【正文】 6 采用 Key caching 技術(shù)完成漫游時用戶的快速切換， Key caching 技術(shù)在用戶的安全接入和快速漫游間做了一個很好的平衡，可以使無線用戶終端在兩個 AP 間進行漫游時不必 重新進行完整的 認證交互過程，同時又能保證用戶身份的識別和密鑰使用的連續(xù)性；無線用戶采用快速漫游方式，單 AC 內(nèi)漫游時間不超過 50ms，滿足了語音業(yè)務(wù)的苛刻需求。 支持快速的二、三層漫游 H3C 公司的集中式無線架構(gòu)不但能方便地實施二層漫游，而且非常有利于跨三層的漫游實現(xiàn)，用 Fat AP 部署的 WLAN 網(wǎng)絡(luò)，由于 AP 之間傳遞的信息有限，導致垮三層的漫游實現(xiàn)及其麻煩，集中式架構(gòu) 非常容易解決跨三層漫游的問題，WX6100E 系列無線控制器支持二、三層漫游，漫游域不受子網(wǎng)的限制。 WX6100E 系列無線控制器同樣可以部署在 IPv6 網(wǎng) 絡(luò)中， AC 和 AP 之間自動協(xié)商成 IPv6 隧道。 支持 認證， MAC 地址認證， Portal 認證等 WX6100E 系列無線控制器支持多種認證方式： 認證： WX6100E 系列無線控制器支持 TLS、 PEAP、 TTLS、 MD SIM 卡等多種 的認證 方式，同時還支持 本地認證方式，提供對 MD TLS、PEAP 這幾種主流認證方式的支持，用戶不再需要額外配置 AAA 服務(wù)器。 針對用戶無線環(huán)境監(jiān)管的不同層次需求， RTSG 方案的部署可以靈活采用 Local mode 或 Monitor Mode。 支持 7層移動安全檢測 /防御 (wIDS/wIPS) WX6100E系列無線控制器支持的移動安全防御模式有：黑名單、白名單、 Rogue防御、畸形報文檢測、非法用戶下線、基于可預設(shè)升級的 Signature MAC層攻擊檢測與反制 (例如： DoS攻擊， Flood攻擊、中間人攻擊 )等。另一臺 AC用預備份的地址池數(shù)據(jù)回應(yīng)續(xù)約，避免了為用戶重新分配地址和用戶業(yè)務(wù)中斷。 AP對最優(yōu)控制器的選擇，可以根 據(jù)控制器負載情況動態(tài)計算 (AC間動態(tài)負載均擔 )或事先指定控制器優(yōu)先級等多種方式，十分靈活。 1+1快速備份 WX6100E系列無線控制器支持毫秒 (ms)級業(yè)務(wù)備份， AP會同時和兩臺無線控制器建立 CAPWAP鏈路，一臺作為主控制器，另外一臺作為備份控制器，但只有和主控制器建立的 CAPWAP鏈路處于工作狀態(tài)。當用戶下線時，系統(tǒng)會自動禁用 User Profile下的配置項，從而取消 User Profile對用戶的 煙草進修學院無線校園網(wǎng) 解決方案 30 限定。 提供靈活的數(shù)據(jù)轉(zhuǎn)發(fā)方式 傳統(tǒng)的無線控制器部署一般采用集中式轉(zhuǎn)發(fā)模式， AC可以對報文進行全面控制和安全監(jiān)管，但所有的無線業(yè)務(wù)流量需要到 AC進行統(tǒng)一處理，核心鏈路帶寬和AC轉(zhuǎn)發(fā)能力容易成為瓶頸。用戶認證時， Portal server 根據(jù)用戶接入的 BSSID 推送給用戶相應(yīng)的頁面。通過此兩種方式的流量管理，可以防止 P2P 業(yè)務(wù)占用帶寬導致其他用戶無法正常使用網(wǎng)絡(luò)的情況。藍牙、微波爐、鄰居 WLAN 網(wǎng)絡(luò)等都會對客戶的網(wǎng)絡(luò)產(chǎn)生干擾影響，系統(tǒng)能夠自動檢測到這些干擾并進行干擾避免。 煙草進修學院無線校園網(wǎng) 解決方案 22 H3C iMC 能夠在一套系統(tǒng)中實現(xiàn)對有線網(wǎng)絡(luò)、無線控制器、無線 AP、 PoE 交換機等 有線、 無線校園網(wǎng)涉及的所有設(shè)備的統(tǒng)一管理，避免了有線無線網(wǎng)絡(luò)采用不同的管理系統(tǒng)帶來的維護管理的割裂，因此能夠更方便的實現(xiàn)無線校園網(wǎng)的配置管理，降低維護工作量。 