【正文】 備或者內(nèi)嵌于6500交換機(jī)的IDS模塊可以做到完全的無縫聯(lián)動(dòng)，所有無線進(jìn)入有線網(wǎng)的數(shù)據(jù)，都會(huì)被IDS模塊進(jìn)行監(jiān)測(cè)，如果發(fā)現(xiàn)任何27層的網(wǎng)絡(luò)攻擊，IDS模塊會(huì)立即發(fā)消息給無線控制器模塊，無線控制器模塊會(huì)立刻采取動(dòng)作，屏蔽該攻擊的客戶端，從而保護(hù)無線AP/Mesh設(shè)備和無線控制器不受任何攻擊影響。具體實(shí)現(xiàn)流程如下圖所示。 支持精確的非法AP定位和隔離，保證無線網(wǎng)絡(luò)免受無線類的安全攻擊智博通的無線系統(tǒng)對(duì)于非法AP、AdHoc設(shè)備的具有非常嚴(yán)謹(jǐn)并有效的處理過程，在智博通的非法AP的框架下，用戶采用無線系統(tǒng)不在擔(dān)心非法AP、AdHoc帶來的無線危險(xiǎn)問題總的來講，我們可以通過以下四步對(duì)非法AP進(jìn)行處理。如下圖智博通的無線網(wǎng)絡(luò)系統(tǒng)也可以通過運(yùn)行在接入模式下的無線接入點(diǎn)對(duì)非法AP進(jìn)行抑制，移除非法AP上的所有客戶端，有效的防止非法AP對(duì)于普通客戶端的欺騙行為。但是，必須指出的一點(diǎn)是，如果某個(gè)AP需要對(duì)非法AP進(jìn)行發(fā)現(xiàn)和抑制，它需要這個(gè)AP不間斷的掃描網(wǎng)絡(luò)中所有信道，并在非法AP工作的信道不間斷的發(fā)出一些模擬的管理消息幀，所以這樣的行為（對(duì)于非法AP的檢測(cè)和抑制）極為消耗AP的資源，大多數(shù)廠商均是通過部署AP在特定的模式（Monitor）進(jìn)行該處理，所以如果完成這樣的功能，客戶需要的AP數(shù)量是正常接入模式數(shù)量的一倍（接入模式的AP+Monitor模式的AP）。但智博通所有的無線接入點(diǎn)均有特殊芯片設(shè)計(jì)，所以可以保證在接入模式下就可完成對(duì)于非法AP的檢測(cè)、抑制工作，而不影響AP的接入性能。另外，僅僅是通過無線設(shè)備對(duì)非法AP進(jìn)行抑制還是不夠的，徹底解決非法AP問題的方法是關(guān)閉非法AP連接的交換機(jī)端口，當(dāng)然更徹底的是從物理上移除該非法AP。智博通的有線無線集成的網(wǎng)絡(luò)系統(tǒng)完全可以提供非法AP的檢測(cè)和聯(lián)動(dòng)功能，在智博通的系統(tǒng)里，一旦無線網(wǎng)絡(luò)檢測(cè)到非法AP存在，即可發(fā)出指令控制接入交換機(jī)關(guān)閉連接非法AP的交換機(jī)端口，具體流程如下最后，確定的發(fā)現(xiàn)非法AP的精確位置可以幫助管理員及時(shí)的從物理上排除非法AP，徹底解決非法AP帶來的安全隱患，智博通的無線系統(tǒng)同時(shí)集成了精確的定位功能，可以幫助管理員在網(wǎng)管界面上準(zhǔn)確的定位出非法AP的真實(shí)物理位置，從而幫助管理員輕松的移除非法AP。實(shí)例如下圖所示 終端的安全接入保證（NAC）在用戶進(jìn)行有效的鑒權(quán)以后，用戶擁有了接入無線網(wǎng)絡(luò)的先前條件，但是對(duì)于這個(gè)用戶使用的終端設(shè)備，我們認(rèn)為并不一定是完全安全可靠的，比如用戶終端的操作系統(tǒng)是否是最新的版本，是否存在系統(tǒng)漏洞和安全隱患，終端的病毒庫(kù)是否及時(shí)更新，操作系統(tǒng)是否被安裝了木馬程序等等。