【正文】 ARUBA Networks 29 of 44 ARUBA 交換機(jī)組網(wǎng)，當(dāng)無(wú)線用戶(hù)加入到無(wú)線網(wǎng)上的一個(gè) SSID 時(shí)，很容易與 VLAN 綁定，無(wú)線用戶(hù)漫游到不同 AP 上，因 SSID 的缺省 VLAN 實(shí)際上是穿越接入層到 ARUBA 交換機(jī)上，用戶(hù)的 VLAN 是無(wú)需在每個(gè)接入層上開(kāi)通。要做到真正的無(wú)縫漫游，則需要有支持 Radius 代理這樣的功能。 ? 網(wǎng)絡(luò)病毒的防護(hù)： 無(wú)線終端病毒防護(hù)的可以從無(wú)線終端的準(zhǔn)入檢查以及對(duì)無(wú)線終端發(fā)出數(shù)據(jù)進(jìn) 行有效的檢測(cè)兩個(gè)層面來(lái)進(jìn)行的。 ARUBA 還有一個(gè)獨(dú)特的無(wú)線射頻特性是可跟蹤在無(wú)線網(wǎng)絡(luò)內(nèi)所有 WiFi終端的位置，如 PDA, WiFi手機(jī)，和筆記本等。要做到實(shí)施和維護(hù)簡(jiǎn)單方便，亦可根據(jù)用戶(hù)身份來(lái)制定安全訪問(wèn)策略， ARUBA 的無(wú)線解決方案就可以徹底解決這些問(wèn)題。 所以針對(duì)無(wú)線局域網(wǎng)多種用戶(hù)的不同業(yè)務(wù)類(lèi)型應(yīng)該采取不同的 SSID 進(jìn)行管理和控制。 Aruba 遠(yuǎn)程 AP 為分支機(jī)構(gòu)和家庭辦公室提供了安全的移動(dòng)連接，是一種理想的解決方案。 酒店 的語(yǔ)音無(wú)線電話通過(guò)遠(yuǎn)程 Aruba AP 連接，并好像它們就在中心 酒店 站點(diǎn)中那樣進(jìn)行運(yùn)作。這些攻擊在 HotSpot 會(huì)導(dǎo)致用戶(hù)的無(wú)線連接斷線，但網(wǎng)管中心仍然不知，用戶(hù)則誤以為是網(wǎng)絡(luò)問(wèn)題，間接影響無(wú)線網(wǎng)系 統(tǒng)的品質(zhì)。 使 酒店 辦公范圍擴(kuò)展得更大 ， 員工能與 酒店 保持聯(lián)系并獲取 酒店 的最新情況。 ? 無(wú)縫的三層漫游 ARUBA 無(wú)線能夠讓用戶(hù)在 AP、 WLAN 交換機(jī)、多子網(wǎng)以及多 VLAN 之間無(wú)縫地漫游，而且不會(huì)丟失連接，也不需要重啟。例如語(yǔ)音視頻這樣對(duì)于時(shí)延敏感的業(yè)務(wù)，目前，經(jīng)過(guò)中國(guó)網(wǎng)通、中國(guó) 賽爾公司對(duì)幾家WLAN 設(shè)備廠商的設(shè)備測(cè)試結(jié)果表明， ARUBA 的無(wú)線網(wǎng)系統(tǒng)以其完善 QoS 特性在測(cè)試中表現(xiàn)最佳。 ? 多種服務(wù)的支持： 無(wú)線網(wǎng)絡(luò)的發(fā)展與最初有線網(wǎng)絡(luò)的發(fā)展 一樣，需要有一些關(guān)鍵性的應(yīng)用在網(wǎng)絡(luò)上運(yùn)行，應(yīng)用才是無(wú)線網(wǎng)絡(luò)發(fā)展的最大動(dòng)力。 ? 遠(yuǎn)程 AP 能 很簡(jiǎn)單地通過(guò)互聯(lián)網(wǎng)從遠(yuǎn)程位置連接到 位于 酒店總部 的 移動(dòng)控制器。在 無(wú)線 網(wǎng)絡(luò)設(shè)計(jì)及選擇設(shè)備時(shí)應(yīng)完全滿(mǎn)足目前的應(yīng)用需求，同時(shí)充分考慮今后較長(zhǎng)時(shí)間內(nèi)應(yīng)用發(fā)展的需要 ，網(wǎng)絡(luò)系統(tǒng)應(yīng)能方便地升級(jí)。 通過(guò)本項(xiàng)目的建設(shè)，將為 XX 酒店 酒店 提供更好的移動(dòng)平臺(tái)，為更多的無(wú)線應(yīng)用打下堅(jiān)實(shí)的基礎(chǔ)。并特別承諾提供最好的全方位支持以確保該項(xiàng)目的最終商業(yè)成功。 