Аудит Wi-Fi в Linux с нуля. Выбор адаптера, настройка драйверов и режима мониторинга

Установили Kali Linux, подключили USB-адаптер Wi-Fi, открыли терминал и попытались посмотреть, что происходит в радиоэфире. Но вместо ожидаемых кадров программа сообщает, что беспроводная карта не поддерживает режим мониторинга. При этом интернет работает, соседские сети отображаются, а подключение к роутеру не вызывает никаких проблем.

Причина проста. Обычная работа Wi-Fi и аудит беспроводных сетей требуют от адаптера разных возможностей. Для подключения к интернету достаточно стандартного клиентского режима. Для анализа радиоэфира нужен доступ к кадрам IEEE 802.11, которые драйвер при обычной работе не передаёт сетевым анализаторам в исходном виде.

Хорошая новость заключается в том, что дорогое специализированное оборудование для первого аудита не требуется. Подойдёт совместимый USB-адаптер, обычный Linux и несколько бесплатных программ. Но выбирать оборудование по размеру антенны, мощности передатчика или надписи Wi-Fi 6 на коробке бессмысленно. Главную роль играют чипсет и его драйвер.

Разберём выбор адаптера, установку инструментов, особенности Linux и подготовку лабораторной среды. В практической части найдём беспроводную карту, проверим поддержку режима мониторинга, настроим канал и получим первые кадры собственной точки доступа.

Если Linux уже установлен, можно сразу выполнить две команды.

iw dev
 iw list

Первая покажет обнаруженные беспроводные интерфейсы. Вторая перечислит возможности физических радиоустройств. Если среди поддерживаемых режимов есть monitor, адаптер потенциально подходит для пассивного анализа Wi-Fi. Окончательно подтвердить совместимость сможет только практический захват кадров.

Проводите аудит собственной сети или инфраструктуры, владелец которой разрешил проверку. Режим мониторинга позволяет принимать радиокадры других устройств, поэтому ограничивайте сбор и хранение данных согласованным оборудованием. Активные испытания беспроводной сети выполняйте только в разрешённой лабораторной среде с соблюдением требований радиочастотного регулирования.

1. Какой Wi-Fi-адаптер нужен для аудита Linux

Самая распространённая ошибка начинающего специалиста заключается в покупке первого попавшегося мощного адаптера с внешней антенной. Устройство может отлично ловить интернет через несколько стен и совершенно не подходить для анализа беспроводных кадров.

Причина кроется в программной поддержке. Производители часто выпускают разные аппаратные ревизии под одним торговым названием, а драйверы для Windows и Linux могут предоставлять совершенно разные возможности.

Чем Managed Mode отличается от Monitor Mode

В обычном режиме Managed Mode, который также называют Station Mode, компьютер подключается к точке доступа и обменивается с маршрутизатором данными. Сетевая подсистема обрабатывает служебные кадры беспроводного протокола, а приложения обычно работают с пакетами сетевого уровня, не получая полной структуры радиопередачи.

В режиме Monitor Mode адаптер передаёт анализатору доступные кадры IEEE 802.11 без необходимости подключаться к беспроводной сети. В зависимости от драйвера вместе с кадрами можно получить сведения о частоте, уровне принятого сигнала, скорости передачи и других радиопараметрах.

Возможность	Managed Mode	Monitor Mode
Подключение к точке доступа	Да	Обычно нет
Использование интернета	Да	Обычно не через интерфейс мониторинга
Поиск доступных сетей	Да	Да, по принятым кадрам
Анализ исходных кадров Beacon	Обычно недоступен приложениям	Да
Наблюдение за кадрами других устройств	Сильно ограничено	В пределах возможностей приёмника
Просмотр заголовков IEEE 802.11	Обычно нет	Да
Расшифровка WPA2/WPA3 без ключей	Нет	Нет

Режим мониторинга не следует путать с Promiscuous Mode, который иногда называют неразборчивым режимом приёма. Promiscuous Mode меняет правила фильтрации сетевых кадров, но не обеспечивает полноценный доступ к беспроводному радиообмену. Для анализа управляющих кадров Wi-Fi нужен именно Monitor Mode.

Есть ещё одна особенность, о которой часто забывают. Один радиомодуль обычно принимает кадры на одном настроенном канале. Даже если программа умеет быстро переключать каналы, одновременного наблюдения за всем диапазоном не происходит. Пока адаптер слушает шестой канал, часть событий на первом и одиннадцатом может остаться незамеченной.

Какие адаптеры подходят для Linux

Лучше начинать с чипсетов, поддерживаемых драйверами основного ядра Linux. Сторонние драйверы не обязательно хуже, но при обновлениях ядра могут потребовать повторной сборки, исправления ошибок совместимости или настройки DKMS.

