Informaticasite van het Sondervick College te Veldhoven © L.J.M van Haperen (bron : R.J. van der Beek)

Hoofdstuk 7: Netwerken

7.3 Draadloze netwerken

7.3.1. Standaard 802.11 en hardware

In een draadloos netwerk (engels: 'wireless network') gaat de communicatie zonder kabels, maar met behulp van elektromagnetische signalen, zoals infrarood of radiogolven.
Hoe draadloze netwerken moeten werken wordt beschreven in de 802.11-standaard.
De computerhardware van tegenwoordig is gebaseerd op standaarden, en die standaarden worden vastgelegd door organisaties die hiervoor verantwoordelijk zijn.
Eén van de belangrijkste organisaties is de IEEE, dat staat voor Institute of Electrical and Electronics Engineers; het is een wereldwijde vereniging van ingenieurs, wiskundigen en informatici.
Een paar bekende IEEE-standaarden zijn Ethernet (IEEE 802.3) en WiFi (IEEE 802.11)
WiFi staat voor Wireless Fidelity, dat is de benaming voor de draadloze netwerken die werken volgens het protocol opgesteld door IEEE 802.11

Apparatuur die werkt met de 802.11 standaard zendt meestal uit in de 2.4 GHz frequentieband (behalve 802.11a, maar dat wordt nauwelijks gebruikt), dat betekent dat de frequenties tussen 2.4000 GHz en 2.4835 GHz zitten. Die frequentieband mag namelijk door iedereen vrij gebruikt worden zonder dat er een radiolicentie nodig is.
De 802.11-standaard heeft nog weer een aantal sub-standaarden:

802.11a: 5 GHz, doorvoersnelheid van maximaal 54 Mbps, bereik binnenshuis 15-20 m
802.11b: 2.4 Ghz, maximaal 11 Mbps, bereik binnenshuis 30-50 m
802.11g: 2.4 Ghz, maximaal 54 Mbps, bereik binnenshuis 40-60 m

Dan is er ook nog de 802.16 standaard, dat wordt WiMAX genoemd.
De WiMAX-techniek is vrij nieuw, je komt het nog niet veel tegen. WiMAX staat voor Worldwide Interoperability for Microwave Access, het maakt gebruik van de frequenties tussen 2.1 en 11 GHz. Het bereik buiten gaat wel tot 50 kilometer, en de snelheid is maximaal 70 Mbps.

Hardware

Voor een draadloos netwerk heb je aan hardware nodig:

Een access point (AP), ook wel basisstation genoemd. Zo'n access point is met een UTP-kabel aan het vaste bekabelde netwerk verbonden.
In een access point zit vaak ook een router en/of switch verwerkt.

De reikwijdte van access points hangt nogal af van de aanwezigheid van muren, betonnen vloeren en/of apparaten zoals magnetrons, enz.
Je kunt het bereik vergroten door het gebruik van een extra sterke antenne en/of het plaatsen van een repeater.
Repeaters (ook wel range expanders genoemd) sturen de signalen van het access point versterkt door naar de cliënts, en terug.
Een netwerkkaart (ook wel netwerkadapter of NIC genoemd) voor draadloos netwerken.
Een router heb je nodig als je gebruik wilt maken van het internet, deze koppelt de internetverbinding aan je access point.
Een router en access point zitten vaak gecombineerd in één apparaat.

7.3.2. Beveiliging

Als een draadloos netwerk niet wordt beveiligd kunnen andere gebruikers van draadloze apparatuur dat netwerk ook gebruiken. De buren kunnen dan bijvoorbeeld internetten op jouw kosten.
Het netwerk staat dan ook open voor hackers.
En het netwerk zal trager reageren; er zijn immers meer gebruikers die dan van het netwerk gebruik maken.

SSID

Elk draadloos netwerk heeft een zogenaamde netwerknaam, ook wel SSID genoemd.
SSID staat voor Service Set Identifier; deze naam bestaat uit maximaal 32 tekens en wordt in een datapakketje verstuurd vanaf het access point.
Dit SSID fungeert als een soort wachtwoord voor het gebruik van het draadloze netwerk.
Standaard worden de access points uitgeleverd met de SSID van de producent (dat is bijvoorbeeld 3Com bij de 3Com-access points, en MyPlace bij de Fonera-access points), maar dat kun je wijzigen.
Je kunt alleen inloggen op het draadloze netwerk als je deze netwerknaam kent.
Dus alleen als de SSID, die op een computer is ingevoerd, dezelfde is als die op het access point, kan die computer deel uit maken van de BBS: de BBS is de Basic Service Set, die bestaat uit het access point en de cliënt-PC's die van het access point gebruik maken.

