Juniper SSG5/20無線網路安全防護與設定WIFI Setting

-

Juniper SSG5/20無線網路安全防護與設定WIFI Setting

        我們在這裡所要設定的設備型號為SSG5-SH-W 或是 SSG20-SH-W等內建無線網路的設備。關於設備無線網路的規格我們在此就不多介紹了，請自行參考原廠硬體手冊，本篇重點著重在WIFI的設定及使用之上。還有在此先聲明下，為了說明方便，本人常將優質文章原文貼上，尚請作者見諒。
        在開始之前我們要先了解無線網路的概念。請參考以下之文章：
無線路由AES與TKIP加密的區別
TKIP： Temporal Key Integrity Protocol（暫時密鑰集成協議）負責處理無線安全問題的加密部分，TKIP是包裹在已有WEP密碼週邊的一層「外殼」， 這種加密方式在盡可能使用WEP演算法的同時消除了已知的WEP缺點，例如：WEP密碼使用的密鑰長度為40位和128位，40位的鑰匙是非常容易破解的，而且同一區域網內所有用戶都共用同一個密鑰，一個用戶丟失鑰匙將使整個網路不安全。而TKIP中密碼使用的密鑰長度為128位，這就解決了WEP密碼使用的密鑰長度過短的問題。TKIP另一個重要特性就是變化每個資料包所使用的密鑰，這就是它名稱中「動態」的出處。密鑰通過將多種因素混合在一起生成，包括基本密鑰（即TKIP中所謂的成對暫態密鑰）、發射站的MAC位址以及資料包的序列號。混合操作在設計上將對無線站和接入點的要求減少到最低程度，但仍具有足夠的密碼強度，使它不能被輕易破譯。WEP的另一個缺點就是「重放攻擊（replay attacks）」，而利用TKIP傳送的每一個資料包都具有獨有的48位序列號，由於48位元序列號需要數千年時間才會出現重複，因此沒有人可以重放來自無線連接的老資料包：由於序列號不正確，這些資料包將作為失序包被檢測出來。

AES：Advanced Encryption Standard(高級加密標準)，是美國國家標準與技術研究所用於加密電子資料的規範，該演算法彙聚了設計簡單、密鑰安裝快、需要的記憶體空間少、在所有的平臺上運行良好、支援並行處理並且可以抵抗所有已知攻擊等優點。 AES 是一個迭代的、對稱密鑰分組的密碼，它可以使用128、192 和 256 位密鑰，並且用 128 位元（16位元組）分組加密和解密資料。與公共密鑰密碼使用密鑰對不同，對稱密鑰密碼使用相同的密鑰加密和解密資料。通過分組密碼返回的加密資料 的位元數與輸入資料相同。迭代加密使用一個迴圈結構，在該迴圈中重複置換（permutations ）和替換(substitutions）輸入資料。

總而言之AES提供了比 TKIP更加高級的加密技術， 現在無線路由器都提供了這2種演算法，不過比較傾向於AES。TKIP安全性不如AES，而且在使用TKIP演算法時路由器的吞吐量會下降3成至5成，大大地影響了路由器的性能。

WPA (Wi-Fi Protected Access) 全名為 Wi-Fi Protected Access，有WPA 和 WPA2兩個標準。是一種保護無線電腦網路(Wi-Fi)安全的系統。 Pre-shared Key 預共用密鑰 預共用密鑰模式（pre-shared key，PSK， 又稱為個人模式）是設計給負擔不起 802.1X 驗證伺服器的成本和複雜度的家庭和小型公司網路用的，每一個使用者必須輸入密語來取用網路，而密語可以是 8 到 63 個 ASCII 字元、或是 64 個16進位元數字（256位元）。使用者可以自行斟酌要不要把密語存在電腦裏以省去重複鍵入的麻煩，但密語一定要存在 Wi-Fi 取用點裏。
無線加密的三種演算法：
WEP
wpa/wpa2
wpa-psk/wpa2-psk

