها و امثالهم از یک شبکه ی بی سیم استفاده کنید.
اگر بخواهیدتمام اعضای خانواده تان از یک اتصال اینترنت، و یا از تنها چاپگری که در منزل دارید، و یا از فایل هایی که روی کامپیوتر شخصی خود دارید، مشترکاً استفاده کنند، می توانید یک شبکه ی بی سیم احداث کنید

wireless network

برای عُلَم کردن هر شبکه ی بی سیم، چهار مرحله وجود دارد:
۱) تجهیزات بی سیم خود را انتخاب کنید.
۲) مسیریابِ بی سیم خود را متصل کنید.
۳) مسیریاب بی سیم خود را پیکربندی کنید.
۴) کامپیوترهای تان را به هم متصل کنید.
هر چند سرویس پک۲ی ویندوز ایکس پی برای احداث این شبکه ی بی سیم ضرورت ندارد، اما باعثٍ سهولت کار می شود. در عین حال، سرویس پک۲ ازشما در برابر هکرها، کرم ها، و سایر تهدیدات اینترنتی نیز محافظت می کند. پس چه بهتر که قبل از بالازدنِ آستین تان، سرویس پک۲ را نصب کنید

تجهیزات بی سیم خود را انتخاب کنید
۱) اولین قدم آن است که مطمئن شوید تجهیزات مورد لزوم را در اختیار دارید. در حینِ دیدزدن مغازه ها، ممکن است متوجه شوید که تجهیزات بی سیم از سه استاندارد مختلف تبعیت می کنند: یعنی استانداردهای ۸۰۲.lla، ۸۰۲.llb، و ۸۰۲.llg. توصیه ی ما به شما این است که طرفِ استاندارد ۸۰۲.llg را بگیرید، چرا که اولاً یک سرو گردن از دوتای دیگر بالاتر است و ثانیاً با هر دستگاه دیگری تقریباً سازگار است.
به این ترتیب، فهرست خریدتان باید شامل این سه قلم باشد:
الف) اتصال اینترنت پهن باند
ب) مسیریاب بی سیم
ج) یک کارت شبکه ی بی سیم (یا کامپیوتری که شبکه ی بی سیمِ سَرخود داشته باشد)
▪ مسیریاب بی سیم
وظیفه ی مسیریاب بی سیم آن است که سیگنال های وارده از اتصال اینترنت تان را به یک سیگنال پهن باندٍ بی سیم تبدیل کند، درست شبیه ایستگاه اصلی یک تلفن بی سیم .
حتماً باید حواس خود را جمع کنید که یک مسیریابِ بی سیم بخرید، نه یک نقطه گاه بی سیم.
▪ کارت شبکه ی بی سیم
کارت های شبکه ی بی سیم، کامپیوتر شما را به مسیریابِ بی سیم تان متصل می کنند. اگر یکی از این کامپیوترهای کتابی جدید داشته باشید، به احتمال زیاد امکانات بی سیم از قبل روی آن سوار کرده اند. بنابراین دیگر لزومی ندارد که کارت شبکه ی بی سیم تهیه کنید. اما اگر لازم دارید که برای یک کامپیوتر رومیزی، یک کارت شبکه ی بی سیم خریداری کنید، یک کارت شبکه ی بی سیم مبتنی بر یو اس بی بخرید. اگر کامپیونر کتابی دارید، یک کارت شبکه ی مبتنی بر کارت های معمول کامپیوتری خریداری نمایید.
در هرحال، به ازای هر کامپیوتر موجود در شبکه تان، باید یک کارت شبکه نیز داشته باشید.
توجه! توجه! برای آن که جفت وجور کردنِ شبکه تان به سادگی انجام شود، کارت شبکه ای بخرید که سازنده اش همان سازنده ی مسیریابِ بی سیم تان باشد. برای مثال، اگر دیدید قیمت مسیریاب فلان شرکت، مناسب است، کارت شبکه را نیز از همان شرکت بخریدتا مطمئن باشید که زبان هم را می فهمند!
برای آن که خرید کردن تان از این هم راحت تر شود، می توانید یک کیتِ کامل- که شامل کلیه ی اقلام مورد نیاز برای نصب یک شبکه ی بی سیم خانگی هستند- بخرید.
اگر یک کامپیوتر رومیزی دارید، مطمئن شوید که یکی از درگاه های یو اس بی آن خالی است تا بتوانید کارت شبکه ی بی سیم را در آن فرو کنید. اما اگر درگاه های آزاد یو اس بی در کامپیوترتان پیدا نمی شود، باید یک هاب بخرید تا درگاه های اضافی در اختیارتان بگذارد.
▪ مسیریابِ بی سیم خود را متصل کنید.
اول از همه، مودم کابلی یا دیجیتالی خود را پیدا کرده و آن را بیرون بکشید تا خاموش شود. سپس، مسیریابِ بی سیم خودرا به مودم تان متصل نمایید. مودم شما باید مستقیماً به اینترنت وصل باشد. بعداً، وقتی همه را به هم وصل کردید، کامپیوترتان بدون سیم به مسیریاب تان متصل خواهد شد، و مسیریاب نیز به نوبه ی خود، سیگنال ها را از طریق مودم تان به اینترنت ارسال خواهد کرد.
و اکنون، مسیریاب تان را به مودم وصل کنید.
ـ اگر در حال حاضر کامپیوترتان مستقیماً به مودم وصل است، کابل شبکه را از پشتٍ کامپیوتر بیرون آورده و آن را به درگاهی در پشت مسیریاب که برچسب Internet، WAN، و یا LAN خورده است، فروکنید.
ـ اگر در حال حاضر کامپیوتری ندارید که به اینترنت متصل باشد، یکی از دو سر کابل شبکه را (که جزو ضمایمِ مسیریاب تان بوده است)
به مودم خود وصل کرده، و سر دیگر ان را به درگاهی در پشت مسیریاب بی سیم تان که برچسبٍ Internet، WAN ، و یا LAN، خورده است، فروکنید.
ـ اگر در حال حاضر، کامپیوترتان را به یک مسیریاب وصل کرده اید، کابل شبکه ای را که در یکی از درگاه های واقع در پشت مسیریابِ فعلی تان فرورفته است، بیرون کشیده، و این سرِ کابل را به درگاهی در پشت مسیریاب بی سیم تان که برچسب Internet،WAN،LAN خورده است، فروکنید. سپس، هر کابل شبکه ی دیگری که می بینید، بیرون آورده و آن ها را به درگاه های موجود در پشت مسیریابِ بی سیم تان فرو نمایید. شما دیگر به مسیریاب فعلی تان احتیاج ندارید، زیرا مسیریاب بی سیم جدیدتان، جای آن را گرفته است. نگرانِ دل آزار شدنِ کهنه ها هم نباشید!
سپس، مودم کابلی یا دیجیتالی خود را وصل کرده و آن را روشن کنید. چند لحظه به آن فرصت بدهید تا به اینترنت متصل شود، و پس از آن، مسیریابِ بی سیم تان را وصل نموده وروشن کنید. بعد از یک دقیقه، چراغ Internet، WAN، LAN روی مسیریاب بی سیم تان باید روشن شود، به این معنی که با موفقیت به مودم تان وصل شده است.
▪ مسیریاب بی سیم تان را پیکربندی کنید
با استفاده از کابل شبکه ای که جزو ضمایم مسیریابِ بی سیم تان بوده است، می بایست گاه به گاه کامپیوترتان را به یکی از درگاه های آزاد شبکه در پشتِ مسیریاب بی سیم تان متصل کنید (هر درگاهی که برچسب Internet،WAN ،و یا LAN نداشته باشد). اگر لازم است، کامپیوترتان را روشن کنید. در این حالت، کامپیوتر شما باید به طور خودکار به مسیریاب تان وصل شود.
سپس، مرورگر اینترنت تان را بازکرده و آدرس مربوط به پیکربندی مسیریاب را وارد کنید.
در این جا ممکن است از شما یک اسم رمز خواسته شود. آدرس و اسم رمزی که به کار خواهید برد، بسته به نوع مسیریاب شما فرق خواهد کرد، بنابراین باید به دستورالعمل های داده شده در دفتر چه ی مسیریاب تان رجوع کنید.
برای آن که بهتر متوجه منظورمان شوید، آدرس ها، شناسه ی کاربری و اسم رمز چند مسیریابِ موجود در بازار را در زیر می بینید:
ـ اسم رمز
ـ شناسه ی کاربری
ـ آدرس
ـ مسیریاب
ـ admin
ـ Admin
ـ http://۱۹۲.۱۶۸.۱.۱
ـ ۳Com
ـ Admin
ـ Admin
ـ http://۱۹۲.۱۶۸.۰.۱
ـ D-Link
ـ admin
ـ Admin
ـ http://۱۹۲.۱۶۸.۱.۱
ـ Linksys
ـ password
ـ admin
ـ http://۱۹۲.۱۶۸.۰.۱
ـ NetGear
به این ترتیب، مرورگر اینترنت، صفحه ی پیکربندی مسیریاب تان را به نمایش در خواهد آورد. بیشتر تنظیمات کارخانه ای به راحتی جواب می دهند، منتها سه چیز را خودتان باید تنظیم کنید:
۱) اسم شبکه ی بی سیم تان، موسوم به SSTD. این اسم، معرّف شبکه ی شماست. شما می بایست یک اسم خاص منحصربه فرد که کسی از همسایگان تان به کارنبرده باشد، انتخاب کنید.
۲) تعیین کردن یک گذرنامه برای محافظت از شبکه ی بی سیم تان. در مورد بیشتر مسیریاب ها، می بایست یک جمله ی قصار تعیین کنید تا مسیریاب تان برای تولید کلیدهای متعدد از آن استفاده کند. یادتان نرود که جمله ی قصارتان باید حتماً منحصر به فرد و دراز باشد. (احتیاجی نیست آن را از بَر کنید).
۳) تعیین یک اسم رمز سرپرستی، تا کل شبکه ی بی سیم تان را زیر نظر بگیرید. درست مثل هر اسم رمزی، این اسم رمز نیز نباید کلمه ای باشد که هرکس بتواند در فرهنگ لغات پیدایش کند. یک اسم رمزِ مطمئن، ترکیبی از حروف، اعداد و علایم است. باید مطمئن شوید که می توانید این اسم رمز را به خاطر بیاورید، زیرا درصورتی که مجبور باشید یکی از تنظیمات مسیریاب تان را تغییر دهید، به آن احتیاج پیدا می کنید.
مراحل دقیقی که باید برای پیکر بندی این تنظیمات طی کنید، بسته به نوع مسیریاب تان فرق می کنند. بعد از تنظیم هر پیکر بندی، باید حتماً Save Settings، Apply،و OK را برای ضبط کردن تنظیمات تان کلیک کنید.
اکنون، می بایست کابل شبکه را از کامپیوترتان قطع کنید.
▪ کامپیوتر های خود را وصل کنید
اگر کامپیوتر تان، شبکه ی بی سیمِ سَرخود ندارد، کارت شبکه تان را در درگاه یو اس بی فرو کنید، و آنتن را در بالای سر کامپیوترتان قرار دهید (درصورتی که کامپیوتر رومیزی داشته باشید)، و یا کارت شبکه را در یکی از چاک های خالی پی سی کارت فرو کنید (درصورتی که کامپیوتر کتابی داشته باشید). خودِ ویندوز ایکس پی، کارتِ جدید را تشخیص داده، و ممکن است از شما بخواهد که سی دی مربوط به کارت شبکه را در اختیارش بگذارید.
دستورالعمل های داده شده از طریق نمایشگر، شما را درطولِ مرحله ی پیکربندی راهنمایی خواهند کرد.
توجه! توجه! مراتبِ زیر درصورتی صدق می کنند که سرویس پک۲ی ویندوز ایکس پی داشته باشید. اگر ویندوز ایکس پی شما هنوز سرویس پک۲ را زیارت نکرده است، باید در اسرع وقت آن را تهیه نموده و نصب کنید.
اینک، ویندوز ایکس پی باید شکلکی را در سینی سیستم به نمایش بگذارد مبنی بر این که یک شبکه ی بی سیم پیدا کرده است.
این مراحل را دنبال کنید تا کامپیوترتان به شبکه ی بی سیم مذکور وصل شود.
۱) در سینی سیستم- منطقه ی واقع در گوشه ی سمت راست پایین نمایشگر- روی شکلکٍ شبکه ی بی سیم کلیک راست بزنید، وسپس از منوی متعاقبِ آن، گزینه ی
View Available Wireless Networks را انتخاب کنید. درصورت برخورد با هر مشکلی، به دفتر چه ی راهنمای کارت شبکه ی خود رجوع کنید. از این که به فروشنده تان زنگ بزنید و از آن ها سؤال کنید، هیچ وقت تردید به خود راه ندهید.
۲) به این ترتیب، پنجره ی «اتصال شبکه ی بی سیم» باید باز شود و شبکه ی بی سیم خود را با همان اسمی که قبلاً انتخاب کرده بودید- در بین شبکه های موجود ببینید. اما اگر به هر دلیلی موفق به دیدنِ شبکه ی خود نشدید، در صدر ستون سمت چپ، روی Refresh Network List کلیک کنید. اکنون روی شبکه تان کلیک کرده، و سپس در سینی سیستم (گوشه ی تحتانی راست)، روی Connect کلیک کنید.
۳) در این وقت ویندوز ایکس پی از شما می خواهد که کلید زیر را وارد کنید. کلید رمزگذار همان کلیدی ست که پیش از این در هردو حوزه ی Network Key و Confirm Network Key وارد کرده بودید. پس از آن روی Connect کلیک کنید.
۴) ویندوز ایکس پی مراحل پیشرفت کارش را در حین اتصال به شبکه ی شما نشان می دهد. بعد از متصل شدن تان، می توانید پنجره ی اتصال شبکه ی بی سیم را ببینید. کارتان در این لحظه به اتمام رسید! مبارک است!
توجه! توجه! اگر پنجره ی اتصال شبکه ی بی سیم هم چنان در حال زورزدن برای پیدا کردنِ آدرس شبکه باشد، ممکن است در واردکردنِ شاه کلیدٍ رمزگذاری اشتباه کرده باشید
امید وارم مفید باشه
● شبکه های کامپیوتری بی سیم
با گسترش شهرها و بوجود آمدن فاصله های جغرافیایی بین مراکز سازمان ها و شرکت ها و عدم رشد امکانات مخابراتی با رشد نیاز ارتباطی داخل کشور ، یافتن راه حل و جایگزین مناسب جهت پیاده سازی این ارتباط شدیدا احساس می شود که در این زمینه سیستم های مبتنی بر تکنولوژی بی سیم انتخاب مناسبی می باشد.
▪ PAN یا Personal Area Network :
سیستم های بی سیم که دارای برد و قدرت انتقال پایین هستند را شامل می شود که این ارتباط غالبا بین افراد برقرار می شود. نمونه این تکنولوژی در سیستم ها Infrared برای ارتباط نقطه به نقطه دو شخص و یا Bluethooth برای ارتباط یک نقطه به چند نقطه جهت ارتباط یک شخص به چند شخص می باشد. استاندارد مورد استفاده در این محدوده کاربرد IEEE ۸۰۲.۱۵ می باشد.
▪ LAN یا Local Area Network :
در این دسته بندی سیستم های بی سیم از استاندارد IEEE ۸۰۲.۱۱ استفاده می کنند. این محدوده کاربری معادل محدوده شبکه های LAN باسیم بوده که برپایه تکنولوی بی سیم ایجاد شده است.
▪ MAN یا Metropolitan Area Network :
سیستم های بی سیم از استاندارد IEEE ۸۰۲.۱۶ استفاده می کنند. محدوده پوشش فراتر از محدوده LAN بوده و قالبا چندین LAN را شامل می شود. سیستم های WIMAX اولیه مبتنی بر این استاندارد هستند.
▪ WAN یا Wide Area Network :
سیستم های بی سیم مبتنی بر استاندارد IEEE ۸۰۲.۱۶e هستند که به IEEE ۸۰۲.۲۰ نیز شهرت یافته اند. سیستم های WIMAX در ابعاد کلان و بدون محدودیت حرکتی در این محدوده کار می کنند.
پروتکل های رایج در شبکه های بی سیم و مشخصات آن ها به صورت زیر هستند :
ـ ۸۰۲.۱۱
ـ ۱Mbps , ۲.۴ GHZ
ـ ۸۰۲.۱۱ a
ـ ۵.۸ GHZ Frequence
ـ ۵۴ Mbps
ـ ۸۰۲.۱۱b
ـ ۲.۴ GHZ Frequence
ـ ۱۱ Mbps
ـ ۸۰۲.۱۱g
ـ ۲.۴ MHZ Frequence
ـ ۵۴ Mbps
ـ ۸۰۲.۱۱a+g
ـ ۲.۴ & ۵.۸ GHZ Frequence
ـ ۵۴ Mbps
▪ قوانین ومحدودیت ها :
به منظور در دسترس قرار گرفتن امکانات شبکه های بی سیم برای عموم مردم و همچنین عدم تداخل امواج شرایط محدود کننده ای برای افراد توسط کمیته FCC تعیین شد که مهمترین آن ها این است که تجهیزات شبکه های بی سیم در باند فرکانسی ۲.۴ Ghz مجاز به داشتن حداکثر ۱۰mw توان خروجی با زاویه پوشش آنتن ۹ درجه هستند که توان خروجی برای باند فرکانسی ۵.۸ Ghz تا ۲۰۰ mw مجاز اعلام شده است.
▪ Wifi و Wimax :
دسترسی به اینترنت روی شبکه های بی سیم مبحث جدیدی به نام Wifi را مطرح کرده است که توسط آن مراکر فرهنگی ، پارک ها ، کتابخانه ها و ... تحت پوشش wifi و درنتیجه اینترنت قرارگرفته اند. مثال بارز این امکان در محل دائمی نمایشگاه های تهران می باشد و بازدید کنندگان قادر به دسترسی به اینترنت توسط کامپیوترهای قابل حمل خود هستند. در راستای تسهیل ارتباط و پوشش و سرعت بیشتر دسترسی تکنولوژی جدیدی در حال شکل گیری است که به نام Wimax شناخته می شود. این تکنولوژی از استاندارد IEEE ۸۰۲.۱۶e بهره می برد.
▪ روش های ارتباطی بی سیم :
تجهیزات و شبکه های کامپیوتری بی سیم بر دو قسم Indoor یا درون سازمانی و Outdoor یا برون سازمانی تولید شده و مورد استفاده قرار می گیرند.
▪ شبکه های بی سیم Indoor :
نیاز سازمان ها و شرکت ها برای داشتن شبکه ای مطمئن و وجود محدودیت در کابل کشی ، متخصصین را تشویق به پیدا کردن جایگزین برای شبکه کامپیوتری کرده است. شبکه های Indoor به شبکه هایی اتلاق می شود که در داخل ساختمان ایجاد شده باشد. این شبکه ها بر دو گونه طراحی می شوند. شبکه های Ad hoc و شبکه های Infra Structure. در شبکه های Ad hoc دستگاه متمرکز کننده مرکزی وجود ندارد و کامپیوترهای دارای کارت شبکه بی سیم هستند. استراتژی Ad hoc برای شبکه های کوچک با تعداد ایستگاه کاری محدود قابل استفاده است. روش و استراتژی دوم جهت پیاده سازی استاندارد شبکه بی سیم ، شبکه Infra Structure می باشد. در این روش یک یا چند دستگاه متمرکز کننده به نام Access Point مسؤولیت برقراری ارتباط را برعهده دارد.
▪ شبکه های بی سیم Outdoor :
برقراری ارتباط بی سیم در خارج ساختمان به شبکه بی سیم Outdoor شهرت دارد. در این روش داشتن دید مستقیم یا Line Of Sight ، ارتفاء دو نقطه و فاصله، معیارهایی برای انتخاب نوع Access Point و آنتن هستند.
▪ انواع ارتباط :
شبکه بی سیم Outdoor با سه توپولوژی Point To Point ، Point To Multipoint و Mesh قابل پیاده سازی می باشد.
▪ Point To point :
در این روش ارتباط دو نقطه مدنظر می باشد. در هر یک از قسمت ها آنتن و AccessPoint نصب شده و ارتباط این دو قسمت برقرار می شود.
▪ Point To Multi Point :
در این روش یک نقطه به عنوان مرکز شبکه درنظر گرفته می شود و سایر نقاط به این نقطه در ارتباط هستند.
▪ Mesh :
ارتباط بی سیم چندین نقطه بصورت های مختلف را توپولوژی Mesh می گویند. در این روش ممکن است چندین نقطه مرکزی وجود داشته باشد که با یکدیگر در ارتباط هستند.
ارتباط بی سیم بین دو نقطه به عوامل زیر بستگی دارد :
۱) توان خروجی Access Point ( ارسال اطلاعات)
۲) میزان حساسیت Access Point(دریافت اطلاعات)
۳) توان آنتن
۱) توان خروجی Access Point :
یکی از مشخصه های طراحی سیستم های ارتباطی بی سیم توان خروجی Access Point می باشد. هرچقدر این توان بیشتر باشد قدرت سیگنال های توایدی و برد آن افزایش می یابد.
۲) میزان حساسیت Access Point :
از مشخصه های تعیین کننده در کیفیت دریافت امواج تولید شده توسط Access Point نقطه مقابل میزان حساسیت Access Point می باشد. هرچقدر این حساسیت افزایش یابد احتمال عدم دریافت سیگنال کمتر می باشد و آن تضمین کننده ارتباط مطمئن و مؤثر خواهد بود.
۳) توان آنتن :
در مورد هر آنتن توان خروجی آنتن و زاویه پوشش یا انتشار مشخصه های حائز اهمیت می باشند در این راستا آنتن های مختلفی با مشخصه های مختلف توان و زاویه انتشار بوجود آمده است که آنتن های Omni ، Sectoral ، Parabolic ، Panel ، Solied و . . . . مثال هایی از آن هستند.

