华为AR系列路由器 01-04 WLAN-FAT AP安全配置
华为AR系列路由器 01-01 设备支持的AP
1设备支持的AP介绍查看设备缺省支持的AP设备类型的方法。
●本配置指南中提到的AP，均为华为公司的AP产品。
推荐用户选择华为公司的AP设备与AC对接。
●执行命令display ap-type { all | id type-id | type ap-type }，可以查看设备支持的AP设备类型。
设备缺省支持的AP设备类型显示如下：<Huawei> display ap-type all-------------------------------------------------------------------------------- ID Type--------------------------------------------------------------------------------17 AP6010SN-GN19 AP6010DN-AGN21 AP6310SN-GN23 AP6510DN-AGN25 AP6610DN-AGN27 AP7110SN-GN28 AP7110DN-AGN29 AP5010SN-GN30 AP5010DN-AGN31 AP3010DN-AGN33 AP6510DN-AGN-US34 AP6610DN-AGN-US35 AP5030DN36 AP5130DN37 AP7030DE38 AP2010DN39 AP8130DN40 AP8030DN42 AP9330DN43 AP4030DN44 AP4130DN45 AP3030DN46 AP2030DN47 AP9131DN48 AP9132DN49 AP5030DN-S50 AP3010DN-V251 AP4030DN-E56 AP6050DN57 AP6150DN58 AP7050DE59 AP7050DN-E60 AP4030TN61 AP4050DN-E62 AP4050DN-HD64 AP430-E68 AP1010SN69 AP2050DN70 AP2050DN-E71 AP8130DN-W73 AP2050DN-S75 AP4050DN76 AP4051DN77 AP4151DN78 AP4050DN-S79 AP4051DN-S80 AP8050DN81 AP8150DN82 AP8050DN-S85 AP1050DN-S86 AP4051TN87 AP6052DN88 AP7052DN89 AP7052DE90 AP3050DE91 AP7152DN92 AP8050TN-HD93 AP8082DN94 AP8182DN97 AP2051DN98 AP2051DN-S99 AP2051DN-E100 AP7060DN101 AP5050DN-S 102 AP2030DN-S 103 AP4050DE-M 104 AP4050DE-M-S 105 AP100EC106 AP200EC107 AP300EC108 WA375DD-CE 109 AP4050DE-B-S 110 AP5510-W-GP 111 AP2051DN-L-S -------------------------------------------------------------------------------- Total: 74●建议使用设备缺省支持的AP设备类型，否则，AP可能无法正常上线。
华为AR系列企业路由器产品全家福 产品说明书
• 转发性能：3Mpps • 固定 WAN 口：2*GE Combo • 固定 LAN 口：8*GE 电 • Wi-Fi：双频，802.11ac/b/g/n • POE：支持 IEEE 802.3af 和
802.3at 标准 • 扩展槽位：1*MIC
• 带机量 : 100 台 PC • 转发性能：1Mpps • 固定 WAN 口：1*GE
NetEngine AR6140H-S
• 带机量：1000 台 PC • 转发性能：9Mpps~40Mpps • 固 定 WAN 口：4*10GE 光（ 兼 容
