移動網(wǎng)絡(luò)安全路由對無線網(wǎng)絡(luò)運(yùn)維系統(tǒng)設(shè)計(jì)

張鵬程

（河南廣播大學(xué)河南洛陽450008）

移動網(wǎng)絡(luò)安全路由對無線網(wǎng)絡(luò)運(yùn)維系統(tǒng)設(shè)計(jì)

張鵬程

（河南廣播大學(xué)河南洛陽450008）

針對無線網(wǎng)絡(luò)在移動網(wǎng)絡(luò)路由中數(shù)據(jù)傳輸存在安全隱患的問題，本研究利用AC+FIT AP框架對網(wǎng)絡(luò)認(rèn)證方式及管理方式進(jìn)行改進(jìn)，采用兩臺Aruba 6000控制器為無線網(wǎng)絡(luò)提供統(tǒng)一的管理，通過配線間的交換機(jī)結(jié)合AP將接入的網(wǎng)絡(luò)連接到不同的局域網(wǎng)。設(shè)計(jì)Aruba AirWave對流量的訪問和信息安全攻擊進(jìn)行統(tǒng)一的管理，在Radius服務(wù)器認(rèn)證分配IP地址并將所有信息傳送至控制器，再通過協(xié)議的方式進(jìn)行身份的驗(yàn)證，最終無線網(wǎng)絡(luò)運(yùn)維系統(tǒng)終端將會根據(jù)使用者的密碼以及客戶端MAC碼對無線網(wǎng)絡(luò)的使用者進(jìn)行監(jiān)督驗(yàn)證。

移動網(wǎng)絡(luò)；路由器；無線網(wǎng)絡(luò)；運(yùn)維系統(tǒng)

移動網(wǎng)絡(luò)安全路由是無線網(wǎng)絡(luò)傳輸?shù)闹匾獌?nèi)容[1]。移動網(wǎng)絡(luò)信號復(fù)雜多變，且無線傳輸處于動態(tài)變化中，信號強(qiáng)度差異很大[2]?；趥鹘y(tǒng)的移動網(wǎng)絡(luò)路由器已經(jīng)無法滿足日益增長的移動終端的客觀現(xiàn)實(shí)需求，而由無線終端路由發(fā)射器設(shè)置網(wǎng)絡(luò)安全性是未來無線網(wǎng)絡(luò)運(yùn)維發(fā)展的方向?，F(xiàn)有的威脅路由安全的模型有3種：參數(shù)化威脅模型[3]、active-n-m威脅模型[4]和自適應(yīng)威脅模型[5]。而常見的無線網(wǎng)絡(luò)傳輸方式主要有[6-7]：擴(kuò)展頻譜、窄帶微波調(diào)制和紅外線。其中，擴(kuò)展頻譜技術(shù)的容易實(shí)現(xiàn)分地址多IP且利用頻譜效率高，令移動網(wǎng)絡(luò)路由具有極高的傳輸速率[8]。本研究將在AC+FIT AP框架的基礎(chǔ)上對無線網(wǎng)絡(luò)的登錄進(jìn)行改進(jìn)，利用兩臺Aruba 6000控制器對無線網(wǎng)絡(luò)提供統(tǒng)一的管理，結(jié)合Radius服務(wù)器認(rèn)證對用戶的賬號以及密碼進(jìn)行驗(yàn)證。通過Aruba AirWave專業(yè)WLAN綜合網(wǎng)管實(shí)現(xiàn)對于無線網(wǎng)用戶、安全攻擊以及訪問流量的統(tǒng)一管理。

1 移動無線網(wǎng)絡(luò)設(shè)計(jì)

1.1 整體框架

對于移動網(wǎng)絡(luò)安全路由的解決，本文將分別采用Cisco[9]以及Aruba[10]的無線網(wǎng)絡(luò)來進(jìn)行解決。關(guān)于架構(gòu)的形式，則繼續(xù)采用之前慣用的新型AC+FIT AP。本文的整體框架相對之前文獻(xiàn)中提出的整體框架，主要是對先前的設(shè)計(jì)進(jìn)行改進(jìn)，對于設(shè)計(jì)中存在的缺陷進(jìn)行優(yōu)化，優(yōu)化主要體現(xiàn)在認(rèn)證方式以及管理方式方面。關(guān)于移動網(wǎng)絡(luò)安全路由的無線網(wǎng)絡(luò)整體解決方案如圖1所示。

