无线网网络安全管理要求

㈠ 无线网络安全

给你找了个 自己抄吧

论文

无线局域网的安全防护

学 科、专业 计算机技术及应用
学 生 姓 名 雷磊
学 号 200512118
指导教师姓名 史虹湘

2008年10月30日

无线局域网的安全防护
摘要：
在网络应用日益普及的今天，局域网作为一种通用的联网手段，得到了极为广泛的应用，其传输速率、网络性能不断提高。不过，它基本采用的是有线传输媒介，在许多不适宜布线的场合，受到很大程度的限制。另一方面，无线数据传输技术近年来不断获得突破，标准化进展也极为迅速，这使得局域网环境下的数据传输完全可以摆脱线缆的束缚。在此基础上，无线局域网开始崛起，越来越受到人们的重视。但是，无线局域网给我们带来方便的同时，它的安全性更值得我们关注，本篇论文通过了解无线局域网的组成，它的工作原理，以及无线局域网的优、缺点，找出影响安全的因素，通过加密、认证等手段并且应用完整的安全解决方案，从而更好的做到无线局域网的安全防护。
关键词：无线局域网；安全性；WPAN

目录
第一章 引言 3
1.1无线局域网的形成 3
1.2无线局域网的常用设备 3
第二章、无线局域网的概况及特点 4
2.1无线局域网（WLAN）方案 4
2.2无线局域网的常见拓扑形式 6
2.3 无线局域网的优势 6
2.4无线局域网的缺点 7
第三章、无线局域网的安全性及其解决方案 7
3.1无线局域网的安全性 7
3.2完整的安全解决方案 11
第四章、结束语 13

