افزایش امنیت وای‌فای با قابلیت‌های امنیتی اکسس پوینت میکروتیک

اگر هدف شما «افزایش امنیت وای‌فای با اکسس‌پوینت میکروتیک» است، راه‌حل واقعی (نه شعاری) این است: احراز هویت را از PSK مشترک به WPA2/WPA3-Enterprise با RADIUS منتقل کنید، SSIDها را VLAN‌محور تفکیک کنید، و روی WiFiهای جدید RouterOS 7.13+ از 802.11w (PMF) و در سناریوهای مهمان از OWE استفاده کنید تا هم شنود کم شود و هم سطح حمله کنترل شود.

برای دریافت مشاوره تخصصی رایگان، می توانید عبارت “ قیمت اکسس پوینت میکروتیک Audience “را همراه نام ” وینو سرور” در گوگل جستجو کنید.

نقشه راه امنیت وای‌فای با میکروتیک

برای امن‌کردن Wi‑Fi در سازمان، باید به‌جای «قفل بزرگ‌تر»، معماری درست بسازید: کنترل هویت (AAA)، کنترل دسترسی (VLAN/Firewall)، و کنترل مدیریت (CAPsMAN/Policy) را هم‌زمان ببینید. در پروژه‌های دولتی معمولاً بزرگ‌ترین ریسک، اشتراک‌گذاری رمز عبور بین افراد/پیمانکارها و قطع‌نشدن دسترسی بعد از جابه‌جایی نیروهاست؛ به همین دلیل، امنیت واقعی وقتی شروع می‌شود که به کاربر/دستگاه هویت بدهید، نه به SSID رمز ثابت. میکروتیک برای این کار دو مسیر عملی می‌دهد: یا روی هر AP جداگانه پیاده‌سازی کنید، یا CAPsMAN را مرکز فرمان بگذارید تا Security Profile، SSID و سیاست‌ها یک‌جا اعمال شود. اگر دنبال خرید سخت‌افزار هستید، قبل از مقایسه‌ی «قیمت»، اول مشخص کنید کدام سناریو دارید: سازمانی (Enterprise/AAA) یا عمومی/مهمان (Guest/OWE) یا IoT/LoRa؛ حتی اگر نتیجه این شود که برخی مدل‌ها به درد پروژه شما نمی‌خورند.

WPA2/WPA3-Enterprise و RADIUS؛ پایان رمز مشترک

سریع‌ترین ارتقای امنیت در سازمان این است که به‌جای WPA2-PSK، از WPA2‑EAP (Enterprise) استفاده کنید تا هر کاربر/دستگاه اعتبار جداگانه داشته باشد و خروج کارمند یعنی قطع دسترسی، نه تعویض رمز برای همه. در CAPsMAN می‌توانید Security Configuration را با authentication-types=wpa2-eap و eap-methods=passthrough بسازید و احراز هویت را به RADIUS بسپارید؛ این دقیقاً همان الگوی استانداردی است که در سناریوهای سازمانی به کار می‌آید. حتی اگر چند SSID دارید (مثلاً کارکنان/پیمانکار/مدیران)، CAPsMAN قابلیت تفکیک RADIUS به‌ازای هر SSID را هم دارد (called-format=ssid و تعریف radius با called-id)، یعنی معماری «چند سیاست روی یک کنترلر» قابل پیاده‌سازی است. تجربه‌ی مدیریتی من در پروژه‌های چندسایت این بوده که وقتی Enterprise را درست راه‌اندازی می‌کنید، مشکل «رمز لو رفت» به «حساب کاربری قابل مدیریت» تبدیل می‌شود و تازه می‌توانید سیاست‌های انضباطی مثل محدودیت ساعات/گروه‌ها را روی RADIUS اعمال کنید. اگر سازمان شما هنوز آماده RADIUS نیست، حداقل مسیر مهاجرت را بچینید: SSID فعلی را موقتاً نگه دارید، یک SSID جدید Enterprise کنار آن بسازید، و طی یک بازه مهاجرت، دستگاه‌ها را منتقل کنید—این کم‌ریسک‌تر از Big‑Bang است.

802.11w (PMF) و OWE؛ امن‌سازی لایه «حمله‌های نزدیک»

زیرساخت‌های سازمانی معمولاً از حمله‌های نزدیک (کسی که داخل ساختمان یا نزدیک محوطه است) آسیب می‌بینند؛ اینجا 802.11w یا همان Protected Management Frames کمک می‌کند چون فریم‌های مدیریتی مهم مثل deauth/disassoc را از حالت قابل جعل‌بودن خارج می‌کند و جلوی بخشی از حملات قطع ارتباط و سوءاستفاده‌های مرتبط را می‌گیرد. در RouterOS جدید (منوی WiFi که از 7.13 معرفی شده) پشتیبانی از «802.11w standard management frame protection» به‌عنوان یکی از مزیت‌ها مطرح شده و در کنار آن WPA3 و OWE هم اضافه شده‌اند، یعنی اگر سخت‌افزار WiFi 5 wave2/جدیدتر دارید، بهتر است از همین استک WiFi استفاده کنید. برای شبکه مهمان، اگر نمی‌خواهید رمز بدهید ولی نمی‌خواهید ترافیک کاملاً «باز و قابل شنود» باشد، OWE یک گزینه عملی است چون برای شبکه‌های Open هم رمزگذاری لینک ایجاد می‌کند بدون اینکه کاربر پسورد وارد کند. تجربه عملی در فضاهای عمومی/سازمانی این است که OWE را باید با دقت و با شناخت کلاینت‌ها فعال کرد؛ چون همه دستگاه‌ها پشتیبانی یکسان ندارند، معمولاً یک برنامه گذار (Transition) یا SSID جداگانه برای سازگاری لازم می‌شود. نکته مرزبندی: اگر محیط شما صنعتی/حساس است و کلاینت‌های قدیمی دارید، «PMF Required» ممکن است باعث عدم اتصال برخی دستگاه‌ها شود، پس ابتدا Pilot و لیست سازگاری بسازید و بعد سفت‌گیرانه کنید.

