【正文】 科統(tǒng)一無線網(wǎng)絡(luò)還可以利用其強(qiáng)大的隔離惡意功能，消除因?yàn)閻阂饨尤朦c(diǎn)所導(dǎo)致的威脅。輕型接入點(diǎn)可以在它們?cè)诠ぷ鲿r(shí)使用的信道上檢測攻擊，以及檢測那些工作信道與它們不同的威脅，例如惡意接入點(diǎn)和特殊網(wǎng)絡(luò)。LWAPP 分離 MAC 讓輕型接入點(diǎn)可以在不中斷數(shù)據(jù)服務(wù)的情況下掃描信道。集中化有助于支持無線 IDS 思科輕型接入點(diǎn)和無線局域網(wǎng)控制器可以同時(shí)充當(dāng)數(shù)據(jù)服務(wù)設(shè)備和 IDS 傳感器。通過在網(wǎng)絡(luò)中采用一個(gè)無線 ID 系統(tǒng)，可以為網(wǎng)絡(luò)添加一條額外的防線。 嵌入式無線 IDS安全是網(wǎng)絡(luò)管理人員的關(guān)注焦點(diǎn)，而無線安全則是安全人員最關(guān)注的問題。底層子網(wǎng)基礎(chǔ)設(shè)施對(duì)于客戶端而言是透明的。所有來自于無線客戶端的流量都將被放置到一個(gè)通過底層網(wǎng)絡(luò)發(fā)送到無線局域網(wǎng)控制器的 LWAPP 數(shù)據(jù)包中。通過像思科統(tǒng)一無線網(wǎng)絡(luò)這樣在不使用 VLAN 的情況下實(shí)現(xiàn)第三層漫游，可以簡化網(wǎng)絡(luò)，讓網(wǎng)絡(luò)可以方便地支持各種實(shí)時(shí)應(yīng)用，例如基于無線網(wǎng)絡(luò)的語音和視頻。 第三層漫游借助采用輕型接入點(diǎn)的思科統(tǒng)一無線網(wǎng)絡(luò)，當(dāng)?shù)谌龑勇伪灰刖W(wǎng)絡(luò)時(shí)，管理員不需要將 VLAN 拓展到網(wǎng)絡(luò)中的所有接入點(diǎn)，就可以保持一個(gè)扁平式的無線子網(wǎng)。當(dāng)在網(wǎng)絡(luò)中部署一個(gè)訪客無線局域網(wǎng)時(shí)，所有來自于訪客WLAN 的流量都會(huì)以隧道方式發(fā)送到訪客控制器。集中化有助于簡化訪客聯(lián)網(wǎng)在思科統(tǒng)一無線網(wǎng)絡(luò)中，每個(gè)無線局域網(wǎng)控制器都具有一個(gè)美觀的 Web 門戶，讓機(jī)構(gòu)可以根據(jù)自己的業(yè)務(wù)需要定制 WLAN。這些 VLAN 具有不同于普通網(wǎng)絡(luò)流量的安全策略。它讓顧問和訪客可以迅速開展合作，加快業(yè)務(wù)速度。（如圖 2 所示）無線網(wǎng)絡(luò)升級(jí)改造設(shè)計(jì)方案15圖 2 無線局域網(wǎng)控制器決定哪個(gè)接入點(diǎn)應(yīng)當(dāng)響應(yīng)客戶端的探測信號(hào) 訪客聯(lián)網(wǎng)訪客聯(lián)網(wǎng)已經(jīng)從一種奢侈的功能發(fā)展成為了一項(xiàng)業(yè)務(wù)必需的功能。例如，某個(gè)相鄰接入點(diǎn)能夠以較低的信號(hào)強(qiáng)度提供相同的服務(wù)。另外，當(dāng)某個(gè)客戶端探測接入點(diǎn)（這是 標(biāo)準(zhǔn)的一部分，即客戶端尋找任何廣播它所尋找的 WLAN 名稱的接入點(diǎn)）無線網(wǎng)絡(luò)升級(jí)改造設(shè)計(jì)方案14時(shí)，控制器會(huì)收到來自每個(gè)收到客戶端探測信號(hào)的接入點(diǎn)所發(fā)出的信號(hào)。