圖1 網(wǎng)絡(luò)安全路方案

核心機(jī)房是移動網(wǎng)絡(luò)安全路由的整個無線網(wǎng)絡(luò)的核心，同時需要對整個無線網(wǎng)絡(luò)進(jìn)行整合，通過采用兩臺Aruba 6000控制器在核心的交換區(qū)實(shí)現(xiàn)對現(xiàn)有無線網(wǎng)絡(luò)的新的建設(shè)，從未為無線網(wǎng)絡(luò)提供統(tǒng)一的管理，并能夠?yàn)闊o線網(wǎng)絡(luò)用戶提供關(guān)于身份ID的認(rèn)證，同時還能夠進(jìn)行三層路由以及防火墻策略的服務(wù)。通過Aruba AP實(shí)現(xiàn)在GRE隧道的控制，并最終在Aruba控制器上終止，而Cisco AP則通過LWAPP的隧道在Cisco控制器終止[11]。移動網(wǎng)絡(luò)安全路由將由4個千兆光纖端口以及一塊256AP的控制卡所組成，留有一個網(wǎng)關(guān)負(fù)責(zé)有線網(wǎng)絡(luò)核心交換設(shè)備的連接并作為上聯(lián)，另留有一個網(wǎng)關(guān)負(fù)責(zé)第三方胖AP VLAN的終止，最終完成第三方胖AP的管理活動。

無線用戶網(wǎng)絡(luò)安全需要設(shè)定密碼，而用戶的賬號以及密碼則需要Radius服務(wù)器認(rèn)證，一般的認(rèn)證方法根據(jù)不同的情況可采用的也有所不認(rèn)同，WEB認(rèn)證、MAC地址過濾、AAA的Accounting、WPA加密以及用戶名和密碼的認(rèn)證可供選擇。對于使用移動安全路由的無線網(wǎng)絡(luò)用戶，需要按照用戶群的角色進(jìn)行劃分，通過多元化的認(rèn)證實(shí)現(xiàn)多用戶群體以及不同系統(tǒng)個體個性化的運(yùn)維管理系統(tǒng)。在二次開發(fā)方面則需要結(jié)合城市的熱點(diǎn)設(shè)置DR.com進(jìn)行管理，同時支持LDAP數(shù)據(jù)定制的操作，靈活方便，為統(tǒng)一化的認(rèn)證提供便利，同時還能夠簡化管理和操作流程，使得系統(tǒng)操作人員以及無線網(wǎng)絡(luò)使用者使用更加便利。Aruba AirWave專業(yè)WLAN綜合網(wǎng)管能夠?qū)崿F(xiàn)對于無線網(wǎng)用戶、安全攻擊以及訪問流量的統(tǒng)一管理，還能夠針對無線路由的設(shè)備進(jìn)行策略執(zhí)行和審核，對無線網(wǎng)絡(luò)管理運(yùn)維體系進(jìn)行優(yōu)化和完善。

1.2 技術(shù)標(biāo)準(zhǔn)

關(guān)于移動網(wǎng)絡(luò)安全路由器的無線網(wǎng)絡(luò)，將采用國際上慣用的技術(shù)標(biāo)準(zhǔn)[12]，主要分為IEEE802.11a、IEEE802.11b和IEEE802.11g，對于用戶集中反映網(wǎng)速低下，掉線率較高的區(qū)域需要根據(jù)無線網(wǎng)絡(luò)的用戶反饋進(jìn)行調(diào)整，還需要及時對設(shè)備進(jìn)行維護(hù)。通過對IEEE802.11b技術(shù)的使用進(jìn)行控制，以此實(shí)現(xiàn)對于客戶端以及AP信號強(qiáng)度的控制，從而改善用戶的操作體驗(yàn)。同時將采用IEEE802.11n的最新技術(shù)，對轄區(qū)的無線網(wǎng)絡(luò)進(jìn)行全方位的覆蓋，從而保障轄區(qū)的無線網(wǎng)能夠用戶能夠高效穩(wěn)定的使用安全的無線網(wǎng)絡(luò)。本研究采用的無線網(wǎng)絡(luò)調(diào)制解調(diào)器技術(shù)標(biāo)準(zhǔn)如表1所示。

