【正文】 反制仿冒攻擊； 基于 pattern的匹配（ Signature）：對報文進行預(yù)定義的 pattern匹配，并執(zhí)行預(yù)定義的動作； WLAN 環(huán)境監(jiān)控：可監(jiān)控 WLAN 各個信道上的無線設(shè)備，以及各種WLAN 管理報文、控制報文及數(shù)據(jù)報文的速率。在空口直接傳送的信號，是把報文進行 封裝并進行相應(yīng)的調(diào)制解調(diào)為電磁波，在大氣中進行“看不見、摸不著”的黑夜傳送。 入侵檢測主要為了及時發(fā)現(xiàn) WLAN 網(wǎng)絡(luò)中的有意或者無意的攻擊，通過記錄信息或者日志方式通知網(wǎng)絡(luò)管理者。 以華三公司相關(guān)功能截圖為例： WIPS 配置 XXX 電力公司變電站無線內(nèi)網(wǎng)建設(shè)方案 38 / 57 虛擬安全域 無線統(tǒng)計報表 對網(wǎng)絡(luò)各種性能指標(biāo)、告警指標(biāo)中進行智能的統(tǒng)計和分析，從整體對網(wǎng)絡(luò)狀況進行衡量。通過 對 AC 以及 AP 進行頻譜防護相關(guān)功能進行配置， 可以 定制頻譜防護功能。 能夠 用很直觀的拓?fù)鋱D表示出無線網(wǎng)絡(luò)中的 RF 覆蓋狀況。網(wǎng)絡(luò)資源通過多種視圖進行查看，視圖內(nèi)分組管理，將規(guī)模巨大的無線接入設(shè)備有效組織，便于管理員維護。針對不同的 WLAN環(huán)境，衰減因子 n 的取值有所不同。 POE交換機適合大量 AP統(tǒng)一供電的情況，根據(jù)目前實際情況，每個 變電站 需要部署的 AP 數(shù)目較少，采用 POE交換機的性價比不高，因此推薦采用 POE適配器供電的方式。逐包功率控制能夠最大程度減小信號發(fā)送影響的范圍，還能同時保證 AP的覆蓋范圍。 報文發(fā)送速率調(diào)整就是動態(tài)計算每個報文發(fā)送速率。實際上，當(dāng) RF 信號強度低于接收靈敏度時， WLAN芯片將不啟動接收動作。頻譜分析還能監(jiān)控整個網(wǎng)絡(luò)的空口性能的情況，并適時發(fā)出告警。 5G上的非 WLAN設(shè)備要相對少得多，信道數(shù)量多，能夠獲得非常好的性能。集成方式的網(wǎng)絡(luò)相比較獨立方式的網(wǎng)絡(luò)來說，具有能夠統(tǒng)一管理、充分利用接入網(wǎng)絡(luò)的資源、檢測和定位方便等特點。 總的來說，一個 WLAN 網(wǎng)絡(luò)，影響它的干擾源可以從以下幾個方面來考慮： ? 網(wǎng)絡(luò)自身的干擾 ? 自身的同頻干擾 ? 自身的鄰頻干擾 ? 來自外部的干擾 ? WLAN干擾 XXX 電力公司變電站無線內(nèi)網(wǎng)建設(shè)方案 22 / 57 ? 非 WLAN干擾 無線干擾的檢測 大型的 WLAN網(wǎng)絡(luò)一般采用瘦 AP 架構(gòu)。 WLAN 網(wǎng)絡(luò)應(yīng)首先避免自身的鄰頻干擾，所有設(shè)備建議部署在不重疊的信道上，并且設(shè)備之間避免過近。 右圖： AP1 的 client要數(shù)據(jù)，但感知 AP2 正在發(fā)送，從而退避不能發(fā)送。對某些國家或地區(qū)來說，僅有 。 常見的室外覆蓋方式： AP 放在樓頂覆蓋 XXX 電力公司變電站無線內(nèi)網(wǎng)建設(shè)方案 17 / 57 AP部署在樓層中間 頻率規(guī)劃設(shè)計 本次設(shè)計中， AP 同時在 和 頻段發(fā)射 SSID 信號。 無線覆蓋類型 無線覆蓋設(shè)計基本上可以歸納為三大類： 室外開闊空間覆蓋 、 AP室內(nèi)無障礙覆蓋、 AP 室內(nèi)穿越障礙覆蓋，下面則對這三類覆蓋分別進行描述： ? 室外開闊空間覆蓋： 主要應(yīng)用于室外開闊區(qū)域，在室外開闊空間中 AP 的覆蓋能力比室內(nèi)半開闊空間要遠(yuǎn)，但為了保證效果通常是添加室外天線使用。 AP 與主從 AC 關(guān)聯(lián)過程 XXX 電力公司變電站無線內(nèi)網(wǎng)建設(shè)方案 14 / 57 AP與主從 AC關(guān)聯(lián)過程如圖所示。 