1.802.11协议精读9：初探节能模式（PS mode）与缓存机制
2.无线入侵检测系统

802.11协议精读9：初探节能模式（PS mode）与缓存机制

       由于.协议的源码工作机制，设备在工作状态下能耗较高，源码尤其对移动设备而言，源码电池电量有限。源码因此，源码.协议初期就引入了节能模式。源码宣传页面源码本文主要讨论节能模式的源码基本思想和相关组件。关于MAC层工作机制，源码将在后续文章中详细展开。源码

       需要注意的源码是，本文原计划描述节能模式下的源码MAC层工作机制，但在整理缓存结构时发现内容较多，源码故进行了分拆。源码因此，源码本文主要介绍了.协议中的源码节能基本思想及所添加组件，具体MAC协议将在后续文章中补充。

       为了理解.节能机制，首先需要梳理wifi中的能耗。通常情况下，.设备有四种工作状态：Rx Idle、Rx、修复BBANK源码Tx和Sleep。其中，Rx Idle、Rx和Tx状态之间的关系需从之前的发送/接收过程理解。Rx Idle状态可转移至Rx或Tx状态。若信道有数据帧，则转移至Rx状态接收；若节点有数据发送且信道空闲，则转移至Tx状态发送。为保证无冲突，节点需长时间处于Rx Idle状态，从而消耗大量能量。因此，在.协议设计中，引入Sleep休眠状态以代替Rx Idle状态，达到节能目的。

       图表展示了wifi芯片中四种模式的功耗情况（参考《AR_Data_Sheet_》中第.1.5 Power Consumption节）。Sleep状态与其他状态的功耗差距较大，说明节能模式设置得当可达到良好的节能效果。

       节能模式的基本思想是减少Rx Idle状态的持续时间。在.中，tema公式源码提供了一种被动请求机制，使节点可以控制AP发送下行帧。因此，在节能模式下，.协议引入了两个机制：PS-Poll和Poll请求。

       缓存机制方面，本文简要介绍了AP对下行数据的缓存机制。在.协议中，数据帧的存放是通过FragSdu结构体进行定义的。在节能模式下，AP需要在缓存区查找对应节点的数据帧进行传输。

       内核中，缓存定义在openwrt源码的et/mac/Sta_info.h中。其中，ps_tx_buf用于存储节点的buffer。IEEE_NUM_ACS参数一般设为4，对应.e中的4种不同优先级队列。sk_buffer_head是一个结构体，用于快速找到链表头结点。

       从系统角度看，inno封装源码Wi-Fi也需要进行相应的参数设置，如节能模式的开启或关闭、调节DTIM参数等。

无线入侵检测系统

       现在随着黑客技术的提高，无线局域网 (WLANs)受到越来越多的威胁。配置无线基站(WAPs)的失误导致会话劫持以及拒绝服务攻击(Dos)都象瘟疫一般影响着无线局域网的安全。无线网络不但因为基于传统有线网络TCP/IP架构而受到攻击，还有可能受到基于电气和电子工程师协会(IEEE)发行.标准本身的安全问题而受到威胁。为了更好的检测和防御这些潜在的威胁，无线局域网也使用了一种入侵检测系统(IDS)来解决这个问题。以至于没有配置入侵检测系统的组织机构也开始考虑配置IDS的解决方案。这篇文章将为你讲述，为什么需要无线入侵检测系统，无线入侵检测系统的优缺点等问题。

       来自无线局域网的安全

       无线局域网容易受到各种各样的威胁。象.标准的加密方法和有线对等保密(WiredEquivalentPrivacy)都很脆弱。在 “WeaknessesintheKeySchedulingAlgorithmofRC-4”文档里就说明了WEPkey能在传输中通过暴力破解攻击。即使WEP加密被用于无线局域网中，黑客也能通过解密得到关键数据。

       黑客通过欺骗(rogue)WAP得到关键数据。上传源码解压无线局域网的用户在不知情的情况下，以为自己通过很好的信号连入无线局域网，却不知已遭到黑客的监听了。随着低成本和易于配置造成了现在的无线局域网的流行，许多用户也可以在自己的传统局域网架设无线基站(WAPs)，随之而来的一些用户在网络上安装的后门程序，也造成了对黑客开放的不利环境。这正是没有配置入侵检测系统的组织机构开始考虑配置IDS的解决方案的原因。或许架设无线基站的传统局域网用户也同样面临着遭到黑客的监听的威胁。

       基于.标准的网络还有可能遭到拒绝服务攻击(DoS)的威胁，从而使得无线局域网难于工作。无线通讯由于受到一些物理上的威胁会造成信号衰减，这些威胁包括：树，建筑物，雷雨和山峰等破坏无线通讯的物体。象微波炉，无线电话也可能威胁基于.标准的无线网络。黑客通过无线基站发起的恶意的拒绝服务攻击(DoS)会造成系统重起。另外，黑客还能通过上文提到的欺骗WAP发送非法请求来干扰正常用户使用无线局域网。

