【正文】 會(huì)中斷 3 3 . 透過 p r o x y D H C P , A r u b a ’ s 交換機(jī)更改請求使終端維持原來 的 IP a d d r e s s 1 0 . 1 . 1 . 1 4 4 . 在新的 IP 子網(wǎng)內(nèi)， 用戶接收到原 有的 IP 地址 I P I P T u n n e l A r u b a A P 在不同域之間的用戶認(rèn)證和漫游 在大型網(wǎng)絡(luò)內(nèi)，一般都有很多不同的部門，部門內(nèi)通常都有自己的用戶數(shù)據(jù)庫，即所 謂的本地認(rèn)證服務(wù)器。當(dāng)無線終端從一個(gè) AP 的 IP 子網(wǎng)漫游到另一個(gè) AP 的 IP 子網(wǎng)時(shí)，它重新發(fā)出的 DHCP 請求，會(huì)從 AP 端的 Aruba 無線交換機(jī)轉(zhuǎn)發(fā)到原有子網(wǎng)的無線交換機(jī) (用戶從那一個(gè) AP 獲取它的 IP 地址 )。所以當(dāng)無線終端從一個(gè) AP 漫游到另一 AP 時(shí)，由于它們之間的缺省 IP 子網(wǎng)不同，無線終端會(huì)重新發(fā)出 DHCP 請 求，這樣的話終端的 IP 地址就會(huì)更新，所有在原先 AP 建立的連接都會(huì)被切斷。準(zhǔn)入檢查可以檢查終端操作系統(tǒng)的安全狀 態(tài)，諸如系統(tǒng) 打補(bǔ)丁的情況、安裝防病毒軟件的情況、以及防病毒定義碼升級(jí)的情況，并 設(shè)置安全策略是否準(zhǔn)予進(jìn)入網(wǎng)絡(luò)。 （ 5）用戶狀態(tài)防火墻：用戶通過認(rèn)證以后，會(huì)有一個(gè)基于這個(gè)用戶的狀態(tài)防火墻，可 以根據(jù)每個(gè)用戶設(shè)置他的訪問控制策略，比如可以訪問 Inter,不能訪問圖書館的服務(wù) 器，只能訪問 WEB 網(wǎng)頁和收發(fā)郵件，不能運(yùn)行 P2P 的軟件等。采用 captive portal+VPN 的認(rèn)證方式，同時(shí) VPN 還具有三層的加密功能，具有更高的安全性。 SSID 還可以選擇在某些 AP 上出現(xiàn)，某些 AP 上不出現(xiàn)，限制 SSID 出現(xiàn)的范 圍也是實(shí)現(xiàn)安全性的一種手段。在帶寬方面可以做比較寬松的 限制。傳統(tǒng)的網(wǎng)絡(luò)防火墻是沒有基于用戶的，它的保護(hù)只是基于 IP 地址或物理端口來制定防火墻策略，所以對于沒有固定接入點(diǎn)的無線終端，這種防火墻的 功效很小。 所以針對無線局域網(wǎng)多種用戶的不同業(yè)務(wù)類型應(yīng)該采取不同的 SSID進(jìn)行管理和控制。未來的發(fā)展趨勢 是新增設(shè)一個(gè) SSID 讓員工以過度 的方式逐漸從轉(zhuǎn)移到這個(gè) SSID 上。 SSID 的最主要用途是可讓無線終端以不同的安全認(rèn) 證和加密方式入網(wǎng)。在一個(gè)無線局域網(wǎng)內(nèi)可以設(shè)置多個(gè) SSID，例如一個(gè) SSID 可給內(nèi)部員工所用，而另一個(gè)可給外來的客戶專用。 Aruba 6000 可以支持到 256 個(gè) AP。 18 4． 1． 4 XXXX 無線局域網(wǎng)的組網(wǎng)設(shè)計(jì) XXXX 無線局域網(wǎng)系統(tǒng)屬于中型規(guī)模的無線局域網(wǎng)，考慮方案的性價(jià)比，建議選用集 中式組網(wǎng)的方式： 在網(wǎng)絡(luò)中心采用一臺(tái) Aruba6000 無線交換機(jī)，采用無線集中管理，全網(wǎng)絡(luò) AP 接受統(tǒng) 一管理， AP 以及下面的用戶按接入策略分配接入到無線交換機(jī)上。 選用 Aruba5000 無線交換機(jī)，一般是把 250 個(gè) AP 匯聚到 Aruba5100 上，而視乎 AP 實(shí)際數(shù)目和園區(qū)網(wǎng)絡(luò)拓?fù)洌嗯_(tái) Aruba5000/5100 可分別設(shè)置在園區(qū)的不同的配線間 /機(jī)房。如下圖所示： Page 7 中型無線局域網(wǎng)交換拓?fù)鋱D (集中式 ) 大樓 大樓 VRRP Master 無線交換機(jī) GRE 隧道 Ar uba AP Ar uba AP Ar uba AP Ar uba AP 接入層 交換機(jī) 接入層 交換機(jī) 接入層 交換機(jī) 匯聚層 交換機(jī) 匯聚層 交換機(jī) 網(wǎng)絡(luò)中心 骨干 交換機(jī) A5000/5100 A5000/5100 17 4． 