        由於無線網路採用無線技術，因此在它的訊號範圍之內，任何人只要有無線網路接收設備，都能利用網路監控軟體來監聽破解您的無線網路，也因此，無線網路的安全設定顯得特別重要。
下列乃是關於無線網路安全相關的網路連結，請參考：
看完這駭客四部曲，保證你以後再也不敢連到公共Wi-Fi 了
WiFi 加密爆重大漏洞！NCC：使用無線上網先用這 6 招自保
全球陷 Wi-Fi 資安風暴！保護資料該做這 3 件事
【Wi-Fi加密大崩壞】WPA2為何不再安全？剖析KRACKs攻擊原理
【Wi-Fi加密大崩壞】超詳細WPA2協定弱點廠商修補進度大整理(11/6更新)
【Wi-Fi加密大崩壞】全球數10億裝置遭殃！14個QA了解WPA2新漏洞KRACKs

JuniperNetworks - Out-of-Cycle Security Bulletin: Multiple Products : Multiplevulnerabilities in Wi-Fi Protected Access (WPA1/WPA2) protocols (aka KRACKattack)

JuniperNetworks - Security Advisories

「蹭網卡」陸熱賣　7分鐘破解無線網路

如何防止被蹭網？告訴你6種方法

關於無線網路使用的安全建議：
針對 Wi-Fi 加密機制本身存在的漏洞風險，在漏洞尚未被修補之前，民眾使用 WiFi無線網路時，該如何應變自保？對此，台灣無線通訊網路設備驗證的主管機關 NCC，建議各界具體因應措施如下：

一、使用無線網路上網時，需有資安風險及資安防護意識。
二、使用者應盡量瀏覽採用 HTTPS 的加密網站，確保使用者瀏覽網頁時的安全性。
三、在使用 Wi-Fi 環境下，儘量避免傳送個人相關的機敏資料。
四、使用者連網終端設備的作業系統，包括電腦、手機作業系統的安全性更新，應儘速更新至最新版本。
五、Wi-Fi AP 製造商提供軟體更新後，使用者對自行裝設之 Wi-Fi AP，應儘速更至最新版本。
六、Wi-Fi AP 未修補其漏洞前，使用者應盡量使用4G行動寬頻網路上網。

另，資安專家也表示，多數網站都有其他安全協定及加密措施（如HTTPS），且連網終端設備的作業系統也會採取對應的更新措施，使用者對於手機、電腦PC作業系統的安全性更新，需密切注意並主動更新到最新版本，能有利降低連網的資安風險。

一般用戶還能多做哪些事，讓自己未來使用 Wi-Fi 時可以安全點？
首先是即時升級手邊裝置與作業系統的安全性更新。
當然，如果自家路由器廠商有推出韌體更新檔，用戶也可以即時安裝，或是直接購買較新的路由器。
而如果是有點技術背景的用戶，則可以考慮以 VPN 方式來建立安全連線，避免資料外流，或是避免使用客戶端模式與 802.11r。

由於是 Wi-Fi 協定的漏洞，意味著駭客需要在路由器的特定訊號範圍內才能竊取資料，因此用戶外出時，應避免連線外面的公用 Wi-Fi，包括車站、賣場與連鎖商店的服務。


