切身体会引以为戒：防雾喷剂喷涂干燥后 一定必须必须必须必须擦拭干净. 7月17日周五，天气不错，外出办事提前到家。刚过梅雨，想着给车子做个除雾，下雨开车更安全。按照网上教程，除雾泡沫喷在抹布上再均匀涂抹在玻璃上，为了更好效果做了全车玻璃涂抹。 第一次喷涂防雾没经验，涂抹完就直接回家了。不知道干燥后还需要擦除多余的喷剂。晚上出门办事儿，上高架…过高速… 整个人都不好了。 所有的玻璃被灯光一照，整车四周一片白…一个路灯一个小太阳映在玻璃上… 完全看不到车外。前、后、左、右…… 立马整个人吓吓蒙了。因为出门就上高架无法立即下来，只好硬着头皮开。别人都快速度自己也不能太慢… 70码的速度跟着… 抓瞎… 赶紧的左窗落下，毛巾清洗后放后窗下够不着，幸好手套箱有备用卫生纸，使劲儿够着 把左后视镜擦了擦….瞬间清亮很多，至少能看到后面来车的车灯了。 中途经过高速公路分叉口，经过收费站… 隐隐约约看不清楚的前方道路分界线 加上 开过两次的记忆 ..配合着左后视镜，开完了后面2/3的路线….目的地的第一件事儿所有的玻璃全部擦了遍… 保安不让停车也不管了，命要紧… 这是自开车以来最危险的一次开车。

现代企业无线网络是必备，移动办公更是需求日益剧增。而带来的无线网络安全隐患随之而来，也是面临着巨大的挑战。所以对无线网络做接入认证是现在企业很迫切的需求。 Radius认证方案 Windows Server 体系内认证 架构模式：AD域控 + NPS服务 + AC控制器(无线AC控制器) 环境介绍： 类型： 环境 IP地址 备注 AD域控 主域控PDC 192.168.40.100 活动目录和DNS服务 AD域控 辅域控BDC 192.168.40.101 活动目录和DNS服务 NPS 主NPS 192.168.40.110 NPS服务 NPS 备NPS 192.168.40.111 NPS服务 AC AC控制器 10.250.50.100 无线AC控制器 说明： ① 主辅域控主要设计高可用，安装活动目录服务和DNS服务，作为公司内部的域控体系和域名解析服务，为各种系统提供目录数据库LDAP接入； ② NPS主要作为无线AC认证服务器Radius的接入和认证，调用域控用户认证和安全接入服务； ③ 无线AC控制器，主要是公司内部管理无线AP的设备，对无线AC的批量配置和管理。 环境配置： AD主辅域控的安装和配置在此就不说明，安装和配置都很简单，大概说下步骤： 1、安装Windows Server 2012 R2系统 2、联网更新系统补丁和组件 3、修改当前服务器名(规范命名)，想一个内网域名：itkmi.com(一般都是以公司域名命名) 4、安装活动目录服务和DNS服务(详细步骤略) NPS安装和配置： 安装过程： 角色名：网络策略和访问服务（网络策略服务器，主机凭据授权协议 两项）安装后和DNS/DHCP…

Windows Server 搭建企业无线认证(Radius认证方案) 认证协议介绍： 扩展认证协议EAP(Extensible Authentication Protocol) 是一个在无线网络或点对点连线中普遍使用的认证框架。它被定义在RFC 3748中，并且使RFC 2284过时，后又被RFC 5247更新。EAP不仅可以用于无线局域网，还可以用于有线局域网，但它在无线局域网中使用的更频繁。WPA和WPA2标准已经正式采纳了5类EAP作为正式的认证机制。 EAP是一个认证框架，不是一个特殊的认证机制。EAP提供一些公共的功能，并且允许协商所希望的认证机制。这些机制被叫做EAP方法，现在大约有 40种不同的方法。IETF的RFC中定义的方法包括：EAP-MD5, EAP-OTP, EAP-GTC, EAP-TLS, EAP-SIM，和EAP-AKA, 还包括一些厂商提供的方法和新的建议。无线网络中常用的方法包括EAP-TLS, EAP-SIM, EAP-AKA, PEAP, LEAP，和EAP-TTLS。 