Модель	Чипсет и драйвер	Диапазоны	Особенности
ALFA AWUS036ACM	MediaTek MT7612U, mt76x2u	2,4 и 5 ГГц	Практичный вариант для начала, драйвер в ядре Linux
ALFA AWUS036ACHM	MediaTek MT7610U, mt76x0u	2,4 и 5 ГГц	Альтернатива на чипсете MediaTek с поддержкой основного ядра
ALFA AWUS036NHA	Atheros AR9271, ath9k_htc	2,4 ГГц	Хорош для старых учебных стендов, снят с производства
TP-Link TL-WN722N V1	Atheros AR9271, ath9k_htc	2,4 ГГц	Подходит первая аппаратная ревизия, другие версии отличаются
ALFA AWUS036ACH	Realtek RTL8812AU, rtw88_8812au либо другой совместимый драйвер	2,4 и 5 ГГц	Нужно проверять ядро, прошивку и фактический режим мониторинга
ALFA AWUS036AXML	MediaTek MT7921AUN, mt7921u	2,4, 5 и 6 ГГц	Подходит для изучения Wi-Fi 6E при наличии совместимой системы и разрешённых частот

Для первого двухдиапазонного стенда разумно рассмотреть ALFA AWUS036ACM с чипсетом MediaTek MT7612U. Поддержка появилась в основном ядре Linux ещё в ветке 4.19, поэтому на современных Debian, Ubuntu и Kali Linux обычно не приходится вручную собирать драйвер. Устройство работает через USB 3.0 и оснащено двумя съёмными антеннами.

Но даже у MediaTek встречаются ошибки режима мониторинга. Например, в разработке драйвера mt76 отдельно исправляли обработку повреждённых кадров и признаков ошибок контрольной суммы FCS. Поэтому наличие драйвера в ядре лучше рассматривать как преимущество при установке, а не как гарантию идеального захвата всех типов кадров.

Atheros AR9271 по-прежнему полезен для обучения. Чипсет хорошо известен, поддерживает режим мониторинга и не требует современных беспроводных стандартов. Однако AR9271 ограничен диапазоном 2,4 ГГц и Wi-Fi 4. Для нового универсального стенда покупать старую карту специально обычно невыгодно.

С ALFA AWUS036ACH ситуация сложнее. Чипсет Realtek RTL8812AU долгое время требовал сторонних драйверов для многих конфигураций Linux. Поддержка rtw88_8812au начала появляться в основном ядре с Linux 6.13, а перечень поддерживаемых USB-устройств расширялся в последующих версиях. Однако наличие модуля в ядре ещё не гарантирует, что конкретная ревизия адаптера распознаётся и корректно захватывает кадры.

Именно поэтому старые советы обязательно скачивать драйвер RTL8812AU с GitHub уже нельзя считать универсальными. Сначала проверьте установленное ядро и встроенный драйвер, а уже потом решайте, требуется ли сторонний модуль.

Почему модель на коробке может обманывать

Показательный пример даёт TP-Link TL-WN722N. Первая аппаратная ревизия использовала Atheros AR9271. В версиях V2 и V3 применяется другой чипсет Realtek RTL8188EUS. В продаже также встречаются более поздние аппаратные версии.

Внешне адаптеры похожи, но совместимость с программами аудита отличается. Поэтому рекомендации из старых форумов, где упоминается только TL-WN722N без номера ревизии, потенциально вводят в заблуждение.

Узнать аппаратную версию можно по наклейке устройства, маркировке коробки и USB-идентификатору. В Linux последний отображается командой lsusb.

Для AR9271 характерен идентификатор 0cf3:9271, а для распространённого исполнения MT7612U используется 0e8d:7612. Но идентификатор нужно сверять с конкретной моделью, поскольку производитель оборудования может применять собственные значения VID и PID.

Нужен ли адаптер Wi-Fi 6E или Wi-Fi 7

Если собственная сеть работает на 2,4 и 5 ГГц, совместимого адаптера Wi-Fi 5 достаточно для первоначального изучения кадров, каналов и параметров защиты. Покупка устройства Wi-Fi 7 сама по себе не улучшит возможности аудита.

Другое дело, если предстоит исследовать точки доступа, работающие на 6 ГГц. Здесь понадобится радиомодуль с поддержкой соответствующего диапазона, совместимая прошивка, подходящая версия ядра и корректная региональная конфигурация.

Например, ALFA AWUS036AXML использует чипсет MediaTek MT7921AUN с драйвером mt7921u, доступным в основном ядре с Linux 5.18. Однако поддержка диапазона 6 ГГц и корректность мониторинга зависят от конкретной аппаратной модели, версии прошивки и ограничений регуляторного домена.

Для начинающего специалиста гораздо полезнее хорошо работающий адаптер Wi-Fi 5, чем дорогая новая карта, с которой придётся несколько дней разбираться на уровне драйверов.

2. Устанавливаем инструменты и проверяем возможности Linux

Будем использовать Debian, Ubuntu или Kali Linux. Основные команды одинаковы, но пакеты прошивок и некоторые настройки сетевых служб различаются.