Het access point verstuurt regelmatig, meestal tien keer per seconde, datapakketjes van 32 bytes met daarin de SSID. Deze pakketjes worden beacons genoemd, dit zijn dus berichten waarin het SSID van het access point zich bevindt. Alleen als SSID-broadcast aan staat dan verzendt het access point beacons; daarmee zegt dat access point: hier ben ik, je kunt gebruik van mij maken.
Zo worden computers in de buurt dus op de hoogte gesteld van het draadloze netwerk.
Als je een thuisnetwerk hebt, en alles werkt goed, dan is het verstandig om dit broadcasten (uitzenden) van de SSID op het access point uit te zetten. Anders kan iedereen jouw SSID zien, en proberen op jouw netwerk in te loggen. Hoewel dat niet zo gemakkelijk gaat als je het verder nog beveiligd hebt.

Encryptie

Bij een draadloos netwerk wordt vaak gebruik gemaakt van encryptie, ook wel versleuteling genoemd: het coderen van gegevens volgens een bepaald algoritme.
Deze versleutelde gegevens kunnen weer ontcijferd of gedecodeerd worden, dat wordt decryptie genoemd.
Om gegevens te kunnen versleutelen heb je een zogenaamde sleutel nodig, dat is een getal dat gebruikt wordt om de gegevens te coderen. En als je het bericht wilt decoderen dan heb je diezelfde sleutel nodig. De sleutel wordt gegenereerd uit het wachtwoord dat je bij het instellen van de beveiliging hebt opgegeven.
Dat wachtwoord wordt trouwens ook wel de sleutel genoemd; het is immers het woord dat je nodig hebt om de berichten te kunnen lezen, dus ook een soort sleutel.
Er bestaan verschillende soorten versleuteling.

WEP

De eerste beveiliging voor draadloze netwerken wordt WEP genoemd.
Die afkorting staat voor Wired Equivalent Privacy: toen het werd ingevoerd dacht men dat daardoor draadloze netwerken net zo veilig zouden worden als bekabelde netwerken.
Na een poosje bleek echter dat de WEP-beveiliging vrij simpel te kraken is, maar het is altijd beter dan geen beveiliging en voor thuisgebruik is WEP een redelijke beveiliging.

Er bestaat een 64-bits (ook wel 40-bits genoemd) en een 128-bits (ook wel 104-bits genoemd) WEP-encryptie. Bij de 64-bits encryptie wordt gebruik gemaakt van een getal dat uit 40 bits, dus 5 bytes, bestaat. Dat is de zogenaamde vaste sleutel, die is opgeslagen in het access point en/of in de PC. Dat getal wordt gegenereerd uit het wachtwoord dat je bij het instellen van WEP hebt opgegeven.

Een WEP-sleutel wordt aangemaakt op basis van die vaste sleutel én en nog een getal van 24 bits (dus 3 bytes), dat achter de vaste sleutel wordt geplakt. Dat getal van drie bytes wordt de initilization vector genoemd en wordt afgekort tot IV; het is een zogenaamd toevalsgetal en kan dus bij elke netwerksessie weer anders zijn.
De totale sleutel bestaat bij 64-bits WEP-encryptie dus uit een getal van 8 bytes. En met behulp van dat getal worden de te verzenden berichten gecodeerd.
Door een zogenaamde "cryptografische toevalsgenerator" wordt m.b.v. de sleutel een lange rij bytes geproduceerd. Het lijkt of de bytes door het toeval zijn ontstaan, maar in werkelijkheid worden de bytes berekend door een programma m.b.v. de sleutel.
Deze bytes worden door middel van een XOR-bewerking gecombineerd met de bytes van het echte bericht, en zo ontstaat het gecodeerde bericht.
De intitialization vector wordt ook nog vastgeplakt aan het gecodeerde bericht (aan de voorkant), want anders kan de ontvangende computer het bericht niet decoderen, en zo wordt het verstuurd.

