|
|
|
|
|
|
|
|
|
|
|
|
| 無(wú)線(xiàn)IPS
無(wú)線(xiàn)技術(shù)的廣泛應用使無(wú)線(xiàn)入侵防護系統日益受到追捧。但所有無(wú)線(xiàn)IPS廠(chǎng)商都聲稱(chēng)，它們的解決方案可以提供全面的入侵防護。真的是這樣嗎？每家廠(chǎng)商定義無(wú)線(xiàn)IPS的方式都各不相同，因此，產(chǎn)品在設計、偵測攻擊方式以及如何應對攻擊者等方面各不相同; 此外，也不可能一種產(chǎn)品能適合所有的環(huán)境。那么，該如何部署無(wú)線(xiàn)入侵防護系統呢？
Forrester研究公司稱(chēng)，選擇正確的入侵防護系統并不只是“一種產(chǎn)品適合所有環(huán)境”的簡(jiǎn)單問(wèn)題，比如，最適合市區辦公室的產(chǎn)品對于郊區的校園也許就大材小用了。所以，在選擇時(shí)，人們應該擦亮眼睛。
選擇正確的無(wú)線(xiàn)IPS
有線(xiàn)和無(wú)線(xiàn)入侵偵測與預防解決方案有很多相同之處：兩者均能監控周邊情況，發(fā)現不友好的行為方式，并采取相應的措施。兩者均尋求把假攻擊的數量降至最低，并集中資源應對真正的問(wèn)題。但兩者的相同之處也就僅此而已。有線(xiàn)IPS可以監控已經(jīng)在網(wǎng)絡(luò )上運行的設備的行為，并偵測和封鎖潛在的有害活動(dòng)。與此形成對比的是，無(wú)線(xiàn)IPS的目的是確保只有授權了的設備可以參與網(wǎng)絡(luò )。
因此，無(wú)線(xiàn)IPS解決方案關(guān)注的主要是無(wú)線(xiàn)設備與網(wǎng)絡(luò )連接的那一時(shí)刻，而不是已經(jīng)與網(wǎng)絡(luò )連接的那些設備都在干些什么。同樣地，大多數好的無(wú)線(xiàn)IPS解決方案只在數據連接層或更低層工作，以便把它們所運行的無(wú)線(xiàn)環(huán)境里占優(yōu)勢的情況考慮在內。在市區環(huán)境里，這一點(diǎn)尤其重要，因為在市區環(huán)境里，相鄰辦公室、家庭，甚至路過(guò)的送貨車(chē)都配備了無(wú)線(xiàn)接入點(diǎn)，都會(huì )使那些簡(jiǎn)單的“無(wú)賴(lài)接入點(diǎn)”偵測解決方案陷入大混亂中。
制訂無(wú)線(xiàn)IPS需求清單
在制訂潛在無(wú)線(xiàn)IPS廠(chǎng)商清單之前，問(wèn)自己以下的問(wèn)題。
首先要明確，你需要使用無(wú)線(xiàn)IPS解決什么問(wèn)題？明確你實(shí)現無(wú)線(xiàn)入侵偵測系統(IDS)或IPS的目標將有助于你盡早縮小你的清單范圍。比如，AirMagnet公司、Network Chemistry公司以及AirDefense公司之類(lèi)的廠(chǎng)商的目標是偵測和封鎖WLAN上的異常行為，如“無(wú)賴(lài)接入點(diǎn)”，或封鎖來(lái)自諸如NetStumbler或AirSnort之類(lèi)常見(jiàn)攻擊工具的刺探等。而AirTight Networks公司和Newbury Networks公司之類(lèi)的其他廠(chǎng)商關(guān)注的更多是，如何根據未授權無(wú)線(xiàn)設備所在位置之類(lèi)的因素，使這些未授權設備無(wú)法進(jìn)入網(wǎng)絡(luò )。
其次，你的無(wú)線(xiàn)基礎設施戰略是什么？無(wú)線(xiàn)IDS僅僅只是全面的無(wú)線(xiàn)安全戰略的一部分。比如Aruba Wireless Networks公司和AireSpace公司之類(lèi)的廠(chǎng)商把無(wú)線(xiàn)IPS功能與那些性能和設備管理之類(lèi)范圍更廣泛的基礎設施功能融為了一體。然而，由于這些產(chǎn)品重點(diǎn)都不是很明確，因此，它們的攻擊偵測和防護方法開(kāi)發(fā)得也就不是很好。
第三，你對廠(chǎng)商風(fēng)險的要求是什么？目前在無(wú)線(xiàn)空間打拼的許多廠(chǎng)商都是些剛起步的小型公司。因此，它們一定期待合并和收購。那些大廠(chǎng)商，如Cisco公司、3Com公司以及Hewlett-Packard等最終將進(jìn)入這一空間，但是，他們肯定會(huì )有所懷疑——因為這些聯(lián)網(wǎng)巨擎始終都把功能和速度放在比安全更優(yōu)的地位。
向潛在廠(chǎng)商提出重要問(wèn)題
一旦明確了實(shí)現無(wú)線(xiàn)IPS的重點(diǎn)，并得到了最終候選廠(chǎng)商的回應，那么，你將很快地發(fā)現，廠(chǎng)商解決問(wèn)題的方法極其不同。如下是你必須向潛在廠(chǎng)商提出的四個(gè)至關(guān)重要的問(wèn)題。
