【正文】 設(shè)計原則 高性能 。系統(tǒng)具備在線故障恢復(fù)能力，關(guān)鍵設(shè)備、模塊、線路能做到實時備份、均衡負(fù)載和自動故障切換。 無線 網(wǎng)絡(luò)系統(tǒng)提供多種有效的安全控制機(jī)制，以防止機(jī)密泄露和影響正常工作。在 無線 網(wǎng)絡(luò)設(shè)計及選擇設(shè)備時應(yīng)完全滿足目前的應(yīng)用需求，同時充分考慮今后較長時間內(nèi)應(yīng)用發(fā)展的需要 ，網(wǎng)絡(luò)系統(tǒng)應(yīng)能方便地升級。 經(jīng)濟(jì)性和實用性 。 無線網(wǎng)絡(luò)建設(shè)應(yīng) 站在一定高度，本著 滿足未來 5－ 10 年無線迅速增長 和安全 的需求 出發(fā) ， 應(yīng)當(dāng) 具備以下功能： 第 一， 無所不在的無線接入 網(wǎng)絡(luò) ? 提供真正的移動性 ， 無線 酒店 網(wǎng)絡(luò) 吸引人的一個特點是移動性 ——用戶可以在 室內(nèi)室外， 辦公室、 會議室 之間自由移動并和網(wǎng)絡(luò)保持持續(xù)連接 。 第 二， 隨時隨地的 遠(yuǎn)程安全無線接入 ? 隨著 酒店 變得更加虛擬化、更富有協(xié)作性并且更加分散，依賴于分布在不同地點的合作伙伴、供應(yīng)商和 移動 員工 共同 組成的擴(kuò)展型網(wǎng)絡(luò) 需求大量增多，這時，單單滿足他們對數(shù)據(jù)通信的要求是遠(yuǎn)遠(yuǎn)不夠的 —— 現(xiàn)有的大多 數(shù)移動辦公解決方案都僅僅解決了數(shù)據(jù)通信的問題，并沒有在真正意義上解決 酒店 話音通信和多媒體協(xié)同辦公的問題。 ? 遠(yuǎn)程 AP 能 很簡單地通過互聯(lián)網(wǎng)從遠(yuǎn)程位置連接到 位于 酒店總部 的 移動控制器。 建成的無線網(wǎng)絡(luò)很好地融合進(jìn) 原有網(wǎng)絡(luò)安全解決方案體系中，并根據(jù)無線網(wǎng)絡(luò)的安全技術(shù)特征，補(bǔ)充 具有多層次的安全保護(hù)措施，以滿足用戶身份鑒別、訪問控制、可稽核性和保密性等要求。無線網(wǎng)絡(luò) 管理軟件 應(yīng)能統(tǒng)一管理 所有 無線 AP 和交換機(jī) ，且能合理分配各種網(wǎng)絡(luò)資源。 第 五 ， 提供 便捷的無線 網(wǎng)絡(luò) 應(yīng)用環(huán)境 ? 無需配置客戶設(shè)備。 ? 多種服務(wù)的支持： 無線網(wǎng)絡(luò)的發(fā)展與最初有線網(wǎng)絡(luò)的發(fā)展 一樣，需要有一些關(guān)鍵性的應(yīng)用在網(wǎng)絡(luò)上運行，應(yīng)用才是無線網(wǎng)絡(luò)發(fā)展的最大動力。 第二代無線局域網(wǎng)技術(shù)，采用 AC＋智能 AP 構(gòu)架， AC 兩者實質(zhì)均為二層設(shè)備， AP 實現(xiàn)接入、 AC 實現(xiàn) 匯聚和認(rèn)證功能，有的廠商的 AC 實現(xiàn)了二層網(wǎng)絡(luò)交換，具有基本的網(wǎng)絡(luò)的控制和用戶的管理，如： WEB 認(rèn)證、流量的控制、訪問的控制等；支持 VLAN、 VPN、 WPA 等基本的安全管理，它們無法實現(xiàn)對無線電磁波層面的調(diào)控和優(yōu)化。 作為第三代的 ARUBA 無線系統(tǒng)采用了 Wireless Switch＋ AP 構(gòu)架，將密集型的無線網(wǎng)絡(luò)和安全處理功能轉(zhuǎn)移到集中的 WLAN 交換機(jī)中實現(xiàn)，同時加入了許多重要新功能，諸如無線網(wǎng)管、 AP 間自適應(yīng)、無線安全管理、 RF 監(jiān)測、無縫漫游以及 QoS 保證等。 ? 