信锐技术无线射频防护配置指导

3.3.6版本无线射频防护配置指导手册2017年4月2号目录目录------------------------------------------------------------------------------------------------------------------------------------2一、功能概述--------------------------------------------------------------------------------------------------------------------1-1、应用场景---------------------------------------------------------------------------------------------------------------1-2、工作原理---------------------------------------------------------------------------------------------------------------1-3、工作模式---------------------------------------------------------------------------------------------------------------1-4、名词解释---------------------------------------------------------------------------------------------------------------2-（1）钓鱼AP--------------------------------------------------------------------------------------------------------2-（2）AD-HOC---------------------------------------------------------------------------------------------------------2-（3）干扰邻居AP--------------------------------------------------------------------------------------------------3-（4）BSSID冲突----------------------------------------------------------------------------------------------------4-二、基本配置--------------------------------------------------------------------------------------------------------------------4-三、反制效果--------------------------------------------------------------------------------------------------------------------7-四、注意事项--------------------------------------------------------------------------------------------------------------------8-一、功能概述1、应用场景随着公共网络建设的迅速发展，现在越来越多的商场、咖啡厅、图书馆等公共区域提供的免费Wi-Fi 网络。

钓鱼Wi-Fi确实离我们很近，黑客比我们想象的要可怕得多，而且所有的上网行为几乎都会牵扯到或多或少的账号信息。

商超作为一个公共场所，非法AP较为集中，尤其是现在越来越多的人在商超结账使用在线支付，当接入非法AP使用银行等在线支付时，黑客通过技术手段盗取客户的账号与密码，给客户带来风险，也给商超带来不良影响。

采用信锐网科非法接入点检测及反制技术，反制非法AP，保障客户的账号和财产安全，提高商超的安全性和可靠性；让客户连网不再顾忌，体验更上一层楼。

2、工作原理1)AP收集环境中的VAP，上传给无线控制器。

2)无线控制器对信息进行匹配和监测，然后生成策略规则发送给AP。

3)AP收到策略规则后执行反制任务。

反制时，AP伪装成要反制的对象分别向STA和AP发送单播解关联帧，并实行周期性反制，反制结束后，会清理掉STA与非法AP已经建立的关联关系，实现钓鱼反制的效果。

3、工作模式无线安全检测功能可以实时检测无线钓鱼、非法AD-Hoc、BSSID冲突检测、DDOS攻击和洪泛攻击等基于WLAN的无线攻击行为避免无线信息泄露，化解无线风险，为用户的无线网络安全保驾护航。

在WAC上激活的AP的三种工作模式：normal模式仅转发业务数据，并对工作信道做主动扫描；Hybrid模式转发业务数据的同时，定期执行跨信道扫描和执行反制任务；monitor模式完全不转发业务数据，一直跨信道扫描，并执行反制任务；在执行反制过程中，如果AP处在hybrid和monitor模式是都能进行反制，但是hybrid工作模式定期执行反制，同时兼职进行业务数据转发，因而反制和数据转发功能都会相应减弱，默认只反制1、6、11的hybrid模式，若自定义信道为3、8、13，则会在3、8、13信道发送反制广播包；而monitor工作模式可以专门进行扫描和执行反制任务。

如果有反制需求，建议设置专门处于monitor模式的AP，提升反制效果。

（注：对于支持802.11ac协议的AP，由于ac协议射频口的特性导致5.8G频段只能反制本信道）4、名词解释WIDS：无线入侵检测AP：无线接入点VAP：虚拟无线接入点（Virtual AP）AC：无线控制器STA：无线接入终端BSSID：无线接入点的MAC（AP的机身MAC，一般在AP设备上都有标注）SSID：服务集标识，就是无线网络名称，用来区分不同的网络，最多可以有32个字符（1）钓鱼AP所谓的钓鱼WI-FI就是黑客或不良分子在公共场所搭建“免费”WI-FI，内部建立无线Wi-Fi信号名称（SSID）相同或相似的开放式认证的Wi-Fi网络诱使消费者连接，诱使无线客户端访问虚假的无线接入点，从而达到截获其账号、密码等信息的目的。

防钓鱼AP功能，即常规部署的无线网络能够嗅探发现无线网络环境下的钓鱼AP无线信号，并能够对其进行反制，使用户无法连接非法仿造信号，确保用户信息安全。

（2）AD-HOC是无线网络的一种工作模式，是P2P连接，Ad-hoc终端可以不需要任何设备支持而直接进行通讯。

这样很容易导致公司内部资料泄漏，AD-Hoc检测功能可以有效的检测到这种无线网络。

（3）干扰邻居AP指的是没有攻击目的的AP，但其信号会对系统AP造成一定干扰，邻居AP检测功能会对这种干扰AP给出一个有效的提示。

（4）BSSID冲突有些AP上创建的WLAN的BSSID会和系统AP上WLAN的一样，这样的话就有可能导致系统AP上建的WLAN 接入不了，BSSID冲突检测功能可以检测到这种情况，如果已经明确该AP是故意这样做，那就可以用反制钓鱼AP的功能来对其进行反制。

二、基本配置首先将AP激活，根据AP点位图来确定哪些AP用来反制AP。

信道保护只能反制本信道的，所以我们测试信道压制。

（1）【流控与安全】-【无线射频防护】-【防护策略】新增射频防护策略（2）选择提前设定好的反制AP（根据点位图来设定），这里设置成Monitor模式；并勾选（3）【将未在本NAC上激活的接入点视为非法接入点】勾选此项则反制其他所有无线信号；未勾选的情况下，可以设置以下两项：【BSSID反制参数】只反制指定的钓鱼接入点，填写钓鱼接入点MAC【SSID反制参数】只反制指定的钓鱼接入点SSID，填写钓鱼接入点SSID（4）【高级选项】里反制参数设置：⏹【反制信号强度阈值】若其他无线信号的强度大于这个值，则会被反制，此输入项最小值-100dBm⏹【反制周期】发送反制包的时间间隔，周期越短，发送反制包的频率越高此输入项最小值50ms 【受信任接入点】参数设置：⏹【信任的BSSID】可以将“将未在本NAC上激活的接入点视为非法接入点”勾选，然后设置指定的不反制的接入点MAC⏹【信任的SSID】可以将“将未在本NAC上激活的接入点视为非法接入点”勾选，然后设置指定的不反制的接入点SSID；如果添加受信任的SSID是个隐藏SSID，同时勾选了“将隐藏SSID的接入点视为非法接入点”选项，那么该设置不生效，要么不勾选“将隐藏SSID的接入点视为非法接入点”，要么将这个隐藏SSID所在的接入点MAC添加到“受信任的BSSID”里。

三、反制效果实现的效果是在整个无线网络中，只有合法的SSID和保留不反制的SSID可以正常接入使用。

也可以在系统日志里面查看WAC给AP下发的反制任务另外如下图，反制隐藏SSID的时候下发的反制任务的日志提示SSID[]里面显示无线网络名称是空的。

四、注意事项1、开启无线射频防护并不能让非本WAC上的接入点发出的无线关闭，只是不能接入终端。

2、无线网络中，做反制的AP必须是在Monitor模式效果最佳。

3、测试和实施项目之中，建议单独拿AP出来做反制使用。

4、对于支持802.11ac协议的AP，由于ac协议射频口的特性导致5.8G频段只能反制本信道。