Cách bật Điểm truy cập của khách trên Mạng không dây của bạn

Chia sẻ Wi-Fi của bạn với khách chỉ là việc nên làm, nhưng điều đó không có nghĩa là bạn muốn cho họ quyền truy cập rộng mở vào toàn bộ mạng LAN của bạn. Đọc tiếp khi chúng tôi chỉ cho bạn cách thiết lập bộ định tuyến cho SSID kép và tạo điểm truy cập riêng (và bảo mật) cho khách của bạn.

Tại sao tôi muốn làm điều này?

Có một số lý do rất thực tế cho việc muốn thiết lập mạng gia đình của bạn để có các điểm truy cập kép (AP).

Lý do với ứng dụng thiết thực nhất cho nhiều người nhất chỉ đơn giản là cách ly mạng gia đình của bạn để khách không thể truy cập vào những thứ bạn muốn giữ riêng tư. Cấu hình mặc định cho hầu hết mọi điểm truy cập / bộ định tuyến Wi-Fi gia đình là sử dụng một điểm truy cập không dây duy nhất và bất kỳ ai được phép truy cập AP đó đều được cấp quyền truy cập vào mạng như thể chúng được nối thẳng vào AP qua Ethernet.

Nói cách khác, nếu bạn cho bạn bè, hàng xóm, khách của bạn, hoặc bất cứ ai mật khẩu cho AP Wi-Fi của bạn, bạn cũng đã cấp cho họ quyền truy cập vào máy in mạng của bạn, mọi chia sẻ mở trên mạng của bạn, các thiết bị không bảo mật trên mạng của bạn, v.v. Bạn có thể chỉ muốn cho họ kiểm tra email hoặc chơi trò chơi trực tuyến, nhưng bạn đã cho họ tự do đi lang thang bất cứ nơi nào họ muốn trên mạng nội bộ của bạn.

Bây giờ, trong khi đa số chúng ta chắc chắn không có tin tặc độc hại cho bạn bè, điều đó không có nghĩa là không nên thiết lập mạng của chúng tôi để khách ở lại nơi họ thuộc về (ở phía truy cập internet miễn phí của hàng rào) và không thể đi đến nơi họ không (trên máy chủ gia đình / phía chia sẻ cá nhân của hàng rào).

Một lý do thực tế khác để chạy AP với hai SSID là khả năng không chỉ hạn chế nơi AP khách có thể đi mà còn khi nào. Ví dụ, nếu bạn là cha mẹ, muốn hạn chế việc con bạn có thể thức khuya trên máy tính, bạn có thể đặt máy tính, máy tính bảng, v.v. vào AP phụ và đặt hạn chế truy cập internet cho toàn bộ phụ -SSID sau, giả sử, 9 giờ tối.

Tôi cân nhưng gi?

Hướng dẫn của chúng tôi hôm nay tập trung vào việc sử dụng bộ định tuyến tương thích DD-WRT để đạt được SSID kép. Như vậy, bạn sẽ cần những điều sau đây:

1 bộ định tuyến tương thích DD-WRT với bản sửa đổi phần cứng phù hợp (chúng tôi sẽ chỉ cho bạn cách kiểm tra)
1 bản sao được cài đặt của DD-WRT trên bộ định tuyến đã nói

Đây không phải là cách duy nhất để thiết lập SSID kép cho mạng gia đình của bạn. Chúng tôi sẽ chạy SSID của chúng tôi khỏi Bộ định tuyến không dây sê-ri Linksys WRT54G phổ biến. Nếu bạn không muốn gặp rắc rối khi flash firmware tùy chỉnh trên bộ định tuyến cũ và thực hiện các bước cấu hình bổ sung, thay vào đó bạn có thể:

Mua bộ định tuyến mới hơn hỗ trợ SSID kép ngay lập tức, chẳng hạn như ASUS RT-N66U.
Mua bộ định tuyến không dây thứ hai và định cấu hình nó làm điểm truy cập độc lập.

