【文章內(nèi)容簡介】 任何地點(diǎn)，通過有線或無線方式進(jìn)入網(wǎng)絡(luò)，因此基于身份識別的安全性是必要的。 ARUBA 通過 ICSA 認(rèn)證的狀態(tài)防火墻根據(jù)用戶身份識別、設(shè)備類型、位置和一天中的具體時間給用戶分類，并為不同類型的用戶提供了不同的訪問接入。 由于在移動網(wǎng)絡(luò)中沒有安全的物理層，因此對待移動用戶時，應(yīng)該比對待傳統(tǒng)的固定用戶更謹(jǐn)慎。 防火墻是企業(yè)對于網(wǎng)絡(luò)移動邊緣的分層安全策略的強(qiáng)制部分。 ARUBA 獨(dú)一無二的基于身份識別的狀態(tài)防火墻技術(shù)使企業(yè)能夠為企業(yè)網(wǎng)絡(luò)上的一個用戶或一組用戶定義訪問控制。 ARUBA 移動控制器提供了單點(diǎn)加密／解密、認(rèn)證和防火墻執(zhí)行。能夠識別身份并且已進(jìn)行終端加密，因此對于欺詐攻擊免疫，這些欺詐攻擊往往使得基于網(wǎng)絡(luò)，只進(jìn)行 IP 地址過濾而不是用戶識別的傳統(tǒng)防火墻束手無策。 ARUBA 允許主動執(zhí)行策略，甚至在移動環(huán)境中，當(dāng)用戶通過網(wǎng)絡(luò)的移動邊緣漫游時，策略將始終跟隨用戶。 ARUBA 的狀態(tài)防火墻功能不僅僅提供了耐用的安全性。 規(guī)則操作也可以使用 或 DSCP 標(biāo)記來標(biāo)注包，把通信量的優(yōu)先順序區(qū)分為多個隊列，或者甚至可以將特定協(xié)議重定向到不同的目標(biāo)。 對于許多流行的協(xié)議，例如 SIP，流分類是有狀態(tài)的，它允許將合適的 QoS 應(yīng)用到控制協(xié)議和調(diào)用的會話中。對于視頻業(yè)務(wù)流也可以QoS管理。 ARUBA 的狀態(tài)策略執(zhí)行防火墻根據(jù)用戶的角色來啟用對網(wǎng)絡(luò)資源的訪問。 角色通過一系列的不同機(jī)制，例如外部認(rèn)證數(shù)據(jù)庫、ESSID 或物理位置來分配或取得。 一旦將角色分配給用戶，就可以應(yīng)用不同的策略。把基于身份識別的防火墻合并到網(wǎng)絡(luò)的移動邊緣，可以減少這些危險發(fā)生的可能以及帶來的損害。 通過限制移動用戶可以訪問的網(wǎng)絡(luò)資源，ARUBA 的策略執(zhí)行防火墻有助于在無線中消除了蠕蟲和病毒傳播。 ARUBA針對無線用戶設(shè)備具備黑白名單機(jī)制，可以將無線的黑客等無線攻擊放入黑名單，保護(hù)無線網(wǎng)絡(luò)安全，ARUBA的無線安全方式，當(dāng)檢測到無線網(wǎng)絡(luò)上的攻擊，立刻將該用戶放入黑名單組中，黑名單組可以在網(wǎng)管設(shè)定相應(yīng)的時效。可以做到基于無線的IDS和 IPS。ARUBA的優(yōu)勢在于控制器內(nèi)嵌了防火墻模塊，可以對數(shù)據(jù)包進(jìn)行深度的包檢測，可以針對網(wǎng)絡(luò)的L2到L7的數(shù)據(jù)包作狀態(tài)防火墻檢測。極大提高了無線網(wǎng)絡(luò)安全性。 ARUBA的無線 AP可以定期掃描射頻頻譜的所有信道，捕獲所有的 通信，并在本地檢查所有捕獲的數(shù)據(jù)。只發(fā)送違反策略的數(shù)據(jù)到中央移動控制器，可以保證將其對無線網(wǎng)絡(luò)性能的影響降到最小。 當(dāng)掃描環(huán)境時，ARUBA 系統(tǒng)了解所有AP和站點(diǎn)的信息，并根據(jù)在線路上和在空氣中發(fā)現(xiàn)的通信流為這些設(shè)備分類。