第一章 引言
1.1无线局域网的形成
随着计算机技术和网络技术的蓬勃发展，网络在各行各业中的应用越来越广。然而，随着移动计算技术的日益普及和工业标准逐步为市场所采纳和接受，无线网络的应用领域正在不断地扩大。无线局域网的出现使人们不必再围着机器转，它采用以太网的帧格式，使用简单。无线局域网方便了用户访问网络数据，高吞吐量无线局域网可以实现11Mb/s的数据传输速率。
从网络角度来看，它涉及互联网和城域网（Metropolitan Area Network-MAN）、局域网（Local Area Network-LAN）及最近提出的“无线个域网” (Wireless Personal Area Network - WPAN)。在广域网(Wide Area Network-WAN)、城域网和局域网的层次结构中，WPAN的范围是最小的。
1.2无线局域网的常用设备
WPAN将取代线缆成为连接包括移动电话、笔记本个人电脑和掌上设备在内的各类用户个人设备的工具。WPAN可以随时随地地为用户实现设备间的无缝通讯，并使用户能够通过蜂窝电话、局域网或广域网的接入点联入网络。
1.2.1Bluetooth应用
通过Bluetooth(蓝牙）技术，它使人们周围的电子设备通过无线的网络连接在一起。这些设备包括：桌上型电脑、笔记本电脑、打印机、手持设备、移动电话、传呼机和可携带的音乐设备等。
蓝牙技术是由爱立信、IBM、英特尔、诺基亚和东芝这五大公司于1998年5月联合推出的一项旨在实现网络中各类数据及语音设备（如PC、拨号网络、笔记本电脑、打印机、传真机、数码相机、移动电话、高品质耳机等）互连的计划，并为纪念第一个统一北欧语言的人Norse国王而命名为蓝牙。
蓝牙收发信机采用跳频扩谱技术，在2.45 GHz ISM频带上以1600跳／s的速率进行跳频。依据各国的具体情况，以2.45 GHz为中心频率，最多可以得到79个1MHz带宽的信道。除采用跳频扩谱的低功率传输外，蓝牙还采用鉴权和加密等措施来提高通信的安全性。
1.2.2HomeRF应用
无线局域网技术HomeRF，是专门为家庭用户设计的短距离无线联网方案。
它基于共享无线访问协议（shared Wireless Access Protocol，SWAP），可应用于家庭中的移动数据和语音设备与主机之间的通信。
符合SWAP规范的产品工作在2.4GHz频段，使用每秒50跳的跳频扩展频谱技术，通过家庭中的一台主机在移动数据和语音设备之间实现通信，既可以通过时分复用支持语音通信，又能通过载波监听多重访问/冲突避免协议提供数据通信服务。同时，HomeRF提供了与TCP/IP良好的集成，支持广播和48位IP地址。
按照SWAP规范，用户可以建立无线家庭网络，用户可在PC、PC增强无绳电话、手持式远程显示器等设备之间共享话音、数据和Internet连接；用手持显示装置在房间内和房间周围的任何地方访问Internet；在多台PC间共享文件、调制解调器、打印机等；向多个无绳手机、传真机和话音邮箱转发电话；使用小型PC增强无绳电话手机重复收听话音、传真和电子邮件；简单地使用PC增强无绳电话手机发出话音命令，来激活其他家用电子系统；可以玩PC或Internet上的多人游戏。
第二章、无线局域网的概况及特点
2.1无线局域网（WLAN）方案
在网络应用日益普及的今天，局域网作为一种通用的联网手段，得到了极为广泛的应用，其传输速率、网络性能不断提高。不过，它基本采用的是有线传输媒介，在许多不适宜布线的场合，受到很大程度的限制。另一方面，无线数据传输技术近年来不断获得突破，标准化进展也极为迅速，这使得局域网环境下的数据传输完全可以摆脱线缆的束缚。在此基础上，无线局域网开始崛起，越来越受到人们的重视。
2.1.1无线局域网概念和工作原理
一般来讲，凡是采用无线传输媒体的计算机局域网都可称为无线局域网。这里的无线媒体可以是无线电波、红外线或激光。
无线局域网的基础还是传统的有线局域网，是有线局域网的扩展和替换。它只是在有线局域网的基础上通过无线HUB、无线访问节点（AP）、无线网桥、无线网卡等设备使无线通信得以实现。
2.1.2无线局域网标准
实际上，无线局域网早在80年代就已经得到广泛应用，当时受到技术上的制约，通信速率只有860kb/s，工作在900MHz的频段。能够了解并享受它的好处的人少之又少。
到了90年代初，随着技术的进步，无线局域网的通信速率已经提高到1 ~2Mb/s，工作频段为2.4GHz，并开始向医疗、教育等多媒体应用领域延伸。
无线局域网的发展也引起国际标准化组织的关注，IEEE从1992年开始着手制订802.11标准，以推动无线局域网的发展。1997年，该标准获得通过，它大大促进了不同厂商产品之间的互操作性，并推进了已经萌芽的产业的发展。
802.11标准仅限于物理(PHY)层和媒介访问控制(MAC)层。物理层对应于国际标准化组织的七层开放系统互连(OSI)模型的最低层，MAC层与OSI第二层的下层相对应，该层与逻辑链路控制（LLC）层构成了OSI的第二层。
标准实际规定了三种不同的物理层结构，用户可以从中选出一种，它们中的每一种都可以和相同的MAC层进行通信。802.11工作组的成员认为在物理层实现方面有多个选择是必要的，因为这可以使系统设计人员和集成人员根据特定应用的价格、 性能、 操作等方面的因素来选择一种更合适的技术。这些选择实际上非常类似，就像10BaseT， 10Base2及100BaseT等都在以太网领域取得了很大的成功一样。另外，企业局域网通常会使用有线以太网和无线节点混合的方式，它们在使用上没有区别。
近年来，无线局域网的速率有了本质的提高，新的IEEE802.11b标准支持11Mb/s高速数据传输。这为宽带无线应用提供了良好的平台。
2.1.3无线局域网传输方式
就传输方式而言，无线局域网可以分为两类：红外线系统和射频系统。前者的优点在于不受无线电的干扰；邻近区域无干扰；不受管制机构的政策限制；在视距范围内传输，监测和窃听困难，保密性好。不过，由于红外线传输对非透明物体的透过性极差，传输距离受限。
此外，它容易受到日光、荧光灯等噪声干扰，并且只能进行半双工通信。所以，相比而言，射频系统的应用范围远远高于红外线系统。
采用射频方式传输数据，一般都需要引入扩频技术。在扩频系统中，信号所占用的带宽远大于所需发送信息的最小带宽，并采用了独立的扩展信号。扩频技术具有安全性高、抗干扰能力强和无需许可证等优点。目前，在全球范围内应用比较广泛的扩频技术有直接序列（DS）扩频技术和跳频（FH）扩频技术。就频带利用来说，DS采用主动占有的方式，FH则是跳换频率去适应。在抗干扰方面，FH通过不同信道的跳跃避免干扰，丢失的数据包在下一跳重传。DS方式中数据从冗余位中得到保证，移动到相邻信道避免干扰。同DS方式相比，FH方式速度慢，最多只有2 ~3Mb/s。DS传输速率可以达到11Mb/s，这对多媒体应用来说非常有价值。从覆盖范围看，由于DS采用了处理增益技术，因此在相同的速率下比FH覆盖范围更大。不过，FH的优点在于抗多径干扰能力强。此外，它的可扩充性要优于DS。DS有3个独立、不重叠的信道，接入点限制为三个。FH在跳频不影响性能时最多可以有15个接入点。
新的无线局域网标准协议IEEE802.11b只支持DS方式，但是IEEE802.11对这两种技术都是推荐的。应该说，FH和DS这两种扩频方式在不同的领域都拥有适合自身的应用环境，一般说来，在需要大范围覆盖时选DS，需要高数据吞吐量时选择DS，需要抗多径干扰强时选择FH。
2.2无线局域网的常见拓扑形式
根据不同的应用环境，目前无线局域网采用的拓扑结构主要有网桥连接型、访问节点连接型、HUB接入型和无中心型四种。
（1）网桥连接型。该结构主要用于无线或有线局域网之间的互连。当两个局域网无法实现有线连接或使用有线连接存在困难时，可使用网桥连接型实现点对点的连接。在这种结构中局域网之间的通信是通过各自的无线网桥来实现的，无线网桥起到了网络路由选择和协议转换的作用。
（2）访问节点连接型。这种结构采用移动蜂窝通信网接入方式，各移动站点间的通信是先通过就近的无线接收站（访问节点：AP）将信息接收下来，然后将收到的信息通过有线网传入到“移动交换中心”，再由移动交换中心传送到所有无线接收站上。这时在网络覆盖范围内的任何地方都可以接收到该信号，并可实现漫游通信。
（3）HUB接入型。在有线局域网中利用HUB可组建星型网络结构。同样也可利用无线HUB组建星型结构的无线局域网，其工作方式和有线星型结构很相似。但在无线局域网中一般要求无线HUB应具有简单的网内交换功能。
（4）无中心型结构。该结构的工作原理类似于有线对等网的工作方式。它要求网中任意两个站点间均能直接进行信息交换。每个站点既是工作站，也是服务器。
2.3 无线局域网的优势
无线局域网在很多应用领域具有独特的优势：一是可移动性，它提供了不受线缆限制的应用，用户可以随时上网；二是容易安装、无须布线，大大节约了建网时间；三是组网灵活，即插即用，网络管理人员可以迅速将其加入到现有网络中，并在某种环境下运行；四是成本低，特别适合于变化频繁的工作场合。此外，无线网络相对来说比较安全，无线网络通信以空气为介质，传输的信号可以跨越很宽的频段，而且与自然背景噪音十分的相似，这样一来，就使得窃听者用普通的方式难以偷听到数据。
“加密”也是无线网络必备的一环，能有效提高其安全性。所有无线网络都可加设安全密码，窃听者即使千方百计地接收到数据，若无密码，想打开信息系统亦无计可施。
2.4无线局域网的缺点
目前，由于相关的配套技术不足，无线网络传输速度还存在着一些局限。现在无线网络的带宽还比较局限，与有线局域网主干可达千兆还差得很远。与有线网络相比，无线网络的通信环境要受到更多的限制。由于电源限制、可用的频谱限制以及无线网络的移动性等特点，无线数据网络一般具有带宽少、延迟长、连接稳定性差、可用性很难预测等特点。尽管无线局域网有种种优点，但是PC厂商在出售无线LAN产品时多采取慎重态度。这是因为，在家庭里利用的无线联网方式，除了无线LAN外，还有一些其他方案。蓝牙主要用于在便携式信息设备之间以无线方式进行数据通信；HomeRF则用于PC同家电之间以无线方式进行数据通信。而无论蓝牙还是HomeRF，其最大传输速度都只有2Mb/s。此外，它们的传输距离都只有几十米，比无线LAN最多可达的100米要短。在钢筋混凝土这类能使电波明显衰减的使用环境里，蓝牙和HomeRF的传输距离甚至会缩短到只有几米。
第三章、无线局域网的安全性及其解决方案
3.1无线局域网的安全性
除了硬件方面的不足，无线局域网的安全性也非常值得关注。无线局域网的安全性，主要包括接入控制和加密两个方面。
3.1.1IEEE802.11b标准的安全性
IEEE 802.11b标准定义了两种方法实现无线局域网的接入控制和加密：系统ID(SSID)和有线对等加密(WEP)。
1、认证
当一个站点与另一个站点建立网络连接之前，必须首先通过认证。执行认证的站点发送一个管理认证帧到一个相应的站点。 IEEE 802.11b标准详细定义了两种认证服务：－开放系统认证（Open System Authentication）：是802.11b默认的认证方式。这种认证方式非常简单，分为两步：首先，想认证另一站点的站点发送一个含有发送站点身份的认证管理帧；然后，接收站发回一个提醒它是否识别认证站点身份的帧。 －共享密钥认证（Shared Key Authentication）：这种认证先假定每个站点通过一个独立于802.11网络的安全信道，已经接收到一个秘密共享密钥，然后这些站点通过共享密钥的加密认证，加密算法是有线等价加密（WEP）。 共享密钥认证的过程如图1所示，描述如下：
（1） 请求工作站向另一个工作站发送认证帧。
（2） 当一个站收到开始认证帧后，返回一个认证帧，该认证帧包含WEP服务生成的128字节的质询文本。
（3） 请求工作站将质询文本复制到一个认证帧中，用共享密钥加密，然后再把帧发往响应工作站。
（4） 接收站利用相同的密钥对质询文本进行解密，将其和早先发送的质询文本进行比较。如果相互匹配，相应工作站返回一个表示认证成功的认证帧；如果不匹配，则返回失败认证帧。
请求工作站 响应工作站
验证帧
验证算法标识=“共享密钥”
验证处理序列号=1

