MODUŁ 10

Sieć bezprzewodowa i VPN

PPrezentacja dla nauczyciela

Egzamin sprawdza Wi-Fi od dwóch stron: konfiguracja punktu dostępowego i bezpieczeństwo. VPN to „prywatna sieć przez publiczny internet”.

Co ustawiasz w punkcie dostępowym

Element	Co ustawiasz	Po co
SSID	nazwa sieci	identyfikacja (ukrycie to nie zabezpieczenie)
Szyfrowanie	WPA2/WPA3, długie hasło	poufność i uwierzytelnianie; WEP jest złamany
Kanał	1/6/11 na 2,4 GHz, auto na 5 GHz	unikanie nakładania się z sąsiadami
Monitoring	lista klientów, poziomy sygnału, logi	wykrywanie obcych urządzeń i słabych punktów

1. W biurze w zasięgu pracuje kilka sieci 2,4 GHz. Które kanały najlepiej wybrać, aby ograniczyć wzajemne zakłócenia?

kanały 2, 4 i 6 kanały 1, 6 i 11 kanały 2, 6 i 10 kanały 4, 8 i 12

2. Dlaczego wyłączenie rozgłaszania SSID nie chroni sieci przed niepowołanym dostępem?

Ukryte SSID wymusza stosowanie słabszego szyfrowania WEP. Bez rozgłaszania SSID router przestaje weryfikować hasło. Ukrycie SSID blokuje jedynie urządzenia pracujące w paśmie 5 GHz. Nazwę sieci widać w ramkach zarządzających i ruchu klientów.

3. Która czynność na punkcie dostępowym chroni poufność przesyłanych danych, a nie tylko decyduje o dostępie do sieci?

włączenie szyfrowania WPA3 z AES wpisanie adresów MAC na listę ukrycie nazwy sieci w rozgłoszeniu ograniczenie liczby klientów na punkcie

Pułapka na egzaminie: router Wi-Fi w roli AP

Na stanowisku egzaminacyjnym rolę punktu dostępowego bardzo często pełni zwykły router bezprzewodowy (z niebieskim portem WAN i czterema żółtymi portami LAN). Jeśli arkusz wymaga, aby urządzenie działało jako punkt dostępowy (Access Point) w istniejącej sieci LAN, nie możesz zostawić go w domyślnym trybie routera z włączonym NAT-em i własnym serwerem DHCP — bo odetniesz klientów Wi-Fi od serwera głównego.

Krok	Tryb Access Point (wspólna sieć LAN)	Tryb Router Wi-Fi (osobna podsieć za NAT)
1. Tryb pracy (Operation Mode)	przełącz w panelu na Access Point Mode (jeśli dostępny)	domyślny Wireless Router Mode
2. Do którego portu wpinasz kabel ze switcha?	do portu LAN (lub dedykowanego portu AP); port WAN zostaje pusty, jeśli robisz to ręcznie	do portu WAN (Internet)
3. Serwer DHCP na urządzeniu Wi-Fi	Wyłączony (Disable) — adresy rozdaje główny router lub Windows Server	Włączony (rozdaje adresy dla własnej sieci wewnętrznej)
4. Adres IP urządzenia	ustawiony w sekcji LAN IP na wolny adres z podsieci lokalnej (wg arkusza)	osobny adres WAN (od operatora/ze switcha) i osobny adres LAN (brama dla Wi-Fi)

Szybki test poprawności. Jeśli klient podłączony po Wi-Fi dostaje adres z tej samej podsieci co komputery kablowe i pinguje serwer po jego lokalnym adresie IP — skonfigurowałeś punkt dostępowy poprawnie. Jeśli dostaje adres typu 192.168.0.100, gdy reszta sieci pracuje na 10.0.0.0/24 — zostawiłeś włączony serwer DHCP na urządzeniu bezprzewodowym.

