Wi-Fi y seguridad

[Gordo]

La cuestión es sencilla, me gustaría saber que recomendaciones me pueden dar a la hora de montar una red Wi-Fi en miras a la seguridad, más concretamente: QUE NO ME ROBEN INTERTE' AMISTA'! Tengo un plan de 20Gb y el "Gigamometro" siempre anda justo a fin de mes.
Obviamente una contraseña segura, pero se que existen otras cosas. WEP, WAP o WAP2? Mac Address?

Escucho comentarios y configuraciones que uds. utilizan.

Gracias!

[juanma93]

WPA2 AES, no hagas broadcasting de ssid, filtro Mac, contraseña larga y complicada. cuanto más larga más tiempo se demora en sacar la contraseña por fuerza bruta.

[sebfer]

WPA2 AES, no hagas broadcasting de ssid, filtro Mac, contraseña larga y complicada. cuanto más larga más tiempo se demora en sacar la contraseña por fuerza bruta.

jajaja, paranoid mode ON

[juanma93]

jajaja, es la verdad. Pero en el caso de Gordo que tiene límite de tráfico, es lo que hay que hacer.

[Gordo]

WPA2 AES, no hagas broadcasting de ssid, filtro Mac, contraseña larga y complicada. cuanto más larga más tiempo se demora en sacar la contraseña por fuerza bruta.

Hay que configurar la wlan y después desactivar el broadcasting de ssid?

Como funciona el filtro Mac? Solamente las Mac Address especificadas pueden conectarse a la red?

[el_nano]

con tema de Mac adress solucionas un punto fuerte. despues le agregas una contraseña jevi jodida y creo que es suficiente.
tenes que tener justo la mala suerte de tener un vecino muy jodido que te pueda entrar.. el comun de la gente con esas medidas no va a poder..
o le va a llevar muchisimo laburo.

[juanma93]

Vos especificas las Mac adress de las comutadoras que querés permitir, y las otras son rechazadas por el router. No es nada demasiado infalible ponerle un filtro de Mac sin ponerle contraseña, porque se puede cambiar la dirección Mac de ciertas placas. lo mejor es el combo que te di arriba.

[Gordo]

Vos especificas las Mac adress de las comutadoras que querés permitir, y las otras son rechazadas por el router. No es nada demasiado infalible ponerle un filtro de Mac sin ponerle contraseña, porque se puede cambiar la dirección Mac de ciertas placas. lo mejor es el combo que te di arriba.

con tema de Mac adress solucionas un punto fuerte. despues le agregas una contraseña jevi jodida y creo que es suficiente.
tenes que tener justo la mala suerte de tener un vecino muy jodido que te pueda entrar.. el comun de la gente con esas medidas no va a poder..
o le va a llevar muchisimo laburo.

Entendido! No creo que tenga un vecino con los conocimientos suficientes como para burlar eso. Y si existe alguien que si puede, quizás, simplemente busque otra red más fácil de burlar.

Muchas gracias!

Edit: Vi muchas Ceibalitas en la vuelta! Ojo con esos pibes que ya desde chiquitos usan Linux, son los "acker" del futuro.

[Juanjo:mac]

WPA2 AES, no hagas broadcasting de ssid, filtro Mac, contraseña larga y complicada. cuanto más larga más tiempo se demora en sacar la contraseña por fuerza bruta.

jajaja, paranoid mode ON

JA! Muy bueno.

Los piques que te dio Juanma son los que yo uso y al momento no detecte ningún intruso.
Con el Network Utility podes ver quien anda en la vuelta y aplicas el PARANOID TURBO MODE.

[Nuwanda]

Escucho comentarios y configuraciones que uds. utilizan.

La mía no te va a servir para vos, porque yo tengo ADSL libre.

Wi-fi sin clave, y QoS para darle prioridad a mi PC y a mi MacBook

(8) Imagine all the people... sharing all the world (8)

[Pablo Costa Di Pasca]

Idem por acá.
Tengo el de 20gb en casa abierto, siempre me sobran 4 o 5 GB.

[mdaguerre]

Escucho comentarios y configuraciones que uds. utilizan.

La mía no te va a servir para vos, porque yo tengo ADSL libre.

Wi-fi sin clave, y QoS para darle prioridad a mi PC y a mi MacBook

(8) Imagine all the people... sharing all the world (8) http://img192.imageshack.us/img192/8076/smile024.gif

Como es eso de QoS para darle prioridad a una PC??