  
 

 

 

 

 

بهره‌برداري از امكانات سخت‌افزاري و برقراري ارتباط بين اجزاي مختلف شبکه نياز به يك مجموعه از قوانين و دستورالعملهاي مشترك دارد كه به آن قوانين اصطلاحاً پروتكل مي‌گوييم.

مثال : كلاس درس خود را بعنوان يك شبكه درنظر بگيريد. هريك از اجزاي اين شبكه عبارتند از :

گوش و دهان : بعنوان رابط شبكه (Network Interface)

هدف : ارایه سرويس آموزشي

هنرجويان : بعنوان سرویس گیرنده

هنر آموز درس : بعنوان سرویس دهنده

هوا : بعنوان محيط انتقال

چه چيزي را مي‌توان بعنوان پروتكل در كلاس متصور شد ؟

شايد بتوانيم "حضور بموقع هنر آموز درس و هنرجو در كلاس ، داشتن ساعات تنفس بمنظور استراحت ، ارائة درس به زبان قابل فهم  هنرجويان (مثلاً فارسي) ، ارائة روشهايي منظم بمنظور پرسش و پاسخ ، برگزاري آزمون و . . . " را بعنوان پروتكل كلاس درنظر بگيريم . همانطور كه از عبارات فوق پيداست پروتكل مجموعه قوانيني است كه اگر آنها را رعايت نكنيم ارائة سرويس آموزشي (يعني هدف از برقراري شبكه ) غيرممكن خواهد شد..

تعريف : پروتكل مجموعة قوانيني نرم‌افزاري ‌است كه رعايت آنها باعث بهره‌برداري از امكانات سخت‌افزاري و برقراري سرويس در شبكه مي‌شود.

البته در عمل براي هر "تكنولوژي سخت‌افزاري مدرن " نياز به نرم‌افزار مناسب بعنوان "قانون يا پروتكل" براي برنامه‌ريزي ، مديريت و بهره‌برداري از آن داريم و بعبارتي واژة "پروتكل نرم‌افزاري" ، يك واژة عام در عرصة IT بشمار مي‌رود (مثلاً سيستم عامل نرم‌افزاريست شامل پروتكل هاي بسيار متنوع براي برنامه‌ريزي ، بهره‌برداري و مديريت منابع مختلف يك كامپيوتر) با اين‌حال نظر به اهميت واژة "پروتكل" در شبكه‌هاي كامپيوتري بطور خاص آنرا مورد بحث قرار می دهيم.

3 مورد از پروتكلهاي معروف در شبكه‌ها (مخصوصاً شبكه‌هاي متشكل از كامپيوترهاي شخصي) عبارتند از :

الف) NetBEUI

ب) IPX/SPX

ج) TCP/IP

 

1-5- =NetBIOS Enhanced User Interface NetBEUI

اين پروتكل كه نسخة اولية آن به NetBIOS معروف بود به وسیله ی تيمي براي شركت IBM طراحي و پياده‌سازي شد و هدف از آن برقراري ارتباط مابين سيستمهاي مختلف در يك شبكة كوچك بود. در شبكه‌هاي بزرگ نكات و مسائلي مطرح مي‌شود از قبيل امنيت، چگونگي تبادل ترافيك در حجم زياد، مسيريابي، و . . . كه اين مسائل در شبكه‌هاي كوچك اكثراً وجود نداشته يا كمرنگ است و چون NetBIOS براي شبكه‌هاي كوچك طراحي شده‌بود لذا اينگونه نكات نيز درآن ديده نشد يا بصورت جدي به آن پرداخته نشد. بعنوان مثال، اين پروتكل قابلیت مسیر یابی" Routable " ندارد و حجم ترافيك Broadcast درآن زياد است، مي‌دانيم كه در شبكه‌هاي بزرگ، روترها ارتباط مابين بخشهاي مختلف شبكه را برقرار كرده و لذا مسيريابي جزو الزامات در ارتباط بين آنهاست. همچنين در شبكه‌هاي بزرگ، ترافيك بطور طبيعي از حجم بيشتري برخوردار است لذا بايد سعي كرد تا از ايجاد Broadcast حتي‌المقدور خودداري شود و متأسفانه در NetBIOS يا NetBEUI هيچكدام از اين مسائل مد نظر قرار نگرفته البته ايرادي به آن وارد نيست چون از ابتدا هدف آن استفاده در محيطهاي كوچك بوده‌است.

مثال: قوانين وضع شده در حوزه‌هاي مختلف (مثلاً ترافيكي و امنيتي) براي يك روستاي كوچك طبيعتاً با يك شهر بزرگ مانند تهران متفاوت بوده و در تهران مشكلات بسيار بيشتر از يك روستاي كوچك است.

بطور خلاصه مي‌توانيم ويژگيهاي NetBEUI را مطابق زير فهرست كنيم. دقت كنيد كه غير از مورد اول كه جزء مزاياي پروتكل است بقية موارد از نقاط ضعف و عيوب آن بشمار مي‌رود:

امروزه اين پروتكل تقريباً منسوخ شده‌است و درميان محصولات مايكروسافت نيز از XP به بعد بطور مستقيم در ليست پروتكلها ديده نمي‌شود.

نكته: هرچند امروزه اكثر نرم‌افزارها سرويسهاي شبكه‌اي خود را روي پروتكل TCP/IP عرضه مي‌كنند اما بااين‌حال برخي از برنامه‌هاي قديمي‌تر هنوز براساس پروتكل NetBIOS يا NetBEUI كار مي‌كنند. براي اينگونه برنامه‌ها، مايكروسافت سرويسي را در سيستم عامل هاي ويندوز خود پيش‌بيني كرده كه حكم يك واسطه و مبدل را دارد يعني سرويسهاي NetBIOS را روي بستر TCP/IP ارائه مي‌دهد و در نتيجه براي Application  محیط NetBIOS شبيه سازي مي شود. اين سرويس معروف به NetBT = NetBIOS over TCP/IP بوده و بطور معمول در كلية ويندوزها فعال است.

2-5- = Internetworking Packet Exchange / Sequential Packet Exchange  IPX/SPX

پروتكل IPX/SPX به وسیله ی شركت Xerox طراحي شد و بعداً به وسیله ی شركت Novell تكميل و مورد استفادة عملي قرار گرفت لذا اكثراً به‌محض آنكه نام پروتكل را مي‌شنوند به ياد Novell مي‌افتند. البته در سيستمهاي Novell نسخه‌هاي 4.0 و عمدتاً 5.0 به بعد، از TCP/IP نيز مي‌توان استفاده كرد. پروتكل IPX/SPX هيچيك از نقاط ضعف NetBIOS را نداشته و بسيار پروتكل قدرتمندي است اما قابليت TCP/IP باعث شده است كه از  IPX/SPX كمتر استفاده شود.

مهم ترين ويژگي هاي اين پروتكل عبارتند از :

 

3-5-  TCP/IP = Transmission Control Protocol / Internet Protocol

پروتكل TCP/IP در ابتدا به وسیله ی وزارت دفاع آمريكا و در سيستم عامل UNIX ايجاد شد. امروزه اين پروتكل تقريباً كلية رقبا را كنار زده و در اكثر شبكه‌ها اعم از كوچك و بزرگ و به وسیله ی كلية سيستم عاملها پشتيباني مي‌شود. در اهميت TCP/IP توجه به اين نكته كافيست كه ارتباط در اينترنت بدون TCP/IP تقريباً غيرممكن است و اكثر سرويسهاي اينترنت تحت قوانين TCP/IP عرضه مي‌شوند.

مهمترين خصوصيات اين پروتكل بطور خلاصه عبارتند از :

 

-   اولين ويژگي در TCP/IP (همانند IPX/SPX) آنست كه مي‌تواند در هر ابعادي از شبكه استفاده شود اعم از شبكه‌هاي كوچك يا بزرگ ، ترافيك كم يا ترافيك زياد و بالاخره اعم از اينكه به اينترنت متصل باشد يا خير.

-   چون TCP/IP در كلية سيستم عاملهاي مدرن امروزي پشتيباني مي‌شود لذا زبان مشترك براي ارتباط بين آنها بشمار مي‌رود.

-       TCP/IP از ابتدا تا به امروز بعنوان پروتكل اصلي مورد استفاده در اينترنت بوده‌است.

-   در TCP/IP الگوريتم‌هاي متنوع مسيريابي (Routing) براي انتخاب مسير بهينه از ميان روترها تعبيه شده و بدين سبب يكي از مهمترين پروتكلها براي استفاده در شبكه‌هاي WAN بشمار مي‌رود. همانطور كه قبلاً گفتيم در شبكه‌هاي WAN اغلب توپولوژي حاصله از نوع Mesh است و در نقاط مرزي مابين شبكه‌ها از Router استفاده مي‌شود لذا پروتكل مورد استفاده بايد داراي قابليت مسيريابي (Routing) باشد.

-       سرويس انتقال اطلاعات بصورت سفارشي “Connection Oriented” معروف به TCP و سرويس انتقال اطلاعات بصورت عادي “Connection less” معروف به UDP از ديگر بخشهاي متنوع اين پروتكل است.

-       Multicasting بمعني ارسال اطلاعات براي گروهي از استفاده‌كنندگان است.

يادآوري : بطور كلي 3 نوع مخاطب در شبكه‌ها وجود دارد :

الف) Unicast : ارسال براي فقط يكنفر.

ب) Broadcast : ارسال براي همه تا محدودة مجاز (دفعتاً).

ج) Multicast : ارسال براي گروهي از استفاده‌كنندگان تا محدودة مجاز (دفعتاً).

Multicasting  از ديگر خصوصيات TCP/IP است كه به كمك آن براحتي مي‌توان سيستم ها ، افراد يا نيازها را گروه‌بندي كرده و اطلاعات را براي تمام اعضاي گروه ارسال كرد.

فرض كنيد كه يك دستگاه Multimedia Server مي‌خواهد برنامة كاملاً مشخصي، مثلاً فیلمی  را براي 500 نفر مشترك كه در سه شبکه مختلف هستند پخش كند از اين تعداد، 300 نفر در شبكة اول، 150 نفر در شبكة دوم، و 50 نفر در شبكة سوم هستند. ارتباط مابين شبكه‌ها از طريق روترهاي R1، R2 و R3 برقرار شده. چه روشهايي را براي پخش برنامة مذكور پيشنهاد مي‌كنيد؟ حالات مختلف را بررسي مي‌كنيم:

الف) كلية مشتركين هركدام يك به يك با سرويس دهنده   ارتباط برقرار كرده و سرويس دهنده   براي هركدام بطور جداگانه برنامه را پخش كند. بعبارت ديگر بصورت Unicast.

ب) سرويس دهنده   برنامه را Broadcast كند كه در اين صورت با 2 مشكل مواجه مي‌شويم:

1- Broadcast ترافيك شبكه را افزايش داده ضمن آنكه بقية كاربران ديگر كه نيازي به دريافت برنامه را از سرويس دهنده   ندارند درگير ترافيك ناخواسته مي‌شوند.

2- روترها اجازة عبور ترافيك Broadcast را نمي‌دهند لذا مشتركين شبكه‌هاي شماره 2و3 قادر به دريافت برنامه نخواهند بود.

ج) كلية مشتركين را در يك گروه قرار داده و سرويس دهنده   برنامه را براي گروه Multicast كند. روترها نيز طوري پيكربندي مي‌شوند كه ترافيك Multicast را عبور دهند.

پرسش: به‌نظر شما كداميك از راه‌حلهاي فوق بهتر بوده و ترافيك كمتري را ايجاد مي‌كند؟

بالاخره آخرين خصوصيت TCP/IP كه درواقع عيب آن بشمار مي‌رود اينست كه پيكربندي پيچيده‌اي دارد. علت اين پيچيدگي را مي‌توان در تنوع سرويسهاي ارائه شده جستجو كرد. TCP/IP بسيار پروتكل كامل و متنوعي‌است و طبيعتاً اين تنوع ، پيچيدگي در پيكربندي را بدنبال خواهد داشت. البته تعبيه‌كنندگان TCP/IP تمهيداتي انديشيده‌اند تا پيكربندي ندارند.  قدري از پيچيدگي پيكربندي در آن كاسته شود (Automatic/Dynamic Configuration) و در واقع در اغلب اوقات، كاربران نيازي به در گیر شدن باپيچيدگي هاي

 

مفاهيم اوليه پروتکل TCP/IP  ( بخش دوم )
در بخش اول اين مقاله ،پروتکل TCP/IP بهمراه لايه های آن  معرفی گردييد . در اين بخش ، به بررسی پروتکل های موجود در TCP/IPخواهيم پرداخت .
 TCP/IP ،شامل شش پروتکل اساسی( TCP,UDP,IP,ICMP,IGMP ،ARP ) و مجموعه ای از برنامه های کاربردی است. پروتکل های فوق، مجموعه ای از استادنداردها ی لازم بمنظور ارتباط بين کامپيوترها و دستگاهها  را در شبکه ، فراهم می نمايد. تمامی برنامه ها و ساير پروتکل ها ی موجود در پروتکل TCP/IP ، به پروتکل های شش گانه فوق مرتبط و از خدمات ارائه شده توسط آنان استفاده می نمايند .  در ادامه به تشريح عملکرد و جايگاه هر يک از پروتکل های  اشاره شده  ، خواهيم پرداخت .

پروتکل TCP  : لايه Transport

 TCP) Transmission Control Protocol) ، يکی از پروتکل های استاندارد TCP/IP است که امکان توزيع و عرضه اطلاعات ( سرويس ها) بين صرفا" دو کامپيوتر ، با ضريب اعتماد بالا را  فراهم می نمايد. چنين ارتباطی ( صرفا" بين دو نقطه ) ، Unicast ناميده می شود . در ارتباطات با رويکرد اتصال گرا ، می بايست قبل از ارسال داده ، ارتباط بين دو کامپيوتر برقرار گردد . پس از برقراری ارتباط ، امکان ارسال اطلاعات برای صرفا" اتصال ايجاد شده ، فراهم می گردد . ارتباطات از اين نوع  ، بسيار مطمئن می باشند ، علت اين امر به تضمين توزيع اطلاعات برای مقصد مورد نظر برمی گردد . بر روی کامپيوتر مبداء ، TCP داده هائی که می بايست ارسال گردند را در بسته های اطلاعاتی (Packet) سازماندهی می نمايد. در کامپيوتر مقصد ، TCP ، بسته های اطلاعاتی را تشخيص و داده های اوليه را مجددا" ايجاد خواهد کرد .

ارسال اطلاعات با استفاده  از TCP
TCP ، بمنظور افزايش کارائی ، بسته های اطلاعاتی را بصورت گروهی ارسال می نمايد . TCP ، يک عدد سريال ( موقعيت يک بسته اطلاعاتی نسبت به تمام بسته اطلاعاتی ارسالی )  را به هريک از بسته ها نسبت داده و از Acknowledgment بمنظور اطمينان از دريافت گروهی از بسته های اطلاعاتی ارسال شده ، استفاده می نمايد. در صورتيکه کامپيوتر مقصد ، در مدت زمان مشخصی نسبت به اعلام وصول بسته های اطلاعاتی ، اقدام ننمايد ، کامپيوتر مبداء ، مجددا" اقدام به ارسال اطلاعات می نمايد. علاوه برافزودن يک دنباله عددی و Acknowledgment به يک بسته اطلاعاتی ، TCP اطلاعات مربوط به پورت مرتبط با برنامه ها ی مبداء و مقصد را نيز به بسته اطلاعاتی اضافه می نمايد. کامپيوتر مبداء ، از پورت کامپيوتر مقصد بمنظور هدايت صحيح بسته های اطلاعاتی به برنامه مناسب بر روی کامپيوتر مقصد ، استفاده می نمايد.  کامپيوتر مقصد از پورت کامپيوتر مبداء بمنظور برگرداندن اطلاعات به برنامه ارسال کننده در کامپيوتر مبداء ، استفاده  خواهد کرد .
هر يک از کامپيوترهائی که تمايل به استفاده از پروتکل TCP بمنظور ارسال اطلاعات دارند ، می بايست قبل از مبادله اطلاعات ، يک اتصال بين خود ايجاد نمايند . اتصال فوق ، از نوع مجازی بوده و Session ناميده می شود .دو کامپيوتر درگير در ارتباط ، با استفاده از TCP  و بکمک فرآيندی با نام : Three-Way handshake  ، با يکديگر مرتبط و هر يک پايبند به رعايت اصول مشخص شده در الگوريتم مربوطه خواهند بود .  فرآيند فوق ، در سه مرحله صورت می پذيرد :

• مرحله اول : کامپيوتر مبداء ، اتصال مربوطه را از طريق ارسال اطلاعات مربوط به Session ، مقداردهی اوليه می نمايد ( عدد مربوط به موقعيت يک بسته اطلاعاتی بين تمام بسته های اطلاعاتی و اندازه مربوط به بسته اطلاعاتی )
• مرحله دوم : کامپيوتر مقصد ، به اطلاعات Session  ارسال شده ، پاسخ مناسب را خواهد داد .