帶寬控制與服務(wù)質(zhì)量保證 QOS ARUBA 無線系統(tǒng)的帶寬管理能力使得在移動音視頻應(yīng)用方面表現(xiàn)出很強(qiáng)的優(yōu)勢。例如語音視頻這樣對于時延敏感的業(yè)務(wù)，目前，經(jīng)過中國網(wǎng)通、中國 賽爾公司對幾家WLAN 設(shè)備廠商的設(shè)備測試結(jié)果表明， ARUBA 的無線網(wǎng)系統(tǒng)以其完善 QoS 特性在測試中表現(xiàn)最佳。很多手機(jī)廠家已開始推出雙模制式的手機(jī) (GSM/CDMA + WiFi)，用戶很快就可以漫游于手機(jī)移動網(wǎng)和無線局域網(wǎng)之間。 ARUBA Networks 12 of 44 ARUBA 無線系統(tǒng)可容許用戶設(shè)置專有的語音 SSID，把單純是數(shù)據(jù)傳輸?shù)挠脩艉?WiFi手機(jī)用戶分開，但也可以在單一 SSID 內(nèi)同時傳送數(shù)據(jù)和話音，關(guān)鍵的重點就是怎樣保證語音傳輸?shù)馁|(zhì)量。 ARUBA 系統(tǒng)還能幫助 Wi－ Fi手機(jī)做到一定的節(jié)電功能，使 Wi－ Fi手機(jī)使用時限加長，主要是通過兩種方法的共同作用來達(dá)到的。 ? 無縫的三層漫游 ARUBA 無線能夠讓用戶在 AP、 WLAN 交換機(jī)、多子網(wǎng)以及多 VLAN 之間無縫地漫游，而且不會丟失連接，也不需要重啟。而 ARUBA 的 handoff 性能極佳，保證了語音的流暢。 酒店 的每個員工都可以在任何地點，任何時候，方便安全地連接到 酒店 總部的通信系統(tǒng)上，就像工作在總部的辦公室一樣，利用其熟悉的數(shù)據(jù)和話音通信系統(tǒng)，及時地完成業(yè)務(wù)處理和有效的內(nèi)部溝通。 Aruba 公司清楚地認(rèn)識到，在今天競爭激烈的市場上， 酒店 用戶成功的關(guān)鍵是在提高生產(chǎn)率的同時降低生產(chǎn)運行成本。 使 酒店 辦公范圍擴(kuò)展得更大 ， 員工能與 酒店 保持聯(lián)系并獲取 酒店 的最新情況。 . 安全保障 的無線網(wǎng)絡(luò)的重要性 ARUBA 從 網(wǎng)絡(luò) 設(shè)計者的角度來看， 對于 XX 酒店 酒店 大規(guī)模部署無線網(wǎng)絡(luò)，必須對無線網(wǎng)絡(luò)的安全性加以重視， ARUBA 建議從以下幾方面 做到全方位的安全保證： ? 集中的安全管理 ARUBA 無線系統(tǒng)的安全管理是將防火墻、 VPN、安全認(rèn)證、防病毒、無線入侵監(jiān)測 IDS以及 RF 電磁波管理等多項安全功能匯聚到 ARUBA無線交換機(jī)上來完成的，解決了傳統(tǒng)的無線網(wǎng)對安 全的分散管理（ AP、 AC）和能力，給用戶帶來的不安全感，擺脫了對有線網(wǎng)安全的依賴性。傳統(tǒng)的網(wǎng)絡(luò)防火墻是沒有用戶這概念，它的保護(hù)只是基于 IP地址或物理端口來制定防火墻策略，所以對于沒有固定接入點的無線終端，這種防火墻的功效是不大。 ? 無線接入點安全偵測和保護(hù) 采用 ARUBA 無線系統(tǒng)的 RF 偵測功能和保護(hù)機(jī)制可以實時監(jiān)測 酒店 無線網(wǎng)覆蓋區(qū)域內(nèi)的所有 AP 接入情況 ,如相鄰房間的 AP、設(shè)置錯誤的 AP 以及未經(jīng)認(rèn)可而連接到網(wǎng)絡(luò)中的 AP。這些攻擊在 HotSpot 會導(dǎo)致用戶的無線連接斷線，但網(wǎng)管中心仍然不知，用戶則誤以為是網(wǎng)絡(luò)問題，間接影響無線網(wǎng)系 統(tǒng)的品質(zhì)。 當(dāng)無線終端通過了準(zhǔn)入檢查，但是如何對無線終端發(fā)出數(shù)據(jù)進(jìn)行有效的檢查和監(jiān)控是更加進(jìn)一步的病毒防護(hù)手段。 . 無線組網(wǎng)方式設(shè)計 根據(jù) XX 酒店 酒店 無線覆蓋的 分布和建筑平面， 公司總部 的 室內(nèi)無線局域網(wǎng)初步配置如下： 采用 1 臺 Aruba3600 和 1 臺 Aruba3400 無線控制 交換機(jī) 進(jìn)行無線網(wǎng)絡(luò)平臺控制核心端的組網(wǎng)，無線 控制器機(jī)通過 1000Mbps 直接連接網(wǎng)絡(luò)核心交換設(shè)備，由 ARUBA Networks 18 of 44 于采用雙鏈路結(jié)構(gòu)，任何一臺核心交換機(jī)發(fā)生故障，都不會影響 AP 和無線控制交換機(jī)之間的通信。 Aruba 移動控制器 可以通過 Inter 網(wǎng)連接到 遠(yuǎn)程位置的指定 Aruba 接入點 (AP) ，并在任意需要的地方天衣無縫地通過互聯(lián)網(wǎng)擴(kuò)展 酒店 WLAN。 酒店 的語音無線電話通過遠(yuǎn)程 Aruba AP 連接，并好像它們就在中心 酒店 站點中那樣進(jìn)行運作。 此外，網(wǎng)絡(luò)管理員可以查看詳細(xì)的客戶機(jī)狀態(tài)報告，這些報告顯示了客戶機(jī) MAC 地址、客戶機(jī)制造商、信道、無線電、狀態(tài)以及最后活動日期和時間。 這樣就不需要安裝和維護(hù)一臺 VPN 客戶機(jī)或在遠(yuǎn)程機(jī)器上下載一個臨時 SSL VPN 客戶機(jī)，大大減輕了管理成本。 遠(yuǎn)程 Aruba AP 與用戶屬性（例如認(rèn)證方法、應(yīng)用程序、設(shè)備類型和移動控制器中的可用策略執(zhí)行防火墻模塊）進(jìn)行通信。 Aruba 遠(yuǎn)程 AP 為分支機(jī)構(gòu)和家庭辦公室提供了安全的移動連接，是一種理想的解決方案。因此， 建議 在設(shè)計上采用無線局域網(wǎng)多 SSID 技術(shù)，設(shè)置多業(yè)務(wù)區(qū)分方式。一個最簡單的例子就是 ARUBA Networks 20 of 44 AP 把不同的 SSID 名字廣播，所以當(dāng)無線終端在這個 AP 覆蓋范圍內(nèi)啟動時，它就能同時看到多個 SSID。最常見的做法是使用多個 SSID，例如：一個定義為 通過 WEB 門戶的方式為訪客使用 ，另一個 SSID 則為 TKIP(WPA)專為內(nèi)部員工使用。 所以針對無線局域網(wǎng)多種用戶的不同業(yè)務(wù)類型應(yīng)該采取不同的 SSID 進(jìn)行管理和控制。 一種為前臺人員設(shè)計的獨特的簡化用戶生成系統(tǒng)，帶有到期時間和預(yù)設(shè)接入控制的臨時客人 ID。有一些 酒店 為了安全就采用一刀切的方法，把所有無線接入?yún)R聚到一個 DMZ 內(nèi)，再通過網(wǎng)絡(luò)防火墻的過濾才讓無線數(shù)據(jù)進(jìn)入 酒店內(nèi)網(wǎng)。 采用傳統(tǒng)的網(wǎng)絡(luò)防火墻來實現(xiàn)無線接入安全保護(hù)的最大問題是缺乏靈活性，因它本質(zhì)上不是設(shè)計來做內(nèi)部的安全保護(hù)，而是用來確保外來數(shù)據(jù)進(jìn)入 酒店 內(nèi)網(wǎng)是安全可靠的，所以一般都會設(shè)置在 酒店 因特網(wǎng)的連接口 。要做到實施和維護(hù)簡單方便，亦可根據(jù)用戶身份來制定安全訪問策略， ARUBA 的無線解決方案就可以徹底解決這些問題。 ARUBA 和其它廠家在認(rèn)證和加密上的最大區(qū)別在于二者都不是通過 AP 來實現(xiàn)的，而是在 ARUBA 交換機(jī)上實現(xiàn)。 . 檢測無線入侵和非法攔截和定位 通過 ARUBA 交換機(jī)的 WEB 界面 或中心化網(wǎng)管界面 ， 酒店 網(wǎng)管中心便可查看到是否有非法 AP 在傳輸網(wǎng)內(nèi)。