第1章 无线通信网概述103

无线网络技术1参考资料推荐参考书21.7网络互联1.7.3无线网络互联(1)无线中继(WirelessRepeater)高端商用AP大多支持中继模式。使用这种模式时，一个接入有线局域网的AP

作为中心AP，根据需要可采用“AP模式”，而充当中继器的AP不接入有线网络，只接电源，使用“中继模式”(作为Repeater)，并填入远程AP

的MAC

地址(RemoteAPMAC)。中继AP

与中心AP

之间进行桥接，同时也可提供自身信号覆盖范围内的客户端接入，从而延伸覆盖范围。中继模式使无线覆盖变得更容易和灵活，但需要高档AP

的支持。另一方面，如果中心AP

出了问题，则整个WLAN将瘫痪，冗余性无法保障。31.7网络互联

(2)网桥网桥将两个相似的网络连接起来，并对网络数据的流通进行管理。它作于数据链路层，不但能扩展网络的距离或范围，而且可提高网络的性能、可靠性和安全性。网络1和网络2通过网桥连接后，网桥接收网络1发送的数据包，检查数据包中的地址，如果地址属于网络1，它就将其放弃，相反，如果是网络2的地址，它就继续发送给网络2.这样可利用网桥隔离信息，将同一个网络号划分成多个网段（属于同一个网络号），隔离出安全网段，防止其他网段内的用户非法访问。由于网络的分段，各网段相对独立（属于同一个网络号），一个网段的故障不会影响到另一个网段的运行。41.7网络互联51.7网络互联(3)无线网桥(WBridgeP2P)距离较远的两个点可以使用加设定向天线的方式实现长距离的信号传输。可以利用这种点对点桥接模式实现网络互联。例如，两栋建筑物内各有一个局域网：LAN1和LAN2，两个

AP：AP-

A和AP-B使用点对点桥接模式相连。两个AP

都各自连入本地LAN的交换机中，此时这两个AP起到无线网桥的作用。两个

AP均设置在“桥接模式”，并在“远程桥接

MAC

地址(RemoteBridgeMAC)”中输入对方AP

的MAC地址。两个AP

的IP须在同一网段，使用相同的信道，均采用定向天线。从而实现两个有线局域网之间互连和资源共享,也可以实现有线网络的扩展。61.8无线网络的物理结构1.8无线网络的物理结构1.8.1无线网络拓扑结构点到点连接P2P或ad-hoc连接；LAN无线网桥；蓝牙；IrDA…星型拓扑WiMAX

基站，ZigBeePAN…网状移动ad-hoc连接71.8无线网络的物理结构(1)WLAN802.11拓扑结构：点对点Ad-HOC结构Adhocnetwork：自组织网络，特定网络，对等网络。指临时应变的特定网络。若干个移动的无线通信终端可以构成一个临时应变的网络。这种网络是临时性的、无中心的，无需依靠任何基础设施的非标准网络。因此可称作是“自组织网络”。也有人称它是“特定网络”，是因为它是很短距离的特定连接，并且只能用于近距离的用户，又因为它是便于加入和离开，既能主控，又能被控的网络，所以又有人称之为“对等网络”。点对点Ad-Hoc

对等结构就相当于有线网络中的多机(一般最多是3台机)直接通过网卡互联，中问没有集中接入设备，信号直接在两个通信端点对点传输。81.8无线网络的物理结构Ad-Hoc对等结构91.8无线网络的物理结构上述结构模式也称为IBSS

(Independentbasicserviceset)：Aself-sufficientnetwork

。ThereisnoAP(accesspoint)inIBSS。有线网络中每个连接都需要专门的传输介质，所以在多机互连结构中，一台机器可能需要安装多块网卡。WLAN

中没有物理传输介质，信号以电磁波的形式发散传播，所以在WLAN中的对等连接模式中，各用户无须安装多块WLAN

网卡，相比有线网络来说，组网方式要简单得多。101.8无线网络的物理结构Ad-Hoc

对等结构网络通信中没有一个信号交换设备，网络通信效率较低，仅适用于较少数量的无线互连。同时由于这一模式没有中心管理单元，这种网络在可管理性和扩展性方面受到一定的限制。各无线节点之间只能单点通信，不能实现交换连接，类似于有线网络中的对等网。这种无线网络模式通常只适用于临时的无线应用环境，如小型会议室，SOHO家庭无线网络等。IBSS

的安全性：每个

IBSS主机都需要自建安全机制。111.8无线网络的物理结构(2)WLAN802.11拓扑结构：基于AP的Infrastructure结构基于无线AP

的

Infrastructure(基础)结构模式类似于有线网络中的星型交换模式，也属于集中式结构类型。其中的无线AP相当于有线网络中的交换机，起着集中连接和数据交换的作用。在这种无线网络结构中，除了需要像Ad-Hoc对等结构中在每台主机上安装无线网卡，还需要一个AP接入设备，称“访问点”或“接入点”。这个

