摘要：隨著教育信息化建設(shè)加快推進，各中小學(xué)校數(shù)字化校園硬件和軟件系統(tǒng)也得到了不斷完善，在辦公及學(xué)習(xí)區(qū)域都有一定數(shù)量的無線AP, 方便老師移動辦公和學(xué)生的數(shù)字化學(xué)習(xí)。但無線網(wǎng)絡(luò)相對于有線網(wǎng)絡(luò)沒有固定邊界，在沒有任何安全策略情況下只要進入無線覆蓋范圍內(nèi)就可以關(guān)聯(lián)無線，存在身份無法確認(rèn)的巨大安全隱患。同時數(shù)據(jù)通過電磁波進行傳輸，黑客可以通過無線抓包軟件探測周圍無線數(shù)據(jù)報文，數(shù)據(jù)傳輸同樣存在安全隱患。本文給出一種基于802.1x協(xié)議的校園網(wǎng)無線認(rèn)證方法,并闡述了其實現(xiàn)步驟。
一、現(xiàn)狀與需求分析
隨著智能終端的普及，接入校園網(wǎng)絡(luò)的終端類型正在逐漸發(fā)生變化。智能終端需要通過3G、GPRS、WIFI接入Internet網(wǎng)絡(luò)。但目前3G、GPRS上網(wǎng)資費較貴，所以WIFI成為校園網(wǎng)中智能終端的主要接入方式。為了保障無線網(wǎng)絡(luò)及用戶數(shù)據(jù)傳輸?shù)陌踩枰獙尤虢K端身份進行校驗,同時對傳輸數(shù)據(jù)進行加密。
校園網(wǎng)中常見的無線身份驗證方式為：預(yù)共享密鑰的方式、Portal方式（WEB認(rèn)證）。
(1)預(yù)共享密鑰：學(xué)校網(wǎng)絡(luò)管理員提前配置無線安全密鑰，用戶接入網(wǎng)絡(luò)時輸入提前配置的密鑰進行身份驗證。由于密鑰為靜態(tài)管理方式，如果該密鑰泄露，將失去用戶身份驗證的作用，該方式在大型無線網(wǎng)絡(luò)中已經(jīng)很少使用。
(2)Portal方式：用戶使用瀏覽器進行認(rèn)證(WEB認(rèn)證)，不存在系統(tǒng)兼容性的問題，但是用戶每次接入網(wǎng)絡(luò)都需要打開瀏覽器進行一次Portal認(rèn)證，如果每次都需要進行Portal認(rèn)證將大大降低用戶的無線體驗。
根據(jù)老師們使用習(xí)慣和應(yīng)用場景分析，能不能給我們的老師提供一種快速“無感知”的接入方式，即終端進入無線覆蓋范圍內(nèi)即可自動連接無線網(wǎng)絡(luò)，不再需要輸入用戶名、密碼或者預(yù)共享密鑰等信息即可完成終端身份識別�；睘楹喌�“無感知”接入，讓用戶幾乎忘了自己是如何上網(wǎng)的,同時安全性卻絲毫沒有妥協(xié)，網(wǎng)絡(luò)管理員依然可以做到最為安全的無線網(wǎng)絡(luò)接入。
二、802.1x無感知認(rèn)證價值描述
無感知認(rèn)證的方案有：基于802.1x無感知認(rèn)證，基于MAC無感知認(rèn)證。本文主要討論基于802.1x的無感知認(rèn)證。
市場上大部分智能終端都支持802.1x認(rèn)證功能，802.1x技術(shù)為企業(yè)級的網(wǎng)絡(luò)提供了安全和便捷的解決方案。用戶希望接入無線網(wǎng)絡(luò)時只需要首次進行認(rèn)證信息配置，后續(xù)用戶只要進入無線信號覆蓋范圍內(nèi)即可自動完成認(rèn)證。
802.1x協(xié)議規(guī)定在完成認(rèn)證之前是不允許信息交互的，因此手持終端與AC在認(rèn)證之前只能通過802.1x協(xié)議規(guī)定的EAP（Extensible Authentication Protocol，可擴展認(rèn)證協(xié)議）幀交換認(rèn)證信息。目前大多數(shù)手持終端都支持基于802.1x的EAP認(rèn)證，輸入相應(yīng)的用戶名密碼，即可自動完成認(rèn)證，這種方式稱為EAP-PEAP，即Protected-EAP（受保護的可擴展的身份驗證協(xié)議）。已被Wi-FI聯(lián)盟WPA和WPA2批準(zhǔn)的有兩個子類型：PEAPV0-MSCHAPV2和PEAPV1-GTC。又由于PEAP是一個框架協(xié)議，目前業(yè)界使用最廣的是由微軟提出的PEAP-MSCHAPV2協(xié)議，又被稱作MS-PEAP，也就是我們在iPhone上看到的WPA/WPA2企業(yè)級認(rèn)證方式。
PEAP是可擴展的身份認(rèn)證協(xié)議，認(rèn)證過程分為兩個階段，第一階段終端與Radius服務(wù)器之間建立TLS隧道，通過TLS保護第二階段用戶信息的交互；第二階段完成認(rèn)證方式的協(xié)商及用戶身份的認(rèn)證。常見的PAEP認(rèn)證方式有兩種：PEAP-MSCHAPV2、PEAP-GTC。從技術(shù)角度而言，PEAP-MSCHAPV2技術(shù)是大部分移動終端都支持的無線認(rèn)證協(xié)議，該協(xié)議將用戶的認(rèn)證信息在PEAP保護下傳輸，且用戶密碼無法被解密而被竊取。所以PEAP-MSCHAPV2成為大部分無線項目主推的認(rèn)證方式。
三、基礎(chǔ)網(wǎng)絡(luò)部署
802.1x無感知認(rèn)證采用標(biāo)準(zhǔn)的PEAP方式進行認(rèn)證，該功能不是銳捷特有的功能，下面只是以銳捷網(wǎng)絡(luò)設(shè)備為例。
1．網(wǎng)絡(luò)設(shè)備
三層核心交換機SW1(S8606)，二層接入交換機SW2(S2900),無線AP(RG-AP320-I),無線AC控制器(RG-WS5302)，RG-ESS或RG-SMP認(rèn)證系統(tǒng)。
2．網(wǎng)絡(luò)拓撲
網(wǎng)絡(luò)拓撲如圖1所示，其功能介紹如表1所示。
圖1 網(wǎng)絡(luò)拓撲
表1 功能介紹
