校园自建无线网络管理系统建设研究

校园自建无线网络管理系统建设研究

摘要:目前国内各校园基本都建立了自己的校园无线网络系统,学校教职工及学员均能通过无线实现方便快捷的上网、办公、学习、查询信息等功能。为使无线网络的使用更方便、更安全,在建好校园无线网络的同时,无线网络管理系统的建设也尤为重要,如何实现用户无感知认证体验,实现与校园网已有用户数据库平台无缝对接,进行统一身份认证,同时溯源用户上网行为,实现安全审计,是无线网管理系统急需解决的问题。

关键词:无线网络管理;无线认证;安全审计

1概述

随着信息化的发展,国内无线上网已步入一个高速发展的轨道,特别在学校通过无线上网,教室里、宿舍里、办公室里、走廊里、会议室里,只要是有信号的地方,学校教职工及学员均能通过无线实现方便及快捷的上网、办公、学习、查询信息等功能。为使无线网络的使用更方便、更安全,在建好校园无线网络的同时,无线网络管理系统的建设也尤为重要。本文以浙江行政学院无线网络管理系统建设为例,主要介绍校园无线网二次无感知认证系统的建设,以及统一身份认证平台及上网行为安全审计的实现。

2校园无线网络系统构架

浙江行政学院无线网络系统在楼宇内采用独立的综合布线系统,无线网络系统的核心交换机与校园有线网络系统核心交换机互联。浙江行政学院在建设校园无线局域网时,建设的WALN无线网提供2个网络识别号(SSID),一个用于长期用户的使用,包括学校教职工、长训班学员,可直接访问内网并通过校园网出口访问互联网;另一个用于临时用户(访客),通过手机号获取临时密码,只可访问外网(互联网),免费访问外网时间可根据我校要求做相应限制。其中内网用户(长期用户)接入内网SSID,通过IMC认证管理平台进行用户认证,认证通过后即可访问学校内网,同时可以通过学校外网出口访问internet;访问内网特定资源还需要通过学校内网OA认证。内网数据采用本地转发模式,认证后用户数据通过本地转发经过核心交换机直接到达用户内网。访客用户接入外网SSID,外网数据采用集中转发模式,AP和AC之间建立私有隧道,用户数据经过隧道直接送至AC侧,认证后直接送至公网出口。

3无感知认证管理系统实现

我校使用Portal无感知认证解决方案,用户无线接入终端在首次连入学校无线SSID时,需要输入账号、密码信息进行认证,首次认证成功后,将用户终端MAC地址信息与该Portal账号进行绑定。以后在此账号有效期内该用户终端会自动接入学校无线SSID,无须再输入账号等信息进行认证,并且可设置同一Portal账号可绑定的终端MAC地址数量。

(1)长期用户认证

用户关联学校SSID信号后,访问任意网页时,AC将准入认证portal页面推送至用户进行认证,输入用户名与密码后在学校内网radius进行认证,认证通过后即可访问内网资源,并可通过校园网出口同时访问外网。流程如下:1.用户终端通过dhcpserver(AC)获取到ip地址。2.如果是用户首次认证,MAC绑定服务器中无此终端的MAC地址信息,用户发起http请求被AC重定向到内网portalserver(IMC),用户终端弹出portal页面。3.用户输入账号密码,数据经AC封装成radius格式的报文,转发给内网radiusserver(IMC)。4.radiusserver认证通过之后,通知portalserver用户认证成功,同时MAC绑定服务器将此用户终端MAC地址信息的与Portal账号的绑定。5.用户完成认证,可访问内(外)网。6.如果是用户再次接入,此用户终端MAC信息已绑定,则自动返回此终端的Portal账号、密码等信息向AC发起Portal认证,不需要用户自行再输入账号信息,自动完成二次无感知认证。

