Router (Dynamic Routing)

Dynamic Routing

در Dynamic Routing از پروتوکلها به منظور یافتن مسیر  و update کردن routing table استفاده میشود و برای شبکه های بزرگ مناسب میباشد
یک پروتکل مجموعه ای از قوانین به منظور ارتباط یک روتر با روترهای همسایه( neighbor Router) را انجام میدهد

Administrative Distances(AD)

یک عدد بین 0 تا 255 است که بیان کننده یک سطح از ارزش و اطمینان به اطلاعات روتینگ مبدا میباشد
عدد صفر نشاندهنده اعتماد بالا و عدد 255 نشاندهنده عدم وجود ترافیک بر روی مسیر میباشد
اگر روتری دو لیست بهنگام سازی را از یک شبکه راه دور مشابه دریافت کند اولین چیزی که روتر چک میکند AD میباشد
اگر یکی از مسیرهای پیشنهادی دارای AD کمتر باشد,سپس مسیری در routing table جایگزین میشود که دارای AD پایین تری باشد.اگر هر دو مسیر پیشنهادی در یک شبکه و AD یکسان باشد سپس پروتکل روتینگ استفاده خواهد کرد بهترین مسیر را بوسیله Load Balance یک شبکه راه دور
اگر یک شبکه مستقیما به روتر متصل شده باشد,روتر همیشه از interface متصل شده به شبکه استفاده خواهد کرد
اگر یک administrator یک مسیر static را پیکربندی کند,روتر باور خواهد داشت این مسیر را
administartor شبکه میتواند مقدار AD مسیرهای static را تغییر دهد اما بصورت پیشفرض یک در نظر گرفته میشود

جدول زیر default Administrative Destances میباشد که روتر سیسکو از آن منظور انتخاب مسیر به یک شبکه راه دور استفاده میکند

Route Source	Default AD
connected interface	0
Static Route	1
EIGRP	90
IGRP	100
OSPF	110
RIP	120
External EIGRP	170

پیکربندی Dynamic Route
برای پیکربندی باید یکی از پروتوکلهای زیر را استفاده کنیم

1.RIP(Routing Information Protocol)
2.IGRP(Interior Gatway Routing Protocol)
3.EIGRP(Enhanced Interior Gatway Routing Protocol)
4.OSPF(Open Shortest Path First)

توجه داشته باشید برای هر روتر آدرسهایی را که مستقیم به روترما وصل شده اند مسیریابی میکنیم

سه کلاس routing protocol وجود میباشد

1.Distance Vector
2.Link State
3.Hybrid Balanced

Distance Vector
این روترها بهترین مسیر را از طریق اطلاعات ارسال شده توسط سایر روترهای مجاور محاسبه میکند
پروتکلهای distance vector بهترین راه پیدا کردن یک مسیر شبکه بوسیله تشخیص فاصله میباشد
هر بار که یک packet حول یک روتر عبور کند یک hop نامیده میشود
یک Route با کمترین تعداد hop ها,شبکه ,بهترین Route میباشد
vectore مسیر را به شبکه مشخص میکند
RIP و IGRP هر دو پروتوکلهای distance vector هستند
این دو routing table را بطور مستقیم به روترهای همسایه متصل میفرستد
مزیت distant vector به روز شدن سریع اطلاعات است
اشکال distant vector ترافیک زیاد است


Link State
این نوع روترها هر یک دارای یک نسخه ای از نقشه شبکه بوده و بهترین مسیر را با استفاده از آن محاسبه میکند
در پروتکلهای link state روترها هر کدام سه جدول جداگانه ایجاد میکند یکی از این جدولها نگهداری میکند مسیری که مستقیما ضمیمه شده به روترهای همسایه و یکی دیگر از آنها معین میکند روش اتصال تمام عناصر شبکه را و دیگری استفاده میشود به عنوان   routing table 
روترهای link state آگاهی بیشتری درباره internetwork دارند نسبت به پروتوکلهای distance vector
OSPF که یک پروتکل IP Routing است کاملا Link State میباشد
پروتوکلهای link state, update هایی که شامل عبارت لینکهای مربوط به خودشان به تمامی روترهای دیگر را روی شبکه میفرستند
اشکال link state گرفتن زمان زیاد برای به روز شدن میباشد
مزیت link state ترافیک کم آن است

Hybrid Balanced
hybrid balanced ادغامی از distant vector و link state میباشد
ٍEIGRP در hybrid balanced کار میکند

Router (Static Routing)

 

Static Routing

Static بوسیله administrator بصورت دستی برای مقصد مشخص در شبکه پیکربندی میشود
Static Routing برای شبکه های کوچک مناسب میباشد
ُstatic routing برای شبکه های بزرگ مناسب نمیباشد زیرا نگهداری و update نگه داشتن آن مستلزم صرف زمان زیادی است

پیکربندی Static Route
از syntax زیر برای مسیریابی استفاده میکنیم

RA(config)#ip route (Destination n/w address) (subnet mask) (Default Gatway)

توجه داشته باشید static را برای روترهایی که مستقیم به روتر ما وصل نیستند  مسیریابی میکنیم
حال تنظیمات را برای سناریوی زیر انجام میدهیم 

              

 

 

RA>en
RA#config t
RA(config)#int e0
RA(config-if)#ip address 192.168.10.1 255.255.255.0
RA(config-if)#no shut
RA(config-if)#^z
RA(config)#wr

RA#config t
RA(config)#int s0
RA(config-if)#ip address 120.120.120.1 255.0.0.0
RA(config-if)#clock rate 64000
RA(config-if)#no shut
RA(config-if)#^z
RA(config)#wr

RA(config)#ip route 192.168.20.0 255.255.255.0 120.120.120.2
RA(config)#ip route 150.150.0.0 255.255.0.0 120.120.120.2
RA(config)#ip route 192.168.30.0 255.255.255.0 120.120.120.2
RA(config)wr


RB>en
RB#config t
RB(config)#int e0
RB(config-if)#ip address 192.168.20.1 255.255.255.0
RB(config-if)#no shut
RB(config-if)#^z
RB(config)#wr

RB#config t
RB(config)#int s1
RB(config-if)#ip address 120.120.120.2 255.0.0.0
RB(config-if)#clock rate 64000
RB(config-if)#no shut
RB(config-if)#^z
RB(config)#wr

RB#config t
RB(config)#int s0
RB(config-if)#ip address 150.150.150.1 255.255.0.0
RB(config-if)#clock rate 64000
RB(config-if)#no shut
RB(config-if)#^z
RB(config)#wr
RB(config)#ip route 192.168.10.0 255.255.255.0 120.120.120.1
RB(config)#ip route 192.168.30.0 255.255.255.0 150.150.150.2
RB(config)#wr

RC>en
RC#config t
RC(config)#int e0
RC(config-if)#ip add 192.168.30.1 255.255.255.0
RC(config-if)#no shut
Rc(config-if)#^z
RC(config)#wr

RC#config t
RC(config)#int s0
RC(config-if)#ip add 150.150.150.2 255.255.0.0
RC(config-if)#clock rate 64000
RC(config-if)#no shut
RC(config-if)#^z
RC(config)#wr

RC(config)#ip route 192.168.20.0 255.255.255.0 150.150.150.1
RC(config)#ip route 120.0.0.0 255.0.0.0 150.150.150.1
RC(config)#ip route 192.168.10.0 255.255.255.0 150.150.150.1
RC(config)#wr

اگر فرمان sh ip route را اجرا کنید جلوی IP ها علامت S را مشاهده میکنید که معنی static route را میرساند
نکته دیگری که قابل توجه است استفاده از ip 192.168.10.0 است به این دلیل از 0 استفاده شده که ip های دیگر را که در آن range قرار دارد را ساپورت کند
نکته دیگر که قابل توجه است استفاده از فرمان ping است اگر بخواهیم چک کنیم که تمام ارتباطات شبکه به درستی کار میکند میتوانم از دستور ping بعلاوه ip مقصد در interface مورد نظر استفاده کنیم
بطور مثال اگر در سیستم 192.168.10.2 باشیم و میخواهیم ببینیم ارتباط با سیستم 192.168.30.2 برقرار است به cmd میرویم و دستور ping 192.168.30.2 را تایپ میکنیم اگر(rate percent (5/5 بود متوجه میشویم ارتباط بطور صحیح و کامل برقرار است .از دستور ping برای تمام interface ها میتوانیم استفاده کنیم و این کار کاملا ضروری و مهم است تا بتوانیم از ارتباط صحیح اطمینان حاصل کنیم

Router Default Routing

پیکربندی Default Routing
در این دوره از سناریوی زیر برای تمرین و فهم مطالب استفاده میکنیم

                 

 

قبل از شروع به configure کردن بهتر است مقداری توضیح درباره شکل بالا بدم
RA,RB,RC اسم روترها هستند تا این لحظه از اسم Router که بصورت پیشفرض بر روی روتر بود استفاده میکردیم.بوسیله فرمان hostname میتوانیم اسم روتر را تغییر دهیم و برای این استفاده میشود که روترها را راحتتر تشخیص دهیم

 

Router(config)#hostname RA
RA(config)#

 

s0,s1 همان Serial interface است .در این interface روترها را بوسیله Cross over cable بهم متصل میکنیم
e0 همان ethernet interface است.در این interface روتر و switch بهم متصل میشوند
شکل فوق در نگاه اول شاید یک مقدار گیچ کننده باشد به همین دلیل بصورت مجزا اطلاعات هر روتر را در زیر قرار میدهم

RA
s0-->120.120.120.1
e0-->192.168.10.1
pc1-->192.168.10.2
pc2-->192.168.10.3
pc3-->192.168.10.4

RB
s1-->120.120.120.2
s0-->150.150.150.1
e0-->192.168.20.1
pc1-->192.168.20.2
pc2-->192.168.20.3
pc3-->192.168.20.4

RC
s1-->150.150.150.2
e0-->192.168.30.1
pc1-->192.168.30.2
pc2-->192.168.30.3
pc3-->192.168.30.4

Default Route
از syntax زیر برای default routing استفاده میکنیم

RA(config)#ip route Destination network address subnet Default Gatway

دو نکته در اینجا لازم به تذکر است.اول اینکه همانطور که گفته شد default route برای آدرسهای نامشخص تعیین میشود به همین دلیل آدرس مقصد(Destination address)را 0.0.0.0 میدهیم.
نکته دوم اینکه برای هر روتر آدرسهایی را که مستقیم به روترما وصل شده اند مسیریابی میکنیم.توچه داشته باشید تمامی اعمال بوسیله console cable که در console port قرار میگیرد صورت میگیرد

حال موقع آن رسیده از تمامی مواردی که یاد گرفتیم استفاده کنیم
برای درک بهتر, تنظیمات هر روتر را بطور کامل و جدا از هم انجام میدهم.توجه داشته باشید که قبل از عملیات routing باید تمام interface ها را تعیین کنیم سپس مسیر دهی کنیم

 

RA>en
RA#config t
RA(config)#int e0
RA(config-if)#ip address 192.168.10.1 255.255.255.0
RA(config-if)#no shut
RA(config-if)#^z
RA(config)#wr

RA#config t
RA(config)#int s0
RA(config-if)#ip address 120.120.120.1 255.0.0.0
RA(config-if)#clock rate 64000
RA(config-if)#no shut
RA(config-if)#^z
RA(config)#wr

RA(config)#ip route 0.0.0.0 0.0.0.0 120.120.120.2
RA(config)wr


RB>en
RB#config t
RB(config)#int e0
RB(config-if)#ip address 192.168.20.1 255.255.255.0
RB(config-if)#no shut
RB(config-if)#^z
RB(config)#wr

RB#config t
RB(config)#int s1
RB(config-if)#ip address 120.120.120.2 255.0.0.0
RB(config-if)#clock rate 64000
RB(config-if)#no shut
RB(config-if)#^z
RB(config)#wr

RB#config t
RB(config)#int s0
RB(config-if)#ip address 150.150.150.1 255.255.0.0
RB(config-if)#clock rate 64000
RB(config-if)#no shut
RB(config-if)#^z
RB(config)#wr
RB(config)#ip route 0.0.0.0 0.0.0.0 120.120.120.1
RB(config)#ip route 0.0.0.0 0.0.0.0 150.150.150.2
RB(config)#wr

RC>en
RC#config t
RC(config)#int e0
RC(config-if)#ip add 192.168.30.1 255.255.255.0
RC(config-if)#no shut
Rc(config-if)#^z
RC(config)#wr

RC#config t
RC(config)#int s0
RC(config-if)#ip add 150.150.150.2 255.255.0.0
RC(config-if)#clock rate 64000
RC(config-if)#no shut
RC(config-if)#^z
RC(config)#wr

RC(config)#ip route 0.0.0.0 0.0.0.0 150.150.150.1
RC(config)#wr

برای دید routing table از فرمان زیر استفاده میکنیم
اگر به table توجه کنید جلوی بعضیip ها c گذاشته شده است و این به معنی directly connected است یعنی مستقیما نصب شده اند میباشد
همچنین جلوی بعضیها *S و به معنیDefault میباشد

RA#sh ip route

همچنین برای دیدن interfaceها

RA#sh ip int brief

Routing

Routing
فرآیند هدایت بسته ها در بین شبکه ها از مبدا به مقصد را routing میگویند
عملیات routing در لایه سوم (network layer) از مدل OSI صورت میگیرد

Routing Table
به جدولی از اطلاعات که مسیرهای مورد نیاز برای هدایت بسته ها به نقاط مختلف شبکه های مختلف را در اختیار سخت افزار شبکه (مسیریابها)میگذارد گفته میشود
جدول مسیریابی به محض دریافت اطلاعات جدید به روز رسانده میشود

Routed Protocols
routed protocols پروتکل لایه network است که  برای انتقال ترافیک بین شبکه ها استفاده میشود به عنوان مثال ip,ipx

Routing Protocols
 بوسیله روترها برای عوض کردن اطلاعات routing table استفاده میشوند بعنوان مثال RIP,IGRP

سه نوع مختلف routing

1.default routing
2.static routing
3.dynamic routing

• Default Route

default Route برای شیکه هایی که مقصدشان نامشخص است پیکربندی میشود
سیستم کار default به اینصورت است که اطلاعات به روتر فرستاده میشود اگر متعلق به آن نبود آن اطلاعات را به روتر بعدی تحویل میدهد

 

• Static Route

Static بوسیله administrator بصورت دستی برای مقصد مشخص در شبکه پیکربندی میشود

Static Routing برای شبکه های کوچک مناسب میباشد

 

• Dynamic Route

در Dynamic Routing از پروتوکلها به منظور یافتن مسیر  و update کردن routing table استفاده میشود و برای شبکه های بزرگ مناسب میباشد
پروتکلها عبارتند از

1.RIP(Routing Information Protocol)
2.IGRP(Interior Gatway Routing Protocol)
3.EIGRP(Enhanced Interior Gatway Routing Protocol)
4.OSPF(Open Shortest Path First)

Router Interfaces

Router Interfaces
پیکربندی interface یکی از مهمترین پیکربندیهای روتر است زیرا بدون interfaceها کاملا یک شی بدون استفاده میباشد.به علاوه پیکربندی interface ها باید کاملا دقیق باشد تا توانایی ارتباط با دیگر ابزارها را داشته باشد

ایجاد پیکربندی بر روی یک interface
برای پیکربندی آدرسهای IP روی یک interface از فرمان ip address در interface mode استفاده میکنیم
فراموش نکنید روشن کردن interface را با استفاده از فرمان no shutdown

 

 

 

Router>en
Router#config t
Router(config-if)#ip address 192.168.10.1 255.255.255.0
Router(config-if)#no shutdown or no shut
Router(config-if)#^Z
Router#wr

در اینجا یاد آور میشوم که به فرمان ( show interface e0 ( sh int e0  دقت کنید تا مشاهده کنید,interface shutdown است یا خیر همچنین فرمان show run همین اطلاعات را به ما میدهد

 

---

 

 پیکربندی Serial Interface
قبل از اینکه به سراغ پیکربندی serial interface برویم باید مقداری اطلاعات در این زمینه داشته باشید
اگر بخواهیم دو روتر را که مجاور هم هستند به هم متصل کنیم باید از cross over cable استفاده کنیم . این کابل از دو پورت serail تشکیل شده است که در ظاهر شبیه به هم هستند اما دو اسم مختلف دارند و باید تنظیمات خاص خود را در روتری که به آن متصل هستند انجام دهیم.اسم آنها به قرار زیر میباشد

 

                                

 

DTE(Data Communication Equipment)
DCE(Data Terminal Equipment)

برای پیکربندی DCE interface از فرمان clock rate استفاده میکنیم
clock rate سرعت را بر حسب بیت بر ثانیه تعیین میکند
با توجه به سرعت اتصال میتوانیم سرعتهای زیر را قرار دهیم

56000
64000
72000
125000

Router>en
Router#config t
Router(config-if)#clock rate 64000

توجه داشته باشید بوسیله help میتوانید تمامی clock rate را ببنید

Router(config-if)#clock rate ?