無線通信是在移動控制器上收集并進(jìn)行相互關(guān)聯(lián)的。 無線車地系統(tǒng)網(wǎng)管設(shè)計網(wǎng)絡(luò)數(shù)據(jù)中心管理一個具有規(guī)模的無線局域網(wǎng)（通常在幾十個AP以上）是一件非常頭痛的事情。從RF覆蓋面，帶寬，用戶的認(rèn)證，以及接入的安全都要考慮。由于傳統(tǒng)的無線局域網(wǎng)是單純基于AP，因此對于無線網(wǎng)絡(luò)的管理，其大量工作是要在每個AP上進(jìn)行設(shè)置和更改。其工作量在有一定數(shù)量AP的無線網(wǎng)里是非常大和煩瑣的，而且無線局域網(wǎng)是一個整體系統(tǒng)，AP之間必須互協(xié)調(diào)工作，單獨(dú)改變一個AP參數(shù)和配置會引起AP之間的無線電波干擾，用戶漫游重認(rèn)證和授權(quán)也可能會產(chǎn)生問題。Aruba系統(tǒng)具有非常強(qiáng)的無線局域網(wǎng)集中管理功能，通過無線控制器Master Switch和Local Switch管理模式管理整個網(wǎng)絡(luò)，網(wǎng)管人員只需在無線控制器就可開通、管理、維護(hù)所有AP設(shè)備以及移動終端，包括無線電波頻譜、無線安全、接入認(rèn)證、移動漫游以及接入用戶。 在本次項目中配置了無線控制器Aruba 6000，可以很方便的集中控管所有安裝的AP。在后續(xù)無線網(wǎng)絡(luò)規(guī)模擴(kuò)大的情況下，增加控制器或支持相應(yīng)AP數(shù)量的線卡即可。 RF管理Aruba系統(tǒng)的RF智能控管可以自動調(diào)節(jié)網(wǎng)上所有Aruba AP的電波特性。 初次安裝無線局域網(wǎng)時，用戶可通過RF Planning的Auto Calibration功能來自動調(diào)節(jié)整個無線網(wǎng)上所有AP的無線電波頻率和功率。啟動了Auto Calibration以后AP和AP之間會自動互傳有關(guān)無線電波的信息和調(diào)整電波的參數(shù)，直到AP之間達(dá)到了一個最優(yōu)化的無線電波運(yùn)行環(huán)境。Aruba 無線控制器可以對整個無線網(wǎng)上的電波情況偵測和記錄。當(dāng)某一覆蓋范圍內(nèi)的無線電波改變，如出現(xiàn)干擾AP所發(fā)出的電波或其它應(yīng)用所發(fā)出的電波等，Aruba 無線控制器就會把所獲取的無線電波資料做分析，以確定是否需要調(diào)整這范圍內(nèi)AP的無線電波。由于無線電波是一種無形的東西，它的強(qiáng)度和所在的信道一般都需要根據(jù)經(jīng)驗手工調(diào)整，要做到無線信號均勻分布，信道的利用率高，無信道干擾并不是件非常容易的事情，但是Aruba系統(tǒng)的RF智能控管可以自動調(diào)節(jié)網(wǎng)上所有Aruba AP的電波特性?？梢员ＷC無線信號均勻分布，信道的利用率高，無信道干擾，無線網(wǎng)絡(luò)做到最為優(yōu)化的運(yùn)行。當(dāng)無線局域網(wǎng)經(jīng)過Auto Calibration調(diào)整后而正式運(yùn)作時，網(wǎng)絡(luò)管理員可在Aruba 交換機(jī)內(nèi)啟動ARM功能，則無線網(wǎng)絡(luò)上所有的Aruba AP都會在設(shè)定的時間內(nèi)自行掃描其它的無線頻道。所謂電波掃描，是指Aruba AP 從一個電波頻道跳到另一頻道時，如Ch 1 到 Ch 2 到 Ch 3....，由于掃描的速度非?？?