В примерах внешний адаптер называется wlan1. На реальном компьютере имя может выглядеть как wlan0, wlp2s0 или wlx001122334455. Перед настройкой обязательно выясните фактическое название интерфейса.

Устанавливаем необходимое ПО

Начнём с небольшого набора системных инструментов.

sudo apt update
 sudo apt install iw usbutils pciutils rfkill ethtool tcpdump aircrack-ng

Теперь установим Wireshark для визуального разбора сетевых кадров.

sudo apt install wireshark

Назначение программ отличается.

Инструмент	Практическая задача
iw	Управление Wi-Fi-интерфейсами, каналами и режимами работы
lsusb	Поиск USB-адаптера и определение его идентификаторов
lspci	Информация о встроенных PCIe-картах
rfkill	Проверка программных и аппаратных блокировок радиомодулей
ethtool	Определение используемого сетевого драйвера
tcpdump	Захват и первичный разбор кадров
Wireshark	Подробное изучение структуры IEEE 802.11
airmon-ng	Диагностика интерфейсов и переключение режимов
airodump-ng	Анализ параметров беспроводной сети и наблюдение за кадрами

Последние две утилиты входят в пакет Aircrack-ng. Полный набор дополнительных инструментов Kali Linux пока не нужен. Для первого эксперимента хватит iw и tcpdump.

Wireshark не следует запускать целиком от root. Если потребуется захватывать пакеты без административных прав, настройте доступ к компоненту dumpcap средствами своего дистрибутива. Самый простой вариант для начала заключается в захвате небольшого файла через tcpdump и последующем открытии в Wireshark от обычного пользователя.

Находим адаптер и определяем драйвер

Подключите USB Wi-Fi-адаптер и выполните команду.

lsusb

Пример строки для MediaTek MT7612U.

Bus 001 Device 004: ID 0e8d:7612 MediaTek Inc.

Фактический номер шины и устройства будет отличаться.

Если используется встроенная карта PCIe, выполните следующую команду.

lspci -nnk | grep -A4 -Ei 'Network controller|Wireless'

Теперь посмотрим, какие беспроводные интерфейсы создал Linux.

iw dev

Пример вывода.

phy#1
     Interface wlan1
         ifindex 4
         wdev 0x100000001
         addr 02:11:22:33:44:55
         type managed
         txpower 20.00 dBm

Здесь phy#1 обозначает физическое радиоустройство, wlan1 является именем интерфейса, а type managed показывает текущий клиентский режим. Адрес и служебные числовые значения приведены для примера.

У одного физического радиомодуля может существовать несколько виртуальных интерфейсов. Например, отдельный интерфейс для подключения к сети и отдельный для наблюдения за радиоэфиром. Но поддержка таких комбинаций зависит от аппаратуры и драйвера.

Выясним, какой модуль Linux обслуживает адаптер.

sudo ethtool -i wlan1

Для MT7612U ожидается mt76x2u, для AR9271 обычно используется ath9k_htc, а для MT7921AUN применяется mt7921u.

Заодно проверим версию ядра.

uname -r

Версия ядра особенно важна для новых адаптеров. Драйвер может существовать в актуальном Linux, но отсутствовать в ядре, которое использует установленный дистрибутив.

При этом номер ядра не даёт полной картины. Разработчики дистрибутивов иногда переносят отдельные исправления и поддержку оборудования из новых выпусков в более старые ветки. Поэтому окончательный ответ дают обнаруженный модуль и реальные результаты работы.

Проверяем поддержку режима мониторинга

Запросим возможности беспроводного оборудования.

iw list

В длинном выводе найдите раздел Supported interface modes.

Supported interface modes:
     * managed
     * AP
     * monitor
     * P2P-client
     * P2P-GO

Нас интересует строка * monitor. Если Linux показывает несколько физических беспроводных устройств, нужно проверить сведения именно о нужном адаптере.

В нашем примере он обозначен как phy1.

iw phy phy1 info

Помимо режимов, команда показывает частоты, ширину каналов, поддерживаемые возможности и допустимые комбинации интерфейсов.

Посмотрите также раздел valid interface combinations. Например, драйвер может разрешать одновременное существование клиентского интерфейса и интерфейса мониторинга, но только при работе на одном радиоканале.

Если строка monitor отсутствует, установка Aircrack-ng или Wireshark не добавит недостающую функцию. Проблему придётся решать на уровне драйвера, ядра или заменой оборудования.

Проверяем прошивку и сообщения ядра

Многие Wi-Fi-чипсеты требуют отдельные файлы микропрограммы, которые Linux загружает в устройство при инициализации. Драйвер и прошивка выполняют разные задачи. Первый работает в операционной системе, вторая обеспечивает работу самого радиоконтроллера.

Поэтому ситуация, когда драйвер установлен, но сетевой интерфейс не появился, вполне возможна.