验证帧
验证算法标识=“共享密钥”
验证处理序列号=2
质询文本

验证帧
验证算法标识=“共享密钥”
验证处理序列号=3
质询文本加密

验证帧
验证算法标识=“共享密钥”
验证处理序列号=1
图1 共享密钥认证
认证使用的标识码称为服务组标识符（SSID：Service Set Identifier），它提供一个最底层的接入控制。一个SSID是一个无线局域网子系统内通用的网络名称，它服务于该子系统内的逻辑段。因为SSID本身没有安全性，所以用SSID作为接入控制是不够安全的。接入点作为无线局域网用户的连接设备，通常广播SSID。
2、WEP
IEEE 802.11b规定了一个可选择的加密称为有线对等加密，即WEP。WEP提供一种无线局域网数据流的安全方法。WEP是一种对称加密，加密和解密的密钥及算法相同。WEP的目标是： 接入控制：防止未授权用户接入网络，他们没有正确的WEP密钥。
加密：通过加密和只允许有正确WEP密钥的用户解密来保护数据流。
IEEE 802.11b标准提供了两种用于无线局域网的WEP加密方案。第一种方案可提供四个缺省密钥以供所有的终端共享—包括一个子系统内的所有接入点和客户适配器。当用户得到缺省密钥以后，就可以与子系统内所有用户安全地通信。缺省密钥存在的问题是当它被广泛分配时可能会危及安全。第二种方案中是在每一个客户适配器建立一个与其它用户联系的密钥表。该方案比第一种方案更加安全，但随着终端数量的增加给每一个终端分配密钥很困难。