集中化有助于均衡用戶負(fù)載思科無線局域網(wǎng)控制器和模塊擁有一個(gè)網(wǎng)絡(luò)整體視圖。負(fù)載均衡可以通過不斷地優(yōu)化用戶關(guān)聯(lián)關(guān)系，為每個(gè)客戶端提供最佳的，從而優(yōu)化所有客戶端的吞吐。因此，所有客戶端的 RF 吞吐都有可能降低――所有客戶端都可以關(guān)聯(lián)到同一個(gè)接入點(diǎn)。當(dāng)客戶端設(shè)備進(jìn)入一個(gè)覆蓋區(qū)域時(shí)，它們可能會(huì)漫游到信號(hào)最強(qiáng)的接入點(diǎn)。 通過用戶負(fù)載均衡優(yōu)化每個(gè)用戶的性能 協(xié)議很難預(yù)測和保障用戶的性能和吞吐。思科統(tǒng)一無線網(wǎng)絡(luò)架構(gòu)中內(nèi)置的算法有助于確保網(wǎng)絡(luò)不會(huì)“抖動(dòng)”，即發(fā)生沒有必要的變化。如果網(wǎng)絡(luò)中有一個(gè)無線局域網(wǎng)控制器集群（例如在單個(gè)網(wǎng)絡(luò)中部署多個(gè)控制器），那么會(huì)有一個(gè)控制器被選為缺省控制器，所有控制器都會(huì)向它們的輕型接入點(diǎn)發(fā)送缺省控制器信息。在一個(gè)無線局域網(wǎng)控制器網(wǎng)絡(luò)中，控制器可以利用這些鄰居信息確定接入點(diǎn)在網(wǎng)絡(luò)中的相對(duì)空間狀態(tài)。在其找到一個(gè)無線局域網(wǎng)控制器之后，支持 LWAPP 的接入點(diǎn)會(huì)發(fā)出加密的“neighbor”（鄰居）消息。無線局域網(wǎng)控制器可以用一種獨(dú)特的方式提供動(dòng)態(tài) RF。集中化可以提供動(dòng)態(tài) RF無線局域網(wǎng)控制器可以自動(dòng)獲知同一個(gè)網(wǎng)絡(luò)中不同輕型接入點(diǎn)之間的信號(hào)強(qiáng)度。但是，因?yàn)?RF 預(yù)測是在一個(gè)不考慮部署后 RF 環(huán)境實(shí)際發(fā)生情況的計(jì)算機(jī)上進(jìn)行的，所以它們只是對(duì)實(shí)際 RF 環(huán)境的估計(jì)。這個(gè)計(jì)劃是根據(jù) RF 預(yù)測制定的，即利用計(jì)算機(jī)對(duì) RF 環(huán)境的模擬，結(jié)合接入點(diǎn)的天線發(fā)射功率，估計(jì)接入點(diǎn)的覆蓋范圍。思科統(tǒng)一無線網(wǎng)絡(luò)的低成本接入點(diǎn)升級(jí)的另外一個(gè)好處是：輕型接入點(diǎn)和控制器之間的互操作能力已經(jīng)通過了思科的質(zhì)量保障團(tuán)隊(duì)的全面測試和認(rèn)證。當(dāng)控制器映像被升級(jí)時(shí)，它也會(huì)升級(jí)所有與其關(guān)聯(lián)的接入點(diǎn)。 便于升級(jí)較低的運(yùn)營成本可以提高一個(gè)機(jī)構(gòu)的投資效率。在輕型接入點(diǎn)聯(lián)系無線局域網(wǎng)控制器之后，控制器將會(huì)為輕型接入點(diǎn)設(shè)定所有RF 策略和無線局域網(wǎng)策略。（在部署于一個(gè)遠(yuǎn)程子網(wǎng)中時(shí)，接入點(diǎn)需要IP 地址、子網(wǎng)掩碼和缺省網(wǎng)關(guān)信息）。這可以簡化WLAN 的部署和管理。在向網(wǎng)絡(luò)引入基于輕型接入點(diǎn)和無線局域網(wǎng)控制器的集中化時(shí)，并不需要在接入層重新劃分子網(wǎng)和設(shè)置 VLAN 中繼。