項(xiàng)目11無(wú)線網(wǎng)絡(luò)安全

項(xiàng)目11

無(wú)線網(wǎng)絡(luò)安全項(xiàng)目1雙機(jī)互連對(duì)等網(wǎng)絡(luò)的組建

11.1項(xiàng)目提出張先生家中有多臺(tái)計(jì)算機(jī)，包括臺(tái)式計(jì)算機(jī)和筆記本計(jì)算機(jī)，為了實(shí)現(xiàn)這些計(jì)算機(jī)能共享寬帶上網(wǎng)，并實(shí)現(xiàn)無(wú)線連接，張先生添置了一臺(tái)無(wú)線路由器來(lái)實(shí)現(xiàn)這些目標(biāo)。最近，張先生發(fā)覺(jué)上網(wǎng)速度突然變得很慢，為此他疑惑不解，因?yàn)閺埾壬臒o(wú)線路由器明明設(shè)置過(guò)密碼，應(yīng)該不會(huì)被其他人盜用網(wǎng)絡(luò)。后來(lái)，經(jīng)朋友檢查發(fā)現(xiàn)，張先生的計(jì)算機(jī)的“網(wǎng)上鄰居”中突然多出一個(gè)陌生的計(jì)算機(jī)用戶，網(wǎng)絡(luò)被盜用已經(jīng)成為不爭(zhēng)的事實(shí)。朋友告訴他，他的無(wú)線網(wǎng)絡(luò)已經(jīng)被一種稱為“蹭網(wǎng)卡”的裝置盯上了，因?yàn)槎嗔艘慌_(tái)計(jì)算機(jī)共享他的上網(wǎng)帶寬，所以上網(wǎng)速度實(shí)然變慢。那么，如何保障自己的無(wú)線網(wǎng)絡(luò)安全使用呢？本項(xiàng)目將為大家解決這樣的技術(shù)問(wèn)題。11.2項(xiàng)目分析由于無(wú)線局域網(wǎng)自身的特點(diǎn)，它的無(wú)線網(wǎng)絡(luò)信號(hào)很容易被發(fā)現(xiàn)。非法入侵者只需要給計(jì)算機(jī)安裝無(wú)線網(wǎng)卡，就可以搜索到附近的無(wú)線網(wǎng)絡(luò)信息，獲取SSID、信道、是否加密等信息。很多家用無(wú)線網(wǎng)絡(luò)因?yàn)闆](méi)有進(jìn)行相應(yīng)的安全設(shè)置，很容易被入侵者侵入。更糟糕的是，由于“蹭網(wǎng)卡”的出現(xiàn)，它可以捕捉到方圓幾公里范圍內(nèi)的無(wú)線網(wǎng)絡(luò)信號(hào)，而且與其相配套的破解軟件，會(huì)很容易地破解簡(jiǎn)單的加密方式，從而獲得網(wǎng)絡(luò)使用權(quán)。此外，由于無(wú)線局域網(wǎng)不對(duì)數(shù)據(jù)幀進(jìn)行認(rèn)證操作，這樣，入侵者可以通過(guò)欺騙幀去重新定向數(shù)據(jù)流，攪亂ARP緩存表(表里的IP地址與MAC地址是一一對(duì)應(yīng)的)。入侵者可以輕易地獲得網(wǎng)絡(luò)中站點(diǎn)的MAC地址，而且可以通過(guò)MAC地址修改工具來(lái)將本機(jī)的MAC地址改為無(wú)線局域網(wǎng)合法的MAC地址，或者通過(guò)修改注冊(cè)表來(lái)修改MAC地址。除了MAC地址欺騙手段外，入侵者還可以攔截會(huì)話幀來(lái)發(fā)現(xiàn)無(wú)線AP中存在的認(rèn)證漏洞，通過(guò)監(jiān)測(cè)AP發(fā)出的廣播幀發(fā)現(xiàn)AP的存在。可是，由于IEEE802.11無(wú)線網(wǎng)絡(luò)協(xié)議并沒(méi)有要求AP必須證明自己是一個(gè)AP，所以入侵者可能會(huì)冒充一個(gè)AP進(jìn)入無(wú)線網(wǎng)絡(luò)，然后進(jìn)一步獲取認(rèn)證身份信息。