[Sera]

Con un simple WPA2 ya alcanza para uso hogareño. Ya para entrarle ahi tenes que ser un hacker avanzado.
Ademas meterle Mac adress y mas y mas es una groseria (LOL)

De ultima y si te pinta le metes Mac address y ya ta, ya con eso no hay manera que le entren pero tampoco ningun invitado que vaya a tu casa podra conectarse es bastante incomodo.

[juanma93]

Jaja uno de mis Wi-Fi se llama "Linksys" y el otro que tengo solo para mi cuarto se llama "no me vas a chorrear el internet" XD
Ahí le puse toda la seguridad que se puede, como proof of concept. El linksys tiene wpa2 nomás.

[MarSAttK]

Yo también tengo el 20GB!
En lineas generales no podría agregar más de lo que ya han dicho, pero igual me parece que hay un par de cosas que podrían obviarse o hacerse de otra manera...

Ocultar el Broadcast SSID
El que quiera entrarte a la red y sepa como hacerlo, va a poder resolverlo fácilmente aunque el nombre esté oculto. Y si el nombre de la red está a la vista, el que no tenga mucha idea y quiera hacerse el hacker va a quedarse trancado con las otras medidas (pass, Mac, etc.). Me parece muy "pobre" y complica las cosas más para uno que para los demás.

Contraseña larga y complicada
No tiene porque ser TAN complicada... Si bien son menos seguras, el Airport Utility del Express sugiere algunas combinaciones aleatorias pero "recordables", mechando palabras con números y caracteres especiales, dejo algunas de las que me acaba de dar como ejemplo: replay288@befitted / temporization78103;rededication / freethinking7'redistributionist
Nada que no puedas recordar con un sticky o un post it!

Mac address
Está bueno (de hecho yo lo tengo activado), pero como contrapartida es un penal cuando viene gente a tu casa (como dice Sera).
1o: Sacar la Mac de tu amigo si no sabes como es 1/2 tranza.
(OS X: System Preferences > Network > AirPort > Advanced > Ethernet || Windoze: Por terminal: ipconfig /all )
2o: Configurar el router para agregar esa Mac a la lista de "autorizadas"

Arriba y espero que todo esto te ayude.

[Gordo]

...
De ultima y si te pinta le metes Mac address y ya ta, ya con eso no hay manera que le entren pero tampoco ningun invitado que vaya a tu casa podra conectarse es bastante incomodo.

Nada de invitados! Se gassssstaa!

Hablando en serio, es cierto. El Mac Address es incómodo para cuando tenes invitados.

Gracias nuevamente por las sugerencias.

[Freeflier]

Escucho comentarios y configuraciones que uds. utilizan.

La mía no te va a servir para vos, porque yo tengo ADSL libre.

Wi-fi sin clave, y QoS para darle prioridad a mi PC y a mi MacBook

(8) Imagine all the people... sharing all the world (8) http://img192.imageshack.us/img192/8076/smile024.gif

Como activaste el QoS? Hasta donde yo vi, la Mac no tiene para setear campos de CoS, DSCP o ni siquiera ToS.

[Nuwanda]

Como es eso de QoS para darle prioridad a una PC??

QoS = "Quality of Service". Sirve para que un sólo host no ocupe todo el ancho de banda, garantizando (siempre que se pueda, asumo =P) un mínimo configurable de ancho de banda para cada uno. Es genial, dejo el Torrent bajando a full en la PC, y puedo navegar y chatear en la MacBook

Y encima podés darle prioridad a uno o varios hosts sobre el resto, que es lo que yo hago. Entonces, si alguien cualquiera quiere usar mi ancho de banda, va a disponer de lo que yo no esté usando ^^ (en realidad supongo que siempre debería concederle al menos un mínimo, pero nunca probé ese caso, e igual no me quema).

Como activaste el QoS? Hasta donde yo vi, la Mac no tiene para setear campos de CoS, DSCP o ni siquiera ToS.

No, no, el acceso a internet y la wi-fi los proporciona el router, no la MacBook =P Así que el QoS se activa en el router.

[Gordo]

El tema de dejar abierta la Wi-Fi, en mi caso es porque tengo un tráfico limitado, pero además tu sos responsable de tu conección.
Si se realiza alguna actividad ilegal bajo tu IP, vas a ser el responsable. Muchos dicen no, no pasa nada... prefiero cerrarla y no correr el riesgo.

