WEP使用一个静态的密钥来加密所有的通信。WPA不断的转换密钥。WPA采用有效的密钥分发机制,可以跨越不同厂商的无线网卡实现应用。另外WPA的另一个优势是,它使公共场所和学术环境安全地部署无线网络成为可能。而在此之前,这些场所一直不能使用WEP。WEP的缺陷在于其加密密钥为静态密钥而非动态密钥。这意味着,为了更新密钥,IT人员必须亲自访问每台机器,而这在学术环境和公共场所是不可能的。另一种办法是让密钥保持不变,而这会使用户容易受到攻击。由于互 *** 作问题,学术环境和公共场所一直不能使用专有的安全机制。
WPA工作原理
WPA包括暂时密钥完整性协议(Temporal Key Integrity Protocol,TKIP)和8021x机制。TKIP与8021x一起为移动客户机提供了动态密钥加密和相互认证功能。WPA通过定期为每台客户机生成惟一的加密密钥来阻止黑客入侵。TKIP为WEP引入了新的算法,这些新算法包括扩展的48位初始向量与相关的序列规则、数据包密钥构建、密钥生成与分发功能和信息完整性码(也被称为“Michael”码)。在应用中,WPA可以与利用8021x和EAP(一种验证机制)的认证服务器(如远程认证拨入用户服务)连接。这台认证服务器用于保存用户证书。这种功能可以实现有效的认证控制以及与已有信息系统的集成。由于WPA具有运行“预先共享的密钥模式”的能力,SOHO环境中的WPA部署并不需要认证服务器。与WEP类似,一部客户机的预先共享的密钥(常常被称为“通行字”)必须与接入点中保存的预先共享的密钥相匹配,接入点使用通行字进行认证,如果通行字相符合,客户机被允许访问接入点。
WPA弥补了WEP的安全问题
除了无法解决拒绝服务(DoS)攻击外,WPA弥补了WEP其他的安全问题。黑客通过每秒发送至少两个使用错误密钥的数据包,就可以造成受WPA保护的网络瘫痪。当这种情况发生时,接入点就会假设黑客试图进入网络,这台接入点会将所有的连接关闭一分钟,以避免给网络资源造成危害,连接的非法数据串会无限期阻止网络运行,这意味着用户应该为关键应用准备好备份进程。
总结:WPA比WEP的安全更高。
小常识:目前已经有WPA2的加密通信,是WPA的增强型版本,与WPA相比,WPA2新增了支持AES的加密方式。
三个安全性的排序为:WEP<WPA<WPA2。
故障现象:Web认证环境下,用户在Portal登录页输入正确的用户名和密码,认证不成功,提示认证异常的错误信息。
故障可能原因
1、接入设备的WEB认证配置错误
2、接入设备配置、ePortal和SAM配置信息不一致
3、ePortal服务器启动了系统自带SNMP组件
4、接入设备未做降噪配置
故障处理流程
4、故障处理步骤
步骤1 排查接入设备的Web认证配置是否正确
1 通过Console口登录到接入设备,执行”show run“命令,查看当前设备的配置信息。
2 若Web认证接入设备为有线交换机,请比对以下典型配置,检查设备的web认证配置是否正确。
² 典型的有线交换机web认证模板(以S26系列设备为例)如下:
Ruijie# configure terminal
/ 配置通信密钥,对ePortal服务器返回的链接加密,实例中通讯密钥是“ruijie” /
Ruijie(config)# web-auth portal key ruijie
/ 未认证用户访问直通地址,用于学习网关arp,通常设置网关(如192168331)为直通地址 /
Ruijie(config)# >
注意: 本例中snmp-server community 是重要配置,Web认证信息验证通过后,会通知设备打开上网通道,若community key没有配置会配置不正确,都会导致打开上网通道失败,web认证不成功。
3 若Web认证接入设备为无线交换机,存在两种Web认证配置方法,分别称为一代Portal认证和二代Portal认证,请比对以下典型配置,检查设备的web认证配置是否正确。
² 典型的无线一代portal认证模板(以WS57系列设备为例)如下:
Ruijie# configure terminal
/ 配置通信密钥,对ePortal服务器返回的链接加密,实例中通讯密钥是“ruijie” /
Ruijie(config)# web-auth portal key ruijie
/ 设置直通地址,即ePortal服务器地址,如“172201100” /
Ruijie(config)# >
注意: 本例AC采用一代Portal配置,认证原理与有线交换机基本一致。同样的,snmp-server community是重要配置,Web认证信息验证通过后,会通知设备打开上网通道,若communitykey没有配置会配置不正确,都会导致打开上网通道失败,web认证不成功。
² 典型的无线二代portal认证模板(以WS57系列设备为例)如下:
Ruijie# configure terminal
/ 创建全局Portal服务器,服务器名为default、IP地址17220110(可修改ePortal服务IP)、认证主页>
注意: 本例AC采用二代Portal认证配置,与一代不同的是,AC还承担Radius认证客户端的角色,因此AAA配置是必须要有的,若是缺少AAA配置,web认证就无法正常进行。
检查设备Web认证配置,排除配置错误导致认证失败的问题,若依然认证不成功,则进入下一步骤的排查。
步骤2 排查接入设备与ePortal和SAM配置信息是否一致
1 在认证PC机的浏览器地址栏内输入访问网站的URL地址,如“>
2 在认证登录页面,输入用户名密码,点击“登录”按钮,页面顶部出现“认证失败!"的提示。
3 首先登录ePortal系统,查看日志管理下的日志信息。
