Đồ án Bảo mật mạng không dây

thích hợp cho WLAN. Kể cả với sự quản lý chặt như vậy, nếu một card bị mất hoặc bị ăn trộm, người có trách nhiệm với card đó (người sử dụng) phải được yêu cầu báo cáo ngay với người quản trị, để có những biện pháp đề phòng thích hợp. Những biện pháp tối thiểu phải làm là đặt lại bộ lọc MAC, thay đổi chìa khóa WEP,v.v. Cho phép nhóm bảo vệ quét định kỳ xung quanh khu vực công ty để phát hiện những hoạt động đáng ngờ. Những nhân sự này được huấn luyện để nhận ra phần cứng 802.11 và cảnh giác các nhân viên trong công ty luôn luôn quan sát những người không ở trong công ty đang trốn quanh tòa nhà với các phần cứng cơ bản của 802.11 thì cũng rất hiệu quả trong việc thu hẹp nguy cơ tấn công. Kiểm kê thiết bị Wlan và kiểm định sự an toàn Như một sự bổ sung tới chính sách an toàn vật lý, tất cả các thiết bị WLAN cần được kiểm kê đều đặn để lập chương mục cho phép và không cho phép các người sử dụng thiết bị WLAN truy nhập tới mạng của tổ chức. Nếu mạng quá lớn và bao gồm một số lượng đáng kể các thiết bị không dây thì việc kiểm kê định kỳ có thể không khả thi. Trong những trường hợp như vậy thì cần thiết thực hiện những giải pháp bảo mật WLAN mà không dựa trên phần cứng, nhưng dĩ nhiên là vẫn dựa trên username và password hoặc một vài loại khác trong các giải pháp bảo mật không dựa trên phần cứng. Với những mạng không dây trung bình và nhỏ, sự kiểm kê hàng tháng hoặc hàng quý giúp phát hiện những sự mất mát các phần cứng. Quét định kỳ với các bộ phân tích mạng để phát hiện các thiết bị xâm nhập, là cách rất tốt để bảo mật mạng WLAN. Sử dụng các giải pháp bảo mật tiên tiến Những tổ chức WLAN cần tận dụng một vài cơ chế bảo mật tiên tiến có sẵn trên thị trường. Điều đó cũng cần được đề cập trong chính sách bảo mật của công ty. Vì những công nghệ này khá mới,còn độc quyền và thường được sử dụng phối hợp với các giao thức, các công nghệ khác. Chúng cần được lập thành tài liệu hướng dẫn, để nếu có một sự xâm phạm xuất hiện, thì người quản trị có thể xác định nơi và cách mà sự xâm nhập đó xuất hiện. Bởi chỉ có số ít được đào tạo về bảo mật WLAN, do đó những người này là rất quan trọng, vì thế chính sách tiền lương cũng được đề cập đến trong các chính sách bảo mật của công ty, tập đoàn. Nó cũng là một trong các mục cần được lập tài liệu chi tiết. Mạng không dây công cộng Điều tất yếu sẽ xảy ra là những người sử dụng của công ty với những thông tin nhạy cảm của họ sẽ kết nối từ laptop của họ tới WLAN công cộng. Điều này cũng nằm trong chính sách bảo mật của công ty. Những người dùng đó phải chạy những phần mềm firewall cá nhân và các phần mềm chống virus trên laptop của họ. Đa số các mạng WLAN công cộng có ít hoặc không có sự bảo mật nào, nhằm làm cho kết nối của người dùng đơn giản và để giảm bớt số lượng các hỗ trợ kỹ thuật được yêu cầu. Sự truy cập có kiểm tra và giới hạn Hầu hết các mạng Lan lớn đều có một vài phương pháp để giới hạn và kiểm tra sự truy nhập của người sử dụng. Tiêu biểu là một hệ thống hỗ trợ chứng thực,sự cấp phép,và các dịch vụ Accounting(Authentication,Authorization,Accountting(AAA))được triển khai.Những dịch vụ AAA cho phép tổ chức gắn quyền sử dụng vào những lớp đặc biệt của người dùng. Ví dụ một người dùng tạm thời có thể chỉ được truy cập vào internet trong một phạm vi nào đó. Việc quản lý người sử dụng còn cho phép xem xét người đó đã làm gì trên mạng, thời gian và chương mục họ đã vào. .KHUYẾN CÁO VỀ BẢO MẬT Vài khuyến cáo trong việc bảo mật mạng WLAN : Khuyến cáo về WEP Không được chỉ tin cậy vào WEP, không có một biện pháp nào hoàn toàn tốt để mà bạn có thể chỉ dùng nó để bảo mật. Một môi trường không dây mà chỉ được bảo vệ bởi WEP thì không phải là một môi trường an toàn. Khi sử dụng WEP không được sử dụng chìa khóa WEP mà liên quan đến SSID hoặc tên của tổ chức làm cho chìa khóa WEP khó nhớ và khó luận ra. Có nhiều trường hợp trong thực tế mà chìa khóa WEP có thể dễ dàng đoán được nhờ việc xem SSID hoặc tên của tổ chức. WEP là một giải pháp có hiệu qủa để giảm bớt việc mất thông tin khi tình cờ bị nghe thấy, bởi người đó không có chìa khóa WEP thích hợp, do đó tránh được sự truy nhập của đối tượng này. Định cỡ CELL Để giảm bớt cơ hội nghe trộm, người quản trị nên chắc chắn rằng kích cỡ cell của AP phải thích hợp. Phần lớn hacker tìm những nơi mà tốn ít thời gian và năng lượng nhất để tìm cách truy cập mạng. Vì lí do này, rất quan trọng khi không cho phép những AP phát ra những tín hiệu ra ngoài khu vực an toàn của tổ chức, trừ khi tuyệt đối cần thiết. Vài AP cho phép cấu hình mức công suất đầu ra, do đó có thể điều khiển kích thước Cell RF xung quanh AP. Nếu một người nghe trộm nằm trong khu vực không được bảo vệ của tổ chức và không phát hiện được mạng của bạn, thì mạng của bạn khôngphải là dễ bị ảnh hưởng bởi loại tấn công này. Có thể người quản trị mạng sử dụng các thiết bị với công suất lớn nhất để đạt thông lượng lớn và vùng bao phủ rộng, nhưng điều này sẽ phải trả giá bằng việc chi phí về các biện pháp bảo mật. Vì vậy với mỗi điểm truy nhập cần biết các thông số như công suất, vùng phủ sóng, khả năng điều khiển kích thước cell. Và việc điều khiển bán kính cell cần phải được nghiên cứu cho kỹ và lập thành tài liệu hướng dẫn cùng với cấu hình của AP hoặc của bridge cho mỗi vùng. Trong vài trường hợp có thể cần thiết đặt hai AP có kích cỡ cell nhỏ hơn thay vì một AP để tránh những tổn hại không nên có. Cố gắng đặt AP của bạn về phía trung tâm của tòa nhà, nó sẽ giảm thiểu việc rò tín hiệu ra ngoài phạm vi mong đợi. Nếu bạn đang sử dụng những anten ngoài, phải lựa chọn đúng loại anten để có ích cho việc tối giản phạm vi tín hiệu. Tắt các AP khi không sử dụng. Những điều này sẽ giảm thiểu nguy cơ bị tấn công và giảm nhẹ gánh nặng quản lý mạng. Sự chứng thực người dùng Sự chứng thực người dùng là một mối liên kết yếu nhất của WLAN, và chuẩn 802.11 không chỉ rõ bất kỳ một phương pháp chứng thực nào, đó là yêu cầu bắt buộc mà người quản trị phải làm với người sử dụng ngay