       另外一种威胁无线局域网的是ever-increasingpace。这种威胁确实存在，并可能导致大范围地破坏，这也正是让.标准越来越流行的原因。对于这种攻击，现在暂时还没有好的防御方法，但我们会在将来提出一个更好的解决方案。

       入侵检测

       入侵检测系统(IDS)通过分析网络中的传输数据来判断破坏系统和入侵事件。传统的入侵检测系统仅能检测和对破坏系统作出反应。如今，入侵检测系统已用于无线局域网，来监视分析用户的活动，判断入侵事件的类型，检测非法的网络行为，对异常的网络流量进行报警。

       无线入侵检测系统同传统的入侵检测系统类似。但无线入侵检测系统加入了一些无线局域网的检测和对破坏系统反应的特性。

       无线入侵检测系统可以通过提供商来购买，为了发挥无线入侵检测系统的优良的性能，他们同时还提供无线入侵检测系统的解决方案。如今，在市面上的流行的无线入侵检测系统是AirdefenseRogueWatch和AirdefenseGuard。象一些无线入侵检测系统也得到了Linux系统的支持。例如：自由软件开放源代码组织的Snort-Wireless和WIDZ。

       架构

       无线入侵检测系统用于集中式和分散式两种。集中式无线入侵检测系统通常用于连接单独的sensors，搜集数据并转发到存储和处理数据的中央系统中。分散式无线入侵检测系统通常包括多种设备来完成IDS的处理和报告功能。分散式无线入侵检测系统比较适合较小规模的无线局域网，因为它价格便宜和易于管理。当过多的sensors需要时有着数据处理sensors花费将被禁用。所以，多线程的处理和报告的sensors管理比集中式无线入侵检测系统花费更多的时间。

       无线局域网通常被配置在一个相对大的场所。象这种情况，为了更好的接收信号，需要配置多个无线基站(WAPs)，在无线基站的位置上部署 sensors，这样会提高信号的覆盖范围。由于这种物理架构，大多数的黑客行为将被检测到。另外的好处就是加强了同无线基站(WAPs)的距离，从而，能更好地定位黑客的详细地理位置。

       物理回应

       物理定位是无线入侵检测系统的一个重要的部分。针对.的攻击经常在接近下很快地执行，因此对攻击的回应就是必然的了，象一些入侵检测系统的一些行为封锁非法的IP。就需要部署找出入侵者的IP，而且，一定要及时。不同于传统的局域网，黑客可以攻击的远程网络，无线局域网的入侵者就在本地。通过无线入侵检测系统就可以估算出入侵者的物理地址。通过.的sensor数据分析找出受害者的，就可以更容易定位入侵者的地址。一旦确定攻击者的目标缩小，特别反映小组就拿出Kismet或Airopeek根据入侵检测系统提供的线索来迅速找出入侵者

       策略执行

       无线入侵检测系统不但能找出入侵者，它还能加强策略。通过使用强有力的策略，会使无线局域网更安全。

       威胁检测

       无线入侵检测系统不但能检测出攻击者的行为，还能检测到rogueWAPS，识别出未加密的.标准的数据流量。

       为了更好的发现潜在的WAP目标，黑客通常使用扫描软件。Netstumbler和Kismet这样的软件来。使用全球卫星定位系统(GlobalPositioningSystem)来记录他们的地理位置。这些工具正因为许多网站对WAP的地理支持而变的流行起来。

       比探测扫描更严重的是，无线入侵检测系统检测到的DoS攻击，DoS攻击在网络上非常普遍。DoS攻击都是因为建筑物阻挡造成信号衰减而发生的。黑客也喜欢对无线局域网进行DoS攻击。无线入侵检测系统能检测黑客的这种行为。象伪造合法用户进行泛洪攻击等。

       除了上文的介绍，还有无线入侵检测系统还能检测到Mac地址欺骗。它是通过一种顺序分析，找出那些伪装WAP的无线上网用户。

       无线入侵检测系统的缺陷

       虽然无线入侵检测系统有很多优点，但缺陷也是同时存在的。因为无线入侵检测系统毕竟是一门新技术。每个新技术在刚应用时都有一些bug，无线入侵检测系统或许也存在着这样的问题。随着无线入侵检测系统的飞速发展，关于这个问题也会慢慢解决。

       结论

       无线入侵检测系统未来将会成为无线局域网中的一个重要的部分。虽然无线入侵检测系统存在着一些缺陷，但总体上优大于劣。无线入侵检测系统能检测到的扫描，DoS攻击和其他的.的攻击，再加上强有力的安全策略，可以基本满足一个无线局域网的安全问题。随着无线局域网的快速发展，对无线局域网的攻击也越来越多，需要一个这样的系统也是非常必要的。