酒店咖啡厅等无线网络解决方案

酒店咖啡厅等无线网络解决方案（以酒店为例子，咖啡厅原理相同）一、 Trapeze Networks公司简介Trapeze Networks公司成立于2002年，总部设在美国加利福尼亚硅谷，是一家提供构建WiFi无线局域网所需硬件设备的高科技公司，主要从事无线网关产品的生产，它主要用于中央化无线电管理，对PC和笔记本等运行于企业网络的产品进行联网管理。Trapeze Networks公司一直致力于无线领域的技术创新与进步，在业界首先推出了无线交换机并创造性地提出了“智能无线网”的概念。Trapeze Networks公司在美国、欧洲、中东和亚太地区均建有分支机构和技术服务中心，员工更是布满全球。Trapeze Networks公司是首家也是唯一具有智能交换功能的WLAN设备的供应商。为了能够更大的发展，Trapeze Networks公司进行了四次融资，共筹集到1亿 2 百50万美元，预计2008上半年在美国纳斯达克上市。多家大型风险投资公司争先成为了Trapeze Networks公司的投资者，诸如：红点投资（RedpointVentures）、橡树投资（OakInvestment）、摩托罗拉（Motorola）、北电网路（NortelNetworks）、Juniper Networks、Accel Partners、Duff Ackerman & Goodrich、Trautman Wasserman、C.E. Unterberg, Towbin、Castile Ventures等。Trapeze Networks公司具有极为完善的服务体系和一支极富经验的服务队伍，服务网点遍布全球，在美国、荷兰、中东、非洲、亚太区均设有自己的724小时服务电话和专业人员，为自己的用户或潜在用户提供全方位的智能无线网络服务。服务内容包括但不限于培训、售前、实施、售后、咨询等。服务方式有网站、热线电话、邮件、远程、现场、备件等。Trapeze Networks公司是一个提供“瘦AP”技术的智能无线网络全线产品设备生产商，产品线包括智能无线网络系统软件MSS、智能无线网络交换机MX系列、智能无线网络管理软件RingMaster系列、智能无线网络接入点MP系列、智能无线网络定位系统LA-200定位机、智能无线网络天线ANT系列，以及与Airdefense公司合作的智能无线网络入侵检测防护系统WLAN IDS系列，还有与其他语音设备厂商合作的WIFI语音设备系列等等。其中：智能无线网络交换机MX系列包括有MXR-2-CN、MX-8-CN、MX-200R-CN、MX-216R-CN、MX-2800等，智能无线网络接入点MP系列包括室内型号MP-372/422、MP-372/422、MP-432和室外MP-620等。Trapeze Networks公司的MP-432 是世界最先支持802.11n标准的AP，完全符合 802.11n 2.0版本，可同时双频操作 (2.4 GHz 及 5 GHz)，每频带宽 300 Mbps，双频共 600 Mbps，双频都有3x3 MIMO。Trapeze Networks公司的MX-2800无线网络交换机达28Gbps业界最高交换容量，是业界最高密度的WLAN交换机，业界唯一用硬件交换有线及无线的交换机，可支持 512 在线 APs，每机可支持12,000 在线用户。Trapeze Networks公司“ 智能无线网”称为“智能交换”的突破性技术克服了当代WLAN 的所有局限性，这在现今的有限 WLAN 体系结构上是一个重大进步和飞跃。智能无线网的智能交换技术根据基础应用程序的要求，采用集中数据转发或分布式数据转发，从而优化了通信流量，从根本上缩短了延迟，并获得了最大性能 ,这一切都不需要付出高昂的网络控制器基础结构升级成本。智能无线网第一次让组织机构能够经济高效地部署安全且可大幅扩展的企业 WLAN，并通过这些网络来支持最迫切需要的数据和语音应用程序，同时提供室内和室外的无限连接。突破了集中式体系结构无法支持下一代无线应用程序的问题。