思科无线局域网 Passpoint 配置手册.PDFVIP

思科无线局域网Passpoint™ 配置手册 Last Updated: August, 2013 概述 本文档的目的是提供必要的Passpoint 相关配置实例，用于演示采用WiFi联盟Passpoint™认证的无 线接入点和无线客户端的自动网络发现、选择和连接等功能。通过使用该文档, 你可以像配置 Passpoint 1.0认证系统一样配置思科无线接入点/无线控制器。无线接入点和终端设备要求使用通过 WiFi 联盟(WiFi Alliance)Passpoint 认证的设备。通过无线接入点支持IEEE 802.11u协议- 进行 网络信息和其他必要信息的收集，并通过使用ANQP (访问网络查询协议)来实现终端和网 络侧信息的交互。 支持802.11u 的手机网络发现和选择是在预关联阶段从无线接入点/无线控制器收集的信息来进 行判断的。手机已经预先设置了相关的网络信息，如Home OI(Organization Identifier) 、Domain name 和Realm name 等信息，并保存在终端设备的配置文件里面。此外，终端设备可以从 SIM/USIM 卡上获取IMSI 数据。 支持802.11u的无线接入点可以提供各种信息列表，热点业主的详细资料，漫游合作伙伴名单，领 域列表，3GPP手机信息和域。领域列表列表还提供域名和其相关的EAP认证类型映射列表。了解 这些信息对于一个电话客户端是必不可少的, 这样做可以保证正确的EAP认证交换发生。 目前已经有很多设备通过了Passpoint 的认证，包括Samsung Galaxy-S4和Intel Centrino 6230 WiFi 芯 片组。本文给出的相关配置是基于终端Samsung Galaxy S4(OS v4.2.2) 。 本文档中描述的程序的显著优点是提供了一种在支持Passpoint 的手机客户端设备和无线接入点之间 的无缝认证手段, 这种认证可以在运营商内或跨运营商之间进行。通过这种无需干预的过程，最终 用户将体验如同3G或蜂窝服务一样的网络连接。 Passpoint 的一个好处是加强了对于非法无线接入点的安全性。在网络发现的过程中，服 务提供商的合法无线接入点会进行身份认证以便可以阻止来自非法无线接入点的电话客 户端的加入。验证过程中, 无线接入点的信息会出现在特定的Passpoint装置中以防止无意 的连接，如ad-hoc和其他恶意无线接入点广播的错误SSID标记。Passpoint系统介绍的其它 几项技术和方法可以让企业中的WPA2安全方式更强大。GTK随机化可以用来缓解WPA2 - “hole-196”的脆弱性, 它被更广泛的应用于在公共WiFi热点屏蔽P2P流量。 本文档中描述的配置列表按顺序写明了必要的证明和测试步骤。在这个演示中，对于 WLAN 的配置，包括无线控制器的配置，单个和多个SSID的配置将都会涉及必要的 Passpoint信息。这些额外的Passpoint信息会在信标或探针的响应信息中进行添加，这样拥 有Passpoint功能的手机客户端设备可以通过检测和查询无线接入点以获取进一步的信 息。在查询过程中，一种被称为ANQP(Access Network Query Protocol - 接入网络查询协 议) 的标准被遵循。该协议通过标准的2路或4路握手过程从无线接入点和ANQP服务器中 获得足够的信息，以确定手机客户端设备可以验证和关联的最佳无线接入点。这个过程 被称为GAS （Generic Advertisement Service - 通用通告服务）协议，该标准在 IEEE802.11u中定义。 图1 基本的 Passpoint 工作行为 在查询过程中，手机客户端设备将收集更多的信息而不仅仅是SSID ，如实际地点的名称， 实际热点运营商的名称和领域名称，这些都将作为主要元素可用于识别其认证资格。还有