Сети с нуля 12. Wi-Fi: частоты, каналы, безопасность и типовые проблемы

Проводную локальную сеть мы разобрали: кадры, MAC-адреса, коммутатор. Wi-Fi устроен похоже, только вместо кабеля — радиоэфир. Именно эфир делает его и удобным, и капризным: сигнал слабеет за стеной, соседние сети мешают друг другу, а защита зависит от настроек точки. В этой статье вы узнаете:

• как Wi-Fi вписывается в картину, которую вы уже знаете (сети TCP/IP, Ethernet);
• чем отличаются диапазоны 2,4, 5 и 6 ГГц и что такое канал и ширина канала;
• что означают названия Wi-Fi 4, 5, 6, 6E и 7;
• как защитить сеть (WPA2, WPA3, WPS, гостевая сеть) и какие «защиты» ничего не дают;
• как искать типовые причины неполадок и что показывает Windows.

Представьте комнату, где все разговаривают. Если в ней двое, слышно прекрасно; если двадцать и все говорят разом, понять никого нельзя. Канал — договорённость, на какой «волне» говорить, а ширина канала — насколько широкую полосу эфира вы занимаете: чем шире, тем больше можно передать, но тем больше места нужно. Защита — замок на двери и ключ, который знают только свои.

Что нужно знать заранее

• Сети с нуля 01. Что такое сеть — уровни модели и роль точки доступа.
• Сети с нуля 02. Ethernet, MAC-адреса, коммутатор — что такое MAC-адрес и чем коммутатор отличается от концентратора.
• По желанию статья 06 и статья 10 — к ним мы вернёмся, когда Wi-Fi «подключён, но интернета нет».

Wi-Fi как «Ethernet по радио»

«Wi-Fi» — торговая марка организации Wi-Fi Alliance. Технически речь о семействе стандартов IEEE 802.11 (IEEE — Institute of Electrical and Electronics Engineers, профессиональная организация, издающая стандарты). Они описывают канальный и физический уровни: как кадры уходят в эфир и принимаются обратно. Сами стандарты можно купить или читать по подписке, а стандарты IEEE 802 бесплатны по программе Get 802 спустя полгода после публикации; мы на них только ссылаемся. Всё, что выше канального уровня, не меняется: те же IP-адреса, DHCP, DNS, TCP. Microsoft в руководстве по диагностике Wi-Fi пишет, что стек Windows показывает адаптер протоколам TCP/IP как Ethernet-интерфейс (802.3), а кадры 802.11 перед передачей вверх по стеку переводятся в формат 802.3.

Основные термины:

• Станция (клиент) — ноутбук, телефон, принтер с Wi-Fi.
• Точка доступа (AP, access point) — устройство, которое соединяет беспроводных клиентов с проводной сетью.
• SSID (Service Set Identifier) — имя сети, которое вы видите в списке.
• BSSID (Basic Service Set Identifier) — идентификатор конкретного радиомодуля точки; по формату это MAC-адрес. Одно имя сети могут раздавать несколько точек, и у каждой свой BSSID.

Главное отличие от кабеля: эфир общий. На одном канале в каждый момент времени передаёт, как правило, одно устройство, остальные ждут. Поэтому радиоэфир ближе к старому концентратору, чем к коммутатору из статьи 02: у кабельного порта своя линия, а у Wi-Fi-устройств на одном канале одна на всех.

Как называют устройства вокруг точки доступа:

• Роутер с Wi-Fi — в одном корпусе маршрутизатор, коммутатор и точка доступа, обычно ещё DHCP (статья 06) и NAT (статья 08).
• Точка доступа — только радио; подключается кабелем к коммутатору, питание иногда идёт по тому же кабелю (PoE, Power over Ethernet).
• Mesh-система — несколько точек с общим управлением, объединённых между собой.
• Контроллер — центральное управление многими точками (каналы, роуминг). У MikroTik такую роль играет CAPsMAN; настройка точки описана в статье MikroTik с нуля 06: Wi-Fi на RouterOS 7, здесь мы её не повторяем.

Диапазоны: 2,4, 5 и 6 ГГц

Диапазон — участок радиочастот. Современный домашний и офисный Wi-Fi работает в основном в трёх диапазонах (есть и специализированные, например ниже 1 ГГц; мы их не разбираем).

