Wi-Fi及无线网状网Mesh的安全

802.1X是一个标准，它使用的主要协议则是基于一个IETF定义的叫EAP的协议。EAP是"可扩展认证协议"的意思(ExtensibleAuthenticationProtocol)。顾名思义，EAP是一个可扩展的协议框架。具体的EAP协议则可以有很多种，例如EAP-TLS,EAP-TTLS,PEAP等等。EAP最初并非为局域网(LAN)设计，所以EAP在局域网上的实现有一个自己的名字：EAPOL，是EAPoverLAN的意思。EAPOL就是802.1X的核心部分。

802.1X和EAP都并非为Wi-Fi而设计，但却在Wi-Fi上找到了广泛的应用。在802.1X的典型体系结构中,有以下三个参与信息交互的角色：

英文中分别叫Supplicant,Authenticator和Authentication Server。

所谓Supplicant就是认证的客户端，在Wi-Fi中通常就是要求连接的无线客户端上的认证软件。AuthenticationServer就是认证服务器。在Wi-Fi中，通常是AP来充当Authenticator的角色。当进行802.1X/EAP认证时，在客户端和AP间运行的就是EAPOL协议，而在AP和认证服务器之间运行的通常是一个叫RADIUS(RemoteAuthenticationDialIn UserService)。其实802.1X并不指定AP和认证服务器之间运行什么协议，RADIUS只是一个事实上的标准，绝大部分的应用都是用的RADIUS协议。同样原因，通常的认证服务器就是一个RADIUS服务器。

一个典型的802.1X认证过程通常是这样的：

无线客户端向AP发一个EAPOL-Start的包提出认证请求，AP收到后会向无线客户端作出回应(EAPRequest/Identity包)，之后两者之间就会开始更多的EAP交互。但在这个过程中AP基本上是一个透明的转发者。它把从无线客户端收到的EAP包，翻译并封装成RADIUS包转发给RADIUS服务器。RADIUS服务器回的包同样也会被翻译回EAP的包送给客户端。整个交互完成后，AP会最终从RADIUS学到认证是否成功，从而决定是否给予无线客户端以访问权限。

关于802.1X的模式，可以用下图说明：

PSK

PSK是Pre-SharedKey的缩写，即预共享的密钥。WPA和802.11i/WPA2都支持一个PSK的模式。简单的说，PSK模式是一个简化的WPA/802.11i，是一个没有802.1X部分的WPA或802.11i。

802.1X在WPA和802.11i的应用中，除了认证之外，还提供一个作用，它会让客户端和认证服务器之间产生一个叫PMK(PairwiseMasterKey)的密钥。PMK是WPA/802.11i密钥层级里的最顶层，是所有其它密钥产生的基础，极其重要。

但在PSK模式里，由于没有802.1X的参与,PMK则是象WEP的密钥一样预装，但跟WEP不同的是，所有最终用于加密及其它一些功能的密钥仍是动态产生的。而且，PSK模式也包含WPA和802.11i中除了802.1X以外的所有其它功能。所以PSK模式虽然没有完整的WPA和802.11i/WPA2模式那么全面，仍是一个很强的安全方案。

Mesh路由器之间的安全

以上主要是介绍Wi-Fi中AP与客户端之间的安全发展及现状。在Mesh中，AP与客户端之间的安全仍是安全的重要部分，但同时Mesh也引入了Mesh内部路由器之间的安全问题。这里简单介绍一下。

由于一个Mesh通常由一个供应商提供设备，所以Mesh路由器之间的安全目前并没有标准。802.11s是未来的Mesh标准，但并没有出台。所以通常路由器之间的安全用的是各个供应商之间的私有解决方案。

一个通常的做法是利用以上提到的传统Wi-Fi安全方案，包括802.11i在内。有的Mesh路由器之间会选用基于安全证书的认证方式，具体实现既可能是通行的802.1X方式，或其它方式(包括私有方式)。Mesh供应商还可能选择其它的私有协议来实现Mesh路由器之间的安全。

在各种方式中，WPA和802.11i的PSK模式是一种很可行的方案。如以前提到，PSK本身是一个很强的安全方案的安全方案。同时因为不要求一个专门的认证服务器，符合Mesh在室外布设和分布式的特点。对PSK密钥管理上的缺点，由于一个Mesh的各个节点相对固定，数量也相对较有限，所以也不是问题。

阿德利亚的Mesh安全

这里顺带介绍以下阿德利亚作为一家发起于美国硅谷的新兴Mesh供应商在安全方面的支持.

在客户端接入方面，阿德利亚提供全套的安全支持。这包括WEP，WPA和802.11i/WPA2的支持。同时也支持PSK的模式，适合不同类型用户的需求。阿德利亚的Mesh路由器提供有命令行，WEB界面，网络管理软件等多种功能强大的配设方式，配置起来很方便。

与此同时,阿德利亚还提供一些例如MAC地址过滤等辅助安全措施。

在Mesh路由器之间，阿德利亚不仅提供基于PSK的安全支持，同时通过私有协议进一步确保只有用户授权的阿德利亚路由器才能进行组网。阿德利亚同时也在积极关注802.11s标准的最新进展以提供相应的支持。