【正文】 無(wú)線系統(tǒng)的時(shí)候，網(wǎng)管人員可把部署的圖紙輸入到 ARUBA無(wú)線交換機(jī)內(nèi)的 RF Planning 系統(tǒng)，然后把 AP 安裝的物理位置輸入到圖紙上的座標(biāo)或具體的位置上。如果把隔壁公司所安裝和使用的 AP 視為非法 AP 的話，很容易就會(huì)把它們正常的無(wú)線連接打斷，間接變成 DOS 攻擊其它企業(yè)的網(wǎng)絡(luò)。 ARUBA 的自動(dòng)保護(hù)系統(tǒng)是市場(chǎng)上最卓越和最全面的無(wú)線網(wǎng)絡(luò)安全保護(hù)工具。 DeAuth 包會(huì)不停地發(fā)出直到在線的無(wú)線終端的無(wú)線連接被打斷為止。網(wǎng)管人員亦可開(kāi)啟自動(dòng)保護(hù)機(jī)制，阻止無(wú)線終端通過(guò)非法 AP 連接到傳輸網(wǎng)內(nèi)。而由于 ARUBA 的解決方案所有的密鑰均存儲(chǔ)于 ARUBA 無(wú)線控制器中，因此在用戶在 AP 之間漫游，根本無(wú)需交換密鑰，從而加速了加密用戶的漫游速度。而且在采用 加密時(shí)候，能夠更快更好的做到用戶漫游切換。 無(wú)線局域網(wǎng)的認(rèn)證和加密 ARUBA和其它廠家在認(rèn)證和加密上的最大區(qū)別在于 ARUBA的解決方案都不是通過(guò) AP來(lái)實(shí)現(xiàn)的，而是在 ARUBA 交換機(jī)上實(shí)現(xiàn)。這種模式在企業(yè)內(nèi)部署會(huì)對(duì)用戶的內(nèi)網(wǎng)訪問(wèn)有很多限制，缺乏靈 活性，所以是很難被用戶廣泛接受，只可在小范圍或小規(guī)模的情況下實(shí)現(xiàn)。從因特網(wǎng)進(jìn)入學(xué)校內(nèi)網(wǎng)和校園內(nèi)部的無(wú)線接入的最大區(qū)別在于后者是可對(duì)用戶做認(rèn)證，但前者是不可能實(shí)現(xiàn)。并且網(wǎng)絡(luò)防火墻是不能防止無(wú)線終端之間的通信，所以萬(wàn)一有無(wú)線終端被病毒感染或黑客在 無(wú)線發(fā)起攻擊的話，它都很會(huì)容易散播到其它的無(wú)線終端及整個(gè)傳輸網(wǎng)絡(luò)內(nèi)的其它網(wǎng)點(diǎn)。 ARUBA 公司和第三方的防病毒墻廠家合作，在 ARUBA 無(wú)線交換機(jī)上可以設(shè)定策略， 杭州市委黨校 WLAN 無(wú)線網(wǎng)絡(luò)方案建議書(shū) 浙江貝爾技術(shù)有限公司 杭州市西湖區(qū)西斗門(mén)路 6 號(hào) 13 / 30 某些用戶，以及某些可能沾染病毒的數(shù)據(jù)， ARUBA 交換機(jī)會(huì)將其重定向到防病毒墻上進(jìn)行防病毒檢查，檢查完成后，才允許通過(guò)，否則會(huì)將數(shù)據(jù)丟棄。 無(wú)線終端病毒防護(hù)的第一步是準(zhǔn)入檢查，當(dāng)無(wú)線終端連接到 ARUBA 無(wú)線系統(tǒng)中，試圖訪問(wèn)網(wǎng)絡(luò)，在用戶認(rèn)證之前，需要下載一個(gè)基于 JAVA 的程序，可以對(duì)無(wú)線終端的操作系統(tǒng)打補(bǔ)丁的情況、安裝防病毒軟件的情況、以及防病毒定義碼升級(jí)的情況，做一個(gè)檢查，如果不能通過(guò)檢查，可以設(shè)定策略禁止其訪問(wèn)網(wǎng)絡(luò)，也可設(shè)置成將無(wú)線用戶重定向到一臺(tái)升級(jí)服務(wù)器，打系統(tǒng)補(bǔ)丁、安裝防病毒軟件和升級(jí)病毒定義碼，滿足系統(tǒng)制定的安全策略以后，該無(wú)線終端才可以進(jìn)入認(rèn)證環(huán)節(jié)進(jìn)行用戶的認(rèn)證。 