Допустимые каналы и мощность определяет регулятор вашей страны, поэтому в точке нужно указать страну правильно: с неверной страной вы рискуете нарушить местные правила использования радиочастот. Конкретные значения мощности мы не обсуждаем: они зависят от страны и канала.

Две особенности 6 ГГц. Wi-Fi Alliance описывает Wi-Fi 6E как Wi-Fi 6, продлённый в диапазон 5,925–7,125 ГГц, но в разных странах открыт разный участок, иногда только часть. А в руководстве Альянса по внедрению WPA3 сказано, что сеть с WPA2-Personal в 6 ГГц не допускается.

DFS (Dynamic Frequency Selection) — механизм для каналов 5 ГГц, которые делятся с радарами: точка слушает эфир и, обнаружив радар, уходит на другой канал. Поэтому после включения она может минуты «молчать», а потом внезапно сменить канал.

Каналы и ширина канала

Диапазон делят на каналы с номерами. Ширина канала — сколько спектра он занимает: 20, 40, 80, 160 МГц, а у Wi-Fi 7 в диапазоне 6 ГГц возможны каналы 320 МГц (по данным Wi-Fi Alliance). Чем шире канал, тем больше потенциальная скорость, но тем больше свободного эфира он требует и тем меньше остаётся непересекающихся каналов.

В диапазоне 2,4 ГГц центры соседних каналов, по частотному плану IEEE 802.11, отстоят всего на 5 МГц, а сам канал шириной 20 МГц шире этого шага. Поэтому соседние номера перекрываются, а непересекающимися обычно считают каналы 1, 6 и 11. Номеров в этом диапазоне до 14, но, как отмечает Wi-Fi Alliance, в Северной Америке из-за помех пользуются только тремя из них (как правило, это 1, 6 и 11). В других странах набор шире и зависит от местных правил, поэтому сверяйтесь с настройками точки. В плотной застройке в 2,4 ГГц разумно оставлять ширину 20 МГц: широкие каналы мешают соседям и вам самим.

Как выбрать канал. Сначала узнайте, что вокруг: в Windows это покажет netsh wlan show networks mode=bssid (ниже), на самой точке обычно есть сканирование эфира. Оставьте автовыбор канала, если он справляется, и фиксируйте канал вручную, когда он уводит вас на загруженные частоты. Соседним точкам назначайте разные непересекающиеся каналы: две точки на одном канале делят эфир, как и клиенты.

Названия поколений: Wi-Fi 4, 5, 6, 6E, 7

В 2018 году Wi-Fi Alliance ввёл «человеческие» номера: при выпуске Wi-Fi 6 он дал названия и предыдущим стандартам.

Wi-Fi 6E — не отдельный стандарт, а название для устройств Wi-Fi 6, которые умеют работать в 6 ГГц. Формулировки Wi-Fi Alliance здесь не везде совпадают: на одних страницах 6 ГГц относят к Wi-Fi 6E, на других к Wi-Fi 6. Практически важно одно: устройство без пометки 6E (или Wi-Fi 7) в 6 ГГц, как правило, не работает. В Windows стандарт соединения виден как «Radio type» (802.11n, 802.11ac, 802.11ax) в выводе netsh.

Скорость «по паспорту» и реальная. Цифра на коробке — теоретический предел при идеальных условиях: ширина канала, число антенн и поддержка максимальных режимов должны быть у обоих участников. В реальности скорость делится между всеми клиентами на канале и зависит от расстояния, стен, помех и возможностей клиента. Скорость в выводе Windows (Receive rate и Transmit rate) — согласованная скорость радиосоединения, а не скорость интернета.

Роуминг и несколько точек

Если в офисе несколько точек с одинаковым именем сети и защитой, клиент воспринимает их как одну сеть. Когда переходить на другую точку, решает сам клиент: точки могут только подсказывать. Быстрый роуминг (802.11r, 802.11k, 802.11v), как правило, требует поддержки и на точках, и на клиенте; для отдельных точек MikroTik он недоступен без единого управления (CAPsMAN), см. статью про RouterOS. Типичный симптом плохого роуминга: ноутбук «залип» на далёкой точке и показывает слабый сигнал, хотя рядом есть точка получше.

Безопасность: как защитить сеть

Беспроводной сигнал выходит за стены, поэтому защита обязательна. Ниже — только защитные меры.