關於Juniper SSG無線網路設定的安全建議：
設定採用“WPA-PSK/WPA2-PSK”混合安全模式，並採用“AES” 加密模式
        WEP易破解不建議使用，不要選擇TKIP技術(會大大降低無線效能)，建議您採用“WPA-PSK/WPA2-PSK”混合安全模式，並採用“AES” 加密模式。這樣可以在保證無線網路工作效率的前提下，確保無線網路的高安全性。
禁用SSID廣播
Disable SSID Broadcast : 選擇此選項可禁用廣播由安全設備通告的信標(beacons)中的SSID。 如果禁用SSID廣播，則只有知道SSID的無線用戶端才能關聯。 默認情況下，SSID在信標中廣播。
SSID Client Isolation : 選擇此選項可禁止同一子網中的無線用戶端直接相互通信並繞過安全設備防火牆服務。
調整訊號大小，讓訊號只能在廠區或是屋內才接收得到
對一般人而言，購買無線網路設備總是希望其訊號能越強越好，最好是能覆蓋直徑1公里之範圍最為方便，可是這樣也同時方便了駭客，在直徑1公里之範圍內，駭客都能入侵您的網路，乃資安上的大忌，最好是將訊號設定在廠區或是屋內的主要活動範圍之內，這樣一旦出了廠區或是走出屋外，別人就收不到您無線網路的訊號了，在功能上等同區域網路一般，可大大提高您無線網路的安全性。
set wlan 0 transmit power quarter  /* Transmit Power: 有Full, Half, Quarter, Eighth, Minimum五種功率 */
限制無線網路用戶的上網行為
不要讓無線網路用戶能接觸到機密或重要資料
這也是您在規劃無線網路時必須遵守的原則，若有重要機密的資料，甚至只能採用封閉網路，完全禁止對外聯絡，以降低風險。
為無線網路建立單獨的安全區(Zone)
Juniper SSG5/20-SH-W支援四個無線介面，wireless0/0—wireless0/3 (SSG 5-WLAN裝置可讓您最多建立16個SSID，但是只能同時使用其中4 個。)，規劃guest zone，users只能利用其上網，完全無法接觸到內部網路；為其他部門的user規劃安全區並加以綁定MAC地址，並為其提供有限的網路功能，以達到安全的需求，也可防止因電腦中毒帶來的擴大感染。
不要設定在無線網路上管理網路設備






以下則為無線網路設定範例：
/* 建立wifi安全區 */
set zone id 100 "wifi"
set zone "wifi" block
set zone "wifi" tcp-rst



/* 將bgroup1綁定wifi安全區，wireless0/0綁定bgroup1 */
/* 下面兩行代表若是bgroup1介面已經指定了IP並綁定了安全區zone，所必需先處理的動作 */
unset interface bgroup1 ip
unset interface bgroup1 zone
set interface "bgroup1" zone "wifi"
unset interface ethernet0/6 ip
unset interface ethernet0/6 zone
set interface bgroup1 port ethernet0/6
unset interface wireless0/0 ip
unset interface wireless0/0 zone

set interface bgroup1 port wireless0/0
/* 設定bgroup1介面，並關閉其管理功能 */
set interface bgroup1 ip 192.168.6.1/24
set interface bgroup1 nat
unset interface bgroup1 ip manageable
/* 設定bgroup1介面啟用dhcp server並設定參數 */
set interface bgroup1 dhcp server service
set interface bgroup1 dhcp server enable
set interface bgroup1 dhcp server option lease 1440
set interface bgroup1 dhcp server option gateway 192.168.6.1
set interface bgroup1 dhcp server option netmask 255.255.255.0
set interface bgroup1 dhcp server option dns1 168.95.1.1
set interface bgroup1 dhcp server option dns2 168.95.192.1
set interface bgroup1 dhcp server ip 192.168.6.11 to 192.168.6.111
unset interface bgroup1 dhcp server config next-server-ip
/* 設定策略讓wifi安全區能夠上網，因為bgroup1被設定為nat模式，所以要加nat src選項 */
set policy id 3 name "wifi-to-untrust" from "wifi" to "Untrust"  "Any" "Any" "ANY" nat src permit log


/* 設定Wireless > General > Settings */
set wlan 0 channel auto
set wlan 1 channel auto
/* Transmit Power: 有Full, Half, Quarter, Eighth, Minimum五種功率 */
set wlan 0 transmit power quarter
set wlan 1 transmit power quarter
set wlan change-channel-timer 0


XR Support : 以較低的資料傳輸速率提供更高的覆蓋範圍。 默認情況下，該選項被禁用。set wlan 0 xr 或是 set wlan 1 xr。
Super-G Mode : 您可以啟用Super G，這可以將802.11a和802.11g客戶端的用戶數據吞吐率提高到4 Mbps。 默認情況下，該選項被禁用。 set wlan 0 super-g 或是 set wlan 1 super-g 。
Extended Channel Mode (僅適用於2.4 GHz無線電 radio) : 對於允許擴展頻道模式(Extended Channel Mode)的管制域，您可以使安全設備使用信道12和13。


最後按“Apply”套用，然後在完成對整個WLAN配置的更改後，單擊“Activate Changes”才能使設定生效。
/* 儲存設定並Activate wireless changes */
save
exec wlan reactivate


