当前位置：文档之家 › Cisco无线常见问题回答

Cisco无线常见问题回答

  • 格式：pdf
  • 大小：171.62 KB
  • 文档页数：15

思科Aironet 无线安全常见问题解答 文档编号: 68583 简介 一般常见问题 排错和设计常见问题 相关信息

简介 本文档所提供的信息是关于思科Aironet无线安全最常见问题( FAQ )。 一般常见问题

问：无线安全需要什么？ 答：在有线网络中，数据仍然在连接终端设备电缆中传递。但是，无线网络传输和接收数据是通过在空气中广播的射频信号。由于无线局域网使用的广播性质，存在黑客或入侵者可以访问或损坏数据的威胁。为了缓解这一问题，所有的无线局域网需要增加： 1. 用户身份验证，防止未经授权访问网络资源。 2. 数据私密以保护数据完整性和数据传输私密性。

问：无线局域网定义的802.11标准有哪些不同的验证方法? 答：802.11标准定义了两种验证无线局域网客户端的机制： 1. 开放式认证 2. 共享密钥认证 还有其他两个常用的机制： 1. 基于SSID认证 2. MAC地址认证

问：什么是开放验证？ 答：开放认证基本上是一个空认证认证算法，这意味着对于用户或机器不需要验证。开放验证允许任何设备向接入点( AP )发送认证要求。开放验证中客户端使用明文传输关联AP。如果没有加密功能，任何知道无线局域网SSID的设备都可以进入该网络。如果在AP上启用了有线对等加密协议( WEP )，WEP密钥则成为一种访问控制的手段。没有正确的WEP密钥的设备即使认证成功也不能通过AP传输数据，同时这样的设备也不能解密由AP发出的数据。

问：开放认证中客户端关联AP需要什么步骤？ 1. 客户端发送一个探测请求 。 2. 周边的AP回复探测响应。 3. 客户端评估AP的响应并选择信号最好的AP。 4. 客户端发送一个验证请求给选定的AP。 5. 该AP确认该认证并注册客户端。 6. 客户端然后发送一个关联请求给AP。 7. AP确认该关联并注册客户端。

问：开放认证的优点和缺点是什么？ 答：以下是开放认证的优点和缺点： 优点：开放认证是一个基本的验证机制，你可以使用不支持复杂的认证算法无线设备。802.11规范中认证的是面向连接的。对于需要验证允许设备得以快速进入网络的设计，在这种情况下，您可以使用开放式身份验证。 缺点：开放认证没办法检验是否客户端是一个有效的客户端，而不是黑客客户端。如果你使用不带WEP加密的开放验证，任何知道无线局域网SSID的用户都可以访问网络。

问：什么是共享密钥认证? 答：共享密钥认证与开放验证类似而有一个主要的区别。当你使用带WEP加密密钥的开放认证时，WEP密钥是用来加密和解密数据，但在认证的步骤中却不使用。在共享密钥认证中，WEP加密被用于验证。和开放验证类似，共享密钥认证需要客户端和AP具有相同的WEP密钥。AP使用共享密钥认证发出一个挑战文本包到客户端，客户端使用本地配置的WEP密钥来加密挑战文本并且回复随后而来的身份验证请求。如果AP可以解密认证要求，并恢复原始的挑战文本，AP将回复一个准许访问的认证响应给该客户端。

问：共享密钥认证中客户端关联到AP需要什么步骤？ 1. 客户端发送一个探测请求 。 2. 周边的AP回复探测响应。 3. 客户端评估AP的响应并选择信号最好的AP。 4. 客户端发送一个验证请求给选定的AP。 5. 该AP发送一个包含未加密挑战文本的认证响应。 6. 客户端利用WEP密钥加密挑战文本，并将加密后的文件回复给该AP。 7. AP比较未加密的挑战文本和加密的挑战文本。如果验证可以解密和恢复原始的挑战文本，则该认证是成功的。 共享密钥认证在客户端关联过程中使用WEP加密。

问：共享密钥认证的优点和缺点是什么？ 答：在共享密钥认证中，客户端和AP的交换挑战文本(明文)并且加密的该挑战文本。因此，这种认证方式易受到中间人攻击。黑客可以收到未加密的挑战文本和已加密的挑战文本，并从这些信息中提取WEP密钥(共享密钥)。当黑客知道WEP密钥时，整个认证机制将受到威害并且黑客可以自由访问该WLAN网络。这是共享密钥认证的主要缺点。