11.3相關(guān)知識(shí)點(diǎn)11.3.1無(wú)線局域網(wǎng)基礎(chǔ)無(wú)線局域網(wǎng)(WirelessLocalAreaNetworks，WLAN)利用電磁波在空氣中發(fā)送和接收數(shù)據(jù)，而無(wú)需線纜介質(zhì)。作為傳統(tǒng)有線網(wǎng)絡(luò)的一種補(bǔ)充和延伸，無(wú)線局域網(wǎng)把個(gè)人從辦公桌邊解放了出來(lái)，使他們可以隨時(shí)隨地獲取信息，提高了員工的辦公效率。此外，WLAN還有其他一些優(yōu)點(diǎn)。它能夠方便地實(shí)施聯(lián)網(wǎng)技術(shù)，因?yàn)閃LAN可以便捷、迅速地接納新加入的員工，而不必對(duì)網(wǎng)絡(luò)的用戶管理配置進(jìn)行過(guò)多的變動(dòng)。WLAN還可以在有線網(wǎng)絡(luò)布線困難的地方比較容易實(shí)施，使用WLAN方案，則不必再實(shí)施打孔、敷線等作業(yè)，因而不會(huì)對(duì)建筑設(shè)施造成任何損害。無(wú)線局域網(wǎng)具有以下特點(diǎn)。(1)安裝便捷。無(wú)線局域網(wǎng)最大的優(yōu)勢(shì)就是免去或減少了網(wǎng)絡(luò)布線的工作量，一般只要安裝一個(gè)或多個(gè)無(wú)線接入點(diǎn)AP(AccessPoint)設(shè)備，就可組建覆蓋整個(gè)建筑或地區(qū)的無(wú)線局域網(wǎng)。(2)使用靈活。而一旦無(wú)線局域網(wǎng)建成后，在無(wú)線網(wǎng)絡(luò)的信號(hào)覆蓋區(qū)域內(nèi)任何一個(gè)位置都可以接入網(wǎng)絡(luò)。(3)經(jīng)濟(jì)節(jié)約。有線網(wǎng)絡(luò)缺少靈活性，而一旦網(wǎng)絡(luò)的發(fā)展超出了設(shè)計(jì)規(guī)劃，又要花費(fèi)較多費(fèi)用進(jìn)行網(wǎng)絡(luò)改造，而無(wú)線局域網(wǎng)可以避免或減少以上情況的發(fā)生。(4)易于擴(kuò)展。無(wú)線局域網(wǎng)就能設(shè)計(jì)成從只有幾個(gè)用戶的小型局域網(wǎng)到上千用戶的大型網(wǎng)絡(luò)，并且能夠提供像“漫游(Roaming)”等有線網(wǎng)絡(luò)無(wú)法提供的特性。11.3.2無(wú)線局域網(wǎng)標(biāo)準(zhǔn)1.IEEE802.11x系列標(biāo)準(zhǔn)IEEE802.11b即Wi-Fi(WirelessFidelity，無(wú)線相容認(rèn)證)，它利用2.4GHz的頻段。2.4GHz的ISM(IndustrialScientificMedical)頻段為世界上絕大多數(shù)國(guó)家通用，因此IEEE802.11b得到了最為廣泛的應(yīng)用。它的最大數(shù)據(jù)傳輸速率為11Mbps，無(wú)須直線傳播。在動(dòng)態(tài)速率轉(zhuǎn)換時(shí)，如果無(wú)線信號(hào)變差，可將數(shù)據(jù)傳輸速率降低為5.5Mbps、2Mbps和1Mbps。IEEE802.11a(Wi-Fi5)標(biāo)準(zhǔn)是得到廣泛應(yīng)用的IEEE802.11b標(biāo)準(zhǔn)的后續(xù)標(biāo)準(zhǔn)。它工作在5GHz頻段，傳輸速率可達(dá)54Mbps。由于IEEE802.11a工作在5GHz頻段，因此它與IEEE802.11、IEEE802.11b標(biāo)準(zhǔn)不兼容。IEEE802.11g是為了提高更高的傳輸速率而制訂的標(biāo)準(zhǔn)，它采用2.4GHz頻段，使用CCK(ComplementaryCodeKeying，補(bǔ)碼鍵控)技術(shù)與IEEE802.11b(Wi-Fi)向后兼容，同時(shí)它又通過(guò)采用OFDM(OrthogonalFrequencyDivisionMultiplexing，正交頻分多路復(fù)用)技術(shù)支持高達(dá)54Mbps的數(shù)據(jù)流。