senha para instaladores .

bom dia senhores iniciei este topico para discutir os meios de se contratar instaladores sem que os mesmos possam causar prejuizos futuros ao provedor com sua saida .
99% dos provedores serios que trabalham com redes sem fio ultilizam criptografia em seus aps ,para sua segurança ok.
e esta chave e que e o grande problema para o provedor por que ela não pode ser divulgada .
nos ubnt tem a opção de senha de leitura a qual o instalado pode ler mas não pode fazer mas nada .inclusive se ele quiser mudar de torre para melhorar o sinal do cliente não e possivel.
estive pensando e acho que pode ser implantado nos ubnt ou em aps um sistema simples mas que os fabricantes não pensaram ainda .

a senha temporaria ........o provedor criaria uma senha temporaria para o instalador no ap principal todo dia ,e a senha so vale por 5 ou 10 minutos a partir que o instalador terminou o serviço ,ai o instalador avisa a base que o serviço foi executado e depos de 5 minutos o proprio ap muda automaticamente para a asenha principal .

acho uma ideia viavel e que quem tem alto conhecimento em programação faria com um pe nas costas .

agradeço a atenção de todos .

Aqui padronizei o MK nas torres justamente por esse motivo, uso uma chave para cada cliente + outra chave para o PPPOE, dai fica praticamente impossivel eles guardarem as chaves ja que sao milhares, e quando der problema em determinado cliente so mudar a chave dele e pronto resolvido o problema.

Antes usava uma chave geral e dai quando saia um instalador, o correto seria trocar em todos os clientes, mas nunca funcionou nunca tinha tempo.

Outra solucao seria criar um AP virtual sem chave dai o instalador conecta e vc entra no radio e troca as conf. para o padrao final, mas dá muito trabalho.

Naldo, mas simples e facil, é usar a mesma senha para todas as torres, e nós donos ou funcionarios de confiansa fazermos uma pre configuração com a senha, mas essa senha deveria ficar escondida, aparecer apenas asteristicos. Se parecesse apenas asteristicos no campo da senha ja seria muito bom, é o que faz a aprouter. abraços

hummm sim aqui a senha e uma so para todas as torres ,mas se fica ruim em uma torre para o instalador ele tem que retornar para reconfigurar.se ele tivesse uma senha com prazo de validade ele pode entrar em qualquer torre e instalar o cliente.
e esta senha so vale para o dia e por 5 minutos so em cada torre .
e tambem não e a principal o instalador so pode instalar não mexer no ponto de acesso.

Aqui o concorrente faz da seguinte forma e ate agora tem dado certo,digo isso pois o instalador deles é meu conhecido e ja andei em algumas instalações com ele.

O dono do provedor ja configura o radio do cliente para o AP ao qual ele vai ser conectado,isso tudo em bancada, então o radio ja sai da empresa com todas as configurações necessárias,ai o instalador se baseia quando possivel pelo leds do radio,quando o radio do cliente fica muito alto ele aponta o radio do cliente pra onde ele acha ser o AP e liga pro dono da empresa fazer o acesso remoto e ver como ficou o sinal CCQ e todas as coisas mais.O unico problema é quando o instalador erra feio a direção do AP e não associa p radio do cliente com o AP ai o dono provedor nao consegue fazer o acesso remoto,ai os dois ficam ali por horas por telefone ate conseguir associar os radios para o acesso remoto

Olha eu achei bem complicado esse metodo adotado pelo meu concorrente mais foi a forma que ele encontrou

este e um dos problemas do instalador não ter senha ,ja pensei nisto tambem .
como disse no inicio do post uma senha trial daria jeito e acho que os fabricantes podem fazer isto .

concordo

assim como nos servidores tem como dar uma senha com baixos previlegios para o tecnico ,poderia ter uma solução destas para aps.

Citação:

---

Postado originalmente por andersonfire

Aqui o concorrente faz da seguinte forma e ate agora tem dado certo,digo isso pois o instalador deles é meu conhecido e ja andei em algumas instalações com ele.

