灵活配置AP,安全连接无线网络
护肝最好方法49
2020    0
012
白居易的古诗
实际的无线网络中，会使用到大量的AP。客户端必须先连接到AP ，才可以接入无线网络。可以说，AP 是非常重要的无线设备，是用户和无线网络对接的桥梁。因此，对AP进行安全配置，才可以有效提高网络的安全性，保证合法的用户连接无线网络，将不法用户拒之门外。
对AP参数进行安全配置
对于思科的AP来说，其默认的账号为小写的cisco，密码（包括enable密码）为大写的CISCO，当然这种默认设置的安全性是比较差的，为此可以全局地设置用户名、密码和enable密码，特定AP设置的拥有高优先级。例如登录到思科某款无线款控制器管理界面，点击工具栏上的“Configuration”按钮，在左侧点击“Wireless”-“Access Points”-“Radios”-“Global AP Configuration”项，在右侧的“Login Credentials”栏中可以分别设置用户名、密码以及enable密码，点击“Apply”按钮执行应用。这些设置信息会自动推送给关联到该控制器的所有AP ，即所有相关AP都会拥有该密码。
当AP加入无线控制器后，AP就激活了console口安全，当用户访问AP console口时，会提示输入账户名和密码。当登录完成后，会进入非特权模式，您必须输入enable密码来进入特权模式。全局配置信息在无线控制器和AP重启后不会丢失，只有当AP加入新的无线控制器，而且该无线控制器配置了全局用户名和密码后，这些信息才会被覆盖掉。如果新的无线控制器没有配置全局身份信息，AP将保持之前的全局用户和密码。注意，您必须关注AP身份信息的变动情况，否则将无法登录AP。当然，想恢复默认的AP身份信息的话，最直接的办法是同时将无线控制器和AP 的设置恢复到出厂状态。
此外，还可以在AP 上执行“clear capwap private-config”命令，来清除该AP的配置信息，之后执行Reload命令重载即可。当然，为所有的AP设置统一的
身份认证信息，虽然使用起来比较方便。不过安全性依然不足，为了最大限度地提高AP的安全性，还
可以为不同的AP单独设置身份信息。例如在上述无线控制器管理界面左侧点击“WLAN”-“Access Points”-“All APs”项，在右侧列表中显示所有连接AP ，选中某个AP，在属性编辑界面中点击“Credentials”项，在“Login Credentials”栏中选择“Over-ride Global Credentials”项，为其设置用户名、密码以及enable密码。
还可以在“802.1x Supplicant Credentials”栏中选择“Over-ride Global Credentials”项，为其单独设置802.1x的身份验证信息。因为在一般情况下，AP都是连接到交换机，之后才连接到无线控制器上。当针对AP设置了802.1x的身份验证信息后，就可以在AP连接到的交换端口上开启802.1x的认证功能，这样AP就可以使用该802.1x认证信息，在该接口上进行EAP-FAST认证。点击“General”按钮，在“AP name”和“Location”栏中为其设置合适的名称和位置信息，这对于AP的管理是比较重要的。在AP列表上部点击“Advanced”按钮，选择“Telnet”和“SSH”项，可以激活相应的连接方式。
常用的无线认证方式
谈到AP的管理，就必然涉及WLAN的安全技术，这里主要谈谈关于无线控制器本地的DOT1x认证。对于每个WLAN来说，都对应独立的WLAN ID、Profile name和WLAN SSID。例如在上述无线控制器WLC管理界面中点击菜单“Configuration”-“Wireless”项，在WLANS列表中可以看到上述信息。每个连接的AP最多可以发布16个WLAN，即最大可以发布16个SSID，注意可以在WLC 上创建超过最大数量
的WLAN，并且选择这些WLAN发布到不同的AP。通过AP Group技术，可以向不同组的AP发送不同的WLAN。管理员可以配置WLAN使用不同的SSID或者相同的SSID，一个SSID标识一个特殊的无线网络。
