【正文】 ................. 26 安全策略的集中實現(xiàn) ............................................................................................................ 26 安全的本地零配置 ............................................................................................................... 26 無線網(wǎng)絡入侵檢測 ................................................................................................................ 26 端點完整性檢查 ................................................................................................................... 27 5 產(chǎn)品介紹 .................................................................................................................................................. 27 MX800R .......................................................................................................................................... 27 MX522 ............................................................................................................................................ 30 RingMaster ....................................................................................................................................... 37 1 XX 集團辦公樓 WLAN 需求 此次網(wǎng)絡建設是 對 XX 集團新建辦公大樓進行無線覆蓋。 此次無線局域網(wǎng)具體的建設目標是： ? 側重實際應用，覆蓋 辦公大樓的辦公室和會議室 。 ? 應采取合理的布網(wǎng)方式滿足現(xiàn)在以及未來發(fā)展的需要。 ? AP具有自動調整射頻參數(shù)的能力 ? AP 需采用 遠程供電 ；綜合布線工程需要實施所有無線信息點到本地有線網(wǎng)設備間，綜合布線不應毀損目前樓內(nèi)裝修，要求美觀得體，符合布線相關標準， 2 XX 集團 WLAN 組網(wǎng) 方案 網(wǎng)絡拓撲 AP 部署在每個 樓內(nèi) 的相應位置（具體 AP 部署位置請參考 AP 部署示意圖），通過以太網(wǎng)線連接到樓層配線室的樓層 POE 交換機。 本次項目我們建議使用的 AP型號為 MP522，該 AP 為雙頻 AP，同時支持 和 5GHz，每個 Radio 支持 2x2 MIMO （兩個傳輸鏈和兩個接收）。因此，樓層配線間內(nèi)的 POE 交換機只需支持 即可；為了充分獲得 AP 所帶來的性能提高，交換機的 POE 端口需要支持千兆。 無線控制器與核心交換機互連，對于無線用戶數(shù)據(jù)流量的處理，采用集中式轉發(fā)方式：在無線控制器和核心交換機上創(chuàng)建管理 VLAN，匯聚所有來自于 AP的流量；同時， 在無線控制器和核心交換機上創(chuàng)建用戶 VLAN。 設備選擇 AP 協(xié)議于 2020 年 9 月 11 號正式標準化，目前基于 協(xié)議的 AP 可以提供最高 300Mbps 的介入速率，并兼容傳統(tǒng) 。因此本次項目中我們建議使用 Trapeze MP522。 MP522擁有一個 10/100/1000 Mbps 自協(xié)商 以太網(wǎng) 端口，當兩個 Radio 都運行在 300Mbps 速率的時候，能夠使用 POE 進行供電，最大限度 保護用戶投資。 MX800R 提供 4 個 GigE (SFP) 千兆接口和 4 個 10/100/1000Base RJ45 端口 ，雙 PSU 電源 配置， 可實現(xiàn)電源熱備份。 