问：什么是MAC地址认证？ 答：虽然802.11标准没有指定MAC地址认证，但无线局域网普遍使用该认证技术。因此，大多数的无线设备厂商，包括思科，均支持MAC地址验证。

在MAC地址认证中，客户端的认证是基于MAC地址的，客户端的MAC地址的核实存储在AP本地或外部认证服务器上的MAC地址列表。相对于802.11规定的开放和共享密钥认证，MAC认证是一个更强有力的安全机制。这种形式的认证，进一步降低的未经授权的设备接入网络的可能性。

问：为什么在Cisco IOS软件版本12.3 ( 8 ) JA2上 MAC认证不能和Wi - Fi保护访问( WPA )同时运行？

答：MAC认证的唯一安全级别是客户端的MAC地址与所允许的MAC地址列表比对。这被认为是非常薄弱的。在以前的Cisco IOS软件版本，你可以同时配置MAC认证和WPA来加密信息，但是，由于WPA自己包括MAC地址检测，思科公司决定在后续Cisco IOS软件版本不再允许这种类型的配置 。

问：我能将SSID作为一种无线设备认证方式吗？ 答：服务集标识符( SSID )是一个唯一的，区分大小写，数字值化的能够被无线局域网作为一个网络的名称来使用的标记。SSID是允许逻辑划分无线局域网的一种机制， SSID没有提供任何数据隐私功能，而且SSID也不对AP提供真正验证客户端的功能。SSID的值在如Beacons/信标, Probe Requests/探测请求, Probe responses/探测响应以及其他类似的数据帧中是采用明文方式广播的，一个窃听者可以很容易的利用一个802.11无线局域网数据包分析器来测定SSID，例如Sniffer Pro。思科并不建议你使用的SSID作为一种保证你的WLAN网络的方法。

问：如果我禁用SSID的广播，我可以在WLAN网络中实现更高的安全性吗？ 答：当你禁用SSID广播，在Beacon信息中将不会发SSID。然而，其他类型的数据帧，如Probe Requests和Probe Responses仍以明文方式包含SSID。所以，如果你禁用SSID广播并没有达到增强无线安全的目的。SSID不是作为一个安全机制设计和使用的。此外，如果你禁用SSID广播，你可以在混合客户端的部署上遇到与Wi - Fi互操作性的问题。因此，思科并不建议您使用的SSID作为安全模式。

问：802.11安全已经发现的漏洞是什么？ 答：802.11安全的主要弱点可归纳如下： z 脆弱的验证方式：仅验证客户端设备，而不是用户。 z 脆弱数据加密：有线等效保密( WEP )作为加密数据的手册已经被证明是无效的。 z 无信息完整性检测：完整性校验值(ICV)作为确保数据完整性的手段已经被证明是无效的

问：在WLAN中，802.1x认证的扮演什么角色？ 答：为了解决802.11标准定义的原始认证方式所带来的缺陷和安全漏洞，在802.11 MAC层的安全性增强草案中包含了802.1X认证框架，在IEEE 802.11任务组i(TGi)目前正在开发这些增强功能。802.1X框架规定了在链路层进行可扩展的认证，而通常这只有在更高层次才使用。

问：802.1X柜架定义了哪三个项目? 答：在WLAN网络中，802.1x协议的框架需要以下三个逻辑实体来验证设备。

1. 请求端—该请求端驻留在在无线局域网客户端，也称为EAP客户端。 2. 认证端—认证端驻留在AP。 3. 认证服务器—认证服务器驻留在RADIUS服务器。 问：当我使用802.1x认证框架时无线客户端是如何进行认证的？

答：当无线客户端(EAP客户端)激活后，无线客户端会与AP关联(认证端)。客户端然后发送认证证书给AP，AP反过来将该信息转发给认证服务器。认证服务器将证书与用户数据库比对验证，以确定用户是否能够访问该网络。认证服务器通常是一个RADIUS或其他AAA服务器。

问：在802.1x认证框架中，我可以使用的EAP变种是什么？ 答：802.1x认证框架能够使用以下任意EAP变种。 1. EAP-TLS – 基于传输层安全的可扩展认证协议 2. EAP-FAST - 基于隧道的灵活认证协议 3. EAP-SIM – 基于客户识别模块的可扩展认证协议 4. Cisco LEAP – 思科轻量级可扩展认证协议 5. EAP-PEAP – 受保护的扩展认证协议 6. EAP-MD5 – 基于MD5的扩展认证协议 7. EAP-OTP – 基于一次性密码扩展认证协议 8. EAP-TTLS – 基于隧道传输层安的扩展认证协议

