📶 Wi-Fi: standardy a zabezpečení

Rádio v bytě

O čem to je

Wi-Fi je rádio. Router vysílá jako malá rozhlasová stanice a tvůj mobil ho poslouchá a odpovídá. Proto signál slábne za zdí, ruší ho mikrovlnka a soused na stejném kanálu ti zpomalí internet.

Kdo stavíš nebo spravuješ Wi-Fi, musíš vybrat správné pásmo, kanál a hlavně zabezpečení. Špatně zabezpečená Wi-Fi je otevřené okno do celé sítě.

Nové pojmy

Wi-FiBezdrátová místní síť podle norem IEEE 802.11. Přenáší data rádiovými vlnami.

Přístupový bod (AP)Zařízení, které vysílá Wi-Fi a připojuje bezdrátová zařízení do kabelové sítě. Domácí router má AP v sobě.

SSIDJméno Wi-Fi sítě, které vidíš v seznamu.Skola-Hoste

Pásmo a kanálPásmo je rozsah rádiových kmitočtů: 2,4 GHz, 5 GHz, 6 GHz. Kanál je úzký úsek pásma, na kterém AP vysílá. Dva blízké AP na stejném kanálu si překážejí.

Pásma

Pásmo	Dosah a průchod zdmi	Rychlost a rušení
2,4 GHz	nejlepší	pomalejší, málo kanálů, ruší mikrovlnky a Bluetooth
5 GHz	menší	rychlejší, víc kanálů
6 GHz	nejmenší	nejrychlejší, téměř bez rušení (od Wi-Fi 6E)

V pásmu 2,4 GHz se kanály překrývají. Při šířce 20 MHz se v praxi používají nepřekrývající se kanály 1, 6 a 11.

Generace Wi-Fi

Označení	Norma	Pásma	Teoretické maximum
Wi-Fi 4	802.11n	2,4 a 5 GHz	600 Mb/s
Wi-Fi 5	802.11ac	5 GHz	asi 6,9 Gb/s
Wi-Fi 6	802.11ax	2,4 a 5 GHz	asi 9,6 Gb/s
Wi-Fi 6E	802.11ax	+ 6 GHz	jako Wi-Fi 6
Wi-Fi 7	802.11be	2,4, 5 a 6 GHz	ještě vyšší

Teoretické maximum v praxi nikdy neuvidíš: dělí se mezi všechna zařízení a klesá se vzdáleností a zdmi.

Zabezpečení

ŠifrováníÚprava dat tak, aby je bez klíče nikdo nepřečetl. Ve Wi-Fi brání tomu, aby soused „poslouchal“ tvoje data ze vzduchu.

Zabezpečení	Stav
otevřená síť	bez šifrování, kdokoli čte provoz
WEP	prolomené, nepoužívat
WPA (TKIP)	zastaralé, nepoužívat
WPA2 (AES)	stále přijatelné minimum
WPA3	doporučené, nejbezpečnější

V bytě je router v obýváku a do pokoje za dvěma zdmi dojde slabý signál 5 GHz. Co uděláš?

Zařízení v pokoji může použít 2,4 GHz, které lépe prochází zdmi (ale je pomalejší). Lepší řešení: přidat druhý AP nebo mesh systém, nebo přivést do pokoje kabel.

Kterou trojici kanálů nastavíš třem AP vedle sebe v pásmu 2,4 GHz (šířka 20 MHz)?

1, 6 a 11. Nepřekrývají se, takže si AP nebudou rušit. Kdybys dal 1, 2 a 3, rušily by se navzájem.

✗Skryju SSID a nastavím filtr MAC adres, to je dostatečné zabezpečení.

✓Základ je WPA3 (nebo WPA2 s AES) a silné heslo.

Skryté SSID i povolené MAC adresy jde zachytit ze vzduchu běžnými nástroji a MAC adresu lze podvrhnout. Šifrování a heslo ochrání skutečně.

Wi-Fi = IEEE 802.11, pásma 2,4 GHz (dosah), 5 a 6 GHz (rychlost). Wi-Fi 4/5/6/7 = 802.11n/ac/ax/be. Používej WPA3, případně WPA2-AES, nikdy WEP ani otevřenou síť pro citlivá data.