khi thiết lập cơ sở hạ tầng cho WLAN. Sự chứng thực người dùng dựa vào Username và Password, thẻ thông minh, mã thông báo, hoặc một vài loại bảo mật nào đó dùng để xác định người dùng, không phải là phần cứng. Giả pháp thực hiện cần hỗ trợ sự chứng thực song hướng giữa Server chứng thực và các client không dây, ví dụ như RADIUS server). RADIUS là chuẩn không chính thức trong hệ thống chứng thực người sử dụng. Các AP gửi những yêu cầu chứng thực người sử dụng đến một RADIUS server, mà có thể hoặc có một cơ sở dữ liệu được gắn sẵn hoặc có thể qua yêu cầu chứng thực để tới một bộ điều khiển vùng, như NDS server, active directory server, hoặc thậm chí là một hệ thống cơ sở dữ liệu tương hợp LDAP. Một vài RADIUS vendor có những sản phẩm Radius hữu hiệu hơn, hỗ trợ các bản mới nhất cho các giao thức chứng thực như là nhiều loại EAP. Việc quản trị một Radius server có thể rất đơn giản nhưng cững có thể rất phức tạp, phụ thuộc vào yêu cầu cần thực hiện. Bởi các giải pháp bảo mật không dây rất nhạy cảm, do đó cần cẩn thận khi chọn một giải pháp Radius server để chắc chắn rằng người quản trị có thể quản trị nó hoặc nó có thể làm việc hiệu qủa với người quản trị Radius đang tồn tại. Sự bảo mật cần thiết Chọn một giải pháp bảo mật mà phù hợp với nhu cầu và ngân sách của tổ chức, cho cả bây giờ và mai sau. WLAN đang nhanh chóng phổ biến như vậy vì sự thực hiện dễ dàng. Một WLAN bắt đầu với 1 AP và 5 client có thể nhanh chóng lên tới 15 AP và 300 client. Do đó cùng một cơ chế an toàn làm việc cho một AP là điều hoàn toàn không thể chấp nhận được cho 300 Ap, như thế sẽ làm tăng chi phí bảo mật một cách đáng kể. Trong trường hợp này, tổ chức cần có các phương pháp bảo mật cho cả hệ thống như: hệ thống phát hiện xâm nhập, firewalls, Radius server. Khi quyết định các giải pháp trên WLAN, thì các thiết bị này xét về lâu dài, là một nhân tố quan trọng để giảm chi phí. Sử dụng thêm các công cụ bảo mật Tận dụng các công nghệ sẵn có như VPNs, firewall, hệ thống phát hiện xâm nhập, Intrusion Detection System (IDS), các giao thức và các chuẩn như 802.1x và EAP, và chứng thực client với Radius có thể giúp đỡ các giải pháp an toàn nằm ngoài phạm vi mà chuẩn 802.11 yêu cầu, và thừa nhận. Giá và thời gian thực hiện các giải pháp này thay đổi tùy theo quy mô thực hiên. Theo dõi các phần cứng trái phép Để phát hiện ra các AP trái phép, các phiên dò các AP đó cần được hoạch định cụ thể nhưng không được công bố. Tích cực tìm và xóa bỏ các AP trái phép sẽ giữ ổn định cấu hình AP và làm tăng tính an toàn. Việc này có thể được thực hiện trong khi theo dõi mạng một cách bình thường và hợp lệ. Kiểu theo dõi này thậm chí có thể tìm thấy các thiết bị bị mất. Swiches hay Hubs Một nguyên tắc đơn giản khác là luôn kết nối các AP tới switch thay vì hub, hub là thiết bị quảng bá, do đó dễ bị mất pass và IP address. Wireless DMZ Ý tưởng khác trong việc thực hiện bảo mật cho những segment không dây là thiết lập một vùng riêng cho mạng không dây, Wireless DeMilitarized Zone (WDMZ). Tạo vùng WDMZ sử dụng firewalls hoặc router thì có thể rất tốn kém, phụ thuộc vào quy mô, mức độ thực hiện. WDMZ nói chung được thực hiện với những môi trường WLAN rộng lớn. Bởi các AP về cơ bản là các thiết bị không bảo đảm và không an toàn, nên cần phải tách ra khỏi các đoạn mạng khác bằng thiết bị firewall. Hình 5.10: Wireless DeMilitarized Zone Cập nhập các vi chương trình và các phần mềm Cập nhật vi chương trình và driver trên AP và card không dây của bạn. Luôn luôn sử dụng những chương trình cơ sở và driver mới nhất trên AP và card không dây của bạn. Thường thì các đặc tính an toàn, các vấn đề cơ bản sẽ được cố định, bổ sung thêm những đặc tính mới, sự khắc phục các lỗ hổng trong các cập nhật này. TRIỂN KHAI MẠNG KHÔNG DÂY TẠI TRƯỜNG ĐẠI HỌC DÂN LẬP HẢI PHÒNG Hiện nay mạng không dây ngày càng phổ biến, số giảng viên, cán bộ, sinh viên có máy tính xách tay ngày càng nhiều , nhu cầu làm việc,học tập thông qua mạng cũng tăng. Trước những đòi hỏi thực tế đó , việc xây dựng hệ thống mạng không dây cho nhà trường ngày càng cấp thiết. .Ý NGHĨA,MỤC ĐÍCH CỦA VIỆC TRIỂN KHAI MẠNG KHÔNG DÂY : Phục vụ cho nhu vầu làm việc , học tập, nghiên cứu của giảng viên, cán bộ công nhân viên và sinh viên nhà trường. Phục vụ nhu cầu của học chế tín chỉ. Tận dụng tối đa nguồn tài nguyên mạng Lan và các đường truyền internet của nhà trường. Mở rộng khả năng làm việc của các ứng dụng nhà trường. Phục vụ sinh viên ngày càng tốt hơn. Trung tâm Thông tin thư viện đã thành công nghiên cứu và thiết kế mạng không dây cho khu Giảng đường và khu Khách sạn sinh viên với mục tiêu : Cung cấp mạng không dây cho khách sạn sinh viên và khu giảng đường Trường Đại học Dân lập Hải Phòng. Kết nối mạng giữa khu Giảng đường và khu Khách sạn Sinh viên. Người dùng kết nối được ạng LAN, sử dụng các ứng dụng của mạng nội bộ. Người dùng kết nối được vào mạng Internet tốc độ cao. Đáp ứng được cho 630 người dùng đồng thời. Đáp ứng được các nhu cầu bảo mật khác nhau. Linh hoạt khả năng tùy biến , thay đổi theo nhu cầu thực tế. Đứng trước nhu cầu nghiên cứu học tập ngày càng lớn cán bộ, sinh viên, với xu hướng ngày càng hiện đại hóa cơ sở vật chất nhằm đưa trường Đại học Dân Lập Hải Phòng trở thành 1 ngôi trường hiện đại hệ thống mạng không dây đã được chấp thuận triển khai tại khu Giảng đường và khu Khách sạn sinh viên với trang thiết bị hạ tầng cở sở hiện đại. .SƠ ĐỒ TRIỂN KHAI : Khu Giảng Đường Sơ đồ thiết kế : Hình 6.1 : Vị trí lắp đặt các AP tại khu Giảng đường Hệ thống các AccessPoint bao gồm 11 Wireless Router được bố trí lắp đặt tại các vị trí lần lượt 2 Wireless Router tại phía trước khu nhà A, 1 Wireless Router tại phía trước nhà C , 1 Wireless Router tại nhà D, 1 thiết bị tại nhà H, 1 thiết bị tại nhà E , 1 thiết bị tại nhà phòng quản trị mạng, 1 thiết bị tại cawngtin sinh viên và 4 Wireless Router lắp đặt tại các tầng khu nhàG. AP Loại thiết bị Vị trí Kênh Ghi chú AP1 WRT110N hoặc WRT610N A202 1 AP2 WRT110N hoặc WRT610N A204 