六项措施保护无线安全

信息来源：[url]http://www.secdb.com/bbs[/url]

作者：Moto

　　合理保护无线访问点的目的在于，将无线网络与无权使用服务的外人隔离开来。往往说来容易做时难。就安全而言，无线网络通常比固定有线网络更难保护，这是因为有线网络的固定物理访问点数量有限，而在天线辐射范围内的任何一点都可以使用无线网络。尽管本身存在着困难，但合理保护无线网络系统是保护系统避免严重安全问题的关键所在。为了最大限度地堵住这些安全漏洞，就要确保网络人员采取保护无线网络的六项措施。

　　规划天线的放置

　　要部署封闭的无线访问点，第一步就是合理放置访问点的天线，以便能够限制信号在覆盖区以外的传输距离。别将天线放在窗户附近，因为玻璃无法阻挡信号。你最好将天线放在需要覆盖的区域的中心，尽量减少信号泄露到墙外。当然，完全控制信号泄露几乎是不可能的，所以还需要采取其它措施。

　　使用WEP

　　无线加密协议（WEP）是对无线网络上的流量进行加密的一种标准方法。尽管存在重大缺陷，但WEP仍有助于阻挠偶尔闯入的黑客。许多无线访问点厂商为了方便安装产品，交付设备时关闭了WEP功能。但一旦采用这做法，黑客就能立即访问无线网络上的流量，因为利用无线嗅探器就可以直接读取数据。

　　变更SSID及禁止SSID广播

　　服务集标识符（SSID）是无线访问点使用的识别字符串，客户端利用它就能建立连接。该标识符由设备制造商设定，每种标识符使用默认短语，如101就是3Com设备的标识符。倘若黑客知道了这种口令短语，即使未经授权，也很容易使用你的无线服务。对于部署的每个无线访问点而言，你要选择独一无二并且很难猜中的SSID。如果可能的话，禁止通过天线向外广播该标识符。这样网络仍可使用，但不会出现在可用网络列表上。

　　禁用DHCP

　　对无线网络而言，这很有意义。如果采取这项措施，黑客不得不破译你的IP地址、子网掩码及其它所需的TCP/IP参数。无论黑客怎样利用你的访问点，他仍需要弄清楚IP地址。

　　禁用或改动SNMP设置

　　如果你的访问点支持SNMP，要么禁用，要么改变公开及专用的共用字符串。如果不采取这项措施，黑客就能利用SNMP获得有关你方网络的重要信息。

　　使用访问列表

　　为了进一步保护无线网络，请使用访问列表，如果可能的话。不是所有的无线访问点都支持这项特性，但如果你的网络支持，你就可以具体地指定允许哪些机器连接到访问点。支持这项特性的访问点有时会使用普通文件传输协议（TFTP），定期下载更新的列表，以避免管理员必须在每台设备上使这些列表保持同步的棘手问题。