【文章內(nèi)容簡(jiǎn)介】 高達(dá) 256 位的 WEP 加密。IEEE IEEE 標(biāo)準(zhǔn)定義了基于端口的網(wǎng)絡(luò)訪問控制，用于為以太網(wǎng)提供經(jīng)過身份驗(yàn)證的網(wǎng)絡(luò)訪問。這種基于端口的網(wǎng)絡(luò)訪問控制使用交換式局域網(wǎng)基礎(chǔ)結(jié)構(gòu)的物理特性對(duì)連接到局域網(wǎng)端口的設(shè)備進(jìn)行身份驗(yàn)證。如果身份驗(yàn)證過程失敗，則拒絕它們?cè)L問該端口。盡管此標(biāo)準(zhǔn)是為有線以太網(wǎng)設(shè)計(jì)的，不過它已經(jīng)得到了修改，可以在 無線局域網(wǎng)上使用。IEEE 定義了以下術(shù)語：端口訪問實(shí)體、身份驗(yàn)證者、申請(qǐng)者、身份驗(yàn)證服務(wù)器南京郵電大學(xué)無線網(wǎng)絡(luò)建議書12下圖顯示了無線局域網(wǎng)的這些組件。IEEE 身份驗(yàn)證的組件端口訪問實(shí)體局域網(wǎng)端口又稱端口訪問實(shí)體 (PAE)，是支持與端口關(guān)聯(lián)的 IEEE 協(xié)議的邏輯實(shí)體。PAE 可以是身份驗(yàn)證者角色、申請(qǐng)者角色或者同時(shí)是這兩種角色。身份驗(yàn)證者身份驗(yàn)證者是一個(gè)局域網(wǎng)端口，該端口在允許訪問可通過此端口訪問的服務(wù)前強(qiáng)制執(zhí)行身份驗(yàn)證。對(duì)于無線連接，身份驗(yàn)證者是無線 AP 上的邏輯局域網(wǎng)端口，基礎(chǔ)結(jié)構(gòu)模式中的無線客戶端通過此端口獲得對(duì)其他無線客戶端和有線網(wǎng)絡(luò)的訪問。 申請(qǐng)者申請(qǐng)者也是一個(gè)局域網(wǎng)端口，此端口請(qǐng)求訪問可通過身份驗(yàn)證者訪問的服務(wù)。對(duì)于無線連接，申請(qǐng)者是無線局域網(wǎng)適配器上的邏輯局域網(wǎng)端口，該端口通過將自身與身份驗(yàn)證者關(guān)聯(lián)并向身份驗(yàn)證者驗(yàn)證它自身來請(qǐng)求對(duì)其他無線客戶端和有線網(wǎng)絡(luò)的訪問。無論對(duì)于無線連接還是有線以太網(wǎng)連接，申請(qǐng)者和身份驗(yàn)證者都通過邏輯或物理的點(diǎn)到點(diǎn)局域網(wǎng)段進(jìn)行連接。南京郵電大學(xué)無線網(wǎng)絡(luò)建議書13身份驗(yàn)證服務(wù)器為驗(yàn)證申請(qǐng)者的憑據(jù)，身份驗(yàn)證者使用了身份驗(yàn)證服務(wù)器。身份驗(yàn)證服務(wù)器代表身份驗(yàn)證者檢查申請(qǐng)者的憑據(jù)，然后對(duì)身份驗(yàn)證者做出響應(yīng)，指示是否授權(quán)申請(qǐng)者訪問身份驗(yàn)證者的服務(wù)。受控端口和非受控端口身份驗(yàn)證者基于端口的訪問控制定義了以下不同類型的邏輯端口，這些端口通過單個(gè)物理局域網(wǎng)端口訪問有線局域網(wǎng)：非受控端口 非受控端口允許身份驗(yàn)證者（無線 AP）與有線網(wǎng)絡(luò)上的其他聯(lián)網(wǎng)設(shè)備之間進(jìn)行不受控制的交換，無論無線客戶端的授權(quán)狀態(tài)如何。無線客戶端發(fā)送的幀從不使用非受控端口發(fā)送。