1. 它將如何解決問(wèn)題？解決方案，如AirMagnet公司的解決方案等，都是用網(wǎng)絡(luò )傳感器處理通信信息。這樣雖然會(huì )減少傳感器與中央服務(wù)器之間所需的網(wǎng)絡(luò )帶寬，但是，這卻意味著(zhù)，管理和更新傳感器變得更為關(guān)鍵了。AirDefense公司和Network Chemistry公司的無(wú)線(xiàn)IDS可以在把數據傳送給中央服務(wù)器接受檢查之前，在傳感器上進(jìn)行初步的數據分析和清除。這樣雖然將增加網(wǎng)絡(luò )和中央服務(wù)器的負擔，但卻允許對來(lái)自多個(gè)接入點(diǎn)的數據進(jìn)行更為復雜的相互關(guān)聯(lián)。
2. 它將如何偵測攻擊？有些無(wú)線(xiàn)IPS主要使用基于簽名的攻擊偵測。然而，這些基于簽名的解決方案的技巧卻極為不同。例如，Cisco Works Wireless LAN Solution Engine(WLSE)里的功能除了能偵測“無(wú)賴(lài)接入點(diǎn)”之外，基本上不能做別的。與此形成對比的是，AirMagnet公司、AirDefense公司和Network Chemistry公司則為其基于簽名的偵測功能增加了基于固件的偵測功能，以應對更為復雜的拒絕服務(wù)(DoS)攻擊。Newbury Networks公司和AirTight Networks公司采用的是更加基于政策的方法來(lái)偵測攻擊，使用已知設備的數據庫和技術(shù)以及可以確定設備物理定位的技術(shù)，來(lái)偵測針對無(wú)線(xiàn)網(wǎng)絡(luò )的未經(jīng)授權的行動(dòng)。
3. 它將如何應對攻擊？無(wú)線(xiàn)IPS采用許多不同的方法來(lái)隔離那些與未授權的活動(dòng)有關(guān)的設備。更簡(jiǎn)單的解決方案只能使那些“無(wú)賴(lài)接入點(diǎn)”端口失效。其他解決方案，如AirMagnet公司和Network Chemistry公司的解決方案，則發(fā)送“解除關(guān)系”或“取消授權”信息包，斷開(kāi)客戶(hù)機與未經(jīng)授權的接入點(diǎn)的連接，或者，定位未經(jīng)授權的客戶(hù)機。更復雜的解決方案，其中包括AirDefense公司和AirTight Networks公司的解決方案，則可以識別攻擊者的構造和模型，并發(fā)送組合信息包，這種信息包可以在該設備發(fā)動(dòng)另一次攻擊之前，以最長(cháng)的時(shí)間最有效地定位該設備。
4. 廠(chǎng)商的合作伙伴是誰(shuí)？無(wú)線(xiàn)IPS、無(wú)線(xiàn)聯(lián)網(wǎng)以及其他廠(chǎng)商之間的合作伙伴關(guān)系網(wǎng)非常復雜。確信最后挑選的廠(chǎng)商的合作伙伴能夠更有效更輕松地與你進(jìn)行互操作。例如，AirMagnet公司與AirLink Communications公司和Wavelink公司建立了良好的合作伙伴關(guān)系，而AirDefense公司最近也宣布與Cisco公司建立了合作伙伴關(guān)系，并計劃把其產(chǎn)品與Cisco公司的Aironet WLAN基礎設施產(chǎn)品進(jìn)行集成。令人困惑的是，廠(chǎng)商經(jīng)常在OEM或聯(lián)合商標的基礎上轉售相互之間的元件。出自Newbury Networks公司和Bluesocket公司的無(wú)線(xiàn)IPS產(chǎn)品就融入了Network Chemistry公司的傳感器。
一種產(chǎn)品并不適合所有環(huán)境
如何為你的環(huán)境找到正確的無(wú)線(xiàn)IPS取決于許多因素，如用戶(hù)的連接方式、公司安全標準以及預算等等。
以下是要考慮的幾個(gè)重點(diǎn)問(wèn)題。
首先，確定你的無(wú)線(xiàn)重點(diǎn)。最適合于你的產(chǎn)品取決于你的無(wú)線(xiàn)策略。如果你制訂的是沒(méi)有無(wú)線(xiàn)的策略，或者，如果你運行的是開(kāi)放的無(wú)線(xiàn)網(wǎng)絡(luò )，而這個(gè)網(wǎng)絡(luò )要求VPN客戶(hù)機與公司資源連接，那么，你必須把對“無(wú)賴(lài)接入點(diǎn)”的偵測列為你的重中之重。對于作為公司網(wǎng)絡(luò )的一部分的WLAN而言， 你最為關(guān)注的則必須是如何減少對客戶(hù)機和接入點(diǎn)的攻擊。
其次，選擇適合你的網(wǎng)絡(luò )和物理環(huán)境的系統。對與你的環(huán)境有關(guān)的產(chǎn)品的技術(shù)優(yōu)勢和不足進(jìn)行評估。在擁擠的市區環(huán)境里的辦公室需要比郊區校園環(huán)境里的辦公室需要更先進(jìn)的解決方案，以便把鄰近無(wú)線(xiàn)網(wǎng)絡(luò )活動(dòng)與真正的攻擊區分開(kāi)來(lái)。同樣地，如果辦公室之間的網(wǎng)絡(luò )通信已使你的WAN擁擠不堪，那么，請選擇一個(gè)更加分散式的解決方案。