IEEE802.11n可以將WLAN的傳輸速率由目前IEEE802.11a及IEEE802.11g提供的54Mbps，提高到300Mbps甚至高達(dá)600Mbps。通過(guò)應(yīng)用將MIMO(Multiple-InputMultiple-Output，多入多出)與OFDM技術(shù)相結(jié)合的MIMOOFDM技術(shù)，提高了無(wú)線傳輸質(zhì)量，也使傳輸速率得到極大提升。和以往的IEEE802.11標(biāo)準(zhǔn)不同，IEEE802.11n協(xié)議為雙頻工作模式(包含2.4GHz和5GHz兩個(gè)工作頻段)，這樣IEEE802.11n就保障了與以往的IEEE802.11b、IEEE802.11a、IEEE802.11g標(biāo)準(zhǔn)兼容。2.家庭網(wǎng)絡(luò)(HomeRF)技術(shù)HomeRF(HomeRadioFrequency)一種專門(mén)為家庭用戶設(shè)計(jì)的小型無(wú)線局域網(wǎng)技術(shù)。它是IEEE802.11與Dect(數(shù)字無(wú)繩電話)標(biāo)準(zhǔn)的結(jié)合，旨在降低語(yǔ)音數(shù)據(jù)成本。HomeRF在進(jìn)行數(shù)據(jù)通信時(shí)，采用IEEE802.11標(biāo)準(zhǔn)中的TCP/IP傳輸協(xié)議；進(jìn)行語(yǔ)音通信時(shí)，則采用數(shù)字增強(qiáng)型無(wú)繩通信標(biāo)準(zhǔn)。HomeRF的工作頻率為2.4GHz。原來(lái)最大數(shù)據(jù)傳輸速率為2Mbps，2000年8月，美國(guó)聯(lián)邦通信委員會(huì)(FCC)批準(zhǔn)了HomeRF的傳輸速率可以提高到8～11Mbps。HomeRF可以實(shí)現(xiàn)最多5個(gè)設(shè)備之間的互聯(lián)。3.藍(lán)牙技術(shù)藍(lán)牙(Bluetooth)技術(shù)實(shí)際上是一種短距離無(wú)線數(shù)字通信的技術(shù)標(biāo)準(zhǔn)，工作在2.4GHz頻段，最高數(shù)據(jù)傳輸速度為1Mbps(有效傳輸速度為721kbps)，傳輸距離為10cm～10m，通過(guò)增加發(fā)射功率可達(dá)到100m。藍(lán)牙技術(shù)主要應(yīng)用于手機(jī)、筆記本電腦等數(shù)字終端設(shè)備之間的通信和這些設(shè)備與Internet的連接。11.3.3無(wú)線局域網(wǎng)設(shè)備(1)無(wú)線網(wǎng)卡(2)無(wú)線訪問(wèn)接入點(diǎn)無(wú)線訪問(wèn)接入點(diǎn)(AccessPoint，AP)也稱無(wú)線網(wǎng)橋，主要提供無(wú)線工作站對(duì)有線局域網(wǎng)的訪問(wèn)和從有線局域網(wǎng)對(duì)無(wú)線工作站的訪問(wèn)。

(3)無(wú)線路由器無(wú)線路由器(WirelessRouter)集成了無(wú)線AP和寬帶路由器的功能，它不僅具備AP的無(wú)線接入功能，通常還支持DHCP、防火墻、WEP加密等功能，而且還包括了網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)功能，可支持局域網(wǎng)用戶的網(wǎng)絡(luò)連接共享。(4)天線天線有全向天線和定向天線兩種。