5 AP3 WRT110N hoặc WRT610N E301 9 AP4 WRT110N hoặc WRT610N Ban dự án 11 AP5 WRT110N hoặc WRT610N C203 3 AP6 WRT110N hoặc WRT610N D202 7 AP7 WRT110N hoặc WRT610N Phía sau C104 10 Dùng cho căngtin SV AP8 WRT110N hoặc WRT610N Tầng 2 nhà G 2 AP9 WRT110N hoặc WRT610N Tầng 3 nhà G 6 AP10 WRT110N hoặc WRT610N Tầng 4 nhà G 8 AP11 WRT110N hoặc WRT610N Tầng 5 nhà G 4 Sơ đồ kết nối vật lý : Hình 6.2 : sơ đồ kết nối vật lý các AP tại khu Giảng đường Các AP 1,2,3,5 được nối về phòng Quản trị mạng E102, các AP 4,6,7,8,9,10 được nối về Phòng mạng nhà G, ngoài ra tăng cường cho Văn phòng Đoàn 1 đường mạng nối về nhà G. Các AP truy cập mạng internet thông qua Proxy của trường. Cấu hình thiết bị : Thiết bị IP Gateway SSID DHCP Ghi chú AP1 10.8.1.1/16 10.8.0.1 HPU 10.8.1.10:40 AP2 10.8.2.1/16 10.8.0.1 HPU 10.8.1.10:40 AP3 10.8.3.1/16 10.8.0.1 HPU 10.8.1.10:40 AP4 10.8.4.1/16 10.8.0.1 HPU 10.8.1.10:40 AP5 10.8.5.1/16 10.8.0.1 HPU 10.8.1.10:40 AP6 10.8.6.1/16 10.8.0.1 HPU 10.8.1.10:40 AP7 10.8.1.1/16 10.9.0.1 HPU 10.9.1.10:40 AP8 10.8.2.1/16 10.9.0.1 HPU 10.9.1.10:40 AP9 10.8.3.1/16 10.9.0.1 HPU 10.9.1.10:40 AP10 10.8.4.1/16 10.9.0.1 HPU 10.9.1.10:40 Khu Khách Sạn Sinh Viên Sơ đồ thiết kế : Hình 6.3 : vị trí các AccessPoint lắp đặt tại Khu khách sạn sinh viên Hệ thống các AccessPoint bao gồm 6 Wireless Router được bố trí lắp đặt tại các vị trí thích hợp bao quát toàn bộ khu vực Khách sạn sinh viên nhằm đảm bảo các bạn sinh viên nội trú trong khách sạn đều có thể truy cập vào mạng không dây của trường. AP Loại thiết bị Vị trí Kênh Ghi chú AP1 WRT110N hoặc WRT610N C302 1 AP2 WRT110N hoặc WRT610N C209 3 AP3 WRT110N hoặc WRT610N C415 5 AP4 WRT110N hoặc WRT610N B304 7 AP5 WRT110N hoặc WRT610N A408 9 AP6 WRT110N hoặc WRT610N A315 11 Khu Nhà Tập Đa Năng Hình 6.4 : Vị trí các AccessPoint Khu nhà tập đa năng Hệ thống các Wireless Router được bố trí 4 thiết bị đặt tại 4 vị trí khác nhau bao gồm từ AP 7 tới AP 10. AP Loại thiết bị Vị trí Kênh Ghi chú AP7 WRT110N hoặc WRT610N Khán đài A 2 AP8 WRT110N hoặc WRT610N Khán đài C 4 AP9 WRT110N hoặc WRT610N Đỉnh sân khấu 6 AO10 WRT110N hoặc WRT610N Phòng đọc thư viện 8 Sơ đồ kết nối vật lý các AP tại khu Khách sạn sinh viên : Hình 6.5 : mô hình kết nối vật lý AP khu Khách sạn sinh viên Tất cả các AP đều được nối về Swich 2960 tại phòng A307T, để phục vụ cho công việc của ban công tác Sinh viên, Phòng đọc, Phòng máy KSSV- Trung tâm thông tin thư viện. Các AP truy cập internet thông qua đường FPTH tại phòng A307T, Khi các AP làm việc với các ứng dụng trong trường sẽ thông qua đường cáp quang , riêng Phòng đọc KSSV và Phòng quản sinh thì được điều chỉnh truy cập vào internet theo đường nào tùy theo nhu cầu thực tế. Cấu hình các thiết bị : Thiết bị IP Gateway SSID DHCP Route add Ghi chú FPTH 10.11.0.2/16 No AP AP1 10.11.1.1/16 10.11.0.2 KSSV 10.11.1.10:40 10.11.0.0/16 > 10.1.0.1 AP2 10.11.2.1/16 10.11.0.2 KSSV 10.11.2.10:40 10.11.0.0/16 > 10.1.0.1 AP3 10.11.3.1/16 10.11.0.2 KSSV 10.11.3.10:40 10.11.0.0/16 > 10.1.0.1 AP4 10.11.4.1/16 10.11.0.2 KSSV 10.11.4.10:130 10.11.0.0/16 > 10.1.0.1 AP5 10.11.5.1/16 10.11.0.2 KSSV 10.11.5.10:40 10.11.0.0/16 > 10.1.0.1 AP6 10.11.6.2/16 10.11.0.2 KSSV 10.11.6.10:40 10.11.0.0/16 > 10.1.0.1 AP7 10.11.7.1/16 10.11.0.2 KSSV 10.11.7.10:40 10.11.0.0/16 > 10.1.0.1 AP8 10.11.8.1/16 10.11.0.2 KSSV 10.11.8.10:40 10.11.0.0/16 > 10.1.0.1 AP9 10.11.9.1/16 10.11.0.2 KSSV 10.11.9.10:130 10.11.0.0/16 > 10.1.0.1 AP10 10.11.10.1/16 10.11.0.2 KSSV 10.11.10.10:40 10.11.0.0/16 > 10.1.0.1 Hệ thống mạng của khu Khách sạn sinh viên và khu Giảng đường được kết nối với nhau bởi 2 đường cáp quang tốc độ 1 Gbx2 nối giữa 1 thiết bị Swich 3560 tại phòng E102 ( khu Giảng đường) và Swich 2960 tại phòng A307T ( khu Khách sạn sinh viên). CẤU HÌNH THIẾT BỊ MẠNG KHÔNG DÂY .CẤU HÌNH THIẾT BỊ WIRELESS ROUTER Hệ thống mạng không dây Wireless Lan bao gồm 2 phần là Lan và Wireless trong đó Wireless là phần không dây bao gồm hệ thống các Wireless Router lắp đặt cố định tại các điểm đã thiết kế.Khác với các Access Point (chỉ có cổng cắm LAN) không cấp phát địa chỉ IP, cắm vào là dùng được luôn, bên cạnh đó là bảo mật kém và chỉ nên dùng khi đặt trong một mạng an toàn có sẵn tường lửa, router...thì Wireless Router (thêm cổng cắm ghi rõ chữ WAN) có khả năng bảo mật tốt hơn, được cấu hình là DHCP Server để cấp phát địa chỉ IP động, vừa làm nhiệm vụ kết nối không dây, vừa kết nối các máy không có adapter wireless với Internet như máy tính để bàn thông thường . Các Wireless Router được sử dụng trong hệ thống gồm 2 loại là WRT110N và WRT610N, 2 loại Wireless Router này có tính năng tương thích với nhau , có thể thay thế lẫn nhau. Linksys Wireless Router WRT110N Mặt trước, mặt sau Hình 7.1 : Linksys Wireless Router Các tính năng nổi trội : Chia sẻ kết nối Internet và 4 cổng chuyển mạch, được tích hợp sẵn tính năng nâng cao tốc độ và vùng phủ sóng. Công nghệ anten thông minh MIMO hỗ trợ mở rộng khoảng cách và làm giảm các điểm chết. làm việc với các thiết bị chuẩn N sẽ nhanh hơn tốc độ chuẩn G nhiều lần, nó có thể làm việc được với các thiết bị không dây chuẩn G và B. Các tín hiệu không dây được bảo vệ nhờ kỹ thuật mã hoá bảo mật không dây và bảo vệ mạng tránh được các tấn công từ ngoài Internet dựa vào tính năng tường lửa SPI .WRT110 tích hợp 3 thiết bị trong một hộp. Thứ nhất, điểm truy nhập không dây hỗ trợ truy cập mạng mà không cần đến dây dẫn. Thứ hai, tích hợp 4 cổng chuyển mạch 10/100 để kết nối tới mạng có dây. Cuối cùng, chức năng định tuyến có khả năng định tuyến toàn bộ mạng LAN của bạn ra ngoài Internet qua một kết nối DSL hay cáp. WRT110 sử dụng công nghệ mạng không dây mới nhất hiện nay là Wireless-N (draft 802.11n). Dựa vào khả năng bao phủ rộng nhiều tín hiệu sóng vô tuyến, nên công nghệ MIMO của Wireless-N đem lại hiệu suất truyền dữ liệu rất lớn. Không như các công nghệ mạng không dây trước đó luôn bị hạn chế bởi sự phản xạ tín hiệu thì công nghệ MIMO thường sử dụng các tín hiệu phản xạ đó để làm tăng phạm vi