受控端口 只有在無線客戶端得到 的授權(quán)時(shí)，受控端口才允許在無線客戶端和有線網(wǎng)絡(luò)之間發(fā)送數(shù)據(jù)。在進(jìn)行身份驗(yàn)證之前，交換機(jī)打開，并且無線客戶端和有線網(wǎng)絡(luò)之間不會(huì)轉(zhuǎn)發(fā)任何幀。在使用 IEEE 成功驗(yàn)證無線客戶端后，交換機(jī)關(guān)閉，并且可以在無線客戶端和有線網(wǎng)絡(luò)上的節(jié)點(diǎn)之間發(fā)送幀在執(zhí)行身份驗(yàn)證的以太網(wǎng)交換機(jī)上，身份驗(yàn)證一旦完成，有線以太網(wǎng)客戶端就可以將以太網(wǎng)幀發(fā)送到有線網(wǎng)絡(luò)。交換機(jī)使用以太網(wǎng)客戶端連接到的物理端口來識(shí)別特定有線以太網(wǎng)客戶端的通信。通常，以太網(wǎng)交換機(jī)上的一個(gè)物理端口僅連接一個(gè)以太網(wǎng)客戶端。由于多個(gè)無線客戶端競(jìng)相訪問同一信道并使用同一信道發(fā)送數(shù)據(jù)，因此需要擴(kuò)展基本 IEEE 協(xié)議，以使無線 AP 能夠識(shí)別特定無線客戶端的安全通信。這由無線客戶端和無線 AP 通過相互確定每客戶端單播會(huì)話密鑰來完成。只有經(jīng)過身份驗(yàn)證的無線客戶端知道它們的每客戶端單播會(huì)話密鑰。如果成功的身份驗(yàn)證未能關(guān)聯(lián)有效的單播會(huì)話密鑰，無線 AP 將丟棄從無線客戶端發(fā)送的通信。 為了對(duì) IEEE 提供一個(gè)標(biāo)準(zhǔn)的身份驗(yàn)證機(jī)制，我們選擇了可擴(kuò)展身份驗(yàn)證協(xié)議 (EAP)。EAP 是一個(gè)基于點(diǎn)對(duì)點(diǎn)協(xié)議 (PPP) 的身份驗(yàn)證機(jī)制，它已南京郵電大學(xué)無線網(wǎng)絡(luò)建議書14經(jīng)得到了修改，可在點(diǎn)對(duì)點(diǎn)局域網(wǎng)段上使用。EAP 消息通常作為 PPP 幀的有效負(fù)載發(fā)送。為了修改 EAP 消息使其能夠通過以太網(wǎng)或無線局域網(wǎng)段發(fā)送，IEEE 標(biāo)準(zhǔn)定義了 EAP over LAN (EAPOL)，這是封裝 EAP 消息的一種標(biāo)準(zhǔn)方法。目前友訊網(wǎng)絡(luò)所提供的全線 WLAN 產(chǎn)品均支持 身份驗(yàn)證標(biāo)準(zhǔn)。WPA (WiFi Protected Access)WPA 包含了認(rèn)證、加密和數(shù)據(jù)完整性校驗(yàn)三個(gè)組成部分，是一個(gè)完整的安全性方案。WPA 的認(rèn)證分為兩種。第一種采用 +EAP 的方式，用戶提供認(rèn)證所需的憑證，如用戶名密碼，通過特定的用戶認(rèn)證服務(wù)器（一般是 RADIUS 服務(wù)器）來實(shí)現(xiàn)。在大型企業(yè)網(wǎng)絡(luò)中，通常采用這種方式。但是對(duì)于一些中小型的企業(yè)網(wǎng)絡(luò)或者家庭用戶，架設(shè)一臺(tái)專用的認(rèn)證服務(wù)器未免代價(jià)過于昂貴，維護(hù)也很復(fù)雜，因此 WPA 也提供一種簡(jiǎn)化的模式，它不需要專門的認(rèn)證服務(wù)器。這種模式叫做 WPA 預(yù)共享密鑰(WPAPSK)，僅要求在每個(gè) WLAN 節(jié)點(diǎn)(AP、無線路由器、網(wǎng)卡等)預(yù)先輸入一個(gè)密鑰即可實(shí)現(xiàn)。