GE 光）+4*GE • 固定 LAN 口：12*GE • 槽位：4*SIC • 支持双电源（需单独配置） • 支持5G无线板卡
商业分销SOHO&SMB系列
Combo • 固定 LAN 口：4*GE 电
NetEngine AR611W
• 带机量：100台PC • 转发性能：1Mpps • 固定WAN口：1*GE Combo • 固定LAN口：4*GE • Wi-Fi：802.11ac/b/g/n
NetEngine AR611W-LTE4CN
• 带机量：100 台 PC • 转发性能：1Mpps • 固定 WAN 口：1*GE Combo • 固定 LAN 口：4*GE • Wi-Fi：802.11ac/b/g/n • LTE：FDD/TDD LTE
NetEngine AR6300C-S
• 带机量：3000 台 PC • 转发性能：60Mpps~280Mpps • 固定接口：8*10GE 光（可切
换为 GE 光），8*GE 电 • 槽位：4*SIC + 2*WSIC + 4*XSIC • 支持双主控双电源（需单独配
华为AR系列路由器 01-06 漫游配置
6漫游配置关于本章通过配置漫游，实现STA从一个AP覆盖范围移动到另一个AP覆盖范围的过程中保证用户业务不中断。
6.1 漫游简介介绍漫游的定义和目的。
6.2 漫游原理描述6.3 漫游应用场景介绍WLAN漫游的应用场景。
6.4 漫游缺省配置介绍系统常见参数的缺省配置。
6.5 漫游配置前须知6.6 漫游配置举例介绍WLAN漫游的配置举例。
配置举例中包括组网需求、配置思路、配置步骤等。
6.1 漫游简介介绍漫游的定义和目的。
定义WLAN漫游是指STA在同属一个ESS的不同AP的覆盖范围之间移动且保持用户业务不中断的行为。
如图6-1所示，STA从AP_1的覆盖范围移动到AP_2的覆盖范围时保持业务不中断。
图6-1 WLAN漫游组网图目的WLAN网络的最大优势就是STA不受物理介质的影响，可以在WLAN覆盖范围内四处移动并且能够保持业务不中断。
同一个ESS内包含多个AP设备，当STA从一个AP覆盖区域移动到另外一个AP覆盖区域时，利用WLAN漫游技术可以实现STA用户业务的平滑切换。
WLAN漫游解决了以下问题：●保证用户IP地址不变，漫游后仍能访问初次上线时关联的网络，且所能执行的业务保持不变。
●避免漫游过程中用户的认证时间过长而导致数据丢包甚至业务中断。
6.2 漫游原理描述6.2.1 WLAN漫游的网络架构WLAN漫游的网络架构如图6-2所示。
WLAN网络通过AC对AP进行管理，其中AP_1和AP_2与AC进行关联。
现STA在WLAN网络中进行漫游，漫游过程中与不同的AP进行关联，漫游过程如下：STA从AP_1覆盖范围漫游到AP_2覆盖范围的过程中，因为AP_1和AP_2均与AC进行关联，所以此次漫游为AC内漫游。
图6-2 WLAN漫游组网图6.2.2 二层漫游二层漫游漫游前报文走向漫游后报文走向6.2.3 使用快速漫游来缩短WPA2-802.1X安全策略下的漫游切换时间根据用户采用的不同安全策略，可以将漫游分为快速漫游和非快速漫游两种方式，如表6-1所示。
HuaWei路由器安全配置规范
HuaWei路由器安全配置规范一、初始设置1、更改默认登录凭据在首次配置 HuaWei 路由器时，务必更改默认的用户名和密码。
使用强密码，包含字母、数字和特殊字符，并且长度不少于 8 位。
避免使用常见的、容易猜测的密码，如生日、电话号码等。
2、关闭远程管理功能除非有特殊需求，否则应关闭远程管理功能。
远程管理可能会增加被黑客攻击的风险。
如果确实需要远程管理，应限制访问的 IP 地址范围，并使用加密协议（如 SSH 或 HTTPS）。
二、无线网络设置1、启用加密选择 WPA2 或更高级别的加密方式（如 WPA3）来保护无线网络。
避免使用不安全的 WEP 加密。
2、设置强密码为无线网络设置一个复杂且难以猜测的密码，同样包含字母、数字和特殊字符。
3、隐藏 SSID隐藏无线网络的 SSID（服务集标识符），使未经授权的设备无法轻易发现您的网络。
