【正文】 何一處，即便是在沒(méi)有安裝有線網(wǎng)絡(luò)信息點(diǎn)的地方，也可以很方便地進(jìn)行可視化的音視頻教學(xué)和召開(kāi)各種需要使用網(wǎng)絡(luò)音視頻的會(huì)議。應(yīng)用主要有：（1）多媒體與網(wǎng)絡(luò)教學(xué)；（2）各種學(xué)術(shù)報(bào)告與會(huì)議需要的移動(dòng)VoIP（音視頻）；（3）移動(dòng)業(yè)務(wù)辦公；（4）訪問(wèn)Internet。只出現(xiàn)在需要提供這類應(yīng)用服務(wù)的AP 上，其他AP 都沒(méi)有該SSID，用戶也就無(wú)從使用該SSID 訪問(wèn)網(wǎng)絡(luò)，保證無(wú)線網(wǎng)絡(luò)的安全性。并同時(shí)采用不同的認(rèn)證、加密和安全控管的手段，以方便的實(shí)現(xiàn)網(wǎng)絡(luò)安全和管理。Aruba 無(wú)線系統(tǒng)以其技術(shù)先進(jìn)的帶寬控制和Qos 管理功能可以保證該系統(tǒng)的高效、穩(wěn)定和可靠的運(yùn)行。 接入認(rèn)證控制： 驗(yàn)證用戶， 授權(quán)他們接入特定的資源， 同時(shí)拒絕為未經(jīng)授權(quán)的用戶提供接入。 偵測(cè)和阻斷非法接入：防止非法AP 接入學(xué)校的無(wú)線網(wǎng)絡(luò)中。 檢測(cè)無(wú)線終端的防病毒狀態(tài)：防止染有病毒的無(wú)線終端接入。下面詳細(xì)敘述一下無(wú)線交換機(jī)在規(guī)劃配置實(shí)施時(shí)需要考慮的問(wèn)題：5．6．1 AP 的VLAN 和無(wú)線用戶的VLAN第一代的無(wú)線局域網(wǎng)對(duì)AP 所在的VLAN(AP 為網(wǎng)絡(luò)設(shè)備)和無(wú)線用戶所在的VLAN 是沒(méi)有明確的區(qū)分。這種組網(wǎng)方式在現(xiàn)今的非常普遍，所以一般用戶都誤解無(wú)線局域網(wǎng)的SSID為局域網(wǎng)的VLAN。但這樣的組網(wǎng)必須在現(xiàn)有的網(wǎng)絡(luò)上做出很多改動(dòng)，AP 數(shù)量多時(shí)，無(wú)線用戶VLAN/IP 子網(wǎng)也增多，無(wú)線用戶IP 子網(wǎng)在局域網(wǎng)內(nèi)必須全打通， (即匯聚層和骨干層的路由開(kāi)通) 否則無(wú)線用戶就不能訪問(wèn)局域網(wǎng)上其它網(wǎng)點(diǎn)，包括在不同接入層的無(wú)線用戶。這樣的無(wú)線局域網(wǎng)實(shí)際上就不能支持跨三層無(wú)線漫游。無(wú)線用戶的VLAN 是可透過(guò)Aruba 交換機(jī)和骨干交換機(jī)互連互通。Aruba 無(wú)線交換機(jī)在單機(jī)無(wú)線系統(tǒng)內(nèi)含了強(qiáng)大的封包處理能力、10/100/1000Mbps 以太網(wǎng)交換能力、對(duì)應(yīng)各種狀態(tài)及LAN 速度防火墻、虛擬專用網(wǎng)絡(luò)（VPN）終端、無(wú)線入侵預(yù)防和先進(jìn)的RF 管理功能。該設(shè)備具有可熱插拔的模塊，該模塊可以具有連接24 個(gè)10/100Mbps 串連及以太網(wǎng)電源（SPoE）電纜的能力、兩個(gè)GBIC 連接端口及三色接入點(diǎn)LED 顯示燈。__21 / 21。二、Aruba Access 系列Aruba AP 61 （圖左）擁有內(nèi)置天線，Aruba AP 60（圖右）支持外置天線的連接（配有RPSMA 接口可供連接外置天線）。