O dono do provedor ja configura o radio do cliente para o AP ao qual ele vai ser conectado,isso tudo em bancada, então o radio ja sai da empresa com todas as configurações necessárias,ai o instalador se baseia quando possivel pelo leds do radio,quando o radio do cliente fica muito alto ele aponta o radio do cliente pra onde ele acha ser o AP e liga pro dono da empresa fazer o acesso remoto e ver como ficou o sinal CCQ e todas as coisas mais.O unico problema é quando o instalador erra feio a direção do AP e não associa p radio do cliente com o AP ai o dono provedor nao consegue fazer o acesso remoto,ai os dois ficam ali por horas por telefone ate conseguir associar os radios para o acesso remoto

Olha eu achei bem complicado esse metodo adotado pelo meu concorrente mais foi a forma que ele encontrou

---

eu tenho usado esta tecnica e nunca tive problema com instaladores

Citação:

---

Postado originalmente por demattos

eu tenho usado esta tecnica e nunca tive problema com instaladores

---

Eu aqui ainda não to podendo por em pratica essa tecnica pq sou sou eu quem faz tudo por aqui:top:
Mais assim que a coisa crescer tbm acho que vou fazer da mesma forma

usar SSID longo e oculto
usar chave WPA diferente para cada radio, se possivel, diferente para cada cliente.
usar senha de acesso ao radio diferente para cada cliente (essa pode ser modificada posteriormente via acesso remoto)
usar senha do ppoe diferente para cada cliente (essa pode ser modificada posteriormente via acesso remoto)

Prender o MAC a Senha do Cliente

nao esquecer de usar isolacao de clientes no AP, fazer roteamento ou usar Switches com VLAN para evitar sniffer.


Pronto, dificulta bastante a vida do tecnico.

Prezados,

Existe uma tecnologia pronta, chamada CWMP[1] (Customer Premises Equipment Wide Area Network Management Protocol) que resolve esse tipo de problema.

O técnico vai a campo com uma senha qualquer, que foi configurada em bancada, como por exemplo "XYZinstall".

Uma vez o equipamento fisicamente instalado, alinhado, conectado e atendendo os requisitos mínimos aceitáveis de conexão (CCQ > 98, -45 < Signal > -55, TX/RX > 48Mbps, etc), ao fechar o chamado, a senha do equipamento é alterada, não sendo mais possível o técnico de campo ter acesso, somente o pessoal do seu NOC.

Essa tecnologia é mais comum em modems ADSL e FTTH, mas já encontrei por aí essa tecnologia implementada em alguns APs de plásticos, daqueles com chipset RTL8186. Os usuários de RouterOS clamam[2] por essa funcionalidade desde 2009. Usuários de Ubiquiti também[3].

Quase todos os equipamentos da TP-Link, com chipset Atheros, suportam CWMP/TR-069.

Sugiro cobrar dos fornecedores dos seus CPEs a implementação dessa tecnologia. O mercado está aí, e tenho certeza que o fabricante que implementar essa tecnologia, terá como cliente muitos dos colegas desse tópico :)

[1] http://en.wikipedia.org/wiki/TR-069
[2] http://forum.mikrotik.com/viewtopic.php?t=55444
[3] http://forum.ubnt.com/showthread.php?p=42326

Saudações,

Trober
-
-
-
-
-

ta ai... e disso que eu estou falando .muito bom

Citação:

---

Postado originalmente por naldo864

a senha temporaria ........o provedor criaria uma senha temporaria para o instalador no ap principal todo dia ,e a senha so vale por 5 ou 10 minutos a partir que o instalador terminou o serviço ,ai o instalador avisa a base que o serviço foi executado e depos de 5 minutos o proprio ap muda automaticamente para a asenha principal .

acho uma ideia viavel e que quem tem alto conhecimento em programação faria com um pe nas costas

---

Olá Naldo.

Usando a dupla Python + Paramiko[1], é possível dar sequência à sua ideia :D

[1] https://under-linux.org/f143/registrando-log-149969/

Saudações,

Trober
-
-
-
-
-

eu estava mesmo querendo um motivo para voltar a estudar programação .pode ser o pontape inicial agradeço sua atenção trober ,seria uma coisa que ajudaria muito .