AP 與 AC 關(guān)聯(lián)時，會選擇與優(yōu)先級值高的 AC 關(guān)聯(lián)為主用。 具體的邏輯組網(wǎng)圖如下圖所示： 地 市 數(shù) 據(jù) 通 信 網(wǎng)地 市 側(cè) 邊 界 路由 器 R 1地 市 側(cè) 邊 界 路由 器 R 2三 層 V P N三 層 V P NE B G P 跨 域E B G P 跨 域無 線 控 制 器 1 無 線 控 制 器 2地 市 核 心 路 由器 R 1地 市 核 心 路 由器 R 2變 電 站 邊 界 路由 器供 電 公 司 邊 界路 由 器二 層 V P NV P L S二 層 V P NV P L S二 層 V P NV P L S二 層 V P NV P L S無 線 用 戶無 線 用 戶 在現(xiàn)有的地市數(shù)據(jù)通信網(wǎng) 上利用 VPLS 創(chuàng)建一個二層 VPN，既在每個變電站的接入路由器和地市核心路由器上配置二層 VPN 參數(shù)并綁定連接無線內(nèi)網(wǎng)的接口 ， 該 VPN作為無線控制器和無線 AP 之間的XXX 電力公司變電站無線內(nèi)網(wǎng)建設(shè)方案 12 / 57 管理通道和數(shù)據(jù)傳輸通道，與現(xiàn)有的數(shù)據(jù)通信網(wǎng)業(yè)務(wù) 是嚴(yán)格 隔離 的 ，采用二層 VPN確保無線內(nèi)網(wǎng)的所有設(shè)備和用戶的 IP 部參與地市數(shù)據(jù)通信網(wǎng)的路由計算和數(shù)據(jù)轉(zhuǎn)發(fā)，提供的是一個二層透明傳輸通道，相當(dāng)于是一根從變電站到地市電業(yè)局的大“網(wǎng)線” 。 ? 無線 AP 必須支持 Multi SSID 功能， AP 自身具備為不同 SSID WLAN用戶接入有線網(wǎng)絡(luò)或互聯(lián)網(wǎng)絡(luò)提供不同身份認(rèn)證策略的功能。 ? 考慮整個系統(tǒng)的高可靠性、高性能、安全性和統(tǒng)一管理，在設(shè)備選型時采用高可靠、高性能設(shè)備，關(guān)鍵部件采用冗余部署。用戶在地市層面僅能通過二層 VPN訪問到地市電業(yè)局的無線控制器 。硬件系統(tǒng)應(yīng)選擇先進、成熟、穩(wěn)定、性價比高的設(shè)備。 XXX省電力公司 綜合數(shù)據(jù)網(wǎng)的建成極大提高辦公效率 ， 基本覆蓋了所有的機關(guān)單位和各級變電站， 目前的用戶接入方式主要是采用有線網(wǎng)絡(luò)， 只能夠滿足辦公室場所等室內(nèi)辦公。 目前主要 采用的是 運營商的 2G/3G/4G 無線通信網(wǎng)絡(luò) ， 由于接入方式多樣化、安全防護措施不規(guī)范、運營模式不統(tǒng)一、運維力量薄弱，導(dǎo)致無線業(yè)務(wù)在網(wǎng)絡(luò)管理、安全防護、經(jīng)濟效益、運營維護、終端管理等方面均存在提升的需求。系統(tǒng)采用符合信息技術(shù)發(fā)展趨勢的先進技術(shù)。 XXX 電力公司變電站無線內(nèi)網(wǎng)建設(shè)方案 8 / 57 無線內(nèi)網(wǎng)的安全，從無線網(wǎng)絡(luò)環(huán)境、用戶接入、用戶終端進行層層防護。 ? 實現(xiàn)室內(nèi)無線網(wǎng)絡(luò)的合理分布，考慮室內(nèi)實現(xiàn)無線網(wǎng)絡(luò)的不同情況和特點以及目前用戶移動終端數(shù)量日益增多的情況，應(yīng)采取合理的組網(wǎng)技術(shù)滿足現(xiàn)在以及未來發(fā)展的需要。 ? 無線 AP 必須支持 WLAN用戶的隔離功能，以防止在公共區(qū)域無線用戶間的信息泄露。 無線網(wǎng)絡(luò)拓?fù)? 基于網(wǎng)絡(luò)的先進性考慮，本次電力 公司 無線網(wǎng)絡(luò)采用目前主流的AC + Fit AP 的架構(gòu)，在實現(xiàn)對無線信號無縫覆蓋的同時，又能夠?qū)崿F(xiàn)對無線網(wǎng)絡(luò)的靈活管理配置，提高網(wǎng)絡(luò)維護效率。 