【正文】 映像 之中。當(dāng)控制器 映像 被升級(jí)時(shí)，它也會(huì)升級(jí)所有與其關(guān)聯(lián)的接入點(diǎn)。不需要在一個(gè)集中管理基站上采用一個(gè)專門的腳本或者創(chuàng)建一個(gè)特殊的任務(wù)。 統(tǒng)一無線網(wǎng)絡(luò)的低成本接入點(diǎn)升級(jí)的另外一個(gè)好處是：輕型接入點(diǎn)和控制器之間的互操作能力已經(jīng)通過了的質(zhì)量保障團(tuán)隊(duì)的全面測試和認(rèn)證。 深圳市國信招標(biāo)有限公司 東莞市科技館無線 WIFI局域網(wǎng)絡(luò)（ WLAN）建設(shè)項(xiàng)目 8 自動(dòng)負(fù)載均衡 有線網(wǎng)絡(luò)在本質(zhì)上具有確定性 ―― 第二層（以太網(wǎng)）和第三層（ IP）交換機(jī)和路由器都是便于理解、可以預(yù)測的。但是，用戶在無線網(wǎng)絡(luò)中的體驗(yàn)則依賴于無線信號(hào)的傳播和建筑物的其他特性。這些特性可能會(huì)迅速 發(fā)生變化，從而影響連接速度和錯(cuò)誤率。一個(gè)位于城區(qū)的辦公場所的 RF 環(huán)境在早上 10 點(diǎn)和 3 點(diǎn)時(shí)是完全不同的。在早上 10 點(diǎn)，有數(shù)以百計(jì)的用戶在移動(dòng)使用網(wǎng)絡(luò)。 更多的情況下，在同一時(shí)間，大家從各自的辦公室匯聚到會(huì)議廳，特別是當(dāng)人數(shù)比較多，超出了 1 個(gè) AP 的承受范圍，那么帶寬會(huì)慢的無法工作；為了保障帶寬，如果在 AP 設(shè)置了限制，那么后來的人員無法得到無線連接服務(wù)，因?yàn)樵诤笈_(tái)控制器的模式，可以對(duì) AP 自動(dòng)的負(fù)載均衡，將終端分別發(fā)送到不同的 AP，自動(dòng)計(jì)算和對(duì)終端的流量進(jìn)行均衡，比如，當(dāng)這個(gè) AP 的利用率到了 80%，那么控制器自動(dòng)將 用戶引導(dǎo)到另外的空閑的相鄰 AP 上面，而在我們的設(shè)計(jì)中，所有的 AP 部署已經(jīng)考慮了人員的位置和可能的集中的情況，完全可以智能的處理動(dòng)態(tài)的負(fù)載變化。 自動(dòng)頻道管理和跨 IP 域漫游 無線局域網(wǎng) 標(biāo)準(zhǔn)使用 3 個(gè)不重復(fù)的頻道， 11，為了實(shí)現(xiàn)自動(dòng)漫游，需要對(duì)頻道的管理。無線系統(tǒng)由于采用了后臺(tái)集中控制的方式，能夠當(dāng) AP 布防后，通過實(shí)時(shí)射頻監(jiān)測，然后自動(dòng)對(duì)頻道進(jìn)行分配，并地圖方式顯示在網(wǎng)管上。 無線局域網(wǎng)的 AP 如果處于不同的子網(wǎng)，在漫游的過程中，需要處理三層的漫游，在后臺(tái)保持用戶的 DHCP 得來的 IP 租用， 認(rèn)證的會(huì)話密鑰等，控制器可以自動(dòng)完成三層無線漫游 ，而這一過程對(duì)于客戶端是透明不受影響的 。 安全性 無線網(wǎng)絡(luò)支持最多的安全特性，采用集中認(rèn)證，對(duì)每個(gè)數(shù)據(jù)包進(jìn)行加密。通過對(duì)射頻的實(shí)時(shí)監(jiān)測，發(fā)現(xiàn)并定位惡意的 AP，惡意 AP 是未經(jīng)授權(quán)的人員通過自己設(shè)置一個(gè) AP，吸引無線終端連接到惡意 AP 從而非法獲得數(shù)據(jù)的黑客方法。對(duì)惡意 AP 的掃描配合采用安全無線認(rèn)證協(xié)議，能夠解決 AP和無線之間的相互信任問題。目前無線局域網(wǎng)領(lǐng)域標(biāo)準(zhǔn)主要有和微軟等公司，能夠支持最多的安全保障和擴(kuò)展的端口安全管理。 地理化圖形管理界面 網(wǎng)絡(luò)管理 界面全部圖形化，能夠輸入大樓的平面圖，并且能夠進(jìn)行微調(diào)，能夠輸入障礙物等信息，在網(wǎng)管上面可以操作全部的無線功能。