无线网络安全实验实战：从环境搭建到认证与攻击检测

简介《无线网络安全实验.pdf》是一份围绕“无线网络安全性研究与实践”的中文实验报告文档源自《信息系统安全技术及应用》课程实验教学环节面向信息安全、网络工程等专业的本科生以及需要完成类似课程设计的人群。整个资源仅1个PDF文件大小约17KB便于快速打开与转存文档中包含了课程名称、实验项目、实验仪器PC机、因特网、系别专业、班级、组长与组员信息、实验日期、指导教师等报告必备字段可当作无线安全实验报告的标准版式模板或撰写参照。目前已有167人浏览学习适合需要完成同类实验报告、梳理无线网络安全性研究与实践相关流程的读者使用借助该PDF可迅速搭建规范报告结构对照典型实验要素组织内容减少格式化排版时间将更多精力聚焦实验数据记录与结论分析是一份轻量且实用的课程实验参考资料。1. 无线网络安全实验为什么我先劝你把战场搬进虚拟机很多人第一次接触《无线网络安全实验》这类pdf时第一反应是找台带无线网卡的笔记本装上Kali就开始刷monitor模式结果要么把办公室WiFi打断要么抓包抓到一半发现网卡根本不支持监听。我给你的建议正好相反真机实验放在最后先把战场搬进虚拟机和隔离网段。无线网络安全实验真正要练的是完整搭出一套包含AP、认证服务器、终端的无线网络再在可控范围内做加密、认证、攻击与检测验证。这套实验能解决的问题不是一个具体CVE而是建立你对无线链路黑匣子的手感——知道四次握手在哪一步会断知道断流是干扰、攻击还是覆盖盲区。适合网工、安全工程师、学生也适合想进入无线攻防方向的新手。标题里的pdf只是起点能不能跑通取决于你的实验网段够不够隔离、RADIUS参数是否一致、有没有一份能复现的配置模板。2. 搭一套无线网络安全实验环境拓扑、选型与最小配置2.1 实验环境选型为什么我推荐「模拟器容器」而不是一台Kali做无线安全实验最大的误区是拿一台Kali笔记本当全部环境。攻击端只是其中一环你还需要被攻击的无线网络、认证服务器和终端。常见做法是用ENSP或GNS3搭无线控制侧用Docker跑FreeRADIUS和Portal服务器最后用真实AP或支持AP模式的旧路由器做射频出口。网上很多ensp无线网络配置实例只教你连AC和AP但不会告诉你模拟器里没有真实的射频信号所以它只能验证配置逻辑不能验证空口行为。攻击类实验则需要真实AP和一块支持monitor模式的无线网卡。选型时看三个边界是否需要真实射频、是否要验证RADIUS交互、是否允许改动DHCP网段。根据这三个边界我一般用下面这个组合做实验起点。实验目标推荐组合不推荐配置逻辑与认证流程ENSP模拟器 Docker跑FreeRADIUS纯真机直接配置空口抓包与Deauth攻击真实AP Kali RTL8812AU网卡模拟器抓空口包Portal认证实验Linux主机 hostapd nodogsplash硬路由刷第三方固件不推荐硬路由刷固件的原因很简单刷机变砖风险高不同固件版本差异大出了问题很难判断是实验配置还是固件bug。而Docker里的FreeRADIUS可以随时销毁重建适合反复折腾。模拟器方案也有边界ENSP对WPA2/WPA3握手过程几乎是黑匣子看不到实际空口报文所以抓包类实验必须转到真实AP上做。2.2 最小无线实验拓扑ENSP模拟器与真实AP的分工先给一套能跑通的最小拓扑一台ACENSP模拟或真实控制器、一台AP、一台FreeRADIUS服务器、一台Portal服务器、一台STA虚拟机或手机。管理网段和业务网段必须分开否则DHCP冲突和广播风暴会在实验一开始就给你上一课。以华为ENSP为例AC侧的关键命令如下# 在ENSP的AC上创建管理VLAN和业务VLAN vlan batch 10 20 30 # 管理VLAN用于CAPWAP源地址和AP管理 interface Vlanif10 ip address 192.168.10.1 255.255.255.0 # 业务VLAN给无线终端分配地址 interface Vlanif20 ip address 192.168.20.1 255.255.255.0 # 指定CAPWAP源地址为管理网段地址 capwap source interface vlanif10这段配置解决了两个问题一是把AP管理流量和用户业务流量分开二是指定CAPWAP源地址后AP才能稳定建立控制通道。