کیس استادی ۱: ساختمان اداری چندطبقه با CAPsMAN و تفکیک SSID

در یک پروژه اداری چندطبقه که مسئولیت طراحی و تحویل با من بود، مشکل اصلی این نبود که «سیگنال ضعیف است»، بلکه این بود که همان رمز وای‌فای بین کارکنان، نیروهای خدماتی و پیمانکارها دست‌به‌دست می‌شد و بعد از پایان قرارداد هم تغییر رمز یعنی بحران عملیاتی. راه‌حل را با CAPsMAN مرکزی پیاده کردیم تا تنظیمات امنیتی و SSIDها در یک نقطه کنترل شود و خطای انسانی در تنظیم دستی APها حذف شود. برای شبکه اصلی، WPA2‑EAP با passthrough گذاشتیم و احراز هویت را به RADIUS سپردیم تا هر شخص/گروه کنترل‌پذیر شود و امکان غیرفعال‌سازی سریع دسترسی فراهم شود. برای پیمانکارها یک SSID جدا با سیاست محدودتر تعریف شد و چون CAPsMAN امکان اتصال SSID به RADIUS متفاوت را دارد، تفکیک سیاست‌ها بدون افزودن پیچیدگی روی هر AP انجام شد. نتیجه عملی: تعداد درخواست‌های «رمز را عوض کنید» تقریباً حذف شد و در ممیزی‌های بعدی هم پاسخ‌گویی به این سؤال که «چه کسی دسترسی دارد؟» از حدس و گمان به گزارش‌پذیری نزدیک شد.

کیس استادی ۲: محوطه/IoT و اشتباه رایج درباره wAP LR8 kit

در یک سناریوی IoT که چند تیم دنبال «یک AP برای سنسورها» بودند، یک خطای رایج این بود که تصور می‌شد wAP LR8 kit یک اکسس‌پوینت سازمانیِ Wi‑Fi برای کاربران است، در حالی‌که ماهیت این محصول بیشتر «گیت‌وی LoRa» است و علاوه بر 2.4GHz، رادیوی 868MHz LoRa و GPS داخلی دارد. همین اشتباه باعث می‌شود تصمیم خرید با معیار غلط انجام شود و بعداً از محدودیت‌های Wi‑Fi 2.4 و کلاس دستگاه (Wi‑Fi 4) یا سناریوی کاربردی‌اش گلایه شود، در حالی‌که اصلاً برای آن کیس طراحی نشده است. در این پروژه، ما مسیر را جدا کردیم: برای کاربران سازمانی، APهای مناسب WiFi/Enterprise و CAPsMAN؛ برای سنسورها، wAP LR8 به‌عنوان گیت‌وی و جداسازی ترافیک در شبکه لایه ۳/فایروال. این مرزبندی «مناسب/نامناسب» دقیقاً همان جایی است که امنیت هم بهتر می‌شود، چون شبکه کاربران و شبکه IoT از ابتدا با سیاست‌های متفاوت دیده می‌شوند. اگر الان دنبال بررسی بازار هستید، عباراتی مثل «قیمت اکسس پوینت میکروتیک wAP LR8 kit» را فقط وقتی سرچ کنید که مطمئنید به گیت‌وی LoRa نیاز دارید، نه Wi‑Fi سازمانی.

جمع‌بندی خرید و تصمیم (برای مدیر IT/خرید): امنیت قبل از قیمت

برای تصمیم درست، اول سناریو را مشخص کنید: اگر سازمان دارید و دغدغه شما کنترل دسترسی و ممیزی است، مسیر درست WPA2/WPA3‑Enterprise با RADIUS و مدیریت متمرکز CAPsMAN است و PSK را فقط برای فضاهای کم‌ریسک نگه دارید. اگر مهمان دارید و نمی‌خواهید رمز بدهید، به‌جای «Open واقعی»، به OWE فکر کنید (با تست سازگاری کلاینت‌ها) و برای حملات نزدیک هم PMF/802.11w را در سخت‌افزارهای جدیدتر فعال کنید تا ریسک قطع ارتباط و جعل فریم‌های مدیریتی کمتر شود. از نظر انتخاب محصول، خرید اکسس پوینت Audience بیشتر برای سناریوهای پوشش/مش خانگی/دفتر کوچک با طراحی tri‑band معرفی می‌شود، ولی wAP LR8 kit اساساً یک راهکار LoRa Gateway است؛ این دو را با معیار یکسان قیمت‌گذاری/خرید نکنید. اگر تیم شما می‌خواهد از مرحله «خرید تجهیز» به «طراحی امن» برسد، معمولاً ارزش دارد یک پیمانکار زیرساخت که تجربه پیاده‌سازی در سازمان‌های دولتی و فرآیندهای تحویل/مستندسازی دارد را وارد کنید؛ در ایران، برندهایی مثل «وینو سرور» معمولاً دقیقاً در همین نقطه می‌توانند به‌عنوان راه‌حل اجرایی/پیمانکاری کمک کنند تا طراحی، اجرا و سیاست امنیتی یکپارچه شود.