無(wú)線認(rèn)證方案.doc

.無(wú)線WIFI認(rèn)證方案1.1 項(xiàng)目需求分析隨著各個(gè)行業(yè)信息化應(yīng)用的廣泛深入，新業(yè)務(wù)需求的不斷出現(xiàn)，客戶資源爭(zhēng)搶越來(lái)越激烈。從提升客戶感知、加大宣傳力度、提高工作效率等方面考慮，準(zhǔn)備在內(nèi)部署無(wú)線網(wǎng)絡(luò)。主要應(yīng)用為：1、提供業(yè)務(wù)等待區(qū)客戶的無(wú)線上網(wǎng)需求，提升客戶感知2、新產(chǎn)品新資訊的實(shí)時(shí)廣告，加大宣傳力度3、隨時(shí)隨地實(shí)現(xiàn)無(wú)線辦公，提高工作效率針對(duì)專業(yè)性需求訂制了高性能的無(wú)線寬帶多業(yè)務(wù)支持系統(tǒng)來(lái)服務(wù)宣傳發(fā)布、無(wú)線辦公、客戶等待區(qū)域無(wú)線上網(wǎng)等需求。為用戶提供安全穩(wěn)定的整體解決方案。該方案具有多業(yè)務(wù)支持、安全、穩(wěn)定、兼容性高、可靠性高、部署容易的特點(diǎn)完全能實(shí)現(xiàn)無(wú)線應(yīng)用需求。1.2 系統(tǒng)方案設(shè)計(jì)原則本方案的設(shè)計(jì)將在追求性能優(yōu)越、經(jīng)濟(jì)實(shí)用的前提下，本著嚴(yán)謹(jǐn)、慎重的態(tài)度，從系統(tǒng)結(jié)構(gòu)、技術(shù)措施、設(shè)備選擇、系統(tǒng)應(yīng)用、技術(shù)服務(wù)和實(shí)施過(guò)程等方面綜合進(jìn)行系統(tǒng)的總體設(shè)計(jì)，力圖使該系統(tǒng)真正成為符合需求的無(wú)線網(wǎng)絡(luò)系統(tǒng)。系統(tǒng)總體設(shè)計(jì)本著總體規(guī)劃、分布實(shí)施的原則，充分體現(xiàn)系統(tǒng)的技術(shù)先進(jìn)性、高度的安全可靠性、良好的開(kāi)放性、可擴(kuò)展性，以及經(jīng)濟(jì)性。在網(wǎng)絡(luò)的設(shè)計(jì)和實(shí)現(xiàn)中，本方案嚴(yán)格遵守以下原則：先進(jìn)性原則 采用先進(jìn)的設(shè)計(jì)思想，選用先進(jìn)的網(wǎng)絡(luò)設(shè)備，使網(wǎng)絡(luò)在今后一定時(shí)期內(nèi)保持技術(shù)上的先進(jìn)性。開(kāi)放性原則網(wǎng)絡(luò)采用開(kāi)放式體系結(jié)構(gòu)，易于擴(kuò)充，使相對(duì)獨(dú)立的分系統(tǒng)易于進(jìn)行組合和調(diào)整。選用的通信協(xié)議符合國(guó)際標(biāo)準(zhǔn)或工業(yè)標(biāo)準(zhǔn)，網(wǎng)絡(luò)的硬件環(huán)境、通信環(huán)境、軟件環(huán)境相互獨(dú)立，自成平臺(tái)，使相互間依賴減至最小，同時(shí)保證網(wǎng)絡(luò)的互聯(lián)。可擴(kuò)充性原則網(wǎng)絡(luò)設(shè)計(jì)在充分考慮當(dāng)前情況的同時(shí)，必須考慮到今后較長(zhǎng)時(shí)期內(nèi)業(yè)務(wù)發(fā)展的需要，留有充分的升級(jí)和擴(kuò)充的可能性。充分利用現(xiàn)有通訊資源，為以后擴(kuò)充到更高速率提供充分的余地。另一方面，還必須為網(wǎng)絡(luò)規(guī)模的擴(kuò)展留有充分的余地。安全性原則網(wǎng)絡(luò)系統(tǒng)的設(shè)計(jì)必須貫徹安全性原則，以防止來(lái)自網(wǎng)絡(luò)內(nèi)部和外部的各種破壞。