·         کامپيوتر مبداء ، از شرح واقعه بکمک Acknowledgment  ارسال شده توسط کامپيوتر مقصد ، آگاهی پيدا خواهد کرد .

پروتکل UDP : لايه Transport

UDP) User Datagram Protocol )  ،  پروتکلی  در سطح لايه "حمل" بوده که برنامه مقصد در شبکه را مشخص نموده و از نوع بدون اتصال است . پروتکل  فوق، امکان توزيع اطلاعات با سرعت مناسب  را ارائه ولی در رابطه با تضمين صحت ارسال اطلاعات ، سطح مطلوبی از اطمينان را بوجود نمی آورد . UDP  در رابطه با داده های دريافتی توسط مقصد ، به Acknowledgment نيازی نداشته و در صورت بروز اشکال و يا خرابی در داده های ارسال شده ، تلاش مضاعفی بمنظور ارسال مجدد داده ها ، انجام نخواهد شد . اين بدان معنی است که داده هائی کمتر ارسال می گردد ولی هيچيک از داده های دريافتی و صحت تسلسل  بسته های اطلاعاتی ، تضمين نمی گردد .از پروتکل فوق ،  بمنظور انتقال اطلاعات به چندين کامپيوتر با استفاده از Broadcast و يا Multicast ، استفاده بعمل می آيد . پروتکل UDP ،  در موارديکه حجم اندکی از اطلاعات ارسال و يا اطلاعات دارای اهميت بالائی نمی بانشد ، نيز استفاده می گردد. استفاده از پروتکل UDP در مواردی همچون  Multicasting Streaming media ، (نظير يک ويدئو کنفرانس زنده)  و يا انتشار ليستی از اسامی کامپيوترها  که بمنظور ارتباطات محلی استفاده می گردند ، متداول است . بمنظور استفاده از UDP ، برنامه مبداء می بايست پورت UDP خود را مشخص نمايد دقيقا" مشابه عملياتی که می بايست کامپيوتر مقصد انجام دهد . لازم به يادآوری است که پورت های UDP از پورت های TCP مجزا و متمايز می باشند (حتی اگر دارای شماره پورت يکسان باشند ).

پروتکل IP  : لايه Internet

IP)  Internet Protocol ) ، امکان مشخص نمودن محل کامپيوتر مقصد در يک شبکه ارتباطی را فراهم می نمايد. IP ، يک پروتکل بدون اتصال و غيرمطمئن بوده که اولين مسئوليت آن آدرس دهی بسته های اطلاعاتی و روتينگ بين کامپيوترهای موجود در شبکه است . با اينکه IP همواره سعی در توزيع يک بسته اطلاعاتی می نمايد ، ممکن است يک بسته اطلاعاتی در زمان ارسال گرفتار مسائل متعددی نظير : گم شدن  ، خرابی  ، عدم توزيع با اولويت مناسب ، تکرار در ارسال و يا  تاخير، گردند.در چنين مواردی ، پروتکل IP تلاشی بمنظور حل مشکلات فوق را انجام نخواهد داد ( ارسال مجدد اطلاعات درخواستی ) .آگاهی  از وصول بسته اطلاعاتی  در مقصد  و بازيافت بسته های اطلاعاتی گم شده ، مسئوليتی است که بر عهده يک لايه بالاتر نظير TCP و يا برنامه  ارسال کننده اطلاعات ، واگذار می گردد .

عمليات انجام شده توسط IP
می توان IP را بعنوان مکانی در نظر گرفت که عمليات مرتب سازی و توزيع بسته های اطلاعاتی در آن محل ، صورت می پذيرد .بسته ها ی اطلاعاتی  توسط يکی از پروتکل های لايه حمل ( TCP و يا UDP)  و يا از طريق لايه " ايترفيس شبکه " ،  برای IP  ارسال می گردند . اولين وظيفه IP ، روتينگ بسته های اطلاعاتی بمنظور ارسال  به مقصد نهائی است . هر بسته اطلاعاتی ، شامل آدرس IP مبداء ( فرستنده ) و آدرس IP مقصد ( گيرنده ) می باشد. در صورتيکه IP ، آدرس مقصدی  را مشخص نمايد که در همان سگمنت موجود باشد ، بسته اطلاعاتی مستقيما"  برای کامپيوتر مورد نظر ارسال می گردد . در صورتيکه آدرس مقصد در همان سگمنت نباشد ، IP ، می بايست از يک روتر استفاده و اطلاعات را برای آن ارسال نمايد.يکی ديگر از وظايف IP ، ايجاد اطمينان از عدم وجود يک بسته اطلاعاتی ( بلاتکليف ! ) در شبکه است . بدين منظور محدوديت زمانی خاصی در رابطه با مدت زمان حرکت بسته اطلاعاتی در طول شبکه ، در نظر گرفته می شود .عمليات فوق،  توسط نسبت دادن يک مقدار TTL)Time To Live) به  هر يک از بسته های اطلاعاتی صورت می پذيرد. TTL ، حداکثر مدت زمانی را  که بسته اطلاعاتی قادر به حرکت در طول شبکه است را مشخص می نمايد( قبل از اينکه بسته اطلاعاتی  کنار گذاشته شود) .

پروتکل ICMP   : لايه Internet

 ICMP) Internet Control Message Protocol)  ، امکانات لازم در خصوص اشکال زدائی  و گزارش خطاء در رابطه با  بسته های اطلاعاتی غيرقابل توزيع  را  فراهم می نمايد. با استفاده از ICMP ، کامپيوترها و روترها که از IP بمنظور ارتباطات  استفاده می نمايند ، قادر به گزارش خطاء و مبادله اطلاعاتی محدود در رابطه  وضعيت  بوجود آمده  می باشند. مثلا" در صورتيکه IP ، قادر به توزيع يک بسته اطلاعاتی به مقصد مورد نظر نباشد ، ICMP يک پيام مبتنی بر غيرقابل دسترس بودن  را برای کامپيوتر مبداء ارسال می دارد .  با اينکه پروتکل IP بمنظور انتقال داده بين روترهای متعدد استفاده می گردد ، ولی  ICMP  به نمايندگی از TCP/IP ، مسئول ارائه  گزارش خطاء و يا  پيام های کنترلی است . تلاش ICMP  ، در اين جهت نيست که  پروتکل IP  را بعنوان يک پروتکل مطمئن مطرح نمايد ، چون پيام های ICMP  دارای هيچگونه محتوياتی  مبنی بر اعلام وصول پيام (Acknowledgment )  بسته اطلاعاتی نمی باشند . ICMP ، صرفا" سعی در گزارش خطاء  و ارائه فيدبک های  لازم در رابطه با  تحقق يک وضعيت خاص را می نمايد .

پروتکل  IGMP   : لايه Internet

IGMP) Internet Group Managment Protocol) ، پروتکلی است که مديريت ليست اعضاء برای  IP Multicasting  ، در يک شبکه  TCP/IP را بر عهده دارد . IP Multicasting، فرآيندی است که بر اساس آن يک پيام برای  گروهی انتخاب شده از گيرندگان که گروه multicat  ناميده می شوند ؛ ارسال می گردد . IGMP ليست اعضاء را  نگهداری می نمايد .
مديريت IP Multicasting
تمامی اعضاء يک گروه multicast  ، به ترافيک IP هدايت شده به يک آدرس Multicast IP ، گوش داده و بسته های اطلاعاتی ارسال شده به آن آدرس را دريافت می نمايند. زمانيکه چندين کامپيوتر نيازمند دستيابی به اطلاعاتی نظير Streaming media باشند، يک آدرس IP رزوشده برای multicasting  استفاده می گردد. روترها که بمنظور پردازش multicast پيکربندی می گردند، اطلاعات را انتخاب و آنها را برای تمامی مشترکين گروه multicast ارسال ( Forward ) می نمايند .  بمنظور رسيدن اطلاعات Multicast به گيرندگان مربوطه ، هر يک از روترهای موجود در مسير ارتباطی می بايست ، قادر به حمايت از Multicasting باشند . کامپيوترهای مبتنی بر سيستم عامل وينوز 2000 ، قادر به ارسال و دريافت  IP Multicast  ، می باشند .

پروتکل ARP : لايه Internet

 ARP) Address Resolution Protocol) ، پروتکلی است که  مسئوليت مسئله " نام به آدرس" را در رابطه با  بسته های اطلاعاتی خروجی (Outgoing) ، برعهده دارد . ماحصل فرآيند فوق ،  Mapping  آدرس IP به آدرسMAC )Media Access Control) ، مربوطه  است . کارت شبکه از آدرس MAC ،  بمنظور تشخيص تعلق يک بسته اطلاعاتی به کامپيوتر مربوطه ، استفاده می نمايند . بدون آدرس های MAC ، کارت های شبکه ، دانش لازم در خصوص ارسال بسته های اطلاعاتی به لايه بالاتر  بمنظور پردازش های مربوطه را  دارا نخواهند بود . همزمان با رسيدن بسته های اطلاعاتی به لايه IP  بمنظور ارسال در شبکه ، آدرس های MAC مبداء و مقصد به آن اضافه می گردد .
ARP ، از جدولی خاص بمنظور ذخيره سازی آدرس های IP و MAC مربوطه ، استفاده می نمايد. محلی از حافظه که جدول فوق در آنجا ذخيره می گردد ، ARP Cache ناميده می شود. ARP Cache هر کامپيوتر شامل  mapping  لازم  برای کامپيوترها و روترهائی است که  صرفا"  بر  روی يک سگمنت مشابه قرار دارند.
Physical Address Resolution 
پروتکل ARP ، آدرس IP مقصد هر يک از بسته های اطلاعاتی خروجی را با ARP Cache مقايسه تا آدرس MAC  مقصد مورد نظر را بدست آورد . در صورتيکه موردی  پيدا گردد  ، آدرس MAC از Cache بازيابی می گردد . در غير اينصورت ؛ ARP درخواستی را برای کامپيوتری که مالکيت IP را برعهده دارد ، Broadcast  نموده و از وی می خواهد که آدرس MAC خود را اعلام نمايد . کامپيوتر مورد نظر ( با IP مربوطه ) ، در ابتدا آدرس MAC کامپيوتر ارسال کننده درخواست را به Cache خود اضافه نموده و در ادامه پاسخ لازم را از طريق ارسال آدرس MAC خود ، به متقاضی خواهد داد . زمانيکه پاسخ ARP توسط درخواست کننده ، دريافت گرديد ، در ابتدا با استناد به اطلاعات جديد دريافتی، Cache مربوطه  بهنگام و در ادامه بسته اطلاعاتی به مقصد کامپيوتر مورد نظر ارسال می گردد .
در صورتيکه مقصد يک بسته اطلاعاتی ، سگمنتی ديگر باشد ، ARP ، آدرس MAC را به روتر مسئول در سگمنت مربوطه ، تعميم  خواهد داد ( در مقابل آدرس مربوط به کامپيوتر مقصد ) . روتر ، در ادامه مسئول يافتن آدرس MAC مقصد و يا Forwarding بسته اطلاعاتی برای روتر ديگر است .

 

تهیه شده توسط خانم ها:

اسما محمدی       شبنم مرادی 

 

 

 

 

  TCP/IP

OSI چيست؟

(Open System Interconnection)OSI يك مدل مرجه براي ارتباط  بين دو كامپيوتر ميباشد كه در سال 1980طراحي گرديده است هرچند امروزه تعقييراتي در ان به وجود آمده اما هنوز كاربرد هاي فراني  در جاهاي مختلف اينترنت و به خصوص در پايه هاي شبكه دارد.

 اين مدل بر اساس لايه بندي قرارداهاي برقراري ارتباط كه همزمان روي دوسيتم مرتبط اجرا شه شده اند پايه ريزي شده است كه اين امر بسيار سزرعت ودقت ارتباط را افزايش ميدهد و اين قرار داد ها به صورت طبقه تبقه در هفت لايه تنظيم شده اند

كه در زير برسي خواهند شد

 

برسي هفت لايه osi:

 لايه فيزيكي

اين لايه كه تنها تشكيل شده از سخت افزار ميباشد وقرارداهاي سخت افزاري در ان اجرا ميشود وظيفه انتقال نهاي اطلاعات را دارد كه اي نانتقال بصورت سيگنل وبه صورت صفر ويك ميباشد

 

لايه ژيوند داده  ها:

در اين لايه اطلاعات ، كشف خطا واصلاح ميشوند وبدون خطا به صورت مطمعن به صوي مقصد ارسال ميشوند وظيفه ديگر اين لايه مطمعن شدن از رسيدن اطلاعات به مقصد است كه اين كار توست بيتهاي (Parity check,checksum,crc) انجام ميپزيرد كه در صورت بروز خطاي مجدد اطلاعات ارسال خواهد شد.

 

لايه شبكه:

واما پيچيده ترين لايه يعني لاه شبكه كه در آن قراردادهاي شبكه بندي تعريف شده است وظيفه اين لايه انتقال تكنولو‍ي بر قراري ارتباط براي ديگر شبكه هاي مستقل است كه اين امر اين امكان راOSIميدهد كه بتواند در زير شبكه هاي مختلف فعاليت كند.

 

 

لايه انتقل:

 در اين لايه قبل از ارسال اطلاعات يك بسته به سمت مقصد فرستاده ميشود تا مقصد را براي دريا فت اطلاعات آماده كند همچنين ااين لايه وظيفه تكه تكه كردن بسته ها ، شماره گذاري آنها و ترتيب ونظم دهي آنها را بر عهده دارد.

البته بسته ها در اطاف گيرنده دوباره در همين لايه نظم دهي وقابل استفاده براي لايه هاي بالا تر خواهند شد.

  لايه جلسه :

در اين لايه بر كارهاي از قبيل زمان ارسال ودرافت بسته ها مقدار رسيده ومقدار مانده از بسته ها  نظارت ميشود كه به مديريت بسته ها بسيار كمك ميكند.

 

لايه ارائه:

در اين لايه استانداردهاي رمز نگاري وفسشرده سازي اطلاعات تعريف شده است كه اين لايه در امنيت بسيار مهم ميباشد.

 لايه كاربرد:

استانداردهاي ارطباط بين نرم افزار هاي شبكه در اين لايه در اين لايه قرار دارد كه ميتوان از FTIM CMIP MHS VT  نام برد.

 

"Internet protocol/Transmission Control Protocol"TCP/IP 

 

 TCP/IPچيست؟

TCP/IP مجمعه قرارداد هاي هستند كه در جهت اتصال كامپيوتر ها در شبكه مورد استفاده قرار ميگيرد   وبه تعريف ديگر قرار داد كنترل انتقال اطلاعات ميباشد.

 

TCP/IPاز چها لايه تشكيل شده است كه در زير به صحبت در مورد  چهار لايه TCP/IPميپردازيم

 

لايه واسط شبكه:

در اين لايه تمام استاندارد ها هاي سخت افزاري و انواع تروپكل ها مانند شبك هتعريف شده كه خاصيت بزركگ اين لايه اين موضوع ميباشد كه دزر آن ميتوان بين نرم افزار وسخت افزار شبكه ارتباط بر قرار كرد

 

لايه شبكه :

در اين لايه پروتكل IP ادرس دهي و تنظيم ميشود .(توضيحات در قسمت IP) وهمچنين پرتكل ها مانند ARP,ICMP,BOOTPكه در اين ميان نقش هيچكدام به اندازه IP,ICMPمهم نيست در كل وظيفه اين لايه دادن اطلاعات در مورد شبكه و آدرس دهي در آن ميباشد كه مسيريابي ها از آن بسيار استفاده ميكنند .

 

لايه انتقال :

ابتدايي ترين وظيفه اين لايه آگاهي از  بسته ها ميباشد كه بسار مهم نيز هست.

و در مرحله بعد وظيفه اين لايه انتقال اطلاعاتي ميباشد كه نياز به امنيت ندارد

 وسرعت براي آنها مهم تر است.

 

لايه كاربرد:

اين لايه داراي امكانات زيادي براي هنر نمايي متخصصان ميباشد.

در اين لايه برنامه هاي كاربردي قرار دارند ودر كل اين لايه لايه ي نرم افزار هاي شبكه ميباشد وهمچنين لايه پرتكل هاي نرم افزاري نيز ميباشد.

از مهم ترين نكات در خصوص اين لايه قرار داشتن : انتقال فايل(FTP) ومديريت پست (SMTP) و بقيه برنامه هاي كاربردي ميباشد.

پرتكل اينترنت IP

 حتما همه شما عزيزان واقف به اين موضوع هستيد كه IP يكي از مهم ترين قسمتهاي TCP/IP وشايد بتوان مهم ترين قسمت آن زيرا تقريبن شما براي هر كاري نياز به آن خواهيد داشت لذا بسيار ضروري و حياتي ميباشد كه شما اطلاعات خود را در زمينه اين مهم ترين افزون كنيد.

IPيك آدرس عددي است كه براي ارتباط با شبكه و هر ماشيني در شبكه اختصاص داده ميشود (چونIP براي وسايلي از قبيل LAn,MODEM,POUTERو... استفاده ميشود ما اصطلاحا به جاي نام بردن تك تك انها  همه را ماشين ميناميم)

"IP شما نصبت به نوع اتصال شما متغيير و يا ثابت باشدو"

وظيفه IP چيست؟

وظيفه پرتكل IP حمل و تردد بسته هاي حاوي اطلاعات و همچنين مسير يابي انها از مبدا تا مقصد است

 

اساس كار پرتكل IP  چيست؟

 

IP  پس از دريافت اطلاعات از TCP شروع به قطعه قطعه كردن آن به قطعه هاي كوچك به اسم FRAGMENT مينمايد پس از اين مرحله براي fragment يك بسته IP مي سازد كه حاوي اطلاعات مورد نياز بسته براي حركت در طول شبكه ميباشد وبسته IP را به بستهTCPاضافه ميكند وشروع به ارسل يبسته هاي تيكه تيكه شده(Fragment) مينمايد حال مسير يابها بر اساس تنطيمات قسمت IP بسته ها را به مقصد خود هدايت ميكند و آنها را داخل زير شبكه ها هدايت ميكند

 

 

خصوصيات IP

 

بسته IP حد اكثر 64 كيلو بايت فضا را اشغال خواهد كرد و بيشتر از آن نميتواند باشد ولي موضوع جالب اينجاست كه در حالت عادي حجم بسته  حدود 1600 بايت بيشتر نمي باشد

 

 

" بعدها يك حمله d.o.s بر مبناي همين موضوع طراحي شد"

IP در تمامي سيستمهاي عامل با ساختار استانداردي كه دارد به درستي كار ميكند و نياز به هيچ نوع سخت افزار ندارد

 

 

برسي ساختار بسته ساخته شده توسط پرتكل IP

 

بسته IP ساخته شده از تعدادي فيلد مجزا ميباشد كه هركدام اطلاعاتي را در خود دارند كه در زمان مورد نياز اين اطلاعات از داخل بسته ها استخراج ميشود ومورد استفاده قرار ميگيرد اين اطلاعات شامل مواردي مثل ادرس IP فرستنده ادرسگيرنده و IP  غيره ميباشد

 

برسي فيلد ها:

 فيلد version:

وظيفه مشخص كردن نوع پرتكل ... رابر عهده دارد (در حال حاضر از دو Version4و6 استفاذده ميشود)

اندازه فيلد: 4 بيت

 

فيلد:IHL

وظيفه اين فيلد نگداري انداز قسمت بالاي بسته در خود ميباشد كهاز آن براي تعيين مرز بين اطلاعات و محتويات بسته IP استفاده ميشود .