ARUBA 無(wú)線系統(tǒng)的特點(diǎn)是交換機(jī)由專有的網(wǎng)絡(luò)處理器和加密處理器組成，且內(nèi)置一個(gè)無(wú)線入侵模式庫(kù)，實(shí)時(shí)檢測(cè)異常的無(wú)線數(shù)據(jù)包，當(dāng) ARUBA 無(wú)線系統(tǒng)偵測(cè)出有入侵時(shí)，它會(huì)記錄和顯示入侵的格式，并對(duì)入侵做出自動(dòng)保護(hù)響應(yīng)。 ? 無(wú)線網(wǎng)絡(luò)入侵偵測(cè) IDS 目前 絕大部分的無(wú)線局域網(wǎng)都沒(méi)有偵測(cè)無(wú)線入侵的功能，所以當(dāng)受到像無(wú)線 DOS 攻擊時(shí)，就會(huì)誤以為是無(wú)線電波 的信號(hào)受干擾或 AP 出現(xiàn)不穩(wěn)定情況。 ? 無(wú)線接入點(diǎn)安全偵測(cè)和保護(hù) 采用 ARUBA 無(wú)線系統(tǒng)的 RF 偵測(cè)功能和保護(hù)機(jī)制可以實(shí)時(shí)監(jiān)測(cè)校園無(wú)線網(wǎng)覆蓋區(qū)域內(nèi)的所有 AP接入情況 ,如相鄰房間的 AP、設(shè)置錯(cuò)誤的 AP 以及未經(jīng)認(rèn)可而連接到網(wǎng)絡(luò)中的 AP。 杭州市委黨校 WLAN 無(wú)線網(wǎng)絡(luò)方案建議書(shū) 浙江貝爾技術(shù)有限公司 杭州市西湖區(qū)西斗門(mén)路 6 號(hào) 12 / 30 ? 安全的 AP 技術(shù) ARUBA 無(wú)線系統(tǒng)和其它廠家在無(wú)線接入的認(rèn)證和加密上最大的區(qū)別是前者不是通過(guò) AP，而是在ARUBA 無(wú)線交換機(jī)上實(shí)現(xiàn)。傳統(tǒng)的網(wǎng)絡(luò)防火墻是沒(méi)有用戶這概念，它的保護(hù)只是基于 IP 地址或物理端口來(lái) 制定防火墻策略，所以對(duì)于沒(méi)有固定接入點(diǎn)的無(wú)線終端，這種防火墻的功效是不大。 ARUBA 無(wú)線系統(tǒng)支持目前各種用戶認(rèn)證的方式（ 、 WEB 認(rèn)證、 MAC、SSID 等）。 ? 集中的安全管理 ARUBA 無(wú)線系統(tǒng)的安全管理是將防火墻、 VPN、安全認(rèn)證、防病毒、無(wú)線入侵監(jiān)測(cè) IDS 以及 RF 電磁波管理等多項(xiàng)安全功能匯聚到 ARUBA 無(wú)線交換機(jī)上來(lái)完成的，解決了傳統(tǒng)的無(wú)線網(wǎng)對(duì)安全的分散管理（ AP、 AC）和能力，給用戶帶來(lái)的不安全感，擺脫 了對(duì)有線網(wǎng)安全的依賴性。當(dāng)某一覆蓋范圍內(nèi)的無(wú)線電波改變，如出現(xiàn)干擾 AP 所發(fā)出的電波或其它應(yīng)用所發(fā)出 的電波等， ARUBA 無(wú)線控制器就會(huì)把所獲取的無(wú)線電波資料做分析，以確定是否需要調(diào)整這范圍內(nèi) AP 的無(wú)線電波。 ARUBA 系統(tǒng)的 RF 智能控管可以自動(dòng)調(diào)節(jié)網(wǎng)上所有 ARUBA AP 的電波特性。 圖 智能無(wú)線射頻管理示 意 杭州市委黨校 WLAN 無(wú)線網(wǎng)絡(luò)方案建議書(shū) 浙江貝爾技術(shù)有限公司 杭州市西湖區(qū)西斗門(mén)路 6 號(hào) 11 / 30 初次安裝無(wú)線局域網(wǎng)時(shí)，用戶可通過(guò) RF Planning 的 Auto Calibration 功能來(lái)自動(dòng)調(diào)節(jié)整個(gè)無(wú)線網(wǎng)上所有 AP 的無(wú)線電波頻率和功率。