Voor het kraken van WEP zijn een aantal programma's bekend, onder andere AirSnort en WPA-cracker.

WPA

WPA is een betere beveiliging voor een draadloos netwerk dan WEP.
WPA staat voor WiFi Protected Access en het gebruikt een 128-bit sleutel en een 48-bit lange initialisatievector, waardoor het al veiliger is dan WEP-encryptie. Er wordt verder dezelfde methode als bij WEP gebruikt om berichten te versleutelen.

Maar WPA heeft ten opzichte van WEP één groot voordeel: met elk datapakketje dat over het netwerk gaat, wordt een verschillende sleutel meegestuurd (bij WEP is dat altijd dezelfde sleutel).
Het Temporal Key Integrity Protocol (TKIP) van WPA verzint voor ieder pakketje een nieuwe initilization vector, die achter de vaste sleutel wordt geplakt. Zo wordt elk pakketje dus op een andere manier gecodeerd. Dit maakt het moeilijk om van buitenaf de netwerksleutel te achterhalen.

Als je een oud besturingssysteem gebruikt wordt WPA niet ondersteund, en dan zul je WEP moeten gebruiken.
WPA2 is een verbeterde versie van WPA, en een nog betere encryptievorm die nog niet veel gebruikt wordt heet Advanced Encryption Standard (AES).

MAC-filtering

Het is mogelijk alleen die cliënts toegang tot het draadloze netwerk te verlenen die op het access point bekend zijn, dit kan door middel van MAC-adresfiltering.
De MAC-adressen die toegang krijgen moeten dan op het access point worden ingevoerd.
Hierdoor is het niet mogelijk dat vreemde, niet in het access point gemelde MAC-adressen gebruik kunnen maken van het netwerk.
Maar dit is niet 100 procent betrouwbaar omdat het MAC-adres van de netwerkkaart in een computer wel vastligt, maar softwarematig kan dat adres worden gewijzigd zodat de computer denkt dat het adres anders is dan het in werkelijkheid is.

7.3.3. Configuratie van de netwerkkaart

Configuratie van de netwerkkaart gebeurt vaak m.b.v. een installatieprogramma.
Het kan ook door in het Configuratiescherm voor Netwerkverbindingen te kiezen (zie Hoofdstuk 7.1.5 van Netwerken)
Je kunt daarna op het pictogram van de netwerkverbinding klikken en via de rechtermuisknop naar de eigenschappen van die netwerkverbinding gaan om ze te bekijken en eventueel te wijzigen.
Belangrijk zijn hierbij de TCP/IP-instellingen van de draadloze netwerkverbinding:
Elk apparaat binnen het netwerk dient een eigen, uniek, IP-adres te hebben. Voor netwerken in huis en binnen bedrijven worden 'private-range' nummers gebruikt. Deze zijn internationaal afgesproken voor netwerken die niet direct aan het internet gekoppeld zijn.
Je kunt voor het thuisnetwerk de volgende adressen gebruiken:

10.0.0.0 tot 10.255.255.255
172.16.0.0 tot 172.31.255.255
192.168.0.0 tot 192.168.255.255

Je kunt altijd in de handleiding van de router en/of het access point vinden welk IP-adres daarvoor gebruikt wordt.
Access points en routers gebruiken vaak als standaard IP-adres 192.168.1.1 of 10.0.0.138. Je moet de rest van de apparatuur dan ook in de bijbehorende IP-range zetten. Het is meestal het handigst automatisch een IP-adres te laten toewijzen, dan wordt er gebruik gemaakt van DHCP.
Je kunt controleren of het goed gaat door naar MSDOS te gaan, en dan in te voeren: ipconfig /all
Je ziet dan de gegevens van de DHCP-server en de overige IP-instellingen.
Je kunt daarna ook nog m.b.v. het Ping-commando kijken of de router te benaderen is. Als het IP-adres van de router bijvoorbeeld 192.168.1.1 is dan voer je in: ping 192.168.1.1. Als het goed is (de kabels naar de router moeten wel zijn aangesloten natuurlijk) geeft de router antwoord.