帧体
明文

综合检测值
（ICV）
帧体
密钥 密文
键序

图2 WEP加密过程
WEP加密的算法如图2所示，过程如下：
（1） 在发送端，WEP首先利用一种综合算法对MAC帧中的帧体字段进行加密，生成四字节的综合检测值。检测值和数据一起被发送，在接收端对检测值进行检查，以监视非法的数据改动。
（2） WEP程序将共用密钥输入伪随机数生成器生成一个键序，键序的长度等于明文和综合检测值的长度。
（3） WEP对明文和综合检测值进行模二加运算，生成密文，完成对数据的加密。伪随机数生成器可以完成密钥的分配，因为每台终端只用到共用密钥，而不是长度可变的键序。
（4） 在接收端，WEP利用共用密钥进行解密，复原成原先用来对帧进行加密的键序。
（5） 工作站计算综合检测值，随后确认计算结果与随帧一起发送来的值是否匹配。如果综合检测失败，工作站不会把MSDU（介质服务单元）送到LLC（逻辑链路控制）层，并向MAC管理程序发回失败声明。
3.1.2影响安全的因素
1、硬件设备
在现有的WLAN产品中，常用的加密方法是给用户静态分配一个密钥，该密钥或者存储在磁盘上或者存储在无线局域网客户适配器的存储器上。这样，拥有客户适配器就有了MAC地址和WEP密钥并可用它接入到接入点。如果多个用户共享一个客户适配器，这些用户有效地共享MAC地址和WEP密钥。 当一个客户适配器丢失或被窃的时候，合法用户没有MAC地址和WEP密钥不能接入，但非法用户可以。网络管理系统不可能检测到这种问题，因此用户必须立即通知网络管理员。接到通知后，网络管理员必须改变接入到MAC地址的安全表和WEP密钥，并给与丢失或被窃的客户适配器使用相同密钥的客户适配器重新编码静态加密密钥。客户端越多，重新编码WEP密钥的数量越大。
2、虚假接入点
IEEE802.11b共享密钥认证表采用单向认证，而不是互相认证。接入点鉴别用户，但用户不能鉴别接入点。如果一个虚假接入点放在无线局域网内，它可以通过劫持合法用户的客户适配器进行拒绝服务或攻击。
因此在用户和认证服务器之间进行相互认证是需要的，每一方在合理的时间内证明自己是合法的。因为用户和认证服务器是通过接入点进行通信的，接入点必须支持相互认证。相互认证使检测和隔离虚假接入点成为可能。
3、其它安全问题
标准WEP支持对每一组加密但不支持对每一组认证。从响应和传送的数据包中一个黑客可以重建一个数据流，组成欺骗性数据包。减轻这种安全威胁的方法是经常更换WEP密钥。
通过监测IEEE802.11b控制信道和数据信道，黑客可以得到如下信息：
客户端和接入点MAC地址
内部主机MAC地址
上网时间
黑客可以利用这些信息研究提供给用户或设备的详细资料。为减少这种黑客活动，一个终端应该使用每一个时期的WEP密钥。
3.2完整的安全解决方案
3.2.1无线局域网的安全方案
无线局域网完整的安全方案以IEEE802.11b为基础，是一个标准的开放式的安全方案，它能为用户提供最强的安全保障，确保从控制中心进行有效的集中管理。它的核心部分是：
扩展认证协议（Extensible Authentication Protocol，EAP），是远程认证拨入用户服务（RADIUS）的扩展。可以使无线客户适配器与RADIUS服务器通信。
IEEE 802.1X， 一个控制端口接入的提议标准。
当无线局域网执行安全保密方案时，在一个BSS范围内的站点只有通过认证以后才能与接入点结合。当站点在网络登录对话框或类似的东西内输入用户名和密码时，客户端和RADIUS服务器（或其它认证服务器）进行双向认证，客户通过提供用户名和密码来认证。然后 RADIUS服务器和用户服务器确定客户端在当前登录期内使用的WEP密钥。所有的敏感信息，如密码，都要加密使免于攻击。
这种方案认证的过程是：
一个站点要与一个接入点连接。
除非站点成功登录到网络，否则接入点将禁止站点使用网络资源。
用户在网络登录对话框和类似的结构中输入用户名和密码。
用IEEE802.1x协议，站点和RADIUS服务器在有线局域网上通过接入点进行双向认证。可以使用几个认证方法中的一个。例如：RADIUS服务器向用户发送一个认证请求，客户端对用户提供的密码进行一种hash运算来响应这个请求，并把结果送到RADIUS服务器；利用用户数据库提供的信息，RADIUS服务器创建自己的响应并与客户端的响应相比较。一旦服务器认证了用户，就进行相反的处理使用户认证RADIUS服务器。
相互认证成功完成后，RADIUS服务器和用户确定一个WEP密钥来区分用户并提供给用户适当等级的网络接入。以此给每一个用户提供与有线交换几乎相同的安全性。用户加载这个密钥并在该登录期内使用。
RADIUS服务器发送给用户的WEP密钥，称为时期密钥。
接入点用时期密钥加密它的广播密钥并把加密密钥发送给用户，用户用时期密钥来解密。
用户和接入点激活WEP，在这时期剩余的时间内用时期密钥和广播密钥通信。
认证的全部过程如图3所示。
4.RADIUS服务器和站点双
向认证并且生成WEP密钥

无线 有线

6. 站 点 和AP 激活 5.RADIUS服务器
WEP，加密传输数据 把密钥传给AP

图3 基于IEEE802.1x的安全传输
3.2.2无线局域网的应用环境
（1） 无线局域网的应用方向之一是增加电脑的移动性，让电脑更符合人性，例如在办公室内，企业经理们可以像使用室内无绳电话那样，随心所欲地使用联网的笔记本电脑。
（2） 在难于布线的室外环境下，无线局域网可充分发挥其高速率、组网灵活之优点。尤其在公共通信网不发达的状态下，无线局域网可作为区域网（覆盖范围几十公里）使用。
它的范围可以延伸到城市建筑群间通信；学校校园网络；工矿企业厂区自动化控制与管理网络；银行、金融证券城区网络；城市交通信息网络；矿山、水利、油田等区域网络；港口、码头、江河湖坝区网络；野外勘测、实验等流动网络；军事、公安流动网络等领域。
（3） 无线局域网与有线主干网构成了移动计算网络。
这种网络传输速率高、覆盖面大，是一种可传输多媒体信息的个人通信网络。这也是无线局域网的发展方向。
第四章、结束语
无线网络安全技术在21世纪将成为信息网络发展的关键技术，21世纪人类步入信息社会后，信息这一社会发展的重要战略资源需要网络安全技术的有力保障，才能形成社会发展的推动力。在我国信息网络安全技术的研究和产品开发仍处于起步阶段，仍有大量的工作需要我们去研究、开发和探索，以走出有中国特色的产学研联合发展之路，赶上或超过发达国家的水平，以此保证我国信息网络的安全，推动我国国民经济的高速发展。
虽然我的论文作品不是很成熟，还有很多不足之处，但这次做论文的经历使我终身受益，我感受到做论文是要真真正正用心去做的一件事情，是真正的自己学习的过程和研究的过程，没有学习就不可能有研究的能力，没有自己的研究，就不会有所突破，希望这次的经历能让我在以后学习中激励我继续进步。
最后，感谢史虹湘老师对我论文的精心指导和无私的帮助，感谢经济管理干部学院老师们的辛勤栽培，使我能够很好的掌握和运用专业知识。

参考文献：
[1] 网络安全 徐国爱. 北京邮电大学出版社，2006.5
[2] 计算机网络基础 刘远生. 清华大学出版社，2004.9
[3] 局域网组建、管理与维护 扬威. 电子工业出版社，2005.7

㈡ 如果你是一个公司 的网络管理员，如何能使你公司网络安全

公司网络安全计划可以从以下几点来写，希望对你有些帮助。

一般来说，黑客使用的设备到达不了无线网络，他们也就无法闯入。有些路由器让你能够控制广播的信号强度。如果你有这个选项，就把路由器的信号减小到所需要的最弱强度。另外，可以考虑在晚上及不使用的其他时间段禁用无线路由器。

