【正文】 Disassociation, deauthenticate 幀等 。? ；針對 Mesh網(wǎng)絡數(shù)據(jù)安全，包括 mesh link鏈路安全保護，mesh link密鑰協(xié)商等內(nèi)容，在 。管理報文安全＋數(shù)據(jù)報文安全＋ WIDS構成了一個比較完整的無線安全 solution 79IEEE IEEE IEEE IEEE 中國 WAPI 標準RFC 2865 Remote Authentication DialIn User Service (RADIUS) RFC2869: RADIUS ExtensionsRFC 2548: Microsoft VendorSpecific RADIUS AttributesRFC 2869 Radius Extensions RFC 2284 PointtoPoint Protocol (PPP) EAP RFC 2716 PPP EAPTLS Authentication Protocol RFC 2246 TLS Protocol RFC 2560 Inter Public Key Infrastructure Certificate Management Protocols 參考文獻 80無線局域網(wǎng)發(fā)展歷程FIT AP+ACFAT AP+無線網(wǎng)關FAT AP無線專網(wǎng)熱門建設方式 81WLAN組網(wǎng) —WDS 網(wǎng)橋1對 11對 N網(wǎng)橋有 1對 1和 1對 N的方式，通常建議不要超過 4,網(wǎng)橋使用 A Radio回傳， G Radio覆蓋網(wǎng)橋是無線最基本的應用，能夠?qū)蓚€遠程網(wǎng)絡連通，而不需要布線，因此可以大大的降低建網(wǎng)成本 82WLAN組網(wǎng) —MeshMesh技術是網(wǎng)橋技術的發(fā)展，主要解決了網(wǎng)橋技術中存在的鏈路建立和終端尋址問題，從而使無線單獨組網(wǎng)成為可能。Mesh的缺陷也很明顯，報文經(jīng)過無線多跳時，報文時延明顯增大，另外，路由負載占用過多的無線空口的帶寬，標準不成熟等使得 Mesh技術的應用一直受到很大的限制。 83WDS vs MeshWDS Mesh功能分配 配置 鏈 路， 終 端依靠廣播 選 路 依靠路由自 動 配置 鏈 路， 終 端靠路由 選 路空口 負載 靜 態(tài) 配置無 額 外 負載 路由占用空口的 負載 隨網(wǎng) 絡規(guī) 模的增加而急 劇 增加， 報 文的網(wǎng) 絡時 延隨網(wǎng) 絡 跳數(shù)的增加而增大組 網(wǎng)模式 二 層 網(wǎng) 絡 ，成 對組 網(wǎng)，多跳 組網(wǎng) 時 配置復 雜二 層 或三 層 網(wǎng) 絡 ，多跳 組 網(wǎng)依靠路由自 動 配置安全 手工 設 置空口加密密 鑰 ， AC下發(fā) 新密 鑰手工 設 置缺省密 鑰 ， AC下 發(fā) 新密鑰標 準化 標 準正在制定 過 程 標 準正在制定 過 程中 84QuidviewAP AP AP AP APCAMSL2交換機L3交換機 AP通過邊緣 L2交換機接入有線網(wǎng)絡， AP或者 L3交換機 (AC)作為認證終結點 ；小規(guī)模 WLAN網(wǎng)絡應用，組網(wǎng)簡單，成本低廉； AP作為邊緣接入設備，類似有線網(wǎng)絡接入層交換機，管理簡單；FAT AP組網(wǎng)模式組網(wǎng)模式L2交換機 85增加 Wireless Switch作為中央控制管理單元、認證終結點，適合大規(guī)模 WLAN組網(wǎng)； Wireless Switch與 AP之間跨越 L L廣域網(wǎng)的靈活組網(wǎng)；快速漫游切換、基于用戶的權限管理、無線射頻環(huán)境監(jiān)控、語音視頻等增值業(yè)務的滿足；CAMSS3600PWRS3600PWRFIT AP組網(wǎng)模式組網(wǎng)模式QuidviewAC 86無線局域網(wǎng)組網(wǎng)模式： FAT AP amp。 FIT APAC（ Access Controller）無線控制器AP管理非法無線入侵檢測位置檢測網(wǎng)絡自愈每用戶的安全策略RF管理“胖 ”AP“瘦 ”AP天線加密移動 IP,VPN, TKIP, Qos, 權限控制策略控制三層漫游天線加密移動權限控制策略控制漫游 87AP DHCPServer 無線控制器獲取 IP地址、DNS Server、域名無線控制器發(fā)現(xiàn)請求版本下載配置下載用戶數(shù)據(jù)傳遞1. AP通過 DHCP server獲取 IP地址、 DNS server、域名2. AP發(fā)出二層廣播的發(fā)現(xiàn)請求報文試圖聯(lián)系一個無線控制器3. AP在多次嘗試發(fā)現(xiàn)請求無回應的情況下：216。 AP會從 DNS server獲取 IP地址，其中 DHCP server學習到的 domain名字， AP向該 IP地址發(fā)送發(fā)現(xiàn)請求4. 接收到發(fā)現(xiàn)請求報文的無線控制器會檢查該 AP是否有接入本機的權限，如果有則回應發(fā)現(xiàn)響應。