貫徹安全性原則體現(xiàn)在以下方面：1.設(shè)備采用的是擴(kuò)頻技術(shù)；2.提供了射頻信道的加密；3.用戶可以通過(guò)設(shè)置自己的網(wǎng)橋或另加獨(dú)立加密設(shè)備實(shí)現(xiàn)更高的安全性；4.網(wǎng)絡(luò)內(nèi)部對(duì)資源訪問(wèn)的授權(quán)、認(rèn)證、控制以及審計(jì)等安全措施：防止網(wǎng)絡(luò)內(nèi)部的用戶對(duì)網(wǎng)絡(luò)資源的非法訪問(wèn)和破壞?？煽啃栽瓌t網(wǎng)絡(luò)系統(tǒng)的設(shè)計(jì)必須貫徹可靠性原則，使網(wǎng)絡(luò)系統(tǒng)具有很高的可用性?？煽啃栽瓌t體現(xiàn)在以下方面：1.選用技術(shù)先進(jìn)、成熟高可靠性的網(wǎng)絡(luò)設(shè)備；2.系統(tǒng)增益儲(chǔ)備高；3.鏈路的可維護(hù)性好；可管理性原則網(wǎng)絡(luò)系統(tǒng)應(yīng)具有良好的可管理性，使得網(wǎng)絡(luò)管理人員能方便及時(shí)地掌握諸如網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、網(wǎng)絡(luò)性能統(tǒng)計(jì)、網(wǎng)絡(luò)故障等信息，能簡(jiǎn)便地對(duì)網(wǎng)絡(luò)進(jìn)行配置和調(diào)整，確保網(wǎng)絡(luò)工作在良好狀態(tài)。2.無(wú)線網(wǎng)絡(luò)系統(tǒng)解決方案本方案根據(jù)客戶分布部署、統(tǒng)一管理的具體應(yīng)用環(huán)境和實(shí)際無(wú)線網(wǎng)絡(luò)覆蓋應(yīng)用的需求，基于整體化無(wú)線網(wǎng)絡(luò)架構(gòu)方案，按照網(wǎng)絡(luò)架構(gòu)進(jìn)行模塊化分層部署設(shè)計(jì)。無(wú)線網(wǎng)絡(luò)作為底層通信平臺(tái)，采用業(yè)界先進(jìn)的瘦AP+AC+Portal部署方式，在業(yè)務(wù)上基于分布式轉(zhuǎn)發(fā)方式進(jìn)行架構(gòu)，具有極強(qiáng)的可靠性、擴(kuò)展性和易維護(hù)性；結(jié)合產(chǎn)品獨(dú)有的安全專利技術(shù)，從接入認(rèn)證、數(shù)據(jù)加密、安全策略等多個(gè)角度進(jìn)行安全一體化設(shè)計(jì)，充分保證無(wú)線數(shù)據(jù)通信的安全性和完備的無(wú)線系統(tǒng)防御措施。無(wú)線整體化解決方案，將無(wú)線漫游技術(shù)、射頻信號(hào)優(yōu)化技術(shù)、安全加密技術(shù)、綜合管理系統(tǒng)、業(yè)務(wù)功能設(shè)計(jì)等進(jìn)行分層模塊化部署設(shè)計(jì)，將系統(tǒng)資源有效整合，充分發(fā)揮設(shè)備功能、性能優(yōu)勢(shì)，提供高質(zhì)量、高可靠性的無(wú)線網(wǎng)絡(luò)。方案重點(diǎn)闡述了WLAN 業(yè)務(wù)網(wǎng)絡(luò)建設(shè)總體解決方案，主要包括WLAN 業(yè)務(wù)描述，系統(tǒng)總體架構(gòu)，詳細(xì)組網(wǎng)方案，AP部署方案等。