第6課1-WLAN安全介紹

WLAN安全介紹學(xué)完本課程后，您將能夠:理解WLAN安全規(guī)劃的重要性列舉常見的WLAN安全威脅理解WIDS/WIPS的技術(shù)原理列舉常用的加密認證技術(shù)闡述用戶安全接入技術(shù)WLAN安全概述WIDS/WIPS系統(tǒng)原理WLAN用戶接入安全CAPWAP加密及用戶授權(quán)管理WLAN概述WLAN，全稱是WirelessLocalAreaNetwork，即無線局域網(wǎng)，和傳統(tǒng)的有線接入方式相比無線局域網(wǎng)讓網(wǎng)絡(luò)使用更自由：無線局域網(wǎng)徹底擺脫了線纜和端口位置的束縛，用戶不在為四處尋找有線端口和網(wǎng)線而苦惱，接入網(wǎng)絡(luò)如喝咖啡般輕松和愜意。無線局域網(wǎng)具有便于攜帶，易于移動的優(yōu)點，無論是在辦公大樓、機場候機大廳、酒店，用戶都可以隨時隨地自由接入網(wǎng)絡(luò)辦公、娛樂。為何要保護WLAN網(wǎng)絡(luò)防止信息被竊取通過軟件偵聽無線信息通信內(nèi)容反向解密防止未經(jīng)授權(quán)的訪問非法用戶接入越權(quán)訪問資源提供穩(wěn)定高效的無線接入非法AP等信息干擾導(dǎo)致信號不穩(wěn)定拒絕服務(wù)攻擊導(dǎo)致WLAN不可用WLAN安全危害安全威脅DOS拒絕服務(wù)攻擊數(shù)據(jù)易被竊取地址欺騙攻擊安全協(xié)議WEP脆弱Rogue設(shè)備入侵WLAN安全概述WIDS/WIPS系統(tǒng)原理WLAN用戶接入安全CAPWAP加密及用戶授權(quán)管理WLAN安全邊界防御安全無線干擾檢測系統(tǒng)WIDS（WirelessIntrusionDetectionSystem）無線干擾防御系統(tǒng)WIPS（WirelessIntrusionPreventionSystem）用戶接入安全鏈路認證用戶接入認證數(shù)據(jù)加密業(yè)務(wù)安全WLAN邊界安全威脅WLAN網(wǎng)絡(luò)很容易受到各種網(wǎng)絡(luò)威脅的影響，如中間人攻擊、Ad-hoc網(wǎng)絡(luò)、拒絕服務(wù)型攻擊等。非法設(shè)備和非法攻擊對于企業(yè)網(wǎng)絡(luò)安全是一個很嚴重的威脅。泛洪攻擊暴力PSK密碼破解WeakIV攻擊ACSpoof攻擊非法設(shè)備非法攻擊非法攻擊ServerWIDS&WIPS功能概述WIDS(WirelessIntrusionDetectionSystem)無線入侵檢測系統(tǒng)，依照一定的安全策略，對網(wǎng)絡(luò)、系統(tǒng)的運行狀況進行監(jiān)視，分析用戶的活動，判斷入侵事件的類型，檢測非法的網(wǎng)絡(luò)。WIPS(WirelessIntrusionPreventionSystem)無線入侵防預(yù)系統(tǒng)，通過對無線網(wǎng)絡(luò)的實時監(jiān)測，對于檢測到的入侵事情，攻擊行為進行主動防御和預(yù)警。AP工作模式AP的工作模式可以分為兩種：正常模式、監(jiān)測模式。正常模式未開啟空口掃描功能，用于傳輸普通的WLAN業(yè)務(wù)數(shù)據(jù)。開啟空口掃描功能，不僅傳輸普通的WLAN業(yè)務(wù)數(shù)據(jù)，還具備了監(jiān)控功能，可能會對傳輸普通的WLAN業(yè)務(wù)數(shù)據(jù)造成一定的影響。監(jiān)測模式僅能實現(xiàn)監(jiān)測功能，不能傳輸WLAN用戶的數(shù)據(jù)。非法設(shè)備判斷流程AP上報周邊設(shè)備信息提取設(shè)備類型AP/無線網(wǎng)橋STAAd-hoc本AC接入AP？白名單中AP？本AC接入STA？對端是非法AP？非法AP/無線網(wǎng)橋非法STA非法Ad-hoc否否否是Rogue設(shè)備監(jiān)測識別AP工作在監(jiān)測模式時進行信道掃描，偵聽周邊無線設(shè)備發(fā)送的所有802.11幀，根據(jù)802.11MAC幀類型識別出周邊的無線設(shè)備類型，根據(jù)非法AP&客戶端檢測流程識別出Rogue設(shè)備。主要監(jiān)測設(shè)備：RogueAPRogueClientAdhoc終端無線網(wǎng)橋ACMonitorAPRogueAPRogue終端Ad-hoc無線網(wǎng)橋Rogue設(shè)備防范反制WIPS功能支持對RogueAP、RogueClient、Adhoc設(shè)備進行反制。CAPWAPACMonitorAPRogueAPRogue終端Ad-hocNormalAP解除關(guān)聯(lián)幀解除關(guān)聯(lián)幀WIDS/WIPS支持的其它功能WIDS泛洪攻擊檢測WIDSSpoof攻擊檢測WIDSWeakIV檢測防暴力破解PSKAP認證技術(shù)AC支持對AP進行認證MAC認證（默認認證方式）SN認證不認證免認證白名單功能AP白名單WDSMESH白名單WLAN安全概述WIDS/WIPS系統(tǒng)原理WLAN用戶接入安全CAPWAP加密及用戶授權(quán)管理用戶接入安全WLAN網(wǎng)絡(luò)安全包括兩個方面：用戶身份驗證—防止未授權(quán)訪問網(wǎng)絡(luò)資源。數(shù)據(jù)加密—以保護數(shù)據(jù)完整性和數(shù)據(jù)傳輸私密性。華為AC支持四種安全策略WEP—支持開放認證、sharekey認證；WEP加密WPA—支持PSK認證、EAP認證；TKIP、CCMP加密WPA2—支持PSK認證、EAP認證；TKIP、CCMP加密WAPI—支持PSK認證、基于證書的認證、橢圓曲線密碼加密其它WLAN安全保護方式WLAN支持其它的安全保護技術(shù)可以和接入安全配合使用STA黑白名單用戶隔離MAC認證WEBPortal認證防欺騙技術(shù)如DHCP

