咸寧職業(yè)技術(shù)學(xué)院WLAN覆蓋項目書

1、咸寧職業(yè)技術(shù)學(xué)院WLAN覆蓋項目書課程：無線局域網(wǎng)技術(shù)項目課程學(xué)生姓名：徐凱學(xué)號:指導(dǎo)老師：尹光輝目錄一、概述3二、客戶需求3三、網(wǎng)絡(luò)建設(shè)方案43.1無線網(wǎng)絡(luò)基礎(chǔ)方案43.1.1網(wǎng)絡(luò)建設(shè)原則43.1.2認(rèn)證方式43.2無線網(wǎng)絡(luò)安全53.2.1用戶安全：63.3.1漫游切換支持：63.4無線網(wǎng)絡(luò)管理：63.5負(fù)載均衡73.6供電問題：73.7 覆蓋效果測試7四、無線網(wǎng)絡(luò)規(guī)劃84.2 頻率復(fù)用8五、網(wǎng)絡(luò)優(yōu)化8六、項目配置方案86.1 無線控制器86.2 AP設(shè)備安裝配置清單表10七、接入數(shù)據(jù)匯總表11八、設(shè)備清單11一、概述無線局域網(wǎng)（WLAN）技術(shù)于20世紀(jì)90年代逐步成熟并投入商用，既可以作傳

2、統(tǒng)有線網(wǎng)絡(luò)的延伸，在某些環(huán)境也可以替代傳統(tǒng)的有線網(wǎng)絡(luò)。對比傳統(tǒng)的有線傳輸解決方案，使用WLAN網(wǎng)絡(luò)實現(xiàn)數(shù)據(jù)傳輸具有以下顯著特點： 簡易性：WLAN網(wǎng)絡(luò)傳輸系統(tǒng)的安裝快速簡單，可極大的減少敷設(shè)管道及布線等繁瑣工作； 靈活性：無線技術(shù)使得WLAN設(shè)備可以靈活的進行安裝并調(diào)整位置，使無線網(wǎng)絡(luò)達到有線網(wǎng)絡(luò)不易覆蓋的區(qū)域； 綜合成本較低：一方面WLAN網(wǎng)絡(luò)減少了布線的費用，另一方面在需要頻繁移動和變化的動態(tài)環(huán)境中，無線局域網(wǎng)技術(shù)可以更好地保護已有投資。同時，由于WLAN技術(shù)本身就是面向數(shù)據(jù)通信領(lǐng)域的IP傳輸技術(shù)，因此可直接通過百兆自適應(yīng)網(wǎng)口和企業(yè)內(nèi)部Intranet相連，從體系結(jié)構(gòu)上節(jié)省了協(xié)議轉(zhuǎn)換器等相

3、關(guān)設(shè)備； 擴展能力強：WLAN網(wǎng)絡(luò)系統(tǒng)支持多種拓?fù)浣Y(jié)構(gòu)及平滑擴容，可以十分容易地從小容量傳輸系統(tǒng)平滑擴展為中等容量傳輸系統(tǒng)；隨著WLAN技術(shù)的快速發(fā)展和不斷成熟，目前在國內(nèi)外已經(jīng)具有較多的政府機構(gòu)使用WLAN技術(shù)布置無線城域網(wǎng)，進行承載部分政府業(yè)務(wù)，諸如：電子政備、消防、公安信息等等。二、客戶需求咸寧職業(yè)技術(shù)學(xué)院園區(qū)無線局域網(wǎng)建設(shè)的總體目標(biāo)是：利用無線網(wǎng)絡(luò)技術(shù)進一步擴展網(wǎng)絡(luò)的覆蓋范圍，提高網(wǎng)絡(luò)的用戶自適應(yīng)性，在無線的覆蓋范圍內(nèi)實現(xiàn)數(shù)據(jù)業(yè)務(wù)和語音業(yè)務(wù)的無線傳輸，并且可實現(xiàn)三層漫游，使無線局域網(wǎng)和有線網(wǎng)成為一個整體，提供安全的無線接入。由于本工程是在有線網(wǎng)的基礎(chǔ)上加以無線擴充（即采用AP將無線網(wǎng)絡(luò)