所有Aruba 的WiFi 交換系統(tǒng)均支持Aruba 屢獲殊榮的軟件，并可無(wú)縫的整合到任何現(xiàn)有的有線網(wǎng)絡(luò)中，而無(wú)須重新進(jìn)行任何邏輯或物理配置。無(wú)線網(wǎng)絡(luò)管理人員可以便捷管理無(wú)線接入點(diǎn)，節(jié)省大量時(shí)間和金錢。由于無(wú)線用戶的傳輸是通過(guò)Aruba AP 內(nèi)已建立的GRE 隧道和Aruba 交換機(jī)互連的，所以實(shí)際上無(wú)線用戶的VLAN 是無(wú)須在接入層和匯聚層存在。但亦有可能SSID 在不同的AP 接入點(diǎn)時(shí)，它設(shè)置的缺省VLAN 是不一樣的。其實(shí)二者之間的關(guān)系并非是一對(duì)一，即一個(gè)SSID必須對(duì)應(yīng)有一個(gè)VLAN。對(duì)網(wǎng)絡(luò)管理而然，網(wǎng)絡(luò)設(shè)備的VLAN/IP 子網(wǎng)應(yīng)當(dāng)和用戶是分開(kāi)，這樣才可確保正常網(wǎng)絡(luò)運(yùn)行和維護(hù)。由于Aruba 的AP 是通過(guò)GRE 的隧道連接到Aruba 交換機(jī)上，所以Aruba 產(chǎn)品在規(guī)劃上可以完全不改變園區(qū)網(wǎng)原有的網(wǎng)絡(luò)結(jié)構(gòu)，同時(shí)實(shí)現(xiàn)無(wú)縫的二三層漫游。 監(jiān)測(cè)和阻斷無(wú)線攻擊： 防止攻擊占用某個(gè)接入點(diǎn)的所有可用帶寬， 導(dǎo)致其他用戶的正當(dāng)接入。 確保鏈路的保密與數(shù)據(jù)的完整： 防止未經(jīng)授權(quán)的用戶讀取或更動(dòng)在網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)。通過(guò)無(wú)線局域網(wǎng)，可以輕松地實(shí)現(xiàn)主會(huì)場(chǎng)與分會(huì)場(chǎng)間資源共享的問(wèn)題，這樣即可解決了會(huì)議場(chǎng)所的空間問(wèn)題，又可以相應(yīng)地節(jié)省人力和物力?？紤]到會(huì)議廳、報(bào)告廳以及多功能廳的用途，接入的用戶多的情況，覆蓋時(shí)需要考慮接入容量因素。25綜上所述，無(wú)線局域網(wǎng)系統(tǒng)共開(kāi)設(shè)多個(gè)SSID。在方案實(shí)現(xiàn)上使用多個(gè)SSID：一個(gè)供學(xué)生用戶和來(lái)賓使用，可以不用加密，只做基于WEB 的接入認(rèn)證，另一個(gè)SSID 供學(xué)校教職員工和工作人員使用，該SSID 被配置為隱含，不廣播出來(lái)，采用WPA 加密＋ 認(rèn)證方式，確保此類用戶安全性。教師和學(xué)生以及學(xué)生也可以隨時(shí)查閱網(wǎng)上的資料或遞交電子文檔的作業(yè)等，這樣可以十分方便、快捷地創(chuàng)造一個(gè)多方位的可視化的遠(yuǎn)程多媒體教學(xué)環(huán)境。Aruba 公司的60/61 系列 AP ，具有Aruba AP 的各種安全和管理功能，Aruba 交換機(jī)可以完全使用管理Aruba AP 的管理方式一樣來(lái)管理該款新型AP，實(shí)現(xiàn)所有Aruba 提供的安全和管理功能。Aruba 會(huì)把在不同域之間的認(rèn)證請(qǐng)求轉(zhuǎn)發(fā)到對(duì)應(yīng)這域的radius 服務(wù)器處理。