但需要注意的是，隐藏 SSID 并非绝对安全，只是增加了一定的隐蔽性。
4、启用 MAC 地址过滤将允许连接到无线网络的设备的 MAC 地址添加到白名单中，拒绝其他未知设备的连接。
三、防火墙设置1、开启防火墙HuaWei 路由器通常内置有防火墙功能，确保将其开启以阻挡未经授权的网络访问。
2、配置端口转发规则仅在必要时配置端口转发规则，并限制转发到特定的内部IP 地址。
避免开放不必要的端口，以减少潜在的攻击面。
3、启用入侵检测和预防系统（IDS/IPS）如果路由器支持 IDS/IPS 功能，建议启用，以便及时检测和阻止网络中的恶意活动。
四、更新固件定期检查并更新 HuaWei 路由器的固件。
厂商会通过固件更新来修复已知的安全漏洞和提升性能。
确保在更新固件时，不会中断网络连接，并按照官方的指导进行操作。
五、访问控制1、限制内部设备访问通过设置访问控制列表（ACL），限制内部设备之间的访问，防止恶意软件在内部网络中传播。
2、禁止不必要的服务关闭路由器上不使用的服务，如 UPnP（通用即插即用）等，以降低安全风险。
华为AR系列路由器 01-05 IPSec配置
5 IPSec配置关于本章5.1 IPSec简介5.2 IPSec原理描述5.3 IPSec应用场景5.4 IPSec配置任务概览5.5 IPSec配置注意事项5.6 IPSec缺省配置5.7 配置采用ACL方式建立IPSec隧道5.8 配置采用虚拟隧道接口方式建立IPSec隧道5.9 配置采用Efficient VPN策略建立IPSec隧道5.10 配置IKE5.11 维护IPSec5.12 IPSec配置举例5.13 IPSec常见配置错误5.1 IPSec简介起源随着Internet的发展，越来越多的企业直接通过Internet进行互联，但由于IP协议未考虑安全性，而且Internet上有大量的不可靠用户和网络设备，所以用户业务数据要穿越这些未知网络，根本无法保证数据的安全性，数据易被伪造、篡改或窃取。
因此，迫切需要一种兼容IP协议的通用的网络安全方案。
为了解决上述问题，IPSec（Internet Protocol Security）应运而生。
IPSec是对IP的安全性补充，其工作在IP层，为IP网络通信提供透明的安全服务。
定义IPSec是IETF（Internet Engineering Task Force）制定的一组开放的网络安全协议。
它并不是一个单独的协议，而是一系列为IP网络提供安全性的协议和服务的集合，包括认证头AH（Authentication Header）和封装安全载荷ESP（Encapsulating SecurityPayload）两个安全协议、密钥交换和用于验证及加密的一些算法等。
通过这些协议，在两个设备之间建立一条IPSec隧道。
数据通过IPSec隧道进行转发，实现保护数据的安全性。
受益IPSec通过加密与验证等方式，从以下几个方面保障了用户业务数据在Internet中的安全传输：●数据来源验证：接收方验证发送方身份是否合法。
●数据加密：发送方对数据进行加密，以密文的形式在Internet上传送，接收方对接收的加密数据进行解密后处理或直接转发。
华为AR系列路由器 01-04 PPPoE配置
4 PPPoE配置关于本章PPPoE（PPP over Ethernet）是在以太网链路上运行PPP协议，在小区组网建设等一系列应用中被广泛采用。
4.1 PPPoE简介介绍PPPoE的定义和目的。
4.2 PPPoE配置注意事项介绍PPPoE的配置注意事项。
4.3 PPPoE原理描述介绍PPPoE的实现原理。
4.4 PPPoE应用场景介绍PPPoE的应用场景。
4.5 PPPoE附录介绍PPPoE的报文。
4.6 PPPoE缺省配置介绍PPPoE常见参数的缺省配置。
4.7 配置设备作为PPPoE Server设备提供了PPPoE Server的功能，支持动态分配IP地址，提供多种认证方式。
4.8 配置设备作为PPPoE Client设备作为PPPoE Client下行连接局域网用户，同一个局域网中的所有主机可以共享一个帐号，进行拨号上网。