AP

设备用于集中连接所有无线节点，并进行集中管理。一般的无线AP还提供了一个有线以太网接口，用于与有线网络、工作站和路由设备的连接。基础结构网络如图所示。121.8无线网络的物理结构基于AP的Infrastructure结构131.8无线网络的物理结构上述网络结构模式也称为BSS(Basicserviceset)，或(Infrastructure)：Asetofstationscontrolledbyasinglecoordinationfunction(AP).141.8无线网络的物理结构这种网络结构模式的特点主要表现在网络易于扩展、便于集中管理、能提供用户身份验证等优势，另外数据传输性能也明显高于Ad-Hoc

对等结构。在这种

AP网络中，AP和无线网卡还可针对具体的网络环境调整网络连接速率。理论上一个IEEE802.11b

的AP

最大可连接72个无线节点，实际应用中考虑到更高的连接需求，一般建议为10个节点以内。同时要求单个AP

所连接的无线节点要在其有效的覆盖范围内，这个距离通常为室内100米、室外300米左右。在实际的应用环境中，连接性能往往受到许多方面因素的影响，实际连接速率要远低于理论速率，如上面所提到的AP

和无线网卡可针对特定的网络环境动态调整速率，原因就在于此。151.8无线网络的物理结构IEEE802.11a或IEEE802.11g的AP

速率可达到54Mbps，有效覆盖范围也比

IEEE802.11b的大1倍以上，理论上单个AP

的理论连接节点数在l00个以上，实际应用中所连接的用户数一般建议不超过20个。另外，基础结构的无线局域网不仅可以应用于独立的无线局域网中，如小型办公室无线网络、SOHO家庭无线网络，也可以以它为基本网络结构单元组建成庞大的无线局域网系统，如ISP在“热点”位置为各移动办公用户提供的无线上网服务，在宾馆、酒店、机场为用户提供的无线上网区等。注意到各AP所用的信道数量，在同一有效距离内不能超过3个不同的信道。161.8无线网络的物理结构171.8无线网络的物理结构1.8.2WLAN设备无线网卡(WNIC)181.8无线网络的物理结构接入点（AP）191.8无线网络的物理结构无线交换机无线路由器无线网桥智能天线WLAN天线20211.8无线网络的物理结构1.8.3WPAN设备蓝牙蓝牙音箱蓝牙家用电话221.8无线网络的物理结构蓝牙数码相框蓝牙太阳能耳机231.8无线网络的物理结构蓝牙虚拟键盘241.8无线网络的物理结构ZigBeeZigBee

设备251.8无线网络的物理结构1.8.4WMAN设备基站用户终端固定天线移动设备26271.9网络安全1.9.1安全网络和安全策略网络不能简单地划分为安全的或是不安全的，因为安全这个词本身就有其相对性，它因环境和需求的界定不同而有不同的含义。不存在能满足各种需要的绝对安全的网络。比如，有些单位的数据是很有保密价值的，他们就把网络安全定义为其数据不被外界访问；有些单位需要向外界提供信息，但禁止外界修改这些信息，他们就把网络安全定义为数据不能被外界修改；有些单位注重通信的隐秘性，他们就把网络安全定义为信息不可被他人截获或阅读；还有些单位对安全的定义会更复杂，他们把数据划分为不同的级别，其中有些级别数据对外界保密，有些级别数据只能被外界访问而不能被修改等等。281.9网络安全正因为没有绝对意义上的安全网络（securenetwork）存在，任何安全系统的第一步就是制定一个合理的安全策略（securitypolicy）。该策略不需规定具体的技术实现，而是要清晰地阐明要保护的各项条目。网络安全策略必须能够覆盖数据在计算机网络系统中存储、传输和处理等各个环节，否则安全策略就不会有效。制定网络安全策略的复杂性还体现在对网络系统信息价值的评定。任何组织只有正确认识了其数据信息的价值，才能制定一个合理的安全策略。而在大多数情况下，信息的价值难以评估。291.9网络安全例如：一个工资数据库系统。该数据库系统记录了某公司所有雇员、他们的上班时间及工资等级等信息。该系统的价值来自三个方面：第一、重新建立该系统的代价。这一部分比较容易评价，只需要计算出重新收集和组织该系统信息所需的工作量。第二、该系统信息不正确使得公司可能面临的损失。比如非法操作使系统中某些雇员的工资等级比实际情况高，公司将被迫多支付薪水。第三、系统信息泄漏导致的间接损失。例如工资信息被竞争者窃取，竞争者会采取针对性措施使该公司在人力资源方面蒙受巨大损失，如被迫提高员工薪水、增加培训等各项开销。301.9网络安全1.9.2安全性指标如前所述，没有绝对安全的网络。制定安全策略时，往往必须在安全性和实用性之间采取一个折衷的方案，着重保证一些主要的安全性指标，如数据完整性（dataintegrity）：数据在传输过程中的完整性，也即数据在发送前和到达后是否完全一样。数据可用性（dataavailability）：在系统故障的情况下数据是否会丢失。数据保密性（dataconfidentialityandprivacy）：数据是否会被非法窃取。311.9网络安全1.9.3安全责任和控制系统管理权限的正确分配往往是安全策略成败的关键。强制授权（Authorization）：对请求访问的用户进行授权，规定各用户对系统的操作权限。认证（Authentication）：对访问资源的用户进行认证以验证他们是否有访问的权利和权限。可计帐性（Accountability）：对获得授权和认证的用户活动情况进行监督记录。 简称AAA。321.9网络安全1.9.4完整性机制在数据可能遭到意外破坏的情况下，使用一些技术如奇偶位、校验和以及CRC等来保证数据的完整性。例如发送方同时发送该消息的检验值，消息接收方接到消息时只需重新计算一次检验值，并比较两检验值是否相同就可判断该消息是否正确。校验和以及CRC