，所以對于在線的無線用戶（指連接到AP上在同一頻率上的無線終端）的傳輸過程是不受到影響的。當(dāng)AP停留在一個頻道時，它會把在這頻道上收到的無線電波信息轉(zhuǎn)送回Aruba 無線交換機(jī)。這樣Aruba 無線交換機(jī)就對整個無線網(wǎng)絡(luò)上的電波情況有了一定了解和記錄。當(dāng)某一覆蓋范圍內(nèi)的電波改變，如出現(xiàn)干擾AP所發(fā)出的電波或其它應(yīng)用所發(fā)出的電波等，Aruba 無線交換機(jī)就會把所獲取的無線電波資料做分析，以確定是否需要調(diào)整范圍內(nèi)AP的無線電波。216。 AP故障的自動恢復(fù)傳統(tǒng)的無線網(wǎng)絡(luò)在有AP損壞或失效時，這個AP的覆蓋范圍就會失去了無線連接。遇到這種情況的一般做法就是把現(xiàn)場失效的AP換掉。但由于大多數(shù)的AP都是設(shè)置在外面(不是在機(jī)房)，所以不一定能馬上作更換，現(xiàn)場的環(huán)境也有局限性，不一定很容易維護(hù)人員即時做出更換(很多的AP都是安裝在天花板上)。Aruba系統(tǒng)具有自動恢復(fù)的功能，實時偵測出網(wǎng)上AP是否有失效，當(dāng)發(fā)覺有AP出現(xiàn)故障時，Aruba交換機(jī)能會自動調(diào)節(jié)鄰近的AP的功率（覆蓋范圍）來接替失效AP的工作。216。 實現(xiàn)無線網(wǎng)負(fù)載均衡Aruba系統(tǒng)可在一個AP的覆蓋范圍內(nèi)把無線用戶或終端分散連接到附近的AP上。在一個AP的覆蓋范圍內(nèi)，無線連接的帶寬是共享，即無線終端數(shù)目越多，每個終端所能分享的帶寬就越小。要確保每個無線終端的傳輸就必須能限制一個AP上無線終端的數(shù)量或AP帶寬傳輸總和或和每個無線終端帶寬上限。Aruba無線系統(tǒng)可應(yīng)用層面通過4－7層交換模塊可以實現(xiàn)服務(wù)器的負(fù)載均衡，VPN設(shè)備，防火墻設(shè)備等等一系列基于TCP/IP協(xié)議設(shè)備的負(fù)載均衡來保證整體網(wǎng)絡(luò)的可靠性。在視頻應(yīng)用中，負(fù)載均衡功能可以有效的緩解單個AP的負(fù)擔(dān)，有效的利用臨近的AP做接入，從而確保視頻應(yīng)用的質(zhì)量得到保證。216。 無線終端定位功能Aruba 網(wǎng)管系統(tǒng)可以跟蹤和定位無線終端的位置，諸如無線接入的電腦、PDA和 WiFi手機(jī)，以及非法的AP等。Aruba采用的無線定位模式稱為三角定位，只要尋找的無線終端附近須有三個Aruba的AP 在范圍內(nèi)。對于非法AP的檢測具有很大的意義。 性能管理QoS保證/負(fù)載均衡：如果一旦發(fā)生多個終端競爭一個AP的時候，基于流量和基于用戶/終端數(shù)目兩種負(fù)載均衡功能都將被啟用，從而根據(jù)現(xiàn)場的負(fù)載情況進(jìn)行均衡操作。在輕軌PIS項目中，通過這種機(jī)制可以提供一種辦法幫助無線車載終端在會車時分別連接在附近不同的AP上，讓PIS和CCTV的流量可以平均分擔(dān)在不同的AP上。 故障管理VRRP和AP的雙備份：ARUBA的設(shè)備支持VRRP熱備份，同時在AP之上也支持雙備份功能。如果是集中控制的無線交換機(jī)失效，則VRRP中的備份交換機(jī)會自動激活成為網(wǎng)絡(luò)中的ARUBA無線交換機(jī)，保證網(wǎng)絡(luò)的連續(xù)可用性。如果是AP到主交換機(jī)的連接出現(xiàn)問題，AP也可以向從交換機(jī)發(fā)起連接申請，建立集中式的無線網(wǎng)絡(luò)，以此來確保網(wǎng)絡(luò)的運(yùn)行。 