真实AP接入时把AP的LAN口接到实验交换机上SSID绑定到业务VLAN 20。如果使用胖AP模式则直接用AP的LAN口做网关SSID走自己的DHCP池。我在实际实验里更推荐胖AP模式做攻击实验因为瘦AP模式下AC可能触发漫游或负载均衡干扰你观察单AP上的Deauth攻击。2.3 无线网络Radius认证接入的落地配置FreeRADIUS与AP对接参数RADIUS认证接入是实验里最容易出错的环节。先看FreeRADIUS侧的客户端定义修改clients.confclient 192.168.20.0/24 { secret testing123 shortname lab-ap nas_type other }这里192.168.20.0/24是AP所在网段secret是共享密钥AP侧必须配置成一样的值。nas_type选other最稳妥因为实验AP的NAS类型不在FreeRADIUS预设列表里时默认行为可能不一致。再为用户添加一条测试账号labuser Cleartext-Password : lab123456 Service-Type Framed-User, Framed-IP-Address 192.168.30.50, Framed-MTU 1400保存后重启FreeRADIUS用radtest本地验证radtest labuser lab123456 127.0.0.1 1812 testing123输出里出现Access-Accept说明本地RADIUS服务正常再让AP对接这个服务器。AP侧需要配置认证服务器IP为FreeRADIUS所在主机认证端口默认1812计费端口默认1813共享密钥必须与clients.conf中的secret完全一致。这里有个细节很多AP默认把设备管理IP所在的网段当作NAS-IP如果这个IP不在FreeRADIUS的client网段里认证请求会被直接丢弃。我建议在AP上显式指定RADIUS NAS IP为业务网段网关而不是沿用自动获取的地址。3. 无线加密与Portal认证实验WPA2抓包、Radius与开源访客网络3.1 抓包验证WPA2四次握手Wireshark过滤规则与关键字段做无线加密实验第一件事是能用抓包看到握手过程。开始之前把无线网卡切换到monitor模式# 停止NetworkManager对网卡的管理 sudo systemctl stop NetworkManager # 将wlan0切换到monitor模式 sudo airmon-ng start wlan0然后启动Wireshark抓包过滤器建议这样写wlan.fc.type_subtype 0x08 || eapolwlan.fc.type_subtype 0x08表示Beacon帧eapol表示802.1X/EAPOL帧这两个条件足以让你看到AP广播和四次握手。如果用命令行抓包可以用tshark -i wlan0mon -Y eapol || wlan.fc.type_subtype 0x08 -w handshake.pcap-Y是显示过滤器-w把结果写入pcap文件。抓到四次握手后重点看EAPOL帧里的Key Descriptor Type值为2表示WPA2的成对密钥握手。四个Message分别对应AP的ANonce下发、STA的SNonce回复、AP安装密钥通知、STA确认安装。如果只看到Message 1和2说明握手在第三次之前失败了常见原因是AP和STA的密码策略不一致或者你抓包的时候STA刚好在省电模式。3.2 Radius认证接入实验从配置文件到Access-AcceptRADIUS实验的重点不是让认证通过而是在认证失败时能定位到具体环节。上一章里我们配置了clients.conf和用户文件现在要把完整链路串起来。先查看FreeRADIUS日志sudo tail -f /var/log/freeradius/radius.log然后在终端发起一次认证请求radtest labuser lab123456 127.0.0.1 1812 testing123正常响应是Access-Accept。