【正文】 大型網(wǎng)絡內(nèi)，一般都有很多不同的部門，部門內(nèi)通常都有自己的用戶數(shù)據(jù)庫，即所 謂的本地認證服務器。 Aruba 6000 交換機集中匯集 AP 的接入和控管。 應用主要有：（ 1）多媒體與網(wǎng)絡教學；（ 2）各種學術(shù)報告與會議需要的移動 VoIP （音視頻）；（ 3）移動業(yè)務辦公；（ 4）訪問 Inter。并同時 采用不同的認證、加密和安全控管的手段，以方便的實現(xiàn)網(wǎng)絡 安全和管理。 ??確保鏈路的保密與數(shù)據(jù)的完整： 防止未經(jīng)授權(quán)的用戶讀取或更動在網(wǎng)絡上傳輸?shù)? 數(shù)據(jù)。第一代無線組網(wǎng)無論對無線用戶、 AP 和網(wǎng)絡的管理都有一定困難，而且很 容易造成混亂。 Aruba 交換機組網(wǎng)，當無線用戶加入到無線網(wǎng)上的一個 SSID 時，很容易與 VLAN 綁定， 無線用戶漫游到不同 AP 上，因 SSID 的缺省 VLAN 實際上是穿越接入層到 Aruba 交換機上， 用戶的 VLAN 是無需在每個接入層上開通。當然把一 SSID 設定在一個 VLAN 內(nèi)對傳統(tǒng)的無線局域網(wǎng)只能夠支持 第二層的無線用戶漫游是唯一可實現(xiàn)的方式。并且所有的 AP 都統(tǒng)一規(guī)劃統(tǒng)一集中管理。通過無線局域網(wǎng)，可 以輕松地實現(xiàn)主會場與分會場間資源共享的問題，這樣即可解決了會議場所的空間問題， 又可以相應地節(jié)省人力和物力。 25 綜上所述，無線局域網(wǎng)系統(tǒng)共開設多個 SSID。 教師和學生以及學生也可以隨時查閱網(wǎng)上的資料或遞交電子文檔的作業(yè)等，這樣可以 十分方便、快捷地創(chuàng)造一個多方位的可視化的遠程多媒體教學環(huán)境。 Aruba 會把在不同域之間的認證請求轉(zhuǎn)發(fā)到對應這域的 radius 服務器處理。無線用戶已漫游到另一個 IP 子網(wǎng)，但它仍可以原有的 IP 地址繼續(xù)在新的 22 AP 上入網(wǎng)。 4． 5 移動漫游設計 無線用戶移動漫游，涉及到多個層次的漫游，最為簡單的是二層漫游，其他廠家產(chǎn)品 都表現(xiàn)不錯，三層漫游就困難多了，還有當用戶跨越多個域時怎樣無縫漫游， Aruba 無線 局域網(wǎng)可以實現(xiàn)快速無縫漫游功能。 ② WPA+ 加密方式盡量采用 WPA，如果客戶端不支持也可采用動態(tài) WEP， 認證方式采用 ，認證服務器選擇 RADIUS。 4． 4 無線安全性設計 在 Aruba 無線系統(tǒng)中，可以在多個層面對系統(tǒng)構(gòu)筑安全防護，其安全性設計如下： （ 1） 多 SSID： 可以根據(jù)需要，如用戶的種類、應用的種類，在 Aruba 無線系統(tǒng)中設 置多個 SSID，不同的 SSID 采用不同的安全策略，這樣可以對不同的用戶及應用進行區(qū)分 服務。 4． 3 網(wǎng)絡與用戶管理 Aruba 無線系統(tǒng)中可以設定用戶的角色（ role），每個 role 可以基于用戶狀態(tài)防火墻和 代理限制的設定等規(guī)則。 用戶可根據(jù)實際的情況和 發(fā)展來制定以怎樣方式來實現(xiàn)無線加密。 使用無線網(wǎng)絡可以分為不同的無線接入業(yè)務類型。 4． 1． 3 大型無線局域網(wǎng) (250 個 AP 以上 )集中式組網(wǎng) 所有的無線交換機都放置在網(wǎng)絡中心，但是在網(wǎng)絡中心內(nèi)則一定會有 1 臺 Aruba5100 設置成 Master 工作模式，用以管理其它 Aruba5000/5100 交換機。 4． 1． 1 中型無線局域網(wǎng) (100 到 250 個 AP)集中式組網(wǎng) 根據(jù)園區(qū)網(wǎng)絡結(jié)構(gòu)和需求，用戶可選擇單臺 Aruba 5000 或 6000 交換機來組網(wǎng)。