Postavljanje bežičnih mreža danas ide daleko dalje od odabira imena i lozinke. Korištenje Wi-Fi i mrežnih profila omogućava vam automatizaciju veza, jačanje sigurnosti i prilagođavanje ponašanja uređaja ovisno o tome jeste li kod kuće, u uredu, školi ili na javnoj mreži. Dobro dizajnirani profili sprječavaju korisničke greške, smanjuju incidente i bolje štite vaše podatke.
U ovom članku ćete detaljno vidjeti kako raditi s WiFi-jem i mrežnim profilima u različitim okruženjima. Također ćemo obraditi WiFi mreže za goste na vašem kućnom ruteru, opcije automatskog povezivanja, automatsko prebacivanje i uvjete na temelju lokacije ili tipa mreže. Cilj je da do kraja steknete sveobuhvatno razumijevanje kako iskoristiti profile korištenja za svaki scenarij.
Šta je WiFi mrežni profil i zašto ga vrijedi koristiti?
Wi-Fi profil je u suštini skup parametara koji opisuju kako bi se uređaj trebao povezati na određenu bežičnu mrežu . Uključuje SSID, vrstu sigurnosti, lozinku ili certifikate, postavke proxyja, da li se treba automatski povezati, da li je mreža skrivena i, u mnogim slučajevima, napredne postavke autentifikacije (EAP, 802.1X, itd.).
U korporativnim i obrazovnim okruženjima, ovi profili se dodjeljuju korisnicima, grupama ili uređajima kako bi se omogućilo automatsko povezivanje na mrežu . Na ovaj način, učenici, nastavnici ili zaposlenici ne moraju svaki put ručno unositi lozinku ili brinuti o tehničkim detaljima. Uređaj se jednostavno povezuje kada detektuje ispravnu mrežu u dometu.
Nadalje, profili omogućavaju uspostavljanje vrlo detaljnih sigurnosnih i pristupnih politika: klijentskih certifikata, validacije servera, korištenja VPN-a, konfiguracije zaštitnog zida i proxyja . Sve ovo se može unaprijed konfigurirati i distribuirati iz centraliziranih alata za upravljanje kao što su Configuration Manager, Intune for Education ili Google Admin konzola.
WiFi profili u Upravitelju konfiguracije (ConfigMgr)
Configuration Manager (trenutna grana) vam omogućava kreiranje i postavljanje Wi-Fi profila na Windows računare i određene mobilne uređaje koristeći lokalni MDM . Na ovaj način, korisnici vide korporativnu mrežu na listi dostupnih mreža i mogu se lako povezati, uz sve sigurnosne mjere koje definiše administrator.
Tipičan tijek rada u kompaniji bi bio: kreiranje Wi-Fi profila sa svim potrebnim parametrima i njegovo dodjeljivanje ciljnim korisnicima ili uređajima . Na primjer, svi Windows laptopi u organizaciji ili oni koji pripadaju određenoj organizacijskoj jedinici. Profil integrira postavke povezivanja i sigurnosti.
Kreiranje WiFi profila u Configuration Manageru
Iz konzole Configuration Managera, proces se provodi u radnom prostoru Resursi i usklađenost , unutar Konfiguracija usklađenosti i Pristup resursima preduzeća , u specifičnom čvoru WiFi profili. Tamo se pokreće čarobnjak za kreiranje novog profila.
Na stranici Općenito u čarobnjaku definirate naziv i opis profila, nivo ozbiljnosti u slučaju neusklađenosti i mogućnost uvoza iz postojeće datoteke.
Zatim prelazite na specifični WiFi odjeljak, gdje postavljate ključne podatke kao što su naziv mreže koji će korisnik vidjeti, stvarni SSID, da li se treba automatski povezati kada je u dometu , da li je dozvoljeno traženje drugih mreža dok je povezan ili da li uređaj treba pokušati da se pridruži čak i ako se SSID ne emituje (skrivena mreža).
