校园无线网络安全防范浅析.doc

《校园无线网络安全防范浅析.doc》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、校园无线网络安全防范浅析摘要：无线网络已成为校园网的重要组成部分。剖析了校园无线网络存在的问题，给出了无线网络安全防护对策、安全认证方式和基础技巧。关键词：无线网络；安全认证；校园网；Web认证中图分类号：TP393.1文献标志码：A文章编号:1006-8228(2013)10-29-020引言现代笔记本电脑和无线网卡产品价格逐步降低，使越来越多的人能够使用。但无线信道的开放性增加了非法用户和病毒入侵的几率，其凭借无线网络接入校园网，对校园网构成威胁。本文分析了校园无线网络存在的安全问题，从安全认证方式和简单易行的安全技巧，到建设安全的校

2、园无线网络，提出安全对策。为数字化校园应用系统和实现管理、科研、教学的全面数字化的安全运行提供思路。1校园无线网络存在问题(1)目前无线网络提供常用的三种安全机制。一是基于MAC地址的认证，实施MAC地址访问控制，制作MAC地址列表，但随着用户增加而效率降低，且MAC地址很容易被窃取和伪造，因此安全性较低。二是共享密钥认证，该方法要求接入点和无线设备使用对等保密算法，即用户使用正确密钥即可获得访问权。但在认证时，攻击者可利用加密前后的询问消息,通过数学运算即可获得共享密钥生成的伪随机密码流，从而伪造合法的响应消息通过了认证。三是802.l

3、x认证。802.lx协议称为基于端口的访问控制协议，它是第二层协议，需要通过802.lx协议客户端软件发起请求,通过认证后打开逻辑端口，然后发起DHCP请求活动TP以及访问网络的权限。用户在认证通过情况下，端口被打开，因此该机制存在安全隐患，用户可以私接交换机、更改IP、更改MAC地址，实现蹭网、盗用他人流量等行为。（2）部分AP安全设置级别过低，或保持出厂的默认设置，使AP在没有加密或弱加密条件下工作，使得非法用户有机可乘，私自接入到校园网络攻击校园网。（3）无线网络客户端连接设置不正确。部分用户接入校园网线网络同时对外发布无线信号，如

4、不对无线网覆盖范围和连接用户数作限制，则非法用户可以和校园无线客户端建立一个直连网络Adlloc,从而顺利接入校园对校园网产生威胁。2无线网络安全防护对策2.1做好硬件设备备份无线网络较有线网络有其特殊性，对于无线网络设备如无线控制器、无线AP等应做好预留备份，出现问题及时更换。对于重要节点如图书馆、网络中心等应提供有线网络备份，同时无线网络的配置也应有备份，以便恢复时快捷便利。2.2建立无线网络监控和记录机制由于无线网络接入用户具有很大的移动性和变化性，因此做好用户访问行为记录非常重要。在无线网络中加入无线网络控制器，对用户进行严格的权

5、限分配，对无线接入点、交换机进行实时监控。包括对无线用户的统一认证、监控和流量管理，记录用户名、访问时间、IP地址、MAC地址等信息，记录日志定时上传至服务器。通过对日志分析，可以避免一些安全隐患、排除故障和追究相关人员责任。在无线控制器上进行相应策略设置，对无线数据包进行实时检测，如发现有人入侵及时纪录并做出自动保护响应。2.3无线网络单独规划子网为保证学校校木资源的安全，需将无线网络与有线网络分开，单独规划子网，将学校网络结构分为无线子网、有线子网、资源子网三部分，如图1所示。在核心交换机上设置访问控制列表，严格控制各子网间访问，防止

6、无线网络用户对网络资源进行非授权访问。无线用户首先通过认证接入无线网络，继而获得授权，根据授权限访问网内资源。访问控制可以基于以下属性:源IP地址、源MAC地址、目的IP地址、目的MAC地址、协议类型、用户ID、用户时长等［1］。2.4无线网络病毒防护在无线网络上网须知中明确规定，无线用户必须安装最新的防病毒软件，对无防病毒软件的终端禁止入网。同时在无线控制器上设定策略，对无线终端用户进行准入检查，如未通过禁止访问网络。对校本资源或校园网站服务器的访问权限设定严格的控制策略。无线网络的管理者应培养其前瞻性和主动性，能够提前做好防护措施。3

7、安全认证方式无线网络的建设冃标是与有线网及校本资源的有效融合，做到安全、便捷，在认证上尽量做到统一。现有的校园网无线终端包含不同类型，有计算机、智能手机、平板电脑，还有支持无线网的打印机和监控设备等，这些终端对认证方式的支持情况各不相同，必须考虑为所有终端提供适当的认证方式。根据校园网用户的安全需求，及校内无线终端类型的统计，我们提供以下几种认证方式。2.1802.lx认证该认证是根据用户帐号和设备，对客户端进行鉴权，只适合于接入用户设备与接入端口间点到点的连接方式。校园网屮的端口多指用户设备的MAC地址，需要MAC地址处于激活状态，否则

8、无法进行认证。在802.lx认证体系中，必须具备客户端、接入认证交换机和认证服务器三者，才能完成基于端口的访问认证和授权[2]o802.lx可以作为W卩A的认证组件，支持AES/TKIP数据加