使用 PEAP 和密码确保无线 LAN 的安全

在 Internet 验证服务 MMC 中，打开“允许无线 LAN 访问”策略的属性，然后单击“编辑配置文件”。

在“拨入限制”选项卡的“客户端可以连接的时间（会话超时）”字段中，键入值 480（480 分钟，即 8小时）。

在“高级”选项卡上，添加“Ignore-User-Dialin-Properties”属性并将其设置为“True”，然后添加“Termination-Action”属性并将其设置为“RADIUS 请求”。

打开“无线网络”界面的属性。如果 WLAN 显示在“可用网络”列表中，则选择它并单击“配置...”；否则，单击“添加”（在“首选网络”部分中）。

将 WLAN 名称键入到“网络名称 (SSID)”字段中（如果该名称未显示在其中），并且在“说明”字段中输入网络说明。

注意：如果有一个现有的 WLAN，并打算将其与该解决方案的基于 802.1X 的 WLAN 一起运行，则必须针对这个新的 WLAN 使用一个不同的服务集标识符 (SSID)。然后，应在此处使用这个新的 SSID。

在“无线网络密钥”部分中，选择“WPA”（而非“WPA PSK”）作为“网络身份验证”类型，并选择“TKIP”作为“数据加密”类型。（如果您的硬件支持它，则可以选择更高的强度“高级加密标准”(AES) 来代替 TKIP）。

单击“IEEE 802.1x”选项卡，并从“EAP 类型”下拉列表中选择“受保护 EAP (PEAP)”。

单击“设置...”按钮修改 PEAP 设置。从“受信任根证书颁发机构”列表中，为该 CA 选择根 CA 证书。（这是已安装的用于颁发 IAS 服务器证书的 CA — 有关详细信息，请参阅第 4 章）。

要点：如果要从头重新安装 CA（而不仅仅是从备份还原），则需要编辑客户端设置并为这个新的 CA 选择根 CA 证书。

确保在“选择身份验证方法”中选择“安全密码 (EAP-MS-CHAP v2)”，并选中“启用快速重连接”选项。

单击“确定”关闭每个属性窗口。

配置所有无线 AP 以同时支持动态 WEP 和 WPA。

创建一个新的 WLAN 客户端设置 GPO。创建一个为 WPA 配置正确设置的无线网络策略（请参阅本附录中的“手动配置 Windows XP WLAN 设置”部分提供的过程）。然后，禁用现有 WEP GPO 并启用 WPA GPO，以便所有 WPA 设置发送到所有客户端。客户端将在下一个 GPO 刷新之后开始使用 WLAN 上的 WPA。

注意：如果要手动配置客户端，则必须禁用包含 WEP 设置的 GPO；否则，手动的 WPA 设置将被该 GPO 覆盖。

最后，应更新 AP 中的 IAS 远程访问策略会话超时和客户端会话超时（如本附录前面的“IAS 远程访问策略”部分所述）。

为 WPA 网络创建一个新 WLAN SSID。

编辑客户端网络设置 GPO 并使用 WPA 参数添加新 SSID（如本附录前面的“手动配置 Windows XP WLAN 设置”部分所述）。如果要手动配置客户端，则应使用新 SSID 及其 WPA 设置来配置这些客户端。在任何一种情况下都不要删除旧 WEP SSID 的设置。

逐个站点地执行操作，将 AP 从 WEP 重新配置为 WPA 支持，并更改 AP 的 SSID。重新配置每个 AP 时，客户端将切换到新 SSID 并使用 WPA。

重新配置所有 AP 后，可以更新所有 IAS 服务器上的远程访问策略。需要增大远程访问策略中的会话超时值（从 60 分钟到 8 小时），并更改无线 AP 中的相同设置（如本附录中的“IAS 远程访问策略”部分所述）。

迁移完成后，可以从 GPO 中删除 WEP SSID。