Trừ khi bạn đã sở hữu một bộ định tuyến hỗ trợ SSID kép (trong trường hợp đó bạn có thể bỏ qua hướng dẫn này và chỉ đọc hướng dẫn sử dụng cho thiết bị của mình), cả hai tùy chọn này đều kém lý tưởng ở chỗ bạn phải chi thêm tiền và trong trường hợp tùy chọn thứ hai, thực hiện một loạt các cấu hình bổ sung bao gồm thiết lập AP thứ cấp để không can thiệp và / hoặc chồng chéo với AP chính của bạn.

Trước tất cả những điều đó, chúng tôi rất vui khi sử dụng phần cứng mà chúng tôi đã có (Bộ định tuyến không dây sê-ri Linksys WRT54G) và bỏ qua tiền mặt và điều chỉnh mạng Wi-Fi bổ sung.

Làm thế nào để tôi biết bộ định tuyến của tôi là tương thích?

Có hai yếu tố tương thích quan trọng bạn cần kiểm tra để có được thành công với hướng dẫn này. Việc đầu tiên và cơ bản nhất là kiểm tra xem bộ định tuyến cụ thể của bạn có hỗ trợ DD-WRT không. Bạn có thể truy cập Cơ sở dữ liệu Bộ định tuyến của DD-WRT wiki tại đây để kiểm tra.

Khi bạn đã thiết lập rằng bộ định tuyến của mình tương thích với DD-WRT, chúng tôi cần kiểm tra số sửa đổi của chip của bộ định tuyến. Ví dụ, nếu bạn có một bộ định tuyến Linksys thực sự cũ, nó có thể là một bộ định tuyến có thể điều khiển hoàn hảo theo mọi cách nhưng chip có thể không hỗ trợ SSID kép (về cơ bản không tương thích với hướng dẫn).

Có hai mức độ tương thích liên quan đến số sửa đổi của bộ định tuyến. Một số bộ định tuyến có thể thực hiện nhiều SSID nhưng chúng không thể chia SSID thành các điểm truy cập hoàn toàn riêng biệt (ví dụ: một địa chỉ MAC duy nhất cho mỗi SSID). Trong một số trường hợp, điều này có thể gây ra sự cố với một số thiết bị Wi-Fi khi chúng bị nhầm lẫn về SSID nào (vì cả hai đều có cùng địa chỉ MAC) mà chúng nên sử dụng. Thật không may, không có cách nào để dự đoán thiết bị nào sẽ hoạt động sai trên mạng của bạn, vì vậy chúng tôi không thể khuyên bạn nên tránh kỹ thuật được nêu trong hướng dẫn này nếu bạn thấy bạn có một thiết bị không hỗ trợ SSID rời rạc.

Bạn có thể kiểm tra số sửa đổi bằng cách thực hiện tìm kiếm Google cho kiểu máy cụ thể của bộ định tuyến cùng với số phiên bản được in trên nhãn thông tin (thường được tìm thấy ở mặt dưới của bộ định tuyến) nhưng chúng tôi thấy kỹ thuật này không đáng tin cậy (nhãn có thể bị áp dụng sai, thông tin được đăng trực tuyến về mẫu mã và ngày sản xuất có thể không chính xác, v.v.)

Cách đáng tin cậy nhất để kiểm tra số sửa đổi của chip bên trong bộ định tuyến của bạn là thực sự thăm dò bộ định tuyến để tìm hiểu. Để làm như vậy, bạn cần thực hiện các bước sau. Mở ứng dụng khách telnet (chương trình đa mục đích như PuTTY hoặc lệnh Windows Telnet cơ bản) và telnet đến địa chỉ IP của bộ định tuyến của bạn (ví dụ: 192.168.1.1). Đăng nhập vào bộ định tuyến bằng thông tin đăng nhập và mật khẩu của quản trị viên của bạn (lưu ý rằng đối với một số bộ định tuyến ngay cả khi bạn nhập vào quản trị viên của Cameron Vượt qua và vượt qua mypassword để đăng nhập qua telnet).

