文档中举例使用的产品是TP-LINK域展无线套装产品54M 无线宽带路由器TL-WR541G和54M 无线网卡TL-WN510G 。

1，网络拓扑

宽带线〈——〉（WAN口）WR541G（无线）- - - - - - - - （无线）网卡

2，安全配置

我们通过如下三步配置，来详细描述我们的配置过程，三步配置分别是“禁用SSID广播”、“MAC地址过滤”和“加密配置”。

1）禁用SSID广播

因为无线网卡连结无线路由器的过程当中，由无线路由器确定的SSID（用于识别无线设备的标志符）扮演着重要的角色，当无线路由器确认了SSID以后在默认情况下，无线路由器是广播SSID的，向周围空间通告自己的存在，网卡可以通过搜索这些信息得知无线路由器的存在，如果路由器配置为不广播SSID ，就可以在一定程度上避免那些没有权限的无线网卡知道无线路由器的存在，当然也就谈不上连结了，而我们可以将SSID手工输入自己电脑的无线网卡，告知网卡按照输入的SSID去连结无线路由器就可以了。

在TL-WR541G上的配置界面如下图所示，红色标示内WR541G默认确定的SSID是TP-LINK，将默认的广播SSID的选项去掉，这样WR541G就不会再向周围环境通告自己的存在，或者说一定程度上只有自己知道WR541G的存在。

2）MAC地址过滤

每一片网卡都有一个唯一的标识参数，就是网卡的MAC地址，就像每个人的身份证一样。如果只想让自己的无线网卡连结WR541G，那我只需要在WR541G上设置自己无线网卡的MAC地址才可以连结，这样就做到了：WR541G上面没有配置的MAC地址，就不能连结上WR541G 。

怎样知道自己网卡的MAC地址呢？

第一种办法：在网卡上一般都有一个专门的标签，上面有网卡的MAC地址。

第二种办法：如果在网卡上标注MAC地址的标签没有了，也可以通过如下办法查看。我们以Windows操作系统来说明，可采用如下办法查看：打开电脑的DOS界面如下黑色图示 “开始”—>“程序”，点击“MS-DOS”（Win98操作系统） “开始”—>“程序”—“附件”，点击“命令提示符”（Win2000/XP操作系统）

打开DOS界面后，使用键盘输入命令“ ipconfig/all ”回车就可以看到类似上面图片中的信息，其中红色方框勾勒的“ Physical Address ”就是网卡的物理地址也就是MAC地址。

接下来在WR541G的“MAC地址过滤”页面进行设置，如下图所示：

注意：选中“禁止列表中生效规则之外的MAC地址访问本无线网络” 、单击“添加新条目”按钮继续配置，如下图所示

输入自己网卡的MAC地址，并进行适当描述，其他参数默认（类型选择允许，密钥不填，状态选择生效），然后点击保存按钮，如下图所示：

如上图所示，输入了允许的MAC地址以后，最后别忘记点击“启用过滤”的按钮！

3）加密配置

无线路由器和无线网卡路由器之间的数据包传输，因为是基于无线信号，存在着被监听的可能性，加密配置就是经过配置，将路由器和网卡之间传输的数据包进行加密，这样可以使通信过程更加安全。

详细的加密过程，请参考“网络教室”文档《WPA的家庭应用》和《WEP加密应用》。

3，当无线宽带路由器WR541G上禁用了SSID ，而且启用了加密，无线网卡WN510G要怎样配置才能连结上WR541G呢？请请参考“网络教室”文档

《操作TL-WN510G/550G/610G/650G无线网卡连接AP》的内容。

4，额外说明

即使您使用的无线路由器/无线AP不是WR541G ，使用的无线网卡不是WN510G ，也并不妨碍您使用上面的三步配置来增强您的无线网络的安全性！配置界面或许不同，但配置思路是相同的，您只需要参考文档变通一下即可实现自己的无线网络安全。

    这种实现方式要把“安全认证类型”设置为WPA-PSK。“加密方法”有三种选择：自动选择、TKIP、AES，“加密方法”选择那一项关系不大，客户端是会和无线路由器自动协商的。WPA-PSK密钥设置和无线网卡上的设置是要求一致的，本例中为tplinkfae。
    （二）、无线网卡上的设置
    在“用户文件管理”里面选中当前使用的配置文件，点击“修改”：