如果返回Access-Reject在日志里会看到Failed to authenticate the user这时先检查共享密钥是否一致再检查账号密码。还有一个容易被忽略的点radtest默认走UDP 1812如果FreeRADIUS配置了监听IPv6你输入127.0.0.1可能没响应需要确认服务器同时监听了IPv4。RADIUS认证接入的一个重要参数是下发VLAN。在企业环境里访客和员工往往通过RADIUS的动态VLAN区分。在FreeRADIUS用户文件里加一行Tunnel-Type VLAN, Tunnel-Medium-Type IEEE-802, Tunnel-Private-Group-Id 30AP收到Access-Accept后会带上这些属性把用户划入VLAN 30。实验时可以用这个方式验证「认证通过后自动切换网段」的完整闭环。如果AP没有动态VLAN效果先确认AP的RADIUS模板里勾选了「允许服务器下发VLAN」这个开关默认关闭。3.3 开源访客无线网络Portal服务器HTTP重定向与登录页逻辑Portal认证是访客网络最常见的认证方式核心逻辑是终端连上SSID后访问任意HTTP页面时被重定向到认证页认证通过后防火墙规则放行。开源方案里我用得最多的是hostapd配合nodogsplash。先写hostapd配置interfacewlan1 drivernl80211 ssidGuestLab hw_modeg channel6 wpa2 wpa_passphraseGuestPass wpa_key_mgmtWPA-PSK rsn_pairwiseCCMP这段配置创建了一个名为GuestLab的WPA2-PSK热点。注意channel6固定信道实验时如果开启自动信道选择后续抓包和Deauth攻击实验会因为信道跳变而翻车。接着配置nodogsplashGatewayInterface wlan1 GatewayAddress 192.168.30.1 MaxClients 50 FirewallRuleSet pre-authenticated { FirewallRule allow tcp to 192.168.30.1 FirewallRule allow udp to 192.168.30.1 FirewallRule allow udp port 53 } FirewallRuleSet authenticated { FirewallRule allow tcp to 0.0.0.0/0 FirewallRule allow udp to 0.0.0.0/0 }GatewayAddress是Portal服务器地址FirewallRuleSet pre-authenticated规定了认证前允许访问的范围只能访问Portal网关和DNS。authenticated规则在认证通过后生效放行所有TCP/UDP流量。这段逻辑是Portal认证的核心没有放行DNS用户打开页面会直接超时没有放行到网关的HTTP重定向页永远不会出现。手机端如果强制走HTTPSnodogsplash默认只拦截80端口这时需要手动访问http://192.168.30.1才能触发重定向。4. 无线攻击与检测实验Deauth、Rogue AP与断流测试4.1 攻击实验的合法边界隔离网段、白名单与销毁策略无线攻击实验最容易越界所以把边界放在第一位。你只能在完全属于自己的、且与生产网络隔离的实验环境里操作。我每次做实验前会先确认三件事实验AP是否接在独立交换机上、STA和攻击终端是否都在实验网段、攻击结束后是否关闭AP或删除测试SSID。白名单机制可以这样加在AP上配置仅允许指定MAC地址关联把攻击终端和STA的MAC加进去避免误伤隔壁教室或同事的设备。实验网段建议用192.168.200.0/24这类明显与办公网不重叠的地址DHCP就交给实验AP或单独Linux主机不要复用公司现有DHCP。攻击工具只对实验AP的BSSID和目标STA的MAC发起实验结束后立即停掉工具并记录时间。这不是走形式Deauth攻击和Rogue AP在绝大多数地区都违反计算机相关法规即使在自己网络里做实验也要确保没有波及其他终端。4.2 Deauthentication攻击复现与检测特征Deauth攻击的原理是伪造AP向STA发送解除认证帧让终端不断掉线。