Trapeze Networks公司基于最新一代的智能无线网络体系结构，兼具集中的 WLAN 管理和优化的通信流量，提供给客户全新的无限的企业无线网络，包括在客户关心的无线网络的性能、运行周期的集中管理、语音Voice over WLAN、无线安全、实时定位等问题。作为802.11n标准协议的参与和制定者之一，Trapeze是全球第一家已经采用802.11n标准的厂家，可以提供当前性能最高的WLAN，Trapeze的现有客户将来要采用802.11n,不需要花费高昂的升级费用。Trapeze Networks公司拥有超过 230 个的专利及登记。二、 无线网络建设需求对于服务产业中的酒店业来说。目前酒店行业竞争的重点已经从硬件的竞争转移到服务的竞争，各大酒店均绞尽脑汁来提高自己的服务意识和服务水平。在传统的服务项目已非常成熟的今天，作为四、五星级酒店如何为客户提供新的服务成为酒店经营者头疼的问题。近两年来，随着来自世界各地商务客人的增加，全球信息技术的发展和无线网络的高速发展，以及Internet在国内的迅猛发展，为酒店经营者提供新的信息服务成为一种趋势。这一方面提升了现代化酒店的服务与管理水平，同时，也为酒店经营者带来了相应的利益。可以说，网络不仅是酒店传播信息的工具，也是留住回头客保持入住率的有效手段，而无线网络由于其移动性、便利性和灵活性的特点，更是得以在酒店中大显身手。商务客人一般会要求酒店提供与其办公室和个人家庭相同的高速Internet访问能力，通过无线局域网就可实现灵活且可扩展的网络解决方案。酒店对于无线网络的建设有着不同的运营模式，有的酒店保留着运营商投资的模式，并参与运营商的分成，如同原有的语音话费以及上网业务一样。但是运营商投资的模式，也让酒店自己的分成利益减少了许多。在语音服务和上网出口在国内垄断的局面下，酒店也难有机会替自己增加收入。无线网络的运用就不一样了，通过无线局域网的搭建，酒店可以在提高自己酒店服务水准的同时为自己找到一个新的业务增长模式和利润创造点，并且在其基础上逐渐扩充出其他的业务增长和服务新领域。三、 酒店无线的需求及新应用3.1. 无线网开拓新型服务3.1.1. 无线网卡上网服务无线网络的引入，使酒店开拓各种新的服务成为可能。譬如，在登记入住后，商务客人只需简单地利用自己笔记本上的无线局域网卡或者从酒店租用一个无线局域网卡安装在其笔记本上，在几分钟之内就可以实现以比电话连接速度快100倍的速率访问Internet。无线局域网系统的安装使客人可以非常方便和灵活地在酒店内移动办公，无论是在饭店客房、会议室、餐厅，花园还是游泳池边。这样的无线高速访问能力，必将使安装了无线局域网络的酒店成为商务住店客人的首选以及商务会议和展览的宠儿。作为一项增值的服务，酒店可以在客人入住时，按天收取一定的上网费用，直接向有无限局域网卡的用户提供无线上网接入服务，或者按每小时或每日不同价格标准同时向没有无线局域网卡的客人提供无线局域网卡和网线上网双重服务。3.1.2. 酒店大堂的Internet接入服务商务客人常常喜欢在酒店大堂、咖啡厅或茶座里用笔记本电脑工作，或是在这些地方进行一个小型的会谈，当客人需要处理电子邮件或是上网下载公司的资料时，得到的回答往往是：您必须换一个靠近某个数据点的位置；您可以到商务中心去吗？或是必须回到房间里用电话线或者网线才可以上网等等。如果在酒店大堂内安装一到两个无线访问点，该访问点可覆盖需要提供无线上网服务的区域。当客人需要上网服务时，可以利用自己的无线局域网卡或者到前台或咖啡厅的服务员处租用时租或者是日租的无线网卡，这样客人就可以作为一个本地网络的用户自由地使用高速上网服务了。3.1.3. 客房Internet上网服务 在酒店客房内安装有有线网络接口，并通过AP覆盖整个大楼的每个房间。入住酒店的客人可以通过有线无线多种方式上网灵活选择。如果客人在邻近网络插座的地方或没有无线网卡情况下可以通过有线端口上网，另外客人可以使用自己的无线网卡或者酒店提供的无线网卡，插入自己的笔记本电脑后就可以方便地上网了。3.1.4. 无线局域网语音应用目前大部分酒店的服务人员都是通过对讲机进行联系，非常的不方便，但是每一个员工都配置一个手机，其使用成本太高，酒店是无法承受的。