Обзор NETGEAR WNR854T

Игорь Федюкин

Хакер, номер #112, стр. 112-022-1

• Цена: 4000 руб.

Технические характеристики

• Интерфейсы: 1xWAN (RJ-45) 10/100/1000Мбит/сек, 4xLAN (RJ-45) 10/100/1000Мбит/сек
• Беспроводная точка доступа Wi-Fi: IEEE 802.11 b/g + Draft N (до 300 Мбит/сек)
• Безопасность: WEP (до 128 бит), WPA/WPA-PSK, WPA2/WPA2-PSK (TKIP/AES/TKIP+AES)
• Функции роутера: NAT/NAPT, DynDNS, Static Routing, DHCP
• Функции файрволла: SPI, Block Sites, Block Services

В предыдущих обзорах мы уже рассматривали влияние шифрования на скорость беспроводного соединения. Как показывает практика, WPA2-AES шифрование съедает минимум производительности, обеспечивая высокую степень защищенности передаваемых данных. По ряду причин в прошлый раз мы не смогли сравнить скорость с WPA2-AES шифрованием с показателями в случае использования безопасности WPA-TKIP. Теперь мы провели более детальное исследование на примере уже не новой, но еще не отметившейся в нашей лаборатории модели роутера NETGEAR WNR854T.

Внешний вид

Дизайн устройства остался неизменным по сравнению с предшественником – NETGEAR WNR834B. Все та же белоснежно белая коробочка, напоминающая книгу, и цветные светодиоды – индикаторы состояния устройства. Их по-прежнему семь: активность питания, интернет соединения (интерфейс WAN), беспроводного сегмента и портов LAN. С тыльной стороны находятся собственно разъемы RJ-45 WAN и LAN, гнездо питания и кнопка сброса на заводские установки.

Аппаратная начинка

Маршрутизатор построен на базе кристалла Marvell 88F5180. Оперативная память организована одной микросхемой – Nanya NT5DS8M16FS-5T объемом 16 Мбайт, работающей на частоте 200 МГц (CL=3). Флеш память представляет собой чип Intel JS28F640 объемом 8 Мбайт. На плате распаяна микросхема коммутатора Marvell 88E6131 – 8-мипортовый коммутатор Gigabit Ethernet с интегрированными блоками физического уровня. Беспроводная часть устройства построена на базе чипсета Marvell 88W8361P.

Функциональные возможности

На WAN-интерфейсе доступно использование статических/динамических настроек IP, а также авторизации с помощью PPPoE и PPTP. В последнем случае пользователю предлагается ввести IP-адрес самого маршрутизатора и IP-адрес VPN-сервера. Ни маску сети, ни адрес шлюза задать невозможно. Это ограничивает применение маршрутизатора среди многих провайдеров, использующих авторизацию с помощью протокола PPTP. Обычно в сетях таких провайдеров VPN-сервер размещен вне пользовательского сегмента и для доступа к нему требуется задать IP-адрес шлюза.

При настройке Wi-Fi можно ограничить режим работы стандартами 802.11b/g (Up to 54Mbps). Draft N активируется в двух вариантах: с 20 МГц радиоканалом (Up to 145Mbps) и 40 МГц каналом (UP to 300Mbps).

Существенным недостатком настроек Wi-Fi является необходимость жесткого выбора начального частотного канала. Учитывая, что при 40 МГц канале будет использоваться еще семь частотных каналов, следующих за выбранным, велика вероятность пересечения с другими сетями в эфире (в случае с 20 МГц – еще 3 канала). Поэтому было бы предпочтительнее, чтобы роутер сам сканировал эфир и выбирал наименее «засоренный» диапазон частот.

Web-интерфейс настройки довольно инертен. В большинстве случаев, для вступления в силу измененных настроек требуется перезагрузка, которая длится около минуты. Несколько раз в процессе перенастройки устройство зависало. Случалось, девайс «оживал» только после reset’а.

Методика тестирования

Для тестирования проводного сегмента использовался скрипт передачи пакетов максимального размера. Все измерения проводились с прошивкой версии 1.4.31.