复现步骤很简单# 启动monitor模式并查看周围网络 sudo airmon-ng start wlan0 sudo airodump-ng wlan0mon --bssid AA:BB:CC:DD:EE:FF -c 6 # 对实验AP上的终端发送5个Deauth帧 sudo aireplay-ng -0 5 -a AA:BB:CC:DD:EE:FF wlan0mon-0 5表示发送5个Deauth帧-a指定目标AP的BSSID。这里不建议不加次数限制地持续发送否则实验后终端会长时间无法重连给后续测试带来麻烦。发送后立刻在另一个终端上用Wireshark抓包检测特征看两类帧wlan.fc.type_subtype 0x0c是Deauth帧0x0a是Disassoc帧。正常情况下一个AP收到几十次Deauth帧且源MAC都是同一个基本可以判定正在被攻击。检测脚本可以这样写tshark -i wlan0mon -Y wlan.fc.type_subtype 0x0c -T fields -e wlan.sa | sort | uniq -c | sort -nr这句话统计每个MAC发送的Deauth帧数量。如果top1的MAC就是你攻击终端的地址说明攻击生效。真实企业环境里这类检测要配合无线控制器日志看认证失败次数单靠抓包只能覆盖小范围但实验阶段已经足够。4.3 无线网络断流怎么测试区分干扰、攻击与覆盖盲区无线网络断流怎么测试是很多人在实验后问的问题。断流不是单点故障必须先区分是攻击、干扰还是覆盖问题。我有一套固定流程先看信号质量再测延迟丢包最后看信道利用率。# 查看信号强度和信噪比 iwconfig wlan0 # 持续ping网关100次统计丢包率 ping -c 100 192.168.200.1 | grep loss # 打流30秒看吞吐 iperf3 -c 192.168.200.10 -t 30区分方法很简单如果RSSI在-60dBm以上但ping丢包明显且抓包里Deauth帧密集就是攻击如果RSSI低到-80dBm以下是覆盖盲区如果RSSI正常、ping也通但iperf3吞吐剧烈抖动多半是信道干扰。信道干扰可以用iw dev wlan0 scan查看邻居AP占用情况如果实验信道周围有其他强信号AP换成6或11频道再试。还有一种情况省电模式导致的延迟尖峰终端屏幕熄灭后网卡进入休眠ping会出现周期性丢包这不是断流是终端策略。4.4 无线安全基线检查与异常发现基线检查的方式方法很多实验阶段可以从这几个维度入手SSID是否广播、加密方式是否低于WPA2、是否开启WPS、管理VLAN与业务VLAN是否隔离。用命令行快速扫一遍sudo iw dev wlan0 scan | egrep SSID|RSN|WPA|WPS|Group keyRSN字段里能看到Group Cipher和Pairwise Cipher如果显示TKIP说明还在用老旧的WPA1协议应该升级到WPA2/AES或WPA3。WPS标签存在则说明AP开启了WPS这在基线检查里属于高风险项。我把这些输出存成文本作为实验报告的一部分每次实验后对比变化。基线检查不一定每次都要攻击更推荐作为「实验前快照」在你开始Deauth之前记录一份正常状态下的网络参数攻击后再记录一份这样你才能量化攻击造成的破坏。这也是企业做无线安全评估的常用路子先定基线再找偏差。5. 无线网络安全实验避坑与排查5个真实翻车场景5.1 Radius认证失败Access-Reject与共享密钥不一致现象终端连接实验AP时一直提示密码错误AP后台日志显示RADIUS Access-Reject但本地radtest明明能通过。原因AP配置的RADIUS共享密钥与FreeRADIUS的clients.conf不一致或者AP的NAS-IP不在FreeRADIUS允许的client网段内。解决先在FreeRADIUS日志里看一行Failed to authenticate the user后面如果跟着Attribute NAS-IP-Address就是NAS IP没被识别。把AP的NAS-IP显式改成FreeRADIUS里已定义的客户端地址再检查共享密钥两边是否完全一致。测试时不要用带特殊字符的密码实验阶段一律用lab123456这种简单值。