摘要：隨著教育信息化建設加快推進，各中小學校數(shù)字化校園硬件和軟件系統(tǒng)也得到了不斷完善，在辦公及學習區(qū)域都有一定數(shù)量的無線AP, 方便老師移動辦公和學生的數(shù)字化學習。但無線網(wǎng)絡相對于有線網(wǎng)絡沒有固定邊界，在沒有任何安全策略情況下只要進入無線覆蓋范圍內就可以關聯(lián)無線，存在身份無法確認的巨大安全隱患。同時數(shù)據(jù)通過電磁波進行傳輸，黑客可以通過無線抓包軟件探測周圍無線數(shù)據(jù)報文，數(shù)據(jù)傳輸同樣存在安全隱患。本文給出一種基于802.1x協(xié)議的校園網(wǎng)無線認證方法,并闡述了其實現(xiàn)步驟。
一、現(xiàn)狀與需求分析
隨著智能終端的普及，接入校園網(wǎng)絡的終端類型正在逐漸發(fā)生變化。智能終端需要通過3G、GPRS、WIFI接入Internet網(wǎng)絡。但目前3G、GPRS上網(wǎng)資費較貴，所以WIFI成為校園網(wǎng)中智能終端的主要接入方式。為了保障無線網(wǎng)絡及用戶數(shù)據(jù)傳輸?shù)陌踩�，需要對接入終端身份進行校驗,同時對傳輸數(shù)據(jù)進行加密。
校園網(wǎng)中常見的無線身份驗證方式為：預共享密鑰的方式、Portal方式（WEB認證）。
(1)預共享密鑰：學校網(wǎng)絡管理員提前配置無線安全密鑰，用戶接入網(wǎng)絡時輸入提前配置的密鑰進行身份驗證。由于密鑰為靜態(tài)管理方式，如果該密鑰泄露，將失去用戶身份驗證的作用，該方式在大型無線網(wǎng)絡中已經(jīng)很少使用。
(2)Portal方式：用戶使用瀏覽器進行認證(WEB認證)，不存在系統(tǒng)兼容性的問題，但是用戶每次接入網(wǎng)絡都需要打開瀏覽器進行一次Portal認證，如果每次都需要進行Portal認證將大大降低用戶的無線體驗。
根據(jù)老師們使用習慣和應用場景分析，能不能給我們的老師提供一種快速“無感知”的接入方式，即終端進入無線覆蓋范圍內即可自動連接無線網(wǎng)絡，不再需要輸入用戶名、密碼或者預共享密鑰等信息即可完成終端身份識別。化繁為簡的“無感知”接入，讓用戶幾乎忘了自己是如何上網(wǎng)的,同時安全性卻絲毫沒有妥協(xié)，網(wǎng)絡管理員依然可以做到最為安全的無線網(wǎng)絡接入。
二、802.1x無感知認證價值描述
無感知認證的方案有：基于802.1x無感知認證，基于MAC無感知認證。本文主要討論基于802.1x的無感知認證。
市場上大部分智能終端都支持802.1x認證功能，802.1x技術為企業(yè)級的網(wǎng)絡提供了安全和便捷的解決方案。用戶希望接入無線網(wǎng)絡時只需要首次進行認證信息配置，后續(xù)用戶只要進入無線信號覆蓋范圍內即可自動完成認證。
802.1x協(xié)議規(guī)定在完成認證之前是不允許信息交互的，因此手持終端與AC在認證之前只能通過802.1x協(xié)議規(guī)定的EAP（Extensible Authentication Protocol，可擴展認證協(xié)議）幀交換認證信息。目前大多數(shù)手持終端都支持基于802.1x的EAP認證，輸入相應的用戶名密碼，即可自動完成認證，這種方式稱為EAP-PEAP，即Protected-EAP（受保護的可擴展的身份驗證協(xié)議）。已被Wi-FI聯(lián)盟WPA和WPA2批準的有兩個子類型：PEAPV0-MSCHAPV2和PEAPV1-GTC。又由于PEAP是一個框架協(xié)議，目前業(yè)界使用最廣的是由微軟提出的PEAP-MSCHAPV2協(xié)議，又被稱作MS-PEAP，也就是我們在iPhone上看到的WPA/WPA2企業(yè)級認證方式。
PEAP是可擴展的身份認證協(xié)議，認證過程分為兩個階段，第一階段終端與Radius服務器之間建立TLS隧道，通過TLS保護第二階段用戶信息的交互；第二階段完成認證方式的協(xié)商及用戶身份的認證。常見的PAEP認證方式有兩種：PEAP-MSCHAPV2、PEAP-GTC。從技術角度而言，PEAP-MSCHAPV2技術是大部分移動終端都支持的無線認證協(xié)議，該協(xié)議將用戶的認證信息在PEAP保護下傳輸，且用戶密碼無法被解密而被竊取。所以PEAP-MSCHAPV2成為大部分無線項目主推的認證方式。
三、基礎網(wǎng)絡部署
802.1x無感知認證采用標準的PEAP方式進行認證，該功能不是銳捷特有的功能，下面只是以銳捷網(wǎng)絡設備為例。
1．網(wǎng)絡設備
三層核心交換機SW1(S8606)，二層接入交換機SW2(S2900),無線AP(RG-AP320-I),無線AC控制器(RG-WS5302)，RG-ESS或RG-SMP認證系統(tǒng)。
2．網(wǎng)絡拓撲
網(wǎng)絡拓撲如圖1所示，其功能介紹如表1所示。
圖1 網(wǎng)絡拓撲
表1 功能介紹