Als je wilt inloggen op een draadloos netwerk dan moet eerst het SSID worden ingevoerd of geselecteerd. Je moet daarvoor in het Configuratiescherm voor Netwerkverbindingen kiezen.
Klik dan op de draadloze netwerkverbinding (dat is eigenlijk de netwerkkaart voor de draadloze verbinding; die moet er natuurlijk wel zijn, anders kun je niet inloggen op een draadloos netwerk), en klik dan in het linker menu op Beschikbare draadloze netwerken weergeven (denk er om, dat staat er alleen bij als je op de draadloze netwerkverbinding hebt geklikt).

Dan zullen de draadloze netwerken, die gedetecteerd worden, getoond worden zoals in onderstaan venster. Thuis zal dat meestal maar één netwerk zijn, maar er kunnen ook netwerken van de buren bij staan. Denk er wel om dat als het broadcasten van de SSID uit staat het draadloze netwerk niet getoond wordt. Als je eigen netwerk er niet bij staat dan kun je het handmatig toevoegen, of je zet het broadcasten van de SSID tijdelijk even aan.

Als je het draadloze netwerk hebt uitgekozen, en je klikt op Verbinding maken dan krijg je een venster als hier onder in beeld.

Dan kun je dus de netwerksleutel invoeren (tenminste, als het netwerk beveiligd is, anders hoef je niets in te voeren), en daarna wordt er geprobeerd een verbinding met het netwerk te maken.

Automatisch inloggen op een draadloos netwerk

Als je ervoor wilt zorgen dat er automatisch wordt ingelogd op een draadloos netwerk dan moet je het volgende doen:

Kies in het Configuratiescherm voor Netwerkverbindingen
Dubbelklik dan op de draadloze netwerkverbinding, dan verschijnt er een venster met de status van de verbinding.
Klik in dat venster op Eigenschappen, dan verschijnt er een nieuw venster, waarin je de van geïnstalleerde netwerkonderdelen ziet.
Klik in dat venster op het tabblad Draadloze netwerken, dan verschijnt onderstaand venster.
Je kunt dan onder Voorkeursnetwerken het netwerk opgeven, waarop automatisch moet worden ingelogd.

Ad-hoc mode

Je kunt de netwerkkaart ook op de zogenaamde op ad-hoc mode instellen. In dat geval kan deze uitsluitend communiceren met een andere computer die ook deze instelling heeft, en dan hoeft er geen gebruikt gemaakt te worden van een access point.
Deze optie wordt soms door twee computers gebruikt om even een paar bestanden uit te wisselen.
In dat geval moet er een vinkje worden gezet voor: Dit is een computer-naar-computer netwerk. Er worden geen draadloze toegangspunten gebruikt.
Wordt er geen gebruik van de ad-hoc mode (ook wel peer-to-peer genoemd) dan wordt het de infrastructure mode genoemd, dat is de normale manier met het gebruik van een access point.

Bluetooth en IrDa

Je kunt in een draadloos netwerk ook werken met een PDA (Personal Digital Assistant of elektronische zakagenda).
PDA's hebben tegenwoordig meestal ook de beschikking over Bluetooth en/of IrDA. Hiervoor zijn ook geen kabels nodig.
Bluetooth maakt, net als WiFi, gebruik van de 2.4 GHz-band. De techniek is ontwikkeld door het Zweedse bedrijf Ericsson, de naam is ontleend aan de Vikingenkoning Harald Blauwtand.
Communicatie kan ook plaatsvinden met IrDA, dat is met infrarood. Bij IrDA moet er altijd een 'zichtverbinding' zijn; beide apparaten moeten op kleine afstand met elkaar communiceren (maximaal 1 meter).

7.3.4. Configuratie van de router en/of access point

Meestal heeft een router een standaard IP-adres, dat in de handleiding te vinden is. Dat kan bijvoorbeeld 192.168.1.1 zijn.
Verder heeft een router meestal ook een standaard wachtwoord, vaak is dat admin. Dat staat ook wel in de handleiding, of soms staat op een sticker (onder) op de router.
Je moet de router via een pc benaderen, dit kan door de browser op de pc te starten en in de adresbalk het IP-adres van de router in te voeren, bijvoorbeeld http://10.0.0.138
Dan moet je waarschijnlijk de gebruikersnaam en het wachtwoord invoeren, en daarna kun je de router configureren.
Meestal is het handig om de DHCP-server in de router aan te zetten (deze staat vaak al aan), en reserveer dan een klein aantal adressen dat je wilt gebruiken op je eigen netwerk. Bijvoorbeeld 10.0.0.130 t/m 10.0.0.150.

