WLAN的漫游 - WLAN+RFID组合系统的应​用方案详解

5 WLAN的漫游

组合系统采用多小区无线局域网(指ESS：扩展服务组)。多小区无线局域网的一个功能是漫游，漫游功能使得无线用户可以从一个小区(Cel1)到另一个小区进行移动。因为802.11没有提供漫游的规范，所以就由WLAN供应商来定义漫游协议通常，各公司提供专用漫游协议，这类协议工作在具备802，11接口的分布系统之上。每一个工作站会定期评估可接收AP的信号强度，工作站将和信号最强的AP重新建立连接。

LucentTechnologies公司的WaveAROUND就是一个典型的专用漫游协议，它属于该公司的WaveLAN系列产品之一。下面以WaveAROUND为例介绍这个典型的专用漫游协议的工作过程。一个Wave LAN体系中的所有小区在一个无线网络中被相互连接起来，称为一个域。在域内，移动工作站可以自动地在不同的小区之间交换，以保持不间断的连接。移动工作站将监视其与当前所在小区的AP的通信质量，如果通信质量下降到低于一个预先设定的值，它就会开始寻找另一个小区。一旦找到，该工作站将检索并采用新小区的WLAN网络ID，保证网络的连通性。

在WaveAROUND工作模式下，多个小区不需要重叠。在小区重叠的位置，WaveLAN在终止与前一个AP的连接之前，已经连接到了新的AP，从而提供了稳定的网络连接。

AP以固定的间隔广播信标信息，从而支持漫游移动工作站。信标信息中包含域ID、AP的Wave LA 网络ID、通信质量信息和小区搜索阈(Cell Search Thresholds)的值。域ID指明了属于同一个Wave LAN漫游网绦的AP和耩动工作站。一个正在监听信标的移动工作站只会解释具有相同域ID 的信标信息。Wave LAN网络ID指明了Wave LAN网络的某一个特定小区，是为每一个AP分配的网络ID。它告知移动工作站在该地用哪一个Wave LAN网络ID与网络进行通信。

可以利用信标密钥(BeaconKey)对网络ID信息进行编码。通信质量信息帮助移动工作站决定与某个小区的AP的实际连接质量。小区搜索阈与通信质量水平有关，当通信质量下降，例如当移动工作站移往另一个地点时，就会激活小区搜索阅。在小区搜索模式下，移动工作站会监听信标开始搜索其它AP。依据环境选择不同的敏感度水平，可以改变阈值。

6 WLAN+RFID组合系统的信息安全

在选择RFID时，应该根据实际情况考虑是否选择具有密码功能的系统。在对安全功能没有要求的应用中，如果引用密码过程，会使费用增高。与此相反，在要求高安全性的应用中，如果省略密码过程，可能会由于使用假冒的应答器来获取未许可的服务，从而形成非常严重的疏漏。

WLAN使用无线电波传输介质，所以它的信息安全问题比较复杂，组合系统的信息安全重点是WLAN。由于WLAN已经采用了许多安全措施，RFID就可以不再设加密功能了。802.11采用的DSSS或FHSS不能视为安全措施的主要部分，因为这两种技术原本都只是通信技术，不能提供足够的抗恶意攻击的能力。802.11的安全机制通过加密和认证来实现，虽然这些机制并不十分完善和有效，但是，它们毕竟在发展补充，并且为网络提供安全措施。这些安全机制包括：WEP加密协议;用户认证方法，SSID的使用;MAC地址过滤。

如果组合系统仅是一个范围有限的内部网络，这些安全措施就足够了。如果组合系统是一个外联的网络，这些措施显然不足够 文献[4~6]介绍了这些安全机制及其存在的安全漏洞和缺陷：

①802.11默认的是开放系统认证，这等于没有认证，共享密钥认证存在重大漏洞，认证形同虚设;

②SSID几乎不能保证安全

③MAC地址过滤只能提供最简单的访问控制;

④算法存在巨大的安全漏洞

因此，必须采用新的安全措施，或者在原有安全机制的基础之上进行改进，才能确保WLAN的信息安全。目前，这方面的研究在国内外已有不少报导，文献[4~6]也做了介绍。下面介绍的是本课题组提出的一种新的安全防范补充措施： MAC、静态IP与用户口令的捆绑认证”(简称“捆绑认证”)。它基于上述原有的安全机制，能提高网络的安全性能其方法是：

(1)按照802.11建立基本的MAC地址过滤表。首先把网络中所有网络适配器的MAC硬件地址，即固化地址(burnedin)收集起来，建立一张MAC地址明细表 注明每个MAC地址所在的AP位置。然后通过设备厂商所提供的管理软件，在每一个AP的安全设置项中 建立合法用户的可信MAC地址表。该表组成了802.11所要求的MAC地址过滤器，可以实现MAC地址过滤;

(2)设立无线静态IP地址。WLAN利用了与以太网或令牌环访问方法相同的TCP/IP栈，其无线部分属于访问结构中的物理层和数据链路层。由于TCP/IP栈位于该结构的顶端，并且允许无缝集成 有线局域网中。也就是说，无线的IP地址与有线的lP地址在一定程度上等效，有线网络采用静态IP地址的安全策略在WLAN中仍然有用 因此，WLAN完全可以效仿有线局域网的做法，对所有合法用户建立一张IP地址表进行过滤。对WLAN不同的是，在该表中要注明每个IP地址所在的AP的位置以及每个IP指定其登陆口令;

(3)MAC地址、静态IP地址、用户口令的捆绑认证。首先在服务器中编写一个用户登陆认证程序。然后将上述建立的MAC地址过滤表、静态IP地址以及用户口令表在程序中分别建立对应的关联关系，将表中的MA C、IP、口令与其所在的AP的地址关联起来。

当移动用户请求登陆时，必须通过下面3个过程：

①用户首先要通过它所在的AP的SSID认证、MAC地址过滤、WEP认证;

② 进入服务器的认证程序。服务器的认证程序先将请求者的口令、IP、MAC读入寄存器，然后对IP、MAC所在AP，与其所在的AP地址进行比较，如果比较结果为“真”时，进入下一个认证步骤;

③ 只有当口令、IP和MAC三者与关联表一致时，方可登陆。

7 结束语

WLAN+RFID的组合系统建立在无线局域网和无线射频识别技术的基础之上，充分发挥了WLAN的无线连接和移动性的特点，以及RFID非接触式自动识别和多标签同时识读的特点，能为用户提供更快捷、更灵活的识别服务，其应用前景将十分宽广 但是，在实际应用中，组合系统还有许多技术问题有待今后更深入的研究和解决。