STA接入过程

【WLAN从入门到精通-基础篇】第8期——STA接入过程【WLAN从入门到精通-基础篇】第8期——STA接入过程上期和大家分享了FIT A P在A C上的上线过程，其实无论是FA T A P还是上线的FIT A P，最终目的都是要用来提供无线网络覆盖环境，以供无线终端STA接入。

这样我们才能在日常的生活和工作中，在无线网络覆盖范围内，通过便捷的无线方式，经A P连接到网络中，进行娱乐或办公。

本期将要为大家介绍的是在无线网络环境中，STA是如何接入到A P上的——STA接入过程。

上一回我们说到FIT AP经过一段不轻松的过程，成功拜入AC师傅的门下，获得师傅的认可后，修习了高深的内功，此后，和诸位师兄弟一起，被师傅委以重任。

在玉树临风风流倜傥才高八斗学富五车的师傅的英明领导下，众师兄弟齐心协力建立起了名噪一时的龙门镖局，师傅AC任总镖头，AP作为镖师专为各类主顾押镖。

龙门镖局以响应主顾速度快，托镖安全有保障而为众人熟知。

故坊间有传言“挖掘技术哪家强，中国山东找蓝翔；托运镖物谁最能，首屈一指是龙门”。

经过一段时间的打拼，龙门镖局现已名声在外，能够走到这一步，镖局处理托镖事务的标准规范流程起了重要的作用。

那么我们就来看看要想找龙门镖局托镖，具体需要怎么做吧。

主顾STA找镖局托镖，具体过程有三：扫描：用于STA发现无线网络）；其一、寻找到满意的镖师AP（扫描其二、向镖师出示自己的托镖资格（链路认证链路认证：STA和AP间无线链路的认证过程，通过了这个认证，才表示STA有资格和AP建立无线链路）；关联：确定STA有资格和AP建立无线链路后，STA还需要与AP协商无线链路的服务参数，才能完成无线链路的建其三、签订托镖协议（关联立）。

关联。

链路认证和关联本文以STA找镖局托镖的流程来喻指STA接入过程，托镖则指数据传输。

这里我们说的STA接入过程，包括三个阶段：扫描扫描、链路认证完成了这三个阶段后，STA就连接上了A P。

后续STA还要根据实际情况，来决定STA是获取IP地址后就可以接入网络，还是需要再进行各种接入认证和密钥协商后才能接入网络（图中是以Portal认证的流程为例，获取IP是在接入认证之前，不同的认证方式获取IP的顺序可能不一样，例如MAC认证，获取IP是在接入认证之后进行的）。

Ps：接入认证和密钥协商不是一定要进行的，在STA关联阶段，STA会根据收到的关联回应报文来决定是否需要进行接入认证和密钥协商。

具体会在后面的关联阶段描述。

但在实际的应用中，考虑到无线网络的安全性，通常都会选择进行接入认证和密钥协商的。

第一阶段：扫描主顾STA在托镖之前，首先要找到自己满意的镖师。

因为镖局为适应市场需求，在不同区域安排有不同的镖师负责业务，而主顾可能会在不同的区域中移动，因此主顾就需要及时的了解到当前有哪些镖师可以雇佣。

主顾找到可雇佣镖师的过程，用行话来说就是扫描。

主顾可以主动的去寻找镖师，也可以被动的等待镖师推送给你的服务信息。

联系到平时我们使用手机连接Wi-Fi之前，通常都是要先看看当前手机上能搜索到哪些无线信号，然后再选中一个网络接入。

图中是手机搜索到的无线网络，里面的那一串串字母是啥？对了，就是我们之前介绍过的SSID，也就是每个无线网络的标志。

而我们就是通过点击其中的一个想要连接的SSID来进行联网的。

其实在这里就体现了一个信息，要想连接无线网络，就需要先搜索到无线网络。

STA搜索无线网络的过程就叫做扫描。

当然现在很多手机在开启Wi-Fi连接功能的时候，如果以前连接的网络能够连上，会自动就连接以前的网络，这是手机软件为简化用户的操作而设计的功能，并不是说手机就不用再进行扫描过程了。

实际上扫描过程是手机等这类STA自动进行的过程，我们在使用的时候，看到的已经是扫描到的结果了。

扫描分为两类：主动扫描和被动扫描。

正如字面的含义，主动扫描是指STA主动去探测搜索无线网络，而被动扫描则是指STA只会被动的接收A P发送的无线信号。

具体过程请看下文描述。

主动扫描主动寻找镖师的过程中，主顾STA会在其力所能及的范围内，主动去寻找都有哪些镖师可以帮忙押镖。

现在STA已经前往镖局，寻找所有能提供服务的镖师。

进入镖局后，STA找了个稍高的位置站好，喊了一嗓子，“有镖师可以帮忙托镖没，这有一宗大买卖”，也许是大买卖三个字引起了众镖师的关注，几乎是最短的时间内，所有的镖师的回应了STA的请求。

一般按照龙门镖局的规范要求，所有在位的镖师都要回应主顾的需求，为的就是能够让主顾能够完整的获取到镖师的信息，为主顾提供更多的选择。

而STA现在需要做的就是从中选择一个最中意的镖师。

主动扫描情况下，STA会主动在其所支持的信道上依次发送探测信号，用于探测周围存在的无线网络，STA发送的探测信号称为探测请求帧（Probe Request）。

探测请求帧又可以分为两类，一类是未指定任何SSID，一类是指定了SSID的。

1、探测请求帧里面如果没有指定没有指定SSID，就是意味着这个探测请求想要获取到周围所有能够获取到的无线网络信号。

所有收到这个广播探测请求帧的A P都会回应STA，并表明自己的SSID是什么，这样STA就能够搜索到周围的所有无线网络了。

（注意如果A P的无线网络中配置了Beacon帧中隐藏SSID的功能，此时A P是不会回应STA的广播型探测请求帧的，STA也就无法通过这种方式获取到SSID信息。