4. Router bezprzewodowy ma pełnić rolę punktu dostępowego w istniejącej sieci LAN. Jak go podłączyć i skonfigurować?

kabel do portu WAN, serwer DHCP włączony kabel do portu LAN, serwer DHCP włączony kabel do portu LAN, serwer DHCP wyłączony kabel do portu WAN, serwer DHCP nieaktywny

5. Klienci Wi-Fi otrzymują adresy 192.168.0.x, a komputery kablowe mają adresy 10.0.0.x, choć kabel ze switcha wpięto do portu LAN routera. Co jest przyczyną?

serwer DHCP działa na urządzeniu Wi-Fi punkt dostępowy nie wykonuje translacji NAT kabel ze switcha wpięto do portu WAN w sieci brakuje adresu bramy domyślnej

6. W trybie punktu dostępowego, przy ręcznej konfiguracji, co należy zrobić z portem WAN routera?

podłączyć do niego kabel ze switcha pozostawić wolny, kabel wpiąć do LAN skonfigurować na nim publiczny adres IP włączyć na nim serwer DHCP dla klientów

Standardy 802.11 — co po czym poznasz

Rodzinę Wi-Fi opisują standardy IEEE 802.11.

Na egzaminie pytają o pasmo i prędkość — poniżej najważniejsze.

Standard	Nazwa handlowa	Pasmo	Prędkość (maks.)	Co wniósł
802.11b	—	2,4 GHz	11 Mb/s	pierwszy popularny, dziś za wolny
802.11a	—	5 GHz	54 Mb/s	szybki, ale mniejszy zasięg
802.11g	—	2,4 GHz	54 Mb/s	prędkość „a" w paśmie „b"
802.11n	Wi-Fi 4	2,4 i 5 GHz	do 600 Mb/s	MIMO — wiele anten naraz
802.11ac	Wi-Fi 5	5 GHz	ponad 1 Gb/s	szybszy, szerokie kanały
802.11ax	Wi-Fi 6 / 6E	2,4 i 5 GHz (6E: 6 GHz)	najwyższa	gęste sieci, wiele urządzeń

Zapamiętaj trzy liczby. 802.11b = 11 Mb/s, 802.11a i 802.11g = 54 Mb/s, a od 802.11n w górę liczy się już pasmo i MIMO, nie jedna liczba.

7. Który standard IEEE 802.11 jako pierwszy wykorzystywał wiele anten (MIMO) i pracę w obu pasmach: 2,4 GHz oraz 5 GHz?

802.11a, szybki tylko w paśmie 5 GHz 802.11g, prędkość do 54 Mb/s w paśmie 2,4 GHz 802.11ac, szerokie kanały tylko w paśmie 5 GHz 802.11n, MIMO oraz praca w dwóch pasmach

8. Karta sieciowa laptopa obsługuje wyłącznie pasmo 5 GHz i osiąga maksymalnie 54 Mb/s. Który standard jej odpowiada?

802.11b: tylko 2,4 GHz, 11 Mb/s 802.11g: tylko 2,4 GHz, 54 Mb/s 802.11a: tylko 5 GHz, 54 Mb/s 802.11n: 2,4 i 5 GHz, MIMO

9. Które pasmo dochodzi do standardu Wi-Fi 6E w porównaniu z Wi-Fi 6?

wyłącznie pasmo 2,4 GHz wyłącznie pasmo 6 GHz wyłącznie pasmo 5 GHz wyłącznie pasmo 60 GHz

Bezpieczeństwo: WPA2, WPA3, PSK i 802.1X

Szyfrowanie chroni treść, a uwierzytelnianie decyduje, kto w ogóle wejdzie do sieci.