第三，考慮隱形成本。在對比不同無(wú)線(xiàn)IPS解決方案的成本的時(shí)候，請記住把安裝新的網(wǎng)絡(luò )硬件的成本包括進(jìn)去。如果解決方案要求使用單獨的IPS傳感器，那么，安裝成本將非常巨大，因為傳感器通常都必須部署在無(wú)法訪(fǎng)問(wèn)的地方。在這些難以抵達的地方，Power over Ethernet(PoE)可以大幅度地降低成本。你還必須考慮為了支持解決方案所需要的任何基于中央服務(wù)器的數據處理你所需要的硬件和軟件的成本。
|
|
|
|
| 無(wú)線(xiàn)局域網(wǎng)安全攻略
- -
安全問(wèn)題始終是無(wú)線(xiàn)局域網(wǎng)的軟肋，一直制約著(zhù)無(wú)線(xiàn)局域網(wǎng)技術(shù)的進(jìn)一步推廣。從無(wú)線(xiàn)局域網(wǎng)技術(shù)的發(fā)展來(lái)看，人們一直都致力于解決無(wú)線(xiàn)局域網(wǎng)的安全問(wèn)題。了解無(wú)線(xiàn)網(wǎng)絡(luò )的安全進(jìn)程，有助于用戶(hù)采取有效的安全措施。
無(wú)線(xiàn)網(wǎng)絡(luò )的安全進(jìn)程
在無(wú)線(xiàn)局域網(wǎng)的早期發(fā)展階段，物理地址（MAC）過(guò)濾和服務(wù)區標識符(SSID)匹配是兩項主要的安全技術(shù)。物理地址過(guò)濾技術(shù)可以在無(wú)線(xiàn)訪(fǎng)問(wèn)點(diǎn)AP中維護一組允許訪(fǎng)問(wèn)的MAC地址列表，實(shí)現物理地址過(guò)濾。服務(wù)區標識符匹配則要求無(wú)線(xiàn)工作站出示正確的SSID，才能訪(fǎng)問(wèn)AP，通過(guò)提供口令認證機制，實(shí)現一定的無(wú)線(xiàn)安全。
物理地址過(guò)濾和服務(wù)區標識符匹配只能解決有限的安全問(wèn)題。為了進(jìn)一步解決安全問(wèn)題，有線(xiàn)等效保密（Wired Equivalent Privacy，WEP）協(xié)議被推到臺前。WEP用于在無(wú)線(xiàn)局域網(wǎng)中保護鏈路層數據。WEP使用40位、64位和128位鑰匙，采用RC4對稱(chēng)加密算法，在鏈路層加密數據和訪(fǎng)問(wèn)控制。WEP具有很好的互操作性，所有通過(guò)Wi-Fi組織認證的產(chǎn)品都可以實(shí)現WEP互操作。
不過(guò)，WEP的密鑰機制存在被破譯的安全隱患，勢必要被趨于完善的其他安全技術(shù)所取代。端口訪(fǎng)問(wèn)控制技術(shù)（Port Based Network Access Control，IEEE 802.1x）和可擴展認證協(xié)議（Extensible Authentication Protocol，EAP）可以看成是完善的安全技術(shù)出現之前的過(guò)渡方案。IEEE 802.1x標準定義了基于端口的網(wǎng)絡(luò )訪(fǎng)問(wèn)控制，可以提供經(jīng)過(guò)身份驗證的網(wǎng)絡(luò )訪(fǎng)問(wèn)?；诙丝诘木W(wǎng)絡(luò )訪(fǎng)問(wèn)控制使用交換局域網(wǎng)基礎結構的物理特征來(lái)對連接到交換機端口的設備進(jìn)行身份驗證。如果身份驗證失敗，使用以太網(wǎng)交換機端口來(lái)發(fā)送和接收幀的行為就會(huì )被拒絕。雖然這個(gè)標準是為有線(xiàn)以太網(wǎng)絡(luò )設計的，但是經(jīng)過(guò)改編后可以在IEEE 802.11無(wú)線(xiàn)局域網(wǎng)上應用。EAP不專(zhuān)屬于某一廠(chǎng)商，它能夠彌補WEP的弱點(diǎn)，并且同時(shí)能夠解決在接入點(diǎn)之間的移動(dòng)性問(wèn)題。EAP還解決了VPN瓶頸問(wèn)題，使用戶(hù)能夠以有線(xiàn)網(wǎng)絡(luò )的速度進(jìn)行工作。不過(guò)，配置EAP不是一件容易的事情，這也就是為什么PEAP受到歡迎的原因。PEAP是由微軟，思科和RSA Security共同開(kāi)發(fā)，致力于簡(jiǎn)化客戶(hù)端、服務(wù)器端以及目錄的端到端整合。
Wi-Fi保護接入（Wi-Fi Protected Access，WPA）是作為通向802.11i道路的不可缺失的一環(huán)而出現，并成為在IEEE 802.11i 標準確定之前代替WEP的無(wú)線(xiàn)安全標準協(xié)議。WPA是IEEE 802.11i的一個(gè)子集，其核心就是IEEE 802.1x和暫時(shí)密鑰完整協(xié)議(Temporal Key Integrity Protocol，TKIP）。 WPA使包括802.11b、802.11a和802.11g在內的無(wú)線(xiàn)裝置的安全性得到保證。這是因為WPA采用新的加密算法以及用戶(hù)認證機制，滿(mǎn)足WLAN的安全需求。WPA沿用了WEP的基本原理同時(shí)又克服了WEP缺點(diǎn)。由于加強了生成加密密鑰的算法，即使黑客收集到分組信息并對其進(jìn)行解析，也幾乎無(wú)法計算出通用密鑰，解決了WEP倍受指責的缺點(diǎn)。不過(guò)，WPA不能向后兼容某些遺留設備和操作系統。此外，除非無(wú)線(xiàn)局域網(wǎng)具有運行WPA和加快該協(xié)議處理速度的硬件，否則WPA將降低網(wǎng)絡(luò )性能。
