無(wú)線(xiàn)網(wǎng)絡(luò )的組建的誤區及安全性分析

標簽：非法AP 無(wú)線(xiàn)網(wǎng)絡(luò )

無(wú)線(xiàn)網(wǎng)絡(luò )誤區

誤區一 信號越強越好

首先我們還是先來(lái)了解一下無(wú)線(xiàn)產(chǎn)品的幾個(gè)硬件指標：發(fā)射功率、接受靈敏度及天線(xiàn)增益。目前無(wú)線(xiàn)網(wǎng)絡(luò )的主要略勢是在信號覆蓋范圍及傳輸速率上，通常增強信號的方法就是提高發(fā)射功率及加強天線(xiàn)增益。

發(fā)射功率：無(wú)線(xiàn)設備采用發(fā)射功率來(lái)衡量發(fā)射信號性能高低，發(fā)射功率越大，無(wú)線(xiàn)產(chǎn)品之間傳輸的距離也就越遠，覆蓋范圍就越廣，穿透能力就越強。發(fā)射功率的度量單位為dbm。這個(gè)和我們生活中好使用的燈泡的道理大致是一樣的，瓦數越大，燈泡越亮，照射的范圍則更廣。

增益：增益是指天線(xiàn)加強信號的發(fā)射和接受的能力，增益越大，信號發(fā)射的能力越強，靈敏度越高。增益的度量單位為dbi，天線(xiàn)的尺寸大小、內部的材料對天線(xiàn)增益有著(zhù)很大的關(guān)系。

為什么說(shuō)信號越強越好是個(gè)誤區呢?原因在于因為信號過(guò)強，所以它的范圍也就越大，則可控區域反而減小，對用戶(hù)的安全性反而降低。如：某個(gè)單位的死角，辦公區域的使用面積在300平米以上，用戶(hù)雖然可以接收到信號，但是他的安全性并不是最好的。

誤區二 標準越高越好

在無(wú)線(xiàn)產(chǎn)品中基于802.11n草案標準的產(chǎn)品是目前技術(shù)最先進(jìn)，信號覆蓋較遠的產(chǎn)品。正是因為這樣很多企業(yè)在采購設備的時(shí)候往往過(guò)于追求硬件指標而，而忽視產(chǎn)品的易用性及價(jià)格。根據目前部分在市場(chǎng)中銷(xiāo)售的11n產(chǎn)品售價(jià)來(lái)看，大部分路由器產(chǎn)品的價(jià)格在1700-1900元之間，而基于11n的無(wú)線(xiàn)網(wǎng)卡也是在800-900元之間，售價(jià)都不菲。這樣的價(jià)格是一個(gè)怎樣的概念呢?

目前市場(chǎng)中銷(xiāo)售的基于802.11g的無(wú)線(xiàn)路由器的價(jià)格在200左右，11g的無(wú)線(xiàn)網(wǎng)卡在150元左右，比較起來(lái)11n產(chǎn)品是11g產(chǎn)品售價(jià)的7-8倍。雖然11N產(chǎn)品的技術(shù)領(lǐng)先，但因為價(jià)格及技術(shù)不成熟等因素我們并不推薦中小型企業(yè)使用，相比較11g的產(chǎn)品更適合中小型企業(yè)使用。

組建無(wú)線(xiàn)網(wǎng)絡(luò )的安全性

未經(jīng)授權訪(fǎng)問(wèn)的用戶(hù)

我們知道無(wú)線(xiàn)信號都是在空氣中傳播的，只要是在信號覆蓋范圍內，一些非法用戶(hù)就可以無(wú)需任何物理連接就可以獲取無(wú)線(xiàn)網(wǎng)絡(luò )的數據，因此，必須從多方面防止非法終端接入以及數據的泄漏問(wèn)題。

解決辦法是使用身份驗證來(lái)防止未經(jīng)授權用戶(hù)的訪(fǎng)問(wèn)，換句話(huà)說(shuō)就是使用各種加密手段來(lái)防止非法用戶(hù)入侵。綁定MAC地址是我們最常見(jiàn)最簡(jiǎn)單的方法，每塊無(wú)線(xiàn)網(wǎng)卡都擁有唯一的一個(gè)MAC地址，通過(guò)AP設置與網(wǎng)卡MAC地址的綁定來(lái)實(shí)現加密，但這種安全方式也就適用于對信息要求不高的家庭用戶(hù)，對于企業(yè)用戶(hù)，我們建議使用WEP和WPA兩種常見(jiàn)到的加密方式。