OT: Se habló de duplicar el plan de 20Gb, todavía no vi ningún cambio...

[Bart]

Jaja uno de mis Wi-Fi se llama "Linksys" y el otro que tengo solo para mi cuarto se llama "no me vas a chorrear el internet" XD
Ahí le puse toda la seguridad que se puede, como proof of concept. El linksys tiene wpa2 nomás.

Mi Wi-Fi se llama: "Si, los escuchando teniendo sexo".

Saludos,
Bart.

[Sera]

El mio se llama "TODOS PARA ACA !" (LOL)

[Freeflier]

Nuwanda,

eso que haces en el router es solamente priorizar todo el tráfico a una máquina basado solamente en su IP o algo así. QoS es calidad de servicio, y los switches y routers que la manejan buscan determinados campos en las tramas ethernet o IP, como CoS o el ID de VLAN (layer 2, ethernet) o DSCP/CoS en layer 3 (IP), para ientificar eso precisamente, servicios.

Aunque pueda parecer lo mismo, lo que se busca es que determinados servicios (y no hosts) tengan prioridad en el enrutamiento. Por ejemplo, en tu situación actual, el router no tiene forma de saber si el tráfico que está manejando es sensible al delay o al jitter (variación del tiempo establecido para la recepción de las tramas, ya sea adelantamiento o retraso), como lo es la voz o el video, o bien es tráfico que incluso puede soportar pérdida de tramas o paquetes ya que es TCP. O sea, tu router no sabe si es Skype o un torrent, y trata todo de la misma forma.

Cuando me refería a que no es posible setear esos campos en la MacBook, no es porque pensara que la Mac hacía de access point, sino que no hay forma de 'identificar' el tipo de tráfico, como por ejemplo si se puede con un teléfono IP, en el que uno configura estos valores para que el switch o router se de cuenta que es un dispositivo con prioridad.

Como es eso de QoS para darle prioridad a una PC??

QoS = "Quality of Service". Sirve para que un sólo host no ocupe todo el ancho de banda, garantizando (siempre que se pueda, asumo =P) un mínimo configurable de ancho de banda para cada uno. Es genial, dejo el Torrent bajando a full en la PC, y puedo navegar y chatear en la MacBook

Y encima podés darle prioridad a uno o varios hosts sobre el resto, que es lo que yo hago. Entonces, si alguien cualquiera quiere usar mi ancho de banda, va a disponer de lo que yo no esté usando ^^ (en realidad supongo que siempre debería concederle al menos un mínimo, pero nunca probé ese caso, e igual no me quema).

Como activaste el QoS? Hasta donde yo vi, la Mac no tiene para setear campos de CoS, DSCP o ni siquiera ToS.

No, no, el acceso a internet y la wi-fi los proporciona el router, no la MacBook =P Así que el QoS se activa en el router.

[Sera]

Para controlar que puerto usa tal cantidad de ancho de banda necesitas un software especializado eso que yo sepa es igual en cualquier OS. Por lo menos un Mac OS X Server diria yo.
Hace un tiempo investigue de eso y la verdad me parecio tan complicado de configurar que preferi no perder tiempo con eso.

[Freeflier]

Para controlar que puerto usa tal cantidad de ancho de banda necesitas un software especializado eso que yo sepa es igual en cualquier OS. Por lo menos un Mac OS X Server diria yo.
Hace un tiempo investigue de eso y la verdad me parecio tan complicado de configurar que preferi no perder tiempo con eso.

Si fuera fácil como haría para currar con estas cosas????

[Nuwanda]

Nuwanda,

eso que haces en el router es solamente priorizar todo el tráfico a una máquina basado solamente en su IP o algo así. QoS es calidad de servicio, y los switches y routers que la manejan buscan determinados campos en las tramas ethernet o IP, como CoS o el ID de VLAN (layer 2, ethernet) o DSCP/CoS en layer 3 (IP), para ientificar eso precisamente, servicios.

Aunque pueda parecer lo mismo, lo que se busca es que determinados servicios (y no hosts) tengan prioridad en el enrutamiento. Por ejemplo, en tu situación actual, el router no tiene forma de saber si el tráfico que está manejando es sensible al delay o al jitter (variación del tiempo establecido para la recepción de las tramas, ya sea adelantamiento o retraso), como lo es la voz o el video, o bien es tráfico que incluso puede soportar pérdida de tramas o paquetes ya que es TCP. O sea, tu router no sabe si es Skype o un torrent, y trata todo de la misma forma.

