某酒店無線網絡系統設計方案-資料下載頁

　　

【正文】 dius client 的話，則在一個 酒店 無線局域網，便須設置和管理很多 radius clients，這不但加添了不必要的麻煩，且亦增加了網絡安全的漏洞，因 radius 的 secret 密碼都是儲存在 AP 內，所以萬一AP 被盜竊，它的 Radius secret 便泄露，這樣整個網絡的安全都會受到威脅。 由于 ARUBA 的 AP 是不儲存任何安全設置和無線局域網具體配置（ AP IP網絡設置除外），再者 ARUBA 的 AP 是不能單獨使用，所以就算 AP 被盜取，黑客也不會拿到無線網絡配置的資料。 . 檢測無線入侵和非法攔截和定位 通過 ARUBA 交換機的 WEB 界面 或中心化網管界面 ， 酒店 網管中心便可查看到是否有非法 AP 在傳輸網內。網管人員亦可開啟自動保護機制，阻止無線終端通過非法 AP 連接到傳輸網內。這些非法的無線連接會被周邊最接近的 ARUBA AP 透過所發出的 DeAuth 包所切斷。 DeAuth 包會不停地發出直到在線的無線終端的無線連接被打斷為止。若要尋查非法 AP 的位置所在，只需 ARUBA Networks 24 of 44 在 WEB 界面按“定位”這按鈕，非法 AP 的位置就會顯示在 酒店 辦公 室的圖紙上（用戶必須預先把無線網絡的結構圖輸入 ARUBA 交換機內的 RF Planning 系統），網絡管理人員就可根據圖表顯示的位置找到這 AP。 ARUBA 的自動保護系統是市場上最卓越和最全面的無線網絡安全保護工具。要做到一個真正自動的保護機制就必須能正確識別所有在 酒店 范圍內檢測出來的 AP 身份。如果把隔壁公司所安裝和使用的 AP 視為非法 AP 的話，很容易就會把它們正常的無線連接打斷，間接變成 DOS 攻擊其它 酒店 的網絡。 ARUBA 還有一個獨特的無線射頻特性是可跟蹤在無線網絡內所有 WiFi終端的位置，如 PDA, WiFi手機，和筆記本等。當安裝 ARUBA 無線系統的時候，網管人員可把部署的圖紙輸入到 ARUBA 無線交換機內的 RF Planning 系統，然后把 AP 安裝的物理位置輸入到圖紙上的座標或具體的位置上。當在這個系統環境中尋找帶有無線終端的 酒店員工 等所在位置時，例如非法 AP 或 WiFi 手機，在交換機內無線終端的記錄表內找到了終端的網絡地址后，可按“定位”這按鈕，則網管界面會彈出在 RF Planning 上終端在圖紙中的物理位置。 這種無線定位模式稱為三角定位，它的準確性可達到 米以內，先決條件是所尋找 的無線終端附近須有最小三個 ARUBA 的 AP 在范圍內。這是傳統無線網絡所不能做的。 ARUBA Networks 25 of 44 . 多層次無線網絡安全體系 在 ARUBA 無線系統中，可以在多個層面對系統構筑安全防護，其安全性設計如下： ? 多 SSID：可以根據需要，如用戶的種類、應用的種類，在 ARUBA 無線系統中設置多個 SSID，不同的 SSID 采用不同的安全策略，這樣可以對不同的用戶及應用進行區分服務。另外 SSID 還可以選擇隱藏的方式，該 SSID 不廣播，用戶無法看到，防止非法用戶的連接企圖。 SSID 還可以選擇在某些 AP 上出現，某些 AP 上不出現，限制 SSID 出現 的范圍也是實現安全性的一種手段。 ? 加密 ： ARUBA 無線系統支持多種加密的方式，二層的加密支持靜態WEP、動態 WEP、 TKIP、 WPA、 多種加密方式，三層的加密支持IPSec VPN 加密，這樣使得加密的方式更加的靈活，可以根據實際需求進行選擇。 ? 用戶認證提供二種方式 ： a) WPAPSK＋ captive portal 加密方式采用 WPAPSK，不建議采用靜態 WEP，因為有安全隱患。