4、接入到有線網(wǎng)絡(luò)），目前有線網(wǎng)已達到了相當(dāng)?shù)母采w范圍，可以為無線網(wǎng)絡(luò)的建設(shè)提供支持。工程布線和安裝要求：I. 室內(nèi)部分：定位于較為開闊位置，將網(wǎng)線走暗線敷設(shè)到位；掛在墻上，可利用設(shè)備本身自帶的安裝附件進行安裝；如果需要遮蔽，則需要定制非金屬安裝盒；如果是掛在天花板上，則根據(jù)天花板的情況而定，若天花板是非金屬結(jié)構(gòu)，可以固定在天花板內(nèi)。安裝過程中應(yīng)充分考慮防盜問題。II. 室外部分：AP的供電可采用POE方式由接入的網(wǎng)絡(luò)設(shè)備進行供電，室外機型需具備防雨防電等功能。III. 供電部分：AP的供電可采用POE方式由接入的網(wǎng)絡(luò)設(shè)備進行供電 產(chǎn)品能力要求要求：I. 具有無委會核準(zhǔn)證；II. 支持負(fù)載均衡；I

5、II. 漫游切換；IV. 支撐QOS能力 覆蓋與用戶數(shù)量要求：a) 覆蓋范圍：信息學(xué)院教學(xué)樓及學(xué)生宿舍(包括其他主體建筑和新區(qū)宿舍)；b) 覆蓋質(zhì)量：覆蓋區(qū)90%的測試點，便攜機內(nèi)置無線網(wǎng)卡的接收電平要保持在-85dbm以上c) 用戶規(guī)模：按開戶7000人，平均在線700人計算；三、網(wǎng)絡(luò)建設(shè)方案采用WLAN技術(shù)構(gòu)架寬帶網(wǎng)絡(luò)服務(wù)，從技術(shù)上、工程上以及提供的服務(wù)質(zhì)量上均能較好的滿足要求。3.1無線網(wǎng)絡(luò)基礎(chǔ)方案3.1.1網(wǎng)絡(luò)建設(shè)原則結(jié)合WLAN的實際應(yīng)用和發(fā)展要求，公眾無線局域網(wǎng)(PWLAN)網(wǎng)絡(luò)系統(tǒng)設(shè)計，主要遵循以下系統(tǒng)總體原則：n 實用性原則：以現(xiàn)行需求為基礎(chǔ)，充分考慮發(fā)展的需要來確定系統(tǒng)規(guī)模。

6、n 成熟和先進性原則：由于WLAN應(yīng)用于運營網(wǎng)絡(luò)仍然屬于新興技術(shù)，需要及時將新技術(shù)引用進來，更好的開展業(yè)務(wù)，同時也要求保證網(wǎng)絡(luò)與業(yè)務(wù)的可靠性。n 規(guī)范性原則：系統(tǒng)設(shè)計所采用的技術(shù)和設(shè)備應(yīng)符合WLAN國際標(biāo)準(zhǔn)、國家標(biāo)準(zhǔn)和聯(lián)通WLAN企業(yè)標(biāo)準(zhǔn)，為系統(tǒng)的擴展升級、與其他系統(tǒng)的互聯(lián)提供良好的基礎(chǔ)。n 開放性和標(biāo)準(zhǔn)化原則：在設(shè)計時，要求提供開放性好、標(biāo)準(zhǔn)化程度高的技術(shù)方案；設(shè)備的各種接口滿足開放和標(biāo)準(zhǔn)化原則。n 可擴充和擴展化原則：所有系統(tǒng)設(shè)備不但滿足當(dāng)前需要，并在擴充模塊后滿足可預(yù)見將來需求，如帶寬和設(shè)備的擴展、同時接入用戶數(shù)量的擴展、業(yè)務(wù)種類的擴展和辦公地點的擴展等。并保證建設(shè)完成后的系統(tǒng)在向新的技