表1 技術(shù)標(biāo)準(zhǔn)

1.3 無線網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)

在建設(shè)規(guī)劃的過程中，需要針對無線網(wǎng)絡(luò)的基礎(chǔ)設(shè)備和軟件進(jìn)行調(diào)整和更新，Cisco AP控制器主要安裝在在轄區(qū)內(nèi)的各個樓宇的樓道內(nèi)，而不同的轄區(qū)則會選擇不同型號的Aruba AP進(jìn)行部署，通過配線間的交換機(jī)利用AP將接入的網(wǎng)絡(luò)連接到不同的局域網(wǎng)[13]，再利用局域網(wǎng)的IP層和每個局域網(wǎng)內(nèi)部的無線網(wǎng)絡(luò)控制器設(shè)備進(jìn)行連接，通過認(rèn)證加密的策略對傳輸數(shù)據(jù)的過程進(jìn)行加密和管理。利用POE模塊的方式進(jìn)行供電，再通過Aruba AirWave進(jìn)行轄區(qū)內(nèi)的無線網(wǎng)絡(luò)的統(tǒng)一管理。轄區(qū)內(nèi)的用戶無線網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)如圖2所示。

圖2 無線網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)

2 無線網(wǎng)絡(luò)安全路由運(yùn)維

2.1 管理模塊

在無線網(wǎng)絡(luò)管理的項(xiàng)目中，將會選取Aruba AirWave的專業(yè)LAN對網(wǎng)絡(luò)實(shí)施綜合統(tǒng)一的監(jiān)督與管理，主要的工作內(nèi)容包括對無線網(wǎng)絡(luò)使用者以及無線網(wǎng)絡(luò)接收設(shè)備、無線網(wǎng)絡(luò)傳輸設(shè)備、無線網(wǎng)絡(luò)傳送渠道對流量的訪問、信息安全攻擊等進(jìn)行統(tǒng)一的管理。對AirWave服務(wù)器統(tǒng)一部署，利用Aruba AC以及網(wǎng)絡(luò)管理協(xié)議（SNMP）進(jìn)行日常的通訊管理[14]，同時還需要對無線網(wǎng)絡(luò)用戶的信息進(jìn)行搜集，主要包括的內(nèi)容有使用者、流量、信息安全、設(shè)備使用等。在Aruba AC中的配置如下所示：

分布式的網(wǎng)絡(luò)將進(jìn)行統(tǒng)一的用戶管理，并且在熱點(diǎn)平臺DR.com的基礎(chǔ)上與LDAP數(shù)據(jù)相互結(jié)合以進(jìn)行二次的開發(fā)[15]，從而完成用戶管理平臺的統(tǒng)一構(gòu)建。在該系統(tǒng)下完成無線網(wǎng)絡(luò)操作人員的規(guī)范管理，同時在區(qū)域內(nèi)用戶管理外還會加入流動用戶的管理，從而加強(qiáng)區(qū)域內(nèi)用戶的無線網(wǎng)絡(luò)安全。詳細(xì)的連接方式如圖3所示。

圖3 Dr.com拓?fù)浣Y(jié)構(gòu)

2.2 控制模塊

在控制模塊的無線網(wǎng)絡(luò)規(guī)劃中，選取了Aruba AC作為控制器的核心設(shè)備，利用Aruba AC實(shí)現(xiàn)對Aruba AP的管理以及與Radius服務(wù)器的通信交互，為無線網(wǎng)絡(luò)區(qū)域內(nèi)的所有使用者提供身份ID的認(rèn)證[16]，從而完成VLAN以及SSID的對接，實(shí)現(xiàn)設(shè)備以及無線網(wǎng)管AirWave的區(qū)域通信，對于原先設(shè)有的兩臺Cisco AC，將在控制撥快的規(guī)劃中僅保留Cisco AP的管理功能，并實(shí)現(xiàn)二層透傳，不再進(jìn)行三層處理。