1． 2 大型無線局域網(wǎng) (250 個(gè) AP 以上 )分布式組網(wǎng) 大型無線局域網(wǎng)架構(gòu)，用戶可選擇以分布式組網(wǎng)，即采用多臺(tái)配置成 Local 工作模式 Aruba2400 交換機(jī)分別設(shè)置于不同的配線間。 無線組網(wǎng)方式設(shè)計(jì) Aruba 無線系統(tǒng)的組網(wǎng)方式有兩種，集中式組網(wǎng)和分布式組網(wǎng)?？缇W(wǎng)段時(shí)需要二次認(rèn)證，導(dǎo)致丟包或者很大延遲。 另在無線語音安全接入方面， Aruba 可防止沒有無線語音權(quán)限的用戶使用無線語音， 以確保 無線網(wǎng)絡(luò)資源能有效運(yùn)用。在具體實(shí)現(xiàn) WiFi 語音時(shí)要注意考慮語音的時(shí)延， AP 呼叫的容量和漫游切換時(shí)間。簡單地說，用戶可在有寬帶接入的地方繼續(xù)使用 15 辦公室的電話號(hào)碼，不管是國內(nèi)或國外。例如語音視頻 這樣對于時(shí)延敏感的業(yè)務(wù)，目前，經(jīng)過中國網(wǎng)通、賽爾公司對幾家 WLAN 設(shè)備廠商的設(shè)備 測試結(jié)果表明， Aruba 的無線網(wǎng)系統(tǒng)以其完善 QoS 特性在測試中表現(xiàn)最佳。 3． 4 無線移動(dòng)音視頻應(yīng)用 3． 4． 1 帶寬控制與服務(wù)質(zhì)量保證 QOS Aruba 無線系統(tǒng)的帶寬管理能力使得在移動(dòng)音視頻應(yīng)用方面表現(xiàn)出很強(qiáng)的優(yōu)勢。 14 無線終端病毒防護(hù)的第一步是準(zhǔn)入檢查，當(dāng)無線終端連接到 Aruba 無線系統(tǒng)中，當(dāng)試 圖訪問網(wǎng)絡(luò)，在用戶認(rèn)證之前，需要下載一個(gè)基于 JAVA 的程序，可以對無線終端的操作 系統(tǒng)打補(bǔ)丁的情況、安裝防病毒軟件的情況、以及防病毒定義碼升級(jí)的情況，做一個(gè)檢查， 如果不能通過檢查，可以設(shè)定策略禁止其訪問網(wǎng)絡(luò)，也可設(shè)置成將無線用戶重定向到一臺(tái) 升級(jí)服務(wù)器，打系統(tǒng)補(bǔ)丁、安裝防病毒軟件和升級(jí)病毒定義碼，滿足系統(tǒng)制定的安全策略 以后，該無線終端才可以進(jìn)入認(rèn)證環(huán)節(jié)進(jìn)行用戶的認(rèn)證。今天絕大部分的無線局域網(wǎng)都沒有偵測無線入侵 的功能，所以當(dāng)受到像無線 DOS 攻擊時(shí)，就會(huì)誤以為是無線電波的信號(hào)受干擾或 AP 出現(xiàn) 不穩(wěn)定情況。由于 Aruba 的 AP 是不儲(chǔ)存任何網(wǎng)絡(luò)配置（ IP 地址 除外）和安全設(shè)置，因此 Aruba 管理的 AP 是不能單獨(dú)工作的，因此獲得和接入進(jìn) Aruba AP， 黑客也不會(huì)拿到無線網(wǎng)的網(wǎng)絡(luò)和安全配置參數(shù)。 3． 3． 3 獨(dú)特的無線訪問控制 用戶狀態(tài)防火墻是 Aruba 無線交換機(jī)的獨(dú)特功能，它本身就是針對無線接入的特性而 設(shè)計(jì)。可以保證園區(qū)網(wǎng)絡(luò) 接入的安全可靠性。 3． 2． 7 無線終端定位 Aruba 網(wǎng)管系統(tǒng)可以跟蹤和定位無線終端的位置，諸如無線接入的電腦、 PDA 和 12 WiFi 手機(jī)等。在 一個(gè) AP 的覆蓋范圍內(nèi)，無線連接的帶寬是共享，即無線終端數(shù)目越多，每個(gè)終端所能分 享的帶寬就越小。遇 到這種情況的一般做法就是把現(xiàn)場失效的 AP 換掉。同時(shí)在一個(gè)預(yù)設(shè)定的視頻 SSID 內(nèi)只允 許網(wǎng)絡(luò)管理設(shè)定視頻數(shù)據(jù)流傳輸協(xié)議通過，以確保其它數(shù)據(jù)不能進(jìn)入這 SSID。所以當(dāng)無線終端在這個(gè) AP 覆蓋范圍內(nèi)啟動(dòng)時(shí)，它就能同時(shí)看到多個(gè) SSID。 