7、術(shù)升級時，能保護現(xiàn)有的投資。n 可管理性原則：整個系統(tǒng)的設(shè)備應(yīng)易于管理，易于維護，操作簡單，易學(xué)，易用，便于進行系統(tǒng)配置，在設(shè)備、安全性、數(shù)據(jù)流量、性能等方面得到很好的監(jiān)視和控制，并可以進行遠(yuǎn)程管理和故障診斷。3.1.2認(rèn)證方式由于泉咸寧職業(yè)技術(shù)學(xué)院安全有著一定的要求，必須能夠外來人員使用網(wǎng)絡(luò)獲取校內(nèi)密級資料，第一層保障是MAC地址認(rèn)證，第二層保障是服務(wù)區(qū)標(biāo)識符 ( SSID ) 匹配，第三層保障是802.1x認(rèn)證。MAC地址認(rèn)證 每個無線客戶端網(wǎng)卡都由唯一的48位物理地址（MAC）標(biāo)識，可在AP中或者AC重維護一組允許訪問的MAC地址列表，如果用戶的MAC地址是合法的，AP才會對用戶的流量進

8、行進一步的處理，如果用戶的MAC地址是非法的，那么AP就會丟棄用戶的流量，這樣就可以實現(xiàn)物理地址過濾，確保非法用戶不能訪問無線網(wǎng)絡(luò)。服務(wù)區(qū)標(biāo)識符 ( SSID ) 匹配 無線客戶端必需設(shè)置與無線訪問點AP相同的SSID ，才能訪問AP；如果出示的SSID與AP的SSID不同，那么AP將拒絕它通過本服務(wù)區(qū)上網(wǎng)。利用SSID設(shè)置，可以很好地進行用戶群體分組，避免任意漫游帶來的安全和訪問性能的問題。可以通過設(shè)置隱藏接入點（AP）及SSID區(qū)域的劃分和權(quán)限控制來達到保密的目的，因此可以認(rèn)為SSID是一個簡單的口令，通過提供口令認(rèn)證機制，實現(xiàn)一定的安全。IEEE802.1x 認(rèn)證 是一種基于端口的訪問控

9、制技術(shù)，是用于無線局域網(wǎng)的一種增強網(wǎng)絡(luò)安全解決方案。當(dāng)無線工作站STA與無線訪問點AP關(guān)聯(lián)后，是否可以使用AP的服務(wù)要取決于802.1x的認(rèn)證結(jié)果。如果認(rèn)證通過，則AP為STA打開這個邏輯端口，否則不允許用戶連接網(wǎng)絡(luò)。網(wǎng)絡(luò)加密方案和SSID隱藏 除了要對用戶的身份加以認(rèn)證外，還必須保證所有人的通信不會被中間人截獲、竊聽甚至篡改。這就要求該無線網(wǎng)絡(luò)必須擁有較強的加密能力。H3C WLAN支持目前最先進的各種加密算法AES，并支持802.11和802.11i中規(guī)定的各種加密模式，包括WEP、TKIP和CCMP等，完全可以滿足用戶的安全需要。當(dāng)用戶使用這些加密方式時，其他人使用任何設(shè)備均不可能破解用

10、戶傳輸?shù)膬?nèi)容。此外，H3C還支持我國自主知識產(chǎn)權(quán)的WAPI，安全性更高。3.2無線網(wǎng)絡(luò)安全網(wǎng)絡(luò)安全問題是在建網(wǎng)時必須要考慮的問題，安全方式主要側(cè)重幾個方面：用戶安全、系統(tǒng)安全，而在網(wǎng)絡(luò)中主要依附于用戶實體的屬性主要包括用戶使用的信息終端二層屬性（諸如：MAC地址）及用戶的帳號、密碼，而對于企業(yè)用戶來講，帳號信息都是一個實名原則，與員工的利益進行關(guān)聯(lián)的，這樣本無線網(wǎng)絡(luò)中著重考慮使用無線網(wǎng)絡(luò)的空口信息的安全機制。為了阻止非授權(quán)用戶訪問無線網(wǎng)絡(luò)，以及防止對無線局域網(wǎng)數(shù)據(jù)流的非法偵聽，H3C無線解決方案支持WPA、802.11i等安全策略，每個AP支持16個SSID，支持隱藏SSID技術(shù)等，確保無線網(wǎng)

