无线技术—安全&认证技术

1、为什么要保护WLAN网络?
1)防止信息窃取:
通过软件侦听无线信息 通信内容反向解密
2)防止未经过授权的访问:
非法用户接入 越权访问资源
3)提供稳定高效的无线接入:
非法AP等信息干扰导致信号不稳定 拒绝服务攻击导致WLAN不可用
2、WLAN安全:
1)边界防御安全
无线干扰检测系统WIDS 无线干扰防御系统WIPS
2)用户接入安全
链路认证 用户接入认证 数据加密
3)业务安全
3、WLAN边界安全威胁:
WLAN网络很容易受到各种网络威胁的影响,中间人攻击、Ad-hoc网络、拒绝服务型攻击。
非法设备和非法攻击对于企业网络安全是一个很严重的威胁。
在这里插入图片描述
暴力PSK密码破解:通过不断的尝试密码来破解秘钥。
泛洪攻击:大量发送垃圾报文导致AP无法正常处理PC请求。
Spoof(欺骗)攻击:伪装正常PC导致正常PC无法与AP连接,SSID欺骗用相同的SSID进行对PC的欺骗。
Weak IV:针对WEP进行攻击获取秘钥。
4、WIDS&WIPS功能概述:
WIDS:无线侵入检测系统,依照一定的安全策略,对网络、系统的运行状况进行监视,分析用户的活动,判断入侵事件的类型,检测非法的网络。
WIPS:无线入侵防御系统,通过对无线网络的实时检测,对于检测到的入侵事情,攻击行为进行防御和预警。
5、AP的工作模式:
正常模式:
未开启空口扫描功能,用于传输普通的WLAN业务数据。
开启空口扫描功能,不仅传输普通的WLAN业务数据,还具备了监控功能,可能会对传输普通的WLAN业务数据造成一定的影响。
监测模式:仅能实现监测功能,不能传输WLA用户的数据。
在这里插入图片描述
如果发现非法AP就会触发告警,通过ICMP通知网络管理台。
6、Rogue设备监测识别
1)AP工作在监测模式时进行信道扫描,侦听周边无线设备发送的所有802.11帧,根据802.11MAC帧类型识别出周边的无线设备类型,根据非法AP客户端检测流程识别出Rogue设备。
2)主要监测设备:Rogue AP Rogue Client Ad hoc终端 无线网桥。
在这里插入图片描述
7、Rogue设备防范反制:
WIPS功能支持对Rogue AP、Rogue Client、Ad hoc设备进行反制。
在这里插入图片描述
反制:监测AP会使用非法APMac地址,发送假的广播/单播接触认证帧让其断开。
8、WIDS/WIPS支持的其他功能:
WIDS泛洪攻击检测:当流量超出预值,AP上报给AC,AC就会将其加入黑名单。
WIDS Spoof攻击检测:当AP收到认证帧和关联帧时,AP检测发送的源MAC地址是否是自己的MAC地址,若是就表明其是伪造的。由于是伪造的APmac所以无法加入黑名单。
WIDS Weak IV检测:弱向量检测。
防爆力破解PSK:延迟密码破解密码时间。
9、AP认证技术:
1)AC支持对AP进行认证
MAC认证 SN认证(序列号) 不认证
2)免认证白名单功能:
AP白名单 WDS(网桥桥接) MESH白名单(通过AP对接AP)

