【正文】 第6章. Aruba智慧商業(yè)案例分享請(qǐng)參見“”第7章. ARUBA產(chǎn)品技術(shù)指標(biāo)請(qǐng)參見aruba相關(guān)產(chǎn)品datasheet第65頁。 成功通過測(cè)試并獲得美國(guó)市場(chǎng)和加拿大市場(chǎng)認(rèn)證的產(chǎn)品將獲得 cTUVus 標(biāo)識(shí),表示該產(chǎn)品可以同時(shí)滿足兩國(guó)的規(guī)范。 提供最專業(yè)的高密度覆蓋經(jīng)驗(yàn)和技術(shù)咨詢. 建設(shè)綠色WLAN網(wǎng)絡(luò)TUV 國(guó)際認(rèn)證標(biāo)準(zhǔn): cTUVus Aruba 無線網(wǎng)絡(luò)產(chǎn)品經(jīng)過了最嚴(yán)苛的美國(guó)職業(yè)安全與健康管理局(OSHA) 授權(quán)的全國(guó)公認(rèn)測(cè)試實(shí)驗(yàn)室(Nationally Recognized Testing Laboratory) NRTL對(duì)特定的產(chǎn)品或材料進(jìn) 行測(cè)定,并擔(dān)保這些產(chǎn)品或材料滿足 OSHA 所要求的相關(guān)安全標(biāo)準(zhǔn),以確保這些產(chǎn)品在美國(guó)市場(chǎng)的使用是足夠安全的。 提供最領(lǐng)先的專業(yè)的高密度覆蓋高性能apAruba ClearPass系統(tǒng)在不改變現(xiàn)有無線網(wǎng)絡(luò)架構(gòu)的基礎(chǔ)上，已經(jīng)準(zhǔn)備好了為下一代無線網(wǎng)絡(luò)基于用戶的身份、位置、應(yīng)用及終端信息，給出符合的安全訪問策略，為實(shí)現(xiàn)下一代無線網(wǎng)絡(luò)的可視性、可控性、可靠性做好準(zhǔn)備。Aruba ClearPass系統(tǒng)結(jié)合Aruba無線平臺(tái)， 利用APP應(yīng)用的廣告消息推送業(yè)務(wù)，讓消費(fèi)者第一時(shí)間掌握自己周邊的商家促銷打折信息，可以將電商上使用的秒殺促銷功能移植到影院里來，提升客流，引導(dǎo)影院附加消費(fèi)。無線控制器：網(wǎng)絡(luò)管理系統(tǒng)Airwave：. 豐富的第三方系統(tǒng)集成API Aruba無線控制器AC、網(wǎng)絡(luò)管理系統(tǒng)Airwave、接入管理系統(tǒng)ClearPass提供豐富的API接口，可用于和第三方應(yīng)用系統(tǒng)集成： Aruba控制器可提供以下接口定義類型：1. 用戶認(rèn)證角色狀態(tài)類定義XML API，用于接口第三方網(wǎng)管，可以改變用戶的權(quán)限，創(chuàng)建/刪除新用戶等2. SNMP網(wǎng)管定義接口，基于MIB的狀態(tài)和基于Traps觸發(fā)類應(yīng)用3. Location 接口定義4. Syslog 接口定義,用于消息觸發(fā)類策略應(yīng)用5. 標(biāo)準(zhǔn)Radius、LDAP、TACAS接口 Airwave可提供以下接口定義類型：1. 設(shè)備/用戶狀態(tài)類定義API，用于接口第三方網(wǎng)管2. Visual RF 接口定義，包含無線區(qū)域熱圖與地理圖信息3. Location 接口定義4. 基于SNMP的外置接口定義 ClearPass API接口定義： ClearPass的開發(fā)接口主要用于對(duì)于用戶數(shù)據(jù)的修改，一般與第三方的管理平臺(tái)連接，如影院的VIP系統(tǒng)等，ClearPass可提供兩類接口定義類型：1. XML接口2. SOAP接口結(jié)合大型商業(yè)廣場(chǎng)、購(gòu)物中心、零售業(yè)的行業(yè)特點(diǎn)，Aruba可提供如下優(yōu)勢(shì)：能夠與APP交互，實(shí)現(xiàn)顧客注冊(cè)、自助服務(wù)、身份認(rèn)證、影院應(yīng)用等多種功能。 