Проверим системный журнал.

sudo dmesg | grep -Ei 'firmware|mt76|ath9k|rtw88' | tail -n 40

Сообщения failed to load firmware могут указывать на отсутствие необходимых файлов. Однако по одной подобной строке делать вывод о неисправности нельзя. Некоторые драйверы последовательно пробуют загрузить несколько вариантов прошивки.

Для Debian 13 с MediaTek предусмотрен пакет firmware-mediatek.

sudo apt install firmware-mediatek

Для Atheros AR9271 используется пакет firmware-ath9k-htc.

sudo apt install firmware-ath9k-htc

Названия пакетов отличаются между выпусками Debian и Ubuntu. В Debian 12 прошивки MediaTek могут находиться в пакете firmware-misc-nonfree, а в актуальных выпусках Ubuntu используется, в частности, linux-firmware-mediatek. В зависимости от системы прошивка может уже входить в установленный набор.

Не скачивайте случайные бинарные прошивки и готовые драйверы с форумов. Сначала проверьте доступные пакеты своего дистрибутива. Для Debian может потребоваться включённый компонент репозиториев non-free-firmware, хотя свободная прошивка ath9k_htc распространяется отдельно.

Убеждаемся, что радиомодуль не заблокирован

Иногда исправный адаптер не может работать из-за программного отключения.

rfkill list

Если для Wi-Fi указано Soft blocked: yes, снимите программную блокировку.

sudo rfkill unblock wifi

Строка Hard blocked: yes обычно означает аппаратную блокировку. Причина может заключаться в физическом переключателе, функциональной клавише ноутбука или настройке платформы.

Следующий шаг касается частот.

iw reg get

Команда показывает действующие региональные ограничения радиомодулей. Частотный диапазон, поддерживаемый чипсетом технически, не обязательно полностью доступен в конкретной стране.

Система может ограничивать передачу на отдельных каналах, применять требования DFS для обнаружения радаров или запрещать активную передачу до выполнения определённых условий. Поэтому ошибка настройки канала не всегда означает неисправность драйвера.

Не меняйте регуляторный домен на произвольную страну ради доступа к дополнительным частотам. Для лабораторного стенда используйте действительные региональные параметры и разрешённые каналы.

3. Включаем Monitor Mode и принимаем первые кадры

Теперь перейдём к эксперименту. Предположим, что компьютер подключён к интернету через Ethernet или отдельную беспроводную карту. USB-адаптер wlan1 выделен для анализа собственной точки доступа.

Подготовьте роутер с тестовой сетью, например WiFi-Lab. Для простоты установите фиксированный шестой канал диапазона 2,4 ГГц с шириной 20 МГц. Используйте разрешённые настройки своего региона.

Фиксированный канал нужен для воспроизводимости опыта. Если роутер автоматически перейдёт на другую частоту, анализатор может перестать получать его кадры.

Шаг 1. Узнаём параметры собственной сети

Посмотреть список доступных точек доступа можно через NetworkManager.

nmcli -f SSID,BSSID,CHAN,SIGNAL,SECURITY device wifi list ifname wlan1

В результате появятся имена сетей, BSSID, каналы, относительные уровни сигнала и заявленные режимы безопасности. Если NetworkManager сочтёт список устаревшим, программа может инициировать сканирование с передачей запросов Probe Request. Поэтому такую операцию не следует автоматически считать полностью пассивной.

Найдите свою точку доступа и запишите BSSID. Ещё надёжнее посмотреть BSSID непосредственно в настройках маршрутизатора.

SSID является названием беспроводной сети, а BSSID обычно соответствует MAC-адресу конкретного радиоинтерфейса точки доступа. Если маршрутизатор работает одновременно на 2,4 и 5 ГГц, BSSID для каждого радиоинтерфейса обычно отличается, даже если имя сети одинаковое.

Предположим, что наша лабораторная точка доступа использует BSSID 02:11:22:33:44:55. Адрес вымышленный и в командах ниже служит только примером.

Шаг 2. Отключаем автоматическое управление интерфейсом

NetworkManager может мешать ручной настройке радиомодуля, поскольку пытается управлять подключениями и режимами работы.

Чтобы исключить вмешательство, временно отключим управление конкретным интерфейсом.

sudo nmcli device set wlan1 managed no

Команда изменяет текущее состояние NetworkManager для выбранного устройства. Без дополнительного параметра постоянного сохранения такое изменение не предназначено для закрепления после перезапуска службы или системы.

Если компьютер не использует NetworkManager, команда не подойдёт. В таком случае проверьте, какой сетевой сервис управляет Wi-Fi, и освободите интерфейс средствами соответствующей службы.

Не выполняйте эксперимент через SSH, подключившись по той же Wi-Fi-карте. Переключение режима разорвёт соединение. Для удалённого компьютера сначала обеспечьте независимый канал управления.