QoS incluye las 2 cosas (prioridades por host, o por servicio).

Quality of service is the ability to provide different priority to different applications, users, or data flows, or to guarantee a certain level of performance to a data flow.

DD-WRT (el firmware que uso en mi router) permite dar prioridad por servicio (Skype, Torrent, etc.), por puerto, por IP o por Mac address, además de intentar garantizar un cierto mínimo configurable de ancho de banda para todos.


EDIT: Bo, el foro remplaza "Mac" por "Mac", qué (ST) :S (no miércoles, (ST) ¬¬)

[Ikki]

lo de filtrar por Mac el acceso a Wi-Fi es cualquiera, es casi casi como dejarla abierta, cualquiera que haga una captura de trafico Wi-Fi te saca tu Mac y con eso lo unico que tiene que hacer es usar alguna utilidad para cambiar su Mac por la tuya y ya se puede asociar a tu ap en algun momento que vos no estes conectado

[Nuwanda]

El tema de dejar abierta la Wi-Fi, en mi caso es porque tengo un tráfico limitado, pero además tu sos responsable de tu conección.
Si se realiza alguna actividad ilegal bajo tu IP, vas a ser el responsable. Muchos dicen no, no pasa nada... prefiero cerrarla y no correr el riesgo.

Eso no lo había pensado :S ¿Pero y cómo hacen los dueños de un cyber, o un restaurant con wi-fi zone, o la plaza de comidas del shopping?

En mi caso de última estoy en un 4º piso, si alguien hiciera algo así, al menos sabría que está en mi edificio...

lo de filtrar por Mac el acceso a Wi-Fi es cualquiera, es casi casi como dejarla abierta, cualquiera que haga una captura de trafico Wi-Fi te saca tu Mac y con eso lo unico que tiene que hacer es usar alguna utilidad para cambiar su Mac por la tuya y ya se puede asociar a tu ap en algun momento que vos no estes conectado

¿Tan fácil es hacer eso?

[Matt]

Yo tengo 2 linksys con DD-WRT y los 2 se jodieron de la misma manera. Siguen andando, pero no podes realizar ninguan modificacion en el soft del router. Cualquier cambio que hagas, al apretar "save changes" se tranca y no realiza los cambios. Si le haces un hard reset al router nunca mas lo podes usar, porque no se puede configurar dado que cada vez que le das "save", no hace nada.

[juanma93]

Yo tengo 2 linksys con DD-WRT y los 2 se jodieron de la misma manera. Siguen andando, pero no podes realizar ninguan modificacion en el soft del router. Cualquier cambio que hagas, al apretar "save changes" se tranca y no realiza los cambios. Si le haces un hard reset al router nunca mas lo podes usar, porque no se puede configurar dado que cada vez que le das "save", no hace nada.

Una basura, yo también tengo los Linksys y al apretar guardar cambios no es que se tranque, sino que aparece como que no se puede encontrar la página. También me pasa a veces que ni siquiera puedo entrar para administrarlos, me dice que no se puede encontrar la página. Hace tiempo que me pasaba, justo hoy le di reset y puedo volver a entrar, pero no guardar cambios.
Al principio todo andaba impecable, pero se jodieron sin razón aparente.
Me pasa con el firmware original y con el DD-WRT.

[Matt]

Yo tengo 2 linksys con DD-WRT y los 2 se jodieron de la misma manera. Siguen andando, pero no podes realizar ninguan modificacion en el soft del router. Cualquier cambio que hagas, al apretar "save changes" se tranca y no realiza los cambios. Si le haces un hard reset al router nunca mas lo podes usar, porque no se puede configurar dado que cada vez que le das "save", no hace nada.

Una basura, yo también tengo los Linksys y al apretar guardar cambios no es que se tranque, sino que aparece como que no se puede encontrar la página. También me pasa a veces que ni siquiera puedo entrar para administrarlos, me dice que no se puede encontrar la página. Hace tiempo que me pasaba, justo hoy le di reset y puedo volver a entrar, pero no guardar cambios.
Al principio todo andaba impecable, pero se jodieron sin razón aparente.
Me pasa con el firmware original y con el DD-WRT.

Eso mismo me pasa. No es que se tranca, sino que no puede encontrar la pagina. A uno de ellos le hice reset y ahora solo me sirve de pisapapeles. El otro lo deje quietito.