若您手上的設備是SSG5-SH-W-US美國版本，則您還必須要設定country-code才行，否則無線網路無法啟動。
set wlan country-code HK


注意
:如果是在美國、日本、加拿大、中國大陸、台灣地區、韓國、以色列或新加坡以外的國家操作SSG 5-WLAN 裝置，則您必須使用
set wlan country-code CLI 指令，或在Wireless > General Settings  WebUI頁面上設定它，然後才能建立WLAN 連接。
此指令會設定可選擇的通道範圍及傳輸電源層級。
如果您的地區碼為ETSI，則您必須設定正確的國碼以符合當地的無線電頻譜規定。




/* 設定與啟用MAC地址綁定功能 */
set wlan acl mode enable
set wlan acl a11111111113 allow
set wlan acl a111111111f8 deny
set wlan acl a11111111190 deny



/* 設定SSID相關參數，帳號test123456密碼JUNIPERSSG5 */
set ssid name test123456
set ssid test123456 ssid-suppression
set ssid test123456 client-isolation
set ssid test123456 authentication wpa2-psk passphrase JUNIPERSSG5 encryption aes
set ssid test123456 interface wireless0




Disable SSID Broadcast : 選擇此選項可禁用廣播由安全設備通告的信標(beacons)中的SSID。 如果禁用SSID廣播，則只有知道SSID的無線用戶端才能關聯。 默認情況下，SSID在信標中廣播。set ssid test123456 ssid-suppression
SSID Client Isolation : 選擇此選項可禁止同一子網中的無線用戶端直接相互通信並繞過安全設備防火牆服務。                                        set ssid test123456 client-isolation

最後按“Apply”套用，然後在完成對整個WLAN配置的更改後，單擊“Activate Changes”才能使設定生效。
/* 儲存設定並Activate wireless changes */
save
exec wlan reactivate

以下為執行範例：
ssg5-v92-wlan-> save
Save System Configuration  ...
Done
ssg5-v92-wlan-> exec wlan reactivate
wireless0/0 interface change physical state to Down
bgroup1 interface change physical state to Down
Start wireless access point physical initialization...
Wireless access point physical initialization done
wireless0/0 interface change physical state to Up
bgroup1 interface change physical state to Up
ssg5-v92-wlan->


以下內容為SSG 5 Hardware Installation and Configuration Guide之中對無線網路的設定。
To configure a wireless interface for basic connectivity, use the WebUI or CLI as
follows:
WebUI
1.Set the WLAN country code and IP address.
Wireless > General Settings > Select the following, then click Apply:
Country code: Select your code
IP Address/Netmask: ip_add/netmask
2.Set the SSID.
Wireless > SSID > New: Enter the following, then click OK:
SSID:
Authentication:
Encryption:
Wireless Interface Binding:
3.(Optional) set the WEP key.
SSID > WEP Keys: Select the keyID, then click Apply.
4.Set the WLAN mode.
Network > Interfaces > List > Edit (wireless interface): Select Both for the
WLAN mode, then click Apply.
5.Activate wireless changes.
Wireless > General Settings > Click Activate Changes.
CLI
1.Set the WLAN country code and IP address.
set wlan country-code {code_id}
set interface wireless_interface ip ip_addr/netmask
2.Set the SSID.
set ssid name name_str
set ssid name_str authentication auth_type encryption encryption_type
set ssid name_str interface interface
(optional) set ssid name_str key-id number
3.Set the WLAN mode.
set interface wireless_interface wlan both
4.Activate wireless changes.
save
exec wlan reactivate


To set an Ethernet and a wireless interface to the same bridge-group interface, use the WebUI or CLI as follows:
WebUI
Network > Interfaces > List > Edit (bgroup_name) > Bind Port: Select the wireless and ethernet interfaces, then click Apply.
CLI
set interface bgroup_name port wireless_interface
set interface bgroup_name port ethernet_interface


這個網誌中的熱門文章

如何測試網路連線--網路斷線了怎麼辦?