Режимы защиты

• WPA2-Personal — общий пароль (PSK, Pre-Shared Key) на всех, длина 8–63 символа. Подходит большинству сетей, если пароль длинный и не из словаря.
• WPA3-Personal — вместо PSK используется протокол SAE (Simultaneous Authentication of Equals). По руководству Wi-Fi Alliance, он устойчив к «офлайновому» подбору пароля по словарю: злоумышленнику приходится делать по одной активной попытке на каждый вариант, и такие попытки можно заметить и ограничить.
• Переходный режим (WPA2 и WPA3 на одном SSID) удобен для смеси старых и новых устройств, но у него есть цена: по тому же руководству, общий пароль такой сети можно подобрать через WPA2-клиента. Поэтому пароль должен быть сложным, а при повышенных требованиях руководство рекомендует две сети с разными паролями. Если все клиенты поддерживают WPA3, включайте «только WPA3»: переходный режим нужен лишь пока в сети остаются устройства без WPA3.
• WPA2/WPA3-Enterprise — каждый пользователь входит под своей учётной записью по стандарту 802.1X (проверка подлинности пользователя при подключении к точке), а проверяет её RADIUS-сервер (Remote Authentication Dial-In User Service). Уволился сотрудник — отключаете одну учётку, а не меняете пароль всем: для организации это правильный вариант. Знакомство с RADIUS — в статье Cisco с нуля 20: AAA, RADIUS и TACACS+: там он показан для входа администраторов на оборудование, а в Wi-Fi Enterprise тот же протокол применяется при 802.1X.
• Защита служебных кадров (PMF, Protected Management Frames) обязательна для WPA3 и для всех новых сертифицированных устройств. Для публичных сетей есть Wi-Fi Enhanced Open: он шифрует трафик без пароля, но, как сказано на сайте Альянса, без проверки подлинности. Обычная открытая сеть не защищает ничего.

Чего не использовать

WEP, WPA и режим TKIP (Temporal Key Integrity Protocol) считаются устаревшими. Wi-Fi Alliance в 2015 году написал, что WPA с TKIP больше не обеспечивает достаточной защиты, что TKIP и WEP используют один и тот же шифр и подвержены похожим атакам, а режимы «только TKIP» и смешанный «WPA/WPA2» настоятельно рекомендовал не использовать. WPA2 обязателен для всех сертифицированных устройств с 2006 года. В настройках выбирайте WPA2 с шифрованием AES (Advanced Encryption Standard) или WPA3.

Отключите WPS

WPS (Wi-Fi Protected Setup) подключает устройство по кнопке или PIN-коду без ввода длинного пароля. Координационный центр CERT/CC в уведомлении 2011 года указал, что PIN-код WPS по замыслу уязвим к подбору, а обходным путём назвал отключение в настройках роутера внешнего регистратора WPS (режима с PIN-кодом). Руководство Wi-Fi Alliance по WPA3 рекомендует не включать WPS в сети «только WPA3-Personal». Для офиса и дома проще один раз ввести пароль.

Гостевая сеть и изоляция клиентов

Гостям нужен интернет, но не ваши компьютеры и принтеры. Для этого создают отдельную гостевую сеть: свой SSID, пароль и подсеть или VLAN (см. Cisco с нуля 04: VLAN, access- и trunk-порты и MikroTik с нуля 07: VLAN и bridge VLAN filtering) и правила межсетевого экрана, которые пропускают гостей только в интернет.

Изоляция клиентов (в руководстве Wi-Fi Alliance — STA isolation) запрещает клиентам одной сети обмениваться трафиком напрямую. Руководство рекомендует включать её там, где связь между клиентами не нужна, и называет в этом числе все публичные сети. Но изоляция не заменяет разделение: она лишь не даёт гостю достучаться до другого гостя. Если гостевая сеть физически и логически входит в вашу локальную, до ваших серверов гость дотянуться всё равно может. Разделять нужно подсетью (VLAN) и правилами фильтрации.

Слабые меры, которые не защита

• Скрытый SSID. Отключение рассылки имени сети лишь убирает её из списка: имя, как правило, всё равно передаётся в служебных кадрах, когда клиент подключается. Зато клиентам приходится самим «искать» такую сеть. В профиле Windows для этого есть отдельный параметр: это настройка клиента, а не защита.
• Фильтр по MAC-адресам. MAC-адрес указан в заголовке кадра, а сменить его на устройстве можно (см. статью 02), поэтому фильтр не остановит того, кто хочет подключиться. Своим же он добавляет хлопот: Windows умеет использовать случайные аппаратные адреса для Wi-Fi (параметр «Random hardware addresses», для всех сетей или для выбранной), и такое устройство для вашего фильтра будет выглядеть новым.