無線網(wǎng)絡不需要對現(xiàn)有網(wǎng)絡進 行任何改變就可以實現(xiàn)這一切。很多手機廠家已開始推出雙模制式的手機 (GSM/CDMA + WiFi)，用戶很快就可以漫游于手機移動網(wǎng)和無線局域網(wǎng)之間。對于不同的 IP 服務， Aruba 系統(tǒng)亦可透過 Aruba 無線交換機設置定義不同的 QoS 隊列。 Aruba 無線系統(tǒng)的特點是交換機由專有的網(wǎng)絡處理器和加密處理器組成，且內(nèi)置一個 無線入侵模式庫，實時檢測異常的無線數(shù)據(jù)包，當 Aruba 無線系統(tǒng)偵測出有入侵時，它會 記錄和顯示入侵的格式，并對入侵做出自動保護響應。 Aruba 無 線系統(tǒng)的防火墻功能則是與用戶認證捆綁在一起，當無線用戶成功通過認證后，他會獲得 一個預設的用戶狀態(tài)防火墻，不同的無線用戶有不同的防火墻策略，例如老師和工作人員 13 可以使用更多的服務，而學生只可以瀏覽網(wǎng)頁、收發(fā) Email 等，這樣可以極大方便園區(qū)網(wǎng) 用戶的安全管理。這 是傳統(tǒng)無線局域網(wǎng)所不能做的，有些單位如醫(yī)院就是采用了無線定位技術(shù)來取代傳呼機在 醫(yī)院內(nèi)尋找醫(yī)生、病人等。 Aruba 系統(tǒng)具有自動恢復的功能，實時偵測出網(wǎng)上 AP 是否有失效，當發(fā)覺有 AP 出現(xiàn) 故障時， Aruba 交換機能會自動調(diào)節(jié)鄰近的 AP 的功率（覆蓋范圍）來接替失效 AP 的工作。 在一個語音 SSID 內(nèi)可把 SIP 和 等無線語音數(shù)據(jù)以優(yōu)先級隊列處理。無線電波掃描是指 Aruba AP 從一個電波頻道跳到另一頻道時，如 Ch 1 到 Ch 2 到 Ch 3....，由于掃描的速度非?？?，所以對于在線的無線用戶（指連接到 AP 上在同一 頻率上的無線終端）的傳輸過程是不受到影響地。 Aruba 系統(tǒng)具有非常強的無線局域網(wǎng)集中管理功能，通過無線交換機 Master Switch 和 Local Switch 管理模式管理整個網(wǎng)絡，網(wǎng)管人員只需在無線交換機就可開通、管理、維護 所有 AP 設備以及移動終端，包括無線電波頻譜、無線安全、接入認證、移動漫游以及接 入用戶。 RF Planning 自動計算，然后顯示出 AP 在圖上的安裝坐標位置和無線電波的覆蓋 范圍。無線用戶的 VLAN 是可透 過 Aruba 交換機和骨干交換機互連互通。并可以提供冗余熱備份機制，保證系統(tǒng)的高可用性。 Aruba 無線系統(tǒng)不但具有一、二代無線產(chǎn)品所有的功能，并且在無線網(wǎng)的規(guī)劃、管理、 安全和對音視頻業(yè)務的支持方面都有著與一代和二代產(chǎn)品不可比擬的優(yōu)勢。 無線局域網(wǎng)系統(tǒng)要支持故障熱備冗余能力。 2． 5 易管理易維護 在網(wǎng)絡管理方面，必須具有集中控管、智能調(diào)控、自動恢復、負載均衡等實用功 能，使所建的無線網(wǎng)絡可以適應多種環(huán)境的變化，可動態(tài)地保證良好的應用效果。 根據(jù) XXXX 大學的需求和無線網(wǎng)建設與設計原則，建議采用美國 Aruba Networks 公司的第三代無線交換局域網(wǎng)系統(tǒng)（以下簡稱 Aruba 無線系統(tǒng)），完成無線局域網(wǎng)覆蓋 項目 。由于 XXXX 是新建成投 入使用的，采用有線網(wǎng)絡擴充而進行的網(wǎng)絡布線工程會對 XXXX 墻壁和頂棚做大量的 施工，影響建筑樓群內(nèi)部的外觀。 無線網(wǎng)絡的覆蓋重點為?? （以下針對大學的需求展開） 1． 2 網(wǎng)絡教學需求 XXXX 大學有多個多媒體教學教室和計算機網(wǎng)絡教室，由于在建設時這些房間的 使用功能考慮，目前有線網(wǎng)絡環(huán)境教室已經(jīng)不能滿足廣大師生網(wǎng)絡接入，如采用有線 網(wǎng)絡擴充方式還需要在這些教室布大量網(wǎng)線，其工程難度很大。