WPA2是Wi-Fi聯(lián)盟發(fā)布的第二代WPA標準。WPA2與后來(lái)發(fā)布的802.11i具有類(lèi)似的特性，它們最重要的共性是預驗證，即在用戶(hù)對延遲毫無(wú)察覺(jué)的情況下實(shí)現安全快速漫游，同時(shí)采用CCMP加密包來(lái)替代TKIP。
2004年6月，802.11工作組正式發(fā)布了IEEE 802.11i，以加強無(wú)線(xiàn)網(wǎng)絡(luò )的安全性和保證不同無(wú)線(xiàn)安全技術(shù)之間的兼容性，802.11i標準包括WPA和RSN兩部分。WPA在文章前面已經(jīng)提過(guò)。RSN是接入點(diǎn)與移動(dòng)設備之間的動(dòng)態(tài)協(xié)商認證和加密算法。802.11i的認證方案是基于802.1x 和EAP，加密算法是AES。動(dòng)態(tài)協(xié)商認證和加密算法使RSN可以與最新的安全水平保持同步，不斷提供保護無(wú)線(xiàn)局域網(wǎng)傳輸信息所需要的安全性。與WEP和WPA相比，RSN更可靠，但是RSN不能很好地在遺留設備上運行。
在Wi-Fi推出的初期，專(zhuān)家也建議用戶(hù)通過(guò)VPN進(jìn)行無(wú)線(xiàn)連接。VPN采用DES、3DES等技術(shù)來(lái)保障數據傳輸的安全。IPSec VPN和SSL VPN是目前兩種具有代表意義的VPN技術(shù)。IPSec VPN運行在網(wǎng)絡(luò )層，保護在站點(diǎn)之間的數據傳輸安全，要求遠程接入者必須正確地安裝和配置客戶(hù)端軟件或接入設備，將訪(fǎng)問(wèn)限制在特定的接入設備、客戶(hù)端程序、用戶(hù)認證機制和預定義的安全關(guān)系上，提供了較高水平的安全性。SSL被預先安裝在主機的瀏覽器中，是一種無(wú)客戶(hù)機的解決方案，可以節省安裝和維護成本。
對于安全性要求高的用戶(hù)，將VPN安全技術(shù)與其他無(wú)線(xiàn)安全技術(shù)結合起來(lái)，是目前較為理想的無(wú)線(xiàn)局域網(wǎng)安全解決方案。
多元化的無(wú)線(xiàn)安全策略
面對形形色色的無(wú)線(xiàn)安全方案，用戶(hù)需要保持清醒：即使最新的802.11i也存在缺陷，沒(méi)有一種方案就能解決所有安全問(wèn)題。例如，許多Wi-Fi解決方案當前所提供的128位加密技術(shù)，不可能阻止黑客蓄意發(fā)起的攻擊活動(dòng)。許多用戶(hù)也常常會(huì )犯一些簡(jiǎn)單錯誤，如忘記啟動(dòng)WEP功能，從而使無(wú)線(xiàn)連接成為不設防的連接，用戶(hù)沒(méi)有在企業(yè)防火墻的外部設置AP，結果使攻擊者利用無(wú)線(xiàn)連接避開(kāi)防火墻，入侵局域網(wǎng)。對于用戶(hù)來(lái)說(shuō)，與其依賴(lài)一種安全技術(shù)，不如選擇適合實(shí)際情況的無(wú)線(xiàn)安全方案，建立多層的安全保護機制，這樣才能有助于避免無(wú)線(xiàn)技術(shù)帶來(lái)的安全風(fēng)險。
企業(yè)用戶(hù)通常把無(wú)線(xiàn)連接視為一個(gè)系統的組成部分，這種系統必須能適應其網(wǎng)絡(luò )基礎架構的需要，提供更高水平的保護功能，以確保企業(yè)信息、用戶(hù)身份和其他網(wǎng)絡(luò )資源的安全性。企業(yè)用戶(hù)需要對無(wú)線(xiàn)網(wǎng)絡(luò )受到的威脅以及無(wú)線(xiàn)網(wǎng)絡(luò )所需求的安全等級進(jìn)行評估，尤其需要保護含有敏感數據的對外開(kāi)放的網(wǎng)絡(luò )服務(wù)器，它們需要的安全保護往往要超過(guò)網(wǎng)絡(luò )中的其他服務(wù)器。同時(shí)，企業(yè)用戶(hù)需要在A(yíng)P和客戶(hù)機之間建立多層次保護的無(wú)線(xiàn)連接，以加強安全性。
40位的WEP和128位共享密鑰加密技術(shù)能夠提供基本的安全需求，并能抵御最低水平的危險。IT管理員也可以在A(yíng)P內部創(chuàng )建和維護無(wú)線(xiàn)客戶(hù)機設備的MAC地址表，并在替換或增加無(wú)線(xiàn)設備時(shí)，以人工方式改變MAC地址表。由于WEP是一種共享密鑰，如果用戶(hù)密鑰受到破壞，黑客就有可能獲取專(zhuān)用信息和網(wǎng)絡(luò )資源。隨著(zhù)網(wǎng)絡(luò )規模的不斷擴展，IT管理員需要加強無(wú)線(xiàn)網(wǎng)絡(luò )的管理工作。
