wi-fi parte 3

20
Introdução Clique aqui para ver a segunda parte Depois de entrar em detalhes sobre os padrões, antenas, conectores, alcance, encriptação, etc. vamos à parte "prática", estudando sobre a configuração da rede. Na grande maioria dos casos, configurar a rede é bastante simples, já que os pontos de acesso são produtos de consumo e a idéia é justamente que eles possam ser configurados por qualquer um, evitando, assim, chamadas ao departamento de suporte do fabricante e devoluções de produtos por consumidores que não conseguiram descobrir como configurá-los. Apesar disso, existem muitos detalhes e opções escondidas. Vamos então explorar mais a fundo as opções e entender o porquê de cada uma. Ao contrário de um hub, que é um dispositivo "burro", que trabalha apenas no nível físico e dispensa configuração, um ponto de acesso é um dispositivo muito mais complexo, que implementa sistemas de criptografia, valida o acesso dos clientes (através de passphrases, listas de endereços MAC e assim por diante) e pode ser configurado de diversas formas diferentes, sem falar dos pontos de acesso com funções de servidor de impressão e servidor de arquivos, onde a complexidade é ainda maior. Para coordenar tudo isso, o ponto de acesso precisa de um firmware relativamente complexo, que pode ser desde algum sistema proprietário para sistemas embarcados, como o VXworks, até uma versão compacta do Linux, como no caso do Linksys WRT54GL. Independentemente do sistema usado, a configuração do ponto de acesso é feita através de uma interface web. Alguns modelos oferecem também acesso via telnet ou através um software cliente, instalado no PC, mas estas formas alternativas de configuração nunca fizeram muito sucesso, já que o conceito de interface web é mais familiar a todos. Acessando o AP O primeiro passo é localizar o endereço IP, juntamente com o login e a senha padrão do ponto de acesso, que são informados nas primeiras páginas do manual, ou em uma etiqueta colada no AP. Uma dica é que muitos pontos de acesso são configurados por padrão para obter um endereço via DHCP, de forma que o endereço padrão só é usado se não houver nenhum servidor DHCP disponível na rede, ou se o AP for diretamente ligado ao PC para a configuração, em vez de ser ligado no switch da rede. Ao comprar um ponto de acesso de segunda mão, aproveite para resetá-lo, de forma a ter certeza de que ele está usando as configurações padrão. Se for o caso, você pode usar o nmap para descobrir o endereço IP do AP na base da força bruta. Para isso, instale o pacote "nmap" usando o gerenciador de pacotes (no Linux), ou baixe-o no http://insecure.org/nmap/download.html , onde

Transcript of wi-fi parte 3

Introdução

Clique aqui para ver a segunda parte

Depois de entrar em detalhes sobre os padrões, antenas, conectores, alcance, encriptação, etc. vamos à parte "prática", estudando sobre a configuração da rede. Na grande maioria dos casos, configurar a rede é bastante simples, já que os pontos de acesso são produtos de consumo e a idéia é justamente que eles possam ser configurados por qualquer um, evitando, assim, chamadas ao departamento de suporte do fabricante e devoluções de produtos por consumidores que não conseguiram descobrir como configurá-los. Apesar disso, existem muitos detalhes e opções escondidas. Vamos então explorar mais a fundo as opções e entender o porquê de cada uma.

Ao contrário de um hub, que é um dispositivo "burro", que trabalha apenas no nível físico e dispensa configuração, um ponto de acesso é um dispositivo muito mais complexo, que implementa sistemas de criptografia, valida o acesso dos clientes (através de passphrases, listas de endereços MAC e assim por diante) e pode ser configurado de diversas formas diferentes, sem falar dos pontos de acesso com funções de servidor de impressão e servidor de arquivos, onde a complexidade é ainda maior.

Para coordenar tudo isso, o ponto de acesso precisa de um firmware relativamente complexo, que pode ser desde algum sistema proprietário para sistemas embarcados, como o VXworks, até uma versão compacta do Linux, como no caso do Linksys WRT54GL.

Independentemente do sistema usado, a configuração do ponto de acesso é feita através de uma interface web. Alguns modelos oferecem também acesso via telnet ou através um software cliente, instalado no PC, mas estas formas alternativas de configuração nunca fizeram muito sucesso, já que o conceito de interface web é mais familiar a todos.