Aruba 無線交換機(jī)可以對整個(gè)無線網(wǎng)上的電波情況偵測和記錄。 Aruba 系統(tǒng)的 RF 智能控管可以自動(dòng)對網(wǎng)上所有 Aruba AP 的無線電波管理。 ARUBA 采用 GRE 隧道技術(shù)，可以透明地穿透在無線交換機(jī)和 AP 之間的任何三層網(wǎng) 絡(luò)交換設(shè)備實(shí)現(xiàn) WEB 認(rèn)證，而其他的廠家在這種網(wǎng)絡(luò)環(huán)境下，必須要為客戶端裝上基于 標(biāo)準(zhǔn)的 L2TP 或 IPSEC 或 客戶端軟件才能實(shí)現(xiàn) WEB 頁面認(rèn)證。由于傳統(tǒng)的 無線局域網(wǎng)是單純基于 AP，因此對于無線網(wǎng)絡(luò)的管理，其大量工作是要在每個(gè) AP 上進(jìn)行 設(shè)置和更改。 在無線局域網(wǎng)系統(tǒng)投入運(yùn)行后，網(wǎng)管人員可通過 RF Planning 隨時(shí)監(jiān)測網(wǎng)內(nèi)的每個(gè) AP 的無線電波實(shí)際的運(yùn)行狀態(tài)，及時(shí)掌握每個(gè) AP 的工作狀態(tài)和故障診斷，及時(shí)做出調(diào)整策 略。 Aruba 首創(chuàng)開發(fā)了 RF Planning 工具，讓規(guī)劃設(shè)計(jì)者在無線局域網(wǎng)組網(wǎng)之初采用 RF Planning 在計(jì)算機(jī)上做規(guī)劃設(shè)計(jì)，估算在要求的覆蓋面積上 AP 應(yīng)安裝的物理位置所在。 ARUBA 的無線交換機(jī)可以安裝在學(xué)校的中心機(jī)房，而 AP 則可以放置于園區(qū)的任何 地方，無需用二層設(shè)備連到無線交換機(jī)，或者劃分 VLAN；其他廠家則需要二層交換機(jī)連 接或者劃分 VLAN，否則只能將認(rèn)證點(diǎn)下放到 AP 上，導(dǎo)致整體性能的降低和漫游特性的 缺失。 3． 1． 4 無需更改有線網(wǎng)結(jié)構(gòu) XXXX 大學(xué)實(shí)現(xiàn)無線局域網(wǎng)接入，需要在現(xiàn)有的局域網(wǎng)上做很多路由的修改，這當(dāng)然 是網(wǎng)管人員不愿意做的事情，采用 Aruba 系統(tǒng)無需更改現(xiàn)有的有線網(wǎng)結(jié)構(gòu)。在組建無線網(wǎng)時(shí)必須要考慮系統(tǒng)的擴(kuò)展性。 諸如：無線安全性、 AP 管理控制、 RF 站址監(jiān)測、無縫移動(dòng)漫游，特別是對語音、視 頻業(yè)務(wù)的支持有專門的 Qos 保證，使得 VoWlan 應(yīng)用的 WiFi 技術(shù)應(yīng)用飛速發(fā)展。 在無線網(wǎng)絡(luò)管理方面， Aruba 無線系統(tǒng)實(shí)現(xiàn)真正的集中控管，包括獨(dú)有的 RF 智能調(diào) 控，自動(dòng)恢復(fù)、負(fù)載均衡功能，使無線網(wǎng)可以適應(yīng)無線環(huán)境中的電磁波變化，動(dòng)態(tài)自動(dòng)調(diào) 節(jié)到最佳應(yīng)用效果；還可以實(shí)現(xiàn)遠(yuǎn)端 AP 狀態(tài)監(jiān)測，方便實(shí)現(xiàn)對 AP 的管理；具有多 SSID 支持，實(shí)現(xiàn)了對無線數(shù)據(jù)、語音和視頻的應(yīng)用帶寬管理。 第三代無線局域網(wǎng)技術(shù)采用無線交換網(wǎng)絡(luò)架構(gòu)（以 Aruba 和 Cisco 為代表），實(shí)現(xiàn)了 基于無線網(wǎng)絡(luò)交換機(jī)，以 AP 為單元交換的無線網(wǎng)絡(luò)系統(tǒng)， Aruba 是采用獨(dú)立的無線網(wǎng)絡(luò) 交換機(jī)實(shí)現(xiàn)的。 三、 Aruba 無線交換局域網(wǎng)系統(tǒng)技術(shù)特點(diǎn) 第一代無線局域網(wǎng)技術(shù)采用單純的 AP 實(shí)現(xiàn)無線接入，基本上沒有其它功能。 采用先進(jìn)的 WLAN 網(wǎng)管系統(tǒng)管理局域網(wǎng)。 6 2． 6 技術(shù)需求 根據(jù) XXXX 大學(xué)無線局域網(wǎng)系統(tǒng)建設(shè)要求，無線局域網(wǎng)系統(tǒng)建設(shè)原則如下： 采用 WLAN 交換技術(shù)及 WLAN 交換體系結(jié)構(gòu)。 