【正文】 按設(shè)備類(lèi)型細(xì)分統(tǒng)計(jì)無(wú)線終端設(shè)備流量統(tǒng)計(jì)按操作系統(tǒng)區(qū)分的總體流量統(tǒng)計(jì)按不同設(shè)備類(lèi)型的流量示意ARUBA無(wú)線設(shè)備統(tǒng)計(jì)接入用戶數(shù)最高的AP排名（前十）可以看出，最高接入用戶達(dá)到了154人，而且排名第十的AP接入的用戶也達(dá)到了92人。l 基于2層的VRRP快速冗余倒換：VRRP將多個(gè)無(wú)線控制器組織成一個(gè)備份組，功能上相當(dāng)于一臺(tái)虛擬無(wú)線控制器。于是，網(wǎng)絡(luò)內(nèi)的AP就通過(guò)這個(gè)虛擬路由器與其它網(wǎng)絡(luò)進(jìn)行通信。VRRP作冗余備份的優(yōu)點(diǎn)是倒換速度快，從主無(wú)線控制器切換到備用無(wú)線控制器只需10～12秒左右。業(yè)務(wù)倒換前狀態(tài)業(yè)務(wù)倒換后狀態(tài)l 基于3層的主備控制器冗余倒換：這種基于主備控制器倒換機(jī)制，是絕大多數(shù)WLAN廠家使用的冗余備份方法。這種方式的優(yōu)點(diǎn)是對(duì)控制器的連接沒(méi)有特殊要求，網(wǎng)絡(luò)可以是2層也可以是3層。對(duì)部分業(yè)務(wù)可能會(huì)引起終端，引起用戶的重連接和認(rèn)證。從RF覆蓋面，帶寬，用戶的認(rèn)證，以及接入的安全都要考慮。ARUBA系統(tǒng)具有非常強(qiáng)的無(wú)線局域網(wǎng)集中射頻管理功能，通過(guò)無(wú)線控制器Master Switch和Local Switch管理模式管理整個(gè)網(wǎng)絡(luò)，網(wǎng)管人員只需在無(wú)線控制器就可開(kāi)通、管理、維護(hù)所有AP設(shè)備以及移動(dòng)終端，包括無(wú)線電波頻譜、無(wú)線安全、接入認(rèn)證、移動(dòng)漫游以及接入用戶。 當(dāng)無(wú)線局域網(wǎng)經(jīng)過(guò)自動(dòng)校準(zhǔn)的調(diào)整后而正式投入網(wǎng)絡(luò)運(yùn)作時(shí)，網(wǎng)絡(luò)管理員可在ARUBA 交換機(jī)內(nèi)啟動(dòng)ARM這功能，無(wú)線網(wǎng)上所有的ARUBA AP都會(huì)在設(shè)定的時(shí)間內(nèi)自行掃描其它的無(wú)線頻道。當(dāng)AP停留在一個(gè)頻道時(shí)，它會(huì)把在這頻道上收到的無(wú)線電波信息轉(zhuǎn)送回ARUBA 無(wú)線控制器。ARUBA 無(wú)線控制器可以對(duì)整個(gè)無(wú)線網(wǎng)上的電波情況偵測(cè)和記錄。借助于智能射頻管理功能，ARUBA無(wú)線控制器可以通過(guò)調(diào)整AP的發(fā)信功率，消除無(wú)線網(wǎng)絡(luò)覆蓋的盲區(qū)，同時(shí)對(duì)AP工作信道的優(yōu)化則有助于幫助無(wú)線網(wǎng)絡(luò)避免同頻干擾，從而更加有效地運(yùn)行。如下圖所示：無(wú)線入侵檢測(cè)非法設(shè)備是未經(jīng)網(wǎng)絡(luò)管理者許可部署的無(wú)線設(shè)備或者是發(fā)起無(wú)線攻擊的設(shè)備，無(wú)線控制器可以指定AP工作在兩種工作模式：模式一、AP負(fù)責(zé)監(jiān)聽(tīng)空口所有信道的信息，但不負(fù)責(zé)用戶報(bào)文的轉(zhuǎn)發(fā)；模式二、AP在為用戶轉(zhuǎn)發(fā)數(shù)據(jù)的同時(shí)定期切換到其他信道監(jiān)聽(tīng)信息；AP設(shè)備負(fù)責(zé)把監(jiān)聽(tīng)到的無(wú)線設(shè)備和有攻擊行為的無(wú)線設(shè)備上報(bào)給無(wú)線控制器；無(wú)線控制器根據(jù)AP上報(bào)的設(shè)備信息識(shí)別合法設(shè)備，排除非法設(shè)備；無(wú)線控制器可以控制AP 將非法設(shè)備列入黑名單或者對(duì)其發(fā)起攻擊。