2.1 無(wú)線網(wǎng)絡(luò)總體架構(gòu)結(jié)合客戶無(wú)線網(wǎng)絡(luò)應(yīng)用需求情況，結(jié)合本產(chǎn)品自身技術(shù)特點(diǎn)，為了滿足用戶構(gòu)建一個(gè)高速、穩(wěn)定、安全、可靠、易于管理的無(wú)線接入網(wǎng)絡(luò)的需求，本設(shè)計(jì)方案按照AP+AC+Portal的結(jié)構(gòu)化無(wú)線網(wǎng)絡(luò)解決方案進(jìn)行設(shè)計(jì)。整體框架基于瘦AP方式部署，采用AC對(duì)AP進(jìn)行集中管理、控制、配置下發(fā)數(shù)據(jù)分布式/集中式轉(zhuǎn)發(fā)、漫游等功能。Portal服務(wù)器作為對(duì)接入終端的上網(wǎng)認(rèn)證，系統(tǒng)的中央無(wú)線控制器可以同時(shí)控制若干個(gè)AP協(xié)同工作。操作和維護(hù)工作現(xiàn)在只需要在AC上進(jìn)行就可以了。在這個(gè)架構(gòu)里，AP只負(fù)責(zé)無(wú)線信號(hào)的收發(fā)，不作MAC層及其以上的協(xié)議層處理，所有的智能工作都由AC和Portal完成。基于瘦AP+AC+Portal架構(gòu)方案的優(yōu)勢(shì)在于：n配置簡(jiǎn)單：AP零配置、所有的配置集中在AC上完成，簡(jiǎn)單便捷；n 維護(hù)方便：管理、維護(hù)針對(duì)AC來(lái)實(shí)現(xiàn)，不需要對(duì)每一臺(tái)AP進(jìn)行操作；n 易于升級(jí)：針對(duì)特性增加帶來(lái)的軟件版本升級(jí)需求，只需要在AC上進(jìn)行操作即可，不需要對(duì)每一臺(tái)無(wú)線AP單獨(dú)升級(jí)，軟件的升級(jí)由AP自動(dòng)完成。安全可控：可以集中進(jìn)行射頻及功率、信道調(diào)整，黑白名單、無(wú)線入侵檢測(cè)、安全訪問(wèn)控制等功能；n 擴(kuò)展性強(qiáng)：根據(jù)需要，可以靈活增加補(bǔ)點(diǎn)AP，需要擴(kuò)容的話，只需要將AP接入網(wǎng)絡(luò)即可。支持三層漫游，方便擴(kuò)展支持無(wú)線監(jiān)控、話音應(yīng)用等業(yè)務(wù)。n 網(wǎng)絡(luò)性能好：高速的數(shù)據(jù)轉(zhuǎn)發(fā)，支持快速切換，數(shù)據(jù)私密性好，天然的MAC層加密隧道；抗干擾性強(qiáng)：可動(dòng)態(tài)分配信道，并在受干擾時(shí)切換到最優(yōu)信道本方案設(shè)計(jì)全網(wǎng)采用業(yè)內(nèi)流行的瘦AP+AC+Portal架構(gòu)設(shè)計(jì)，將AC和Portal服務(wù)器部署于機(jī)房或者無(wú)線匯聚點(diǎn)， AC作為整個(gè)無(wú)線網(wǎng)絡(luò)的“大腦”，負(fù)責(zé)管理、控制、監(jiān)管所有的基站設(shè)備，Portal服務(wù)器負(fù)責(zé)上網(wǎng)認(rèn)證、宣傳頁(yè)面推送。AP室內(nèi)型吸頂AP部署在購(gòu)物商場(chǎng)的各網(wǎng)點(diǎn)實(shí)現(xiàn)對(duì)目標(biāo)覆蓋區(qū)域的Wlan信號(hào)部署。網(wǎng)絡(luò)拓?fù)鋱D：本方案中，AP、AC和Portal服務(wù)器均使用公網(wǎng)地址部署，即AP、AC和Portal處于公網(wǎng)，AP、AC、Portal服務(wù)器地址全部使用靜態(tài)IP。優(yōu)點(diǎn)是便于管理，特別是在根據(jù)IP地址限制網(wǎng)絡(luò)流量的局域網(wǎng)中，以固定的IP地址或IP地址分組產(chǎn)生的流量為依據(jù)管理，可以免除在按用戶方式進(jìn)行認(rèn)證時(shí)用戶每次上網(wǎng)都必須進(jìn)行的身份認(rèn)證的繁瑣過(guò)程，同時(shí)也避免了用戶經(jīng)常忘記密碼的尷尬。