無線網路安全配置：六大核心要素構建「零洩漏」存取點

無線網路訊號無形穿透邊界，使得存取點 (AP) 面臨比有線網路更複雜的威脅面。任何覆蓋範圍內的裝置皆可嘗試連線，草率配置將導致「服務拒絕」甚至成為攻擊跳板。本文系統闡述六大關鍵配置要素，落實防止資訊向非授權外部洩漏的核心原則。

要素一、科學規劃天線安裝位置：物理層邊界控制

目標：訊號能量聚焦授權區域，最小化外洩。

• 中心佈放：AP/天線置於目標服務區域幾何中心，實現均向覆蓋。
• 遠離外牆/窗戶：玻璃、木門、石膏板對 2.4/5GHz 微波透射率極高。天線避免直對窗戶、玻璃幕牆、薄隔間。
• 利用建築屏障：承重牆、電梯井、機房牆、金屬飾面作為天然屏障阻擋外洩。
• 方向性天線聚焦：走廊、倉庫、室外定點傳輸採用八木/平板/抛物面天線，壓縮波瓣寬度 (H/V-plane 30°-60°)，大幅降低側向/後向輻射。
• 功率微調：將發射功率從預設最大 (20-23 dBm) 降至 15-18 dBm，配合 Site Survey 驗證覆蓋邊界恰好落在授權區域邊緣。
• 驗證手段：專業 Site Survey 工具 (Ekahau, AirMagnet, TamoGraph) 繪製熱力圖；Wardriving (車載/手持掃描) 驗證外部可見度。

要素二、強制啟用 WPA2/WPA3 加密：淘汰 WEP、TKIP

WEP (Wired Equivalent Privacy)：RC4 金鑰排程缺陷、IV 空間小 (24-bit)、無完整性保護、無金鑰管理。**1999 年標準、2001 年破解、2004 年棄用、嚴禁使用。**

WPA-TKIP：過渡方案，同樣基於 RC4，存在 Michael MIC 攻擊、ChopChop 攻擊。**已棄用，禁用。**

強制基線配置：

• 個人/小型辦公： WPA2-Personal (AES/CCMP) + PSK ≥ 20 字元高熵值 (大小寫+數字+符號)，定期輪換 (季/半年)。
• 企業/機關/高安環境： WPA2-Enterprise / WPA3-Enterprise (802.1X/EAP-TLS/PEAP-MSCHAPv2/EAP-TTLS) + RADIUS (NPS, FreeRADIUS, ISE, ClearPass)。每用戶/裝置獨立憑證/帳號，支援動態金鑰更新、前向保密、撤銷機制。
• Wi-Fi 6/6E/7 環境： 優先啟用 WPA3-Personal (SAE) 或 WPA3-Enterprise (192-bit Suite B)，原生防禦離線字典攻擊、強制 GCMP-256 加密。

要素三、自訂 SSID 並停用廣播：降低偵察曝光面

• 移除廠商特徵： 預設 SSID (TP-Link_XXXX, ASUS, Hinet_XXXX, default) 洩露廠牌/型號/ISP，助長針對性攻擊 (預設密碼、已知漏洞、惡意 AP 偽裝)。
• 命名原則： 無個資 (姓名/電話/地址)、無位置暗示 (7F_Office, Server_Room)、無功能暗示 (Guest, IoT, Admin, Backup)、無序號/資產編號。建議：`Corp_WLAN_01`、`Home_Zone_A`、`Project_Alpha`。
• 停用 SSID 廣播 (隱藏 SSID)： Beacon Frame 不攜帶 SSID (長度=0)。一般掃描清單不顯示，連線需手動輸入完整 SSID。局限： 無法阻擋主動掃描 (Probe Request/Response)、Kismet/Airodump-ng 等專業工具。定位： 阻擋 90%+ 機會性蹭網、自動連線腳本、隨意嘗試，作為纵深防禦一環。

要素四、停用 DHCP 服務：增加入偵察與側向移動成本

原理： 關閉 AP/Router DHCP Server，改用靜態 IP 指派或集中式 IPAM (IP Address Management) 下發。

• 入侵者破解加密關聯 AP 後，面臨「盲目猜測」：網段 (10/172.16-31/192.168)、閘道 IP (.1/.254/其他)、子網路遮罩 (/24-/30)、DNS IP、VLAN ID。
• 需主動掃描 (ARP/Ping/NDP) 發現存活主機，大幅增加偵察時間、流量特徵與被 IDS/IPS/WIPS 偵測機率。
• 配套措施： 靜態 ARP 綁定 (IP-MAC)、Port Security (限制每埠 MAC 數/靜態綁定)、DHCP Snooping/DAI (Dynamic ARP Inspection)/IP Source Guard (防禦 ARP 欺騙/冒充)、VLAN 劃分隔離廣播域。
• 管理成本權衡： 中大型環境建議搭配 IPAM 自動化工具 (Infoblox, BlueCat, phpIPAM, NetBox) 或控制器集中下發，避免手動維護錯誤。