Sigurnost, šifriranje i napredne opcije
U odjeljku za sigurnost čarobnjaka birate vrstu sigurnosti (na primjer, WPA2 ili otvorene mreže), protokol šifriranja, metodu EAP autentifikacije i način pohranjivanja vjerodajnica . Možete odabrati "Bez autentifikacije (Otvoreno)" ako se radi o mreži bez lozinke, iako se to obično ne preporučuje u korporativnim okruženjima.
Prilikom korištenja naprednih EAP metoda, administrator može konfigurirati certifikate servera i klijenta povezane s profilima certifikata ConfigMgr-a . Ovi certifikati služe i za provjeru legitimnosti pristupne tačke i za autentifikaciju uređaja ili korisnika bez potrebe za zajedničkom lozinkom.
Čarobnjak također uključuje stranicu s naprednim postavkama. Ovdje možete prilagoditi dodatne parametre kao što su način autentifikacije, opcije jednokratne prijave i druge detalje koji ovise o odabranom tipu sigurnosti . Ako mreža zahtijeva proxy server, postoji poseban odjeljak za unos njegove adrese, porta i ponašanja.
Konačno, odabiru se kompatibilne platforme - odnosno verzije operativnih sistema na koje će se primijeniti Wi-Fi profil - i čarobnjak je završen. Od tada nadalje, Configuration Manager upravlja distribucijom na uređaje u skladu s definiranim kolekcijama i pravilima.
WiFi profili za obrazovne institucije uz Intune for Education
U školskom okruženju, Intune for Education olakšava kreiranje specifičnih WiFi profila za Windows i iOS uređaje , dizajniranih tako da se učenici i nastavnici mogu povezati na školsku mrežu bez potrebe za ručnim unosom podataka.
Ovi profili se dodjeljuju grupama (na primjer, kursevima, odjeljenjima ili profilima nastavnika/studenata), tako da svi uređaji u grupi dobijaju potpuno iste Wi-Fi postavke . Ovo osigurava dosljednost i sprječava curenje lozinki ili korištenje neovlaštenih mreža.
WiFi profili za Windows
Da biste kreirali profil u Windowsu unutar Intune for Education, prijavite se na portal, idite na Grupe, odaberite ciljnu grupu, a zatim na Postavke Windows uređaja . Dodajte novi Wi-Fi profil unutar kategorije Mreža i povezivost.
Ovaj čarobnjak zahtijeva da unesete informacije kao što su naziv profila, SSID, tip sigurnosti (WPA2-Personal ili Open), lozinka i kratak opis . U ovom kontekstu, Intune for Education se fokusira na WPA2-Personal kao siguran mehanizam i na otvorenim mrežama kada nema autentifikacije, jasno dajući do znanja da ova druga opcija ne nudi nikakvu zaštitu.
Konfigurišite WiFi, Ethernet, VPN i mobilne mreže u Google konzoli
Za organizacije koje rade s Android i ChromeOS uređajima, Google Admin konzola vam omogućava da definirate centralizirane mrežne konfiguracije za Wi-Fi, Ethernet, VPN i mobilne mreže . Ove politike se mogu primijeniti na cijelu organizaciju ili na određene organizacijske jedinice.
Za Wi-Fi, konzola podržava platforme kao što su iOS, Android, ChromeOS uređaji (po korisniku ili po uređaju) i Google hardver za sastanke . Za Ethernet, konfiguracija se odnosi na ChromeOS i opremu za sastanke. Za VPN, odnosi se na upravljane ChromeOS uređaje.
Najbolje prakse i ograničenja konfiguracije
Među Googleovim preporukama je definiranje barem jedne Wi-Fi mreže koja se automatski povezuje s glavnom organizacijskom jedinicom. To osigurava da uređaji mogu pristupiti internetu čak i na ekranu za prijavu.
Svaka organizacijska jedinica može upravljati s do 300 unaprijed konfiguriranih Wi-Fi mreža. Ovo omogućava odvajanje internih, gostujućih, testnih i ostalih mreža. Ako prilikom konfiguriranja mreže nije navedena lozinka, korisnici je mogu unijeti na svojim uređajima. Ako je lozinka definirana iz konzole, ona ima prioritet i korisnici je ne mogu promijeniti.