    在“安全”里面，把安全设置选为“WPA Passphrase”。然后点击“配置”：

    这里输入的预共享密钥可一定要和路由器里面设置的一样！

    连接成功后，显现数据加密类型为“AES”（路由器设为自动选择，当你在路由器里面强制选择为TKIP加密算法时，这里会显示为TKIP）。
    我们来查看一下WPA-PSK认证方式下在路由器上的主机状态显示：

    可以看到已经有一个电脑通过WPA-PSK加密方式连接到路由器上。

WEP加密是最早在无线加密中使用的技术，新的升级程序在设置上和以前有点不同，功能当然比之前丰富一些，下面让我们来看看如何使用WEP。
    当在无线“基本设置”里面“安全认证类型”选择“自动选择”、“开放系统”、“共享密钥”这三项的时，使用的就是WEP加密技术，“自动选择”是无线路由器可以和客户端自动协商成“开放系统”或者“共享密钥”。
    这篇文档进行加密举例使用是我司“域展速展”无线宽带路由器TL-WR641G 和“域展速展”无线网卡TL-WN620G ；
一、 无线路由器配置
1， 启用WEP加密。
打开路由器管理界面，“无线设置”－＞“基本设置”：

1、 前言

随着网络的飞速发展，笔记本电脑的普及，人们对移动办公的要求越来越高。传统的有线局域网要受到布线的限制，如果建筑物中没有预留的线路，布线以及调试的工程量将非常大，而且线路容易损坏，给维护和扩容等带来不便，网络中的各节点的搬迁和移动也非常麻烦。因此高效快捷、组网灵活的无线局域网应运而生。

2、 无线局域网介绍

无线局域网WLAN(wireless local area network)是计算机网络与无线通信技术相结合的产物。它以无线多址信道作为传输媒介，利用电磁波完成数据交互，实现传统有线局域网的功能。无线局域网具有以下特点：

(1)  安装便捷

无线局域网免去了大量的布线工作，只需要安装一个或多个无线访问点(access point，AP)就可覆盖整个建筑的局域网络，而且便于管理、维护。

(2)  高移动性

在无线局域网中，各节点可随意移动，不受地理位置的限制。目前，AP可覆盖10～100 m。在无线信号覆盖的范围内，均可以接入网络，而且WLAN能够在不同运营商、不同国家的网络间漫游。

(3)  易扩展性

无线局域网有多种配置方式，每个AP可支持100多个用户的接入，只需在现有无线局域网基础上增加AP，就可以将几个用户的小型网络扩展为几千用户的大型网络。

3、 无线局域网技术

3.1  蓝牙技术

蓝牙(Bluetooth)技术是一种短距的无线通讯技术，工作在2.4 GHz ISM频段，其面向移动设备间的小范围连接，通过统一的短距离无线链路，在各种数字设备间实现灵活、安全、低成本、小功耗的话音以及数据通信。主要技术特点如下：

(1)  蓝牙的指定范围是10m，在加入额外的功率放大器后，可以将距离扩展到100m。辅助的基带硬件可以支持4个或者更多的语音信道。

(2)  提供低价、大容量的语音和数据网络，最高数据传输速率为723.2kb/s。

(3)  使用快速跳频(1 600跳/s)避免干扰，在干扰下，使用短数据帧来尽可能增大容量。

(4)  支持单点和多点连接，可采用无线方式将若干蓝牙设备连成一个微波网，多个微波网又可互连称特殊分散网，形成灵活的多重微波网的拓扑结构，从而实现各类设备之间的快速通信。

(5)  任一蓝牙设备，都可根据IEEE 802标准得到一个唯一的48 bit的地址码，保证完成通信过程中设备的鉴权和通信的保密安全。

(6)  采用TDD方案来实现全双工传输，蓝牙的一个基带帧包括两个分组，首先是发送分组，然后是接收分组。蓝牙系统既支持电路交换也支持分组交换，支持实时同步定向联接和非实时的异步不定向联接。

