【正文】 安全性。多個 MX200 可以在移動域(Mobility Domain?)內(nèi)搭配并配合使用，以管理和控制數(shù)以千計的 MP，從而獲得無可比擬的可擴展性。MX200 提供兩個 GigE (SFP) 千兆光模接口，可以集成雙 PSU 電源可實現(xiàn)電源熱備份。無線網(wǎng)絡(luò)交換機可以位于網(wǎng)絡(luò)中的任何位置（通過 2 層 /3 層設(shè)備隔開），并可作為集成的基礎(chǔ)設(shè)施執(zhí)行操作，從而易于按照業(yè)務(wù)需求的指示進(jìn)行調(diào)整或更改。此外，當(dāng)用戶漫游時，在無線交換機之間共享用戶特定的安全策略將能夠在整個無線網(wǎng)絡(luò)范圍內(nèi)一致地控制用戶屬性和組屬性。Trapeze Network 的現(xiàn)有無線安全性基礎(chǔ)包括與 WPA 和 認(rèn)證結(jié)合的 AES、TKIP 以及 WEP 加密，而現(xiàn)在的方案通過集中式安全管理顯著增強了無線安全性。用戶位置、安全性以及訪問詳細(xì)信息迅速地在交換機或控制器之間傳輸，而不再依靠連接，這可在保持無縫安全性和會話完整性的情況下快速漫游，而無需再次認(rèn)證，在保持會話完整性的情況下快速漫游還可與 WiFi 語音電話進(jìn)行交互。群組與移動域(Mobility Domain?)中的多個交換機共享用戶數(shù)據(jù)庫，以便跨越整個網(wǎng)絡(luò)（包括遠(yuǎn)端局）實現(xiàn)移動性和安全性。26 / 41增強的無縫安全性和移動性控制：由于無線客戶端是移動的，因此，Trapeze Network 使用創(chuàng)新的基于身份的組網(wǎng)來提供網(wǎng)絡(luò)服務(wù)。25 / 41一. 附件：主要產(chǎn)品介紹 Network Mobility Exchange SystemTrapeze Network 公司的無線網(wǎng)絡(luò)交換機（Mobility Exchange System?）是無線網(wǎng)絡(luò)領(lǐng)域發(fā)展的必然選擇，隨著用戶的無線網(wǎng)絡(luò)規(guī)模越來越大，給 AP 管理、無線用戶的控制、無線業(yè)務(wù)的連續(xù)運營都帶來的一定的問題，Trapeze Network 公司鑒于此推出性價比最優(yōu)的無線網(wǎng)絡(luò)交換機系統(tǒng)。6． 系統(tǒng)能夠自動對所有 AP 進(jìn)行自動固件升級、統(tǒng)一配置及統(tǒng)一優(yōu)化，并可以對AP 進(jìn)行監(jiān)控、報警及故障定位，簡化了管理和斷網(wǎng)維護(hù)時間，保障網(wǎng)絡(luò)的健康穩(wěn)定運行。4． AP 部署不受網(wǎng)絡(luò)拓?fù)浼?VLAN 子網(wǎng)劃分的影響，無需改動酒店現(xiàn)有網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)。2． 方案支持多種迄今為止最為先進(jìn)的用戶身份認(rèn)證及安全加密策略，能夠有效的防止黑客入侵對網(wǎng)絡(luò)及用戶造成的危害。會所內(nèi)部的員工可以采用專門的 SSID，可以采用級別較高的認(rèn)證和加密手段，對參加會議人員和來訪人員可以使用另一個 SSID，采用級別相對較低的認(rèn)證和加密手段，這樣就實現(xiàn)了區(qū)分的服務(wù)。一般的情況下是全網(wǎng)開通，例如客人(Guest) 使用的 SSID；但有些 SSID 則可能只供某些部門使用，所以無線覆蓋范圍通常只會局限在某些范圍內(nèi)。不能一步轉(zhuǎn)到 的主因在于很多的無線終端現(xiàn)在尚未支持 。最常見的做法是使用二個 SSID，一個定義為 OPEN/Static WEP 供客戶用，另一個 SSID 則為 TKIP(WPA)專為內(nèi)部員工使用。SSID 的最主要用途是可讓無線終端以不同的安全認(rèn)證和加密方式入網(wǎng)。