Za scenarije sa statičkim IP adresama, preporučuje se korištenje rezervacija DHCP servera i njihovo kombinovanje s drugim mehanizmima autentifikacije za identifikaciju uređaja. Imajte na umu da sam DHCP ne omogućava autentifikaciju.
Kreiranje Wi-Fi mreža sa naprednom sigurnošću (EAP, 802.1X)
Prilikom kreiranja WiFi mreže na konzoli, administrator definira interni naziv, SSID, da li se SSID emituje, automatsku vezu i tip sigurnosti . Za mreže sa WPA/WPA2/WPA3 Enterprise (802.1X) ili dinamičkim WEP-om, odabiru se podržane EAP metode (PEAP, LEAP, EAP-TLS, EAP-TTLS, EAP-PWD) i konfigurišu se specifični parametri.
Ovo uključuje polja kao što su eksterni identitet, administrativno korisničko ime, lozinka, ovlaštenje za certifikate (CA) i podudaranje sufiksa domene certifikata servera . U Androidu 13 i novijim verzijama, odabir CA i sufiksa domene više nije opcionalan, već sigurnosni zahtjev za sprječavanje napada tipa "čovjek u sredini".
Za EAP-TLS, dodaje se i metoda pružanja klijentskog certifikata : SCEP profil ili obrazac certifikata zasnovan na URL-u za registraciju. Certifikat koji pruža server mora ispunjavati stroge uslove izdavatelja ili obrasca subjekta. Ako se ne podudaraju, taj certifikat se neće koristiti.
Proxy, DNS, captive portal i vjerodajnice za politiku
Za Wi-Fi i Ethernet mreže, kao i za VPN-ove, Google konzola vam omogućava da definišete tip mrežnog proxyja: bez proxyja, ručni proxy, PAC datoteka ili automatsko otkrivanje WPAD-a . U ručnom režimu, određujete različite proxy hostove (uključujući SOCKS), portove i isključene domene (bez proxyja), uz podršku za džokere i CIDR raspone za IPv4.
Također možete konfigurirati statičke DNS servere i domene za pretraživanje . Ako ova polja ostavite prazna, sistem će koristiti vrijednosti koje pruža DHCP. Ovo je obično dovoljno za standardne instalacije.
Još jedna ključna karakteristika je detekcija captive portala , vrlo česta u mrežama za goste u hotelima, preduzećima ili univerzitetima. Može se potpuno onemogućiti ili omogućiti tako da ChromeOS detektuje stranice za autentifikaciju. Postoji čak i opcija za izvršavanje samo HTTP skeniranja ako infrastruktura ne obrađuje dobro HTTPS zahtjeve za verifikaciju.
Ethernet, VPN i mobilne (eSIM) mreže
U Ethernetu, mreže se konfigurišu sa ili bez Enterprise autentifikacije (802.1X) , ponovno koristeći iste EAP metode kao u Wi-Fi-ju (PEAP, LEAP, EAP-TLS, EAP-TTLS, EAP-PWD) i dodajući specifične opcije kao što su maksimalna TLS verzija u EAP-TLS-u ili dodjeljivanje certifikata korištenjem SCEP-a ili obrazaca.
Za VPN-ove, konzola vam omogućava kreiranje profila s različitim tipovima VPN-ova, uključujući OpenVPN i L2TP/IPsec s unaprijed podijeljenim ključem . Definirate udaljeni host, port, transportni protokol, prihvaćene CA-ove za autentifikaciju servera i, ako je potrebno, automatsku registraciju klijentskog certifikata.
U mobilnim mrežama, administracija se fokusira na ChromeOS uređaje koji podržavaju eSIM kartice. Administrator kreira mobilnu mrežu određivanjem aktivacijskog URL-a SMDP+ ili SM-DS , što omogućava uređaju da preuzme i instalira eSIM profil. Nakon aktivacije, profil se može ukloniti samo resetovanjem eSIM kartice, pa je preporučljivo pažljivo isplanirati strategiju sa operaterom.
