【正文】 Disassociation, deauthenticate 幀等 。? ；針對(duì) Mesh網(wǎng)絡(luò)數(shù)據(jù)安全，包括 mesh link鏈路安全保護(hù)，mesh link密鑰協(xié)商等內(nèi)容，在 。管理報(bào)文安全＋數(shù)據(jù)報(bào)文安全＋ WIDS構(gòu)成了一個(gè)比較完整的無(wú)線(xiàn)安全 solution 79IEEE IEEE IEEE IEEE 中國(guó) WAPI 標(biāo)準(zhǔn)RFC 2865 Remote Authentication DialIn User Service (RADIUS) RFC2869: RADIUS ExtensionsRFC 2548: Microsoft VendorSpecific RADIUS AttributesRFC 2869 Radius Extensions RFC 2284 PointtoPoint Protocol (PPP) EAP RFC 2716 PPP EAPTLS Authentication Protocol RFC 2246 TLS Protocol RFC 2560 Inter Public Key Infrastructure Certificate Management Protocols 參考文獻(xiàn) 80無(wú)線(xiàn)局域網(wǎng)發(fā)展歷程FIT AP+ACFAT AP+無(wú)線(xiàn)網(wǎng)關(guān)FAT AP無(wú)線(xiàn)專(zhuān)網(wǎng)熱門(mén)建設(shè)方式 81WLAN組網(wǎng) —WDS 網(wǎng)橋1對(duì) 11對(duì) N網(wǎng)橋有 1對(duì) 1和 1對(duì) N的方式，通常建議不要超過(guò) 4,網(wǎng)橋使用 A Radio回傳， G Radio覆蓋網(wǎng)橋是無(wú)線(xiàn)最基本的應(yīng)用，能夠?qū)蓚€(gè)遠(yuǎn)程網(wǎng)絡(luò)連通，而不需要布線(xiàn)，因此可以大大的降低建網(wǎng)成本 82WLAN組網(wǎng) —MeshMesh技術(shù)是網(wǎng)橋技術(shù)的發(fā)展，主要解決了網(wǎng)橋技術(shù)中存在的鏈路建立和終端尋址問(wèn)題，從而使無(wú)線(xiàn)單獨(dú)組網(wǎng)成為可能。Mesh的缺陷也很明顯，報(bào)文經(jīng)過(guò)無(wú)線(xiàn)多跳時(shí)，報(bào)文時(shí)延明顯增大，另外，路由負(fù)載占用過(guò)多的無(wú)線(xiàn)空口的帶寬，標(biāo)準(zhǔn)不成熟等使得 Mesh技術(shù)的應(yīng)用一直受到很大的限制。 83WDS vs MeshWDS Mesh功能分配 配置 鏈 路， 終 端依靠廣播 選 路 依靠路由自 動(dòng) 配置 鏈 路， 終 端靠路由 選 路空口 負(fù)載 靜 態(tài) 配置無(wú) 額 外 負(fù)載 路由占用空口的 負(fù)載 隨網(wǎng) 絡(luò)規(guī) 模的增加而急 劇 增加， 報(bào) 文的網(wǎng) 絡(luò)時(shí) 延隨網(wǎng) 絡(luò) 跳數(shù)的增加而增大組 網(wǎng)模式 二 層 網(wǎng) 絡(luò) ，成 對(duì)組 網(wǎng)，多跳 組網(wǎng) 時(shí) 配置復(fù) 雜二 層 或三 層 網(wǎng) 絡(luò) ，多跳 組 網(wǎng)依靠路由自 動(dòng) 配置安全 手工 設(shè) 置空口加密密 鑰 ， AC下發(fā) 新密 鑰手工 設(shè) 置缺省密 鑰 ， AC下 發(fā) 新密鑰標(biāo) 準(zhǔn)化 標(biāo) 準(zhǔn)正在制定 過(guò) 程 標(biāo) 準(zhǔn)正在制定 過(guò) 程中 84QuidviewAP AP AP AP APCAMSL2交換機(jī)L3交換機(jī) AP通過(guò)邊緣 L2交換機(jī)接入有線(xiàn)網(wǎng)絡(luò)， AP或者 L3交換機(jī) (AC)作為認(rèn)證終結(jié)點(diǎn) ；小規(guī)模 WLAN網(wǎng)絡(luò)應(yīng)用，組網(wǎng)簡(jiǎn)單，成本低廉； AP作為邊緣接入設(shè)備，類(lèi)似有線(xiàn)網(wǎng)絡(luò)接入層交換機(jī)，管理簡(jiǎn)單；FAT AP組網(wǎng)模式組網(wǎng)模式L2交換機(jī) 85增加 Wireless Switch作為中央控制管理單元、認(rèn)證終結(jié)點(diǎn)，適合大規(guī)模 WLAN組網(wǎng)； Wireless Switch與 AP之間跨越 L L廣域網(wǎng)的靈活組網(wǎng)；快速漫游切換、基于用戶(hù)的權(quán)限管理、無(wú)線(xiàn)射頻環(huán)境監(jiān)控、語(yǔ)音視頻等增值業(yè)務(wù)的滿(mǎn)足；CAMSS3600PWRS3600PWRFIT AP組網(wǎng)模式組網(wǎng)模式QuidviewAC 86無(wú)線(xiàn)局域網(wǎng)組網(wǎng)模式： FAT AP amp。 