你不一定非得是系统专家、才能更有效地保护自己防范黑客。很难阻止黑客访问像电子信号这种看不见、摸不着的东西。这就是为什么保护无线网络安全始终颇具挑战性。如果你的无线网络不安全，贵公司及数据就面临很大的风险。那样，黑客们也许能够监控你访问了哪些网站，或者查看你与业务合作伙伴交换了哪些信息。他们说不定还能登录到你的网络上、访问你的文件。

虽然无线网络一直容易受到黑客入侵，但它们的安全性还是得到了大大增强。下面这些方法旨在帮你提高安全系数。

一、安装安全的无线路由器。

这个设备把你网络上的计算机连接到互联网。请注意：不是所有路由器都是天生一样的。至少，路由器需要具有以下三种功能：(1)支持最不容易被破解的密码;(2)可以把自己隐藏起来，防止被网络外面未经授权、过于好奇的人看见;以及(3)防止任何人通过未经授权的计算机进入网络。本文以Belkin International公司生产的路由器为例。它和其他公司生产的类似路由器广泛应用于如今的网络中。它们的设置过程非常相似。本文推荐的一些方法适用于这类设备。请注意：款式较老或价格较低的路由器可能提供不了同样的功能。

二、选择安全的路由器名字。

可以使用生产厂商的配置软件来完成这一步。路由器的名字将作为广播点(又叫热点)，你或试图连接至路由器广播区范围之内的无线网络的任何人都看得见它。不要把路由器的品牌名或型号(如Belkin、Linksys或AppleTalk)作为其名字。那样的话，黑客很容易找出路由器可能存在的安全漏洞。

同样，如果把你自己的姓名、住址、公司名称或项目团队等作为路由器的名字，这无异于帮助黑客猜出你的网络密码。

你可以通过这个办法来确保路由器名字的安全：名字完全由随机字母和数字或者不会透露路由器型号或你身份的其他任何字符串组成。

三、定制密码。

应当更改路由器出厂设置的默认密码。如果你让黑客知道了所用路由器的型号，他们就会知道路由器的默认密码。而如果配置软件提供了允许远程管理的选项，就要禁用这项功能，以便没有人能够通过互联网控制路由器设置。

四、隐藏路由器名字。

选择了一个安全的名字后，就要隐藏路由器名字以免广播，这个名字又叫服务集标识符(SSID)。

一旦你完成了这了步，路由器就不会出现在你所在地区的路由器广播列表上，邻居及黑客因而就看不见你的无线网络。以后你照样可以广播信号，而黑客需要复杂的设备才能确定你有没有无线网络。

五、限制网络访问。

应当使用一种名为MAC地址过滤的方法(这与苹果公司的Mac机毫无关系)，防止未经授权的计算机连接到你的无线网络。为此，首先必须查明允许连接到你网络上的每一台计算机的介质访问控制(MAC)地址。所有计算机统一采用12个字符长的MAC地址来标识。想查看你的那些计算机，点击“开始”，然后点击“运行”，输入cmd后点击“确定”。这时就会打开带DOS提示符的新窗口。

输入ipconfig/all，按回车键，即可查看所有计算机网卡方面的信息。“物理地址”(Physical Address)这一栏显示了计算机的MAC地址。

一旦你拥有了授权MAC地址的列表，可以使用安装软件来访问路由器的MAC地址控制表。然后，输入允许连接至网络的每一台计算机的MAC地址。如果某个计算机的MAC地址没有出现在该列表上，它就无法连接到你的路由器和网络。

请注意：这并非万无一失的安全方法。经验老到的黑客可以为自己的计算机设定一个虚假的MAC地址。但他们需要知道你的授权计算机列表上有哪些MAC地址。遗憾的是，因为MAC地址在传输时没有经过加密，所以黑客只要探测或监控你网络上传输的数据包，就能知道列表上有哪些MAC地址。所以，MAC地址过滤只能对付黑客新手。不过，如果你打消了黑客的念头，他们可能会放过你的网络，改而攻击没有过滤MAC地址的网络。

六、选择一种安全的加密模式。

为无线网络开发的第一种加密技术是有线对等保密(WEP)。所有加密系统都使用一串字符(名为密钥)对数据进行加密及解密。为了对网络上广播的数据包进行解密，黑客必须弄清楚相关密钥的内容。密钥越长，提供的加密机制就越强。WEP的缺点在于，密钥长度只有128位，而且从不变化，这样黑客就比较容易破解密钥。

近些年来开发的无线保真保护接入2(WPA2)克服了WEP的部分缺陷。WPA2使用256位的密钥，只适用于最新款式的路由器上，它是目前市面上最强大的加密机制。数据包在广播过程中，WPA2加密密钥不断变化。所以黑客想通过探测数据包来破解WPA2密钥，那纯粹是在浪费时间。因而，如果你的路由器比较新，也提供了加密选项，就应当选择WPA2，而不是选择WEP.请注意：WPA1适用于大企业，配置起来比较复杂;WPA2适用于小公司和个人，有时被称为WPA-PSK(预共享密钥)。

WPA2消除不了所有风险。用户登录到WPA2无线网络时会出现最大的风险。为了获得访问权，用户必须提供名为预共享密钥的密码。系统管理员在构建设置网络时，在每个用户的计算机上设好了这个密钥。如果用户试图接入网络，黑客就会试图监控这个过程，从中破解预共享密钥的值。一旦他们得逞，就能连接至网络。

幸运的是，预共享密钥的长度可在8个至63个字符之间，可以包含特殊字符和空格。为了尽量提高安全系数，无线网络上的密码应当包含63个字符，包括词典中查不到的随机组合。

七、限制广播区。

应当把路由器放在你所在大楼的中央，远离窗口或者大楼的四边。这样一来，就可以限制路由器的广播区。然后，带着笔记本电脑在大楼外面转一圈，看看能不能从附近的停车场或街道收到路由器的信号。

一般来说，黑客使用的设备到达不了无线网络，他们也就无法闯入。有些路由器让你能够控制广播的信号强度。如果你有这个选项，就要把路由器的信号减弱到所需要的最弱强度。可以考虑在晚上及不使用的其他时间段禁用无线路由器。没必要关闭网络或Web服务器，只要拨下路由器的电源插头就行了。这样既不会限制内部用户对网络的访问，也不会干扰普通用户使用你的网站。

