【文章內容簡介】 五層 AP 部署示意圖： 六層 AP 部署示意圖： 七層 AP 部署示意圖： 八層 AP 部署示意圖： 九層 AP 部署示意圖： 集團辦公大樓 WLAN 項目 AP 匯總表（部分覆蓋） 樓層 AP 數(shù)量 1 層 1 2 層 3 3 層 1 4 層 1 5 層 1 6 層 1 7 層 1 8 層 1 9 層 4 匯總 : 14 4 Trapeze WLAN 方案特點 先進的智能無線交換網(wǎng)絡架構 先進的智能無線交換網(wǎng)絡解決方案 XX 集團辦公大樓 WLAN 項目需求 ， Trapeze 建議采用先進的智能無線交換網(wǎng)絡架構作為無線網(wǎng)絡解決方案技術的核心思想，采用支持智能轉發(fā)功能的無線 控制器 ，配合部署在各樓棟接入層的智能管理型無線接入點產(chǎn)品，以及無線網(wǎng)絡集中管理平臺，完成整個無線網(wǎng)絡。 實現(xiàn)對整個 WLAN 的統(tǒng)一管理。 靈活的組網(wǎng)方式 智能無線交換架構帶來的另一個好處是非常靈活的組網(wǎng)。 本次部署無線網(wǎng)絡， 構架在有線網(wǎng)絡之上 。采用智能無線交換網(wǎng)絡架構，只需要在網(wǎng)絡中心機房放置智能無線 控制器 ，在接入層 部署智能無線接入點，即可完成整網(wǎng)的部署。由于智能無線接入點本身并不保存配置，所有的控制指令都有 無線控制器 統(tǒng)一下發(fā)，因此無論無線接入點部署于任何的物理位置，都可以與處于網(wǎng)絡中心的 無線控制器 取得聯(lián)系并被控制，無論是初次安裝還是后續(xù)更換無線接入點，僅僅需要在需要部署的位置連入有線網(wǎng)絡，即可立即在 無線控制器 的控制下開始工作，使得整網(wǎng)的部署非常簡單和靈活。 全網(wǎng)高可靠性 為了充分保證隨時對全網(wǎng)智能無線接入點的集中控制， Trapeze 無線 控制器 均支持集群和冗余能力，可以同時對同一個無線接入點提供服務，由于他 們之間采用了實時的信息同步 技術，如果一臺無線交換機與無線接入點失去聯(lián)系，將迅速由另一臺無線控制器 接管，而用戶信息不會丟失，仍然保持正常通信狀態(tài)。 如果是一臺 AP 發(fā)生故障， 無線控制器 可支持自恢復功能，通過快速查詢該故障無線接入點鄰近的智能無線接入點，調節(jié)其工作功率、信道等參數(shù)來接替該故障無線接入點的用戶接入工作，迅速補充盲點，并實施向網(wǎng)絡中心的 無線控制器 匯報，通知網(wǎng)管人員盡快更換故障無線接入點，更換之后， 無線控制器 將原先的配置信息繼續(xù)控制新的無線接入點，鄰接的無線接入點的射頻參數(shù)調節(jié)恢復成原有狀態(tài)，接替工作結 束。在這整個切換期間，對用戶的訪問完全沒有影響。這種冗余特性將極大的保證了整網(wǎng)工作的可靠性。 優(yōu)秀的擴展性 智能無線交換網(wǎng)絡架構具有非常方便擴展的特性， 無線控制器能夠通過 license 對管理 AP 的數(shù)量進行勝跡，例如：單臺 MX800R 默認標配 可以支持 16 個 AP， 最高可支持 128 個智能無線接入點的控制權，用戶可以按照“按需配置，漸進擴展”思路來不斷增加智能無線接入點產(chǎn)品即可完成擴容，因此擴展無線接入點顯得非常容易；當智能無線接入點的規(guī)模超過 單臺無線控制器所能管理 AP 的最高值后， 可以非常簡單的增加 無 線控制器產(chǎn)品，多臺 無線控制器 形成智能集群體而同步信息，原有的無線交換機無需淘汰，因此 ， 非常適合大規(guī)模無線接入點的部署和后期的擴容需求。 無需更改有線網(wǎng)結構 無線網(wǎng)絡并不是獨立的網(wǎng)絡，需要與有線網(wǎng)絡很好的融合在一起工作，因此，為了避免在規(guī)劃中的無線網(wǎng)絡部署影響到有線網(wǎng)絡的路由和 VLAN 等部署，采用智能無線交換網(wǎng)絡架構就可以做到無需更改有線網(wǎng)絡結構的目的。 