WindowsXP部署安全无线网.ppt

SEC403 WindowsXP部署安全无线网曾明部门经理技术服务部微软中国有限公司 议程 无线局域网发展趋势无线局域网使用场景WindowsXP目标零配置Zeroconfiguration安全性Security漫游总结 无线局域网发展趋势 无线局域网带宽在增长11Mbpsfor802 11b22Mbps 802 11g and54Mbps 802 11a coming设备的价格在降低 70per802 11bcard 200perAccessPoint便携机和PDA的使用在增长移动用户内置802 11b的便携电脑的增长 IEEE802 11b迅速增长 无线局域网使用场景客户需求 企业需要安全的用户验证和密钥分发需要支持guest访问Internet公共场所 机场 大型超市 等等 需要用户的计费验证家庭要求简单的无需敷设新的连线的网络漫游要求透明的漫游 WindowsXP无线目标 针对大型企业 中小企业 公共场所和家庭用户使用802 11时无需任何配置 zeroconfiguration 针对大型企业 中小企业 公共场所的安全的局域网访问在工作场所 公共场所和家庭之间的漫游将是透明的 无线零配置WirlessZeroConfiguration 自动扫描附近的无线局域网自动设置802 11网卡来匹配可用的网络用户可以设置一个或多个首选的网络可以禁用非首选网络如果附近没有802 11网络则将802 11网卡设成点对点工作模式可以禁用或强制使用点对点模式与安全性的集成如果验证失败或其他安全原因则寻找其他网络来使用 无线状态WirelessStatus 提醒当与一个网络相关联时当可用的网络需要设置时状态是否加密信号强弱与网卡关联的SSIDAccessPointorAd hoc 局域网访问的安全性 IEEE802 1X用于需要验证的网络访问的标准协议在以太网和802 11网中支持用户和机器的验证使用Radius与拨号上网和VPN的验证一样Windows2000InternetAuthenticationServer可以和ActiveDirectory用户数据集成网络访问的级别由管理员控制禁止访问 即使获得了IP地址 完全访问Guest访问支持向客户分发加密密钥 Ethernet AccessPoint RadiusServer 802 1XOn802 11 RADIUS Laptopcomputer Wireless 802 11 802 1X安全性 在不同的网络支持不同的证书办公室局域网的证书可能与机场的不同公共场所可以限制其仅能访问某个Web站点 除非用户付费企业可以用VLAN来为Guests提供Internet访问 RAS VPN Firewall 远程访问PPP L2TP IPSEC IAS RADIUSServer 集中的网络访问验证和访问控制 PAP CHAP MSCHAP EAP AD 无线AccessPointEthernetSwitch 局域网访问802 11 802 1x EAP 用户验证访问策略密钥管理 IAS RADIUSProxy ServiceProviderIP NetworkPublicAccessDial up ADSL无线AccessPoint Corpnet RADIUS RADIUS 外包的远程网络访问 Dial ADSL Wireless NASdeviceDial Wireless ADSL RADIUSServer RADIUS RADIUS 1 ConnecttoInternet 2 ConnecttoCorp Net VPN VPNServer RADIUS Corpnet UserDatabase ServiceProvider 典型的802 1x连接过程 XP客户端 无线AccessPointwith802 1x PrimaryIAS BackupIAS DHCPServer DS DS 客户端与无线AccessPoint关联 802 11AccessPoint禁止对局域网 thevirtualport 的访问 并应用802 1x到客户端AccessPoint在客户端和IAS RADIUS服务器之间路由EAP ExtensibleAuthenticationProtocol 包 overEthernet 如果客户端验证成功 IAS告诉Accesspoint开放端口 IASCanreturnrestrictionsthattheAccessPointMUSTimplementforthatport TheserestrictionscanincludeVLANsandFiltersandEncryptionPolicies Aftertheportisopened ClientinitiatesDHCPtogetIPAddressontheconnection 交互过程 Auto enrollmentof802 1xclientswithCerts XPClient 无线AccessPointwith802 1x IAS DS DSDHCPCertServer TurnonUserorMachineCertauto enrollment Machines Usersalreadyon局域网willautomaticallygetcertificate Howdowehandleuserswhohavevalidpasswords buttheytheydonothavetheauto enrolledcertificatestoconnectto无线LAN Whenclientfindsthatitdoesnothavecertificates itconnectstonetworkwithoutanIdentity IfIASisconfiguredtoprovideGuestaccess ittellstheAccessPointtoaccepttheconnectionwithrestrictionsAccept withaRestrictiontoputtheClientintoaspecialVLANortoApplyIPFilters Afterconnection Clientgetsauto enrollmentcertfromAD andestablishesanewconnectionwiththerightcredentials Interaction RestrictedLAN 漫游 可选的IP配置DHCP 静态IP配置自动在不同的配置间切换扩展的Windows2000自动DHCP更新在漫游时检查IP地址扩展的Windows2000对IP地址改变的从新配置的支持QoS预约更新IEproxy设置从新检测IP喜欢更快的接口E g 11Mbps无线和100Mbps以太网网络维修 漫游NetworklocationextensionstoWinsock ApplicationsthatwanttobenetworkawareE g Firewall IEInformationaboutthenetworkconnectivitythemachinehasSpeed interfacetype networktype e g connectedtotheInterface ICSinformation 802 1XinformationConnectivitychangenotification IEEE802 11bIsHereToday EnterprisePublicdeploymentsCafes Starbucks AirportsHotelsPlanesCitesInhighdensityareasHomeInternetinthehomeTrueplugandplayhardwareIEEE1Xsecurityandzero configurationinWindo