無(wú)線AP的覆蓋原則是，首先保證覆蓋區(qū)域內(nèi)，AP與無(wú)線終端之間無(wú)線信號(hào)的有效交互，其次，保證覆蓋區(qū)域內(nèi)每個(gè)終端的覆蓋帶寬要求。考慮到無(wú)線網(wǎng)絡(luò)中多媒體業(yè)務(wù)對(duì)帶寬大規(guī)模占用的特點(diǎn)，以及對(duì)數(shù)百臺(tái)AP的大流量處理要求，如果采用集中式轉(zhuǎn)發(fā)的架構(gòu)模式，AC很容易成為性能瓶頸。因此方案中采用分布式轉(zhuǎn)發(fā)模式。控制、管理報(bào)文通過(guò)無(wú)線控制器進(jìn)行統(tǒng)一處理，數(shù)據(jù)報(bào)文在無(wú)線AP上直接轉(zhuǎn)化為以太網(wǎng)格式的報(bào)文，不需要通過(guò)隧道封裝交無(wú)線交換機(jī)處理，從而解決無(wú)線控制器的數(shù)據(jù)轉(zhuǎn)發(fā)性能瓶頸問(wèn)題。在該方案中，應(yīng)包括如下設(shè)備：n 無(wú)線控制器，實(shí)現(xiàn)對(duì)AP及接入終端的集中式管理。n Portal服務(wù)器，實(shí)現(xiàn)上網(wǎng)認(rèn)證。n 無(wú)線接入AP，實(shí)現(xiàn)優(yōu)化、無(wú)縫的無(wú)線信號(hào)覆蓋和數(shù)據(jù)分布式轉(zhuǎn)發(fā)。2.2 無(wú)線網(wǎng)絡(luò)功能設(shè)計(jì)1即插即用功能：AP上只需要進(jìn)行IP地址配置，接入到網(wǎng)絡(luò)就可以工作2軟件自動(dòng)升級(jí)功能：AP的軟件完全實(shí)現(xiàn)自動(dòng)升級(jí)3批量配置功能：對(duì)連接到無(wú)線控制器的眾多AP進(jìn)行批量配置4動(dòng)態(tài)信道分配功能：無(wú)線控制器可以為AP自動(dòng)分配信道，并在受到干擾時(shí)切換到最優(yōu)信道5自動(dòng)發(fā)射功率調(diào)整功能：AP發(fā)生故障后，鄰居AP可以提高自身功率，以彌補(bǔ)覆蓋空洞6網(wǎng)絡(luò)負(fù)載分擔(dān)功能：既可以實(shí)現(xiàn)用戶在不同AP下的負(fù)載分擔(dān)，也可以實(shí)現(xiàn)AP在不同無(wú)線控制器下的負(fù)載分擔(dān)7快速切換功能：用戶在同一無(wú)線控制器的不同AP之間漫游時(shí)，可以大大提高切換速度，切換時(shí)延只有89毫秒8跨區(qū)組網(wǎng)功能：對(duì)于分散在不同區(qū)域的AP依然可以通過(guò)城域網(wǎng)連接到無(wú)線控制器，而且AP無(wú)需任何配置9跨IP子網(wǎng)漫游功能：無(wú)線工作站無(wú)需作任何改動(dòng)，可以在不同的IP子網(wǎng)進(jìn)行無(wú)縫漫游2.3 無(wú)線網(wǎng)絡(luò)安全性設(shè)計(jì)WLAN利用了不可見(jiàn)的公用媒介進(jìn)行空中信號(hào)傳播，安全問(wèn)題是部署無(wú)線的巨大挑戰(zhàn)。仔細(xì)分析無(wú)線網(wǎng)絡(luò)面臨的安全挑戰(zhàn)，主要是防止非法竊聽(tīng)、數(shù)據(jù)篡改，防止非法用戶接入，防止惡意攻擊（ARP攻擊、DHCP攻擊），防止AP過(guò)載（廣播風(fēng)暴），防止不合理應(yīng)用等。