H3C 無線接入認證主要有 接入認證、 PSK 認證、 MAC 接入認證以及在有線校園網(wǎng)中常用的 portal 認證等。 ? 可靠性增強，有 SNMP 能力的 PoE 裝置，可實施遠程檢測和控制，能有效地處理或修理裝 置的耗電量和（或）失效故障。 上述過程是閉環(huán)過程，一旦配置下發(fā)以后，控制器將持續(xù)監(jiān)視網(wǎng)絡(luò)環(huán)境。 ? 有效信號強度：在一定時間內(nèi)觀察到的每個鄰居的 信號強度和整個信道的平均信號強度。 6) 通過 CAPWAP 隧道的心跳機制， AP 可及時發(fā)現(xiàn)控制器 DOWN，同時根據(jù)上述方法重新選擇一個負載輕的 AC 接入，從而實現(xiàn) AC 的 N+1 備份。 H3C 通過 WSM 智 能 無線管理組件 為網(wǎng)絡(luò)管理員提供了圖形化、一體化管理能力，可以高效地管理有線 /無線網(wǎng)絡(luò)。根據(jù)入侵檢測的結(jié)果，網(wǎng)絡(luò)管理者可以及時調(diào)整網(wǎng)絡(luò)的配置，去除 WLAN 網(wǎng)絡(luò)的不安全因素，保證WLAN 網(wǎng)絡(luò)不再受到攻擊。 針對無線網(wǎng)絡(luò)的特點， H3C 創(chuàng)新的在 WLAN 上提供防 ARP 病毒方案，首先同一個 AP 的同一個 SSID 下的用戶缺省啟動用戶隔離，這樣用戶發(fā)送的 ARP 報文不會被轉(zhuǎn)發(fā)給其他用戶，其次 H3C ARP 攻擊防御解決方案通過對客戶端、接入交換機和網(wǎng)關(guān)三個控制點實施自上而下的“ 全面防御”，并且能夠根據(jù)不同的網(wǎng)絡(luò)環(huán)境和客戶需求進行“模塊定制”，為用戶提供多樣、靈活的 ARP 攻擊防御解決方案。 H3C 無線運營管理組件 （ WSM） 可以用很直觀的拓撲圖表示出無線網(wǎng)絡(luò)中的 RF 狀況。與 iMC 智能管理平臺及其它組件配合，還可實現(xiàn)無線設(shè)備的面板管理、故障管理、性能監(jiān)控、 煙草進修學院無線校園網(wǎng) 解決方案 11 軟件版本管理、配置文件管理、接入用戶管理、用戶認證管理等功能，并可對網(wǎng)絡(luò)中的其它設(shè)備進行統(tǒng)一管理，真正實現(xiàn)有線無線一體 化管理。 詳見下表。 ? 實現(xiàn)室內(nèi)無線網(wǎng)絡(luò)的合理 分布， 考慮室內(nèi)實現(xiàn)無線網(wǎng)絡(luò)的不同情況和特點以及目前 園區(qū)室內(nèi) 手提電腦 用戶數(shù)量日益增多的情況，應(yīng)采取合理的布網(wǎng)方式滿足現(xiàn)在以及未來發(fā)展的需要。同時，由于 WLAN 技術(shù)本身就是面向數(shù)據(jù)通信領(lǐng)域的 IP 傳輸技術(shù)，因此可直接通過千 兆自 適應(yīng)網(wǎng)口和企業(yè)、學校內(nèi)部 Intra 相連，從體系結(jié)構(gòu)上節(jié)省了協(xié)議轉(zhuǎn)換器等相關(guān)設(shè)備； ? 擴展能力強： WLAN 網(wǎng)橋系統(tǒng)支持多種拓撲結(jié)構(gòu)及平滑擴容，可以十分容易地從小容量傳輸系統(tǒng)平滑擴展為中等容量傳輸系統(tǒng)； 隨著 WLAN 技術(shù)的快速發(fā)展和不斷成熟，目前在國內(nèi)外具有較多的中大規(guī)模應(yīng)用，諸如荷蘭的阿姆斯特丹市的全城覆蓋， 諸如無線上海、無線杭州的無線城市， 向客戶提供各種業(yè)務(wù)。 ? 