ARUBA 以開(kāi)發(fā)出第一個(gè)模塊移動(dòng)系統(tǒng)而 著稱(chēng)，該系統(tǒng)可集中控制所有接入、安全和移動(dòng)服務(wù)，可使 酒店 不間斷、可衡量、無(wú)斷裂地從固定網(wǎng)絡(luò)轉(zhuǎn)到移動(dòng)網(wǎng)絡(luò)。 無(wú)線 網(wǎng)絡(luò)系統(tǒng)能夠適應(yīng)今后高帶寬的要求，滿(mǎn)足日益增長(zhǎng)的業(yè)務(wù)量需求，這些需求不但包括今后巨大的業(yè)務(wù)數(shù)據(jù)量，同時(shí)也包括音頻、視頻等的需求。完全從目前的應(yīng)用需求出發(fā)，設(shè)計(jì)既能夠滿(mǎn)足目前的應(yīng)用需求又能面向未來(lái)的應(yīng)用需求升級(jí)的網(wǎng)絡(luò)系統(tǒng)方案，同時(shí)又要保證提供服務(wù)時(shí)的經(jīng)濟(jì)性。 第 四 ， 無(wú)線網(wǎng)絡(luò)的實(shí)時(shí)管理 ? 統(tǒng)一方便容易管理管理。 由于這一代技術(shù)的 AP 儲(chǔ)存了大量的網(wǎng)絡(luò)和安全的配置，包括加密的鑰匙，Radius client 的安全密鑰等，而 AP 又是分散在建筑物中的各個(gè)位置，一旦 AP的配置被盜取讀出并修改，其無(wú)線網(wǎng)絡(luò)系統(tǒng)就失去了安全性。 ARUBA 的無(wú)線交換技術(shù)已經(jīng)證明很多業(yè)界 VoIP 系統(tǒng)在ARUBA 系統(tǒng)上成功的運(yùn)行，且在最近的 Network World VoWLAN 測(cè)試結(jié)果被評(píng)選為市場(chǎng)上最卓越的產(chǎn)品。這種技術(shù)可以確保無(wú)線語(yǔ)音業(yè)務(wù)可以無(wú)縫的在 AP 間漫游，而不會(huì)發(fā)生掉線，是語(yǔ)音業(yè)務(wù)的質(zhì)量保證。 ? 多種用戶(hù)認(rèn)證方式 組合 ARUBA Networks 15 of 44 在 ARUBA 無(wú)線系統(tǒng)中，一個(gè)無(wú)線用戶(hù)進(jìn)入無(wú)線網(wǎng)以后，只會(huì)拿到一個(gè)最基本的入網(wǎng)權(quán)限，這個(gè)權(quán)限不容許用戶(hù)訪問(wèn)任何網(wǎng)段，只讓用戶(hù)通過(guò) DHCP 獲取IP 地址、傳送 DNS 協(xié)議數(shù)據(jù)包，通過(guò)認(rèn)證以后才可以接入無(wú)線網(wǎng)。 ARUBA 公司和第三方的防病毒墻廠家合作，在 ARUBA 無(wú)線交換機(jī)上可以設(shè)定策略，某些 用戶(hù)，以及某些可能沾染病毒的數(shù)據(jù)， ARUBA 交換機(jī)會(huì)將其重定向到防病毒墻上進(jìn)行防病毒檢查，檢查完成后，才允許通過(guò)，否則會(huì)將數(shù)據(jù)丟棄。 遠(yuǎn)程連接的 Aruba AP 使用現(xiàn)有客戶(hù)機(jī)上的 申請(qǐng)者運(yùn)行，通過(guò)對(duì)所有客戶(hù)機(jī)和移動(dòng)控制器之間的認(rèn)證信息進(jìn)行 Ipsec 加密來(lái)提供安全認(rèn)證。在一個(gè)無(wú)線局域網(wǎng)內(nèi)可以設(shè)置多個(gè) SSID，例如一個(gè) SSID 可給內(nèi)部員工所用，而另一 個(gè)可給外來(lái)的客戶(hù)專(zhuān)用。這樣，方便靈活的完成了 ,對(duì)訪客的訪問(wèn) XX酒店 酒店 網(wǎng)絡(luò)資源的要求 。這種結(jié)構(gòu)稱(chēng)為集中加密方式，不單比在AP 上做加密更安全，且大大簡(jiǎn)化了用戶(hù)認(rèn)證設(shè)置和管理。 ARUBA Networks 25 of 44 . 多層次無(wú)線網(wǎng)絡(luò)安全體系 在 ARUBA 無(wú)線系統(tǒng)中，可以在多個(gè)層面對(duì)系統(tǒng)構(gòu)筑安全防護(hù)，其安全性設(shè)計(jì)如下： ? 