第三代無線局域網(wǎng)架構(gòu)采用無線交換機加瘦 AP 的結(jié)構(gòu)，使得 無線局域網(wǎng)的網(wǎng)絡性能、網(wǎng)絡管理和安全管理能力得以大幅提高，使建設大型無線網(wǎng) 成為可能。 充分利用現(xiàn)有網(wǎng)絡結(jié)構(gòu)與資源，不單獨組網(wǎng)， AP 就近接入有線網(wǎng)絡（最近的 交換機），并且不改變原有網(wǎng)絡結(jié)構(gòu)以及交換機配置。 第二代無線局域網(wǎng)技術(shù)（以正誠、昂科、 Bluesocket 等為代表），采用 AC＋智能 AP 構(gòu)架， AC 兩者實質(zhì)均為二層設備， AP 實現(xiàn)接入、 AC 實現(xiàn)匯聚和認證功能，有的廠商的 AC 實現(xiàn)了二層網(wǎng)絡交換，具有基本的網(wǎng)絡的控制和用戶的管理，如： WEB 認證、流量的 控制、訪問的控制等；支持 VLAN、 VPN、 WPA 等基本的安全管理，它們無法實現(xiàn)對無線 電磁波層面的調(diào)控和優(yōu)化。 在無線安全性方面， Aruba 無線系統(tǒng)具備多種用戶認證、基于用戶的狀態(tài)防火墻、 VPN 加密機制、無線入侵偵測、無線接入病毒防護功能以及集中的安全管 理。在網(wǎng) 絡系統(tǒng)擴展性方面， Aruba 的一臺 5000/6000 型交換機可靈活地對從 48 個 AP 到__________128 個 AP 擴充到支持 512 個 AP，因此擴展 AP 非常容易；從網(wǎng)絡管理擴展性方面 , Aruba 的 Master/Local 方式， Master Aruba 交換機可以同時控制管理 28 臺的 Local Aruba 交換機， 因此增加交換機也非常容易管理。不用劃分 VLAN，對于無線網(wǎng)絡的管理帶來極大的便利性。 Aruba RF Planning 為無線網(wǎng)的規(guī)劃設計、調(diào)試以及維護提供科學化和規(guī)范化的管理。 3． 2． 3 RF 智能控管 Aruba 系統(tǒng)的 RF 智能控管可以自動調(diào)節(jié)網(wǎng)上所有 Aruba AP 的電波特性。當某一覆蓋范圍內(nèi)的 無線電波改變，如出現(xiàn)干擾 AP 所發(fā)出的電波或其它應用所發(fā)出的電波等， Aruba 無線交 換機就會把所獲取的無線電波資料做分析，以確定是否需要調(diào)整這范圍內(nèi) AP 的無線電波。在一個預設 定語音 SSID 內(nèi)只允許網(wǎng)絡管理設定語音傳輸協(xié)議通過，以確保其它數(shù)據(jù)不能進入這 SSID。要確保每個無線終端的傳輸就必須能限制一個 AP 上無線終端的數(shù)量或 AP 帶寬傳輸總和或和每個無線終端帶寬上限。 3． 3 Aruba 無線局域網(wǎng)系統(tǒng)的安全管理 3． 3． 1 集中的安全管理 Aruba 無線系統(tǒng)的安全管理是將防火墻、 VPN、安全認證、防病毒、無線入侵監(jiān)測以 及 RF 電磁波管理等多項安全功能匯聚到 Aruba 無線交換機上來完成的，解決了傳統(tǒng)的無 線網(wǎng)對安全的分散管理（ AP、 AC）和能力，給用戶帶來的不安全感，擺脫了對有線網(wǎng)安 全的依賴性。 3． 3． 5 無線接入點安全偵測和保護 采用 Aruba 無線系統(tǒng)的 RF 偵測功能和保護機制可以實時監(jiān)測園區(qū)無線網(wǎng)覆蓋區(qū)域內(nèi) 的所有 AP 接入情況 ,如相鄰房間的 AP、設置錯誤的 AP 以及未經(jīng)認可而連接到網(wǎng)絡中的 AP。 當無線終端通過了準入檢查，但是如何對無線終端發(fā)出數(shù)據(jù)進行有效的檢查和監(jiān)控是 更加進一步的病毒防護手段。 