無線系統(tǒng)須具備對無線 AP 進行統(tǒng)一控制、管理的軟硬件平臺，軟硬件控制、管理平臺所提供的網(wǎng)元 License 數(shù)量與實際網(wǎng)元數(shù)量相匹配并易于擴充，軟硬件控制、管理平臺的采購、安裝、調(diào)試工作由系統(tǒng)集成商負責 。 H3C WX6103 高端無線控制器 基礎(chǔ)可管理 128 個 AP，通過軟件升級 最大可管理 2048 個 AP，完全能夠管理本次項目所 需的室內(nèi) AP；室內(nèi)型 AP 采用 WA4620iACN 雙頻 AP， WA4620iACN 支持兩個射頻模塊，可以同時工作在 和 5GHz，在設(shè)備數(shù)量不變的情況下，把網(wǎng)絡(luò)的介入容量提高一倍，以滿足 WLAN 用戶快速增長的需求； PoE 交換機采用 S512028PHPWRSI 和 S512028PPWRSI， S512028PHPWRSI 和S512028PPWRSI系列 PoE交換機最大 分別 提供 370W和 170W 的供電功率，可以 分別 滿足 24 口 和 12 口 同時接 AP 的供電需求；管理方面， 建議部署有線無線一體化管理軟件 ，通過 WSM 無線業(yè)務(wù)管理組件的方式實現(xiàn)對無線控制器、室內(nèi) AP 設(shè)備的統(tǒng)一管理。物理位置視圖中用戶可根據(jù)需要創(chuàng)建多緯度、多層次的物理位置結(jié)構(gòu)，并在指定建筑物底圖上根據(jù)真實情況擺放設(shè)備，逼近真實網(wǎng)絡(luò)環(huán)境。 煙草進修學院無線校園網(wǎng) 解決方案 14 安全方案 防 ARP 病毒 ARP 欺騙攻擊不僅會造成聯(lián)網(wǎng)不穩(wěn)定，引發(fā)用戶無法上網(wǎng)，或者企業(yè)斷網(wǎng)導致重大生產(chǎn)事故，而且利用 ARP 欺騙攻擊可進一步實施中間人攻擊，以此非法 獲取到 文件服務(wù)等系統(tǒng)的帳號和口令，對被攻擊者造成利益上的重大損失。通過在已有的 WLAN 網(wǎng)絡(luò)中部署非法設(shè)備檢測功能，可以對整個 WLAN 網(wǎng)絡(luò)中的異常設(shè)備進行監(jiān)視，并且可以根據(jù)需要對非法的設(shè)備進行防攻擊處理（在實際的網(wǎng)絡(luò)應(yīng)用中，可以啟動防攻擊功能，即 WIDS 會盡量阻止非法的設(shè)備提供服務(wù)或者接入到無線網(wǎng)絡(luò)）。 室內(nèi)設(shè)備物理安全性 H3C WA4600 自身支持物理防盜設(shè)計，位于設(shè)備頂部，可以用于將AP 設(shè)備與固定支架鎖定，起到一定的防盜作用。如果此值相同，則根據(jù)當前接入 AC 的無線用戶數(shù)判斷。這些數(shù)據(jù)包括： ? 干擾：其他工作在 頻段的無線網(wǎng)絡(luò)對無線介質(zhì)的影響。系統(tǒng)提供了兩種控制模式：參考模式和立即模式，增加了系統(tǒng)使用的靈活性。因此使用 PoE 設(shè)備將大大降低設(shè)備成本和管理成本 。此外，用戶在采用 H3C 公司的無線控制器＋ FIT AP組 網(wǎng)時，都需要預先在無線控制器上設(shè)置部署的 AP 序列號。 此外， H3C 的無線產(chǎn)品支持完善的無線入侵檢測系統(tǒng)，可以自動監(jiān)測非法設(shè)備，并適時上報網(wǎng)管中心，同時對非法設(shè)備的攻擊可以進行自動防護，最大程度地保護無線網(wǎng)絡(luò)。 ? 自我修復網(wǎng)絡(luò) 當某個接入點失效造成了網(wǎng)絡(luò)存在無線信號覆蓋黑洞時，這個區(qū)域周圍的接入點將立即檢測到覆蓋黑洞 并通過發(fā)射功率的調(diào)整來修復黑洞。 