無線局域網(wǎng)安全的問題是每個(gè)企業(yè)網(wǎng)絡(luò)管理員所重視的問題之一，對(duì)于選擇無線局域網(wǎng)安全方案時(shí)就覺得難以定論。對(duì)于各種無線局域網(wǎng)安全策略和它們采取的加密設(shè)置都是有所不同的。下面就跟大家探討一下分層式無線局域網(wǎng)安全方案的一些問題。

面對(duì)形形色色的無線局域網(wǎng)安全方案，用戶需要保持清醒：即使最新的802.11i也存在缺陷，沒有一種方案就能解決所有安全問題。例如，許多Wi-Fi解決方案當(dāng)前所提供的128位加密技術(shù)，不可能阻止黑客蓄意發(fā)起的攻擊活動(dòng)。許多用戶也常常會(huì)犯一些簡單錯(cuò)誤，如忘記啟動(dòng)WEP功能，從而使無線連接成為不設(shè)防的連接，用戶沒有在企業(yè)防火墻的外部設(shè)置AP，結(jié)果使攻擊者利用無線連接避開防火墻，入侵局域網(wǎng)。對(duì)于用戶來說，與其依賴一種安全技術(shù)，不如選擇適合實(shí)際情況的無線局域網(wǎng)安全方案，建立多層的安全保護(hù)機(jī)制，這樣才能有助于避免無線技術(shù)帶來的安全風(fēng)險(xiǎn)。

企業(yè)用戶通常把無線連接視為一個(gè)系統(tǒng)的組成部分，這種系統(tǒng)必須能適應(yīng)其網(wǎng)絡(luò)基礎(chǔ)架構(gòu)的需要，提供更高水平的保護(hù)功能，以確保企業(yè)信息、用戶身份和其他網(wǎng)絡(luò)資源的安全性。企業(yè)用戶需要對(duì)無線局域網(wǎng)受到的威脅以及無線局域網(wǎng)所需求的安全等級(jí)進(jìn)行評(píng)估，尤其需要保護(hù)含有敏感數(shù)據(jù)的對(duì)外開放的網(wǎng)絡(luò)服務(wù)器，它們需要的安全保護(hù)往往要超過網(wǎng)絡(luò)中的其他服務(wù)器。同時(shí)，企業(yè)用戶需要在AP和客戶機(jī)之間建立多層次保護(hù)的無線連接，以加強(qiáng)安全性。

40位的WEP和128位共享密鑰加密技術(shù)能夠提供基本的無線局域網(wǎng)安全需求，并能抵御最低水平的危險(xiǎn)。IT管理員也可以在AP內(nèi)部創(chuàng)建和維護(hù)無線客戶機(jī)設(shè)備的MAC地址表，并在替換或增加無線設(shè)備時(shí)，以人工方式改變MAC地址表。由于WEP是一種共享密鑰，如果用戶密鑰受到破壞，黑客就有可能獲取專用信息和網(wǎng)絡(luò)資源。隨著網(wǎng)絡(luò)規(guī)模的不斷擴(kuò)展，IT管理員需要加強(qiáng)無線局域網(wǎng)的管理工作。

為了增加無線局域網(wǎng)安全機(jī)制，企業(yè)可以使用“基于用戶”，而不是“基于設(shè)備MAC地址”的驗(yàn)證機(jī)制。這樣，即使用戶的筆記本電腦被盜，盜賊如果沒有筆記本電腦用戶的用戶名和口令，也無法訪問網(wǎng)絡(luò)。這種方法簡單易行，同時(shí)還會(huì)減輕管理負(fù)擔(dān)，因?yàn)椴恍枰匀斯し绞焦芾鞰AC地址表，但企業(yè)需要評(píng)估和部署AP，以支持基于用戶的驗(yàn)證數(shù)據(jù)庫。該驗(yàn)證數(shù)據(jù)庫可以通過本地方式，在AP內(nèi)部進(jìn)行維護(hù)。

企業(yè)可以啟動(dòng)由AP執(zhí)行的動(dòng)態(tài)密鑰管理功能。有些無線供應(yīng)商提供這種管理功能，以此作為一個(gè)附加安全層。

這種多層次策略，使每個(gè)用戶均擁有一個(gè)獨(dú)特的密鑰，該密鑰可以經(jīng)常改變。即使黑客破壞了加密機(jī)制，并獲得網(wǎng)絡(luò)訪問權(quán)，但黑客獲取的密鑰的有效期很短暫，從而限制了可能造成的破壞。這種方法因?yàn)榫哂性贏P內(nèi)部設(shè)計(jì)動(dòng)態(tài)密鑰管理的功能，從而簡化了日益擴(kuò)展的IT資源的管理負(fù)擔(dān)。與128位共享密鑰加密技術(shù)相比，動(dòng)態(tài)密鑰管理的功能更強(qiáng)勁，因?yàn)榻?jīng)常改變密鑰進(jìn)一步增加了黑客侵入系統(tǒng)的難度。

具體來來說，用戶只需采取以下措施，就可以將無線局域網(wǎng)安全風(fēng)險(xiǎn)大大降低。

一是控制無線客戶機(jī)，實(shí)現(xiàn)WLAN網(wǎng)卡的標(biāo)準(zhǔn)化，防止WLAN網(wǎng)卡被任意改動(dòng)；

二是像對(duì)待Internet那樣，對(duì)待WLAN，在WLAN和有線網(wǎng)絡(luò)之間安裝防火墻，阻止非授權(quán)的WLAN用戶向有線網(wǎng)絡(luò)發(fā)送二層數(shù)據(jù)包；

三是保護(hù)接入點(diǎn)，將接入點(diǎn)隱藏在不容易被發(fā)現(xiàn)的地方，防止被非法篡改；

四是防止無線電波“泄漏”到站點(diǎn)之外，用戶可以利用各用措施“改變”無線電波的形態(tài)，在站點(diǎn)邊緣尤其需要用戶這么做；

五是不要僅依靠WPA，這是因?yàn)閃PA仍然使用流密碼加密無線數(shù)據(jù)流，而沒有使用更安全的分組密碼；

六是使用VPN，IPSec VPN或SSL VPN仍被視為是最佳的保護(hù)技術(shù)；

七是利用第三方無線局域網(wǎng)安全控制器完善VPN；

八是選擇合適的EAP方式；

九是監(jiān)測網(wǎng)絡(luò)，利用分析器和監(jiān)測器分析WLAN無線數(shù)據(jù)流，發(fā)現(xiàn)未經(jīng)授權(quán)的接入點(diǎn)，并且根據(jù)需要阻止或斷開客戶機(jī)，以及檢測入侵者。

總之，只要結(jié)合企業(yè)實(shí)際，合理組合安全機(jī)制，用戶就可以回避無線局域網(wǎng)的風(fēng)險(xiǎn)而享受到無線接入的便捷。