為了能夠管理 32 個 AP，需要在額外配置一個能夠管理 16 個 AP 的 license。 根據(jù)管理的 AP 數(shù)量 —— 32 臺，需要配置一套 RingMaster 以及 3 個 RTMS10（能夠管理 10 個 AP 的 license）。 下表列出了全覆蓋方式與只對一些重點區(qū)域進行部分覆蓋的比較。 只能在某些區(qū)域提供一些有線接入的補充 終端支持 隨著移動終端的普及，越來越多的員工使用PDA 或手機接入到網(wǎng)絡中，而傳統(tǒng)的有線網(wǎng)絡是無法滿足這部分終端接入的。 無法提供基于無線網(wǎng)絡的高級應用 無線安全 全覆蓋的方式有利于部署和執(zhí)行統(tǒng)一的WIDS/WIPS 方案，解決非法 AP 問題 不能對所有區(qū)域進行有效的實行 WIDS/WIPS策略 成本 全覆蓋的方式只是在初期建設時成本會高于部分覆蓋，但是，隨著無線終端 和應用的不斷普及，全覆蓋勢在必行，因此，當從部分覆蓋升級到全覆蓋的時候，又需要重新布線，甚至破壞裝修，而這些額外的開銷只是會造成不必要的浪費 部分覆蓋，初期網(wǎng)絡建設成本會相對較低，但是如果后期需要升級的話，后續(xù)費用甚至有可能超過前期全覆蓋的成本。 那么這些個東西對于信號傳輸能夠產(chǎn)生多大的阻礙呢？讓我們從墻開始說起吧。這樣的墻由于大部分使用的是木工板、菱鎂板以及保溫材料拼成，因此對于無線信號并沒有多大的阻礙。 承重墻就是無線信號面前的馬其諾防線。在 我們看了這些障礙對于我們的無線信號的干擾之后，我們再來看一看其它的建筑材料對于信號傳輸?shù)挠绊憽?傳統(tǒng)的玻璃即是上圖中所說的不含金屬氧化物的玻璃，雖然信號衰減少，但是由于遠遠不及重金屬氧化物玻璃的透明度，硬 度，耐熱度等問題，已經(jīng)很少使用了 。金屬是對無線信號的影響是最大的?，F(xiàn)在的吊頂一般都是采用木線龍骨做支架，然后釘石膏板的做法。 AP 具體部署位置 （全覆蓋） 對所有樓層進行全部覆蓋。包括： 一層大廳，二層會議室，集團領導（九層）需要全覆蓋，其他樓層每層茶座室需要覆蓋 一層 AP 部署示意圖： 二層 AP 部署示意圖： 三層 AP 部署示意圖： 四層 AP 部署示意圖： 五層 AP 部署示意圖： 六層 AP 部署示意圖： 七層 AP 部署示意圖： 八層 AP 部署示意圖： 九層 AP 部署示意圖： 集團辦公大樓 WLAN 項目 AP 匯總表（部分覆蓋） 樓層 AP 數(shù)量 1 層 1 2 層 3 3 層 1 4 層 1 5 層 1 6 層 1 7 層 1 8 層 1 9 層 4 匯總 : 14 4 Trapeze WLAN 方案特點 先進的智能無線交換網(wǎng)絡架構 先進的智能無線交換網(wǎng)絡解決方案 XX 集團辦公大樓 WLAN 項目需求 ， Trapeze 建議采用先進的智能無線交換網(wǎng)絡架構作為無線網(wǎng)絡解決方案技術的核心思想，采用支持智能轉發(fā)功能的無線 控制器 ，配合部署在各樓棟接入層的智能管理型無線接入點產(chǎn)品，以及無線網(wǎng)絡集中管理平臺，完成整個無線網(wǎng)絡。 靈活的組網(wǎng)方式 智能無線交換架構帶來的另一個好處是非常靈活的組網(wǎng)。采用智能無線交換網(wǎng)絡架構，只需要在網(wǎng)絡中心機房放置智能無線 控制器 ，在接入層 部署智能無線接入點，即可完成整網(wǎng)的部署。 全網(wǎng)高可靠性 為了充分保證隨時對全網(wǎng)智能無線接入點的集中控制， Trapeze 無線 控制器 均支持集群和冗余能力，可以同時對同一個無線接入點提供服務，由于他 們之間采用了實時的信息同步 技術，如果一臺無線交換機與無線接入點失去聯(lián)系，將迅速由另一臺無線控制器 接管，而用戶信息不會丟失，仍然保持正常通信狀態(tài)。在這整個切換期間，對用戶的訪問完全沒有影響。 優(yōu)秀的擴展性 智能無線交換網(wǎng)絡架構具有非常方便擴展的特性， 無線控制器能夠通過 license 對管理 AP 的數(shù)量進行勝跡，例如：單臺 MX800R 默認標配 可以支持 16 個 AP， 最高可支持 128 個智能無線接入點的控制權，用戶可以按照“按需配置，漸進擴展”思路來不斷增加智能無線接入點產(chǎn)品即可完成擴容，因此擴展無線接入點顯得非常容易；當智能無線接入點的規(guī)模超過 單臺無線控制器所能管理 AP 的最高值后， 可以非常簡單的增加 無 線控制器產(chǎn)品，多臺 無線控制器 形成智能集群體而同步信息，原有的無線交換機無需淘汰，因此 ， 非常適合大規(guī)模無線接入點的部署和后期的擴容需求。 