當(dāng)用戶不是在本地入網(wǎng)或是從一個(gè)部門的接入點(diǎn)漫游到另一部門的接入點(diǎn)需要重新認(rèn)證時(shí)，如果用戶名和密碼在當(dāng)?shù)氐臄?shù)據(jù)庫(kù)是不存在的話，則用戶會(huì)被斷線。無(wú)線用戶已漫游到另一個(gè)IP 子網(wǎng)，但它仍可以原有的IP 地址繼續(xù)在新的22AP 上入網(wǎng)。這是一般網(wǎng)絡(luò)管理人員不愿意做的事情，因?yàn)樗鼈兙捅仨氈С趾途S護(hù)用戶的無(wú)線接入端。4．5 移動(dòng)漫游設(shè)計(jì)無(wú)線用戶移動(dòng)漫游，涉及到多個(gè)層次的漫游，最為簡(jiǎn)單的是二層漫游，其他廠家產(chǎn)品都表現(xiàn)不錯(cuò)，三層漫游就困難多了，還有當(dāng)用戶跨越多個(gè)域時(shí)怎樣無(wú)縫漫游，Aruba 無(wú)線局域網(wǎng)可以實(shí)現(xiàn)快速無(wú)縫漫游功能。（7）認(rèn)證系統(tǒng)支持： Aruba 無(wú)線系統(tǒng)支持多種認(rèn)證系統(tǒng)，諸如Radius、LDAP、微軟的AD（活動(dòng)目錄）和在Aruba 無(wú)線交換機(jī)內(nèi)部的Internal DB 等等。② WPA+ 加密方式盡量采用WPA，如果客戶端不支持也可采用動(dòng)態(tài)WEP，認(rèn)證服務(wù)器選擇RADIUS。（3）用戶認(rèn)證提供二種方式：① WPAPSK＋captive portal+VPN。4．4 無(wú)線安全性設(shè)計(jì)在Aruba 無(wú)線系統(tǒng)中，可以在多個(gè)層面對(duì)系統(tǒng)構(gòu)筑安全防護(hù)，其安全性設(shè)計(jì)如下：（1）多SSID：可以根據(jù)需要，如用戶的種類、應(yīng)用的種類，在Aruba 無(wú)線系統(tǒng)中設(shè)置多個(gè)SSID，不同的SSID 采用不同的安全策略，這樣可以對(duì)不同的用戶及應(yīng)用進(jìn)行區(qū)分服務(wù)。一般在防火墻策略設(shè)計(jì)中，可以將來(lái)賓和普通學(xué)生的權(quán)限設(shè)置的較低，只能訪問(wèn)有限的資源，且優(yōu)先級(jí)較低，并且有帶寬的限制，甚至可以做時(shí)間段的限制。4．3 網(wǎng)絡(luò)與用戶管理Aruba 無(wú)線系統(tǒng)中可以設(shè)定用戶的角色（role），每個(gè)role 可以基于用戶狀態(tài)防火墻和代理限制的設(shè)定等規(guī)則。要注意的是SSID 可以覆蓋全網(wǎng)，也可以只局限于園區(qū)網(wǎng)內(nèi)的某些范圍。 發(fā)展來(lái)制定以怎樣方式來(lái)實(shí)現(xiàn)無(wú)線加密。其實(shí)在一個(gè)AP 范圍內(nèi)，不管用戶連接到那一個(gè)SSID 廣播域內(nèi)，因?yàn)闊o(wú)線電波的傳輸是共享。使用無(wú)線網(wǎng)絡(luò)可以分為不同的無(wú)線接入業(yè)務(wù)類型。Aruba6000 無(wú)線交換機(jī)現(xiàn)在配備SC48C1 和SC128C1 服務(wù)卡，分別可以支持48 個(gè)AP 和128 個(gè)AP。4．1．3 大型無(wú)線局域網(wǎng)(250 個(gè)AP 以上)集中式組網(wǎng)所有的無(wú)線交換機(jī)都放置在網(wǎng)絡(luò)中心，但是在網(wǎng)絡(luò)中心內(nèi)則一定會(huì)有1 臺(tái) Aruba5100設(shè)置成Master 工作模式，用以管理其它Aruba5000/5100 交換機(jī)。