采用 captive portal 的認證方式 ， 認證服務器的選擇比較靈活，可以使用 RADIUS, LDAP, Windows NT, ActiveDirectory, TACACS，甚至是 ARUBA 交換機內置的帳戶數據庫。 b) WPA+ 加密方式盡量采用 WPA，如果客戶端不支持也可采用動態 WEP，認證方式采用 ，認證服務器選擇 RADIUS。 ? 用戶的 Role（角色） ：每一類用戶可以建立一個相關的 Role，每個 Role有一個用戶狀態防火墻的設定和帶寬控制的設定，這樣我們就可以將設定的安全策略加載到每個用戶身上。 ? 用戶狀態防火墻 ：用戶通過認證以后，會有一個基于這個用戶的狀態防火墻，可以根據每個用戶設置他的訪問控 制策略，比如可以訪問 Inter,不能訪問 公司 的服務器，只能訪問 WEB 網頁和收發郵件，不能運行 P2P 的軟件等。 ? 帶寬控制：可以對每個用戶設定其可以使用的帶寬，一方面可以限制其對網絡資源的占有，另一方面，當該客戶端中了病毒以后，其病毒發作時不會占用網絡全部的帶寬。 ARUBA Networks 26 of 44 ? 認證系統支持： ARUBA 無線系統支持多種認證系統，諸如 Radius、LDAP、微軟的 AD（活動目錄）和在 ARUBA 無線交換機內部的 Internal DB 等等。 ? 網絡病毒的防護： 無線終端病毒防護的可以從無線終端的準入檢查以及對無線終端發出數據進 行有效的檢測兩個層面來進行的。準入檢查可以檢查終端操作系統的安全狀態，諸如系統打補丁的情況、安裝防病毒軟件的情況、以及防病毒定義碼升級的情況，并設置安全策略是否準予進入網絡。在數據的檢測上，ARUBA 無線交換機上可以設定策略，對于某些無線用戶沾染病毒的終端，ARUBA 無線系統將其導向到第三方防病毒系統進行防病毒的檢查，檢查完成后，才允許接入。 . 移動漫游設計 無線用戶移動漫游，涉及到多個層次的漫游，最為簡單的是二層漫游，其他廠家產品都表現不錯，三層漫游就困難多了，還有當用戶跨越多個域時怎樣無縫漫游， ARUBA 無線局域網可以實現快速無縫漫游功能。 . L2/L3 層漫游 在傳統的無線局域網內，無線終端要跨越不同 AP 之間漫游是有一定的困難，因為不同 AP 之間，它的無線用戶 IP 子網可能都不是在同一個 VLAN 內。所以當無線終端從一個 AP 漫游到另一 AP 時，由于它們之間的缺省 IP 子網不同，無線終端會重新發出 DHCP 請求，這樣的話終端的 IP 地址就會更新，所有在原先AP 建立的連接都會被切斷。過去為了解決跨越三層的漫游，有些用戶采用了Mobile IP 的技術，但 Mobile IP 的缺點是它必須在無線終端安裝軟件。這是一般網絡管理人員不愿 意做的事情，因為它們就必須支持和維護用戶的無線接入端。 通過 ARUBA 無線系統的代理 DHCP 功能，就可解決了跨越不同三層 IP子網的無線漫游問題。 當無線終端從一個 AP 的 IP 子網漫游到另一個 AP 的 IP子網時，它重新發出的 DHCP 請求，會從 AP 端的 ARUBA 無線交換機轉發到原有子網的無線交換機 (用戶從那一個 AP 獲取它的 IP 地址 )。用戶的原交換機會告知用戶漫游到的 ARUBA 交換機繼續保持用戶的原有的 IP 地址。無線用戶已 ARUBA Networks 27 of 44 漫游到另一個 IP 子網，但它仍可以原有的 IP 地址繼續在新的 AP 上入網。代理DHCP 的優 點是無要在用戶終端安裝任何軟件就可讓終端無縫的在不同 IP 子網之間漫游。 . 在不同域之間的用戶認證和漫游 如果 XX 酒店 酒店 網絡 內， 在各個分公司之間 ， 建立不同的 用戶數據庫，即所謂的本地認證服務器。 在使用 ARUBA 的解決方案，也可以使無線 用戶 在不同的分公司進行 無縫漫游。 當用戶不是在本地入網或是從一個 地點 的接入點漫游到另一 地點 的接入點需要重新認證時，如果用戶名和密碼在當地的數據庫是不存在的話，則用戶會被斷線。要做到真正的無縫漫游，則需要有支持 Radius 代理這樣的功能。