通過 AC 上 AP 優(yōu)先級值的配置，可以人為選擇 AC 對 AP 的控制范圍。 AP 下接入 station 的通信服務(wù)不會受到任何影響。同時 AP 重新開啟 CAPWAP discovery 進程，根據(jù)新 Master AC 提供的 IP地址，與新的 Slave AC 關(guān)聯(lián)。因此這樣的結(jié)構(gòu)適合在走廊中布置 AP，來覆蓋兩邊的房間區(qū)域；并且根據(jù)實現(xiàn)工程勘測情況來確定室內(nèi)走廊部分采用吸頂天線的方式進行部署還是內(nèi)置天線部署。 WLAN 工作 ISM（ Industry, Science and Medicine）頻段，包括 5G 兩個頻段。 XXX 電力公司變電站無線內(nèi)網(wǎng)建設(shè)方案 20 / 57 左圖： AP1 給 client發(fā)送數(shù)據(jù)， AP2 不能感知，同時也發(fā)送數(shù)據(jù)，導(dǎo)致在AP1 的 client 處沖突。 XXX 電力公司變電站無線內(nèi)網(wǎng)建設(shè)方案 21 / 57 對一個 WLAN 網(wǎng)絡(luò)來說，鄰頻干擾包括自身的鄰頻干擾和來自鄰居網(wǎng)絡(luò)的鄰頻干擾。如 3G 基站 ，當(dāng)和 WLAN 共存于一個機架，或者共用室內(nèi)饋路系統(tǒng)時。 專門的檢測網(wǎng)絡(luò)和提供接入的網(wǎng)絡(luò)之間有兩種協(xié)作方式，其一 是相互獨立方式，即檢測網(wǎng)絡(luò)的設(shè)備和接入網(wǎng)絡(luò)的設(shè)備是由不同控制器管理的，二者無任何交互；另一種是集成方式，即檢測網(wǎng)絡(luò)的設(shè)備和接入網(wǎng)絡(luò)的設(shè)備是由相同的控制器管理的，檢測網(wǎng)絡(luò)的服務(wù)器也能處理來自接入網(wǎng)絡(luò)的 AP 的監(jiān)控數(shù)據(jù)。即對整個網(wǎng)絡(luò)中的各個 AP進行功率優(yōu)化和信道優(yōu)化； ? 頻譜分析 ； ? 信道復(fù)用 ； ? 頻譜導(dǎo)航 ；即將雙頻用戶盡量引導(dǎo)到 5G頻段上，降低 負(fù)荷。當(dāng)頻譜分析檢測到新的干擾時，將會發(fā)出告警，并顯示干擾的類型、干擾的信道、干擾強度、占空比等信息，并可以進一步定位干擾所在XXX 電力公司變電站無線內(nèi)網(wǎng)建設(shè)方案 25 / 57 位置，便于及時排 除。接收靈敏度是指要求到達 WLAN 接收機的 RF 信號強度不能低于一定值，才能被正確接收。這些技術(shù)特點包括： ? 報文發(fā)送速率調(diào)整； ? 逐包功率控制； ? 智能負(fù)載均衡技術(shù)； ? 降低低質(zhì)量用戶的影響。 H3C AP 在發(fā)送每個報文時，都會根據(jù) Client 的RF 狀態(tài)調(diào)整當(dāng)前報文的發(fā)送功率。 XXX 電力公司變電站無線內(nèi)網(wǎng)建設(shè)方案 28 / 57 無線供電設(shè)計 目前主流的三種供電方式有三類 ： ? POE 交換機供電 ? POE 適配器供電 ? 設(shè)備強電取電 本次項目 AP 主要為室外安裝 ，設(shè)備周圍無法直接通過強電取電，必須采用 POE供電的方式。 其中， d 為傳播路徑，單位為 m， n 為衰減因子。 無線網(wǎng)絡(luò)的管理 無線有線一體化管理 無線業(yè)務(wù)管理核心 是 對于網(wǎng)絡(luò)中的 AC、 FAT AP、 FIT AP、移動終端等無線設(shè)備與有線設(shè)備進行一體化集中管理，全網(wǎng)設(shè)備信息和狀態(tài)一目了然。 以華三公司無線網(wǎng)絡(luò)質(zhì)量評估功能截圖為例： XXX 電力公司變電站無線內(nèi)網(wǎng)建設(shè)方案 31 / 57 射頻 覆蓋及無線網(wǎng)絡(luò)規(guī)劃 在實際無線環(huán)境的部署和維護中，需要關(guān)注無線設(shè)備的 RF 范圍、覆蓋管理以及無線網(wǎng)絡(luò)規(guī)劃擴容問題。 