在該網(wǎng)絡架構中，所有無線用戶的數(shù)據(jù)傳輸，是通過 AP 與 無線控制器 之間建立的 CAPWAP 隧道技術來完成互連，無線用戶的 VLAN 無須在接入層和匯聚層存 在。 AP 則可以放置于樓 內(nèi)需要部署的任何地方，無需用直接連接到 無線控制器上 ，他們之間可以輕松地通過跨越三層進行隧道數(shù)據(jù)交換。 帶寬控制與服務質量保證 QOS 通過 無線控制器 的全局控制，可以很輕松地實現(xiàn)對每一臺智能無線接入點上行帶寬，甚至每一個用戶的帶寬的控制。這樣將對于例如語音、視頻這種時延敏感的業(yè)務，將可以得到最佳帶寬與傳輸保證。 而集中控制、智能轉發(fā)的智能無線交換網(wǎng)絡架構正是為此而設計的。同時也可以防止沒有無線語音權限的用戶使用無線語音，以確保無線網(wǎng)絡資源能有效運用。但是傳統(tǒng)的無線接入點僅僅能夠實現(xiàn)基于二層的漫游，一旦無線用戶跨越網(wǎng)段，就會由于重新獲取 IP 地址、重認證、重新驗證加密等過程，而導致漫游的失敗和通信的中斷。 利用 Trapeze 網(wǎng)絡先進的智能無線交換網(wǎng)絡架構，由于所有用戶信息并不保存在本地的無線接入點中，而是全部集中在無線交換機上，因此無論是單臺無線交換機還是多臺無線交換機的集群體，包括連接狀態(tài)、認證狀態(tài)、 IP 地址分配信息、加密驗證狀態(tài)等用戶信息總是實時存在的，即便是無線用戶跨網(wǎng)段移動，還是會延續(xù)原有的 IP 地址、認證與加密方式，不存在重新獲取的必要，因此也不會中斷連接。這種無縫跨三層漫游尤其是對延遲敏感的語音業(yè)務有重大的意義。從 RF 射頻覆蓋狀態(tài)的監(jiān)測、無線鏈路的帶寬的監(jiān)測、用戶認證的異常報警、無線接入安全等都需要考慮。而且無線局域網(wǎng)是一個整體系統(tǒng)，無線接入點之間必須互協(xié)調工作，單獨改變一個無線接入點的參數(shù)和配置，可能會會引起無線接入點之間的無線電波干擾，用戶漫游重認證和授 權也可能會產(chǎn)生問題，因此集中控制和管理顯得非常必要。 簡便而豐富的用戶入網(wǎng) 正是智能無線網(wǎng)絡構架，使 WLAN 能夠和有線網(wǎng)絡無縫的融合，因此，能夠方便地實現(xiàn)各種用戶認證方式。在本 次項目中我們 建議對內(nèi)部員工使用 的認證，對外來訪客采用 webportal 的認證方式 。 Trapeze 網(wǎng)絡的 無線控制器 支持先進的提供智能化無線電射頻監(jiān)測和調控能力，可確保某個智能無線接入點在發(fā)生故障時，可以自動切換到鄰近的智能無線接入點，由于用戶信息全部同步在 無線控制器 上，因此不會影響無線的接入服務。智能無線接入點之間會自動協(xié)調射頻參數(shù)，直到相鄰的無線接入點之間達到最優(yōu)無線電射頻運行環(huán)境，并把最終調整結果返回給 無線控制器 ，網(wǎng)管人員就可以實時看到射頻環(huán)境的現(xiàn)狀，并決定是否繼續(xù)調整或手動單獨調整。智能無 線交換網(wǎng)絡也可以很好的實現(xiàn)這一點，這就是基于 無線控制器 的 MultiSSID 技術。這是因為不論每臺無線接入點設備一般最大能帶 2030 個并發(fā)客戶，一旦并發(fā)入網(wǎng)的無線用戶數(shù)量超過這個上限則無法承載。 增值的無線終端定位服務 借助構架完整的智能無線交換網(wǎng)絡體系 ， XX 集團 WLAN 可以形成一個蜂窩部署的無縫網(wǎng)絡。通過 無線控制器 與網(wǎng)管系統(tǒng)，可以控制智能無線接入點對所有環(huán)境信道進行掃描，繼而跟蹤和定位無線終端的位置，諸如支持無線接入的電腦、 WiFi 手機等，今后可用于貴重資產(chǎn)等物體實施定位服務。 無線局域網(wǎng)系統(tǒng)的安全管理 安全策略的集中實現(xiàn) 傳統(tǒng)的無線網(wǎng)絡的安全策略均分布在每一臺無線接入點上，不但需要單獨配置，帶來巨大的工作量，而且如果需要更改策略，還需要全部重新配置，這是無法接受的。 基于這一問題， Trapeze 網(wǎng)絡推出的智能無線交換網(wǎng)絡架構，將所有的安全策略全部集中到 無線控制器 上統(tǒng)一發(fā)布和控制，包括用戶身份認證、入網(wǎng)行為控制、安全加密、病毒庫、無線入侵檢測、無線電射頻管理等，網(wǎng)管人員只要在 無線控制器 上配置安全策略，就可以輕松地完成了整網(wǎng)的安全策略的配置，解決了工作量的問題，同時也避免了無線接入點被盜產(chǎn)生的安全信息外泄的危機。 無線控制器 通過對 AP 的 控制，使得 AP 在本地并不保存任何數(shù)據(jù)，而是全部實時存儲在 無線控制器 上，因此 AP 可以實現(xiàn)靈配置，這對于安全而言是非常有效的，完全杜絕了非法用戶在接