在該網(wǎng)絡架構中，所有無線用戶的數(shù)據(jù)傳輸，是通過 AP 與 無線控制器 之間建立的 CAPWAP 隧道技術來完成互連，無線用戶的 VLAN 無須在接入層和匯聚層存 在。無線用戶的 VLAN 是可透過無線 控制器 在整個中心網(wǎng)絡機房和骨干交換機互連互通，同時也非常方便進行擴展。 AP 則可以放置于樓 內需要部署的任何地方，無需用直接連接到 無線控制器上 ，他們之間可以輕松地通過跨越三層進行隧道數(shù)據(jù)交換。同時，無需擔心無線用戶的 VLAN會破壞原有有線網(wǎng)絡的 VLAN 部署，所有工作可以在無線交換機上統(tǒng)一劃分 。 帶寬控制與服務質量保證 QOS 通過 無線控制器 的全局控制，可以很輕松地實現(xiàn)對每一臺智能無線接入點上行帶寬，甚至每一個用戶的帶寬的控制。同時，針對不同的用戶業(yè)務類型（如語音通信 ）， 無線控制器 可以集中設置定義不同的 QoS 隊列，比如將 SIP 和 RTP 協(xié)議可設定在高的隊列，而一般應用如 、 ftp 則可設定在較低的隊列。這樣將對于例如語音、視頻這種時延敏感的業(yè)務，將可以得到最佳帶寬與傳輸保證。 對 VoWLAN 的支持 隨著 VoWLAN（ Voice over WLAN）的普及，基于 WLAN 網(wǎng)絡的語音通信將可能成為大 辦公人員 之間的主流通話方式。 而集中控制、智能轉發(fā)的智能無線交換網(wǎng)絡架構正是為此而設計的。由于關鍵需要滿足語音通信的時延、呼叫的容量和漫游切換時間， 無線控制器 可以支 持無線語音用戶設置專有的語音 SSID，把單純是數(shù)據(jù)傳輸?shù)挠脩艉?WLAN 語音用戶隔離，并給予較高的優(yōu)先隊列，即可確保在數(shù)據(jù)和語音同時傳送時，語音的質量不受影響。同時也可以防止沒有無線語音權限的用戶使用無線語音，以確保無線網(wǎng)絡資源能有效運用。 跨三層無縫漫游 無縫漫游是無線網(wǎng)絡移動性的最佳體現(xiàn)。但是傳統(tǒng)的無線接入點僅僅能夠實現(xiàn)基于二層的漫游，一旦無線用戶跨越網(wǎng)段，就會由于重新獲取 IP 地址、重認證、重新驗證加密等過程，而導致漫游的失敗和通信的中斷。這對于無線用戶眾多的 某大學 而言，是無法接受的。 利用 Trapeze 網(wǎng)絡先進的智能無線交換網(wǎng)絡架構，由于所有用戶信息并不保存在本地的無線接入點中，而是全部集中在無線交換機上，因此無論是單臺無線交換機還是多臺無線交換機的集群體，包括連接狀態(tài)、認證狀態(tài)、 IP 地址分配信息、加密驗證狀態(tài)等用戶信息總是實時存在的，即便是無線用戶跨網(wǎng)段移動，還是會延續(xù)原有的 IP 地址、認證與加密方式，不存在重新獲取的必要，因此也不會中斷連接。實現(xiàn)這一過程，并不需要有線網(wǎng)絡的參與，對有線網(wǎng)絡和無線用戶而言都是透明的。這種無縫跨三層漫游尤其是對延遲敏感的語音業(yè)務有重大的意義。 功能強大的 集中網(wǎng)絡管理 集中統(tǒng)一控制與管理 對于無線網(wǎng)絡來說，管理是非常重要的事情。從 RF 射頻覆蓋狀態(tài)的監(jiān)測、無線鏈路的帶寬的監(jiān)測、用戶認證的異常報警、無線接入安全等都需要考慮。由于傳統(tǒng)的無線局域網(wǎng)是單純基于無線接入點，沒有集中管理的概念，因此對于無線網(wǎng)絡的管理，要在每個無線接入點上進行設置和更改，其工作量對于大規(guī)模無線接入點的無線網(wǎng)而言是不可想像的。而且無線局域網(wǎng)是一個整體系統(tǒng)，無線接入點之間必須互協(xié)調工作，單獨改變一個無線接入點的參數(shù)和配置，可能會會引起無線接入點之間的無線電波干擾，用戶漫游重認證和授 權也可能會產(chǎn)生問題，因此集中控制和管理顯得非常必要。 