اندازه فيلد: 4بيت

   فيلدType of service:

در اين فيلد نوع سرويس انتقال تعيين ميشود:"(( كم سرعت ومطمئن))و((پر سرعت ونا مطمئن))

اندازه فيلد:8 بايت

  فيلدFragment offset:

اين فيلد خود به سه بخش تقصيم ميشود:

1.  بيتDF(don’t fragment): اگر اين بيت 1 باشد هيچ مسير يابي حق شكستن اين بسته را ندارد

2. بيتMF(more fragment):اگر اين بيت 0 بود به اين معني ميباشد كه اين قطعه |آخرين قطعه ارسال شده ميباشد

3.   Fragment offst

در اين قسمت شماره قطعه هاي شكسته شده قرار دارد و چون اندازه اين بيت 13 ميباشد اطلاعات ميتواند تا 8192قطعه شكسته شود(اندازه هر قطعه بغير از قطعه آخري بايد ضريبي از 8 باشد)

فيلدTime to live:

همانطور كه ميدانيد در اين فيلد زمان سرگرداني بسته مشخص ميشودواين به اين معني مباشد كه اين بسته ميتوان از چند مسير ياب عبور كند كه حد اكثر ان 255 ميباشد. اين فيلد يك نعمت بزرگ ميباشد

اندازه فيلد:8 بيت

 

فيلد Protocol:

در اين فيلد شماره پرتكلي كه قرار است بسته به آن برسد مشخس ميشود

 

فيلدHeader checksum :

وظيفه كشف خطا را بر عهده دارد

 

فيلدSource Address:

 اين فيلد فيلد بسيار مهمي ميباشد چون در ان آدرس مبدا موجود ميباشد برنامه هاي فيلترينگ و فاير وال ها بسيار از اين فيلد استفاده ميكنند

 

فيلدDestination address:

در اين فيلد هم ادرس IP مقصد موجود ميباشد

فيلد OPTION:

 اين فيلد يك فيلد خالي ميباشد كه در آن هر توضي حاتي به صورت دلخواه نوشت

 

فيلدPAYLOAD:

در اين فيلد داده ها بين لايه هاي مختلف ردو بدل ميشود البته اين امر از لايه هاي بالا تر به سمت لايه هاي پايين تر صورت ميگيرد

نكاتي جالب در موردIP

آدرس هاي وي‍ه:

اين آدرسها نمونه هاي از اآدرسهاي IP خاص هستند كه از قبل براي مقصدي خاص در نظر گرفته شده ان ودر تعريف شبكه نمي توان از آنها به عنوانIP براي ماشينها  استفاده كرد

 

0.0.0.0

 

از اين آدرس در مواردي استفاده ميشود كه ماشين ميزبان از ... خود بي اطلاع است. البته اگر از اين ادرس به عنوان آدرس فرستنده استفاده بشود هيچ جواب براي فرستنده پس فرستاده نميشود

 

Hostid.0

 اين آدرس براي زماني است كه از آدرس خود در زير شبكه بي اطلاع  باشيم

255.255.255.255

از اين آدرس براي ارسلا پيامهاي به صورت عمومي و فراگير در شبكه استفاده ميشود البته با استفاده از اين آدرس ميتوان در زير شبكه خود پيام فرا گير ارسال كرد.

 

Netid.255

از اين آدرس براي ارسال پيامهاي فراگير در ديگر شبكه ها از خارج از انها استفاده ميشود. البته  اين سرويس تقريبا در بيشتر اوقات از سوي مديران شبك هغير فعال ميشود

 در ادامه مباحثtcp/ip به برسي ساختار فيلدهاي بسته tcp ,udp,icmp,…وچند پرتكل مشهور خواهد پرداخت بسته TCP نيز همتانند IP تشكيل شده از تعدادي فيلد ميباشد كه توضيحاتي در مورد شماره پورت مقصد شماره پرت مبدا و.... را در خود دارد حال به برسي اين فيلد هاي مهم ميپردازيم.

  فيلدها در بسته هايTCP

 

فيلدsource port:

اين فيلد كه مقداري برابر 16 دارد آدرس پورت (پرتكل) مبدا را درخود دار با استفاده از اين فيلد تقريبا ميتوان نوع داده هاي ارسالي را فهميد.

فيلدdestination:

در اين فيلد آدرس پورتي كه اطلاعات در مقصد بايد تحويل آن داده شود موجود ميباشد اين فيلد تاعيين ميكند ما اطلاعات را براي چه پرتي ارسال ميكنيم كه البته در بيشت موارد اطلاعات براي پرتكل هاي استاندارد ارسلال ميشود براي مثال پورت 80 به صورت استانداردhttp را در خود دارد.

 

فيلدsequence number:

اين فيلد داراي عددي است كه نشان دهنده تعداد بيت هاي ارسال شده از داده ها است كه اين عدد با احساب داده هاي بسته جاري در فيلد قرار ميگيرد براي مثال اگر در داخل فيلد عدد 222222قرار بگيرد يعني پس از ارسال بسته جاري 222222بايت از داده ها ارسال شده است

 فيلدacknowledgment number:

 همانطور كه از اسم اين فيلد پيداست فيلدي است براي تصديق كردن مقدار اطلاعات دريافت شده از طريق گيرنده براي مثال اگر در اين فيلد كه ظزفيت آن 32 بيت ميباشد عدد 1000001 قرار داشته باشد به اين معني است كه گيرنده در يافت اطلاعات تا اين بيت را تائيد كرده و منطزر دريافت بقيه اطلاعات ميباشد

 

فيلدtcp header length:

 در اين فيلد نيز ععدي وجود دارد كه مرز بين داده ها و سرآيند بسته را مشخص ميكند سرايند به قسمتي گفته ميشود كه شامل فيلدهاي .... ميباشد

 

فيلدWindows size:

در اين فيلد مقدار فضايي كه در طرف گيرنه خالي مانده است قرار دارد كاربرد اين فيلد به اين صورت است كه مقداري كه در اين فيلد قرار دارد(مقدار فضاي خالي بافر گيرنده ) با مقدار داده اي كه براي ارسال ؟آماده است مقايسه ميشود اگر بافر گيرنده فضاي كافي داشته باشد داده ها ارسال ميشود ودر غير اين صورت منطزر ميماند تا بافر گيرنده خال شود و بعد اقدام به ارسال داده ها ميكند

 

فيلدchecksum:

ايند فيلد كه فضاي 16 بيتي را اشغال ميكند حاوي حاوي كد خطاهاي به وجود امده در ارسال يا ذريافت اطلاعات ميباشد

 

فيلدTcp segment length

اين فيلد مقدار كل بسته را بر حسب بايت در خود دارد

 

فيلدurgent pointer:

در اين فيلد يك عدد كه در اصل يك كد شبيه به كد وقفه ها است قرار دارد كه در مواقع ضروري ارسال ميشود

 

 فيلدoption:

 در اين فيلد يك نعمت بزرگ ميباشد در مواقعي كه حجم بسته ضريبي از چها نشود از اين قسمت با داده هاي بي ارزش ستفاده ميشود تا مقدار ضريبي از چهار شود

 بيتUrg:

اين فيلد نشان دهنده وضعيت فيلدurgent pointerميباشد

طرز عملكرد اين فيلد يك بايتي به اين شكل ميباشد كه اگر مقدار ان 1 باشد به اين معني است كه فيلPOINTERبايد مورد ارزيابي قرار گيد واگر مقدار ان صفر باشد نصبت به ان فيلد بي تفاوت است

بيتask:

اگر در اين فيلد مقدار 1 قرار گيرد دليل بر اعتبار فيلد ACKNOWLEDGMENT ميباشد

 بيتPSH:

اين بيت براي جدا سازي بسته هاي حياتي و مهم مورد استفاده قرار ميگيرد اين فيلد به گيرنده نشان ميدهد كه بسته هاوي ان بايد سريعا بافر شود وبه برنامه كارردي تحويل داده شود براي مثال درTELNET 

 

بيتRST:

اين بيت براي قطع ارتباط مورد استفاده قرار ميگيرد اما قطع ارتباط در اين صورت يك طرف خواهد بود وارسال داده ها ناتمام خواهد ماند و طرز كار آن به اين صورت است كه اگر حاوي 1 باشد ارتباط را بدون اجازه و خبر دادن به طرف مقابل قطع ميكند

بيتSYN:

 اين بيت يكي از مهم ترين قسمت هاي بسته TCP ميباشد چون نقش بر قراري ارتباط را عهده دارد

و اما آخرين بيت كه بيتFINميباشد:

اين بيت تقريبا به معناي خدا حافضي ميباشد موقعي كه يكي از طرفين داده هاي براي ارسال نداشته باشد اين بيت را 1 ميكند و اين بدان معناست كه آخرين بسته ارسالي ميباشد وبعد از ارسل بسته ارتباط به صورت يكطرفه قطع خواهد شد

امنیت در شبکه‌های بی‌سیم

 

 مقدمه

 

    از آن‌جا که شبکه‌های بی سیم، در دنیای کنونی هرچه بیشتر در حال گسترش هستند، و با توجه به ماهیت این دسته از شبکه‌ها، که بر اساس سیگنال‌های رادیویی‌اند، مهم‌ترین نکته در راه استفاده از این تکنولوژی، آگاهی از نقاط قوت و ضعف آن‌ست. نظر به لزوم آگاهی از خطرات استفاده از این شبکه‌ها، با وجود امکانات نهفته در آن‌ها که به‌مدد پیکربندی صحیح می‌توان به‌سطح قابل قبولی از بعد امنیتی دست یافت، بنا داریم در این سری از مقالات با عنوان «امنیت در شبکه های بی سیم» ضمن معرفی این شبکه‌ها با تأکید بر ابعاد امنیتی آن‌ها، به روش‌های پیکربندی صحیح که احتمال رخ‌داد حملات را کاهش می‌دهند بپردازیم.

 

شبکه‌های بی‌سیم، کاربردها، مزایا و ابعاد

    تکنولوژی شبکه‌های بی‌سیم، با استفاده از انتقال داده‌ها توسط اموج رادیویی، در ساده‌ترین صورت، به تجهیزات سخت‌افزاری امکان می‌دهد تا بدون‌استفاده از بسترهای فیزیکی همچون سیم و کابل، با یکدیگر ارتباط برقرار کنند. شبکه‌های بی‌سیم بازه‌ی وسیعی از کاربردها، از ساختارهای پیچیده‌یی چون شبکه‌های بی‌سیم سلولی -که اغلب برای تلفن‌های همراه استفاده می‌شود- و شبکه‌های محلی بی‌سیم (WLAN – Wireless LAN) گرفته تا انوع ساده‌یی چون هدفون‌های بی‌سیم، را شامل می‌شوند. از سوی دیگر با احتساب امواجی همچون مادون قرمز، تمامی تجهیزاتی که از امواج مادون قرمز نیز استفاده می‌کنند، مانند صفحه کلید‌ها،  ماوس‌ها و برخی از گوشی‌های همراه، در این دسته‌بندی جای می‌گیرند. طبیعی‌ترین مزیت استفاده از این شبکه‌ها عدم نیاز به ساختار فیزیکی و امکان نقل و انتقال تجهیزات متصل به این‌گونه شبکه‌ها و هم‌چنین امکان ایجاد تغییر در ساختار مجازی آن‌هاست. از نظر ابعاد ساختاری، شبکه‌های بی‌سیم به سه دسته تقسیم می‌گردند : WWAN، WLAN و WPAN.

 

    مقصود از WWAN، که مخفف Wireless WAN است، شبکه‌هایی با پوشش بی‌سیم بالاست. نمونه‌یی از این شبکه‌ها، ساختار بی‌سیم سلولی مورد استفاده در شبکه‌های تلفن همراه است.  WLAN پوششی محدودتر، در حد یک ساختمان یا سازمان، و در ابعاد کوچک یک سالن یا تعدادی اتاق، را فراهم می‌کند. کاربرد شبکه‌های WPAN یا Wireless Personal Area Network برای موارد خانه‌گی است. ارتباطاتی چون Bluetooth و مادون قرمز در این دسته قرار می‌گیرند.

 

    شبکه‌های WPAN از سوی دیگر در دسته‌ی شبکه‌های Ad Hoc نیز قرار می‌گیرند. در شبکه‌های Ad hoc، یک سخت‌افزار، به‌محض ورود به فضای تحت پوشش آن، به‌صورت پویا به شبکه اضافه می‌شود. مثالی از این نوع شبکه‌ها، Bluetooth است. در این نوع، تجهیزات مختلفی از جمله صفحه کلید، ماوس، چاپگر، کامپیوتر کیفی یا جیبی و حتی گوشی تلفن همراه، در صورت قرارگرفتن در محیط تحت پوشش، وارد شبکه شده و امکان رد و بدل داده‌ها با دیگر تجهیزات متصل به شبکه را می‌یابند. تفاوت میان شبکه‌های Ad hoc با شبکه‌های محلی بی‌سیم (WLAN) در ساختار مجازی آن‌هاست. به‌عبارت دیگر، ساختار مجازی شبکه‌های محلی بی‌سیم بر پایه‌ی طرحی ایستاست درحالی‌که شبکه‌های Ad hoc از هر نظر پویا هستند. طبیعی‌ست که در کنار مزایایی که این پویایی برای استفاده کننده‌گان فراهم می‌کند، حفظ امنیت چنین شبکه‌هایی نیز با مشکلات بسیاری همراه است. با این وجود، عملاً یکی از راه حل‌های موجود برای افزایش امنیت در این شبکه‌ها، خصوصاً در انواعی همچون Bluetooth، کاستن از شعاع پوشش سیگنال‌های شبکه است. در واقع مستقل از این حقیقت که عمل‌کرد Bluetooth بر اساس فرستنده و گیرنده‌های کم‌توان استوار است و این مزیت در کامپیوترهای جیبی برتری قابل‌توجه‌یی محسوب می‌گردد، همین کمی توان سخت‌افزار مربوطه، موجب وجود منطقه‌ی محدود تحت پوشش است که در بررسی امنیتی نیز مزیت محسوب می‌گردد. به‌عبارت دیگر این مزیت به‌همراه استفاده از کدهای رمز نه‌چندان پیچیده، تنها حربه‌های امنیتی این دسته از شبکه‌ها به‌حساب می‌آیند.

 

منشأ ضعف امنیتی در شبکه‌های بی‌سیم و خطرات معمول

    خطر معمول در کلیه‌ی شبکه‌های بی‌سیم مستقل از پروتکل و تکنولوژی مورد نظر، بر مزیت اصلی این تکنولوژی که همان پویایی ساختار، مبتنی بر استفاده از سیگنال‌های رادیویی  به‌جای سیم و کابل، استوار است. با استفاده از این سیگنال‌ها و در واقع بدون مرز ساختن پوشش ساختار شبکه، نفوذگران قادرند در صورت شکستن موانع امنیتی نه‌چندان قدرت‌مند این شبکه‌ها، خود را به‌عنوان عضوی از این شبکه‌ها جازده و در صورت تحقق این امر، امکان دست‌یابی به اطلاعات حیاتی، حمله به سرویس دهنده‌گان سازمان و مجموعه، تخریب اطلاعات، ایجاد اختلال در ارتباطات گره‌های شبکه با یکدیگر، تولید داده‌های غیرواقعی و گمراه‌کننده، سوءاستفاده از پهنای‌باند مؤثر شبکه و دیگر فعالیت‌های مخرب وجود دارد.

 

    در مجموع، در تمامی دسته‌های شبکه‌های بی‌سیم، از دید امنیتی حقایقی مشترک صادق است :

 

·                      تمامی ضعف‌های امنیتی موجود در شبکه‌های سیمی، در مورد شبکه‌های بی‌سیم نیز صدق می‌کند. در واقع نه تنها هیچ جنبه‌یی چه از لحاظ طراحی و چه از لحاظ ساختاری، خاص شبکه‌های بی‌سیم وجود ندارد که سطح بالاتری از امنیت منطقی را ایجاد کند، بلکه همان گونه که ذکر شد مخاطرات ویژه‌یی را نیز موجب است.

·                     نفوذگران، با گذر از تدابیر امنیتی موجود، می‌توانند به‌راحتی به منابع اطلاعاتی موجود بر روی سیستم‌های رایانه‌یی دست یابند.

·               اطلاعات حیاتی‌یی که یا رمز نشده‌اند و یا با روشی با امنیت پایین رمز شده‌اند، و میان دو گره در شبکه‌های بی‌سیم در حال انتقال می‌باشند، می‌توانند توسط نفوذگران سرقت شده یا تغییر یابند.

·                   حمله‌های DoS به تجهیزات و سیستم‌های بی‌سیم بسیار متداول است.

·                     نفوذگران با سرقت کدهای عبور و دیگر عناصر امنیتی مشابه کاربران مجاز در شبکه‌های بی‌سیم، می‌توانند به شبکه‌ی مورد نظر بدون هیچ مانعی متصل گردند.

·                      با سرقت عناصر امنیتی، یک نفوذگر می‌تواند رفتار یک کاربر را پایش کند. از این طریق می‌توان به اطلاعات حساس دیگری نیز دست یافت.

·                      کامپیوترهای قابل حمل و جیبی، که امکان و اجازه‌ی استفاده از شبکه‌ی بی‌سیم را دارند، به‌راحتی قابل سرقت هستند. با سرقت چنین سخت افزارهایی، می‌توان اولین قدم برای نفوذ به شبکه را برداشت.

·                      یک نفوذگر می‌تواند از نقاط مشترک میان یک شبکه‌ی بی‌سیم در یک سازمان و شبکه‌ی سیمی آن (که در اغلب موارد شبکه‌ی اصلی و حساس‌تری محسوب می‌گردد) استفاده کرده و با نفوذ به شبکه‌ی بی‌سیم عملاً راهی برای دست‌یابی به منابع شبکه‌ی سیمی نیز بیابد.

·                      در سطحی دیگر، با نفوذ به عناصر کنترل کننده‌ی یک شبکه‌ی بی‌سیم، امکان ایجاد اختلال در عمل‌کرد شبکه نیز وجود دارد.

 

 

شبکه‌های محلی بی‌سیم

در این قسمت، به‌عنوان بخش دوم از بررسی‌ امنیت در شبکه‌های بی‌سیم، به مرور کلی‌ شبکه‌های محلی‌ بی‌سیم می‌پردازیم. اطلاع از ساختار و روش عمل‌کرد این شبکه‌ها، حتی به صورت جزءیی، برای بررسی امنیتی لازم به‌نظر می‌رسد.


