802.11无线网络权威-读书笔记-第二天

第二章 802.11网络概论（续）

1 再论分布式系统

802.11是以能给无线工作站提供哪些服务来描述分布式系统。

1. 分布式系统负责追踪工作站实际的位置以及帧的传送。要传送帧给某个移动式工作站，系统必须将之传递给服务该移动工作站的接入点。
2. 有部分传递机制属于Ethernet所构成的骨干网络，不过其并不代表整个系统，因它无法在多个接入点间作出选择。
3. 分布式系统其他成分，必须看接入点本身。市面上大多接入点也扮演桥接器角色，具备一个无线网络接口及一个Ethernet网络接口。两种媒介之间的帧传送是由桥接引擎加以控制。
   
4. 一个工作站同时只能与一个接入点关联， 如某工作站已与某接入点关联，位于同一个ESS的其他接入点必须能够得知此工作站。
5. 无线媒介本身也可以作为分布式系统。这种在那个分布式系统的配置通常称为“无线桥接器”

2 网络界限

两个接入点无线电波覆盖范围的空白区称为“覆盖盲区”。不同类型的802.11网络亦可相互重叠。在设计上，已经考虑到如何能让多个802.11网络并存于相同的空间中。但它们共享单一无线信道的带宽，因此共存之间必然会由性能上的抵消。

3 802.11网络的运作方式

802.11设计之初就是作为较上层协议的另一个链路层。802.11同样可以找到Ethernet的核心成分。它同样是以长度为48位的IEEE802MAC地址来区别工作站。既要提供MAC层次的移动性，又要依循之前的802标准所规划的路径，所以必须加入一些额外的服务与较复杂的帧格式。

3.1 网络服务

定义网络技术的方式之一就是看它能提供哪些服务。
802.11总共可以提供9种服务，其中3种用来传送数据，其余6种均属管理操作。

机密性与访问控制：
机密性与访问控制服务彼此密不可分。除了传输数据的保密性，机密性服务也提供帧内容的完整性。保密性与完整性均依赖共享式加密密钥，因此机密性服务必然依赖其他服务来提供身份验证与密钥管理。

1. 身份验证与密钥管理
   机密性服务依赖身份验证与密钥管理的配套使用来确定用户的身份并建立加密密钥。身份验证也可以通过其他外部协议，比如802.1X或者预共享密钥来完成。
2. 加密算法
   帧可以通过传统的WEP算法获得保护，使用40或104位长的密钥、TKIP（临时密钥完整性协议）或者CCMP（CBC-MAC计数模式协议）。
3. 来源真实性
   TKIP与CCMP让接收端得以验证传送端的MAC地址以避免伪装攻击。来源真实性只能保护单播数据。
4. 重放检测
   TKIP与CCMP会使用序号计数器来验证所接收的帧，以防范重放攻击。“太旧”的帧会被丢弃。
5. 其他外部协议与系统
   机密性服务极其依赖其他外部协议。密钥管理由802.1X提供，而802.1X则会搭配EAP来传递身份验证数据。802.11并未限制使用何种协议，不过最普遍的做法是以EAP提供身份验证并以RADIUS解入认证服务器。

3.2 移动性的支持

802.11所提供的移动性存在于链路层的基本服务区域之间。它并无法理解链路层以上究竟发生什么事。在设计规划802.11时，网络工程师必须特别小心，好让无线层的无间隙转换在工作站IP地址可被保留的网络协议层也得到支持。就802.11而言，接入点之间可能出现三种转换：

1. 不转换
   工作站未离开当前接入点的服务范围。
2. BSS转换
   工作站持续监控来自所有接入点的信号强度与信号质量。在扩展服务区域中，802.11提供了MAC层次的移动性。某个工作站离开一个接入点的基本服务区域并进入另一个接入点范围时，就发生所谓的BSS转换。工作站会使用重新关联服务于新的接入点关联。802.11并未规范转换过程中接入点之间如何通信的细节。
   值得注意的是，即使这两个接入点隶属于同一个拓展集，它们之间却可能是由一部路由器所连接的，即受限于第三层协议。这种情况下，仅使用802.11协议并无法保帧可以达到无间隙漫游。
3. ESS转换
   指从一个ESS移动至另一个ESS。802.11并未支持此类转换。不过允许工作站离开第一个ESS范围后与第二个ESS里的接入点关联。目前尚未支持从一个ESS无间隙地转换至第二个ESS。

3.3 移动性网络设计

设计上，大多数网络皆采用一组接入点访问一组资源。同意网络组织所控制的所有接入点均会被赋予相同的SSID， 使用无线网络时，工作站就以此SSID进行连接。802.11可以确保工作站移至不同接入点时维持关联，只要这些关联属于同一个SSID。网络设计人员在构建网络时，必须将移动性纳入考虑。较小的网络通常是由单一的VLAN，单一的子网所构成，这是不必担心移动性问题。跨网段的较大网络则必须使用额外技术才能支持移动性。
事实上，ESS转换相当罕见，通常只发生在用户离开某个网域进入另一个网域时。此时两个网络可能使用不同的IP地址，两者之间也不存在足以在不中断网络层连接的情况下无间隙地转移工作站的信任关系。
专属的移动性系统：为了提供移动性，有些厂商设计各自专属的协议与流程，特别是那些专门设计产品来构建大规模网络的设备厂商。