因此，本方案中的 無線控制器 產(chǎn)品可以充分發(fā)揮集中管理功能， 對全網(wǎng)智能無線接入點的行為和用戶信息統(tǒng)一監(jiān)控和管理， 網(wǎng)絡管理人員 只需在 無線控制器 上就可開通、管理、維護所有處于接入層的智能無線接入點設備，包括無線電波頻譜、無線安全、接入認證、移動漫游以及接入用戶的訪問策略。 簡便而豐富的用戶入網(wǎng) 正是智能無線網(wǎng)絡構架，使 WLAN 能夠和有線網(wǎng)絡無縫的融合，因此，能夠方便地實現(xiàn)各種用戶認證方式。例如， webportal、 、 MAC 地址等。在本 次項目中我們 建議對內部員工使用 的認證，對外來訪客采用 webportal 的認證方式 。 射頻環(huán)境的監(jiān)測 射頻環(huán)境 的優(yōu)劣，將直接影響無線網(wǎng)絡的穩(wěn)定性和鏈路帶寬的品質，因此，對全樓 需要覆蓋的區(qū)域實時的射頻環(huán)境監(jiān)測是保證網(wǎng)絡穩(wěn)定可靠的基石。 Trapeze 網(wǎng)絡的 無線控制器 支持先進的提供智能化無線電射頻監(jiān)測和調控能力，可確保某個智能無線接入點在發(fā)生故障時，可以自動切換到鄰近的智能無線接入點，由于用戶信息全部同步在 無線控制器 上，因此不會影響無線的接入服務。 這種強大的射頻監(jiān)測能力不僅表現(xiàn)在對大規(guī) 模無線網(wǎng)絡的管理工作中，即便是在初次安裝無線網(wǎng)絡時，網(wǎng)管人員也可可以在網(wǎng)絡中心機房，通過 無線控制器 來自動調節(jié)整網(wǎng)所有智能無線接入點的射頻參數(shù)，比如頻率、信道、功率等。智能無線接入點之間會自動協(xié)調射頻參數(shù)，直到相鄰的無線接入點之間達到最優(yōu)無線電射頻運行環(huán)境，并把最終調整結果返回給 無線控制器 ，網(wǎng)管人員就可以實時看到射頻環(huán)境的現(xiàn)狀，并決定是否繼續(xù)調整或手動單獨調整。 基于 MultiSSID 用戶分類 有線網(wǎng)絡的 VLAN 劃分可以使得用戶入網(wǎng)即可歸屬于相應的虛擬網(wǎng)中，并實時相應的策略和數(shù)據(jù)轉發(fā)服務。智能無 線交換網(wǎng)絡也可以很好的實現(xiàn)這一點，這就是基于 無線控制器 的 MultiSSID 技術。 智能分配的負載均衡 負載均衡是網(wǎng)絡技術中一項非常實用的技術，即便是在無線網(wǎng)絡中，負載均衡也是不可缺少的。這是因為不論每臺無線接入點設備一般最大能帶 2030 個并發(fā)客戶，一旦并發(fā)入網(wǎng)的無線用戶數(shù)量超過這個上限則無法承載。 在 Trapeze 網(wǎng)絡的智能無線交換網(wǎng)絡架構體系中，由于有了 無線控制器 的集中控制，可以很清楚地知道每個區(qū)域的 AP 連接了多少個無線用戶，是否已經(jīng)達到用戶數(shù)的上限或帶寬的上限，其周邊還有沒有用戶數(shù)和帶寬較空閑的無線接入點， 無線控制器 即可將無線用戶分散到不同的智能無線接入點產(chǎn)品上入網(wǎng)，特別是針對大量的數(shù)據(jù)傳輸和視頻傳輸，這樣就可以有效的緩解單個無線接入點的負擔，有效利用周邊整體無線接入點的資源，從而確保每個需要上網(wǎng)的用戶的正常數(shù)據(jù)訪問的質量。 增值的無線終端定位服務 借助構架完整的智能無線交換網(wǎng)絡體系 ， XX 集團 WLAN 可以形成一個蜂窩部署的無縫網(wǎng)絡。今后在這張網(wǎng)絡中可以完成很多增值的服務，無線終端定位就是其中一種。通過 無線控制器 與網(wǎng)管系統(tǒng)，可以控制智能無線接入點對所有環(huán)境信道進行掃描，繼而跟蹤和定位無線終端的位置，諸如支持無線接入的電腦、 WiFi 手機等，今后可用于貴重資產(chǎn)等物體實施定位服務。