以華三公司相關(guān)功能截圖為例： XXX 電力公司變電站無線內(nèi)網(wǎng)建設(shè)方案 34 / 57 移動用戶在線歷史 無線頻譜 防護 能夠 查看無線網(wǎng)絡(luò)中的當(dāng)前干擾設(shè)備，歷史干擾設(shè)備， AP信道質(zhì)量和 AP 信道質(zhì)量報表，對 AP進行頻譜分析監(jiān)控，查看 AP 頻譜分析監(jiān)控歷史數(shù)據(jù)，從而充分了解無線網(wǎng)絡(luò)當(dāng)前以及歷史的性能和安全性。 能夠 提供設(shè)備 無線入侵檢測和防護的 配置管理、信息檢測、安全事件查看、虛擬安全域管理、攻擊檢測策略管理等功能。非法設(shè)備檢測可以檢測并且分類 WLAN 網(wǎng)絡(luò)中的多種設(shè)備，例如非法 AP，非法無線終端，非法無線網(wǎng)橋等等。 在 移動 IT 環(huán)境 下， WiFi 作為接入層重要技術(shù)，它的安全防護需要重新檢視。通過傳感器掃描企業(yè)內(nèi)部 WLAN環(huán)境、通過 AC 進行攻擊分析，最后將各種數(shù)據(jù)與攻擊檢測結(jié)果發(fā)送給網(wǎng)管呈現(xiàn)給用戶。而且 40 位的鑰匙在今天很容易被破解 。無論收集到多少這樣的數(shù)據(jù)，要想破解出原始的通用密鑰幾乎是不可能的。用戶只要安裝一張證書就可在覆蓋 WLAN 的不同地區(qū)漫游，方便用戶使用。 XXX 電力公司變電站無線內(nèi)網(wǎng)建設(shè)方案 45 / 57 地 市 數(shù) 據(jù) 通 信 網(wǎng)省 級 數(shù) 據(jù) 通 信 網(wǎng)地 市 側(cè) 邊 界 路由 器 R 1地 市 側(cè) 邊 界 路由 器 R 2省 公 司 本 部 核心 路 由 器 R 1省 公 司 本 部 核心 路 由 器 R 2三 層 V P N三 層 V P NE B G P 跨 域E B G P 跨 域無 線 控 制 器 1 無 線 控 制 器 2地 市 核 心 路 由器 R 1地 市 核 心 路 由器 R 2變 電 站 邊 界 路由 器供 電 公 司 邊 界路 由 器二 層 V P NV P L S二 層 V P NV P L S二 層 V P NV P L S二 層 V P NV P L S無 線 用 戶無 線 用 戶三 層 V P N三 層 V P N安 全 準(zhǔn) 入網(wǎng) 關(guān)安 全 準(zhǔn) 入網(wǎng) 關(guān)防 病 毒 、 安 全 加固 等 安 全 檢 查 ，安 全 接 入 平臺 路 由 器 R 1安 全 接 入 平臺 路 由 器 R 2 （ 2） 嚴(yán)格的用戶準(zhǔn)入機制 無線內(nèi)網(wǎng) 的網(wǎng)絡(luò)層面是為無線用戶提供了一個由變電站到省公司的傳輸通道，這個網(wǎng)絡(luò)與數(shù)據(jù)通信網(wǎng)是嚴(yán)格隔離的，無線用戶接入到無線內(nèi)網(wǎng)后僅能夠訪問無線內(nèi)網(wǎng)的設(shè)備和省公司的無線內(nèi)網(wǎng)準(zhǔn)入網(wǎng)關(guān)。該設(shè)備是傳統(tǒng)的 PC、筆記本還是智能手機、平板電腦等移動智能設(shè)備。用戶類型、網(wǎng)絡(luò)類型、接入地點、接入時間、終端類型、終端操作系統(tǒng)、終端歸屬等條件，均可能影響用戶的接入權(quán)限。擦除數(shù)據(jù)時可以細(xì)分終端全部數(shù)據(jù)和企業(yè) APP 數(shù)據(jù)；刪除配置時可以細(xì)分終端的全部配置 和網(wǎng)絡(luò)配置。 以華三公司相關(guān)功能截圖為例： 終端檢查策略包括越獄 /Root 檢查、操作系統(tǒng)配置、地址圍欄檢查、 SIM 卡綁定檢查， 以華三公司相關(guān)功能截圖為例： 。 對移動終端提供 端到端的數(shù)據(jù)安全 數(shù)據(jù)在移動終端與 APP 服務(wù)器之間傳輸時，采用 SSL VPN 技術(shù)。