即使擁有了合法的用戶名和密碼或者安裝的合法的數(shù)字證書，以上這些問題我們還是無法保證。針對(duì)這些問題，智博通采用NAC系統(tǒng)進(jìn)行無線的終端安全接入保證，過程如下圖所示，終端在鑒權(quán)以后，Radius認(rèn)證服務(wù)器會(huì)通過和第三方服務(wù)器進(jìn)行交互以校驗(yàn)用戶終端的操作系統(tǒng)、病毒庫(kù)等方面的合法性。用戶滿足條件后，才可以通過整個(gè)認(rèn)證過程，從而接入進(jìn)無線網(wǎng)絡(luò)系統(tǒng)。如果某些方面不滿足安全要求，用戶會(huì)被放入一個(gè)制定的隔離的網(wǎng)段進(jìn)行相關(guān)軟件和補(bǔ)丁的升級(jí)，升級(jí)完畢以后再進(jìn)行校驗(yàn)，通過后則允許進(jìn)入無線網(wǎng)絡(luò)系統(tǒng)。 Mesh回傳鏈路數(shù)據(jù)的安全加密在Mesh網(wǎng)絡(luò)中，所有Mesh設(shè)備的數(shù)據(jù)都是通過無線鏈路進(jìn)行回傳的，所以對(duì)于無線回傳鏈路上的數(shù)據(jù)的安全是非常重要的問題。智博通在所有Mesh無線回傳鏈路上都提供了基于硬件的高效、強(qiáng)壯的安全加密機(jī)制（AES），通過AES的加密，可以保證回傳鏈路上的數(shù)據(jù)不被破譯及攻擊。如下圖Mesh節(jié)點(diǎn)之間的鏈路加密情況， 終端快速、安全漫游機(jī)制的實(shí)現(xiàn)（CCKM）在一些核心業(yè)務(wù)的運(yùn)作當(dāng)中，數(shù)據(jù)是需要進(jìn)行加密的，那么在漫游過程中就要涉及到加密密鑰的交換。在一般情況下，密鑰的交換會(huì)涉及到無線客戶端、無線接入點(diǎn)、無線控制器還有后臺(tái)的認(rèn)證服務(wù)器。這樣，就會(huì)導(dǎo)致切換過程中切換時(shí)間的延長(zhǎng)。對(duì)于一些關(guān)鍵業(yè)務(wù)及對(duì)于時(shí)間敏感的業(yè)務(wù)來說，切換時(shí)間的要求非常高，所以，這里就需要一種體制來保證在加密情況下的高速、高效的切換過程。智博通通過CCKM機(jī)制 (zbt Centralized Key Management) 來保證高速、高效的安全切換，通過這種方式，可以加速密鑰交換過程，從而縮短切換時(shí)間。 獨(dú)特的訪客隔離機(jī)制智博通獨(dú)有的無線訪客技術(shù)可以保證跨地區(qū)漫游用戶與無線網(wǎng)內(nèi)部用戶的隔離。將訪客和無線網(wǎng)絡(luò)完全邏輯隔離，在允許訪客跨地區(qū)無線網(wǎng)絡(luò)漫游訪問互聯(lián)網(wǎng)的同時(shí)保證內(nèi)部無線用戶的安全無線網(wǎng)絡(luò)在提供內(nèi)部用戶的安全接入的同時(shí)，還需要提供一些訪客的接入。同時(shí)對(duì)于這兩種類型用戶的接入，要求無線系統(tǒng)對(duì)整個(gè)網(wǎng)絡(luò)不帶來任何影響和改動(dòng)，同時(shí)保證網(wǎng)絡(luò)內(nèi)部的安全，如下圖所示方法，為傳統(tǒng)模式下，實(shí)現(xiàn)訪客接入的方式，這樣訪客的數(shù)據(jù)流也會(huì)終結(jié)在內(nèi)網(wǎng)中，會(huì)給網(wǎng)絡(luò)帶來潛在的威脅，同時(shí)需要對(duì)網(wǎng)絡(luò)進(jìn)行配置改動(dòng)，智博通提供了一種先進(jìn)的訪客接入技術(shù)，如下圖所示，通過這種方式，我們可以把訪客的數(shù)據(jù)流終結(jié)到防火墻的安全DMZ的區(qū)域，然后通過防火墻的安全機(jī)制對(duì)數(shù)據(jù)流進(jìn)行限制和管理，同時(shí)不用影響任何內(nèi)網(wǎng)中的配置，做到對(duì)以前系統(tǒng)的最小改動(dòng)。 