và làm giảm “điểm chết” trong vùng phủ sóng mạng không dây. Với công nghệ chuẩn Wireless-N bạn có thể ở khoảng cách xa hơn mà vẫn có thể truy nhập được vào mạng không dây hay có thể truyền dữ liệu với tốc độ nhanh hơn. WRT110 có khả năng làm việc với các thiết bị không dây chuẩn -G và –B, nhưng chỉ đạt hiệu suất cao nhất khi ở cả hai đầu đều là các thiết bị chuẩn Wireless-N. Khi làm việc với các thiết bị chuẩn -G và –B hiệu suất sẽ không đạt tối đa, tuy vậy hệ thống vẫn hoạt động bình thường. Để bảo vệ tính riêng tư của dữ liệu, WRT110 hỗ trợ các công nghệ mã hoá bảo mật như WEP và WPA, có khả năng mã hoá tất cả các đường truyền không dây nhờ sức mạnh của kỹ thuật mã hoá 256-bits. Công nghệ lọc địa chỉ MAC, cũng giúp bạn có thể cho phép các đối tượng nào có thể truy nhập vào mạng không dây của mình hay không. WRT110 hỗ trợ tiện ích cấu hình dựa trên trình duyệt web thân thiện. Được tích hợp tính năng DHCP Server nên nó có thể cấp địa chỉ IP động cho các máy tính trong mạng của bạn. Với tốc độ vô cùng lớn mà WRT110 hỗ trợ, thì nó là một giải pháp lý tưởng cho bạn khi muốn chạy các ứng dụng như VoIP, chơi game hay xem video. Khi đặt thiết bị này tại trung tâm trong mạng văn phòng hay gia đình, bạn có thể chia sẻ các kết nối Internet tốc độ cao, ứng dụng chạy các ứng dụng đa phương tiện, chơi game trực tuyến, chia sẻ máy in hay truyền các file dữ liệu với tốc độ cao. Linksys WRT610N-Dual-Band Wireless-N Gigabit Router Các tính năng : Bộ định tuyến chia sẻ Internet với 4 cổng chuyển mạch Gigabit, được xây dựng trên kiến trúc dual-band, nhằm cải thiện về khả năng phủ sóng và tốc độ cho điểm truy cập không dây. Sử dụng hai dải tần số radio riêng biệt nhằm tăng băng thông cho mạng.Công nghệ không dây chuẩn N sử dụng nhiều tần số radio với mục đích tăng công suất phát tín hiệu, mở rộng vùng phủ sóng, cải thiện tốc độ, và giảm thiểu điểm chết. Kết nổi tới ổ đĩa cứng hoặc thiết bị lưu trữ Flash cho phép truy cập tới các file ca nhạc, video, hoặc file dữ liệu từ mạng nội bộ hoặc mạng Internet. Tính năng bảo mật nâng cao và tường lửa SPI cho phép bảo vệ những tấn công từ bên ngoài Internet vào trong mạng.  Kiểu dáng đẹp, được thiết kế đồng thời với dải tần kép, thiết bị router không dây làm việc đồng thời với hai băng tần radio trong cùng một thời điểm. Hoạt động với băng thông tăng gấp hai lần một cách trôi chảy cho những ứng dụng giải trí như video, gaming, và ca nhạc một cách liên tục,  trong khi truy cập Internet, chia sẻ files, gửi nhận email, in ấn và một số tác vụ khác. Công nghệ không dây chuẩn N mang đến cho bạn khả năng phủ sóng và tốc độ cho cả hai dải tần số. Với thuộc tính liên kết thiết bị lưu trữ cho phép bạn kết nối tới ỗ đĩa cứng hoặc thiết bị lưu trữ USB trực tiếp tới mạng của bạn một cách dễ dàng với tốc độ gigabytes của thiết bị lưu trữ. Truy cập tới các file ca nhạc, file video, hoặc các file dữ liệu từ máy tính cá nhân với hệ thống mạng của bạn. Xây dựng trên kiến trúc cổng Gigabit cung cấp cho một kết nối ở xa nhanh hơn tới các thiết bị trong mạng có dây qua cổng Ethernet. Cài đặt dễ dàng và nhanh chóng với máy tính cá nhân hoặc máy Mac, tích hợp cài đặt cho người sử dụng lần đầu tiên, và tạo ra kết nối không dây có tính bảo mật cao bằng cách nhấn nút Wi-fi Protected SetupTM, thiêt bị bao gồm chương trình Linksys EasyLink Advisor như một công nghệ dành cho chuyên gia giúp cho bạn quản lý và điều chỉnh mạng của bạn khi mạng của bạn phát triển. Với thiết bị Linksys Simultaneous Dual-N Band Wireless Router đặt tại trung tâm trong gia đình hoặc văn phòng, bạn có thể dễ dàng sử dụng tính năng lưu trữ, chia sẻ kết nối Internet tốc độ cao. Chia sẻ file, in ấn và chạy những ứng dụng game  Thiết lập cấu hình Truy cập trực tiếp vào địa chỉ 10.8.0.1, đăng nhập với User name và password của Admin để conect tới thiết Wireless Router và thiết lập các thông số theo yêu cầu : Hình 7.2 : kết nối tới Wireless Router Thiết lập các thông số kĩ thuật: Phần Setup Basic setup : Gồm các thiết lập Internet setup(Ở đây router hỗ trợ 6 kiểu kết nối Internet phổ biến là Automatic Configuration - DHCP, Static IP, PPPoE, PPTP, Telstra Cable và L2TP, tùy thuộc nhà cung cấp dịch vụ Internet hoặc sơ đồ đấu nối mà chọn và cung cấp các thông tin cho phù hợp; Network setup( kich hoạt cấu hình DHCP và cung cấp địa chỉ IP động). Hình 7.3 : Thiết lập Baisic setup Mac Address clone Hình 7.4 : Thiết lập Mac Adress clone Advanced Routing Hình 7.5 : Thiết lập Advance Routing Phần Wireless Basic Wireless setting : Thiết lập SSID ứng với hệ thống mạng không dây bên khu Giảng đường là HPU còn khu Khác sạn sinh viên là KSSV ở chế độ quảng bá. Hình 7.6 Thiết lập Basic Wireless Settings Wireless Security Hình 7.7 : Thiết lập Wireless security Tại thiết lập Wireless Security ta có thiết lập với nhiều tùy chọn bảo mật hệ thống như WEP;WPA Personal; WPA2 Personal; WPA Enterprise; WPA2 Enterprise và RADIUS. WEP(Wired Equivalent Privacy) : WEP sử dụng một khoá mã hoá không thay đổi có độ dài 64 bit hoặc 128 bit, (nhưng trừ đi 24 bit sử dụng cho vector khởi tạo khoá mã hoá, nên độ dài khoá chỉ còn 40 bit hoặc 104 bit) được sử dụng để xác thực các thiết bị được phép truy cập vào trong mạng, và cũng được sử dụng để mã hoá truyền dữ liệu.Với những mạng WLAN quy mô lớn có thẻ sử dụng WEP như một phương pháp bảo mật căn bản nhưng nhưng các nhà quản trị mạng nên nắm bắt được những điểm yếu của WEP và cách khắc phục chúng nhưng các nhà quản trị mạng nên nắm bắt được những điểm yếu của WEP và cách khắc phục chúng. Hình 7.8 : Thiết lập WEP Security WPA (Wi-Fi Protected Access) WPA cũng sử dụng thuật toán RC4 như WEP, nhưng mã hoá đầy đủ 128 bit, một đặc điểm khác là WPA thay đổi khoá cho mỗi gói tin. Các công cụ thu thập các gói tin để phá khoá mã hoá đều không thể thực hiện được với WPA, bởi WPA thay đổi khoá liên tục nên hacker không bao giờ thu thập đủ dữ liệu mẫu để tìm ra mật khẩu. WPA sử dụng hàm thay đổi khoá TKIP (Temporal Key Integrity Protocol) và không yêu