5.2 Portal页面打不开DNS、HTTP与HTTPS劫持现象连上访客SSID后打开浏览器一直转圈Portal认证页不出现但终端IP地址已经正常获取。原因nodogsplash的前置规则只放行了到网关的TCP 80手机会默认访问HTTPS 443服务器没有拦截443重定向永远不会触发。解决先让终端手动访问http://192.168.30.1能打开说明Portal本身正常。如果没有DNS放行把FirewallRule allow udp port 53加进pre-authenticated规则。不要尝试去做HTTPS的透明拦截需要给终端装根证书实验复杂度太高直接用HTTP页面测试足够了。5.3 抓不到四次握手信道、混杂模式与省电模式现象Wireshark里只能看到Beacon帧和普通数据帧EAPOL帧完全不存在但终端明明连上了AP。原因无线网卡没有锁定在AP所在信道monitor模式默认全信道扫描这会漏掉部分帧另一个常见原因是STA处于省电模式网络空闲时不上电发帧握手根本不会重放。解决先用airodump-ng wlan0mon -c 6 --bssid AA:BB:CC:DD:EE:FF固定信道再用iwconfig wlan0mon确认Mode是Monitor。然后让终端断网重连一次在重连瞬间抓包。如果还是抓不到在STA上禁用省电模式Linux下执行iw dev wlan0 set power_save off。5.4 实验后真机断流DHCP冲突与WLAN缓存现象实验结束后手机连回正常办公WiFi提示已连接但上不了网有时还会自动跳到实验SSID。原因实验网段和办公网DHCP冲突或者手机缓存了实验网络分配的DNS和网关信息没有在断开时清理。解决实验网段统一用192.168.200.0/24避免与日常网络重叠。实验结束后在手机上删除实验SSID的保存记录关闭再打开WiFi。如果问题持续检查手机当前网关和DNS是不是还指向实验AP并手动停用再启用WiFi让DHCP重新租约。更稳的做法是实验AP上只保留实验VLAN不开任何与办公网同段的SVI接口。5.5 Deauth攻击后终端无法重连信道固定与恢复时间现象对实验AP发送Deauth后STA一直转圈不重连即使攻击已经停止。原因终端收到Deauth后会启动退避机制短时间内不会主动再关联另外如果攻击命令持续发送AP的信道可能被环境变化影响终端找不到BSSID。解决攻击时限制次数aireplay-ng -0 3通常足够复现断流。实验AP固定信道不做自动信道选择。终端退避期大约30秒到1分钟耐心等一会儿再试。如果始终无法重连重启AP的wifi接口或让终端手动连接一次。6. 把无线网络安全实验接进靶场自动化验证与基线固化当你把前面几章跑熟下一步不是继续抓新包而是把这些实验沉淀成可重复执行的脚本再纳入网络安全靶场的「搭建-攻击-检测-恢复」闭环。我一般会写一个总控脚本把RADIUS验证、断流测试和基线扫描串起来#!/bin/bash # 无线网络安全实验自动化验证 RADIUS_SERVER127.0.0.1 RADIUS_SECRETtesting123 LAB_GW192.168.200.1 # 1. 验证RADIUS认证链路 radtest labuser lab123456 $RADIUS_SERVER 1812 $RADIUS_SECRET | grep Access-Accept || exit 1 # 2. 验证无线链路稳定性 ping -c 50 $LAB_GW | grep loss # 3. 抓取当前环境的无线基线 iw dev wlan0 scan | egrep SSID|RSN|WPA|WPS baseline_$(date %Y%m%d).txt这个脚本把「认证是否通、链路是否稳、当前环境是否合规」三个问题放在一次执行里。我在公司内部做过类似实践把它接到靶场平台里每次实验前先跑基线脚本实验结束后再跑一次两份结果对比就能看出攻击是否改变了网络状态。这也是我在翻过几次车之后养成的习惯实验现场拍快照留下RADIUS日志摘要、抓包文件路径、配置备份比事后回忆可靠得多。希望这个方向能帮你在无线网络安全实验里少走弯路也让你真正拥有一套属于自己的、可复现的无线实验环境。本文还有配套的精品资源点击获取