安全的無線網(wǎng)絡(luò)管理對(duì)于解決不斷出現(xiàn)的無線網(wǎng)絡(luò)安全問題，對(duì)于網(wǎng)絡(luò)管理員的技術(shù)水平要求很高，網(wǎng)絡(luò)管理員為了全面的了解評(píng)估整網(wǎng)的網(wǎng)絡(luò)安全的真實(shí)情況，需要收集各個(gè)設(shè)備上的告警及Log信息，這樣會(huì)帶來極大的工作量，并且很難保證其材料的全面性，往往會(huì)遺漏掉很多潛在的安全問題。針對(duì)這一問題，智博通的無線網(wǎng)管系統(tǒng)可以幫助客戶全面、輕松的解決該問題，智博通網(wǎng)管系統(tǒng)里可以提供直觀的、全面的安全評(píng)估面板，指出客戶的網(wǎng)絡(luò)安全健康狀況，并詳細(xì)列出無線網(wǎng)絡(luò)中出現(xiàn)的各種問題，加以一一分析。如下圖所示，網(wǎng)管系統(tǒng)提醒用戶該網(wǎng)絡(luò)存在比較嚴(yán)重的安全問題，并列出了一些最嚴(yán)重的安全事件。同時(shí)，我們還可以通過詳細(xì)的安全事件來對(duì)網(wǎng)絡(luò)具體安全問題進(jìn)行分析歸類，如下圖所示通過詳細(xì)的安全列表，我們可以非常直觀的、全面的洞察網(wǎng)絡(luò)安全威脅，可以更好地評(píng)估網(wǎng)絡(luò)情況，采取相應(yīng)行動(dòng)解決安全隱患。 智博通無線網(wǎng)絡(luò)管理系統(tǒng)智博通無線控制系統(tǒng)(WCS)是業(yè)界進(jìn)行無線局域網(wǎng)規(guī)劃、配置和管理的領(lǐng)先平臺(tái)。它提供了一個(gè)強(qiáng)大的基礎(chǔ)，使IT管理員能從中央地點(diǎn)設(shè)計(jì)、控制和監(jiān)控醫(yī)院無線網(wǎng)絡(luò)，簡(jiǎn)化運(yùn)營(yíng)并降低總擁有成本。智博通無線控制系統(tǒng)(WCS)憑借智博通WCS，網(wǎng)絡(luò)管理員可擁有單一解決方案，來進(jìn)行RF預(yù)測(cè)、策略配置、網(wǎng)絡(luò)優(yōu)化、排障、用戶跟蹤、安全監(jiān)控和無線局域網(wǎng)系統(tǒng)管理。強(qiáng)大的圖形化界面使無線局域網(wǎng)的部署和運(yùn)營(yíng)簡(jiǎn)單且經(jīng)濟(jì)有效。詳細(xì)的趨勢(shì)和分析報(bào)告使智博通WCS可為持續(xù)網(wǎng)絡(luò)運(yùn)營(yíng)提供重要作用。智博通WCS運(yùn)行在服務(wù)器平臺(tái)上，有一個(gè)內(nèi)嵌數(shù)據(jù)庫(kù)。它提供了可管理數(shù)百個(gè)智博通無線局域網(wǎng)控制器的可擴(kuò)展性，而這些控制器可管理數(shù)千智博通輕型接入點(diǎn)。無線局域網(wǎng)控制器可位于智博通WCS所在的LAN中、分布于多個(gè)獨(dú)立路由子網(wǎng)或位于廣域連接之上。籍此，智博通WCS甚至可為最大的醫(yī)院環(huán)境提供理想的無線局域網(wǎng)管理平臺(tái)。