如果架设了无线局域网，这样酒店的服务人员就可以使用Wi-Fi手机进行联络，网络范围内的Wi-Fi手机通话完全不产生费用。这样可以极大提高酒店的业务管理的效率，降低酒店的运行费用，同时无线手机也能实现酒店语音交换机所提供相应的使用在酒店中的功能和服务。应用性IP电话可以看成一个智能网络终端，除了打电话之外它还可以实现与企业现有数据网络上各种应用系统的集成，比如：通过电话发布企业内部信息、会议安排、即时查找员工目录信息等，此外还可以结合行业特点实现特性化的行业应用，如在酒店业实现订餐、订票等客房服务等。3.2. 酒店需求1. 酒店内部员工的Wi-Fi通讯。2. 酒店服务员可以在餐厅使用PDA为客人进行点菜，在大堂为客人办理入住登记等业务；3. 酒店的商务客人在公共区域（大堂、餐厅）和会议室使用笔记本上网；4. 酒店客户访问无线数据网络业务无缝漫游；5. 酒店对无线AP设备集中安全管理；6. 无线网络支持多个 SSID；7. 可以和酒店内的服务器结合进行上网客户的认证；四、 无线网络整体设计方案4.1. 设计原则无线网络构建采用美国Trapeze公司的先进的Wireless SwitchAP构架无线网络产品系统，该系统采用集中控制的理念进行设计，分布在各楼层的AP只有通过控制中心才能访问到网络资源，集中控制器是一个智能控制系统，通过购买增强功能许可协议即可扩展很多安全特性，诸如，防病毒防止和防火墙等功能。本系统优为突出的特点是：管理方便，易于维护。结合酒店中心的网络和应用需求以及TRAPEZE解决方案的特点，无线网络通信系统的设计原则可以分为以下几大点： 采用无线交换架构组建无线网络子系统； 利用现有的有线网络资源，架设“层叠”网络，保持已有的有线网络配置和设置不更改； 用户子网和设备子网隔离，无线用户无法访问设备子网； AP的IP网络设置从DHCP获取或者进行安装前静态配置，AP的无线网络设置由交换机集中推送；4.2. 硬件系统架构设计4.2.1. 拓扑结构如下图所示，在整个无线网络系统当中，TRAPEZE的无线交换机MX-200R放置在数据中心，与核心交换机之间采用VLAN trunk进行连接；而楼层中的AP通过隧道汇接回到无线交换机，途经楼层汇聚有线交换机和其它相关的有线网络设备。在这样的网络实现当中，AP上用户的流量都将通过AP与无线交换机建立起的隧道，流向无线交换机，在经过相应的策略匹配之后，用户会被要求认证，或者流量会被转发/丢弃。4.2.2. 设备选型和配置由于此次无线网络通信系统需要部署酒店，还需要考虑到备份中心使用的备份策略，同时还需要为将来各大楼的无线部署做扩容准备，所以在设备选型的时候需要着重考虑设备性能，冗余方案，扩展能力等因素。4.2.3. 核心交换机连接采用TRAPEZE MX-200R交换机，放置在酒店的网络机房，每台TRAPEZE MX-200R无线交换机可以支持192个AP接入和管理，完全满足酒店无线覆盖的需求，并留有一定的扩展余量。无线交换机和AP的连接可以穿透三层，因此，方案的实现完全不影响原有网络的结构，并且可以实现全网的漫游。AP的供电采用单独的PoE供电设备（或与原有的普通楼层交换机配合，不用添加新的POE交换机），用于AP的数据接入和供电，又不增加过多的成本。实现后的酒店无线局域网系统，在酒店内的任何一处，即便是在没有安装有线网络信息点的地方，也可以很方便地进行可视化的音视频酒店中心和召开各种需要使用网络音视频的会议。在无线网络音视频会议酒店中心系统的支持下，在酒店领导和行政办公人员以及与会的来宾等，就可以利用其所携带的笔记本电脑或是配置有无线网络适配器的PC 机，在酒店内的任何一个地方上网与世界的任何一地进行信息交流、酒店中心或媒体演示。这样可以十分方便、快捷地创造一个多方位的可视化的远程多媒体酒店中心环境。4.2.4. 接入层AP部署 分布式的AP部署目前，随着网络应用和数据量的急剧增长，为了减少广播包对网络性能的影响，普遍采用的解决方法是采用VLAN技术进行子网划分，通过三层交换技术对各子网进行路由交换；另外，在企业进行有线网络建设时也考虑到将来可能会有扩展，在有线信息点、光纤和交换机端口等资源上都留有余量，因此在进行无线网络建设时，企业网络中心希望建成的无线网络系统能够尽可能利用原先的网络资源，以降低工程造价和施工周期，因此一般采用AP就近接入空余的接入层交换机端口上，采用无线网络与有线网混合组网方式。