表2 控制器對比

2.3 安全運(yùn)維

無線用戶網(wǎng)絡(luò)安全需要設(shè)定密碼，而用戶的賬號以及密碼則需要Radius服務(wù)器認(rèn)證，一般的認(rèn)證方法根據(jù)不同的情況可采用的也有所不認(rèn)同，WEB認(rèn)證、MAC地址過濾、AAA的Accounting、WPA加密以及用戶名和密碼的認(rèn)證可供選擇，并對這些在認(rèn)證方式進(jìn)行進(jìn)一步的改善和優(yōu)化。對于使用移動安全路由的無線網(wǎng)絡(luò)用戶，還需要結(jié)合城市熱點(diǎn)DR.com的認(rèn)證管理設(shè)備將所有的用戶數(shù)據(jù)匯總到管理平臺，最終實(shí)現(xiàn)多用戶群體的統(tǒng)一運(yùn)維系統(tǒng)管理。

對于轄區(qū)內(nèi)的所有的無線網(wǎng)絡(luò)使用者，將會統(tǒng)一分配IP地址，這個地址將與SSID相對應(yīng)，所有的網(wǎng)管設(shè)備將會指向Aruba控制器。在接入了社區(qū)的無線網(wǎng)絡(luò)之后針對每一個初始角色都會統(tǒng)一分配External-logon，內(nèi)置的 Web Portal（External-default_CP）再通過Aruba控制器將Http請求定向到外置的Portal[17]。無線網(wǎng)絡(luò)的使用者通過登錄Portal頁面進(jìn)行輸入操作，并將所有信息傳送至控制器，再通過協(xié)議的方式進(jìn)行身份的驗(yàn)證，最終終端將會根據(jù)使用者的密碼以及客戶端MAC碼對無線網(wǎng)絡(luò)的使用者進(jìn)行驗(yàn)證，并輸出操作者的屬性。操作者的角色將由Aruba根據(jù)熱點(diǎn)DR.com輸出操作者屬性進(jìn)行動態(tài)的分配。

3 實(shí)驗(yàn)分析

針對本研究提出的無線網(wǎng)絡(luò)運(yùn)維管理系統(tǒng)，從技術(shù)層面出發(fā)，Airwave可以對區(qū)域內(nèi)整個無線網(wǎng)絡(luò)進(jìn)行統(tǒng)一的配置管理、故障管理和安全管理。從使用層面出發(fā)，Airwave支持對無線網(wǎng)絡(luò)設(shè)備的管理以及對無線用戶的性能和流量進(jìn)行監(jiān)測。通過在某公司設(shè)置本研究所提出的無線網(wǎng)絡(luò)運(yùn)維系統(tǒng)設(shè)計(jì)，對9：00-17：00內(nèi)的8 h內(nèi)的無線網(wǎng)絡(luò)使用實(shí)驗(yàn)檢測具體如下。

3.1 網(wǎng)絡(luò)安全評估

Radius服務(wù)器在對用戶賬號以及密碼認(rèn)證后，假設(shè)客戶端MAC碼的每個節(jié)點(diǎn)管理直接信任與歷史信任的信息，并且每個節(jié)點(diǎn)的歷史記錄的最大數(shù)值為10，則20個Bits和對應(yīng)Wifi發(fā)射器組成安全路由平臺。Wifi發(fā)射器覆蓋在一個4*5的網(wǎng)格中部署20個節(jié)點(diǎn)，惡意攻擊發(fā)送的數(shù)據(jù)約為0.63個包。在本研究設(shè)定下的網(wǎng)絡(luò)供給下的節(jié)點(diǎn)信任記錄如圖4所示。