2． 4 可擴(kuò)展可升級(jí) 通過一個(gè)集中的無線局域網(wǎng)網(wǎng)管平臺(tái)實(shí)現(xiàn)對所有的 AP 功能的配置和管理， AP 既 可以提供無線接入，也可設(shè)置為無線入侵監(jiān)控、無線終端追蹤定位、無線電波傳輸分 析的工作模式?，F(xiàn)今大型無線網(wǎng)絡(luò)要求其與傳 統(tǒng)有線網(wǎng)絡(luò)平滑融合，要求管理性和安全性都必須有一個(gè)質(zhì)的提高，而第一代和第二 5 代無線技術(shù)必定不能滿足，因此，在這樣的環(huán)境下，基于無線交換機(jī)集中式管理的第 三代無線架構(gòu)延生了。 1． 4 建設(shè)數(shù)字化信息大學(xué)需求 XXXX 大學(xué)經(jīng)常接待來校訪問的國外學(xué)者和專家以及參加各種會(huì)議和學(xué)術(shù)活動(dòng) 的來賓，來賓們隨身攜帶的筆記本電腦需要隨時(shí)隨地接入 Inter 處理日常事務(wù)，因 此，無線網(wǎng)絡(luò)要滿足來賓移動(dòng)接入 Inter 以及 WiFiVoIP 語音通信需求。本項(xiàng)目的建設(shè)目的是采用無線局域網(wǎng)替代正準(zhǔn) 備擴(kuò)展的有線局域網(wǎng)，而不是簡單地作為有線網(wǎng)的延伸。XXXX 公司 無線局域網(wǎng)解決方案建議書 200X 年 X 月 I 目錄 一、 XXXX 無線局域網(wǎng)系統(tǒng)建設(shè)需求 ..................................................................................3 1．項(xiàng)目背景 .............................................................................................................................3 1． 1 擴(kuò)展網(wǎng)絡(luò)信息點(diǎn)數(shù)量需求 ..............................................................................................3 1． 2 網(wǎng)絡(luò)教學(xué)需求 ..................................................................................................................3 1． 3 遠(yuǎn)程教學(xué)和視頻會(huì)議需求 ..............................................................................................3 1． 4 建設(shè)數(shù)字化信息大學(xué)需求 ..............................................................................................4 1． 5 無線覆蓋范圍需求 ..........................................................................................................4 二、 XXXX 大學(xué)無線局域網(wǎng)設(shè)計(jì)原則和技術(shù)需求 ..............................................................4 2． 1 遵循標(biāo)準(zhǔn) ..........................................................................................................................4 2． 2 技術(shù)成熟 ..........................................................................................................................4 2． 3 安全可靠 .