用户接入安全
1、WLAN网络安全包括两个方面:
1)用户身份验证—防止未授权访问网络资源。
2)数据加密—以保护数据完整性和数据传输私密性。
2、四种安全策略:
1)WEP—支持开放认证、share key认证;WEP加密。
2)WPA—支持PSK认证、EAP认证;TKIP、CCMP加密。
3)WPA2—支持PSK认证、EAP认证;TKIP、CCMP加密(基本无法破解)。
4)WAPI—支持PSK认证、基于证书的认证、椭圆曲线密码加密。(国产被撤回)
3、WEP—有线等效加密
WEP采用RC4算法,容易被破解。
WEP采用静态秘钥,秘钥分发维护困难。
WEP配置开放认证后,无线用户不经认证即可接入。
WEP开放认证+Web portal认证可以使用于方可接入场景。
其他场景不再推荐使用WEP协议。
4、WPA/WPA2—WIFI保护访问
WPA/WPA2联系
1)两者都支持PSK认证或者EPA认证 两者都支持TKIP/CCMP加密。
WPA/WPA2使用注意事项
1)WPA/WPA2使用PSK认证,无需AAA服务器,适合中小型企业。
2)WPA/WPA2使用EAP认证,需要AAA服务器,安全性更高适合大中型企业,支持PEAP、EAP—TLS等扩展认证类型。
3)如果部署802.11N网络+WPA/WPA安全机制,要求加密类型必须是CCMP;如果采用TKLP则网络退回非802.11N网络。
5、STA黑白名单:
1)黑白名单可以过滤无线客户端,起到接入控制的作用;
2)支持基于AP部署STA黑白名单;
3)支持基于服务集部署STA黑白名单;
4)一个AP或服务集上只能部署一个黑名单或者一个白名单,不可同属部署;
在这里插入图片描述
6、MAC认证(保证只有属于我们公司的才能上网):
1)使用终端的MAC地址进行认证。
2)客户端无需安装任何软件。
3)支持Gust VLAN和用户组授权功能。
4)支持和其他认证方式(如WPA—PSK等)配合使用。
在这里插入图片描述
7、WEB portal认证:
1)支持内置portal认证以及外置portal认证(-使用TSM或eSight)。
2)支持二层认证或者三层认证。
3)支持逃生功能及用户授权管理。
4)支持访客自主注册功能及访客管理。
在这里插入图片描述
CAPWAP加密
1、CAPWAP的控制隧道可以使用DTLS(证书/秘钥psk)进行加密。
2、DTLS加密可以保证AC下发的控制消息不被窃听
3、基于VAP的用户隔离:
1)开启基于VAP的用户隔离后,在同一个AVP内,连接到此无线服务的所有无线用户之间的二层报文(单播/广播)将互相不能转发。(保证了安全性和计费的准确性)
在这里插入图片描述
4、基于用户组的用户隔离
1)组间用户隔离 2)组内用户隔离 3)组间+组内隔离
在这里插入图片描述
5、共享秘钥认证
在这里插入图片描述
6、IEE802.1X认证基于端口的网络接入控制:
1)三大认证元素
在这里插入图片描述
2)EAP协议:
802.1X体系使用EAP认证协议
在这里插入图片描述
Code:类型,数据段通过其解释1字节。
Identifier:标志符1字节,无符号证书,发起某些请求或者响应。
Length:2字节。
在这里插入图片描述
3)PSK认证:
客户端和设备端配置相同的预共享秘钥,相互解密实现认证。
在这里插入图片描述
4)Portal认证过程:
在这里插入图片描述
1、WEP加密:
在这里插入图片描述
需要三种思路线,输入原始保护数据、输入秘钥、输入触发向量;
RC4相同的明文产生相同的秘钥结果。
缺陷:
1)整个网络中用一个共享秘钥,一旦丢失,整个网络都很危险
2)IV向量太短,大量箭头用户数据报文后,WEP加密很容易被破解。
3)加密算法过于简单。
解决方案:
1)增加一种秘钥管理机制。
2)采用更强的加密算法。
2、TKIP=WEP 2.0:
在这里插入图片描述在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

没有更多推荐了,返回首页

私密
私密原因:
请选择设置私密原因
  • 广告
  • 抄袭
  • 版权
  • 政治
  • 色情
  • 无意义
  • 其他
其他原因:
120
出错啦
系统繁忙,请稍后再试

关闭