為了增加無(wú)線(xiàn)網(wǎng)絡(luò )的安全機制，企業(yè)可以使用“基于用戶(hù)”，而不是“基于設備MAC地址”的驗證機制。這樣，即使用戶(hù)的筆記本電腦被盜，盜賊如果沒(méi)有筆記本電腦用戶(hù)的用戶(hù)名和口令，也無(wú)法訪(fǎng)問(wèn)網(wǎng)絡(luò )。這種方法簡(jiǎn)單易行，同時(shí)還會(huì )減輕管理負擔，因為不需要以人工方式管理MAC地址表，但企業(yè)需要評估和部署AP，以支持基于用戶(hù)的驗證數據庫。該驗證數據庫可以通過(guò)本地方式，在A(yíng)P內部進(jìn)行維護。
企業(yè)可以啟動(dòng)由AP執行的動(dòng)態(tài)密鑰管理功能。有些無(wú)線(xiàn)供應商提供這種管理功能，以此作為一個(gè)附加安全層。
這種多層次策略，使每個(gè)用戶(hù)均擁有一個(gè)獨特的密鑰，該密鑰可以經(jīng)常改變。即使黑客破壞了加密機制，并獲得網(wǎng)絡(luò )訪(fǎng)問(wèn)權，但黑客獲取的密鑰的有效期很短暫，從而限制了可能造成的破壞。這種方法因為具有在A(yíng)P內部設計動(dòng)態(tài)密鑰管理的功能，從而簡(jiǎn)化了日益擴展的IT資源的管理負擔。與128位共享密鑰加密技術(shù)相比，動(dòng)態(tài)密鑰管理的功能更強勁，因為經(jīng)常改變密鑰進(jìn)一步增加了黑客侵入系統的難度。
具體來(lái)來(lái)說(shuō)，用戶(hù)只需采取以下措施，就可以將無(wú)線(xiàn)網(wǎng)絡(luò )的安全風(fēng)險大大降低。一是控制無(wú)線(xiàn)客戶(hù)機，實(shí)現WLAN網(wǎng)卡的標準化，防止WLAN網(wǎng)卡被任意改動(dòng)；二是像對待Internet那樣，對待WLAN，在WLAN和有線(xiàn)網(wǎng)絡(luò )之間安裝防火墻，阻止非授權的WLAN用戶(hù)向有線(xiàn)網(wǎng)絡(luò )發(fā)送二層數據包；三是保護接入點(diǎn)，將接入點(diǎn)隱藏在不容易被發(fā)現的地方，防止被非法篡改；四是防止無(wú)線(xiàn)電波“泄漏”到站點(diǎn)之外，用戶(hù)可以利用各用措施“改變”無(wú)線(xiàn)電波的形態(tài)，在站點(diǎn)邊緣尤其需要用戶(hù)這么做；五是不要僅依靠WPA，這是因為WPA仍然使用流密碼加密無(wú)線(xiàn)數據流，而沒(méi)有使用更安全的分組密碼；六是使用VPN，IPSec VPN或SSL VPN仍被視為是最佳的保護技術(shù)；七是利用第三方無(wú)線(xiàn)安全控制器完善VPN；八是選擇合適的EAP方式；九是監測網(wǎng)絡(luò )，利用分析器和監測器分析WLAN無(wú)線(xiàn)數據流，發(fā)現未經(jīng)授權的接入點(diǎn)，并且根據需要阻止或斷開(kāi)客戶(hù)機，以及檢測入侵者。
總之，只要結合企業(yè)實(shí)際，合理組合安全機制，用戶(hù)就可以回避無(wú)線(xiàn)網(wǎng)絡(luò )的風(fēng)險而享受到無(wú)線(xiàn)接入的便捷。
|
|
|
|
| 排除基本無(wú)線(xiàn)局域網(wǎng)絡(luò )故障- -
當一個(gè)無(wú)線(xiàn)網(wǎng)絡(luò )發(fā)生問(wèn)題時(shí)，你應該首先從幾個(gè)關(guān)鍵問(wèn)題入手進(jìn)行排錯。在這篇文章中，我們將介紹一些無(wú)線(xiàn)網(wǎng)絡(luò )排錯的方法和技巧。
如果你的無(wú)線(xiàn)網(wǎng)絡(luò )出現了問(wèn)題，其原因可能是來(lái)自各個(gè)方面。當你試圖解決這一問(wèn)題時(shí)，可能會(huì )涉及硬件廠(chǎng)商以及網(wǎng)絡(luò )配置等諸多因素。
當一個(gè)無(wú)線(xiàn)網(wǎng)絡(luò )發(fā)生問(wèn)題時(shí)，你應該首先從幾個(gè)關(guān)鍵問(wèn)題入手進(jìn)行排錯。一些硬件的問(wèn)題會(huì )導致網(wǎng)絡(luò )錯誤，同時(shí)錯誤的配置也會(huì )導致網(wǎng)絡(luò )不能正常工作。在這篇文章中，我們將介紹一些無(wú)線(xiàn)網(wǎng)絡(luò )排錯的方法和技巧。（本文針對的是基本的無(wú)線(xiàn)網(wǎng)絡(luò )，而不是特殊的無(wú)線(xiàn)網(wǎng)絡(luò )）
硬件排錯
當只有一個(gè)接入點(diǎn)以及一個(gè)無(wú)線(xiàn)客戶(hù)端出現連接問(wèn)題時(shí)，我們可能會(huì )很快的找到出有問(wèn)題的客戶(hù)端。但是當網(wǎng)絡(luò )非常大時(shí)，找出問(wèn)題的所在可能就不是那么容易了。
