Безопасная настройка Wi-Fi: WPA2, WPA3, Enterprise, изоляция клиентов и поиск чужих точек

Беспроводная сеть выходит за стены офиса: пароль от неё можно подбирать с парковки, а поддельную точку с тем же названием поставить на соседнем этаже. Хорошая новость: большая часть защиты достигается правильной настройкой, а не дорогим оборудованием. Ниже выбор режима, настройки, которые нужно включить и выключить, ограничение зоны покрытия, управление самими точками, скрипт для поиска фишинговых точек и формулировка требований, которые можно положить в документ и проверять.

Гостевая сеть настраивается отдельно: гостевой Wi-Fi. Вход по сертификатам и учётным записям: 802.1X. Управлять точками можно только из сегмента администрирования.

Шаг 1. Выберите режим безопасности

Практический выбор: корпоративный SSID в режиме Enterprise, гостевой в WPA2/WPA3-Personal с отдельным паролем и VLAN. Если Enterprise пока недоступен, WPA2/WPA3-Personal с длинным паролем и сменой при каждом уходе сотрудника из группы, которая знала пароль.

Шаг 2. Настройки, которые нужно включить и выключить

После изменения настроек экспортируйте конфигурацию точек или контроллера и сохраните выгрузку: это один из основных артефактов, подтверждающих, что настройки соответствуют требованиям.

Шаг 3. Зона покрытия и мощность

Чем дальше за стенами слышна сеть, тем больше людей может её атаковать. Снизьте мощность передачи до уровня, который покрывает помещение и не больше, отключите ненужные диапазоны. Проверка с ноутбука или телефона: пройдитесь вдоль периметра здания и посмотрите, где корпоративный SSID ещё виден. Если он стабильно ловится на парковке на уровне сигнала выше −70 дБм, уровень мощности завышен. Не гонитесь за идеальным нулём: достаточно того, что подбор пароля с улицы без усиленной антенны невозможен.

Шаг 4. Поиск чужих и фишинговых точек

Злоумышленник ставит точку с тем же именем, что у вашей сети; устройства подключаются к ней и отдают пароли. В Enterprise-режиме защита встроена (проверка сертификата сервера), но в Personal-режиме и для гостевых сетей нужен контроль эфира. Контроллеры корпоративного класса умеют обнаруживать посторонние точки сами; для небольшой сети достаточно регулярного скана с ноутбука на Linux и сверки со списком адресов ваших точек.

Файл allowed_bssid.txt содержит MAC-адреса ваших точек (BSSID) в верхнем регистре, по одному в строке. Скрипт сканирует эфир и находит сети с вашими названиями, но чужими адресами:

#!/usr/bin/env bash
# rogue_check.sh: поиск точек с нашим SSID и неизвестным BSSID
# Использование: sudo ./rogue_check.sh wlan0 allowed_bssid.txt "OfficeCorp|OfficeGuest"
IFACE="${1:-wlan0}"; ALLOW="${2:-allowed_bssid.txt}"; OURS="${3:-OfficeCorp}"

iw dev "$IFACE" scan | awk '
  /^BSS /   {b=$2; sub(/\(.*/,"",b)}
  /signal:/ {sig=$2}
  /^\tSSID:/ {s=$0; sub(/^\tSSID: /,"",s); print toupper(b) "|" s "|" sig}
' | while IFS='|' read -r bssid ssid sig; do
    if echo "$ssid" | grep -Eq "^($OURS)$" && ! grep -qi "^$bssid$" "$ALLOW"; then
        echo "ВНИМАНИЕ: сеть $ssid с неизвестного адреса $bssid, сигнал $sig дБм"
    fi
done

Ожидаемо: в тихом эфире строк нет; если рядом оказывается точка с вашим именем и чужим адресом, скрипт её покажет. Запускайте раз в неделю с одной и той же точки обхода и сохраняйте вывод: это и есть результат сканирования беспроводной сети. Скрипт читает только публичные кадры, он безопасен, но запускать его можно только в своём здании. Для регулярного режима поставьте его в расписание и отправляйте вывод в SIEM, если нашлись строки: журналы сетевых средств в Wazuh.

Шаг 5. Оформите требования в документ

Настройки, которые не записаны, слетают при замене оборудования. Короткий документ с требованиями к конфигурации беспроводных устройств — часть общего документа по сетевой безопасности: требования к сетевой безопасности. Для Wi-Fi в него входят:

• допустимые режимы безопасности для корпоративной и гостевой сетей, запрет WEP, WPA и открытых сетей без изоляции;
• обязательные настройки: PMF, отключённый WPS, изоляция клиентов, мощность по зоне покрытия;
• порядок управления точками: только из сегмента управления, по HTTPS и SSH, пароли и обновление прошивок;
• периодичность сканирования эфира и порядок действий при обнаружении чужой точки;
• порядок смены пароля при уходе сотрудника и по расписанию.

Какие артефакты хранить

Диагностика

Где это в модели зрелости

Материал относится к направлению «Сетевая безопасность» (хаб: сетевая безопасность, карта: карта зрелости). На втором уровне выполняется безопасная конфигурация беспроводных точек и контроллеров: протоколы не ниже WPA2, изоляция клиентов, отключение небезопасных протоколов управления, сканирование сети на фишинговые точки, ограничение зоны радиовещания; требования формализованы документом. Выгрузка настроек, результаты сканирования и документ — подтверждения.

Как проверить

1. В выгрузке конфигурации корпоративный SSID работает в WPA2/WPA3 (лучше Enterprise), WPS выключен, PMF включён.
2. Изоляция клиентов включена на гостевом SSID.
3. Веб-интерфейс точки открывается только с адреса из сегмента управления.
4. Скрипт поиска чужих точек запускался за последнюю неделю, результат сохранён.
5. На парковке или за пределами здания корпоративный SSID не ловится со стабильным сильным сигналом.

Источники

• Wi-Fi Alliance, обзор безопасности (WPA3): wi-fi.org.
• NIST SP 800-153, рекомендации по безопасности беспроводных локальных сетей: csrc.nist.gov.
• CIS Control 12, управление сетевой инфраструктурой: cisecurity.org/controls.