由圖4可得，在惡意攻擊情況下，采用兩臺Aruba 6 000控制器在8 h內(nèi)的信任數(shù)據(jù)基本同步，且隨機(jī)丟包率有效的控制在75%。這是由于兩臺Aruba 6 000控制器在連接了對應(yīng)的兩臺Cisco控制器，惡意節(jié)點(diǎn)在正常數(shù)據(jù)節(jié)點(diǎn)的利用下引起大量數(shù)據(jù)丟失，數(shù)據(jù)包發(fā)送的信任率被存放在每個Wifi發(fā)射器部署的節(jié)點(diǎn)中。當(dāng)Radius服務(wù)器對用戶帳號及密碼驗(yàn)證后，路由器的信任要求節(jié)點(diǎn)下跳到相鄰節(jié)點(diǎn)直至選擇達(dá)到信任要求的鄰居節(jié)點(diǎn)。

圖4 節(jié)點(diǎn)信任記錄

3.2 網(wǎng)絡(luò)性能評估

流量反饋信息如表3所示。

表3 流量監(jiān)控信息

提供無線網(wǎng)絡(luò)安全路由器的CPU和內(nèi)存利用率如表4所示。

表4 CPU和內(nèi)存利用率

由表3和表4所示，在每秒流量最大Bits上行與下行峰值達(dá)到317.6 Mbps的情況下，Aruba 6000控制器的CPU利用率僅為6.83%，內(nèi)存利用率為29.10%。Cisco控制器作為Aruba 6000控制器的對應(yīng)認(rèn)證加密的策略，CPU在管理AP的存儲利用率僅為2.16%，Cisco控制器備用機(jī)的CPU分擔(dān)了1.05%的數(shù)據(jù)處理。因此，在本實(shí)驗(yàn)的配置下，通過兩個Aruba 6000控制器有效的控制了路由設(shè)備數(shù)據(jù)流量的分配，對應(yīng)的Cisco控制器保留Cisco AP的管理功能并實(shí)現(xiàn)了二層透傳，確保了網(wǎng)絡(luò)數(shù)據(jù)經(jīng)過路由器分發(fā)后的信息安全。

4 結(jié) 論

本研究以AC+FIT AP框架為基礎(chǔ)開發(fā)了一套移動網(wǎng)絡(luò)路由條件下的無線網(wǎng)絡(luò)運(yùn)維系統(tǒng)，采用兩臺Aruba 6000控制器同時對無線網(wǎng)絡(luò)進(jìn)行統(tǒng)一的管理，結(jié)合Radius服務(wù)器對用戶的賬號以及密碼進(jìn)行驗(yàn)證。通過在樓宇的樓道內(nèi)安裝Cisco AP控制器，利用Aruba AC以及網(wǎng)絡(luò)管理協(xié)議（SNMP）進(jìn)行日常的通訊管理。整套無線網(wǎng)絡(luò)運(yùn)維系統(tǒng)在熱點(diǎn)平臺DR.com的基礎(chǔ)上與LDAP數(shù)據(jù)相互結(jié)合以進(jìn)行二次的開發(fā)，實(shí)現(xiàn)了分布式的網(wǎng)絡(luò)將進(jìn)行統(tǒng)一的用戶管理，并且通過實(shí)驗(yàn)分析結(jié)果說明了，本無線網(wǎng)絡(luò)運(yùn)維系統(tǒng)可實(shí)現(xiàn)網(wǎng)絡(luò)數(shù)據(jù)流量的實(shí)時監(jiān)控，在對硬件中CPU和內(nèi)存使用占有率較低。因此，本研究提出的無線網(wǎng)絡(luò)管理運(yùn)維系統(tǒng)可以為網(wǎng)絡(luò)安全路由提供參考性意義。

[1]吳越，李建華，林闖.機(jī)會網(wǎng)絡(luò)中的安全與信任技術(shù)研究進(jìn)展[J].計(jì)算機(jī)研究與發(fā)展，2013，50（2）:278-290.

[2]許嵩明.移動網(wǎng)絡(luò)信號可視化管理系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)[J].電子制作，2013（13）:131-133.