برای مشاهده اینکه کدام DCE است و کدام DTE از فر مان زیر استفاده میکنیم البته توجه داشته باشید که بر روی کابل هم مشخص شده است

Router>en
Router#show controllers s0
or
Router#sh controllers s 0

DTE پهنای باند را مشخص میکند و بصورت پیشفرض تعیین شده است و نیازی به پیکربندی ندارد

Configuration (بخش سوم)

 

نمایش پیکربندی
بوسیله فرمانهای زیر میتوانیم پیکربندی (configuration) را که در روتر انجام داده ایم مشاهده کنیم

RAM configuration
Router#show running-config
or
Router#sh run

NVRAM configuration
Router#sh start

FLASH configuration
Router#sh flash

All interface configuration
Router#sh int

e0 configuration
Router#sh int e0

all details configuration
Router#sh ip int brief

 

برای اجرای فرامین حتما باید در privileged mode باشیم

---

 
copy پیکربندی
بوسیله فرامین زیر میتوانیم پیکربندی را copy کنیم

RAM to NVRAM
Router#copy run start

NVRAM to RAM
Router#copy start run

PASSWORD RECOVERY

اگر password روتر را نمیدانیم و یا فراموش کرده ایم میتوانیم از روش زیر استفاده کنیم و password را استرداد کنیم
با توجه به اینکه پیکربندی روتر در (nvram(startup configuration میباشد هنگام روشن شدن روتر میبایستی از nvram جهش کنیم(Skipping)
بعد از روشن کردن روتر ctrl+break را میگیریم.سپس به خط زیر وارد میشویم

abroat at
>o/r 0x2142 or confreg 0x2142
>i
like to enter the inital configuration dialog?[yes/no]No
Router>
Router>en
Router#copy start run
Router#sh run
Router#conf t
Router(config)#enable secret cisco
Router(config)#config-register 0x2102
Router(config)#^z
Router#copy run start

توضیحات
 
o/r به معنی configure register میباشد
i به معنی initialize میباشد

 

• Backup and restore

اگر بخواهیم کپی از اطلاعات موجود در روتر را بر روی سیستم داشته باشیم باید نرم افزار TFTP(Trivial File Transfer Protocol را بر روی سیستم نصب کنیم.سپس میتوانیم از اطلاعات backup تهیه کنیم
بعد از نصب نرم افراز میتوانیم از فرمانهای زیر برای backup استفاده کنیم

RAM backup

Router#copy running-config tftp
or
Router#copy run tftp

NVRAM backup

Router#copy start tftp

Flash backup

Router#copy flash tftp

اگر بخواهیم backup را از سیستم به روتر منتقل کنیم از فرمانهای زیر استفاده میکنیم

Configuration (بخش دوم)

 

پیکربندی Password
روتر سیسکو 5 نوع password را شامل میشود

1.Enable Password
2.Enable Secret Password(encrypted)
3.Console Password
4.Auxiliary Password
5.Telnet Password

Enable Password
enable password برای اجازه دادن به اشخاص برای دستیابی به privileged mode در روتر استفاده میشود

Router>en
Router#config t
Router(config)#enable password cisco

سپس ctlr+z را میزنیم و به privileged mode میرویم و Wr را انجام میدهیم تا تغییرات در NVRAM ذخیره شود

 

Enable Secret Password
همان کار enable password را انجام میدهد با این تفاوت که password را بصورت رمز درمی آورد

Router>en
Router#config t
Router(config)#enable secret ccna

سپس ctlr+z را میزنیم و به privileged mode میرویم و Wr را انجام میدهیم تا تغییرات در NVRAM ذخیره شود


Console password
console password برای محدود کردن دسترسی کابربه روتر بوسیله console port میباشد

Router>en
Router#config t
Router(config)#line console 0 or line con0
Router(config-line)#login
Router(config-line)#password cisco

سپس ctlr+z را میزنیم و به privileged mode میرویم و Wr را انجام میدهیم تا تغییرات در NVRAM ذخیره شود

 

Auxiliary password
شبیه console port است با این تفاوت که دستیابی کاربر را از طریق external modem محدود میکند

Router>en
Router#config t
Router(config)#line aux 0
Router(config-line)#login
Router(config-line)#password cisco

سپس ctlr+z را میزنیم و به privileged mode میرویم و Wr را انجام میدهیم تا تغییرات در NVRAM ذخیره شود


Telnet password
روترهااجازه دارند از طریق telnet sessions با یکدیگر ارتباط برقرار کنند

Router>en
Router#config t
Router(config)#line vty 0 4
Router(config-line)#login
Router(config-line)#password cisco

سپس ctlr+z را میزنیم و به privileged mode میرویم و Wr را انجام میدهیم تا تغییرات در NVRAM ذخیره شود

Encrypting Password
اگر بخواهیم تمامی پسوردها را بصورت رمز درآوریم از فرمان زیر استفاده میکنیم

Router>en
Router#config t
Router(config)#service password-encryption

Configuration

 

• Interface Configuration

 

 interface mode برای پیکربندی تنظیمات ethernet استفاده میشود
برای دستیابی به interface mode از فرمان interface ethernet 0 و یا بصورت خلاصه int e0 استفاده میکنیم

Router>en
Router#config t
Router(config)#interface ethernet 0 or int e0
Router(config-if)#

---

 

• Line Configuration

line mode برای پیکربندی تنظیمات (console port,auxiliary port,telnet(virtual terminal portsاستفاده میشود
برای دستیابی به line mode باید از فرمان line console 0 استفاده کنیم

Router>en
Router#config t
Router(config)#line consol 0 or line con0
Router(config-line)#

---

 

• Help

 

 

help همیشه در خط فرمان IOS موجود است زمانی که تایپ کنید ؟
میتوانیم مستقیما ؟ را بعد از یک کلمه و یا بیشتر استفاده کنیم سپس خط فرمان به ما command های کامل را که با آن حرف شروع میشود را نشان خواهد داد
بعنوان مثال

Router>en
Router#c?
cd clear clock configure connect copy

or

Router>en
Router#cl?
clear clock

 

اگر ؟ را با یک فاصله از command قرار دهیم به ما command ثانوی را  نشان خواهد داد

Router#clo ?
set set the time and date

ورودی داده به روتر

ورودی داده به روتر

بعد از اینکه پیغامهای وضعیت interface ظاهر شد و شما enter را زدید پیغام زیر ظاهر میشود

 

Router>

همانطور که قبلا ذکر شد به خط بالا user mode گفته میشود و این اساسا برای مشاهده آمارو همچنین جاپایی است برای ورود به privileged mode
شما فقط میتوانید پیکربندی روتر را در privileged mode مشاهده و تغیر دهید
برای ورود از user mode به privileged mode باید از دستور enable و یا بصورت مخفف en استفاده کنید

Router>
Router>enable
Router#

 

اکنون شما در privileged mode هستید و میتوانید تغیرات دلخواه را به روتر بدهید.اگر بخواهید به mode قبل (user mode) برگردید میتوانید از فرمان disable استفاده کنید

 

Router#disable
Router>

شما میتوانید از فرمان logout برای خروج از console استفاده کنید

Router>logout

Router con0 is nowavailable
Pree RETURN to get started

و یا میتوانید از logout و یا exit در privileged mode برای خروج از console استفاده کنید

 

Router>en
Router#logout

Router con0 is nowavailable
Pree RETURN to get started

 

---

 

• Configuration Modes

 

روترهای سیسکو در modeهای مختلفی پیکربندی میشوند از قبیل

privileged mode
global configuration mode
interface configuration mode

ما باید بدانیم در هر mode چه تغیراتی را بدهیم
اکثریت پیکربندی در روترهای سیسکو در global configuration صورت میگیرد
برای استفاده از global mode باید از دستور configure terminal و یا بصورت خلاصه conf t در privileged mode استفاده کنیم

Router>en
Router#conf t
Router(config)#

حال global mode برای تغییرات مورد نظر در دسترس است
توجه داشته باشید تغییرات که در خط #(Router(config میدهید در ram ذخیره میشود وبا توجه به اینکه RAM حافظه غیر دائم است باید تغییرات را  به NVRAM که حافظه دائم است منتقل کنیم سپس ذخبره شود. برای انجام ذخیره باید به privileged mode برویم و آنجا (wr(write را اجرا کنیم.برای برگشتن از global mode به privileged mode متوانیم از ctrl+z استفاده کنیم سپس wr را برای ذخیره در NVRAM انجام میدهیم

اتصال به روتر

اتصال به روتر
ابتدا باید console cable)rollover cable) را متصل کنیم com port را به سیستم و RJ45 را به console port

 

1.برنامه Heyper Terminal را اجرا میکنیم و اسم مورد علاقه را وارد میکنیم

2.پورت اتصال را انتخاب میکنیم (com1 or com2) هر کدام که در سیستم باز است

  3.اکنون port setting را تنظیم میکنیم.جتما باید restore defaults را انتخاب کنیم سپس ok را میزنیم برای اتصال به روتر

زمانی که به (CLI(Command Line Interface وارد میشویم سه mode اصلی در پیش رو دارید که باید اسم و مشخصات آنها را بدانید

 

1.Router> -->user mode or enable mode
2.Router# -->privileged mode
3.Router(config)# -->global mode

در global mode دو mode دیگر موجود میاشد که هر کدام وظایف خاص خود را دارند

1.interface mode
2.line mode

 

Interface پورتی است که ip address را تعیین میکنیم
line پورتی است که password را تعیین میکنیم

Router Prompt	Purpose/Meaning
Router>	user mode
Router#	privileged mode
Router(config)#	Global mode
Router(config-if)#	interface mode
Router(config-line)#	line mode
Router(config-router)#	routing protocol mode

 

Router IOS

IOS(InterNetwork Operating System)

روتر مانند هر سیستم دیگر یک نرم افزار برای ارتباط بین کاربر و سخت افزار احتیاج دارد به آن سیستم عامل IOS میگوییم که بوسیله این سیستم عامل میتوانیم روتر را پیکربندی کنیم
روتر از چهار حافظه اصلی تشکیل شده است

 

1.RAM(Random Access Memory)
2.ROM(Read Only Memory)
3.NVRAM(Non-Volatile RAM)
4.Flash

RAM
running configuration
حافظه غیر دائم است و زمانی که برق روتر قطع میشود حافظه نیز پاک میشود


ROM
زمانی که دستگاه میخواهد راه اندازی شود ازROM کمک میگیرد و عنصرهای زیر را در بر میگیرد
POST(Power On Self Test)
BootStrap program
rom monitor


NVRAM
start configuration
حافظه دائمی است
تنظیمات روتر را در بر میگیرد

FLASH
IOS در flash نصب میشود

 

---

 

 

• The Router Boot sequence

 

1.برنامه POST سخت افزار روتر را چک میکند.قطعاتی از قبیل memory,cup,interfaceها.POST ذخیره و اجرامیشود ازROM
bootstrap.2 برنامه اي است در ROM که براي اجراي برنامه ها استفاده ميشود,برنامه bootsrap مسئوليت پيدا کردن مکان هر برنامه IOS وload کردن آن ميباشد(بصورت پيشفرض نرم افزار IOS در flash memory همه روترهاي سيسکو موجود ميباشد)سيستم عامل موجود در flash memory به rom انتقال داده ميشود
3.برنامه IOS جستجو میکند یک وضعیت مشخصی در فایل ذخیره شده در NVRAM که این فایل startup-config نامگذاری میشود و این فقط اتفاق می افتد که administratorکپی کند running-config را در NVRAM
4.اگر فایل startup-config در NVRAM باشد روتر فایل را load و سپس اجرا خواهد کرد.اکنون روتر قابل بهره برداری است.اگر یک فایل startup-config در NVRAM نباشد روتر وضعیت setup-mode را شروع خواهد کرد به محض boot شدن

Router

اگر به روتر توجه کنید پنج پورت مشاهده میکنید

1.Console Port
2.AUX Port ( Auxiliary Port)
3.serial Port
4.PRI/BRI(Primary Rate Inetface / Basic Rate Interface )
5.AUI ( Attachment User Interface )

CONSOLE PORT
برای اتصال کامپوتر به روتر جهت پیکربندی روتر استفاده میشود و برای اتصال از rollover cables استفاده میشود.برای پیکربندی از برنامه هایی مثل hyper terminal استفاده میکنیم

 AUX PORT
برای اتصال dial up استفاده میکنیم

SERIAL PORT
برای اتصال روتر به روتر و leased line استفاده میشود

PRI/BRI PORT
برای اتصال ISDN استفاده میشود

AUI PORT
برای اتصال روتر به سویچ استفاده میشود

IP Address (بخش هشتم)

 

CIDR(Classless Inter-Domain Routing  

اصطلاح دیگری که شما باید با آن آشنا بشوید CIDR است این بطور اساسی یک روش است که ISPها (Internet Service Providers) برای تخصیص دادن یک مقدار از آدرس به یک کمپانی و یا مشتری استفاده میکنند
زمانی که شما یک دسته آدرس را از یک ISP دریافت میکنید چیزی شبیه به این 192.168.10.32/28 است.این به شما subnet mask شما را میگوید .نشان slash به معنای این است که چه مقدار bits روشن است
بدیهی است که بیشترین32/ است زیرا یک byte است 8 bit پس 32=8*4
اما بخاطر داشته باشید که بیشترین subnet mask میتواند باشد 30/ زیرا شما باید حداقل دو bits برای host bits نگه دارید
بطور مثال در کلاس A ,defult subnet mask 255.0.0.0 است این بدین معنی است که اولین byte از subnet mask همگی یک است (11111111) وقتی استناد به علامت slash کنیم بطور مسلم 255.0.0.0 است 8/ زیرا این هشت bits دارد
همچنین در کلاس (B ,defulf subnet mask 255.255.0.0(1111111.1111111.0.0 است و همجنین میتوانیم تعریف کنیم 16/ زیرا 16 بیت یک است
توجه داشته باشید که در روترهای سیسکو از فرمت slash استفاده نمیتوانیم بکنیم

Subnet Mask     CIDR value
 
255.0.0.0                /8
255.128.0.0            /9
255.192.0.0           /10
255.224.0.0           /11
255.240.0.0           /12
255.248.0.0           /13
255.252.0.0           /14
255.254.0.0           /15
255.255.0.0           /16
255.255.128.0        /17
255.255.192.0        /18
255.255.224.0        /19
255.255.240.0        /20
255.255.248.0        /21
255.255.252.0        /22
255.255.254.0        /23
255.255.255.0        /24
255.255.255.128     /25
255.255.255.192     /26
255.255.255.224     /27
255.255.255.240     /28
255.255.255.248     /29
255.255.255.252     /30

 

 

IP Address (بخش هفتم)

 

• SUBNETTING

 
زمانی که میخواهیم عملیات subnetting را بر روی یک IP انجام دهیم باید پنج سوال زیر را مد نظر داشته باشیم

1.چه مقدار subnets میتوانیم داشته باشیم
2.چه مقدار هاست در هر subnet موجود می باشد
3.چه subnet هایی قابل قبول هستند
4.تعیین broad cast address
5.چه هاست هایی قابل قبول است

 

در IP 192.168.10.10 و subnet mask 255.255.255.0 میخواهیم 55 هاست (دستگاه) به هم شبکه کنیم ,عملیات subnetting به قرار زیر می باشد

 

به دلیل اینکه IP ما در کلاس C میاشد عملیات subnetting را در بیت آخر انجام میدهیم و آن را بسط میدهیم

192.168.10.2^7 2^6 2^5 2^4 2^3 2^2 2^1 2^0

با توجه به اینکه 55 هاست میخواهیم و 55 بین 64 و 32 است 6^2 را انتخاب میکنیم در نتیجه 6 بیت به host address تعلق میگیره و 2 بیت به network address

(2^0=1 , 2^1=2 , 2^2=4 , 2^3=8 , 2^4=16 , 2^5=32 , 2^6=64 , 2^7=128 , 2^8=256 )

1.چه مقدار subnet میتوانیم داشته باشیم
برای بدست آوردن تعداد subnet از فرمول زیر استفاده میکنیم,n تعداد بیتهای تعلق گرفته به قسمت network address است

2^n ---> 2^2=4

 

2.چه مقدار هاست در هر subnet موجود میباشد
برای بدست آوردن هاست از فرمول زیر استفاده میکنیم

2^n-2 ----> 2^6-2=62

در هر subnet شصت و دو هاست موجود میباشد و 2- همان network address و broad cast address میباشد که not valid هستند

3.چه subnet هایی قابل قبول هستند
برای بدست آوردن subnet های قابل قبول (block size)از فرمول زیر استفاده میکنیم

256 - subnet mask = block size

با توجه به اینکه الگوی استاندارد را به الگوی غیر استاندارد تبدیل کردیم subnet mask به غیر استاندارد تبدیل میشود و به آن ( CSN ( Customize Subnet Mask میگوییم
طریقه بدست آوردن آن به اینصورت است که بیتهایی را که به network address در بیت آخر تعلق دارد را جمع میکنیم

 

2^7 + 2^6 = 128+64 = 192 ---> CSN

 

256 - 192 = 64 --> Block size

 

4.تعیین broad cast address برای هر subnet

پیامی است که به تمامی ایستگاهها توزیع میشود

این آسانترین قسمت است , broad cast address در هر subnet میشود block size - 1 مثلا اگر block size ما 64 باشد broad cast ما میشود 63 و بطور کامل میشود 192.168.10.63

5.چه host هایی قابل قبول است
همیشه اعدادی که بین subnet address و broad cast address می باشند هاستهای قابل قبول هستند

با توجه به عملیات بالا subnetting به قرار زیر می باشد

 

 

network address	192.168.10.0	192.168.10.64	192.168.10.128	192.168.10.192
Valid IP	192.168.10.1	192.168.10.65	192.168.10.129	-----------
	192.168.10.2	192.168.10.66	192.168.10.130
	ادامه	ادامه	ادامه
	ادامه	ادامه	ادامه
	192.168.10.62	192.168.10.126	192.168.10.190
broad cast address	192.168.10.63	192.168.10.127	192.168.10.191
customize subnet mask	255.255.255.192	255.255.255.192	255.255.255.192	255.255.255.192

 

IP Address (بخش ششم)

 

در هر range دو ip قابل قبول نیست و نمیتوانیم استفاده کنیم و این همان 2- در فرمول 2n-2 است
ip اول را (network address(subnet id و ip آخر را broad cast address میگویند و فاصله بین این دو ip ,ip های قابل قبول است

192.168.10.0	Network address
192.168.10.1	Valid IP
192.168.10.2
192.168.10.254
192.168.10.255	Broad cast address

 

 

در مثال زیر network address و broad cast address را محاسبه میکنیم

192.168.10.10
255.255.255.0

ابتدا ip و subnet mask را به اعداد باینری تبدیل میکنیم سپس عملیات AND(ضرب باینری ) را انجام میدهیم

ضرب باینری به قرار زیر میباشد

1100
1010
------
1000

11000000.10101000.00001010.00001010
11111111.11111111.11111111.11111111
-----------------------------------------------------
1000000.10101000.00001010.00000000
Network part                          Host part

حال جواب را که اعداد باینری است به اعداد طبیعی تبدیل میکنیم

 

192.168.10.0	Network address
192.168.10.255	Broad cast address

 

MCSE & Cisco

نویسنده: میلاد

سلام ، خانم مهندس ، خسته نباشید ، راستیتش من یه راهنمایی از شما می خواستم ، در مورد مدارک mcse mcsa ccna . من می خوام یکی از این دوره ها رو شروع کنم . ولی نمی دونم ، واقعا بدربخور هستند یا فقط این موسسه ها می خوان از ما پول بگیرن .از اون جایی که شما این مدارک رو دارید ممنون می شم یک مقدار در این زمینه ، صحبت کنید . در ضمن آیا مطالب این مفاهیم فرار هست یعنی مانند جه دوروسی می مونند ؟ فکر کنم برا شروع هم با nelwork+ شروع می کنند . منتظر جوابتون هستم . اگه امکان داره تو همیت سایت بنویسید تا بقیه هم استفاده کنند .

پاسخ:

امروزه شرکتها ناچار به استفاده از کامپيوتر در جهت خودکار سازی بسياری از فعاليتهای روزانه جهت تسريع در امور و کاهش خطای نيروی انسانی و همگامی با شرکتهای رغيب می باشند و اين کار توانسته بسياری از مشکلات را برای شرکتها و سازمانها که بدنبال گسترش جمعيت و ارتباطات بر حجم کاری آنها افزوده شده برطرف سازد.

اما وجود اين سيستم و خو گرفتن شرکتها با اين سيستمها به سبب اثبات راندمان کاری که داشته اند باعث شده تا طراحی، اجرا و نگهداری اين سيستمها به مساله ای پر اهميت تبديل شود. امروز در شرکتها ده ها و صدها کارمند مشغول به کارند که همگی از يک کامپيوتر در مقابل خود استفاده ميکنند. در واقع کامپيوتر ها در ادارات نقش قلم، کاغذ، ماشين حساب، بايگانی اطلاعات، دفترچه آدرسها و تلفنهای مشتريان، منشی هماهنگ کننده امور و بسياری موارد ديگر شده که اين باعث ميشود از کار افتادن هر يک از اين سيستمها به مدت هر چند کوتاه به منزله خسارت برای شرکت باشد پس به فردی احتياج است تا هم به صورت روزانه سيستم را مورد نظارت قرار دهد و در صورت بروز هر گورنه خطا در يکی از سيستمها در زمانی کوتاه قادر به راه اندازی مجدد باشد تا خسارت به حداقل خود برسد.

بعنوان يک متخصص IT شما دو اعتبار نامه مختلف برای کسب مهارت در سيستمهای ويندوز 2000 و XP ميتوانيد کسب کنيد. يکی MCSA و ديگری MCSE و اين شما هستيد که بايد تصميم بگيريد کدام يک با شغل شما همخوانی بيشتری دارد:

 

مايکروسافت پيشنهاد ميکند اگر شما مسئول مديريت، نگهداری و عيب يابی يک سيستم هستيد و دارای 6 تا 12 ماه سابقه کار در اين زمينه را داريد مدرک MCSA را انتخاب کنيد و اگر وظيفه شما برنامه ريزی، طراحی و اجرای سيستمها است و دارای حداقل يک سال سابقه کار در اين زمينه هستيد MCSE را انتخاب کنيد.

دستيابی به مدارک قابل ارائه از طرف شرکت مايکروسافت بهترين معيار سنجش تسلط بر محصولات و فناوری های نوين شرکت مايکروسافت بوده و برای دارندگان آنها امکان دسترسی به اطلاعات فنی و عضويت در انجمن های جهانی را به ارمغان می آورد .

                                                اخذ مدرک MCSE 2003

براي اخذ مدرک MCSE داوطلبان بايد هفت آزمون زير را با موفقيت پشت سر بگذارند.

1. 70-270 (XP) or 70-210 (Professional)
2. 70-290 (Managing and Maintaining a Microsoft Windows Server 2003 Environment)
3. 70-291 (Managing and Maintaining a Microsoft Windows Server 2003 Infrastructur
4. 70-293 (Planning, Implementing and Maintaining a Microsoft Windows Server 2003 Infrastructure
5. 70-294(Planning, Implementing and Maintaining a Microsoft Windows Server 2003 Active Directory
6. 70-297(Design Active) or 70-298 (Design Security)
7. 1 Elective Exam 

 ×اخذ مدرک MCSE Messaging

1. 70-270 (XP) or 70-210(Professional)
2. 70-290 (Managing and Maintaining a Microsoft Windows Server 2003 Environment
3. 70-291 (Managing and Maintaining a Microsoft Windows Server 2003 Infrastructur
4. 70-293 (Planning, Implementing and Maintaining a Microsoft Windows Server 2003 Infrastructure
5. 70-294(Planning, Implementing and Maintaining a Microsoft Windows Server 2003 Active Directory
6. 70-297 (Design Active) or 70-298 (Design Security) 

   ×براي امتحان Elective نيز حتماً بايد دو آزمون زير با موفقيت انجام شود:

7. 70-284 (I&M Exchange 2003)
8. 70-285 (Design Exchange 2003)

 ×اخذ مدرک MCSE Security
1. 70-270 (XP) or 70-210 (Professional)
2. 70-290 (Managing and Maintaining a Microsoft Windows Server 2003 Environment)
3. 70-291 (Managing and Maintaining a Microsoft Windows Server 2003 Infrastructur
4. 70-293 (Planning, Implementing and Maintaining a Microsoft Windows Server 2003 Infrastructure
5. 70-294 (Planning, Implementing and Maintaining a Microsoft Windows Server 2003 ActiveDirectory
6. 70-298 (Design Security)

براي امتحان Elective نيز بايد دو آزمون از سه آزمون زير با موفقيت پشت سر گذاشته شود.

7. 70-299 (Implementing & Administering Security) or 70-227(ISA Server 2000) or SY0-101(Comptia Security Plus 

 ×اخذ مدرکMCSA

اين دوره مديريت و عيب يابي (Troubleshooting)شبکه هاي Windows 2003 را بر عهده دارد.

Microsoft Certified Systems Administrator
Core Exams:Networking System (2 Exam Required)
1.70-290(Managing and Maintaining a Microsoft Windows Server 2003 Environment)
2.70-291(Implementing ,Managing,and Maintaining a Microsoft Windows Server 2003 Infrastructure)
Core Exams:Client Operating System (1 Exam Required)
1.70-270(XP)
2. 70-210(Professional)
Elective Exams: (1 Exam Required)
1.70-086 (Implementing and Supporting Microsoft Systems Management Server 2.0)
2.70-227 (Installing , Configuring and Administering Microsoft Internet Security Server 2000)
3.70-228 (Installing , Configuring and Administering Microsoft SQL Server 2000)
4.70-284 (Implementing and Managing Microsoft Exchange Server 2003)
5.70-299 (Implementing and Administering Security in Microsoft Windows Server 2003Network)

. جهت اطلاعات دقيقتر به آدرس زير مراجعه کنيد :

http://www.microsoft.com/traincert/mcp/mcsa/requirements.asp

جهت گذراندن دوره های MCSA و MCSE هم اکنون موسسات و شرکتهای متعددی در داخل کشور مشغول به فعاليت ميباشند که ميتوانيد با تماس با هر يک از اين شرکتها و موسسات اطلاعاتی در مورد نحوه برگزاری کلاسها و هزينه های آن کسب کنيد.

                                 Cisco Certified Network Associate :CCNA

مدارك شركت CISCO راهيست به سوي موقعيت هاي برجسته شغلي و تأييدي است بر مهارتي با استانداردهاي بسيار عالي.دريافت مدرك CISCO ( در هر سطحي) به معني پيوستن به جامعه متخصصان ماهر در شبكه است كه در دنياي صنعت و تكنولوژي شناخته شده و معتبرند.

شركت CISCO سه سطح از مدارك را جهت متخصصين IT در نظر گرفته كه داراي ابعاد متفاوتي براي بر آوردن نياز و تقاضاي افراد مختلف است.

سطوح مختلف و متنوعي در مدارك CISCO موجود است. اخذ مدرك از CISCO بسيار ارزشمند است و ارزش و اعتبار والائي براي متخصصين شبكه، مديران آنها و شركتهائي كه اين متخصصان را استخدام نموده اند ، دارند.