Automatsko povezivanje i mrežni prioritet u ChromeOS-u
Google vam omogućava da konfigurirate ChromeOS da se automatski povezuje samo na upravljane mreže . Ovo sprječava uređaje da se samostalno povezuju na otvorene ili neupravljane mreže. Međutim, korisnici se i dalje mogu ručno povezati na vanjsku mrežu ili Ethernet vezu priključivanjem kabla.
Što se tiče odabira mreže kada je dostupno nekoliko, sistem daje prioritet na osnovu tehnologije (Ethernet preko WiFi-ja i WiFi preko mobilnog uređaja), korisnički preferiranih mreža, upravljanih mreža, nivoa sigurnosti (TLS preko PSK-a i otvoreno samo ako nema druge alternative) i, konačno, korisnički konfiguriranih mreža u odnosu na one koje konfigurira uređaj.
Profili i programi za upravljanje mrežama u Windowsu
Pored korporativnih alata, u naprednim korisničkim okruženjima ili malim preduzećima, postoje Windows aplikacije koje vam omogućavaju kreiranje sveobuhvatnih mrežnih profila i prebacivanje između njih jednim klikom. Ove aplikacije se mogu dopuniti alatima za praćenje vaše mreže i podataka . Posebno su korisne za laptope koji često mijenjaju okruženja (kuća, kancelarija, klijent, univerzitet itd.).
Jednostavan prekidač za mrežu
Easy Net Switch je plaćena aplikacija koja se ističe velikim brojem mrežnih parametara koje vam omogućava da grupišete u jedan profil . Iako njen interfejs podsjeća na starije verzije Windowsa, ostaje kompatibilna sa Windows XP-om do Windowsa 11, pa čak nudi i način rada komandne linije za automatizaciju zadataka.
Pomoću ovog programa možete definirati, za svaki profil, IP adrese, masku, gateway, DNS, WINS, NetBIOS, MAC adresu (s podrškom za MAC spoofing), WiFi konfiguraciju, VPN, proxy, Windows firewall, hosts datoteku , skripte za pokretanje, zadani pisač, mrežne diskove, statičke rute, vremensku zonu, email klijent i mnoge druge opcije.
Što se tiče bežične mreže, omogućava vam kreiranje Wi-Fi profila određivanjem SSID-a, skeniranjem obližnjih mreža i konfigurisanjem PSK i RADIUS autentifikacije sa robusnim EAP protokolom . Program možete čak konfigurisati da koristi vlastiti Wi-Fi stek umjesto metode automatskog otkrivanja operativnog sistema.
Aplikacija obavještava korisnika o rezultatima primjene profila, prikazujući ako je neki zadatak bio neuspješan i detaljno opisujući napravljene promjene . Također integrira uslužne programe kao što su ping i traceroute, te pruža vezu do kompletnog vodiča za CMD naredbe za mreže , kao i widget za radnu površinu koji prikazuje trenutnu IP konfiguraciju.
TCP/IP menadžer, IP mijenjač i NetSetMan
TCP/IP Manager je besplatno rješenje otvorenog koda koje se fokusira na brzo prebacivanje između IP adresiranja, DNS-a, proxyja, naziva radne grupe i MAC adresnih profila . Omogućava vam uvoz trenutne konfiguracije, povezivanje grupnih skripti i prebacivanje između profila pomoću prečica na tastaturi.
S druge strane, IP Shifter nudi jednostavniji pristup: brzo prebacivanje IP-a, maske, gateway-a i DNS-a bez ponovnog pokretanja, podršku za više adaptera (Ethernet i WiFi) , konfiguraciju proxyja za preglednike poput Edgea ili Firefoxa, integrirane alate za ping i otkrivanje lokalnih mreža te detekciju javnih IP adresa.