從用戶分類與分布情況分析，用戶主要分成以下幾類：（1）內(nèi)部員工；（2）Guest 用戶；使用網(wǎng)絡(luò)是被分為不同的業(yè)務(wù)類型，因此，在設(shè)計上采用無線局域網(wǎng)多 SSID 技術(shù)，設(shè)置多業(yè)務(wù)區(qū)分方式。23 / 41 AP 部署Trapeze 方案能夠方便的實現(xiàn)跨三層部署，接入層的 AP 部署只是需要拿到屬于自己的 IP 網(wǎng)絡(luò)設(shè)置和網(wǎng)絡(luò)中已經(jīng)部署的 MX200 交換機 IP 地址即可。采用一臺 Trapeze MX200 交換機，放置在數(shù)據(jù)中心的網(wǎng)絡(luò)機房， MX200 無線交換機配置支持到 192 個 AP 的 license，完全滿足用戶無線覆蓋的需求。為 AP 配置了相應(yīng)的供電模塊。22 / 41在這樣的網(wǎng)絡(luò)實現(xiàn)當(dāng)中，AP 上用戶的流量都將通過 AP 與無線交換機建立起的隧道，流向無線交換機，在經(jīng)過相應(yīng)的策略匹配之后，用戶會被要求認(rèn)證，或者流量會被轉(zhuǎn)發(fā)/ 丟棄。20 / 41 無線接入點 MP422 T 型固定件 固定支架 無線接入點可以鎖在固定支架上解鎖后可以取下無線接入點 利用 T 型固定件固定在天花板輕鋼龍骨上 T 型固定件與支架通常用的固定方法 利用 T 型固定件將支架固定后，可以通過上方的開口處將網(wǎng)線插入無線接入點21 / 41直接安裝在墻體上可以采用底座的方式固定 網(wǎng)線通過預(yù)留接口插入無線接入點一. 實施方案如下圖所示，在整個無線網(wǎng)絡(luò)系統(tǒng)當(dāng)中，部署 TRAPEZE 的一臺無線交換機 MX200 放置在數(shù)據(jù)中心， MX200 通過 GE 端口與核心交換機進(jìn)行連接；而樓層中的 AP通過 TUNNEL 方式與交換機相連。美國 Trapeze Network 公司提供的無線接入點設(shè)備 MP422 配套完整的安裝附件，適合多種條件安裝需要。 按照覆蓋區(qū)域的客房分布情況，分為以下幾個部分。無線覆蓋區(qū)域物理分布在酒店的兩棟建筑物，一區(qū)和三區(qū)。12 / 41采用基于 Trapeze Mobility System 系統(tǒng)架構(gòu)下的無線網(wǎng)絡(luò)解決方案，不僅提供了完善的基于用戶的控制策略、安全認(rèn)證和數(shù)據(jù)安全加密機制，還保持著良好的網(wǎng)絡(luò)可擴展性。另外，對于某些重點區(qū)域，11 / 41還可以部署專用 AP 不斷地掃描空域，以便對要求更高安全性的環(huán)境提供全天候保護(hù)。采用 Trapeze MP422 企業(yè)級 AP 組合，能夠支持兩種模式來對非法電磁信號進(jìn)行監(jiān)測：一種方式為 MP422AP 在做 Data AP 的同時，每隔一段時間主動進(jìn)行ActiveScan；另一種方式為 MP422 本身支持雙頻信號（） ，若平時只使用 ，則可以將 頻段用于監(jiān)聽， （稱之為SentryScan）與前一種方式不同的是，此種方式為連續(xù)監(jiān)控。Trapeze Mobility System 的 RF AutoTune 技術(shù)以可動態(tài)地調(diào)整流量負(fù)載、功率、射頻覆蓋區(qū)域和信道分配，以使覆蓋范圍和容量最大化。采用 Trapeze Mobility System 解決方案，支持 RF AutoTune 技術(shù)。例如在一個用戶較多的會議室，正常情況下大約有 15 人左右，采用一個 AP 即可滿足需求，但當(dāng)用戶數(shù)突然增加后，導(dǎo)致該 AP 無法連接數(shù)過多，而此時，位于會議室外的 AP 由于相對與會議室來說，信號雖然比較弱，但仍然是可以滿足一定的網(wǎng)絡(luò)用量，此時無線交換機則強制后來的一部分用戶連接信號較弱的 AP，從而實現(xiàn)了負(fù)載均衡，保障了網(wǎng)絡(luò)的暢通。