Khi bạn đã đăng nhập vào bộ định tuyến, hãy gõ lệnh sau tại dấu nhắc:

chương trình nvram | grep corerev

Điều này sẽ trả về số sửa đổi lõi của (các) chip trong bộ định tuyến của bạn theo định dạng sau:

wl0_corerev = 9
wl_corerev =

Điều đầu ra ở trên có nghĩa là bộ định tuyến của chúng ta có một đài phát thanh (wl0, không có wl1) và bản sửa đổi cốt lõi của chip vô tuyến đó là 9. Làm thế nào để bạn diễn giải đầu ra? Số sửa đổi, liên quan đến hướng dẫn của chúng tôi, có nghĩa như sau:

0-4 Bộ định tuyến không hỗ trợ nhiều SSID (với số nhận dạng duy nhất hoặc theo cách khác)
5-8 Bộ định tuyến hỗ trợ nhiều SSID (nhưng không có định danh duy nhất)
9+ Bộ định tuyến hỗ trợ nhiều SSID (với số nhận dạng duy nhất)

Như bạn có thể thấy từ đầu ra lệnh của chúng tôi ở trên, chúng tôi đã may mắn. Chip của bộ định tuyến của chúng tôi là phiên bản thấp nhất hỗ trợ nhiều SSID với số nhận dạng duy nhất.

Khi bạn đã xác định rằng bộ định tuyến của mình có thể hỗ trợ nhiều SSID, bạn sẽ cần cài đặt DD-WRT. Nếu bộ định tuyến của bạn được vận chuyển với DD-WRT hoặc bạn đã cài đặt nó, thật tuyệt vời. Nếu bạn chưa cài đặt, chúng tôi khuyên bạn nên tải xuống phiên bản phù hợp từ trang web DD-WRT và làm theo hướng dẫn của chúng tôi: Biến Bộ định tuyến gia đình của bạn thành Bộ định tuyến siêu cấp với DD-WRT.

Ngoài hướng dẫn của chúng tôi, chúng tôi không thể nhấn mạnh giá trị của wiki DD-WRT rộng rãi và được duy trì một cách xuất sắc. Đọc trên bộ định tuyến cụ thể của bạn và các cách thực hành tốt nhất để flash firmware mới vào đó.

Định cấu hình DD-WRT cho nhiều SSID

Bạn có một bộ định tuyến tương thích, bạn đã flash DD-WRT cho nó, bây giờ đã đến lúc bắt đầu thiết lập SSID thứ hai đó. Giống như bạn luôn phải flash firmware mới qua kết nối có dây, chúng tôi thực sự khuyên bạn nên làm việc với thiết lập không dây của mình qua kết nối có dây để những thay đổi không buộc máy tính không dây của bạn tắt mạng.

Mở trình duyệt web của bạn trên máy tính được kết nối với bộ định tuyến qua Ethernet. Điều hướng đến IP bộ định tuyến mặc định (thường là 198.168.1.1). Trong giao diện DD-WRT, điều hướng đến Không dây -> Cài đặt cơ bản (như trong ảnh chụp màn hình ở trên). Bạn có thể thấy rằng Wi-Fi AP hiện tại của chúng tôi có SSID phiên bản HTG_Office.

Ở dưới cùng của trang, trong phần Giao diện ảo Giao diện ảo, nhấp vào nút Thêm. Phần Giao diện ảo của Virtual trống trước đây sẽ mở rộng với mục nhập được chuẩn bị trước này:

Giao diện ảo này được cõng trên chip radio hiện tại của bạn (lưu ý wl0.1 trong tiêu đề của mục mới). Ngay cả cách viết tắt trong SSID cũng chỉ ra điều này, thì vapv ở cuối SSID mặc định là viết tắt của Điểm truy cập ảo. Hãy chia nhỏ các mục còn lại trong Giao diện ảo mới.

Bạn có thể đổi tên SSID thành bất cứ điều gì bạn muốn. Để phù hợp với quy ước đặt tên hiện tại của chúng tôi (và để làm cho khách của chúng tôi dễ dàng hơn), chúng tôi sẽ thay đổi SSID từ mặc định thành Biệt HTG_Guest và -tháng cho AP Wi-Fi chính của chúng tôi là API HTG_Office.