-
圖片
如何測試網路連線--網路斷線了怎麼辦? 如何測試網路連線 -- 網路不通了 DIY 自行檢測網路連線 當我們打開電腦，卻發現無法上網了，這時候我們該怎麼辦呢 ? 如果在公司的話，我們可以請電腦人員來處理，而若是在家裡，我們就必須 DIY 先自行檢查一遍，如果檢查後仍然不能上網的話，我們也只能請朋友或是廠商來維修了。 而我們又要如何 DIY 先自行檢查呢 ? 請您依照下列步驟來進行： 第一步：進入 DOS 命令列模式。 按 " 視窗鍵 +R 鍵 " ，開啟執行視窗並輸入 " cmd " 後按 enter 鍵來進入 DOS 命令列模式。 第二步：檢查 ip 是否正常。 請輸入 " ipconfig " 來 檢查有無取得正常 IP 或是 IP 設定是否正確。 若電腦要上網，則每台電腦 一 定都要配有一個 IP 位址才行，本例的 IP 位址為 192.168.1.11 。 而 IP 位址分成 公共 IP 與 私有 IP 兩種， 只有公共 IP 才能上網 ( 網際網路 ) ，私有 IP 是無法直接上網的，私有 IP 只能在區域網路中使用 。而因為公共 IP 太少，所以要搭配私有 IP 來上網才行，這樣就可以達到以 100 台電腦，或是以 10000 台電腦，使用私有 IP 經過網路設備的轉換而達成只需使用 1 個公共 IP 就能讓大家一起上網的目的了。 私有 IP 無法直接連接網際網路，需要使用 網絡地址轉換（ Network Address Translator ， NAT ） 或者 代理伺服器   （ proxy server ） 來實現。與公網 IP 相比，私有 IP 是免費的，同時節省了 IP 位址資源，適合在區域網使用。私有 IP 常被用於家庭，學校和企業的區域網。 私有 IP 的範圍： 192.168.XX. XX 172.16. XX.XX – - 172.31. XX.XX 10. XX.XX.XX 我們只要看到 IP 位址開頭為上述範圍的 IP ，就表示您的 IP 為私有 IP 。 還有一種 ip 位址為 169.254. X.X ， 這種...
閱讀完整內容

筆記電腦刷BIOS失敗無法開機—用CH341A編程器重刷BIOS教學！

-
圖片
ASUS 筆記電腦更新 BIOS 失敗無法開機 —用 CH341A 編程 器重刷 BIOS 教學！ 前一陣子買了一台新的筆記電腦 (∩_∩) ，因此讓跟了我多年的 ASUS A42JA 筆電因此就被束之高閣沒有再被使用了 ヽ (´ ー ` )┌ ，後來想說反正放著不用也是浪費，乾脆就整理一下拿到拍賣網站給便宜賣掉算了 (¬ ‿ ¬) ，於是便動手開始移除個人的資料， 把 WINDOWS 7 系統還原到出廠狀態，順便一起更新 BIOS 的版本 ，而更新的過程很順利，在寫入 100% 後便自行重開機，重開機後小弟發現電源燈與硬碟燈皆恆亮，且螢幕沒有畫面，但小弟當然得等著它繼續開機更新 BIOS ，可是 2 分鐘 .. ， 5 分鐘過了 .. ，情況還是一樣，此時心中不禁起了疑惑   (• ิ _• ิ )? ，不會吧 ！ 會不會更新失敗了 ？ 難道這麼倒楣的事都讓小弟我給碰上了 ？ 一直等到十分鐘過後，小弟我終於失去耐性了，便下定決心長按電源鍵來讓筆記電腦強行關機   ( ╯‵ □′) ╯ ︵ ╧═╧ ，然後再開機，結果依然還是沒有畫面，電源燈與硬碟燈都恆亮的情況，小弟仍不死心的又重試了幾次，問題最後終於明朗化了，他媽的 BIOS 真的更新失敗了，對小弟來說一直是傳說中的問題竟被我給遇上了 ！！！   。゜゜ (´ Ｏ `) ゜゜。 因為這台 ASUS A42JA 筆電已購置多年，早就過保固了，因此小弟先上網 GOOGLE 下，發現這類問題 ASUS 原廠通常是換主機板（這是在論壇上討論的內容），且一片要價 $5000 元   ( ⊙ _ ⊙ ) ，所以送回原廠維修的方案小弟就不考慮了（超出了筆電的價值沒有維修的必要），小弟接著再努力的 GOOGLE 幾下，終於發現 BIOS 更新失敗後似乎可以自行使用燒錄器來重刷 BIOS  (¬_¬;) ，於是這便成為小弟唯一可行的解決方案了。 從網路上找到的刷 BIOS 案例中，發現大多是使用 ”CH341A 編程器 （ 燒錄器 ） ” 來進行燒錄作業，其基本作法是用烙鐵將主機板上的 BIOS 晶片（ 芯片 ） 拆下，再用 CH341A 燒錄器將原廠下載的 BIOS 檔案燒入芯片中，最後再將 BIOS 芯片焊接回筆電主機板上。而因為小弟也是...
閱讀完整內容

