cifrado WPA en dos routers enlazados con WDS

[Nastyboy]

Hola

tengo en casa una red formada por dos routers Wifi. Uno de ellos es el 'principal' y está configurado para aceptar sólo conexiones del otro router. El segundo está configurado con WDS para hacer de punto de acceso. De este modo amplio la cobertura de la red, que por motivos arquitectónicos era demasiado escasa.

Quiero implementar cifrado WEP/WPA, y mi pregunta es si debo poner el cifrado únicamente en el router principal o tanto en este como en el que hace de punto de acceso.
Naturalmente, lás máquinas que se conecten deberan tener en cuenta el cifrado, pero mi pregunta es por los dos routers.

El principal es un Comtrend ct536 y el punto de acceso un 3com 3crwdr100y-72

saludos

[BrujoNic]

Si son varios equipos e indistitamente se pueden conectar a uno u otro punto wireless, entonces ambos deben tener habilitado el cifrado WPA y la misma clave, pero de conveniencia en diferente canal.

Además de lo anterior, te recomiendo activar el filtro MAC.

[Nastyboy]

No exactamente. Lo tengo de modo que sólo se puede conectar al 2º router, el principal tiene 'bridge restrict=on' con lo que solo acepta la conexion del 2º router (mac autorizada).

Por otra parte el filtro mac para los clientes está activado.

La pregunta es la misma: ¿debo configurar el crifrado en el principal, en el punto de acceso o en los dos?

gracias

[BrujoNic]

Si es así, entonces solo configura el router donde se conectan los equipos.

[moeb]

Dos cosas:

- La seguridad de acceso basada en MAC es tristemente célebre por lo trivial que resulta saltarla...

- Lo mismo podríamos decir de la encriptación WEP. Cuestión de segundos (minutos en el peor de los casos) obtener la clave con las herramientas adecuadas (disponibles al alcance de cualquiera).

Es decir, actualmente en WIFI: WPA o WPA2. MAC y WEP descartados... Salvo que la seguridad no sea un problema para ti y prefieras algo mas de ancho de banda (no una burrada más, la verdad) para repartir entre varios equipos (mayor grado de encriptación, menor rendimiento de la red... Como siempre).

[Nastyboy]

Moeb, que negro lo pones.
Yo uso, ocultación de baliza, filtro MAC, WPA2-PSK tkip+aes y restricción de IPs.
Aparte cada máquina tiene su propio firewall

en fin...

[moeb]

No es mi intención ponerlo negro, en absoluto...

Preguntas y yo contesto :)

WEP = No. Extracción de clave en segundos/minutos.
MAC = No. Fácilmente "engañabñe" y extracción de MACs válidas.

WPA o WPA2 = mejor opción (el hecho de que la key sea o no shared - PSK - es al margen... El algoritmo es el mejor que se puede usar ahora mismo y el único que ofrece garantías).

Pero... Esto no me lo he inventado yo. Sólo trataba de ayudar.

El firewall no parece tener mucho que ver con lo que planteabas al principio, dado que hablabas de conectar ambos puntos de acceso (sean o no routers) WIFI, no habíamos llegado a la capa de IP aún... Tu restricción era por MAC. Y plantebas si usar WEP o WPA...

Tan sólo te di mi opinión tratando de ayudar. Por supuesto, ni juzgo ni critico lo que hagas dentro de tu red... Es cosa tuya :)

[Nastyboy]

si no me he sentido criticado ni ofendido!!!. Sólo te contaba cómo lo tengo.

LOs dos routers que quiero enlazar con WDS son comtrend cd536+, y me están dando problemas de conexión en abierto.
¿Alguna ayuda?

[BrujoNic]

ja ja, nadie te lo quiere poner negro pero es verdad lo que te están diciendo. Yo no quise profundizar porque para una red casera, tenes un margen muy pequeño que quieran violar tu seguridad pero de que es posible, claro que lo es.