Installatie van het access point

Installatie van het access point gaat op de zelfde manier als die van de router.
Het access point moet je ook via een pc benaderen, dit kan door de browser op de pc te starten en in de adresbalk het IP-adres van het access point in te voeren, bijvoorbeeld http://192.168.10.1
Dan moet je waarschijnlijk een gebruikersnaam en een wachtwoord invoeren (wat dat is staat in de handleiding, bij mij was het beide admin), en daarna kun je het access point configureren. Je krijgt waarschijnlijk een venster als hier onder in beeld.

Klik je op het tabblad beveiliging of security of Private WiFi (hangt af van de fabrikant) dan kun je aangeven van welke beveiliging je gebruik wilt maken, en wat de bijbehorende netwerksleutel is.
Kies je voor WPA dan kun je in het venster achter WPA Passphrase een netwerksleutel invoeren.
Misschien heeft de fabrikant al een netwerksleutel ingevoerd, maar die kun je beter veranderen, want die sleutel is wel bekend bij degenen die net zo'n accesspoint hebben.
Daarna moet je die netwerksleutel ook invoeren in de computers die gebruik moeten maken van het draadloze netwerk.

De kanalen

WiFi maakt gebruik van 2.4 GHz band. Deze loopt van 2.4000 GHz tot 2.5000 GHz. Daarbinnen zijn, bij gebruikmaking van de 802.11b-standaard, dertien kanalen beschikbaar, elk met een breedte van 22 MHz.
De kanalen die gebruikt kunnen worden zie je in de figuur hieronder.

Bij gebruik van verschillende access points bij elkaar in de buurt is het belangrijk geen overlappende kanalen te gebruiken.
Maar ook bij het gebruik van maar één access point worden bij de 802.11b-standaard meer kanalen gebruikt. Er worden een aantal datastromen op verschillende frequenties tegelijk verstuurd om de snelheid te verhogen. Daar moeten ook overlappingen worden voorkomen: bij de kanaalinstellingen op het access point moet bijvoorbeeld worden gekozen voor de kanalen 1,6 en 11 want die overlappen elkaar niet.
Meestal kun je bij het configureren van het access point aangeven welke kanalen er gebruikt moeten worden, bij mij moet je dan klikken op Advanced, en dan op Wireless Settings. Maar meestal werkt het wel als dit op automatisch staat.

MAC-filtering

Je kunt op het access point invoeren welke MAC-adressen gebruik kunnen maken van het access point en dus van het netwerk. Klik daarvoor op het tabblad MAC-filter.
Je krijgt dan zoiets als hieronder in beeld.

Klik op het rondje voor Enable Mac filter, en klik op het rondje voor Permit only PC's listed en klik daarna op Edit MAC Filter List. Dan krijg je een venster zoals hieronder in beeld. En dan kun je daar de toegestane MAC-adressen invoeren.

7.3.5. CSMA/CA

Wat gebeurt er bij een draadloos netwerk als een computer data wil verzenden :