Шаг 3. Переключаем адаптер в режим мониторинга

Остановим интерфейс, изменим его тип и снова включим.

sudo ip link set dev wlan1 down
 sudo iw dev wlan1 set type monitor
 sudo ip link set dev wlan1 up

Проверим состояние.

iw dev wlan1 info

Если всё прошло успешно, появится строка.

type monitor

Пока Linux лишь подтверждает смену режима. Реальную работоспособность приёмника ещё предстоит проверить.

Иногда драйвер возвращает Device or resource busy. Обычно такая ошибка связана с занятым интерфейсом, активной конфигурацией другого виртуального интерфейса или ограничениями сочетания режимов работы.

Шаг 4. Настраиваем канал

Установим шестой канал, выбранный для собственной лабораторной точки доступа.

sudo iw dev wlan1 set channel 6

Центральная частота шестого канала диапазона 2,4 ГГц составляет 2437 МГц.

Посмотрим состояние радиомодуля.

iw dev wlan1 info

В выводе должен присутствовать выбранный канал. Если маршрутизатор использует другую частоту, настройте адаптер соответствующим образом.

Команда без дополнительных параметров наиболее удобна для первого опыта на канале шириной 20 МГц. При дальнейшем анализе сетей с более широкими каналами потребуется учитывать ширину канала и его центральную частоту.

Шаг 5. Проверяем тип захватываемых кадров

Прежде чем начинать анализ, выясним, какие заголовки сетевых кадров получает tcpdump.

sudo tcpdump -i wlan1 -L

Для многих адаптеров с полноценным Monitor Mode доступен тип IEEE802_11_RADIO. Такой формат предусматривает заголовок Radiotap с дополнительной информацией о радиопередаче.

Если система предоставляет только обычные Ethernet-заголовки, полноценный анализ IEEE 802.11 может оказаться недоступен в выбранной конфигурации. Список поддерживаемых типов зависит от драйвера и режима интерфейса.

Radiotap представляет особый интерес при диагностике радиосети. В доступных полях могут содержаться частота, скорость передачи, уровень сигнала и служебные признаки принятых кадров.

Но отсутствие конкретного поля Radiotap не обязательно означает неисправность устройства. Драйверы предоставляют разный набор радиопараметров.

Шаг 6. Принимаем кадры собственной точки доступа

Точки доступа периодически передают управляющие кадры Beacon. Через такие сообщения сеть сообщает о своём присутствии и объявляет параметры работы.

В кадрах Beacon можно найти SSID, BSSID, сведения о канале, поддерживаемых возможностях и механизмах защиты. Некоторые параметры передаются через дополнительные информационные элементы стандарта IEEE 802.11.

Начнём с десяти кадров Beacon собственной точки доступа. В примере используется вымышленный BSSID. Обязательно замените его адресом вашего маршрутизатора.

sudo tcpdump -i wlan1 -e -nn -c 10 
 'type mgt subtype beacon and wlan addr2 02:11:22:33:44:55'

Параметр -i указывает интерфейс, -e выводит сведения канального уровня, -nn отключает преобразование адресов и имён, а -c 10 завершает захват после десяти подходящих кадров.

Фильтр type mgt subtype beacon выбирает маяковые управляющие кадры. Условие wlan addr2 ограничивает результат по второму адресному полю, которое в обычном кадре Beacon содержит адрес передающей точки доступа.

Если драйвер работает корректно, на экране появятся сведения о принятых кадрах Beacon. Конкретный вид вывода зависит от версии tcpdump и используемого формата захвата.

Такой результат показывает, что Linux смог перевести адаптер в Monitor Mode, драйвер передаёт анализатору кадры IEEE 802.11 и приёмник действительно работает на выбранном канале.

Существует и более наглядный способ проверки. Сохраните небольшой набор кадров в файл.

sudo tcpdump -i wlan1 -c 20 
 -w /tmp/wifi-lab.pcap 
 'type mgt subtype beacon and wlan addr2 02:11:22:33:44:55'

Теперь откройте полученный файл в Wireshark.

wireshark /tmp/wifi-lab.pcap

Файл имеет формат pcap и может открываться обычным пользователем, если позволяют права доступа. Если прав недостаточно, исправьте доступ к конкретному лабораторному файлу, а не запускайте графический Wireshark от root.

В Wireshark можно раскрыть дерево IEEE 802.11 wireless LAN management frame и изучить поля принятого Beacon. При наличии радиозаголовка Radiotap программа также покажет доступные параметры приёма.

Для первого опыта нас интересуют несколько конкретных полей.

Transmitter address показывает адрес передатчика кадра.
BSS Id идентифицирует соответствующую базовую службу беспроводной сети.
SSID parameter set позволяет увидеть объявляемое имя сети, если соответствующий информационный элемент присутствует.
RSN information может содержать сведения о поддерживаемых наборах шифров, методах управления ключами и возможностях защиты.
Radiotap при поддержке драйвера предоставляет информацию о физических параметрах приёма.

Не удивляйтесь, если некоторых полей нет. Содержимое Beacon зависит от стандарта, конфигурации точки доступа и возможностей драйвера. Отдельные сведения Wireshark также может показывать под другими названиями в зависимости от версии программы.