多 SSID：可以根據(jù)需要，如用戶(hù)的種類(lèi)、應(yīng)用的種類(lèi)，在 ARUBA 無(wú)線系統(tǒng)中設(shè)置多個(gè) SSID，不同的 SSID 采用不同的安全策略，這樣可以對(duì)不同的用戶(hù)及應(yīng)用進(jìn)行區(qū)分服務(wù)。所以當(dāng)無(wú)線終端從一個(gè) AP 漫游到另一 AP 時(shí)，由于它們之間的缺省 IP 子網(wǎng)不同，無(wú)線終端會(huì)重新發(fā)出 DHCP 請(qǐng)求，這樣的話終端的 IP 地址就會(huì)更新，所有在原先AP 建立的連接都會(huì)被切斷。 由于 ARUBA 的 AP 是通過(guò) GRE 的隧道連接到 ARUBA 交換機(jī)上，所以ARUBA 產(chǎn)品在規(guī)劃上可以完全不改變 酒店網(wǎng)絡(luò) 原有 的網(wǎng)絡(luò)結(jié)構(gòu)，同時(shí)實(shí)現(xiàn)無(wú)縫的二三層漫游。 由于無(wú)線用戶(hù)的傳 輸是通過(guò) ARUBA AP 內(nèi)已建立的 GRE 隧道和 ARUBA交換機(jī)互連的，所以實(shí)際上無(wú)線用戶(hù)的 VLAN 是無(wú)須在接入層和匯聚層存在。這種組網(wǎng)方式在現(xiàn)今的非常普遍，所以一般用戶(hù)都誤解無(wú)線局域網(wǎng)的 SSID 為局域網(wǎng)的 VLAN。無(wú)線用戶(hù)已 ARUBA Networks 27 of 44 漫游到另一個(gè) IP 子網(wǎng)，但它仍可以原有的 IP 地址繼續(xù)在新的 AP 上入網(wǎng)。 b) WPA+ 加密方式盡量采用 WPA，如果客戶(hù)端不支持也可采用動(dòng)態(tài) WEP，認(rèn)證方式采用 ，認(rèn)證服務(wù)器選擇 RADIUS。 DeAuth 包會(huì)不停地發(fā)出直到在線的無(wú)線終端的無(wú)線連接被打斷為止。且未來(lái)如要增加多一些 AP 接入點(diǎn)的話，亦同樣需要在局域網(wǎng)的接入層，匯聚層做很多改動(dòng)。 XX酒店 酒店 可根據(jù)實(shí)際的情況和 加密。 在遠(yuǎn)程 AP 上沒(méi)有存儲(chǔ)任何安全證書(shū)，因此即使 AP 丟失或被竊，也不存在破壞安全的風(fēng)險(xiǎn)。無(wú)線網(wǎng)絡(luò)管理員 可 通過(guò)中心配置的集中網(wǎng)管，對(duì)全網(wǎng)的 AP 和交換機(jī)進(jìn)行有效的集中式管理 。由于 ARUBA 的 AP 是不儲(chǔ)存任何網(wǎng)絡(luò)配置（ IP 地址除外）和安全設(shè)置，因此 ARUBA 管理的 AP 是不能單 獨(dú)工作的，因此獲得或 接入 ARUBA 的 AP，黑客也不會(huì)拿到無(wú)線網(wǎng)的網(wǎng)絡(luò)和安全配置參數(shù) 和信息 。 ARUBA Networks 14 of 44 Aruba 新一代的遠(yuǎn)程和移動(dòng)有線 加無(wú)線 辦公通信系統(tǒng)，由于 采用 VPN 技術(shù)、話音 /數(shù)據(jù) QOS 保證 技術(shù)，以及安全保障技術(shù)的支持，使得在遠(yuǎn)程和分散環(huán)境下的 酒店 通信系統(tǒng)發(fā)生了本質(zhì)的變化。 同時(shí) Aruba 識(shí)別語(yǔ)音應(yīng) 用，預(yù)定義支持幾種主要的語(yǔ)音協(xié)議，包括： SpectraLink SVP、 Vocera 、 Cisco SCCP、 Session Initiation Protocol 等，還能和現(xiàn)有市場(chǎng)上的 WIFI 終端、 IP PBX 設(shè)備做到很好的兼容性 。 由于 XX 酒店 酒店 原有的天饋無(wú)線覆蓋系統(tǒng)信號(hào)強(qiáng)度不勝理想，傳輸帶寬只有 1M 左右會(huì)對(duì)語(yǔ)音和數(shù)據(jù)流帶來(lái)很大的局限性，更本不能解決語(yǔ)音漫 游的問(wèn)題所以 Aruba 認(rèn)為應(yīng)從以下幾點(diǎn)考慮無(wú)線網(wǎng)絡(luò) 的多業(yè)務(wù)應(yīng)用發(fā)展 。 ? 