cầu nâng cấp phần cứng.WPA có sẵn 2 lựa chọn: WPA Personal và WPA Enterprise. WPA Personal thích hợp cho gia đình và mạng văn phòng nhỏ,khoá khởi tạo sẽ được sử dụng tại các điểm truy cập và thiết bị máy trạm: Hình 7.9 : Thiết lập WPA Personal Security WPA Enterprise là thiết lập cho doanh nghiêp cần một máy chủ xác thực và 802.1x để cung cấp các khoá khởi tạo cho mỗi phiên làm việc. Kĩ thuật TKIP của WPA chỉ là giải pháp tạm thời , chưa cung cấp một phương thức bảo mật cao nhất. WPA chỉ thích hợp với những công ty mà không không truyền dữ liệu "mật" về những thương mại, hay các thông tin nhạy cảm Hình 7.10 : Thiết lập WPA Enterprise Security WPA2 : Một giải pháp về lâu dài là sử dụng 802.11i, được chứng nhận bởi Wi-Fi Alliance. Chuẩn này sử dụng thuật toán mã hoá mạnh mẽ và được gọi là Chuẩn mã hoá nâng cao AES (Advanced Encryption Standard). AES sử dụng thuật toán mã hoá đối xứng theo khối Rijndael, sử dụng khối mã hoá 128 bit, và 192 bit hoặc 256 bit. AES được xem như là bảo mật tốt hơn rất nhiều so với WEP 128 bit hoặc 168 bit DES (Digital Encryption Standard). Để đảm bảo về mặt hiệu năng, quá trình mã hoá cần được thực hiện trong các thiết bị phần cứng như tích hợp vào chip do đó gặp nhiều vấn đề về không tương thích của thiết bị.Tương ứng với WPA thì WPA2 cũng có 2 lựa chọn là WPA2 Personal và WPA2 Enterprise cho người dùng và doanh nghiệp. Hình 7.11 : Thiết lập WPA2 Security RADIUS Hình 7.12 : Thiết lập Radius Security RADIUS là chuẩn không chính thức trong hệ thống chứng thực người sử dụng. Việc quản trị một Radius server có thể rất đơn giản nhưng cững có thể rất phức tạp, phụ thuộc vào yêu cầu cần thực hiện. Wireless MAC filter (Lọc MAC) Hình 7.13 : Thiết lập Wireless MAC Filter Thiết bị hỗ trợ thiết lập tối đa là 50 địa chỉ MAC với 2 tùy chọn là “Prevent PCs listed below from accessing the Wireless network” và “ Permit PCs listed below to access the Wireless network”. Với tùy chọn “Prevent PCs listed below from accessing the Wireless network” thì hệ thống sẽ tiến hành kiểm tra địa chỉ MAC của những thiết bị bất hợp pháp và đua chúng vào danh sách (Wireless Cilent Lít) với tối đa 50 địa chỉ MAC khác nhau. Những thiết bị có địa chỉ MAC nằm ngoài danh sách này có thể truy cập vào mạng 1 cách bình thường, điều này sẽ cũng có nghĩa là không giới hạn những người dùng hợp pháp. Trong khi đó, với tùy chọn “Permit PCs listed below to access the Wireless network” thì hệ thống sẽ chỉ cho phép tối đa 50 thiết bị hợp pháp truy cập vào mạng còn ngoài ra những thiết bị khác sẽ bị coi là bất hợp pháp. Việc này giúp giới hạn người dùng,thiết bị thì hỗ trợ tối đa là 50 thiết bị hợp pháp tuy nhiên hệ thống sẽ hoạt động tốt nhất với nhỏ hơn hoặc bằng 30 thiết bị. Với những mạng gia đình hoặc những mạng trong văn phòng nhỏ, nơi mà có một số lượng nhỏ các trạm khách, thì việc dùng bộ lọc MAC là một giải pháp bảo mật hiệu qủa còn việc lập trình các địa chỉ MAC của các Client trong mạng WLAN vào các AP trên một mạng rộng thì không thực tế. Thiết lập Security Firewall của thiết bị Hình 7.14 : Thiết lập Firewall Với thiết lập SPI Firewall Protection ở chế độ Enabled và tick vào các tùy chọn( Filter Anonymous Internet Requests; Filter Muticast; Filter Internet NAT Redirection; Filter IDEN (Port13)) ở phần Internet Filter thì sẽ giúp bảo mật các thông tin của những người dùng tránh không cho người dùng không mong muốn có thể nhìn thấy các dữ liệu mà người dùng khác đã hoặc đang chia sẻ. Tuy nhiên với thiết lập này sẽ khiến cho hiệu năng của thiết bị cũng như hiệu suất của vùng hệ thống mạng tại thiết bị đó giảm đi khoảng 30 % và gây khó khăn cho quản trị viên trong việc thực hiện công việc theo dõi giám sát hoạt động của thiết bị từ phòng mạng máy tính(nơi đặt hệ thống máy chủ). VẤN ĐỀ BẢO MẬT HỆ THỐNG MẠNG KHÔNG DÂY TẠI TRƯỜNG ĐẠI HỌC DÂN LẬP HẢI PHÒNG Khi đã thiết lập hệ thống mạng thì điều quan tâm thứ nhì sau việc cài đặt hoạt động chính là vấn đề đau đầu làm sao để để bảo mật được hệ thống trước những nguy cơ bị tấn công dẫn tới việc truy cập trái phép, mất thông tin quan trọng, hệ thống bị thay đổi, mất quyền điều khiển gây ra nhiều thiệt hại. Hiện tại hệ thống mạng không dây tại trường Đại Học Dân Lập Hải Phòng chưa thiết lập và triển khai hoạt động bảo mật, các phương án bảo mật vẫn đang được nghiên cứu nhằm đưa ra biện pháp bảo mật an toàn, hiệu quả và phù hợp nhất. Việc bảo mật hệ thống là rất cần thiết, khi đã xác định được vấn đề bảo mật thì phải tiến hành nghiên cứu tìm hiểu để đưa ra một giải pháp bảo mật phù hợp nhất. Trong phạm vi đề tài này em xin đề cập đến hai giải pháp bảo mật cho hệ thống mạng không dây, mỗi phương án đều có những ưu nhược điểm riêng. Một điều cần ghi nhớ là chúng ta cần phải đối diện với 2 vấn đề: xác thực và bảo mật thông tin. Xác thực nhằm đảm bảo chắc chắn người sử dụng hợp pháp có thể truy cập vào mạng. Bảo mật giữ cho truyền dữ liệu an toàn và không bị lấy trộm trên đường truyền. .VỀ MẶT THIẾT BỊ HỖ TRỢ Hệ thống mạng không dây tại trường Đại học Dân Lập Hải Phòng được xây dựng sử dụng hầu hết là các thiết bị Wireless Router Linksys của cisco do đó đều hỗ trợ hầu hết các giải pháp bảo mật từ cơ sở tới nâng cao. Các tín hiệu không dây được bảo vệ nhờ kỹ thuật mã hoá bảo mật không dây và bảo vệ mạng tránh được các tấn công từ ngoài Internet dựa vào tính năng tường lửa SPI tốt hơn hẳn so với NAT .Wi-fi Protected Setup là chuẩn an ninh dành cho laptop của một router Wi-Fi,Để kết nối qua hệ thống WPS, người dùng phải có mật khẩu. Để bảo vệ tính riêng tư của dữ liệu, WRT110 hỗ trợ các công nghệ mã hoá bảo mật như WEP và WPA,WPA2 có khả năng mã hoá tất cả các đường truyền không dây nhờ sức mạnh của kỹ thuật mã hoá 256-bits. Công nghệ lọc các kết nối Wi-Fi bằng địa chỉ MAC, cũng giúp bạn có thể cho phép các đối tượng nào có thể truy nhập vào mạng không dây của mình hay không.Bên cạnh đó thiết bị cũng giúp nâng cao tính bảo mật với phương pháp chứng thực 802.1x bằng máy chủ RADIUS. .CÁC GIẢI PHÁP CÓ THỂ TRIỂN KHAI Hệ thống mạng không dây tại trường Đại học Dân Lập Hải Phòng là 1 hệ thống qui mô lớn do đó các giải pháp bảo mật cơ sở được hỗ trợ bởi các thiết bị là không đủ đáp ứng các yêu cầu về bảo mật. Trong khi WEP là giải pháp bảo mật quá tồi khi đưa cả xác thực người dùng và đảm bảo an toàn dữ liệu vào cùng một phương thức không an toàn, khoá mã hoáWEP có thể dễ dàng bị bẻ gãy thì VPN Fix chỉ là giải pháp tình thế chứ không phải là sự kết hợp với WLAN,giải pháp này cần lưu lượng VPN lớn hơn cho tường lửa và cần phải tạo các thủ tục khởi tạo cho từng người sử dụng. Các phương pháp kiểm soát truy cập như ẩn SSID, không cung cấp DHCP đều có thể vượt qua được dễ dàng, MAC filtering thì không hiệu quả vì MAC có thể dễ dàng bị thay đổi, số lượng MAC có thể thiết lập nhỏ đối với thiết bị. Với 1 hệ thống mạng không dây có qui mô lớn như hệ thống mạng không dây tại trường Đại học Dân Lập Hải Phòng về cơ bản là có 2 giải pháp bảo mật là phương pháp bảo mật bằng mã hoá WPA và phương pháp xác thực bằng RADIUS Sever. Phương pháp bảo mật bằng mã hoá WPA WPA (Wi-Fi Protected Access) và nâng cao hơn là WPA2 đều có sẵn 2 lựa chọn: WPA Personal và WPA Enterprise. Cả 2 lựa chọn này đều sử dụng giao thức TKIP, và sự khác biệt chỉ là khoá khởi tạo mã hoá lúc đầu. WPA Personal thích hợp cho gia đình và mạng văn phòng nhỏ, khoá khởi tạo sẽ được sử dụng tại các điểm truy cập và thiết bị máy trạm. Trong khi đó, WPA cho doanh nghiệp cần một máy chủ xác thực và 802.1x để cung cấp các khoá khởi tạo cho mỗi phiên làm việc. Ưu điểm : WPA mã khóa dài hơn,đầy đủ 128 bits so với 64 bit của WEP còn WPA2 sử dụng phương pháp mã hóa mạnh hơn AES(Advanced Encryption Standard) với độ dài khóa 256 bits. Sử dụng hàm thay đổi khoá TKIP (Temporal Key Integrity Protocol) giúp thay đổi khoá cho mỗi gói tin giúp chống lại việc dò tìm khoá do đó nâng cao độ bảo mật. WPA không yêu cầu nâng cấp phần cứng. Nhược điểm : Khoá WPA cũng có thể bẻ được Quản lí khoá khó khăn do yếu tố con người, khó khăn trong việc giữ bí mật khoá này do những người sử dụng có thể nói cho nhau hoặc bị lộ do vô tình ghi khóa ra đâu đó. quá trình mã hoá AES cần được thực hiện trong các thiết bị phần cứng như tích hợp vào chip do đó gây khó khăn về mặt tương thích thiết bị. Không có khả năng cung cấp cho mỗi người sử dụng một mật khẩu riêng. WPA là 1 giải pháp tốt tuy nhiên nếu triển khai cho hệ thống mạng không dây tại trường Đại học Dân Lập Hải Phòng sẽ phải lựa chọn giải pháp phân chia cho 1 nhóm người 1 user dùng chung thay vì mỗi người 1 user do số lượng user quá lớn, bộc lộ những khó khăn do yếu tốt con người. Hệ thống mạng không dây tại Trường Đại học Dân Lập Hải Phòng được xây dựng với mục đích hướng tới đối tượng người dùng là sinh viên là chủ yếu do lượng sinh viên chiếm số đông còn lượng cán bộ nhân viên chỉ chiếm 1 phần nhỏ.Người dùng sinh viên là đối tượng người dùng không cố định trong mạng không dây,có thể bất ngờ tiến hành kết nối xác thực với số lượng rất lớn vào 1 thời điểm bất kì. Đối với người dùng cố định số lượng người dùng kết nối xác thực tới hệ thống luôn không thay đổi thì WPA tỏ ra là 1 phương pháp bảo mật tốt, có thể triển khai với nhiều ưu điểm.Tuy nhiên với hệ thống mạng không dây tại trường Đại học Dân Lập Hải Phòng thì WPA trở thành không khả thi. Phương pháp bảo mật sử dụng RADIUS Sever cho quá trình xác thực Với khả năng hỗ trợ xác thực cho cả chuẩn không dây 802.1X, RADIUS(Remote Authentication Dial−in User Service) hay là AAA sever bao gồm việc xác thực(Authentication), cấp quyền (Authorization) và tính cước (Accounting) là giải pháp không thể thiếu cho các hệ thống mạng lớn muốn quản lý tập trung và tăng cường tính bảo mật cho hệ thống. Với cơ sở tập trung - Giải pháp sử dụng RADIUS cho mạng WLAN là rất quan trọng bởi nếu một hệ thống mạng có rất nhiều Access Point việc cấu hình để bảo mật hệ thống này là rất khó nếu quản lý riêng biệt, người dùng có thể xác thực từ nhiều Access Point khác nhau và điều đó là không bảo mật.Khi sử dụng RADIUS cho WLAN mang lại khả năng tiện lợi rất cao, xác thực cho toàn bộ hệ thống nhiều Access Point,cung cấp các giải pháp thông minh hơn. Việc chứng thực của 802.1x được thực hiện trên một server riêng, server này sẽ quản lý các thông tin để xác thực người sử dụng như tên đăng nhập (username), mật khẩu (password), mã số thẻ, dấu vân tay, v.v Khi người dùng gửi yêu cầu chứng thực, server này sẽ tra cứu dữ liệu để xem người dùng này có hợp lệ không, được cấp quyền truy cập đến mức nào. Hình 8.1: Cơ chế xác thực của Radius sever Quá trình các bước xác thực của Radius sever : Hình 8.2 : quá trình liên kết xác thực người dùng bởi radius sever 1. Máy tính Client gửi yêu cầu kết nối đến AP. 2. AP thu thập các yêu cầu của Client và gửi đến RADIUS server. 3. RADIUS server gửi đến Client yêu cầu nhập user/password. 4. Client gửi user/password đến RADIUS Server. 5. RADIUS server kiểm tra user/password có đúng không, nếu đúng thì RADIUS server sẽ gửi cho Client mã khóa chung. 6. Đồng thời RADIUS server cũng gửi cho AP mã khóa này và đồng thời thông báo với AP về quyền và phạm vi được phép truy cập của Client này. 7. Client và AP thực hiện trao đổi thông tin với nhau theo mã khóa được cấp. Để nâng cao tính bảo mật, RADIUS Server sẽ tạo ra các khóa dùng chung khác nhau cho các máy khác nhau trong các phiên làm việc (session) khác nhau, thậm chí là còn có cơ chế thay đổi mã khóa đó thường xuyên theo định kỳ. Khái niệm khóa dùng chung lúc này không phải để chỉ việc dùng chung của các máy tính Client mà để chỉ việc dùng chung giữa Client và AP. Với một hệ thống mạng không dây qui mô lớn sử dụng sử dụng chuẩn 802.1X thì lựa chọn việc triển khai RADIUS là hợp lý. Phương thức triển khai RADIUS sever Có 2 phương thức chính để triển khai hệ thống RADIUS sever cho hệ thống mạng không dây : Thiết lập RADIUS Sever trên máy chủ chạy hệ điều hành sử dụng phần mềm bản quyền Windows Sever 2000/20003 của Microsoft Phương thức thứ nhất được đề cập tới