CN111093198A - 无线局域网数据发送方法及其装置 - Google Patents

Abstract

本发明公开了一种无线局域网数据发送方法及其装置，该方法包括：将待发送数据加密后发送给虚拟网卡，所述待发送数据为需要经过无线接入点设备AP传输至网络服务器的数据；所述虚拟网卡封装加密后的待发送数据的目的地址为安全服务器的IP地址，将封装后的数据发送给物理网卡；所述物理网卡将所述封装后的数据发送给与终端建立连接的AP，以使所述AP将所述加密后的待发送数据发送给所述安全服务器进行解密并在解密后由所述安全服务器发送给所述网络服务器。用于解决无线局域网中传送数据的数据安全问题。

Description

无线局域网数据发送方法及其装置

技术领域

本发明属于无线网络安全领域，具体涉及无线局域网数据发送方法及其装置。

背景技术

在无线局域网中，网络中的主机可以通过无线AP连接外网，也就是无线网关，在网络中，通常情况下会设置一个默认的网关，网络中的主机发送到局域网外的全部报文会发送到默认网关，因此，网络中的主机连接外部网络资源之前都会先发送ARP(地址解析协议，Address Resolution Protocol)请求报文申请默认网关的介质访问控制(Medium AccessControl，MAC)地址，然后默认网关向主机发回携带自身MAC地址的响应报文，终端收到响应报文后将其中的IP地址和物理地址存入本机ARP缓存表中并保留一定时间，下次请求时直接查询ARP缓存表以节约资源，正常无线局域网连接如图1所示。

无线局域网连接通常存在的欺骗是ARP欺骗，ARP欺骗是黑客常用的攻击手段之一，ARP欺骗存在一种对ARP缓存表的欺骗，通常这种欺骗会发生在公共无线网络环境中，因为这种环境人流量比较大，无法通过绑定ARP表等其它的方式进行防御。

当网络中存在ARP欺骗的病毒时，ARP病毒进行欺骗的过程如下：当局域网中的A主机向局域网外发送数据时，A主机会给全网络发送广播ARP请求报文，来申请网关的MAC地址。当网关收到ARP请求报文时，会回复一个ARP响应报文给A主机。此时携带ARP病毒的主机也会回复一个虚假的ARP响应报文给A主机，而且通常虚假的ARP响应报文会比网关的ARP响应报文延迟一段时间或者多发几个。这样，A主机就会学习到错误的网关的MAC地址，即携带ARP病毒的主机的MAC地址，A主机后续发送的报文会到达病毒主机，从而使得局域网络内A主机断网或者数据导入病毒主机，使得网络安全性较差，用户数据信息被窃取，因此亟需一种检测无线局域网的连接方法用于检测网络是否安全以及无线局域网数据发送方法用于确保传送过程中的数据安全。

发明内容

本发明实施例提供一种检测无线局域网连接及无线局域网数据发送方法及其装置，用于检测网络是否安全和解决由于网络不安全导致用户数据信息被窃取的问题。

本发明实施例包括一种检测无线局域网连接的方法，该方法包括：接收无线接入点设备AP的广播信息，所述广播信息中包括AP的服务集标识SSID和基础服务集标识BSSID；请求与第一AP建立无线局域网连接；在终端建立无线局域网连接后，获取所述终端的地址解析协议ARP缓存表中第一AP的IP地址对应的介质访问控制MAC地址，所述ARP缓存表是终端根据最后接收的携带MAC地址的响应报文生成的；从AP的广播消息中确定所述第一AP的SSID和BSSID；确定所述第一AP的BSSID与所述IP地址对应的MAC地址是否一致，若不一致则确定所述终端当前建立连接的无线局域网存在ARP欺骗。

考虑到检测到存在ARP欺骗如何进行主动防御的问题，本发明实施例还提供一种无线局域网的数据发送方法，该方法包括：将待发送数据加密后发送给虚拟网卡，所述待发送数据为需要经过无线接入点设备AP传输至网络服务器的数据；所述虚拟网卡封装加密后的待发送数据的目的地址为安全服务器的IP地址，将封装后的数据发送给物理网卡；所述物理网卡将所述封装后的数据发送给与终端建立连接的AP，以使所述AP将所述加密后的待发送数据发送给所述安全服务器进行解密并在解密后由所述安全服务器发送给所述网络服务器。

