無線網路安全控管問題 (目前有新方案)

asuka1978

5分

11樓

asuka1978

個人積分：5分

文章編號：24409398

客戶連上主網路是否有連線內部主機的需求? 還是僅僅要連線到Internet?

如果只是要上網那就簡單找台有多重SSID功能而且可以隔絕各SSID之間連線的Router即可

(我公司用的2920n即有這項功能)

如果有連線內部主機需求的話就比較麻煩了要看服務內容(例NAS or 內部網頁)決定防火牆設置與安全控管方式

asuka1978

5分

12樓

asuka1978

個人積分：5分

文章編號：24410462

貼上我公司的設定與使用限制給你參考

1.公司內部使用SSID=matter 可以跟接有線的電腦及設備互連

2.訪客使用SSID=guests 而且隱藏SSID 不能連有線連接的電腦與使用SSID=matter的電腦
限制其流量 (我公司的話還關掉了DHCP 給了錯誤的DNS server 不懂的根本連不上)

3.公司的合作廠商使用SSID=partners 不能連有線連接的電腦但可與使用SSID=matter的電腦連線
(工程師之間要討論東西or傳檔比較方便)

wallacehsu

5分

13樓

wallacehsu

個人積分：5分

文章編號：24410893

樓上正解 ,, 我也推薦這種方式 ^^

沒有什麼不可能只有想做不想做而已活在當下 go my way

jackual0612

196分

樓主

jackual0612

個人積分：196分

文章編號：24411513

asuka1978 wrote:
客戶連上主網路是否有連線內部主機的需求? 還是僅僅要連線到Internet?
恕刪)

就是會連到外部去!!! 因為交易主機是在外部跟內部data base阿!! 又不准再搞一個 gateway !!! xxx的想要一機多用

買一台普通ap就想讓客戶與內部員工都可以用!! 但安全問題呢是資訊室IT人員的責任勒

asuka1978

5分

15樓

asuka1978

個人積分：5分

文章編號：24412515

就是會連到外部去!!! <-- 那不就解決了?

只連外部主機就買一台2920n(也許有其他功能符合且更便宜的(dd-wrt))即可
即使客戶以後來上網也得不到很好的速度(200kbps 可惜2920n最小值是100 不然我一定開個56K(撥接)給他用就夠)

另各SSID之間的驗證加密方式都是分開的 matter可以1年改一次(用很複雜的)
guests就給他一個月改一次(狠一點一星期改一次也行) 讓客服部門去麻煩

"安全" "效率" "成本" 是三角形的3個頂點想出幾個平衡的方案給上面的人去決定吧

安全問題確實不只是資訊室IT人員的問題但是安全控管的規劃執行稽核就責無旁貸了

aru123

33分

16樓

aru123

個人積分：33分

文章編號：24413245

jackual0612 wrote:
就是會連到外部去!!...(恕刪)

web authentication 應用

上面連結去看看，應該就能滿足你的需求，預算無上限的還有Aruba的AP，Cisco也有出Wireless LAN Controller，還有一種就是找台AP能搭配Radius server驗證，都能解決帳號控管

說實在的，身為IT人員是沒資格抱怨的~~~

Wireless特色

1. 提供web login方式登錄使用,跟Wifly一樣, notebook不需變更設定, 簡易方便.
2. 提供帳號密碼登入, 可以設限使用者上網時間.

3. wireless可以設定上傳及下傳速率.
4. 可以用wireless over VPN方式上網.
5. wireless lan可以和內部網路的Lan做分割,不用擔心外賓會讀取內部網路資料.
6. wireless lan 可以和內部網路做連結, 有權限的人員才能讀取內部資源, 適合MIS管理.
7.可當商店提供wireless 服務設備, 將線路費賺回來.
8. 可外加天線, 要多遠,就有多遠.
9. 提供各項安全機制, 不用擔心被盜用.
10. 全中文化簡易明瞭

流浪不想去淡水

1558分

17樓

流浪不想去淡水

個人積分：1558分

文章編號：24415357

第一個問題是~你的內網那麼重要~你還把無線網路接到內網上？除了忘了刪的客戶外你比較要擔心有心人士使用特殊設備強破解你的網路密碼吧？

第二個問題是~如果你的內網~不是那麼重要~那為何你不定期換密碼不就得了？

實體上把你的網路環境安全等級切割區分開來~
極高安全網段~沒有無線設備~沒有任何對外接線(包含任何能連外的主機都無法連入)
辦公室網段~無線設備可有可無~具流量統計偵測功能，鎖定mac只供已知主機連入
客服用內網~有網路設備~專門的機器提供客服所需程式，獨立網段無法連入辦公室

詳細分界當然要你自已視環境需求去規劃，資訊安全並不是只有花大錢買設備，架構才是最保險的方式。

不然漏洞一直都在那裡，是真的要重視安全問題？還是只是拿來找別部門麻煩的藉口？