De data worden in stukjes verdeeld, in frames.
Voordat het eerste frame wordt verstuurd "luistert" de computer eerst of er al iemand bezig is met draadloos zenden via het frequentiekanaal dat hij wil gebruiken. Als hij merkt dat er al dataverkeer op dat frequentiekanaal is, dan verstuurt hij het frame nog niet.
De stations kunnen dus vaststellen of het frequentiekanaal in gebruik is. Dat aftasten of het frequentiekanaal in gebruik is noem je carrier sense.
Als hij merkt dat het frequentiekanaal vrij is verstuurt hij het eerste frame, op de eerstvolgende "kloktik".
(De tijd wordt in intervallen (slots) verdeeld)
Als het kanaal bezet is dan wacht hij tot het frequentiekanaal vrij is. Als hij merkt dat het frequentiekanaal niet meer bezet is dan verstuurt hij niet direkt het frame, maar hij wacht een aantal kloktikken (hoeveel kloktikken, dat hangt van het toeval af) en dan wordt het frame verzonden..
Dit geeft de verzekering dat, als verschillende stations wachten op het zenden van data, ze niet tegelijk beginnen met zenden zodra het frequentiekanaal vrij komt.
Maar als dan toevallig een andere computer op hetzelfde moment een frame verstuurt ontstaat er toch een botsing. (ook wel collision genoemd)
De zendende computer merkt een botsing niet, want hij kan niet tegelijk zenden en ontvangen.
(Bij een vaste lijnverbinding wordt een botsing wel direkt ontdekt, dat principe heet CSMA/CD).
Omdat een station, dat aan het zenden is, niet tegelijk kan luisteren of er een botsing optreedt, wacht dat station op een ontvangstboodschap van het ontvangende station.
Het ontvangende station stuurt een ontvangstboodschap (ACK) terug als het geen fouten heeft ontdekt in het ontvangen frame.
Als het zendende station binnen een bepaalde tijd geen ACK heeft ontvangen zal ze het frame nog eens zenden. Als er binnen de gestelde tijd geen ACK is ontvangen dan wacht het station een aantal kloktikken (hoeveel kloktikken, dat hangt van het toeval af) en dan wordt het weer geprobeerd. Het station probeert het niet direkt bij de eerstvolgende kloktik, want als dat de regel is dan zal die andere computer ook direkt weer gaan zenden en dan onstaat er direkt weer een botsing.

Deze manier van zenden heet CSMA/CA (Carrier sense Multiple Access with Collision Avoidance).

7.3.6. Het 802.11 protocol

Een draadloos station zoekt constant naar access points. Het scant kanalen en probeert de beste accesspoint-signalen te vinden.
Access points zenden regelmatig een beacon uit. De beacons bevatten informatie over het access point, o.a. het SSID en de verwachte data-snelheden. Die verwachte datasnelheid zit in het Duration veld (zie onderstaande figuur met het frameformaat), dat wordt ook wel het tijdstempel genoemd.
Het draadloze station kan deze informatie gebruiken om de signaalsterkten van verschillende access points te vergelijken (als ze er zijn) en te beslissen welke er gebruikt wordt.

Als een draadloos station verbinding wil maken met een access point dan zendt deze computer een zogenaamd Probe-bericht met daarin het SSID van het access point waarmee hij een verbinding wil maken.
Het access point met dat SSID zal een bericht terugzenden met daarin informatie over het access point en het netwerk.
Deze informatie wordt ongecodeerd verstuurd en kan dus ook nog steeds door iedereen ontvangen worden.

Als het netwerk WEP- of WPA-beveiligd is stuurt de computer het bericht gecodeerd terug naar het access point.
Het access point decodeert dat bericht. En als dat dan hetzelfde bericht oplevert als het bericht dat verstuurd was naar de computer was de sleutel dus goed en komt de verbinding tot stand.

Als beveiligd is met WEP of WPA zal bij het versturen van berichten de body van elk frame worden gecodeerd, niet de header.

Het frame-formaat (803.11) is als volgt :

2 bytes	2 bytes	6 bytes	6 bytes	6 bytes	2 bytes	6 bytes	0-2312	4 bytes
Frame control	Duration veld	MAC adres1	MAC adres2	MAC adres3	Niet belangrijk	MAC adres4	Frame body	CRC

Het Frame-control veld (de eerste twee bytes van het frame) bevat de volgende informatie :

Het type frame, bijv. een ACK of een "gewoon" frame, de soort beveiliging, de protocolversie, enz.

Er zijn vier velden voor MAC-adressen. Die worden meestal niet alle vier gebruikt.
Als een draadloos station een bericht naar een access point wil zenden dan is adres1 het adres van het access point (het doel) en adres2 is het adres van de zendende computer (de bron).
Als er gebruik gemaakt moet worden van het internet dan is adres3 het adres van de bijbehorende router en adres4 wordt niet gebruikt.
Het vierde adres wordt alleen gebruikt bij de ad-hoc methode.

Je kunt hier o.a. aan zien dat een MAC-adresfilter gemakkelijk te omzeilen is. In een datapakket wordt namelijk de header niet gecodeerd, dus ook niet het MAC-adres van de computer waarvoor het bedoeld is.
Als je dan zo'n MAC-adres achterhaald hebt dan moet je er nog even voor zorgen dat jouw computer dat MAC-adres overneemt (dat kan en dat wordt spoofing genoemd), en je kunt op het netwerk.