FIT APAC（ Access Controller）無(wú)線(xiàn)控制器AP管理非法無(wú)線(xiàn)入侵檢測(cè)位置檢測(cè)網(wǎng)絡(luò)自愈每用戶(hù)的安全策略RF管理“胖 ”AP“瘦 ”AP天線(xiàn)加密移動(dòng) IP,VPN, TKIP, Qos, 權(quán)限控制策略控制三層漫游天線(xiàn)加密移動(dòng)權(quán)限控制策略控制漫游 87AP DHCPServer 無(wú)線(xiàn)控制器獲取 IP地址、DNS Server、域名無(wú)線(xiàn)控制器發(fā)現(xiàn)請(qǐng)求版本下載配置下載用戶(hù)數(shù)據(jù)傳遞1. AP通過(guò) DHCP server獲取 IP地址、 DNS server、域名2. AP發(fā)出二層廣播的發(fā)現(xiàn)請(qǐng)求報(bào)文試圖聯(lián)系一個(gè)無(wú)線(xiàn)控制器3. AP在多次嘗試發(fā)現(xiàn)請(qǐng)求無(wú)回應(yīng)的情況下：216。 AP會(huì)從 DNS server獲取 IP地址，其中 DHCP server學(xué)習(xí)到的 domain名字， AP向該 IP地址發(fā)送發(fā)現(xiàn)請(qǐng)求4. 接收到發(fā)現(xiàn)請(qǐng)求報(bào)文的無(wú)線(xiàn)控制器會(huì)檢查該 AP是否有接入本機(jī)的權(quán)限，如果有則回應(yīng)發(fā)現(xiàn)響應(yīng)。5. AP從無(wú)線(xiàn)控制器下載最新軟件版本6. AP從無(wú)線(xiàn)控制器下載最新配置7. AP開(kāi)始正常工作和無(wú)線(xiàn)控制器交換用戶(hù)數(shù)據(jù)報(bào)文長(zhǎng)時(shí)間無(wú)響應(yīng)DNSServer獲取無(wú)線(xiàn)交換機(jī)的 IP地址無(wú)線(xiàn)控制器發(fā)現(xiàn)請(qǐng)求無(wú)線(xiàn)控制器發(fā)現(xiàn)響應(yīng)FIT AP的無(wú)線(xiàn)控制器的管理的無(wú)線(xiàn)控制器的管理 88胖瘦對(duì)比胖瘦對(duì)比FAT AP FIT AP功能分配 AP自身功能 強(qiáng) 大，主要功能都在AP內(nèi) 實(shí)現(xiàn) ， AP成本 較 高自身功能弱，主要功能集中在 AC上實(shí)現(xiàn) ， AP成本 較 低組 網(wǎng)模式 通 過(guò) 三 層 交 換 機(jī)，用 戶(hù) 數(shù)據(jù)直接接入到網(wǎng) 絡(luò)用 戶(hù) 數(shù)據(jù)通 過(guò) AC接入到網(wǎng) 絡(luò) ，也可以直接接入網(wǎng) 絡(luò)業(yè)務(wù)類(lèi) 型 適合 業(yè)務(wù)簡(jiǎn)單 ，分散 組 網(wǎng)，用戶(hù) 分散密集部署，用 戶(hù) 集中，從而分 攤 AC成本認(rèn)證終結(jié)點(diǎn)對(duì) 于 規(guī) 模 組 網(wǎng)， 終結(jié) 點(diǎn)通常 選擇 交 換 機(jī)或者 BAS上除 FAT AP的模式外，同 時(shí) 支持在AC上 認(rèn)證終結(jié)認(rèn)證 方式 等同于有 線(xiàn)認(rèn)證 方式 可以支持無(wú) 線(xiàn) 特有的 強(qiáng) 安全 認(rèn)證 方式， WIDS/WIPS無(wú)法 進(jìn) 行射 頻 管理，因此不支持WIDS/WIPS射 頻 集中管理，因此可以支持很好WIDS/WIPS用 戶(hù) 數(shù)據(jù)保密支持 簡(jiǎn)單 共享密 鑰 加密方式，密鑰 在數(shù)據(jù) 傳輸過(guò) 程中不能 變 化，安全性弱支持 商密 鑰 方式加密，密鑰 在 傳輸過(guò) 程中通 過(guò)協(xié) 商不斷 i變化，安全性 強(qiáng) 89胖瘦對(duì)比胖瘦對(duì)比FAT AP FIT AP網(wǎng) 絡(luò) 管理 