只要密鑰吻合，客戶就可以獲得 WLAN 的訪問權(quán)。WPA 采用 TKIP 為加密引入了新的機(jī)制，它使用一種密鑰構(gòu)架和管理方法，通過由認(rèn)證服務(wù)器動(dòng)態(tài)生成分發(fā)的密鑰來取代單個(gè)靜態(tài)密鑰、把密鑰首部長(zhǎng)度從 24 位增加到 48 位等方法增強(qiáng)安全性。而且，TKIP 利用了 。認(rèn)證服務(wù)器在接受了用戶身份后，使用 產(chǎn)生一個(gè)唯一的主密鑰處理會(huì)話。然后，TKIP 把這個(gè)密鑰通過安全通道分發(fā)到 AP 和客戶端，并建立起一個(gè)密鑰構(gòu)架和管理系統(tǒng)，使用主密鑰為用戶會(huì)話動(dòng)態(tài)產(chǎn)生一個(gè)唯一的數(shù)據(jù)加密密鑰，來加密每一個(gè)無線通訊數(shù)據(jù)報(bào)文。TKIP 的密鑰構(gòu)架使 WEP 靜態(tài)單一的密鑰變成了 500 萬億個(gè)可用密鑰。雖然 WPA 采用的還是和 WEP 一樣的 RC4 加密算法，但其動(dòng)態(tài)密鑰的特性很難被攻破。消息完整性校驗(yàn)(MIC)，是為了防止攻擊者從中間截獲數(shù)據(jù)報(bào)文、篡改后重發(fā)而設(shè)置的。除了和 一樣繼續(xù)保留對(duì)每個(gè)數(shù)據(jù)分段(MPDU)進(jìn)行 CRC 校驗(yàn)?zāi)暇┼]電大學(xué)無線網(wǎng)絡(luò)建議書15外，WPA 為 的每個(gè)數(shù)據(jù)分組(MSDU)都增加了一個(gè) 8 個(gè)字節(jié)的消息完整性校驗(yàn)值，這和 對(duì)每個(gè)數(shù)據(jù)分段(MPDU)進(jìn)行 ICV 校驗(yàn)的目的不同。ICV 的目的是為了保證數(shù)據(jù)在傳輸途中不會(huì)因?yàn)樵肼暤任锢硪蛩貙?dǎo)致報(bào)文出錯(cuò)，因此采用相對(duì)簡(jiǎn)單高效的 CRC 算法，但是黑客可以通過修改 ICV 值來使之和被篡改過的報(bào)文相吻合，可以說沒有任何安全的功能。而 WPA 中的 MIC 則是為了防止黑客的篡改而定制的，它采用 Michael 算法，具有很高的安全特性。當(dāng) MIC 發(fā)生錯(cuò)誤的時(shí)候，數(shù)據(jù)很可能已經(jīng)被篡改，系統(tǒng)很可能正在受到攻擊。此時(shí)，WPA還會(huì)采取一系列的對(duì)策，比如立刻更換組密鑰、暫?；顒?dòng) 60 秒等，來阻止黑客的攻擊。友訊網(wǎng)絡(luò)所提供的主流 WLAN 產(chǎn)品均支持 WPA，而其他產(chǎn)品也可以通過軟件升級(jí)支持 WPA。MAC 地址過濾AP 還可以通過設(shè)置 MAC 地址過濾功能允許或拒絕某些特定的無線網(wǎng)卡聯(lián)入無線網(wǎng)絡(luò)，從而增加網(wǎng)絡(luò)的安全性。友訊網(wǎng)絡(luò)所提供的全線 WLAN 產(chǎn)品均支持 MAC 地址過濾功能。無線客戶端隔離功能友訊網(wǎng)絡(luò)所提供的企業(yè)運(yùn)營(yíng)級(jí) AP 支持無線客戶端隔離功能，非常適合在熱點(diǎn)地區(qū)部放，使無線用戶在輕松上網(wǎng)的同時(shí)，最大限度的保持安全性。2． 