無線局域網(wǎng)規(guī)劃和設(shè)計(jì)智博通WCS提供了集成化RF預(yù)測(cè)工具，它們可用于創(chuàng)建詳細(xì)的無線局域網(wǎng)設(shè)計(jì)，包括輕型接入點(diǎn)的放置、配置和預(yù)計(jì)性能/覆蓋范圍。IT人員可將實(shí)際的地面布局輸入智博通WCS，并確定樓宇中各組件的RF特性，以提高設(shè)計(jì)準(zhǔn)確性。熱點(diǎn)圖可幫助IT人員查看無線局域網(wǎng)的預(yù)計(jì)行為，以便更方便地進(jìn)行規(guī)劃和更快地實(shí)施部署。規(guī)劃工具網(wǎng)絡(luò)監(jiān)控和排障智博通WCS提供的工具可幫助IT管理員查看其無線網(wǎng)絡(luò)的布局，并持續(xù)監(jiān)控WLAN性能。這其中包括詳細(xì)的熱點(diǎn)圖，顯示了所輸入的地面之上的RF覆蓋范圍。WCS還提供了一個(gè)門戶，用戶可通過它獲得智博通WLAN控制器所提供的實(shí)時(shí)RF管理功能，包括信道分配和AP輸出功率設(shè)置。此外，WCS可快速查看覆蓋盲區(qū)、報(bào)警和關(guān)鍵的使用統(tǒng)計(jì)數(shù)據(jù)，實(shí)現(xiàn)了方便的WLAN監(jiān)控和排障。查看RF覆蓋范圍位置跟蹤智博通提供了各種選項(xiàng)，來有效地跟蹤無線設(shè)備，包括支持WiFi的筆記本電腦、PDA、。WCS的基本版本可確定一臺(tái)無線設(shè)備與哪個(gè)接入點(diǎn)相關(guān)聯(lián)，使IT管理員大致了解無線設(shè)備的位置。需更精確的定位服務(wù)的環(huán)境可部署WCS的一個(gè)可選版本，稱為定位型WCS，它采用了即將榮獲專利的“RF指紋”技術(shù)。該技術(shù)將實(shí)時(shí)客戶端RSSI信息與已知RF樓宇特性相比較，使智博通成為唯一能準(zhǔn)確定位無線設(shè)備，結(jié)果可以準(zhǔn)確到幾米之內(nèi)的WLAN基礎(chǔ)設(shè)施。此外，定位型WCS能與智博通無線定位設(shè)備一起部署，同時(shí)實(shí)時(shí)地跟蹤數(shù)千個(gè)無線客戶端。憑借這些先進(jìn)的位置跟蹤功能，智博通解決方案成為了一個(gè)理想的平臺(tái)，可支持具有無線移動(dòng)性的關(guān)鍵業(yè)務(wù)應(yīng)用，如資產(chǎn)跟蹤、庫(kù)存管理等服務(wù)。通過將位置跟蹤集成入無線局域網(wǎng)基礎(chǔ)設(shè)施，智博通降低了無線局域網(wǎng)部署的復(fù)雜性和總擁有成本。WCS可準(zhǔn)確指出無線客戶端的位置無線保護(hù)智博通WCS在一個(gè)智博通無線基礎(chǔ)設(shè)施中提供了管理和實(shí)施安全策略的全套工具。這其中包括：RF攻擊簽名和無線入侵防御—智博通WCS使IT人員可創(chuàng)建能定制的攻擊簽名文件，可用于迅速檢測(cè)與RF相關(guān)的常見攻擊，如拒絕服務(wù)(DoS)、Netstumbler和FakeAP。用戶可對(duì)智博通WCS編程，使其在發(fā)現(xiàn)攻擊時(shí)自動(dòng)生成報(bào)警。詳細(xì)的趨勢(shì)報(bào)告可幫助IT人員在威脅造成重大損失前發(fā)現(xiàn)反復(fù)出現(xiàn)的安全問題。無線安全問題總結(jié)惡意設(shè)備檢測(cè)、定位和控制—智博通WCS平臺(tái)使用即將榮獲專利的技術(shù)，來持續(xù)監(jiān)控?zé)o線空間，尋找非法接入點(diǎn)和臨時(shí)網(wǎng)絡(luò)。