Aruba無線網(wǎng)管主要特點(diǎn)Aruba無線交換機(jī)中集成了相應(yīng)無線網(wǎng)絡(luò)管理功能，無線網(wǎng)管軟件可以完成對無線網(wǎng)絡(luò)的監(jiān)視和控制，保障無線網(wǎng)絡(luò)安全，查找并隔離網(wǎng)絡(luò)故障，記錄無線網(wǎng)絡(luò)中的各種事件等?？梢怨芾硭蠥P節(jié)點(diǎn)，檢測它們的網(wǎng)絡(luò)性能和系統(tǒng)運(yùn)行性能。216。 Aruba無線管理系統(tǒng)集成在Aruba交換機(jī)中，并且無需另外付費(fèi)； 216。 Aruba無線管理系統(tǒng)可以實時報告無線網(wǎng)絡(luò)故障并通過SNMP或著SYSLOG報警 ；216。 Aruba無線管理系統(tǒng)提供RF Plan工具，可以進(jìn)行高自動化的無線局域網(wǎng)規(guī)劃，并提供虛擬測試驗證布局效果；216。 Aruba無線管理系統(tǒng)支持通過WEB瀏覽方式管理；216。 Aruba無線管理系統(tǒng)可以設(shè)定無線交換機(jī)用戶的權(quán)限，比如有的用戶是只讀的，有的用戶只能管理部分功能，有的用戶可以管理配置所有的功能。針對無線網(wǎng)用戶，可以通過狀態(tài)防火墻設(shè)定其對網(wǎng)絡(luò)資源的訪問權(quán)限；216。 Aruba無線管理系統(tǒng)可以集中管理和監(jiān)控?zé)o線網(wǎng)中無線交換機(jī)和AP； 216。 Aruba無線管理系統(tǒng)提供詳細(xì)的無線網(wǎng)絡(luò)運(yùn)行狀態(tài)的監(jiān)測、統(tǒng)計信息；216。 Aruba無線管理系統(tǒng)可以準(zhǔn)確高效地自動發(fā)現(xiàn)AP，并對其進(jìn)行自動配置；216。 Aruba無線管理系統(tǒng)可以提供關(guān)鍵無線網(wǎng)絡(luò)性能監(jiān)視分析和報告能力；216。 Aruba無線管理系統(tǒng)所提供的基于WEB的圖形管理界面，易于用戶日常管理使用；216。 Aruba無線管理系統(tǒng)可以通過AP進(jìn)行無線數(shù)據(jù)的采集；216。 Aruba無線管理系統(tǒng)可以自動配置和存儲無線網(wǎng)絡(luò)設(shè)備的配置參數(shù)；216。 Aruba無線管理系統(tǒng)認(rèn)證計費(fèi)系統(tǒng)；216。 Aruba無線管理系統(tǒng)可詳細(xì)記錄每個無線用戶的使用情況?？梢詫崟r查看當(dāng)前在線的用戶，以及用戶當(dāng)前的動作等功能，可以查看系統(tǒng)狀態(tài)如CPU，內(nèi)存占用，資源占用，網(wǎng)絡(luò)狀態(tài)如：實時帶寬顯示、路由表、ARP表、用戶連接數(shù)、連線狀態(tài)等功能；216。 Aruba無線管理系統(tǒng)提供強(qiáng)大的統(tǒng)計及報表功能；支持全面的用戶訪問日志記錄功能,監(jiān)控網(wǎng)內(nèi)用戶上網(wǎng)行為，以備在需要的時候進(jìn)行日志查詢。支持任意長時間的日志記錄 ,適合記錄大量的日志。并提供強(qiáng)大的統(tǒng)計及報表功能，將產(chǎn)生的日志信息匯總成各種統(tǒng)計報表；216。 Aruba無線管理系統(tǒng)具備無線射頻的智能管理。 