這些 VLAN 可以擴(kuò)展到網(wǎng)絡(luò)的接入層。這種配置可以在每個(gè)接入點(diǎn)的基礎(chǔ)上進(jìn)行，也可以通過一個(gè)系統(tǒng)級(jí)應(yīng)用或者設(shè)備完成。 集中化和統(tǒng)一 WLAN 的好處下面列出了 WLAN 集中化和統(tǒng)一 WLAN 所具有的很多好處。就像衛(wèi)星擁有廣闊空間的完整視圖一樣，控制器也擁有整個(gè)網(wǎng)絡(luò)的整體視圖。（如圖 1 所示）圖 1 分離的介質(zhì)訪問控制功能? 安全策略? QoS 策略無線局域網(wǎng)控制器 控制器 MAC 功能? MAC 管理：無線網(wǎng)絡(luò)升級(jí)改造設(shè)計(jì)方案11? RF 管理? 移動(dòng)管理人力分配分離 MAC? 遠(yuǎn)程 RF 接口? MAC 層加密LWAPP輕型接入點(diǎn)（重新）關(guān)聯(lián)請(qǐng)求和行為框架? 數(shù)據(jù)：封裝和發(fā)送到接入點(diǎn)? 資源預(yù)留：控制協(xié)議在 管理幀中發(fā)送到接入點(diǎn)－信令在控制器完成? 身份驗(yàn)證和密鑰交換接入點(diǎn) MAC 功能? ：信號(hào)發(fā)射，探測響應(yīng)，身份驗(yàn)證（如果啟用）? 控制：數(shù)據(jù)包確認(rèn)和傳輸（延遲）? ：幀排序和數(shù)據(jù)包優(yōu)先級(jí)設(shè)置（訪問 RF）? ：接入點(diǎn)中的加密輕型接入點(diǎn)和無線局域網(wǎng)控制器之間存在多對(duì)一的關(guān)系――單個(gè)無線局域網(wǎng)控制器可以管理和操作大量的輕型接入點(diǎn)。對(duì)時(shí)間敏感的功能（例如次原子握手和發(fā)送給接入點(diǎn)的信標(biāo)）都在接入點(diǎn)進(jìn)行管理。無線網(wǎng)絡(luò)升級(jí)改造設(shè)計(jì)方案10 集中化協(xié)議 LWAPP 簡介LWAPP 是什么？LWAPP 是一項(xiàng)由思科系統(tǒng)公司擬定的互聯(lián)網(wǎng)工程任務(wù)小組（IETF）標(biāo)準(zhǔn)草案，實(shí)現(xiàn)了輕型接入點(diǎn)和 WLAN 系統(tǒng)（例如控制器、交換機(jī)和路由器）之間的通信協(xié)議的標(biāo)準(zhǔn)化。? 傳輸擴(kuò)展能力――盡管網(wǎng)絡(luò)通常運(yùn)行在以太網(wǎng)的基礎(chǔ)上，但是該協(xié)議必須能夠支持低速的 WAN 連接，甚至無線網(wǎng)絡(luò)（對(duì)于無線網(wǎng)狀網(wǎng)絡(luò)等應(yīng)用）。? 對(duì)接入點(diǎn)的實(shí)時(shí)控制――在部署、認(rèn)證接入點(diǎn)和將其連接到控制器之后，該協(xié)議需要提供對(duì)接入點(diǎn)的實(shí)時(shí)控制，以便管理和部署移動(dòng)服務(wù)。? 部署安全――將一個(gè)接入點(diǎn)加入網(wǎng)絡(luò)并不意味著它應(yīng)當(dāng)具有完全的網(wǎng)絡(luò)訪問權(quán)限。開發(fā)一種新的無線局域網(wǎng)集中化協(xié)議為了在輕型接入點(diǎn)和無線局域網(wǎng)控制器之間傳輸數(shù)據(jù)和實(shí)現(xiàn)通信，需要一種新的協(xié)議。