无线网络指南.doc

无线办公网络指南企业无线局域网与家庭无线网络有着诸多不同,安全、高效是每个企业网络用户最为重视的要点。很多无线厂商都推出了面向企业用户的无线网络产品,这些设备与家庭或小型SOHO网络所使用的无线局域网产品有着很大的不同,在安全、性能以及稳定性上,企业级产品有着很大的优势,你在购买设备时一定要分清产品的类型。 无线局域网最为集中的应用还是在办公环境中。对于企业用户来说,无线局域网长时间以来一直是有线网络的扩充,并不能完全替代传统的有线网。除了在性能上逊色于有线局域网外,无线的安全性也是很多企业用户所顾忌的。 企业无线设备的特点 企业无线局域网通常会同时连入很多客户端,而保证网络中的用户都能获得良好的网速,就需要所布置的无线接入点具有较高的带宽。一般市场上最为便宜的是802.11b无线设备。这类产品虽然价格比较便宜,但是由于802.11b的理论速率只有11Mbps,很难支撑多用户的无线网络。802.11g无线设备的理论数据传输速率为54Mbps,而802.11g增强型无线设备则可以达到108Mbps或125Mbps。如果从实际数据传输速率比较,802.11b一般为5Mbps左右、802.11g为20Mbps,而802.11g增强型的实际数据传输速度能达到30Mbps左右。 无论是何种类型的无线接入点,在网络中都被每个客户端共享数据带宽,所连接的用户越多,每个人能够分配到的带宽就越少。在企业网络中,使用一个无线接入点覆盖所有应用环境是非常冒险的,而且在用户较多时其效果也不会很好。当建立多点覆盖的无线网络时,这些同处于2.4GHz的无线接入点之间往往会相互干扰,直接后果就是无线网络的性能下降。为了解决这个问题,很多无线接入点都提供了功率调整功能,管理员可以通过调整无线发射功率来设定信号的覆盖范围。如果你的应用环境需要使用单一无线接入点提供更大的信号覆盖范围,那么就应该选择可以外接高增益天线的产品,通过外置的天线来扩大无线覆盖范围。 在企业中可能会有某些特定用户需要独立的高速无线连接,那么你最好选择双频三模的无线接入点。这些产品都会同时提供802.11b/g/a三种接入能力,对于一般的用户可以使用基于2.4GHz的802.11b/g,而对于特定的用户则可以独享高速的802.11a无线网络。由于802.11a无线协议运行在5GHz波段,所以它可以很好地避免因2.4GHz网络相互干扰引起的网速下降,而且可以让管理员更轻松地将高速无线客户端独立出来。 最初用户购买无线宽带路由器和接入点都是为了让笔记本能够无线上网。Intel的迅驰笔记本平台现在可以支持标准802.11g无线协议,而以往的老产品则都是内置802.11b无线网卡。如果你购买无线宽带路由器只是为了能让笔记本内置的无线网卡做到物尽其用,那么标准的802.11g无线接入设备是最好的选择,而且价格便宜。不过标准的802.11g无线局域网实际能够提供的数据传输速率只有20-25Mbps左右,如果你只是需要无线网络提供简单的Internet浏览、收发邮件、下载等服务,那么802.11g无线网络是足以支撑的。但是对于需要经常在无线网络中传输大文件的环境,那么802.11g网络会让你感到有些痛苦,毕竟其速度与有线网络相差很大。 除了标准802.11g外,你在市场上可以看到大量的802.11g增强型产品,比如标明了108M、125M速率的无线宽带路由器。这些路由器所能达到的最大数据传输速率多在30-40Mbps左右,比标准的802.11g设备高出许多。不过由于上述协议并不是标准的Wi-Fi规范,在笔记本中内置这种高速网卡的产品几乎没有。如果想充分发挥802.11g增强型无线路由器的性能,那么就需要你购买相同规格的网卡。 本身内置网卡的笔记本电脑,再添加一个PCMCIA网卡实属不必,除非是有特殊需求。从价格上比较,802.11g增强型无线路由器大多数是目前厂商主流销售的产品,它们的价格并不比802.11g规格的贵多少,而且由于这类产品推出的时间都较晚,在功能和稳定性上也要好一些。比如内置打印服务器、提供USB移动存储共享等特性,这些都可能是用户在使用中所需要的功能,即便买一个当作标准的802.11g无线宽带路由器来用也不吃亏。 