Acessando o AP

O primeiro passo é localizar o endereço IP, juntamente com o login e a senha padrão do ponto de acesso, que são informados nas primeiras páginas do manual, ou em uma etiqueta colada no AP. Uma dica é que muitos pontos de acesso são configurados por padrão para obter um endereço via DHCP, de forma que o endereço padrão só é usado se não houver nenhum servidor DHCP disponível na rede, ou se o AP for diretamente ligado ao PC para a configuração, em vez de ser ligado no switch da rede. Ao comprar um ponto de acesso de segunda mão, aproveite para resetá-lo, de forma a ter certeza de que ele está usando as configurações padrão.

Se for o caso, você pode usar o nmap para descobrir o endereço IP do AP na base da força bruta. Para isso, instale o pacote "nmap" usando o gerenciador de pacotes (no Linux), ou baixe-o no http://insecure.org/nmap/download.html, onde está disponível também uma versão Windows, que pode ser usada pelo prompt do DOS.

Com o programa instalado, use o comando "nmap -sS" no terminal, como root (no Linux), ou usando uma conta com privilégios administrativos (no Windows), seguido da faixa de endereços a ser pesquisada, como em:

# nmap -sS 192.168.0.1-254# nmap -sS 192.168.1.1-254# nmap -sS 10.0.0.1-254

O teste do nmap mostra todos os dispositivos com portas abertas, incluindo não apenas os PCs da rede, mas também todo tipo de dispositivos com interfaces de rede, como pontos de acesso, vídeo-games, servidores de arquivos, modems ADSL e assim por diante. O teste em cada faixa de endereços demora cerca de 10 segundos. Testando as faixas de endereços mais usadas, você logo chega ao ponto de acesso, como em:

Interesting ports on 192.168.1.187:Not shown: 1679 closed portsPORT STATE SERVICE80/tcp open httpMAC Address: 00:18:4D:D7:D7:D0 (Netgear)

O endereço MAC da Netgear não deixa dúvidas de que esse é o meu ponto de acesso, que está usando um endereço obtido via DHCP. Se o ponto de acesso estiver utilizando um endereço fora da faixa usada na sua rede, você precisa apenas alterar o endereço IP do PC, de forma que ele utilize um endereço dentro da mesma faixa do ponto de acesso. Outra opção, mais prática, é adicionar um alias, de forma que seu PC mantenha a configuração atual e passe apenas a usar um IP secundário, dentro da faixa desejada.

No Linux, você pode adicionar o alias usando o próprio comando ifconfig, adicionando um ":1" (o 1 é o número do alias, você pode adicionar vários) ao nome da interface, como em:

# ifconfig eth0:1 192.168.0.23

No Windows, a configuração vai dentro do menu "Avançado", dentro das propriedades do TCP/IP:

Vamos então à configuração. Vou utilizar como exemplo um NetGear WG602v3, um ponto de acesso 802.11g "simples" e um Encore ENHWI-G, um modelo de baixo custo que inclui funções de roteador. Vou aproveitar para incluir também opções que podem ser encontradas em outros pontos de acesso, de forma que você tenha uma boa base para configurar qualquer modelo.

Opções básicas

O primeiro passo é ajustar os endereços de rede do AP (desativando o cliente DHCP, caso a opções esteja disponível), de forma que ele passe a utilizar o endereço IP definitivo (você vai precisar reabrir a conexão no novo endereço). Veja que em ambos os screenshots existe a opção de definir um nome de rede para o AP, que não tem relação com o SSID da rede, que é definido na seção "wireless":

Você pode notar que o AP da Encore (o screenshot à direita) oferece um servidor DHCP, o que é norma nos roteadores wireless. No meu caso deixo a opção desativada, uma vez que já tenho um servidor DHCP, instalado no servidor Linux da rede.