當(dāng)使用者來(lái) 到無(wú)線覆蓋區(qū)域的時(shí)候，開(kāi)啟筆記本電腦的無(wú)線網(wǎng)絡(luò)，可以搜尋并且連接 杭州市委黨校 的無(wú)線網(wǎng)絡(luò)系統(tǒng)，當(dāng)打開(kāi) IE 等網(wǎng)絡(luò)瀏覽器的時(shí)候 ，會(huì)自動(dòng)彈出 ARUBA 的網(wǎng)頁(yè)認(rèn)證界面（界面可完全客戶化，根據(jù)客戶要求隨意定制）， 使用者 需要填寫(xiě)帳號(hào)名和密碼，通過(guò)認(rèn)證之后能夠接入 杭州市委黨校的無(wú)線網(wǎng)絡(luò)，訪問(wèn)更多的 Inter 資源。 SSID 的最主要用途是可讓無(wú)線終端以不同的安全認(rèn)證和加密方式入網(wǎng)。在一個(gè)無(wú)線局域網(wǎng)內(nèi)可以設(shè)置多個(gè) SSID，例如一個(gè) SSID 可給內(nèi)部員工所用，而另一個(gè)可給外來(lái)的客戶專用。 多業(yè)務(wù)區(qū)分設(shè)計(jì) 使用無(wú)線網(wǎng)絡(luò)可以分為不同的無(wú)線接入業(yè)務(wù)類(lèi)型。 所有的移動(dòng)客戶均通過(guò)連接 PHS 室分系統(tǒng)接入 無(wú)線局域網(wǎng)接入點(diǎn) AP，并 通過(guò)無(wú)線局域網(wǎng)接入點(diǎn)與無(wú)線局域網(wǎng)安全交換機(jī)之間的加密連接，經(jīng)過(guò)無(wú)線安全交換機(jī)接入到 杭州市委黨校 局域網(wǎng)。 杭州市委黨校 WLAN 無(wú)線網(wǎng)絡(luò)方案建議書(shū) 浙江貝爾技術(shù)有限公司 杭州市西湖區(qū)西斗門(mén)路 6 號(hào) 9 / 30 整個(gè)方案的設(shè)備配置清單如表 2 所示。 表一、 杭州市委黨校 AP 覆蓋信息表 教研樓、圖書(shū)館（除 1 樓大會(huì)場(chǎng)、南樓 1 樓）、綜合樓 每個(gè)樓層分別配置 1 套 Aruba AP60 安裝在弱電井作為 WLAN 無(wú)線接入點(diǎn)， AP60 通過(guò)跳線接入到 PHS/WLAN 合路器，然后接入大樓的 PHS室分網(wǎng)絡(luò)內(nèi)。 配置 1 套 Aruba AC2400 WLAN 安全交換器對(duì)所有的 AP 進(jìn)行管理與控制，并通過(guò)光纖接入到核心交換機(jī)。主要構(gòu)件包括若干多模接入點(diǎn)（ AP）、 WLAN 安全交換機(jī)組合在整個(gè)無(wú)線移動(dòng)解決方案中。 建議接入交換機(jī)采用千兆以太網(wǎng)鏈路與匯聚交換機(jī)相連接。接入建議采用 POE 交換式快速以太網(wǎng)絡(luò)實(shí)現(xiàn) 10/100M 接入，為無(wú)線 AP 提供 POE 供電，接入節(jié)點(diǎn)的主要作用是 WLAN AP 的接入，為 AP 提供上聯(lián)通道。 設(shè)計(jì)方案概述 杭州市委黨校 無(wú)線網(wǎng)絡(luò)拓?fù)淙鐖D 1 所示。用戶可用支持 wifi 的終端在校園提供無(wú)線覆蓋的任何區(qū) 域，實(shí)時(shí)提供高可靠高清晰的視頻服務(wù)。為了提供最佳用戶體驗(yàn)，該接入點(diǎn)根據(jù) AAA制定的服務(wù)質(zhì)量 (QoS)策略、 SVP 或區(qū)分服務(wù)（ DiffServ）分類(lèi)，將數(shù)據(jù)流量劃分為多種用戶和用戶群隊(duì)列。由于所有的用戶信息均由位于網(wǎng)絡(luò)中心的無(wú)線局域網(wǎng)安全交換機(jī)來(lái)控制，因此 所有的移動(dòng)用戶無(wú)論處于 校園 的哪個(gè)樓層，均可以獲得相同的訪問(wèn)控制屬性（根據(jù)用戶策略，也可以設(shè)置為不同的訪問(wèn)控制屬性），并實(shí)現(xiàn)在整個(gè) 校園 內(nèi)部的無(wú)縫漫游。 