無線校園網工程技術建議書-資料下載頁

【導讀】東北大學工商管理學院。杭州華三通信技術有限公司。東北大學工商管理學院網絡改造項目技術建議書

　　

【正文】 WX3000 系列 一體化交換機在支持對傳統 ，還可以與 H3C 于 協議的 WA2600 系列 AP 配合組網，從而提供相當于傳統 的無線接入速率，能夠覆蓋更大的范圍，使無線多媒體應用成為現實。 提供靈活的數據轉發方式 支持集中式轉發和分布式轉發。單一的集中式轉發， AC 雖然能對報文進行全面控制，但所有的無線業務流都要到 AC 進行統一處理，使得 AC 的轉發能力很容易成為瓶頸。特別是當通過廣域網方式轉發時， AP 作為數據接入設備部署在分支機構，而無線控制器部署在總部 ，所有用戶數據由 AP 發送到無線控制器，再由無線控制器進行集中轉發，導致轉發效率低下。甚至當 出現時，一個 AP 的業務報文流量高達 300M 之多， AC 的處理性能更加成為無線系統的瓶頸。當采用分布式轉發時，報文在 AP 上直接轉化為有線格式的報文，并不經過 AC，能夠實現無線報文的寬帶接入。 WX3000 系列一體化交換機，支持兩種轉發方式，用戶可以根據需要，給 SSID 設置轉發的類型。 提供基于位置的用戶接入控制 東北大學工商管理學院網絡改造項目 技術建議書 20 出于安全性或計費等的考慮，系統管理員可能希望控制無線用戶接入到網絡中的位置。H3C WX3000 系列 一體化交換機支持基于 AP 的用戶接入控制。當無線用戶接入網絡時，可以通過認證服務器向 AC 下發允許用戶接入的 AP 列表，在 AC 上進行接入控制，從而達到限制無線用戶只能接入到指定位置的 AP 的目的。 提供精細的無線用戶管理 基于 MAC 的認證接入控制方式，不但可以使得客戶在 AAA 服務器上對用戶組進行權限的配置和修改，同時支持對具體用戶的權限的配置，這種精細的用戶權限控制大大增強了無線網絡的可用度，網管人員可以輕松通過該方式對不同級別的人或人群進行接入權限分配。 基于 MAC 的 VLAN 同樣也是 WX3000 系列一體化交換機的 一大特色，在控制策略上，管理員可以把相同性質的用戶（ MAC）劃分到同一個 VLAN，同時在控制器上基于 VLAN配置安全策略，這樣做既可以簡化系統配置，又可以做到用戶級粒度的精細管理。 提供內置 認證服務器和內置 Portal 認證服務器 H3C WX3000 系列一體化交換機內置 認證服務器，支持 TLS、 PEAP、 MD5 等多種 的認證方式。在中小型企業用戶不需要計費功能，而只需接入控制和數據加密要求時，可利用內置的 Radius 服務器直接在設備上完成 認證功能，免去了復雜的 AAA服務器部署過程，既經濟又省事。 H3C WX3000 系列一體化交換機還提供內置的 Portal 服務器，解決了不便于安裝客戶端用戶的安全認證問題。 提供 QoS Profile 在基于用戶授權方式的網絡管理中，用戶通過認證，即獲得訪問網絡的權限。授權包括控制用戶可訪問的網絡范圍，以及用戶可獲得的網絡服務質量，如訪問帶寬、訪問優先級。在用戶移動的網絡中或大型網絡中，為了方便網管人員開展日常的管理工作， QoS Profile特性提供了一種更模塊化、更簡單的管理方式。 管理人員將一組基于用戶群或特殊用戶定制的策略配置在 各個用戶的 profile 中，并且為每個用戶群或特殊用戶預先分配各自的 profile，用戶認證上線時，在用戶上線的端口動態下發 profile 配置，使該用戶能動態獲得其可以訪問的網絡范圍，訪問帶寬以及訪問優先級；在用戶下線時，取消該用戶在這個端口上的配置，自動關閉該端口的特殊訪問權限。 QoS Profile 中可以下發的配置包括 ACL、 QoS（優先級、帶寬限速、 和 DSCP 標記）、 VLAN。 H3C WA2600系列無線接入點 產品簡介 H3C WA2600 系列無線接入點是新一代兼容 的千兆無線接入點（以下東北大學工商管理學院網絡改造項目 技術建議書 21 簡稱 AP），可提供相當于傳統 ，能夠覆蓋更大的范圍。該系列 AP 上行接口采用千兆以太網接口接入，突破了百兆以太網接口的限制，使無線多媒體應用成為現實。 WA2600 系列 AP 支持 Fat 和 Fit 兩種工作模式，根據網絡規劃的需要，可以通過命令行靈活地在 Fat 和 Fit 兩種工作模式中切換。 