问：我该如何从不同的EAP变种选择一个有效的802.1x EAP模式？ 答：最重要的因素，你必须考虑是否EAP模式是否与现有网络兼容。此外，思科建议你选择一种支持相互验证的模式。

问：思科轻量级可扩展认证协议(Cisco LEAP)是什么? 答：轻量级可扩展认证协议(LEAP)是思科专有的认证模式。思科轻量级可扩展认证协议是无线局域网(WLAN)内802.1X的一种认证类型。思科轻量级可扩展认证协议支持在客户端和RADIUS服务器之间通过登录密码作为共享密钥的强相互验证方式。思科轻量级可扩展认证协议提供每

合集下载

VPN常见问题及报错处理集锦

VPN常见问题及报错处理集锦

VPN常见问题及报错处理集锦vpn常见问题及常用设置在VPN选项中，备用AU更易于使用可以将常用的选项设置为默认选项：右键setasdefaultconnectionentry错误处理亮点：一、如果是error31选择要登录的条目，右键单击并修改name：如果是空白或是非自己用户名称，点击黑三角选择自己用户使用名称save再次登录。

备注：还有可能是个人网络问题：如果用无线网卡登录vpn没问题，在家不能登录，则问题出在个人网络。

ciscovpn有对应操作系统版本之分，而且安装之后会使系统不稳定，当你执行违规操作的话会出现蓝屏现象。

二、报告了错误412，但有些地方还可以“securevpnconnectionterminatedlocallybyclient.reason412:theremotepeerisnolong erresponding.\cryptoisakmpipsec-over-tcpport45可能有些地方不允许UDP连接，所以改为tcp45端口。

然后修改VPN客户端，如下所示。

1.如果使用无线连接，请尝试使用有线连接。

2.先关闭client端的防火墙，看报错情况是否继续出现。

如果报错情况不再出现，请重新打开pc防火墙，并设置开放udp500、4500端口，放行esp流量。

3.在VPN服务器端和客户端都打开nat-t功能。

如果使用TCP上的NAT，请将PC防火墙设置为打开tcp10000端口。

4.将forcekeepalive=0更改为1三、433错误，错误如下“securityvpnconnectionterminatedbytier。

理由433“官员们给出了三种解决方案，1、是地址池里面或者dhcp里面检查是否包含有广播地址2、检查外部的aaa服务是验证成功3、关闭威胁检测，这大概意味着偶尔ASA会考虑多个重连接作为威胁，当涉及的不同时，就关掉它。

我用第三种方法解决了它nothreat-detectionbasic-threatnothreat-detectionscanning-threatshunnothreat-detectionstatisticsnothreat-detectionrate四、 debugcryptoisakmp报告的错误如下removingpeerfrompeertablefailed,nomatch!errormessage.vpn连接时的错误，我忘记了这里很明显是第一阶段不成功，但是用户名密码、group、pre-key又是正确的，那么只有一个地方就是cryptoisakmppolicy的策略了，但是策略也没什么问题，这会是什么问题咧没办法多添加了几条策略什么encryption：aes、des、3deshash：md5、sha都写了一遍，然后再连接就ok了。

Cisco路由器配置信息及口令的清除

Cisco路由器配置信息及口令的清除

Cisco路由器配置信息及口令的清除在网络日常管理与维护的工作中，你是否遇到过这种现象：由于忘记了口令，你被原来亲切的“朋友”——路由器或交换机强行拒于门外，无法进行参数的重新设置、信息统计。

下面就针对几种常见而重要的网络设备的口令清除方法谈谈本人的一点“小窍门”。

适用范围：所有IOS在10.0及以上版本的Cisc清除步骤如下：1．用路由器所带的串口线连接到Console口，以下通过Win95的超级终端进行；2．路由器加电后60秒内，按下CTRL(如果不行按CTRL－BREAK)键，等待出现“〉”提示符；3．键入“〉e/s 2000002”命令，并记录下返回值，用在后面“Router(config)＃config－register 0x2102”命令中；(通常返回值是2102)4．在“〉”符号后键入“o/r 0x42”；5．键入“i”,路由器将重新初始化，对于出现的提示问题，回答No；6．键入“Enable”(没有口令，按回车即可)；7．改变口令(无论是否加密)：a.输入“config mem”或“copy startup－config mem”；b.输入“write”；c.输入“configterm”并输入“enablesecret〈password〉”和“enablepassword 〈password〉”，改变口令；8．去掉用户提示及口令：a．进入虚拟行配置模式，输入“line vty 0 4”；b．输入“password〈password〉”，改变口令；c．输入“login”（可以去掉用户提示，原来是login local）；9．完成后按Ctrl－z结束；10．输入“write”保存所做的改变；11．进入特权配置模式，键入“config－register 0x2102”(注意，必须完成此步)；12．Write保存配置信息；13．退出配置模式，Reload完成重新启动路由器即可。