在大型的無(wú)線(xiàn)網(wǎng)絡(luò )環(huán)境中，如果有些用戶(hù)無(wú)法連接網(wǎng)絡(luò )，而另一些客戶(hù)卻沒(méi)有任何問(wèn)題，那么很有可能是眾多接入點(diǎn)中的某個(gè)出現了故障。一般來(lái)說(shuō)，通過(guò)察看有網(wǎng)絡(luò )問(wèn)題的客戶(hù)端的物理位置，你就能大概判斷出是哪個(gè)接入點(diǎn)出現問(wèn)題。
當所有客戶(hù)都無(wú)法連接網(wǎng)絡(luò )時(shí)，問(wèn)題可能來(lái)自多方面。如果你的網(wǎng)絡(luò )只使用了一個(gè)接入點(diǎn)，那么這個(gè)接入點(diǎn)可能有硬件問(wèn)題或者配置有錯誤。另外，也有可能是由于無(wú)線(xiàn)電干擾過(guò)于強烈，或者是無(wú)線(xiàn)接入點(diǎn)與有線(xiàn)網(wǎng)絡(luò )間的連接出現了問(wèn)題。
檢查接入點(diǎn)的可連接性
要確定無(wú)法連接網(wǎng)絡(luò )問(wèn)題的原因，首先需要檢測一下網(wǎng)絡(luò )環(huán)境中的電腦是否能正常連接無(wú)線(xiàn)接入點(diǎn)。簡(jiǎn)單的檢測方法是在你的有線(xiàn)網(wǎng)絡(luò )中的一臺電腦中打開(kāi)命令行模式，然后ping無(wú)線(xiàn)接入點(diǎn)的IP地址，如果無(wú)線(xiàn)接入點(diǎn)響應了這個(gè)ping命令，那么證明有線(xiàn)網(wǎng)絡(luò )中的電腦可以正常連接到無(wú)線(xiàn)接入點(diǎn)。如果無(wú)線(xiàn)接入點(diǎn)沒(méi)有響應，有可能是電腦與無(wú)線(xiàn)接入點(diǎn)間的無(wú)線(xiàn)連接出現問(wèn)題，或者是無(wú)線(xiàn)接入點(diǎn)本身出現了故障。
要確定到底是什么問(wèn)題，你可以嘗試從無(wú)線(xiàn)客戶(hù)端ping無(wú)線(xiàn)接入點(diǎn)的IP地址，如果成功，說(shuō)明剛才那臺電腦的網(wǎng)絡(luò )連接部分可能出現了問(wèn)題，比如網(wǎng)線(xiàn)損壞。
如果無(wú)線(xiàn)客戶(hù)端無(wú)法ping到無(wú)線(xiàn)接入點(diǎn)，那么證明無(wú)線(xiàn)接入點(diǎn)本身工作異常。你可以將其重新啟動(dòng)，等待大約五分鐘后再通過(guò)有線(xiàn)網(wǎng)絡(luò )中的電腦和無(wú)線(xiàn)客戶(hù)端，利用ping命令察看它的連接性。
如果從這兩方面ping無(wú)線(xiàn)接入點(diǎn)依然沒(méi)有響應，那么證明無(wú)線(xiàn)接入點(diǎn)已經(jīng)損壞或者配置錯誤。此時(shí)你可以將這個(gè)可能損壞了的無(wú)線(xiàn)接入點(diǎn)通過(guò)一段可用的網(wǎng)線(xiàn)連接到一個(gè)正常工作的網(wǎng)絡(luò )，你還需要檢查它的TCP/IP配置。之后，再次在有線(xiàn)網(wǎng)絡(luò )客戶(hù)端ping這個(gè)無(wú)線(xiàn)接入點(diǎn)，如果依然失敗，則表示這個(gè)無(wú)線(xiàn)接入點(diǎn)已經(jīng)損壞。這時(shí)你就應該更換新的無(wú)線(xiàn)接入點(diǎn)了。
配置問(wèn)題
無(wú)線(xiàn)網(wǎng)絡(luò )設備本身的質(zhì)量一般還是可以信任的，因此最大的問(wèn)題根源一般來(lái)自設備的配置上，而不是硬件本身。知道了這一點(diǎn)，我們下面就來(lái)看看幾種常見(jiàn)的由于錯誤配置而導致的網(wǎng)絡(luò )連接故障。
測試信號強度
如果你可以通過(guò)網(wǎng)線(xiàn)直接ping到無(wú)線(xiàn)接入點(diǎn)，而不能通過(guò)無(wú)線(xiàn)方式ping到它，那么基本可以認定無(wú)線(xiàn)接入點(diǎn)的故障只是暫時(shí)的。如果經(jīng)過(guò)調試，問(wèn)題還沒(méi)有解決，那么你可以檢測一下接入點(diǎn)的信號強度。雖然對于大多數網(wǎng)管來(lái)說(shuō)，還沒(méi)有一個(gè)標準的測量無(wú)線(xiàn)信號強度的方法，但是大多數無(wú)線(xiàn)網(wǎng)卡廠(chǎng)商都會(huì )在網(wǎng)卡上包含某種測量信號強度的機制。
試試改變頻道
如果經(jīng)過(guò)測試，你發(fā)現信號強度很弱，但是最近又沒(méi)有做過(guò)搬移改動(dòng)，那么可以試著(zhù)改變無(wú)線(xiàn)接入點(diǎn)的頻道并通過(guò)一臺無(wú)線(xiàn)終端檢驗信號是否有所加強。由于在所有的無(wú)線(xiàn)終端上修改連接頻道是一項不小的工程，因此你首先應該在一臺無(wú)線(xiàn)終端上測試，證明確實(shí)有效后才可以大面積實(shí)施。記住，有時(shí)候無(wú)線(xiàn)網(wǎng)絡(luò )的故障可能由于某個(gè)員工掛斷手機或者關(guān)閉微波爐而突然好轉。