4.9 维护PPPoEPPPoE相关维护命令，包括复位PPPoE会话和强制断开PPPoE会话。
4.10 PPPoE配置举例介绍PPPoE典型场景配置举例。
配置示例中包括组网需求、配置思路等。
4.11 PPPoE常见配置错误介绍常见配置错误的案例，避免在配置阶段引入故障。
4.1 PPPoE简介介绍PPPoE的定义和目的。
定义PPPoE（PPP over Ethernet）协议是一种把PPP帧封装到以太网帧中的链路层协议。
PPPoE可以使以太网网络中的多台主机连接到远端的宽带接入服务器。
目的运营商希望把一个站点上的多台主机连接到同一台远程接入设备，同时接入设备能够提供与拨号上网类似的访问控制和计费功能。
在众多的接入技术中，把多个主机连接到接入设备的最经济的方法就是以太网，而PPP协议可以提供良好的访问控制和计费功能，于是产生了在以太网上传输PPP报文的技术，即PPPoE。
PPPoE利用以太网将大量主机组成网络，通过一个远端接入设备连入因特网，并运用PPP协议对接入的每个主机进行控制，具有适用范围广、安全性高、计费方便的特点。
如何配置AR路由器限制用户上网(Web方式)-pdf
如何配置AR路由器限制用户上网（Web方式）文档版本01发布日期2020-12-29版权所有 © 华为技术有限公司 2020。
保留一切权利。
非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。
商标声明和其他华为商标均为华为技术有限公司的商标。
本文档提及的其他所有商标或注册商标，由各自的所有人拥有。
注意您购买的产品、服务或特性等应受华为公司商业合同和条款的约束，本文档中描述的全部或部分产品、服务或特性可能不在您的购买或使用范围之内。
除非合同另有约定，华为公司对本文档内容不做任何明示或默示的声明或保证。
由于产品版本升级或其他原因，本文档内容会不定期进行更新。
除非另有约定，本文档仅作为使用指导，本文档中的所有陈述、信息和建议不构成任何明示或暗示的担保。
华为技术有限公司地址：深圳市龙岗区坂田华为总部办公楼邮编：518129网址：https://客户服务邮箱：support@客户服务电话：4008302118如何配置AR路由器限制用户上网（Web方式）目录目录1 如何配置AR路由器限制用户上网（WEB方式） (1)1.1 常见的限制用户上网场景 (1)1.2 配置AR路由器限制用户上网的前提条件 (2)1.3 配置AR路由器限制内网用户上网 (2)1.3.1 限制用户的IP地址 (2)1.3.2 限制用户的MAC地址 (6)1.3.3 限制用户的VLAN (11)1.4 限制用户上网相关信息 (16)1如何配置AR路由器限制用户上网（WEB方式）1.1 常见的限制用户上网场景1.2 配置AR路由器限制用户上网的前提条件1.3 配置AR路由器限制内网用户上网1.4 限制用户上网相关信息1.1 常见的限制用户上网场景根据企业对内部员工上网权限的要求不同，本文总结了几种常见的限制用户上网场景，如表1-1所示。
表1-1常见的限制用户上网场景1.2 配置AR路由器限制用户上网的前提条件●已通过Web方式登录AR路由器。
华为AR系列路由器 01-07 快速配置功能配置
7快速配置功能配置关于本章通过配置快速配置功能，可以使以太网子接口能够从对端设备自动学习配置信息。
7.1 快速配置功能概述快速配置功能是指设备的子接口能够从对端设备自动学习并保存VLAN、IP地址和DLCI（Data link Connection Identifier）等配置信息的一种手段。
7.2 使能快速配置功能使能快速配置功能后，还需要对端设备发送PING报文才有可能触发自动学习。
7.3 维护快速配置功能通过清除子接口已经学到的配置信息，可以使得子接口重新自动学习相关配置。
7.4 快速配置注意事项介绍快速配置的配置注意事项。
7.5 配置举例介绍快速配置功能配置举例。
配置示例中包括组网需求、配置思路、配置步骤等。
