【正文】 ...... 13 . 安全保障的無線網(wǎng)絡(luò)的重要性 ............................................................................................. 14 第 3 章 . 無線網(wǎng)絡(luò)系統(tǒng)詳細(xì)設(shè)計(jì) ............................................................................................................... 17 . 無線組網(wǎng)方式設(shè)計(jì) ............................................................................................................................. 17 . 多業(yè)務(wù)區(qū)分設(shè)計(jì) .................................................................................................................................. 19 . 無線安全性設(shè)計(jì) .................................................................................................................................. 22 . 無線網(wǎng)絡(luò)的安全保護(hù)和檢測 ................................................................................................. 22 . 無線局域網(wǎng)的認(rèn)證和加密 ...................................................................................................... 23 . 檢測無線入侵和非法攔截和定位 ........................................................................................ 23 . 多層次無線網(wǎng)絡(luò)安全體系 ...................................................................................................... 25 . 移動漫游設(shè)計(jì) ...................................................................................................................................... 26 . L2/L3 層漫游 .............................................................................................................................. 26 . 在不同域之間的用戶認(rèn)證和漫游 ........................................................................................ 27 . 無線交換機(jī)的配置實(shí)施建議 ............................................................................................................ 28 . AP 的 VLAN 和無線用戶的 VLAN ........................................................................................ 28 . VLAN 和無線 SSID 的關(guān)系 ..................................................................................................... 28 . 無線局域網(wǎng) – 不需更改局域網(wǎng)路由 .................................................................................. 29 . 網(wǎng)絡(luò)與用戶管理 .................................................................................................................................. 29 . 無線網(wǎng)絡(luò)的負(fù)載均衡和多媒體應(yīng)用的實(shí)現(xiàn) ................................................................................. 30 . 客戶端兼容性 ...................................................................................................................................... 31 第 4 章 . ARUBA 產(chǎn)品介紹 ......................................................................................................................... 33 . ARUBA 移動控制器 MMC3000 系列 ......................................................................................... 33 . 無線接入點(diǎn) ARUBA AP 93 ......................................................................................................... 39 第 5 章 . 成功案例 ......................................................................................................................................... 42 . 