تکنولوژی و صنعت WLAN به اوایل دهه‌ی ۸۰ میلادی باز می‌گردد. مانند هر تکنولوژی دیگری، پیشرفت شبکه‌های محلی‌ بی‌سیم به کندی صورت می‌پذیرفت. با ارایه‌ی استاندارد IEEE 802.11b، که پهنای باند نسبتاً بالایی را برای شبکه‌های محلی امکان‌پذیر می‌ساخت، استفاده از این تکنولوژی وسعت بیشتری یافت. در حال حاضر، مقصود از WLAN تمامی پروتکل‌ها و استانداردهای خانواده‌ی IEEE 802.11 است.





اولین شبکه‌ی محلی بی‌سیم تجاری توسط Motorola پیاده‌سازی شد. این شبکه، به عنوان یک نمونه از این شبکه‌ها، هزینه‌یی بالا و پهنای باندی پایین را تحمیل می‌کرد که ابداً مقرون به‌صرفه نبود. از همان زمان به بعد، در اوایل دهه‌ی ۹۰ میلادی، پروژه‌ی استاندارد 802.11 در IEEE شروع شد. پس از نزدیک به ۹ سال کار، در سال ۱۹۹۹ استانداردهای 802.11a و 802.11b توسط IEEE نهایی شده و تولید محصولات بسیاری بر پایه‌ی این استانداردها آغاز شد. نوع a، با استفاده از فرکانس حامل 5GHz، پهنای باندی تا 54Mbps را فراهم می‌کند. در حالی‌که نوع b با استفاده از فرکانس حامل 2.4GHz، تا 11Mbps پهنای باند را پشتیبانی می‌کند. با این وجود تعداد کانال‌های قابل استفاده در نوع b در مقایسه با نوع a، بیش‌تر است. تعداد این کانال‌ها، با توجه به کشور مورد نظر، تفاوت می‌کند. در حالت معمول، مقصود از WLAN استاندارد 802.11b است.



استاندارد دیگری نیز به‌تاز‌ه‌گی توسط IEEE معرفی شده است که به 802.11g شناخته می‌شود. این استاندارد بر اساس فرکانس حامل 2.4GHz عمل می‌کند ولی با استفاده از روش‌های نوینی می‌تواند پهنای باند قابل استفاده را تا 54Mbps بالا ببرد. تولید محصولات بر اساس این استاندارد، که مدت زیادی از نهایی‌شدن و معرفی آن نمی‌گذرد، بیش از یک‌سال است که آغاز شده و با توجه سازگاری‌ آن با استاندارد 802.11b، استفاده از آن در شبکه‌های بی‌سیم آرام آرام در حال گسترش است.



معماری‌ شبکه‌های محلی‌ بی‌سیم
استاندارد 802.11b به تجهیزات اجازه می‌دهد که به دو روش ارتباط در شبکه برقرار شود. این دو روش عبارت‌اند از برقراری‌ ارتباط به صورت نقطه به نقطه –همان‌گونه در شبکه‌های Ad hoc به‌کار می‌رود- و اتصال به شبکه از طریق نقاط تماس یا دسترسی (AP=Access-Point).



معماری‌ معمول در شبکه‌های محلی‌ بی‌سیم بر مبنای استفاده از AP است. با نصب یک AP، عملاً مرزهای یک سلول مشخص می‌شود و با روش‌هایی می‌توان یک سخت‌افزار مجهز به امکان ارتباط بر اساس استاندارد 802.11b را میان سلول‌های مختلف حرکت داد. گستره‌یی که یک AP پوشش می‌دهد را BSS(Basic Service Set) می‌نامند. مجموعه‌ی تمامی سلول‌های یک ساختار کلی‌ شبکه، که ترکیبی از BSSهای شبکه است، را ESS(Extended Service Set) می‌نامند. با استفاده از ESS می‌توان گستره‌ی وسیع‌تری را تحت پوشش شبکه‌ی محلی‌ بی‌سیم درآورد.



در سمت هریک از سخت‌افزارها که معمولاً مخدوم هستند، کارت شبکه‌یی مجهز به یک مودم بی‌سیم قرار دارد که با AP ارتباط را برقرار می‌کند. AP علاوه بر ارتباط با چند کارت شبکه‌ی بی‌سیم، به بستر پرسرعت‌تر شبکه‌ی سیمی مجموعه نیز متصل است و از این طریق ارتباط میان مخدوم‌های مجهز به کارت شبکه‌ی بی‌سیم و شبکه‌ی اصلی برقرار می‌شود.



همان‌گونه که گفته شد، اغلب شبکه‌های محلی‌ بی‌سیم بر اساس ساختار فوق، که به نوع Infrastructure نیز موسوم است، پیاده‌سازی می‌شوند. با این وجود نوع دیگری از شبکه‌های محلی‌ بی‌سیم نیز وجود دارند که از همان منطق نقطه‌به‌نقطه استفاده می‌کنند. در این شبکه‌ها که عموماً Ad hoc نامیده می‌شوند یک نقطه‌ی مرکزی‌ برای دسترسی وجود ندارد و سخت‌افزارهای همراه – مانند کامپیوترهای کیفی و جیبی یا گوشی‌های موبایل – با ورود به محدوده‌ی تحت پوشش این شبکه، به دیگر تجهیزات مشابه متصل می‌گردند. این شبکه‌ها به بستر شبکه‌ی سیمی متصل نیستند و به همین منظور IBSS (Independent Basic Service Set) نیز خواند می‌شوند.




شبکه‌های Ad hoc از سویی مشابه شبکه‌های محلی‌ درون دفتر کار هستند که در آنها نیازی به تعریف و پیکربندی‌ یک سیستم رایانه‌یی به عنوان خادم وجود ندارد. در این صورت تمامی تجهیزات متصل به این شبکه می‌توانند پرونده‌های مورد نظر خود را با دیگر گره‌ها به اشتراک بگذارند.




عناصر فعال شبکه‌های محلی بی‌سیم



در شبکه‌های محلی بی‌سیم معمولاً دو نوع عنصر فعال وجود دارد :



- ایستگاه بیسیم

ایستگاه یا مخدوم بی‌سیم به طور معمول یک کامپیوتر کیفی یا یک ایستگاه کاری ثابت است که توسط یک کارت شبکه‌ی بی‌سیم به شبکه‌ی محلی متصل می‌شود. این ایستگاه می‌تواند از سوی دیگر یک کامپیوتر جیبی یا حتی یک پویش گر بارکد نیز باشد. در برخی از کاربردها برای این‌که استفاده از سیم در پایانه‌های رایانه‌یی برای طراح و مجری دردسر‌ساز است، برای این پایانه‌ها که معمولاً در داخل کیوسک‌هایی به‌همین منظور تعبیه می‌شود، از امکان اتصال بی‌سیم به شبکه‌ی محلی استفاده می‌کنند. در حال حاضر اکثر کامپیوترهای کیفی موجود در بازار به این امکان به‌صورت سرخود مجهز هستند و نیازی به اضافه‌کردن یک کارت شبکه‌ی بی‌سیم نیست.

کارت‌های شبکه‌ی بی‌سیم عموماً برای استفاده در چاک‌های PCMCIA است. در صورت نیاز به استفاده از این کارت‌ها برای کامپیوترهای رومیزی و شخصی، با استفاده از رابطی این کارت‌ها را بر روی چاک‌های گسترش PCI نصب می‌کنند.



- نقطه ی دسترسی

نقاط دسترسی در شبکه‌های بی‌سیم، همان‌گونه که در قسمت‌های پیش نیز در مورد آن صحبت شد، سخت افزارهای فعالی هستند که عملاً نقش سوییچ در شبکه‌های بی‌سیم را بازی‌کرده، امکان اتصال به شبکه های سیمی را نیز دارند. در عمل ساختار بستر اصلی شبکه عموماً سیمی است و توسط این نقاط دسترسی، مخدوم‌ها و ایستگاه‌های بی‌سیم به شبکه‌ی سیمی اصلی متصل می‌گردد.



برد و سطح پوشش



شعاع پوشش شبکه‌ی بی‌سیم بر اساس استاندارد 802.11 به فاکتورهای بسیاری بسته‌گی دارد که برخی از آن‌ها به شرح زیر هستند :



- پهنای باند مورد استفاده

- منابع امواج ارسالی و محل قرارگیری فرستنده‌ها و گیرنده‌ها

- مشخصات فضای قرارگیری و نصب تجهیزات شبکه‌ی بی‌سیم

- قدرت امواج

- نوع و مدل آنتن



شعاع پوشش از نظر تئوری بین ۲۹متر (برای فضاهای بسته‌ی داخلی) و ۴۸۵متر (برای فضاهای باز) در استاندارد 802.11b متغیر است. با این‌وجود این مقادیر، مقادیری متوسط هستند و در حال حاضر با توجه به گیرنده‌ها و فرستنده‌های نسبتاً قدرت‌مندی که مورد استفاده قرار می‌گیرند، امکان استفاده از این پروتکل و گیرنده‌ها و فرستنده‌های آن، تا چند کیلومتر هم وجود دارد که نمونه‌های عملی آن فراوان‌اند.



با این وجود شعاع کلی‌یی که برای استفاده از این پروتکل (802.11b) ذکر می‌شود چیزی میان ۵۰ تا ۱۰۰متر است. این شعاع عمل‌کرد مقداری‌ست که برای محل‌های بسته و ساختمان‌های چند طبقه نیز معتبر بوده و می‌تواند مورد استناد قرار گیرد.



شکل زیر مقایسه‌یی میان بردهای نمونه در کاربردهای مختلف شبکه‌های بی‌سیم مبتنی بر پروتکل 802.11b را نشان می‌دهد :



یکی از عمل‌کردهای نقاط دسترسی به عنوان سوییچ‌های بی‌سیم، عمل اتصال میان حوزه‌های بی‌سیم است. به‌عبارت دیگر با استفاده از چند سوییچ بی‌سیم می‌توان عمل‌کردی مشابه Bridge برای شبکه‌های بی‌سیم را به‌دست‌ آورد.



اتصال میان نقاط دست‌رسی می‌تواند به صورت نقطه‌به‌نقطه، برای ایجاد اتصال میان دو زیرشبکه به یکدیگر، یا به صورت نقطه‌یی به چند نقطه یا بالعکس برای ایجاد اتصال میان زیرشبکه‌های مختلف به یکدیگر به‌صورت همزمان صورت گیرد.



نقاط دسترسی‌یی که به عنوان پل ارتباطی میان شبکه‌های محلی با یکدیگر استفاده می‌شوند از قدرت بالاتری برای ارسال داده استفاده می‌کنند و این به‌معنای شعاع پوشش بالاتر است. این سخت‌افزارها معمولاً برای ایجاد اتصال میان نقاط و ساختمان‌هایی به‌کار می‌روند که فاصله‌ی آن‌ها از یکدیگر بین ۱ تا ۵ کیلومتر است. البته باید توجه داشت که این فاصله، فاصله‌یی متوسط بر اساس پروتکل 802.11b است. برای پروتکل‌های دیگری چون 802.11a می‌توان فواصل بیشتری را نیز به‌دست آورد.





از دیگر استفاده‌های نقاط دسترسی با برد بالا می‌توان به امکان توسعه‌ی شعاع پوشش شبکه های بی‌سیم اشاره کرد. به عبارت دیگر برای بالابردن سطح تحت پوشش یک شبکه‌ی بی‌سیم، می‌توان از چند نقطه‌ی دست‌رسی بی‌سیم به‌صورت همزمان و پشت به پشت یکدیگر استفاده کرد. به عنوان نمونه در مثال بالا می‌توان با استفاده از یک فرستنده‌ی دیگر در بالای هریک از ساختمان‌ها، سطح پوشش شبکه را تا ساختمان‌های دیگر گسترش داد.

 

 

امنیت در شبکه‌های محلی بر اساس استاندارد 802.11



پس از آن‌که در سه قسمت قبل به مقدمه‌یی در مورد شبکه‌های بی‌سیم محلی و عناصر آن‌ها پرداختیم، از این قسمت بررسی روش‌ها و استانداردهای امن‌سازی شبکه‌های محلی بی‌سیم مبتنی بر استاندارد IEEE 802.11 را آغاز می‌کنیم. با طرح قابلیت‌های امنیتی این استاندارد، می‌توان از محدودیت‌های آن آگاه شد و این استاندارد و کاربرد را برای موارد خاص و مناسب مورد استفاده قرار داد.

استاندارد 802.11 سرویس‌های مجزا و مشخصی را برای تأمین یک محیط امن بی‌سیم در اختیار قرار می‌دهد. این سرویس‌ها اغلب توسط پروتکل WEP (Wired Equivalent Privacy) تأمین می‌گردند و وظیفه‌ی آن‌ها امن‌سازی ارتباط میان مخدوم‌ها و نقاط دسترسی بی‌سیم است. درک لایه‌یی که این پروتکل به امن‌سازی آن می‌پردازد اهمیت ویژه‌یی دارد، به عبارت دیگر این پروتکل کل ارتباط را امن نکرده و به لایه‌های دیگر، غیر از لایه‌ی ارتباطی بی‌سیم که مبتنی بر استاندارد 802.11 است، کاری ندارد. این بدان معنی است که استفاده از WEP در یک شبکه‌ی بی‌سیم به‌معنی استفاده از قابلیت درونی استاندارد شبکه‌های محلی بی‌سیم است و ضامن امنیت کل ارتباط نیست زیرا امکان قصور از دیگر اصول امنیتی در سطوح بالاتر ارتباطی وجود دارد.







قابلیت‌ها و ابعاد امنیتی استاندارد 802.11



در حال حاضر عملاً تنها پروتکلی که امنیت اطلاعات و ارتباطات را در شبکه‌های بی‌سیم بر اساس استاندارد 802.11 فراهم می‌کند WEP است. این پروتکل با وجود قابلیت‌هایی که دارد، نوع استفاده از آن همواره امکان نفوذ به شبکه‌های بی‌سیم را به نحوی، ولو سخت و پیچیده، فراهم می‌کند. نکته‌یی که باید به‌خاطر داشت این‌ست که اغلب حملات موفق صورت گرفته در مورد شبکه‌های محلی بی‌سیم، ریشه در پیکربندی ناصحیح WEP در شبکه دارد. به عبارت دیگر این پروتکل در صورت پیکربندی صحیح درصد بالایی از حملات را ناکام می‌گذارد، هرچند که فی‌نفسه دچار نواقص و ایرادهایی نیز هست.

بسیاری از حملاتی که بر روی شبکه‌های بی‌سیم انجام می‌گیرد از سویی است که نقاط دسترسی با شبکه‌ی سیمی دارای اشتراک هستند. به عبارت دیگر نفوذگران بعضاً با استفاده از راه‌های ارتباطی دیگری که بر روی مخدوم‌ها و سخت‌افزارهای بی‌سیم، خصوصاً مخدوم‌های بی‌سیم، وجود دارد، به شبکه‌ی بی‌سیم نفوذ می‌کنند که این مقوله نشان دهنده‌ی اشتراکی هرچند جزءیی میان امنیت در شبکه‌های سیمی و بی‌سیم‌یی‌ست که از نظر ساختاری و فیزیکی با یکدیگر اشتراک دارند.



سه قابلیت و سرویس پایه توسط IEEE برای شبکه‌های محلی بی‌سیم تعریف می‌گردد :



· Authentication

هدف اصلی WEP ایجاد امکانی برای احراز هویت مخدوم بی‌سیم است. این عمل که در واقع کنترل دست‌رسی به شبکه‌ی بی‌سیم است. این مکانیزم سعی دارد که امکان اتصال مخدوم‌هایی را که مجاز نیستند به شبکه متصل شوند از بین ببرد.



· Confidentiality

محرمانه‌گی هدف دیگر WEP است. این بُعد از سرویس‌ها و خدمات WEP با هدف ایجاد امنیتی در حدود سطوح شبکه‌های سیمی طراحی شده است. سیاست این بخش از WEP جلوگیری از سرقت اطلاعات در حال انتقال بر روی شبکه‌ی محلی بی‌سیم است.



· Integrity

هدف سوم از سرویس‌ها و قابلیت‌های WEP طراحی سیاستی است که تضمین کند پیام‌ها و اطلاعات در حال تبادل در شبکه، خصوصاً میان مخدوم‌های بی‌سیم و نقاط دسترسی، در حین انتقال دچار تغییر نمی‌گردند. این قابلیت در تمامی استانداردها، بسترها و شبکه‌های ارتباطاتی دیگر نیز کم‌وبیش وجود دارد.



نکته‌ی مهمی که در مورد سه سرویس WEP وجود دارد نبود سرویس‌های معمول Auditing و Authorization در میان سرویس‌های ارایه شده توسط این پروتکل است.

 

 

سرویس‌های امنیتی WEP - Authentication



در قسمت قبل به معرفی پروتکل WEP که عملاً تنها روش امن‌سازی ارتباطات در شبکه‌های بی‌سیم بر مبنای استاندارد 802.11 است پرداختیم و در ادامه سه سرویس اصلی این پروتکل را معرفی کردیم.

در این قسمت به معرفی سرویس اول، یعنی Authentication، می‌پردازیم.



Authentication

استاندارد 802.11 دو روش برای احراز هویت کاربرانی که درخواست اتصال به شبکه‌ی بی‌سیم را به نقاط دسترسی ارسال می‌کنند، دارد که یک روش بر مبنای رمزنگاری‌ست و دیگری از رمزنگاری استفاده نمی‌کند.

 




 Authentication بدون.رمزنگاری

در روشی که مبتنی بر رمزنگاری نیست، دو روش برای تشخیص هویت مخدوم وجود دارد. در هر دو روش مخدومِ متقاضی پیوستن به شبکه، درخواست ارسال هویت از سوی نقطه‌ی دسترسی را با پیامی حاوی یک SSID (Service Set Identifier) پاسخ می‌دهد.



در روش اول که به Open System Authentication موسوم است، یک SSID خالی نیز برای دریافت اجازه‌ی اتصال به شبکه کفایت می‌کند. در واقع در این روش تمامی مخدوم‌هایی که تقاضای پیوستن به شبکه را به نقاط دسترسی ارسال می‌کنند با پاسخ مثبت روبه‌رو می‌شوند و تنها آدرس آن‌ها توسط نقطه‌ی دسترسی نگاه‌داری می‌شود. به‌همین دلیل به این روش NULL Authentication نیز اطلاق می‌شود.



در روش دوم از این نوع، بازهم یک SSID به نقطه‌ی دسترسی ارسال می‌گردد با این تفاوت که اجازه‌ی اتصال به شبکه تنها در صورتی از سوی نقطه‌ی دسترسی صادر می‌گردد که SSIDی ارسال شده جزو SSIDهای مجاز برای دسترسی به شبکه باشند. این روش به Closed System Authentication موسوم است.



نکته‌یی که در این میان اهمیت بسیاری دارد، توجه به سطح امنیتی‌ست که این روش در اختیار ما می‌گذارد. این دو روش عملاً روش امنی از احراز هویت را ارایه نمی‌دهند و عملاً تنها راهی برای آگاهی نسبی و نه قطعی از هویت درخواست‌کننده هستند. با این وصف از آن‌جایی‌که امنیت در این حالات تضمین شده نیست و معمولاً حملات موفق بسیاری، حتی توسط نفوذگران کم‌تجربه و مبتدی، به شبکه‌هایی که بر اساس این روش‌ها عمل می‌کنند، رخ می‌دهد، لذا این دو روش تنها در حالتی کاربرد دارند که یا شبکه‌یی در حال ایجاد است که حاوی اطلاعات حیاتی نیست، یا احتمال رخداد حمله به آن بسیار کم است. هرچند که با توجه پوشش نسبتاً گسترده‌ی یک شبکه‌ی بی‌سیم – که مانند شبکه‌های سیمی امکان محدودسازی دسترسی به صورت فیزیکی بسیار دشوار است – اطمینان از شانس پایین رخ‌دادن حملات نیز خود تضمینی ندارد!