В рамках первого занятия достаточно увидеть собственные кадры Beacon и убедиться, что анализатор распознаёт их как IEEE 802.11.

Шаг 7. Возвращаем адаптер в обычный режим

После эксперимента восстановим исходную конфигурацию.

sudo ip link set dev wlan1 down
 sudo iw dev wlan1 set type managed
 sudo ip link set dev wlan1 up
 sudo nmcli device set wlan1 managed yes

Проверим состояние.

iw dev wlan1 info
 nmcli device status

В сведениях интерфейса снова должен появиться type managed. NetworkManager сможет использовать адаптер для обычного подключения к Wi-Fi.

Если автоматическое подключение не восстановилось, проверьте настройки ранее сохранённой сети и состояние NetworkManager. Повторный ввод пароля обычно не требуется, если профиль подключения остался сохранённым.

4. Типичные проблемы и тонкости, о которых редко говорят в инструкциях

К этому моменту кажется, что всё просто. Установили программу, включили режим мониторинга, получили кадры. На практике большая часть сложностей начинается именно после успешного переключения интерфейса.

Разберём ситуации, которые чаще всего мешают новичкам.

Kali Linux запущен в виртуальной машине и не видит Wi-Fi

Одна из самых частых проблем возникает в VirtualBox, VMware и других системах виртуализации.

Допустим, ноутбук подключён к домашнему Wi-Fi, а внутри Kali Linux интернет работает через интерфейс eth0 или enp0s3. Пользователь ожидает увидеть встроенную беспроводную карту, но команда iw dev ничего не показывает.

Причина заключается в том, что виртуальная машина обычно получает виртуальный Ethernet-адаптер. Физическая Wi-Fi-карта остаётся под управлением основной операционной системы.

Практичное решение заключается в использовании отдельного USB Wi-Fi-адаптера с передачей USB-устройства непосредственно гостевой системе.

После передачи проверьте обнаружение оборудования внутри Kali.

lsusb
 iw dev

Если USB-устройство появляется в lsusb, но отсутствует в iw dev, переходите к проверке драйвера и прошивки.

При нестабильной работе попробуйте другой USB-порт, контроллер виртуальной машины или запуск Linux непосредственно на компьютере. Проблема может находиться не в режиме мониторинга, а на уровне виртуального USB-контроллера.

Режим monitor есть, а кадров нет

Наличие строки * monitor в выводе iw list не гарантирует успешный захват.

Возможные причины довольно разнообразны.

Адаптер настроен на другой канал, чем собственная точка доступа.
Роутер автоматически сменил канал.
Драйвер некорректно передаёт принятые кадры сетевому стеку.
Сигнал слишком слабый или мешают радиопомехи.
Программа использует неправильный интерфейс.
Фильтр tcpdump содержит BSSID другого радиоинтерфейса маршрутизатора.
Для выбранной частоты действуют аппаратные или региональные ограничения.

Начинайте диагностику с простого. Проверьте канал, BSSID, режим интерфейса и расстояние до лабораторной точки доступа. Если захват не работает, временно уберите фильтр по BSSID, чтобы выяснить, принимает ли адаптер вообще какие-либо Beacon на данном канале. Не сохраняйте посторонние кадры без необходимости.

Отсутствие кадров на определённой частоте ещё не означает неисправность устройства. Проверьте другую разрешённую частоту на собственной тестовой точке доступа, прежде чем устанавливать новые драйверы.

Можно ли одновременно пользоваться интернетом и анализировать Wi-Fi

Иногда можно, но всё зависит от конкретного оборудования.

Подсистема mac80211 допускает несколько виртуальных интерфейсов на одном физическом радиомодуле. Для совместимых устройств можно создать отдельный интерфейс мониторинга, не меняя тип основного.

Например, если физическое устройство называется phy1, команда создания дополнительного интерфейса выглядит следующим образом.

sudo iw phy phy1 interface add mon0 type monitor

После создания интерфейс можно включить.

sudo ip link set dev mon0 up

Но команда не гарантирует одновременную работу двух режимов. Драйвер должен поддерживать соответствующую комбинацию, а оба интерфейса могут быть ограничены одним рабочим каналом.

Если ноутбук подключён к роутеру на канале 36 диапазона 5 ГГц, нельзя автоматически рассчитывать, что дополнительный виртуальный интерфейс сможет независимо наблюдать за шестым каналом диапазона 2,4 ГГц.

Удалить созданный интерфейс можно следующей командой.

sudo iw dev mon0 del

Для стабильного аудита удобнее использовать два физических радиомодуля. Один обеспечивает доступ к интернету, второй выделен под мониторинг.

Чем опасна команда airmon-ng check kill

В руководствах по Kali Linux часто предлагают выполнить следующую команду перед включением Monitor Mode.

sudo airmon-ng check kill

Команда действительно помогает устранить конфликты, поскольку завершает процессы, которые могут мешать инструментам Aircrack-ng. Но вместе с ними может остановиться работа NetworkManager или компонентов, обеспечивающих сетевое подключение.