在網(wǎng)絡(luò)中心則設(shè)置二臺(tái)Master Aruba2400 (VRRP) 作為主控管交換機(jī)。4．1．1 中型無(wú)線局域網(wǎng)(100 到250 個(gè)AP)集中式組網(wǎng)根據(jù)園區(qū)網(wǎng)絡(luò)結(jié)構(gòu)和需求，用戶可選擇單臺(tái)Aruba 5000 或6000 交換機(jī)來(lái)組網(wǎng)。這種技術(shù)可以確保無(wú)線語(yǔ)音業(yè)務(wù)可以無(wú)縫的在AP 間漫游，而不會(huì)發(fā)生掉線，是語(yǔ)音業(yè)務(wù)的質(zhì)量保證。無(wú)線網(wǎng)絡(luò)不需要對(duì)現(xiàn)有網(wǎng)絡(luò)進(jìn)行任何改變就可以實(shí)現(xiàn)這一切。Aruba 無(wú)線系統(tǒng)可容許用戶設(shè)置專有的語(yǔ)音SSID，把單純是數(shù)據(jù)傳輸?shù)挠脩艉蚖iFi手機(jī)用戶分開(kāi)，但也可以在單一SSID 內(nèi)同時(shí)傳送數(shù)據(jù)和話音，關(guān)鍵的重點(diǎn)就是怎樣保證語(yǔ)音傳輸?shù)馁|(zhì)量。很多手機(jī)廠家已開(kāi)始推出雙模制式的手機(jī)(GSM/CDMA +WiFi)，用戶很快就可以漫游于手機(jī)移動(dòng)網(wǎng)和無(wú)線局域網(wǎng)之間。3．4．2 VoIP 與WIFI 手機(jī)隨著VoIP 的越來(lái)越普及(如Skype,…等)，基于SIP 的WiFi 電話將迅速變?yōu)閳@區(qū)內(nèi)用戶之間話音聯(lián)絡(luò)的主流。對(duì)于不同的IP 服務(wù)，Aruba系統(tǒng)亦可透過(guò)Aruba 無(wú)線交換機(jī)設(shè)置定義不同的QoS 隊(duì)列。Aruba 公司和第三方的防病毒墻廠家合作，在Aruba 無(wú)線交換機(jī)上可以設(shè)定策略，某些用戶，以及某些可能沾染病毒的數(shù)據(jù)，Aruba 交換機(jī)會(huì)將其重定向到防病毒墻上進(jìn)行防病毒檢查，檢查完成后，才允許通過(guò)，否則會(huì)將數(shù)據(jù)丟棄。Aruba 無(wú)線系統(tǒng)的特點(diǎn)是交換機(jī)由專有的網(wǎng)絡(luò)處理器和加密處理器組成，且內(nèi)置一個(gè)無(wú)線入侵模式庫(kù)，實(shí)時(shí)檢測(cè)異常的無(wú)線數(shù)據(jù)包，當(dāng)Aruba 無(wú)線系統(tǒng)偵測(cè)出有入侵時(shí)，它會(huì)記錄和顯示入侵的格式，并對(duì)入侵做出自動(dòng)保護(hù)響應(yīng)。通過(guò)Aruba 的網(wǎng)絡(luò)安全管理系統(tǒng)，網(wǎng)絡(luò)安全管理人員可以及時(shí)發(fā)現(xiàn)是否有非法的AP接入，發(fā)現(xiàn)后可以開(kāi)啟自動(dòng)保護(hù)機(jī)制，阻止無(wú)線終端通過(guò)非法AP 聯(lián)接到無(wú)線網(wǎng)中。Aruba 無(wú)線系統(tǒng)的防火墻功能則是與用戶認(rèn)證捆綁在一起，當(dāng)無(wú)線用戶成功通過(guò)認(rèn)證后，他會(huì)獲得一個(gè)預(yù)設(shè)的用戶狀態(tài)防火墻，不同的無(wú)線用戶有不同的防火墻策略，例如老師和工作人員13可以使用更多的服務(wù)，而學(xué)生只可以瀏覽網(wǎng)頁(yè)、收發(fā)Email 等，這樣可以極大方便園區(qū)網(wǎng)用戶的安全管理。