Authentication با رمزنگاری RC4

این روش که به روش «کلید مشترک» نیز موسوم است، تکنیکی کلاسیک است که بر اساس آن، پس از اطمینان از اینکه مخدوم از کلیدی سری آگاه است، هویتش تأیید می‌شود




در این روش، نقطه‌ی دسترسی (AP) یک رشته‌ی تصادفی تولید کرده و آن‌را به مخدوم می‌فرستد. مخدوم این رشته‌ی تصادفی را با کلیدی از پیش تعیین شده (که کلید WEP نیز نامیده می‌شود) رمز می‌کند و حاصل را برای نقطه‌ی دسترسی ارسال می‌کند. نقطه‌ی دسترسی به روش معکوس پیام دریافتی را رمزگشایی کرده و با رشته‌ی ارسال شده مقایسه می‌کند. در صورت هم‌سانی این دو پیام، نقطه‌ی دسترسی از اینکه مخدوم کلید صحیحی را در اختیار دارد اطمینان حاصل می‌کند. روش رمزنگاری و رمزگشایی در این تبادل روش RC4 است.



در این میان با فرض اینکه رمزنگاری RC4 را روشی کاملاً مطمئن بدانیم، دو خطر در کمین این روش است :

الف) در این روش تنها نقطه‌ی دسترسی‌ست که از هویت مخدوم اطمینان حاصل می‌کند. به بیان دیگر مخدوم هیچ دلیلی در اختیار ندارد که بداند نقطه‌ی دسترسی‌یی که با آن در حال تبادل داده‌های رمزی‌ست نقطه‌ی دسترسی اصلی‌ست.



ب) تمامی روش‌هایی که مانند این روش بر پایه‌ی سئوال و جواب بین دو طرف، با هدف احراز هویت یا تبادل اطلاعات حیاتی، قرار دارند با حملاتی تحت عنوان man-in-the-middle در خطر هستند. در این دسته از حملات نفوذگر میان دو طرف قرار می‌گیرد و به‌گونه‌یی هریک از دو طرف را گمراه می‌کند.

 

 

سرویس‌های امنیتی 802.11b – Privacy و Integrity

Privacy

این سرویس که در حوزه‌های دیگر امنیتی اغلب به عنوان Confidentiality از آن یاد می‌گردد به‌معنای حفظ امنیت و محرمانه نگاه‌داشتن اطلاعات کاربر یا گره‌های در حال تبادل اطلاعات با یکدیگر است. برای رعایت محرمانه‌گی عموماً از تکنیک‌های رمزنگاری استفاده می‌گردد، به‌گونه‌یی‌که در صورت شنود اطلاعات در حال تبادل، این اطلاعات بدون داشتن کلیدهای رمز، قابل رمزگشایی نبوده و لذا برای شنودگر غیرقابل سوء استفاده است.



در استاندارد 802.11b، از تکنیک‌های رمزنگاری WEP استفاده می‌گردد که برپایه‌ی RC4 است. RC4 یک الگوریتم رمزنگاری متقارن است که در آن یک رشته‌ی نیمه تصادفی تولید می‌گردد و توسط آن کل داده رمز می‌شود. این رمزنگاری بر روی تمام بسته‌ی اطلاعاتی پیاده می‌شود. به‌بیان دیگر داده‌های تمامی لایه‌های بالای اتصال بی‌سیم نیز توسط این روش رمز می‌گردند، از IP گرفته تا لایه‌های بالاتری مانند HTTP. از آنجایی که این روش عملاً اصلی‌ترین بخش از اعمال سیاست‌های امنیتی در شبکه‌های محلی بی‌سیم مبتنی بر استاندارد 802.11b است، معمولاً به کل پروسه‌ی امن‌سازی اطلاعات در این استاندارد به‌اختصار WEP گفته می‌شود.





کلیدهای WEP اندازه‌هایی از ۴۰ بیت تا ۱۰۴ بیت می‌توانند داشته باشند. این کلیدها با IV (مخفف Initialization Vector یا بردار اولیه ) ۲۴ بیتی ترکیب شده و یک کلید ۱۲۸ بیتی RC4 را تشکیل می‌دهند. طبیعتاً هرچه اندازه‌ی کلید بزرگ‌تر باشد امنیت اطلاعات بالاتر است. تحقیقات نشان می‌دهد که استفاده از کلیدهایی با اندازه‌ی ۸۰ بیت یا بالاتر عملاً استفاده از تکنیک brute-force را برای شکستن رمز غیرممکن می‌کند. به عبارت دیگر تعداد کلیدهای ممکن برای اندازه‌ی ۸۰ بیت (که تعدد آن‌ها از مرتبه‌ی ۲۴ است) به اندازه‌یی بالاست که قدرت پردازش سیستم‌های رایانه‌یی کنونی برای شکستن کلیدی مفروض در زمانی معقول کفایت نمی‌کند.



هرچند که در حال حاضر اکثر شبکه‌های محلی بی‌سیم از کلیدهای ۴۰ بیتی برای رمزکردن بسته‌های اطلاعاتی استفاده می‌کنند ولی نکته‌یی که اخیراً، بر اساس یک سری آزمایشات به دست آمده است، این‌ست که روش تأمین محرمانه‌گی توسط WEP در مقابل حملات دیگری، غیر از استفاده از روش brute-force، نیز آسیب‌پذیر است و این آسیب‌پذیری ارتباطی به اندازه‌ی کلید استفاده شده ندارد.





Integrity

مقصود از Integrity صحت اطلاعات در حین تبادل است و سیاست‌های امنیتی‌یی که Integrity را تضمین می‌کنند روش‌هایی هستند که امکان تغییر اطلاعات در حین تبادل را به کم‌ترین میزان تقلیل می‌دهند.



در استاندارد 802.11b نیز سرویس و روشی استفاده می‌شود که توسط آن امکان تغییر اطلاعات در حال تبادل میان مخدوم‌های بی‌سیم و نقاط دست‌رسی کم می‌شود. روش مورد نظر استفاده از یک کد CRC است. همان‌طور که در شکل قبل نیز نشان داده شده است، یک CRC-32 قبل از رمزشدن بسته تولید می‌شود. در سمت گیرنده، پس از رمزگشایی، CRC داده‌های رمزگشایی شده مجدداً محاسبه شده و با CRC نوشته شده در بسته مقایسه می‌گردد که هرگونه اختلاف میان دو CRC به‌معنای تغییر محتویات بسته در حین تبادل است. متأسفانه این روش نیز مانند روش رمزنگاری توسط RC4، مستقل از اندازه‌ی کلید امنیتی مورد استفاده، در مقابل برخی از حملات شناخته شده آسیب‌پذیر است.



متأسفانه استاندارد 802.11b هیچ مکانیزمی برای مدیریت کلیدهای امنیتی ندارد و عملاً تمامی عملیاتی که برای حفظ امنیت کلیدها انجام می‌گیرد باید توسط کسانی که شبکه‌ی بی‌سیم را نصب می‌کنند به‌صورت دستی پیاده‌سازی گردد. از آنجایی که این بخش از امنیت یکی از معضل‌های اساسی در مبحث رمزنگاری است، با این ضعف عملاً روش‌های متعددی برای حمله به شبکه‌های بی‌سیم قابل تصور است. این روش‌ها معمولاً بر سهل انگاری‌های انجام‌شده از سوی کاربران و مدیران شبکه مانند تغییرندادن کلید به‌صورت مداوم، لودادن کلید، استفاده از کلیدهای تکراری یا کلیدهای پیش فرض کارخانه و دیگر بی توجهی ها نتیجه یی جز درصد نسبتاً بالایی از حملات موفق به شبکه‌های بی‌سیم ندارد. این مشکل از شبکه‌های بزرگ‌تر بیش‌تر خود را نشان می‌دهد. حتا با فرض تلاش برای جلوگیری از رخ‌داد چنین سهل‌انگاری‌هایی، زمانی که تعداد مخدوم‌های شبکه از حدی می‌گذرد عملاً کنترل‌کردن این تعداد بالا بسیار دشوار شده و گه‌گاه خطاهایی در گوشه و کنار این شبکه‌ی نسبتاً بزرگ رخ می دهد که همان باعث رخنه در کل شبکه می‌شود.

 

 

خطرها، حملات و ملزومات امنیتی

همان گونه که گفته شد، با توجه به پیشرفت های اخیر، در آینده یی نه چندان دور باید منتظر گسترده گی هرچه بیش تر استفاده از شبکه های بی سیم باشیم. این گسترده گی، با توجه به مشکلاتی که از نظر امنیتی در این قبیل شبکه ها وجود دارد نگرانی هایی را نیز به همراه دارد. این نگرانی ها که نشان دهنده ی ریسک بالای استفاده از این بستر برای سازمان ها و شرکت های بزرگ است، توسعه ی این استاندارد را در ابهام فرو برده است. در این قسمت به دسته بندی و تعریف حملات، خطرها و ریسک های موجود در استفاده از شبکه های محلی بی سیم بر اساس استاندارد IEEE 802.11x می پردازیم.






مطابق درخت فوق، حملات امنیتی به دو دسته ی فعال و غیرفعال تقسیم می گردند.



حملات غیرفعال

در این قبیل حملات، نفوذگر تنها به منبعی از اطلاعات به نحوی دست می یابد ولی اقدام به تغییر محتوال اطلاعات منبع نمی کند. این نوع حمله می تواند تنها به یکی از اشکال شنود ساده یا آنالیز ترافیک باشد.



- شنود

در این نوع، نفوذگر تنها به پایش اطلاعات ردوبدل شده می پردازد. برای مثال شنود ترافیک روی یک شبکه ی محلی یا یک شبکه ی بی سیم (که مد نظر ما است) نمونه هایی از این نوع حمله به شمار می آیند.



- آ آنالیز ترافیک

در این نوع حمله، نفوذگر با کپی برداشتن از اطلاعات پایش شده، به تحلیل جمعی داده ها می پردازد. به عبارت دیگر بسته یا بسته های اطلاعاتی به همراه یکدیگر اطلاعات معناداری را ایجاد می کنند.



حملات فعال

در این نوع حملات، برخلاف حملات غیرفعال، نفوذگر اطلاعات مورد نظر را، که از منابع به دست می آید، تغییر می دهد، که تبعاً انجام این تغییرات مجاز نیست. از آن جایی که در این نوع حملات اطلاعات تغییر می کنند، شناسایی رخ داد حملات فرایندی امکان پذیر است. در این حملات به چهار دسته ی مرسوم زیر تقسیم بندی می گردند :



- تغییر هویت

در این نوع حمله، نفوذگر هویت اصلی را جعل می کند. این روش شامل تغییر هویت اصلی یکی از طرف های ارتباط یا قلب هویت و یا تغییر جریان واقعی فرایند پردازش اطلاعات نیز می گردد.



- پاسخ های جعلی

نفوذگر در این قسم از حملات، بسته هایی که طرف گیرنده ی اطلاعات در یک ارتباط دریافت می کند را پایش می کند. البته برای اطلاع از کل ماهیت ارتباط یک اتصال از ابتدا پایش می گردد ولی اطلاعات مفید تنها اطلاعاتی هستند که از سوی گیرنده برای فرستنده ارسال می گردند. این نوع حمله بیش تر در مواردی کاربرد دارد که فرستنده اقدام به تعیین هویت گیرنده می کند. در این حالت بسته های پاسخی که برای فرستنده به عنوان جواب به سؤالات فرستنده ارسال می گردند به معنای پرچمی برای شناسایی گیرنده محسوب می گردند. لذا در صورتی که نفوذگر این بسته ها را ذخیره کند و در زمانی که یا گیرنده فعال نیست، یا فعالیت یا ارتباط آن به صورت آگاهانه –به روشی- توسط نفوذگر قطع شده است، می تواند مورد سوء استفاده قرار گیرد. نفوذگر با ارسال مجدد این بسته ها خود را به جای گیرنده جازده و از سطح دسترسی مورد نظر برخوردار می گردد.



- تغییر پیام

در برخی از موارد مرسوم ترین و متنوع ترین نوع حملات فعال تغییر پیام است. از آن جایی که گونه های متنوعی از ترافیک بر روی شبکه رفت وآمد می کنند و هریک از این ترافیک ها و پروتکل ها از شیوه یی برای مدیریت جنبه های امنیتی خود استفاده می کنند، لذا نفوذگر با اطلاع از پروتکل های مختلف می تواند برای هر یک از این انواع ترافیک نوع خاصی از تغییر پیام ها و در نتیجه حملات را اتخاذ کند. با توجه به گسترده گی این نوع حمله، که کاملاً به نوع پروتکل بسته گی دارد، در این جا نمی توانیم به انواع مختلف آن بپردازیم، تنها به یادآوری این نکته بسنده می کنیم که این حملات تنها دست یابی به اطلاعات را هدف نگرفته است و می تواند با اعمال تغییرات خاصی، به گمراهی دو طرف منجر شده و مشکلاتی را برای سطح مورد نظر دست رسی – که می تواند یک کاربر عادی باشد – فراهم کند.



- حمله های (DoS) Denial-of-Service

این نوع حمله، در حالات معمول، مرسوم ترین حملات را شامل می شود. در این نوع حمله نفوذگر یا حمله کننده برای تغییر نحوه ی کارکرد یا مدیریت یک سامانه ی ارتباطی یا اطلاعاتی اقدام می کند. ساده ترین نمونه سعی در از کارانداختن خادم های نرم افزاری و سخت افزاری ست. پیرو چنین حملاتی، نفوذگر پس از از کارانداختن یک سامانه، که معمولاً سامانه یی ست که مشکلاتی برای نفوذگر برای دست رسی به اطلاعات فراهم کرده است، اقدام به سرقت، تغییر یا نفوذ به منبع اطلاعاتی می کند. در برخی از حالات، در پی حمله ی انجام شده، سرویس مورد نظر به طور کامل قطع نمی گردد و تنها کارایی آن مختل می گردد. در این حالت نفوذگر می تواند با سوءاستفاده از اختلال ایجاد شده به نفوذ از طریق/به همان سرویس نیز اقدام کند.

 

چند نکته در مورد امنیت شبکه های بیسیم:

 

با به كارگيري نكات زير مي توان يك امنيت شبكه بي سيم را تا حد قابل قبولي بهبود بخشيد.
لازم به ذكر است كه اين نكات لازم است ولي كافي نيست

 

.
1. كلمه عبور پيش‌فرض مدير سیستم(administrator) را روي نقاط دسترسي و مسيرياب‌هاي بي‌سيم تغيير دهيد

.
اغلب نقاط دسترسي ( Access Point )و مسيرياب‌هاي بي‌سيم امكان مديريت شبكه WiFi را از طريق يك حساب كاربري مديريتي فراهم مي‌كنند. اين حساب كاربري امكان دسترسي ابزار و پيكربندي آن را با نام كاربري و كلمه عبور فراهم مي‌كند. اغلب توليدكنندگان نام كاربري و كلمه عبور را در كارخانه تنظيم مي‌كنند . نام كاربري معمول admin يا administrator و كلمه عبور يا خالي است يا كلماتي مثل admin ،public ، password و .... مي‌باشد.
اولين گام براي افزايش امنيت شبكه بي‌سيم تغيير كلمه عبور پيش‌فرض نقاط دسترسي و مسيرياب‌هاي بي‌سيم بلافاصله پس از نصب است. اغلب ابزارها اجازه تغيير نام كاربري را نمي‌دهند اما اگر ابزارهاي شما اين امكان را مي‌دهند، اكيدا توصيه مي‌شود كه نام كاربري را هم تغيير دهيد.
براي امن نگه‌داشتن شبكه در آينده، مي‌بايست به‌طور منظم اين كلمه عبور را تغيير دهيد. اغلب كارشناسان توصيه مي‌كنند كلمه عبور را بعد از 30 تا 90 روز تغيير دهيد.


2. فعال‌سازي قابليت WPA/WEP
WPA (WiFi Protected Access) يك استاندارد امنيتي براي شبكه‌هاي بي‌سيم است (با Windows XP Product Activation اشتباه نشود). براي استفاده از WPA با Windows XP بايد Clientهاي داراي Windows XP را به صورت دستي patch كنيد و هم‌چنين مطمئن شويد كارت شبكه‌ها و نقاط دسترسي به درستي پيكربندي شده‌اند.
براي پيكربندي WPA در شبكه با clientهاي داراي ويندوز XP مراحل زير را انجام دهيد:

• نوشتار Overview of the WPA wireless security update in Windows XP را مطالعه كنيد.

• بررسي كنيد كه تمام Client ها حداقل Service Pack1 داشته باشند.
• روي هر Client بررسي كنيد كه كارت شبكه با سرويس WZC(Windows Zero Configuration) سازگار باشد.
• براي هر client وصله Windows XP Support Patch for Wi-Fi Protected Access را بارگزاري و نصب كنيد.

• تغييرات لازم براي نقاط دسترسي بي‌سيم از گام 1 را اعمال كنيد.
• تغييرات لازم براي كارت شبكه‌هاي بي‌سيم از گام 1 را اعمال كنيد.

3. تغيير SSID پيش فرض
نقاط دسترسي و مسيرياب‌هاي بي‌سيم داراي يك نام شبكه SSID(Service Set Identifier) هستند كه توسط توليدكنندگان به‌طور پيش‌فرض انتخاب مي‌شود. SSID از ايزارهاي پيكربندي بر مبناي وب يا ويندوز اين سازندگان قابل دسترسي است. اغلب SSIDهاي پيش فرض كلمات ساده‌اي مثل wireless، netgear، linksys، default و ... هستند. هرچند نفوذگر صرفا با دانستن SSID قادر به نفوذ به شبكه شما نيست ولي اين مساله به عنوان يك نقطه شروع خوب براي نفوذگر به حساب مي آيد. زماني كه كسي شبكه اي با SSID پيش فرض بيابد، با دانستن اين نكته كه به احتمال فراوان اين شبكه به درستي پيكربندي نشده است، ترغيب به نفوذ به شبكه مي‌شود.
SSID مي تواند هر زماني تغيير كند به شرطي كه اين تغيير در تمام clientها نيز اعمال شود. براي افزايش امنيت شبكه هاي بي سيم، نام پيش فرض SSID را تغيير دهيد. در انتخاب SSID توصيه هاي زير را در نظر داشته باشيد:

• از نام، آدرس، تاريخ تولد، شماره تلفن يا ديگر اطلاعات شخصي تان به عنوان بخشي از SSID استفاده نكنيد.
• از كلمات عبور نام كاربري ويندوزتان يا emailتان يا ... استفاد نكنيد.
• با استفاده از عباراتي مثل "TOP_SECRET"، "FUNNY_BOX" و ... نفوذگران را وسوسه نكنيد.!!!
• از تركيب حروف و اعداد استفاده كنيد.
• عباراتي با طول حداكثر يا نزديك به حداكثر انتخاب كنيد.
• هرچند ماه يك بار SSIDتان را تغيير دهيد.