5. AP從無線控制器下載最新軟件版本6. AP從無線控制器下載最新配置7. AP開始正常工作和無線控制器交換用戶數(shù)據(jù)報文長時間無響應DNSServer獲取無線交換機的 IP地址無線控制器發(fā)現(xiàn)請求無線控制器發(fā)現(xiàn)響應FIT AP的無線控制器的管理的無線控制器的管理 88胖瘦對比胖瘦對比FAT AP FIT AP功能分配 AP自身功能 強 大，主要功能都在AP內(nèi) 實現(xiàn) ， AP成本 較 高自身功能弱，主要功能集中在 AC上實現(xiàn) ， AP成本 較 低組 網(wǎng)模式 通 過 三 層 交 換 機，用 戶 數(shù)據(jù)直接接入到網(wǎng) 絡用 戶 數(shù)據(jù)通 過 AC接入到網(wǎng) 絡 ，也可以直接接入網(wǎng) 絡業(yè)務類 型 適合 業(yè)務簡單 ，分散 組 網(wǎng)，用戶 分散密集部署，用 戶 集中，從而分 攤 AC成本認證終結點對 于 規(guī) 模 組 網(wǎng)， 終結 點通常 選擇 交 換 機或者 BAS上除 FAT AP的模式外，同 時 支持在AC上 認證終結認證 方式 等同于有 線認證 方式 可以支持無 線 特有的 強 安全 認證 方式， WIDS/WIPS無法 進 行射 頻 管理，因此不支持WIDS/WIPS射 頻 集中管理，因此可以支持很好WIDS/WIPS用 戶 數(shù)據(jù)保密支持 簡單 共享密 鑰 加密方式，密鑰 在數(shù)據(jù) 傳輸過 程中不能 變 化，安全性弱支持 商密 鑰 方式加密，密鑰 在 傳輸過 程中通 過協(xié) 商不斷 i變化，安全性 強 89胖瘦對比胖瘦對比FAT AP FIT AP網(wǎng) 絡 管理 一個 AP一個 License，網(wǎng)管成本高，一個網(wǎng)元， 對 網(wǎng)管服 務器性能要求高，管理數(shù)據(jù)占用大量的用 戶 數(shù)據(jù)出口 帶寬AC為 一個網(wǎng)元， AP是 邏輯 管理 單元，沒有 License問題 ，管理數(shù)據(jù)基本不占用用 戶 數(shù)據(jù)出口 帶寬業(yè)務 部署 部署需要改 變現(xiàn) 有網(wǎng) 絡 ，開展新 業(yè)務時 ，需要每個 AP都進 行重新配置，新增 AP時 ，對 每個 AP的 IP地址都需要 進行 標識 ，便于網(wǎng)管 針對這 個AP下 發(fā) 配置可以不改 變現(xiàn) 有網(wǎng) 絡 就部署，開展新 業(yè)務時 ，只需要在 AC上 進 行配置，新增 AP，不需要 進 行配置， 僅僅輸 入 AP序列號業(yè)務 能力 不支持跨三 層 和跨 BAS的 業(yè)務 漫游二三 層 和跨 AC漫游功能都能 夠 很好的支持 90Wireless 漫游無線控制器無線控制器AP1 無線控制器AP2 91FIT AP實時無線資源管理采集 分析執(zhí)行 決策CA BDAP實時收集 RF環(huán)境信息并定期上報給 AC AC對 AP收集的數(shù)據(jù)進行分析評估AP執(zhí)行 AC設置的配置，進行射頻資源調(diào)優(yōu) AC統(tǒng)籌安排每個 Radio應當使用的發(fā)送功率，信道等 92FIT AP信道自動選擇 BSS 4BSS1 BSS 2 BSS 5 BSS 3 BSS 3BSS 5BSS 1BSS 2BSS 4 CHANNEL 1 CHANNEL 6 CHANNEL 11調(diào)整前 調(diào)整后基本原則l　網(wǎng)絡中的關鍵 AP優(yōu)先獲得最佳的信道，l　避免使用存在雷達等干擾的信道；l　統(tǒng)計信道狀態(tài)，包括信道利用率，干擾等；l　避免 Cochannel干擾；l　避免其它網(wǎng)絡中 AP的信道干擾； 93FIT AP發(fā)射功率自動調(diào)整基本原則l　保證合理的信號覆蓋，過大的覆蓋將影響吞吐和網(wǎng)絡性能；l　保證一定的信號重疊，防止出現(xiàn)覆蓋黑洞；l　逐個調(diào)整 AP的發(fā)射功率，使其第Ｎ個鄰居可以聽到足夠強的信號，實現(xiàn)整個網(wǎng)絡　　形成完整的覆蓋；l　支持修復鄰居 AP離線造成的信號覆蓋黑洞；調(diào)整前 調(diào)整后 94H3C FIT AP專利特性 ：智能負載均衡AP1 AP2?拒絕關聯(lián)接受關聯(lián)負載均衡原理AP1 AP2智能負載均衡技術啟動負載分擔的重疊覆蓋區(qū)不啟動負載分擔的區(qū)域n 無線控制器可以設定 AP間對接入用戶進行負載分擔n 負載分擔的策略可以是基于 AP接入的用戶數(shù)量， AP流量負載情況n 當無線控制器發(fā)現(xiàn) AP的負載超過設定的門限值以后，對于新接入的用戶無線控制器會自動計算此用戶周圍是否還有負載較輕的 AP可供用戶接入，如果有則 AP會拒絕用戶的關聯(lián)請求，用戶會轉(zhuǎn)而接入其他負載較輕的 APn H3C公司創(chuàng)新性地支持智能負載均衡技術，保證只對處于 AP覆蓋重疊區(qū)的無線用戶才啟動 AP負載均衡功能，有效的避免誤均衡的出現(xiàn)杭州華三通信技術有限公司