傳統(tǒng)上，由于受到客戶端無線網(wǎng)卡底層驅(qū)動算法機制的限制，用戶總是會連上信號最強的 AP，而并沒有考慮到該 AP 是否能夠提供最佳的服務(wù)。而在本方案中，我們采用 Trapeze Mobility System 方案，該方案也無線交換機為核心，對所有 AP 上接入的用戶采用統(tǒng)一會話管理，所有已認(rèn)證終端均在中心無線交換機中保存相應(yīng)會話，AP 僅僅只負(fù)載傳輸用戶數(shù)據(jù)，因此無論終端移動到哪個 AP 下，用戶信息和授權(quán)都在無線交換機所管轄的移動域內(nèi)快速的交互，可以有效保持會話完整性及可靠移動性的前提下實現(xiàn)無縫漫游。還可告知管理人員哪些用戶已連接、他們位于何處、他們曾經(jīng)位于何處、他們正在使用哪些服務(wù)以及他們曾經(jīng)使用過哪些服務(wù)。2. 每用戶的加密分配：對每用戶或每組執(zhí)行不同的安全策略，以便進(jìn)行靈活、深入的安全控制和管理。目前國際上比較流行的方法是對用戶進(jìn)行身份的認(rèn)證以及認(rèn)證成功后要對用戶數(shù)據(jù)加密來反制非法入侵。而采用 Trapeze Mobility System 架構(gòu)下的無線網(wǎng)絡(luò)，AP 是一種被稱作“THIN AP”的結(jié)構(gòu)，由于 AP 本身沒有任何需要配置的參數(shù)，同時 AP 與中心無線交換機之間采用 CAPWAP 協(xié)議進(jìn)行通信，AP 的固件、配置信息均由中心的無線交換機 MX200 提供，并且 AP 與 Trapeze 無線交換之間采用“心跳 ”機制定時保持通訊，為了解決傳統(tǒng)“FAT AP”能夠集中管理、配置、升級 AP； AP 與 Trapeze 無線交換機之間采用7 / 41“心跳”機制，定時保持通訊，中心網(wǎng)管系統(tǒng)能夠非常及時的了解 AP 的工作狀態(tài)，并將工作狀態(tài)直接反映給 Trapeze RingMaster 網(wǎng)管系統(tǒng)，RingMaster 工作狀態(tài)，并記入日志，以被日后查驗。. AP 的集中管理與自動配置在傳統(tǒng)無線網(wǎng)絡(luò)建設(shè)中，有一個始終令網(wǎng)管人員感到頭痛的問題，那就是對 AP的管理、監(jiān)控以及 AP 自身固件的升級。本方案提供的 Trapeze 系列無線系統(tǒng)，MP422 最多支持 64 個 SSID，并且可以根據(jù)用戶屬性，動態(tài)的分配用戶認(rèn)證方式、加密方法、QoS 及所屬 VLAN，實現(xiàn)了基于用戶的動態(tài)業(yè)務(wù)策略。采用“THIN AP”組網(wǎng)的優(yōu)勢在于：1. AP 與無線交換機之間建立跨越路由的 TUNNEL，從而將無線業(yè)務(wù)與有線網(wǎng)絡(luò)策略區(qū)分開2. “THIN AP”運行所需的固件及配置在啟動時由無線交換機動態(tài)下發(fā)，輕而易舉的實現(xiàn)了傳統(tǒng)“FAT AP”方案無法動態(tài)升級 AP 固件和配置的問題由于采用 THIN AP 的組網(wǎng)方式，即使是在分布式網(wǎng)絡(luò)中，彼此被子網(wǎng)路由隔開了的 AP 也可作為一個整體結(jié)構(gòu)運行，以便于按需擴展或修改無線局域網(wǎng)。MP422 型 AP 本身不帶任何軟件及配置，當(dāng) AP 在加電后，AP 通過廣播、DHCP或 DNS 方式來獲得位于網(wǎng)絡(luò)骨干上的無線交換機 MX200 的 IP 地址信息，AP 在得到無線交換機地址之后，便采用 CAPWAP 協(xié)議與無線交換機 MX200 取得通信，隨后由無線交換機 MX200 將 AP 運行所需的固件以及 AP 的相關(guān)配置發(fā)送給 AP，AP 收到這些信息后，隨即進(jìn)行系統(tǒng)啟動并根據(jù)無線交換機提供的配置進(jìn)行自身參數(shù)的配置。