基于radius技术的无线网络安全管控系统的升级及扩容

《基于radius技术的无线网络安全管控系统的升级及扩容》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、基于RADIUS技术的无线网络安全管控系统的升级及扩容摘要：无线网络技术在给我们便捷性同时带来安全风险，随着单位里对wifi技术认知的加深，移动智能设备的普及量加大，及新媒体、APP技术的利用都在日益扩大，不仅仅有安全认证方面的问题，在wifi覆盖和用户认证体验上的优化需要，无线地址段的使用，同时使用时设备容量的问题都是亟须解决的，后期新增设备布局的问题，新老wifi技术的兼容，大量用户，不同楼层间的游离用户稳定性都对我不久之前刚建立的认证体系形成了很大的挑战。关键词：RADIUS；无线网；安全验证；MAC绑定中图分类号：TP311文

2、献标识码：A文章编号：1009-3044(2016)18-0047-021系统问题产生背景1.1无线入网系统初期运行状态1.1.1原有系统描述我在前几年建设的安徽报业大厦一套可以辨别用户的优先保障正常工作附带安全管理的无线网络安全管控系统，具备安全高效低成本的特征。在安全管理上，避免了没有申报授权用户接入访问网络，即使有人可以破解无线网连接的秘钥等验证接入了无线网也不能访问内网资源，干扰不到其他无线终端；使用了绑定用户密码和MAC地址等措施，当一个用户在首次成功登录后即在服务器和设备上绑定，在我们的无线网中这台设备就用不了其他用户密码

3、登录，这个用户密码也不能用在其他设备上了。在无线设备的选择上，对AP和终端也没有特别要求，只要是可配置的AP和支持wifi功能的终端都可以使用。在实用性上，配置简单快捷，利用原有设备，不需专业服务器，低成本实现，相比较以前无验证开放式连接而言快速高效地解决了前期无线网络安全管控问题。1.1.2原有认证步骤流程原有办法是我们的用户首先通过办公系统申请固定账号或者临时用户申请，通过秘钥连接无线信号后再使用用户名密码的方式认证，最终在服务器端通过并绑定。1.2产生的主要问题在整个系统搭建完成后，初期运行良好，所有移动办公和娱乐用户都按本系统

4、设计预期连接并完成认证，效果很好，出现过一些认证页面和信号强度方面的问题，也都解决了。但是运行一年左右，随着应用方面的扩大，申请账号的增多，很多用户陆续产生了每天需要输入认证很多次或者连接报错的故障，重复输入给用户造成很大的使用困难往往是用户外出、经过电梯都会出现问题，还有用户直接连接不上，同时给管理人员带来很大的工作量。常见以下几种问题：1）外出后常出现IP、地址mac不允许；2）上下楼后经常发生Ip己登录；3）待机后重新点亮移动设备的屏幕有时出现不允许多人同时登录。如图2:2问题排查及方案选择2.1故障问题测试针对故障以上问题我们

5、发现分布在不同的楼层，各种无线设备下均有发生，而且有越来越多的趋势，通过以下步骤：首先我们设定测试账号；准备不同系统的几台无线设备；每台设备通过测试账号登陆；新建测试无线信号新的ip段经过反复登陆注销，有几个发现：在原有无线ssid信号中不同时间设备获取地址会发生变化、登陆后在楼层间移动一段时间设备会断网并重新弹出认证、还有部分首次通过上网过几分钟后断开认证也弹不出入网页面，每台设备都出现这些问题。在我们新建ssid信号中设备连接后很稳定，移动、待机、重连之后都没有出现问题。2.2定位故障找出解决办法通过测试我开始考虑是不是信号源出了

6、问题，检查配置和后来建立的测试完全一样，除了网段和网段里在线的IP地址，登录核心网关查看正在使用出问题的这个信号使用的IP数：在这个网段中地址几乎使用完，测试的地址段不用看了，刚建立的，也就是测试的几台地址。我们这个无线系统设计初衷是安全、快捷，绑定区分每位用户并隔离，开始一百多个用户，我们预定可分配网段地址是一个C类地址段，当使用几年后用户已经超过三百人，目前已设定账户的用户超过六百人，在测试过程中发现的地址问题首先我们在绑定是用的mac地址绑定，但在网络转发时其实用的还是ip地址，如上图5在外网网关上显示的还是ip地址名称，当在设

7、备上设定固定静态地址时，终端相对稳定的时间要长些，我们在交换机上设立的dhcp，在查看是发现一台设备地址分配的情况可以确定的是由于用户地址发生变化导致一系列故障的产生，地址短缺发生地址变化和获取不到地址时自然就出现上面的故障了并且由于地址数小于账号数，不能设定长期的租约。最终问题明确了虽然没有ip地址绑定，但在账号数增长的情况下需要固定地址并保证长期不变。2.3优化方案构思我们的无线入网需要改变，一个必要的条件就是现有连接用户端尽可能不改变连接入网方式及习惯，还有我们没有大幅度调整设备的条件。1）首先想到多增加几个网段，每个从vlan

8、44-vlan48每个地址段分布1至2个楼层，如下在考虑后发现，必须能够保证这些楼层的用户互相之间都不能跨太多楼层，不然同一个用户进入其他楼层进入不同vlan变了地址还是会重新入网一次，只能缓解基本静止状态的用户。2）又