統(tǒng)一后的架構(gòu)，我們稱之為思科統(tǒng)一無線網(wǎng)絡(luò)的關(guān)鍵，是將數(shù)據(jù)從輕型接入點(diǎn)經(jīng)由網(wǎng)絡(luò)發(fā)送到無線局域網(wǎng)控制器。運(yùn)營商不是管理多個(gè)獨(dú)立的接入點(diǎn)，而是可以通過一個(gè)名為無線局域網(wǎng)控制器的集中式設(shè)備管理輕型接入點(diǎn)。這可以提高蜂窩網(wǎng)絡(luò)的穩(wěn)定性，減少被丟棄的呼叫。對(duì)于蜂窩網(wǎng)絡(luò)而言，基站控制器可以協(xié)調(diào)一組無線電發(fā)射塔。無線網(wǎng)絡(luò)升級(jí)改造設(shè)計(jì)方案9蜂窩網(wǎng)絡(luò)運(yùn)營商需要一個(gè)讓用戶可以在漫游期間保持呼叫的解決方案，以及一個(gè)部署高級(jí)服務(wù)的平臺(tái)。最初，蜂窩無線網(wǎng)絡(luò)是由多個(gè)提供基本連接的蜂窩信號(hào)發(fā)射塔結(jié)合而成的?？蓴U(kuò)展性： WLAN 必須具備的特性人們對(duì)基于無線網(wǎng)絡(luò)的可擴(kuò)展性、高級(jí)服務(wù)的需求并不是剛剛出現(xiàn)的。為了部署這些功能和消除這些限制，需要一個(gè)統(tǒng)一的 WLAN――一個(gè)集中式的，基于連接到無線局域網(wǎng)控制器的輕型接入點(diǎn)的網(wǎng)絡(luò)。他們的 WLAN 必須支持多種移動(dòng)服務(wù)，例如語音、訪客接入、定位和增強(qiáng)的無線入侵防御系統(tǒng)（WIPS），同時(shí)還應(yīng)當(dāng)提供簡化的部署、管理和可擴(kuò)展性。現(xiàn)在，基本的網(wǎng)絡(luò)連接已經(jīng)不足以滿足需要。需要為支持漫游采用一個(gè)集中式解決方案升級(jí)成本 部署額外管理功能和為接入點(diǎn)安裝新鏡像所需的時(shí)間部署一個(gè)集中的管理基站或者使用管理腳本入侵檢測系統(tǒng)（IDS）能夠檢測偽裝接入點(diǎn)、攻擊和未經(jīng)授權(quán)的訪問使用一個(gè)基于 WDS 的IDS，或者添加一個(gè)覆蓋式WLAN 解決方案定位服務(wù) 直觀顯示接收信號(hào)強(qiáng)度 使用一個(gè)現(xiàn)場調(diào)查解決無線網(wǎng)絡(luò)升級(jí)改造設(shè)計(jì)方案8需要 說明 自主方式的解決方案指示（RSSI）信息變化和WiFi 設(shè)備的位置方案或者一個(gè)覆蓋式 WLAN動(dòng)態(tài) RF 迅速地、動(dòng)態(tài)地適應(yīng) RF環(huán)境使用系統(tǒng)級(jí)應(yīng)用設(shè)備，或者一個(gè)簡單網(wǎng)絡(luò)管理協(xié)議（SNMP）；RF 信息可供手動(dòng)檢查或者措施使用負(fù)載均衡 自動(dòng)在相鄰接入點(diǎn)之間均衡客戶端負(fù)荷每個(gè)接入點(diǎn)通報(bào)服務(wù)情況，但是負(fù)載不是自動(dòng)地在接入點(diǎn)之間分布訪客聯(lián)網(wǎng) 能夠?yàn)榭蛻?、供?yīng)商和合作伙伴提供對(duì) WLAN 的受控訪問權(quán)限，同時(shí)保持網(wǎng)絡(luò)的安全性為每個(gè)接入點(diǎn)部署專門的中繼 VLAN，并在整個(gè)企業(yè)中加以宣傳WLAN 語音 利用現(xiàn)有的無線基礎(chǔ)設(shè)施提供經(jīng)濟(jì)有效的、實(shí)時(shí)的語音服務(wù)部署基于接入點(diǎn)的呼叫準(zhǔn)入控制（CAC）；控制建立在每個(gè)接入點(diǎn)的基礎(chǔ)上，不能協(xié)調(diào)多個(gè)接入點(diǎn)管理 經(jīng)濟(jì)有效的、簡化的WLAN 管理和部署為配置 WLAN 管理和單獨(dú)配置每個(gè)接入點(diǎn)部署腳本或者 SNMP 解決方案 思科集中化無線網(wǎng)絡(luò)解決方案使用自主接入點(diǎn)的第一代無線局域網(wǎng)是一種方便的網(wǎng)絡(luò)。