基于同样的发明构思，本发明实施例还提供一种检测无线局域网连接的装置，包括：接收模块，用于接收无线接入点设备AP的广播信息，所述广播信息中包括AP的SSID和基础服务集标识BSSID；连接模块，用于请求与第一AP建立无线局域网连接；获取模块，用于在所述终端建立无线局域网连接后，获取所述终端的地址解析协议ARP缓存表中第一AP的IP地址对应的介质访问控制MAC地址，所述ARP缓存表是终端根据最后接收的携带MAC地址的响应报文生成的；第一确定模块，用于从AP的广播消息中确定所述第一AP的SSID和BSSID；第二确定模块，用于确定所述第一AP的BSSID与所述IP地址对应的MAC地址是否一致，若不一致则确定当前建立连接的无线局域网存在ARP欺骗。另外本发明实施例还提供一种无线局域网的数据发送装置，包括：加密模块，用于将待发送数据加密后发送给虚拟网卡，所述待发送数据为需要经过无线接入点设备AP传输至网络服务器的数据；封装模块，用于封装加密后的待发送数据的目的地址为安全服务器的IP地址，将封装后的数据发送给物理网卡。发送模块，将所述封装后的数据发送给与终端建立连接的AP，以使所述AP将所述加密后的待发送数据发送给所述安全服务器进行解密并在解密后由所述安全服务器发送给所述网络服务器。

本发明实施例通过检测终端拟建立无线局域网的第一AP的BSSID与终端建立无线局域网的连接站点的MAC地址是否一致来识别当前连接站点是否安全，本发明的另一实施例通过将待发送数据加密，并经由虚拟网卡、物理网卡、连接AP和安全服务器的安全通道发送至网络服务器，保证数据在传输过程中的安全性。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简要介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为现有技术中终端与AP的交互图；

图2为本发明实施例提供的检测无线局域网连接流程示意图；

图3为本发明实施例提供的存在ARP欺骗时交互图；

图4为本发明实施例提供的无线局域网的数据发送方法流程示意图；

图5为本发明实施例提供的终端与AP、安全服务器的交互图；

图6为本发明实施例提供的检测无线局域网连接装置；

图7为本发明实施例提供的无线局域网的数据发送装置。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述，显然，所描述的实施例仅仅是本发明一部份实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

无线AP(Access Point)是一个包含很广的名称，通常也可以称为无线访问节点、会话点或存取桥接器，它不仅包含单纯性无线接入点，也同样是无线路由器即无线网关、无线网桥等类设备的统称。无线AP接入点支持2.4GHz频段的无线应用，敏感度符合802.11n标准，并采用双路射频输出，每一路最大输出600毫瓦，可通过无线分布系统在大面积的区域部署无线覆盖，是大型公共场所发展无线网络必备的无线AP设备。

参见图2所示，为实施例提供的检测无线局域网连接流程示意图，该流程可包括：

步骤S101、接收AP的广播信息，所述广播信息中包括AP的SSID和BSSID。

步骤S102、请求与第一AP建立无线局域网连接。

步骤S103、在终端建立无线局域网连接后，获取所述终端的地址解析协议ARP缓存表中第一AP的IP地址对应的介质访问控制MAC地址，所述ARP缓存表是终端根据最后接收的携带MAC地址的响应报文生成的。

步骤S104、从AP的广播消息中确定所述第一AP的SSID和BSSID。

步骤S105、确定所述第一AP的BSSID与所述IP地址对应的MAC地址是否一致，若不一致则确定当前建立连接的无线局域网存在ARP欺骗。

在步骤S101和步骤S102中，终端建立无线局域网连接之前会对周围的无线局域网信号进行扫描，也就是获取无线局域网发出的广播信息，例如手机打开wifi连接之后会自动扫描将搜索到的wifi信号的SSID名称全部罗列出来，然后用户从罗列出来的信号中搜索自身要连接SSID，进而输入该SSID对应的密码与其建立连接，该步骤中的第一AP也就是指上述过程中终端自身要连接的SSID对应的无线路由器。

当终端建立无线局域网连接之后，通常就会形成ARP缓存表，该ARP缓存表中保存着连接站点的IP地址和MAC地址。由于无线局域网连接建立过程中可能会存在ARP欺骗，所以该MAC地址不一定就是第一AP的MAC地址。

进一步地，通过终端的操作系统应用程序接口API获取所述终端的ARP缓存表中第一AP的IP地址对应的MAC地址。通过终端的操作系统应用程序接口API获取终端上述信息具有操作简便的优点，因为这一过程只需要终端操作系统的应用层接口支持就可以，不再需要终端操作系统底层的支持，避免了底层抓包等复杂的操作。