 × تخصص هاي شبكه CISCO داراي سه سطح از مدارك است:
1ـ آشنائي ( Associate)
2ـ متخصص ( professional)
3ـ سطح مهارت عالي ( Expert) كه بالاترين سطح متخصصين ممكنه در زمينه شبكه مي باشند.

::مدارك مربوط به نصب و راه اندازي و پشتيباني شبكه
سطح آشنائي ( Associate)
مدرك CISCO Certified Network Associate) CCNA ) در رابطه با مهارت فني در نصب و تنظيمات و راه بري شبكه هاي LAN و WAN و نيز ارتباطات شبكه توسط سيستم شماره گيري تلفن براي شبكه هاي كوچك (100 نود و کمتر)از جمله IGRP, Serial, Frame Relay, IP RIP, VLANs, RIP, Ethernet, Access List مي باشد. اطلاعات اوليه و بنيادي كه شما به هنگام آماده شدن و مطالعه جهت امتحان CCNA بدست مي آوريد اولين قدم در راه ورود به بازار حرفه اي شبكه است.مدرك CCNA مهارت و توانائي اوليه و مقدماتي فرد را در كار شبكه تأييد مي كند، داوطلباني كه امتحان مربوطه را با موفقيت گذرانده اند از شركت CISCO مدرك CCNA در يافت مي كنند و مي توانند اين عنوان را در كارت ويزيت خود درج كنند .
:: تعداد امتحانات: 1
مدرك CCNA تضمين كننده دانش كار با شبكه هاي كوچك اداري در بازار كار است.

در حقيقت يك فرد داراي مدرك CCNA داراي توانائي هاي زير مي باشد:
1. نصب و راه اندازي دستگاه هاي سوئيچ و روتر در يك شبكه 1داراي چندين پروتكل با استفاده از رابط LAN و WAN
2. رفع اشكال در سطح درجه اول
3. بهينه سازي كارائي و امنيت شبكه
تذكر 1: اخذ اين مدرك مستلزم اخذ مدرك پيش نياز نيست.
تذكر 2: مدت اعتبار مدرك CCNA سه سال است.

 

CCNP (Cisco Certified Network Professional)

این مدرک تأییدی بر توانایی حرفه ای فرد در نصب، پیکربندی و عیب یابی شبکه های بزرگ است. مباحث اين مدرک بر روی مواردی همچون مدیریت router ها و switch ها که به منزله هسته مرکزی شبکه ها هستند، امنيت شبکه های مجتمع (multiprotocol) که شامل شبکه های voice و wireless می باشد، کيفيت سرويس يا Quality of Service (QoS) و Virtual Private Networks (VPN) و تکنولوژيهای broadband تأکيد دارد.

× يک متخصص دارای مدرک CCNP دارای مهارتهای زير می باشد :

توانايی استفاده از تکنولوژی جهت ساخت scalable routed network .

طراحی و اجرای شبکه با استفاده از تکنولوژيهای سوييچينگ چند لايه.

کنترل ترافيک شبکه جهت بهبود کارآيی و کاهش مشکل قطع ارتباط با سایر شبکه های LAN و WAN با قابلیت Remote Access که با تکنولوژی های مختلف به شبکه اتصال دارند.

طراحی و راه اندازی اينترانت.

 

× پیشنیاز دوره : CCNA 

× تعداد امتحانات دوره : 4 امتحان

 

Required Exam(s)	Recommended Training
642-901 BSCI	Building Scalable Cisco Internetworks (BSCI)
642-812 BCMSN	Building Cisco Multilayer Switched Networks (BCMSN)
642-825 ISCW	Implementing Secure Converged Wide Area Networks (ISCW)
642-845 ONT	Optimizing Converged Cisco Networks (ONT)

 

 

 

بله شما باید + Network را بخونيد و بهتر بگم بايد مسلط بشيد

البته اینم بگم که به انتخاب و علاقه خودتون بر می گرده بعد از اینکه علاقه خودتون رو فهمیدین باید پشتکار هم داشته باشید

در خصوص آموزشگاه ها نمي تونم بگم همشون خوبن و نمي تونم بگم كه كلاه برداري ندارن اما آموزشگاه هايي هستند كه هم از اساتيد به نام و مجرب استفاده مي كنند و هم از لحاظ لابراتور مجهز هستند مثل مجتمع فني تهران (مداركش مورد تاييد همه جا هست) و آداك سيستم كه اساتيد بسيار خوبي داره كه راحت مي تونم بگم توي ايران بهترين هستند.

 

IP Address (بخش پنجم)

اعداد باینری
اعدادباینری را برای نمایش آدرسها استفاده میکنند.اعداد باینری فرم اصلی نمایش اطلاعات روی یک ابزار کامپیوتر است.اعداد باینری فقط شامل صفر و یک هستند که یک حالت ON و صفر حالت OFF در نظر گرفته میشود
سیستم باینری فقط یک روش متفاوت نمایش اعداد است
برای بدست آوردن عدد در مبنای باینری میبایست عدد را در مینای دو تقسیم کرد و دوباره خارج قسمت را بر دو تقسیم کرد

عدد 4 را میخواهیم به عدد باینری تبدیل کنیم

4/2=2 --->باقیمانده=0

2/2=1 ---> باقیمانده=0

از بالا شروع میکنیم 100
برای محاسبه از اولین باقیمانده شروع میکنم تا به آخری برسیم البته آخرین خارج قسمت را هم حساب میکنیم

تقسیم کردن اعداد بزرگ میتواند خسته کننده باشد بهمین جهت یک راه حل خیلی آسان و سریع ارائه میدهم
این اعداد را مدنظر داشته باشید

128 64 32 16 8 4 2 1

شما بفرض میخواهید عدد 10 را به باینری تبدیل کنید.دقت کنید مجموع کدام از اعداد بالا ده میشود و جای آن اعداد یک و جای بقیه صفر قرار میدهیم

10=2+8                ------> 00001010
168=128+32+8     ---------> 10101000
192=128+64         ----------> 11000000
255=128+64+32+16+8+4+2+1  -----> 11111111

 

IP Address (بخش چهارم)

 

SUBNET MASK
این آدرس نشان میدهد چه مقدار بیت متعلق به آدرس شبکه و چه مقداربیت  متعلق به آدرس میزبان(هاست) است
دو الگو برای subnet mask داریم الگوی استاندارد و الگوی غبر استاندارد
در الگوی استاندارد با توجه به کلاس هر subnet mask ,IPاستانداردی برای آن IP داریم بطور مثال
ُ

Class	A	B	C
IP	10.10.10.1	172.168.88.98	192.168.100.3
Subnet Mask	255.0.0.0	255.255.0.0	255.255.255.0

 

قسمتی که 255 است متعلق به network  و قسمتی که 0 است متعلق به host می باشد

بوسیله این فرمول میتوانیم تشخیص دهیم چه مقدار host و network در یکIP address موجود میباشد

2^n - 2

 

class	تعداد بیتهای شبکه	تعداد بیتهای میزبان		تعداد میزبان
A	8	24		2^24-2=16777214
B	16	16		65534
C	24	8		254

 

الگوی غیراستاندارد
الگوهایی هستند که دقیقابامحدودیتهای هشتایی مطابقت نمیکنند و در عوض برای نیازهای خاص طراحی شده اند,به این عملیات subnetting میگویند
SUBNETTING
قرض دادن بیتهای هاست را به بیتهای شبکه subnetting میگویند

برای انجام دادن عملیات subnetting میبایست کار با عملیات باینری را بدانیم

IP Address (بخش سوم)

 

IDهای شبکه
فرض کنید شما در این آدرس سکونت دارید:اهواز کیانپارس خیابان ده پلاک 60 .اگر بخواهم یک نامه را از هند یه شما بفرستم نمیتوانم فقط خیابان ده پلاک 60 را بنویسم حتی اگر آن قسمت نمایانگر منزل شما باشد واداره پست در ایران هم کمک نمیکند و برای اطمینان از صحت تحویل نامه آدرسهای پستی به ناحیه هایی تقسیم شده اند که کار را برای تحویل آن آسان میکند.آدرسهای IP نیز به این روش مشابه کار میکنند
هر IP از دو قسمت تشکیل شده است که قسمت اول متعلق به آدرس شبکه (network address)و قسمت دوم متعلق به آدرس میزبان (host) است
Network Address هر سیستم موجود بر روی شبکه مشابه , به عنوان بخشی از آدرس IP آن در نظر گرفته میشود.بطور مثال IP 10.20.20.20 با توجه به اینکه IP از کلاس A میباشد عدد 10 مشخص کننده آدرس شبکه در این IP است

Host Address هر سیستم موجود بر روی شبکه را مشخص میکند آدرس هاست بصورت منحصر بفرد میباشد زیرا این آدرس نشان دهنده یک سیستم خاص بر روی شبکه میباشد .بطور مثال IP 10.20.20.20 اعداد 20.20.20 آدرس هاست را نشان میدهد

 

 

IP Address (بخش دوم)

 

در هر کلاس دو نوع IP Address موجود میباشد

آدرس خصوصی Private address
آدرس عمومی public address

Private address
برای تعیین شبکه های محلی استفاده میشود و برای استفاده از آنها احتیاج به هیچ مجوزی نیست
public address
برای تعیین شبکه های عمومی استفاده میشود و باید از سازمان IANA مجوز داشت

IANA(Internet Assigned Numbers Authority)

چگونه میتوان تشخیص داد IP عمومی است یا خصوصی ؟
برای IP های خصوصی یک رنج موجود میباشد اگر IP در آن رنج بود خصوصی است در غیر اینصورت IP عمومی است

 

PRIVATE  IP  ADDRESS
Class A	10.0.0.0	10.255.255.255
Class B	172.16.0.0	172.31.255.255
Class C	192.168.0.0	192.168.255.255

 

IP Address (بخش اول)

IP Address(Internet Protocol Address)

یک آدرس منطقی که برای مشخص کردن دستگاه در ارتباط بین شبکه ها تعیین میشود
از چهار رقم تشکیل شده است که با نقطه از هم جدا میشوند بطور مثال 192.168.10.20
هر عدد هشت بیت است که در مجموع میشود 32 بیت 32=8*4
اعداد  بکاربرده شده دسیمال هستند و بین 255-0 می باشند

همانطور که گفته شد هر ip address از 32 bit تشکیل شده است و هر ip از چهار بخش تشکیل شده است که به هر بخش octet نیز گفته میشود بطور مثال 192 یک octet میباشد

• IP Address Classes

متخصصان شبکه با توجه به نیاز شبکه تصمیم به استاندارد سازی و ایجاد کلاسهای مختلف شبکه نموده اند که با توجه به نیاز هر شبکه باید از آن استفاده نمود
آدرسها در 5 کلاس رده بندی میشوند و عدد اول هر آدرس نشان دهنده کلاس آن آدرس است

 

Class A	1-126
Class B	128-191
Class C	192-223
Class D	224-239
Class E	240-254

 

 

مثلا  ip 10.10.10.1 با توجه به اینکه رقم اول آن 10 است نشان دهنده این اسنت که در کلاس A می باشد

  ip 192.168.10.20 با توجه به اینکه رقم اول آن 192 است نشان دهنده این است که در کلاس C می باشد

 

• Loop Back

اگر دقت کرده باشین عدد 127 در کلاسهای فوق نبود به این دلیل است که این عدد برای چک کردن کارت شبکه مورد استفاده قرار میگیرد و اگر بخواهیم از صحت سالم بودن کارت شبکه اطمینان حاصل کنید میتوانید از این آدرس استفاده کنید
  ping 127.0.0.1

کلاس A
شبکه های کلاس A برای شبکه هایی که تعداد شبکه هایشان کم ,ولیکن تعداد میزبانهایشان زیاد است و معمولا برای استفاده توسط انستیتوهای دولتی و آموزشی انتخاب میشوند مناسب هستند
در یک آدرس شبکه کلاس A ,بخش نخست آن نشان دهنده آدرس شبکه (network address) و سه بخش دیگر نیز نشاندهنده آدرس میزبان (host address) در شبکه است.بطور مثال IP 10.20.20.20 عدد 10 به آدرس شبکه و عدد 20.20.20 به آدرس میزبان تعلق دارد
در آدرس دهی کلاس A اولین بیت صفر میباشد

01111111 = 0 + 64 + 32+ 16+ 8+ 4+ 2+ 1 = 127

کلاس B
شبکه های کلاس B برای شبکه هایی که تعداد شبکه هایشان بین شبکه های بسیار بزرگ و بسیار کوچک است در نظر گرفته شده است
در یک آدرس شبکه کلاس B دو بخش نخست آن نشان دهنده آدرس شبکه و دو بخش دیگر نشاندهنده آدرس میزبان است
بطور مثال IP 172.16.10.10 عدد 172.16 به آدرس شبکه تعلق دارد و عدد 10.10 به آدرس میزبان تعلق دارد
ِدر آدرس دهی کلاس B دومین بیت صفر میباشد

10111111 = 128+ 0+ 32+ 16+ 8+ 4+ 2+ 1 = 191

 

کلاس C
شبکه های کلاس C برای شبکه هایی که تعداد شبکه های زیادی دارند اما میزبان کمتری دارند تدارک داده شده است
در یک آدرس شبکه کلاس C , سه بخش نخست آن نشان دهنده آدرس شبکه و بخش آخر به آدرس میزبان تعلق دارد
بطور مثال IP 192.168.10.20 عدد 192.168.10 به آدرس شبکه و 20 به آدرس میزبان تعلق دارد
در آدرس دهی کلاس C , سومین بیت صفر میباشد

11011111 = 128 + 64+ 0+ 16+ 8+ 4 + 2+ 1 = 223

 

کلاس D
آدرس کلاس D برای Multicasting استفاده میشود
بدلیل اینکه این آدرس رزو شده است بهمین دلیل از بحث درباره آن خوداری میکنیم
در کلاس D چهارمین بیت صفر میباشد

11101111= 128+64+32+0+8+4+2+1=239

Multicasting
فرایند ارسال یک پیام,همزمان به بیش از یک مقصد در شبکه را گویند

کلاس E
آدرسهای کلاس E برای research and Development استفاده میشود

Router RIP

پیکربندی RIP
RIP در پروتکل Distant vector میباشد و برای شبکه های کوچک پیکربندی میشود و برای شبکه هایی که بصورت مستقیم به روتر وصل باشد  پیکربندی میشود

هر مسیرگردان در یک شبکه جدول مسیریابی خود را هر 30 ثانیه یک بار از طریق RIP به نزدیکترین همسایگی خود ارسال میکند.مسیریابی تحت RIP از طریق تعداد گامهای بین مبداو مقصد تعیین میشود.RIP پروتکلی برای پلهای ارتباطی داخلی است چون RIP موثرترین پروتکل مسیریابی نیست به تدریج توسط پروتکل OSPF جایگزین میشود

