Текст документа
Обзор настройки WPA Необходимо иметь действительную учетную запись Cisco.com для загрузки драйверов, микропрограмм и утилит Cisco Aironet с Downloads - Wireless ( только для зарегистрированных пользователей ) . Если у вас нет учетной записи на Cisco.com, зарегистрируйтесь бесплатно на Cisco.com Registration .
Содержание Общие сведения Предварительные условия Требования Используемые компоненты Теоретические сведения Условные обозначения Настройка Сетевой расширенный протокол аутентификации (EAP) или открытая аутентификация с применением EAP Настройка интерфейса командой строки CLI Настройка графического интерфейса пользователя (GUI ) Проверка Устранение неполадок Процедура устранения неполадок Команды устранения неполадок Дополнительные сведения Общие сведения Этот документ содержит образец настройки для защищенного доступа Wi-Fi (WPA), внутреннего стандарта безопасности, используемого членами альянса Wi-Fi.
Предварительные условия Требования Перед использованием этой настройки убедитесь в выполнении следующих предварительных условий: Глубокие знания методов обеспечения безопасности расширенного протокола аутентификации (EAP). Знания методов обеспечения безопасности расширенного протокола аутентификации (EAP). Используемые компоненты Сведения, содержащиеся в данном документе, относятся к следующим версиям программного и аппаратного обеспечения: Точки доступа (AP) на основе ПО Cisco IOS® ПО Cisco IOS выпуск 12.2(15)JA и выше
Стр. 1
Примечание: Наиболее предпочтительно использовать последнюю версию ПО Cisco IOS, даже если WPA поддерживается ПО Cisco IOS выпуска 12.2(11)JA и выше. Для получения последней версии ПО Cisco IOS перейдите на страницу Downloads ( только для зарегистрированных пользователей ) . Совместимая с WPA сетевая интерфейсная плата (NIC) и ее совместимое с WPA клиентское ПО Данные для документа были получены в специально созданных лабораторных условиях. При написании данного документа использовались только устройства с пустой (стандартной) настройкой. В рабочей сети необходимо изучить потенциальное воздействие всех команд.
Теоретические основы Средства безопасности в беспроводной сети, такой как WEP, достаточно слабые. Группа разработчиков Wi-Fi Alliance (или WECA) представила новый внутренний стандарт безопасности нового поколения для беспроводных сетей. Этот стандарт предусматривает дополнительную защиту до официального принятия стандарта 802.11i организацией IEEE. Данная схема создает на текущем EAP/802.1x аутентификацию и динамическое управление ключами и добавляет более стойкое шифрование. После установления соединения EAP/802.1x клиентсткого устройства и сервера аутентификации управление ключами WPA согласовывается между точкой доступа и клиентским устройством, совместимым с WPA.
Точки доступа Cisco также предлагают гибридную настройку, в которой оба традиционных EAP клиента на основе WEP (с сохранением профиля или без управления ключами) работают в соединении с клиентами WPA. Эта настройка часто называется режимом миграции. Он предусматривает поэтапный подход к миграции на WPA. Режим миграции в этом документе не рассматривается. В этом документе описана структура сети, защищенной WPA. Помимо безопасности на корпоративном уровне WPA также обеспечивает версию предварительного ключа (WPA-PSK), предназначенного для использования в небольших офисах, домашних офисах (SOHO) или беспроводных внутренних сетях.
Клиентская служебная программа Cisco (ACU) не поддерживает WPA-PSK. Программа нулевой беспроводной настройки от Microsoft Windows, так же как и приведенные ниже программы, поддерживают WPA-PSK для большинства беспроводных карт: AEGIS Client from Meetinghouse Communications Примечание: Обратитесь к разделу Meetinghouse Solutions . Odyssey client from Funk Software Примечание: Обратитесь к разделу Служба поддержки пользователей Juniper Networks . Клиентские программы производителей оригинального оборудования (OEM) от некоторых производителей Вы можете настроить WPA-PSK, когда: Вы выбираете режим шифрования как шифрование TKIP на вкладке Encryption Manager.