11、絡(luò)安全。3.2.1用戶安全：數(shù)據(jù)安全部分主要包括以下方面的內(nèi)容：I. MAC地址過濾：目前支持基于MAC地址的過濾，限制具有某種類型的MAC地址特征的終端才能進入網(wǎng)絡(luò)中；II. SSID管理：是一種網(wǎng)絡(luò)標(biāo)識的方案，將網(wǎng)絡(luò)進行一個邏輯化標(biāo)識，對終端上發(fā)的報文都要求進行上帶SSID，如果沒有SSID標(biāo)識則不能進入網(wǎng)絡(luò)；III. WEP加密：WEP加密是一種靜態(tài)加密的機制，通信雙方具有一個共同的密鑰，終端發(fā)送的空口信息報文必須使用共同的密鑰進行加密；IV. 支持AES加密，AES安全機制是一種動態(tài)密鑰管理機制，同時密鑰生成也基于不對稱密鑰機制來實現(xiàn)的，同時密鑰的管理也定期更新，具體的時間由系統(tǒng)可以設(shè)

12、定，一般情況都設(shè)定為5分鐘左右，這樣非法用戶要想在5分鐘之內(nèi)進行獲取足夠數(shù)量的報文進行匹配出密鑰出來，從無線空口的流理來看，基本上是不可能的；V. 華三的無線方案中的密鑰設(shè)置可能根據(jù)SSID信息與用戶信息進行組合，即不同的SSID下不同的用戶的密鑰生成可以不一樣，這樣可以做不到不同的用戶不同的管理方式，同時具備不同的權(quán)限；3.3.1漫游切換支持：將無線路由器的ssid號都設(shè)為相同的，密碼設(shè)置一樣。3.4無線網(wǎng)絡(luò)管理：作為接入層網(wǎng)絡(luò)，無線網(wǎng)絡(luò)需要較多的AP，維護工作量較大，加之無線網(wǎng)絡(luò)的靈活性和不可見性，如果對每個AP進行單獨管理則會造成較高的維護開銷，也給管理人員帶來了一定的難度。而且無線網(wǎng)絡(luò)

13、直接面對最終用戶，對管理系統(tǒng)穩(wěn)定性、實時性、有效性要求都較高。n 豐富的無線網(wǎng)絡(luò)工程經(jīng)驗無線網(wǎng)絡(luò)的工程實施對整個項目的成敗至關(guān)重要。H3C專門成立了無線工程督導(dǎo)團隊來確保無線網(wǎng)絡(luò)工程的順利實施，目前H3C公司已經(jīng)成功實施了第六屆亞洲冬季運動會、北京解放軍總醫(yī)院、國家知識產(chǎn)權(quán)局、新華社、北京航空航天大學(xué)、北京交通大學(xué)、華東理工大學(xué)、上海湯臣洲際大大樓等無線網(wǎng)絡(luò)工程的部署，具備豐富的無線項目實施工程經(jīng)驗，保證項目進度，后顧無憂。n 全面的安全性，支持WAPI前段時間，財政部、發(fā)改委和信產(chǎn)部聯(lián)合下發(fā)了關(guān)于印發(fā)無線局域網(wǎng)產(chǎn)品政府采購實施意見的通知，在政府采購中將優(yōu)先考慮符合國家無線標(biāo)準(zhǔn)的產(chǎn)品，這就要求

14、相關(guān)政府部門采購的WLAN產(chǎn)品，要具備支持WAPI標(biāo)準(zhǔn)的能力。我們知道，WAPI之所以沒有成為全球標(biāo)準(zhǔn)，其主要原因就是以Intel為首的國外廠商，的公開反對；出于政治上的考慮，國外廠商目前的WLAN產(chǎn)品不支持WAPI標(biāo)準(zhǔn)，將來也不會支持WAPI標(biāo)準(zhǔn)；而國內(nèi)也有一些廠家，產(chǎn)品是從國外廠商那里OEM而來或者和國外廠商聯(lián)合開發(fā)，主要的技術(shù)都依賴這些國外廠商，同樣也無法支持WAPI標(biāo)準(zhǔn)。而華三通信作為一家中國本土廠商，所有的WLAN產(chǎn)品均按照中國標(biāo)準(zhǔn)要求自主開發(fā)，目前所有的WLAN產(chǎn)品均具備支持WAPI的能力，一旦國家強制推行WAPI標(biāo)準(zhǔn)，華三通信所有WLAN產(chǎn)品只需升級軟件即可完成對WAPI標(biāo)準(zhǔn)的支