如果出現(xiàn)未授權(quán)設(shè)備，可使用智博通WCS確定其位置并評(píng)估威脅級(jí)別。如認(rèn)為是惡意設(shè)備，IT管理員可利用WCS來正確防御它們。詳細(xì)的趨勢(shì)報(bào)告有助于識(shí)別反復(fù)發(fā)生的潛在問題。策略創(chuàng)建和實(shí)施—智博通WCS包含一個(gè)服務(wù)策略引擎，使網(wǎng)絡(luò)管理員能方便地創(chuàng)建虛擬LAN（VLAN）、RF、服務(wù)質(zhì)量（QoS）和安全策略。憑借智博通WCS，IT人員可創(chuàng)建多個(gè)獨(dú)特的服務(wù)集識(shí)別符（SSID），各自帶獨(dú)立的安全參數(shù)。例如，一個(gè)“訪客”SSID可通過Web驗(yàn)證來保護(hù)；“語音”SSID可能需利用手機(jī)內(nèi)置的有線等效保密(WEP)功能；(IPSec)來保護(hù)。智博通WCS可在完整的智博通無線網(wǎng)絡(luò)、獨(dú)立的智博通無線局域網(wǎng)控制器，甚或獨(dú)立的輕型接入點(diǎn)上實(shí)施安全策略。策略引擎用戶拒絕列表—IT人員可使用智博通WCS來主動(dòng)拒絕某些特定用戶與無線網(wǎng)絡(luò)建立連接。此外，如果發(fā)現(xiàn)異?；顒?dòng)，受到影響的設(shè)備會(huì)被標(biāo)記，如果認(rèn)為它們是惡意設(shè)備，會(huì)拒絕它們接入網(wǎng)絡(luò)。這些設(shè)備就無法獲得無線局域網(wǎng)服務(wù)，直至拒絕列表中規(guī)定的時(shí)間到期，或IT人員決定允許其訪問無線局域網(wǎng)為止。無線局域網(wǎng)系統(tǒng)管理智博通WCS使無線局域網(wǎng)的配置、監(jiān)控和管理就像有線系統(tǒng)管理一樣簡(jiǎn)單高效。其中包括以下核心功能：排障—智博通WCS整合了重要的網(wǎng)絡(luò)信息，如噪音級(jí)別、信噪比、干擾、信號(hào)強(qiáng)度和網(wǎng)絡(luò)拓?fù)涞?，使網(wǎng)絡(luò)管理員能隔離和解決所有無線網(wǎng)絡(luò)層次中的問題。軟件升級(jí)—憑借智博通WCS，只需點(diǎn)擊一次鼠標(biāo)，即可從單一位置執(zhí)行對(duì)于智博通無線局域網(wǎng)設(shè)備的升級(jí)。網(wǎng)絡(luò)映射—智博通WCS可自動(dòng)發(fā)現(xiàn)無線網(wǎng)絡(luò)中的各個(gè)設(shè)備。因此無需進(jìn)行手動(dòng)數(shù)據(jù)庫(kù)配置和維護(hù)，且可提供準(zhǔn)確信息，以用于容量規(guī)劃和排障。定制報(bào)告—智博通WCS可生成大量報(bào)告，以記錄網(wǎng)絡(luò)活動(dòng)和系統(tǒng)信息。其中包括客戶端統(tǒng)計(jì)數(shù)據(jù)、無線頻譜利用數(shù)據(jù)、RF管理配置歷史和報(bào)警（圖21）。所發(fā)現(xiàn)的惡意AP和客戶端活動(dòng)報(bào)告靈活、安全的訪問智博通WCS使用SNMP版本3來提供最高水平的網(wǎng)絡(luò)管理功能和安全性。該協(xié)議可用于在智博通WCS服務(wù)器和各無線局域網(wǎng)控制器間通信。此軟件也支持SNMP版本1和版本2，這使其他網(wǎng)絡(luò)管理平臺(tái)也能對(duì)其進(jìn)行查詢。