在某些情況下，采用自主接入點(diǎn)的 WLAN 的部署會(huì)對(duì) WLAN 帶來很多限制。而且，因?yàn)樽灾鹘尤朦c(diǎn)是“節(jié)點(diǎn)式”的，所以很難擴(kuò)展到大型、連續(xù)、協(xié)調(diào)的無線局域網(wǎng)和添加高級(jí)應(yīng)用。過去，無線局域網(wǎng)都缺乏透視能力――因?yàn)槊總€(gè)接入點(diǎn)都是一個(gè)單獨(dú)的節(jié)點(diǎn)，按照一個(gè)靜態(tài) RF 計(jì)劃（通常為預(yù)測的 RF）中的信道和功率設(shè)置進(jìn)行獨(dú)立配置。高空攝影技術(shù)為地圖繪制人員帶來了之前未有的東西――透視。 思科 WLAN 解決方案體系結(jié)構(gòu) 無線網(wǎng)絡(luò)的挑戰(zhàn)透視就是一切――地圖就是一個(gè)典型的例子。校園無線網(wǎng)絡(luò)在滿足現(xiàn)有網(wǎng)絡(luò)應(yīng)用的同時(shí)，保證對(duì)未來網(wǎng)絡(luò)技術(shù)和應(yīng)用的支持，如 IPv無線話音、無線視頻、組播等技術(shù)的支持，以滿足高校教學(xué)和科研的要求。如在必要的時(shí)候采用室外 Mesh WLAN 技術(shù)通過無線回傳技術(shù)解決有線網(wǎng)絡(luò)傳輸距離的合布線難度的問題。 思科校園網(wǎng) WLAN 設(shè)計(jì)思想按照現(xiàn)有無線網(wǎng)絡(luò)發(fā)展趨勢(shì)，建議校園網(wǎng) WLAN 采用集中管理架構(gòu)下的“瘦AP”無線網(wǎng)絡(luò)架構(gòu)，以保證無線網(wǎng)絡(luò)可管理性、安全性、QoS、無縫漫游等功能需求，尤其是方便未來的運(yùn)維管理。開放性：選擇的產(chǎn)品應(yīng)具有好的互操作性和可移植性，并符合相關(guān)的國際標(biāo)準(zhǔn)和工業(yè)標(biāo)準(zhǔn)；無論發(fā)生任何變化，均能夠最大可能性的開放標(biāo)準(zhǔn)。先進(jìn)性：采用先進(jìn)成熟的網(wǎng)絡(luò)概念、技術(shù)、方法與設(shè)備，反映當(dāng)今先進(jìn)水平，又給未來的發(fā)展留有余地；充分采用目前國際、國內(nèi)流行和成熟的技術(shù)，保證網(wǎng)絡(luò)能適應(yīng)技術(shù)的快速發(fā)展。當(dāng)然，校園無線網(wǎng)絡(luò)要具有良好的性價(jià)比。支持用戶全網(wǎng)漫游校園無線網(wǎng)絡(luò)應(yīng)支持用戶全網(wǎng)快速、安全、無縫漫游，保證用戶在園區(qū)移動(dòng)過程中可以保證 IP 地址不變、網(wǎng)絡(luò)連接不間斷、應(yīng)用會(huì)話不間斷，從而保證用戶網(wǎng)絡(luò)應(yīng)用在移動(dòng)中的不間斷性。無線網(wǎng)絡(luò)還應(yīng)該支持其他智能業(yè)務(wù)的擴(kuò)展，如支持精準(zhǔn)的無線物理定位、無線視頻等滿足校園特點(diǎn)的安全和可靠性**無線網(wǎng)的目標(biāo)是建設(shè)一個(gè)收費(fèi)的、可運(yùn)營網(wǎng)絡(luò)，這樣的定位對(duì)可靠性、安全、加密和非授權(quán)用戶的控制提出了更明確的要求：? 