八、考虑使用高级技术。

如果你看了本文之后，决定升级路由器，不妨考虑把原来的那只路由器用作蜜罐(honeypot)。这其实是伪装的路由器，是为了吸引及挫败黑客而设置的。只要插入原来的那只路由器，但不要把它与任何计算机连接起来。把该路由器命名为Confidential，不要把SSID隐藏起来，而是要广播它。

九、采取主动。

不要坐以待毙。采用上述方法来保护贵公司及数据、远离入侵者。要熟悉你所用路由器的种种选项，并且主动设置到位

㈢ 如果通过无线局域网地址管理网络安全性，您可能需要关闭“私有无线局域网地址”或修改网络设置

ios14私有无线地址怎么关闭？在wifi功能上，可以加强保护性。同时连不上的话，也能进行取消，对于用户而言操作也很方便。

可以在任何网络上停止或继续使用私有地址，为了更好地保护隐私，可以为支持私有地址设置的所有网络打开这一设置。

1.打开“设置”App，然后轻点“Wi-Fi”。

2.轻点某个网络旁边的信息按钮带圈i。

3.轻点“私有地址”。如果您的设备在没有使用私有地址的情况下加入了网络，则系统会显示一个隐私警告来说明原因。

㈣ 如何维护网络安全

我们可以通过设置强力密码、控制MAC、及时关闭网络、设立有效防火墙等方式维护网络安全。

㈤ 如何确保家庭无线网络安全

方法/步骤

1
进入TP无线路由的WEB管理界面，浏览器输入192.168.1.1即可，输入用户名和密码，进入无线路由的web管理界面，选择“无线设置”标签，

END
方法/步骤2

在“无线设置”标签的“基本设置”下，在右侧取消“开启SSID广播”的勾选，保存。该操作是吧无线路由的SSID广播取消，通常所说的隐藏SSID，隐藏后当无线连接此路由时，需要手动输入正确的SSID号，不知道SSID号的人是无法和此路由器建立联系的

在“无线设置”标签下切换到“无线安全设置”，此页面设置无线网络的安全密码，根据系统提示，选择WPA-PSK/WPA2-PSK加密类型，在PSK密码处设置密码（不少于8位)，确定。
此操作是为了加密无线网络，提高安全性，不知道密码的用户，即是知道了SSID也不能和路由建立连接

经过以上步骤的设置，你的无线网络已经很安全了，但为了绝对的安全，下面将启用终极设置，MAC过滤。
在“无线设置”标签下切换到“无线mac地址过滤”，选择“启用过滤”，“过滤规则”选择”禁止“，然后选择“添加新条目”，弹出一个警告框，确定后进入下一个页面，开始手动设置“无线网络MAC地址过滤设置”，在“mac地址”里面手动输入你打算可以连接到本无线网络的设备的mac（网卡地址，相当于身份证号码，全球唯一性），状态选择“生效”，保存，返回，即可以将可以加入到本无线网络的设备添加进来，多次重复该步骤，可以添加多个设备，然后，保存路由。
PS：此步骤是将设备的mac和路由进行绑定，在允许列表的设备才可以上网，不在列表的设备，即使知道前2个步骤的SSID和无线密码，也无法通过无线路由的安全认证，也不能加入本无线网络，这对于提高无线网络的安全有着极高的作用。
该步骤可以和前2步骤分离，也即是仅设置该步骤，将设备的mac进行绑定，这样可让有心蹭网的人抓狂，明明是无加密，信号很强的，为嘛不能连接？呵呵，这点是不是很强大呢？

㈥ 无线网存在安全隐患会给我们的电脑造成哪些影响

其次，由于WLAN自身的协议机制在设计之初并未考虑过多的安全性，使其更容易受到攻击，降低了黑客入侵的门槛。 第三，由于WLAN工作在ISM开放频段，并且各种WLAN设备随处可得，人们可以轻易的搭建一个无线网络，甚至是一个可远程传输(数公里至数十公里)的无线桥接系统，这些私自搭建的网络系统，不受监管，极有可能成为信息泄露的黑洞。 WLAN IPS是一种用于无线局域网安全检测、防护的专业安全系统。启明星辰WLAN IPS可以实时检测无线破解、无线钓鱼、流氓AP等上百种基于WLAN的无线网络安全事件，并可按用户需求设定无线准入或阻断策略，提供7×24不间断的无线网络安全防护功能，避免无线信息泄露，化解无线网络安全风险。此外，通过与传统IPS集成部署，更可以提供有线、无线统一的安全防护 ，形成一体化的网络入侵防御解决方案，为用户提供全方位的安全保障。在国外，WLAN IPS的使用已经比较普遍，例如在美国，相关法规明确规定在国防部、军队、医院、支付卡行业等网络环境中，必须部署WLAN IPS设备或定期使用该类设备进行无线安全检查，以消除潜在的无线风险。 某单位在保密方面的要求十分严格，在数万平方米的厂区内，任何存在信息泄露的隐患都需要被排除，网络也实行了物理隔离等安全管理措施，同时，根据保密规定，生产区域内也不准使用无线设备。 但是，由于缺少必要的监管手段，网络管理人员只能使用笔记本电脑进行检测，虽然经常会发现一些无线网络，但是难以确定是否有人在使用这些无线网络，以及这些无线网络是来自厂区外，还是内部人员私自搭建;另外，即使确认是内部人员违规使用了无线网络，也很难排查并加以及时有效的管控措施。 因此，当了解到启明星辰推出的无线局域网入侵防御系统(WLAN IPS)能够进行有效的无线网络安全风险管控之后，该单位立即要求进行产品试用。该单位的网络管理人员将试用设备部署在位于生产区域中心位置的某重要车间，设备加电运行之后，周围数千平方米之内的无线设备以及设备属性、连接情况等信息很快就被WLAN IPS探测并展示出来，并且，这些无线网络和设备所存在的安全隐患及面临的攻击也作为告警及时上报到集中管理中心。 通过观察区域内的无线设备和连接情况，管理人员很快发现有几部可疑的某品牌智能手机正在连接外部无线网络，根据WLAN IPS提供的无线终端详细信息，管理人员很快就找到这几名工人，关闭了无线连接，并对其进行了批评教育。 随后，管理人员注意到WLAN IPS提示区域内存在一台信号强度较高的无线AP，其SSID也具有一定的随意性，并且未采用安全性较高的加密方式，很可能是厂区内有人私自架设的无线网络。于是，管理人员经过排查，找到了位于某技术人员办公桌下的无线AP。原来，这个技术人员自己有一台平板电脑，为了方便使用，就接入了一台家用AP，用后也忘记拆除了，那台无线AP就一直工作着，成为一个信息泄露的重要隐患。对于该技术人员及其主管，单位进行了严肃处理。 在排除了潜在的无线信息泄露隐患之后，网络管理人员对于厂区内的无线网络情况已经了解得非常清楚了，这时启明星辰技术人员建议他可以设定一些无线网络安全策略，运用这些策略，WLAN IPS可以实时、自动、精确阻断那些非法无线终端，杜绝泄密事件的发生。 无线网络安全策略的设置方式非常简单，与防火墙的策略设置类似，可以指定无线网络、无线终端、无线事件等属性，并设置他们之间的逻辑关系。除了几个必要的隔离无线网络外，其他厂区范围内的无线网络和无线终端都被设置为禁止。