技术都不能绝对保证数据的完整性，有两个原因：其一，如果出现检验值和消息数据同时破坏，且改变后的检验值和消息又正巧匹配的情况，系统就无法发现错误（这种情况概率很低，但决不为零）；其二，原因一中所述技术上的缺陷，可能为人恶意利用。331.9网络安全有几种机制能够确保受到恶意攻击的消息的完整性。一般采用的方法是使用攻击者不能攻击或伪造的信息验证码（messageauthenticationcode，MAC）技术对传输数据进行编码。典型的编码机制是密码散列(cryptographichashing)机制，如使用只有发送方和接受方才知道的私有密钥。这样，在发送方对信息编码时，密码散列函数像对数据编码一样使用私有密钥打乱信息中的字节的排列位置。只有接收方才能够恢复这些信息，而没有密钥的攻击者不能解码，也就不能引入错误。只有接收方才能知道被解码的信息都是真实的。341.9网络安全现已采用几种机制能够确保受到恶意攻击的消息的完整性。一般采用的方法是使用攻击者不能攻击或伪造的信息验证码（messageauthenticationcode，MAC）技术对传输数据进行编码。典型的编码机制是密码散列(cryptographichashing)机制，如使用只有发送方和接受方才知道的私有密钥。这样，在发送方对信息编码时，密码散列函数像对数据编码一样使用私有密钥打乱信息中的字节的排列位置。只有接收方才能够恢复这些信息，而没有密钥的攻击者不能解码，也就不能引入错误。只有接收方才能知道被解码的信息都是真实的。351.9网络安全1.9.6访问控制和口令很多计算机系统采用口令机制来控制对系统资源的访问。每个用户都有一个私有密钥。用户想要访问被保护的资源时，被要求输入口令。在传统的计算机系统中，简单的口令机制可以取得很好的效果，因为系统本身不会把口令泄漏出去。而在网络系统中，这样的口令就很容易被窃听。比如，如果某用户通过网络传输口令到一台远程计算机上，在线窃听者就很容易获取该口令的副本。在线窃听在局域网上更容易实现，因为大多数局域网都是总线结构，任一台计算机都可以获得传输数据的副本。在这种情况下，必须采取另外的保护措施。361.9网络安全1.9.7加密为了保证有在线窃听的情况下的保密性，必须对数据加密。加密的基本思想是改变信息的排列方式，使得只有合法的接收方才能读懂。任何他人即使截取了该加密信息也无法解开。(1)一个简单的加密结构一种传统的加密技术是，消息发送方和消息接收方使用相同的密钥，该密钥必须由双方加以保密。发送方用该密钥对待发消息进行加密，然后将消息传输至接收方，接收方再用相同的密钥对收到的消息进行解密。371.9网络安全这一过程表示成数学形式如下：消息发送方使用的加密函数encrypt

有两个参数：密钥K和待加密消息M，加密后的消息为E：

E=

encrypt(K,M) 消息接收方使用的解密函数decrypt

把这一过程逆过来，就还原了原来的消息：

M=decrypt(K,E) 数学上，decrypt

和encrypt

互为逆函数，有：

M=decrypt(K,encrypt(K,M))381.9网络安全(2)公共密钥加密很多加密方法中，密钥必须是保密的。公共密钥加密法它给每个用户分配两把密钥：一个称私有密钥，是保密的；一个称公共密钥，是众所周知的。该方法的加密函数必须具备如下数学特性：用公共密钥加密的消息除了使用相应的私有密钥外很难解密；同样，用私有密钥加密的消息除了使用相应的公共密钥外很难解密。假设M表示一条消息，pub-u1表示用户1的公共密钥，prv-u1表示用户1的私有密钥，那么有

