有線網(wǎng)絡(luò)一直以來都是家庭、企業(yè)用戶經(jīng)常使用的網(wǎng)絡(luò)方式，但是隨著無線網(wǎng)絡(luò)的普及，有線網(wǎng)絡(luò)也漸漸的暴露出其不可避免的弊端：布線、改線工程量大;線路容易損壞;網(wǎng)中的各節(jié)點不可移動。特別是當(dāng)要把相離較遠(yuǎn)的節(jié)點聯(lián)接起來時，架設(shè)專用局域網(wǎng)管理軟件通信線路的布線施工難度大、費用高、耗時長,對正在迅速擴大的連網(wǎng)需求形成了嚴(yán)重的瓶頸阻塞。這時無線網(wǎng)絡(luò)就顯示其優(yōu)越性：可移動性、安裝簡單、高靈活性和擴展能力，作為對傳統(tǒng)有線網(wǎng)絡(luò)的延伸，在許多特殊環(huán)境中得到了廣泛的應(yīng)用。以前電影中經(jīng)常出現(xiàn)的在智能大廈里任意地方移動辦公，隨時隨地下載資料、打印文件的片斷，都出現(xiàn)在我們的現(xiàn)實生活當(dāng)中。

　　但是在無線局域網(wǎng)的安全性更值得我們?nèi)プ⒁狻Ｓ捎趥魉偷臄?shù)據(jù)是利用無線電波在空中輻射傳播，無線電波可以穿透天花板、地板和墻壁，發(fā)射的數(shù)據(jù)可能到達(dá)預(yù)期之外的、安裝在不同樓層、甚至是發(fā)射機所在的大樓之外的接收設(shè)備，任何人都有條件竊聽或干擾信息，數(shù)據(jù)安全也就成為最重要的問題。

　　因此，我們在一開始應(yīng)用無線網(wǎng)絡(luò)時，就應(yīng)該充分考慮其安全性，了解足夠多的防范措施，保護好我們自己的網(wǎng)絡(luò)。下面，我們就向大家介紹一些無線局域網(wǎng)所面臨的危險，知道了解危險如何存在，那么我們再去解決也就相對容易一些：

　　無線局域網(wǎng)設(shè)置安全：容易侵入

　　無線局域網(wǎng)非常容易被發(fā)現(xiàn)，為了能夠使用戶發(fā)現(xiàn)無線網(wǎng)絡(luò)的存在，網(wǎng)絡(luò)必須發(fā)送有特定參數(shù)的信標(biāo)幀，這樣就給攻擊者提供了必要的網(wǎng)絡(luò)信息。入侵者可以通過高靈敏度天線從公路邊、樓宇中以及其他任何地方對網(wǎng)絡(luò)發(fā)起攻擊而不需要任何物理方式的侵入。

　　無線局域網(wǎng)設(shè)置安全：非法的AP

　　無線局域網(wǎng)易于訪問和配置簡單的特性，使網(wǎng)絡(luò)管理員和安全官員非常頭痛。因為任何人的計算機都可以通過自己購買的AP，不經(jīng)過授權(quán)而連入網(wǎng)絡(luò)。很多部門未通過公司IT中心授權(quán)就自建無線局域網(wǎng)，用戶通過非法AP接入給網(wǎng)絡(luò)帶來很大安全隱患。

　　無線局域網(wǎng)設(shè)置安全：經(jīng)授權(quán)使用服務(wù)

　　一半以上的用戶在使用AP時只是在其默認(rèn)的配置基礎(chǔ)上進行很少的修改。幾乎所有的AP都按照默認(rèn)配置來開啟WEP進行加密或者使用原廠提供的默認(rèn)密鑰。由于無線局域網(wǎng)的開放式訪問方式，未經(jīng)授權(quán)擅自使用網(wǎng)絡(luò)資源不僅會增加帶寬費用，更可能會導(dǎo)致法律糾紛。而且未經(jīng)授權(quán)的用戶沒有遵守服務(wù)提供商提出的服務(wù)條款，可能會導(dǎo)致ISP中斷服務(wù)。