对于二层安全来说，其包括None、WEP、WPA/ WPA2、802.1x以及CKIP等。对于None方式来说，不会进行任何加密。对于WEP和WAP方式来说，因为存在很大的安全隐患，黑客可以很容易对其进行破解，现在几乎不再使用。WPA使用802.1x实现认证的密钥管理，即密钥由802.1x动态产生。其支持单播和广播的密钥管理，注意WPA使用两套Key，分别用来加密单播和广播数据包。对于连接到某个AP的PC来说，会使用相同的PSK预共享密钥连接到目标AP上，该AP 会为每台PC产生唯一的用于加密单播的密钥，PC彼此之间并不知晓该密钥，这就会造成PC之间看到的单播包都是加密的。但是，PC之间的广播密钥是通用的。根据以上分析，可以看到AP的预共享密码和加密的密钥是存在差异的。
对于WPA2来说，其是目前使用最广泛的加密方式，使用了AES加密算法。对于个人用户来说，WPA使用预共享密钥进行认证，其不需要认证服务器，使用预设的共享密码进行认证，基于本地进行访问控制，使用TPIP和AES进行加密。对于企业来说，使用的是802.1x认证，其一般需要使用3A服务器，用于认证、授权和密钥分发，采用中心访问控制机制，使用TPIP 和AES进行加密。对于开放式网络环境来说，使用的是Web认证方式。对于WPA2和802.11i来说，二者其实是大体相等的技术标准，前者
是Wi-Fi标准，后者是IEEE标准。当然现在主要使用的是WPA2标准，其使用AES加密算法替代了不可靠的RC4加密算法，这里的AES加密算法其实以一种特殊的AES-CCMP算法，基于128位对称块加密，AES比RC4更加强大，但是消耗的资源也更多。可以基于硬件实现AES。
实现基于WLC本地的EAP认证
在这里为便于说明，没有使用ISE等专业的3A 服务器，而是使用无线控制器进行本地的EAP认证，即让其扮演简单的Radius服务器的角。在该无线控制器上执行“config t”命令，进入全局配置模式。执行“aaa new-model”“aaa authentication dot1x celue local”命令，启用名为“celue”的Dot1x认证策略。执行“aaa authorication credential-downliad celue1 local”命令，进行身份信息的授权。执行“aaa local authentication celue authorization celue1”命令，使用本地认证策略和授权策略。执行“dot1x system-auth-control”命令，全局激活Dot1x。在配置Dot1x时，对于3A服务器来说是需要一张证书的，客户在建立EAP 会话之前需要校验该证书。
因为该无线控制器扮演了3A服务器的角，所以也需要证书。这里使用的是自签名证书，执行“end”“ ip http secure-server”命令，启动HTTPS服务器功能，就可以自动产生自签名证书。登录到无线控制器管理界面，点击工具栏上的“Configuration”-Security”项，在左侧选择“Local EAP”-“Local EAP Profiles”项，在右侧“New”按钮，创建新的Profiles项目，输入其名称（例如“profile1”），其下列出常
用的EAP类型，这里选择最常用的“PEAP”项，可以在客户和3A服务器之间进行数据的加密传输。点击“Apply按钮，保存配置信息。点击工具栏上的“Configuration”-“Wireless”项，在左侧选择“WLAN”-“WLANS”项，在右侧点击“New”按钮，创建新的WLAN。
输入WLAN ID、SSID（例如“newssid”）以及Profile file名称（例如“pfile1”）。在列表中选择该WL AN项目，在其属性编辑界面中的“General”面板中的“Status”栏中选择“Enabled”项将其激活，在“Interface/Interface Group”列表中选择需要关联的本地VL AN的名称。在“Security”面板中点击“layer2”按钮，在“Auth Key Mgmt”列表中选择“802.1x”项。点击“AAA Server”按钮，在“Authentication Method”列表中选择上述认证策略（例如“celue1”）。选择“Local EAP Authentication”项，在“EAP Profile Name”栏中输入上述EAP项目名称（例如“profile1”）。配置完成后，在客户端可以搜索到上述SSID信号名。
在客户端进行安全连接
在网络和共享中心点击“设置新的连接或网络”项，之后选择“手动连接到无线网络”项，在打开窗口中的“网络名”栏中输入上述SSID名称，在“安全类型”列表中选择“WPA2-企业”项，点击下一步按钮，选择“更改连接设置”项，在打开窗口中的“安全”面板中的“选择网络身份验证方法”列表中确保选择“Microsoft受保护的EAP（PEAP）”项。