但由于不是所有的認證服務器都支持這種 功能所以在具體實施時也有一定的困難。 ARUBA 本身就可提供不同域之間的認證功能，域名可以與 SSID綁定，亦可以讓用戶在登陸網頁時輸入或選擇域名。 ARUBA 會把在不同域之間的認證請求轉發到對應這域的 radius 服務器處理。 ARUBA Networks 28 of 44 . 無線交換機的配置實施建議 一般廠家的無線網絡產品在 酒店 網規劃時都需要二層交換機連接或者劃分VLAN，否則只能將認證點下放到 AP 上，導致整體性能的降低和漫游特性的缺失。 由于 ARUBA 的 AP 是通過 GRE 的隧道連接到 ARUBA 交換機上，所以ARUBA 產品在規劃上可以完全不改變 酒店網絡 原有 的網絡結構，同時實現無縫的二三層漫游。并且所有的 AP 都統一規劃統一集中管理。 下面詳細敘述一下無線交換機在規劃配置實施時需要考慮的問題： . AP 的 VLAN 和無線用戶的 VLAN 第一代的無線局域網對 AP 所在的 VLAN(AP為網絡設備 )和無線用戶所在的VLAN 是沒有明確的區分。第一代無線組網無論對無線用戶、 AP 和網絡的管理都有一定困難，而且很容易造成混亂。對網絡管理而然，網絡設備的 VLAN/IP子網應當和用戶是分開，這樣才可確保正常網絡運行和維護。但在具體實施時，很多為了方便都會把 AP 和無線用戶設置在同一個 VLAN 內。這種組網方式在現今的非常普遍，所以一般用戶都誤解無線局域網的 SSID 為局域網的 VLAN。 . VLAN 和無線 SSID 的關系 一般用戶都誤解無線局域網的 SSID 為局域網的 VLAN，這可能是由于第一代的無線局域網都是通過“ FAT AP”組網的原因。其實二者之間的關系并非是一對一，即一個 SSID 必須對應有一個 VLAN。當然把一 SSID 設定在一個VLAN 內對傳統的無線局域網只能夠支持第二層的無線用戶漫游是唯一可實現的方式。但這樣的組網必須在現有的網絡上做出很多改動， AP 數量多時，無線用戶 VLAN/IP 子網也增多 ，無線用戶 IP 子網在局域網內必須全打通， (即匯聚層和骨干層的路由開通 ) 否則無線用戶就不能訪問局域網上其它網點，包括在不同接入層的無線用戶。 ARUBA Networks 29 of 44 ARUBA 交換機組網，當無線用戶加入到無線網上的一個 SSID 時，很容易與 VLAN 綁定，無線用戶漫游到不同 AP 上，因 SSID 的缺省 VLAN 實際上是穿越接入層到 ARUBA 交換機上，用戶的 VLAN 是無需在每個接入層上開通。 但亦有可能 SSID 在不同的 AP 接入點時，它設置的缺省 VLAN 是不一樣的。當有這樣的情況出現時，無線用戶從一個 AP 接入點漫游到另一個 AP 接入點時， DHCP 協議應會重分發給無線終端新的 IP 地址，但如果無線終端的 IP 地址更新的話，它先前建立的所有應用連接就會被切斷。這樣的無線局域網實際上就不能支持跨三層無線漫游。 . 無線局域網 – 不需更改局域網路由 大規模在園內實現無線局域網接入，不需要在現有的局域網上做很多路由的修改， ARUBA AP 所在的 VLAN 和無線用戶的 VLAN 是獨立分開的，用戶只須在 ARUBA AP 的接入點分配給它 IP 地址即可，這個 IP 地址可以是通過 DHCP 服務器來分發，可以是以靜態 IP 地址方式配置在 ARUBA AP 上。 由于無線用戶的傳 輸是通過 ARUBA AP 內已建立的 GRE 隧道和 ARUBA交換機互連的，所以實際上無線用戶的 VLAN 是無須在接入層和匯聚層存在。當大規模開展無線局域網時，就無須把在不同接入層上新增的無線終端 VLAN/IP子網逐一在局域網上打通。無線用戶的 VLAN 是可透過 ARUBA 交換機和骨干交換機互連互通。 . 網絡與用戶管理 ARUBA 無線系統中可以設定用戶的角色（ role）