在步骤104中，从广播信息中确定第一AP的SSID和对应的BSSID，因为BSSID代表的是第一AP对应的MAC地址，可用于确定该BSSID和缓存表中的MAC地址是否一致，当确定结果为不一致时，确定终端当前建立连接的无线局域网存在ARP欺骗。关于从广播信息中确定第一AP的SSID和对应的BSSID，可以是在步骤102中，终端请求与第一AP建立无线局域网连接过程中，根据步骤101中的广播消息确定第一AP的SSID和对应的BSSID并记录；也可以是在步骤103之后从周期性广播的广播消息中提取的。

终端将所述IP地址对应的MAC地址存储至预先设置的黑名单列表中，所述黑名单列表是用于查询终端最后接收的携带MAC地址的响应报文是否存在欺骗。之所以建立黑名单列表是为了在终端与无线接入点设备建立连接的过程中尽早发现当前无线局域网连接是否存在欺骗，当终端接收站点返回的响应报文从中解析到MAC地址之后，从黑名单列表中查询该MAC地址是否存在，如果存在那么可以马上得出当前连接存在ARP欺骗，省略形成缓存表和判断的步骤，提高了检测的效率。

下面举例场景一，如图3所示，对上述检测方法进行具体描述。

假设该场景在一个无线AP对应的SSID为“图书馆”覆盖的无线局域网环境中，网内有三台主机，分别为主机A、主机B、主机C。主机C是“图书馆”对应的无线AP，每个主机的详细信息描述如下：

主机A的地址为：IP：192.168.10.1；MAC:AA-AA-AA-AA-AA-AA

主机B的地址为：IP：192.168.10.2；MAC:BB-BB-BB-BB-BB-BB

主机C的地址为：IP：192.168.10.3；MAC:CC-CC-CC-CC-CC-CC

正常情况下，主机A会给全网络发送广播ARP请求报文，来申请主机C的MAC地址。当主机C收到ARP请求报文时，会回复一个ARP响应报文给A主机,主机A和主机C之间建立连接后进行通讯。但是此时主机B向主机A发送一个自己伪造的ARP应答，这个应答中的响应报文包括主机C的IP地址即192.168.10.3和主机B的MAC地址是BB-BB-BB-BB-BB-BB。当主机A最后接收到的响应报文是主机B伪造的ARP应答，就会更新主机A的ARP缓存表，这时主机B就伪装成主机C了。同时，主机B同样向主机C发送一个ARP应答，应答包中主机A的IP地址即192.168.10.1和主机B的MAC地址即BB-BB-BB-BB-BB-BB，当主机C收到主机B伪造的ARP应答，也会更新主机C的ARP缓存表，这时B就伪装成了A。这样主机A和C都被主机B欺骗，A和C之间通讯的数据都经过了B。主机B对主机A和主机C构成的ARP欺骗。为了检测出主机B，主机A获取ARP应答后从中解析出IP地址和MAC地址，并且主机A获取由主机C发出的广播消息，广播消息中含有BSSID，主机A比较BSSID和MAC地址是否一致，如果发现不一致，那么就可以判断出主机B是非法的主机，可以认为是病毒主机。

考虑到在无线局域网中传送数据的数据安全问题，本发明实施例还提供一种无线局域网的数据发送方法流程示意图，如图4所示，该流程可包括：

步骤S201，将待发送数据加密后发送给虚拟网卡，所述待发送数据为需要经过AP传输至网络服务器的数据。

步骤S202，所述虚拟网卡封装加密后的待发送数据的目的地址为安全服务器的IP地址，将封装后的数据发送给物理网卡。

步骤S203，所述物理网卡将所述封装后的数据发送给与终端建立连接的AP，以使所述AP将所述加密后的待发送数据发送给所述安全服务器进行解密并在解密后由所述安全服务器发送给所述网络服务器。

其中，在执行步骤S201中，待发送数据加密的方式一般由VPN客户端执行，具体地，终端安装VPN客户端软件后打开该软件输入目的端VPN服务器的IP地址、端口等信息，终端发送的数据通过VPN客户端的过程由VPN客户端完成加密，这样做的目的是在数据尚未到达物理网卡之前先对数据进行加密，即使网络不安全存在ARP欺骗，非法站点接收到加密数据之后也无法解析出原始的数据。

在执行步骤S201之前，终端需要预先创建虚拟网卡并设置路由表项，所述路由表项使得所述待发送数据发送给所述虚拟网卡并且该终端与所述安全服务器建立虚拟专用网络连接，所谓安全服务器一般指VPN服务器。

在终端向VPN服务器发送连接请求之前，终端先执行上述检测无线局域网连接方法即步骤S101至步骤S105，这样，当终端发现网络不安全时就提示终端执行本发明实施例步骤S201至步骤S203，当终端发现网络安全时就可以直接通过AP连接网络，使得用户根据实际需要进行选择，更加实用，用户体验更好。