7.1 快速配置功能概述快速配置功能是指设备的子接口能够从对端设备自动学习并保存VLAN、IP地址和DLCI（Data link Connection Identifier）等配置信息的一种手段。
在U盘开局场景中，当待配置设备数量很多时，如果为每一台设备单独准备不同配置文件，这样会耗费很多的人力和时间。
通过在U盘开局的配置文件中添加使能快速配置功能的配置信息，可以使得待配置设备的子接口能够从对端设备自动学习并保存VLAN、IP地址和DLCI等配置信息。
实现原理表7-1支持快速配置功能的子接口及其实现原理说明●当子接口上预配置了IP地址，使能快速配置功能之后，自动学习的IP地址会覆盖原有的IP地址。
●从触发子接口的自动学习功能开始，1小时之后全局快速配置功能和接口的快速配置功能将全被去使能。
如果在1小时之内重启设备，即使达到1小时，设备上的快速配置功能将不会自动去使能，此时需要通过执行命令行去使能快速配置功能。
●如果待配置设备有多个子接口使能快速配置功能，则按照子接口号从小到大的顺序触发自动学习功能。
例如设备有GE1/0/0.1和GE1/0/0.2两个子接口使能快速配置功能，当对端设备顺次执行ping1.1.1.1和ping2.2.2.2命令后，GE1/0/0.1自动学习的IP地址为1.1.1.1，GE1/0/0.2自动学习的IP地址为2.2.2.2。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
4 WLAN-FAT AP安全配置关于本章WLAN技术是以无线射频信号作为业务数据的传输介质，这种开放的信道使攻击者很容易对无线信道中传输的业务数据进行窃听和篡改。
通过配置WLAN安全，可以防止攻击者对WLAN网络的攻击，并有效保护合法用户的信息和业务。
4.1 WLAN-FAT AP安全介绍介绍WLAN安全的定义和目的。
4.2 用户接入安全原理描述介绍安全策略和STA黑白名单的实现原理。
4.3 WLAN-FAT AP安全应用介绍WLAN安全的应用场景。
4.4 WLAN-FAT AP安全缺省配置介绍WLAN安全特性中常见参数的缺省配置。
4.5 WLAN-FAT AP安全配置注意事项介绍WLAN-FAT AP安全的配置注意事项。
4.6 配置WLAN-FAT AP安全WLAN技术是以无线射频信号作为业务数据的传输介质，这种开放的信道使攻击者很容易对无线信道中传输的业务数据进行窃听和篡改。
通过配置WLAN安全，可以防止攻击者对WLAN网络的攻击，并有效保护合法用户的信息和业务。
4.7 WLAN-FAT AP安全配置举例介绍WLAN-FAT AP安全的配置举例，包括组网需求、配置思路、操作步骤和配置文件。
4.1 WLAN-FAT AP安全介绍介绍WLAN安全的定义和目的。
定义WLAN安全主要包括以下方面：●用户接入安全：用户接入无线网络的合法性和安全性，包括：链路认证，用户接入认证和数据加密。
●业务安全：保证用户的业务数据在传输过程中的安全性，避免合法用户的业务数据在传输过程中被非法捕获。
目的WLAN技术具有安装便捷、使用灵活、经济节约、易于扩展等优点。
但是WLAN技术是以无线射频信号作为业务数据的传输介质，这种开放的信道使攻击者很容易对无线信道中传输的业务数据进行窃听和篡改。
因此，安全性成为阻碍WLAN技术发展的最重要因素。
为了保障无线用户的安全性，WLAN安全可以提供：●针对无线用户的安全策略机制，包括链路认证，用户接入认证和数据加密。
4.2 用户接入安全原理描述介绍安全策略和STA黑白名单的实现原理。
4.2.1 安全策略WLAN安全提供了WEP、WPA、WPA2和WAPI四种安全策略机制。
每种安全策略体现了一整套安全机制，包括无线链路建立时的链路认证方式，无线用户上线时的用户接入认证方式和无线用户传输数据业务时的数据加密方式。
4.2.1.1 WEP有线等效加密WEP（Wired Equivalent Privacy）协议是由802.11标准定义的，用来保护无线局域网中的授权用户所传输的数据的安全性，防止这些数据被窃听。
