Выбор оптимального решения для обеспечения безопасности беспроводной сети

Как только были обнаружены технологические недостатки беспроводных сетей первого поколения, началась активная работа по их устранению. Пока одни компании, в том числе корпорация Майкрософт, работали над совершенствованием стандартов беспроводной связи, многие аналитические фирмы, производители средств обеспечения сетевой безопасности и т. д. пытались обойти недостатки, присущие прежним стандартам. В результате было разработано несколько подходов к обеспечению безопасности беспроводных сетей.

Сравнительная информация об основных вариантах (кроме наиболее популярного подхода — отказа от беспроводных сетевых технологий) приведена в следующей таблице.

Таблица 2. Сравнение подходов к обеспечению безопасности беспроводных сетей

Характеристики	WPA и WPA2	Статический алгоритм WEP	VPN	IPsec
Строгая проверка подлинности (см. примечание)	Да	Нет	Да, только если не используется проверка подлинности с помощью общих ключей	Да, если используется проверка подлинности с помощью сертификатов или по протоколу Kerberos
Надежное шифрование данных	Да	Нет	Да	Да
Прозрачное подключение и восстановление подключения	Да	Да	Нет	Да
Проверка подлинности пользователей (см. примечание)	Да	Нет	Да	Нет
Проверка подлинности компьютеров (см. примечание)	Да	Да	Нет	Да
Защита трафика при широковещательной и многоадресной передаче	Да	Да	Да	Нет
Потребность в дополнительных сетевых устройствах	Да, требуются серверы RADIUS	Нет	Да, требуются системы VPN и серверы RADIUS	Нет
Защита доступа к беспроводной сети помимо доступа к пакетам	Да	Да	Нет	Нет

Примечание.   По поводу строгой проверки подлинности следует отметить, что во многих реализациях VPN, в которых используется туннельный режим IPsec, применяется слабая схема проверки подлинности с помощью общих ключей, называемая XAuth. Нынешние версии ОС Windows не поддерживают проверку подлинности пользователей с сопоставлениями IPsec, но эта функциональность будет реализована в ОС Windows Vista и Longhorn. При проверке подлинности компьютера он остается подключенным к беспроводной и кабельной сетям, даже если в систему не вошел ни один пользователь. Это необходимо для нормальной работы некоторых функций, основанных на доменах, например перемещаемых профилей.

Как ясно из приведенной таблицы, есть много факторов, которые нужно проанализировать при оценке возможных способов защиты беспроводной сети. При выполнении этой оценки нужно учесть самые разные показатели: от расходов на реализацию и администрирование решения до его общей защищенности. Все указанные выше подходы имеют свои преимущества и недостатки, поэтому, чтобы можно было принять обоснованное решение, нужно лучше ознакомиться с каждым из них.

Ниже рассматриваются следующие варианты (список упорядочен по убыванию степени обеспечиваемой ими защиты):

• Отказ от развертывания беспроводной сети

• Использование стандарта WPA с протоколом EAP-TLS

• Использование стандарта WPA с протоколом PEAP-MS-CHAP v2

• Использование стандарта WPA с протоколом PEAP-MS-CHAP v2 и службами сертификации

• Использование технологии VPN

• Использование протокола IPsec

• Использование протокола WEP

• Отказ от защиты беспроводной сети