רשתות אלחוטיות (Wireless): המדריך המקצועי המלא בעברית ל-Wi-Fi ברמת CCNA 200-301

אין היום ארגון שבו המשתמשים מתחברים בכבל. הלקוחות, האורחים, הטלפונים, המצלמות ועגלות הסריקה במחסן — כולם על Wi-Fi. ובכל זאת, כשמשהו נשבר, המשפט הראשון שנשמע בשולחן התמיכה הוא 'האינטרנט איטי'. אנשי רשת טובים יודעים שהמשפט הזה כמעט תמיד מסתיר בעיה פיזיקלית: ערוץ עמוס, כיסוי חופף, הספק שידור גבוה מדי או לקוח שנתקע על AP רחוק. הפרק Wireless במבחן CCNA 200-301 v1.1 נועד בדיוק לזה — להבין מה קורה באוויר לפני שנוגעים בהגדרות.

למה רשת אלחוטית שונה מהותית מרשת קווית

ברשת קווית כל פורט במתג הוא Collision Domain נפרד ועובד ב-Full Duplex: אפשר לשדר ולקלוט בו-זמנית. באוויר אין כזה דבר. תחנה אלחוטית אינה יכולה לשדר ולהאזין באותו רגע על אותה תדר, ולכן הרשת מתנהגת כמדיה משותפת בחצי דופלקס — בדיוק כמו Hub ישן. כל התחנות שמשויכות לאותו AP ולאותו ערוץ מתחלקות באותו זמן אוויר.

• ▸המדיה היא גלי רדיו ולא אות חשמלי בכבל — היא פתוחה, ניתנת להאזנה ורגישה להפרעות ולהחזרות.
• ▸אין CSMA/CD: אי אפשר לזהות התנגשות שקורית אצל מישהו אחר, ולכן משתמשים ב-CSMA/CA — הימנעות מהתנגשות מראש.
• ▸חצי דופלקס: ככל שיש יותר לקוחות על אותו ערוץ, כך זמן האוויר לכל אחד קטן וההשהיה עולה.
• ▸קצב מוצהר (Data Rate) אינו תפוקה (Throughput). בפועל מקבלים בערך חצי מהקצב התיאורטי, ולפעמים פחות.

CSMA/CA עובד כך: התחנה מאזינה לערוץ; אם הוא פנוי היא ממתינה פרק זמן אקראי (Backoff) ורק אז משדרת; לאחר מכן היא ממתינה ל-ACK מהצד השני. אם לא הגיע אישור — היא משדרת שוב. מכאן נובעת תופעה שכל טכנאי מכיר: לקוח אחד ישן ואיטי בפינת הקומה יכול להאט את כל התא, כי הוא תופס זמן אוויר יקר לשידור באיטיות (תופעת ה-Sticky Client).

המונחים שחייבים לדעת בעל פה: SSID, BSS, ESS ו-BSSID

• ▸SSID — השם הלוגי של הרשת, עד 32 תווים, רגיש לאותיות גדולות וקטנות. זהו מזהה בלבד, לא מנגנון אבטחה.
• ▸BSSID — כתובת ה-MAC של הרדיו ב-AP שמשרת את התא. לכל SSID על כל רדיו יש BSSID משלו.
• ▸BSS (Basic Service Set) — תא שירות אחד: AP בודד והלקוחות המשויכים אליו.
• ▸ESS (Extended Service Set) — מספר AP-ים עם אותו SSID שמחוברים לאותה רשת מיתוג, ומאפשרים Roaming.
• ▸IBSS / Ad-hoc — תקשורת ישירה בין תחנות בלי AP. שריד היסטורי שכמעט לא קיים בארגון.
• ▸Mesh, Repeater ו-Workgroup Bridge — מצבים ייעודיים לכיסוי שטחים פתוחים או לחיבור ציוד קווי דרך האוויר.

כדי ש-Roaming יעבוד באמת, שני AP-ים סמוכים צריכים חפיפת כיסוי של כ-15%-20% ולעבוד בערוצים שאינם חופפים. ארגון שמגדיר את כל ה-AP-ים על ערוץ 6 'כי ככה קל' יוצר לעצמו רשת אחת גדולה ואיטית, לא רשת מהירה.

תדרים, ערוצים והמספרים 1, 6, 11

רשתות Wi-Fi פועלות בפסים לא-מורשים (Unlicensed): 2.4 GHz, 5 GHz, ומאז Wi-Fi 6E גם 6 GHz. הפס של 2.4 GHz רחב כ-82 מגה-הרץ ומכיל 11 ערוצים (בארה"ב) שרובם חופפים זה לזה. מכיוון שרוחב ערוץ הוא כ-20-22 מגה-הרץ, רק שלושה ערוצים אינם חופפים בפועל: 1, 6 ו-11. זו אחת השאלות הבטוחות ביותר במבחן, וגם אחת הטעויות הנפוצות ביותר בשטח.