WEP的核心是采用RC4算法，加密密钥长度有64位和128位，其中有24bit的IV（初始向量）是由系统产生的，所以WLAN服务端和WLAN客户端上配置的密钥长度是40位或104位。
WEP加密采用静态的密钥，接入同一SSID下的所有STA使用相同的密钥访问无线网络。
WEP安全策略包括了链路认证机制和数据加密机制。
链路认证分为开放系统认证和共享密钥认证。
详细的内容请参见2.2.4 STA接入过程中的“链路认证阶段”。
●如果选择开放系统认证方式，链路认证过程不需要WEP加密。
用户上线后，可以通过配置选择是否对业务数据进行WEP加密。
●如果选择共享密钥认证方式，链路认证过程中完成了密钥协商。
用户上线后，通过协商出来的密钥对业务数据进行WEP加密。
4.2.1.2 WPA/WPA2由于WEP共享密钥认证采用的是基于RC4对称流的加密算法，需要预先配置相同的静态密钥，无论从加密机制还是从加密算法本身，都很容易受到安全威胁。
为了解决这个问题，在802.11i标准没有正式推出安全性更高的安全策略之前，Wi-Fi联盟推出了针对WEP改良的WPA。
WPA的核心加密算法还是采用RC4，在WEP基础上提出了临时密钥完整性协议TKIP（Temporal Key Integrity Protocol）加密算法，采用了802.1X的身份验证框架，支持EAP-PEAP、EAP-TLS等认证方式。
随后802.11i安全标准组织又推出WPA2，区别于WPA，WPA2采用安全性更高的区块密码锁链-信息真实性检查码协议CCMP（Counter Mode with CBC-MAC Protocol）加密算法。
为了实现更好的兼容性，在目前的实现中，WPA和WPA2都可以使用802.1X的接入认证、TKIP或CCMP的加密算法，他们之间的不同主要表现在协议报文格式上，在安全性上几乎没有差别。
综上所述，WPA/WPA2安全策略涉及了链路认证阶段、接入认证阶段、密钥协商和数据加密阶段。
链路认证阶段链路认证分为开放式系统认证和共享式密钥认证，详细内容请参见STA接入过程中的“链路认证阶段”。
WPA/WPA2仅支持开放式系统认证。
接入认证阶段WPA/WPA2分为企业版和个人版：●WPA/WPA2企业版：采用WPA/WPA2-802.1X的接入认证方式，使用RADIUS服务器和可扩展认证协议EAP（Extensible Authentication Protocol）进行认证。
用户提供认证所需的凭证，如用户名和密码，通过特定的用户认证服务器（一般是RADIUS服务器）来实现对用户的接入认证。
在大型企业网络中，通常采用WPA/WPA2企业版的认证方式。
说明关于802.1X的原理描述，请参见《配置指南-安全》中的“802.1X认证”。
WPA/WPA2支持基于EAP-TLS和EAP-PEAP的802.1X认证方式，其认证流程如图4-1和图4-2所示。
图4-1基于EAP–TLS的802.1X认证流程图成PMKPMK图4-2基于EAP-PEAP的802.1X认证流程图成PMKPMK ●WPA/WPA2个人版：对一些中小型的企业网络或者家庭用户，部署一台专用的认证服务器代价过于昂贵，维护也很复杂，因此，WPA/WPA2提供了一种简化的模式，即WPA/WPA2预共享密钥（WPA/WPA2-PSK）模式，它不需要专门的认证服务器，仅要求在每个WLAN节点（WLAN服务端、无线路由器、网卡等）预先输入一个预共享密钥即可。
只要密钥吻合，客户就可以获得WLAN的访问权。
由于这个密钥仅仅用于认证过程，而不用于加密过程，因此不会导致诸如使用WEP密钥来进行802.11共享认证那样严重的安全问题。
802.1X认证可以支持对有线用户和无线用户进行身份认证，而PSK认证则是专门针对无线用户的认证方法。
PSK认证需要事先在STA和AP端配置相同的预共享密钥，然后通过是否能够对协商的消息成功解密，来确定STA配置的预共享密钥是否和AP配置的预共享密钥相同，从而完成STA和AP的互相认证。
如果密钥协商成功，表明PSK接入认证成功；如果密钥协商失败，表明PSK接入认证失败。