3.2  HomeRF

HomeRF技术是由HRFWG(home RF working group)工作组开发的，该工作组1998年成立，主要由Intel、IBM、Companq、3com、Philips、Microsoft、Motorola等几家大公司组成，旨在制定PC和用户电子设备之间无线数字通信的开放性工业标准，为家庭用户建立具有互操作性的音频和数据通信网，HomeRF采用了IEEE 802.11标准的CSMA/CA模式，以竞争的方式来获取信道的控制权，在一个时间点上只能有一个接入点在网络中传输数据，提供了对“流业务”的真正意义上的支持，规定了高级别的优先权并采用了带有优先权的重发机制，确保了实时性“流业务”所需的带宽(2～11 Mb/s)和低干扰、低误码。

HomeRF是针对现有无线通信标准的综合和改进，当进行数据通信时，采用IEEE 802.11规范中的TCP/IP传输协议；进行语音通信时，则采用数字增强型无绳通信标准。因此，接收端必须捕获传输信号的数据头和几个数据包，判断是音频还是数据包，进而切换到相应的模式。

HomeRF采用对等网的结构，每一个节点相对独立，不受中央节点的控制。因此，任何一个节点离开网络都不会影响其它节点的正常工作。

游侠比黑客还可怕

这些游侠已经在美国小有名气。他们的装备如下，一台普普通通的笔记本电脑，一个特制的软件（为了安全起见，我们不在这里介绍该软件的名字），一个简单的天线装置。游侠们将这些装备放在汽车上面，在城市里逛来逛去。

他们在写字楼、酒店、各个街区里面找寻那些可以任意进入的无线局域网接入点，然后用红笔标注下来。一整天下来，他们手中的地图已经被红色圈点和连线所占据。这种地图，在游侠眼里变成了一张能够自由进入这个城市无线局域网的通行证。游侠们把这样的活动称作“Wardriving”（冒险之旅）。曾经在某次冒险之旅过后，游侠们对25000个无线局域网接入点进行了探测，发现其中72%的设备没有做任何的安全防护设置。

一位日本网络专家也曾经尝试了这样的活动。在轻松地攻破无线局域网接入点之后，他写到：开始时还觉得有趣，逐渐这种有趣的感觉就变成了恐惧。如果站在构建接入点一方，即提供无线局域网服务的商家来讲，这种现状显然是非常令人恐惧的。

到目前为止，缺少满意的安全保护并没有阻碍无线局域网的普及。因为目前在美国或是日本，无线局域网的用户还是集中在个人消费类市场，或是提供无线上网的公共区域，这些地点对数据的敏感性相对企业应用环境来说比较低。尽管如此，专家们还是惊呼“用户对网络安全的设置仅仅需要花费5分钟的时间，如果连这样的时间都不舍得用，拿不准他们（用户）是否还有其他用来保护网络安全的措施。”

企业是安全重灾区

游侠们所作的事情还是在大街小巷上，一旦他们的视点转移到写字楼里面，转移到企业里面。那么吸引他们的可能就不是简单的一次免费互联网的旅行了。而企业在无线局域网的安全防范方面，做的也并不令人满意。

RSA安全公司的一个调查研究显示，企业的IT管理部门确实忽略了无线局域网所带来的危险。这项研究报告是根据来自英国伦敦市中心328个无线局域网AP（接入基站）进行的。

三分之二的基站没有打开WEP（WiredEquivalentProtection）。此外100台AP竟然正在向外部发送公司自己定义的认证信号，另外208台AP的安装还是基于默认设置。这项调查验证了多年以来，安全专家对无线局域网所预感的安全隐患。这项报告已经在2003年新奥尔良CTIA 2003会议上提出。

“这个调查令我非常吃惊，公司为了运营管理的灵活性，而转向了无线局域网，但他们却没有将安全上的风险考虑进去。这样的粗心是一种冒险，有可能将企业所有的系统牺牲殆尽。

”英国信息安全研究院安全专家PhilCracknell指出，（他参与了此次无线局域网调查）“那些无线局域网所散发出去的信号，是可以被黑客所利用。

尽管消费用户仍然在购买无线局域网产品，但企业用户由于安全上的考虑正在放慢他们采用无线局域网技术的步伐。“消费类市场的用户似乎对安全隐患不是太在意。” Wi-Fi Alliance主席DennisEaton指出“在企业应用中，安全问题直接会影响无线局域网产品的销售，直到用户找到相应的安全解决方案，他们才会真正考虑购买它。”