在 AP 上無需任何配置。 深圳市國信招標(biāo)有限公司 東莞市科技館無線 WIFI局域網(wǎng)絡(luò)（ WLAN）建設(shè)項(xiàng)目 9 三、 方案設(shè)計(jì) 整體網(wǎng)絡(luò)設(shè)計(jì) 根據(jù)東莞市科學(xué)技術(shù)博物館的信息點(diǎn)部署，物理分布和實(shí)際網(wǎng)絡(luò)結(jié)構(gòu)特點(diǎn)，建議選用特有的集中無線網(wǎng)絡(luò)解決方案，整體劃一，系統(tǒng)管理，準(zhǔn)確定位，高效運(yùn)營，全面滿足東莞市科學(xué)技術(shù)博物館無線網(wǎng)絡(luò)的業(yè)務(wù)需求，同時(shí)為今后的應(yīng)用拓展（如無線 WLAN 電話，無線 Video 等）做好充分的技術(shù)平臺(tái)準(zhǔn)備。本次無線部署的樓層包括負(fù) 1 樓至 4 樓 ,2D 和 3D 電影放映室。無線拓?fù)浣Y(jié)構(gòu)如 下： 1）無線網(wǎng)絡(luò)核心設(shè)計(jì) 如上圖所示，基于現(xiàn)有的整個(gè)東莞市科學(xué)技術(shù)博物館的局域網(wǎng)絡(luò)，首先部署 1 臺(tái)的 WLAN 控制器， 它 能夠支持對(duì) 50 臺(tái) AP 全面系統(tǒng)深入的管理。 控制器均通過個(gè)千兆端口連接連接核心交換機(jī)，提供自動(dòng)流量負(fù)載均衡和自動(dòng)冗余。此次項(xiàng)目中，整個(gè)東莞市科學(xué)技術(shù)博物館預(yù)計(jì)需要 的 AP 設(shè)備 可以 高效快捷的拓展整個(gè)控制平臺(tái)的容量?？刂破鞑粌H支持 a/b/g，還支持 ，所以將來 AP 升級(jí)到 ，不需要更換或升級(jí)中心控制設(shè)備。同時(shí)無 線控制器 內(nèi)嵌了各種 WIDS 的簽名保護(hù)無線網(wǎng)絡(luò) ，而且可以支持簽名的更新和升級(jí) 。 DHCP Server WCS Server WLC PoE Switch Cat6 Cable Fiber Core Switch Indoor AP 科技館無線網(wǎng)絡(luò)拓?fù)鋱D 深圳市國信招標(biāo)有限公司 東莞市科技館無線 WIFI局域網(wǎng)絡(luò)（ WLAN）建設(shè)項(xiàng)目 10 為了更好的實(shí)效對(duì)于無線控制器和無線 AP 的管理和控制，建議配備一套 WLAN 控制系統(tǒng) WCS系統(tǒng)軟件，根據(jù)具體要求安裝在指定網(wǎng)絡(luò)服務(wù)器平臺(tái)中。 WCS 的任務(wù)是通過對(duì)多達(dá)幾百臺(tái)各種級(jí)別 WLAN 控制器的系統(tǒng)管理，提供給客戶一個(gè)面向相當(dāng)規(guī)模無線局域網(wǎng)規(guī)劃、配置和管理的領(lǐng)先平臺(tái)，進(jìn)行 RF 預(yù)測、策略配置、網(wǎng)絡(luò)優(yōu)化、排障、用戶跟蹤、安全監(jiān)控和無線局域網(wǎng)系統(tǒng)管理。 2）無線接入點(diǎn)設(shè)計(jì) 此次無線的覆蓋整個(gè)東莞市科學(xué)技術(shù)博物館，其中包括地下展廳和 14 層的 各個(gè)展廳，需要確保每個(gè)展廳都能很好地接收到無線信號(hào)，確保各個(gè)展廳應(yīng)用需要。 根據(jù)客戶需求及現(xiàn)場環(huán)境，針對(duì)東莞市科學(xué)技術(shù)博物館室內(nèi)無線覆蓋， 選擇 無縫、無間隙覆蓋AP 方案 。所有 AP 均支持 POE 供電，在具體網(wǎng)絡(luò)環(huán)境中，只需要將 AP 通過網(wǎng)線連接至 POE 交換機(jī)即可為 AP 供電。 3）網(wǎng)絡(luò)安全的設(shè)計(jì)和實(shí)施說明 WLAN 的主要安全問題就是沒有啟用合適的安全特性 ，缺乏保護(hù)的 WLAN 的信號(hào)可能會(huì)散播到東莞市科學(xué)技術(shù)博物館網(wǎng)絡(luò)之外，被未經(jīng)授權(quán)的人員――甚至惡意的黑客――發(fā)現(xiàn)和利用。