㈦ 网络管理员怎么看待wlan

网络管理员眼中的WLAN

对于那些部署WLAN并在无线环境中支持最终用户和应用的网络管理员来说，看待无线网络通常有着不同的视角。

客户端的“黏性

在一个理想的情形下，任何获得Wi-Fi联盟认证的802.11客户端设备在与相同网络类型的接入点(同样获得Wi-Fi联盟认证)通信时都应表现出始终如一的性能。但是，Wi-Fi联盟只认证产品的互操作性，并不证明或判断某一个客户端或AP的性能，目前不同客户端设备之间的性能还存在一些差异。

为了更好地管理无线网络，一个值得提倡的做法是向未来的系统厂商询问客户端到AP的联系和漫游是如何进行的(尤其当你寻求利用Wi-Fi进行语音通信时)。在今天市场上的大多数系统中，是由客户端决定它连接到哪个AP以及何时漫游到另一台AP上。不过，Meru Networks和Extricom的产品是两个例外，为了获得更大、更一致的总体网络性能，它们将决定权交给中央控制器。

不同的NIC(网络接口卡)通常表现出不同的性能，这主要取决于NIC厂商和驱动程序的配置。而802.11标准也并没有规定应当怎样做出客户端到AP联系的技术。

大多数自己做出决定的客户端利用信号强度作为它们的主要指标，尝试与最强的`AP信号通信，同时利用监测收到帧的信噪比和数据速率来决定如何漫游到一个新的AP。当信噪比和数据速率都比较低时，多数客户端会去寻找另一台AP。其中的许多客户端为了不中断正在进行的通信，尽可能推迟漫游。这种保持不动的倾向即所谓的客户端“黏性。

一些NIC允许你在卡的驱动程序中配置NIC的黏性水平。但是请记住，对于某个客户端设备和用户而言的最佳配置，对整个网络来说并不一定就是最好的。例如，如果所有NIC都富有侵略性，网络上的竞争可能会大大增加。因此，管理员要做出客户端具有多大黏性的决定时，应当是从上到下有序进行的，而不是杂乱无章地将终端配置为不同的黏性水平。此外，还应该向厂商询问控制器软件管理不同客户端行为的能力。

管理员有话要说

除此以外，要想真正依靠无线作为主要网络手段，可靠性和安全性必须加以改进。精明的网络管理员可能会采取一些主动措施来确保这两方面因素在无线环境中达到预期的水平。

美国北卡罗来纳州WakeMed Health & Hospitals网络服务主管John Tuman表示，当谈到管理无线网络时，安全性是重中之重，在开发管理战略时不能被忽视。他解释说：“有线网络的安全性与生俱来，它内置在机构当中。而对于无线网络，必须首先通过数据加密来实现安全性。无线信号穿墙而出，在你真正开始担心可靠性之前，我建议先搞定安全性。

另外，Tuman认为物理环境的变化和客户端设备的支持将成为WLAN管理员面临的难题。因此，设法控制你将要部署的设备类型并了解什么设备适合你的环境就变得十分重要。

马萨诸塞州Brandeis大学网络与系统主管John Turner则认为，选择WLAN厂商看似普通，实际上对于管理也至关重要。Turner说：“我会建议人们采用中央管理的、轻型接入点并进行场地评估。前期在对无线网络的全面调查上所投入的资金和时间最终将带来回报。

对于纽约Morrisville州立大学的网络分析师Matt Barber来说，向同行网络管理员或机构了解特定厂商和产品是他可以提供的最好的建议。“你可以拜访那些正在使用你的目标厂商和产品的实际用户。Barber说，“告诉他们你打算做什么，让他们详细讲解他们的接口及适用性是如何实现的，别忘了谈谈可能存在的问题有哪些。

安全有效配置无线局域网

无线网络的世界中，很多时候有效，安全的无线局域网设置比以后解决各种问题更快捷。所以要重视无线网络的安全设置，这里就详细说明一下。

用户声称无线安全是他们优先考虑的因素，但由于许多企业在实施无线网络的过程中并没有安装所有的安全选项。他们往往会认为无线易于安装，却难以确保安全并且不易管理。

在无线局域网上，每一个接入点都可以根据不同的用户要求设置不同的安全级别。它是一种严格基于身份认证的网络，并且更难被利用。无线网络希望用户能够通过提供密码、数字证书或者生物识别例如拇指指纹来证明身份。该系统将与AAA服务器进行比对，确认你就是自己所声称的那个人，才获准进入。

很多人会说：“哦，但是如果遭遇身份盗窃或者设备盗窃该如何处理?最近的新闻提到俄罗斯ElcomSoft公司采用Nvidia显卡将无线密码恢复的时间提高了100倍，对此有何看法?这些方式是否还不足以保证网络的安全?”