配置在網(wǎng)絡(luò)中心的無(wú)線局域網(wǎng)安全交換機(jī)可以提供千兆以太網(wǎng)接口 （未來(lái)可升級(jí)到 10G） ，并通過(guò)這些千兆以太網(wǎng)接口接入核心路由交換機(jī)；同時(shí)，各樓層配置的無(wú)線局域網(wǎng)接入點(diǎn) AP 均通過(guò) POE接口從各樓層配線間的以太網(wǎng)供電交換機(jī)上獲得電源，并通過(guò)該接口接入 有線 局域網(wǎng)。 WLAN 安全交換機(jī)可將他們放置在適當(dāng)?shù)木W(wǎng)絡(luò) VLAN 和子網(wǎng)。 在移動(dòng)域中，當(dāng)每個(gè)用戶從一個(gè)接入點(diǎn)漫游到另一個(gè)接入點(diǎn)時(shí)，其安全性、服務(wù)質(zhì)量（ QoS）和接入策略一直追蹤他們。然后，這些接入點(diǎn)再創(chuàng)建一個(gè)移動(dòng)用戶可自由漫游的 服務(wù)域。主要構(gòu)件包括若干多模 接入點(diǎn)（ AP）、 WLAN 安全交換機(jī)組合在整個(gè)無(wú)線移動(dòng)解決方案中。 接入交換機(jī) 建議 采用 1～ 2 條千兆以太網(wǎng)鏈路與 匯聚全光纖 交換機(jī)相連接。 接入節(jié)點(diǎn)的主要作用是 WLAN AP 的接入，為 AP 提供上聯(lián)通道。 杭州市委黨校 WLAN 無(wú)線網(wǎng)絡(luò)方案建議書(shū) 浙江貝爾技術(shù)有限公司 杭州市西湖區(qū)西斗門(mén)路 6 號(hào) 4 / 30 2. 杭州市委黨校 無(wú)線網(wǎng)絡(luò)系統(tǒng)詳細(xì)設(shè)計(jì) 概述 本方案中， 有 線數(shù)據(jù)局域網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)為星型拓?fù)浣Y(jié)構(gòu)， 節(jié)點(diǎn)之間 建議 采用以光纖為物理通道，多個(gè)千兆 以太網(wǎng) 接口相互捆綁作為網(wǎng)絡(luò)主干，實(shí)現(xiàn)業(yè)務(wù)數(shù)據(jù)流在匯聚 層節(jié)點(diǎn)之間的快速傳輸與交換。其工作量在有一定數(shù)量 AP 的無(wú)線網(wǎng)里是非常大和煩瑣的，而且無(wú)線局域網(wǎng)是一個(gè)整體系統(tǒng)， AP 之間必須相互協(xié)調(diào)工作，單獨(dú)改變一個(gè) AP 參數(shù)和配置會(huì)引起AP 之間的無(wú)線電波干擾，用戶漫游 重認(rèn)證和授權(quán)也可能會(huì)產(chǎn)生問(wèn)題。從 RF 覆蓋面，帶寬，用戶的認(rèn)證，以及接入的安全都要考慮。 作為第三代的 ARUBA 無(wú)線系統(tǒng)采用了 Wireless Switch＋ AP 構(gòu)架，將密集型的無(wú)線網(wǎng)絡(luò)和安全處理功能轉(zhuǎn)移到集中的 WLAN 交換機(jī)中實(shí)現(xiàn)，同時(shí)加入了許多重要新功能，諸如無(wú)線網(wǎng)管、 AP 間自適應(yīng)、無(wú)線安全管理、 RF 監(jiān)測(cè)、無(wú)縫漫游以及 QoS 保證等。另外由于 AC 或無(wú)線網(wǎng)關(guān)的硬件多數(shù)是基于 Pentium 架構(gòu)的，所以當(dāng)用戶接入數(shù)量增多時(shí)，無(wú)線網(wǎng)的性能會(huì)急劇下降，時(shí)常會(huì)發(fā)生掉線或死機(jī)情況。 