檢驗SSID
不久前，我帶著(zhù)我的筆記本去朋友家工作。由于朋友家也采用了無(wú)線(xiàn)網(wǎng)絡(luò )，因此我決定連接到他的網(wǎng)絡(luò )?；氐郊液?，我并沒(méi)有再用這臺筆記本。過(guò)了兩周，當我再打開(kāi)筆記本后，發(fā)現它無(wú)法連接到我的無(wú)線(xiàn)網(wǎng)絡(luò )了。很快我就找到了問(wèn)題的根源：我忘記重新將服務(wù)區標識符(SSID，Service Set Identifier )修改回我自己的網(wǎng)絡(luò )標識了。記住，如果你的SSID沒(méi)有正確的指定網(wǎng)絡(luò )，那么你的筆記本根本不會(huì )ping到無(wú)線(xiàn)接入點(diǎn)，它會(huì )忽略無(wú)線(xiàn)接入點(diǎn)的存在，按給定的SSID來(lái)搜索對應的接入點(diǎn)。
檢驗WEP密鑰
檢查WEP加密設置。如果WEP設置錯誤，那么你也無(wú)法從無(wú)線(xiàn)終端ping到無(wú)線(xiàn)接入點(diǎn)。不同廠(chǎng)商的無(wú)線(xiàn)網(wǎng)卡和接入點(diǎn)需要你指定不同的WEP密鑰。比如，有的無(wú)線(xiàn)網(wǎng)卡需要你輸入十六進(jìn)制格式的密鑰，而另一些則需要你輸入十進(jìn)制的密鑰。同樣，有些廠(chǎng)商采用的是40位和64位加密，而另一些廠(chǎng)商則只支持128位加密方式。
要讓W(xué)EP正常工作，所有的無(wú)線(xiàn)客戶(hù)端和接入點(diǎn)都必須正確匹配。很多時(shí)候，雖然無(wú)線(xiàn)客戶(hù)端看上去已經(jīng)正確的配置了WEP，但是依然無(wú)法和無(wú)線(xiàn)接入點(diǎn)通信。在面對這種情況時(shí)，我一般都會(huì )將無(wú)線(xiàn)接入點(diǎn)恢復到出廠(chǎng)狀態(tài)，然后重新輸入WEP配置信息，并啟動(dòng)WEP功能。
棘手的WEP配置問(wèn)題
到現在為止，最常見(jiàn)的與配置有關(guān)的問(wèn)題就是有關(guān)使用WEP協(xié)議。而且WEP帶來(lái)的問(wèn)題也相當棘手，因為由于WEP不匹配所產(chǎn)生的問(wèn)題顯現的癥狀和很多嚴重的問(wèn)題非常相似。比如，如果WEP配置錯誤，那么無(wú)線(xiàn)客戶(hù)端將無(wú)法從無(wú)線(xiàn)網(wǎng)絡(luò )的DHCP服務(wù)器那里獲得IP地址（就算是無(wú)線(xiàn)接入點(diǎn)自帶DHCP功能也不行）。如果無(wú)線(xiàn)客戶(hù)端使用了靜態(tài)IP地址，那么它也無(wú)法ping到無(wú)線(xiàn)接入點(diǎn)的IP地址，這經(jīng)常會(huì )讓人誤以為網(wǎng)絡(luò )沒(méi)有連接。
判斷到底是WEP配置錯誤還是網(wǎng)絡(luò )硬件故障的基本技巧是利用無(wú)線(xiàn)網(wǎng)卡驅動(dòng)和操作系統內置的診斷功能。舉個(gè)例子，我的一個(gè)筆記本采用Windows XP系統，并配備了Linksys的無(wú)線(xiàn)網(wǎng)卡。當我將鼠標移動(dòng)到系統任務(wù)欄的無(wú)線(xiàn)網(wǎng)絡(luò )圖標時(shí)，會(huì )有網(wǎng)絡(luò )連接信息摘要浮現出來(lái)。當連接頻道和SSID設置正確后，就算WEP設置錯誤，你也可以連接到無(wú)線(xiàn)接入點(diǎn)。此時(shí)，從任務(wù)欄你會(huì )看到連接信號的強度為零。不論WEP是否設置正確，Linksys網(wǎng)卡都會(huì )顯示出連接信號強度。由此你也可以知道網(wǎng)絡(luò )確實(shí)是已經(jīng)連接上了，雖然有可能無(wú)法ping到無(wú)線(xiàn)接入點(diǎn)。
如果你右鍵點(diǎn)擊任務(wù)欄中的無(wú)線(xiàn)網(wǎng)絡(luò )圖標，并在彈出菜單中選擇查看可用的無(wú)線(xiàn)網(wǎng)絡(luò )（View Available Wireless Networks）命令，之后你會(huì )看到無(wú)線(xiàn)網(wǎng)絡(luò )連接（Wireless Network Connection）對話(huà)窗。這個(gè)對話(huà)窗會(huì )顯示出當前頻道內的全部無(wú)線(xiàn)網(wǎng)絡(luò )的SSID號，包括你沒(méi)有連接上的網(wǎng)絡(luò )。因此如果你發(fā)現你的無(wú)線(xiàn)網(wǎng)絡(luò )號在列表中，但是你看起來(lái)不能正常連接，那么你可以放心，自己的網(wǎng)絡(luò )連接并沒(méi)有什么問(wèn)題，問(wèn)題是出在配置上。
注意：
