一服務(wù)和性能的限制：由于物理層的開銷，無(wú)線局域網(wǎng)的傳輸帶寬是有限的，其實(shí)際的有效吞吐量只能達(dá)到標(biāo)準(zhǔn)的一半，該帶寬還是被AP所用用戶共享的。無(wú)線局域網(wǎng)的傳輸帶寬可以被幾種方式吞噬： 1來(lái)自有線網(wǎng)絡(luò)遠(yuǎn)遠(yuǎn)超過(guò)無(wú)線網(wǎng)絡(luò)帶寬的網(wǎng)絡(luò)流量，如果攻擊者從以太網(wǎng)發(fā)送大量的Ping流量，就會(huì)輕易地吞噬AP有限的帶寬。 2如果發(fā)送廣播流量，就會(huì)同時(shí)阻塞多個(gè)AP。 3攻擊者可以在和無(wú)線網(wǎng)絡(luò)相同的無(wú)線信道內(nèi)發(fā)送信號(hào)，這樣被攻擊的網(wǎng)絡(luò)就會(huì)通過(guò)CSMA/CA機(jī)制進(jìn)行自動(dòng)適應(yīng)，同樣影響無(wú)線網(wǎng)絡(luò)的傳輸。 對(duì)此，我們需要進(jìn)行網(wǎng)絡(luò)檢測(cè)。定位性能故障應(yīng)從監(jiān)測(cè)和發(fā)現(xiàn)問題開始，據(jù)了解，大多AP可以通過(guò)SNMP報(bào)告來(lái)統(tǒng)計(jì)信息，但是其信息量十分有限，不能準(zhǔn)確反映用戶的實(shí)際問題。但利用無(wú)線網(wǎng)絡(luò)測(cè)試儀能夠如實(shí)的反映當(dāng)前位置信號(hào)的質(zhì)量和網(wǎng)絡(luò)健康情況，可以有效識(shí)別網(wǎng)絡(luò)速度、幀等的類型，幫助進(jìn)行故障定位。
二容易侵入：為了方便用戶發(fā)現(xiàn)無(wú)線網(wǎng)絡(luò)的存在，無(wú)線網(wǎng)絡(luò)需要發(fā)送特定參數(shù)的信標(biāo)幀，而這給用戶提供便捷的同時(shí)，導(dǎo)致無(wú)線局域網(wǎng)非常容易被發(fā)現(xiàn)，給攻擊者提供了必要的網(wǎng)絡(luò)信息。入侵者可以利用高靈敏度的天線從樓宇、公路等其他任何地方對(duì)無(wú)線局域網(wǎng)發(fā)起攻擊，并不需要任何物理方式的侵入。對(duì)此，我們需要加強(qiáng)網(wǎng)絡(luò)訪問控制。容易訪問并不等于容易受到攻擊，針對(duì)侵入，有一種手段是通過(guò)房屋的電磁屏蔽來(lái)防止電磁波的泄露，當(dāng)然通過(guò)*的網(wǎng)絡(luò)訪問控制也可減少無(wú)線網(wǎng)絡(luò)配置的風(fēng)險(xiǎn)。將AP安置在防火墻這樣的網(wǎng)絡(luò)安全設(shè)備外面，能通過(guò)VPN技術(shù)連接到主干網(wǎng)絡(luò)，便能減少網(wǎng)絡(luò)侵入。如果可以，使用基于IEEE802.1x的新無(wú)線網(wǎng)絡(luò)產(chǎn)品，將會(huì)達(dá)到更好的效果，IEEE802.1x可以定義用戶級(jí)認(rèn)證的新的幀的類型，通過(guò)企業(yè)網(wǎng)已經(jīng)存在的用戶數(shù)據(jù)庫(kù)，將前端基于IEEE802.1X無(wú)線網(wǎng)絡(luò)的認(rèn)證轉(zhuǎn)換到后端基于有線網(wǎng)絡(luò)的RASIUS認(rèn)證。 三高級(jí)入侵:很多網(wǎng)絡(luò)都有較為保險(xiǎn)的安全設(shè)備作為網(wǎng)絡(luò)的保護(hù)罩，以此來(lái)抵御非法攻擊，但是在保護(hù)罩內(nèi)部的網(wǎng)絡(luò)確實(shí)非常容易攻擊的，一旦攻擊者破開保護(hù)罩進(jìn)入無(wú)線網(wǎng)絡(luò)內(nèi)部，將極易進(jìn)一步入侵其他系統(tǒng)。即使有一定邊界安全設(shè)備的網(wǎng)絡(luò)，同樣也會(huì)使網(wǎng)絡(luò)暴露出來(lái)從而遭到攻擊。對(duì)此的解決方案是隔離無(wú)線網(wǎng)絡(luò)和核心網(wǎng)絡(luò)。很多企業(yè)將無(wú)線網(wǎng)絡(luò)布置在休息室、培訓(xùn)室等公共區(qū)域，以此來(lái)為客戶提供接入方式，實(shí)際上，企業(yè)應(yīng)將網(wǎng)絡(luò)布置在核心網(wǎng)絡(luò)保護(hù)罩的外面，接入訪問核心網(wǎng)絡(luò)采用VPN的方式，來(lái)隔離無(wú)線網(wǎng)絡(luò)和核心網(wǎng)絡(luò)，確保減少無(wú)線網(wǎng)絡(luò)的高級(jí)入侵。 四非法AP定位:無(wú)線局域網(wǎng)具有易于訪問、配置簡(jiǎn)單的特性，并且計(jì)算機(jī)都可以通過(guò)自己購(gòu)買的非法AP，不經(jīng)而接入網(wǎng)絡(luò)，未經(jīng)就自建無(wú)線局域網(wǎng)，將帶來(lái)很大的安全隱患。 針對(duì)非法AP定位，我們應(yīng)定期進(jìn)行的站點(diǎn)審查。通過(guò)物理站點(diǎn)的頻繁監(jiān)測(cè)，可以增加發(fā)現(xiàn)非法站點(diǎn)的存在幾率，但由于其花費(fèi)高、移動(dòng)性差的缺點(diǎn)，一般不選用物理站點(diǎn)，而選擇小型的手持式檢測(cè)設(shè)備，網(wǎng)絡(luò)安全管理員可以通過(guò)該設(shè)備隨時(shí)到網(wǎng)絡(luò)的任何位置進(jìn)行檢測(cè)。
會(huì)員1.png)