在傳統(tǒng)的無(wú)線局域網(wǎng)內(nèi)，無(wú)線終端要跨越不同AP之間漫游是有一定的困難，因?yàn)椴煌珹P之間，它的無(wú)線用戶IP子網(wǎng)可能都不是在同一個(gè)VLAN內(nèi)。過(guò)去為了解決跨越三層的漫游，有些用戶采用了Mobile IP的技術(shù)，但Mobile IP的缺點(diǎn)是它必須在無(wú)線終端安裝軟件。通過(guò)ARUBA 無(wú)線系統(tǒng)的代理 DHCP 功能，就可解決了跨越不同三層IP子網(wǎng)的無(wú)線漫游問(wèn)題。用戶的原交換機(jī)會(huì)告知用戶漫游到的ARUBA 交換機(jī)繼續(xù)保持用戶的原有的IP地址。代理DHCP 的優(yōu)點(diǎn)是無(wú)要在用戶終端安裝任何軟件就可讓終端無(wú)縫的在不同IP子網(wǎng)之間漫游。在影院級(jí)無(wú)線網(wǎng)絡(luò)的規(guī)劃中，由于信號(hào)的覆蓋將會(huì)帶來(lái)眾多的未知訪問(wèn)者試圖進(jìn)行的訪問(wèn)連接，無(wú)線網(wǎng)絡(luò)如何從中識(shí)別出合法的用戶，避免非法用戶利用無(wú)線網(wǎng)絡(luò)的安全隱患入侵整個(gè)網(wǎng)絡(luò)，往往成為了無(wú)線網(wǎng)絡(luò)規(guī)劃者需要解決的難點(diǎn)。ARUBA也是多年來(lái)的全球黑客大會(huì)的無(wú)線贊助商。無(wú)線網(wǎng)絡(luò)的安全保護(hù)和檢測(cè)由于無(wú)線終端接入是沒(méi)有明確物理位置限制的，所以管理方極難用固定的網(wǎng)絡(luò)防火墻設(shè)備來(lái)防范無(wú)線連接(防火墻一般很少會(huì)設(shè)置在每一個(gè)接入層的數(shù)據(jù)鏈路上)。有一些企業(yè)為了安全就采用一刀切的方法，把所有無(wú)線接入?yún)R聚到一個(gè)DMZ內(nèi)，再通過(guò)網(wǎng)絡(luò)防火墻的過(guò)濾才讓無(wú)線數(shù)據(jù)進(jìn)入影院內(nèi)網(wǎng)。如果不是經(jīng)過(guò)DMZ的話，則可能威脅到內(nèi)網(wǎng)的安全，但要把在不同接入點(diǎn)AP的無(wú)線用戶/終端和有線用戶(在同一接入點(diǎn))完全分隔開(kāi)而設(shè)置到DMZ上的同一個(gè)VLAN則需在現(xiàn)有的局域網(wǎng)做很多改動(dòng)。采用傳統(tǒng)的網(wǎng)絡(luò)防火墻來(lái)實(shí)現(xiàn)無(wú)線接入安全保護(hù)的最大問(wèn)題是缺乏靈活性，因它本質(zhì)上不是設(shè)計(jì)來(lái)做內(nèi)部的安全保護(hù)，而是用來(lái)確保外來(lái)數(shù)據(jù)進(jìn)入影院內(nèi)網(wǎng)是安全可靠的，所以一般都會(huì)設(shè)置在影院因特網(wǎng)的連接口。由于不能確認(rèn)用戶的身份，所以防火墻的檢查或策略只可按端口和IP 原地址來(lái)制定，不管用戶是誰(shuí)。要做到實(shí)施和維護(hù)簡(jiǎn)單方便，亦可根據(jù)用戶身份來(lái)制定安全訪問(wèn)策略，ARUBA的無(wú)線解決方案就可以徹底解決這些問(wèn)題。網(wǎng)管人員亦可開(kāi)啟自動(dòng)保護(hù)機(jī)制，阻止無(wú)線終端通過(guò)非法AP連接到傳輸網(wǎng)內(nèi)。 