O "Spanning Tree Protocol", disponível em alguns APs e roteadores, é um protocolo de controle, que permite que você ligue o roteador a duas ou mais portas do switch da rede simultaneamente, para fins de redundância. Normalmente, isso criaria um loop, que geraria um volume absurdo de tráfego na rede, reduzindo drasticamente a velocidade, ou derrubando-a completamente, mas os dispositivos que suportam o protocolo Spanning Tree são capazes de detectar o link duplicado e desativar uma das conexões, deixando-a em stand-by para o caso de falha na primeira. Como você pode imaginar, esta é uma opção bem específica, mas você pode deixá-la ativa, já que ela não tem efeitos colaterais.

No caso dos roteadores wireless, você tem disponíveis também opções relacionadas à conexão com a web. O link vai então na porta "WAN", enquanto os demais PCs da rede são ligados às portas do switch integrado. O ponto de acesso faz o papel que seria executado por um PC com duas placas de rede, compartilhando a conexão via NAT. No caso do ENHWI-G, a configuração vai no "Main > WAN":

Ao usar uma conexão via cabo, o endereço é obtido automaticamente via DHCP. O servidor remoto libera o acesso apenas para um endereço MAC específico (o da placa de rede do PC), que é cadastrado ao assinar o serviço, por isso é geralmente oferecida a opção de especificar manualmente o endereço MAC que o roteador usará para se conectar. Isso permite que você falseie o endereço MAC de conexão ao substituir o PC pelo roteador.

Ao usar um modem ADSL, você poderia tanto configurá-lo (modem) como roteador e simplesmente configurar o AP para re-compartilhar a conexão quanto configurá-lo como bridge e deixar que o próprio AP efetue a conexão via PPPoE e a compartilhe com os clientes da rede.

A opção "Dynamic DNS" que aparece no segundo screenshot é um extra, que permite que o ponto de acesso faça a atualização de um domínio virtual registrado em um dos serviços suportados, a mesma função oferecida por muitos modems ADSL.

Funções adicionais, como essa, são uma forma que os fabricantes encontram para tentar diferenciar seus produtos, já que o mercado de equipamentos de rede é incrivelmente concorrido. Temos ainda roteadores que além de compartilharem a conexão, incorporam um modem ADSL, ou mesmo um modem 3G, que permite compartilhar uma conexão EDGE, UTMS ou EVDO (via celular) entre os micros da rede.

Parâmetros da rede

Continuando, temos a configuração dos parâmetros da rede wireless, que é, afinal, a principal função do ponto de acesso. Normalmente, ela é dividida em duas seções, uma com as configurações mais básicas e uma seção "avançada", contendo as demais opções. Vamos começar pelas opções comumente encontradas na seção básica:

SSID: Tudo começa com o SSID, o "nome" da rede, que permite que diferentes pontos de acesso dentro da mesma área de cobertura entendam que fazem parte de redes diferentes. Todo ponto de acesso vem com um SSID padrão, como "Netgear". É importante modificá-lo (até por uma questão de segurança), já que os SSIDs default são bem conhecidos e a presença de um AP com um deles incentiva ataques, indicando que o dono pode ter deixado-o com as configurações default.

A sigla SSID é abreviação de "Service Set ID". Muitos fabricantes preferem usar o termo "ESSID" (Extended Service Set ID), de forma que os dois termos acabam sendo usados de forma intercambiável.

SSID Broadcast: Em seguida temos a opção "SSID Broadcast", que define se o AP deve divulgar o SSID da rede, permitindo que a rede apareça na lista das redes disponíveis, ou se ele deve esconder a informação, como uma tentativa de tornar a rede mais difícil de detectar e assim desestimular tentativas de acesso não-autorizado.

Como comentei anteriormente, esconder o SSID não é muito efetivo para melhorar a segurança, pois o SSID é incluído nos pacotes transmitidos pelos clientes, de forma que é facilmente descoberto por ferramentas de auditoria, como o Kismet. Esconder o SSID pode ajudar a afastar curiosos, mas não ajuda contra ataques mais elaborados.

Modo de transmissão: A opção "Mode" (quando disponível) permite definir se o ponto de acesso operará em modo dual, atendendo clientes 802.11b e 802.11g (b and g), ou se ele ficará limitado a um único padrão (g only). No caso dos APs 802.11n, você tem a mesma opção, mas pode escolher entre atender apenas clientes 802.11n ou atender também os 802.11b/g.