11.3.4無(wú)線局域網(wǎng)的組網(wǎng)模式無(wú)線局域網(wǎng)組網(wǎng)模式主要有兩種：一種是無(wú)基站的Ad-Hoc(自組網(wǎng)絡(luò))模式；另一種是有固定基站的Infrastructure(基礎(chǔ)結(jié)構(gòu))模式。11.3.5服務(wù)集標(biāo)識(shí)服務(wù)集標(biāo)識(shí)(ServiceSetIdentifier，SSID)用來(lái)區(qū)分不同的無(wú)線網(wǎng)絡(luò)，最多可以有32個(gè)字符，無(wú)線網(wǎng)卡設(shè)置了不同的SSID就可以進(jìn)入不同的無(wú)線網(wǎng)絡(luò)。SSID通常由AP廣播出來(lái)，通過(guò)WindowsXP自帶的掃描功能可以查看當(dāng)前區(qū)域內(nèi)的SSID。出于安全考慮可以不廣播SSID，此時(shí)用戶就要手工設(shè)置SSID才能進(jìn)入相應(yīng)的網(wǎng)絡(luò)。簡(jiǎn)單地說(shuō)，SSID就是一個(gè)無(wú)線局域網(wǎng)的名稱，只有設(shè)置為相同SSID值的計(jì)算機(jī)才能互相通信。11.3.6無(wú)線加密標(biāo)準(zhǔn)1.WEP加密標(biāo)準(zhǔn)WEP(WiredEquivalentPrivacy，有線等效保密)無(wú)線加密協(xié)議使用RC4加密算法，它定義了兩種身份驗(yàn)證的方法：開(kāi)放系統(tǒng)和共享密鑰。在缺省的開(kāi)放系統(tǒng)方法中，用戶即使沒(méi)有提供正確的WEP密鑰也能接入訪問(wèn)點(diǎn)，共享密鑰方法則需要用戶提供正確的WEP密鑰才能通過(guò)身份驗(yàn)證。目前常見(jiàn)的是64位WEP加密和128位WEP加密。2.WPA加密標(biāo)準(zhǔn)由于WEP的安全性較低，IEEE802.11組織開(kāi)始制定新的安全標(biāo)準(zhǔn)，也就是802.11i協(xié)議。但由于新標(biāo)準(zhǔn)從制定到發(fā)布需要較長(zhǎng)的周期，而且用戶也不會(huì)僅為了網(wǎng)絡(luò)的安全性就放棄原來(lái)的無(wú)線設(shè)備，所以Wi-Fi聯(lián)盟在新標(biāo)準(zhǔn)推出之前，又在802.11i草案的基礎(chǔ)上制定了WPA(Wi-FiProtectedAccess)無(wú)線加密協(xié)議。作為802.11i標(biāo)準(zhǔn)的子集，WPA的核心就是IEEE802.1x(一種基于端口的網(wǎng)絡(luò)接入控制協(xié)議)和TKIP(臨時(shí)密鑰完整性協(xié)議)WPA的加密算法依然是WEP中使用的RC4加密算法。WPA采用了兩種應(yīng)用模式，即企業(yè)模式和家庭模式。對(duì)于大型企業(yè)用戶來(lái)說(shuō)，“802.1x＋EAP(ExtensibleAuthenticationProtocol，可擴(kuò)展認(rèn)證協(xié)議)”的加密方式是最佳選擇，它的安全性非常好，用戶必須提供認(rèn)證所需的憑證才能實(shí)現(xiàn)連接。對(duì)于一些中小型的企業(yè)網(wǎng)絡(luò)或者家庭用戶來(lái)說(shuō)，“WPA-PSK”(WPA預(yù)共享密鑰)模式更加適合，它不需要專門(mén)的認(rèn)證服務(wù)器，僅要求在每個(gè)WLAN節(jié)點(diǎn)(AP、無(wú)線路由器、網(wǎng)卡等)預(yù)先輸入一個(gè)密鑰即可。需要注意的是，這個(gè)密鑰僅僅用于認(rèn)證過(guò)程，而不是用于傳輸數(shù)據(jù)的加密。數(shù)據(jù)加密的密鑰是在認(rèn)證成功后動(dòng)態(tài)生成的，系統(tǒng)將保證“一戶一密”，不存在像WEP那樣全網(wǎng)共享一個(gè)加密密鑰的情形，所以無(wú)線網(wǎng)絡(luò)的安全性較WEP有大幅提升。