無線網路安全：七大關鍵設定技巧構建纵深防禦
無線網路便利性與風險並存。無法像有線網路透過物理埠口管控存取，必須主動部署多層次防護。本文提煉七大關鍵技巧，涵蓋存取控制、物理佈局、加密認證、身分管理、網路服務、管理介面與稽核追蹤，助您大幅提升防護等級。
一、嚴格關閉非授權存取：零信任原則落地
安全存取點定義：預設拒絕所有未明確授權的連線請求。任何裝置/用戶必須通過驗證機制 (PSK/802.1X/憑證/MAC 白名單) 才能完成關聯與通訊。移除「開放系統認證」預設行為，強制加密與驗證。
二、科學擺放天線位置：物理層邊界第一道防線
- 核心邏輯： 訊號覆蓋「剛好好」——授權區全覆蓋，非授權區最小化洩漏。
- 實作要訣：
- 天線置於服務區幾何中心 (非角落、非邊緣)。
- 嚴禁靠近外牆、窗戶、玻璃幕牆、金屬門 (訊號極易穿透外洩)。
- 善用承重牆、電梯井、機房牆等高衰減結構作為天然屏障。
- 適度降低發射功率 (15-18 dBm) 配合高增益/定向天線聚焦覆蓋。
- 多樓層採用「錯位佈放」避免垂直向疊加干擾與外洩。
- 驗證： 定期 Site Survey 熱力圖 + Wardriving 外部掃描，確認邊界洩漏 ≤ -80 dBm (或依組織策略)。
三、啟用強力無線加密協定：資料機密性鐵律
- 淘汰清單： WEP (RC4 破解)、WPA-TKIP (Michael 攻擊)、WPS (PIN 碼暴力破解) — **全部停用**。
- 基準配置 (個人/小型)： WPA2-Personal (AES/CCMP) + PSK ≥ 20 字元高熵值。
- 進階配置 (企業/高安)： WPA3-Personal (SAE, 防離線字典攻擊) 或 WPA2/3-Enterprise (802.1X/EAP-RADIUS) — 每用戶獨立憑證、動態金鑰、前向保密、可撤銷。
- 金鑰管理： 企業環境 RADIUS 共享密鑰/憑證定期輪換；家用環境建議季度更換 PSK。
四、自訂 SSID 並禁止廣播：隱身降低攻擊誘因
- 移除廠商預設特徵 (品牌、型號、ISP、default)。
- 命名無業務語意：`Zone_7F_WLAN`、`Home_Net_Sec`、`Lab_Alpha`。
- 停用 Beacon SSID 廣播：一般掃描不可見，需手動輸入 SSID 連線。阻擋機會性掃描、自動連線腳本、Evil Twin 偽裝誘騙。注意： 專業工具仍可偵測，屬纵深防禦一環。
五、禁用 DHCP 服務：阻斷入偵察與 IP 掠奪
- 關閉 Router/AP DHCP Server，改靜態 IP 指派或集中 IPAM 管理。
- 入侵者關聯 AP 後無法自動取得 IP/閘道/DNS，需手動猜測私有網段、閘道、DNS、可用 IP 範圍。
- 配合靜態 ARP、IP-MAC-Port 綁定、DHCP Snooping/DAI/IP Source Guard，構建 Layer 2/3 強韌防線。
- 管理自動化：IPAM 工具 (NetBox, phpIPAM, Infoblox) 或控制器集中下發。
六、禁用或強化 SNMP：封堵管理面資訊洩漏
- 停用 SNMPv1/v2c (明文 Community String `public`/`private`)。
- 必須啟用 → 僅 SNMPv3 (AuthPriv: SHA-256/AES-256)，複雜憑證，ACL 僅允許 NMS IP，最小 MIB 視圖，禁用 SET 或嚴格限制。
- 定期輪換憑證，審核異常查詢日誌。
七、設定存取控制清單 (ACL)：精準管控終端準入
- MAC 白名單 (基礎)： 適用固定裝置、小規模。定期審核清單 (離職/報廢移除)。
- 802.1X + RADIUS + 動態 VLAN/ACL (企業標準)： 基於身分動態授權。支援訪客隔離、IoT 微分割、NAC 健康檢查整合。
- 自動化同步： TFTP/REST API/gNMI 從 CMDB/NAC 同步授權清單至所有 AP/Controller，消除手動同步風險。
- 應用層 ACL (L7)： 次世代防火牆/控制器支援基於 App-ID/URL 分類/用戶群組的精細存取控制 (如: 員工組可存取 Office 365/內部 ERP，訪客組僅 HTTP/HTTPS/DNS)。
實施檢查清單
| 項次 | 檢查項目 | 合規基準 | 驗證方式 |
|---|
| 1 | 非授權存取控制 | 無開放 SSID、無匿名關聯、預設拒絕 | 嘗試無憑證關聯 → 應失敗 |
| 2 | 天線佈局/功率 | 中心佈放、遠離外牆/窗、功率適度、定向聚焦 | Site Survey 熱力圖、Wardriving 外部掃描 |
| 3 | 加密協定 | WPA2-AES/WPA3-SAE/Enterprise、禁用 WEP/TKIP/WPS | 抓包驗證 4-way handshake、PMF、SAE |
| 4 | SSID 管理 | 非預設、無語意、停用廣播 | 掃描清單無顯示、手動連線成功 |
| 5 | DHCP 狀態 | 關閉 (靜態/IPAM) 或受控範圍+Snooping/DAI | 新裝置連線無自動 IP、手動設定可通 |
| 6 | SNMP 設定 | 停用 v1/v2c、v3 AuthPriv+ACL+最小視圖 | snmpwalk v2c 失敗、v3 成功且受限 |
| 7 | 存取控制清單 | MAC 白名單/802.1X 動態授權、自動化同步 | 未授權 MAC 拒絕、授權 MAC 獲動態 VLAN/ACL |
逐項落實、定期複核、持續改進，讓無線網路安全從「配置」進化為「能力」。