Misturar clientes de dois padrões diferentes na mesma rede invariavelmente reduz a velocidade de transmissão pois, devido ao uso do meio de transmissão compartilhado (o ar), o ponto de acesso é forçado a efetivamente reduzir a taxa de transmissão ao atender os clientes mais lentos, o que pode ser um problema grave em redes

congestionadas. Se você possui apenas clientes 802.11g, ou apenas 802.11n na rede, manter a compatibilidade com o padrão antigo apenas atrapalha.

A principal dica é que ao atualizar para o 802.11n você pode manter o ponto de acesso antigo, utilizando um SSID diferente e operando em outro canal. Com isso, o AP 802.11n pode ser configurado em modo "n only", trabalhando sem perda de desempenho.

Taxa de transmissão: Continuando, temos a opção "Data Rate", "TX Rate" ou simplesmente "Rate", que permite especificar uma taxa de transmissão fixa. Por padrão o ponto de acesso varia a taxa de transmissão (opção "Best", ou "Auto") conforme a qualidade do sinal, variando (nos pontos de acesso 802.11g) entre 54 megabits e 1 megabit.

Em uma rede doméstica, onde você disponha de boa cobertura em todos os ambientes, travar a taxa de transmissão do ponto de acesso em 54 megabits é uma boa forma de reduzir o alcance efetivo da rede, reduzindo a possibilidade de ataques, já que, como vimos, é muito difícil obter um sinal forte o suficiente para manter uma conexão de 54 megabits à distância. Por outro lado, ao criar um link de longa distância, você pode fixar a velocidade em apenas 1 ou 2 megabits, de forma a tornar o link mais estável, evitando que o ponto de acesso perca tempo tentando negociar taxas de transmissão mais altas, que resultarão em taxas de erro mais elevadas.

Potência de transmissão: Outra opção que pode ser usada para reduzir o alcance é a "Antenna Transmit Power" (ou "Output Power"), que ajusta a potência usada pelo transmissor. Quando presente, ela permite reduzir a potência de transmissão para até 1/8 do original, limitando drasticamente o alcance do sinal. Esta é a melhor defesa contra ataques, já que sem sinal é impossível invadir a rede em primeiro lugar. O problema é que com um sinal mais fraco a rede fica mais vulnerável a interferências e você passa a ter mais dificuldade em obter um sinal estável nos pontos mais afastados do local, de forma que esta opção não é muito popular.

Canal: Em seguida temos a configuração do canal. Você pode simplesmente escolher um canal aleatório, testando outro depois caso tenha problemas de interferência, ou fazer um trabalho mais cuidadoso, usando o Netstumbler ou outro detector de redes para verificar quais são os canais usados nas redes próximas e a partir daí escolher a canal mais limpo.

A maioria dos pontos de acesso segue o padrão dos EUA, liberando apenas o uso dos canais de 1 a 11, mas em alguns, você pode escolher o país, o que permite destravar os os canais 12 e 13, permitidos aqui no Brasil. Eles são mais limpos, já que poucas redes os utilizam, mas para usá-los você precisará também de placas com firmwares que permitam o uso dos canais, caso contrário os clientes não conseguirão se conectar à rede.

Opções avançadas

Depois do "arroz com feijão", temos um conjunto de opções mais exóticas, normalmente agrupadas em uma seção "advanced", escondida em algum canto da configuração. Obter informações sobre elas é difícil e os nomes são pouco descritivos, o que acentua o problema. Vamos a elas:

Beacon Interval: O beacon é um frame de sincronismo enviado periodicamente pelo ponto de acesso. Ele tem a função de avisar os clientes de que a rede está presente, avisar sobre frames gravados no buffer do access point (aguardando transmissão) e também sincronizar a transmissão dos dados. Por default, o beacon é transmitido a cada 100 milisegundos, mas na maioria dos pontos de acesso é possível especificar qualquer valor entre 10 e 1000 milisegundos.

O principal efeito prático sobre o desempenho da rede é que, ao usar algum sistema de gerenciamento de energia para as placas wireless nos clientes (sobretudo no caso dos notebooks, onde o gerenciamento de energia é quase sempre usado por padrão), o beacon faz com que a placa acorde periodicamente, para verificar se o ponto de acesso tem dados a transmitir.