DeAuth包會(huì)不停地發(fā)出直到在線的無(wú)線終端的無(wú)線連接被打斷為止。ARUBA的自動(dòng)保護(hù)系統(tǒng)是市場(chǎng)上最卓越和最全面的無(wú)線網(wǎng)絡(luò)安全保護(hù)工具。如果把隔壁公司所安裝和使用的AP視為非法AP的話，很容易就會(huì)把它們正常的無(wú)線連接打斷，間接變成DOS攻擊其它影院的網(wǎng)絡(luò)。當(dāng)安裝ARUBA無(wú)線系統(tǒng)的時(shí)候，網(wǎng)管人員可把部署的圖紙輸入到ARUBA無(wú)線控制器內(nèi)的RF Planning 系統(tǒng)，然后把AP安裝的物理位置輸入到圖紙上的座標(biāo)或具體的位置上。這種無(wú)線定位模式稱(chēng)為三角定位，它的準(zhǔn)確性可達(dá)到5米以內(nèi)，先決條件是所尋找的無(wú)線終端附近須有最小三個(gè)ARUBA的AP 在范圍內(nèi)。多層次無(wú)線網(wǎng)絡(luò)安全體系在ARUBA無(wú)線系統(tǒng)中，可以在多個(gè)層面對(duì)系統(tǒng)構(gòu)筑安全防護(hù)，其安全性設(shè)計(jì)如下：ARUBA無(wú)線系統(tǒng)中可以設(shè)定用戶的角色（role），每個(gè)role可以基于用戶狀態(tài)防火墻和代理限制的設(shè)定等規(guī)則。傳統(tǒng)的網(wǎng)絡(luò)防火墻是沒(méi)有基于用戶的，它的保護(hù)只是基于IP地址或物理端口來(lái)制定防火墻策略，所以對(duì)于沒(méi)有固定接入點(diǎn)的無(wú)線終端，這種防火墻的功效很小。一般在防火墻策略設(shè)計(jì)中，可以將訪客的權(quán)限設(shè)置的較低，只能訪問(wèn)有限的資源，且優(yōu)先級(jí)較低，并且有帶寬的限制，甚至可以做時(shí)間段的限制。在帶寬方面可以做比較寬松的限制。網(wǎng)絡(luò)的初級(jí)認(rèn)證通過(guò)統(tǒng)一身份認(rèn)證系統(tǒng)完成，然后根據(jù)在無(wú)線控制器中設(shè)置的策略，對(duì)每個(gè)用戶進(jìn)行分別的策略管理。啟動(dòng)帶寬保證機(jī)制，如為每一個(gè)顧客設(shè)定帶寬保證為1M，這樣如果某一用戶的流量出現(xiàn)異常時(shí)（計(jì)算機(jī)中毒或使用BT等工具）不會(huì)影響到其他用戶和整個(gè)網(wǎng)絡(luò)性能。l 用戶狀態(tài)防火墻：用戶通過(guò)認(rèn)證以后，會(huì)有一個(gè)基于這個(gè)用戶的狀態(tài)防火墻，可以根據(jù)每個(gè)用戶設(shè)置他的訪問(wèn)控制策略，比如可以訪問(wèn)Internet,不能訪問(wèn)圖書(shū)館的服務(wù)器，只能訪問(wèn)WEB網(wǎng)頁(yè)和收發(fā)郵件，不能運(yùn)行P2P的軟件等。l 非法用戶隔離：ARUBA系統(tǒng)檢測(cè)到非法用戶或非法認(rèn)證請(qǐng)求超過(guò)門(mén)限后，自動(dòng)將該用戶放入黑名單組中，該用戶將無(wú)法跟無(wú)線網(wǎng)絡(luò)作關(guān)聯(lián)。l ARP欺騙和IP spoofing攻擊防護(hù)：ARUBA內(nèi)置了機(jī)制可以防護(hù)各種ARPG和IP Spoofing攻擊，有效的阻隔由于個(gè)別用戶導(dǎo)致整個(gè)無(wú)線網(wǎng)絡(luò)癱瘓。l 網(wǎng)絡(luò)病毒的防護(hù)：無(wú)線終端病毒防護(hù)的可以從無(wú)線終端的準(zhǔn)入檢查以及對(duì)無(wú)線終端發(fā)出數(shù)據(jù)進(jìn)行有效的檢測(cè)兩個(gè)層面來(lái)進(jìn)行的。