3．3．2 多種用戶認(rèn)證方式在Aruba 無(wú)線系統(tǒng)中，一個(gè)無(wú)線用戶進(jìn)入無(wú)線網(wǎng)以后，會(huì)拿到一個(gè)最基本的入網(wǎng)權(quán)限，這個(gè)權(quán)限不容許用戶訪問(wèn)任何網(wǎng)段，只讓用戶通過(guò)DHCP 獲取IP 地址、傳送DNS 協(xié)議數(shù)據(jù)包，通過(guò)認(rèn)證以后才可以接入無(wú)線網(wǎng)。這是傳統(tǒng)無(wú)線局域網(wǎng)所不能做的，有些單位如醫(yī)院就是采用了無(wú)線定位技術(shù)來(lái)取代傳呼機(jī)在醫(yī)院內(nèi)尋找醫(yī)生、病人等。Aruba 無(wú)線系統(tǒng)可應(yīng)用層面通過(guò)4－7 層交換模塊可以實(shí)現(xiàn)服務(wù)器的負(fù)載均衡，VPN 設(shè)備，防火墻設(shè)備等等一系列基于TCP/IP 協(xié)議設(shè)備的負(fù)載均衡來(lái)保證整體網(wǎng)絡(luò)的可靠性。Aruba 系統(tǒng)具有自動(dòng)恢復(fù)的功能，實(shí)時(shí)偵測(cè)出網(wǎng)上AP 是否有失效，當(dāng)發(fā)覺(jué)有AP 出現(xiàn)故障時(shí)，Aruba 交換機(jī)能會(huì)自動(dòng)調(diào)節(jié)鄰近的AP 的功率（覆蓋范圍）來(lái)接替失效AP 的工作?？稍诙郤SID 的情況下確保語(yǔ)音和視頻的Qos 支持。在一個(gè)語(yǔ)音SSID 內(nèi)可把SIP 等無(wú)線語(yǔ)音數(shù)據(jù)以優(yōu)先級(jí)隊(duì)列處理。3．2．4 多個(gè)SSID 結(jié)構(gòu)Aruba 系統(tǒng)的多SSID 結(jié)構(gòu)和和實(shí)現(xiàn)技術(shù)使得在Aruba 無(wú)線局域網(wǎng)系統(tǒng)的各種多媒體應(yīng)用服務(wù)（數(shù)據(jù)、語(yǔ)音和視頻）在Qos 上表現(xiàn)非常出色。無(wú)線電波掃描是指Aruba AP 從一個(gè)電波頻道跳到另一頻道時(shí)，如Ch 1 到 Ch2 到 Ch 3....，由于掃描的速度非?？欤詫?duì)于在線的無(wú)線用戶（指連接到AP 上在同一頻率上的無(wú)線終端）的傳輸過(guò)程是不受到影響地。初次安裝無(wú)線局域網(wǎng)時(shí)，用戶可通過(guò)RF Planning 的Auto Calibration 功能來(lái)自動(dòng)調(diào)節(jié)整個(gè)無(wú)線網(wǎng)上所有AP 的無(wú)線電波頻率和功率。Aruba 系統(tǒng)具有非常強(qiáng)的無(wú)線局域網(wǎng)集中管理功能，通過(guò)無(wú)線交換機(jī)Master Switch 和Local Switch 管理模式管理整個(gè)網(wǎng)絡(luò)，網(wǎng)管人員只需在無(wú)線交換機(jī)就可開(kāi)通、管理、維護(hù)所有AP 設(shè)備以及移動(dòng)終端，包括無(wú)線電波頻譜、無(wú)線安全、接入認(rèn)證、移動(dòng)漫游以及接入用戶。3．2 Aruba 無(wú)線局域網(wǎng)的網(wǎng)絡(luò)管理3．2．