除了802.11g增强型产品外,现在市场上出现了不少MIMO型的无线局域网设备。MIMO型是2006年初开始推出的无线局域网产品。MIMO(Multiple Input Multiple output)的含义是多输入多输出,该技术是802.11n无线协议的特性之一。通过增加天线的数量,MIMO使得无线产品的信道容量得到线性提升。对于一般用户来说,通过MIMO能实际感受到无线数据传输速率的提高以及无线覆盖范围的增大。在我们的测试中,这些基于MIMO技术的无线局域网产品可以为用户提供40-45Mbps左右的数据传输速率,例如ASUS的240M MIMO产品的实际传输速率能达到约70Mbps,这要远高于普通的802.11g产品。 MIMO技术的发明者是著名的贝尔实验室。早在1985年,贝尔实验室的数位研究员就发表了一系列关于“Multiple Input Multiple Output”技术的文章,揭开MIMO的发展序幕。在技术论文中,研究人员详细阐述了MIMO系统的基本结构:无线设备的发射端和接收端均采用多个天线或者是矩阵式的阵列天线,工作时发送端的多个天线同时将不同的无线信号输出,而接收端的多个天线分别接收做相应的解码,最后再将多天线来源的信号进行合成。这也就是所谓“多输入、多输出”的概念,或者简洁翻译成“多进多出”。不过,无线通讯领域长年对此缺乏需求,MIMO概念提出后一直都没有得到实际应用,直到802.11无线局域网的兴起,MIMO才找到自己的舞台。 较以往的产品,MIMO的优势就在于其更高的速率以及更广的信号覆盖范围。很多时候我们都会遇到无线局域网信号覆盖不足的情况,尤其是在比较大的网络中。对于企业用户来说,解决无线覆盖不足的方法可以是多添加接入点数量,但是除了设备的购置成本外,多个无线接入设备的管理、合理布置也会是让人头疼的事情。如果使用MIMO型产品,我们可以很容易地使用一个无线宽带路由器来覆盖足够广的面积,而且能保证多用户使用时,无线网络也有足够高的带宽。 虽然MIMO只是802.11n规范中的一部分,而且由于各个厂商之间的解决方案大多互不兼容,因此我们很难推荐企业用户广泛选用这类产品。因为在企业网络环境中,MIMO的优势无法在提供向下兼容时充分发挥。 在9月份杂志中,我们为你介绍了四款基于802.11n草案的无线接入设备,它们也是我们所测试过的性能最为出色的产品。作为最新的无线局域网设备,802.11n草案型的无线设备目前并不很多,我们测试过的只有Netgear、Linksys、Buffalo以及D-Link公司推出的共五款产品。 现在的802.11n产品能够提供300Mbps的连接速率,而实际的数据传输速率在70-100Mbps左右,这使它已经可以在很多环境中替代传统的有线局域网。我们测试的802.11n无线设备都还是草案型,目前尚不知道IEEE组织何时会正式推出802.11n协议。 由于802.11n草案型设备在速率上已经接近或超过传统的百兆有线网,对于需要使用无线网络替代传统有线局域网的场合,草案型的802.11n产品是目前性能最好的解决方案。只是这种方式目前还无法做到广泛地普及,只有等到802.11n协议正式确定后,大规模布置802.11n网络才比较现实。 无线网的安全 由于无线网是以空气作为媒介来进行数据传输的,不能像有线网那样方便地进行控制,所以安全就显得非常重要了。一般使用802.11b的产品中包括一些基本的安全措施,有无线网络设备的服务区域认证ID (ESSID)、MAC地址访问的控制以及WEP加密等安全技术。使用ESSID时会在每一个AP内设置一个服务区域认证ID,每当无线终端设备连上AP时,AP会检查其ESSID是否与自己的ID一致。只有当AP和无线终端的ESSID相匹配时,AP才接受无线终端的访问并提供网络服务。对于MAC地址访问的控制则是限制接入终端的MAC地址,以确保只有经过注册的设备才可以接入无线网络,由于每一块无线网卡拥有惟一的MAC地址,在AP内部可以建立一张“MAC地址控制表”,只有在表中列出的MAC才是合法可以连接的无线网卡,否则将会被拒绝连接。MAC地址控制可以有效地防止未经过授权的用户侵入无线网络。