防火墻策略與無線接入服務(wù)聯(lián)動(dòng)ARUBA控制器內(nèi)置的用戶角色防火墻不僅可以提供最全面和最精細(xì)的防火墻策略控制功能，而且還可以進(jìn)一步實(shí)現(xiàn)與無線接入服務(wù)之間的聯(lián)動(dòng)。此外，ARUBA控制器內(nèi)置的用戶狀態(tài)防火墻還可以提供更加精細(xì)的安全控制顆粒度，不同的安全策略、帶寬特性不僅可以實(shí)施到不同的物理端口和VLAN，而且還可以進(jìn)一步實(shí)施到同一VLAN中的不同用戶，從而使同一VLAN中的不同用戶也可以擁有截然不同的訪問權(quán)限，使得用戶安全策略部署的靈活性得以極大提高。通過這一功能，ARUBA的無線AP可以在提供無線接入服務(wù)的同時(shí)，作為一個(gè)無線入侵檢測(cè)的探測(cè)器，對(duì)無線射頻環(huán)境中的非法設(shè)備和異常行為進(jìn)行實(shí)時(shí)掃描，從而能夠及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)中存在無線攻擊和入侵行為，并自動(dòng)予以壓制和阻止。. 全方位網(wǎng)絡(luò)安全防護(hù)－完全符合PCI DSS標(biāo)準(zhǔn) 作為業(yè)界最為領(lǐng)先的無線網(wǎng)絡(luò)，ARUBA不僅在無線網(wǎng)絡(luò)性能上擁有突出的技術(shù)優(yōu)勢(shì)。對(duì)網(wǎng)絡(luò)維護(hù)中心而言，速度和簡(jiǎn)單性意義重大，而無線網(wǎng)管高效、 易用的界面使他們可以隨手使用所需的所有信息。無線網(wǎng)管的搜索功能需要可以使網(wǎng)絡(luò)維護(hù)中心人員根據(jù) 用戶名查找用戶（而不必查找其設(shè)備的 MAC 地址或首先嘗試確定 IP 地址）， 點(diǎn)擊一個(gè) web 鏈接就能觀看有關(guān)用戶會(huì)話、漫游歷史等的準(zhǔn)確實(shí)時(shí)信息。 l 有線無線統(tǒng)一管理 影院統(tǒng)一的認(rèn)證和計(jì)費(fèi)系統(tǒng)應(yīng)支持對(duì)無線和有線接入用戶的認(rèn)證、授權(quán)、接入設(shè)備管理等進(jìn)行統(tǒng)一的配置和維護(hù)。 l 位置信息 有時(shí)候，為了準(zhǔn)確地診斷和解決某個(gè)無線問題，需要了解射頻環(huán)境中的實(shí)際動(dòng)態(tài)：連接到某個(gè)接入點(diǎn)的用戶是否過多？用戶是否處在覆蓋盲區(qū)？臨近接入點(diǎn)是否有干擾？無線網(wǎng)管應(yīng)能讓技術(shù)支持人員隨時(shí)使用所有這些信息。還需要追溯到數(shù)月或數(shù)年前的趨勢(shì)數(shù)據(jù)，以確定當(dāng)前條件與以前水平的對(duì)比情況以及不斷變化的使用模式可能對(duì)網(wǎng)絡(luò)性能造成的影響。網(wǎng)管的控制面板可以迅速到達(dá)單個(gè)用戶視圖，從而檢查該用戶的射頻信號(hào)強(qiáng)度、帶寬使用和一年的漫游歷史。接入點(diǎn)級(jí)視圖可以精確地顯示有多少用戶連接到接入點(diǎn)、這些用戶是誰、他們目前使用的帶寬是多少，甚至提供圖形來描述與過去一天、一周、一月和一年的對(duì)比。因此無線網(wǎng)管最重要的功能就是讓網(wǎng)管人員隨時(shí)使用所需的所有信息，并能幫助維護(hù)人員快速找到網(wǎng)絡(luò)中任何地方的用戶或設(shè)備。. 定位與檢測(cè)無線入侵和非法攔截網(wǎng)管人員可方便查看到是否有非法 AP在傳輸網(wǎng)內(nèi)，亦可開啟自動(dòng)保護(hù)機(jī)制，阻止無線終端通過非法 AP 連接到傳輸網(wǎng)內(nèi)，同時(shí)網(wǎng)管人員應(yīng)能方便地定位到該非法AP。