若要尋查非法 AP 的位置所在，只需 ARUBA Networks 24 of 44 在 WEB 界面按“定位”這按鈕，非法 AP 的位置就會顯示在 酒店 辦公 室的圖紙上（用戶必須預(yù)先把無線網(wǎng)絡(luò)的結(jié)構(gòu)圖輸入 ARUBA 交換機(jī)內(nèi)的 RF Planning 系統(tǒng)），網(wǎng)絡(luò)管理人員就可根據(jù)圖表顯示的位置找到這 AP。 ARUBA 還有一個獨特的無線射頻特性是可跟蹤在無線網(wǎng)絡(luò)內(nèi)所有 WiFi終端的位置，如 PDA, WiFi手機(jī)，和筆記本等。這是傳統(tǒng)無線網(wǎng)絡(luò)所不能做的。 ? 加密 ： ARUBA 無線系統(tǒng)支持多種加密的方式，二層的加密支持靜態(tài)WEP、動態(tài) WEP、 TKIP、 WPA、 多種加密方式，三層的加密支持IPSec VPN 加密，這樣使得加密的方式更加的靈活，可以根據(jù)實際需求進(jìn)行選擇。 ? 用戶的 Role（角色） ：每一類用戶可以建立一個相關(guān)的 Role，每個 Role有一個用戶狀態(tài)防火墻的設(shè)定和帶寬控制的設(shè)定，這樣我們就可以將設(shè)定的安全策略加載到每個用戶身上。 ? 網(wǎng)絡(luò)病毒的防護(hù)： 無線終端病毒防護(hù)的可以從無線終端的準(zhǔn)入檢查以及對無線終端發(fā)出數(shù)據(jù)進(jìn) 行有效的檢測兩個層面來進(jìn)行的。 . L2/L3 層漫游 在傳統(tǒng)的無線局域網(wǎng)內(nèi)，無線終端要跨越不同 AP 之間漫游是有一定的困難，因為不同 AP 之間，它的無線用戶 IP 子網(wǎng)可能都不是在同一個 VLAN 內(nèi)。 通過 ARUBA 無線系統(tǒng)的代理 DHCP 功能，就可解決了跨越不同三層 IP子網(wǎng)的無線漫游問題。代理DHCP 的優(yōu) 點是無要在用戶終端安裝任何軟件就可讓終端無縫的在不同 IP 子網(wǎng)之間漫游。要做到真正的無縫漫游，則需要有支持 Radius 代理這樣的功能。 ARUBA Networks 28 of 44 . 無線交換機(jī)的配置實施建議 一般廠家的無線網(wǎng)絡(luò)產(chǎn)品在 酒店 網(wǎng)規(guī)劃時都需要二層交換機(jī)連接或者劃分VLAN，否則只能將認(rèn)證點下放到 AP 上，導(dǎo)致整體性能的降低和漫游特性的缺失。第一代無線組網(wǎng)無論對無線用戶、 AP 和網(wǎng)絡(luò)的管理都有一定困難，而且很容易造成混亂。 . VLAN 和無線 SSID 的關(guān)系 一般用戶都誤解無線局域網(wǎng)的 SSID 為局域網(wǎng)的 VLAN，這可能是由于第一代的無線局域網(wǎng)都是通過“ FAT AP”組網(wǎng)的原因。 ARUBA Networks 29 of 44 ARUBA 交換機(jī)組網(wǎng)，當(dāng)無線用戶加入到無線網(wǎng)上的一個 SSID 時，很容易與 VLAN 綁定，無線用戶漫游到不同 AP 上，因 SSID 的缺省 VLAN 實際上是穿越接入層到 ARUBA 交換機(jī)上，用戶的 VLAN 是無需在每個接入層上開通。 . 無線局域網(wǎng) – 不需更改局域網(wǎng)路由 大規(guī)模在園內(nèi)實現(xiàn)無線局域網(wǎng)接入，不需要在現(xiàn)有的局域網(wǎng)上做很多路由的修改， ARUBA AP 所在的 VLAN 和無線用戶的 VLAN 是獨立分開的，用戶只須在 ARUBA AP 的接入點分配給它 IP 地址即可，這個 IP 地址可以是通過 DHCP 服務(wù)器來分發(fā)，可以是以靜態(tài) IP 地址方式配置在 ARUBA AP 上。 . 網(wǎng)絡(luò)與用戶管理 ARUBA 無線系統(tǒng)中可以設(shè)定用戶的角色（ role）