点击“设置”按钮，在其属性窗口中取消“通过验证证书来验证服务器的身份”项，这是因为在无线控制器上使用了自签名证书。点击“设置”按钮，取消“自动使用Windows登录名和密码”项。点击“高级设置”按钮，在高级设置窗口中的“802.1x设置”面板中选择“指定身份验证模式”项，在列表中选择“用户身份验证”项，点击确定按钮，保存配置信息。完成以上设置后，在无线连接列表中选择上述SSID项，输
50Computer Knowledge and Technology
农村社保新政策
富贵竹怎么养51
2020    0
什么是祈使句012入上述无线控制器上预设的本地用户名和密码，就可以成功连接了。
消费环境实现基于Web的安全认证
在开放的环境中，为了让用户可以顺利连接无线网络，会使用到Web认证技术。对于Web认证来说，其使用的是三层安全技术，在任意设备上利用浏览器，就可以连接到无线网络。其可以和使用预共享
密钥认证的二层安全技术配合使用，大大增加其安全性。当然，在一般情况下，Web认证只是提供认证并不会对传输的数据进行加密。Web认证仅仅是提供给外来访客使用的，因此没有必要对其数据进行保护。
在对Web进行认证之前，客户可以直接关联，关联后客户可以获取IP和DNS服务器地址，在没有完成Web认证之前，客户无法访问任何网络资源。可以使用浏览器访问一个合法的网址，通过DNS对其进行解析，之后客户发送HTTP请求到这个网站的IP ，无线控制器会对该请求进行处理并返回给客户网页认证页面。当通过Web认证后，客户才被允许访问所需的网络资源。对于WLC来说，用户可以使用其内建的登录页面，也可以自己编写认证页面，或者使用外部的服务器提供的认证页面。
这里为了简单起见，使用W LC内建的登录页面。在WLC管理界面工具栏上点击“Configuration”-“Security”项，在左侧选择“Web Auth”-“Webauth Parameter Map”项，在右侧点击“global”项，可以对
登录页面各参数进行修改，例如在“Banner”栏中输入欢迎信息，在“Type”列表中选择“webauth”项，激活网页认证功能。在“Virtual Ipv4 Address”栏中输入合适的虚拟地址等。在WLC命令行中执行“config t”命令，进入全局配置模式。执行“aaa authentication login webauth local”“aaa authorization network default local”“aaa authorization cerdential-download default local”命令，执行登录认证，网络授权以及下载身份数据库的授权等。
之后按照上述方法，在管理界面添加新的WLAN，输入WLAN ID，SSID （例如“webssid”）以及Profile file名称（例如“pfileweb”）。之后将其激活，并为其选择具体的VLAN名称。在其属性窗口中的“Security”面板中点击“layer2”按钮，在“Layer 2 Security”列表中选择“None”项，表示没有二层安全。点击“Layer3”按钮，选择“Web Policy”项，激活Web认证策略。在“Web Authentication List”列表中选择“Webauth”项，表示在三层使用网页认证。在“Webauth Parameter Map”列表中选择“global”项，调用Web认证参数项目。当客户端打开无线连接列表后，可以发现上述“webssid”热点处于不加密状态，可以直接进行连接。如果配置了DNS服务器的话，就可以访问所需的网站，WLC就会对该连接请求进行拦截，并将其引入到Web认证界面，输入WLC的本地用户名和密码后，就可以顺利进行访问了。
无人机机身三围尺寸与上一代基本一致，桨叶展开后的尺寸为245mm×289mm×56mm，官方数据称飞行器（含电池、桨叶和MicroSD卡）的标准重量为242g，实际重量可能会因物料批次等原因有些许误差，总体重
近日，大疆推出了Mavic Mini 2无人机，其拥有和上一代产品差不多的小巧机身，同时强化了其拍摄能力，可支持4K 30fps超清视频拍摄。产品的单机售价为2899元，畅飞套装售价为3799元。大疆Mavic Mini 2

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。