在數(shù)據(jù)的檢測(cè)上，ARUBA無(wú)線控制器上可以設(shè)定策略，對(duì)于某些無(wú)線用戶沾染病毒的終端，ARUBA無(wú)線系統(tǒng)將其導(dǎo)向到第三方防病毒系統(tǒng)進(jìn)行防病毒的檢查，檢查完成后，才允許接入。ARUBA的控制器也支持IPSEC,PPTP,L2TP各種VPN模式，并能和各種主流的VPN客戶端互通。一般而言，為了縮小廣播域，減輕網(wǎng)絡(luò)二層廣播流量對(duì)網(wǎng)絡(luò)、對(duì)終端的性能壓力，網(wǎng)絡(luò)管理員往往采用每個(gè)VLAN對(duì)應(yīng)一個(gè)C類(lèi)地址，來(lái)設(shè)置一個(gè)IP子網(wǎng)，每個(gè)子網(wǎng)內(nèi)最多可以容納253個(gè)用戶。這樣的設(shè)計(jì)與網(wǎng)絡(luò)管理員縮小廣播域的愿望完全是背道而馳的，會(huì)使得所有的用戶集中在同一個(gè)VLAN，也就是同一個(gè)廣播域內(nèi)，從而導(dǎo)致網(wǎng)絡(luò)中充斥著大量的廣播包，并進(jìn)一步造成終端處理能力的下降和網(wǎng)絡(luò)擁塞。這樣，就使得無(wú)線信道上的廣播流量大幅度的降低，從根本上實(shí)現(xiàn)了對(duì)廣播包的抑制和網(wǎng)絡(luò)性能優(yōu)化。. 無(wú)線網(wǎng)絡(luò)管理以及現(xiàn)有設(shè)備整合要求在大型復(fù)雜環(huán)境下管理無(wú)線網(wǎng)絡(luò)涉及到傳統(tǒng)影院有線網(wǎng)絡(luò)所沒(méi)有的挑戰(zhàn)，這對(duì)網(wǎng)絡(luò)管理提出了更高的要求：l 可見(jiàn)性 降低無(wú)線網(wǎng)絡(luò)支持成本和提高性能的關(guān)鍵是網(wǎng)管人員能夠快速可靠地獲得診斷和解決問(wèn)題所需的信息。 l 用戶與設(shè)備監(jiān)控 無(wú)線網(wǎng)管應(yīng)為網(wǎng)絡(luò)中的每個(gè)用戶和設(shè)備提供單獨(dú)的實(shí)時(shí)監(jiān)控屏幕。還可以檢查射頻統(tǒng)計(jì)（“ 計(jì)數(shù)器”）和 QoS 數(shù)據(jù)（語(yǔ)音流量與數(shù)據(jù)）， 以便更好地診斷問(wèn)題。 l 歷史趨勢(shì)報(bào)告 要恰當(dāng)?shù)匾?guī)劃網(wǎng)絡(luò)容量和診斷用戶問(wèn)題，僅分析實(shí)時(shí)數(shù)據(jù)是不夠的。無(wú)線網(wǎng)管需要提供長(zhǎng)達(dá)一年的歷史數(shù)據(jù)和用戶漫游記錄。因此無(wú)線網(wǎng)管應(yīng)具有多客戶端定位，追蹤，問(wèn)題分析等功能。 l 用戶搜索 為了提供最終用戶要求的支持，幫助臺(tái)必須首先能夠找到這些用戶并確定他們所在位置的網(wǎng)絡(luò)性能。如果他們出于任何原因而需要調(diào)用位置地圖，需使用導(dǎo)航功能點(diǎn)擊適當(dāng)?shù)膱@區(qū)、建筑 或樓層即可。第5章. Aruba智慧影院無(wú)線網(wǎng)絡(luò)關(guān)鍵技術(shù). 靈活的組網(wǎng)架構(gòu) Aruba智慧影院無(wú)線網(wǎng)絡(luò)具有很高的靈活性，網(wǎng)絡(luò)部署架構(gòu)可以有多種選擇，包括虛擬控制器(Instant AP)組網(wǎng)、標(biāo)準(zhǔn)園區(qū)“瘦AP＋控制器”組網(wǎng)、分支機(jī)構(gòu)組網(wǎng)、遠(yuǎn)程AP組網(wǎng)等。