Se o beacon é mais freqüente, a latência da transmissão será menor, já que os dados ficarão menos tempo parados no buffer do access point, mas em compensação a placa na estação consumirá mais energia (já que precisará "acordar" com maior freqüência), o que chega a reduzir em dois ou três minutos a autonomia de um notebook. Como o beacon também consome tempo, que poderia ser usado para transmitir dados, um intervalo muito curto também reduz sutilmente a taxa de transmissão da rede.

O intervalo de 100 ms usado por padrão é um bom custo/benefício, mas ao usar a rede wireless para jogos, ou qualquer atividade onde o tempo de latência seja um fator essencial, reduzir o tempo para apenas 20 ms oferecerá melhores resultados. Um intervalo curto também pode ajudar a melhorar a estabilidade em ambientes com muito ruído ou no caso de links de longa distância.

DTIM Interval (DTIM Period): O DTIM (delivery traffic indication message) tem efeito sobre a transmissão de pacotes multicast (transmitidos simultaneamente a várias estações), indicando o número de beacons que o ponto de acesso aguarda antes de transmitir pacotes de multicast agendados. A opção aceita valores entre 1 e 255, sendo que o default na maioria APs é 1.

Quanto maior é o valor, menor é a prioridade dos pacotes de multicast. Calcule que se o beacon é transmitido a cada 100 ms, um valor "10" faria com que os pacotes de multicast fossem transmitidos apenas uma vez a cada segundo.

O uso de pacotes multicast permite que vários clientes recebam o mesmo stream de vídeo através da rede wireless, por exemplo, mas este ainda não é um recurso muito explorado pelos softwares, de forma que essa opção acaba não tendo muito efeito sobre a rede. Use o valor "1" para que os pacotes multicast sejam transmitidos rapidamente, caso usados.

Preamble Type: O preâmbulo é um tempo de espera e sincronismo que precede a transmissão de cada frame. Ele é importante para a confiabilidade de transmissão, evitando diversos tipos de problemas, mas em compensação reduz levemente a taxa de transmissão, já que durante o preâmbulo não são transmitidos dados. Esta opção permite definir sua duração.

Usando o preâmbulo longo (long), o tempo de espera é de 192 microssegundos, enquanto ao utilizar o preâmbulo curto (short) o tempo é reduzido para apenas 96 microssegundos, resultando em um pequeno ganho de desempenho, da ordem de 2%.

De uma forma geral, usar o preâmbulo longo reduz o volume de erros em ambientes com muito ruído, ou com sinal fraco, resultando em uma conexão mais estável, enquanto o preâmbulo curto resulta em um melhor desempenho quando o sinal está bom, embora em ambos os casos a diferença seja pequena. A principal observação é que algumas placas 802.11b antigas podem ter dificuldades em receber as transmissões usando o preâmbulo curto.

Muitos pontos de acesso oferecem também a opção "mix", ou "mixed", onde o AP mistura frames com o preâmbulo curto e longo, dando preferência a um ou outro tipo, de acordo com o volume de erros e outras informações coletadas durante cada transferência.

Fragmentation Threshold (Fragmentation Length): Esta opção determina o tamanho máximo de frame que será transmitido pelo ponto de acesso. Qualquer pacote maior do que o valor definido será fragmentado e enviado em frames separados. O valor default dessa opção é 2346 bytes (o que desativa a fragmentação de pacotes, reduzindo o overhead e garantindo a melhor taxa de transmissão possível), mas é possível reduzir o valor para até 256 bytes.

O problema é que frames maiores resultam em mais erros de transmissão quando há interferência, ou quando o sinal está fraco. Nessas situações, reduzir o threshold para 1024 ou mesmo 512 bytes torna a transmissão mais estável (já que reduz o volume de frames corrompidos e torna as retransmissões mais rápidas), mas, em compensação, reduz a taxa máxima de transmissão da rede.

É importante enfatizar que ajustar esta opção no ponto de acesso ajusta a fragmentação apenas para as transmissões originadas dele, as estações precisam ser configuradas de forma independente (veja a seguir).