IEEE 802.1x协议认证就使用了EAP认证框架，因为EAP提供了可扩展的认证方法，但是这些认证方法的安全性完全取决于具体的认证方法，比如EAP-MD5、EAP-LEAP、EAP-GTC等，而802.1x最开始是为有线接入设计的，后来被用于无线网的接入，有线接入在安全性方面考虑毕竟少，如果要窃取信息需要物理上连接网络，而无线网完全不同，无线网信号没有物理边界，所以要使用802.1x的话，需要对802.1x进行安全性方面的增强，也就是增强EAP认证框架的安全性，而且要进行双向认证，那么EAP使用了IETF的TLS（Transport Layer Security）来保证数据的安全性。 现在主流的安全认证方法：EAP-TLS，PEAP，EAP-TTLS 分别介绍这三种方法： 1. EAP-TLS： EAP-TLS使用TLS握手协议作为认证方式，TLS有很多优点，所以EAP选用了TLS作为基本的安全认证协议，并为TTLS和PEAP建立安全隧道，TLS已经标准化，并且进过了长期应用和分析，都没有发现明显的缺点。 TLS认证是基于Client和Server双方互相验证数字证书的，是双向验证方法，首先Server提供自己的证书给Client，Client验证Server证书通过后提交自己的数字证书给Server，客户端的证书可以放到本地、放到key中等等. TLS有一个缺点就是TLS传送用户名的时候是明文的，也就是说抓包能看到EAP-Identity的明文用户名。 TLS是基于PKI证书体系的，这是TLS的安全基础，也是TLS的缺点，PKI太庞大，太复杂了，如果企业中没有部署PKI系统，那么为了这个认证方法而部署PKI有些复杂，当然，如果企业已经部署了PKI，那么使用EAP-TLS还是不错的选择。 2. EAP-TTLS：下同 3. EAP-PEAP: 正因为TLS需要PKI的缺点，所以设计出现了TTLS和PEAP，这两个协议不用建立PKI系统，而在TLS隧道内部直接使用原有老的认证方法，这保证了安全性，也减小了复杂度。 把TTLS和PEAP放到一起介绍的原因是他们俩很像，两个都是典型的两段式认证，在第一阶段建立TLS安全隧道，通过Server发送证书给Client实现Client对Server的认证（这里TTLS和PEAP仍然使用证书，但是这里的证书都是服务器证书，管理起来比TLS客户端证书要简单那的多）；当安全隧道一旦建立，第二阶段就是协商认证方法，对Client进行认证； TTLS利用TLS安全隧道交换类似Radius的AVPs（Attribute-Value-Pairs），实际上这些AVPs的封装和Radius都十分相似，TTLS这种AVPs有很好的扩展性，所以它几乎支持任何认证方法，这包括了所有EAP的认证方法，以及一些老的认证方法，比如PAP、CHAP、MS-CHAP、MS-CHAPv2等，TTLS的扩展性很好，通过新属性定义新的认证方法。 PEAP之所以叫Protected EAP，就是它在建立好的TLS隧道之上支持EAP协商，并且只能使用EAP认证方法，这里为什么要保护EAP，是因为EAP本身没有安全机制，比如EAP-Identity明文显示，EAP-Success、EAP-Failed容易仿冒等，所以EAP需要进行保护，EAP协商就在安全隧道内部来做，保证所有通信的数据安全性。其实PEAP最大的优点就是微软支持开发，微软在Windows系统内集成了客户端，微软和Cisco都支持PEAP，但是他们的实现有所区别。 三者对比： EPA-TLS是目前为止最安全的方式，但缺点也很明显，很多系统客户端并没有集成，客户端需要导入认证证书等等，所以当下WLAN认证方式最常用的是PEAP和EAP-TTLS这两种。下图是PEAP的认证粗略过程： 认证基本流程： 1、证书获取 证书主要用来进行终端和网络的相互认证。 Radius服务器首先向CA证书颁发机构申请服务器证书，用来代表Radius服务器的合法性。STA向CA证书颁发机构下载CA 根证书，用来验证Radius服务器下发的证书是否合法（一般情况下，如果终端不需要对网络进行认证的情况下，根证书可以不用下载和安装）。 2、无线接入 STA通过开放系统接入的方法（OPEN SYSTEM）和AP之间建立好物理连接。 3、认证初始化 ①…