15、持。3.5負(fù)載均衡AP上支持標(biāo)準(zhǔn)的IAPP協(xié)議框架，通過負(fù)載均衡的部署，可實現(xiàn)在一個熱點內(nèi)用戶平均分配到所部署的所有AP上，達到在一個服務(wù)區(qū)AP接入用戶數(shù)何流量的平衡，為用戶提供更高的服務(wù)質(zhì)量。具體可部署的負(fù)載均衡策略有： 對所有AP設(shè)置基于用戶數(shù)的負(fù)載均衡功能，AP通過對接入用戶數(shù)的統(tǒng)計，與設(shè)定AP接入用戶數(shù)量閥值比較，達到閥值后，不允許新的用戶接入。 對所有AP設(shè)置基于流量的負(fù)載均衡功能，AP通過對接入用戶流量的統(tǒng)計，與設(shè)定AP上流量漏桶閥值上沿比較，達到閥值后，不允許新的用戶接入，少于閥值下沿，再允許新用戶接入。 配合網(wǎng)絡(luò)規(guī)劃，設(shè)置AP群功能，在一個群內(nèi)的AP通過組播報文實時通報接入用戶

16、數(shù)量，當(dāng)發(fā)現(xiàn)AP間用戶數(shù)差值大于設(shè)定閥值，接入用戶多的AP將部分用戶趕下網(wǎng)。在當(dāng)前無線網(wǎng)絡(luò)用戶數(shù)尚在培育期的情況下，對于負(fù)載均衡的要求還不是很高，當(dāng)用戶發(fā)展到一定水平，介于AP本身負(fù)載均衡能力的天然限制，比較好的方案還是將網(wǎng)絡(luò)平穩(wěn)過渡到FITAP方式，通過無線控制器實現(xiàn)一系列的管控功能。3.6供電問題：由于本次無線網(wǎng)中AP設(shè)備數(shù)量較多，AP布放位置根據(jù)實際覆蓋效果而調(diào)整，在已建設(shè)完成的建筑物上較難進行本地供電，本方案主要基于標(biāo)準(zhǔn)的802.3af實現(xiàn)對AP的POE供電。3.7 覆蓋效果測試安裝Network Stumbler軟件（安裝過程很簡單，只需按提示“下一步”操作即可安裝完成），安裝完軟件

17、后搜索到無線信號就可測試信號強度。綠色：當(dāng)前信號強度很好黃色：當(dāng)前信號強度較差紅色：當(dāng)前信號強度很差灰色：信號時有時無注：AP工作信道規(guī)劃設(shè)置AP信道按照1、6、11規(guī)律依次設(shè)定。四、無線網(wǎng)絡(luò)規(guī)劃4.1頻率規(guī)劃 目前針對WLAN來講，2.4G具有3具不重疊的信道，針對5.8G具有5個不重疊信道，但由于網(wǎng)絡(luò)用戶具有一定的不確定性，故網(wǎng)絡(luò)覆蓋時所需要的WLAN網(wǎng)絡(luò)空間都要進行2.4G與5.8G的頻率覆蓋，從網(wǎng)絡(luò)規(guī)劃的角度出發(fā)，主要考慮2.4G與5.8G二個頻率的覆蓋設(shè)計。4.2 頻率復(fù)用1. 針對頻率復(fù)用的設(shè)計與實現(xiàn)主要側(cè)重于重疊區(qū)域，從技術(shù)原理的角度出發(fā)，沒有辦法實現(xiàn)很好的頻率復(fù)用，只能被動做些

