運(yùn)營(yíng)商無(wú)線校園網(wǎng)解決方案(編輯修改稿)
2025-06-21 22:12 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 同一 VLAN內(nèi)無(wú)線用戶在同一個(gè) IP網(wǎng)段內(nèi) ?Radius服務(wù)器基于用戶帳號(hào)下發(fā)不同的 QOS策略，進(jìn)行訪問(wèn)權(quán)限控制（ 通過(guò)目標(biāo)網(wǎng)段進(jìn)行控制 ） 。 ?權(quán)限控制策略示例： ?帳號(hào) A：僅允許訪問(wèn)網(wǎng)段 A ?帳號(hào) B ： 僅允許訪問(wèn)網(wǎng)段 A和 B ?帳號(hào) C ： 允許訪問(wèn)所有資源 ?帳號(hào) D ： 不允許訪問(wèn)網(wǎng)段 A和 B，其他資源允許訪問(wèn) 匯聚交換機(jī) 接入交換機(jī) Portal服務(wù)器 校園網(wǎng)：網(wǎng)段 A Cer：網(wǎng)段 B 城域網(wǎng) /Inter 認(rèn)證數(shù)據(jù)流 無(wú)線隧道 21 目 錄 ?無(wú)線校園網(wǎng)的應(yīng)用與挑戰(zhàn) ?H3C無(wú)線校園網(wǎng)解決方案介紹 ?運(yùn)營(yíng)商無(wú)線校園典型組網(wǎng) ?IP地址和 VLAN規(guī)劃 ?認(rèn)證計(jì)費(fèi)模式 ?無(wú)線網(wǎng)絡(luò)的安全 ?無(wú)線網(wǎng)絡(luò)的管理 ?無(wú)線網(wǎng)絡(luò)的擴(kuò)展 ?無(wú)線校園網(wǎng)的運(yùn)營(yíng)模式探討 ?無(wú)線校園網(wǎng)增值業(yè)務(wù) ?案例介紹 22 安全部署策略 ?接入安全 ?WAPI/：和無(wú)線設(shè)備相同密鑰的無(wú)線客戶端才能接入無(wú)線網(wǎng)絡(luò) ?對(duì)用戶 PPPOE或 Portal認(rèn)證：認(rèn)證通過(guò)后下發(fā)權(quán)限控制策略，認(rèn)證未通過(guò)不能訪問(wèn)任何網(wǎng)絡(luò)資源 ?在 AP接入交換機(jī)或匯聚交換機(jī)上防止非 AP類設(shè)備接入 ?網(wǎng)絡(luò)安全 ?非法 AP設(shè)備檢測(cè) ?針對(duì)無(wú)線的協(xié)議攻擊防范，黑名單功能 ?Portal認(rèn)證時(shí)的 ARP攻擊防范、 DHCP攻擊 ?AP用戶隔離、接入交換機(jī)端口隔離、 VLAN隔離等隔離方式避免用戶間相互影響，通過(guò) BRAS代理 ARP實(shí)現(xiàn)用戶間互訪。 ?AC上部署防 ARP攻擊特性，包括基于端口的 ARP限速、 ARP檢查、 IP SOURCE GUARD等 ?BRAS上部署授權(quán) ARP特性，配套接口 ARP廣播關(guān)閉，防止用戶非法掃描攻擊 23 WAPI amp。 WAPI 認(rèn)證機(jī)制 雙向認(rèn)證 （終端與 AP間通過(guò)第三方 AS相互認(rèn)證），可防止 AP假冒 單向認(rèn)證 （終端和 RadiusServer之間的認(rèn)證，終端無(wú)法確定 AP是否合法）， 認(rèn)證方法 （方式固定，簡(jiǎn)單宜行） 基于開(kāi)放式系統(tǒng)鑒別鑒別過(guò)程簡(jiǎn)單易行；身份憑證為公鑰數(shù)字證書 （方式靈活，適用多種場(chǎng)合） 基于 EAP協(xié)議擴(kuò)展，方式不固定，可基于用戶名密碼， SIM卡 ,數(shù)字證書等多種方式 加密 采用橢圓曲線簽名算法 WEP,TKIP,AES 成熟度 產(chǎn)業(yè)鏈成熟度還有差距 ， 2022年 7月剛推出首款 WAPI手機(jī) 比較成熟。 2022年全球有 品內(nèi)置 WiFi芯片 兼容性 不兼容原有 ，后續(xù)擴(kuò)展慢 兼容以前，后續(xù)擴(kuò)展協(xié)議相對(duì)進(jìn)展快 國(guó)家政策 中國(guó) WAPI聯(lián)盟制定，國(guó)家支持 IEEE制定 ?H3C產(chǎn)品同時(shí)支持 WAPI和 ?支持標(biāo)準(zhǔn)證書鑒別模式 ?支持 Radius擴(kuò)展鑒別模式可對(duì)用戶授權(quán)和計(jì)費(fèi) ?支持 WAPI與 ?