Что происходит в Wi‑Fi: анализ трафика на канальном уровне
Просмотр сетевого трафика позволяет увидеть, какие данные действительно передаются между устройствами, и понять, что происходит внутри соединения, которое обычно воспринимается как "чёрный ящик". При работе с Wi‑Fi особенно интересно исследовать не только IP-пакеты, но и кадры беспроводной сети: служебные сообщения, процесс подключения клиента, подтверждения доставки и особенности взаимодействия точки доступа со станциями.
Для понимания происходящего важно сначала разобраться с уровнями сетевого стека. В упрощённой модели TCP/IP выделяют четыре слоя:
- прикладной;
- транспортный;
- межсетевой;
- канальный.
В классической модели OSI уровни разделены подробнее: физический L1, канальный L2, сетевой L3, транспортный L4, сеансовый L5, представительский L6 и прикладной L7. Поэтому выражения вроде "проблема на L2" или "L2-коммутатор" относятся к передаче кадров, работе с MAC-адресами и функционированию канального уровня.
Именно L2 особенно удобен для изучения Wi‑Fi. На нём можно увидеть, как устройства обнаруживают сеть, проходят аутентификацию, устанавливают соединение и обмениваются кадрами ещё до того, как начинается обычная передача IP-трафика.
Частоты и радиоканалы Wi‑Fi
Современные стандарты беспроводной связи используют диапазоны 2,4, 5 и 6 ГГц. Каждый из них разделён на каналы с определённой центральной частотой и шириной полосы.
В диапазоне 2,4 ГГц традиционно применяются каналы 1, 6 и 11. При ширине 20 МГц они почти не перекрываются, тогда как соседние каналы, например 1 и 2, частично используют один и тот же спектр и способны создавать взаимные помехи.
Диапазоны 5 и 6 ГГц предлагают больше доступного спектра и больше неперекрывающихся каналов. Современные устройства могут объединять несколько 20-мегагерцовых каналов в более широкие полосы - 40, 80 или 160 МГц. Такая технология называется channel bonding. Она повышает потенциальную скорость, но одновременно увеличивает требования к качеству радиосреды и делает сеть более чувствительной к помехам.
На физическом уровне выполняются модуляция, кодирование, формирование OFDM-сигнала, работа с MIMO и другие операции, связанные с передачей битов по радио. При анализе структуры кадров большинство этих подробностей можно не рассматривать. Достаточно понимать, что клиент и точка доступа должны работать на совместимом канале.
Есть важная особенность: канал шириной 80 МГц фактически включает четыре соседних участка по 20 МГц. Один из них является первичным. На нём передаются некоторые управляющие кадры, а сама станция использует его для обнаружения беспроводной сети. Поэтому для полноценного захвата необходимо указать не только диапазон 5 или 6 ГГц, но и точный канал с соответствующей шириной.
Для первых экспериментов оптимально использовать каналы 20 МГц. В этом случае проще наблюдать MAC-адреса, типы кадров, номера последовательностей и обмен между клиентом и точкой доступа, не погружаясь в сложные детали PHY.
Устройство Wi‑Fi-адаптера
Беспроводной адаптер состоит из радиочасти, чипсета и прошивки. В совокупности они отвечают за преобразование цифровых данных в радиосигнал и обратное восстановление информации из принятого сигнала.
Условно Wi‑Fi можно разделить на два компонента:
- MAC - логика канального уровня;
- PHY - физический уровень, отвечающий за радиопередачу.
В адаптерах SoftMAC часть функций MAC реализуется драйвером и операционной системой. В устройствах FullMAC значительная доля логики выполняется внутри самого контроллера и его прошивки. От этого зависят поддерживаемые режимы работы, возможности мониторинга и объём информации, доступной анализатору.
В Linux адаптер обычно представлен сетевым интерфейсом, например `wlan0` или именем, заданным системой предсказуемой нумерации. В обычном режиме устройство принимает кадры, предназначенные для него, и передаёт операционной системе уже обработанные данные. Чтобы видеть беспроводной обмен шире, используется monitor mode.
Режим мониторинга
Monitor mode позволяет адаптеру принимать радиокадры, наблюдаемые в эфире, даже если они адресованы другим устройствам. Это принципиально отличается от обычного режима подключения к сети.
В режиме мониторинга можно увидеть:
- маячные кадры точки доступа;
- запросы и ответы при поиске сети;
- процедуры аутентификации и ассоциации;
- управляющие кадры;
- незашифрованные данные;
- зашифрованные кадры с метаданными канального уровня.
Однако мониторный режим не превращает адаптер в универсальный измерительный прибор. Нельзя одновременно принимать весь эфир на всех каналах, а ширина используемого канала ограничивает полноту захвата. Если адаптер настроен на канал 1, он не увидит обмен на канале 6 без переключения частоты.
Следует учитывать и аппаратные ограничения. Некоторые драйверы не поддерживают мониторинг, другие меняют формат захвата, а отдельные модели не позволяют корректно работать с широкими каналами. Поэтому отсутствие кадров не всегда означает, что сеть молчит: проблема может быть в канале, ширине полосы, драйвере или возможностях самого адаптера.
Кадры IEEE 802.11
Основной единицей передачи в Wi‑Fi является MAC Protocol Data Unit, или MPDU. Кадры IEEE 802.11 делятся на три большие категории:
1. management frames - управляющие;
2. control frames - контрольные;
3. data frames - кадры данных.
Управляющие кадры формируют и поддерживают соединение. К ним относятся beacon, probe request, probe response, authentication, association request и association response.