為了解決這一問題，ARUBA提供兩種技術(shù)手段對(duì)網(wǎng)絡(luò)進(jìn)行優(yōu)化：u VLAN Pool技術(shù)通過VLAN Pool技術(shù)，可以在ARUBA無線控制器上為一個(gè)SSID映射多個(gè)VLAN，當(dāng)無線用戶連接這個(gè)SSID時(shí)，ARUBA無線控制器會(huì)通過Hash算法將無線終端負(fù)載均衡地分配到所對(duì)應(yīng)的多個(gè)VLAN，從而大大減小了廣播域的范圍u 廣播過濾技術(shù)ARUBA無線控制器憑借其強(qiáng)大的硬件處理能力，還能夠提供廣播過濾技術(shù)，通過該技術(shù)對(duì)網(wǎng)絡(luò)中的廣播包進(jìn)行過濾，使得(1)DHCP廣播允許通過；(2)ARP廣播轉(zhuǎn)換為單播后只在相關(guān)AP上發(fā)送；(3)屏蔽其它不必要的廣播包。但是由于大多數(shù)無線局域網(wǎng)廠商都只能做到1個(gè)SSID對(duì)應(yīng)1個(gè)VLAN，這樣的帶來的問題就是，當(dāng)建設(shè)一個(gè)大規(guī)模的無線影院網(wǎng)的時(shí)候，為了能夠允許更多的無線用戶同時(shí)連接這個(gè)SSID，必須提高這個(gè)SSID所映射VLAN的IP子網(wǎng)規(guī)模，比如一個(gè)若干個(gè)C類地址甚至是B類地址。. 網(wǎng)絡(luò)性能優(yōu)化設(shè)計(jì)由于某數(shù)字影院具有占地面積廣、網(wǎng)絡(luò)用戶多的特點(diǎn)，如何對(duì)網(wǎng)絡(luò)進(jìn)行優(yōu)化、降低不必要的廣播流量、提升網(wǎng)絡(luò)整體性能是無線網(wǎng)絡(luò)設(shè)計(jì)中必不可少的一個(gè)環(huán)節(jié)。l 對(duì)安全要求更高的用戶也可以采用VPN的模式，在加密的基礎(chǔ)之上再加一層VPN網(wǎng)絡(luò)。準(zhǔn)入檢查可以檢查終端操作系統(tǒng)的安全狀態(tài)，諸如系統(tǒng)打補(bǔ)丁的情況、安裝防病毒軟件的情況、以及防病毒定義碼升級(jí)的情況，并設(shè)置安全策略是否準(zhǔn)予進(jìn)入網(wǎng)絡(luò)。l 認(rèn)證系統(tǒng)支持： ARUBA無線系統(tǒng)支持多種認(rèn)證系統(tǒng)，諸如Radius、LDAP、微軟的AD（活動(dòng)目錄）和在ARUBA無線控制器內(nèi)部的Internal DB等等。網(wǎng)管可以設(shè)定用戶進(jìn)入黑名單的時(shí)間長(zhǎng)短以及門限閥值。l 帶寬控制：可以對(duì)每個(gè)用戶設(shè)定其可以使用的帶寬，一方面可以限制其對(duì)網(wǎng)絡(luò)資源的占有，另一方面，當(dāng)該客戶端中了病毒以后，其病毒發(fā)作時(shí)不會(huì)占用網(wǎng)絡(luò)全部的帶寬。l 用戶的Role（角色）：每一類用戶可以建立一個(gè)相關(guān)的Role，每個(gè)Role有一個(gè)用戶狀態(tài)防火墻的設(shè)定和帶寬控制的設(shè)定，這樣我們就可以將設(shè)定的安全策略加載到每個(gè)用戶身上。、半雙工的網(wǎng)絡(luò)，因此為了提高用戶的服務(wù)水平，無線網(wǎng)絡(luò)的用戶帶寬保證尤為重要。所有這些在配置、使用和管理上都非常符合的某數(shù)字影院網(wǎng)絡(luò)中心的網(wǎng)絡(luò)管理需求。內(nèi)部員工具有較高的權(quán)限，可以訪問更多的影院資源，或者對(duì)某些特殊的來賓開放某些VIP賬號(hào)，分配給其較高權(quán)限的role。ARUBA的基于用戶狀態(tài)的防火墻則是與用戶認(rèn)證捆綁在一起，當(dāng)無線用戶成功通過認(rèn)證后，他會(huì)獲得一個(gè)預(yù)設(shè)的防火墻策略，不同的無線用戶有不同的防火墻策略，例如一個(gè)用戶可以使用WEB的服務(wù)，而另一用戶則可用FTP。用戶狀態(tài)訪防火墻是ARUBA無線控制器的獨(dú)特功能，它本身就是針對(duì)無線接入的特性而設(shè)計(jì)。這是傳統(tǒng)無線網(wǎng)絡(luò)所不能做的。當(dāng)在這個(gè)系統(tǒng)環(huán)境中尋找?guī)в袩o線終端的影院顧客和員工等的所在位置時(shí)，例如非法用戶或WiFi 手機(jī)，在交換機(jī)內(nèi)無線終端的記錄表內(nèi)找到了終端的網(wǎng)絡(luò)地址后，可按“定位”鈕，則網(wǎng)管界面會(huì)彈出在RF Planning上終端在圖紙中的物理位置。