無(wú)線(xiàn)網(wǎng)絡(luò )連接對話(huà)框還提供了一個(gè)可以輸入WEP密鑰的區域，當你試圖連接某個(gè)無(wú)線(xiàn)網(wǎng)絡(luò )時(shí)，可以輸入該網(wǎng)絡(luò )的WEP密鑰。曾經(jīng)有很多次，我無(wú)法正確的連接到目的網(wǎng)絡(luò )，都是通過(guò)在這個(gè)區域手動(dòng)輸入WEP密鑰而獲得成功的。一般在這里輸入WEP密鑰后，網(wǎng)絡(luò )會(huì )馬上連接成功。
DHCP 配置問(wèn)題
另一個(gè)讓你無(wú)法成功的訪(fǎng)問(wèn)無(wú)線(xiàn)網(wǎng)絡(luò )的原因可能是由DHCP配置錯誤引起的。網(wǎng)絡(luò )中的DHCP服務(wù)器可以說(shuō)是你能否正常使用無(wú)線(xiàn)網(wǎng)絡(luò )的一個(gè)關(guān)鍵因素。
很多新款的無(wú)線(xiàn)接入點(diǎn)都自帶DHCP服務(wù)器功能。一般來(lái)說(shuō)，這些DHCP服務(wù)器都會(huì )將192.168.0.x這個(gè)地址段分配給無(wú)線(xiàn)客戶(hù)端。而且DHCP接入點(diǎn)也不會(huì )接受不是自己分配的IP地址的連接請求。這意味著(zhù)具有靜態(tài)IP地址的無(wú)線(xiàn)客戶(hù)端或者從其它DHCP服務(wù)器獲取IP地址的客戶(hù)端有可能無(wú)法正常連接到這個(gè)接入點(diǎn)。
當我第一次安裝了帶有DHCP服務(wù)的無(wú)線(xiàn)接入點(diǎn)時(shí)，我允許它為我的無(wú)線(xiàn)終端分配IP地址。然而我的網(wǎng)絡(luò )的IP地址段是147.100.x.y，這意味著(zhù)雖然無(wú)線(xiàn)客戶(hù)端可以連接到無(wú)線(xiàn)接入點(diǎn)并得到一個(gè)IP地址，但筆記本將無(wú)法與有線(xiàn)網(wǎng)絡(luò )內的其它電腦通信，因為它們屬于不同的地址段。對于這種情況，有兩種解決方法：
1、禁用接入點(diǎn)的DHCP服務(wù)，并讓無(wú)線(xiàn)客戶(hù)端從網(wǎng)絡(luò )內標準的DHCP服務(wù)器處獲取IP地址。
2、修改DHCP服務(wù)的地址范圍，使它適用于你現有的網(wǎng)絡(luò )。
這兩種方法都是可行的，不過(guò)具體還要看你的無(wú)線(xiàn)接入點(diǎn)的固件功能。很多無(wú)線(xiàn)接入點(diǎn)都允許你采用其中一種方法，而能夠支持這兩種方法的無(wú)線(xiàn)接入點(diǎn)很少。
多個(gè)接入點(diǎn)的問(wèn)題
設想一下假如有兩個(gè)無(wú)線(xiàn)接入點(diǎn)同時(shí)按照默認方式工作。在這種情況下，每個(gè)接入點(diǎn)都會(huì )為無(wú)線(xiàn)客戶(hù)端分配一個(gè)192.168.0.X的IP地址。由此產(chǎn)生的問(wèn)題是，兩個(gè)無(wú)線(xiàn)接入點(diǎn)并不能區分哪個(gè)IP是自己分配的，哪個(gè)又是另一個(gè)接入點(diǎn)分配的。因此網(wǎng)絡(luò )中早晚會(huì )產(chǎn)生IP地址沖突的問(wèn)題。要解決這個(gè)問(wèn)題，你應該在每個(gè)接入點(diǎn)上設定不同的IP地址分配范圍，以防止地址重疊。
注意客戶(hù)列表
有些接入點(diǎn)帶有客戶(hù)列表，只有列表中的終端客戶(hù)才可以訪(fǎng)問(wèn)接入點(diǎn)，因此這也有可能是網(wǎng)絡(luò )問(wèn)題的根源。這個(gè)列表記錄了所有可以訪(fǎng)問(wèn)接入點(diǎn)的無(wú)線(xiàn)終端的MAC地址，從安全的角度來(lái)說(shuō)，它可以防止那些未經(jīng)認證的用戶(hù)連接到你的網(wǎng)絡(luò )。通常這個(gè)功能是不被激活的，但是，如果用戶(hù)不小心激活了客戶(hù)列表，這時(shí)由于列表中并沒(méi)有保存任何MAC地址，因此不管其他的如何設置，所有的無(wú)線(xiàn)客戶(hù)端都無(wú)法連接到這個(gè)接入點(diǎn)了。
我也遇見(jiàn)過(guò)當網(wǎng)絡(luò )中存在多個(gè)接入點(diǎn)時(shí)，由于設置了用戶(hù)列表而引起的問(wèn)題。有些管理員以為只要在一個(gè)接入點(diǎn)上設置了客戶(hù)列表，那么這些認證的客戶(hù)就可以訪(fǎng)問(wèn)網(wǎng)絡(luò )的任何接入點(diǎn)了。其實(shí)不然，如果你希望接入點(diǎn)激活客戶(hù)列表功能，以提高安全性，那么應該在網(wǎng)絡(luò )中的每個(gè)接入點(diǎn)上進(jìn)行相同的設置，這樣經(jīng)過(guò)確認的用戶(hù)就可以連接網(wǎng)絡(luò )的任何一個(gè)接入點(diǎn)，而未經(jīng)確認的用戶(hù)則無(wú)法連接到任何一個(gè)接入點(diǎn)。 |
|
|
|
