【編者按】Lisa Phifer是Core Competence公司的副總裁，該公司是一家專注于領(lǐng)先網(wǎng)絡(luò)技術(shù)的咨詢公司。她從事網(wǎng)絡(luò)和安全產(chǎn)品的設(shè)計(jì)、實(shí)施和評(píng)估工作長(zhǎng)達(dá)25年之久。在Core Competence工作期間，她在客戶需求、產(chǎn)品評(píng)估、新技術(shù)的使用和最佳方案等方面，為眾多大中小公司提出了合理建議。在加盟Core Competence之前，Phifer在貝爾通信研究所工作，并在ATM網(wǎng)絡(luò)管理方面獲總統(tǒng)獎(jiǎng)。她在許多行業(yè)會(huì)議和在線研討會(huì)上做過(guò)學(xué)術(shù)報(bào)告，內(nèi)容涉及無(wú)線局域網(wǎng)、移動(dòng)安全、NAC和VPN等領(lǐng)域的問(wèn)題。同時(shí)，她為多家專業(yè)媒體撰寫(xiě)有關(guān)網(wǎng)絡(luò)架構(gòu)和安全技術(shù)方面的文章，這些媒體包括SearchSecurity.com、《安全信息》、Wi-Fi Planet、ISP-Planet、《商業(yè)通信回顧》和《網(wǎng)絡(luò)世界》等。

我們?cè)谲囬g底樓部署802.11n無(wú)線網(wǎng)絡(luò)，重新規(guī)劃工作臺(tái)和工作間，精簡(jiǎn)過(guò)程。你建議用什么無(wú)線訪問(wèn)控制方法，既允許一些主要員工訪問(wèn)，同時(shí)防止工人利用個(gè)人設(shè)備訪問(wèn)公司網(wǎng)絡(luò)？

像這類無(wú)線訪問(wèn)控制，我會(huì)建議在所有支持802.11n（包括個(gè)人和企業(yè)版WPA2）的Wi-Fi設(shè)備上都內(nèi)置訪問(wèn)控制功能。WPA2個(gè)人版需要每個(gè)設(shè)備提供一串來(lái)自密碼的預(yù)共享密鑰。例如，在你車間底樓的設(shè)備可能需要提供一個(gè)相同的20個(gè)字符的隨機(jī)字符串，而這是在部署期間配置并且只有你的IT部門知道。這類方法通常與MAC地址過(guò)濾相結(jié)合，因此只有有正確預(yù)共享密鑰的已知設(shè)備才能被授權(quán)訪問(wèn)。然而，MAC地址過(guò)濾機(jī)制很容易繞過(guò) ，同樣預(yù)共享密鑰太短很容易被猜到。

WPA2企業(yè)版需要每個(gè)設(shè)備完成一個(gè)802.1X登錄機(jī)制，它可以支持多種認(rèn)證方式。例如，在你車間底樓的每個(gè)設(shè)備可能需要通過(guò)一個(gè)唯一的數(shù)字證書(shū)來(lái)認(rèn)證其身份。或是每個(gè)設(shè)備可能需要提供一個(gè)唯一的用戶和密碼，這在一開(kāi)始部署時(shí)就已配置并且只有你的IT部門知道。通過(guò)這種Wi-Fi訪問(wèn)控制方式，你可以知道哪臺(tái)個(gè)人設(shè)備登錄了。當(dāng)和證書(shū)結(jié)合使用，WPA2-企業(yè)版很少受到密碼共享和重利用的攻擊，而這是很普遍的問(wèn)題——員工知道一個(gè)有效的用戶名和密碼或預(yù)共享密鑰，然后個(gè)人設(shè)備進(jìn)行配置。

但是你還是想讓一些主要員工通過(guò)個(gè)人設(shè)備訪問(wèn)公司網(wǎng)絡(luò)。一個(gè)常見(jiàn)的做法是創(chuàng)建單獨(dú)命名的網(wǎng)絡(luò)（SSID））和在你的有線網(wǎng)絡(luò)里建立相應(yīng)的VLAN。IT管理的設(shè)備會(huì)在安裝時(shí)使用證書(shū)并且配置成訪問(wèn)“MachineNet”，而個(gè)人設(shè)備則通過(guò)其他認(rèn)證訪問(wèn)“SpecialNet”。這樣，主要員工不會(huì)得到“MachineNet”的預(yù)共享密鑰，除非他們把設(shè)備提交給IT。

如果你既想要網(wǎng)絡(luò)訪問(wèn)保護(hù)，又想有一個(gè)安全簡(jiǎn)單的方式讓主要員工注冊(cè)他們個(gè)人的設(shè)備到“SpecialNet.”實(shí)現(xiàn)安全訪問(wèn)。詢問(wèn)你的WLAN或NAC廠家看他們是否出售來(lái)賓管理功能或是注冊(cè)通道來(lái)支持移動(dòng)的個(gè)人設(shè)備通過(guò)授權(quán)和Wi-Fi。另一個(gè)網(wǎng)絡(luò)訪問(wèn)保護(hù)和無(wú)線訪問(wèn)控制方法是使用移動(dòng)設(shè)備管理軟件來(lái)管理這些任務(wù)。