Контрольные кадры помогают регулировать передачу и подтверждать доставку. Примеры - RTS, CTS и ACK. Они особенно важны при анализе повторных передач и проблем с радиоэфиром.
Кадры данных переносят полезную нагрузку. Внутри неё могут находиться Ethernet-кадры, IP-пакеты, ARP-запросы и другие данные верхних уровней. Если сеть защищена WPA2 или WPA3, полезная часть будет зашифрована, но заголовок 802.11 и многие служебные признаки останутся видимыми.
Как клиент подключается к точке доступа
Точка доступа регулярно отправляет beacon-кадры. В них содержатся имя сети, идентификатор BSS, поддерживаемые скорости, параметры безопасности, сведения о канале и другие характеристики. Эти кадры позволяют клиентам обнаружить сеть и оценить её возможности.
При активном поиске клиент отправляет probe request. Точка доступа отвечает probe response с более подробной информацией. После выбора сети начинается процедура подключения.
Сначала клиент и точка доступа обмениваются кадрами authentication. В современных сетях этот этап не передаёт пароль в открытом виде и часто выполняет роль формальной процедуры подтверждения готовности к подключению.
Затем идут association request и association response. В этих сообщениях согласуются параметры соединения: поддерживаемые стандарты, скорости, возможности клиента, энергосбережение и другие свойства.
При использовании WPA2-Personal или аналогичной схемы после ассоциации выполняется четырёхэтапное рукопожатие - 4-way handshake. Его задача заключается в подтверждении владения общим секретом и формировании временных ключей шифрования. Сам пароль при этом по радио не передаётся.
Наличие handshake ещё не означает, что его можно использовать для чтения трафика. Для расшифровки необходимо знать пароль или иной ключ, а также учитывать параметры конкретной сети и клиента.
Что можно увидеть в Wireshark
Wireshark позволяет анализировать захваченные кадры на уровне 802.11 и рассматривать их поля по отдельности. Важными параметрами являются:
- BSSID - идентификатор беспроводной сети;
- MAC-адрес отправителя и получателя;
- тип и подтип кадра;
- номер последовательности;
- флаги повторной передачи;
- информация о канале и сигнале;
- параметры шифрования;
- содержимое служебных полей.
При диагностике полезно фильтровать кадры по адресу точки доступа или конкретного клиента. Это помогает отделить нужное соединение от множества соседних сетей.
Номера последовательностей позволяют заметить пропуски и повторные передачи. Если один и тот же кадр появляется несколько раз, это может указывать на отсутствие подтверждения ACK, слабый сигнал, высокую загрузку канала или радиопомехи. Однако повторная передача не всегда свидетельствует о неисправности: она является штатным механизмом повышения надёжности Wi‑Fi.
Инструменты для исследования
Для работы с беспроводным трафиком используются разные классы инструментов:
- Wireshark - графический анализ захваченных кадров;
- утилиты Aircrack-ng - перевод интерфейса в мониторный режим, сбор информации о сетях и диагностика;
- Scapy - программное формирование и разбор сетевых пакетов;
- системные средства Linux - просмотр интерфейсов, каналов, драйверов и состояния адаптера.
Запускать такие инструменты следует только в собственной сети или с явного разрешения владельца. Перехват трафика чужих пользователей может нарушать законодательство и правила эксплуатации сети.
Почему часть кадров не видна
Даже правильно настроенный захват не гарантирует полной картины. Точка доступа и клиент могут использовать разные каналы из-за автоматического выбора частоты. Широкий канал может быть виден лишь частично, если адаптер настроен на одну 20-мегагерцовую секцию. Кроме того, часть управляющих кадров может передаваться на базовой скорости, а некоторые современные механизмы 802.11 поддерживаются не каждым адаптером.
Мобильные устройства также часто применяют энергосбережение. Клиент временно отключает радиомодуль, пропускает часть beacon-кадров или просыпается только для получения накопленных данных. В результате в захвате могут появляться паузы, которые не связаны с ошибками сети.
Практический порядок анализа
Для последовательного исследования Wi‑Fi удобно придерживаться простой схемы:
1. определить интерфейс и проверить поддержку monitor mode;
2. выбрать диапазон и точный канал;
3. убедиться, что видны beacon-кадры нужной точки доступа;
4. найти конкретный клиент по MAC-адресу;
5. проследить probe, authentication и association;
6. проверить наличие 4-way handshake;
7. изучить data, ACK и повторные кадры;
8. сопоставить сетевые события с уровнем сигнала и качеством канала.
Такой порядок помогает не смешивать проблемы разных уровней. Например, отсутствие association связано с подключением и совместимостью, а большое количество повторов после успешной ассоциации чаще указывает на качество радиосреды.
Итог
Анализ Wi‑Fi на канальном уровне показывает, что беспроводная сеть - это не просто передача IP-пакетов между роутером и компьютером. До появления привычного TCP-сеанса происходят обнаружение сети, обмен служебными кадрами, согласование параметров, ассоциация, установка ключей и постоянная работа механизмов подтверждения доставки.
Для первых экспериментов достаточно адаптера с поддержкой monitor mode, Linux и Wireshark. Начинать лучше с каналов шириной 20 МГц и открытых либо собственных тестовых сетей. Постепенно можно перейти к изучению повторных передач, энергосбережения, агрегации кадров, roaming, QoS и особенностей WPA2/WPA3. Такой подход позволяет связать события в эфире с поведением устройств и гораздо быстрее находить причины нестабильного Wi‑Fi.