結(jié)合VPN與無(wú)線AP增強(qiáng)安全性

　　【導(dǎo)讀】本文介紹把虛擬專用網(wǎng)與無(wú)線橋接器(access points，AP)結(jié)合起來(lái)以增強(qiáng)安全的兩種方法。

　　詢問(wèn)任何熟悉安全的IT專業(yè)人員有關(guān)在企業(yè)環(huán)境中使用無(wú)線網(wǎng)絡(luò)的問(wèn)題，他們都會(huì)告訴你，普通的AP安全措施并不能真正解決問(wèn)題。無(wú)線通信的廣播性質(zhì)、日益高級(jí)的無(wú)線監(jiān)聽(tīng)工具和破解無(wú)線AP傳輸數(shù)據(jù)的手段，都表明不采用額外的措施，無(wú)線網(wǎng)絡(luò)并不安全。大多數(shù)專家建議，把無(wú)線AP放在自己的網(wǎng)段中，并將這一網(wǎng)段用防火墻保護(hù)起來(lái)，防止內(nèi)部網(wǎng)的其它部分與無(wú)線AP連接起來(lái)。

　　采取的下一個(gè)步驟是讓你的所有的無(wú)線客戶使用虛擬專用網(wǎng)軟件，你的無(wú)線網(wǎng)絡(luò)會(huì)更安全一些。同時(shí)，如果你的網(wǎng)絡(luò)有一個(gè)DMZ(半軍事化區(qū)，內(nèi)部網(wǎng)絡(luò)與外部互聯(lián)網(wǎng)之間的半安全區(qū)域)，就使用這個(gè)DMZ。如果沒(méi)有DMZ，就堅(jiān)持使用老的方法， 使用單獨(dú)的電纜隔離或者AP的虛擬網(wǎng)絡(luò)，讓數(shù)據(jù)在進(jìn)入內(nèi)部網(wǎng)之前通過(guò)一個(gè)防火墻，只讓這個(gè)通信停留在網(wǎng)絡(luò)的安全的一邊。

　　有兩種方法可以把虛擬專用網(wǎng)和無(wú)線AP結(jié)合起來(lái)。第一種方法是把AP放在Windows服務(wù)器的接口上，使用Windows內(nèi)置的虛擬專用網(wǎng)軟件增加無(wú)線通信的覆蓋范圍。這種方法允許你使用內(nèi)置的Windows客戶端軟件以及L2TP和IPSec軟件，為你的無(wú)線網(wǎng)路的通信進(jìn)行加密。這種技術(shù)也適用于支持同樣的內(nèi)置或者免費(fèi)的虛擬專用網(wǎng)客戶端軟件的其它操作系統(tǒng)。這個(gè)方法的好處是使用內(nèi)置的軟件，客戶端軟件的變化很小，非常容易設(shè)置和應(yīng)用，不需要增加額外的服務(wù)器或者硬件成本。這種方法的不足是增加了現(xiàn)有的服務(wù)器的額外負(fù)荷(根據(jù)你提供服務(wù)的AP的數(shù)量和使用這些AP的客戶數(shù)量的不同，負(fù)荷也有所不同)。服務(wù)器執(zhí)行其它的任務(wù)也許會(huì)效果不好。如果同一服務(wù)器還提供防火墻功能，額外負(fù)荷可能會(huì)提示使用其它的服務(wù)器或者采用不同的方法。

　　第二種方法包括使用一個(gè)包含內(nèi)置虛擬專用網(wǎng)網(wǎng)關(guān)服務(wù)的無(wú)線AP。SonicWall、WatchGuard和Colubris等公司目前提供一種單個(gè)機(jī)箱的解決方案。這種解決方案集成了AP和虛擬專用網(wǎng)功能，使應(yīng)用無(wú)線安全網(wǎng)絡(luò)更加容易。這種預(yù)先封裝在一起的兩種功能結(jié)合在一起設(shè)備很容易安裝、設(shè)置、配置和管理，而且很容易強(qiáng)制規(guī)定政策，讓每一個(gè)無(wú)線連接都使用虛擬專用網(wǎng)完成連接。由于這種方法在使用的時(shí)候很容易選擇，加密也更加合理了，避免了802.1x加密為虛擬專用網(wǎng)連接增加的費(fèi)用。這種方法的弱點(diǎn)包括價(jià)格昂貴，購(gòu)買新的機(jī)器只能滿足新的無(wú)線局域網(wǎng)子網(wǎng)的需求，在不更換硬件的情況下很難從一種無(wú)線技術(shù)升級(jí)到另一種技術(shù)。

　　混合的方法也許包括與現(xiàn)有無(wú)線AP一起使用客戶端軟件，并且計(jì)劃過(guò)渡到新的基于設(shè)備的產(chǎn)品。另一種方法是指定一臺(tái)在DMZ(或者在自己的網(wǎng)段)的服務(wù)器，專門處理無(wú)線連接、VPN網(wǎng)關(guān)需求以及防火墻信息，開(kāi)啟或關(guān)閉無(wú)線網(wǎng)段。但是，在其中增加一個(gè)虛擬專用網(wǎng)，你可以提高安全性并且感到更有信心，有時(shí)日常網(wǎng)絡(luò)通信在無(wú)線網(wǎng)絡(luò)中像在有線網(wǎng)絡(luò)中一樣安全。