提供語音服務，將極大以高無線網(wǎng)絡的實際運營效果，為廣大在校師生提供無線網(wǎng)絡 服務，隨著無線語音技術(shù)的發(fā)展，無線語音無線數(shù)據(jù)服務將極大方便用戶的園區(qū)生活。尤其無線語音的漫游 , 它會比一般的數(shù)據(jù)移動傳輸更普及，但相對的要求也較嚴緊，所以要在無線局域網(wǎng)實現(xiàn)語 音和數(shù)據(jù)融合，就不能隨意的安裝一些 AP，而必須是有規(guī)范的組建無線局域網(wǎng)。 而 Aruba 的 handoff 性能極佳，保證了語音的流暢。 一些要求較高的用戶會采用雙機（二臺 Aruba2400）在配線間以 VRRP 串聯(lián)模式來加強網(wǎng)絡冗余備份。這種組網(wǎng)方式簡易靈 活并方便擴容。由于用戶一般把 SSID 看成 VLAN， 所以它們都會慣性地以 VLAN 概念來劃分 SSID。不能一步轉(zhuǎn)到 的主因在于很多的無線終端現(xiàn)在 尚未支持 ，而是不可能把所有的終端一次更換成最新的軟件程序。 Aruba 的基于用戶狀態(tài)的防火墻則是與用戶認證捆綁在一起，當無線用戶成功 通過認證后，他會獲得一個預設的防火墻策略，不同的無線用戶有不同的防火墻策略，例 如一個用戶可以使用 SIP 的服務，而另一用戶則可用 FTP。 （ 2） 加密： Aruba 無線系統(tǒng)支持多種加密的方式，二層的加密支持靜態(tài) WEP、動態(tài) WEP、 TKIP、 WPA、 多種加密方式，三層的加密支持 IPSec VPN 加密，這樣使得加密的 方式更加的靈活，可以根據(jù)實際需求進行選擇。 21 （ 6）帶寬控制：可以對每個用戶設定其可以使用的帶寬，一方面可以限制其對網(wǎng)絡資 源的占有，另一方面，當該客戶端中了病毒以后，其病毒發(fā)作時不會占用網(wǎng)絡全部的帶寬。過去為了 解決跨越三層的漫游，有些用戶采用了 Mobile IP 的技術(shù)，但 Mobile IP 的缺點是它必須在 無線終端安裝軟件。在實現(xiàn)應用時，要求有單一的認證數(shù)據(jù)庫是未必可行的，但同時無 線用戶應是可在內(nèi)無縫漫游。無線交換機和 AP 的連接可以穿透三層網(wǎng)絡設備，因此， 無線網(wǎng)絡不影響原有網(wǎng)絡的結(jié)構(gòu)，可以實現(xiàn)全網(wǎng)的無線漫游。 采用 Aruba 無線系統(tǒng)的多 SSID 結(jié)構(gòu)的管理技術(shù)將不同類型的用戶和應用劃分到不同 的 SSID 中，賦予不同的訪問規(guī)則與權(quán)限以及配置不同的管理策略。 5． 4 多媒體以及音視頻應用的實現(xiàn) 在會議廳、報告廳實現(xiàn)無線覆蓋，可以建立 Aruba 的無線音視頻會議網(wǎng)絡系統(tǒng)平臺。 ??偵測和阻斷非法接入：防止非法 AP 接入學校的無線網(wǎng)絡中。對網(wǎng)絡管理而然，網(wǎng)絡設備的 VLAN/IP 子網(wǎng)應當和用戶是分開，這樣才可 確保正常網(wǎng)絡運行和維護。 但亦有可能 SSID 在不同的 AP 接入點時，它設置的缺省 VLAN 是不一樣的。其實二者之間的關(guān)系并非是一對一，即一個 SSID 必須對應有一個 VLAN。 由于 Aruba 的 AP 是通過 GRE 的隧道連接到 Aruba 交換機上，所以 Aruba 產(chǎn)品在規(guī)劃 上可以完全不改變園區(qū)網(wǎng)原有的網(wǎng)絡結(jié)構(gòu)，同時實現(xiàn)無縫的二三層漫游。使用 Aruba 無線 系統(tǒng)在學校的報告廳、各大小會議室以及多功能廳等區(qū)域?qū)崿F(xiàn)無線覆蓋，利用無線音視頻 會議網(wǎng)絡系統(tǒng)平臺可為各種會議提供豐富的文字、語音和視頻服務。將訪 問策略中的語音業(yè)務和視頻業(yè)務的應用優(yōu)先級提到最高，以確保這些服務的質(zhì)量。 在無線網(wǎng)絡音視頻會議教學系統(tǒng)的支持下，在校的留學生、教師和行政辦公人員以及與會