3 WLAN 網(wǎng)絡(luò)管理根據(jù)我們對(duì)無線寬帶網(wǎng)絡(luò)的了解，在網(wǎng)絡(luò)的管理方面，隨著寬帶網(wǎng)絡(luò)的建設(shè)的不斷擴(kuò)大，網(wǎng)絡(luò)管理的任務(wù)也在不斷的增加，各地市如果采用傳統(tǒng)的集中式管理，必將造成網(wǎng)絡(luò)管理對(duì)網(wǎng)絡(luò)性能的影響和故障發(fā)現(xiàn)時(shí)間的擴(kuò)大，所以，針對(duì)現(xiàn)在日益擴(kuò)大的寬帶城域網(wǎng)絡(luò)，友訊網(wǎng)絡(luò)提供了新興網(wǎng)絡(luò)管理理念——DVision 分布式網(wǎng)絡(luò)管理系統(tǒng)；它支持多種網(wǎng)絡(luò)管理平臺(tái)，如、HP OPENVIEW 等，并且也能夠?qū)⑵渌麖S家的寬帶網(wǎng)絡(luò)管理系統(tǒng)接入其中。對(duì)于無線網(wǎng)絡(luò)設(shè)備、LAN SWITCH、IPDSLM 等支持 SNMP 的設(shè)備都能夠進(jìn)行管理。南京郵電大學(xué)無線網(wǎng)絡(luò)建議書16DVision 分布式寬帶網(wǎng)管系統(tǒng)是一集中式管理與監(jiān)控、分步式實(shí)施的綜合網(wǎng)絡(luò)管理系統(tǒng)，主要針對(duì)寬帶接入網(wǎng)管理存在的問題，實(shí)現(xiàn)對(duì)寬帶接入網(wǎng)絡(luò)設(shè)備的監(jiān)控與管理，保障粗放型寬帶業(yè)務(wù)運(yùn)營(yíng)。DVision 能有效地實(shí)現(xiàn)對(duì)大規(guī)模的寬帶接入網(wǎng)設(shè)備進(jìn)行集中監(jiān)控以及分步管理，使復(fù)雜的寬帶接入網(wǎng)絡(luò)管理變得簡(jiǎn)單與智能化，保證了寬帶接入網(wǎng)的正常運(yùn)行，極大程度地減少了寬帶接入網(wǎng)絡(luò)維護(hù)費(fèi)用。同時(shí)，實(shí)現(xiàn)了寬帶網(wǎng)絡(luò)業(yè)務(wù)的簡(jiǎn)單運(yùn)營(yíng)，有效地保障了寬帶網(wǎng)建設(shè)投資回收。對(duì)于大中型網(wǎng)絡(luò)來說，不但要考慮對(duì)當(dāng)前用戶的管理，減少運(yùn)營(yíng)維護(hù)的成本，而且要充分為以后的增值業(yè)務(wù)、應(yīng)用內(nèi)容的開展打下基礎(chǔ)，所以，在系統(tǒng)的選用上很重要的兩點(diǎn)需求就是擴(kuò)充性和可管理性?？晒芾硇灾饕獙?shí)現(xiàn)對(duì)整個(gè)網(wǎng)絡(luò)的監(jiān)控和對(duì)用戶的管理，盡量減少問題的發(fā)生，在發(fā)現(xiàn)問題時(shí)能及時(shí)解決，實(shí)現(xiàn)對(duì)整個(gè)網(wǎng)絡(luò)的可管理，把運(yùn)維成本減到最低。擴(kuò)充性就是要充分考慮以后業(yè)務(wù)發(fā)展的需要，為未來的網(wǎng)絡(luò)應(yīng)用奠定基礎(chǔ)。增值業(yè)務(wù)以后將會(huì)是運(yùn)營(yíng)商的增長(zhǎng)點(diǎn)，如果初始的系統(tǒng)不能支持以后的發(fā)展，或者不能在需要時(shí)實(shí)現(xiàn)平滑的升級(jí)和過渡，將會(huì)造成重復(fù)投資，在競(jìng)爭(zhēng)中使自己處于不利的位置。