当终端通过以上步骤向网络侧发送数据之后，就会收到网络侧的反馈，因此还包括终端接收数据的过程，具体地，所述物理网卡接收由所述AP转发的所述网络服务器的加密数据，所述加密数据是由所述VPN服务器对接收到所述网络服务器的反馈数据进行加密；所述物理网卡将所述加密数据发送至所述虚拟网卡；所述虚拟网卡转发加密数据至安全服务器对应的客户端以完成对所述加密数据的解密。

为了进一步地描述上述无线局域网的数据发送方法的过程，下面提供具体的终端与其它设备的交互图，如图5所示。

当终端检测到无线局域网连接存在欺骗不安全时，终端创建虚拟网卡，并设置路由表项，数据收发过程如图中实线所示，其中终端发送数据的过程如下：终端发送数据时先通过安全服务器对应的客户端将待发送数据进行加密，然后虚拟网卡将安全服务器的IP地址加载到加密数据中的报头中，再将封装后的数据发送给物理网卡，物理网卡将所述封装后的数据发送给与终端建立连接的AP，该AP将加密后的待发送数据发送给所述安全服务器，安全服务器将加密的数据进行解密进而连接外部网络资源，相反地，终端接收数据的过程为：外部网络资源反馈数据至安全服务器，安全服务器将反馈的数据加密后经由AP发送至终端，终端内部的物理网卡接收加密后的数据并发送至虚拟网卡，虚拟转发加密数据至安全服务器对应的客户端，然后客户端完成对所述加密数据的解密。

当终端检测到无线局域网连接不存在欺骗即网络安全的情况下，终端的数据就可以直接通过AP连接外部网络资源。

可见，终端可以根据情况选择上述两种不同的实现方式的中的一种，这样终端与网络侧就可以安全通信，确保了数据在传送过程中的安全，整个实现过程只需要在终端侧预先完成配置就可以了，无需其他硬件如AP等的配合，该方法实现过程方便可行，便于商业应用实施。

基于相同的技术构思，本发明实施例还提供了检测无线局域网连接装置，该装置可实施上述实施例描述的检测无线局域网连接方法流程。

如图6所示，该装置可包括：接收模块301，连接模块302，获取模块303，第一确定模块304，第二确定模块305，其中：

接收模块301，用于接收AP的广播信息，所述广播信息中包括AP的SSID和基础服务集标识BSSID；

连接模块302，用于请求与第一AP建立无线局域网连接；

获取模块303，用于在所述终端建立无线局域网连接后，获取所述终端的地址解析协议ARP缓存表中第一AP的IP地址对应的介质访问控制MAC地址，所述ARP缓存表是终端根据最后接收的携带MAC地址的响应报文生成的；

第一确定模块304，用于从AP的广播消息中确定所述第一AP的SSID和BSSID；

第二确定模块305，用于确定所述第一AP的BSSID与所述IP地址对应的MAC地址是否一致，若不一致则确定当前建立连接的无线局域网存在ARP欺骗。

进一步地，获取模块303具体用于：通过终端的操作系统应用程序接口API获取所述终端的ARP缓存表中第一AP的IP地址对应的MAC地址，这样做的效果是只需要终端操作系统的应用层接口支持就可以，不再需要终端操作系统底层的支持，避免了底层抓包等复杂的操作，操作更加方便可行。

进一步地，第二确定模块305具体用于：当确定结果为不一致时，将所述IP地址对应的MAC地址存储至预先设置的黑名单列表中，所述黑名单列表用于查询终端最后接收的携带MAC地址的响应报文是否存在欺骗。之所以建立黑名单列表是为了在终端与无线接入点设备建立连接的过程中尽早发现当前无线局域网连接是否存在欺骗，因为终端接收站点返回的响应报文，终端可以从中解析到MAC地址，如果从黑名单列表中查询到了该MAC地址，那么可以马上得出当前连接存在ARP欺骗，这样，可以简化检测无线局域网连接的过程，提高检测的效率。

基于与无线局域网中传送方法相同的技术构思，本发明实施例还提供了无线局域网的数据发送装置，该装置可实施上述实施例描述的无线局域网的数据发送方法流程。

如图7所示，该装置可包括：加密模块401，封装模块402，发送模块403，其中：

加密模块401，用于将待发送数据加密后发送给虚拟网卡，所述待发送数据为需要经过无线接入点设备AP传输至网络服务器的数据；

封装模块402，用于封装加密后的待发送数据的目的地址为安全服务器的IP地址，将封装后的数据发送给物理网卡。

发送模块403，将所述封装后的数据发送给与终端建立连接的AP，以使所述AP将所述加密后的待发送数据发送给所述安全服务器进行解密并在解密后由所述安全服务器发送给所述网络服务器。