4. قابليت پالايش آدرس MAC را روي نقاط دسترسي و مسيرياب‌هاي بي‌سيم فعال كنيد.
اغلب نقاط دسترسي و مسيرياب هاي بي سيم داراي قابليتي به نام پالايش آدرس MAC (MAC Address Filtering) هستند. اين مشخصه اغلب به‌طور پيش فرض فعال نيست. براي افزايش امنيت شبكه بي سيم تان اين قابليت را فعال كنيد. در صورتي كه اين قابليت فعال نباشد، هر clientاي با دانستن SSID شبكه شما (در نظر داشته باشيد كه فهميدن SSID كار بسيار ساده اي است) شايد چند پارامتر امنيتي ديگر مثل كليد رمزگذاري (در صورتي كه قابليت WEP فعال باشد) مي تواند به شبكه شما وصل شود.
براي تنظيم قابليت پالايش آدرس MAC شما به عنوان مدير شبكه بي سيم بايد ليست clientهايي كه مجازند به شبكه وصل شوند را پيكربندي كنيد. ابتدا آدرس MAC هر client را از طريق سيستم عامل يا ابزارهاي پيكربندي به دست آوريد و سپس آن ها را در صفحه پيكربندي نقاط دسترسي و مسيرياب هاي بي سيم وارد كنيد و نهايتا قابليت پالايش را فعال كنيد. از اين پس هر درخواست اتصال به شبكه بي سيم كه برسد آدرس MAC آن با ليست تنظيم شده بررسي شده و در صورتي كه در ليست نباشد اجازه اتصال به شبكه را نمي يابد. البته بايد نوجه داشت كه نفوذگران با جعل آدرس MAC (MAC Spoofing) قادرند به شبكه بي سيم شما وصل شوند ولي اين مساله نبايد باعث شود كه شما از خير اين قابليت بگذريد.


5. قابليت همه‌پخشي SSID را روي نقاط دسترسي و مسيرياب‌هاي بي‌سيم غيرفعال كنيد.
اغلب نقاط دسترسي و مسيرياب هاي بي سيم به‌طور خودكار SSID خوشان را در فواصل زماني مشخص پخش مي كنند. اين مشخصه براي اين است كه clientها بتواندد به‌طور پويا شبكه هاي بي سيم را تشخيص دهند و بين آن ها جابه‌جا شوند (از شبكه اي به شبكه ديگر نقل مكان كنند). لازم به ذكر است كه اين مشخصه براي hotspotهاي تجاري و سيار طراحي شده است كه clientهاي زيادي مي آيند و مي روند ولي براي شبكه هاي خانگي لازم نيست. از آن جايي كه SSID به صورت واضح پخش مي شود و هيچ رمزگذاري روي آن صورت نمي گيرد، به دست آوردن آن توسط نفوذگران كار راحتي است. همان‌طور كه در گام 3 اشاره شد نفوذگر با دانستن SSID يك مرحله به هدف نزديك تر مي شود.
در يك شبكه بي سيم بحث roaming (جابه‌جايي بين دو شبكه بي سيم) مطرح نيست و پخش كردن SSID هيچ ضرورتي ندارد. براي افزايش امنيت شبكه بي سيم بايد اين قابليت را غيرفعال كنيد. يك بار كه client شما با SSID درست پيكربندي شد ديگر نيازي به پيغام هاي همه‌پخشي نيست.
دقت داشته باشيد كه غيرفعال كردن قابليت همه‌پخشي SSID فقط يكي از تكنيك‌هاي محكم‌سازي و افزايش امنيت شبكه‌هاي بي سيم است. اين روش 100 درصد موثر نيست و نفوذگرها هنوز مي توانند با sniff كردن پيغام هاي مختلف پخش شده در پروتكل WiFi، SSID را تشخيص دهند. در واقع تكنيك هايي مثل غيرفعال كردن همه‌پخشي SSID باعث مي شئد كه شبكه بي سيم شما هدف راحتي براي نفوذگران نباشد.

 

 

 

 

بسم الله الرحمن االرحیم

انواع شبکه های بی سیم:

سیستم های بی سیم از حدود سال های 1980 مورد استفاده بوده و ما تا کنون شاهد نسل های اول , دوم و سوم این تکنولوژی بوده ایم.این نوع سیستم ها  بر اساس یک ساختار مرکزی و کنترل شده مثل access point عمل می کنند. نقاط دسترسی  به کاربرین امکان می دهند با تغییر مکان خود هم چنان بتوانند به شبکه متصل بمانند. اما با این حال به دلیل حضور چنین نقاط ثابتی در شبکه محدودیتهایی بروز می کنند. به عبارتی در مکان هایی که امکان برقراری ساختار ثابت و همیشه پایدار وجود ندارد این نوع  تکنولوژی نمی تواند پاسخ گو باشد. پیشرفتها و دست آورد های اخیر بشری و به وجود آمدن blue tooth , نوع جدیدی از سیستم های بی سیم یعنی شبکه های  Mobile ad hoc   را معرفی کردند.شبکه های Mobile ad hoc  که آنها را گاهی شبکه های  “short live” نیز می نامند می توانند در غیاب ساختار ثابت و متمرکز عمل کنند. بدین ترتیب در مکان هایی که امکان به راه اندازی سریع یک شبکه ی ثابت وجود ندارد کمک بزرگی محسوب می شوند. شایان ذکر است که واژه ی ad-hoc  لاتین بوده و به معنی " فقط برای این منظور"  می باشد.

شبکه ی Mobile Ad hoc سیستم خود کاری متشکل از Node  های موبایل و یا متحرکی است که توسط لینک های بی سیم به یکدیگر متصل شده اند. هر node هم به عنوان end- system  و هم به عنوان مسیریاب برای بقیه ی node های موجود در شبکه به کار می رود. در چنین شبکه ای هر کاربری می تواند در حالی که با node  یا node های دیگری در حال ارتباط است مکان خود را تغییر دهد.

مسیر بین هر جفت از کاربرین ممکن است دارای لینک های چند گانه بوده و نیز رادیوی بین آنها ناهمگن باشد.

پروتوکل معروف IEEE 802.11  قادر به تامین امکانات شبکه های Ad hoc  در مواقعی که access point وجود ندارد  اما در سطح پایین تری می باشد.در این حالت node ها می توانند اطلاعات را در شبکه ارسال و دریافت کنند اما قادر به مسیر یابی نیستند. شبکه های mobile ad hoc یا به صورت مجزا و ایزوله و یا در ارتباط با بقیه ی شبکه ها همچون اینترنت عمل می کنند. این شبکه ها توانسته اند رویای اتصال به شبکه در هر مکان و هر زمانی را به واقعیت بدل کنند. یکی از کاربرد های بسیار واضح این نوع شبکه در محل های گرد آمدن افراد با laptop است که به راحتی می توانند  تشکیل شبکه بدهند.

شبکه های بی سیم بر 3 نوع هستند:

1.       شبکه های   infrastructure-based

2.     Wireless LANs: معمولا از لینکهای رادیویی (802.11) و یا اشعه ی مادون قرمز استفاده می کنند.انعطاف پزیری بالایی در محدوده ای که این امکان در آن قرار داده شده است ایجاد کرده و پهنای باند کمتری نسبت به شبکه های سیمی دارند

3.     شبکه های Ad hoc: زمانی که ساختار infra structure موجود نیست گزینه ی مناسبی به شمار می روند و نسبت به دو     نوع قبل گران تر هستند.

شبکه های بی سیم Ad hoc خود  بر 2 نوع می باشند:

1. Smart sensor Networks: متشکل از چندین sensor هستند که در محدوده ی جغرافیا یی معینی قرار گرفته اند.هر sensor دارای قابلیت ارتباطی بی سیم و هوش کافی برای پردازش سیگنال ها و امکان شبکه سازی است.

2.Mobile ad hoc networks (MANET)  :مجموعه ی مستقلی شامل بر کاربرین متحرک است که از طریق لینک های بی سیم با یکدیگر ارتباط برقرار می کنند. برای اتفاقات غیر قابل پیش بینی اتصالات و شبکه های متمرکز کارا نبوده و قابلیت اطمینان کافی را ندارند. لذا MANET راه حل مناسبی است.Node های واقع در MANET  مجهز به گیرنده و فرستنده های بی سیم بوده و از آنتن هایی استفاده می کنند که ممکن است از نوع Broad cast و یا peer to peer   باشند.

شبکه ی  Mobile ad hoc  (MANET) 

MANET مجموعه ای است از node های موبایل یا متحرک مجهز به گیرنده و فرستنده به منظور برقراری ارتباطات بی سیم.  Node ها ی موبایل به دلیل وجود محدودیت هایی در فرستنده و گیرنده های خود نمی توانند با تمام node ها ارتباط مستقیم برقرار کنند. به همین دلیل لازم است در مواردی که امکان برقراری چنین ارتباط مستقیمی وجود ندارد داده ها از طریق بقیه ی node  ها که در این حالت نقش مسیر یاب را ایفا می کنند منتقل شوند.با این حال متحرک بودن node ها باعث شده  شبکه مدام در حال تغییر بوده و  مسیر های مختلفی بین دو node به وجود آید. عوامل دیگری همچون Multi hopping    , اندازه ی بزرگ شبکه , و نا همگونی انواع host ها و تنوع نوع  و ساختار آنها  و محدودیت توان باتری ها طراحی پروتوکل های مسیر یابی مناسب را به یک مشکل جدی بدل کرده است.برای این منظور بایستی از پروتوکل های  مناسب و امنی استفاده شود که در ادامه به آنها خواهیم پرداخت.

همچنین  node ها هیچ دانش پیشینی نسبت به توپولوژی شبکه ای که در محدوده ی آنها بر قرار است ندارند و بایستی از طریقی پی به آن ببرند.روش رایج  این است که یک node جدید بایستی حضور خود را اعلام کرده و به اطلاعات broad cast شده از همسایگان خود گوش فرا دهد تا بدین ترتیب اطلاعاتی در مورد node های اطراف و نحوه ی دسترسی به آنها  به دست آورد.

دیگر مسائل , مشکلات و محدودیت های  موجود در این شبکه ها:

 ·         خطاهای ناشی از انتقال و در نتیجه packet loss فراوان.

·         حضور لینکهای با ظرفیت متغیر.

·         قطع و وصل شدن های زیاد و مداوم

·         پهنای باند محدود.

·         طبیعت broad cast  ارتباطات.

·         مسیر ها و توپولوژی های متغیر و پویا

·         طول کم  شارژ باتری ابزار متحرک

·         --ظرفیت ها و قابلیت های محدود node ها.

·         نیاز به application های جدید ( لایه ی Application  )

·         کنترل میزان تراکم و جریان داده ها ( لایه ی Transport )

·         روش های  آدرس دهی و مسیر یابی جدید( لایه ی Network )

·         تغییر در وسایل و ابزار آلات اتصالی ( لیه ی Link )

·         خطاهای انتقال ( لایه ی Physical )

...

 کاربرد های شبکه Mobile ad hoc :

 ·         انجام عملیات محاسباتی توزیع شده و مشارکتی

·         در وقوع حوادث ناگوار همچود زمین لرزه , سیل و ... که امکان آسیب دیدگی station های ثابت وجود دارد .(در شبکه با ساختار ثابت در صورت آسیب دیدن station اصلی  ممکن است کل شبکه از کار بیافتد.)

·         عملیات جستجو و نجات

·         و موارد نظامی

همان طور که پیش از این نیز اشاره شد در شبکه های Mobile Ad hoc عمل مسیر یابی به دلایلی همچون متحرک بودن و نبود سیستم کنترلی متمرکز از اهمیت بالایی بر خوردار بوده و مطالعه و بررسی بیشتری را می طلبد . قبل از بررسی این پروتوکل ها باید توجه کنیم که هدف از الگوریتم ها و استراتژی های مسیریابی جدید  کاهش سربار ناشی از مسیریابی در کل شبکه  , یافتن مسیرهای کوتاه تر و انتقال صحیح داده ها و اطلاعات می باشد.

تقسیم بندی های مختلفی در مورد پروتوکل های مسیر یابی شبکه های Mobile ad hoc وجود دارد  که از این میان می توان به 2 نوع زیر اشاره کرد:

تقسیم بندی اول :

 ·         Pro active(Table driven)

·         Reactive(On demand)

·         Hybrid(Table driven & On demand)

تقسیم بندی دوم:

 ·         Flat routing protocols

·         Hierarchal routing approaches

·         GPS Augmented geographical routing approaches

 در اینجا به توضیحاتی در مورد پروتوکل های تقسیم بندی اول می پردازیم:

1.Table driven  Pro active - :

در پروتوکلهای از این نوع , node  ها مدام در حال جستجوی اطلاعات مسیر یابی جدید درون شبکه هستند به صورتی که حتی با تغییر مکان node ها در صورت نیاز به راحتی می توان  مسیر مناسبی را یافته و برای ارسال و دریافت اطلاعات بین هر دو node ی استفاده کرد . به عبارت بهتر می توان گفت که در این شبکه ها مسیر ها از قبل موجود هستند.و به محض آنکه node ی اقدام به ارسال داده به node دیگری کند قادر خواهد بود مسیر موجود را از روی اطلاعات از قبل جمع آوری شده شناسایی کرده و  مورد استفاده قرار دهد و لذا تاخیری در این مورد متوجه node نیست.

 ·      DSDV:  این پروتوکل بر مبنای الگوریتم کلاسیک Bellman-Ford بنا شده است.در این حالت هر node لیستی از تمام مقصد هاو نیز تعداد hop ها تا هر مقصد را تهیه می کند.هر مدخل لیست با یک عدد شماره گزاری شده است . برای کم کردن حجم ترافیک ناشی از به روز رسانی مسیر ها در شبکه از incremental packets استفاده می شود.تنها مزیت این پروتوکل اجتناب از به وجود آمدن حلقه های مسیر یابی در شبکه های شامل مسیر یاب های متحرک است.بدین ترتیب اطلاعات مسیر ها همواره بدون توجه به این که آیا node  در حال حاضر نیاز به استفاده از مسیر دارد یا نه فراهم هستند.

معایب : پروتوکل  DSDV نیازمند پارامترهایی از قبیل بازه ی زمانی به روز رسانی اطلاعات و تعداد به روز رسانی های مورد نیاز می باشد.

 ·      WRP   : این پروتوکل بر مبنای الگوریتم path-finding بنا شده با این استثنا که مشکل count-to-infinity این الگوریتم را برطرف کرده است. در این پروتوکل هر node  ,  4 جدول تهیه می کند: جدول فاصله , جدول مسیر یابی , جدول link-cost  و جدولی در مورد پیامهایی که باید دوباره ارسال شوند.تغییرات ایجاد شده در لینکها از طریق ارسال و دریافت پیام  میان node های همسایه اطلاع داده می شوند.

 ·      CSGR: در این نوع پروتوکل node ها به دسته ها یا cluster هایی تقسیم بندی می شوند . هر گروه یک cluster head دارد که می تواند گروهی از host ها را کنترل و مدیریت کند.از جمله قابلیت هایی که عمل clustering فراهم می کند می توان به اختصاص پهنای باندو channel access  اشاره کرد.این پروتوکل از DSDV به عنوان پروتوکل مسیریابیی زیر بنایی خود استفاده می کند . نیز در این نوع هر node  دو جدول یکی جدول مسیریابیی و دیگری جدول مریوط به عضویت در node های مختلف را فراهم می کند.

معایب : node ی که head واقع شده سربار محاسباتی زیادی نسبت به بقیه داردو به دلیل اینکه بیشتر اطلاعات از طریق این head ها برآورده می شونددر صورتی که یکی از node های head دچار مشکل شود کل و یا بخشی از شبکه آسیب می بیند.

 ·         STAR: این پروتوکل نیاز به به روز رسانی متداوم مسیر ها نداشته و هیچ تلاشی برای یافتن مسیر بهینه بین node ها نمی کند.

2.On demand Reactive - :

در این نوع پروتوکل مسیر ها تنها زمانی کشف می شوند که مبدا اقدام به برقراری ارتباط با node    دیگری کند.زمانی که یک node بخواهد با node دیگری ارتباط برقرار کند بایستی فرایند کشف مسیر ( Route Discovery Process ) را در شبکه فراخوانی کند.در این حالت قبل از بر قرار شدن ارتباط , تاخیر قابل توجهی مشاهده می شود.

 ·      SSR   : این پروتوکل مسیرها را بر مبنای قدرت و توان سیگنالها بین node ها انتخاب می کند. بنابراین مسیرهایی که انتخاب می شوندد نسبتا قوی تر هستند . می توان این پروتوکل را به 2 بخش DRP( Dynamic Routing Protocol) و SRP ( Static Routing Protocol) تقسیم کرد. DRP مسئول تهیه و نگهداری جدول مسیریابی و جدول مربوط به توان سیگنال ها می باشد.SRP نیز packet های رسیده را بررسی می کند تا در صورتی که آدرس node مربوط به خود را داشته باشد آن را به لایه های بالاتر بفرستد و در غیر این صورت به شبکه.

 ·      DSR   :  در این نوع, node های موبایل بایستی cache هایی برای مسیر هایی که از وجود آنها مطلع هستند فراهم کنند.دو فاز اصلی برای این پروتوکل در نظر گرفته شده است: کشف مسیر و به روز رسانی مسیر. فاز کشف مسیر از route request/reply packet  ها و فاز به روز رسانی مسیر از acknowledgement   ها و error های لینکی استفاده می کند.

 ·      TORA: بر اساس الگوریتم مسیر یابی توزیع شده بنا شده و برای شبکه های mobile بسیار پویا طراحی شده است.این الگوریتم برای هر جفت از node ها چندین مسیر تعیین می کند و نیازمند clock سنکرون می باشد. 3 عمل اصلی این پروتوکل عبارتند از :ایجاد مسیر. به روز رسانی مسیر و از بین بردن مسیر.

 

·      AODV : بر مبنای الگوریتم DSDV بنا شده با این تفاوت که به دلیل مسیریابی تنها در زمان نیاز میزان Broad casting را کاهش می دهد.الگوریتم کشف مسیر تنها زمانی آغاز به کار می کند که مسیری بین 2 node   و جود نداشته باشد

·      RDMAR: این نوع از پروتوکل فاصله ی بین 2 node را از طریق حلقه های رادیویی و الگوریتم های فاصله یابی محاسبه می کند. این پروتوکل محدوده ی جستجوی مسیر را مقدار مشخص و محدودی تایین می کند تا بدین وسیله از ترافیک ناشی از flooding در شبکه کاسته باشد.

3.Hybrid (Pro-active / Reactive)  :

این مورد با ترکیب دو روش قبلی سعی در کاهش معایب کرده و از ویژگی های خوب هر دو مورد بهره می برد. این پروتوکل جدید ترین کلاس پروتوکل ها در این راستا می باشد. معروفترین پروتوکل از این نوع می توان به ZRP( Zone Routing protocol)  اشاره کرد.این پروتوکل از ویژگی های نوع Pro active  برای مسیریابی node های نزدیک به هم و از ویژگی های نوع Reactive  برای مسیر یابی node های دورتر استفاده می کند.

 ·         ZRP: نوعی از clustering است با این تفاوت که در این پروتوکل هر Node خود head   بوده و به عنوان عضوی از بقیه ی cluster ها می باشد. به دلیل hybrid بودن کارایی بهتری دارد.