　　無線局域網(wǎng)設(shè)置安全：服務(wù)和性能的限制

　　無線局域網(wǎng)的傳輸帶寬是有限的，由于物理層的開銷，使無線局域網(wǎng)的實際最高有效吞吐量僅為標(biāo)準(zhǔn)的一半，并且該帶寬是被AP所有用戶共享的。無線帶寬可以被幾種方式吞噬：來自有線網(wǎng)絡(luò)遠(yuǎn)遠(yuǎn)超過無線網(wǎng)絡(luò)帶寬的網(wǎng)絡(luò)流量，如果攻擊者從快速以太網(wǎng)發(fā)送大量的Ping流量，就會輕易地吞噬AP有限的帶寬;

　　如果發(fā)送廣播流量，就會同時阻塞多個AP;攻擊者可以在同無線網(wǎng)絡(luò)相同的無線信道內(nèi)發(fā)送信號，這樣被攻擊的網(wǎng)絡(luò)就會通過CSMA/CA機制進行自動適應(yīng)，同樣影響無線網(wǎng)絡(luò)的傳輸;另外，傳輸較大的數(shù)據(jù)文件或者復(fù)雜的client/server系統(tǒng)都會產(chǎn)生很大的網(wǎng)絡(luò)流量。

　　無線局域網(wǎng)設(shè)置安全：地址欺騙和會話攔截

　　由于802.11無線局域網(wǎng)對數(shù)據(jù)幀不進行認(rèn)證操作，攻擊者可以通過欺騙幀去重定向數(shù)據(jù)流和使ARP表變得混亂，通過非常簡單的方法，攻擊者可以輕易獲得網(wǎng)絡(luò)中站點的MAC地址，這些地址可以被用來惡意攻擊時使用。

　　除攻擊者通過欺騙幀進行攻擊外，攻擊者還可以通過截獲會話幀發(fā)現(xiàn)AP中存在的認(rèn)證缺陷，通過監(jiān)測AP發(fā)出的廣播幀發(fā)現(xiàn)AP的存在。然而，由于802.11沒有要求AP必須證明自己真是一個AP，攻擊者很容易裝扮成AP進入網(wǎng)絡(luò)，通過這樣的AP，攻擊者可以進一步獲取認(rèn)證身份信息從而進入網(wǎng)絡(luò)。在沒有采用802.11i對每一個802.11 MAC幀進行認(rèn)證的技術(shù)前，通過會話攔截實現(xiàn)的網(wǎng)絡(luò)入侵是無法避免的。

　　無線局域網(wǎng)設(shè)置安全：流量分析與流量偵聽

　　802.11無法防止攻擊者采用被動方式監(jiān)聽網(wǎng)絡(luò)流量，而任何無線網(wǎng)絡(luò)分析儀都可以不受任何阻礙地截獲未進行加密的網(wǎng)絡(luò)流量。目前，WEP有漏洞可以被攻擊者利用，它僅能保護用戶和網(wǎng)絡(luò)通信的初始數(shù)據(jù)，并且管理和控制幀是不能被WEP加密和認(rèn)證的，這樣就給攻擊者以欺騙幀中止網(wǎng)絡(luò)通信提供了機會。

　　早期，WEP非常容易被Airsnort、WEPcrack一類的工具解密，但后來很多廠商發(fā)布的固件可以避免這些已知的攻擊。作為防護功能的擴展，最新的無線局域網(wǎng)產(chǎn)品的防護功能更進了一步，利用密鑰管理協(xié)議實現(xiàn)每15分鐘更換一次WEP密鑰。即使最繁忙的網(wǎng)絡(luò)也不會在這么短的時間內(nèi)產(chǎn)生足夠的數(shù)據(jù)證實攻擊者破獲密鑰。