进一步地，还包括：设置模块，用于创建虚拟网卡并设置路由表项，所述路由表项使得所述待发送数据发送给所述虚拟网卡；

建立连接模块，用于与所述VPN服务器建立虚拟专用网络连接。

检测模块，用于利用步骤S101至步骤S105的方法检测当前无线局域网连接是否安全，若不一致则执行向虚拟专用网络VPN服务器发送连接请求，这样，当终端发现网络不安全时就提示终端执行本发明实施例步骤S201至步骤S203，当终端发现网络安全时就可以直接通过AP连接网络，使得用户根据实际需要进行选择，更加实用，用户体验更好。

当终端通过以上步骤向网络侧发送数据之后，就会收到网络侧的反馈，因此还包括终端接收数据的过程，因此所述加密模块还用于：接收由所述AP转发的所述网络服务器的加密数据，所述加密数据是由所述VPN服务器对接收到所述网络服务器的反馈数据进行加密；发送模块还用于将发送至所述虚拟网卡的所述加密数据转发至安全服务器对应的客户端以完成对所述加密数据的解密。

这样终端与网络侧通过以上装置就可以安全通信，确保了数据在传送过程中的安全，整个实现过程只需要在终端侧预先完成配置就可以了，无需其他硬件如AP等的配合，该方法实现过程方便可行，便于商业应用。

综上所述，本发明实施例一方面通过检测无线局域网连接方法识别当前连接站点是否安全，另一方面通过无线局域网数据发送方法建立安全信道以使终端发送或接收的数据通过该安全信道转发出去，保证数据在传输过程中的安全性，该方法操作方便可行，便于商业应用。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (6)

1.一种无线局域网的数据发送方法，其特征在于，包括：

将待发送数据加密后发送给虚拟网卡，所述待发送数据为需要经过无线接入点设备AP传输至网络服务器的数据；

所述虚拟网卡封装加密后的待发送数据的目的地址为安全服务器的IP地址，将封装后的数据发送给物理网卡；

所述物理网卡将所述封装后的数据发送给与终端建立连接的AP，以使所述AP将所述加密后的待发送数据发送给所述安全服务器进行解密并在解密后由所述安全服务器发送给所述网络服务器。

2.根据权利要求1所述的无线局域网的数据发送方法，其特征在于，所述安全服务器为虚拟专用网络VPN服务器；

所述将待发送数据发送给虚拟网卡之前，还包括：

创建虚拟网卡并设置路由表项，所述路由表项使得所述待发送数据发送给所述虚拟网卡；

与所述VPN服务器建立虚拟专用网络连接。

3.根据权利要求1所述的无线局域网的数据发送方法，其特征在于，还包括：

所述物理网卡接收由所述AP转发的所述网络服务器的加密数据，所述加密数据是由所述安全服务器对接收到所述网络服务器的反馈数据进行加密；

所述物理网卡将所述加密数据发送至所述虚拟网卡；

所述虚拟网卡转发所述加密数据至所述安全服务器对应的客户端以完成对所述加密数据的解密。

4.一种无线局域网的数据发送装置，其特征在于，包括：

加密模块，用于将待发送数据加密后发送给虚拟网卡，所述待发送数据为需要经过无线接入点设备AP传输至网络服务器的数据；

封装模块，用于封装加密后的待发送数据的目的地址为安全服务器的IP地址，将封装后的数据发送给物理网卡；

发送模块，将所述封装后的数据发送给与终端建立连接的AP，以使所述AP将所述加密后的待发送数据发送给所述安全服务器进行解密并在解密后由所述安全服务器发送给所述网络服务器。

5.如权利要求4所述的装置，其特征在于，所述安全服务器为虚拟专用网络VPN服务器，还包括：

设置模块，用于创建虚拟网卡并设置路由表项，所述路由表项使得所述待发送数据发送给所述虚拟网卡；

建立连接模块，用于与所述VPN服务器建立虚拟专用网络连接。

6.如权利要求4所述的装置，其特征在于，所述加密模块还用于：接收由所述AP转发的所述网络服务器的加密数据，所述加密数据是由所述安全服务器对接收到所述网络服务器的反馈数据进行加密；

发送模块还用于将发送至所述虚拟网卡的所述加密数据转发至所述安全服务器对应的客户端以完成对所述加密数据的解密。

Images