與第三方的網(wǎng)管系統(tǒng)集成由于武漢輕軌PIS項目的特殊性，可能未來需要對第三方網(wǎng)管系統(tǒng)的支持，同時可能存在在同一的SNMP平臺下的綜合網(wǎng)絡(luò)管理和功能支持。Aruba無線系統(tǒng)能夠支持通用網(wǎng)管系統(tǒng)，可以和通用網(wǎng)管系統(tǒng)完美集成，實現(xiàn)在單一平臺下的統(tǒng)一管理。在Aruba系統(tǒng)的SNMP支持體系中，MIB存在標(biāo)準(zhǔn)的結(jié)構(gòu)支持，通過和通用網(wǎng)管系統(tǒng)的集成，整個網(wǎng)管系統(tǒng)可以滿足以下要求：l 開放性支持：管理應(yīng)用應(yīng)對外開放，可以使用任何資源及進(jìn)程，即使是其它網(wǎng)絡(luò)應(yīng)用的進(jìn)程，也能進(jìn)行橫向調(diào)用。l 具備企業(yè)管理能力。有能力管理無線網(wǎng)絡(luò)中的所有網(wǎng)絡(luò)設(shè)備，應(yīng)具備下列支持能力：l 可擴(kuò)展性：有能力滿足用戶的應(yīng)用以及未來的無線網(wǎng)絡(luò)擴(kuò)展需求，為無線網(wǎng)絡(luò)將來的升級留有余地；l 集成界面支持：無線網(wǎng)絡(luò)管理工作站能以圖形方式顯示網(wǎng)絡(luò)設(shè)備之間的邏輯拓?fù)浣Y(jié)構(gòu)，網(wǎng)絡(luò)的連接狀態(tài)，每個網(wǎng)絡(luò)設(shè)備的面板圖形及指示燈狀態(tài)等，并用圖形方式配置網(wǎng)絡(luò)參數(shù)和管理網(wǎng)絡(luò)設(shè)備。 無線漫游及其優(yōu)化 輕軌環(huán)境中終端在AP之間的無縫切換 在武漢輕軌網(wǎng)絡(luò)中，安裝在輕軌車輛中的無線終端始終會無線漫游運(yùn)行在ARUBA無線網(wǎng)絡(luò)覆蓋范圍內(nèi)，將無線終端漫游閾值參數(shù)設(shè)置為一個高數(shù)值可以確保終端從不滿足于現(xiàn)有的信號電平。無線終端將一直處于漫游狀態(tài)，無線終端會從鄰近AP列表中選擇出最佳AP。將連接閾值參數(shù)設(shè)定為一個低數(shù)值，使得終端與下一個較低信號電平的AP連接，確信下一個AP信號會有所改進(jìn)。 當(dāng)列車無線終端靠近下一個AP的覆蓋區(qū)域時，AP的信號強(qiáng)度將會上升到漫游閾值以上，終端將會與下一AP進(jìn)行連接。沿預(yù)定路徑的提前掃描和漫游是無縫進(jìn)行的。當(dāng)列車無線終端不斷向前進(jìn)方向移動，如下圖所示，列車在兩站之間運(yùn)行，在兩站之間架設(shè)無線AP70設(shè)備，通過AP70對軌道沿線無線覆蓋，無線終端設(shè)備在列車上，通過無線和AP70互聯(lián)，在無線終端經(jīng)過現(xiàn)有AP并突然失去其信號之前，由于有無線信號重疊，為保證傳輸質(zhì)量無線信號重疊應(yīng)大于25%，列車無線終端會保持與下一跳無線AP進(jìn)行連接，即使無線AP的信號電平不很高。無線快速漫游的基礎(chǔ)是建立在無線信號的快速連接和切換機(jī)制上的，無線終端必須要啟動快速無線網(wǎng)絡(luò)切換支持。無線快速漫游方法就是參照照傳統(tǒng)的無線蜂窩網(wǎng)技術(shù)，ARUBA的無線快速漫游豐富成熟穩(wěn)定案例，例如廣州地鐵項目為參考，ARUBA無線局域網(wǎng)保證不僅可以保證快速切換，語音和圖像等對時延敏感信號傳輸都會有非常好的保證。為提高無線快速漫游的性能，建議增強(qiáng)無線信號均勻覆蓋，減少無線信道干擾?？紤]到無線信號的干擾問題，，此頻段相對無線干擾比較少，無線傳輸信號比