從性能管理的角度來(lái)說(shuō)，網(wǎng)管能 充分了解和分析無(wú)線網(wǎng)絡(luò)的一些具體性能指標(biāo)，如 Channel 信號(hào)強(qiáng)度 /質(zhì)量、網(wǎng)絡(luò)實(shí)時(shí)性能－吞吐量、各 AP 的流量等。 ? 大規(guī)模部署 無(wú)線網(wǎng)絡(luò)還可以作為有線網(wǎng)絡(luò)的鏈路備份，在有線網(wǎng)絡(luò)發(fā)生故障或者擁塞的情況下負(fù)擔(dān)部分網(wǎng)絡(luò)流量 。 安全性 。 ARUBA 的“移動(dòng)邊緣”拓展了 酒店 的網(wǎng)絡(luò)范圍 ——跨越了局域網(wǎng)、廣域網(wǎng)和互聯(lián)網(wǎng) ——使用戶(hù)無(wú)論身在何處都可以安全訪問(wèn) 酒店 信息和 未來(lái)的語(yǔ)音服務(wù) ，而 酒店也 可以 在無(wú)線局域網(wǎng)基礎(chǔ)之上 開(kāi)發(fā)新的應(yīng)用。 ARUBA Networks 0 of 44 XX酒店 無(wú)線網(wǎng)絡(luò)系統(tǒng)設(shè)計(jì)方案 Date 02, 2020 ARUBA Networks 1 of 44 目 錄 第 1 章 . 概述 .....................................................................................................................................................2 第 2 章 . 需求分析 ............................................................................................................................................5 . 建設(shè)目標(biāo) ................................................................................................................................................. 5 . 設(shè)備需求 ................................................................................................................................................. 5 . 無(wú)線網(wǎng)絡(luò)設(shè)計(jì)原則 ............................................................................................................................... 6 . XX酒店 酒店無(wú)線局域網(wǎng)的整體設(shè)計(jì)定位 .................................................................................... 6 . XX酒店 酒店無(wú)線局域網(wǎng)整體架構(gòu) .................................................................................................. 9 . 無(wú)線移動(dòng)語(yǔ)音視頻應(yīng)用 .............................................................................................................9 . 一體化遠(yuǎn)程辦公解決方案 ................................................................................................