دو version در RIP موجود میباشد, RIPV1 , RIPV2

RIPV1                            RIPV2
classful                      classless
no authentication        authentication
no encription              encription

classful به معنی استفاده از default subnet mask میباشد
classless به معنی استفاده از customize subnet mask میباشد

             

 

RA>en
RA#config t
RA(config)#int e0
RA(config-if)#ip address 192.168.10.1 255.255.255.0
RA(config-if)#no shut
RA(config-if)#^z
RA(config)#wr

RA#config t
RA(config)#int s0
RA(config-if)#ip address 120.120.120.1 255.0.0.0
RA(config-if)#clock rate 64000
RA(config-if)#no shut
RA(config-if)#^z
RA(config)#wr

RA(config)#router rip
RA(config-router)#network 192.168.10.0
RA(config-router)#network 120.0.0.0


RB>en
RB#config t
RB(config)#int e0
RB(config-if)#ip address 192.168.20.1 255.255.255.0
RB(config-if)#no shut
RB(config-if)#^z
RB(config)#wr
RB#config t
RB(config)#int s1
RB(config-if)#ip address 120.120.120.2 255.0.0.0
RB(config-if)#clock rate 64000
RB(config-if)#no shut
RB(config-if)#^z
RB(config)#wr
RB#config t
RB(config)#int s0
RB(config-if)#ip address 150.150.150.1 255.255.0.0
RB(config-if)#clock rate 64000
RB(config-if)#no shut
RB(config-if)#^z
RB(config)#wr

RB(config)#router rip
RB(config-router)#network 192.168.20.0
RB(config-router)#network 120.0.0.0
RB(config-router)#network 150.150.0.0.0

RC>en
RC#config t
RC(config)#int e0
RC(config-if)#ip add 192.168.30.1 255.255.255.0
RC(config-if)#no shut
Rc(config-if)#^z
RC(config)#wr

RC#config t
RC(config)#int s0
RC(config-if)#ip add 150.150.150.2 255.255.0.0
RC(config-if)#clock rate 64000
RC(config-if)#no shut
RC(config-if)#^z
RC(config)#wr

RC(config)#router rip
RC(config-router)#network 192.168.30.0
RC(config-router)#network 150.150.0.0

امنیت در شبکه های بی سیم (بخش هفتم) : ضعف های اولیه ی امنیتی WEP

  در قسمت‌های قبل به سرویس‌های امنیتی استاندارد 802.11 پرداختیم. در ضمنِ ذکر هریک از سرویس‌ها، سعی کردیم به ضعف‌های هریک اشاره‌یی داشته باشیم. در این قسمت به بررسی ضعف‌های تکنیک‌های امنیتی پایه‌ی استفاده شده در این استاندارد می‌پردازیم.

 

    همان‌گونه که گفته شد، عملاً پایه‌ی امنیت در استاندارد 802.11 بر اساس پروتکل WEP استوار است. WEP در حالت استاندارد بر اساس کلیدهای ۴۰ بیتی برای رمزنگاری توسط الگوریتم RC4 استفاده می‌شود، هرچند که برخی از تولیدکننده‌گان نگارش‌های خاصی از WEP را با کلیدهایی با تعداد بیت‌های بیش‌تر پیاده‌سازی کرده‌اند.

 

    نکته‌یی که در این میان اهمیت دارد قائل شدن تمایز میان نسبت بالارفتن امنیت و اندازه‌ی کلیدهاست. با وجود آن که با بالارفتن اندازه‌ی کلید (تا ۱۰۴ بیت) امنیت بالاتر می‌رود، ولی از آن‌جاکه این کلیدها توسط کاربران و بر اساس یک کلمه‌ی عبور تعیین می‌شود، تضمینی نیست که این اندازه تماماً استفاده شود. از سوی دیگر همان‌طور که در قسمت‌های پیشین نیز ذکر شد، دست‌یابی به این کلیدها فرایند چندان سختی نیست، که در آن صورت دیگر اندازه‌ی کلید اهمیتی ندارد.

 

    متخصصان امنیت بررسی‌های بسیاری را برای تعیین حفره‌های امنیتی این استاندارد انجام داده‌اند که در این راستا خطراتی که ناشی از حملاتی متنوع، شامل حملات غیرفعال و فعال است، تحلیل شده است.

 

    حاصل بررسی‌های انجام شده فهرستی از ضعف‌های اولیه‌ی این پروتکل است :

 

۱. استفاده از کلیدهای ثابت WEP

    یکی از ابتدایی‌ترین ضعف‌ها که عموماً در بسیاری از شبکه‌های محلی بی‌سیم وجود دارد استفاده از کلیدهای مشابه توسط کاربران برای مدت زمان نسبتاً زیاد است. این ضعف به دلیل نبود یک مکانیزم مدیریت کلید رخ می‌دهد. برای مثال اگر یک کامپیوتر کیفی یا جیبی که از یک کلید خاص استفاده می‌کند به سرقت برود یا برای مدت زمانی در دست‌رس نفوذگر باشد، کلید آن به‌راحتی لو رفته و با توجه به تشابه کلید میان بسیاری از ایستگاه‌های کاری عملاً استفاده از تمامی این ایستگاه‌ها ناامن است.

    از سوی دیگر با توجه به مشابه بودن کلید، در هر لحظه کانال‌های ارتباطی زیادی توسط یک حمله نفوذپذیر هستند.

 

۲. Initialization Vector (IV)

این بردار که یک فیلد ۲۴ بیتی است در قسمت قبل معرفی شده است. این بردار به صورت متنی ساده فرستاده می شود. از آن‌جایی‌که کلیدی که برای رمزنگاری مورد استفاده قرار می‌گیرد بر اساس IV تولید می شود، محدوده‌ی IV عملاً نشان‌دهنده‌ی احتمال تکرار آن و در نتیجه احتمال تولید کلیدهای مشابه است. به عبارت دیگر در صورتی که IV کوتاه باشد در مدت زمان کمی می‌توان به کلیدهای مشابه دست یافت.

    این ضعف در شبکه‌های شلوغ به مشکلی حاد مبدل می‌شود. خصوصاً اگر از کارت شبکه‌ی استفاده شده مطمئن نباشیم. بسیاری از کارت‌های شبکه از IVهای ثابت استفاده می‌کنند و بسیاری از کارت‌های شبکه‌ی یک تولید کننده‌ی واحد IVهای مشابه دارند. این خطر به‌همراه ترافیک بالا در یک شبکه‌ی شلوغ احتمال تکرار IV در مدت زمانی کوتاه را بالاتر می‌برد و در نتیجه کافی‌ست نفوذگر در مدت زمانی معین به ثبت داده‌های رمز شده‌ی شبکه بپردازد و IVهای بسته‌های اطلاعاتی را ذخیره کند. با ایجاد بانکی از IVهای استفاده شده در یک شبکه‌ی شلوغ احتمال بالایی برای نفوذ به آن شبکه در مدت زمانی نه چندان طولانی وجود خواهد داشت.

 

۳. ضعف در الگوریتم

    از آن‌جایی‌که IV در تمامی بسته‌های تکرار می‌شود و بر اساس آن کلید تولید می‌شود، نفوذگر می‌تواند با تحلیل و آنالیز تعداد نسبتاً زیادی از IVها و بسته‌های رمزشده بر اساس کلید تولید شده بر مبنای آن IV، به کلید اصلی دست پیدا کند. این فرایند عملی زمان بر است ولی از آن‌جاکه احتمال موفقیت در آن وجود دارد لذا به عنوان ضعفی برای این پروتکل محسوب می‌گردد.

 

۴. استفاده از CRC رمز نشده

    در پروتکل WEP، کد CRC رمز نمی‌شود. لذا بسته‌های تأییدی که از سوی نقاط دست‌رسی بی‌سیم به‌سوی گیرنده ارسال می‌شود بر اساس یک CRC رمزنشده ارسال می‌گردد و تنها در صورتی که نقطه‌ی دست‌رسی از صحت بسته اطمینان حاصل کند تأیید آن را می‌فرستد. این ضعف این امکان را فراهم می‌کند که نفوذگر برای رمزگشایی یک بسته، محتوای آن را تغییر دهد و CRC را نیز به دلیل این که رمز نشده است، به‌راحتی عوض کند و منتظر عکس‌العمل نقطه‌ی دست‌رسی بماند که آیا بسته‌ی تأیید را صادر می کند یا خیر.

 

    ضعف‌های بیان شده از مهم‌ترین ضعف‌های شبکه‌های بی‌سیم مبتنی بر پروتکل WEP هستند. نکته‌یی که در مورد ضعف‌های فوق باید به آن اشاره کرد این است که در میان این ضعف‌ها تنها یکی از آن‌ها (مشکل امنیتی سوم) به ضعف در الگوریتم رمزنگاری باز می‌گردد و لذا با تغییر الگوریتم رمزنگاری تنها این ضعف است که برطرف می‌گردد و بقیه‌ی مشکلات امنیتی کماکان به قوت خود باقی هستند.

 

    جدول زیر ضعف‌های امنیتی پروتکل WEP را به‌اختصار جمع‌بندی کرده  است :

 

در قسمت‌های آتی به بررسی خطرهای ناشی از این ضعف‌ها و نیازهای امنیتی در شبکه‌های بی‌سیم می‌پردازیم.

امنیت در شبکه های بی سیم (بخش ششم): سرویس های امنیتی 802.11b – Privacy و Integrity

 در قسمت قبل به سرویس اول از سرویس‌های امنیتی 802.11b پرداختیم. این قسمت به بررسی دو سرویس دیگر اختصاص دارد. سرویس اول Privacy  (محرمانه‌گی) و  سرویس دوم Integrity است.

 

Privacy

    این سرویس که در حوزه‌های دیگر امنیتی اغلب به عنوان Confidentiality از آن یاد می‌گردد به‌معنای حفظ امنیت و محرمانه نگاه‌داشتن اطلاعات کاربر یا گره‌های در حال تبادل اطلاعات با یکدیگر است. برای رعایت محرمانه‌گی عموماً از تکنیک‌های رمزنگاری استفاده می‌گردد، به‌گونه‌یی‌که در صورت شنود اطلاعات در حال تبادل، این اطلاعات بدون داشتن کلیدهای رمز، قابل رمزگشایی نبوده و لذا برای شنودگر غیرقابل سوء استفاده است.

 

    در استاندارد 802.11b، از تکنیک‌های رمزنگاری WEP استفاده می‌گردد که برپایه‌ی RC4 است. RC4 یک الگوریتم رمزنگاری متقارن است که در آن یک رشته‌ی نیمه تصادفی تولید می‌گردد و توسط آن کل داده رمز می‌شود. این رمزنگاری بر روی تمام بسته‌ی اطلاعاتی پیاده می‌شود. به‌بیان دیگر داده‌های تمامی لایه‌های بالای اتصال بی‌سیم نیز توسط این روش رمز می‌گردند، از IP گرفته تا لایه‌های بالاتری مانند HTTP. از آنجایی که این روش عملاً اصلی‌ترین بخش از اعمال سیاست‌های امنیتی در شبکه‌های محلی  بی‌سیم مبتنی بر استاندارد 802.11b است، معمولاً به کل پروسه‌ی امن‌سازی اطلاعات در این استاندارد به‌اختصار WEP گفته می‌شود.

 

 

    کلیدهای WEP اندازه‌هایی از ۴۰ بیت تا ۱۰۴ بیت می‌توانند داشته باشند. این کلیدها با IV (مخفف Initialization Vector یا بردار اولیه ) ۲۴ بیتی ترکیب شده و یک کلید ۱۲۸ بیتی RC4 را تشکیل می‌دهند. طبیعتاً هرچه اندازه‌ی کلید بزرگ‌تر باشد امنیت اطلاعات بالاتر است. تحقیقات نشان می‌دهد که استفاده از کلیدهایی با اندازه‌ی ۸۰ بیت یا بالاتر عملاً استفاده از تکنیک brute-force را برای شکستن رمز غیرممکن می‌کند. به عبارت دیگر تعداد کلیدهای ممکن برای اندازه‌ی ۸۰ بیت (که تعدد آن‌ها از مرتبه‌ی ۲۴  است) به اندازه‌یی بالاست که قدرت پردازش سیستم‌های رایانه‌یی کنونی برای شکستن کلیدی مفروض در زمانی معقول کفایت نمی‌کند.

 

    هرچند که در حال حاضر اکثر شبکه‌های محلی بی‌سیم از کلیدهای ۴۰ بیتی برای رمزکردن بسته‌های اطلاعاتی استفاده می‌کنند ولی نکته‌یی که اخیراً، بر اساس یک سری آزمایشات به دست آمده است، این‌ست که روش تأمین محرمانه‌گی توسط WEP در مقابل حملات دیگری، غیر از استفاده از روش brute-force، نیز آسیب‌پذیر است و این آسیب‌پذیری ارتباطی به اندازه‌ی کلید استفاده شده ندارد.

 

    نمایی از روش استفاده شده توسط WEP برای تضمین محرمانه‌گی در شکل زیر نمایش داده شده است :

 

 

Integrity

    مقصود از Integrity صحت اطلاعات در حین تبادل است و سیاست‌های امنیتی‌یی که Integrity را تضمین می‌کنند روش‌هایی هستند که امکان تغییر اطلاعات در حین تبادل را به کم‌ترین میزان تقلیل می‌دهند.

 

    در استاندارد 802.11b نیز سرویس و روشی استفاده می‌شود که توسط آن امکان تغییر اطلاعات در حال تبادل میان مخدوم‌های بی‌سیم و نقاط دست‌رسی کم می‌شود. روش مورد نظر استفاده از یک کد CRC است. همان‌طور که در شکل قبل نیز نشان داده شده است، یک CRC-32 قبل از رمزشدن بسته تولید می‌شود. در سمت گیرنده، پس از رمزگشایی، CRC داده‌های رمزگشایی شده مجدداً محاسبه شده و با CRC نوشته شده در بسته مقایسه می‌گردد که هرگونه اختلاف میان دو CRC به‌معنای تغییر محتویات بسته در حین تبادل است. متأسفانه این روش نیز مانند روش رمزنگاری توسط RC4، مستقل از اندازه‌ی کلید امنیتی مورد استفاده، در مقابل برخی از حملات شناخته شده آسیب‌پذیر است.