更重要的是，ARUBA提供最安全的無(wú)線網(wǎng)絡(luò)解決方案，從射頻層面、網(wǎng)絡(luò)層面到應(yīng)用層面實(shí)現(xiàn)全方位的安全防護(hù)，提供最靈活的網(wǎng)絡(luò)策略控制。 無(wú)線入侵檢測(cè)與防御WIDS/WIPSARUBA控制器和無(wú)線AP內(nèi)置了無(wú)線入侵保護(hù)功能。因此，通過(guò)ARUBA提供的無(wú)線入侵保護(hù)功能，用戶不僅可以保護(hù)無(wú)線網(wǎng)絡(luò)自身不被攻擊，而且還可以進(jìn)一步對(duì)用戶的有線網(wǎng)絡(luò)進(jìn)行保護(hù)，有效防范攻擊者采用無(wú)線網(wǎng)絡(luò)技術(shù)對(duì)有線網(wǎng)絡(luò)實(shí)施的網(wǎng)絡(luò)入侵行為。 ICSA認(rèn)證全線速用戶角色狀態(tài)防火墻ARUBA控制器內(nèi)置的用戶狀態(tài)防火墻可以幫助用戶輕松地將用戶訪問(wèn)策略、帶寬和會(huì)話限制特性部署在網(wǎng)絡(luò)接入點(diǎn)上，從而能夠在用戶剛剛連接網(wǎng)絡(luò)時(shí)就立刻實(shí)施相應(yīng)得安全策略，而不是等用戶流量進(jìn)入網(wǎng)絡(luò)后才在后臺(tái)防火墻上進(jìn)行補(bǔ)救，因此可以使用戶安全控制的有效性得到很大的提高。當(dāng)無(wú)線用戶的網(wǎng)絡(luò)行為超過(guò)預(yù)先定義的防火墻策略時(shí)（如被檢測(cè)到存在Ping flood、TCP SYN等網(wǎng)絡(luò)攻擊行為，或者病毒感染引起的大量廣播/組播包等），ARUBA控制器能夠自動(dòng)將攻擊源加入黑名單，從無(wú)線網(wǎng)絡(luò)中斷開(kāi)，以保持無(wú)線網(wǎng)絡(luò)的穩(wěn)定運(yùn)行。 全面直觀的可視化接入監(jiān)控提供基于用戶、終端類(lèi)型、訪問(wèn)目標(biāo)、應(yīng)用類(lèi)型、網(wǎng)絡(luò)、用戶角色全面的網(wǎng)絡(luò)應(yīng)用儀表盤(pán)和URL檢測(cè)和記錄，對(duì)網(wǎng)絡(luò)行為進(jìn)行直觀統(tǒng)計(jì)。能夠基于XML API接口，在認(rèn)證策略服務(wù)器用戶數(shù)據(jù)庫(kù)中查詢、添加、修改顧客賬戶信息（包括帳號(hào)、密碼、姓名、性別、年齡、聯(lián)系方式等）。Aruba ClearPass可以植入問(wèn)卷調(diào)查系統(tǒng)，讓用戶給出最希望來(lái)影院獲得哪些促銷(xiāo)打折信息，然后后期結(jié)合后臺(tái)的CRM管理系統(tǒng)，定期給客戶發(fā)送促銷(xiāo)廣告郵件或者短信。. 業(yè)界最領(lǐng)先的高密度接入解決方案詳情請(qǐng)參考前面“高密度覆蓋部署建議”： 提供最優(yōu)化的高密度部署射頻處理技術(shù) 加拿大標(biāo)準(zhǔn)委員會(huì)(Standards Council of Canada)也授權(quán) TUV Rheinland of North America 依據(jù)加拿大國(guó)家標(biāo)準(zhǔn)對(duì)產(chǎn)品進(jìn)行測(cè)試和認(rèn)證,成功通過(guò)測(cè)試并獲得加拿大市場(chǎng)準(zhǔn)入證書(shū)的產(chǎn)品將獲得 cTUV 標(biāo)識(shí)。 另外，對(duì)于WLAN產(chǎn)品，滿足國(guó)際通用準(zhǔn)則，室內(nèi)ap發(fā)射功率應(yīng)不大于100mw，室外ap發(fā)射功率應(yīng)不大于400mw；不應(yīng)采用高增益天線對(duì)信號(hào)進(jìn)行