Để bật SSID Broadcast không dây. Không chỉ nhiều máy tính cũ và các thiết bị hỗ trợ Wi-Fi không hoạt động tốt với SSID bí mật mà một mạng khách ẩn không phải là một mạng khách rất hữu ích / mời.

AP Isolation là một cài đặt bảo mật mà chúng tôi có thể tùy ý bật hoặc tắt. Nếu bạn bật AP Isolation, mọi khách hàng trên mạng Wi-Fi khách của bạn sẽ hoàn toàn bị cô lập với nhau. Từ quan điểm bảo mật, điều này thật tuyệt vời, vì nó giữ cho người dùng độc hại không chọc vào khách hàng của những người dùng khác. Tuy nhiên, đó là mối quan tâm nhiều hơn cho các mạng công ty và các điểm nóng công cộng. Thực tế, điều đó cũng có nghĩa là nếu cháu gái và cháu trai của bạn kết thúc và chúng muốn chơi một trò chơi được liên kết Wi-Fi trên các đơn vị Nintendo DS của chúng, các đơn vị DS của chúng sẽ không thể nhìn thấy nhau. Trong hầu hết các ứng dụng gia đình và văn phòng nhỏ, có rất ít lý do để cô lập các AP.

Tùy chọn Không bị chặn / Cầu nối trong Cấu hình mạng đề cập đến việc liệu Wi-Fi AP có được bắc cầu hay không với mạng vật lý. Như phản trực giác như thế này, bạn cần để nó được đặt thành Bridged. Thay vì để phần sụn của bộ định tuyến xử lý (khá vụng về) quá trình hủy liên kết, chúng tôi sẽ tự hủy bỏ mọi thứ với kết quả ổn định và sạch sẽ hơn.

Khi bạn đã thay đổi SSID của mình và xem lại cài đặt, hãy nhấp vào Lưu.

Tiếp theo điều hướng đến Không dây -> Bảo mật không dây:

Theo mặc định, không có bảo mật trên AP thứ hai. Bạn có thể để nó tạm thời như vậy cho mục đích thử nghiệm (chúng tôi để chúng tôi mở cho đến khi kết thúc) để tự cứu mình khỏi việc nhập mật khẩu trên các thiết bị thử nghiệm của bạn. Tuy nhiên, chúng tôi không khuyên bạn nên để nó mở vĩnh viễn. Cho dù bạn có chọn để mở hay không tại thời điểm này, bạn cần nhấp vào Lưu và sau đó Áp dụng Cài đặt cho các thay đổi chúng tôi đã thực hiện cả trong phần trước và điều này để có hiệu lực. Hãy kiên nhẫn, có thể mất tới 2 phút để các thay đổi có hiệu lực.

Bây giờ là thời điểm tuyệt vời để xác nhận rằng các thiết bị Wi-Fi gần đó có thể thấy cả AP chính và phụ. Mở giao diện Wi-Fi trên điện thoại thông minh là một cách tuyệt vời để nhanh chóng kiểm tra. Đây là chế độ xem từ trang cấu hình Wi-Fi Android của chúng tôi:

Chúng ta không thể kết nối với AP thứ cấp ngay khi chúng ta cần thực hiện thêm một vài thay đổi cho bộ định tuyến, nhưng thật tuyệt khi thấy cả hai trong danh sách.

Bước tiếp theo là bắt đầu quá trình tách SSID trên mạng bằng cách chỉ định một dải địa chỉ IP duy nhất cho các thiết bị Wi-Fi dành cho khách.

Điều hướng đến Thiết lập -> Mạng. Trong phần Brid Bridging, hãy nhấp vào nút Thêm.