查理王的電腦部落格-首頁

-
查理王的電腦部落格 之所以成立這個部落格，最主要是要和大家分享自己學習電腦的一些經驗，在學習上往往因為一個指令或是一個觀念，常常我們要上網查幾天的資料才有答案，因此也就有了將自己的電腦學習經驗分享出來的想法，但是個人的經驗往往不足，觀念也不見得完全正確，加上粗心大意，校稿不認真等等因素，文中若有謬誤不對之處尚請大家見諒，還望各位大大能不吝賜教，將錯誤指明並 email 給我 ( taiwankid168@gmail.com ) ，小弟在此萬分感謝您 !! 因為沒有太多時間管理部落格，所以並沒有開放留言區提供給大家留言，尚請大家見諒 !! 小弟一向喜愛美食，所以未來會陸續在本版中加入美食文章，主要原因也是小弟文章的產量一向不高，所以就不另外開美食部落格了。另外，小弟也會在本版中陸續加入宗教相關文章，介紹小弟常拜拜的廟宇，歡迎大家來點閱。   美食文章    宗教相關文章    Juniper 防火牆相關文章   近期發表文章： 屏東 東港東隆宮介紹 （ 溫府千歲 、 王爺公 ） 屏東慈鳳宮 介紹 （ 屏東媽、阿猴媽 ） 花蓮聖地慈惠堂總堂介紹 （ 金母娘娘 ） 台中清水壽天宮介紹 （ 西勢媽 ） 高雄三鳳宮 介紹 （ 太子爺 ） 三峽清水祖師廟介紹 （ 清水祖師 ） 苗栗玉清宮介紹 （ 關聖帝君 ） 後龍山邊媽祖宮 介紹 （ 山邊媽 ） 竹南後厝龍鳳宮介紹 （ 媽祖 ） 新竹普天宮 介紹 （ 關聖帝君 ） 清水慈雲 宮介紹 （ 觀音佛祖 ） 新竹東寧宮介紹 （ 地藏王菩薩 ） 台南南鯤鯓代天府 介紹 （ 五府王爺 ） 台南南鯤鯓萬善堂 介紹 （ 囝仔公小王爺 ） 台南南 鯤鯓代天府 - 凌霄寶殿介紹（玉皇上帝 ） 難得的平民美味 - 甕仔海鮮麵 - 新竹北門雞絲飯 彰化 北斗美食 - 阿美姊高麗菜飯（北斗奠安宮前） 艋舺龍山寺介紹 （ 觀世音菩薩 ） 三峽行修 宮（ 行天宮三峽分宮 ）介紹 （ 關聖帝君 ） 北投行 天宮（ 忠義 廟 ）介紹 （ 關聖帝君 ） 行天宮（ 恩主公廟 ）介紹 （ 關聖帝君 ） 竹北天后宮介紹（竹北媽） 鹿港天后宮（舊祖宮）介紹 （鹿港媽） 苗栗通霄白沙屯拱天宮介紹 （ 白沙屯媽 ） 埔里寶湖宮天地堂地母廟介紹 （ 全台地母至尊總廟 ） 新竹竹蓮寺 介紹（觀世音菩薩） 彰化北斗奠安...
閱讀完整內容