但这样的设置比较麻烦,一般应用在对安全性要求不是特别高的中小型网络。 在这个道高一尺,魔高一丈的环境里,怎样保卫这些数据的安全?致力于无线局域网WLAN开发的各厂家及国际Wi-Fi联盟都纷纷提出新的方法来加固无线局域网,以使其广泛应用。2004年 6 月24日, IEEE 通过了 802.11i 基于 SIM 卡认证和AES加密的方法为无线局域网提供安全保障,使得无线局域网拥有了更为广阔的应用空间。 安全性主要包括访问控制和加密两大部分。访问控制保证只有授权用户能访问敏感数据,加密保证只有正确的接收者才能理解数据。目前使用最广泛的 IEEE 802.11b 标准提供了两种手段来保证 WLAN 的安全SSID服务配置标示符和 WEP无线加密协议。SSID提供低级别的访问控制,WEP是可选的加密方案,它使用RC4加密算法,一方面用于防止没有正确的WEP密钥的非法用户接入网络,另一方面只允许具有正确的WEP密钥的用户对数据进行加密和解密,包括软件手段和硬件手段。 另外,802.11b标准定义了两种身份验证的方法:开放和共享密钥。在缺省的开放式方法中,用户即使没有提供正确的 WEP密钥也能接入访问点(但是不能访问网络资源),共享式方法则需要用户提供正确的WEP密钥才能通过身份验证。 WEP的缺陷和解决之道 WEP加密是存在固有的缺陷的。由于它的密钥固定,初始向量仅为24位,算法强度并不算高,于是有了安全漏洞。AT&T的研究员最先发布了WEP的解密程序,此后人们开始对WEP质疑,并进一步地研究其漏洞。现在,市面上已经出现了专门破解WEP加密的程序,其代表是WEPCrack和AirSnort 。 WEP加密方式本身并无问题,问题出在密钥的传递过程中密钥本身容易被截获。为了解决这个问题,WPA( Wi-Fi Protected Access)作为目前事实上的行业标准,改变了密钥的传递方式。过去的无线局域网之所以不太安全,是因为在标准加密技术WEP中存在一些缺点。WEP是1997年IEEE采用的标准,到2001年,WEP的脆弱性充分暴露出来,具备合适的工具和中等技术水平的入侵者便能非法接入WLAN。WEP是一种在接入点和客户端之间以RC4算法对分组信息进行加密的技术,密码很容易被破解。WEP使用的加密密钥包括收发双方预先确定的40位(或者104位)通用密钥,和发送方为每个分组信息所确定的24位、被称为IV密钥的加密密钥。但是,为了将IV密钥告诉给通信对象,IV密钥不经加密就直接嵌入到分组信息中被发送出去。如果通过无线窃听,收集到包含特定IV密钥的分组信息并对其进行解析,那么就连秘密的通用密钥都可能被计算出来。 WPA加密方式解决了WLAN原先采用的安全认证WEP的缺陷。它的推出使802.11a和802.11g在内的无线设备的安全性得到保证。这是因为WPA用新的加密算法以及用户认证可满足WLAN的安全需求。WPA是以软件方式实现的,安装它将提供高度可靠的安全保证。在实现WPA的情况下,企业可用无线方式为员工提供安全的网络连接,而无需部署VPN之类的附加安全解决方案。WPA还可以使家庭和SOHO用户的网络安全性大大增强。 WPA是继承了WEP基本原理而又解决了WEP缺点的一种新技术。由于加强了生成加密密钥的算法,因此即便收集到分组信息并对其进行解析,也几乎无法计算出通用密钥。其原理为根据通用密钥,配合表示电脑MAC地址和分组信息顺序号的编号,分别为每个分组信息生成不同的密钥。然后与WEP一样将此密钥用于RC4加密处理。通过这种处理,所有客户端的所有分组信息所交换的数据将由各不相同的密钥加密而成。无论收集到多少这样的数据,要想破解出原始的通用密钥几乎是不可能的。WPA还追加了防止数据中途被篡改和认证功能。由于具备这些功能,WEP此前倍受指责的缺点得以全部解决。 WPA不仅是一种比WEP更为强大的加密方法,而且有更为丰富的内涵。作为802.11i标准的子集,WPA包含了认证、加密和数据完整性校验三个组成部分,是一个完整的安全性方案。 在802.11b中几乎形同虚设的认证阶段,到了WPA中变得尤为重要起来,它要求用户必须提供某种形式的证据来证明自己是合法用户,并拥有对某些网络资源的访问权这是强制性的。 