là sử dụng Microsoft’s RADIUS sever(use Microfoft’s RADIUS Sever): thiết lập trên 1 máy chủ chạy hệ điều hành Microsoft Windows Server 2000/2003 với việc sử dụng Microsoft’s Internet Authentication Service (IAS). Có rất nhiều tài liệu nói về việc triển khai IAS ví dụ như tài liệu về "802.1X Port Authentication with Microsoft Active Directory" có thể tham khảo tại : IAS cần thiết các nhà quản trị hay các user phải làm việc trên môi trường Windows. Và nó cũng là một trong những tính năng cao cấp của Microsoft Wireless Provisioning Service. Mô hình xây dựng : Hình 8.3 : Mô hình RADIUS Sever Để thiết lập hệ thống RADIUS Sever cần tối thiểu là 1 sever cho RADIUS và cần 1 Sever cho AD hay có thể gọi là DC(Domain Controller). Khi 1 máy trạm kết nối vào Wireless Router để truyền thông được với những máy tính khác thì khi đó hệ thống sẽ yêu cầu RADIUS Sever chứng thực thông tin về người dùng đăng nhập.Nếu người dùng đăng nhập hợp lệ thì hệ thống sẽ cho phép kết nối vào. Các bước cần thực hiện : Bước 1 : Cài đặt Windows Sever 2003 và nâng cấp lên thành AD(là một hệ thống quản lý phân quyền các user theo domain một cách tập trung và thống nhất) Bước 2 : Cài đặt CA(Certification Authority) Bước 3 : Cài đặt cấu hình IAS Sever Bước 4 : Tạo các tài khoản người dùng. Bước 5 : Cấu hình AccessPoint sử dụng RADIUS Sever. Bước 6 : Cấu hình tại máy trạm. Bước 7 : Tiến hành kiểm tra. Thiết lập RADIUS Sever trên máy chủ chạy hệ điều hành sử dụng phần mềm mã nguồn mở Một phương thức khác để thiết lập RADIUS Sever cho hệ thống mạng không dây của ta là sử dụng sử dụng giải pháp phần mềm mã nguồn mở nếu không có một phiên bản Windows(Install an Open Source RADIUS Server).Có thể tham khảo tại: với khả năng hỗ trợ cho chuẩn 802.1X các máy chủ chạy hệ điều hành mã nguồn mở như Linux, Free or OpenBSD, OSF/Unix, hoặc Solaris đều có thể sử dụng làm RADIUS Server. Mô hình xây dựng : Hình 8.4 : Mô hình xây dựng FreeRadius Để thiết lập hệ thống RADIUS Sever chỉ cần 1 sever FreeRadius Sever duy nhất. Để thiết lập hệ thống RADIUS Sever cũng cần tiến hành các bước như sau : Bước 1 : Cài đặt các phần mềm (Software installation). Bước 2 : Khởi tạo 1 CA Sever(Create CA). Bước 3 : Tiến hành chạy RADIUS Sever (Running Radius Server). Bước 4 : Cấu hình AccessPoint sử dụng RADIUS Sever(Access point setup). Bước 5 : Cấu hình tại máy trạm (CA sever). Bước 6 : Chứng thực truy nhập cho người dùng(khách)(import Certificate to client). Bước 7 :Cấu hình CBs(CBs configuration). Bước 8 : Kiểm tra kết quả (Result). Tương quan so sánh giữa 2 phương thức thiết lập RADIUS Sever Với việc sử dụng phương thức thiết lập RADIUS Sever bằng Use Microsoft's RADIUS Server sẽ giúp cho việc cài đặt, thiết lập hệ thống dễ dàng hơn với nền giao thức đồ hoạ và nguồn tài liệu phong phú trong khi đó phương thức thiết lập sử dụng giải pháp phần mềm mã nguồn mở sẽ dẫn tới nhiều khó khăn cho nhà quản trị mạng khi ngồn tài liệu ít ỏi và phải thực hiện chủ yếu trên nền giao thức câu lệnh. Tuy nhiên việc sử dụng phương thức Use Microsoft's RADIUS Server sẽ phải tiêu tốn 1 khoản kinh phí để mua bản quền các phần mềm của Microsoft còn phương thức sử dụng mã nguồn mở thì lại hoàn toàn miễn phí. Nhưng với việc sử dụng các phần mềm bản quyền sẽ đem lại sự yên tâm hơn, dễ dàng nắm bắt, phòng tránh và khắc phục được các rủi ro bởi những lỗi hệ thống phát sinh. Với khuyến cáo trong việc triển khai thiết lập RADIUS sever bằng phương thức sử dụng Windows Sever của Microsoft sẽ đáp ứng được từ 400 tới 500 người dùng thì nên thiết lập 1 RADIUS Sever do đó với số lượng 8000 sinh viên và cán bộ nhân viên trong trường ước tính cần lắp đặt khoảng 10 RADIUS Sever. Còn với việc sử dụng mã nguồn mở thì không có khuyến cáo về số lượng người dùng trên 1 Sever RADIUS, trong khi thực nghiệm có thể cho tới 1000 người tiến hành xá thực trên 1 RADIUS Sever thì với việc thiết lập theo mã nguồn mở,số lượng sẽ chỉ là 5 RADIUS Sever. Giải pháp khác và phương án đề xuất Ngoài 2 phương thức thiết lập RADIUS Sever kể trên trong trường hợp phải sử dụng một giải pháp chuyên nghiệp cần hỗ trợ đầy đủ toàn bộ các tính năng cũng như khả năng an toàn, và độ ổn định ta có thể mua một Commercial RADIUS Server các nhà sản xuất khác, với tính năng hỗ trợ 802.1X và là một RADIUS Server chuyên nghiệp như : Aradial WiFi : Bridgewater Wi-Fi AAA : Cisco Secure Access Control Server : Funk Odyssey : Hoặc 1 số nhà cung cấp khác, Commercial RADIUS Servers có giá cả tuỳ vào khả năng của sản phẩm. RADIUS server cũng có thể bao gồm cả giá của phần cứng/phần mềm phụ thuộc nhiều vào nhà cung cấp phần mềm hay các đại lý của các hãng khác nhau. Phương thức thiết lập RADIUS sever sử dụng phần mềm mã nguồn mở sẽ tiêu tốn chi phí ít hơn so với phương thức thiết lập sử dụng phần mềm bản quyền của Microsoft do phần mềm sử dụng là miễn phí không phải tốn chi phí đê mua.Thêm vào đó chi phí cũng giảm do phần mềm mã nguồn mở không có khuyến cáo về số lượng người dùng xác thực trên 1 Radius sever nên tiêu tốn ít máy chủ RADIUS sever hơn.Phương thức sử dụng phần mềm mã nguồn mở là phương án thích hợp trong điều kiện kinh phí eo hẹp hoặc muốn tiết kiệm chi phí.tuy nhiên sử dụng phần mềm mã nguồn mở thì sẽ gặp khó khăn trong quá trình thiết lập và việc xử lí lỗi hệ thống. Bởi vậy với hệ thống trang thiết bị sẵn có đáp ứng được các yêu cầu về mặt kĩ thuật em xin đề xuất xử dụng phương án xây dựng hệ thống RADIUS Sever bằng phần mềm bản quyền của Microsoft. Như vậy sẽ giúp cho việc thiết bảo mật cho hệ thống mạng không dây tại trường Đại Học Dân Lập Hải Phòng trở nên nhanh chóng và dễ dàng hơn.