針對(duì)以上安全問(wèn)題，無(wú)線系統(tǒng)可以提供多標(biāo)識(shí)的用戶的接入驗(yàn)證功能，如無(wú)線鏈路接入認(rèn)證，以及針對(duì)用戶接入的802.1X、WEB認(rèn)證、MAC、SSID等多種標(biāo)識(shí)的認(rèn)證方式。并且，可以提供對(duì)無(wú)線鏈路進(jìn)行加密功能，如WEP、WPA、WPA-PSK、WPA2等加密方式。實(shí)現(xiàn)對(duì)所有無(wú)線數(shù)據(jù)進(jìn)行加密傳輸。 無(wú)線網(wǎng)絡(luò)的安全性設(shè)計(jì)體現(xiàn)在接入認(rèn)證、數(shù)據(jù)加密、安全策略三個(gè)層面。接入認(rèn)證實(shí)現(xiàn)對(duì)接入無(wú)線網(wǎng)絡(luò)的終端和用戶進(jìn)行接入合法性檢查；數(shù)據(jù)加密對(duì)終端和AP之間的數(shù)據(jù)進(jìn)行加密處理，防止竊聽(tīng)；安全策略采用用戶隔離、SSID隱藏、MAC地址過(guò)濾等技術(shù)手段抵御惡意用戶的攻擊行為。2.4 無(wú)線網(wǎng)絡(luò)管理框架設(shè)計(jì)在傳統(tǒng)無(wú)線網(wǎng)絡(luò)建設(shè)中，有一個(gè)始終令網(wǎng)管人員感到頭痛的問(wèn)題，那就是對(duì)AP的管理、監(jiān)控以及AP自身固件的升級(jí)。由于傳統(tǒng)AP是一種稱作為“FAT AP”，即自身需要有相應(yīng)控制軟件以及獨(dú)立的配置才能運(yùn)行，而由于AP是一種接入層設(shè)備，數(shù)量較多，且由于辦公樓網(wǎng)絡(luò)的復(fù)雜性以及業(yè)務(wù)的多樣性，導(dǎo)致需要根據(jù)各“熱點(diǎn)”區(qū)域進(jìn)行相應(yīng)配置，并且還需要網(wǎng)管員對(duì)這些特殊配置進(jìn)行記錄，以方便日后維護(hù)；此外，在日常運(yùn)行中，還需要了解這些數(shù)量眾多AP的工作狀態(tài)及性能等數(shù)據(jù)，而一般AP管理工具功能太過(guò)簡(jiǎn)單，如果采用有線網(wǎng)絡(luò)網(wǎng)管軟件，由于沒(méi)有很好的對(duì)無(wú)線網(wǎng)絡(luò)做相應(yīng)的開(kāi)發(fā)與支持，從而不能很好的管理無(wú)線網(wǎng)絡(luò)。本方案無(wú)線網(wǎng)絡(luò)的管理分為兩個(gè)層次兩級(jí)管理。第一層是接入層的AP，第二層是無(wú)線控制器AC，第一層的AP無(wú)需單獨(dú)維護(hù)，全部交給第二層的AC進(jìn)行統(tǒng)一的配置管理，包括安全策略、QoS策略、RF射頻管理和漫游管理。在本方案中，AC設(shè)備是整個(gè)無(wú)線系統(tǒng)的核心，體現(xiàn)在對(duì)所有AP設(shè)備的集中式管理、數(shù)據(jù)集中轉(zhuǎn)發(fā)，為接入用戶提供安全、數(shù)據(jù)、漫游、QOS等服務(wù)。集中式無(wú)線網(wǎng)絡(luò)管理方案大大提高了用戶對(duì)網(wǎng)絡(luò)系統(tǒng)的易維護(hù)性，在AC上實(shí)現(xiàn)對(duì)所有AP、接入用戶的狀態(tài)監(jiān)視、配置管理，遠(yuǎn)程操作等。瘦AP和無(wú)線控制器系統(tǒng)有非常強(qiáng)大的集中管理功能，所有的關(guān)于無(wú)線網(wǎng)絡(luò)的配置都可以通過(guò)配置無(wú)線控制器器統(tǒng)一完成。例如開(kāi)通、管理、維護(hù)所有AP設(shè)備以及移動(dòng)終端，包括無(wú)線電波頻譜、無(wú)線安全、接入認(rèn)證、移動(dòng)漫游以及接入用戶等所有功能。