WEP该被摒弃了

WEP是应用在无线局域网的安全应用中，但长时间以来它的弱点一直受到人们的指责。“依靠一个简单的安全协议，不足以说服每一个人都去尝试无线局域网。”国际信息系统安全咨询专家Kirschbaum指出。

WEP缺少对突发性用户增长的验证，在核心管理能力、扩展性方面也不是很方便。WEP似乎是目前无线局域网安全防范的唯一出路，该技术可以通过HUB或是接入点传递加密数据，但它的加密非常简单。Cisco的密码专家斯科特·弗勒尔（Scott Fluhrer）和以色列魏茨曼科学研究所（Weizmann Institute of Science）教授伊斯科·马丁（Itsik Mantin）和阿迪·萨莫尔（Adi Shamir）联合公开了他们的研究论文《Weaknesses in the Key Scheduling Algorithm of RC4（RC4密钥生成算法的弱点）》分析了WEP的不足，并且还声明“只需15分钟即可破解WEP密码”。此外，尽管WEP在很多无线局域网产品之中是一个默认的安全选项，但实际上企业很多用户没有真正对它进行实施和管理。

在WEP中，信息加密过程中使用了被称为“RC4密钥”的密钥。RC4密钥就是使用像它的名字一样的名为“RC4”的加密算法，在客户端和接入点之间由共享信息而生成的。而且每个信息所生成的RC4密钥也不同。通过它就可以防止（信息被）窃听。但是，RC4密钥中存在一个很大的问题。这就是尽管信息不同生成的密钥也不同，但却可能很相似。如果利用这种相似性，就有可能去破译密钥。

Wi-FiAlliance作为一个业内公认的无线网络标准组织，正在筹划一个临时性的安全标准。它就是Wi-Fi Protected Access（无线保护访问，简称WPA）。作为一个临时的Wi-Fi Alliance标准。它将比现有WEP的密钥更具安全性和保护性。而且，该标准还将通过新的形式来限制用户访问无线局域网。Wi-Fi Alliance和IEEE草拟了WPA，期望能够更好的在无线局域网中提供安全技术。在今年第一个季度内，WPA认证正式启动。

WPA的开发目标有两个，分别是“提高密码强度”和“增加用户认证功能”。为了提高密码强度，WPA采用的是名为“TKIP（Temporal Key Integrity Protocol，暂时密钥集成协议）”的协议。TKIP由于在现有的WEP密码认证引擎中追加了“信息包单加密功能”、“信息检测（MIC）”、“具有序列功能的初始向量”和“密钥生成功能”等4种算法，因此提高了安全强度。

WPA通过利用TKIP（Temporal Key Integrity Protocol）技术改进数据加密技术。TKIP技术通过提供一种增强型WEP加密引擎，从而弥补了原有WEP易受攻击的弱点。TKIP提供了48位初始化向量（原有WEP只提供了24位初始化向量）。使用48位初始化向量，可以增加密钥的数量，这样能够满足动态增长的用户需求。WPA通过802.1x和扩展校验协议，能够为企业级用户提供认证检验。WPA第2个版本，将会在2003年底或是2004年初正式面世。虽然WPA的用户所进行的认证管理也是在WEP基础上进行的，但WPA仍将会缓解那些针对WEP存在安全不足的指责。

另寻他路

利用VPN（虚拟专用网络）技术可以确保无线局域网的安全，但它的成本也并非一般企业可以承受。虚拟专用网是指在一个公共IP网络平台上通过隧道以及加密技术保证专用数据的网络安全性，目前许多企业以及运营商已经采用VPN技术。

VPN技术不属于802.11标准定义，它是一种增强性网络解决方案。严格来讲，VPN可以替代连线对等保密解决方案以及物理地址过滤解决方案，也可以与WEP协议互补使用。VPN协议包括第二层PPTP/L2TP协议以及第三层的IPsec协议。实际上，VPN只涉及发起端，终结端，因此对无线访问接入点来讲是透明的，并不需要在无线访问点支持VPN。