1. При тестировании пропускной способности WAN -> LAN одна из станций подключалась к одному из портов свитча (интерфейс LAN), вторая к WAN порту. Таким образом, мы получали пиковую пропускную способность для WAN интерфейса (ее можно называть скоростью NAT). Измерялась скорость однонаправленной передачи (направления WAN -> LAN и LAN -> WAN) и в режиме полного дуплекса (FDX).
2. Поскольку при активации интернет соединения по протоколу PPTP создается дополнительная нагрузка на центральный процессор роутера, мы измерили пропускную способность PPTP. Для этого за WAN интерфейсом маршрутизатора был поднят VPN сервер. Также проверялась возможность установки VPN соединения в случае размещения VPN сервера вне сегмента нахождения нашего маршрутизатора.
3. Для оценки скорости Wi-Fi мы использовали PCMCIA адаптер D-Link DWA-645. Измерения проводились в типичной квартире из двух точек с разным удалением от роутера. В первом случае удаление не превышало одного метра, и измерялась максимальная скорость передачи данных. Во втором случае ноутбук с Wi-Fi адаптером находился от точки доступа на расстоянии десяти метров по диагонали за стеной. Чтобы оценить скоростные потери при активации шифрования, мы сделали несколько замеров с применением различных алгоритмов шифрования.
4. В качестве дополнительного исследования была проведена проверка на уязвимости со стороны WAN интерфейса с помощью программного продукта Tenable Nessus. К слову, некоторые наши коллеги по ремеслу сканируют роутеры на уязвимости со стороны LAN-интерфейса. В качестве уязвимостей обычно находят открытый порт Web-сервера, FTP, telnet и SSH сервисы. Полезность этой информации, на наш взгляд, весьма сомнительна, ибо то, что открыто со стороны LAN, скорее всего и так очевидно, да и угроза чаще находится не внутри, а снаружи. Как правило, роутеры лишены каких-либо серьезных изъянов, так как не пропускают трафик извне (если не настроена трансляция портов NAPT), но иногда из-за ошибок в прошивках роутеры, к примеру, могут откликаться на запросы SNMP со стороны интерфейса WAN. Именно для поиска таких уязвимостей и проводится данное сканирование.

Результаты тестов

Несмотря на гигабитность WAN-порта, роутер демонстрирует производительность NAT, лишь немного превышающую 100 Мбит/сек.

В направлении WAN->LAN пропускная способность составила 144,5 Мбит/сек, в обратном – 149,2 Мбит/сек, при передаче в обе стороны – 151,9 Мбит/сек. Нельзя сказать, что результат совсем низкий, однако в нашей лаборатории уже бывали гигабитные роутеры, чья пропускная способность WAN->LAN была на уровне ~250 Мбит/сек.

Установить PPTP-соединение и снять результаты пропускной способности нам не удалось. Невзирая на статичное задание настроек IP, роутер не откликается на ping’и со стороны WAN-интерфейса и не пытается инициализировать процесс авторизации. Скорее всего, это связано с ошибками в реализации PPTP-клиента в микропрограмме устройства.

Результат тестов Wi-Fi куда более позитивен. Без шифрования с 40 МГц радиоканалом скорость беспроводного соединения находится на уровне 80-90 Мбит/сек. Как и следовало ожидать, наименьшие потери производительности наблюдаются в режиме шифрования WPA2-AES. В этом случае скорость падает до 70-80 Мбит/сек. Значительно больше ты потеряешь, если включишь WPA-TKIP криптование. В этом случае пропускная способность находится на уровне 50-60 Мбит/сек. На наш взгляд, оптимально применять WPA2-AES шифрование, так как при нем достигается высокая степень защищенности передаваемых данных и минимальные скоростные потери соединения.

Сканирование Tenable Nessus не выявило изъянов в защите маршрутизатора.

Выводы

Итак, что же у нас получается по итогам тестирования? Самыми существенными недостатками маршрутизаторов можно считать изъяны в их базовой функции – то есть маршрутизации. И у сегодняшнего подопытного они, к сожалению, есть. Самый значимый из них – «сырая» реализация PPTP-клиента, которая не позволяет использовать роутер с рядом провайдеров. Не понравилась нам и инертность web-интерфейса настройки и нестабильность работы устройства в целом. К достоинствам стоит отнести высокое быстродействие Wi-Fi и вполне адекватную цену. Учитывая возможность исправления многих озвученных ошибок программным путем, продукт может стать хорошим выбором для организации быстрого беспроводного доступа в интернет.