要素五、停用或強化 SNMP 管理介面：保護管理平面機密

• SNMPv1/v2c 風險： Community String (public/private) 明文傳輸，等同管理員密碼裸奔。`snmpwalk` 可枚舉介面、路由表、ARP 表、CPU/記憶體/流量統計、設備序號/韌體版本 — 完整資產情報。
• 強制措施：
  1. 不需監控 → 徹底停用 SNMP Agent。
  2. 必須啟用 → **僅 SNMPv3 (AuthPriv 模式: SHA-256/AES-256)**，複雜用戶名/認證密鑰/隱私密鑰。
  3. ACL 限制來源 IP：僅允許 NMS 管理主機/跳板機 IP 存取 UDP 161/162。
  4. 最小化 MIB 視圖 (VIEW)：僅開放必要監控 OID (介面流量、CPU/記憶體、環境狀態)，關閉配置寫入 (SET) 權限或嚴格限制。
  5. 定期輪換憑證 (季/半年)，審核異常 GET/GETNEXT/GETBULK/SET/WALK 請求日誌。

要素六、部署精細存取控制清單 (ACL)：終端級精準管控

• MAC 白名單 (基礎層)： 僅允許登錄 MAC 關聯。適用裝置固定、數量可控 (≤50) 環境。局限： MAC 可偽造 (`macchanger`, 驅動屬性)、管理負擔大 (新增/異動/報廢同步)。
• 802.1X 入口控制 + 動態授權 (企業標準)：
  • Supplicant (Client) ↔ Authenticator (AP/Controller) ↔ Authentication Server (RADIUS)。
  • EAP 方法：EAP-TLS (雙向憑證、最強)、PEAP-MSCHAPv2 (用戶名密碼+伺服器憑證、普及)、EAP-TTLS/PAP (舊系統相容)。
  • RADIUS 回應屬性：`Tunnel-Type=VLAN`, `Tunnel-Medium-Type=IEEE-802`, `Tunnel-Private-Group-ID=` → 動態指派 VLAN (員工/訪客/IoT/管理)。`Filter-Id` / `Vendor-Specific` → 動態下發 ACL (防火牆規則)。
  • Session Timeout / Re-authentication 定期強制重新驗證。
• 自動化同步機制： 控制器/AP 支援 TFTP/SCP/REST API/gNMI 定期從 CMDB/NAC/Identity Store (AD/LDAP/Cloud Identity) 同步授權清單，消除多 AP 手動同步延遲與人為疏失。

---

纵深防禦延伸：超越六大要素的持續韌性建設

1. 網段微隔離： 訪客/員工/IoT/伺服器/管理 分離 VLAN，啟用 AP Client Isolation、Private VLAN Edge、ACL 阻斷橫向存取。
2. 無線入侵偵測/防禦 (WIDS/WIPS)： 專用感測器或 AP 内建偵測：Rogue AP、Evil Twin、Deauth/Disassoc Flood、Kr00k/CVE-2019-15126、異常關聯/認證模式、未授權裝置。自動封鎖/告警/定位。
3. 客戶端准入檢查 (NAC/Posture Assessment)： 連線前強制檢查：防毒啟動/病毒碼新、OS 補丁版本、磁碟加密 (BitLocker/FileVault)、防火牆啟用、合規軟體安裝。不合規導向修復 VLAN/隔離區。
4. 加密流量可見性 (TLS 1.3/DoH/DoT/ESNI/ECH)： 部署 SSL 檢查 (中間人解密/重簽) 或流量指紋分析 (JA3/JA3S)、加密 SNI 解析，識別惡意 C2、數據外洩、惡意軟體下載。
5. 定期紅隊/滲透測試： 年度委託獨立第三方實戰演練，驗證配置有效性、發現邏輯漏洞、測試事件回應流程。
6. 韌體/軟體供應鏈安全： 訂閱廠商安全公告 (CVE)、自動化韌體更新管線 (測試→灰度→全量)、驗證簽名/哈希、SBOM (Software Bill of Materials) 審核。

無線網路安全是持續演進的攻防博弈。六大要素奠定基線，纵深延伸構建韌性。唯有「配置即代碼、驗證自動化、監控全覆蓋、回應劇本化」，才能在威脅演進中守護無線資產安全。