Bom, trabalho como gestor de um provedor em SP, que atualmente atende aproximadamente 1500 assinantes, em um raio de 100 km.
Resolvemos esta questao simplesmente desenvolvendo um software que efetua a "ativacao" do assinante, o que o tecnico tem que fazer e levar um netbook ou tablet, instalar o equipamento e depois executar nosso ativador, que ira verificar a disonibilidade de sinal no assinante, e caso haja disponibilidade, o proprio software habilita o cliente na rede. Facil, simples e 100% seguro, pois o tecnico na rua nao tem acesso ao dispositivo, e utilizamos chaves de criptografia proprias para prevencao de fraude em nossa rede.
Claro que isso exige um grande trabalho e algum investimento, mas ja temos essa solucao e em uso.
Internamente tambem temos a solucao de monitoramente e habiltacao de assinantes, sem intervencao do operador.

Toda essa solucao depende de varios fatores, inclusive customizacao do software embarcado no dispositivo.

Nao precisamos divulgar senhas, nem chaves, nem nada disso aos nossos tecnicos, na realidade os caras que saem para a rua para instalar o cliente nao sao tecnicos, mas sim instaladores, como os caras da SKY, nao precisam saber de muita coisa a nao ser, executar o instalador, preencher alguns dados do assinante e finalizarem a operacao e aguardar o uplink.

hummm bem profissional ,gostei

Vlw....essa solucao foi eu quem desenvolvi, depois de experiencias ruins com tecnicos em rua.
Hoje podemos dizer que temos nossa rede 100% seguro a livre de fraudes.

e nao facil temos que nos preocupar com tanta coisa ....e vida dificil rsrs
Vida de Técnico da Net - YouTube

A solução que o Jodrix citou é simples e testada.
Não precisa alterar nada nos rádios clientes. E não precisa esperar pelo fabricante desenvolver. O mikrotik faz isso.
Num cliente ubiquiti por ex. se o técnico clicar em ver a chave ele vai ter acesso, mas de que proveito será? Ela será só para este usuário, pois estará atrelada ao MAC.

O Jodrix sentiu na pele este problema pois teve "tecnico" que saiu e começou a fazer instalações clandestinas. Com este sistema terminou o problema.

Vou começar a implantar aqui o mesmo sistema. Não precisa de mais nada, está tudo no mikrotik.

A maneira que uso aqui é parecida, mas não igual.

Om rádio já sai configurado da minha mão, mas com senha "técnica" para entrar no aparelho e senha "provisória para o cliente. Depois de tudo testado e funcionando, simplesmente entro no rádio e altero para a senha definitiva, inclusive trocando a senha provisória do cliente. Nunca tive problema.
Obs: cada técnico com sua senha

Citação:

---

Postado originalmente por andrelch

A maneira que uso aqui é parecida, mas não igual.

Om rádio já sai configurado da minha mão, mas com senha "técnica" para entrar no aparelho e senha "provisória para o cliente. Depois de tudo testado e funcionando, simplesmente entro no rádio e altero para a senha definitiva, inclusive trocando a senha provisória do cliente. Nunca tive problema.
Obs: cada técnico com sua senha

---

Isto funciona para a senha de acesso ao rádio. Mas assim mesmo, se precisar um dia de acesso para alterar config na casa do cliente já vai ter que passar a senha definitiva para o instalador.

Na senha da criptografia não dá para fazer isso, pois já está configurada uma senha padrão no AP. No sistema do Jodrix pelo que vi, esta senha é a mesma em todos os rádios clientes, acrescida do mac, o que a torna individual para cada cliente.
Depois de configurado e acertdo tudo, o instalador liga para o provedor e recebe a chave definitiva que é única para aquele cliente.
Espera que logo, logo o Jodrix vai explicar melhor como é isso aí.

Bom dia eu uso mikrotik e nele mesmo coloco senha wpa e tenho a opção de fazer controles de mac em kda AP... é so ir em wireless>interfaces ai vc vai localizar o cartão que eta atuando como ap e abre ele dai vc vai em wireless e la embaixo verifiquem que estará marcada as opções default authenticate e default forward, e so desmarcar estas opções que vc estará ativando o controle de mac do cliente no ap dai só conectará no ap os macs que estiverem liberado no access list