H3C 的無線控制器和無線 AP 都使用 Commware V5 平 臺，因此， H3C WLAN 解決方案既可以工作域 IPV4，也可以工作于 IPV6 環(huán)境，也就是 AP 和 AC 可以完全工作于 IPV6 環(huán)境；而其他廠商由于操作系統(tǒng)不能支持 IPV6，所以 WLAN 設(shè)備對 IPV6的支持都是透傳，也就是 AP 和 AC 在網(wǎng)絡(luò)中直接把 IPV6 報文封裝在 CAPWAP 隧道中，但 AP 和 AC 不能使用 IPV6 地址工作，因此在一個純 IPV6 環(huán)境中，無法工作。同時能夠?qū)崿F(xiàn)跨越三層網(wǎng)絡(luò)的快速漫游，使得 WLAN 網(wǎng)絡(luò)能夠良好的承載語音業(yè)務(wù)。 H3C WX6100E 系列無線控制器包括 WX6103E、 WX6108E 和 WX6112E 三款型號 *。 用戶訪問設(shè)備時，需要先進行身份認證。 WX6100E系列無線控制器支持基于 AP位置的用戶接入控制。其中 WX6103每臺備份設(shè)備最多可以支持 4臺主設(shè)備 (即 4+1)。任何一臺 AC down時，由于另臺 AC已經(jīng)預同步了用戶的認證數(shù)據(jù)，所以可以避免 Portal重認證和用戶業(yè)務(wù)中斷，滿足了電信級 可靠性需求。由于這些客戶端共享無線媒介，導致每個客戶端的網(wǎng)絡(luò)吞 吐將大量減少。 RTSG 的控制臺融合部署于 H3C iMC 智能管理中心，通過 CAPWAP 管理隧道，與 Sensor AP 進行通信和數(shù)據(jù)采集，實現(xiàn) 7X24 小時的無線環(huán)境質(zhì)量監(jiān)控、無線網(wǎng)絡(luò)能力趨勢評估以及非許可干擾告警。遠程探針分析功能既可以針對工作信道進行無收斂鏡像，也可以對所有信道輪詢采樣， 靈活滿足無線網(wǎng)絡(luò)監(jiān)控運維要求。同時也可以根據(jù)策略要求， 靈活推送定制 Portal 頁面，達到廣告宣傳、信息傳遞的作用，廣泛使用在無線校園、無線城市、訪客接入等應(yīng)用場景。同時，通過 IPv6 SAVI 和 Portal 技術(shù)的結(jié)合，進一步保證了所有上網(wǎng)用戶報文的真實性和安全性。 支持多種分支機構(gòu)遠 程接入場景 煙草進修學院無線校園網(wǎng) 解決方案 37 當 AC 和 AP 通過廣域網(wǎng)鏈路進行連接時，用戶可以靈活選擇集中轉(zhuǎn)發(fā)或本地轉(zhuǎn)發(fā)模式，提升分支機構(gòu)局域網(wǎng)打印訪問、終端互訪等業(yè)務(wù)性能。 當分支機構(gòu) AP 部署于私網(wǎng)內(nèi)時， AC 可以穿越 NAT 與 AP 進行通信。當無線用戶終端在兩個 AP 間漫游時，如果無線用戶終端在新 AP 接入的過程完全遵從完整的 的交互過程，勢 必造成漫游切換的時間過長，對于某些對漫游切換時間敏感的業(yè)務(wù) (例如語音業(yè)務(wù) )，這樣的長切換時間是無法忍受的。 針對校園網(wǎng)層出不窮的 IPv6 偽造報文攻擊， WX6100E 系列無線控制器支持 IPv6 SAVI(Source Address Validation，源地址有效性驗證 ) 技術(shù)。 煙草進修學院無線校園網(wǎng) 解決方案 35 Portal 認證： WX6100E 系列無線控制器提供內(nèi)置的 Portal 認證服務(wù)器。 支持遠程探針分析 WX6100E 系列無線控制器支持針對 AP 的遠程探針分析功能。 支持 RealTime Spectrum Guard(實時頻譜保護 )模式 RealTime Spectrum Guard(RTSG)是 H3C 創(chuàng)新提出的 針對無線環(huán)境頻譜狀態(tài)的專業(yè)監(jiān)控方案。通過信道智能切換功能，可以保證每個 AP能夠分配到最優(yōu)的信道，盡可能地減少和避免相鄰信道干擾，而且通過實時信道干擾檢測，可以讓 AP實時避開雷達，微波爐等干擾源。用戶通過其中一臺 AC完成 Portal認證。例如其中 N臺 AC各自獨立工作 ，外加一臺 AC作為備份 AC，其中 N臺