18、負(fù)載均衡的功能。每個AP具有54Mbps、48Mbps、36Mbps、18Mbps等的覆蓋范圍，對于54Mbps的覆蓋范圍不重疊，對于54Mbps與18Mbps就可能進行重疊。五、網(wǎng)絡(luò)優(yōu)化在網(wǎng)絡(luò)規(guī)劃設(shè)計及建設(shè)完成之后，需要對實際網(wǎng)絡(luò)質(zhì)量進行測量，并根據(jù)測量結(jié)果對網(wǎng)絡(luò)進行調(diào)整，以確保信號強度、干擾等指標(biāo)達到目標(biāo)值。六、項目配置方案6.1 無線控制器硬件特點 方便部署、易于管理傳統(tǒng)無線網(wǎng)絡(luò)的部署需要網(wǎng)絡(luò)管理員對網(wǎng)絡(luò)中的每一個AP進行逐一配置，當(dāng)無線網(wǎng)絡(luò)規(guī)模較大時網(wǎng)絡(luò)管理員往往要配置上百個AP，工作量巨大，且容易出錯。而采用無線控制器和FIT AP配合組網(wǎng)時，只需要在無線控制器上對一類相同屬性的AP

19、建立配置模板，AP在啟動時可以自動從無線控制器上下載最新的配置文件。另外，由于AP本身不保存任何配置，萬一設(shè)備丟失，也可以保證網(wǎng)絡(luò)配置不被竊取。AP支持啟動后自動獲取IP地址、自動獲取AC的工作列表并自動和AC建立關(guān)聯(lián)，真正做到了零配置，免維護，即插即用，極大地減輕了網(wǎng)絡(luò)管理員在部署網(wǎng)絡(luò)階段的維護工作量。 三層漫游無線控制器支持三層漫游，并支持快速漫游，漫游切換時間小于50ms，滿足對切換時間要求最苛刻的語音業(yè)務(wù)。 支持智能的負(fù)載均衡支持按接入用戶數(shù)量和流量的復(fù)雜均衡方式，當(dāng)無線控制器發(fā)現(xiàn)AP的負(fù)載超過設(shè)定的門限值以后，對于新接入的用戶無線控制器會自動計算此用戶周圍是否還有負(fù)載較輕的AP可供用

20、戶接入，如果有則AP會拒絕用戶的關(guān)聯(lián)請求，用戶會轉(zhuǎn)而接入其他負(fù)載較輕的AP，但如果無線用戶不在AP的重疊覆蓋區(qū)內(nèi)，傳統(tǒng)的負(fù)載均衡方式往往會導(dǎo)致連接不上網(wǎng)絡(luò)，造成誤均衡。 高可靠的備份功能無線控制器支持AC組備份功能，通過預(yù)先配置，AP優(yōu)先同主AC建立CAPWAP鏈路，當(dāng)主AC不可用時，AP會自動尋找AC組中的第二個主AC，并和第二個主AC建立CAPWAP鏈路，從而達到AC間業(yè)務(wù)備份的目的。 IPv6無線控制器實現(xiàn)了IPv4/IPv6雙協(xié)議棧。AP和無線控制器之間可以穿過IPv6網(wǎng)絡(luò)互聯(lián)，從而使組網(wǎng)方式更加靈活，可以滿足今后網(wǎng)絡(luò)發(fā)展的需要，保護用戶投資。 支持隧道QoSAP接收到的無線報文首先要通過CAPWAP隧道送到AC上進行分析處理，無線控制器支持無線QoS到有線QoS/CoS的映射。在AP側(cè)，無線域的QoS信息（802.11E）可以被映射到外層隧道的有線二層域（802.1p）和三層域（DSCP）中，這樣可以保證高優(yōu)先級無線報文在有線網(wǎng)絡(luò)上受到更好的優(yōu)先級保證。 支持多種認(rèn)證方式無線控制器802.1x認(rèn)證， portal認(rèn)證，MAC地址認(rèn)證，PPPoE認(rèn)證等多重認(rèn)證方式。 支持無線入侵檢查WIDS（Wireless Intrusion Detection System）無線控制器支持非法AP檢測，黑/白名單設(shè)置和無線協(xié)議攻擊防