1无线网络结构
高校无线网络,是指在高校校园范围内的局域网,即WLAN。WLAN使用的端口访问技术IEEESO2.llb标准支持以下两种网络结构:(l)基于AP的网络结构(如图1所示),所有终端设备都直接和无线访问节点AP连接,由AP负责无线通信的管理及与有线网络连接的工作。另外,可以通过放置多个AP来扩展无线网络信号的覆盖范围,并允许移动终端设备在不同AP之间漫游。目前在实际应用的无线局域网组网方案中,普遍采用这种网络结构,同时考虑到安全方面的原因,AP必须和交换机各端口进行两层隔离。交换机采用IEEE802.IQ标准的VLAN方式。vLAN对接入交换机每一端口的AP都必须分配一个网内唯一的VLANID。(2)基于PZP(PeertoPeer)的网络结构,用于连接个人计算机或掌上电脑。在无线网络所覆盖的范围内,允许所有计算机移动并自动建立点到点的连接。
2无线网络存在的问题
无线网络最大的特点是开放性,用户可以方便的通过无线电波进行网络访问、数据传输。也正因为开放性,使得无线网络相对有线网络存在较严重的安全隐患和技术难题。(l)用户信息容易遭监听:由于无线网络的开发性,恶意用户可以在无线网络覆盖的范围内,通过数据包抓取分析软件窃听普通用户的网络发送接收数据,给用户的私隐,以及网络财产安全带来隐患。(2)非授权用户入侵:非授权用户通过暴力破解、无线加密协议破解等手段,非法获取无线网络的认证账号,并登陆无线网络。在占用宝贵带宽资源的同时,还可能进行网上的非法活动,给高校形象带来负面影响。(3)进一步的渗透入侵:在无线网络遭到非法入侵的时候,校园网的内部安全将面临考验,技术高明的攻击者,可以通过进一步的渗透入侵,控制校园网内部的更多网络、服务器资源。(4)分布式拒绝服务攻击(DDOS攻击):攻击者向服务器发送大量请求,占据服务器资源(比如CPU资源、内存资源、带宽资源),使服务器超负荷,无法向正常的请求提供服务。(5)ARP欺骗:分对路由器ARP表的欺骗和对内网PC的网关欺骗。攻击者以伪造假的MAC地址,对路由器发动攻击,或伪造网关,使用户无法进行正常的网络信息传输。(6)抗干扰性差,易受各种障碍特的阻挡和气候环境影响,同时传输速率不及有线网络。
3无线网络的用户使用管理
为保证无线网络的正常使用,规避无线网络使用中的安全隐患,在组建、开放校园无线网络之前,需制定无线网络用户使用的管理办法。管理办法主要为规范无线网络的使用行为,确保无线网络稳定、安全的运行。(l)管理模式:采用实名制管理。用户使用无线网络前,需在网络信息中心登记备案。如果用户在网络使用过程中,进行网上非法活动,网络管理员可以在第一时间通过该账号,定位用户位置,获取用户的信息,并进行处理。这种模式不仅可以分清职责,有效管理,还可以进一步提升用户合法、文明使用无线网络的层次。(2)无线网络使用方式:终端用户可以通过W亡b单点登陆、客户端单点登陆等多种形式登陆使用无线网络。由于学校网络带宽资源,以及无线网络设备接入容量的限制,无线网络的使用采取限制性收费。用户可以根据网络的实际使用情况,选择计时计费、流量计费等多种形式的计费方式。(3)行为规范:无线网络的使用行为需符合《中华人民共和国计算机信息系统安全保护条例》等国家相关法律法规。为保证无线网络的稳定性,禁止用户利用无线网络进行网络游戏、观看流媒体视频和进行多线程或PZP下载等高带宽应用,同时严禁利用无线网资源开展经营性活动。
4无线网络的安全策略管理
无线网络的安全隐患是制约无线网络发展的重要因素,因为担心无法保障无线网络各环节的安全性,很多高校,企事业单位都放弃了无线网络规划和建设。但无线网络技术的应用和发展是大势所趋,我们在搭建安全的网络架构的同时,应积极面对,做好技术上的安全防护。(l)严格控制无线网络信号的覆盖范围。为避免校外人员非法使用、窃听、攻击无线网络,应合理布设AP点,保证无线网络信号的覆盖面在学校园区内,杜绝社会人员在校园外非法使用,窃听、攻击无线网络的机会。(2)根据实际网络环境,采用合适的认证方式。无线网络提供的安全机制主要有三种,分别是基于MAC地址的认证、共享密钥认证、802.lx认证。基于MAC地址的认证方式安全性最高,但由于后期维护比较繁琐,目前高校普遍采用的认证方式为802.lx认证。(3)采用更加先进的wPAZ加密技术,早期的wEP加密技术,即无线等效加密技术,由于其工作原理容易受到入侵者的攻击。而wPAZ无线加密技术是目前最强的无线加密技术,可以充分保证无线网络的安全。(4)无线入侵检测(WIDS):通过WIDS对有恶意的用户攻击和入侵无线网络进行早期检测,检测wLAN网络中的Rogue设备,上报管理中心,并对它们采取反制措施,最大程度地保护无线网络。(5)根据无线设备选择合适的无线网络管理软件。一个强大的无线网络管理软件,可以提供一个有效的网络管理解决方案。创建网络拓扑结构图,以管理整个校园内部的所有网络,监视多个设备,利用SNMP协议实现wLAN所有网元的实时监控和管理,包括网络搜索,拓扑发现,批量配置,性能监测、警报追踪和历史数据记录的功能,从而实现一个安全,可靠的无线网络。(6)提高普通用户的无线网络安全意识,提升网络管理员的专业技能水平。为提升无线网络的使用安全,保证用户信息不被窃取,应制定《校园网络安全手册》,告知、提醒用户定期更新系统补丁、查杀病毒,以及其他安全防护操作。另外,应定期邀请网络安全专家来学校进行最新网络安全知识的讲座,提升网络管理员的专业技能水平。
作者：徐益鹏 单位：同济大学