WPA的认证分为两种,第一种采用802.1x+EAP的方式,用户提供认证所需的凭证,如用户名密码,通过特定的用户认证服务器(一般是RADIUS服务器)来实现,在大型企业网络中通常采用这种方式。但是对于一些中小型的企业网络或者家庭用户,架设一台专用的认证服务器未免代价过于昂贵,维护也很复杂,因此WPA也提供一种简化的模式,它不需要专门的认证服务器。这种模式叫做WPA预共享密钥(WPA-PSK),仅要求在每个WLAN节点(AP、无线路由器、网卡等)预先输入一个密钥即可实现。只要密钥吻合,客户就可以获得WLAN的访问权。由于这个密钥仅仅用于认证过程,而不用于加密过程,因此不会导致诸如使用WEP密钥来进行802.11预共享认证那样严重的安全问题。 WPA采用TKIP为加密引入了新的机制,它使用一种密钥构架和管理方法,通过由认证服务器动态生成分发的密钥来取代单个静态密钥、把密钥首部长度从24位增加到48位等方法增强安全性。而且,TKIP利用了802.1x/EAP构架。认证服务器在接受了用户身份后,使用802.1x产生一个唯一的主密钥处理会话。然后,TKIP把这个密钥通过安全通道分发到AP和客户端,并建立起一个密钥构架和管理系统,使用主密钥为用户会话动态产生一个唯一的数据加密密钥,来加密每一个无线通讯数据报文。TKIP的密钥架构使WEP静态单一的密钥变成了500万亿个可用密钥。虽然WPA采用的还是和WEP一样的RC4加密算法,但其动态密钥的特性很难被攻破。 消息完整性校验(MIC),是为了防止攻击者从中间截获数据报文、篡改后重发而设置的。除了和802.11一样继续保留对每个数据分段(MPDU)进行CRC校验外,WPA为802.11的每个数据分组(MSDU)都增加了一个8个字节的消息完整性校验值,这和802.11对每个数据分段(MPDU)进行ICV校验的目的不同。ICV的目的是为了保证数据在传输途中不会因为噪声等物理因素导致报文出错,因此采用相对简单高效的CRC算法,但是黑客可以通过修改ICV值来使之和被篡改过的报文相吻合,可以说没有任何安全性的功能。而WPA中的MIC则是为了防止黑客的篡改而定制的,它采用Michael算法,具有很高的安全特性。当MIC发生错误的时候,数据很可能已经被篡改,系统很可能正在受到攻击。此时,WPA还会采取一系列的对策,比如立刻更换组密钥、暂停活动60秒等,来阻止黑客的攻击。 当然,WPA中也许存在其他安全方面的缺陷,只是目前尚未发现。对于确保无线局域网的安全性,目前利用WPA可以说已经足够了。 如果用户的网络环境还无法全面采用WPA模式,那么在规模较大的企业无线网中,RADIUS认证是非常必要的,而且实现起来也并不困难。一个具体做法是采用RADIUS服务器与客户机进行双向的身份验证,验证完成后,RADIUS服务器与客户机确定一个密钥(这意味着,这个密钥不是与客户机本身物理相关的静态密钥,而是由身份验证动态产生的密钥)。此后,RADIUS服务器通过有线网发送会话密钥到AP,AP利用会话密钥对广播密钥加密,把加密后的密钥送到客户机,客户机利用会话密钥解密。然后,客户机与AP激活WEP,利用密钥进行通信。另一种做法称作WEP Plus,它的机理是针对初始向量的缺点,以随机方式生成初始向量,使得上文中所提到的WEPCrack和AirSnort程序无法破解WEP密钥。 VPN VPN(Virtual Private Network虚拟专用网络)是一门网络新技术,为我们提供了一种通过公用网络安全地对企业内部专用网络进行远程访问的连接方式。我们知道一个网络连接通常由三个部分组成:客户机、传输介质和服务器。VPN同样也由这三部分组成,不同的是VPN连接使用隧道作为传输通道,这个隧道是建立在公共网络或专用网络基础之上的,如:Internet或Intranet。 对于企业用户来说,可能更关心利用宽带无线接入组建自己的VPN。安全性和实用性对用户来说是至关重要的。随着科技的发展,商务活动与互联网的关系日趋紧密,越来越多的商务活动需要以高质量、高速度的数据传输为技术依托。通过科学的方案设计、缜密的实地勘察、严格的施工与安装程序,无线接入技术与光纤技术可以竞相媲美。