NetSetMan je sličan Easy Net Switch-u, ali s moćnim besplatnim izdanjem. Omogućava vam upravljanje mnogim aspektima mreže: IP, DNS, radna grupa, zadani štampač, mrežni diskovi, tabela usmjeravanja, SMTP server, naziv računara, MAC adresa, status i brzina mrežne kartice, VPN konfiguracija, Wi-Fi , izvršavanje skripti i eksternih programa i još mnogo toga. Pro verzija dodaje podršku za proxy i domene, jasno je usmjerena na poslovna okruženja i uklanja ograničenje profila (besplatna verzija je ograničena na osam).
Profili gostujuće mreže na kućnom ruteru
Kod kuće, vrlo praktična upotreba mrežnih profila je kreiranje odvojene Wi-Fi mreže za goste od vaše glavne mreže . Svi moderni kućni ruteri uključuju barem jednu glavnu mrežu, a mnogi vam također omogućavaju omogućavanje jednog ili više SSID-ova za goste. Također je dobra ideja provjeriti ko je povezan pomoću alata kako biste vidjeli koliko se uređaja nalazi na vašoj Wi-Fi mreži.
Cilj je spriječiti gostujuće uređaje da pristupe vašoj internoj mreži ili osjetljivoj opremi poput NAS-a ili računara sa dijeljenim folderima . Ako povežete goste na glavnu mrežu, oni bi teoretski mogli uhvatiti promet i pokušati napade na druge uređaje. Ili, ako su zaraženi, širiti zlonamjerni softver po vašoj lokalnoj mreži (LAN).
Gostinska mreža ima svoj SSID, drugačiju lozinku i obično uključuje funkcije poput AP izolacije . Ova funkcija sprječava uređaje povezane na gostinsku mrežu da vide jedni druge. Ovo je vrlo uobičajeno u javnim mrežama u hotelima ili aerodromima kako bi se spriječilo širenje zaraze među gostima.
Pristup ruteru i aktiviranje gostujuće mreže
Da biste ga aktivirali, obično pristupate postavkama rutera putem web preglednika, koristeći adresu zadanog gateway-a, koja je obično 192.168.1.1, iako se može razlikovati . Na Windowsu ovu adresu možete pronaći pomoću naredbe ipconfig i traženjem polja Default Gateway ili Gateway.
Nakon što unesete administratorsku lozinku rutera (obično se nalazi na naljepnici ili se prilagođava prvi put), pristupit ćete izborniku u kojem konfigurirate glavnu Wi-Fi mrežu i, u zasebnom odjeljku, gostujuću Wi-Fi mrežu . Tamo možete omogućiti mrežu, definirati njeno ime i postaviti lozinku.
Preporučljivo je da SSID gosta ne koristi posebne znakove ili slova s akcentima, te da je lozinka jaka, ali relativno laka za pamćenje . Imajte na umu da ćete je često dijeliti. Mnogi ruteri generiraju QR kod koji gosti mogu skenirati za povezivanje bez unosa lozinke.
Ruteri brendova poput ASUS-a ili AVM-a često nude dodatne opcije za gostujuću mrežu: ograničavač propusnosti, captive portal sa stranicom dobrodošlice ili uslovima korištenja, opciju (ne preporučuje se) za omogućavanje pristupa intranetu, roditeljski nadzor, zasebnu podmrežu i radno vrijeme . Što je firmver sveobuhvatniji, to preciznije možete prilagoditi ovaj "profil korištenja" za goste.
Profili veze i zaštitni zidovi: privatne i javne mreže
Mrežni profili ne utiču samo na način povezivanja, već i na to kako zaštitni zid reaguje na osnovu toga da li je mreža klasifikovana kao privatna ili javna . Alati poput sigurnosnih paketa ili samog operativnog sistema primjenjuju različita pravila u zavisnosti od toga da li mrežu smatraju pouzdanom (kućna/uredska) ili nepouzdanom (javna).
Mnogi sigurnosni proizvodi definiraju unaprijed postavljene profile. Na primjer: Privatni (pouzdana mreža) i Javni (nepouzdana mreža) . U privatnom načinu rada omogućeno je dijeljenje datoteka i pisača, kao i dolazna komunikacija potrebna za udaljenu radnu površinu, RPC itd. U javnom načinu rada ove funkcionalnosti su blokirane kako bi se smanjila površina za napad.