支持快速漫游 24 防止非 AP類設(shè)備接入 AC+BRAS 無(wú)線 AP接入?yún)^(qū) 教學(xué)區(qū) 圖書館 學(xué)生宿舍 SR 校園網(wǎng)和CERNET網(wǎng) 匯聚交換機(jī) 接入交換機(jī) 城域網(wǎng) /Inter ?通過(guò) ACL限制只允許 AP設(shè)備接入 ?AP管理 IP網(wǎng)段只能訪問(wèn) AC ?主要針對(duì)用戶將 PC等非 AP類設(shè)備非法接入網(wǎng)絡(luò) ?兩種手段進(jìn)行防范： ?匯聚交換機(jī)不允許非 AP類設(shè)備接入 ?匯聚交換機(jī)限制 AP網(wǎng)段只允許訪問(wèn) AC 25 ?拒絕接入 ?丟棄報(bào)文 無(wú)線入侵檢測(cè)－空中警察 非法設(shè)備的識(shí)別和處理： 周期性監(jiān)聽(tīng)空口信息 設(shè)備信息報(bào)告 AP 非法設(shè)備 無(wú)線控制器 向非法設(shè)備發(fā)起攻擊 ? 非法設(shè)備是未經(jīng)網(wǎng)絡(luò)管理者許可部署的無(wú)線設(shè)備或者是發(fā)起無(wú)線攻擊的設(shè)備 ? 無(wú)線控制器可以指定 AP工作在兩種工作模式：模式一、 AP負(fù)責(zé)監(jiān)聽(tīng)空口所有信道的信息，但不負(fù)責(zé)用戶報(bào)文的轉(zhuǎn)發(fā)。模式二、 AP在為用戶轉(zhuǎn)發(fā)數(shù)據(jù)的同時(shí)定期切換到其他信道監(jiān)聽(tīng)信息 ? AP設(shè)備負(fù)責(zé)把監(jiān)聽(tīng)到的無(wú)線設(shè)備和有攻擊行為的無(wú)線設(shè)備上報(bào)給無(wú)線控制器 ? 無(wú)線控制器根據(jù) AP上報(bào)的設(shè)備信息識(shí)別非法設(shè)備，排除合法設(shè)備 ? 無(wú)線控制器可以控制 AP 將非法設(shè)備列入黑名單或者對(duì)其發(fā)起攻擊 設(shè)備過(guò)濾 列入黑名單 攻擊指示 非法設(shè)備檢測(cè) 26 BRAS AC DHCP服務(wù)器 ?BRAS解析 DHCP交互報(bào)文，并據(jù)此生成合法 ARP表（授權(quán)ARP) ?關(guān)閉 BRAS ARP廣播 ?丟棄目標(biāo)地址未知的掃描類攻擊報(bào)文 ?AC解析 DHCP交互報(bào)文，綁定終端 IPMAC對(duì)應(yīng)關(guān)系 ?過(guò)濾非法 ARP報(bào)文 想發(fā)送欺騙報(bào)文？丟棄！ 想做網(wǎng)段掃描？丟棄！ 攻擊者 安全：有效防護(hù)校園 ARP病毒攻擊和掃描類攻擊 AP 監(jiān)控 DHCP交互報(bào)文獲取合法用戶的 IPMACport關(guān)系 在 AC上綁定終端的 IPMAC對(duì)應(yīng)關(guān)系，過(guò)濾非法 ARP報(bào)文 BRAS上防止非法掃描類攻擊 在 BRAS上依據(jù) DHCP交互信息生成 ARP表項(xiàng) 27 安全部署 用戶隔離 AC+BRAS Radius服務(wù)器 SR 匯聚交換機(jī) Portal服務(wù)器 城域網(wǎng) /Inter 無(wú)線 MESH接入?yún)^(qū) MPP 學(xué)校操場(chǎng) MAP MP MP 接入交換機(jī) ?AP用戶隔離 ?端口隔離 端口隔離?BRAS部署 ARP PROXY實(shí)現(xiàn)同一 VLAN內(nèi)用戶互訪 用戶隔離可以有效的防范用戶間的 ARP欺騙、 MAC欺騙、偽 DHCP服務(wù)器接入等攻擊類型 28 目 錄 ?無(wú)線校園網(wǎng)的應(yīng)用與挑戰(zhàn) ?H3C無(wú)線校園網(wǎng)解決方案介紹 ?運(yùn)營(yíng)商無(wú)線校園典型組網(wǎng) ?IP地址和 VLAN規(guī)劃 ?認(rèn)證計(jì)費(fèi)模式 ?無(wú)線網(wǎng)絡(luò)的安全 ?無(wú)線網(wǎng)絡(luò)的管理 ?無(wú)線網(wǎng)絡(luò)的擴(kuò)展 ?無(wú)線校園網(wǎng)的運(yùn)營(yíng)模式探討 ?無(wú)線校園網(wǎng)增
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1