Đầu tiên, thay đổi vị trí ban đầu thành loại gỗ br1, để các giá trị còn lại giống nhau. Bạn sẽ không thể thấy mục IP / Subnet đã thấy ở trên. Nhấp vào Áp dụng Cài đặt Cài đặt. Cây cầu mới sẽ nằm trong phần Cầu nối với các phần IP và Mạng con có sẵn. Đặt địa chỉ IP thành một giá trị khỏi IP mạng thông thường của bạn (ví dụ: mạng chính của bạn là 192.168.1.1, vì vậy hãy tạo giá trị này 192.168.2.1). Đặt Mặt nạ mạng con thành 255.255.255.0. Nhấp vào áp dụng Cài đặt Cài đặt ở cuối trang một lần nữa.

Chỉ định mạng khách cho cầu

Lưu ý: cảm ơn độc giả Joel đã chỉ ra phần này và cho chúng tôi hướng dẫn để thêm vào hướng dẫn.

Bên dưới Assign để Bridge Cầu bấm vào Thêm Add Add. Chọn cây cầu mới mà bạn đã tạo từ trình đơn thả xuống đầu tiên và ghép nối nó với giao diện của wl0.1 ".

Bây giờ hãy nhấp vào Lưu Lưu và Tải xuống Áp dụng Cài đặt.

Sau khi thay đổi được áp dụng, cuộn xuống cuối trang một lần nữa vào phần DHCPD. Nhấp vào Thêm Add. Chuyển đổi vị trí đầu tiên sang trực tuyến. Giữ nguyên các cài đặt còn lại (như trong ảnh chụp màn hình bên dưới).

Nhấp vào áp dụng Cài đặt Cài đặt một lần nữa. Khi bạn đã hoàn thành tất cả các tác vụ trong Thiết lập -> Trang kết nối mạng, bạn nên truy cập kết nối và gán DHCP.

Lưu ý: Nếu AP Wi-Fi mà bạn đang định cấu hình cho SSID kép đang cõng trên một thiết bị khác (ví dụ: bạn có hai bộ định tuyến Wi-Fi trong nhà hoặc văn phòng để mở rộng vùng phủ sóng và thiết bị bạn đang cài đặt SSID khách trên là số 2 trong chuỗi) bạn sẽ cần thiết lập DHCP trong phần Dịch vụ. Nếu điều này nghe có vẻ như thiết lập của bạn, đã đến lúc điều hướng đến phần Dịch vụ -> Dịch vụ.

Trong phần dịch vụ, chúng ta cần thêm một chút mã vào phần DNSMasq để bộ định tuyến sẽ gán đúng địa chỉ IP động cho các thiết bị kết nối với mạng khách. Cuộn xuống phần DNSMasq. Trong hộp Tùy chọn DNS bổ sung DNSMasq, hãy dán đoạn mã sau (trừ # bình luận giải thích chức năng của từng dòng):

# Cho phép DHCP trên br1 giao diện = br1 # Đặt cổng mặc định cho khách hàng br1 dhcp-tùy chọn = br1,3,192.168.2.1 # Đặt phạm vi DHCP và thời gian thuê mặc định là 24 giờ cho khách hàng br1 phạm vi dhcp = br1,192.168.2.100,192.168.2.150.255.255.255.0,24h

Nhấp vào áp dụng Cài đặt Cài đặt ở cuối trang.

Cho dù bạn đã sử dụng kỹ thuật một hoặc hai, hãy đợi vài phút để kết nối với SSID khách mới của bạn. Khi bạn kết nối với SSID khách, hãy kiểm tra địa chỉ IP của bạn. Bạn nên có một IP trong phạm vi chúng tôi đã chỉ định ở trên. Một lần nữa, thật tiện lợi khi sử dụng điện thoại thông minh của bạn để kiểm tra:

Mọi thứ trông có vẻ tốt. AP thứ cấp đang chỉ định IP động trong một phạm vi thích hợp, chúng ta có thể truy cập Internet - chúng tôi đang ghi chú ở đây, thành công lớn.