Для удалённого компьютера последствия особенно неприятны. Сетевое соединение может исчезнуть прямо во время настройки.

В первом лабораторном опыте безопаснее управлять конкретным интерфейсом через nmcli и iw. Если требуется диагностика Aircrack-ng, сначала посмотрите список потенциально конфликтующих процессов.

sudo airmon-ng check

Убедитесь, что остановка найденных служб не затронет другие сетевые подключения.

Почему нельзя оценивать адаптер только по мощности

Адаптер с большой антенной и высокой заявленной мощностью передатчика не обязательно лучше принимает слабые сигналы.

Для пассивного аудита имеют значение чувствительность приёмника, шумовая обстановка, характеристики антенны, потери в кабеле и поддержка необходимых каналов.

Антенна с большим усилением также не всегда эффективнее в помещении. Коэффициент усиления связан с диаграммой направленности. Например, всенаправленная антенна с высоким усилением может хуже подходить для приёма сигналов, приходящих под большими углами по вертикали.

USB-удлинитель нередко приносит больше практической пользы, чем погоня за максимальными характеристиками на коробке. Благодаря кабелю адаптер можно отодвинуть от корпуса компьютера, металлических поверхностей и источников помех. Особенно заметными бывают помехи в диапазоне 2,4 ГГц рядом с некоторыми устройствами и кабелями USB 3.0.

Поэтому при нестабильном приёме попробуйте изменить расположение адаптера и использовать качественный экранированный USB-кабель, прежде чем покупать более мощную антенну.

Почему Wi-Fi 6 и WPA3 не требуют обязательного адаптера Wi-Fi 6

Распространённое заблуждение заключается в том, что для наблюдения за сетью WPA3 нужен адаптер с полной поддержкой Wi-Fi 6.

WPA3 и Wi-Fi 6 решают разные задачи. WPA3 относится к механизмам безопасности, а Wi-Fi 6 определяет возможности радиосвязи стандарта 802.11ax. Сети WPA3 могут работать и с другими поколениями Wi-Fi, если оборудование поддерживает соответствующие функции.

Для наблюдения за частью управляющих кадров современной точки доступа более старого адаптера иногда достаточно. Но полноценный анализ радиовозможностей 802.11ax или 802.11be требует совместимого приёмного оборудования и драйвера.

Отдельные информационные элементы, объявляющие параметры безопасности, могут присутствовать в доступных управляющих кадрах независимо от того, поддерживает ли анализатор все современные способы передачи данных.

При этом адаптер Wi-Fi 5 не превращается в полноценный анализатор Wi-Fi 6 или Wi-Fi 7. Например, возможности наблюдения за новыми форматами физических кадров и расширенными радиопараметрами будут ограничены.

Почему Wireshark иногда показывает странные MAC-адреса

При дальнейшей работе можно встретить клиентские устройства с MAC-адресами, которые не совпадают с адресами из таблицы подключений маршрутизатора.

Одна из причин заключается в рандомизации MAC-адресов. Современные операционные системы могут использовать временные или назначенные для конкретной сети адреса, чтобы уменьшить возможности отслеживания устройства при сканировании и подключении.

Поэтому нельзя автоматически считать каждый новый MAC-адрес отдельным физическим устройством. При аудите нужно учитывать поведение клиентов, смену адресов и другие доступные признаки, не пытаясь выводить личность владельца из одного сетевого идентификатора.

Как не потерять важные кадры

При мониторинге нескольких каналов программы часто используют быстрое переключение частот. Такой подход помогает обнаруживать сети, но плохо подходит для непрерывного наблюдения за конкретным обменом.

Например, если адаптер переключился на другой канал именно в момент подключения клиента к собственной точке доступа, часть управляющих кадров может не попасть в захват.

Для изучения последовательности событий лучше зафиксировать канал и использовать отдельный радиомодуль. Если необходимо одновременно наблюдать несколько частот, потребуется несколько приёмников или специализированное многоканальное оборудование.

Не следует считать отсутствие кадра в файле доказательством того, что устройство не передавало соответствующее сообщение. Возможны потери на уровне радиоприёма, драйвера, буферов захвата и фильтрации.

Как проверить, что лаборатория готова

Перед переходом к следующему занятию проверьте итоговое состояние.

Что проверяем	Команда или действие	Ожидаемый результат
Обнаружение адаптера	lsusb или lspci	Устройство присутствует
Сетевой интерфейс	iw dev	Интерфейс создан
Драйвер	ethtool -i wlan1	Драйвер определён
Поддержка мониторинга	iw phy phy1 info	Режим monitor объявлен
Блокировка радиомодуля	rfkill list	Нет активной блокировки
Рабочий канал	iw dev wlan1 info	Канал соответствует лабораторной точке доступа
Фактический приём	tcpdump	Принимаются кадры Beacon собственной сети
Возврат режима	iw dev wlan1 info	После эксперимента снова отображается managed

При успешном выполнении всех пунктов базовая среда готова для дальнейшего изучения беспроводного трафика.