M=decrypt(pub-u1,encrypt(prv-u1,M))391.9网络安全 和M=decrypt(prv-u1,encrypt(pub-u1,M))这种方法是安全的，因为加密和解密的函数具有单向性质。也就是说，仅知道了公共密钥并不能伪造由相应私有密钥加密过的消息。可以证明，公共密钥加密法能够保证保密性。只要消息发送方使用消息接收方的公共密钥来加密待发消息，就只有消息接收方能够读懂该消息。因为要解密必须要知道接收方的所有密钥。401.9网络安全1.9.8数字签名公共密钥加密法还可以用于验证消息发送方，这种技术称作数字签名（digitalsignature）。消息发送方使用其私钥加密一条消息，实现对消息的签名。接收方使用消息发送方的公共密钥对该消息进行解密。由于只有发送方发送的密文才能被公共密钥解密，从而完成验证（即发送方身份得以确认）。为了保证加密的消息不被复制和重传，原始消息中可引入创建该消息的日期和时间。411.9网络安全如果采用双重加密，可以使消息同时具有身份可验证性和保密性。所谓双重加密，是指先用发送方的私有密钥加密，再用接收方的公共密钥对已加密消息进行再加密。其数学形式如下：

X=encrypt(pub-u2,encrypt(prv-u1,M)) 其中，M

表示原始消息，X

表示双重加密后的消息，prv-u1

表示消息发送方的私有密钥，pub-u2

表示消息接收方的公共密钥。在接收端，解密过程是加密过程的逆过程。首先，消息接收方用它的私有密钥解除外层加密，然后用消息发送方的公共密钥解除内层加密。这一过程表示如下：

M=decrypt(pub-u1,decrypt(prv-u2,X))421.9网络安全经过双重加密的消息是保密的，因为只有指定的消息接收方才拥有解除外层加密所需的解密密钥。同时该消息的身份一定是经过验证的，因为只有消息发送方才拥有必要的内层加密密钥。431.9网络安全1.9.9包过滤为了防止网络系统中每台计算机都可随意访问其他计算机以及系统中的各项服务，需要使用包过滤（packet

filtering）技术。如图所示，包过滤器是路由器的一部分，它是由阻止包任意通过路由器在不同的网络之间穿越的软件组成的。441.9网络安全网络管理员可以配置包过滤器，以控制哪些包可以通过路由器，哪些包不可以（一些局域网交换机在局域网内部提供类似的过滤功能，允许管理员控制哪些帧可以从一台计算机到另一台计算机，哪些则不可以）。包过滤器的工作是检查每个包的头部中的有关字段。网络管理员可以配置包过滤器，指定要检测哪些字段以及如何处理等等。比如，控制两个网络的计算机之间的通信，要检测每个包头部中的

source和destination

字段。上图中，要防止右边网络中IP地址为7的计算机和左边网络中的所有计算机通信，包过滤器必须阻止所有source

字段为7的包通过。451.9网络安全同样，要防止左边网络中

IP

地址为2的计算机接收来自右边网络中的任意包，包过滤器必须阻止所有destination

字段为2的包通过。除了源地址和目的地址之外，包过滤器还能检查出包中使用的上层协议，从而知道该包所传递的数据属于哪一种服务。包过滤器的这种功能使得网络管理员能够对各种服务进行管理，比如可以过滤掉所有www服务的包而让电子邮件的包能得到较快的传输等。网络管理员可以根据需要灵活配置包过滤器，以达到其所希望的过滤效果。通常，包过滤器的过滤条件是源地址、目的地址以及各种网络服务等的复杂的布尔表达式。凡是满足该过滤条件的包都会被过滤掉。461.9网络安全1.9.10防火墙包过滤器经常用来控制一个单位的内部网络和因特网之间的通信。如图所示，包过滤器是连接内部网络和因特网的路由器的一部分。471.9网络安全用于保护一个单位内部网络，使之不受来自外部因特网的非法访问的包过滤器，称为因特网防火墙（Internetfirewall）。这个术语来源于两个结构间为防止火在它们之间蔓延而采用的物理防火边界。与传统的防火墙相似，因特网防火墙可用来防止在因特网上不同组织的计算机间可能产生的问题。防火墙是互不信任的单位之间建立网络连接时最重要的安全工具。通过设置防火墙为组织提供了防止外界侵入内部网络的安全边界（secureperimeter）。特别地，通过限制对一小部分计算机的访问，防火墙能防止外界接触到组织内所有计算机、禁止大量占用组织内部网络的通信或阻止通过传输大量IP

数据报攻击计算机而引起的系统瘫痪。481.9网络安全除了提供安全机制之外，防火墙还可以降低系统成本。没有防火墙的话，外界可以向任意计算机传输数据包（通过猜测、尝