Вы определяете тип аутентификации, использование управления ключами и предварительный ключ на вкладке Service Set Identifier (SSID) Manager. Настройка на вкладке Server Manager не требуется. Для включения WPA-PSK через интерфейс командной строки (CLI) введите следующие команды. Начните с режима настройки: AP(config)# interface dot11Radio 0 AP(config-if)# encryption mode ciphers tkip AP(config-if)# ssid ssid_name AP(config-if-ssid)# authentication open AP(config-if-ssid)# authentication key-management wpa AP(config-if-ssid)# wpa-psk ascii pre-shared_key
Стр. 2
Примечание: В этом разделе описана только настройка, относящаяся к WPA-PSK. Приведенная здесь настройка предназначена только для ознакомления и изучения работы WPA-PSK. Основное внимание в документе уделено настройке WPA. Условные обозначения Обратитесь к разделу Технические советы Cisco. Условные обозначения для получения дополнительных сведений об условных обозначениях в документах. Настройка WPA основано на текущих методах EAP/802.1x. В этом документе предполагается наличие настройки LEAP, EAP или PEAP, которая работает перед добавлением настройки для привлечения WPA. В этом разделе представлены сведения по настройке функций, описанных в данном документе. Примечание:
Используйте средство поиска команд Command Lookup Tool ( только для зарегистрированных пользователей ) для получения дополнительной информации о командах, упомянутых в этом разделе. Сетевой расширенный протокол аутентификации (EAP) или открытая аутентификация с применением EAP При использовании метода аутентификации на основе EAP/802.1x возникает вопрос о различиях между сетевым EAP и открытой аутентификацией с применением EAP. Это относится к значениям в поле Authentication Algorithm в заголовках пакетов управления и связывания.
Большинство производителей беспроводных клиентских устройств устанавливают значение этого поля 0 (открытая аутентификация), а затем сообщают о желании провести аутентификацию EAP позднее, во время процесса ассоциации. В продуктах Cisco значение задается по-другому, начиная со связывания с флагом сетевого протокола EAP. Используйте приведенный ниже метод аутентификации, если ваша сеть имеет следующих клиентов: Клиенты Cisco - используют сетевой расширенный протокол аутентификации (EAP) Клиенты стороннего производителя (в том числе совместимые продукты CCX) – используют открытую аутентификацию с EAP.
Комбинация клиентов Cisco и посторонних клиентов - используют оба метода аутентификации Network-EAP и открытую аутентификацию с EAP. Настройка CLI В данном документе используются следующие настройки: Существующая и работающая настройка LEAP ПО Cisco IOS выпуск 12.2(15)JA для точек доступа на основе ПО Cisco IOS AP ap1# show running-config Building configuration... . . . aaa new-model !
Стр. 3
aaa group server radius rad_eap server 192.168.2.100 auth-port 1645 acct-port 1646 . . aaa authentication login eap_methods group rad_eap . . . ! bridge irb ! interface Dot11Radio0 no ip address no ip route-cache ! encryption mode ciphers tkip !--- Здесь описан метод шифрования, используемый в WPA. TKIP - это !--- наиболее безопасный метод, который использует версию TKIP на основе Wi-Fi. ! ssid WPAlabap1200 authentication open eap eap_methods !--- Здесь определяется метод для основного EAP у сторонних !--- клиентов. authentication network-eap eap_methods !--- Здесь определяется метод для основного EAP у клиентов Cisco.
authentication key-management wpa !--- Это вызывает управление ключами WPA. ! speed basic-1.0 basic-2.0 basic-5.5 basic-11.0 rts threshold 2312 channel 2437 station-role root bridge-group 1 bridge-group 1 subscriber-loop-control bridge-group 1 block-unknown-source no bridge-group 1 source-learning no bridge-group 1 unicast-flooding bridge-group 1 spanning-disabled . . . interface FastEthernet0 no ip address no ip route-cache duplex auto speed auto bridge-group 1 no bridge-group 1 source-learning bridge-group 1 spanning-disabled ! interface BVI1 ip address 192.168.2.108 255.255.255.0 !--- Это адрес модуля. no ip route-cache !
ip default-gateway 192.168.2.1 ip http server ip http help-path http://www.cisco.com/warp/public/779/smbiz/prodconfig/help/eag/ivory/1100 ip radius source-interface BVI1 snmp-server community cable RO snmp-server enable traps tty radius-server host 192.168.2.100 auth-port 1645 acct-port 1646 key shared_secret !--- Здесь определяется местонахождение сервера RADIUS и ключ между точкой доступа и сервером. radius-server retransmit 3 radius-server attribute 32 include-in-access-req format %h radius-server authorization permit missing Service-Type radius-server vsa send accounting bridge 1 route ip ! !
Стр. 4