【正文】 某校園無線網(wǎng)安全防范設(shè)計方案第一章 緒 論 概述無線局域網(wǎng)（WLAN）技術(shù)于20世紀(jì)90年代逐步成熟并投入商用，既可以作傳統(tǒng)有線網(wǎng)絡(luò)的延伸，在某些環(huán)境也可以替代傳統(tǒng)的有線網(wǎng)絡(luò)。無線局域網(wǎng)具有以下顯著特點：簡易性：WLAN網(wǎng)橋傳輸系統(tǒng)的安裝快速簡單，可極大的減少敷設(shè)管道及布線等繁瑣工作；靈活性：無線技術(shù)使得WLAN設(shè)備可以靈活的進行安裝并調(diào)整位置，使無線網(wǎng)絡(luò)達到有線網(wǎng)絡(luò)不易覆蓋的區(qū)域；綜合成本較低：一方面WLAN網(wǎng)絡(luò)減少了布線的費用，另一方面在需要頻繁移動和變化的動態(tài)環(huán)境中，無線局域網(wǎng)技術(shù)可以更好地保護已有投資。同時，由于WLAN技術(shù)本身就是面向數(shù)據(jù)通信領(lǐng)域的IP傳輸技術(shù)，因此可直接通過百兆自適應(yīng)網(wǎng)口和企業(yè)、學(xué)校內(nèi)部Intranet相連，從體系結(jié)構(gòu)上節(jié)省了協(xié)議轉(zhuǎn)換器等相關(guān)設(shè)備；擴展能力強：WLAN網(wǎng)橋系統(tǒng)支持多種拓?fù)浣Y(jié)構(gòu)及平滑擴容，可以十分容易地從小容量傳輸系統(tǒng)平滑擴展為中等容量傳輸系統(tǒng)；隨著WLAN技術(shù)的快速發(fā)展和不斷成熟，目前在國內(nèi)外具有較多的中大規(guī)模應(yīng)用，諸如荷蘭的阿姆斯特丹市的全城覆，向客戶提供各種業(yè)務(wù)。 需求分析、建設(shè)背景在信息迅猛發(fā)展的今天，國內(nèi)所有高校均實現(xiàn)了有線校園的建設(shè)。但隨著教學(xué)設(shè)施的完善，越來越多的便攜式計算機終端被帶進了教室，越來越多的學(xué)生也開始擁有了帶有無線網(wǎng)卡的計算機終端。教師和學(xué)生對高校校園網(wǎng)的依賴性相當(dāng)之高，“隨時隨地獲取信息”已成為廣大師生們的新需求。但是，傳統(tǒng)的有線校園網(wǎng)存在著諸多“網(wǎng)絡(luò)盲點”，比如在圖書館、大型會議室、體育館等許多不宜網(wǎng)絡(luò)布線的場館設(shè)施如何聯(lián)網(wǎng)？在教室、實驗室等場合如何突破網(wǎng)絡(luò)節(jié)點限制、實現(xiàn)多人同時上網(wǎng)的問題？利用無線網(wǎng)絡(luò)技術(shù)進一步擴展校園網(wǎng)的覆蓋范圍，使全校師生能夠隨時隨地、方便高效地使用校園網(wǎng)絡(luò)；促進教學(xué)和科研發(fā)展，進一步拓展研究空間；提升校園網(wǎng)絡(luò)環(huán)境，提高管理水平和效率，推動學(xué)校信息化建設(shè)；要覆蓋部分原來沒有有線網(wǎng)的空間，諸如：報告廳；由于本工程是在校園有線網(wǎng)的基礎(chǔ)上加以無線擴充（即采用AP將無線網(wǎng)絡(luò)不近接入到有線網(wǎng)絡(luò)）。側(cè)重實際應(yīng)用，覆蓋校園內(nèi)部分區(qū)域，為教學(xué)和學(xué)習(xí)生活提供切實可用的無線網(wǎng)絡(luò)環(huán)境；采取通行的網(wǎng)絡(luò)協(xié)議標(biāo)準(zhǔn)：，（54M帶寬）標(biāo)準(zhǔn)以提供可供實際應(yīng)用的相對穩(wěn)定的網(wǎng)絡(luò)通訊服務(wù)，同時兼顧多種類型應(yīng)用和將來的投資保護，，實現(xiàn)雙頻三模技術(shù)；全面的無線網(wǎng)絡(luò)支撐系統(tǒng)（包括無線網(wǎng)管、無線安全，無線計費等），以避免無線設(shè)備及軟件之間的不兼容性或網(wǎng)絡(luò)管理的混亂而導(dǎo)致的問題；保證網(wǎng)絡(luò)訪問的安全性；采用非獨立型的無線網(wǎng)絡(luò)結(jié)構(gòu)選型。