非法AP的接入訪(fǎng)問(wèn)

除了未經(jīng)授權訪(fǎng)問(wèn)的用戶(hù)會(huì )對無(wú)線(xiàn)局域網(wǎng)絡(luò )的安全性造成威脅之外，非法AP的接入訪(fǎng)問(wèn)同樣會(huì )對整個(gè)網(wǎng)絡(luò )造成威脅。在無(wú)線(xiàn)AP接入有線(xiàn)集線(xiàn)器時(shí)，會(huì )遇到非法AP的攻擊，非法安裝的AP會(huì )危害無(wú)線(xiàn)網(wǎng)絡(luò )的寶貴資源。

解決方法可以利用對AP的合法性驗證以及定期的站點(diǎn)審查來(lái)防止，在此驗證過(guò)程中不但AP需要確認無(wú)線(xiàn)用戶(hù)的合法性，無(wú)線(xiàn)終端設備也必須驗證AP是否為虛假的訪(fǎng)問(wèn)點(diǎn)，然后才能進(jìn)行通信。

病毒及黑客的攻擊

除以上兩點(diǎn)之外，病毒及黑客的攻擊也是會(huì )對無(wú)線(xiàn)局域網(wǎng)絡(luò )構成威脅，很多網(wǎng)絡(luò )都有一套經(jīng)過(guò)精心設置的安全設備作為網(wǎng)絡(luò )的外殼，以防止非法攻擊，但是在外殼保護的網(wǎng)絡(luò )內部確是非常的脆弱容易受到攻擊的。黑客可以通過(guò)簡(jiǎn)單配置就可快速地接入網(wǎng)絡(luò )主干，使網(wǎng)絡(luò )暴露在攻擊者面前，因此必須加強防范措施。即使有一定邊界安全設備的網(wǎng)絡(luò )，同樣也會(huì )使網(wǎng)絡(luò )暴露出來(lái)從而遭到攻擊。

常見(jiàn)的解決方法是加裝防火墻、將客戶(hù)端安裝升級和殺毒軟件等，另外還要將公司的無(wú)線(xiàn)網(wǎng)絡(luò )與核心網(wǎng)絡(luò )隔離。

服務(wù)和性能的限制

我們知道目前無(wú)線(xiàn)局域網(wǎng)的傳輸帶寬是有限的，與有線(xiàn)網(wǎng)絡(luò )相比還遠遠不夠，在實(shí)際使用過(guò)程中由于物理層的開(kāi)銷(xiāo)，實(shí)際吞吐量也僅為標準的一半，并且實(shí)際吞吐量是被所有用戶(hù)所共享的。假如黑客從以太網(wǎng)發(fā)送大量ping，AP的帶寬會(huì )大量飽和，如果發(fā)送廣播流量，多個(gè)AP就同時(shí)會(huì )被阻塞，攻擊者可以在同無(wú)線(xiàn)網(wǎng)絡(luò )相同的無(wú)線(xiàn)信道內發(fā)送信號，這樣被攻擊的網(wǎng)絡(luò )就會(huì )通過(guò)CSMA/CA機制進(jìn)行自動(dòng)適應，同樣影響無(wú)線(xiàn)網(wǎng)絡(luò )的傳輸。

另外，傳輸較大的數據文件或者復雜的client/server系統都會(huì )產(chǎn)生很大的網(wǎng)絡(luò )流量。面對這種問(wèn)題解決方法是，經(jīng)常進(jìn)行網(wǎng)絡(luò )監測如果AP的質(zhì)量和信號狀況不穩定時(shí)，建議用測試儀等設備檢測，這樣可以有效識別網(wǎng)絡(luò )速率、幀的類(lèi)型，幫助進(jìn)行故障定位。

無(wú)線(xiàn)網(wǎng)絡(luò )的確方便了我們的生活，但是與此同時(shí)你是否考慮到了他的另一面呢?誤區是存在的，安全問(wèn)題也是存在的，所以請讀者更多的關(guān)注自己所處的無(wú)線(xiàn)網(wǎng)絡(luò )環(huán)境。