第二代無(wú)線局域網(wǎng)技術(shù)，采用 AC＋智能 AP 構(gòu)架， AC 兩者實(shí)質(zhì)均為二層設(shè)備， AP 實(shí)現(xiàn)接入、AC 實(shí)現(xiàn)匯聚和認(rèn)證功能，有的廠商的 AC 實(shí)現(xiàn)了二層網(wǎng)絡(luò)交換，具有基本的網(wǎng)絡(luò)的控制和用戶的管理， 但 無(wú)法實(shí)現(xiàn)對(duì)無(wú)線電磁波層面的調(diào)控和優(yōu)化。 ARUBA 第三代無(wú)線 網(wǎng)絡(luò) 系統(tǒng) 無(wú)線局域網(wǎng)技術(shù)經(jīng)過(guò)十幾年的發(fā)展，已經(jīng)歷了三代技術(shù)及產(chǎn)品的發(fā)展。完全從目前的應(yīng)用需求出發(fā)，設(shè)計(jì)既能夠滿足目前的應(yīng)用需求又能面向未 杭州市委黨校 WLAN 無(wú)線網(wǎng)絡(luò)方案建議書(shū) 浙江貝爾技術(shù)有限公司 杭州市西湖區(qū)西斗門(mén)路 6 號(hào) 3 / 30 來(lái)的應(yīng)用需求升級(jí)的網(wǎng)絡(luò)系統(tǒng)方案，同時(shí)又要保證提供服務(wù)時(shí)的經(jīng)濟(jì)性。無(wú)線網(wǎng)絡(luò)體系結(jié)構(gòu)與系統(tǒng)應(yīng)用相互獨(dú)立，支持各種通訊協(xié)議，各種數(shù)據(jù)庫(kù)和客戶機(jī) /服務(wù)器應(yīng)用，與現(xiàn)有的 LAN 網(wǎng)絡(luò)系統(tǒng)無(wú)縫地集成。 6） 開(kāi)放性。應(yīng)用的不斷發(fā)展要求網(wǎng)絡(luò)在性能、協(xié)議、網(wǎng)絡(luò)拓?fù)浼案鞣N業(yè)務(wù)等方面具備很好的可擴(kuò)展性。無(wú)線網(wǎng)絡(luò)系統(tǒng)應(yīng)提供一套完整的安全防范措施，能夠有效地防止系統(tǒng)外部人員的非法侵入。 4） 安全性。 3） 可管理性。無(wú)線網(wǎng)絡(luò)系統(tǒng)具有較高的可靠性和可用性，具有強(qiáng)大的容錯(cuò)功能，以保證各種應(yīng)用的正常運(yùn)行。無(wú)線網(wǎng)絡(luò)系統(tǒng)能夠適應(yīng)今后高帶寬的要求，滿足日益增長(zhǎng)的業(yè)務(wù)量需求，這些需求不但包括今后巨大的業(yè)務(wù)數(shù)據(jù)量，同時(shí)也包括音頻、視頻等的需求。并特別承諾提供最好的全方位支持以確保該項(xiàng)目的最終成功。 在充分理解了網(wǎng)絡(luò)建設(shè)目標(biāo)之后，我們將采用國(guó)際領(lǐng)先和成熟的無(wú)線網(wǎng)絡(luò)技術(shù)，與 杭州市委黨校分享浙江貝爾技術(shù)有限公司在業(yè)界最豐富的設(shè)計(jì)和部署無(wú)線網(wǎng)絡(luò)經(jīng)驗(yàn)，結(jié)合 杭州市委黨校 大樓實(shí)際情況，進(jìn)行網(wǎng)絡(luò)結(jié)構(gòu)的 優(yōu)化設(shè)計(jì)，并為 杭州市委黨校 提供最佳的技術(shù)和工程支持。 杭州市委黨校 WLAN 技術(shù)方案建議書(shū) 浙江貝爾技術(shù)有限公司 2020 年 3 月 杭州市委黨校 WLAN 無(wú)線網(wǎng)絡(luò)方案建議書(shū) 浙江貝爾技術(shù)有限公司 杭州市西湖區(qū)西斗門(mén)路 6 號(hào) 1 / 30 目 錄 1. 概述 ............................................................................................