要做到這一點(diǎn)，在現(xiàn)在的系統(tǒng)中就要盡量采用公認(rèn)的標(biāo)準(zhǔn)設(shè)備或協(xié)議軟件，這樣才能跟上不斷發(fā)展變化的技術(shù)和需求。2． 4 WLAN 認(rèn)證計(jì)費(fèi)系統(tǒng)說明目前在國(guó)內(nèi)外，無線上網(wǎng)的需求發(fā)展飛速，無線局域網(wǎng)（WLAN）的建設(shè)也如火如荼。例如：許多國(guó)際機(jī)場(chǎng)、國(guó)際會(huì)議中心、星級(jí)酒店、高檔寫字樓、智能小區(qū)、咖啡廳等等，都可以提供無線上網(wǎng)的服務(wù)；來往流動(dòng)的人們只要利用隨身攜帶的筆記本電腦或 PDA 掌上電腦，即可插入無線網(wǎng)絡(luò)卡遨游網(wǎng)絡(luò)世界，實(shí)現(xiàn)隨時(shí)隨處的實(shí)時(shí)移動(dòng)數(shù)據(jù)傳輸、收發(fā) Email、網(wǎng)絡(luò)資源享用、網(wǎng)上消費(fèi)等。為了讓 WLAN 得到健康有序地發(fā)展，WLAN 用戶能夠像有線網(wǎng)用戶一樣充分地、安全地享受到網(wǎng)絡(luò)的資源和樂趣，WLAN 認(rèn)證計(jì)費(fèi)接入系統(tǒng)需要具備南京郵電大學(xué)無線網(wǎng)絡(luò)建議書17如下的主要功能：即插即用，無線上網(wǎng)用戶利用隨身攜帶筆記本電腦或 PDA 掌上電腦，插入無線網(wǎng)卡，無需做任何設(shè)置或加載任何軟件，即可打開 IE 瀏覽器迅速無線上網(wǎng)。身份驗(yàn)證，授權(quán)登錄WLAN 接入系統(tǒng)需要提供 AAA 認(rèn)證并支持 RADIUS，確保使用者只有在輸入了合法用戶名及密碼后，才能進(jìn)入無線網(wǎng)絡(luò)系統(tǒng)。安全可靠有效保護(hù)合法用戶的個(gè)人數(shù)據(jù)安全，有效控制惡意代理，保障運(yùn)營(yíng)商利益。網(wǎng)站過濾系統(tǒng)可將一些指定網(wǎng)站屏蔽掉，確保使用者不能瀏覽這些網(wǎng)站。ＤＨＣＰ管理系統(tǒng)包含 DHCP Server，能夠提供ＩＰ地址分配。帶寬管理系統(tǒng)應(yīng)該允許網(wǎng)絡(luò)管理員規(guī)劃用戶帶寬的合理使用，從而減小不必要的帶寬資源浪費(fèi)。主頁(yè)重定向無論用戶預(yù)先設(shè)定的主頁(yè)是什么，系統(tǒng)都會(huì)自動(dòng)被定向引導(dǎo)到服務(wù)商預(yù)先設(shè)定的主頁(yè)，從而提高了工作效益。支持 RADIUS/PMS 計(jì)費(fèi)系統(tǒng)能夠配合 RADIUS/PMS 進(jìn)行按照使用時(shí)間長(zhǎng)度、使用帶寬、流量、南京郵電大學(xué)無線網(wǎng)絡(luò)建議書18包月租用等不同方式靈活計(jì)算上網(wǎng)費(fèi)用，鼓勵(lì)不同需求的用戶使用。友訊網(wǎng)絡(luò)針對(duì)目前國(guó)內(nèi)外主流的 WLAN 認(rèn)證計(jì)費(fèi)系統(tǒng)的現(xiàn)狀及其發(fā)展方向，根據(jù)公司多年來一直致力于局域網(wǎng)（LAN 及 WLAN）及寬帶網(wǎng)絡(luò)（Broadband）設(shè)備之設(shè)計(jì)、制造及行銷中的長(zhǎng)期積累，提出了自有知識(shí)產(chǎn)權(quán)的先進(jìn)、成熟的解決方案。