snooping、DAI、IPSGSTA黑白名單判斷STA接入控制模式開始允許用戶上線拒絕用戶上線白名單列表是否為空報文源MAC地址是否在白名單列表報文源MAC地址是否在黑名單列表黑白名單可以過濾無線客戶端，起到接入控制的作用；支持基于AP部署STA黑白名單；支持基于服務(wù)集部署STA黑白名單；一個AP或服務(wù)集上只能部署一個黑名單或一個白名單，不可同時部署。使能白名單功能未使能黑白名單功能使能黑名單功能是否否是否是MAC認證使用終端的MAC地址進行認證?？蛻舳藷o需安裝任何軟件。支持GuestVLAN和用戶組授權(quán)功能。支持和其它認證方式（如WPA-PSK等）配合使用。STAAPSwitchACRadiusServer創(chuàng)建MAC賬號配置MAC認證進行MAC認證WEBPortal認證支持內(nèi)置portal認證及外置portal認證：內(nèi)置portal華為AC及華為交換機均支持；外置portal服務(wù)器可以使用TSM或eSight。支持二層認證或二層認證。支持逃生功能及用戶授權(quán)管理。支持訪客自主注冊功能及訪客管理。防欺騙技術(shù)DHCP

Snooping防止DHCP服務(wù)器仿冒攻擊、DOS攻擊防止DHCP報文泛洪攻擊、仿冒攻擊防止非DHCP用戶攻擊DAI（動態(tài)ARP檢測）防止ARP欺騙攻擊、泛紅攻擊要結(jié)合DHCP

Snooping使用IPSG（IP源保護）防止IP地址欺騙攻擊APSwitchRouterACDHCPSnooping、DAI、IPSG部署在無線服務(wù)集上DHCPSnooping、DAI、IPSG部署在有線網(wǎng)絡(luò)里WLAN安全概述WIDS/WIPS系統(tǒng)原理WLAN用戶接入安全CAPWAP加密及用戶授權(quán)管理CAPWAP加密CAPWAP的控制隧道可以使用DTLS進行加密DTLS加密可以保證AC下發(fā)的控制消息不被竊聽DTLS支持兩種認證方式證書的認證方式（出廠AC、AP已帶）PSK密碼的認證方式（默認是huawei_seccwp可改）基于VAP的用戶隔離開啟基于VAP的用戶隔離后，在同一個VAP內(nèi)，連接到此無線服務(wù)的所有無線用戶之間的二層報文（單播/廣播）將相互不能轉(zhuǎn)發(fā)。這樣就保證了用戶業(yè)務(wù)的安全性和計費的準確性。APSwitchRouterAC基于用戶組的用戶隔離組間用戶隔離組內(nèi)用戶隔離組間隔離+組內(nèi)隔離APSwitchRouterACUsergroup2Usergroup1IntragroupUserIsolationRadiusserverIntergroupUserIsolationRouge設(shè)備監(jiān)測和識別支持的設(shè)備有（

）？A.RogueAP B.RogueClientC.Adhoc終端 D.無線