加密技术只是保证网络安全的一个要素。然而当ElcomSoft提及破解WPA或者WPA2时，它确实意味着通过“暴力”攻击着恢复WPA-PSK的密码。这并不是新技术。你需要对比一下8位数(PSK要求至少8位)密码，它有208，827，064，576种变化。在这种情况下，就需要花至少345天来找出一个没有任何规律可循的密码。如果设置9位数密码的话，你大概要寻找25年。而WPA-PSK最多可以设置有64个字符的密码。一旦你验证了该用户，你如何为该用户验证其网络，以确保该网络的真实性?无线系统将向你的设备出示其证书，以确认你正在登录的网络是真实有效的。

无线的另一个武器是授权证书。无线网络的资源是被锁定的，所以当你在网络上漫游的时候，每当你从一个新接入点移动到一个新区域，它将检查确认你的访问权限。

接入点还会记录每一次行动，并实时将信息发送到服务器上，以尽量减少违反安全的行为。比如访客获得了他们不应该访问的内容，并对安全规章的遵从情况进行审核跟踪。

除了设备本身的安全以外，有线网络关注所有物理层面的问题 -比如突然想到笔记本电脑遗忘在火车上的情况。这时大多依赖所提供的适当的证明材料-除了说出名字并不需要再说别的来证明身份。

把网络安全寄托于你办公室的前台十分危险。人们是可以越过安全防御的，但是如果使用无线网络，一旦你没有相应的证明网络就会立即阻止你登入。

大多数解决方案很少或者不能管理访客连上访客网络-了解时间、地点以及访客网是如何使用的。并非所有的设备都支持802.11i安全，因此对企业网络资源的访问必须加以限制。

关键是决定采取什么安全设置，而不是依赖一个盒子来解决所有的问题。设计与规划一个拥有适当安全级别的适当的网络至关重要。

卓纪思网络合作编写了802.11i标准，在维护安全的同时为无线网络增加了快速漫游功能。企业无线局域网不应该被配置成使用预共享密钥(WPA或者WPA2 PSK)。我们还建议关注用户身份而不仅仅是一个密码。我们所建议的针对企业无线网络的最佳方案包括使用WPA2企业版-其采用802.1x认证，AES进行加密以及AAA服务器来支持RADIUS。

通过管理软件，你将可以全天候实时了解网络上正在发生的事情。

坚持行业标准并且确保你的网络能够显示审核跟踪，无线就是最可靠和最安全的。通过正确安全配置无线局域网，它比有线网络更加安全。

㈧ 请问怎样加强无线网络的安全管理

从简单的强制网络门户和防火墙过滤到流量整形和唯一的来宾登录，这类产品都可以不用IT协助自动生成。 举例说明，我们看下Meraki的企业级WLAN云控制器提供的来宾管理功能。为了创建一个Meraki来宾无线局域网，我们需要开始指令配置一个SSID，比如一次点击或者登入开始页面。如果选择了开始页面，用户会被重定向到一个定制的入口，通过输入用户名和密码登录。 来宾开始创建有三种选择。第一，管理员配置来宾账号。第二，来宾代表可以增加和删除来宾账号但是不能做其他改动，第三，允许来宾在入口提示页使用他们自己的账户，以管理员批准为准。 控制用户活动实现来宾无线局域网的安全性 下一步便是控制登录用户的活动。考虑强制网络门户是否要求用户运行防毒软件。然后设置允许的目的地，端口和URL，选择性的添加带宽限制和有线/无线属性。最后，考虑在允许或不允许本地局域网访问时，来宾流量是否需要桥接到一个VLAN或路由到Internet。云控制器可以分析流量来查看无线来宾网络的使用情况。 这些功能通常适用于未加密的来宾无线网络，但是也可以结合WPA2-PSK实现加密。设置PSK可以降低拒绝服务攻击和防止外部探测。然而传统的PSK是共享给每个用户的，他们没法跟踪或对单独的来宾取消跟踪。不过一些产品提供动态PSK给每个用户，如Ruckus DPSK和Aerohive PPSK可以解决这类问题。 例如，Ruckus无线局域网可以设置给每个来宾一个唯一的DPSK。任何有企业网络访问权的用户都可以通过一个Web表格来申请Ruckus来宾权限，每个发布的来宾权限都提供了他们可打印的说明，包括来宾姓名，来宾SSID，来宾唯一的DPSK和有效期限。这些设置甚至可以自动安装到Windows系统、OS X和iPhone客户端上，有效避免手工设置和可能出现的错误。一旦生效，DPSK会自动过期或被废除，不用中断其他的使用。 来宾无线网络上的设备完整性检查 这些来宾管理策略可以在无线局域网上提供很好的可视性和可控制行，包括来宾可以访问什么以及他们可以使用什么资源。然而，要预防被感染病毒的来宾所带来的破坏还需要更多的措施。据Gartner所述，网络准入控制部署中有四分之三就是为了应对这类威胁的。 虽然阻止被感染的无线客户端不是来宾无线局域网所需要做的事，但是来宾设备会造成更大的危险，因为他们不被IT部门所管理，一般不能强行安装IT部门要求的软件或者配置，甚至不能进行临时地完整性检查。例如，一个强制网络入门可能会使用ActiveX控制来快速查看来宾是否运行着授权的杀毒软件。然而，ActiveX控制不能查看非Windows的来宾设备或者被锁的浏览器。 对一些企业，针对使用windows的来宾进行完整性检查已经足够了，毕竟，病毒在Windows下比较普通。但是其他企业可能倾向于阻止那些不能检查的来宾或者对他们进行限制(如，只能HTTP，不能访问内网)。第三种可能是使用NAC或者IDS产品，比如ForeScout，CounterACT或Bradford Network Sentry，他们可以运行基于网络的检查。NAC设备可以整合到现有的无线网络设施中给来宾管理者提供访问控制策略，如果检测到客户端有病毒威胁或者策略违反就立即切断。 总之，企业级来宾网络必须有高效的用户管理控制，使其符合企业规范。而且他们必须提供突发事件的解决方案和有效的跟踪方案。有了这些策略，企业可以放心安全的提供网络给承包商，合作伙伴，客户，和其他授权的来宾，而不用担心什么情况都不知道了。