園區無線網絡解決方案-資料下載頁

【導讀】螆羀蒂螃袈膆莈螂肁羈莄螁螀芄芀莇袃肇膆莇羅節蒅莆蚅肅莁蒞螇芀芆蒄衿肅膂蒃袆蒁蒂蟻肂蕆蒁袃羄莃蒁羆膀艿蒀蚅羃膅葿螈膈蒄蒈袀羈莀薇膆芆薆螞罿膂薅螄膅膈薅羇肈蒆薄蚆芃莂薃蝿肆羋薂袁芁膄薁羃肄蒃蝕蚃袇荿蠆螅肂芅蠆羈裊芁蚈蚇膁膇蚇蝿羄蒅蚆袂腿莁蚅羄芇蚄蚄膇膃螃螆羀蒂螃袈膆莈螂肁羈莄螁螀芄芀莇袃肇膆莇羅節蒅莆蚅肅莁蒞螇芀芆蒄衿肅膂蒃袆蒁蒂蟻肂蕆蒁袃羄莃蒁羆膀艿蒀蚅羃膅葿螈膈蒄蒈袀羈莀薇膆芆薆螞罿膂薅螄膅膈薅羇肈蒆薄蚆芃莂薃蝿肆羋薂袁芁膄薁羃肄蒃蝕蚃袇荿蠆螅肂芅蠆羈裊芁蚈蚇膁膇蚇蝿羄蒅蚆袂腿莁蚅羄芇蚄蚄膇膃螃螆羀蒂螃袈膆莈螂肁羈莄螁螀芄芀莇袃肇膆莇羅節蒅莆蚅肅莁蒞螇芀芆蒄衿肅膂蒃袆蒁蒂蟻肂蕆蒁袃羄莃蒁羆膀艿蒀蚅羃膅葿螈膈蒄蒈袀羈莀薇膆芆薆螞罿膂薅螄膅膈薅羇肈蒆薄蚆芃莂薃蝿肆羋薂袁芁膄薁羃肄蒃蝕蚃袇荿蠆螅肂芅蠆羈裊芁蚈蚇膁膇蚇蝿羄蒅蚆袂腿莁蚅羄芇蚄蚄膇膃螃螆羀蒂螃袈膆莈螂肁羈莄螁螀芄芀莇袃肇膆莇羅節蒅莆蚅

　　

【正文】 ****產業開發區無線網絡工程建設方案 MESH的應用 點到多點橋接點到多點橋接 HA模式橋接 HA模式橋接 Wireless Mesh work是一種與傳統的無線網絡完全不同的網絡。傳統的無線網絡必須首先訪問集中的接入點（ AP）才能進行無線連接。這樣的話，即使兩個 ，它們也必須通過接入點才能進行通信。而在 Wireless Mesh work中，每個節點都可以與一個或者多個對等節點進行直接 通信，兼有 Wireless bridge 和接入訪問點的功能，甚至可以作為 Ether bridge的形式出現。因此 Wireless Mesh work可以形成豐富的應用，覆蓋較大的面積，并提供最高達 54M的接入速率。 根據不同的客戶要求， Aruba的 MESH系統可以進行室內以及室外的 MESH快速部署，通過 AP 的傳輸鏈路同時以 。 Aruba的 MESH特點是瘦 AP只需要轉換下許可證就可以轉換成 MESH AP，這樣就可以非常靈活的部 署 MESH。 21 ****產業開發區無線網絡工程建設方案 多業務區分設計 從 XX高新開發區的用戶分類與分布情況分析，使用無線網絡的用戶主要分成以下幾類： （ 1）園區各個企業； （ 2）訪客； （ 2）園區管理人員 使用無線網絡可以分為不同的無線接入業務類型。因此，建議在設計上采用無線局域網多 SSID技術，設置多業務區分方式。在一個無線局域網 內定義了不同加密情況時數據包的封裝格式，所以在用戶的無線 接入使用不同的加密程式，例如： WEP,TKIP(WPA),(WPA2)等等，不同加密方式不能在同一個 SSID內同時存在的。 XX高新開發區可根據實際的情況和 加密。最常見的做法是使用多個 SSID，例如：一個定義為通過 WEB 門戶的方式為訪客使用，另一個 SSID則為專為內部員工使用。未來的發展趨勢是新增設一個 加密的 SSID讓員工以過度的方式逐漸從轉移到這個 SSID上。 要注意的是 SSID 可以覆蓋全網，也可以只局限于企業網內的某些范圍。一般的情況下是全網開通，例如：客人 (Guest)使用的 SSID；但有些 SSID則可能供某些部門使用，所以它的覆蓋范圍通常只會局限在某些范圍內。 所以針對無線局域網多種用戶的不同業務類型應該采取不同的 SSID 進行管理和控制。企業領導、企業工作人員屬于企業內的固定用戶，可以采用專門的 SSID，可以采用級別較高的認證和加密手段，對于來賓、參加會議人員和來 22 ****產業開發區無線網絡工程建設方案 訪人員可以使用另一個 SSID，采用級別相對較低的認證和加密手段，這樣就實現了區分的服務。 ARUBA無線控制器內置強大的 PORTAL登錄界面可以通過網絡管理靈活簡潔的進行客戶化，登錄頁面推送，歡迎頁面推送等多種模式以配合 XX高新開發區的需求。 