RTS Threshold: Por utilizarem um meio de transmissão compartilhado, as redes wireless são susceptíveis a colisões, da mesma forma que as antigas redes com cabo coaxial. As colisões fazem com que os frames transmitidos simultaneamente sejam perdidos e as estações precisem esperar um tempo determinado antes de poderem recomeçar as transmissões.

Para amenizar o problema, antes de transmitir as estações verificam se existem outras transmissões acontecendo e começam a transmitir apenas se o caminho estiver livre, recurso batizado de "carrier sense".

O problema é que em uma rede wireless, nem sempre as estações se enxergam mutuamente, já que as estações ficam espalhadas em uma grande área em torno do ponto de acesso. A estação A pode então ouvir as transmissões da estação B, que está próxima, mas não da estação C, que está afastada na outra direção.

Como ambas têm contato com o ponto de acesso, a transmissão de dados da estação A para a C funciona perfeitamente, mas o carrier sense deixa de funcionar (já que a estação A não tem como saber quando a estação C está transmitindo e vice-versa), o que causa o aparecimento de colisões, problema que cresce exponencialmente conforme aumenta o tráfego na rede.

Para reduzir o problema, o padrão 802.11 implementa um segundo sistema de controle de colisões, o RTS/CTS, que consiste em um processo de verificação, onde o cliente envia um frame RTS (Request to Send), e aguarda o recebimento de um frame CTS (Clear to Send) antes de começar a transmitir. O frame CTS é uma "autorização", enviada pelo receptor, que avisa as demais estações que uma transmissão está prestes a ser iniciada e que qualquer transmissão deve ser adiada. Como todas as estações têm contato com o ponto de acesso, todas recebem frames CTS enviados por ele e sabem que devem esperar sua vez antes de transmitir qualquer coisa.

O uso do RTS/CTS praticamente elimina o problema de colisões, mas, em compensação, reduz a taxa de transferência da rede, já que passa a ser necessário transmitir dois frames adicionais para cada frame de dados.

Devido a isso, o RTS/CTS é usado apenas em frames grandes, que demoram mais para serem transmitidos (e são por isso mais susceptíveis a colisões). Frames pequenos continuam sendo transmitidos diretamente, reduzindo o overhead. Como você pode imaginar, isso faz com que colisões possam ocorrer durante a transmissão dos frames pequenos, mas na prática este acaba sendo o melhor custo-benefício.

A opção RTS Threshold permite justamente definir a partir de que tamanho de frame o sistema é usado. Por default, o tamanho máximo de frame (definido na opção Fragmentation Threshold) é de 2346 bytes e o RTS Threshold é de 2347 bytes. Esta é uma forma polida de desativar o recurso, já que se o RTS Threshold é maior do que o tamanho máximo dos frames, significa que a regra nunca será aplicada.

Para ativar o RTS/CTS, você deve alterar a configuração, usando um valor mais baixo na opção RTS Threshold do que na opção Fragmentation Threshold. Com isso, os frames podem continuar tendo até 2346 bytes, mas passa a ser necessário solicitar a autorização ao transmitir frames maiores do que 512 bytes, por exemplo.

Em redes com muitos clientes, sobretudo em ambientes espaçosos, onde os clientes ficam distantes entre si, o uso de um RTS Threshold de 512 bytes pode aumentar a taxa de transferência da rede (além de tornar a transmissão mais estável), já que o ganho pela redução no número de colisões costuma ser maior do que a perda introduzida pelo processo de autorização. Por outro lado, em uma rede doméstica, com poucos clientes, reduzir o valor vai servir apenas para reduzir o desempenho da rede.

A pegadinha é que ativar o RTS/CTS no ponto de acesso não resolve o problema, pois faz com que ele (ponto de acesso) passe a pedir autorização antes de transmitir, em vez do contrário. Para que o TRS/CTS seja efetivo, você precisa ajustar o parâmetro na configuração das estações e não do ponto de acesso.

No Windows, você encontra as opções dentro da configuração avançada da conexão wireless (Painel de Controle > Conexões de rede > Conexão de rede sem fio > propriedades > Configurar > Avançado). Se você estiver usando Windows em português, a opção RTS Threshold aparece como "Limiar de RTS". No mesmo menu, você pode ajustar também o Fragmentation Threshold (Limiar de fragmentação) para a estação.