Hay programas para tal fin, algunos complejos otros no tanto y es por lo mismo que mi consejo para redes caseras es poner WPA, filtro MAC y ocultar el SSID.

WEP y WPA, se puede violar pero es más dificil WPA, filtro MAC, se puede tomar una MAC de las que tenes registradas y clonarla para engañar al router y el SSID por más oculto que esté, hay programas que lo pueden detectar.

moeb te dió el panorama completamente negro, pero eso tampoco quiere decir que sea tan fácil, la persona debe saber como hacer para violar tu seguridad y más que todo, estudiar los programas para hacerlo.

Hace años administro PYMES con wireless y no ha pasado nada catastrófico hasta la fecha.

Si queres algo más seguro, tendrías que implementar RADIUS, pero repito, con las recomendaciones antes dadas, no creo que tengas nada de que preocuparte.

[moeb]

Vaya.. Me pareció que habías entendido que trataba de ponerte el panorama "negro"...

No. Mi intención era darte mi opinión A MAYORES de la de BrujoNIC.

Coincido con él en todo, pero yo probaría a usar WPA en AMBOS (no en "uno o en el otro")... Uno de ellos con una clave (conocida sólo por el otro) y el punto de acceso con otra clave (para los PCs).

Vamos... Que si tienes varias formas de evitar conexiones indeseadas (como pareces querer hacer)... ¿Por qué no usar la mejor?

Tan sólo en el caso de que no te funcionase la conexión entre primer y segundo AP (ambos son puntos de acceso, en este contexto, aunque el primero sólo de acceso a una máquina que es el segundo) a través de WPA2, y sólo en ese caso, yo haría lo de la MAC... Sobre todo porque no es más complicado de implementar y es más seguro. Algunos APs no permiten ésto... Tendrás que probar.

[Nastyboy]

Hola

ayer me pasé toda la tarde y noche probando de todo y no logré que funcionara, y eso que ambos routers eran iguales incluso en el firmware. Son son Comtrend CT536+ de Telefónica.
Lo que me ocurre es extraño. Voy a describir cómo lo tengo.

El router principal, llamémoslo R1, que da acceso a internet, esta en modo 'Bridge restrict', para aceptar solo la conexión del router secundario, R2. Además R1 tiene la MAC de R2, para autorizarlo sólo a el. Luego, R1 tiene de nuevo la MAC de R2, junto a las de mis portátiles para el filtrado de conexiones.

El router secundario R2, al cual se conectarán los equipos, está en modo 'access point'. De nuevo R2 tiene de nuevo las MAC de R1 y de mis portátiles para el filtrado de conexiones.

En R2, desactivé DHCP (también en R1), borré los tipos de conexión y puse una nueva: VPI/VCI = 0/35, service=UBR without PCR, tipo de conex=bridging, encapsulado=VC/MUX, bridge service=enabled, service name=br_0_35

Todo esto, por ahora, en abierto, sin WEP ni WPA ni nada, sólo con el filtrado MAC.

Si me conecto a R2 por cable (lo hacía para configurarlo), puedo acceder a R1, pero NO a internet. Lo raro del tema es que mirando el estado de la conexión, R2 me proporciona asigna la IP que yo deseaba en la configuración de la NIC del portatil, igual con las DNSs y con la puerta de enlaco, o sea, todo en orden. Pero no accedo a internet.
Si desenchufo el cable, aún es peor. R2 no me asigna IP y quedo en conectividad limitada, con una IP 169.xxx.xxx.xxx.

Resumiendo lo que me parece que ocurre:
- El router R1 no da acceso completo a R2 para salir al exterior.
- El router R2 no asigna la IP en modo inalámbrico correctamente.

El portatil con el que hacía las pruebas es un netbook con Windows 7 starter, por si sirve de algo.

Tras leer cosas por los foros, actualicé el firmware de R2 con A101-300NCM-C02, R1 no me atrevo porque si me quedo sin conexión......

¿Alguién puede ayudarme a lograr que funcionen?