你想过如何让你的无线网络更安全吗？有人说现在网上可以查到很多关于Wi-Fi安全的信息，比如不使用WEP，使用WPA或者WPA2，禁用SSID广播，更改默认设置等等但是仅仅这些还不够。因此，本文将不详细描述这些基本技术，而是讨论可以增强无线网络安全性的其他方面。
1.转向企业加密。
如果您创建了WPA或WPA2加密密钥，并且在连接到无线网络时必须输入此密钥，则您使用的是WPA的预共享密钥(PSK)模式。企业级网络，无论大小，都应该受到企业模式的保护，因为这种保护模式在无线连接过程中增加了802.1X/EAP身份验证。用户使用用户名和密码登录，而不是在所有计算机上输入加密密钥。加密密钥以隐藏的方式安全使用，并且对每个用户和会话都是唯一的。
该方法提供了集中管理功能和更好的无线网络安全性。
简而言之，员工和其他用户在使用企业模式时通过自己的帐户登录网络。管理员可以在需要时轻松更改或撤销他们的访问权限。当员工离职或笔记本电脑被盗时，这种方法非常有用。如果您现在使用个人模式，您需要更改所有计算机和接入点AP上的加密密钥。
企业模式的一个特殊因素是RADIUS/AAA服务器。它与网络中的接入点AP通信，并查询用户数据库。这里建议你使用windows server 2003的IAS或者Windows Sever 2008r网络策略服务器的NPS。当然也可以考虑使用开源服务器，比如现在最流行的FreeRADIUS。如果您认为设置认证服务器的成本太高或超出您的预算，您可能希望考虑使用外包服务。
2.验证物理安全性。
无线不仅仅是一个技术问题。你可以拥有最强的Wi-Fi加密，但你如何阻止某人将电缆连接到暴露的以太网端口？或者有人在经过接入点时按下重置按钮，将其恢复为出厂设置，使您的无线网络完全开放。你该怎么办？
所以请确保自己的接入点AP远离大众，不要让员工随意摆弄。不要把你的接入点放在桌子上，至少要挂在墙上或者天花板上，最好放在天花板上方。
还可以考虑把接入点AP安装在不容易看到的地方，安装外置天线，这样可以获得最强的信号。这样可以更大程度的限制接入点AP，同时可以获得两个好处，一是增加覆盖，二是使用更高的天线。
当然，不能只关注接入点。的所有网络连接组件都应确保其安全性。这甚至包括以太网电缆的连接。虽然下面的情况可能有点牵强，但是有没有可能是某个‘不到黄河誓不罢休’的家伙切断了电缆，接入了自己的设备？
在安装过程中，您应该对所有接入点AP了如指掌。最好制作一个表格来记录所有接入点模块，以及它们的mac地址和IP地址。还要注明它的位置。这样，我们在检查设备或者跟踪有问题的接入点AP时，就可以准确地知道接入点在哪里。
3.安装入侵检测和/或入侵防御系统(即IDS和IPS)
这两个系统通常由一个软件工作，利用用户的无线网卡来嗅探无线信号，发现问题。该系统可以检测欺诈性接入点。无论是新接入点连接到网络，现有接入点将其设置更改为默认值，还是与用户定义的标准不匹配，都可以检测到IDS和IPS。
该系统还可以分析网络数据包，查看是否有人使用黑客技术或进行干扰。
现在有很多种入侵检测和防御系统，这些系统使用的技术也各不相同。在这里，我向大家推荐两个开源或者免费的系统，分别是大名鼎鼎的Kidmet和Snort。现在网上有很多关于这两个系统的教程，你不妨试试。当然，如果你愿意花钱，也可以考虑AirMagnet、AirDefence、气密等国外公司的产品。
4.建立无线使用策略。
正如您需要其他网络设备的指南一样，您也应该有一套无线接入的使用策略，至少包括以下内容：
列出被授权访问无线网络的设备：最好先禁用所有设备，利用路由器上MAC地址的过滤功能，明确指出允许哪些设备访问网络。尽管MAC地址可能会被欺骗，但它显然控制着员工在网络上使用的设备。应保留所有经批准的设备及其详细信息的硬拷贝，以便在监控网络和为入侵检测系统提供数据时进行比较。
列出可以通过无线连接访问网络的人员：当使用802.1X认证时，可以通过在RADIUS服务器中只为需要无线访问的人员创建一个帐户来实现这种控制。如果有线网络上也使用802.1X身份验证，您必须指明用户是希望接收有线还是无线访问。这可以通过修改active directory或在RADIUS服务器上使用身份验证策略来实现。
无线路由器或接入点AP的建立规则：比如只允许IT部门建立更多的接入点AP，不允许员工随意插入接入点Ap来增强和扩展信号。对于IT部门，其规则最好包括定义可接受的设备模式和配置等。
使用Wi-Fi热点或在公司设备的帮助下连接到家庭网络的规则：因为某个设备或笔记本电脑上的数据可能会被破坏，并且需要在不安全的无线网络上监控互联网活动，所以您可能会考虑将Wi-Fi连接限制为仅连接到公司网络。它可以通过使用Windows中的netsh实用程序和网络过滤器来控制。还有一个选择，就是可以要求VPN连接公司网络，至少可以保护上网活动，远程访问文件。
5.使用SSL或Ipsec加密
虽然您可能正在使用最新、最健壮的Wi-Fi加密(在OSI模型的第二层上)，但是您也可以考虑实现另一种加密机制，比如IPSec(在OSI模型的第三层上)。这样，不仅可以在无线网络上提供双重加密，还可以保证有线通信的安全性。这将防止员工或外部人员随意插入设备的以太网端口进行窃听。
这里说的五项技术，虽然大部分在有线网络上已经成熟，但是在很多单位的无线网络上还没有实现。要使您的无线网络访问更加安全，请尝试一下。