遍及全球的客戶列表 ......................................................................................................................... 42 第 6 章 . 總結(jié) .................................................................................................................................................. 43 ARUBA Networks 2 of 44 XX 酒店 酒店 店 無線網(wǎng)絡(luò)系統(tǒng)設(shè)計(jì) 第 1章 . 概述 ARUBA 公司十分高興有機(jī)會 參加 XX 酒店 酒店 店無線網(wǎng)絡(luò) 平臺 的 建設(shè) 工作 ， 對于 XX 酒店 酒店 對無線網(wǎng)絡(luò) 平臺的要求， ARUBA 公司非常重視，并愿意從技術(shù)、商務(wù)等 多 方面盡我們最大努力與 XX 酒店 酒店 一道建設(shè)好 XX 酒店 酒店無線網(wǎng)絡(luò) 平臺。 代表了對無線網(wǎng)絡(luò)的 發(fā)展的未來趨勢 ，而不僅僅是建立無線局域網(wǎng)?？梢詫W(wǎng)絡(luò)進(jìn)行在線監(jiān)控，隨時(shí)了解 無線 網(wǎng)絡(luò)的 “健康狀態(tài) ”，快速定位并排除故障，根據(jù)需要優(yōu)化網(wǎng)絡(luò)，更合理地對網(wǎng)絡(luò)進(jìn)行配置及資源分配，提高網(wǎng)絡(luò)的利用率和性能。 高速無線的方式覆蓋整個(gè)酒店 辦公區(qū)域 ，讓 酒店 員工 體會到 無線局域網(wǎng)給帶來的好處 和便利 。 ? 從設(shè)備管理角度來說，需要對各種無線設(shè)備的放置地點(diǎn)、配置參數(shù)等信息進(jìn)行詳細(xì)記錄與管理 ? 從安全管理角度來說，需要具備發(fā)現(xiàn)和快速處理假冒 AP 與無線 DOS攻擊的方法和能力。 . 無線移動 語 音視頻應(yīng)用 ? 帶寬控制與服務(wù)質(zhì)量保證 QOS ARUBA Networks 10 of 44 隨著技術(shù)手段的不斷進(jìn)步， 酒店 無線網(wǎng)絡(luò)一定會需要支持多媒體融合應(yīng)用，包括組播， VOD， IP 視頻監(jiān)控，以及 WIFI Phone 等等， 無線 酒店 網(wǎng)解決方案對未來的發(fā)展 一定要具備 很好的前瞻性 。另在語音安全接入方面， ARUBA 可防止沒有無線語音權(quán)限的用戶使用無線語音，以確保網(wǎng)絡(luò)資源能有效運(yùn) 用。這些，無疑已成為 酒店 信息主管在考慮 酒店 信息化系統(tǒng)如何為提高生產(chǎn)效率進(jìn)一步發(fā)揮作用的一個(gè)重要關(guān)注點(diǎn) 。 ? 安全的 AP 技術(shù) ARUBA 無線系統(tǒng)和其它廠家在無線接入 的認(rèn)證和加密上最大的區(qū)別是前者不是通過 AP，而是在 ARUBA 無線交換機(jī)上實(shí)現(xiàn)。 AP 和交換機(jī)之間的網(wǎng)絡(luò)結(jié)構(gòu)無 需考慮，如果是 L2 結(jié)構(gòu)， AP 通過 DHCP 獲取地址后，通過廣播包找到無線控制器；如果是 L3， AP 通過 DHCP 獲取地址以后，獲得主用和備用的無線控制器地址，然后與無線控制器直接通信（具體描述請見后面章節(jié)）。 這消除了錯(cuò)誤配置安全策略的風(fēng)險(xiǎn)，同時(shí)在遠(yuǎn)程位置也不再需要技術(shù)專家。 為什么要把不同的安全加密協(xié)議設(shè)置在不同的 SSID 呢 ? 的標(biāo)準(zhǔn)內(nèi)定義了不同加密情況時(shí)數(shù) 據(jù)包的封裝格式，所以在用戶的無線接入使用不同的加密程式，例如： WEP,TKIP(WPA),(WPA2)等等，不同加密方式不能在同一個(gè) SSID 內(nèi)同時(shí)存在的。如果不是經(jīng)過 DMZ 的話，則可能威脅到內(nèi)網(wǎng)的安全，但要把在不同接入點(diǎn) AP 的無線用戶 /終端和有線用戶 (在同一接入點(diǎn) )完全分隔開而設(shè)置到DMZ 上的同一個(gè) VLAN 則需在現(xiàn)有的局域網(wǎng)做很多改動。這些非法的無線連接會被周邊最接近的 ARUBA AP 透過所發(fā)出的 DeAuth 包所切斷。采用 captive portal 的認(rèn)證方式 ， 認(rèn)證服務(wù)器的選擇比較靈活，可以使用 RADIUS, LDAP, Windows NT, ActiveDirectory, TACACS，甚至是 ARUBA 交換機(jī)內(nèi)置的帳戶數(shù)據(jù)庫。用戶的原交換機(jī)會告知用戶漫游到的 ARUBA 交換機(jī)繼續(xù)保持用戶的原有的 IP 地址。但在具體實(shí)施時(shí)，很多為了方便都會把 AP 和無線用戶設(shè)置在同一個(gè) VLAN 內(nèi)。當(dāng)大規(guī)模開展無線局域網(wǎng)時(shí)，就無須把在不同接入層上新增的無線終端 VLAN/IP子網(wǎng)逐一在局域網(wǎng)上打通。并且所有的 AP 都統(tǒng)一規(guī)劃統(tǒng)一集中管理。過去為了解決跨越三層的漫游，有些用戶采用了Mobile IP 的技術(shù)，但 Mobile IP 的缺點(diǎn)是它必須在無線終端安裝軟件。另外 SSID 還可以選擇隱藏的方式，該 SSID 不廣播，用戶無法看到，防止非法用戶的連接企圖。 試想當(dāng)用戶透過 WPA登陸無線網(wǎng)時(shí)，認(rèn)證是必須經(jīng)過后臺的 radius 服務(wù)器，亦即前端必須有 radius clients．如果 AP 是 Radius client 的話，則在一個(gè) 酒店 無線局域網(wǎng)，便須設(shè)置和管理很多 radius clients，這不但加添了不必要的麻煩，且亦增加了網(wǎng)絡(luò)安全的漏洞，因 radius 的 secret 密碼都是儲存在 AP 內(nèi)，所以萬一AP 被盜竊，它的 Radius secret 便泄露，這樣整個(gè)網(wǎng)絡(luò)的安全都會受到威脅。 ARUBA Networks 22 of 44 . 無線安全性設(shè)計(jì) . 無線網(wǎng)絡(luò)的安全保護(hù)和檢測 由于無線終端接入是沒有明確物理位置限制的，所以管理方極難用固定的網(wǎng)絡(luò)防火墻設(shè)備來防范無線連接 (防火墻一般很少會設(shè)置在每一個(gè)接入層的數(shù)據(jù)鏈路上 )。由于用戶一般把 SSID 看成 VLAN，所以它們都會慣性地以 VLAN 概念來劃分SSID。 遠(yuǎn)程 ARUBA Networks 19 of 44 AP 支持終端到終端，即從客戶機(jī)到移動控制器的 WPA2 和 安全，