1 集中式管理網(wǎng)絡(luò)數(shù)據(jù)中心管理一個(gè)具有規(guī)模的無(wú)線局域網(wǎng)（通常在幾十個(gè)AP 以上）是一件非常頭痛的事情。RF Planning 自動(dòng)計(jì)算，然后顯示出AP 在圖上的安裝坐標(biāo)位置和無(wú)線電波的覆蓋范圍。對(duì)原有的有線網(wǎng)路由器不需要改變路由結(jié)構(gòu)，減輕了由于無(wú)線網(wǎng)的建設(shè)而對(duì)原有網(wǎng)絡(luò)的結(jié)構(gòu)改變的工作量。無(wú)線用戶的VLAN 是可透過(guò)Aruba 交換機(jī)和骨干交換機(jī)互連互通。除了AP 數(shù)量之外，怎樣控管大量的AP 和部署也是擴(kuò)展性的重要考慮因素。并可以提供冗余熱備份機(jī)制，保證系統(tǒng)的高可用性。在無(wú)線音視頻應(yīng)用方面，Aruba 獨(dú)有的基于每個(gè)用戶的帶寬控制和QOS 保證，可以確保語(yǔ)音和視頻業(yè)務(wù)的實(shí)時(shí)性，先進(jìn)的無(wú)縫三層移動(dòng)漫游，使得VoIP 以及Wifi 手機(jī)可以自由的在任意AP 間切換，具有目前業(yè)界最低的時(shí)延。Aruba 無(wú)線系統(tǒng)不但具有一、二代無(wú)線產(chǎn)品所有的功能，并且在無(wú)線網(wǎng)的規(guī)劃、管理、安全和對(duì)音視頻業(yè)務(wù)的支持方面都有著與一代和二代產(chǎn)品不可比擬的優(yōu)勢(shì)。由于這一代技術(shù)的AP 儲(chǔ)存了大量的網(wǎng)絡(luò)和安全的配置，包括加密的鑰匙，Radiusclient 的安全密碼 (secret) 等，而AP 又是分散在建筑物中的各個(gè)位置，一旦AP 的配置被盜取讀出并修改，其無(wú)線網(wǎng)絡(luò)系統(tǒng)就失去了安全性。無(wú)線局域網(wǎng)系統(tǒng)要支持故障熱備冗余能力。采用集中控管的組網(wǎng)方式，集中控制管理所有的AP。2．5 易管理易維護(hù)在網(wǎng)絡(luò)管理方面，必須具有集中控管、智能調(diào)控、自動(dòng)恢復(fù)、負(fù)載均衡等實(shí)用功能，使所建的無(wú)線網(wǎng)絡(luò)可以適應(yīng)多種環(huán)境的變化，可動(dòng)態(tài)地保證良好的應(yīng)用效果。2．3 安全可靠在網(wǎng)絡(luò)安全性方面，無(wú)線局域網(wǎng)系統(tǒng)要具有與有線局域網(wǎng)同樣要求的安全防護(hù)措施，無(wú)線網(wǎng)的安全性主要從以下幾個(gè)方面考慮：（1）接入認(rèn)證：具有支持多種用戶認(rèn)證方式；（2）采用具有用戶狀態(tài)訪問(wèn)控制的防火墻技術(shù)；（3）具有數(shù)據(jù)在無(wú)線信道上傳輸?shù)腣PN 機(jī)制；（4）具有無(wú)線網(wǎng)的防病毒機(jī)制（5）具有無(wú)線電波監(jiān)控能力，能提供無(wú)線入侵偵測(cè)和無(wú)線終端位置的追蹤功能。根據(jù)XXXX 大學(xué)的需求和無(wú)線網(wǎng)建設(shè)與設(shè)計(jì)原則，建議采用美國(guó)Aruba Networks公司的第三代無(wú)線交換局域網(wǎng)系統(tǒng)（以下簡(jiǎn)稱Aruba 無(wú)線系統(tǒng)），完成無(wú)線局域網(wǎng)覆蓋項(xiàng)目。因此，建議采用無(wú)線局域網(wǎng)覆蓋方式可以很方便、靈活地配合教室的布局和計(jì)算機(jī)接入網(wǎng)絡(luò)的位置。由于XXXX 是新