覆蓋范圍要求：有線網(wǎng)絡(luò)無法接入的室外場所：校園內(nèi)一些場所很難實現(xiàn)網(wǎng)絡(luò)有線接入，采用無線方式可以實現(xiàn)覆蓋大范圍室外空間的無線網(wǎng)絡(luò)接入。本次建設(shè)主要包括各宿舍及教學(xué)樓附近空地等。有線網(wǎng)絡(luò)使用不便或受限的室內(nèi)空間：校園內(nèi)一些室內(nèi)場所空間較大，會產(chǎn)生許多人同時接入網(wǎng)絡(luò)的需求，采用有線的方式只能提供少量接口，不能滿足要求。用無線網(wǎng)絡(luò)覆蓋來解決相當(dāng)數(shù)量的移動設(shè)備同時訪問網(wǎng)絡(luò)的問題。主要包括圖書館、主樓、各教學(xué)樓等；安全、認(rèn)證、計費和管理要求：要與現(xiàn)有的計費系統(tǒng)對接，實現(xiàn)針對用戶計費、管理、控制功能；校園無線網(wǎng)網(wǎng)絡(luò)結(jié)構(gòu)要求：無線接入所需布設(shè)的AP通過校園網(wǎng)的匯聚層設(shè)備接入到校園網(wǎng)中，在匯聚層都提供相應(yīng)的接口給無線網(wǎng)線，在接入層設(shè)備要在方案中進行描述。工程布線和安裝要求：室內(nèi)部分：定好較為開闊位置，將網(wǎng)線和電源線走暗線敷設(shè)到位；掛在墻上，可利用設(shè)備本身自帶的安裝附件進行安裝；如果需要遮蔽，則需要定制非金屬安裝盒；如果是掛在天花板上，則根據(jù)天花板的情況而定，若天花板是非金屬結(jié)構(gòu)，可以固定在天花板內(nèi)。安裝過程中應(yīng)充分考慮防盜問題。室外部分：根據(jù)設(shè)備位置有兩種布線方式。如果AP設(shè)備放置在樓頂，則需要走網(wǎng)線和電源線；如果AP設(shè)備放置在室內(nèi)，天線放置在室外，則需要走天線饋線。這兩種方式饋線都需走鐵管，貼防水膠方式處理，安裝過程中應(yīng)充分考慮防盜。供電部分：AP的供電可采用POE方式由接入的網(wǎng)絡(luò)設(shè)備進行供電（無需本地供電）。產(chǎn)品能力要求：產(chǎn)品支持AES、WEP加密等安全標(biāo)準(zhǔn)；漫游切換；支撐QOS能力。 無線校園網(wǎng)在教育中的發(fā)展與應(yīng)用無線校園網(wǎng)的建立發(fā)展不斷地改變我們學(xué)生和老師的日常學(xué)習(xí)生活，各個方面都有典型的應(yīng)用比如：通過無線校園網(wǎng)絡(luò)覆蓋教學(xué)樓及些校內(nèi)公共課教學(xué)環(huán)境，如計算機公共機房、電教樓公共教室等。為廣大師生提供了一個更為有效的網(wǎng)絡(luò)互動平臺，加強了學(xué)習(xí)生活的交流，同時為學(xué)生在教室內(nèi)的自習(xí)提供一個方便的查詢資料的網(wǎng)絡(luò)環(huán)境。通過無線校園網(wǎng)覆蓋整個圖書館內(nèi)所有的區(qū)域，教師和學(xué)生可以很方便地利用無線網(wǎng)絡(luò)使用圖書館提供的各種數(shù)字化服務(wù)，能夠了解查閱各類信息知識。通過無線校園網(wǎng)覆蓋學(xué)校的各系、院辦公樓和行政辦公區(qū)，通過對辦公區(qū)域提供無線網(wǎng)絡(luò)，提高了各職能部門的效率，滿足了教職員工的在線查詢能力，大大提高了各職能部門的服務(wù)質(zhì)量。