Tryb	Jak uwierzytelnia	Kiedy
WPA2/WPA3-Personal (PSK)	jedno wspólne hasło dla wszystkich	dom, mała firma
WPA2/WPA3-Enterprise	logowanie na serwerze RADIUS (802.1X) — każdy ma własne konto	firma, szkoła

Szyfrowanie	Status
WEP	złamany — nie używać
TKIP	stary, tylko z WPA — wycofany
AES (CCMP)	standard w WPA2 i WPA3 — to wybierasz

WPS: wygodny, ale ryzykowny. Pozwala dołączyć urządzenie przyciskiem albo 8-cyfrowym PIN-em. PIN da się odgadnąć metodą prób, dlatego w sieci, na której zależy Ci na bezpieczeństwie, WPS po prostu wyłączasz.

10. Szkoła chce, aby każdy uczeń logował się własnym kontem przez serwer RADIUS. Który tryb zabezpieczeń wybrać?

WPA2-Enterprise z logowaniem 802.1X WPA2-Personal z jednym hasłem PSK WPA3-Personal z jednym hasłem dla klasy WEP z filtrowaniem adresów MAC klientów

11. Który mechanizm szyfrowania jest standardem w sieciach WPA2 i WPA3?

WEP z kluczem 64-bitowym (RC4) TKIP stosowany tylko z WPA AES w trybie CCMP (128 bit) DES, przestarzały szyfr blokowy

12. Dlaczego w sieci firmowej zaleca się wyłączenie funkcji WPS?

WPS wymusza stosowanie szyfrowania WEP. WPS blokuje logowanie przez RADIUS. WPS wyłącza szyfrowanie AES w sieci. WPS pozwala odgadnąć PIN metodą prób.

VPN — prywatna sieć przez publiczny internet

VPN (Virtual Private Network) tworzy szyfrowany tunel przez niezaufaną sieć publiczną (internet). Pakiety z prywatnymi adresami IP są pakowane wewnątrz zaszyfrowanych pakietów zewnętrznych, dzięki czemu dwa odległe miejsca widzą się tak, jakby były podpięte do jednego lokalnego przełącznika.

Rodzaj VPN	Kto zestawia tunel	Zastosowanie i protokoły
Site-to-Site	dwa routery brzegowe (brama ↔ brama)	stałe połączenie dwóch oddziałów firmy; pracownicy nie instalują żadnego klienta (najczęściej IPsec)
Remote Access (Client-to-Site)	aplikacja na laptopie/telefonie ↔ router lub serwer VPN w firmie	praca zdalna administratora lub pracownika z domu/hotelu (OpenVPN, WireGuard, L2TP/IPsec, SSTP)

Kiedy VPN pada w pytaniach CKE? Gdy w zadaniu pojawia się zdalny dostęp do zasobów firmy (np. Pulpit zdalny RDP na porcie 3389 lub udziały SMB na porcie 445). Wystawienie portu 3389 wprost na publiczny adres IP (przekierowaniem portów) naraża serwer na ataki słownikowe — poprawną odpowiedzią jest zawsze zestawienie tunelu VPN i łączenie się po adresie prywatnym.

13. Pracownik łączy się z domu z siecią firmową przez klienta VPN zainstalowanego na laptopie. Jaki to rodzaj VPN?

Site-to-Site dwóch routerów brzegowych Remote Access, czyli Client-to-Site Site-to-Site z tunelem IPsec i ESP VPN sprzętowy na routerze w firmie

14. Dwa oddziały firmy mają być trwale połączone przez internet, a komputery w obu lokalizacjach nie mają instalować klienta VPN. Które rozwiązanie jest właściwe?

Remote Access z klientem na każdym komputerze VPN typu split tunneling na komputerach Przekierowanie portu 3389 na publiczny IP Site-to-Site między routerami obu oddziałów

15. Firma chce udostępnić pracownikom zdalnym udział sieciowy SMB na porcie 445. Jak zrobić to bezpiecznie?

zestawić VPN i używać adresu wewnętrznego przekierować port 445 na publiczny adres IP wystawić usługę SMB wprost do internetu zmienić domyślny port SMB na inny numer