使用无线接入技术,用户将享受光纤般的服务,但价格可大大降低,得到服务的过程是非常快速的。因此,使用无线接入建立自己的VPN是企业用户的明智选择。无线VPN就是使用无线接入技术接入到公网上的VPN。 随着交流的日益增多,企业的不断发展,企业的分支机构也分布到全国乃至世界各地。为了加强企业内部的联系,越来越多的企业认识到建立内部网的重要性,开始组建企业内部网,把各分支机构及移动办公用户相连。目前已经建成的企业内部网,大多是靠租借电信部门的数据专线来组建的。从网络结构上看,一般是星型结构。这种接入方式极其昂贵,让大多数用户望而却步。而出差在外的人员如果需要与总部联系,往往需要通过拨号上网拨入企业内部网,这样又无法保证其安全性和可靠性。因此,它有许多缺点:网络运行维护费用高、可扩展性差、可靠性差。Internet的发展推动了基于公网的虚拟专用网的发展。虚拟专用网就是在Internet等共享式公共网络基础设施上提供安全可靠的连接,由于这些基础是共享式的,因此连接的成本低于现有的专用网络。用户使用虚拟专用网连接远程网站,整个广域网络的成本可以节省20%-47%以上。但如何保证企业内部的数据通过公共网络传输的安全性和保密性,以及如何管理企业网在公共网上的不同节点则成为大家关注的问题。虚拟专用网技术采用专用的网络加密和通信协议,可以使企业在公共网络上建立虚拟的加密信道,组建安全、低成本的企业内部网。 与IEEE802.11b标准所采用的安全技术不同,VPN主要采用DES、3DES等技术来保障数据传输的安全。对于安全性要求更高的用户,将VPN安全技术与IEEE802.11g安全技术结合起来,是目前较为理想的无线局域网络的安全解决方案。 VPN是在不安全的Internet 中通信,通信的内容可能涉及企业的机密数据,因此其安全性非常重要。VPN中的安全技术通常由加密、认证及密钥交换与管理组成。 1.认证技术 认证技术防止数据被伪造和篡改,它采用一种称为“摘要”的技术。“摘要”技术主要采用HASH函数将一段长的报文通过函数变换,映射为一段短的报文即摘要。由于HASH函数的特性,两个不同的报文具有相同的摘要几乎不可能。该特性使得摘要技术在VPN中有两个用途:验证数据的完整性、用户认证。 2.加密技术 IPSec通过ISAKMP/IKE/Oakley协商确定几种可选的数据加密算法,如DES、3DES等。DES密钥长度为56位,容易被破译,3DES使用三重加密增加了安全性。当然国外还有更好的加密算法,但国外禁止出口高位加密算法。基于同样理由,国内也禁止重要部门使用国外算法。国内算法不对外公开,被破解的可能性极小。 3.密钥交换和管理 VPN中密钥的分发与管理非常重要。密钥的分发有两种方法:一种是通过手工配置的方式,另一种采用密钥交换协议动态分发。手工配置的方法由于密钥更新困难,只适合于简单的网络环境。密钥交换协议采用软件方式动态生成密钥,适合于复杂的网络环境且密钥可快速更新,可以显著提高VPN的安全性。目前主要的密钥交换与管理标准有IKE(互联网密钥交换)、SKIP(互联网简单密钥管理)和Oakley。WPA和WPA2的区别之所以研究这个是因为昨天给家里的无线路由升级 DD-WRT 后，老的 Toshiba 本本就连不上了，后来将无线路由的安全模式从 WPA2 改为 WPA 才行。从下文（转载自这里）来看，WPA 应该和 AES 是没关系的，但为啥 DD-WRT 的设置里就算选择 WPA，也仍可以同时选择 AES 或 TKIP/AES 呢？ IEEE 802.11 所制定的是技术性标准 ,Wi-Fi 联盟所制定的是商业化标准 , 而 Wi-Fi 所制定的商业化标准基本上也都符合 IEEE 所制定的技术性标准。 WPA(Wi-Fi Protected Access) 事实上就是由 Wi-Fi 联盟所制定的安全性标准 , 这个商业化标准存在的目的就是为了要支持 IEEE 802.11i 这个以技术为导向的安全性标准。而 WPA2 其实就是 WPA 的第二个版本。 WPA 之所以会出现两个版本的原因就在于 Wi-Fi 联盟的商业化运作。 我们知道 802.11i 这个任务小组成立的目的就是为了打造一个更安全的无线局域网 ,