Aruba 804 无线交换机为目前无线局域网提供高性价比无线安全管理解决方案

目前无线局域网面临的安全问题
缺乏访问控制机制
在目前无线局域网解决方案中，为保障网络的安全，许多客户把所有无线流量拒之于防火墙（从 DMZ区接入）之外，用户不得不绕道进入单位网络。从安全性方面看，这是个好方法，但却使网络设计达不到最优状态而且导致性能劣化，因为 WAN 级别的防火墙突然之间要被迫应付许许多多以无线局域网速度访问的接入点。这种技术由于“统一尺码”的访问控制方法而不够灵活，因为它赋予所有无线用户相同的网络权限。如果不采用上述的解决方案，而是将无线系统直接连接到楼层交换机，这样用户连接至 AP以后，所有的访问都将无从控制，对客户的网络安全更是极大的威胁。
缺乏灵活的用户认证方法
目前无线局域网解决方案中用户认证主要依赖于 802.1x，这种认证方法需要用户安装 802.1x客户端程序，后端还需要 Radius服务器支持。一方面用户的技术水平参差不齐，客户端的操作系统多种多样，以及系统可能出现的软件冲突等，对 802.1x客户端的安装造成极大障碍，另一方面，后端的数据库只能使用 Radius，不能使用其他类型的认证数据库，在适应性上也比较差，这些对于大规模推广和使用都是极大的阻碍。
缺乏对 VPN 的支持
在使用无线局域网的时候，如果使用二层的加密方法，象 WEP等类型的加密方法，需要客户端做相应配置，实施起来难度较大；如果使用动态的加密类型，就需要用户安装 802.1x客户端程序，遇到前面所述的问题。所以往往会希望使用三层的加密方法，只有高级用户，需要加密措施保护的用户使用三层的加密方法。这样就需要和第三方的 VPN网关配合，造成设备管理分散，管理方法不统一，系统的投入和管理成本都会相应的提高。
缺乏无线入侵检测的安全机制
目前可以在 Internet上下载很多的基于无线入侵和攻击的工具，这些工具对无线网络造成了很大的威胁，可以使 AP无法正常工作，甚至突破现有无线网络的安全策略，非法的进入网络盗取资源。另一种问题更为严重，用户随意购买的 AP，接入有线的网络中，或者是 微软操作系统能够让每台 PC 以“特殊”方式运行 ― 实际上就是创建“软”无线接入点或者 AP。结果这些不安全的 AP 在完全缺乏 IT 控制或知识的情况下在企业中自发地冒了出来。更糟糕的是，外部入侵者可能利用这些“流浪” (rogue) 的软 AP 实现恶意目的。这样的事情发生时，员工并不知道，也未参与，他们无意之中促成了攻击。
Aruba 804 无线交换机解决方案
Aruba 804 无线交换机无缝连接到现有无线局域网中，为客户提供高性价比的无线局域网安全解决方案，给无线局域网提供全面的安全控管，采用基于用户的管理模式，多种灵活的认证方法， VPN 网关功能，并具有无线入侵检测和防护，以及防病毒的功能，全方位的保障无线局域网的安全。

用户状态防火墙
Aruba 无线交换机提供了基于用户的状态防火墙，对每名无线用户可以实施不同的防火墙策略。这种有状态的防火墙不是简单的静态数据包过滤器，而是在硬件中实施的，具备了支持企业无线速度的性能。这种防火墙与 ICSA 公司防火墙认证标准 4.0 完全兼容，企业完全的可以放心的将其部署在网络的无线接入点上，制定基于用户的访问策略，同时还可以基于每个用户设定带宽的限制，保证企业网络的安全和有效的使用。
Captive Portal 认证
Aruba 无线交换机提供除了提供 802.1x 认证以外，还可以提供 Captive Portal 认证方法。这种认证不需要用户安装客户端程序，只要有浏览器就可以。用户在访问网络时，会弹出一个 WEB 页面，让用户输入用户名和口令，认证通过后才可以以相应的权限访问网络。后端的数据库除了可以使用 Radius 以外，还可以是 LDAP ，AD ，CISCO ACS ，交换机内置的数据库等，用户可以根据其实际情况灵活的进行选择。
高性能 VPN 网关
Aruba 无线交换机提供 VPN 网关功能， 可以为无线用户提供三层的加密功能，也可以为远程用户提供 VPN 的接入，安全的访问企业网络， 3DES 的加密速度可达 200M ，完全可以满足企业用户对 VPN 网关的性能要求。
无线入侵检测和防护
Aruba 804 无线交换机可以管理 4 台 Aruba 的 AP ，并可以设置成 Air Monitor 模式，专门用于无线电磁波层面的控管，可以对目前无线技术的漏洞和各种无线攻击进行检测和防护。如 DOS 攻击检测防护，“中间人” (Man-In-The-Middle) 攻击防护以及流浪（ Rouge ） AP 的区分和防护。具体内容参见右面技术指标栏。
无线用户的网络准入检查和防病毒检测
Aruba 无线系统针对无线终端的病毒防护分为两个层面：无线终端的准入检查和对无线终端发出数据进行有效的检查和监控。
无线终端病毒防护的第一步是准入检查，当无线终端连接到 Aruba 无线系统中，当试图访问网络，在用户认证之前，需要下载一个基于 JAVA 的程序，可以对无线终端的操作系统打补丁的情况，安装防病毒软件的情况，以及防病毒定义码升级的情况，做一个检查，如果不能通过检查，可以设定策略禁止其访问网络，也可设置成将无线用户重定向到一台升级服务器，打系统补丁，安装防病毒软件和升级病毒定义码，满足系统制定的安全策略以后，该无线终端才可以进入认证环节进行用户的认证。
当无线终端通过了准入检查，但是如何对无线终端发出数据进行有效的检查和监控是更加进一步的病毒防护手段。 Aruba 公司和第三方的防病毒墙厂家合作，在 Aruba 无线交换机上可以设定策略，某些用户，以及某些可能沾染病毒的数据， Aruba 交换机会将其重定向到防病毒墙上进行防病毒检查，检查完成后，才允许通过，否则会将数据丢弃。
解决方案特点
基于交换机架构的 AC ，支持 256 个用户，对第三方的 AP 数量无限制；支持 4 个 Aruba 的 AP 通过 ICSA 认证的基于用户的状态防火墙，可以基于每个用户设置安全访问策略，包括带宽控制 支持多种灵活的用户认证方法 高性能的 VPN 网关， 200M 3DES 的加密速度 具有无线入侵检测和防护的功能 具有无线客户端准入检查和防病毒检测的功能