Điều đó sẽ mang lại 1 giải pháp bảo mật thật sự, đảm bảo lợi ích tối đa của người dùng qua đó sẽ góp phần phát triển hệ thống mạng không dây hoàn thiện hơn tạo ra 1 môi trường học tập thân thiện với sinh viên cũng như môi trường làm việc tốt đối với các cán bộ nhân viên trong trường. DANH MỤC CÁC THUẬT NGỮ VIẾT TẮT AAA Authentication, Authorization, Accountting Xác thực, cấp quyền,tính cước ACK Acknowlegment Bản tin báo nhận ADSL Asymmetric Digital Subscriber Line Đường dây thuê bao số bất đối xứng ASK Amplitude shift keying Khoá dịch biên độ AP Access Point Điểm truy cập BPSK, Binary phase-shift keying Khoá dịch pha CTS Clear To Send Tín hiệu(báo) sẵn sàng để truyền CCK Complementary Code Keying Khoá mã bổ sung. CPE Customer Premises Equipment Thiết bị khách CDMA Code Divison Multiple Access Đa truy nhập phân chia mã DHCP Dynamic Host Configuration Protocol Giao thức cấu hình host động. DSSS Direct Sequence Spread Spectrum Trải phổ chuỗi trực tiếp. DES Data Encryption Standard Chuẩn mã hoá dữ liệu EAP Extensible Authentication Protocol Giao thức chứng thực mở rộng FSK Frequency Shift keying Đánh tín hiệu dịch tần số FDD Frequency Division Duplexing Dồn kênh bằng chia tần số FDMA Frequency-division multiple access Đa truy cập phân chia tần số FHSS Frequency Hopping Spread Spectrum Trải phổ nhảy tần FTP File Transfer Protocol Giao thức truyền tập tin FIPS Federal Information Processing Standards Chuẩn xử lí dữ liệu liên bang (Mỹ) FCC Federal Communications Commission Hộ đồng truyền thông liên bang IP Internet protocol Một giao thức được sử dụng để gửi dữ liệu qua một mạng ISP Internet Service Provider Nhà cung cấp dịch vụ Internet ICV initial chaining value Giá trị liên kết ban đầu IV Initialization Vector Vector khởi đầu ISM Industrial ScientificMedical Dãy tần số công nghiệp, khoa học và y tế. IEEE Institute of Electrical and Electronics Engineer Viện kỹ thuật và điện tử. LAN Local area network Mạng cục bộ MAN Metropolitant Area Network: Mạng khu vực đô thị MAC Medium Access Control: Điều khiển truy cập truyền thông NIST National Institute of Standards and Technology viện tiêu chuẩn và công nghệ quốc gia (Hoa kỳ) QoS quality of service Chất lượng dịch vụ PCMCIA Personal Computer Memory Card International Association Hiệp hội PCMCIA POP3 Post Office Protocol 3 Giao thức làm việc 3 QPSK quaternary phase shift keying Đánh tín hiệu dịch pha một phần tư PSK phase shift keying Kỹ thuật khóa chuyển pha PC Personal Computer Máy tính cá nhân PDA Personal Digital Assistant Máy trợ giúp cá nhân dùng kỹ thuật số. OFDM Orthogonal frequency division multiplexing Hợp kênh phân chia tầne số TKIP Temporal Key Integrity SMTP Simple Mail Transfer Protocol Giao Thức Chuyển Thư Điện Tử Đơn Giản SDSL Simultaneous digital subscriber line Đường dây thuê bao số đồng thời RADIUS Remote Authentication Dial In User Service Dịch vụ người dùng quay số chứng thực từ xa. SSID Subsystem identification Sự nhận biết hệ thống con TDD Time Division Sự phân chia thời gian TDMA Time Division Multiple Access Đa truy cập phân chia thời gian VPN Virtual Private Network Mạng riêng ảo WDMZ Wireless DeMilitarized Zone Dồn kênh phân bước sóng trong mạng cục bộ (LAN) WPA Wi-Fi Protected Access Sự bảo vệ mạng không dây WEP WIRED EQUIVALENT PRIVACY Wi-Fi Wireless fidelity Một cái tên được gọi thay thế cho mạng không dây. WLAN Wireless local area network Mạng không dây cục bộ KẾT LUẬN Ngày nay mạng không dây đã trở nên không còn xa lạ gì trong cuộc sống,tại những thành phố lớn của nước ta có thể dễ dàng nhận biết được các hệ thống mạng không dây tại gia đình, văn phòng,công sở hay tại các địa điểm công cộng như quán café, bệnh viện, trường đại học, các thiết bị cầm tay thì ngày càng hỗ trợ nhiều hơn tính năng truy cập mạng không dây, cập nhập những công nghệ mới nhất.Song song với việc nghiên cứu phát triển hạ tầng thiết bị mạng không dây thì vấn đề bảo mật cho hệ thống cũng đặc biệt được ưu tiên. Việc nghiên cứu vẫn luôn được quan tâm nhằm tìm kiếm những giải pháp bảo mật tốt hơn, hoàn thiện nữa. Sau 1 thời gian tìm tòi và nghiên cứu tài kiệu cộng với sự hướng dẫn chỉ bảo tận tình của thầy giáo ThS Trần Hữu Trung em đã hoàn thành đồ án.Qua việc thực hiện Đồ Án đã giúp em hiểu thêm được về hệ thống mạng không dây về mạng không dây,từ cái nhìn bao quát những ưu điểm của nó,ứng dụng trong cuộc sống cho tới việc xây dựng 1 hệ thống hoàn chỉnh và tầm quan trọng và cần thiết của vấn đề bảo mật. Do những hạn chế về mặt kiến thức, tài liệu và khả năng của bản thân nên đồ án không tránh khỏi nhiều thiếu sót,em rất mong được sự đóng góp của các thầy cô và các bạn để hoàn thiện hơn đồ án này. Em xin chân thành cảm ơn Thầy giáo ThS Trần Hữu Trung đã tận tình chỉ bảo giúp em hoàn thành khoá luận này. DANH MỤC SÁCH THAM KHẢO Sách tham khảo [1] 802.11 Wireless Networks,The Definitive Guide by Matthew Gast,April 2002 [2] Các bài thực hành trong 5 phút-Nối mạng không dây,Trần Việt An,NXB Giao Thông Vận Tải,2006 [3] Căn bản mạng không dây(Wireless),Ks Trương Hoàng Vĩ-Đức Hùng,NXB Hải Phòng,2007 [4] Hacking Wireless Kỹ Thuật Thâm Nhập Mạng Không Dây,Lê Tấn Liên-Minh Quân,NXB Hồng Đức,2009 [5] Mạng máy tính, Hồ Đắc Phương,NXB Đại Học Quốc Gia HN,2006 [6] Mạng căn bản-Networking Essentials,biên dịch VN-GUIDE, Hiệu đính TH.S Lê Phụng Long,MSCA Nguyễn Tam Trung,2003 [7] Wireless Lan written by Meetali Goel,Thien An Nguyen,Edited by Prof Melody Moh,2002 Website [8] [9] [10] LỜI CẢM ƠN Trước hết em xin chân thành gửi lời cảm ơn và lòng biết ơn sâu sắc tới Thầy giáo Th.S Trần Hữu Trung đã trực tiếp hướng dẫn, chỉ bảo tận tình trong suốt quá trình em làm đồ án. Em xin chân thành cảm ơn các thầy giáo trong Phòng Quản trị mạng Trường Đại Học Dân Lập Hải Phòng đã giúp đỡ, tạo điều kiện cho em được tìm hiểu thiết bị trong thời gian làm đồ án và chỉ bảo tận tình giúp em nắm bắt được hoạt động của chúng. Em cũng xin chân thành cảm ơn các thầy cô giáo trong Trường Đại Học Dân Lập Hải Phòng đã hết lòng dạy bảo chúng em trong những năm học Đại Học, giúp chúng em có những kiến thức và kinh nghiệm quý báu trong chuyên môn và cuộc sống, giúp chúng em bước những bước đi đấu tiên trong hành trang vào đời. Cuối cùng, em xin cảm ơn những người thân trong gia đình và bạn bè đã luôn giúp đỡ, động viên để em có thể hoàn thành đồ án này! Hải Phòng, tháng 7 năm 2009 Sinh viên Vũ Đức Thắng