AC產(chǎn)品為Web圖形化界面設(shè)計(jì)，提供友好、簡(jiǎn)捷的人機(jī)界面，方便用戶維護(hù)、管理。2.5 WLAN頻率規(guī)劃WLAN 802.11b/g/n工作在2.4GHz頻段，頻率范圍為2.4002.4835GHz，共83.5M帶寬，劃分為13個(gè)子信道，每個(gè)子信道帶寬為22MHz。子信道分配如圖3-1所示。WLAN 802.11b/g工作頻段子信道分配WLAN 802.11a工作在5.8GHz頻段，頻率范圍為5.725GHz5.850GHz，共125MHz帶寬，劃分為5個(gè)信道，每個(gè)信道帶寬為20MHz。子信道分配如圖3-2所示。WLAN 802.11a工作頻段子信道分配在使用2.4GHz頻點(diǎn)時(shí)，為保證信道之間不相互干擾，要求兩個(gè)信道之間間隔不低于25MHz。在一個(gè)覆蓋區(qū)內(nèi)，最多可以提供3個(gè)不重疊的頻點(diǎn)同時(shí)工作，通常采用1、6、11三個(gè)頻點(diǎn)。Wlan使用頻段規(guī)劃原則：1）在一個(gè)AP覆蓋區(qū)內(nèi)直序擴(kuò)頻技術(shù)最多可以提供3個(gè)不重疊的信道同時(shí)工作?？紤]到制式的兼容性，相鄰區(qū)域頻點(diǎn)配置時(shí)宜選用1，6，11信道。2）頻點(diǎn)配置時(shí)首先應(yīng)對(duì)目標(biāo)區(qū)域現(xiàn)場(chǎng)進(jìn)行頻率檢測(cè)，對(duì)于覆蓋區(qū)域內(nèi)已有AP采用的信道，應(yīng)盡量避免采用。3)室內(nèi)AP覆蓋區(qū)頻點(diǎn)配置時(shí)，為了實(shí)現(xiàn)AP 的有效覆蓋，避免信道間的相互干擾，在信道分配時(shí)宜引入移動(dòng)通信系統(tǒng)的蜂窩覆蓋原理。對(duì)1，6，11信道進(jìn)行復(fù)用。4）系統(tǒng)設(shè)計(jì)時(shí)應(yīng)注意避免干擾源的影響。2.6 防干擾設(shè)計(jì)來(lái)自WLAN網(wǎng)絡(luò)外部的干擾也分為WLAN干擾和非WLAN干擾。WLAN干擾主要包括Rogue設(shè)備、鄰居WLAN網(wǎng)絡(luò)、Ad hoc網(wǎng)絡(luò)等。WLAN工作在ISM頻段，除了WLAN設(shè)備外，還有許多非WLAN設(shè)備也工作在該頻段，如微波爐、無(wú)繩電話、藍(lán)牙設(shè)備、無(wú)線攝像機(jī)、戶外微波鏈路、無(wú)線游戲控制器、Zigbee、WiMax等等。非WLAN干擾源會(huì)干擾WLAN信號(hào)，導(dǎo)致WLAN信號(hào)無(wú)法被正確接收。還有一些非ISM頻段上的設(shè)備會(huì)在ISM頻段上產(chǎn)生射頻信號(hào)泄露，當(dāng)臨近距離很近的情況下，會(huì)對(duì)WLAN設(shè)備形成干擾。2.7 WLAN系統(tǒng)無(wú)縫漫游設(shè)計(jì)在wifi網(wǎng)絡(luò)中，用戶終端通過(guò)關(guān)聯(lián)AP廣播的SSID進(jìn)行wifi接入。移動(dòng)漫游過(guò)程中，用戶終端會(huì)對(duì)關(guān)聯(lián)的AP進(jìn)行切換，在切換過(guò)程總，不可避免的將發(fā)生“切斷上一個(gè)連接、關(guān)聯(lián)下一個(gè)連接”的過(guò)程，導(dǎo)致用戶上網(wǎng)體驗(yàn)中斷和業(yè)務(wù)丟包現(xiàn)象。而在本方案中，我們采用基于Hacip漫游切換控制技術(shù)，該方案以無(wú)線控制器為核心，對(duì)所有AP上接入的用戶采用統(tǒng)一會(huì)話管理，所