Creación de Redes Wi-Fi (Access Points)
Red OPN
interface=wlan0
driver=nl80211
hw_mode=g
channel=6
ssid=$ESSID
wpa=0
# Filtro de Mac
#macaddr_acl=1
#accept_mac_file=/root/open/acceptMac.txt
ap_isolate=1interface: Especifica la interfaz inalámbrica que se va a utilizar.
driver: Indica el controlador que se usa para gestionar la interfaz inalámbrica.
hw_mode: Define el modo de hardware (por ejemplo, ‘g’ para 2.4 GHz).
channel: El canal en el que operará la red inalámbrica (ejemplo: 6).
ssid: El nombre de la red inalámbrica.
wpa: Establece el protocolo de seguridad (0 para sin cifrado, abierto).
macaddr_acl: Especifica el control de acceso por dirección MAC (opcional y comentado).
accept_mac_file: Archivo con la lista de direcciones MAC permitidas (opcional y comentado).
ap_isolate: Aisla a los clientes conectados al punto de acceso, evitando que se comuniquen entre sí.
Red OWE
ieee80211w: Habilita la gestión protegida de frames (1 habilitado).
wpa: Establece el protocolo de seguridad (2 para WPA2).
wpa_key_mgmt: Método de gestión de claves WPA (OWE para Opportunistic Wireless Encryption).
rsn_pairwise: Cifrado usado para la red (CCMP).
Red WEP
ignore_broadcast_ssid: Controla si el SSID se transmite en las tramas de beacon (opcional y comentado).
auth_algs: Algoritmo de autenticación (1 para sistema abierto).
wep_default_key: Clave WEP predeterminada.
wep_key0: Valor de la clave WEP (primer índice, normalmente 0).
Red PSK
wpa_key_mgmt: Método de gestión de claves WPA (WPA-PSK para Pre-Shared Key).
wpa_pairwise: Indica los métodos de cifrado (TKIP y CCMP).
wpa_passphrase: Frase de contraseña precompartida.
Red SAE
ctrl_interface: Ruta del directorio de control.
wmm_enabled: Habilita Wi-Fi Multimedia (WMM).
wpa_key_mgmt: Método de gestión de claves WPA (SAE para Simultaneous Authentication of Equals).
ieee80211w: Habilita la gestión protegida de frames (2 para obligatorio).
Red MGT
En las redes MGT no solo es necesario el fichero de configuración de hostapd, también hace falta un certificado TLS y un fichero con las credenciales de los usuarios o una conexión a un servidor Radius (todo esto lo veremos más en profundidad durante el Capítulo 5.7)
country_code: Código del país para establecer las regulaciones.
ieee8021x: Habilita IEEE 802.1X para autenticación de red.
ieee80211d: Habilita IEEE 802.11d (anuncio de regulaciones locales).
wpa_key_mgmt: Método de gestión de claves WPA (WPA-EAP para EAP based authentication).
eap_server: Habilita el servidor EAP interno.
eapol_key_index_workaround: Parámetro relacionado con la gestión de claves EAPOL.
own_ip_addr: Dirección IP del punto de acceso.
eap_user_file: Archivo de configuración de usuarios EAP.
ca_cert: Ruta al certificado de la autoridad de certificación.
server_cert: Ruta al certificado del servidor.
private_key: Ruta a la clave privada del servidor.
private_key_passwd: Contraseña de la clave privada.
Una vez creado el fichero de hostapd es necesario crear un archivo de configuración eap_user para hostapd. Este fichero está especificado en la ruta /root/mgt/hostapd_wpe.eap_user dentro del fichero hostapd.
Nota: En un caso más avanzado y realista se utilizaría un servidor Radius para la autenticación
Explicación del fichero:
Usuarios de Fase 1:
example user usa EAP-TLS, que se basa en certificados en lugar de una contraseña.
DOMAIN\user usa EAP-MSCHAPv2 con la contraseña "password."
Usuarios de Fase 2 (túnel dentro de EAP-PEAP o EAP-TTLS):
DOMAIN\t-mschapv2 usa EAP-MSCHAPv2 con la contraseña "password," específicamente para la Fase 2.
t-gtc usa EAP-GTC con la contraseña "password" en la Fase 2.
user puede autenticarse usando EAP-MD5, EAP-GTC o EAP-MSCHAPv2 con la contraseña "password" en la Fase 2.
test user usa EAP-MSCHAPv2 con una contraseña encriptada en la Fase 2.
Las entradas de la Fase 1 manejan la autenticación inicial, mientras que las entradas de la Fase 2 se utilizan dentro de un túnel encriptado para la autenticación segura. Por ejemplo, DOMAIN\t-mschapv2 se utilizaría dentro de un túnel EAP-PEAP o EAP-TTLS (Fase 2), mientras que DOMAIN\user se utilizaría sin un túnel cifrado (Fase 1).
Podemos utilizar openssl para generar los archivos de configuración necesarios para TLS. Para automatizar este proceso, se puede emplear o un script en bash como el siguiente para generar todo.
Last updated