Tuy nhiên, vấn đề duy nhất là AP thứ cấp vẫn có quyền truy cập vào tài nguyên của mạng chính. Điều này có nghĩa là tất cả các máy in được nối mạng, chia sẻ mạng và những thứ đó vẫn hiển thị (bạn có thể kiểm tra ngay bây giờ, thử tìm một chia sẻ mạng từ mạng chính của bạn trên AP phụ).

nếu bạn muốn khách trên AP phụ có quyền truy cập vào những thứ này (và đang làm theo hướng dẫn để bạn có thể thực hiện các tác vụ SSID kép khác như hạn chế băng thông của khách hoặc thời gian họ được phép sử dụng Internet) sau đó bạn đã thực hiện một cách hiệu quả với hướng dẫn.

Chúng tôi tưởng tượng rằng hầu hết các bạn muốn giữ cho khách của bạn không chọc vào mạng của bạn và nhẹ nhàng đưa họ theo hướng dính vào Facebook và email. Trong trường hợp đó, chúng ta cần kết thúc quá trình bằng cách hủy liên kết AP thứ cấp khỏi mạng vật lý.

Điều hướng đến Quản trị -> Lệnh. Bạn sẽ thấy một khu vực được dán nhãn là Command Command Shell. Dán các lệnh sau, sans các dòng # bình luận, vào khu vực có thể chỉnh sửa:

#Remove khách truy cập vào mạng vật lý iptables -I FORWARD -i br1 -o br0 -m state --state MỚI -j DROP iptables -I FORWARD -i br0 -o br1 -m state --state MỚI -j DROP #Remove khách truy cập vào GUI / cổng cấu hình của bộ định tuyến iptables -I INPUT -i br1 -p tcp --dport telnet -j DỰ ÁN --reject-with tcp-reset iptables -I INPUT -i br1 -p tcp --dport ssh -j DỰ ÁN --reject-with tcp-reset iptables -I INPUT -i br1 -p tcp --dport www -j DỰ ÁN --reject-with tcp-reset iptables -I INPUT -i br1 -p tcp --dport https -j DỰ ÁN --reject-with tcp-reset

Nhấp vào Lưu Lưu Tường lửa và khởi động lại bộ định tuyến của bạn.

Các quy tắc tường lửa bổ sung này đơn giản ngăn mọi thứ trên hai cầu nối (mạng riêng và mạng công cộng / khách) không nói chuyện cũng như từ chối mọi liên hệ giữa máy khách trên mạng khách và cổng telnet, SSH hoặc máy chủ web trên bộ định tuyến (do đó hạn chế chúng cố gắng truy cập các tệp cấu hình của bộ định tuyến).

Một từ về việc sử dụng lệnh shell và các kịch bản khởi động, tắt máy và tường lửa. Đầu tiên, các lệnh IPTABLES được xử lý theo thứ tự. Thay đổi thứ tự của các dòng cá nhân có thể thay đổi đáng kể kết quả. Thứ hai, có hàng tá trên hàng chục bộ định tuyến được DD-WRT hỗ trợ và tùy thuộc vào bộ định tuyến và cấu hình cụ thể của bạn, bạn có thể cần phải điều chỉnh các lệnh IPTABLES ở trên. Kịch bản làm việc cho bộ định tuyến của chúng tôi và nó sử dụng các lệnh rộng nhất và đơn giản nhất có thể để hoàn thành nhiệm vụ để nó hoạt động cho hầu hết các bộ định tuyến. Nếu không, chúng tôi khuyên bạn nên tìm kiếm mô hình bộ định tuyến cụ thể của mình trong các diễn đàn thảo luận DD-WRT và xem liệu những người dùng khác có gặp phải vấn đề tương tự bạn gặp phải không.

Tại thời điểm này, bạn đã hoàn tất cấu hình và sẵn sàng tận hưởng SSID kép và tất cả các lợi ích đi kèm với việc chạy chúng. Bạn có thể dễ dàng cung cấp mật khẩu khách (và thay đổi mật khẩu tùy ý), thiết lập quy tắc QoS cho mạng khách và sửa đổi và hạn chế mạng khách theo cách ít nhất sẽ ảnh hưởng đến mạng chính của bạn.