）有时候STA发现热情的镖师实在是太多了，为了能够迅速找到想要雇佣的镖师，STA会直接喊出镖师的名字，这样其他的镖师自然不会再来打扰，而只有被点名的镖师才会找上前来，与主顾沟通交流。

2、探测请求帧中指定了指定了SSID，这就表示STA只想找到特定的SSID，不需要除指定SSID之外的其它无线网络。

A P收到了请求帧后，只有发现请求帧中的SSID和自己的SSID是相同的情况下，才会回应STA。

被动扫描除了通过主动去镖局的方式寻找镖师外，镖师也会定期发送信息或传单来告诉主顾们这里有镖师可以提供押镖服务。

通过这些主动送上门的信息或传单上的联系方式，STA也能找到可以雇佣的镖师。

这样做的好处当然就是让主顾更加的省力省事了。

被动扫描情况下，STA是不会主动发送探测请求报文的，它要做的就只是被动的接收A P定期发送的信标帧（Beacon帧）。

A P的Beacon帧中，会包含有A P的SSID和支持速率等等信息，A P会定期的向外广播发送Beacon帧。

例如A P发送Beacon帧的默认周期为100ms，即A P每100ms都会广播发送一次Beacon帧。

STA就是通过在其支持的每个信道上侦听Beacon帧，来获知周围存在的无线网络。

（注意如果无线网络中配置了Beacon帧中隐藏SSID的功能，此时A P发送的Beacon帧中携带的SSID是空字符串，这样STA是无法从Beacon帧中获取到SSID信息的。

）STA是通过主动扫描还是被动扫描来搜索无线信号呢？这完全是由STA的支持情况来决定的。

手机或电脑的无线网卡，一般来说这两种扫描方式都会支持。

无论是主动扫描还是被动扫描探测到的无线网络都会显示在手机或电脑的网络连接中，供使用者选择接入。

而一般V oIP语音终端通常会使用被动扫描方式，其目的是可以节省电量。

当手机扫描到无线网络信号后，我们就可以选择接入哪个网络了，这时STA就需要进入链路认证阶段了。

第二阶段：链路认证当STA找到满意的镖师后，并不能够直接就让镖师押送货物，而是需要先通过镖师的认证，验证STA的合法资格后才能签订押镖协议，避免不合法或恶意的STA进行不可告人的活动。

龙门镖局为主顾们提供了好几种服务套餐（安全策略），每种服务套餐都会包含有不同的方式来验证STA的合法资格。

但总的来说验证STA资格的方式分有两种：开放系统认证和共享密钥认证。

STA和A P之间是通过无线链路进行连接的，在建立这个链路的过程中，需要要求STA通过无线链路的认证，只有通过认证后才能进行STA和A P之间的无线关联。

但此时尚不能判断，STA是否有接入无线网络的权限，需要根据后续STA是否要进行接入认证、是否通过接入认证才能判断。

一说到认证，可能大家就会想到802.1X认证、PSK认证、Open认证等等一堆的认证方式。

那这些认证方式和链路认证有什么关系呢？在解决这个问题前，我们先来简单的了解下安全策略。

安全策略体现的是一整套的安全机制，它包括无线链路建立时的链路认证方式，无线用户上线时的用户接入认证方式和无线用户传输数据业务时的数据加密方式。

如同下表中，列举出来几种安全策略所对应的链路认证、接入认证和数据加密的方式。

安全策略链路认证方式接入认证方式数据加密方式说明WEP Open不涉及不加密或WEP加密不安全的安全策略Shared-key A uthentication不涉及WEP加密仍然是不安全的安全策略WPA/WPA2-802.1X Open802.1X（EA P）TKIP或CCM P安全性高的安全策略，适用于大型企业。

WPA/WPA2-PSK Open PSK TKIP或CCM P安全性高的安全策略，适用于中小型企业或家庭用户。

WA PI-CERT Open预共享密钥鉴别SM S4国产货，应用的少，适用于大型企业和运营商。

WA PI-PSK Open WA PI证书鉴别SM S4国产货，应用的少，适用于小型企业和家庭用户链路认证和接入认证是先后两个不同阶段的认证。

这里再配合下面这张图一起理解下。

链路认证和接入认证是先后两个不同阶段的认证从表中可以看出，安全策略可分为WEP、WPA、WPA2和WA PI几种，这几种安全策略对应的链路认证其实只有Open和Shared-key A uthentication两种，而802.1X和PSK则是属于接入认证方式。

另外用户接入认证方式其实还包括表中未列出的M A C认证和Portal认证。

（Ps：更多的安全策略、M A C认证和Portal认证的内容，可以参考WLA N安全特性和安全特性的特性描述。

）现在回到我们的主题上来，链路认证包括Open和Shared-key A uthentication，具体认证过程是怎么样的呢？开放系统认证(Open System Authentication)为加快镖师处理业务的速度能力，龙门镖局使用了一种叫做开放系统认证的方式来检查主顾的合法资格，只要主顾有托镖请求，镖师都会直接同意。

当然这样做会存在安全隐患，让不合法的主顾有机可趁，所以为了提高镖局的安全保障，通常配合这套认证方式，会在后面的托镖流程中再进行一次严格的方式来专门检查主顾的合法资格。

开放系统认证简称就是Open认证，又叫不认证。

但是要注意，不认证也是一种认证方式，只不过这种链路认证方式下，只要有STA发送认证请求，A P都会允许其认证成功，是一种不安全的认证方式，所以实际使用中这种链路认证方式通常会和其它的接入认证方式结合使用，以提高安全性。