WA2600 系列產品作為瘦 AP（ Fit AP）時，需要與 H3C 自主研發的 WX 系列無線控制器系列產品配套使用；作為胖 AP（ Fat AP）時，可以獨立進行組網 。 WA2600 系列產品支持 Fat/Fit 兩種工作模式的特性，有利于將客戶的 WLAN 網絡由小型網絡平滑升級到大型網絡，從而很好地保護用戶的投資。 WA2600 系列 AP 包括增強型 WA2610EAGN（單頻）和 WA2620EAGN（雙頻）兩款無線接入點設備，主要面向倉庫、工廠車間等對溫度、防塵環境要求較高的應用場景。 WA2610EAGN 產品是一款單頻多模無線接入點，可工作于 WLAN 的 頻段或5G 頻段，并支持 、 、 。 WA2620EAGN 產品是一款雙頻多模無線接入點，可同時工作在 WLAN 的 頻段和 5GHz 頻段，并支持 、 、 式。 產品視圖如下： W A 2 6 1 0 E A G NW A 2 6 2 0 E A G N WA2600系列無線 AP外觀圖 產品特點 提供寬帶無線接入 WA2600 系列無線 AP 兼容 草案，采用模塊化設計，保證未來 標準正式批準后能及時升級以滿足標準，保護客戶投資。本系列無線接入點產品單射頻 能提供高達 300Mbps 的無線接入速度，是傳統 ，覆蓋距離更大，能提供更多用戶、更大范圍、更大流量的無線接入服務。 提供千兆以太網接口有線連接 上行接口采用千兆以太網接口接入，突破了傳統百兆以太網接口的限制，使有線口不再成為無線接入的速率瓶頸，為將來支持更高速率更多射頻組合提供了平滑升級的平臺。 提供本地轉發功能 當 WA2600（ FAT AP 模式）系列無線 AP 通過廣域網方式轉發時， AP 作為數據接入設東北大學工商管理學院網絡改造項目 技術建議書 22 備部署在分支機構，而無線控制器部署在總部，所有用戶數據由 AP 發送到無線控制器，再由無線控制器進行集中轉發，導致轉發效率低下。 WA2600 系列無線 AP 可將數據報文在AP 上直接轉化為有線格式的報文，使得數據報文不經過無線控制器，而是在 AP 本地進行轉發，大大提高了轉發效率。 提供 EAD 無線接入 端點準入防御（ EAD， Endpoint Admission Defense）解決方案從控制用戶終端安全接入網絡的角度入手，整合網絡接入控制與終端安全產品，對接入網絡的用戶終端強制實施企業安全策略，通過與安全策略服務器的聯動，可以對感染病毒或存在系統漏洞等不合格的無線客戶端進行下線、隔離、提醒或監控等多 種方式的處理，只有無線客戶端符合相應的安全策略之后才允許正常訪問網絡，從而提高了無線網絡的整體安全性。 除以上特點， WA2600 系列還提供以下功能： 提供為無線客戶端動態分配 IP WA2600 系列無線 AP 工作于 Fat AP 模式時，可以配置為 DHCP server，為接入的無線客戶端動態分配 IP 地址，此功能極大的省卻了網絡管理者規劃靜態地址的煩惱。 提供 PPPoE 客戶端 WA2600 系列無線 AP 工作于 Fat AP 模式時，可以配置工作為 PPPoE client，能主動與遠端的 PPPoE server 建立 PPPoE 連接。 6 H3C 方案的特點與優勢 H3C Fit AP方案的特點 智能射頻管理 每個 AP 上電時，無線控制器會根據 AP 的鄰居關系動態調整 AP 工作的信道和發射功率，在保證覆蓋的前提下保證 AP 間的干擾最小。 當 AP 覆蓋區域受到外界強信號干擾時，無線控制器會控制 AP 自動切換到合適的工作信道以規避干擾信號。 當覆蓋區域內的某個 AP 發生故障而造成覆蓋黑洞時，無線控制器會自動調整相鄰的AP 的發射功率以消除黑洞區域，當故障 AP 恢復工作后無線控制器可以自動調整鄰居 AP的發射功率恢復原始工作狀態。 智能負載均衡 無線控制器可以 設定 AP 間對接入用戶進行負載分擔，負載分擔的策略可以是基于 AP東北大學工商管理學院網絡改造項目 技術建議書 23 接入的用戶數量， AP 流量負載情況 當無線控制器發現 AP 的負載超過設定的門限值以后，對于新接入的用戶無線控制器會自動計算此用戶周圍是否還有負載較輕的 AP 可供用戶接入，如果有則 AP 會拒絕用戶的關聯請求，用戶會轉而接入其他負載較輕的 AP。 