　　無線局域網(wǎng)設(shè)置安全：高級入侵

　　一旦攻擊者進入無線網(wǎng)絡(luò)，它將成為進一步入侵其他系統(tǒng)的起點。很多網(wǎng)絡(luò)都有一套經(jīng)過精心設(shè)置的安全設(shè)備作為網(wǎng)絡(luò)的外殼，以防止非法攻擊，但是在外殼保護的網(wǎng)絡(luò)內(nèi)部確是非常的脆弱容易受到攻擊的。無線網(wǎng)絡(luò)可以通過簡單配置就可快速地接入網(wǎng)絡(luò)主干，但這樣會使網(wǎng)絡(luò)暴露在攻擊者面前。即使有一定邊界安全設(shè)備的網(wǎng)絡(luò)，同樣也會使網(wǎng)絡(luò)暴露出來從而遭到攻擊。

　　看到這些危險的信號，你是不是在擔(dān)心無線局域網(wǎng)還能否使用呢?其實，你不用太擔(dān)心，一切問題皆有解決的辦法。只要我們按照正確的方法，進行正確的配置，我們的網(wǎng)絡(luò)還是很安全的。

　　無線局域網(wǎng)設(shè)置安全：服務(wù)集標(biāo)識符

　　(SSID)通過對多個無線接入點AP(www.gspvenus.com)設(shè)置不同的SSID，并要求無線工作站出示正確的SSID才能訪問AP，這樣就可以允許不同群組的用戶接入，并對資源訪問的權(quán)限進行區(qū)別限制。因此可以認(rèn)為SSID是一個簡單的口令，從而提供一定的安全，但如果配置AP向外廣播其SSID，那么安全程度還將下降。

　　由于一般情況下，用戶自己配置客戶端系統(tǒng)，所以很多人都知道該SSID，很容易共享給非法用戶。目前有的廠家支持"任何(ANY)"SSID方式，只要無線工作站在任何AP范圍內(nèi)，客戶端都會自動連接到AP，這將跳過SSID安全功能。

　　無線局域網(wǎng)設(shè)置安全：物理地址過濾(MAC)

　　由于每個無線工作站的網(wǎng)卡都有唯一的物理地址，因此可以在AP中手工維護一組允許訪問的MAC地址列表，實現(xiàn)物理地址過濾。這個方案要求AP中的MAC地址列表必需隨時更新，可擴展性差;而且MAC地址在理論上可以偽造，因此這也是較低級別的授權(quán)認(rèn)證。

　　物理地址過濾屬于硬件認(rèn)證，而不是用戶認(rèn)證。這種方式要求AP中的MAC地址列表必需隨時更新，目前都是手工操作;如果用戶增加，則擴展能力很差，因此只適合于小型網(wǎng)絡(luò)規(guī)模。

　　無線局域網(wǎng)設(shè)置安全：連線對等保密(WEP)

　　在鏈路層采用RC4對稱加密技術(shù)，用戶的加密密鑰必須與AP的密鑰相同時才能獲準(zhǔn)存取網(wǎng)絡(luò)的資源，從而防止非授權(quán)用戶的監(jiān)聽以及非法用戶的訪問。WEP提供了40位(有時也稱為64位)和128位長度的密鑰機制，但是它仍然存在許多缺陷。

　　例如一個服務(wù)區(qū)內(nèi)的所有用戶都共享同一個密鑰，一個用戶丟失鑰匙將使整個網(wǎng)絡(luò)不安全。而且40位的鑰匙在今天很容易被破解;鑰匙是靜態(tài)的，要手工維護，擴展能力差。目前為了提高安全性，建議采用128位加密鑰匙。

　　無線局域網(wǎng)設(shè)置安全：Wi-Fi保護接入(WPA)

　　WPA(Wi-FiProtectedAccess)是繼承了WEP基本原理而又解決了WEP缺點的一種新技術(shù)。由于加強了生成加密密鑰的算法，因此即便收集到分組信息并對其進行解析，也幾乎無法計算出通用密鑰。其原理為根據(jù)通用密鑰，配合表示電腦MAC地址和分組信息順序號的編號，分別為每個分組信息生成不同的密鑰。