、學(xué)生宿舍網(wǎng)絡(luò)在部分的教工宿舍和大部分的校內(nèi)宿舍提供了無線局域網(wǎng)無限覆蓋，滿足了教工和學(xué)生臨時上網(wǎng)的要求。在出現(xiàn)需要突發(fā)性大規(guī)模網(wǎng)絡(luò)服務(wù)要求的場合，提供臨時性的無線網(wǎng)絡(luò)服務(wù)，滿足用戶對網(wǎng)絡(luò)的需求。校園信息化建設(shè)一直是高質(zhì)量、高效率教學(xué)辦公的保障，無線網(wǎng)絡(luò)的應(yīng)用將會為網(wǎng)絡(luò)化學(xué)習(xí)、教學(xué)開創(chuàng)新的應(yīng)用模式； 利用無線網(wǎng)絡(luò)實現(xiàn)校內(nèi)信息的發(fā)布、共享、傳遞，推進教學(xué)及管理信息化，拓展學(xué)生的知識面。而有線網(wǎng)絡(luò)只能提供師生們固定的、有限的網(wǎng)絡(luò)信息點，隨著時代的進步，筆記本電腦的普及，師生們希望不僅僅是在實驗室才能將他們的計算機連上網(wǎng)絡(luò)，而在校園的草坪上、宿舍區(qū)、學(xué)術(shù)報告廳里、圖書館的任何一個角落都能將他們的筆記本電腦隨時隨地、隨心所欲的聯(lián)入校園網(wǎng)或Internet、不愿再受有線的束縛。WLAN技術(shù)的出現(xiàn)，學(xué)校采用無線組建校園網(wǎng)，學(xué)生們不僅可以在宿舍和實驗室固定的地方上網(wǎng) ，還可以在課堂上、圖書館、自習(xí)室也能很方便的接入，甚至根據(jù)自己的合理時間安排，在學(xué)校寬闊空曠的花園草坪上上網(wǎng)查閱學(xué)習(xí)資料。在考試前夕更可以減少實驗室、圖書館等可以有線園區(qū)上網(wǎng)的壓力，改進學(xué)校的學(xué)習(xí)環(huán)境，提高了學(xué)生的學(xué)習(xí)效率與成績。所以，對于學(xué)校來說，一方面教學(xué)的互動性增強了，另一方面，教學(xué)的信息量大大增加了；在課堂上，學(xué)生不再僅僅是被動的聽者，也是互動教育的參與者，學(xué)生可以用自己的資料來參與教學(xué)，同時這些數(shù)據(jù)可隨時共享，在課堂上現(xiàn)場做演示，并允許老師和同學(xué)們共享文件?；氐剿奚幔瑢W(xué)生也不再為找網(wǎng)絡(luò)接口而發(fā)愁，躺在宿舍的床上既可用筆記本無線上網(wǎng)，享受最前沿科技帶來的便捷和樂趣，周末期間可在多個宿舍之間自由共享文件進行學(xué)習(xí)探討、學(xué)術(shù)交流、音樂視頻點播等自由娛樂。第二章 無線網(wǎng)絡(luò)設(shè)計方案 硬件選擇與配置 概述WLAN（Wireless Local Area Network，無線局域網(wǎng)）是通信行業(yè)的一個時髦詞語，而且可以肯定它是一種人人都想使用的技術(shù)。WLAN 變得如此流行的原因是易于安裝和使用。通過WLAN 系統(tǒng)，用戶無須考慮復(fù)雜的線路連接和布置問題?？墒荳LAN系統(tǒng)也不是完全的“無線”，因為只有客戶端是可移動的，而服務(wù)器或者說接入設(shè)備是固定的。使用 WLAN 解決方案，網(wǎng)絡(luò)服務(wù)商和企業(yè)能給他們的客戶提供無線局域網(wǎng)服務(wù)，這些服務(wù)包括：使用帶有 WLAN 功能的設(shè)備組建一個無線網(wǎng)絡(luò)。這個網(wǎng)絡(luò)可以成為接入固網(wǎng)或者Internet 的入口。配置了無線PCI 網(wǎng)卡的客戶端可以與無線網(wǎng)絡(luò)建立連接并訪問固網(wǎng)或Internet。