網(wǎng)絡(luò)管理員可通過任意運(yùn)行HTTP或安全HTTP (HTTPS)的標(biāo)準(zhǔn)瀏覽器來訪問智博通WCS，確保能隨時(shí)、隨地使用智博通的管理功能。智博通無線控制系統(tǒng)的特性和優(yōu)點(diǎn)特性優(yōu)點(diǎn)直觀的GUIIT人員只需極少的培訓(xùn)，即可方便地對(duì)其無線網(wǎng)絡(luò)進(jìn)行配置、監(jiān)控和排障。層次化視圖IT人員能快速訪問不同的地區(qū)、園區(qū)、樓宇、樓層和區(qū)域，更好地查看和控制情況。無線局域網(wǎng)規(guī)劃工具準(zhǔn)確的RF預(yù)測(cè)工具提高了無線局域網(wǎng)規(guī)劃和設(shè)計(jì)的有效性。高度準(zhǔn)確的集成化位置跟蹤（由定位型WCS提供）跟蹤用戶和設(shè)備，保護(hù)資產(chǎn)并增強(qiáng)無線局域網(wǎng)的安全程度。策略管理模板可在整個(gè)醫(yī)院中方便地創(chuàng)建和實(shí)施統(tǒng)一的QoS、安全和RF管理策略。全面的無線局域網(wǎng)入侵保護(hù)定制簽名文件可防御未授權(quán)入侵和RF攻擊；自動(dòng)報(bào)警能使用戶迅速響應(yīng)，從而降低風(fēng)險(xiǎn)。簡(jiǎn)單、便利的軟件升級(jí)無需手動(dòng)干預(yù)，即可使無線局域網(wǎng)控制器和輕型接入點(diǎn)保持最新版本。強(qiáng)大的API此界面提供了與外部軟件系統(tǒng)的集成，包括工作流程軟件、故障管理系統(tǒng)和其他使用無線服務(wù)的應(yīng)用。第 4 章 XX醫(yī)院無線網(wǎng)絡(luò)覆蓋方案設(shè)計(jì) 無線網(wǎng)絡(luò)的總體設(shè)計(jì)XX目前的有線網(wǎng)絡(luò)拓?fù)淙缦聢D所示：醫(yī)院的網(wǎng)絡(luò)情況為: 智博通統(tǒng)一無線網(wǎng)絡(luò)由三部分組成：瘦AP、無線控制器、網(wǎng)管和移動(dòng)定位系統(tǒng)。瘦AP位于接入層，無線控制器、網(wǎng)管和移動(dòng)定位系統(tǒng)位于核心層。無線控制器和瘦AP之間需要IP可達(dá)。瘦AP通過DHCP Option43自動(dòng)發(fā)現(xiàn)位于不同網(wǎng)段的無線控制器。瘦AP為即插即用設(shè)備，瘦AP加電后，自動(dòng)發(fā)現(xiàn)無線控制器，并且注冊(cè)到控制器上才能為無線客戶端提供無線服務(wù)。瘦AP和無線控制器之間建立CAPWAP隧道，無線客戶端的流量到達(dá)AP后，通過CAPWAP隧道到達(dá)無線控制器，在通過無線控制器根據(jù)內(nèi)外網(wǎng)流量通過不同物理端口到醫(yī)院內(nèi)網(wǎng)或者外網(wǎng)。無線控制器采用N+1備份，通過2臺(tái)主用控制器和1臺(tái)備用控制器組成一個(gè)冗余的集群。6號(hào)樓綜合病區(qū)大樓的AP關(guān)聯(lián)到無線控制器1上，急診中心和5號(hào)樓的AP關(guān)聯(lián)到無線控制器2上，在任何一臺(tái)控制器出現(xiàn)故障時(shí)，這個(gè)控制器上的AP可以快速切換到備用控制器上。 無線網(wǎng)絡(luò)覆蓋總體設(shè)計(jì)以及AP選型此次無線網(wǎng)絡(luò)接入覆蓋范圍為:根據(jù)實(shí)際需求將室內(nèi)型雙頻AP覆蓋在各個(gè)點(diǎn)，交換機(jī)的POE網(wǎng)線將數(shù)據(jù)和電源提供給各AP。AP動(dòng)態(tài)獲得IP地址，并讓AP和所