3.WPA2加密標(biāo)準(zhǔn)當(dāng)IEEE完成并公布IEEE802.11i無(wú)線局域網(wǎng)安全標(biāo)準(zhǔn)后，Wi-Fi聯(lián)盟也隨即公布了WPA第2版——WPA2。WPA2支持AES(高級(jí)加密算法)，安全性更高。但與WPA不同的是，WPA2需要新的硬件才能支持。WPA2是Wi-Fi聯(lián)盟驗(yàn)證過(guò)的IEEE802.11i標(biāo)準(zhǔn)的認(rèn)證形式，WPA2實(shí)現(xiàn)了802.11i的強(qiáng)制性元素，特別是Michael算法被公認(rèn)徹底安全的CCMP(CounterCBC-MACProtocol，計(jì)數(shù)器模式密碼塊鏈消息完整碼協(xié)議)訊息認(rèn)證碼所取，而RC4加密算法也被AES所取代。WPA=IEEE802.11idraft3=IEEE802.1X/EAP＋WEP(選擇性項(xiàng)目)/TKIPWPA2=IEEE802.11i=IEEE802.1X/EAP＋WEP(選擇性項(xiàng)目)/TKIP/CCMP還有一種無(wú)線網(wǎng)絡(luò)加密的模式就是WPA-PSK(TKIP)+WPA2-PSK(AES)，這是是目前最強(qiáng)的無(wú)線加密模式，但由于這種加密模式的兼容性存在問(wèn)題，還沒(méi)有被很多用戶所使用。目前使用最廣泛是WPA-PSK(TKIP)和WPA2-PSK(AES)這兩種加密模式。11.4項(xiàng)目實(shí)施任務(wù):無(wú)線局域網(wǎng)安全配置1.任務(wù)目標(biāo)(1)熟悉無(wú)線路由器的安全設(shè)置方法，組建以無(wú)線路由器為中心的無(wú)線局域網(wǎng)。(2)熟悉以無(wú)線路由器為中心的無(wú)線網(wǎng)絡(luò)客戶端的安全設(shè)置方法。(3)了解無(wú)線加密標(biāo)準(zhǔn)。2.任務(wù)內(nèi)容(1)安全配置無(wú)線路由器。(2)安全配置PC1計(jì)算機(jī)的無(wú)線網(wǎng)絡(luò)。(3)安全配置PC2、PC3計(jì)算機(jī)的無(wú)線網(wǎng)絡(luò)。(4)連通性測(cè)試。3.完成任務(wù)所需的設(shè)備和軟件(1)裝有WindowsXP操作系統(tǒng)的PC機(jī)3臺(tái)。(2)無(wú)線網(wǎng)卡3塊(USB接口，TP-LINKTL-WN821N)。(3)無(wú)線路由器1臺(tái)(TP-LINKTL-WR841N)。(4)直通網(wǎng)線2根。4.任務(wù)實(shí)施步驟(1)配置無(wú)線路由器步驟1：把連接外網(wǎng)(如Internet)的直通網(wǎng)線接入無(wú)線路由器的WAN端口，把另一直通網(wǎng)線的一端接入無(wú)線路由器的LAN端口，另一端口接入PC1計(jì)算機(jī)的有線網(wǎng)卡端口，如圖11-12所示。步驟2：設(shè)置PC1計(jì)算機(jī)有線網(wǎng)卡的IP地址為192.168.1.10，子網(wǎng)掩碼為255.255.255.0，默認(rèn)網(wǎng)關(guān)為192.168.1.1。再在IE地址欄中輸入192.168.1.1，打開(kāi)無(wú)線路由器登錄界面，輸入用戶名為admin，密碼為admin，如圖11-13所示，單擊“確定”按鈕后進(jìn)入設(shè)置界面。步驟3：進(jìn)入設(shè)置界面以后，選擇左側(cè)向?qū)Р藛沃械摹熬W(wǎng)絡(luò)參數(shù)”→“LAN口設(shè)置”鏈接后，在右側(cè)窗格中可設(shè)置LAN口的IP地址，一般默認(rèn)為192.168.1.1，如圖11-14所示。步驟4：?jiǎn)螕糇髠?cè)向?qū)Р藛沃械摹熬W(wǎng)絡(luò)參數(shù)”→“WAN口設(shè)置”鏈接，在右側(cè)窗格中可設(shè)置WAN口的連接類型步驟5：設(shè)置“無(wú)線MAC地址過(guò)濾”步驟6：設(shè)置“DHCP服務(wù)”