當用戶來到無線覆蓋區域的時候，開啟筆記本電腦的無線網絡，可以搜尋并且連接 XX 高新開發區的無線網絡系統，當打開 IE 等網絡瀏覽器的時候，會自動彈出 Aruba的網頁認證界面，可以有以下幾種方式來控制訪客的上網流程： 用戶需要填寫帳號名和密碼，通過認證之后能夠接入 XX高新開發區的無線網絡，訪問更多的 Inter資源，但是無法訪問內網資源； 23 ****產業開發區無線網絡工程建設方案 通過 ARUBA提供的客戶化 Web Portal認證功能 ,可很好的為外來訪問者提供接入網絡的可能。一種為前臺人員設計的獨特的簡化用戶生成系統，帶有到期時間和預設接入控制的臨時客人 ID。這樣，方便靈活的完成了 ,對訪客的訪問 XX高新開發區辦公外網網絡資源的要求。 無線安全性設計 無線網絡的安全保護和檢測 由于無線終端接入是沒有明確物理位置限制的，所以管理方極難用固定的網絡防火墻設備來防范無線連接 (防火墻一般很少會設置在每一個接入層的數據鏈路上 )。并且網絡防火墻是不能防止無線終端之間的通信，所以萬一有無線終端被病毒感染或黑客在無線發起攻擊的話，它都很會容易散播到其它的無線終端及整個傳輸網絡內的其它網點。有一些企業為了安全就采用一刀切的方法，把所有無線接入匯聚到一個 DMZ內，再通過網絡防火墻的過濾才讓無線數據進入企業內網。這種方式在具體實施時有一定的困難，只能局限在傳輸網內的某些范圍，因無線用戶 /終端必需集中在同一 VLAN 上處理，否則的話很難把它們匯聚到一個DMZ 內。如果不是經過 DMZ 的話，則可能威脅到 內網的安全，但要把在不同接入點 AP 的無線用戶 /終端和有線用戶 (在同一接入點 )完全分隔開而設置到DMZ上的同一個 VLAN則需在現有的局域網做很多改動。且未來如要增加多一些 AP 接入點的話，亦同樣需要在局域網的接入層，匯聚層做很多改動。 24 ****產業開發區無線網絡工程建設方案 采用傳統的網絡防火墻來實現無線接入安全保護的最大問題是缺乏靈活性，因它本質上不是設計來做內部的安全保護，而是用來確保外來數據進入企業內網是安全可靠的，所以一般都會設置在企業因特網的連接口。從因特 網進入企業內網無線接入的最大區別在于后者是可對用戶做認證，但前者是不可能實現。由于不能確認用戶的身份，所以防火墻的檢查或策略只可按端口和 IP 原地址來制定，不管用戶是誰。這種模式在企業內部署會對用戶的內網訪問有很多限制，缺乏靈活性，所以是很難被用戶廣泛接受，只可在小范圍或小規模的情況下實現。要做到實施和維護簡單方便，亦可根據用戶身份來制定安全訪問策略， ARUBA 的無線解決方案就可以徹底解決這些問題。 無線局域網的認證和加密 安全可以說是企業是否采用無線網的最主要考慮因素。網絡安全范圍是非常廣 ，從無線電波，無線鏈路層，以致網絡層和應用層等，它們都是息息相關和相互影響。如果單純只考慮無線接入層的安全而把網絡層分開處理的話，就會把整個網絡的安全結構打斷，不但在現有網絡上需重新設置以配合，令網絡維護變得更復雜和缺乏靈活性，且一不小心更會造成安全漏洞。 ARUBA 和其它廠家在認證和加密上的最大區別在于二者都不是通過 AP 來實現的，而是在 ARUBA 交換機上實現。這種結構稱為集中加密方式，不單比在AP 上做加密更安全，且大大簡化了用戶認證設置和管理。 試想當用戶透過 WPA登陸無線網時，認證是必須經過后臺的 radius 服務器，亦即前端必須有 radius clients．如果 AP 是 radius client的話，則在一個企業無線局域網，便須設置和管理很多 radius clients，這不但加添了不必要的麻煩，且亦增加了網絡安全的漏洞，因 radius 的 secret 密碼都是儲存在 AP 內，所以萬一AP 被盜竊，它的 Radius secret便泄露，這樣整個網絡的安全都會受到威脅。 