 

    متأسفانه استاندارد 802.11b هیچ مکانیزمی برای مدیریت کلیدهای امنیتی ندارد و عملاً تمامی عملیاتی که برای حفظ امنیت کلیدها انجام می‌گیرد باید توسط کسانی که شبکه‌ی بی‌سیم را نصب می‌کنند به‌صورت دستی پیاده‌سازی گردد. از آنجایی که این بخش از امنیت یکی از معضل‌های اساسی در مبحث رمزنگاری است، با این ضعف عملاً روش‌های متعددی برای حمله به شبکه‌های بی‌سیم قابل تصور است. این روش‌ها معمولاً بر سهل انگاری‌های انجام‌شده از سوی کاربران و مدیران شبکه مانند تغییرندادن کلید به‌صورت مداوم، لودادن کلید، استفاده از کلیدهای تکراری یا کلیدهای پیش فرض کارخانه و دیگر بی توجهی ها نتیجه یی جز درصد نسبتاً بالایی از حملات موفق به شبکه‌های بی‌سیم ندارد. این مشکل از شبکه‌های بزرگ‌تر بیش‌تر خود را نشان می‌دهد. حتا با فرض تلاش برای جلوگیری از رخ‌داد چنین سهل‌انگاری‌هایی، زمانی که تعداد مخدوم‌های شبکه از حدی می‌گذرد عملاً کنترل‌کردن این تعداد بالا بسیار دشوار شده و گه‌گاه خطاهایی در گوشه و کنار این شبکه‌ی نسبتاً بزرگ رخ می دهد که همان باعث رخنه در کل شبکه می‌شود.

 

    در قسمت بعد به مشکلات و ضعف‌هایی که سرویس‌های امنیتی در استاندارد 802.11b دارند می‌پردازیم.  

 

امنیت در شبکه های بی سیم (بخش پنجم): سرویس‌های امنیتی WEP - Authentication

 در قسمت قبل به معرفی پروتکل WEP که عملاً تنها روش امن‌سازی ارتباطات در شبکه‌های بی‌سیم بر مبنای استاندارد 802.11 است پرداختیم و در ادامه سه سرویس اصلی این پروتکل را معرفی کردیم.

    در این قسمت به معرفی سرویس اول، یعنی Authentication، می‌پردازیم.

 

Authentication

    استاندارد 802.11 دو روش برای احراز هویت کاربرانی که درخواست اتصال به شبکه‌ی بی‌سیم را به نقاط دسترسی ارسال می‌کنند، دارد که یک روش بر مبنای رمزنگاری‌ست و دیگری از رمزنگاری استفاده نمی‌کند.

 

    شکل زیر شَمایی از فرایند Authentication را در این شبکه‌ها نشان می‌دهد :

 

 

    همان‌گونه که در شکل نیز نشان داده شده است، یک روش از رمزنگاری RC4 استفاده می‌کند و روش دیگر از هیچ تکنیک رمزنگاری‌یی استفاده نمی‌کند.

 

Authentication بدون رمزنگاری

    در روشی که مبتنی بر رمزنگاری نیست، دو روش برای تشخیص هویت مخدوم وجود دارد. در هر دو روش مخدومِ متقاضی پیوستن به شبکه، درخواست ارسال هویت از سوی نقطه‌ی دسترسی را با پیامی حاوی یک SSID (Service Set Identifier) پاسخ می‌دهد.

 

    در روش اول که به Open System Authentication موسوم است، یک SSID خالی نیز برای دریافت اجازه‌ی اتصال به شبکه کفایت می‌کند. در واقع در این روش تمامی مخدوم‌هایی که تقاضای پیوستن به شبکه را به نقاط دسترسی ارسال می‌کنند با پاسخ مثبت روبه‌رو می‌شوند و تنها آدرس آن‌ها توسط نقطه‌ی دسترسی نگاه‌داری می‌شود. به‌همین دلیل به این روش NULL Authentication نیز اطلاق می‌شود.

 

    در روش دوم از این نوع، بازهم یک SSID به نقطه‌ی دسترسی ارسال می‌گردد با این تفاوت که اجازه‌ی اتصال به شبکه تنها در صورتی از سوی نقطه‌ی دسترسی صادر می‌گردد که SSIDی ارسال شده جزو SSIDهای مجاز برای دسترسی به شبکه باشند. این روش به Closed System Authentication موسوم است.

 

    نکته‌یی که در این میان اهمیت بسیاری دارد، توجه به سطح امنیتی‌ست که این روش در اختیار ما می‌گذارد. این دو روش عملاً روش امنی از احراز هویت را ارایه نمی‌دهند و عملاً تنها راهی برای آگاهی نسبی و نه قطعی از هویت درخواست‌کننده هستند. با این وصف از آن‌جایی‌که امنیت در این حالات تضمین شده نیست و معمولاً حملات موفق بسیاری، حتی توسط نفوذگران کم‌تجربه و مبتدی، به شبکه‌هایی که بر اساس این روش‌ها عمل می‌کنند، رخ می‌دهد، لذا این دو روش تنها در حالتی کاربرد دارند که یا شبکه‌یی در حال ایجاد است که حاوی اطلاعات حیاتی نیست، یا احتمال رخداد حمله به آن بسیار کم است. هرچند که با توجه پوشش نسبتاً گسترده‌ی یک شبکه‌ی بی‌سیم – که مانند شبکه‌های سیمی امکان محدودسازی دسترسی به صورت فیزیکی بسیار دشوار است – اطمینان از شانس پایین رخ‌دادن حملات نیز خود تضمینی ندارد!

 

Authentication با رمزنگاری RC4

    این روش که به روش «کلید مشترک» نیز موسوم است، تکنیکی کلاسیک است که بر اساس آن، پس از اطمینان از اینکه مخدوم از کلیدی سری آگاه است، هویتش تأیید می‌شود. شکل زیر این روش را نشان می‌دهد :

 

 

    در این روش، نقطه‌ی دسترسی (AP) یک رشته‌ی تصادفی تولید کرده و آن‌را به مخدوم می‌فرستد. مخدوم این رشته‌ی تصادفی را با کلیدی از پیش تعیین شده (که کلید WEP نیز نامیده می‌شود) رمز می‌کند و حاصل را برای نقطه‌ی دسترسی ارسال می‌کند. نقطه‌ی دسترسی به روش معکوس پیام دریافتی را رمزگشایی کرده و با رشته‌ی ارسال شده مقایسه می‌کند. در صورت هم‌سانی این دو پیام، نقطه‌ی دسترسی از اینکه مخدوم کلید صحیحی را در اختیار دارد اطمینان حاصل می‌کند. روش رمزنگاری و رمزگشایی در این تبادل روش RC4 است.

 

    در این میان با فرض اینکه رمزنگاری RC4 را روشی کاملاً مطمئن بدانیم، دو خطر در کمین این روش است :

الف) در این روش تنها نقطه‌ی دسترسی‌ست که از هویت مخدوم اطمینان حاصل می‌کند. به بیان دیگر مخدوم هیچ دلیلی در اختیار ندارد که بداند نقطه‌ی دسترسی‌یی که با آن در حال تبادل داده‌های رمزی‌ست نقطه‌ی دسترسی اصلی‌ست.

 

ب) تمامی روش‌هایی که مانند این روش بر پایه‌ی سئوال و جواب بین دو طرف، با هدف احراز هویت یا تبادل اطلاعات حیاتی، قرار دارند با حملاتی تحت عنوان man-in-the-middle در خطر هستند. در این دسته از حملات نفوذگر میان دو طرف قرار می‌گیرد و به‌گونه‌یی هریک از دو طرف را گمراه می‌کند.

 

    در قسمت بعد به سرویس‌های دیگر پروتکل WEP می‌پردازیم.

امنیت در شبکه های بی سیم (بخش چهارم): امنیت در شبکه های محلی بر اساس استاندارد 802.11

پس از آن‌که در سه قسمت قبل به مقدمه‌یی در مورد شبکه‌های بی‌سیم محلی و عناصر آن‌ها پرداختیم، از این قسمت بررسی روش‌ها و استانداردهای امن‌سازی شبکه‌های محلی بی‌سیم مبتنی بر استاندارد IEEE 802.11 را آغاز می‌کنیم. با طرح قابلیت‌های امنیتی این استاندارد، می‌توان از محدودیت‌های آن آگاه شد و این استاندارد و کاربرد را برای موارد خاص و مناسب مورد استفاده قرار داد.

    استاندارد 802.11 سرویس‌های مجزا و مشخصی را برای تأمین یک محیط امن بی‌سیم در اختیار قرار می‌دهد.  این سرویس‌ها اغلب توسط پروتکل WEP (Wired Equivalent Privacy) تأمین می‌گردند و  وظیفه‌ی آن‌ها امن‌سازی ارتباط میان مخدوم‌ها و نقاط دسترسی بی‌سیم است. درک لایه‌یی که این پروتکل به امن‌سازی آن می‌پردازد اهمیت ویژه‌یی دارد، به عبارت دیگر این پروتکل کل ارتباط را امن نکرده و به لایه‌های دیگر، غیر از لایه‌ی ارتباطی بی‌سیم که مبتنی بر استاندارد 802.11 است، کاری ندارد. این بدان معنی است که استفاده از WEP در یک شبکه‌ی بی‌سیم به‌معنی استفاده از قابلیت درونی استاندارد شبکه‌های محلی بی‌سیم است و ضامن امنیت کل ارتباط نیست زیرا امکان قصور از دیگر اصول امنیتی در سطوح بالاتر ارتباطی وجود دارد.

 

 

    شکل بالا محدوده‌ی عمل کرد استانداردهای امنیتی 802.11 (خصوصاً WEP) را نشان می‌دهد.

 

 قابلیت‌ها و ابعاد امنیتی استاندارد 802.11  

 

    در حال حاضر عملاً تنها پروتکلی که امنیت اطلاعات و ارتباطات را در شبکه‌های بی‌سیم بر اساس استاندارد 802.11 فراهم می‌کند WEP است. این پروتکل با وجود قابلیت‌هایی که دارد، نوع استفاده از آن همواره امکان نفوذ به شبکه‌های بی‌سیم را به نحوی، ولو سخت و پیچیده، فراهم می‌کند. نکته‌یی که باید به‌خاطر داشت این‌ست که اغلب حملات موفق صورت گرفته در مورد شبکه‌های محلی بی‌سیم، ریشه در پیکربندی ناصحیح WEP در شبکه دارد. به عبارت دیگر این پروتکل در صورت پیکربندی صحیح درصد بالایی از حملات را ناکام می‌گذارد، هرچند که فی‌نفسه دچار نواقص و ایرادهایی نیز هست.

    بسیاری از حملاتی که بر روی شبکه‌های بی‌سیم انجام می‌گیرد از سویی است که نقاط دسترسی با شبکه‌ی سیمی دارای اشتراک هستند. به عبارت دیگر نفوذگران بعضاً با استفاده از راه‌های ارتباطی دیگری که بر روی مخدوم‌ها و سخت‌افزارهای بی‌سیم، خصوصاً مخدوم‌های بی‌سیم، وجود دارد، به شبکه‌ی بی‌سیم نفوذ می‌کنند که این مقوله نشان دهنده‌ی اشتراکی هرچند جزءیی میان امنیت در شبکه‌های سیمی و بی‌سیم‌یی‌ست که از نظر ساختاری و فیزیکی با یکدیگر اشتراک دارند.

 

    سه قابلیت و سرویس پایه توسط IEEE برای شبکه‌های محلی بی‌سیم تعریف می‌گردد :

 

·         Authentication

    هدف اصلی WEP ایجاد امکانی برای احراز هویت مخدوم بی‌سیم است. این عمل که در واقع کنترل دست‌رسی به شبکه‌ی بی‌سیم است. این مکانیزم سعی دارد که امکان اتصال مخدوم‌هایی را که مجاز نیستند به شبکه متصل شوند از بین ببرد.

 

·         Confidentiality

    محرمانه‌گی هدف دیگر WEP است. این بُعد از سرویس‌ها و خدمات WEP با هدف ایجاد امنیتی در حدود سطوح شبکه‌های سیمی طراحی شده است. سیاست این بخش از WEP جلوگیری از سرقت اطلاعات در حال انتقال بر روی شبکه‌ی محلی بی‌سیم است.

 

·         Integrity

    هدف سوم از سرویس‌ها و قابلیت‌های WEP طراحی سیاستی است که تضمین کند پیام‌ها و اطلاعات در حال تبادل در شبکه، خصوصاً میان مخدوم‌های بی‌سیم و نقاط دسترسی، در حین انتقال دچار تغییر نمی‌گردند. این قابلیت در تمامی استانداردها، بسترها و شبکه‌های ارتباطاتی دیگر نیز کم‌وبیش وجود دارد.

 

    نکته‌ی مهمی که در مورد سه سرویس WEP وجود دارد نبود سرویس‌های معمول Auditing و Authorization در میان سرویس‌های ارایه شده توسط این پروتکل است.

 

    در قسمت‌های بعدی از بررسی امنیت در شبکه‌های محلی بی‌سیم به بررسی هریک از این سه سرویس می‌پردازیم.

 

امنیت در شبکه های بی سیم (بخش سوم): عناصر فعال و سطح پوشش WLAN

عناصر فعال شبکه‌های محلی بی‌سیم

 

    در شبکه‌های محلی بی‌سیم معمولاً دو نوع عنصر فعال وجود دارد :

 

-        ایستگاه بی سیم

    ایستگاه یا مخدوم بی‌سیم به طور معمول یک کامپیوتر کیفی یا یک ایستگاه کاری ثابت است که توسط یک کارت شبکه‌ی بی‌سیم به شبکه‌ی محلی متصل می‌شود. این ایستگاه می‌تواند از سوی دیگر یک کامپیوتر جیبی یا حتی یک پویش گر بارکد نیز باشد. در برخی از کاربردها برای این‌که استفاده از سیم در پایانه‌های رایانه‌یی برای طراح و مجری دردسر‌ساز است، برای این پایانه‌ها که معمولاً در داخل کیوسک‌هایی به‌همین منظور تعبیه می‌شود، از امکان اتصال بی‌سیم به شبکه‌ی محلی استفاده می‌کنند. در حال حاضر اکثر کامپیوترهای کیفی موجود در بازار به این امکان به‌صورت سرخود مجهز هستند و نیازی به اضافه‌کردن یک کارت شبکه‌ی بی‌سیم نیست.

    کارت‌های شبکه‌ی بی‌سیم عموماً برای استفاده در چاک‌های PCMCIA است. در صورت نیاز به استفاده از این کارت‌ها برای کامپیوترهای رومیزی و شخصی، با استفاده از رابطی این کارت‌ها را بر روی چاک‌های گسترش PCI نصب می‌کنند.

 

-        نقطه ی دسترسی

    نقاط دسترسی در شبکه‌های بی‌سیم، همان‌گونه که در قسمت‌های پیش نیز در مورد آن صحبت شد، سخت افزارهای فعالی هستند که عملاً نقش سوییچ در شبکه‌های بی‌سیم را بازی‌کرده، امکان اتصال به شبکه های سیمی را نیز دارند. در عمل ساختار بستر اصلی شبکه عموماً سیمی است و توسط این نقاط دسترسی، مخدوم‌ها و ایستگاه‌های بی‌سیم به شبکه‌ی سیمی اصلی متصل می‌گردد.