[3]王昱，章衛(wèi)國，傅莉，等.基于改進(jìn)證據(jù)網(wǎng)絡(luò)的空戰(zhàn)動態(tài)態(tài)勢估計(jì)方法[J].航空學(xué)報(bào)，2015，36（12）:3896-3909.

[4]張森.移動Ad Hoc網(wǎng)絡(luò)安全路由協(xié)議設(shè)計(jì)與分析技術(shù)[J].數(shù)字技術(shù)與應(yīng)用，2014（8）:191.

[5]張冰濤，王小鵬.面向WSN安全路由協(xié)議的自適應(yīng)威脅模型[J].計(jì)算機(jī)應(yīng)用研究，2014，31（4）:1208-1211.

[6]劉云璐，蒲菊華，方維維，等.一種無線傳感器網(wǎng)絡(luò)MAC協(xié)議優(yōu)化算法[J].計(jì)算機(jī)學(xué)報(bào)，2014，31（4）:1208-1211

[7]張煥國，韓文報(bào)，來學(xué)嘉，等.網(wǎng)絡(luò)空間安全綜述[J].中國科學(xué):信息科學(xué)，2016，46（2）:125-164

[8]管天云.擴(kuò)展頻譜時域反射法的理論與實(shí)驗(yàn)研究[J].新型工業(yè)化，2014（1）:84-89.

[9]蘇曉艷，武東英，劉龍，等.基于Fuzzing的Cisco IOS漏洞挖掘方法[J].計(jì)算機(jī)工程，2012，38（16）:117-120.

[10]高晶.移動體驗(yàn)最新玩兒法Aruba讓大型場所更黏人[J].計(jì)算機(jī)與網(wǎng)絡(luò)，2015（1）:74-75.

[11]彭毓?jié)?基于802.1X的企業(yè)無線局域網(wǎng)的應(yīng)用和研究[J].信息安全與技術(shù)，2013，4（4）:66-69.

[12]錢志鴻，王義君.面向物聯(lián)網(wǎng)的無線傳感器網(wǎng)絡(luò)綜述[J].電子與信息學(xué)報(bào)，2013，35（1）:215-227.

[13]葉惠.Aruba Networks:將應(yīng)用和網(wǎng)絡(luò)完美結(jié)合[J].通訊世界，2013（7）:36.

[14]劉勤讓，張永麗，薛三龍.可重構(gòu)柔性網(wǎng)絡(luò)下基于預(yù)測的網(wǎng)絡(luò)資源重構(gòu)算法[J].高技術(shù)通訊，2014，24（2）:124-130.

[15]吳慶杰，田鵬.異構(gòu)認(rèn)證系統(tǒng)間身份同步的設(shè)計(jì)與實(shí)現(xiàn)[J].華東師范大學(xué)學(xué)報(bào)：自然科學(xué)版，2015（3）:197-204.

[16]劉暢，安澄全.Radius服務(wù)器中EAP認(rèn)證子系統(tǒng)的設(shè)計(jì)[J].哈爾濱商業(yè)大學(xué)學(xué)報(bào)：自然科學(xué)版，2016，32（2）:212-215.

Design of mobile network security routing wireless network operation and maintenance system

ZHANG Peng?cheng
（Henan Broadcasting University，Luoyang450008，China）

There are security risks for the wireless network in a mobile data transmission network routing problem，this study AC+FIT AP framework for authentication and network management to improve，us?ing two Aruba 6000 controller provides unified management for wireless networks，by AP switch is incor?porated between wiring network access will be connected to different LANs.Design Aruba AirWave traf?fic access and information security attacks unified management，Radius authentication server assigned IP address and all the information is transmitted to the controller，and then verify the identity by way of agreement，the final wireless network operation and maintenance system terminal will supervise and veri?fy the user's wireless network to the user's password，and the client MAC code.

mobile network；router；wireless network；operation and maintenance system

TN929.52

A

1674-6236（2017）22-0106-04

2016-10-01稿件編號：201610001

張鵬程（1979—），男，河南洛陽人，碩士，講師。研究方向：軟件工程、遠(yuǎn)程教育。