• ▸2.4 GHz — טווח ארוך וחדירה טובה יותר דרך קירות, אבל צפוף, רועש ועם שלושה ערוצים בלבד.
• ▸5 GHz — עשרות ערוצים לא חופפים, רוחבי פס גדולים ופחות הפרעות; טווח קצר יותר ורגישות גבוהה יותר למכשולים.
• ▸6 GHz (Wi-Fi 6E/7) — ספקטרום נקי ורחב, אך דורש ציוד קצה מודרני ותומך רק ב-WPA3.
• ▸DFS — חלק מערוצי 5 GHz משותפים עם מכ"ם; ה-AP חייב לפנות אותם אוטומטית בזיהוי מכ"ם.

תקנים: מ-802.11b ועד Wi-Fi 7

• ▸802.11b — 2.4 GHz, עד 11 Mbps, קידוד DSSS. ישן וכדאי לכבות אותו כדי לא להאט את הרשת.
• ▸802.11a/g — 54 Mbps, קידוד OFDM; a בפס 5 GHz ו-g בפס 2.4 GHz.
• ▸802.11n (Wi-Fi 4) — MIMO וריבוי זרמים בשני הפסים, מאות Mbps.
• ▸802.11ac (Wi-Fi 5) — 5 GHz בלבד, ערוצים רחבים ו-MU-MIMO בכיוון הורדה.
• ▸802.11ax (Wi-Fi 6/6E) — OFDMA, TWT ויעילות ספקטרלית: נועד לצפיפות של הרבה לקוחות, לא רק למהירות שיא.
• ▸802.11be (Wi-Fi 7) — ערוצים של 320MHz ו-MLO, חיבור בו-זמני על כמה פסים.

לצד התקנים כדאי להכיר את שיטות הקידוד: FHSS (קפיצת תדרים, שימש בתקן המקורי), DSSS (פיזור על פס רחב, 802.11b) ו-OFDM (חלוקה לתת-נשאים אורתוגונליים, הבסיס לכל מה שמודרני). ב-802.11ax נוסף OFDMA שמאפשר לחלק תת-נשאים בין כמה לקוחות באותה מסגרת שידור — זו הסיבה ש-Wi-Fi 6 מצטיין באולמות ובכיתות עמוסות.

ארכיטקטורות AP: Autonomous, Lightweight ו-Cloud

ב-CCNA מבדילים בין AP עצמאי (Autonomous) שמחזיק את כל התצורה בעצמו ומחובר לפורט Trunk, לבין AP קל (Lightweight) שמנוהל על ידי בקר WLC. ב-AP קל מתבצעת הפרדה לשני מישורים: Control Plane שמנוהל בבקר (אימות, ניהול RF, Roaming) ו-Data Plane שמעביר את תעבורת המשתמשים. התקשורת בין AP לבקר עוברת במנהרת CAPWAP — UDP 5246 לבקרה ו-UDP 5247 לנתונים, כשמנהרת הבקרה מוצפנת DTLS.

• ▸Local Mode — התעבורה מנותבת דרך הבקר; שליטה מלאה, אך תלות בקישוריות לבקר.
• ▸FlexConnect — התעבורה נשברת מקומית בסניף גם כשהקו לבקר נופל.
• ▸Monitor / Sniffer — AP ייעודי לניטור RF, זיהוי Rogue AP ולכידת מסגרות לאבחון.
• ▸RRM — ניהול משאבי רדיו אוטומטי: בחירת ערוץ, כוונון הספק והתאוששות מכשל AP שכן.

אבטחה אלחוטית: מ-WEP ועד WPA3

מכיוון שהמדיה פתוחה לכל מי שנמצא בטווח, הצפנה אינה המלצה אלא תנאי בסיסי. WEP המקורי התבסס על RC4 עם וקטור אתחול של 24 סיביות ונשבר בתוך דקות. WPA הוסיף את TKIP והחלפת מפתחות דינמית, אך נשאר על RC4. WPA2 הביא את AES-CCMP — התקן שעליו רוב הרשתות הארגוניות עובדות עד היום. WPA3 הוסיף את SAE (המכונה Dragonfly) שמחליף את ה-4-Way Handshake המסורתי ומונע התקפות מילון אופליין, וכן Protected Management Frames שחוסמות התקפות Deauthentication.

• ▸Personal (PSK / SAE) — מפתח משותף. מתאים לבית ולרשת אורחים, לא לרשת ארגונית.
• ▸Enterprise (802.1X/EAP) — כל משתמש מתאמת בזהות נפרדת מול שרת RADIUS. זו הדרך הנכונה בארגון.
• ▸WPA3-Enterprise — הצפנה חזקה יותר ואפשרות למצב 192-bit לסביבות רגישות.
• ▸Enhanced Open (OWE) — הצפנה גם ברשת אורחים ללא סיסמה, במקום Open נטול הצפנה.

