摘要：隨著教育信息化建設(shè)加快推進(jìn)，各中小學(xué)校數(shù)字化校園硬件和軟件系統(tǒng)也得到了不斷完善，在辦公及學(xué)習(xí)區(qū)域都有一定數(shù)量的無線AP, 方便老師移動辦公和學(xué)生的數(shù)字化學(xué)習(xí)。但無線網(wǎng)絡(luò)相對于有線網(wǎng)絡(luò)沒有固定邊界，在沒有任何安全策略情況下只要進(jìn)入無線覆蓋范圍內(nèi)就可以關(guān)聯(lián)無線，存在身份無法確認(rèn)的巨大安全隱患。同時(shí)數(shù)據(jù)通過電磁波進(jìn)行傳輸，黑客可以通過無線抓包軟件探測周圍無線數(shù)據(jù)報(bào)文，數(shù)據(jù)傳輸同樣存在安全隱患。本文給出一種基于802.1x協(xié)議的校園網(wǎng)無線認(rèn)證方法,并闡述了其實(shí)現(xiàn)步驟。
一、現(xiàn)狀與需求分析
隨著智能終端的普及，接入校園網(wǎng)絡(luò)的終端類型正在逐漸發(fā)生變化。智能終端需要通過3G、GPRS、WIFI接入Internet網(wǎng)絡(luò)。但目前3G、GPRS上網(wǎng)資費(fèi)較貴，所以WIFI成為校園網(wǎng)中智能終端的主要接入方式。為了保障無線網(wǎng)絡(luò)及用戶數(shù)據(jù)傳輸?shù)陌踩�，需要對接入終端身份進(jìn)行校驗(yàn),同時(shí)對傳輸數(shù)據(jù)進(jìn)行加密。
校園網(wǎng)中常見的無線身份驗(yàn)證方式為：預(yù)共享密鑰的方式、Portal方式（WEB認(rèn)證）。
(1)預(yù)共享密鑰：學(xué)校網(wǎng)絡(luò)管理員提前配置無線安全密鑰，用戶接入網(wǎng)絡(luò)時(shí)輸入提前配置的密鑰進(jìn)行身份驗(yàn)證。由于密鑰為靜態(tài)管理方式，如果該密鑰泄露，將失去用戶身份驗(yàn)證的作用，該方式在大型無線網(wǎng)絡(luò)中已經(jīng)很少使用。
(2)Portal方式：用戶使用瀏覽器進(jìn)行認(rèn)證(WEB認(rèn)證)，不存在系統(tǒng)兼容性的問題，但是用戶每次接入網(wǎng)絡(luò)都需要打開瀏覽器進(jìn)行一次Portal認(rèn)證，如果每次都需要進(jìn)行Portal認(rèn)證將大大降低用戶的無線體驗(yàn)。
根據(jù)老師們使用習(xí)慣和應(yīng)用場景分析，能不能給我們的老師提供一種快速“無感知”的接入方式，即終端進(jìn)入無線覆蓋范圍內(nèi)即可自動連接無線網(wǎng)絡(luò)，不再需要輸入用戶名、密碼或者預(yù)共享密鑰等信息即可完成終端身份識別。化繁為簡的“無感知”接入，讓用戶幾乎忘了自己是如何上網(wǎng)的,同時(shí)安全性卻絲毫沒有妥協(xié)，網(wǎng)絡(luò)管理員依然可以做到最為安全的無線網(wǎng)絡(luò)接入。
二、802.1x無感知認(rèn)證價(jià)值描述
無感知認(rèn)證的方案有：基于802.1x無感知認(rèn)證，基于MAC無感知認(rèn)證。本文主要討論基于802.1x的無感知認(rèn)證。
市場上大部分智能終端都支持802.1x認(rèn)證功能，802.1x技術(shù)為企業(yè)級的網(wǎng)絡(luò)提供了安全和便捷的解決方案。用戶希望接入無線網(wǎng)絡(luò)時(shí)只需要首次進(jìn)行認(rèn)證信息配置，后續(xù)用戶只要進(jìn)入無線信號覆蓋范圍內(nèi)即可自動完成認(rèn)證。
802.1x協(xié)議規(guī)定在完成認(rèn)證之前是不允許信息交互的，因此手持終端與AC在認(rèn)證之前只能通過802.1x協(xié)議規(guī)定的EAP（Extensible Authentication Protocol，可擴(kuò)展認(rèn)證協(xié)議）幀交換認(rèn)證信息。目前大多數(shù)手持終端都支持基于802.1x的EAP認(rèn)證，輸入相應(yīng)的用戶名密碼，即可自動完成認(rèn)證，這種方式稱為EAP-PEAP，即Protected-EAP（受保護(hù)的可擴(kuò)展的身份驗(yàn)證協(xié)議）。已被Wi-FI聯(lián)盟WPA和WPA2批準(zhǔn)的有兩個(gè)子類型：PEAPV0-MSCHAPV2和PEAPV1-GTC。又由于PEAP是一個(gè)框架協(xié)議，目前業(yè)界使用最廣的是由微軟提出的PEAP-MSCHAPV2協(xié)議，又被稱作MS-PEAP，也就是我們在iPhone上看到的WPA/WPA2企業(yè)級認(rèn)證方式。
PEAP是可擴(kuò)展的身份認(rèn)證協(xié)議，認(rèn)證過程分為兩個(gè)階段，第一階段終端與Radius服務(wù)器之間建立TLS隧道，通過TLS保護(hù)第二階段用戶信息的交互；第二階段完成認(rèn)證方式的協(xié)商及用戶身份的認(rèn)證。常見的PAEP認(rèn)證方式有兩種：PEAP-MSCHAPV2、PEAP-GTC。從技術(shù)角度而言，PEAP-MSCHAPV2技術(shù)是大部分移動終端都支持的無線認(rèn)證協(xié)議，該協(xié)議將用戶的認(rèn)證信息在PEAP保護(hù)下傳輸，且用戶密碼無法被解密而被竊取。所以PEAP-MSCHAPV2成為大部分無線項(xiàng)目主推的認(rèn)證方式。
三、基礎(chǔ)網(wǎng)絡(luò)部署
802.1x無感知認(rèn)證采用標(biāo)準(zhǔn)的PEAP方式進(jìn)行認(rèn)證，該功能不是銳捷特有的功能，下面只是以銳捷網(wǎng)絡(luò)設(shè)備為例。
1．網(wǎng)絡(luò)設(shè)備
三層核心交換機(jī)SW1(S8606)，二層接入交換機(jī)SW2(S2900),無線AP(RG-AP320-I),無線AC控制器(RG-WS5302)，RG-ESS或RG-SMP認(rèn)證系統(tǒng)。
2．網(wǎng)絡(luò)拓?fù)?/p>
網(wǎng)絡(luò)拓?fù)淙鐖D1所示，其功能介紹如表1所示。
圖1 網(wǎng)絡(luò)拓?fù)?/p>
表1 功能介紹