由于 ARUBA 的 AP 是不儲存任何安全設置和無線局域網具體配置（ AP IP 網絡設置除外），再者 ARUBA的 AP 是不能單獨使用，所以就算 AP被盜取，黑客也不會拿到無線網絡配置的資料。 25 ****產業開發區無線網絡工程建設方案 檢測無線入侵和非法攔截和定位 通過 ARUBA 交換機的 WEB界面或中心化網管界面，企業網管中心便可查看到是否有非法 AP 在傳輸網內。網管人員亦可開啟自動保護機制，阻止無線終端通過非法 AP 連接到傳輸網內。這些非法的無線連接會被周邊最接近的 ARUBA AP 透過所發出的 DeAuth包所切斷。 DeAuth包會不停地發出直到在線的無線終端的無線連接被打斷為止。若要尋查非 法 AP 的位置所在，只需在 WEB 界面按 ―定位 ‖這按鈕，非法 AP 的位置就會顯示在企業辦公室的圖紙上（用戶必須預先把無線網絡的結構圖輸入 ARUBA 交換機內的 RF Planning 系統），網絡管理人員就可根據圖表顯示的位置找到這 AP。 ARUBA 的自動保護系統是市場上最卓越和最全面的無線網絡安全保護工具。要做到一個真正自動的保護機制就必須能正確識別所有在企業范圍內檢測出來的 AP 身份。如果把隔壁公司所安裝和使用的 AP 視為非法 AP 的話，很容易就會把它們正常的無線連接打斷，間接變成 DOS 攻擊其它企業的網絡。 ARUBA 還有一個獨特的無線射頻特性是可跟蹤在無線網絡內所有 WiFi 終端的位置，如 PDA, WiFi 手機，和筆記本等。當安裝 ARUBA無線系統的時候，網管人員可把部署的圖紙輸入到 ARUBA無線交換機內的 RF Planning 系統，然后把 AP 安裝的物理位置輸入到圖紙上的座標或具體的位置上。當在這個系統環境中尋找帶有無線終端的企業員工等所在位置時，例如非法 AP 或 WiFi 手機，在交換機內無線終端的記錄表內找到了終端的網絡地址后，可按 ―定位 ‖這按鈕，則網管界面會彈出在 RF Planning上終端在圖紙中的物理 位置。 26 ****產業開發區無線網絡工程建設方案 這種無線定位模式稱為三角定位，它的準確性可達到 米以內，先決條件是所尋找的無線終端附近須有最小三個 ARUBA的 AP 在范圍內。這是傳統無線網絡所不能做的。 多層次無線網絡安全體系 在 ARUBA無線系統中，可以在多個層面對系統構筑安全防護，其安全性設計如下： 多 SSID：可以根據需要，如用戶的種類、應用的種類，在 ARUBA無 線系統中設置多個 SSID，不同的 SSID采用不同的安全策略，這樣可 以對不同的用戶及應 用進行區分服務。另外 SSID 還可以選擇隱藏的方式，該SSID不廣播，用戶無法看到，防止非法用戶的連接企圖。 SSID還可以選擇在某些 AP 上出現，某些 AP 上不出現，限制 SSID出現的 范圍也是實現安全性的一種手段。 加密： ARUBA無線系統支持多種加密的方式，二層的加密支持靜態 WEP、動態 WEP、 TKIP、 WPA、 多種加密方式，三層的加 密支持 IPSec VPN加密，這樣使得加密的方式更加的靈活，可以根據 實際需求進行選擇。 用戶認證提供二種方式： a) WPAPSK＋ captive portal 加密方式采用 WPAPSK，不建議采用靜態 WEP，因為有安全隱患。 27 ****產業開發區無線網絡工程建設方案 采用 captive portal 的認證方式，認證服務器的選擇比較靈活，可以使 用 RADIUS, LDAP, Windows NT, ActiveDirectory, TACACS，甚至是 ARUBA交換機內置的帳戶數據庫。 b) WPA+ WPA，如果客戶端不支持也可采 用動態 WEP，認證方式采 用 ，認證服務器選擇 RADIUS。 用