 

برد و سطح پوشش

 

    شعاع پوشش شبکه‌ی بی‌سیم بر اساس استاندارد 802.11 به فاکتورهای بسیاری بسته‌گی دارد که برخی از آن‌ها به شرح زیر هستند :

 

-        پهنای باند مورد استفاده

-        منابع امواج ارسالی و محل قرارگیری فرستنده‌ها و گیرنده‌ها

-        مشخصات فضای قرارگیری و نصب تجهیزات شبکه‌ی بی‌سیم

-        قدرت امواج

-        نوع و مدل آنتن

 

    شعاع پوشش از نظر تئوری بین ۲۹متر (برای فضاهای بسته‌ی داخلی) و ۴۸۵متر (برای فضاهای باز) در استاندارد 802.11b متغیر است. با این‌وجود این مقادیر، مقادیری متوسط هستند و در حال حاضر با توجه به گیرنده‌ها و فرستنده‌های نسبتاً قدرت‌مندی که مورد استفاده قرار می‌گیرند، امکان استفاده از این پروتکل و گیرنده‌ها و فرستنده‌های آن، تا چند کیلومتر هم وجود دارد که نمونه‌های عملی آن فراوان‌اند.

 

    با این وجود شعاع کلی‌یی که برای استفاده از این پروتکل (802.11b) ذکر می‌شود چیزی میان ۵۰ تا ۱۰۰متر است. این شعاع عمل‌کرد مقداری‌ست که برای محل‌های بسته و ساختمان‌های چند طبقه نیز معتبر بوده و می‌تواند مورد استناد قرار گیرد.

 

    شکل زیر مقایسه‌یی میان بردهای نمونه در کاربردهای مختلف شبکه‌های بی‌سیم مبتنی بر پروتکل 802.11b را نشان می‌دهد :

 

 

    یکی از عمل‌کردهای نقاط دسترسی به عنوان سوییچ‌های بی‌سیم، عمل اتصال میان حوزه‌های بی‌سیم است. به‌عبارت دیگر با استفاده از چند سوییچ بی‌سیم می‌توان عمل‌کردی مشابه Bridge برای شبکه‌های بی‌سیم را به‌دست‌ آورد.

 

    اتصال میان نقاط دست‌رسی می‌تواند به صورت نقطه‌به‌نقطه، برای ایجاد اتصال میان دو زیرشبکه به یکدیگر، یا به صورت نقطه‌یی به چند نقطه یا بالعکس برای ایجاد اتصال میان زیرشبکه‌های مختلف به یکدیگر به‌صورت همزمان صورت گیرد.

 

    نقاط دسترسی‌یی که به عنوان پل ارتباطی میان شبکه‌های محلی با یکدیگر استفاده می‌شوند از قدرت بالاتری برای ارسال داده استفاده می‌کنند و این به‌معنای شعاع پوشش بالاتر است. این سخت‌افزارها معمولاً برای ایجاد اتصال میان نقاط و ساختمان‌هایی به‌کار می‌روند که فاصله‌ی آن‌ها از یکدیگر بین ۱ تا ۵ کیلومتر است. البته باید توجه داشت که این فاصله، فاصله‌یی متوسط بر اساس پروتکل 802.11b است. برای پروتکل‌های دیگری چون 802.11a می‌توان فواصل بیشتری را نیز به‌دست آورد.

 

    شکل زیر نمونه‌یی از ارتباط نقطه به نقطه با استفاده از نقاط دست‌رسی مناسب را نشان می‌دهد :

 

 

 

 

    از دیگر استفاده‌های نقاط دسترسی با برد بالا می‌توان به امکان توسعه‌ی شعاع پوشش شبکه های بی‌سیم اشاره کرد. به عبارت دیگر برای بالابردن سطح تحت پوشش یک شبکه‌ی بی‌سیم، می‌توان از چند نقطه‌ی دست‌رسی بی‌سیم به‌صورت همزمان و پشت به پشت یکدیگر استفاده کرد. به عنوان نمونه در مثال بالا می‌توان با استفاده از یک فرستنده‌ی دیگر در بالای هریک از ساختمان‌ها، سطح پوشش شبکه را تا ساختمان‌های دیگر گسترش داد.

 

    در قسمت بعد به مزایای معمول استفاده از شبکه‌های محلی بی‌سیم و ذکر مقدماتی در مورد روش‌های امن سازی این شبکه‌ها می‌پردازیم.

امنیت در شبکه های بی سیم(بخش دوم): شبکه‌های محلی بی‌سیم

در این قسمت، به‌عنوان بخش دوم از بررسی‌ امنیت در شبکه‌های بی‌سیم، به مرور کلی‌ شبکه‌های محلی‌ بی‌سیم می‌پردازیم. اطلاع از ساختار و روش عمل‌کرد این شبکه‌ها، حتی به صورت جزءیی، برای بررسی امنیتی لازم به‌نظر می‌رسد.

 

پیشینه

    تکنولوژی و صنعت WLAN به اوایل دهه‌ی ۸۰ میلادی باز می‌گردد. مانند هر تکنولوژی دیگری، پیشرفت شبکه‌های محلی‌ بی‌سیم به کندی صورت می‌پذیرفت. با ارایه‌ی استاندارد IEEE 802.11b، که پهنای باند نسبتاً بالایی را برای شبکه‌های محلی امکان‌پذیر می‌ساخت، استفاده از این تکنولوژی وسعت بیشتری یافت. در حال حاضر، مقصود از WLAN تمامی پروتکل‌ها و استانداردهای خانواده‌ی IEEE 802.11 است. جدول زیر اختصاصات این دسته از استانداردها را به صورت کلی نشان می‌دهد

 

 

   اولین شبکه‌ی محلی بی‌سیم تجاری توسط Motorola پیاده‌سازی شد. این شبکه، به عنوان یک نمونه از این شبکه‌ها، هزینه‌یی بالا و پهنای باندی پایین را تحمیل می‌کرد که ابداً مقرون به‌صرفه نبود. از همان زمان به بعد، در اوایل دهه‌ی ۹۰ میلادی، پروژه‌ی استاندارد 802.11 در IEEE شروع شد. پس از نزدیک به ۹ سال کار، در سال ۱۹۹۹ استانداردهای 802.11a و 802.11b توسط IEEE نهایی شده و تولید محصولات بسیاری بر پایه‌ی این استانداردها آغاز شد. نوع a، با استفاده از فرکانس حامل 5GHz، پهنای باندی تا 54Mbps را فراهم می‌کند. در حالی‌که نوع b با استفاده از فرکانس حامل 2.4GHz، تا 11Mbps پهنای باند را پشتیبانی می‌کند. با این وجود تعداد کانال‌های قابل استفاده در نوع b در مقایسه با نوع a، بیش‌تر است. تعداد این کانال‌ها، با توجه به کشور مورد نظر، تفاوت می‌کند. در حالت معمول، مقصود از WLAN استاندارد 802.11b است.

 

    استاندارد دیگری نیز به‌تاز‌ه‌گی توسط IEEE معرفی شده است که به 802.11g شناخته می‌شود. این استاندارد بر اساس فرکانس حامل 2.4GHz عمل می‌کند ولی با استفاده از روش‌های نوینی می‌تواند پهنای باند قابل استفاده را تا 54Mbps بالا ببرد. تولید محصولات بر اساس این استاندارد، که مدت زیادی از نهایی‌شدن و معرفی آن نمی‌گذرد، بیش از یک‌سال است که آغاز شده و با توجه سازگاری‌ آن با استاندارد 802.11b، استفاده از آن در شبکه‌های بی‌سیم آرام آرام در حال گسترش است.

 

معماری‌ شبکه‌های محلی‌ بی‌سیم

    استاندارد 802.11b به تجهیزات اجازه می‌دهد که به دو روش ارتباط در شبکه برقرار شود. این دو روش عبارت‌اند از برقراری‌ ارتباط به صورت نقطه به نقطه –همان‌گونه در شبکه‌های Ad hoc به‌کار می‌رود- و اتصال به شبکه از طریق نقاط تماس یا دسترسی (AP=Access Point).

 

    معماری‌ معمول در شبکه‌های محلی‌ بی‌سیم بر مبنای استفاده از AP است. با نصب یک AP، عملاً مرزهای یک سلول مشخص می‌شود و با روش‌هایی می‌توان یک سخت‌افزار مجهز به امکان ارتباط بر اساس استاندارد 802.11b را میان سلول‌های مختلف حرکت داد. گستره‌یی که یک AP پوشش می‌دهد را BSS(Basic Service Set) می‌نامند. مجموعه‌ی تمامی سلول‌های یک ساختار کلی‌ شبکه، که ترکیبی از BSSهای شبکه است، را ESS(Extended Service Set) می‌نامند. با استفاده از ESS می‌توان گستره‌ی وسیع‌تری را تحت پوشش شبکه‌ی محلی‌ بی‌سیم درآورد.

 

    در سمت هریک از سخت‌افزارها که معمولاً مخدوم هستند، کارت شبکه‌یی مجهز به یک مودم بی‌سیم قرار دارد که با AP ارتباط را برقرار می‌کند. AP علاوه بر ارتباط با چند کارت شبکه‌ی بی‌سیم، به بستر پرسرعت‌تر شبکه‌ی سیمی مجموعه نیز متصل است و از این طریق ارتباط میان مخدوم‌های مجهز به کارت شبکه‌ی بی‌سیم و شبکه‌ی اصلی برقرار می‌شود. شکل زیر نمایی از این ساختار را نشان می‌دهد :

 

 

    همان‌گونه که گفته شد، اغلب شبکه‌های محلی‌ بی‌سیم بر اساس ساختار فوق، که به نوع Infrastructure نیز موسوم است، پیاده‌سازی می‌شوند. با این وجود نوع دیگری از شبکه‌های محلی‌ بی‌سیم نیز وجود دارند که از همان منطق نقطه‌به‌نقطه استفاده می‌کنند. در این شبکه‌ها که عموماً Ad hoc نامیده می‌شوند یک نقطه‌ی مرکزی‌ برای دسترسی وجود ندارد و سخت‌افزارهای همراه – مانند کامپیوترهای کیفی و جیبی یا گوشی‌های موبایل – با ورود به محدوده‌ی تحت پوشش این شبکه، به دیگر تجهیزات مشابه متصل می‌گردند. این شبکه‌ها به بستر شبکه‌ی سیمی متصل نیستند و به همین منظور IBSS (Independent Basic Service Set) نیز خواند می‌شوند. شکل زیر شمایی ساده از یک شبکه‌ی Ad hoc را نشان می‌دهد : 

 

 

    شبکه‌های Ad hoc از سویی مشابه شبکه‌های محلی‌ درون دفتر کار هستند که در آنها نیازی به تعریف و پیکربندی‌ یک سیستم رایانه‌یی به عنوان خادم وجود ندارد. در این صورت تمامی تجهیزات متصل به این شبکه می‌توانند پرونده‌های مورد نظر خود را با دیگر گره‌ها به اشتراک بگذارند.

 

    در قسمت بعد، به دسته‌بندی‌ اجزای فعال یک شبکه‌ی محلی‌ بی‌سیم پرداخته و شعاع پوشش این دسته از شبکه‌ها را مورد بررسی قرار خواهیم داد.

امنیت در شبکه‌های بی‌سیم

 بخش اول : مقدمه

 

    از آن‌جا که شبکه‌های بی سیم، در دنیای کنونی هرچه بیشتر در حال گسترش هستند، و با توجه به ماهیت این دسته از شبکه‌ها، که بر اساس سیگنال‌های رادیویی‌اند، مهم‌ترین نکته در راه استفاده از این تکنولوژی، آگاهی از نقاط قوت و ضعف آن‌ست. نظر به لزوم آگاهی از خطرات استفاده از این شبکه‌ها، با وجود امکانات نهفته در آن‌ها که به‌مدد پیکربندی صحیح می‌توان به‌سطح قابل قبولی از بعد امنیتی دست یافت، بنا داریم در این سری از مقالات با عنوان «امنیت در شبکه های بی سیم» ضمن معرفی این شبکه‌ها با تأکید بر ابعاد امنیتی آن‌ها، به روش‌های پیکربندی صحیح که احتمال رخ‌داد حملات را کاهش می‌دهند بپردازیم.

 

شبکه‌های بی‌سیم، کاربردها، مزایا و ابعاد

    تکنولوژی شبکه‌های بی‌سیم، با استفاده از انتقال داده‌ها توسط اموج رادیویی، در ساده‌ترین صورت، به تجهیزات سخت‌افزاری امکان می‌دهد تا بدون‌استفاده از بسترهای فیزیکی همچون سیم و کابل، با یکدیگر ارتباط برقرار کنند. شبکه‌های بی‌سیم بازه‌ی وسیعی از کاربردها، از ساختارهای پیچیده‌یی چون شبکه‌های بی‌سیم سلولی -که اغلب برای تلفن‌های همراه استفاده می‌شود- و شبکه‌های محلی بی‌سیم (WLAN – Wireless LAN) گرفته تا انوع ساده‌یی چون هدفون‌های بی‌سیم، را شامل می‌شوند. از سوی دیگر با احتساب امواجی همچون مادون قرمز، تمامی تجهیزاتی که از امواج مادون قرمز نیز استفاده می‌کنند، مانند صفحه کلید‌ها،  ماوس‌ها و برخی از گوشی‌های همراه، در این دسته‌بندی جای می‌گیرند. طبیعی‌ترین مزیت استفاده از این شبکه‌ها عدم نیاز به ساختار فیزیکی و امکان نقل و انتقال تجهیزات متصل به این‌گونه شبکه‌ها و هم‌چنین امکان ایجاد تغییر در ساختار مجازی آن‌هاست. از نظر ابعاد ساختاری، شبکه‌های بی‌سیم به سه دسته تقسیم می‌گردند : WWAN، WLAN و WPAN.

 

    مقصود از WWAN، که مخفف Wireless WAN است، شبکه‌هایی با پوشش بی‌سیم بالاست. نمونه‌یی از این شبکه‌ها، ساختار بی‌سیم سلولی مورد استفاده در شبکه‌های تلفن همراه است.  WLAN پوششی محدودتر، در حد یک ساختمان یا سازمان، و در ابعاد کوچک یک سالن یا تعدادی اتاق، را فراهم می‌کند. کاربرد شبکه‌های WPAN یا Wireless Personal Area Network برای موارد خانه‌گی است. ارتباطاتی چون Bluetooth و مادون قرمز در این دسته قرار می‌گیرند.