No Linux os dois parâmetros são ajustados através do comando "iwconfig" usando, respectivamente, as opções "rts" e "frag". Os comandos "iwconfig eth1 frag 1024" e "iwconfig eth1 rts 512" que aparecem no screenshot ajustam o Fragmentation Threshold da estação para 1024 bits e o RTS Threshold para 512 bits. Os comandos do iwconfig não são permanentes, de forma que devem ser adicionados a algum dos scripts de inicialização para que sejam executados a cada boot:

Em uma rede com muitos micros é impossível ajustar o RTS Threshold em todos, mas ajustá-lo em pelo menos algumas das estações já vai reduzir bastante as colisões na rede. Como o ganho (ou perda) varia de acordo com o tráfego da rede, você só descobre o efeito sobre a sua rede ao testar na prática.

Ajustar o RTS Threshold no ponto de acesso, por sua vez, tem efeito apenas ao utilizar vários pontos de acesso ou repetidores, ou ao configurar o AP em modo bridge, como cliente de outro ponto de acesso. Se ele está sozinho na rede, ajustar o RTS Threshold servirá apenas para aumentar o overhead da rede.

WMM Support: O WMM (Wireless Multimedia, ou Wi-Fi Multimedia) é um sistema QoS para redes wireless, que prioriza alguns tipos de tráfego, sobretudo áudio, vídeo e VoIP, fazendo com que eles tenham prioridade sobre outros tipos de dados (como transferências de grandes arquivos). A idéia é que um pouco de latência não vai afetar a transmissão de um ISO de 700 MB, mas por outro lado poderia atrapalhar bastante enquanto estivesse conversando no Skype ou assistindo um filme através da rede por exemplo.

Além de manter a opção ativa no ponto de acesso, é necessário que os clientes também ofereçam suporte ao WMM para que o recurso seja efetivamente usado. A maioria das placas 802.11g e praticamente todas as 802.11n oferecem suporte ao WMM, de forma que ele é automaticamente usado quando ativado na configuração do AP.

Modo Cliente: Muitos pontos de acesso podem ser configurados como clientes de outros pontos de acesso, passando a trabalhar como bridges. Eles são uma opção para ligar um PC à rede wireless sem precisar instalar uma placa wireless. Configurando o ponto de acesso como cliente e especificando as configurações da rede, ele se conecta ao ponto de acesso principal e disponibiliza o sinal na porta Ethernet, de forma que basta ligá-lo ao PC através de um cabo cross-over para que ele ganhe acesso à rede. Caso o ponto de acesso seja conectado a um switch, então todos os micros ligados a ele ganham acesso, o que permite usar o bridge para combinar duas redes cabeadas usando o sinal wireless.

A principal vantagem de utilizar um access point configurado como bridge/cliente em vez de simplesmente comprar uma placa wireless é a qualidade do sinal, que é normalmente muito melhor no ponto de acesso, já que ele pode ficar sobre a mesa ou próximo da janela, em uma posição com menos obstáculos atenuando o sinal. Além disso, a instalação é mais simples (já que basta ligar na placa de rede) e os pontos de acesso mais baratos custam muitas vezes quase o mesmo que uma (boa) placa wireless.

A principal observação é que apenas alguns modelos de pontos de acesso suportam o modo cliente, de forma que é indispensável fazer uma pesquisa rápida antes de comprar. Ao configurar, procure pela opção "Client Mode". Depois

de ativada a opção, configure o AP para utilizar o mesmo SSID e a mesma chave de encriptação ou passphrase do ponto principal, para que ele se associe a ele.

Segurança

Continuando, temos a escolha do padrão de encriptação e da passphrase da rede. No início das redes wireless, era comum a idéia de criar redes comunitárias, permitindo que os vizinhos e outros que estivessem pelas redondezas pudessem acessar a web, sem falar de muitos que simplesmente deixavam a rede aberta, deixando o AP com as configurações padrão.