　　然后與WEP一樣將此密鑰用于RC4加密處理。通過這種處理，所有客戶端的所有分組信息所交換的數(shù)據(jù)將由各不相同的密鑰加密而成。無論收集到多少這樣的數(shù)據(jù)，要想破解出原始的通用密鑰幾乎是不可能的。WPA還追加了防止數(shù)據(jù)中途被篡改的功能和認(rèn)證功能。

　　由于具備這些功能，WEP中此前倍受指責(zé)的缺點得以全部解決。WPA不僅是一種比WEP更為強大的加密方法，而且有更為豐富的內(nèi)涵。作為802.11i標(biāo)準(zhǔn)的子集，WPA包含了認(rèn)證、加密和數(shù)據(jù)完整性校驗三個組成部分，是一個完整的安全性方案。

　　無線局域網(wǎng)設(shè)置安全：國家標(biāo)準(zhǔn)(WAPI)

　　WAPI(WLANAuthenticationandPrivacyInfrastructure)，即無線局域網(wǎng)鑒別與保密基礎(chǔ)結(jié)構(gòu)，它是針對IEEE802.11中WEP協(xié)議安全問題，在中國無線局域網(wǎng)國家標(biāo)準(zhǔn)GB15629.11中提出的WLAN安全解決方案。同時本方案已由ISO/IEC授權(quán)的機構(gòu)IEEE Registration Authority審查并獲得認(rèn)可。

　　它的主要特點是采用基于公鑰密碼體系的證書機制，真正實現(xiàn)了移動終端(MT)與無線接入點(AP)間雙向鑒別。用戶只要安裝一張證書就可在覆蓋WLAN的不同地區(qū)漫游，方便用戶使用。

　　與現(xiàn)有計費技術(shù)兼容的服務(wù)，可實現(xiàn)按時計費、按流量計費、包月等多種計費方式。AP設(shè)置好證書后，無須再對后臺的AAA服務(wù)器進行設(shè)置，安裝、組網(wǎng)便捷，易于擴展，可滿足家庭、企業(yè)、運營商等多種應(yīng)用模式。

　　無線局域網(wǎng)設(shè)置安全：端口訪問控制技術(shù)(802.1x)

　　無線局域網(wǎng)設(shè)置安全：該技術(shù)也是用于無線局域網(wǎng)的一種增強性網(wǎng)絡(luò)安全解決方案。當(dāng)無線工作站STA與無線訪問點AP關(guān)聯(lián)后，是否可以使用AP的服務(wù)要取決于802.1x的認(rèn)證結(jié)果。如果認(rèn)證通過，則AP為STA打開這個邏輯端口，否則不允許用戶上網(wǎng)。

　　802.1x要求無線工作站安裝802.1x客戶端軟件，無線訪問點要內(nèi)嵌802.1x認(rèn)證代理，同時它還作為Radius客戶端，將用戶的認(rèn)證信息轉(zhuǎn)發(fā)給Radius服務(wù)器。802.1x除提供端口訪問控制能力之外，還提供基于用戶的認(rèn)證系統(tǒng)及計費，特別適合于公共無線接入解決方案。

　　總結(jié)：以上只是我們針對無線局域網(wǎng)潛在危險給出的一些應(yīng)對方法，并不能代表全部，就是給大家一個參考借鑒的作用，要是有不完整的地方，還希望廣大讀者能給予補充。網(wǎng)絡(luò)的安全穩(wěn)定，不能僅僅依靠設(shè)備的性能和個人技術(shù)，一些細(xì)節(jié)性的地方更值得大家去注意。我們經(jīng)常說“細(xì)節(jié)決定成敗”，那么只有在細(xì)節(jié)方面做的足夠好，我們的網(wǎng)絡(luò)就將大幅度提高可持續(xù)性，才會更安全