支持精確的無線入侵、射頻干擾、非法 AP 定位和隔離? 冗余的中央服務(wù)控制保證校園復(fù)雜接入環(huán)境的安全無線接入? 獨(dú)特的訪客隔離機(jī)制，保證跨校園漫游用戶與校園網(wǎng)用戶的隔離? 同時(shí)支持端到端的網(wǎng)絡(luò)可靠性保證技術(shù)。為學(xué)校提供內(nèi)部話音的無縫覆蓋，以提高學(xué)校辦公效率和教學(xué)質(zhì)量。基于個(gè)人用戶的運(yùn)營管理無線網(wǎng)絡(luò)系統(tǒng)需要支持運(yùn)營管理功能，能夠根據(jù)單個(gè)用戶實(shí)現(xiàn)用戶管理，包括：認(rèn)證、計(jì)費(fèi)、安全控制、QoS 控制等。 WLAN 應(yīng)用需求高性能的 IPv6 和 IPv4 無線接入中國下一代互聯(lián)網(wǎng)項(xiàng)目（CNGI）正在順利展開，基于純 IPv6 的骨干網(wǎng)在CERNET 已經(jīng)建設(shè)完成并可以提供接入服務(wù)。但是，傳統(tǒng)的有線校園網(wǎng)存在著諸多“網(wǎng)絡(luò)盲點(diǎn)”，比如在圖書館、大型會(huì)議室、體育館等許多不宜網(wǎng)絡(luò)布線的場館設(shè)施如何聯(lián)網(wǎng)？在教室、實(shí)驗(yàn)室等場合如何突破網(wǎng)絡(luò)節(jié)點(diǎn)限制、實(shí)現(xiàn)多人同時(shí)上網(wǎng)的問題？從應(yīng)用需求方面考慮，無線網(wǎng)絡(luò)很適合學(xué)校的一些不易于網(wǎng)絡(luò)布線的場所應(yīng)用。例如，很多高校只是在部分區(qū)域接通了網(wǎng)絡(luò)，而不能顧及所有區(qū)域，布置了網(wǎng)線的教室、圖書館數(shù)量有限；有些高校經(jīng)費(fèi)比較緊張，很難投入較大的財(cái)力來鋪設(shè)光纜；有些高校的建筑物具有一定的歷史意義，不適合鉆孔布線；有些高校由多個(gè)校區(qū)組成，校區(qū)之間聯(lián)網(wǎng)成本較高，等等。無線網(wǎng)絡(luò)升級(jí)改造設(shè)計(jì)方案無線網(wǎng)絡(luò)升級(jí)改造設(shè)計(jì)方案無線網(wǎng)絡(luò)升級(jí)改造設(shè)計(jì)方案2目 錄1. WLAN 在校園的應(yīng)用概述 ..............................................................................................................42. 校園網(wǎng) WLAN 應(yīng)用需求 .................................................................................................................43. 校園網(wǎng) WLAN 設(shè)計(jì)思想 .................................................................................................................6 校園網(wǎng) WLAN 設(shè)計(jì)原則 .......................