Nastavujeme AP

O čem to je

Škola chce Wi-Fi pro učitele a zvlášť pro hosty. Učitelé se mají přihlašovat svým účtem a hosté nesmí vidět do školní sítě. Projdeme, jak takovou Wi-Fi navrhnout a zabezpečit krok za krokem.

Nové pojmy

IEEE 802.11Rodina norem pro Wi-Fi. Každá generace má písmena (n, ac, ax, be) a obchodní číslo (Wi-Fi 4, 5, 6, 7).

Přístupový bod (AP) a SSIDAP vysílá Wi-Fi, SSID je jméno sítě. Jeden AP může vysílat víc SSID, každé do jiné VLAN.

CSMA/CAZpůsob přístupu k rádiu: zařízení nejdřív poslouchá, jestli je kanál volný, a teprve pak vysílá. Ve vzduchu totiž vysílá jen jeden najednou.

WPA2 a WPA3Zabezpečení Wi-Fi. WPA2 šifruje AES. WPA3 (od roku 2018) přidává bezpečnější přihlášení SAE, které brání hádání hesla offline ze zachyceného provozu.

Personal a EnterprisePersonal (PSK/SAE) = jedno společné heslo pro všechny. Enterprise (802.1X) = každý uživatel se přihlásí vlastním účtem, ověřuje ho server RADIUS.

WPSFunkce pro připojení tlačítkem nebo PINem. Režim s PINem jde prolomit zkoušením, proto se WPS vypíná.

Postup nastavení

Změň výchozí heslo ke správě AP nebo routeru a aktualizuj jeho firmware.

Vytvoř SSID pro zaměstnance: WPA3-Enterprise (nebo WPA2-Enterprise), přihlášení školním účtem.

Vytvoř SSID pro hosty: WPA3-Personal (nebo WPA2-AES) s heslem, v oddělené VLAN jen s přístupem do internetu.

Vypni WPS a nepoužívej WEP, WPA/TKIP.

Vyber kanály: v 2,4 GHz 1, 6, 11; v 5 GHz širší kanály pro rychlost.

Ověř pokrytí měřením signálu (aplikací pro analýzu Wi-Fi).

Roztřiď nastavení na bezpečná a nebezpečná.

Personal vs. Enterprise

	Personal	Enterprise
přihlášení	jedno heslo pro všechny	každý vlastní účet
když někdo odejde	změnit heslo všem	zrušit jen jeho účet
potřebuje	nic navíc	server RADIUS
typicky	domácnost, hosté	firmy, školy

Z firmy odešel zaměstnanec, který znal heslo k Wi-Fi WPA2-Personal. Co musí správce udělat? A jak by to bylo u Enterprise?

U Personal zná heslo každý, kdo ho kdy dostal. Správce musí změnit heslo a rozdat ho znovu všem. U Enterprise stačí zablokovat účet odcházejícího, ostatní nic nepoznají.

Proč je WPA3-Personal bezpečnější než WPA2-Personal, když obě používají heslo?

U WPA2-Personal může útočník zachytit úvodní výměnu (handshake) a pak offline zkoušet hesla na svém počítači, kolik chce. WPA3 používá SAE: ze zachyceného provozu heslo zkoušet nejde, každý pokus musí jít přes AP. Navíc zachycený starší provoz nejde dešifrovat ani po prozrazení hesla.

802.11n – Wi-Fi 4
802.11ac – Wi-Fi 5
802.11ax – Wi-Fi 6 (6E s pásmem 6 GHz)
802.11be – Wi-Fi 7
WEP – prolomené, nepoužívat
WPA3 – SAE, doporučené

✗WPA2-Enterprise a WPA2-Personal jsou totéž, jen se jinak jmenují.

✓Personal = jedno sdílené heslo. Enterprise = vlastní účet každého uživatele ověřený přes 802.1X a RADIUS.

Rozdíl je v ověřování uživatelů. Enterprise umí zablokovat jednoho člověka a ví, kdo se kdy připojil.

Wi-Fi bezpečně: WPA3 (nebo WPA2-AES), ve firmě Enterprise s RADIUS, hosté v oddělené VLAN, WPS vypnout, výchozí hesla změnit. Kanály 2,4 GHz: 1, 6, 11.

📇DNS, DHCP a NAT