הסתרת SSID ופילטר MAC אינן אבטחה. הן מסננות עוברי אורח בלבד — כל כלי האזנה בסיסי חושף אותן תוך שניות. אבטחה אמיתית מתחילה ב-WPA2/WPA3 Enterprise מול RADIUS.

מקורות הפרעה: כשהבעיה אינה ברשת

• ▸טלפונים אלחוטיים ישנים ומכשירי Bluetooth שעובדים בקפיצת תדרים על כל פס 2.4 GHz.
• ▸מיקרוגל — פולט אנרגיה סביב 2.45 GHz ומסוגל להשבית ערוץ שלם בזמן חימום.
• ▸מצלמות אלחוטיות, בקרי משחק, מסכי וידאו אלחוטיים ומכשירי USB אלחוטיים.
• ▸משטחי מתכת, מעליות, קירות בטון וזכוכית מצופה — יוצרים החזרות, ניחות ואזורים מתים.
• ▸AP-ים של השכנים ורשתות אורח פרטיות — ההפרעה הנפוצה ביותר בבנייני משרדים.

בשטח מודדים שלושה ערכים: RSSI (עוצמת האות שהתקבלה, ב-dBm), Noise Floor ו-SNR (ההפרש ביניהם). כלל אצבע מקצועי: לנתוני משתמשים שואפים ל-RSSI טוב מ-67dBm- ול-SNR של 25dB לפחות; לקול ולווידאו נדרש אפילו יותר. ערך SNR נמוך מסביר עשרות תלונות 'איטיות' שאף שינוי הגדרות בשרת לא יפתור.

! זיהוי הפורט שאליו מחובר ה-AP וכמה חשמל הוא מקבל
Switch# show power inline gigabitEthernet 1/0/12
Switch# show cdp neighbors detail

! פורט למצב AP קל (Access) עם VLAN ניהול
Switch(config)# interface gigabitEthernet 1/0/12
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 40
Switch(config-if)# power inline auto

! בבקר WLC (IOS-XE) — סטטוס AP-ים ולקוחות
WLC# show ap summary
WLC# show ap dot11 24ghz summary
WLC# show wireless client summary
WLC# show wireless client mac-address aabb.ccdd.eeff detail

מתודולוגיית אבחון שעובדת בשטח

• ▸שלב 1 — האם ה-AP בכלל חי? PoE, סטטוס בפורט, רישום מול הבקר.
• ▸שלב 2 — האם הלקוח משויך (Associated) ומאומת (Authenticated)? כשל אימות שונה לחלוטין מכשל כיסוי.
• ▸שלב 3 — האם הוא קיבל כתובת מ-DHCP? כאן מתגלות טעויות VLAN ו-Relay.
• ▸שלב 4 — מה ה-RSSI וה-SNR? אם הם גרועים, אין טעם להמשיך לשכבות גבוהות.
• ▸שלב 5 — כמה עמוס הערוץ (Channel Utilization)? מעל 50% הרשת תרגיש איטית גם אם הכול 'תקין'.

אבחון נכון מתחיל תמיד מלמטה למעלה: RF, שיוך, אימות, כתובת, ורק אז אפליקציה. מי שמדלג ישר להגדרות ה-SSID מבזבז שעות. סקר אתר (Site Survey) לפני התקנה, וסקר אימות אחריה, חוסכים יותר זמן מכל כלי ניטור.

רשת אלחוטית טובה אינה נמדדת במספר ה-AP-ים שהותקנו אלא בכמה מהם באמת נחוצים, באילו ערוצים הם עובדים ובאיזה הספק. יותר AP-ים בהספק מלא זו לרוב רשת גרועה יותר.

טעויות נפוצות שכדאי להימנע מהן

• ▸שימוש בערוצים 2, 3 או 9 בפס 2.4 GHz — יוצר חפיפה עם השכנים ומעלה רעש.
• ▸הגדרת כל ה-AP-ים בהספק שידור מקסימלי — הלקוח שומע את ה-AP אך ה-AP לא שומע אותו.
• ▸השארת קצבי נתונים ישנים (1 ו-2 Mbps) פעילים — מאריכה זמני אוויר ומאטה את כל התא.
• ▸יותר מדי SSID-ים — כל SSID צורך זמן אוויר במסגרות Beacon; שלושה זה כבר הרבה.
• ▸WPA2-Personal ברשת ארגונית — סיסמה אחת שנודדת בין מאות מכשירים ואף פעם לא מוחלפת.

רשת אלחוטית היא המקום שבו תיאוריה פוגשת פיזיקה. מי שמבין ערוצים, הספקים, SNR ו-802.1X הופך מטכנאי שמאתחל AP-ים לאיש רשתות שמתכנן כיסוי ומאבחן לפי נתונים. זהו בדיוק ההבדל שמבחן CCNA 200-301 v1.1 בודק — וגם ההבדל שמעסיקים מחפשים.