步驟7：設(shè)置“無(wú)線參數(shù)”

步驟8：“無(wú)線安全設(shè)置”步驟9：“修改登錄口令”步驟10：查看“運(yùn)行狀態(tài)”步驟11：重新啟動(dòng)路由器(2)安全配置PC1計(jì)算機(jī)的無(wú)線網(wǎng)絡(luò)步驟1：在PC1計(jì)算機(jī)上安裝無(wú)線網(wǎng)卡和相應(yīng)的驅(qū)動(dòng)程序后，設(shè)置該無(wú)線網(wǎng)卡自動(dòng)獲得IP地址。如果無(wú)線路由器中關(guān)閉了DHCP服務(wù)，則需手動(dòng)設(shè)置無(wú)線網(wǎng)卡的IP地址。無(wú)線網(wǎng)卡安裝成功后，在桌面任務(wù)欄上會(huì)出現(xiàn)無(wú)線網(wǎng)絡(luò)連接圖標(biāo)。步驟2：?jiǎn)⒂谩癢irelessZeroConfiguration”服務(wù)步驟3：打開(kāi)“網(wǎng)絡(luò)連接”窗口

步驟4：右擊“無(wú)線網(wǎng)絡(luò)連接”圖標(biāo)，在彈出的快捷菜單中選擇“屬性”命令，打開(kāi)“無(wú)線網(wǎng)絡(luò)連接屬性”對(duì)話框。在“無(wú)線網(wǎng)絡(luò)配置”選項(xiàng)卡中，選中“用Windows配置我的無(wú)線網(wǎng)絡(luò)設(shè)置”復(fù)選框，如圖11-24所示。步驟5：?jiǎn)螕簟案呒?jí)”按鈕，打開(kāi)“高級(jí)”對(duì)話框，如圖11-25所示。選中“任何可用的網(wǎng)絡(luò)(首選訪問(wèn)點(diǎn))”單選按鈕，再單擊“關(guān)閉”按鈕，返回“無(wú)線網(wǎng)絡(luò)連接屬性”對(duì)話框。步驟6：?jiǎn)螕簟疤砑印卑粹o，在“關(guān)聯(lián)”選項(xiàng)卡中，設(shè)置網(wǎng)絡(luò)名(SSID)為tzkj，并選中“即使此網(wǎng)絡(luò)未廣播，也進(jìn)行連接”復(fù)選框，取消選中“自動(dòng)為我提供此密鑰”復(fù)選框，選擇網(wǎng)絡(luò)身份驗(yàn)證方式為WPA2-PSK，數(shù)據(jù)加密方式為AES，在“網(wǎng)絡(luò)密鑰”和“確認(rèn)網(wǎng)絡(luò)密鑰”文本框中輸入密鑰，如abcdefgh。步驟7：在“連接”選項(xiàng)卡中，選中“當(dāng)此網(wǎng)絡(luò)在區(qū)域內(nèi)時(shí)連接”復(fù)選框，如圖11-27所示，單擊“確定”按鈕，返回“無(wú)線網(wǎng)絡(luò)連接屬性”對(duì)話框。此時(shí)“首選網(wǎng)絡(luò)”列表框中出現(xiàn)了“tzkj(自動(dòng))”選項(xiàng)，如圖11-28所示。步驟8：?jiǎn)螕簟按_定”按鈕。等一會(huì)兒，桌面任務(wù)欄上的無(wú)線網(wǎng)絡(luò)連接圖標(biāo)由變?yōu)?，表示該?jì)算機(jī)已自動(dòng)接入無(wú)線網(wǎng)絡(luò)。(3)安全配置PC2、PC3計(jì)算機(jī)的無(wú)線網(wǎng)絡(luò)步驟1：在PC2計(jì)算機(jī)上，重復(fù)上述步驟1～步驟8，完成PC2計(jì)算機(jī)無(wú)線網(wǎng)絡(luò)的設(shè)置。步驟2：在PC3計(jì)算機(jī)上，重復(fù)上述步驟1～步驟