WLAN 局域網(wǎng)的互連。通過不同的加密和認(rèn)證方式實現(xiàn)安全的訪問。WLAN 功能使用戶能夠安全的訪問網(wǎng)絡(luò)并且能在同一移動區(qū)域內(nèi)進行快速漫游。 WLAN 的工作機制WLAN 由以下幾個部分組成：⑴ Client（客戶端）：帶有無線網(wǎng)卡的便攜機。⑵ Access Point（AP，接入點）：執(zhí)行橋接操作的設(shè)備，在客戶端（Client）和局域網(wǎng)（LAN）之間對無線幀和有線幀進行相互轉(zhuǎn)換。⑶ Access Controller（AC，無線控制管理器）：對WLAN 內(nèi)所有AP 進行管理和控制的設(shè)備，通過與認(rèn)證服務(wù)器的通信來進行信息過濾。⑷ Wireless Medium（無線媒介）：用于客戶端間進行幀傳輸?shù)拿浇?。在WLAN系統(tǒng)里使用無線電頻率做為媒介。WLAN系統(tǒng)邏輯上是一個專一的針對無線局域網(wǎng)的解決方案。圖11展示了典型的WLAN系統(tǒng)。圖11 典型的WLAN系統(tǒng)在這個組網(wǎng)中有 1 個AC 和3 個AP。AP 可以和AC 直連，或者被2層或3層網(wǎng)絡(luò)隔離開。在初始化階段，AP獲取自身的網(wǎng)絡(luò)配置，包括IP地址和DNS服務(wù)器的IP地址。AP使用一個發(fā)現(xiàn)機制來識別鄰近的AC，它能請求DNS服務(wù)器提供AC的網(wǎng)絡(luò)地址。(1) 客戶端如果想和其它客戶端進行通信必須與網(wǎng)絡(luò)中的AP 建立起連接。(2) 然后AP 與AC 進行通信，認(rèn)證客戶端的身份。(3) 一旦客戶端被認(rèn)證通過，它就可以和網(wǎng)絡(luò)里的其它客戶端進行通信了。 WLAN 的基本配置項⑴ 國家碼：國家碼會決定系統(tǒng)的許多特性，例如運行所需的電源規(guī)格，以及幀傳輸可以使用的頻段總數(shù)等。⑵ WLANESS 接口：無線控制器支持 WLANESS 與WLANDBSS 類型虛擬接口。WLAN 模塊動態(tài)地為每一個無線接入服務(wù)創(chuàng)建一個WLANDBSS 虛接口，此虛接口的VLAN 配置繼承于WLANESS 接口。WLANESS 接口是一種虛擬的二層接口，類似于Access 類型的二層以太網(wǎng)接口，具有二層屬性，并可配置多種二層協(xié)議。它為WLANDBSS 接口提供配置模板。用戶可以為WLANESS 接口配置參數(shù)，這些參數(shù)將應(yīng)用到該接口下的WLANDBSS接口上。⑶ 無線策略：將 AP 的無線參數(shù)抽象為一個無線策略模板，通過將無線策略模板下發(fā)到AP 上的方式實現(xiàn)對AP 無線參數(shù)的配置。減少了為每一個AP 配置無線參數(shù)的工作。⑷ 服務(wù)模板：提供對客戶端的接入和訪問控制等功能。每個服務(wù)模板對應(yīng)一個WLANESS 接口，服務(wù)模板和WLANESS 接口組成了WLAN 的邏輯管理接口－ESS。⑸ AP 模板：AP 模板為AC 為了對AP 進行管理和配置創(chuàng)建的與AP 一一對應(yīng)的模板。首先在AP上創(chuàng)建AP 模板，AP 模板的serialid 是AP 的唯一標(biāo)識，與AP 一一對應(yīng)。通過對AP 模板的配置完成對AP 的配置。 無線網(wǎng)絡(luò)設(shè)備選購 無線網(wǎng)卡無線網(wǎng)卡是終端無線網(wǎng)絡(luò)的設(shè)備，是無線局域網(wǎng)的無線覆蓋下通過無線連接網(wǎng)絡(luò)進行上網(wǎng)使用的無