ARUBA 獨(dú)特的無線射頻特性是可跟蹤在無線網(wǎng)絡(luò)內(nèi)所有WiFi終端的位置，如PDA, WiFi手機(jī)，和筆記本等。要做到一個(gè)真正自動(dòng)的保護(hù)機(jī)制就必須能正確識(shí)別所有在影院范圍內(nèi)檢測(cè)出來的AP身份。若要尋查非法AP的位置所在，只需在界面按“定位”這按鈕，非法AP的位置就會(huì)顯示在影院辦公室的圖紙上（用戶必須預(yù)先把無線網(wǎng)絡(luò)的結(jié)構(gòu)圖輸入ARUBA交換機(jī)內(nèi)的RF Planning 系統(tǒng)），網(wǎng)絡(luò)管理人員就可根據(jù)圖表顯示的位置找到這AP。這些非法的無線接入電會(huì)被周邊最接近的ARUBA DeAuth包所切斷。檢測(cè)無線入侵和非法攔截和定位通過ARUBA 交換機(jī)的中心化網(wǎng)管界面，影院網(wǎng)管中心便可查看到在網(wǎng)內(nèi)是否有非法AP。這種模式在影院內(nèi)部署會(huì)對(duì)用戶的內(nèi)網(wǎng)訪問有很多限制，缺乏靈活性，所以是很難被用戶廣泛接受，只可在小范圍或小規(guī)模的情況下實(shí)現(xiàn)。從因特網(wǎng)進(jìn)入影院內(nèi)網(wǎng)和影院內(nèi)部的無線接入的最大區(qū)別在于后者是可對(duì)用戶做認(rèn)證，但前者是不可能實(shí)現(xiàn)。且未來如要增加多一些AP接入點(diǎn)的話，亦同樣需要在局域網(wǎng)的接入層，匯聚層做很多改動(dòng)。這種方式在具體實(shí)施時(shí)有一定的困難，只能局限在傳輸網(wǎng)內(nèi)的某些范圍，因無線用戶/終端必需集中在同一VLAN上處理，否則的話很難把它們匯聚到一個(gè)DMZ內(nèi)。并且網(wǎng)絡(luò)防火墻是不能防止無線終端之間的通信，所以萬一有無線終端被病毒感染或黑客在無線發(fā)起攻擊的話，它都很會(huì)容易散播到其它的無線終端及整個(gè)傳輸網(wǎng)絡(luò)內(nèi)的其它網(wǎng)點(diǎn)。截至到去年大會(huì)，沒有一個(gè)黑客能突破ARUBA的無線安全網(wǎng)絡(luò)。下面我們將從多個(gè)層面來闡述ARUBA設(shè)備如何保護(hù)整個(gè)無線網(wǎng)絡(luò)安全。. 無線安全性設(shè)計(jì)而對(duì)于無線網(wǎng)絡(luò)而言，由于其利用空中載波信道作為傳輸載體，其物理層與數(shù)據(jù)鏈路層工作原理與有線網(wǎng)絡(luò)有所不同，其所遵循的安全策略也與有線網(wǎng)絡(luò)截然不同。無線用戶已漫游到另一個(gè)IP子網(wǎng)，但它仍可以原有的IP地址繼續(xù)在新的AP上入網(wǎng)。 當(dāng)無線終端從一個(gè)AP的IP子網(wǎng)漫游到另一個(gè)AP的IP子網(wǎng)時(shí)，它重新發(fā)出的DHCP請(qǐng)求，會(huì)從AP端的ARUBA 無線控制器轉(zhuǎn)發(fā)到原有子網(wǎng)的無線控制器(用戶從那一個(gè)AP獲取它的IP地址)。這是一般網(wǎng)絡(luò)管理人員不愿意做的事情，因?yàn)樗鼈兙捅仨氈С趾途S護(hù)用戶的無線接入端。所以當(dāng)無線終端從一個(gè)AP漫游到另一AP時(shí)，由于它們之間的缺省IP子網(wǎng)不同，無線終端會(huì)重新發(fā)出DHCP請(qǐng)求，這樣的話終端的IP地址就會(huì)更新，所有在原先AP建立的連接都會(huì)被切斷。如下圖所示：. 無縫漫游切換設(shè)計(jì)無線用戶移動(dòng)漫游，涉及到多個(gè)層次的漫游，最為簡(jiǎn)單的是二層漫游，其他廠家產(chǎn)品都表現(xiàn)不錯(cuò)，三層漫游就困難多了，還有當(dāng)用戶跨越多個(gè)域時(shí)怎樣無縫漫游，ARUBA無線局域網(wǎng)可以實(shí)現(xiàn)快速無縫漫游功能。智能負(fù)載均衡無線控制器可以設(shè)定AP間對(duì)接入用戶進(jìn)行負(fù)載分擔(dān)，負(fù)載分擔(dān)的策略可以是基于AP接入的用戶數(shù)量，AP流量負(fù)載情況；當(dāng)無線控制器