 

    شبکه‌های WPAN از سوی دیگر در دسته‌ی شبکه‌های Ad Hoc نیز قرار می‌گیرند. در شبکه‌های Ad hoc، یک سخت‌افزار، به‌محض ورود به فضای تحت پوشش آن، به‌صورت پویا به شبکه اضافه می‌شود. مثالی از این نوع شبکه‌ها، Bluetooth است. در این نوع، تجهیزات مختلفی از جمله صفحه کلید، ماوس، چاپگر، کامپیوتر کیفی یا جیبی و حتی گوشی تلفن همراه، در صورت قرارگرفتن در محیط تحت پوشش، وارد شبکه شده و امکان رد و بدل داده‌ها با دیگر تجهیزات متصل به شبکه را می‌یابند. تفاوت میان شبکه‌های Ad hoc با شبکه‌های محلی بی‌سیم (WLAN) در ساختار مجازی آن‌هاست. به‌عبارت دیگر، ساختار مجازی شبکه‌های محلی بی‌سیم بر پایه‌ی طرحی ایستاست درحالی‌که شبکه‌های Ad hoc از هر نظر پویا هستند. طبیعی‌ست که در کنار مزایایی که این پویایی برای استفاده کننده‌گان فراهم می‌کند، حفظ امنیت چنین شبکه‌هایی نیز با مشکلات بسیاری همراه است. با این وجود، عملاً یکی از راه حل‌های موجود برای افزایش امنیت در این شبکه‌ها، خصوصاً در انواعی همچون Bluetooth، کاستن از شعاع پوشش سیگنال‌های شبکه است. در واقع مستقل از این حقیقت که عمل‌کرد Bluetooth بر اساس فرستنده و گیرنده‌های کم‌توان استوار است و این مزیت در کامپیوترهای جیبی برتری قابل‌توجه‌یی محسوب می‌گردد، همین کمی توان سخت‌افزار مربوطه، موجب وجود منطقه‌ی محدود تحت پوشش است که در بررسی امنیتی نیز مزیت محسوب می‌گردد. به‌عبارت دیگر این مزیت به‌همراه استفاده از کدهای رمز نه‌چندان پیچیده، تنها حربه‌های امنیتی این دسته از شبکه‌ها به‌حساب می‌آیند.

 

منشأ ضعف امنیتی در شبکه‌های بی‌سیم و خطرات معمول

    خطر معمول در کلیه‌ی شبکه‌های بی‌سیم مستقل از پروتکل و تکنولوژی مورد نظر، بر مزیت اصلی این تکنولوژی که همان پویایی ساختار، مبتنی بر استفاده از سیگنال‌های رادیویی  به‌جای سیم و کابل، استوار است. با استفاده از این سیگنال‌ها و در واقع بدون مرز ساختن پوشش ساختار شبکه، نفوذگران قادرند در صورت شکستن موانع امنیتی نه‌چندان قدرت‌مند این شبکه‌ها، خود را به‌عنوان عضوی از این شبکه‌ها جازده و در صورت تحقق این امر، امکان دست‌یابی به اطلاعات حیاتی، حمله به سرویس دهنده‌گان سازمان و مجموعه، تخریب اطلاعات، ایجاد اختلال در ارتباطات گره‌های شبکه با یکدیگر، تولید داده‌های غیرواقعی و گمراه‌کننده، سوءاستفاده از پهنای‌باند مؤثر شبکه و دیگر فعالیت‌های مخرب وجود دارد.

 

    در مجموع، در تمامی دسته‌های شبکه‌های بی‌سیم، از دید امنیتی حقایقی مشترک صادق است :

 

•              تمامی ضعف‌های امنیتی موجود در شبکه‌های سیمی، در مورد شبکه‌های بی‌سیم نیز صدق می‌کند. در واقع نه تنها هیچ جنبه‌یی چه از لحاظ طراحی و چه از لحاظ ساختاری، خاص شبکه‌های بی‌سیم وجود ندارد که سطح بالاتری از امنیت منطقی را ایجاد کند، بلکه همان گونه که ذکر شد مخاطرات ویژه‌یی را نیز موجب است.

•             نفوذگران، با گذر از تدابیر امنیتی موجود، می‌توانند به‌راحتی به منابع اطلاعاتی موجود بر روی سیستم‌های رایانه‌یی دست یابند.

•       اطلاعات حیاتی‌یی که یا رمز نشده‌اند و یا با روشی با امنیت پایین رمز شده‌اند، و میان دو گره در شبکه‌های بی‌سیم در حال انتقال می‌باشند، می‌توانند توسط نفوذگران سرقت شده یا تغییر یابند.

•           حمله‌های DoS به تجهیزات و سیستم‌های بی‌سیم بسیار متداول است.

•             نفوذگران با سرقت کدهای عبور و دیگر عناصر امنیتی مشابه کاربران مجاز در شبکه‌های بی‌سیم، می‌توانند به شبکه‌ی مورد نظر بدون هیچ مانعی متصل گردند.

•              با سرقت عناصر امنیتی، یک نفوذگر می‌تواند رفتار یک کاربر را پایش کند. از این طریق می‌توان به اطلاعات حساس دیگری نیز دست یافت.

•              کامپیوترهای قابل حمل و جیبی، که امکان و اجازه‌ی استفاده از شبکه‌ی بی‌سیم را دارند، به‌راحتی قابل سرقت هستند. با سرقت چنین سخت افزارهایی، می‌توان اولین قدم برای نفوذ به شبکه را برداشت.

•              یک نفوذگر می‌تواند از نقاط مشترک میان یک شبکه‌ی بی‌سیم در یک سازمان و شبکه‌ی سیمی آن (که در اغلب موارد شبکه‌ی اصلی و حساس‌تری محسوب می‌گردد) استفاده کرده و با نفوذ به شبکه‌ی بی‌سیم عملاً راهی برای دست‌یابی به منابع شبکه‌ی سیمی نیز بیابد.

•              در سطحی دیگر، با نفوذ به عناصر کنترل کننده‌ی یک شبکه‌ی بی‌سیم، امکان ایجاد اختلال در عمل‌کرد شبکه نیز وجود دارد.

 

    با مقدمه‌ی ذکر شده، در قسمت‌های آتی می‌توانیم به ویژه‌گی‌های این شبکه‌های، با تفکیک تکنولوژی‌های مرسوم، از بعد امنیتی بپردازیم و چگونه‌گی پیکربندی صحیح یک شبکه‌ی بی‌سیم را، برای بالابردن امنیت آن، بررسی کنیم.

کاربرد پراکسی در امنیت شبکه (۳)

در شماره های قبل به پراکسی سرور، مقایسه پراکسی و فایروال و پراکسیSMTP پرداختیم. به بررسی انواع دیگر پراکسی می پردازیم:

 

HTTP Proxy

این پراکسی بر ترافیک داخل شونده و خارج شونده از شبکه شما که توسط کاربرانتان برای دسترسی به World Wide Web ایجاد شده،  نظارت می کند. این پراکسی برای مراقبت از کلاینت های وب شما و سایر برنامه ها که به دسترسی به وب از طریق اینترنت متکی هستند و نیز حملات برپایه HTML، محتوا را فیلتر می کند. بعضی از قابلیتهای آن اینها هستند:

·   برداشتن اطلاعات اتصال کلاینت: این پراکسی می تواند آن قسمت از دیتای header  را که نسخه سیستم عامل، نام و نسخه مرورگر، حتی آخرین صفحه وب دیده شده را فاش می کند، بردارد. در بعضی موارد، این اطلاعات حساس است، بنابراین چرا فاش شوند؟

·    تحمیل تابعیت کامل از استانداردهای مقررشده برای ترافیک وب: در بسیاری از حمله ها، هکرها بسته های تغییرشکل داده شده را ارسال می کنند که باعث دستکاری عناصر دیگر صفحه وب می شوند، یا بصورتی دیگر با استفاده از رویکردی که ایجادکنندگان مرورگر پیش بینی نمی کردند، وارد می شوند. پراکسی HTTP این اطلاعات بی معنی را نمی پذیرد. ترافیک وب باید از استانداردهای وب رسمی پیروی کند، وگرنه پراکسی ارتباط را قطع می کند.

·    فیلترکردن محتوای از نوع MIME : الگوهای MIME به مرورگر وب کمک می کنند تا بداند چگونه محتوا را تفسیر کند تا با یک تصویرگرافیکی بصورت یک گرافیک رفتار شود، یا .wav فایل بعنوان صوت پخش شود، متن نمایش داده شود و غیره. بسیاری حمله های وب بسته هایی هستند که در مورد الگوی MIME خود دروغ می گویند یا الگوی آن را مشخص نمی کنند. پراکسی HTTP این فعالیت مشکوک را تشخیص می دهد و چنین ترافیک دیتایی را متوقف می کند.

·   فیلترکردن کنترلهای Java و ActiveX: برنامه نویسان از Java و ActiveX برای ایجاد برنامه های کوچک بهره می گیرند تا در درون یک مرورگر وب اجراء شوند (مثلاً اگر فردی یک صفحه وب مربوط به امور جنسی را مشاهده می کند، یک اسکریپت ActiveX روی آن صفحه می تواند بصورت خودکار آن صفحه را صفحه خانگی مرورگر آن فرد نماید). پراکسی می تواند این برنامه ها را مسدود کند و  به این ترتیب جلوی بسیاری از حمله ها را بگیرد.

·   برداشتن کوکی ها:  پراکسی HTTP می تواند جلوی ورود تمام کوکی ها را بگیرد تا اطلاعات خصوصی شبکه شما را حفظ کند.

·   برداشتن Headerهای ناشناس:  پراکسی HTTP ، از headerهای HTTP که از استاندارد پیروی نمی کنند، ممانعت بعمل می آورد. یعنی که، بجای مجبور بودن به تشخیص حمله های برپایه علائمشان، پراکسی براحتی ترافیکی را که خارج از قاعده باشد، دور می ریزد. این رویکرد ساده از شما در مقابل تکنیک های حمله های ناشناس دفاع می کند.

·   فیلترکردن محتوا: دادگاه ها مقررکرده اند که تمام کارمندان حق برخورداری از یک محیط کاری غیر خصمانه را دارند. بعضی عملیات تجاری نشان می دهد که بعضی موارد روی وب جایگاهی در شبکه های شرکت ها ندارند. پراکسی HTTP سیاست امنیتی شرکت شما را وادار می کند که توجه کند چه محتویاتی مورد پذیرش در محیط کاریتان است و چه هنگام استفاده نامناسب از اینترنت در یک محیط کاری باعث کاستن از بازده کاری می شود. بعلاوه، پراکسی HTTP می تواند سستی ناشی از فضای سایبر را کم کند. گروه های مشخصی از وب سایتها که باعث کم کردن تمرکز کارمندان از کارشان می شود، می توانند غیرقابل دسترس شوند.

 

FTP Proxy  

بسیاری از سازمان ها از اینترنت برای انتقال فایل های دیتای بزرگ از جایی به جایی دیگر استفاده می کنند. در حالیکه فایل های کوچک تر می توانند بعنوان پیوست های ایمیل منتقل شوند، فایل های بزرگ تر توسط FTP (File Transfer Protocol) فرستاده می شوند. بدلیل اینکه سرورهای FTP فضایی را برای ذخیره فایل ها آماده می کنند، هکرها علاقه زیادی به دسترسی به این سرورها دارند. پراکسی FTP معمولاً این امکانات را دارد:

·   محدودکردن ارتباطات از بیرون به «فقط خواندنی»: این عمل به شما اجازه می دهد که فایل ها را در دسترس عموم قرار دهید، بدون اینکه توانایی نوشتن فایل روی سرورتان را بدهید.

·   محدود کردن ارتباطات به بیرون به «فقط خواندنی»:   این عمل از نوشتن فایل های محرمانه شرکت به سرورهای FTP خارج از شبکه داخلی توسط کاربران جلوگیری می کند.

·   مشخص کردن زمانی ثانیه های انقضای زمانی: این عمل به سرور شما اجازه می دهد که قبل از حالت تعلیق و یا Idle request  ارتباط را قطع کند.

·   ازکارانداختن فرمان FTP SITE : این از حمله هایی جلوگیری می کند که طی آن هکر فضایی از سرور شما را تسخیر می کند تا با استفاده از سیستم شما حمله بعدی خودش را پایه ریزی می کند.
 

 

DNS Proxy

DNS (Domain Name Server) شاید به اندازه HTTP  یا SMTP شناخته شده نیست، اما چیزی است که به شما این امکان را می دهد که نامی را مانند http://www.ircert.com  در مرورگر وب خود تایپ کنید و وارد این سایت شوید – بدون توجه به اینکه از کجای دنیا به اینترنت متصل شده اید. بمنظور تعیین موقعیت و نمایش منابعی که شما از اینترنت درخواست می کنید، DNS نام های دامنه هایی را که می توانیم براحتی بخاطر بسپاریم به آدرس IP هایی که کامپیوترها قادر به درک آن هستند،  تبدیل می کند. در اصل این یک پایگاه داده است که در تمام اینترنت توزیع شده است و توسط نام  دامنه ها فهرست شده است.

بهرحال، این حقیقت که این سرورها در تمام دنیا با مشغولیت زیاد در حال پاسخ دادن به تقاضاها برای صفحات وب هستند، به هکرها امکان تعامل و ارسال دیتا به این سرورها را برای درگیرکردن آنها می دهد. حمله های برپایه DNS هنوز خیلی شناخته شده نیستند، زیرا به سطحی از پیچیدگی فنی نیاز دارند که بیشتر هکرها نمی توانند به آن برسند. بهرحال، بعضی تکنیک های هک که میشناسیم باعث می شوند هکرها کنترل کامل را بدست گیرند. بعضی قابلیت های پراکسی DNS می تواند موارد زیر باشد:

·   تضمین انطباق پروتکلی: یک کلاس تکنیکی بالای اکسپلویت می تواند لایه Transport را که تقاضاها و پاسخ های DNS  را انتقال می دهد به یک ابزار خطرناک تبدیل کند. این نوع از حمله ها بسته هایی تغییرشکل داده شده بمنظور انتقال کد آسیب رسان ایجاد می کنند. پراکسی DNS، headerهای بسته های DNS را بررسی می کند و بسته هایی را که بصورت ناصحیح ساخته شده اند دور می ریزد و به این ترتیب جلوی بسیاری از انواع سوء استفاده را می گیرد.

·   فیلترکردن محتوای headerها بصورت گزینشی: DNS در سال ۱۹۸۴ ایجاد شده و از آن موقع بهبود یافته است. بعضی از حمله های DNS بر ویژگی هایی تکیه می کنند که هنوز تایید نشده اند. پراکسی DNS می تواند محتوای header تقاضاهای DNS  را بررسی کند و تقاضاهایی را که کلاس، نوع یا طول header غیرعادی دارند، مسدود کند.

 

نتیجه گیری

با مطالعه این مجموعه مقالات، تا حدی با پراکسی ها آشنا شدیم. پراکسی تمام ابزار امنیت نیست، اما یک ابزار عالیست،  هنگامی که با سایر امنیت سنج ها! مانند ضدویروس های استاندارد، نرم افزارهای امنیتی سرور و سیستم های امنیتی فیزیکی بکار برده شود.