H3C 公司創新性地支持智能負載均衡技術，保證只對處于 AP 覆蓋重疊區的無線用戶才啟動 AP 負載均衡功能，有效的避免誤均衡的出現。 A P1A P2?拒絕關聯接受關聯負載均衡原理A P1A P2智能負載均衡技術啟動負載分擔的重疊覆蓋區不啟動負載分擔的區域 圖 2 智能負載示意圖 業務 QOS 支 持 H3C 無線產品支持多種服務質量 Qos，支持 中的 EDCF 優先級，支持以太網口支持 識別和標記。支持優先級隊列及映射、流量限制、流分類。并且能夠對 QOS 策略映射不同 SSID/VLAN。 東北大學工商管理學院網絡改造項目 技術建議書 24 邏輯端口（ W L A N/ B S S ）接收者終端SSSSSS不同的服務進入不同的序列終端調度接受者調度(VLAN)邏輯端口調度(VLAN Gro up ) 物理端口S不同的服務不同的優先級物理端口 圖 3 多媒體業務 QOS 示意 Portal 認證支持 Portal 認證又稱為強制 WEB 認證，以其新業務支撐能力強大、無需安裝客戶軟件、與組網設備無關等特點，受到越來越多用戶的歡迎。 Portal 認證業務可以為管理者提供方便的管理功能，如要求所有的用戶都到門 戶網站去認證，門戶網站可以開展廣告、信息服務、個性化的業務等，為信息傳播提供一個良好的載體。 Portal 認證原理 Portal 認證協議主要應用于 H3C 公司提出的基于 WEB 的寬帶接入認證系統中，完成用戶的認證和授權。整個 Portal 認證過程涉及到了 Portal 頁面， WX3024 和 iMC 服務器。 Portal 認證工作原理：未認證用戶在訪問網絡時，可以直接訪問為用戶免費開放的資源，當用戶要使用網絡中的收費資源時，設備會將用戶的 請求重定向到 Portal 門戶網站，用戶必須在門戶網站進行認證 ，只有認證通過后才可以訪問這些資源。 Portal 認證的工作流程如下圖所示： 東北大學工商管理學院網絡改造項目 技術建議書 25 圖 4 Portal 認證流程 認證流程： 用戶通過 IE 訪問需要授權的網絡資源，設備發現用戶還沒有通過認證則強制到 Portal，Portal Server 將 WEB 頁面強推給用戶，提示用戶需要進行認證。 用戶在 WEB 頁面中輸入用戶名密碼并提交認證， Portal Server 將認證信息發送給設備，設備將用戶信息轉換為 Radius 報文發送到 iMC 服務器進行認證。 iMC 服務器對用戶信息進行驗證，確認無誤后，下發認證通過報文以及相應的權限控制信 息給設備，設備放開用戶的上網權限，同時 iMC 服務器開始進行計費。 上網期間，用戶 PC 和 Portal Server 定時發送心跳報文交互，以確保用戶沒有因異常原因下線。 用戶下線時， Portal Server 收到用戶下線請求并通知設備， iMC 服務器終止計費并通知設備斷開用戶。 多業務的安全性 H3C FIT AP 解決方案提供多種業務不同網絡層面的安全保障，體現在： 層次體系 主要技術 解決的問題 物理接入 WEP64/12 TKIP、 CCMP 加密 可升級支持 WAPI 加密 防止無線報文被監聽和篡改 SSID 隱藏 解決不明用戶訪問網絡 東北大學工商管理學院網絡改造項目 技術建議書 26 邏輯鏈路 的混合接入 支持 PEAP/TLS/TTLS/SIM 多種模式 可升級支持 WAPI 認證 用戶身份鑒別和安全準入 動態下發用戶的權限 業務隔離 Hotspot 用戶隔離 限制用戶互訪 黑名單 限制惡意用戶 網絡 無線入侵檢測系統 非法設備的檢測、無線攻擊的告 警和規避 安全策略在無線控制器統一部署 避免在大量的無線接入點部署策 略 AC 和 AP 間的 CAPWAP 隧道下行流量限速 防范外界對 AP 的 數據流量攻擊 IPSEC VPN 端到端的安全加密 資源綁寫（ MAC、 ESS、 VLAN、 Port） 盡可能防止假冒 設備 AP 本地不再保存配置信息 避免設備丟失造成配置泄漏 AP 身份認證 只有合法的 AP 才能和無線控制器建立關聯 AP 支持多無線控制器的冗余備份 無線控制器 down機不會造成無線網絡的癱瘓 網管 無線安全策略配置 無線安全策略的統一部署 非法設備監控和告警 非法設備的檢測、無線攻擊的告 警和規