由于 WLAN的移動(dòng)性，需要采用一種多層次的安全保 障方法。 建議為防止網(wǎng)絡(luò)遭受無線威脅而采取以下幾個(gè)步驟 ： （ 1）制定一項(xiàng) WLAN 安全策略 在部署一套 WLAN 之前， 需要根據(jù)用戶的具體需求來制定一套適合客戶的 WLAN 安全策略?？紤]到東莞市科學(xué)技術(shù)博物館無線網(wǎng)絡(luò)的特殊性，建議針對(duì)參展用戶使用 Guest VLAN 認(rèn)證策略；針對(duì)東莞市科學(xué)技術(shù)博物館內(nèi)部網(wǎng)絡(luò)，建議使用客戶端 MAC 地址過濾及用戶名認(rèn)證策略來保證東莞市科學(xué)技術(shù)博物館內(nèi)部網(wǎng)絡(luò)的安全。 （ 2）啟用 WLC 內(nèi)置安全保護(hù)功能 WLC 內(nèi)置了一些關(guān)鍵的安全特性 ：例如，控制器默認(rèn)不允許 Multicast/broadcast 流量通過，除非管理員設(shè)置控制器具備 ARP Proxy 功能： ARPs 和 Gratuitous ARPs 不會(huì)發(fā)送到 WLAN 控制器屏蔽 duplicate IP Spoofing 對(duì)于客戶端 ， 無線控制器扮演 DHCP relay 角色 ： WLAN 設(shè)置的 Advance 選項(xiàng)里 ， 把 DHCP addr assignment required 打上勾是要求客戶端必須從指定的 DHCP 獲得地址。 這些安全功能都從根本上防止了類似 IP 地址欺騙、 ARP 攻擊等類似攻擊。 深圳市國信招標(biāo)有限公司 東莞市科技館無線 WIFI局域網(wǎng)絡(luò)（ WLAN）建設(shè)項(xiàng)目 11 無線控制器并且具有 ACL 的功能，可以提供 L4L7 的過濾，提供類似防火墻的功能。 （ 3）保護(hù) WLAN 系統(tǒng) 無線局域網(wǎng)控制器符合最嚴(yán)格的安全標(biāo)準(zhǔn) ，包括： WiFi WPA2， WPA 和有線等效加密 (WEP) WEP（無線加密協(xié)議）：是無線網(wǎng)絡(luò)上信息加密的一種標(biāo)準(zhǔn)方法。它一方面用于防止沒有正確的WEP 密鑰的非法用戶接入網(wǎng)絡(luò)，另一方面只允許具有正確的 WEP 密鑰的用戶對(duì)數(shù)據(jù)進(jìn)行加密和解密。 WPA 是 WEP 的替代方案 ，它是由 IEEE 安全規(guī)范派生而來，并與其兼容。 WPA 包括 80 認(rèn)證和 TKIP 加密 (更強(qiáng)和更安全形 式的 WEP 加密）。 WPA2 是第二代 WPA 安全方案，也包含 認(rèn)證。根據(jù) 修訂， WPA2 使用高級(jí)加密標(biāo)準(zhǔn)（ AES）保護(hù)數(shù)據(jù)保密。 ， 是一種通過認(rèn)證保護(hù)網(wǎng)絡(luò)的端口訪問協(xié)議 。此類型的驗(yàn)證方法在無線環(huán)境中因該媒體的性質(zhì)而特別有用。如果無線用戶通過 網(wǎng)絡(luò)訪問驗(yàn)證，接入點(diǎn)上會(huì)打開一個(gè)用于通信的虛擬端口。如果驗(yàn)證不成功，則不會(huì)提供虛擬端口，并將阻斷通信。 帶多種可擴(kuò)展驗(yàn)證協(xié)議 (EAP)類型 — 受保護(hù) EAP (PEAP)，帶傳輸層安全的 EAP(EAPTLS)，帶隧道化 TLS 的 EAP (EAPTTLS)和LEAP。 同時(shí) 無線控制器支持 Guest Vlan 特性，針對(duì) 所有的客人 分配 的 Guest Vlan 的 SSID，使用簡單的 Web 認(rèn)證 允許客人 只能訪問 Inter，而不能訪問 東莞市科學(xué)技術(shù)博物館 的內(nèi)網(wǎng) ，這樣就可 以規(guī)避復(fù)雜的無線客戶端的配置。 （ 4）嵌入式無線 IDS 無線控制器內(nèi)置了在線的 IDS，用于檢測非法的客戶端和 AP。當(dāng)檢測到非法的 AP 和客戶端時(shí)，可以對(duì)非法 AP 或客戶端最多可以通過 4 個(gè) AP 進(jìn)行壓制，使其無法工作。