一個(gè) AP一個(gè) License，網(wǎng)管成本高，一個(gè)網(wǎng)元， 對(duì) 網(wǎng)管服 務(wù)器性能要求高，管理數(shù)據(jù)占用大量的用 戶(hù) 數(shù)據(jù)出口 帶寬AC為 一個(gè)網(wǎng)元， AP是 邏輯 管理 單元，沒(méi)有 License問(wèn)題 ，管理數(shù)據(jù)基本不占用用 戶(hù) 數(shù)據(jù)出口 帶寬業(yè)務(wù) 部署 部署需要改 變現(xiàn) 有網(wǎng) 絡(luò) ，開(kāi)展新 業(yè)務(wù)時(shí) ，需要每個(gè) AP都進(jìn) 行重新配置，新增 AP時(shí) ，對(duì) 每個(gè) AP的 IP地址都需要 進(jìn)行 標(biāo)識(shí) ，便于網(wǎng)管 針對(duì)這 個(gè)AP下 發(fā) 配置可以不改 變現(xiàn) 有網(wǎng) 絡(luò) 就部署，開(kāi)展新 業(yè)務(wù)時(shí) ，只需要在 AC上 進(jìn) 行配置，新增 AP，不需要 進(jìn) 行配置， 僅僅輸 入 AP序列號(hào)業(yè)務(wù) 能力 不支持跨三 層 和跨 BAS的 業(yè)務(wù) 漫游二三 層 和跨 AC漫游功能都能 夠 很好的支持 90Wireless 漫游無(wú)線(xiàn)控制器無(wú)線(xiàn)控制器AP1 無(wú)線(xiàn)控制器AP2 91FIT AP實(shí)時(shí)無(wú)線(xiàn)資源管理采集 分析執(zhí)行 決策CA BDAP實(shí)時(shí)收集 RF環(huán)境信息并定期上報(bào)給 AC AC對(duì) AP收集的數(shù)據(jù)進(jìn)行分析評(píng)估AP執(zhí)行 AC設(shè)置的配置，進(jìn)行射頻資源調(diào)優(yōu) AC統(tǒng)籌安排每個(gè) Radio應(yīng)當(dāng)使用的發(fā)送功率，信道等 92FIT AP信道自動(dòng)選擇 BSS 4BSS1 BSS 2 BSS 5 BSS 3 BSS 3BSS 5BSS 1BSS 2BSS 4 CHANNEL 1 CHANNEL 6 CHANNEL 11調(diào)整前 調(diào)整后基本原則l　網(wǎng)絡(luò)中的關(guān)鍵 AP優(yōu)先獲得最佳的信道，l　避免使用存在雷達(dá)等干擾的信道；l　統(tǒng)計(jì)信道狀態(tài)，包括信道利用率，干擾等；l　避免 Cochannel干擾；l　避免其它網(wǎng)絡(luò)中 AP的信道干擾； 93FIT AP發(fā)射功率自動(dòng)調(diào)整基本原則l　保證合理的信號(hào)覆蓋，過(guò)大的覆蓋將影響吞吐和網(wǎng)絡(luò)性能；l　保證一定的信號(hào)重疊，防止出現(xiàn)覆蓋黑洞；l　逐個(gè)調(diào)整 AP的發(fā)射功率，使其第Ｎ個(gè)鄰居可以聽(tīng)到足夠強(qiáng)的信號(hào)，實(shí)現(xiàn)整個(gè)網(wǎng)絡(luò)　　形成完整的覆蓋；l　支持修復(fù)鄰居 AP離線(xiàn)造成的信號(hào)覆蓋黑洞；調(diào)整前 調(diào)整后 94H3C FIT AP專(zhuān)利特性 ：智能負(fù)載均衡AP1 AP2?拒絕關(guān)聯(lián)接受關(guān)聯(lián)負(fù)載均衡原理AP1 AP2智能負(fù)載均衡技術(shù)啟動(dòng)負(fù)載分擔(dān)的重疊覆蓋區(qū)不啟動(dòng)負(fù)載分擔(dān)的區(qū)域n 無(wú)線(xiàn)控制器可以設(shè)定 AP間對(duì)接入用戶(hù)進(jìn)行負(fù)載分擔(dān)n 負(fù)載分擔(dān)的策略可以是基于 AP接入的用戶(hù)數(shù)量， AP流量負(fù)載情況n 當(dāng)無(wú)線(xiàn)控制器發(fā)現(xiàn) AP的負(fù)載超過(guò)設(shè)定的門(mén)限值以后，對(duì)于新接入的用戶(hù)無(wú)線(xiàn)控制器會(huì)自動(dòng)計(jì)算此用戶(hù)周?chē)欠襁€有負(fù)載較輕的 AP可供用戶(hù)接入，如果有則 AP會(huì)拒絕用戶(hù)的關(guān)聯(lián)請(qǐng)求，用戶(hù)會(huì)轉(zhuǎn)而接入其他負(fù)載較輕的 APn H3C公司創(chuàng)新性地支持智能負(fù)載均衡技術(shù)，保證只對(duì)處于 AP覆蓋重疊區(qū)的無(wú)線(xiàn)用戶(hù)才啟動(dòng) AP負(fù)載均衡功能，有效的避免誤均衡的出現(xiàn)杭州華三通信技術(shù)有限公司