友訊網(wǎng)絡(luò)針對(duì)目前國(guó)內(nèi)主流的 WLAN 認(rèn)證計(jì)費(fèi)系統(tǒng)大多數(shù)仍舊延續(xù)以往窄帶接入方式下的 PPPoE 方式和 WEB+Portal 方式，而新興的 認(rèn)證方式又日趨成熟的現(xiàn)狀，推出的認(rèn)證計(jì)費(fèi)解決方案分別支持 PPPoE、WEB+Portal和 認(rèn)證計(jì)費(fèi)方式。特別是針對(duì)不同類型的 WLAN 網(wǎng)絡(luò)，我們均有靈活的 WLAN 認(rèn)證計(jì)費(fèi)解決方案為客戶提供。2． 無線寬帶接入解決方案模型2. 5. 熱點(diǎn)地區(qū)模型南京郵電大學(xué)無線網(wǎng)絡(luò)建議書19需求：多個(gè) AP 工作在不同信道，用戶可在不同 AP 間實(shí)現(xiàn)無縫漫游切換。場(chǎng)所空間：500m *200m通過筆記本電腦、PDA 輕松接入 INTERNET，WiFi 手機(jī)無縫漫游通話。建議：對(duì)于機(jī)場(chǎng)、車站、飯店的網(wǎng)絡(luò)模型，因?yàn)橐缶W(wǎng)絡(luò)覆蓋的范圍比較大（500m *200m） ，并且要考慮到無線 AP 供電、無縫連接切換等方面的要求，所以，我們根據(jù)模型要求，在 500m *200m 的面積范圍內(nèi)，配置多臺(tái) DLINK 企業(yè)級(jí) AP，實(shí)現(xiàn)在要求范圍內(nèi)無網(wǎng)絡(luò)盲點(diǎn)，并且在 AP 上通過設(shè)置不同的 Channel實(shí)現(xiàn)用戶在 AP 間無縫的漫游（考慮到頻段干擾問題，相鄰 AP 不能選用同樣的Channel,并且 Channel 間隔最好為 5） 。AP 后臺(tái)配備 DLINK 無線局域網(wǎng)控制器，實(shí)現(xiàn)對(duì) AP 的智能管理，同時(shí)可以對(duì)無線客戶端（筆記本電腦、PDA、WiFi 手機(jī)等）的漫游實(shí)現(xiàn)高級(jí)管理，使得無線連接平滑切換。南京郵電大學(xué)無線網(wǎng)絡(luò)建議書202. 5. 樓宇 WLAN 室內(nèi)應(yīng)用模型建議：對(duì)于智能大廈來說，無線寬帶接入可以實(shí)現(xiàn)室內(nèi)室外方便連入局域網(wǎng)、廣域網(wǎng)。對(duì)于不方便布線的辦公室、會(huì)議室或者宿舍來說都可以實(shí)現(xiàn)方便、快潔的網(wǎng)絡(luò)接入。 按照建筑物內(nèi)的具體環(huán)境以及用戶數(shù)量，我們可以在每樓層布放多臺(tái)符合IEEE ，放于天花板中，并配置吸頂式全向天線增強(qiáng)覆蓋效果。對(duì)于連接電源不方便的地方，配合 DWS3024 采用 POE 以太網(wǎng)交換機(jī)直接為 AP 遠(yuǎn)距離供電。 友訊網(wǎng)絡(luò)符合 IEEE 室內(nèi)型 AP 有 DWL3500AP、DWL8500AP 都可以實(shí)現(xiàn)。DWL8500AP 是同時(shí)支持IEEE 。同時(shí)，友訊網(wǎng)絡(luò)還可為用戶提供包括 Cardbus、PCI、USB 接口類型的多款符合 卡，例如 Cardbus 接口的 DWLG650、DWLG680 無線網(wǎng)卡，DWLG5DWLG550 PCI 無線網(wǎng)卡以及 DWLG13DWLG122 USB 無線網(wǎng)卡。南京郵電大學(xué)無線網(wǎng)絡(luò)建