并且無線控制器實(shí)現(xiàn)的是有線 /無線一體化 的安全策略，可以通過有線的 IPS 和防火墻實(shí)現(xiàn)對(duì)無線接入數(shù)據(jù)的 47 層的 IPS保護(hù)，并且可以聯(lián)動(dòng)。 輕型接入點(diǎn)和無線局域網(wǎng)控制器可以同時(shí)充當(dāng)數(shù)據(jù)服務(wù)設(shè)備和 IDS 傳感器。這可以通過 LWAPP獨(dú)有的分離 MAC 架構(gòu)實(shí)現(xiàn)，即有些功能由接入點(diǎn)承擔(dān)，另外一些由控制器承擔(dān)。 LWAPP 分離 MAC 讓輕型接入點(diǎn)可以在不中斷數(shù)據(jù)服務(wù)的情況下掃描信道。接入點(diǎn)和控制器擁有一個(gè)強(qiáng)大的攻擊簽名庫，它可用于檢測無線威脅 ―― 包括惡意接入點(diǎn)，特殊網(wǎng)絡(luò)，或者試圖尋找無線網(wǎng)絡(luò)漏洞的惡意人員。深圳市國信招標(biāo)有限公司 東莞市科技館無線 WIFI局域網(wǎng)絡(luò)（ WLAN）建設(shè)項(xiàng)目 12 輕型接入點(diǎn)可以在它們在工作時(shí)使用的信道上檢測攻擊，以及檢測 那些工作信道與它們不同的威脅，例如惡意接入點(diǎn)和特殊網(wǎng)絡(luò)。 因?yàn)榻y(tǒng)一無線網(wǎng)絡(luò)輕型接入點(diǎn)和無線局域網(wǎng)控制器都配有 證書，它們可以檢測到偽裝成網(wǎng)絡(luò)中某個(gè)可靠接入點(diǎn)（充當(dāng)一個(gè) honeypot*）的未經(jīng)授權(quán)的接入點(diǎn)。 統(tǒng)一無線網(wǎng)絡(luò)還可以利用其強(qiáng)大的隔離惡意功能 ，消除因?yàn)閻阂饨尤朦c(diǎn)所導(dǎo)致的威脅。這種功能有助于確?？蛻舳瞬粫?huì)與惡意接入點(diǎn)建立關(guān)聯(lián)。 （ 5）有線網(wǎng)絡(luò)安全 考慮到東莞市科學(xué)技術(shù)博物館無線網(wǎng)絡(luò)需要承載內(nèi)網(wǎng)的所有無線應(yīng)用以及為所有展區(qū)用戶提供無線上網(wǎng) ，為了保障應(yīng)用的安全性和穩(wěn)定性，需要在核心有線網(wǎng)絡(luò)設(shè)備部署 較為嚴(yán)格的安全策略，保證無線網(wǎng)絡(luò)僅提供內(nèi)網(wǎng)無線業(yè)務(wù)和部分無線上網(wǎng)業(yè)務(wù)，將無線網(wǎng)絡(luò)和有線網(wǎng)絡(luò)進(jìn)行邏輯的安全隔離。 無線信號(hào)覆蓋設(shè)計(jì) 1）設(shè)計(jì)指標(biāo)和原則 設(shè)計(jì)原則 ：無線覆蓋設(shè)計(jì)將遵循按照信號(hào)范圍最大化原則，在此次項(xiàng)目需求全面覆蓋的前提下，重點(diǎn)選擇部分區(qū)域進(jìn)行更加細(xì)膩的覆蓋。并且，保證無線網(wǎng)絡(luò)穩(wěn)定性并與絕大多數(shù)主流無線網(wǎng)卡兼容，同時(shí)兼顧考慮網(wǎng)絡(luò)擴(kuò)容，為今后網(wǎng)絡(luò)擴(kuò)容做好預(yù)留。 設(shè)計(jì)指標(biāo) ：各信號(hào)輸出點(diǎn)信號(hào)強(qiáng)度 10－ 15dbm；將按照 工作頻段 ～ （ FCC）分為 channel channel channel11 三個(gè)完全不干擾頻段設(shè)計(jì)；目標(biāo)覆蓋區(qū)域信號(hào)強(qiáng)度 60dbm。 電磁波對(duì)于各種建筑材質(zhì)的穿透損耗的經(jīng)驗(yàn)值如下： 水泥墻 (15~25cm): 衰減 10~12dB 木板墻 (5~10cm): 衰減 5~6dB 玻璃窗 (3~5cm): 衰減 5~7dB 各種建筑材料對(duì)無線訊號(hào)的影響如下： 當(dāng) AP 與終端隔一座水泥墻時(shí)， AP 的可傳送覆蓋距離約剩下 5 米有效距離。 深圳市國信招標(biāo)有限公司