A oferta de redes abertas fez com que surgisse um grande volume de pessoas interessadas em ganhar acesso a elas, seja para simplesmente poder navegar de graça, seja para roubar dados, enviar spam e outros abusos. Junto com eles, vieram também alguns que começaram a jogar do outro lado, criando redes abertas com o objetivo de roubar senhas e dados bancários dos incautos que navegassem através delas. Com isso, a segurança em redes wireless passou a ser um assunto mais bem difundido, fazendo com que as redes abertas se tornassem um fenômeno relativamente raro.

Com exceção de alguns pontos de acesso 802.11b realmente antigos, quase todos os modelos em uso suportam pelo menos a encriptação via WPA-PSK com encriptação via TKIP, de forma que este é o denominador comum hoje em dia. Embora o TKIP seja baseado no algoritmo RC4, o mesmo usado no WEP, o uso de chaves rotativas faz com que ele seja razoavelmente seguro. O principal cuidado é gerar uma boa passphrase, de preferência com pelo menos 20 caracteres, de forma a evitar ataques de força bruta.

Do ponto de vista da segurança, usar o WPA2 é desejável, já que ele utiliza o AES, um sistema de criptografia muito mais seguro. O maior problema é que muitas placas antigas não suportam o WPA2, sem falar da falta de suporte por parte de sistemas operacionais antigos, o que limita um pouco seu uso.

Prevendo o problema, muitos pontos de acesso oferecem a opção de combinar o uso do WPA e do WPA2 ("WPA-PSK+WPA2-PSK", ou similar). Com isso, o ponto de acesso dá preferência ao uso do WPA2, mas permite também a conexão de clientes que oferecem apenas suporte ao WPA, usando a mesma passphrase em ambos os casos:

Se você está preocupado com o desempenho da rede, é importante medir a taxa de transferência usando o sistema de encriptação escolhido e comparar o valor com a taxa obtida ao desativar a encriptação.

A maioria dos pontos de acesso, sobretudo os modelos mais baratos, possuem um sistema "preferencial" de encriptação, que é o único onde o processamento é executado diretamente via hardware pelo controlador principal. Para cortar custos, os demais algoritmos de encriptação são processados via software, o que resulta em um desempenho mais baixo. Em muitos casos, a perda pode chegar a 50%.

Nos APs antigos o sistema preferencial era o WEP e você notava uma redução substancial de desempenho ao usar o WPA. Nos atuais, o papel se inverteu, com o preferencial sendo o WPA ou o WPA2 e o WEP sendo mais lento.

Como o RC4 (o algoritmo de encriptação usado no WPA) é bem diferente do AES usado no WPA2, os pontos de acesso que utilizam o WPA como sistema preferencial acabam quase sempre oferecendo um desempenho mais baixo no WPA2 e vice-versa, de forma que é importante checar esta característica antes de comprar.

Continuando, a encriptação pode ser combinada com o uso de uma lista de controle acesso, baseada em endereços MAC. Você pode tanto criar uma lista branca, listando os endereços MAC das placas que devem ter acesso à rede (allow), quanto bloquear alguns endereços específicos, dando acesso a todos os demais (deny ou block). Procure pela seção "Access Control" ou "Mac Filter" dentro da configuração do AP:

O controle de acesso dificulta o acesso à rede, mas não é uma solução por si só, pois é fácil descobrir os endereços MAC das estações ao escutar o tráfego da rede usando o Kismet ou outra ferramenta de auditoria e a partir daí falsear o endereço MAC da placa, de forma que ela utilize um dos endereços das estações autorizadas. Apesar disso, a lista de acesso é um dificultador a mais, que combinado com o uso de encriptação aumenta a segurança da rede.

Outra dica é que um AP não configurado é um alvo fácil para qualquer um, já que os SSIDs usados por default são bem conhecidos e a maioria trabalha por default em modo "open", aceitando a conexão de qualquer cliente. Se o ponto de acesso utiliza uma antena destacável, você pode removê-la durante a fase de configuração. Mesmo sem a antena, o AP emitirá um sinal fraco, suficiente para que você consiga conectar um notebook posicionado próximo a ele, mas que não irá muito longe. Em alguns APs você encontra a opção "Wireless Radio" ou "Turn Radio On", que permite desativar o transmissor via software.