Частые вопросы

Нужен ли Kali Linux или подойдёт обычный Ubuntu?

Kali Linux не обязателен. Debian, Ubuntu, Fedora и другие современные дистрибутивы позволяют работать с совместимыми Wi-Fi-адаптерами. Kali удобен предустановленными инструментами, но поддержка Monitor Mode зависит прежде всего от оборудования, ядра и драйвера.

Можно ли проводить аудит без внешнего USB Wi-Fi-адаптера?

Можно, если встроенная карта ноутбука поддерживает режим мониторинга. Проверьте возможности через iw list. Но переключение единственного Wi-Fi-интерфейса может отключить интернет. Кроме того, встроенный адаптер может иметь ограничения на сочетание режимов и переключение каналов.

Достаточно ли Monitor Mode для проверки безопасности WPA2 и WPA3?

Нет. Monitor Mode позволяет наблюдать доступные управляющие кадры и анализировать объявляемые параметры сети. Но режим мониторинга сам по себе не раскрывает пароли, не расшифровывает пользовательский трафик и не доказывает надёжность конфигурации WPA2 или WPA3. Полноценный аудит требует дополнительных проверок маршрутизатора и согласованных лабораторных испытаний.

Нужна ли поддержка Packet Injection для пассивного аудита?

Нет. Для анализа Beacon, изучения каналов, наблюдения за объявляемыми параметрами точек доступа и других пассивных задач достаточно исправного Monitor Mode. Packet Injection предназначен для передачи специально сформированных кадров и необходим только для отдельных активных испытаний. Поддержку внедрения кадров нужно проверять отдельно.

Почему новый адаптер Wi-Fi 6E может работать хуже старого устройства Wi-Fi 5?

Для аудита важна не только поддержка беспроводного стандарта, но и качество драйвера. Новая карта может отлично подключаться к интернету, однако иметь ограничения на приём управляющих кадров, предоставление радиопараметров или режим мониторинга. Старый чипсет с хорошо отлаженным драйвером иногда оказывается удобнее для конкретных лабораторных задач.

Можно ли использовать Raspberry Pi для аудита Wi-Fi?

Да. Raspberry Pi с совместимым USB Wi-Fi-адаптером подходит для компактной лаборатории и удалённого пассивного наблюдения за собственной сетью. Потребуется проверить поддержку драйвера выбранным ядром Raspberry Pi OS, доступность прошивки и достаточность питания USB. Возможности встроенного радиомодуля зависят от конкретной модели платы.

Можно ли увидеть Wi-Fi-сеть со скрытым SSID?

Режим мониторинга позволяет обнаруживать кадры точки доступа даже тогда, когда имя сети не объявляется обычным образом. Однако скрытый SSID не обязательно будет доступен в каждом Beacon. Скрытие имени сети не обеспечивает криптографическую защиту и не заменяет WPA2 или WPA3 с корректными настройками.

Насколько важен тип USB-порта для Wi-Fi-адаптера?

Тип порта влияет на доступную пропускную способность, питание и иногда стабильность работы. Для простого приёма кадров Beacon высокая скорость USB обычно не требуется, но интенсивный захват и многопоточные радиорежимы предъявляют более высокие требования. При проблемах проверьте исправность порта, питание, качество кабеля и наличие помех от USB 3.0 в диапазоне 2,4 ГГц.

С чего начинать аудит Wi-Fi на практике

Для первого знакомства с аудитом беспроводных сетей достаточно обычного Linux и совместимого USB-адаптера. Начните с проверки уже имеющейся карты. Возможно, дополнительное оборудование вообще не понадобится.

Если адаптер предстоит покупать, для начального двухдиапазонного стенда разумно выбрать устройство на MediaTek MT7612U с поддержкой драйвера mt76x2u. Для лабораторий, где требуется анализ 6 ГГц, стоит отдельно рассмотреть совместимые модели на MT7921AUN и предварительно проверить их работу с используемым ядром и прошивкой.

Не начинайте с установки десятков программ и случайных драйверов. Сначала выясните чипсет, проверьте поддержку Monitor Mode, настройте собственную точку доступа на известный канал и примите несколько кадров Beacon.

Именно успешный захват, а не строка в характеристиках адаптера, подтверждает работоспособность базовой лаборатории.

После такого эксперимента можно переходить к следующему этапу серии. Исследуем радиоэфир Linux, разберём SSID и BSSID, научимся определять рабочие каналы, находить скрытые точки доступа и понимать, какие сведения о беспроводной инфраструктуре доступны без подключения к сети.

Как ИИ самостоятельно расследует киберинциденты? 24 ноября покажем возможности MaxPatrol O2 в действии.