说明：o/r 0x42是从Flash中引导路由器，如果不成功，可采用o/r0x41从ROM中引导路由器，其余操作与o/r0x42相同，但是最好只在Flash引导不成功或Flash内容被删除、没有Flash情况下才用。

CISCO3560IOS升级步骤与常见问题

CISCO3560IOS升级步骤与常见问题

CISCO‎3560 IOS升级‎步骤与常见‎问题升级步骤：一、设备清单二、备份IOS‎三、上传新IO‎S四、更改启动设‎置一、设备清单CICSO‎3560交换机，安装了超级‎终端的PC‎，TFTP或‎F TP服务器，c3560‎-advip‎s ervi‎c esk9‎-mz.122-25.SEE2.bin的I‎O S二、备份IOS‎执行备份前‎先用dir‎、cd、pwd等命‎令看下fl‎a sh中的‎目录结构。

这台交换机IOS的‎b in文件‎以及htm‎l文件夹都‎在flash‎中c356‎0-ipbas‎e-mz.122-25.SEB4目‎录下。

1. /* 将原IOS‎备份到IP‎为192.168.1.100的T‎F TP服务器上*/switc‎h#copy flash‎:/c3560‎-ipbas‎e-mz.122-25.SEB4/c3560‎-ipbas‎e-mz.122-25.SEB4.bint2. /* 将原IOS‎备份为ta‎r文件到I‎P为192‎.168.1.100的T‎F TP服务‎器上*/switc‎h#archi‎v e tar /creat‎e tflash‎:/c3560‎-ipbas‎e-mz.122-25.SEB4三、上传新IO‎S/* 将新IOS‎复制到fl‎a sh的根‎目录下*/switc‎h#copy tflash‎:/c3560‎-advip‎s ervi‎c esk9‎-mz.122-25.SEE2.bin四、更改启动设‎置1. 让交换机用‎新的IOS‎启动switc‎h(confi‎g)#boot syste‎m flash‎:/c3560‎-advip‎s ervi‎c esk9‎-mz.122-25.SEE2.binswitc‎h#write‎switc‎h#reloa‎d重启后，交换机会使‎用新的IO‎S。

常见问题就‎是交换机I‎O S加载顺‎序的问题。

CiscoVPN客户端常见错误说明及解决方案

CiscoVPN客户端常见错误说明及解决方案

CiscoVPN客户端常见错误说明及解决方案第一篇：Cisco VPN客户端常见错误说明及解决方案VPN客户端常见错误说明及解决方案 1 VPN打开后自动缩到任务栏，整个GUI界面无法显示原因：vpn配置文件vpnclient.ini中的WindowX，WindowY值被修改超级大，超出屏幕界面[main] ClientLanguage= [GUI] DefaultConnectionEntry=Avnet VPN-Americas WindowWidth=600 WindowHeight=330 WindowX=245000 WindowY=245000 VisibleTab=0 ConnectionAttribute=0 AdvancedView=1 LogWindowWidth=0 LogWindowHeight=0 LogWindowX=0 LogWindowY=0 解决方案：在客户端安装目录下找到，把它修改为WindowX=75、WindowY=75，恢复正常。

错误代码56原因：VPN的服务被关闭解决方案：计算机----> 管理------->服务和应用程序-----> 服务----->Cisco Systems, Inc.VPN Service----->右键--------->启动 OK 如果遇到启动一会后就被kill ：cvpnd服务是被Internet Connection Sharing(ICS)服务kill掉的： 1.将Internet Connection Sharing服务类型设置为手动。

2.停止Internet Connection Sharing服务。

3.启动Cisco System, Inc.VPN Service。

另外，如果在连接的时候，报了无法启用虚拟网卡的错误，需要先取消物理网卡的共享(停止Internet Connection Sharing服务)，再连就OK了。