一、基本安全設(shè)置1、修改路由器的初始管理賬號（或密碼） 大部分無線路由器的默認(rèn)管理賬號幾乎可以說是公開的“秘密”，所以，在開始使用無線路由器之前，首先記得把路由器的默認(rèn)管理密碼改掉（當(dāng)然，如果管理用戶名可以改的話更好）。不然，就會讓別人輕而易舉地得到您的路由器的控制權(quán)。盡管事后您也可以恢復(fù)出廠設(shè)置，但一則可能造成的損失已無法挽回；二則會丟掉您對路由器所做的配置，帶來不便。
修改初始密碼是對無線路由器的第一道防線  2、修改SSIDSSID(Service Set Identifier,服務(wù)設(shè)置標(biāo)志號)類似于無線路由器的識別號，從某種意義上可以認(rèn)為是無線設(shè)備之間的一個簡單口令。每個無線路由器內(nèi)均會設(shè)置一個SSID，當(dāng)筆記本或其他無線終端要連上無線路由器時，其必須出示相同的SSID，不然，將被無線路由器拒絕。 SSID一般默認(rèn)值為廠商名稱或“Default”、“工作組”之類，比如LINKSYS路由器的SSID便統(tǒng)一為“LINKSYS”，所以，如果您和您鄰居用的是同一種無線路由器，便極有可能發(fā)生連到對方網(wǎng)里的情況。很多時候，使用默認(rèn)的SSID，用句不好聽的話，無異于“插標(biāo)賣首”，為惡意攻擊者指明方向。
SSID更改的原則是在易用的前提下盡量復(fù)雜些，比如不要用名字、電話號碼之類。盡量同時使用字母與數(shù)字，對某些區(qū)分大小寫的路由器，盡量在SSID中交替使用大小寫字母，以提高SSID的強(qiáng)度。
另外，為保證SSID的有效性，應(yīng)該每隔一段時間重新設(shè)定一下SSID。 3、關(guān)閉SSID廣播 通常情況下，無線路由器會向所有無線工作站廣播其無線網(wǎng)絡(luò)標(biāo)識（SSID）。這樣那些沒有無線網(wǎng)絡(luò)標(biāo)識（或者無線網(wǎng)絡(luò)標(biāo)識設(shè)置為“空”）的無線工作站只要啟動無線網(wǎng)卡，便可搜尋到本接入點(diǎn)，然后通過選擇相應(yīng)的無線網(wǎng)絡(luò)標(biāo)識來連接到本線網(wǎng)絡(luò)。  關(guān)閉SSID廣播 如果我們關(guān)閉了SSID廣播，無線路由器便不會出現(xiàn)在可用網(wǎng)絡(luò)列表上。用戶只有輸入了正確的 SSID 后才能連接，這就為不知道 SSID 的其他非指定用戶連入這個接入點(diǎn)設(shè)置了障礙。
從這里也可以看出上一步關(guān)于SSID命名的重要性了，相對來說，越復(fù)雜的SSID便越難以被猜中的，可以在一定意義上起到保護(hù)無線網(wǎng)絡(luò)的作用。 如果網(wǎng)絡(luò)并沒有廣播本身的網(wǎng)絡(luò)名，那么可用網(wǎng)絡(luò)（Available networks）列表中不會出現(xiàn)該網(wǎng)絡(luò)名。（見下圖）這時就需要用戶自己添加已知的可用網(wǎng)絡(luò)，在首選網(wǎng)絡(luò)（Preferred networks）中，點(diǎn)擊添加（Add），然后在無線網(wǎng)絡(luò)屬性（Wireless Network Properties）中，指定網(wǎng)絡(luò)名（SSID），如果需要的話，還可以指定無線網(wǎng)絡(luò)的關(guān)鍵設(shè)置。
 設(shè)置完成后的情況 4、修改默認(rèn)IP路由器出廠時默認(rèn)使用特定的IP，像Linksys 與Netgear的產(chǎn)品默認(rèn)值192.168.1.1，這些地址是人所共知的，惡意入侵者只要知道您的設(shè)備型號便可輕松地找出無線路由器的IP。因此，我們應(yīng)該將此值改為其他，如上文所言之Linksys 路由器，我們可以將其由默認(rèn)的192.168.1.1 改為192.168.10.1之類。雖然改變IP地址本身并不能在真正意義上加強(qiáng)無線網(wǎng)絡(luò)的安全，但最低程度上為入侵者定位我們的無線網(wǎng)絡(luò)增加了難度。
5、關(guān)閉DHCP(Dynamic Host Configuration Protocol：動態(tài)主機(jī)配置協(xié)議) 在我們上篇文章的點(diǎn)評中，曾對該文中提出的關(guān)閉DHCP質(zhì)疑，因?yàn)槠渌灾碛墒遣怀闪⒌?，或者至少說十分牽強(qiáng)，但是，從網(wǎng)絡(luò)安全的角度，在某種程度上，DHCP則是有必要關(guān)閉的。 正如我們在上篇點(diǎn)評中所說的，DHCP服務(wù)器監(jiān)聽每一個想連接到網(wǎng)上尋找信息的設(shè)備，并給其動態(tài)分配一個可用的IP地址。而DHCP協(xié)議自身無法判斷地址請求者本身是否合法用戶，在沒有其他安全措施作保證的前提下，將導(dǎo)致其不僅給合法用戶分配地址，也給非法用戶或入侵者分配地址。 這就要求我們做一些額外的工作，即給每臺無線工作站設(shè)定一個只屬于它的靜態(tài)IP，不過一般家用網(wǎng)絡(luò)工作站不多，倒不用費(fèi)太多的事。 特別是如果第四項(xiàng)中您已經(jīng)改了路由器的IP，這時就更有必要關(guān)閉DHCP了，不然，路由器便主動地把自己的IP告訴入侵者。
6、設(shè)置ACL(Access Control List：訪問控制列表) ACL以無線網(wǎng)卡的MAC地址作為是否可以接入的過濾機(jī)制。每個無線工作站網(wǎng)卡都由唯一的物理地址標(biāo)示，該物理地址編碼方式與普通網(wǎng)卡物理地址相同，也為一48位的編碼?？梢酝ㄟ^在無線路由器中設(shè)定一組允許訪問或不允許訪問的MAC地址列表，而實(shí)現(xiàn)路由器的訪問過濾，在一定程度上提高無線網(wǎng)絡(luò)安全的可控性。
需要注意的是，如果沒有關(guān)閉無線路由器的SSID廣播功能，設(shè)定ACL是沒有意義的，最初級的入侵者也可通過簡單的抓包工具分析出合法的MAC地址，然后只要修改自己的網(wǎng)卡冒充其便可暢通無阻。
|
|
|