由于有線網(wǎng)的固定性，一般采用根據(jù)樓層或樓宇方式進(jìn)行子網(wǎng)劃分，而無線網(wǎng)絡(luò)必須承載于有線網(wǎng)絡(luò)之上，因此，造成所接 AP 也分別劃到各個子網(wǎng)之中，造成了原本應(yīng)該統(tǒng)一管理的無線網(wǎng)絡(luò)被有線網(wǎng)絡(luò)分割成了獨立的無線“網(wǎng)絡(luò)孤島” ，這種“網(wǎng)絡(luò)孤島”在實際應(yīng)用中會存在以下問題：1. 不能實現(xiàn)全面的、統(tǒng)一的全網(wǎng)級的管理策略2. 不便于無線網(wǎng)絡(luò)業(yè)務(wù)的劃分3. 不能實現(xiàn)無線網(wǎng)用戶的漫游4. 對無線接入點無法做到集中管理、統(tǒng)一配置和固件升級為了解決傳統(tǒng)有線與無線混合組網(wǎng)存在的上述問題，采用一種被稱作“THIN AP”代替?zhèn)鹘y(tǒng) AP 的方法來解決這一問題。對于 MP422 型 AP 支持 標(biāo)準(zhǔn)的 PoE 供電，因此可以通過位于各個樓層內(nèi)的 POE 交換機為每一個 MP422 型 AP 供電。而且，在安裝時，我們不得不考慮電源插口是否存在，以及連接是否可靠，電源是否會從墻板上脫落等不確定因素。. AP 電源的供給對許多網(wǎng)絡(luò)系統(tǒng)的設(shè)計來講，當(dāng)建筑中某些區(qū)域的用途不確定或布線施工難度較大時，部署無線接入點(AP)是十分必要的解決方案。采用一臺 Trapeze MX200型無線交換機對全網(wǎng) AP 進(jìn)行集中管理和控制，各覆蓋區(qū)域內(nèi) AP 通過有線網(wǎng)絡(luò)連接至MX200 無線交換機，實現(xiàn)了無線集中控制。3 / 41一. 無線網(wǎng)絡(luò)整體設(shè)計方案Trapeze 無線網(wǎng)絡(luò)系統(tǒng)主要由以下三部分組成：? 無線交換機（Mobility Exchange System?）? 無線網(wǎng)絡(luò)交換機管理系統(tǒng)（Ring Master? Software System）? 無線接入點（Mobility Point? ）無線網(wǎng)絡(luò)組網(wǎng)拓?fù)涫疽鈭D接入網(wǎng)絡(luò)部分：無線覆蓋區(qū)域物理分布在酒店客房樓層內(nèi)，具體部署方式請參閱 章節(jié)《目標(biāo)區(qū)域無線覆蓋示意圖》 。 Spa 等國際著名酒店集團構(gòu)建高速無線網(wǎng)絡(luò)。在網(wǎng)絡(luò)技術(shù)高速發(fā)展的今天，網(wǎng)絡(luò)不僅是酒店傳播信息的工具，也是留住回頭客保持入住率的有效手段，而無線網(wǎng)絡(luò)由于其移動性、便利性和靈活性的特點，更是得以在酒店中大顯身手。近年來，酒店行業(yè)競爭的重點已經(jīng)從硬件的競爭轉(zhuǎn)移到服務(wù)的競爭，各大酒店均絞盡腦汁來提高自己的服務(wù)意識和服務(wù)水平。蘇州中茵皇冠假日酒店無線網(wǎng)絡(luò)整體解決方案1 / 41目錄一. 項目背景 .....................................................................................................................................................2二. 無線網(wǎng)絡(luò)整體設(shè)計方案 .............................................................................................................................3. 無線網(wǎng)絡(luò)總體描述 ...................................................................................