(2)访客用户认证

用户关联移动CMCC后,访问任意网址,由AC将准入认证portal页面推送至用户进行认证,输入账号密码,通过认证后即可访问公网资源。流程如下:1.用户终端通过dhcpserver(AC)获取到ip地址2.用户发起http请求被AC重定向到移动portalserver(移动运营商),用户终端弹出portal页面3.用户输入账号密码,数据经AC封装成radius格式的报文,转发给radiusserver(移动运营商)4.radiusserver认证通过之后,通知portalserver用户认证成功,用户即可访问外网

4统一身份认证平台

校园无线网建设时,校园有线网络系统及管理应用系统一般均已建好并使用。因此在建校园无线网时,就考虑要与原校园网内网用户数据管理平台实现无缝对接,并支持用户数据管理平台密码加密类型,实现与原校园网内网身份认证统一,避免二次开户。无线网络系统设置固定时间,每天与原校园内网用户数据库平台进行同步,以保证无线网络系统本地用户数据库的实时性与有效性。并支持其他系统如SSLVPN的认证等,以实现校园网统一身份认证平台。

5上网行为安全审计

无线是一个开放式网络,需要对校内资源和网络提供保护,在边界提供准入控制和安全防护是必要的。因此校园无线网络管理系统还必须具有用户上网安全审计功能,以溯源用户上网行为。

(1)用户实名制上网及访问日志

由于所有用户采用用户名密码来认证上网,用户名是注册在系统中,对应用户实名。这样所有用户上网的记录都对应到用户个人,用户注册不仅包括用户实名还有用户的电话,地址和邮件等实时信息。用户访问日志是将用户访问记录存储到数据库服务器,形成访问日志,以实现上网行为的安全审计。用户登录认证成功后,将用户的登录记录和访问记录存放到指定的数据库服务器中。访问记录中包含账户名、登陆访问时间、当前在线人数、总使用时间、登陆的目标网站地址、目标IP、源IP、MAC地址、GET/POST行为等等。另外可根据需要增加所需字段,如用户操作系统标志、交换机标记、楼层标记等字段等。

(2)用户策略及带宽控制

校园无线网络管理系统应具有丰富的基于组或用户的控制策略,可以为不同用户定制不同网络访问权限。可以控制用户的上网带宽(QoS;802.1x认证支持)、限制用户同时在线数、禁止用户设置和使用服务器,有效防止个别用户对网络资源的过度占用。支持最大闲置时长限制,可以实现对用户ACL、VLAN的控制,限制用户对内部敏感服务器和外部非法网站的访问(802.1x认证支持)。限制用户IP地址分配策略,防止IP地址盗用和冲突。同时限制用户的接入时段和接入区域,用户只能在允许的时间和地点上网。并限制终端用户使用多网卡和拨号网络,防止内部信息泄露。限制用户必须使用专用安全客户端,并强制自动升级,确保认证客户端的安全性。实际使用中,如用户使用P2P、BT、电驴等下载软件下载,会导致其他用户出现上网慢、PING包延时大等情况。用户限速功能的使用,可以有效控制每用户速率,避免因P2P等应用大流量、小包文过多造成占用无线资源过多的情况,影响其他用户正常接入使用。假设通过配置限制某SSID下每用户静态设置为4Mbps,则两个用户各自最高可用带宽为4Mbps;假设限制某SSID下动态限速设置约8Mbps,则当两个用户接入时,各自分配的最高带宽为4Mbps,依次类推。

(3)支持个性化portal页面定制

校园无线网络管理系统应支持多组portal个性化定制,并且能够根据用户终端不同而弹出不同的认证portal。以使用户有更好的上网体验。总之,建网重要,管网更重要。对于校园无线网络管理系统来说,能实现便捷、可靠的准入认证,搭建系统统一身份认证平台,并实现对上网行为的安全审计是必须所具备的功能,也是校园网安全、稳定、高效运行的重要保障。

参考文献:

[1]邱知文,张杰.基于校园无线网的BYOD认证系统设计与实现[J].计算机应用与软件,2015(2).

[2]赵钊.基于802.1x协议的校园网安全体系的研究与应用[J].网络安全技术与应用,2011(2).

[3]杨国震.校园无线网络安全建设实践[J].电子技术与软件工程,2017(10).

作者:杨芸 单位:浙江行政学院