密钥协商阶段在802.11i里定义了两种密钥层次模型，一种是成对密钥层次结构，主要用来保护STA与AP之间往来的数据；一种是群组密钥层次结构，主要用来描述STA与AP之间的广播或组播数据。
密钥协商阶段是根据接入认证生成的成对主钥PMK（Pairwise Master Key）产生成对临时密钥PTK（Pairwise Transient Key）和群组临时密钥GTK（Group TemporalKey）。
PTK用来加密单播报文，GTK用来加密组播和广播无线报文。
●针对802.1X接入认证，生成PMK的流程图如图4-1所示。
●针对PSK认证，根据设置预共享密钥的方式不同（通过命令行可以选择设置预共享密钥的方式），生成的PMK方式也不同：–如果设置的预共享密钥是十六进制，则预共享密钥即是PMK；–如果设置的预共享密钥是字符串，则PMK是利用预共享密钥和SSID通过哈希算法计算出来的。
密钥协商包括单播密钥协商和组播密钥协商过程。
●单播密钥协商过程密钥协商过程也叫做四次握手过程，是通过EAPOL-Key报文进行信息交互的，如图4-3所示。
图4-3单播密钥协商流程图生成PTK安装PTKa.AP发送EAPOL-Key帧给STA，帧中包含随机数ANonce。
b.STA根据STA与AP的MAC地址、PMK、ANonce和SNonce计算出PTK，STA发送EAPOL-Key帧给AP，帧中包含SNonce、RSN信息元素和EAPOL-Key帧的消息完整码MIC（Message Integrity Code）。
AP根据PMK、ANonce、SNonce、AP的MAC地址、STA的MAC地址计算出PTK，并校验MIC，核实STA的PMK是否和自己的一致。
c.AP发送EAPOL-Key帧给STA，并通知STA安装密钥，帧中包含Anonce、RSN信息元素、帧MIC、加密过的GTK。
d.STA发送EAPOL-Key帧给AP，并通知AP已经安装并准备开始使用加密密钥。
AP收到后安装加密密钥。
●组播密钥协商过程组播密钥协商过程也叫做二次握手过程，此过程是在四次握手产生PTK并安装密钥后开始进行的，如图4-4所示。
图4-4组播密钥协商流程图a.AP计算出GTK，用单播密钥加密GTK，发送EAPOL-Key帧给STA。
b.STA收到EAPOL-Key帧后，验证MIC，解密GTK，安装组播加密密钥GTK，并发送EAPOL-Key确认消息给AP。
AP收到EAPOL-Key确认帧后，验证MIC，安装GTK。
数据加密WPA/WPA2支持TKIP和CCMP两种加密算法。
●TKIP加密算法区别于WEP共用一个共享密钥，TKIP采用一套动态密钥协商和管理方法，每个无线用户都会动态地协商一套密钥，保证了每个用户使用独立的密钥。
每个用户的密钥是由密钥协商阶段协商出来的PTK、发送方的MAC地址和报文序列号计算生成的，通过这种密钥混合的防护方式来防范针对WEP的攻击。
TKIP采用信息完整性校验机制，一方面保证接收端接收报文的完整性；另一方面保证接收端和发送端数据的合法性。
信息完整性校验码是通过密钥协商阶段协商出来的MIC Key、目的MAC地址、源MAC地址和数据包计算生成的。
●CCMP加密算法区别于WEP和TKIP采用的流密码机制，CCMP采用了以高级加密标准AES（Advanced Encryption Standard）的块密码为基础的安全协议。
这种基于块密码的加密技术克服了RC4算法本身的缺陷，安全性更高。
4.2.1.3 WAPI无线局域网鉴别与保密基础结构WAPI（WLAN Authentication and PrivacyInfrastructure）是中国提出的、以802.11无线协议为基础的无线安全标准。
WAPI能够提供比WEP和WPA更强的安全性，WAPI协议由以下两部分构成：●无线局域网鉴别基础结构WAI（WLAN Authentication Infrastructure）：用于无线局域网中身份鉴别和密钥管理的安全方案；●无线局域网保密基础结构WPI（WLAN Privacy Infrastructure）：用于无线局域网中数据传输保护的安全方案，包括数据加密、数据鉴别和重放保护等功能。