IPsec是标准的第三层安全协议，用于保护IP数据包或上层数据，它可以定义哪些数据流需要保护，怎样保护以及应该将这些受保护的数据流转发给谁。由于它工作在网络层，因此可以用于两台主机之间，网络安全网关之间，或主机与网关之间。在无线局域网环境，主要采用客户端到网关组网方式。

Intel和CheckPoint软件公司在近日宣布他们将为笔记本电脑，共同开发VPN基准的增强型安全系统。这套系统重点是针对那些采用了迅驰架构的笔记本电脑。两家公司表示他们将提供一种硬件安全系统，保证无线网络的安全访问。尤其是那些在公众场合享受无线局域网的用户。此项技术的关键地方是，无论笔记本访问哪个无线局域网基站，都可以自动提供VPN服务。

新的Intel-CheckPoint解决方案将支持两方面的认证。它将结合TPM（信任平台模块）。TPM提供了加密操作，其中包括RSA加密解密算法，离散算法和随机代码产生机制。

Intel开发TPM的初衷是其对“可信赖计算平台联盟”作出的贡献。Intel开发的迅驰技术包含了PentiumM移动处理器，855外围芯片组，PRO无线网络产品。该系统在耗电以及运算能力之间作出很到努力。Check Point将开发增强版的VPN-1 SecureClient软件。

　　1. 采用匿名方式浏览，因为许多网站利用cookies跟踪网友的互联网活动，从而确定网友喜好。你可以在使用浏览器时关闭电脑接收cookie的选项，避免受到 cookies的追踪。 　　

　　2. 进行任何网上交易或发送电邮前，切记阅读网站的隐私保护政策，因为有些网站会将你的个人资料卖给第三方。 　　

　　3. 安装个人防火墙，以防止个人资料和财务数据被窃取。及时升级是非常重要的一环，否则防火墙的作用就没有被完全发挥，被攻击的可能性依然很大。此外，你还可利用保安软件将重要资料保密，减少不慎把这些资料发送到不安全网站的可能性。 　　

　　4. 使用保安软件或防火墙以防止黑客攻击和spyware（一个连接外部服务器并将个人资料传送至网络的软件）。这些软件能够保护个人电脑和资料免受黑客窃取，并防止spyware自动连接网站并发送你的资料。 　　

　　5. 在网上购物时，确保已采用安全的连接方式。可以透过查看浏览器上方的闭锁图标（closed lock icon），以确定连接是否安全。 　　

　　6. 黑客有时会假装成互联网服务供应商的代表，并询问你的密码及个人资料，谨记上网时不要向任何人透露这些资料。 　　

　　7. 经常更改你的密码，使用包含字母和数字的七位数的密码，从而干扰黑客利用软件程序来搜寻最常用的密码。 　　

　　8. 在不需要文件和打印共享时，关闭这些功能。文件和打印共享功能虽然非常有用，但也会暴露你的电脑给予寻找安全漏洞的黑客。黑客一旦进入个人电脑，便能窃取私隐资料。 　　

　　9. 不要打开来自陌生人的电子邮件附件。这些附件可能包含一个特洛伊木马程式，该程序让黑客长驱真入电脑文档，甚至控制外设，有些黑客甚至能潜入互联网照相机（Web camera）进行监视。此外，你还应当安装一个具备防病毒程式的软件，保护电脑免受病毒、特洛伊木马程序和蠕虫的侵害。

　　10. 可以利用网络安全公司的实时检查。例如使用设于Symantec网站的security check功能，以确定电脑是否备有防护电脑病毒和恶意代码的能力。此功能还可以扫描电脑，寻找安全漏洞和病毒，并将扫描结果与其他已经扫描的系统作比较。迄今为止，已经有超过300万的用户浏览过这个网站，推荐使用。 　　

　　总之，在网络安全越来越重要的今天，每个网友都不要抱着“被黑的不会是我”的侥幸心理，只有做好良好的防卫工作才行。