Защита должна опираться на шифрование и проверку подлинности: WPA2 или WPA3, сильный пароль или 802.1X. Кроме того, обновляйте прошивку точки, задайте отдельный сложный пароль администратора и не открывайте управление точкой из гостевой сети и интернета (см. MikroTik с нуля 04: Firewall для начинающих).

Типичные проблемы и как их искать

Диагностику ведите «снизу вверх»: сначала связь с точкой (сигнал, диапазон, канал), затем адрес, потом шлюз, DNS и интернет. Верхние этапы описаны в статье 10.

Начните с простого, как советует Microsoft: проверьте, что Wi-Fi включён, а режим «в самолёте» выключен, подойдите ближе к роутеру, перезапустите модем и роутер, попробуйте другой диапазон. Сброс сети (Network reset) Microsoft называет последним шагом.

Практика: что показывает Windows

Эти команды ничего не меняют в настройках. Выполняйте их в командной строке; для wlanreport и для сбора диагностических данных Microsoft рекомендует запускать консоль от имени администратора.

На современной Windows 11 команды netsh wlan show interfaces и show networks могут вместо списка ответить, что им нужно разрешение на определение местоположения (на русской Windows текст будет другим). Причина: Windows считает список Wi-Fi-сетей с BSSID данными о положении устройства, и, как описывает Microsoft, без разрешения на точное местоположение функции Wi-Fi, возвращающие такие данные, отвечают отказом в доступе. Тогда включите службы определения местоположения: «Параметры → Конфиденциальность и защита → Расположение» (быстрее — командой start ms-settings:privacy-location) и повторите команду. Поведение зависит от версии и сборки Windows.

C:\Users\admin-lab>netsh wlan show interfaces

Пример вывода (сокращён, значения вымышлены; подписи полей в вашей Windows могут быть переведены на русский):

    Name                   : Wi-Fi
    State                  : connected
    SSID                   : OfficeWiFi
    BSSID                  : 00:00:5e:00:53:a1
    Network type           : Infrastructure
    Radio type             : 802.11ac
    Authentication         : WPA2-Personal
    Cipher                 : CCMP
    Channel                : 44
    Receive rate (Mbps)    : 433.3
    Transmit rate (Mbps)   : 433.3
    Signal                 : 78%

Здесь видно, к какой сети и точке вы подключены (BSSID), в каком стандарте и на каком канале, какая защита и какова согласованная скорость. Шифр в выводе может называться CCMP: это режим шифрования на основе AES. Сигнал показан в процентах (относительная величина), а не в децибелах.

C:\Users\admin-lab>netsh wlan show networks mode=bssid

Параметр mode=bssid добавляет для каждой видимой сети BSSID, уровень сигнала, тип радио и канал. Пример вывода (сокращён):

SSID 1 : OfficeWiFi
    Network type            : Infrastructure
    Authentication          : WPA2-Personal
    Encryption              : CCMP
    BSSID 1                 : 00:00:5e:00:53:a1
         Signal             : 80%
         Radio type         : 802.11ac
         Channel            : 44
    BSSID 2                 : 00:00:5e:00:53:a2
         Signal             : 62%
         Radio type         : 802.11n
         Channel            : 6

Так вы увидите, на каких каналах сидят соседи, и сможете выбрать менее занятый для своей точки.

C:\Users\admin-lab>netsh wlan show wlanreport

Команда формирует HTML-отчёт о Wi-Fi-сеансах за последние три дня: сводная диаграмма, список сеансов, причины отключений; расположение файла она выводит по завершении. Отчёты содержат идентификаторы устройств и сетей, поэтому обращайтесь с ними как с конфиденциальными. Команда netsh wlan show drivers покажет свойства драйвера и поддерживаемые типы радио.