Neki zaštitni zidovi (firewall) vam omogućavaju kreiranje prilagođenih profila veze sa specifičnim pravilima zaštitnog zida i uslovima aktivacije . Ovi uslovi mogu biti zasnovani na tipu mreže, SSID-u, korištenom adapteru ili čak prisustvu određenih pouzdanih IP adresa, a evaluiraju se prema konfigurabilnom redoslijedu prioriteta (gore/dolje na listi profila).
Javni WiFi profili u sigurnosnim paketima
Odličan primjer je profil javne Wi-Fi mreže u rješenjima poput Bitdefendera . Kada otkrije da se uređaj povezuje na Wi-Fi mrežu koja se smatra nepouzdanom, proizvod automatski prelazi na ovaj profil, prilagođavajući nekoliko slojeva zaštite.
U tom kontekstu, aktiviraju se funkcije poput Advanced Threat Defense (Napredna odbrana od prijetnji), restriktivnijeg zaštitnog zida s bežičnim adapterom u skrivenom načinu rada, tipa javne mreže , te zaštita od sajber prevara i anti-phishing napada .
Korisnik može pristupiti odjeljku Profili ili Uslužni programi sigurnosnog proizvoda i konfigurirati ove postavke da se primjenjuju kad god se poveže na nepouzdanu javnu Wi-Fi mrežu . Na ovaj način, profil se aktivira automatski, bez potrebe da korisnik pamti da išta mijenja svaki put kada koristi otvorenu mrežu u baru, hotelu ili aerodromu.
Automatska aktivacija profila: AutoSwitch i prilagođeni okidači
Neki upravitelji profila, kao što je NetSetMan , nude automatsko prebacivanje profila (AutoSwitch) na osnovu prilagođenih uslova . Na ovaj način, korisnik ne mora ručno birati odgovarajući profil svaki put kada dođe u određenu kancelariju, VPN vezu ili mrežu.
Za svaki profil se može definirati više uvjeta. Međutim, preporučuje se da budu jednostavni kako bi se izbjeglo zbunjujuće ponašanje. Uslovi mogu zahtijevati da budu ispunjeni svi uvjeti ili, alternativno, da bude ispunjen barem jedan uvjet za aktiviranje tog profila.
Ako se istovremeno ispuni nekoliko uslova iz različitih profila, redoslijed prioriteta na listi profila određuje koji se primjenjuje . U panelu AutoSwitch, korisnik može lako vidjeti koji su uslovi aktivni na osnovu boje.
- Zeleno (završeno).
- Crvena (nije ispunjena).
- Siva (nije relevantno jer je već pronađen važeći prethodni profil).
Automatska aktivacija se može konfigurirati tako da prikazuje poruku s odbrojavanjem koja vam omogućava otkazivanje promjene, korištenje izvornog Windows obavještenja ili direktno prebacivanje profila u pozadini . U potonjem slučaju, ikona u sistemskoj paleti se animira i privremeno mijenja boju kako bi naznačila proces i njegov ishod.
Radi uštede resursa, ova vrsta softvera ne upoređuje kontinuirano trenutnu konfiguraciju s postavkama profila. Ako korisnik ručno mijenja mrežne postavke, program neće uvijek detektovati te promjene . Vrijedi imati ovo na umu kako biste izbjegli iznenađenja ako se parametri promijene izvan upravitelja profila.
Cijeli ovaj ekosistem Wi-Fi i mrežnih profila - od alata za preduzeća poput Configuration Managera, Intunea i Google konzole do Windows uslužnih programa, mreža za goste na ruteru i sigurnosnih profila u antivirusnim paketima - pokazuje da je pravilno definiranje profila korištenja jedan od najefikasnijih načina za poboljšanje praktičnosti, sigurnosti i kontrole nad načinom povezivanja vaših uređaja. Ovo se odnosi na pouzdane mreže, javne Wi-Fi mreže i složena poslovna i obrazovna okruženja.