同時，基于射頻的掃描，可以實時定位非法無線接入點的存在，保證網(wǎng)絡接入的安全可靠性。 無線局域網(wǎng)系統(tǒng)的安全管理 安全策略的集中實現(xiàn) 傳統(tǒng)的無線網(wǎng)絡的安全策略均分布在每一臺無線接入點上，不但需要單獨配置，帶來巨大的工作量，而且如果需要更改策略，還需要全部重新配置，這是無法接受的。如果無線接入點設備被盜，非法用戶可以從設備中讀出 相應的入網(wǎng)認證、加密等信息，從而很輕易地入侵無線網(wǎng)絡。 基于這一問題， Trapeze 網(wǎng)絡推出的智能無線交換網(wǎng)絡架構，將所有的安全策略全部集中到 無線控制器 上統(tǒng)一發(fā)布和控制，包括用戶身份認證、入網(wǎng)行為控制、安全加密、病毒庫、無線入侵檢測、無線電射頻管理等，網(wǎng)管人員只要在 無線控制器 上配置安全策略，就可以輕松地完成了整網(wǎng)的安全策略的配置，解決了工作量的問題，同時也避免了無線接入點被盜產(chǎn)生的安全信息外泄的危機。 安全的本地零配置 在傳統(tǒng)的 AP 組網(wǎng)中，非法用戶完全可能通過盜取無線接入點并讀取入網(wǎng)密碼等信息， 繼而入侵網(wǎng)絡。 無線控制器 通過對 AP 的 控制，使得 AP 在本地并不保存任何數(shù)據(jù)，而是全部實時存儲在 無線控制器 上，因此 AP 可以實現(xiàn)靈配置，這對于安全而言是非常有效的，完全杜絕了非法用戶在接入層盜取設備截獲信息的可能，同時也大大簡化了本地化的工作量。 無線網(wǎng)絡入侵檢測 無線網(wǎng)絡由于使用空中的無線電射頻信道工作，因此基于無線網(wǎng)絡的入侵防護顯得尤為重要。這其中包括非法無線接入點的防范與非法用戶連接訪問的防范。 非法無線接入點可能侵占合法無線接入點的正常信道工作，這樣不但會對合法的無線接入點產(chǎn)生干擾，由于非法設備 往往不具備安全功能，還會將非法用戶之間帶進有線網(wǎng)絡中。采用 Trapeze 網(wǎng)絡 無線控制器 ，可以控制每臺智能無線接入點產(chǎn)品動態(tài)掃描其所處的環(huán)境，并將掃描到的設備信息送交無線交換機及網(wǎng)管平臺查詢，這樣網(wǎng)絡管理人員即可實時發(fā)現(xiàn)是否有非法無線接入點存在，隨后可以開啟自動保護機制，阻止無線用戶通過非法無線接入點進入無線網(wǎng)絡。 另一種重要威脅是非法無線用戶對合法無線接入點的入侵?；ヂ?lián)網(wǎng)上可以輕易地下載到很多無線入侵和攻擊工具，而原先傳統(tǒng)的無線接入點設備均都沒有偵測無線入侵的功能，所以當受到像無線 DOS 攻擊時，就會誤以為是 無線電波的信號受干擾或 AP 出現(xiàn)不穩(wěn)定情況。這些攻擊將會導致用戶的無線連接斷線，但網(wǎng)管人員卻無法在第一時間得到報警。利用 Trapeze 網(wǎng)絡的智能無線網(wǎng)絡架構技術， 無線控制器 本身內置無線入侵模式庫，可以實時檢測異常的無線數(shù)據(jù)包，當無線系統(tǒng)偵測出有入侵時，它會記錄和顯示入侵的格式，并對入侵做出自動保護響應和報警，并提醒網(wǎng)管人員注意并提示相應的解決措施。 端點完整性檢查 通過和準入系統(tǒng)配合， 當無線終端試圖訪問網(wǎng)絡，在該用戶認證之前， 準入系統(tǒng) 可以對無線終端的操作系統(tǒng)打補丁的情況、安裝防病毒軟件的情況、以及 防病毒定義碼升級的情況，做一個檢查，如果不能通過檢查，可以設定策略禁止其訪問網(wǎng)絡，也可設置成將無線用戶重定向到一臺升級服務器，打系統(tǒng)補丁、安裝防病毒軟件和升級病毒定義碼，滿足系統(tǒng)制定的安全策略以后，該無線終端才可以進入認證環(huán)節(jié)進行用戶的認證。 目前 Trapeze 的產(chǎn)品能夠和 Microsoft NAP、 Juniper UAC 以及 Cisc