Типичные ошибки и недоразумения

• «Скрытая сеть и фильтр MAC делают сеть защищённой». Нет: это неудобство для своих, а не преграда. Защищают WPA2/WPA3 и сильный пароль либо 802.1X.
• «Шире канал — всегда быстрее». В 2,4 ГГц и в плотной застройке широкий канал мешает всем и часто работает хуже узкого.
• «5 и 6 ГГц просто лучше». Они быстрее, но, как правило, хуже проходят стены; для дальних комнат 2,4 ГГц иногда уместнее.
• «Скорость на коробке — моя скорость». Это теоретический предел; реальная ниже и делится между клиентами.
• «Подключено, значит, интернет есть». Подключение к точке и доступ в интернет — разные этапы. Если Wi-Fi показывает связь, ищите проблему выше (адрес, DNS, шлюз).
• «WPS удобен, оставлю включённым». PIN-режим уязвим к подбору: WPS лучше отключить.

Проверьте себя

1. Почему в Wi-Fi на одном канале устройства «мешают» друг другу сильнее, чем в сети на коммутаторе? Эфир общий: на канале в каждый момент передаёт, как правило, одно устройство, а у кабельного порта коммутатора своя отдельная линия.
2. Какие каналы 2,4 ГГц считают непересекающимися и почему остальные перекрываются? Обычно 1, 6 и 11: центры каналов отстоят на 5 МГц, а канал занимает около 20 МГц, поэтому соседние номера перекрываются; набор каналов зависит от страны.
3. Чем Wi-Fi 6E отличается от Wi-Fi 6? Это не новый стандарт: Wi-Fi 6E — название для устройств Wi-Fi 6 (802.11ax), которые работают ещё и в диапазоне 6 ГГц.
4. Какой режим защиты выбрать и от каких отказаться? WPA3-Personal или WPA2-Personal с AES и длинным паролем, а для организации — 802.1X; WEP, WPA/TKIP и открытую сеть не использовать, WPS отключить.
5. Защищают ли сеть скрытый SSID и фильтр по MAC? Нет, это слабые меры: имя сети передаётся в служебных кадрах, а MAC-адрес виден и меняется на устройстве.

Что дальше

• Сети с нуля 10. Диагностика сети в Windows — что делать, когда Wi-Fi подключён, а интернета нет.
• Сети с нуля 11. Wireshark для начинающих — как увидеть обмен DHCP и DNS при подключении к Wi-Fi.
• MikroTik с нуля 06: Wi-Fi на RouterOS 7 — настройка точки: профили, WPA2/WPA3, страна, каналы, гостевая сеть.
• Cisco с нуля 20: AAA, RADIUS и TACACS+ — знакомство с RADIUS, который применяется и в Wi-Fi Enterprise.

Источники

• Wi-Fi Alliance: Wi-Fi Alliance introduces Wi-Fi 6 — названия Wi-Fi 4, 5, 6 и стандарты 802.11n, ac, ax.
• Wi-Fi Alliance: 6 GHz Wi-Fi, Connecting to the future — Wi-Fi 6E, диапазон 6 ГГц, Wi-Fi 7 и 802.11be.
• Wi-Fi Alliance: Wi-Fi CERTIFIED 7 — диапазоны и каналы 320 МГц.
• Wi-Fi Alliance: 802.11ac, Wi-Fi for the next generation — диапазоны Wi-Fi 4 и 5, каналы 2,4 ГГц.
• Wi-Fi Alliance: Security — PMF и Wi-Fi Enhanced Open.
• Wi-Fi Alliance: WPA3 and Wi-Fi Enhanced Open Deployment and Implementation Guide v1.1 — SAE, переходный режим, изоляция клиентов, WPS, 6 ГГц.
• Wi-Fi Alliance: Technical Note, Removal of TKIP from Wi-Fi Devices — о WEP, WPA и TKIP.
• CERT/CC: VU#723755, уязвимость PIN-кода WPS — подбор PIN и отключение WPS.
• IEEE 802.11 Working Group — стандарты IEEE 802 бесплатны через полгода после публикации.
• Microsoft Learn: netsh wlan — подкоманды show, delete profile, wlanreport.
• Microsoft Learn: Wireless network connectivity issues troubleshooting — Wi-Fi в стеке Windows, mode=bssid, отчёт.
• Microsoft Learn: Changes to API behavior for Wi-Fi access and location — разрешение на местоположение для Wi-Fi-функций.
• Поддержка Microsoft: анализ отчёта о беспроводной сети — что в отчёте wlanreport.
• Поддержка Microsoft: подключение к сети Wi-Fi — случайные аппаратные адреса.
• Поддержка Microsoft: исправление проблем с Wi-Fi — простые шаги диагностики.