4 若页面认证失败且ePortal日志出现类似“用户(xxx)认证失败,原因:设备community配置错误导致设备不通,打开设备(xxxxxxxxxxxx)上网通道失败”的提示,说明接入设备的community key不正确
5 若页面认证失败且ePortal日志出现类似“用户(xxx)认证失败,Radius服务器没有响应”的提示,说明Web认证过程中,在进行Radius 认证的环节出现了问题。
按以下步骤检查ePortal和SAM配置的Radius Key值是否一致。
1) 若接入设备是有线交换机或一代Portal认证的AC设备,ePortal作为认证客户端发起Radius认证,需要检查ePortal系统配置和SAM系统的设备配置。
首先,查看ePortal系统配置的Radius Key,
其次,查看SAM登记的RG-ePortal的设备Key,
检查ePortal系统配置的Radius Key和SAM登记的RG-ePortal的设备Key的值,若两者的值不一致,则需要修改成相同的值。
2) 若接入设备是一代Portal认证的AC设备,AC设备作为认证客户端发起Radius认证,因此需要检查AC设备和SAM系统的设备配置。
首先,查看AC设备的配置信息,通过Console口登录设备,进入特权模式,执行“show run”命令,找到radius-server信息,查看key值
其次,查看SAM登记的AC设备的Key
检查AC设备的Radius Key和SAM系统登记的AC设备Key的值,若两者的值不一致,则需要修改成相同的值。
5 检查接入设备配置、ePortal和SAM的相关配置,排除配置错误导致认证失败的问题,若依然认证不成功,则进入下一步骤的排查。
步骤3 排查ePortal服务器是否启用系统自带SNMP组件
1 在认证PC机的浏览器地址栏内输入访问网站的URL地址,如“>
2 在认证登录页面,输入用户名密码,点击“登录”按钮,页面顶部出现“认证失败!"的提示
需要注意的是,虽然页面提示“认证失败”,但实际上已经可以正常连通网络,说明上网通道已经被打开了。
3 登录ePortal系统,查看日志管理下的日志信息,发现“用户(xxx)上线失败,由于出现异常情况”的提示
4 登录SAM系统,查看在线用户表,发现该用户已在线
5 查看当前ePortal服务器的系统服务是否异常,通过“开始”-- “运行”,执行“servicesmsc“命令
打开服务列表窗口,查找是否存在“SNMP Service”的服务,且已经被启动
若系统的SNMP Service服务被启动,则与ePortal的SNMP服务冲突了,导致SNMP功能失效。
6 依照以下步骤关闭系统SNMP服务
1) 双击“SNMP Service”
2) 启动类型修改为“手动”
3) 手动停止SNMP Service
4) 点击“确定”,使当前配置生效
7 关闭系统SNMP服务后,重启ePortal服务。
排除SNMP服务冲突的问题后,若依然认证不成功,则进入下一步骤的排查。
步骤4 排查接入设备是否支持降噪配置
在网络环境没有变化的情况下,若认证业务高峰期出现Web认证失败问题,而在平时都可以正常认证,需要检查web认证的接入设备是否支持降噪。
降噪是指接入设备屏蔽非浏览器发起的>
查看software version信息,若软件版本低于RGOS 103版本,则交换机版本不支持web认证降噪,需要升级到最新版本,请联系4008111000索取最新版本信息。
3 若接入设备为AC设备,进入特权模式,输入“show version”,
查看software version信息,若软件版本低于RGOS 104(1T17)版本,则AC交换机版本不支持web认证降噪,需要升级到最新版本,联系4008111000协助处理。
4 若接入设备为ACE设备,首先识别ACE硬件版本,若是ACEv50设备直接输入“show version”,
查看version信息,若软件版本低于340版本,则AC交换机版本不支持web认证降噪,需要升级到最新版本。ACEv30不支持降噪功能,请先升级到ACEv50版本。具体ACE升级版本和 *** 作步骤,请联系4008111000协助处理。
检查接入设备版本符合降噪配置的要求,若依然认证不成功,则进入下一步骤的排查。
步骤5 收集信息并联系4008111000协助处理
拨打4008111000寻求技术支持,收集如下故障信息,进行故障进一步处理。
1 ePortal和SAM的软件版本号
登录ePortal系统,点击“关于系统”图标,d出版本信息。
登录SAM系统,点击右下角“关于”图标,d出版本信息。
2 接入设备的配置信息
若接入设备为交换机或AC无线设备,登录设备进入特权模式,执行“show run”命令,将输出结果保存成文件。
若接入设备为ACE设备,请将“认证服务器配置”的配置内容截图。
3 ePortal服务器填写的接入设备信息
进入“设备管理”菜单,选择查看设备,d出设备详细信息。
4 SAM服务器填写的接入设备信息
进入“设备管理”菜单,选择查看设备,d出设备详细信息。
5 提供PC端、ePortal服务端、SAM服务端的报文
1) 分别在PC端、ePortal服务端和SAM服务端,打开wireshark工具,并监控网卡,准备开始抓包;
2) 在PC上执行一次完整的web认证 *** 作,输入用户名密码,直至出现认证失败提示;
3) 完成web认证 *** 作后,停止wireshark抓包,将抓取的报文保存成pcap文件;
4) 提交pcap报文时,请附带说明报文文件的来源(PC端、ePortal端、SAM端)以及来源的IP地址。
欢迎分享,转载请注明来源:内存溢出
评论列表(0条)