امنیت در شبکه های Mobile ad hoc :

شاید بتوان شبکه های ad hoc  را آسب پذیر ترین شبکه ها از لحاظ امنیتی و ضعیفترین در مقابل حملات نفوزگران دانست. به همین دلیل برخورد با این مسئله و رفع مشکلات مربوطه از مهمترین دغدغه های شخصی است که اقدام به را ه اندازی چنین شبکه ای می کند.از جمله مواردی که منجر به نا امن شدن این شبکه ها شده است می توان به موارد زیر اشاره کرد:

·         کانال رادیویی از نوع broad cast  به اشتراک گزارده شده.

·         محیط عملیاتی نا امن

·         نبود شناسایی (authentication)   متمرکز.

·         دسترسی محدود به منابع

·         مشکلات و آسیت پزیری های فیزیکی.

 

زمانی که در مورد امنیت شبکه بحث می شود معمولا به عناوین چندی توجه می شود:

·         Availability:  بدین معنی که شبکه در تمام زمان ها حتی در مواردی که دچار حمله شده بتواند به عمل خود ادامه بدهد.

·         Confidentiality: اطمینان از اینکه اطلاعات مشخص و معینی در اختیار کاربران خاصی قرار نگیرد.

·         Authentication:  توانایی یک node در شناسایی و تشخیص node ی که با وی در ارتباط است.

·         Integrity:   تضمین اینکه یک پیام پس از منتشر شدن تخریب نشده و از بین نمی رود.

·         Non-repudiation: فرستنده ی پیام نتواند ارسال خود را انکار کنند.

یک شبکه ی ad hoc به دلیل نداشتن ساختار ثابت و مشخص و نیز ارتباطات پویا بین node ها نیازمند ملاحظات امنیتی بیشتری نسبت به انواع دیگر شبکه است.

همان طور که قبلا نیز بیا ن شد در این شبکه ها هر node ی هم مسیر یاب است و هم end – system . بدین ترتیب node ها از هم متمایز نیستند و به این دلیل نیاز به یک پروتوکل مسیر بایی امن حس می شود. که در این راستا معمولا پروتکل های multi hop  بث کار گرفته می شوند.

نتیجه گیری:

با وجود مشکلاتی که بر سر راه این نوع شبکه ها وجود دارد از جمله مشکلات امنیتی و نبود کنترل متمرکز   پیش بینی می شود که در آینده ای نه چندان دور جایگزین شبکه های ثابت و رایج امروزی شوند.اما قبل از آن مسائل و مواردی وجود دارند که بایستی مورد مطالعه و بررسی بیشتری قرار گیرند تا کارایی و امنیت چنین شبکه هایی افزایش یابد.

گرد آورنده:معصومه داجیوندی

TCP/IPپروتکل استاندارد در اکثر شبکه هاي بزرگ است. با اينکه پروتکل فوق کند و مستلزم استفاده از منابع زيادي است، ولي بدليل مزاياي بالاي آن نظير: قابليت روتينگ، حمايت در اغلب پلات فورم ها و سيستم هاي عامل همچنان در زمينه استفاده از پروتکل ها حرف اول را مي زند. با استفاده از پروتکل فوق کاربران با در اختيارداشتن ويندوز و پس از اتصال به شبکه اينترنت، براحتي قادر به ارتباط با کاربران ديگرخواهند بود که از مکينتاش استفاده مي کند

امروزه کمتر محيطي را مي توان يافت که نيازبه دانش کافي در رابطه با TCP/IP نباشد.

حتي سيستم عامل شبکه اي ناول که ساليان متمادي از پروتکل IPX/SPX براي ارتباطات استفاده مي کرد، درنسخه شماره پنج خود به ضرورت استفاده از پروتکل فوق واقف و نسخه اختصاصي خود را در اين زمينه ارائه نمود.

پروتکل TCP/IP در ابتدا براي استفاده در شبکه ARPAnet ( نسخه قبلي اينترنت ) طراحي گرديد. وزارت دفاع امريکا با همکاري برخي از دانشگاهها اقدام به طراحي يک سيستم جهاني نمود که داراي قابليت ها و ظرفيت هاي متعدد حتي در صورت بروز جنگ هسته اي باشد. پروتکل ارتباطي براي شبکه فوق، TCP/IP در نظر گرفته شد.

اجزاي پروتکل TCP/IP

پروتکل TCP/IP  از مجموعه پروتکل هاي ديگر تشکيل شده که هر يک در لايه  مربوطه، وظايف خود را انجام مي دهند. پروتکل هاي موجود در لايه هاي Network و Transportداراي اهميت بسزائي بوده و در ادامه به بررسي آنها خواهيم پرداخت.

پروتکل هاي موجود در لايه Network پروتکل TCP/IP

پروتکلTransmission Control Protocol) TCP،) مهمترين وظيفه پروتکل فوق اطمينان از صحت ارسال اطلاعات است. پروتکل فوق اصطلاحا" Connection-orientedناميده مي شود. علت اين امر ايجاد يک ارتباط مجازي بين کامپيوترهاي فرستنده و گيرنده بعد از ارسال اطلاعات است. پروتکل هائي از اين نوع، امکانات بيشتري رابه منظور کنترل خطاهاي احتمالي در ارسال اطلاعات فراهم نموده ولي بدليل افزايش بار عملياتي سيستم کارائي آنان کاهش خواهد يافت. از پروتکل TCP به عنوان يک پروتکل قابل اطمينان نيز يادمي شود. علت اين امر ارسال اطلاعات و کسب آگاهي لازم از گيرنده اطلاعات به منظور اطمينان از صحت ارسال توسط فرستنده است. در صورتي که بسته هاي اطلاعاتي بدرستي دراختيار فرستنده قرار نگيرند، فرستنده مجددا" اقدام به ارسال اطلاعات مي نمايد.

پروتکل (Datagram Protocol User(UDP ·

پروتکل فوق نظير پروتکل TCP در لايه " حمل " فعاليت مي نمايد. UDP بر خلاف پروتکل . TCPبصورت " بدون اتصال " است. بديهي است که سرعت پروتکل فوق نسبت به TCPسريعتر بوده ولي از بعد کنترل خطاء تظمينات لازم را ارائه نخواهد داد. بهترين جايگاه استفاده از پروتکل فوق در مواردي است که براي ارسال و دريافت اطلاعات به يک سطح بالا از اطمينان، نياز نداشته باشيم.

پروتکل(Internet Protocol(IP

پروتکل فوق در لايه شبکه ايفاي وظيفه کرده و مهمترين مسئوليت آن دريافت و ارسال بسته هاي اطلاعاتي به مقاصد درست است. پروتکل فوق با استفاده از آدرس هاي نسبت داده شده منطقي، عمليات روتينگ را انجام خواهد داد.

پروتکل هاي موجود در لايه Application پروتکل TCP/IP

پروتکل TCP/IP صرفا" به سه پروتکل IP و UDP ،TCP محدود نشده و در سطح لايه Application داراي مجموعه گسترده اي از ساير پروتکل ها است. پروتکل هاي  فوقبه عنوان مجموعه ابزارهائي براي مشاهده، اشکال زدائي و اخذ اطلاعات و ساير عمليات مورد استفاده قرار مي گيرند. در اين بخش به معرفي برخي از اين پروتکل ها خواهيم پرداخت.

پروتکل  (File Transfer Protocol(FTP

از پروتکل فوق براي تکثير فايل هاي موجود بر روي يک کاميپيوتر و کامپيوتر ديگر استفاده مي گردد. ويندوز داراي يک برنامه خط دستوري بوده کهبه عنوان سرويس گيرنده ايفاي وظيفه کرده و امکان ارسال و يا دريافت فايل ها را از يک سرويس دهندهFTP فراهم مي کند.

پروتکل (Protocol Simple Network Management(SNMP ·

از پروتکل فوق به منظور اخذ اطلاعات آماري استفاده مي گردد. يک سيستم مديريتي، درخواست خود را از يک آژانس SNMP مطرح و ماحصل عمليات کار در يکMIB-Management Information Base ذخيره مي گردد .  MIB  يک بانک اطلاعاتي بوده که اطلاعات مربوط به کامپيوترهاي موجود در شبکه را در خود نگهداري مي نمايد. (مثلا" چه ميزان فضا ي هارد ديسک وجود دارد).

پروتکل TelNet

استفاده از پروتکل فوق کاربران قادر به l og on اجراي  با برنامه ها و مشاهده فايل هاي موجود بر روي يک کامپيوتر از راه دور مي باشند.ويندوز داراي برنامه هاي سرويس دهنده و گيرنده جهت فعال نمودن و استفاده ازپتانسيل فوق است.

پروتکل ( simple Mail Transfer Protocol (SMTP

از پروتکل فوق براي ارسال پيام الکترونيکي استفاده مي گردد.

پروتکل( HyperText Transfer Protocol (HTTP

پروتکل فوق مشهورترين پروتکل در اين گروه بوده و از آن براي رايج ترين سرويس اينترنت يعني وب استفاده مي گردد. با استفاده از پروتکل فوق کامپيوترها قادر به مبادله فايل ها با فرمت هاي متفاوت (متن، تصاوير،گرافيکي، صدا، ويدئو و...) خواهند بود. براي مبادله اطلاعات با استناد به پروتکل فوق مي بايست، سرويس فوق از طريق نصب سرويس دهنده وب فعال و در ادامه کاربران و استفاده کنندگان با استفاده از يک مرورگر وب قادر به استفاده از سرويس فوق خواهند بود.

پروتکل (Protocol Network News Transfer (NNTP ·

از پروتکل فوق براي مديريت پيام هاي ارسالي براي گروه هاي خبري خصوصي و عمومي استفاده مي گردد. براي عملياتي نمودن سرويس فوق مي بايست سرويس دهنده NNTP به منظور مديريت محل ذخيره سازي پيام هاي ارسالي نصب و در ادامه  کاربران و سرويس گيرندگان با استفاده از برنامه اي موسوم به NewsReaderاز اطلاعات ذخيره شده استفاده خواهند کرد.

مدل آدرس دهي IP

علاوه بر جايگاه پروتکل ها، يکي ديگر از عناصر مهم در زيرساخت شبکه هاي مبتني برTCP/IP مدل آدرس دهي   IP است. مدل انتخابي مي بايست اين اطمينان را بوجود آورد که اطلاعات ارسالي بدرستي به مقصد خواهند رسيد.نسخه شماره چهارIP (نسخه فعلي ) از ٣٢ بيت براي آدرس دهي استفاده کرده که به منظور تسهيل در امر نمايش بصورت چهار عدد صحيح ( مبناي ده ) که بين آنها نقطه استفاده شده است نمايش داده مي شوند.

نحوه اختصاص IP

نحوه اختصاص IP به عناصر مورد نياز در شبکه هاي مبتني بر TCP/IP يکي از موارد بسيار مهم است.اختصاص IP ممکن است بصورت دستي و توسط مديريت شبکه انجام شده و يا انجام رسالت فوق بر عهده عناصر سرويس دهنده نرم افزاري نظير NAT و يا DHCP گذاشته گردد

Subnetting

يکي از مهمترين عمليات در رابطه با اختصاص IP مسئله Subnetting است . مسئله فوق به عنوان هنر و علمي است که ماحصل آن تقسيم يک شبکه به مجموعه اي از شبکه هاي کوچکتر(Subnet) از طريق بخدمت گرفتن ۳۲ بيت با نام Subnet mask بوده که بنوعي مشخصه (ID) شبکه را مشخص خواهد کرد. کالبد شکافي آدرس هاي IPهر دستگاه در شبکه هاي مبتني بر TCP/IP داراي يک آدرس منحصر بفرد است. آدرس فوق IP ناميده مي شود.                                                                                     يک آدرس IP مطابق زير است:

219.27.61.137

به منظور بخاطر سپردن آسان آدرس هاي IP نحوه نما يش آنها بصورت دسيمال ، ( مبناي دهدهي ) بوده که توسط چهار عدد که توسط نقطه از يکديگر جدا مي گردند، است.هر يک از اعداد فوق را octet مي گويند. کامپيوترها براي ارتباط با يکديگر از مبناي دو ( باينري ) استفاده مي نمايند.  فرمت باينري آدرس IP اشاره شده بصورت زير است:

11011000.00011011.00111101.10001001

همانگونه که مشاهده مي گردد ، هر IP از ٣٢ بيت تشکيل مي گردد. بدين ترتيب مي توان حداکثر ٤,٢٩٤,٩٦٧,٢٩٦ آدرس منحصر بفرد را استفاده کردمثلا" آدرس ٢٥٥,٢٥٥,٢٥٥,٢٥٥ براي Broadcast(انتشار عام ) استفاده مي گردد. نمايش يک IP بصورت چهار عدد(Octet )  صرفا" براي راحتي کار نبوده و از آنان براي ايجاد " کلاس هاي " IP نيز استفاده مي گردد. هر  Octet به دو بخش مجزا تقسيم مي گردد: شبکه(Net) و ميزبان(Host) اولين octet نشاندهنده شبکه بوده و از آن براي مشخص نمودن شبکه اي که کامپيوتر به آن تعلق دارد، استفاده مي گردد. سه بخش ديگر octet ، نشاندهنده آدرس کامپيوتر موجود در شبکه است پنج کلاس متفاوت IP بهمراه برخي آدرس هاي خاص، تعريف شده است:

Default Network

 آدرس IP ٠,٠,٠,٠  ، براي شبکه پيش فرض در نظرگرفته شده است. آدرس فوق براي موارديکه کامپيوتر ميزبان از آدرس خود آگاهي ندارد استفاده شده تا به پروتکل هائي نظير DHCPاعلام نمايد براي وي آدرسي را تخصيص دهد.

 کلاسA    .

کلاس فوق براي شبکه هاي بسيار بزرگ نظير يک شرکت بين المللي در نظر گرفته مي شود. آدرس هائي که اولين octet آنها ١ تا ١٢٦ باشد، کلاس A مي باشند. از سه octetديگربه منظور مشخص نمودن هر يک از کامپيوترهاي ميزبان استفاده مي گردد. بدين ترتيب مجموع شبکه هاي کلاس Aمعادل ١٢٦ و هر يک از شبکه هاي فوق مي توانند ١٦,٧٧٧,٢١٤ کامپيوتر ميزبان داشته باشند.بنابراين تعداد تمام کامپيوترهاي ميزبان در شبکه هاي کلاس A معادل ٢,١٤٧,٤٨٣,٦٤٨است. در شبکه هاي کلاس A بيت با ارزش بالا در اولين octetهمواره مقدار صفر را دارد.

LoopBack

آدرس IP١٢٧,٠,٠,١ براي LoopBack در نظر گرفته شده است . کامپيوتر ميزبان از آدرس فوق براي ارسال يک پيام براي خود استفاده مي کند.( فرستنده و گيرنده پيام يک کامپيوتر مي باشد) آدرس فوق اغلب براي تست و اشکال زدائي استفاده مي گردد.

کلاس B

کلاس فوق براي شبکه هاي متوسط در نظر گرفته مي شود.( مثلا" يک دانشگاه بزرگ ) آدرس هائي که اولين octet آنها ١٢٨ تا ١٩١ باشد، کلاس B مي باشند. در کلاس فوق از دومين octet هم براي مشخص کردن شبکه استفاده مي گردد. از دو octet ديگر براي مشخص نمودن هر يک از کامپيوترهاي ميزبان در شبکه استفاده مي گردد بدين ترتيب ١٦,٣٨٤ شبکه از نوع کلاس B وجود دارد. تعداد کامپيوترهاي ميزبان در اين نوع شبکه ها( هر شبکه ) معادل٦٥,٥٣٤است . بنابراين تعداد تمام کامپيوترهاي ميزبان در شبکه هاي کلاس B معادل ١,٠٧٣,٧٤١,٨٢٤   است در شبکه هاي کلاس B، اولين و دومين بيت در اولين octetبه ترتيب مقدار يک و صفر را دارا مي باشند.

کلاس C

کلاس فوق براي شبکه هاي کوچک تا متوسط در نظرگرفته مي شود. آدرس هائي که اولين octet آنها ١٩٢ تا ٢٢٣ باشد، کلاس( C ) مي باشند. در کلاس فوق از دومين و سومين octet هم براي مشخص کردن شبکه استفاده مي گردد. از آخرين octet براي مشخص نمودن هر يک از کامپيوترهاي ميزبان در شبکه استفاده مي گردد. بدين ترتيب ٢,٠٩٧,١٥٢ شبکه کلاس C وجود دارد.تعداد کامپيوترهاي ميزبان در اين نوع شبکه ها( هر شبکه ) معادل ٢٥٤ است. بنابراين تعداد تمام کامپيوترهاي ميزبان در شبکه هاي کلاس C معادل ٥٣٦,٨٧٠,٩١٢ است. در شبکه هاي کلاس C اولين ، دومين و سومين بيت در اولين octetبه ترتيب مقدار يک ، يک و صفر را دارا مي باشند.

کلاس D

از کلاس فوق براي multicasts استفاده مي شود. در چنين حالتي يک گره ( ميزبان) بسته اطلاعاتي خود را براي يک گروه خاص ارسال مي دارد.تمام دستگاه هاي موجود در گروه، بسته اطلاعاتي ارسال شده را دريافت خواهندکرد. ( مثلا" يک روتر سيسکو آخرين وضعيت بهنگام شده خود را براي سايرروترهاي سيسکو ارسال مي دارد ) کلاس فوق نسبت به سه کلاس قبلي داراي ساختاري کاملا" متفاوت است. اولين ، دومين ، سومين و چهارمين بيت به ترتيب داراي مقادير يک، يک، يک و صفر مي باشند. ٢٨ بيت باقيمانده به منظور مشخص نمودن گروههائي از کامپيوتر بوده که پيام Multicastبراي آنان در نظر گرفته مي شود. کلاس فوق قادر به آدرسي دهي ٢٦٨,٤٣٥,٤٥٦کامپيوتر است.

کلاس E

از کلاس فوق براي موارد تجربي استفاده مي شود. کلاس فوق نسبت به سه کلاس اوليه داراي ساختاري متفاوت است. اولين، دومين، سومين وچهارمين بيت به ترتيب داراي مقادير يک، يک، يک و يک مي باشند. ٢٨ بيت باقيمانده به منظور مشخص نمودن گروههائي از کامپيوتر بوده که پيام Multicast براي آنان در نظر گرفته مي شود. کلاس فوق قادر به آدرسي دهي ٢٦٨,٤٣٥,٤٥٦ کامپيوتر است 

BroadCast ·

پيام هائي با آدرسي از اين نوع ، براي تمامي کامپيوترهاي درشبکه ارسال خواهد شد. اين نوع پيام ها همواره داراي آدرس زير خواهند بود:

255.255.255.255

 پایان

لطفا اگه مطالب فوق براتون مفید بود تو بخش نظرات نظر خودتونو بزارید اگه موافق بودید ادامه مطالب رو که شامل قسمت های زیر است رو براتون بزارم(با تشکر مدیر وبلاگ)

مفاهيم اوليه پروتکل- TCP/IP (قسمت اول)

مفاهيم اوليه پروتکل- TCP/IP (قسمت دوم )

مفاهيم اوليه پروتکل- TCP/IP (قسمت سوم )

مفاهيم اوليه پروتکل- TCP/IP (قسمت چهارم )

مفاهيم اوليه پروتکل- TCP/IP (قسمت پنجم )