由于有线网的固定性，一般采用根据楼层或楼宇方式进行子网划分，而无线网络必须承载于有线网络之上，因此，造成所接AP也分别划到各个子网之中，造成了原本应该统一管理的无线网络被有线网络分割成了独立的无线“网络孤岛”，这种“网络孤岛”在实际应用中会存在以下问题：1. 不能实现全面的、统一的全网级的管理策略2. 不便于无线网络业务的划分3. 不能实现无线网用户的漫游4. 对无线接入点无法做到集中管理、统一配置和固件升级为了解决传统有线与无线混合组网存在的上述问题，采用一种被称作“THIN AP”代替传统AP的方法来解决这一问题。本方案中采用的是Trapeze MP-372/422型AP，并配合Trapeze MX-200型无线交换机进行组网。MP-372/422型AP本身不带任何软件及配置，当AP在加电后，AP通过广播、DHCP或DNS方式来获得位于网络骨干上的无线交换机MX-200的IP地址信息，AP在得到无线交换机地址之后，便采用CAPWAP协议与无线交换机MX-200取得通信，随后由无线交换机MX-200将AP运行所需的固件以及AP的相关配置发送给AP，AP收到这些信息后，随即进行系统启动并根据无线交换机提供的配置进行自身参数的配置。在AP启动完毕后，AP与无线交换机MX-200之间采用TUNNEL方式进行互连，用户的数据包在进入AP后，被AP重新封包进入该TUNNEL传入无线交换机MX-200，由于数据全部被封入TUNNEL，用户的数据并不因AP与无线交换机之间跨了路由而改变路由路径，从用户角度来看，用户的数据直接跨越了层层路由，直接进入了无线交换机，无需改变现有网络拓扑结构、也无需考虑协议兼容性，从而实现了拓扑无关的组网。采用“THIN AP”组网的优势在于：1. AP与无线交换机之间建立跨越路由的TUNNEL，从而将无线业务与有线网络策略区分开2. “THIN AP”运行所需的固件及配置在启动时由无线交换机动态下发，轻而易举的实现了传统“FAT AP”方案无法动态升级AP固件和配置的问题由于采用THIN AP的组网方式，即使是在分布式网络中，彼此被子网路由隔开了的AP也可作为一个整体结构运行，以便于按需扩展或修改无线局域网。 电源的供给对许多网络系统的设计来讲，当建筑中某些区域的用途不确定或布线施工难度较大时，部署无线接入点(AP)是十分必要的解决方案。但是，十分具有讽刺意义的是，在大多数情况下，无线接入点仍然需要电源，这就削弱了无线局域网的优势。而且，在安装时，我们不得不考虑电源插口是否存在，以及连接是否可靠，电源是否会从墙板上脱落等不确定因素。为了解决这上述问题，我们在本次无线网络项目建设中采用Trapeze MP-372/422型AP。对于MP-372/422型AP支持IEEE802.3af标准的PoE供电，因此可以通过位于各个楼层内的POE交换机为每一个MP-372/422型AP供电。 无线接入点安装说明美国Trapeze Network公司提供的无线接入点设备MP-372/422配套完整的安装附件，适合多种条件安装需要。美国Trapeze Network公司提供的无线接入点设备MP372/422配套完整的安装附件，适合多种条件安装需要。下面通过图示的简要说明设备固定方法。 无线接入点MP-372/422 T型固定件 固定支架 无线接入点可以锁在固定支架上解锁后可以取下无线接入点 利用T型固定件固定在天花板轻钢龙骨上 T型固定件与支架通常用的固定方法 利用T型固定件将支架固定后，可以通过上方的开口处将网线插入无线接入点直接安装在墙体上可以采用底座的方式固定 4.3. 用户接入设计4.3.1. 用户认证在本方案中酒店中心将会存在两种类型的用户，一是网络移动设备，而是酒店中的接入用户。对于运算和存储能力都相对比较弱的移动终端设备，目前业界普遍的做法是使用静态WEP与基于MAC地址的认证方式来进行设备接入认证。TRAPEZE无线网络解决方案支持内置和外置的MAC地址数据库用于网络的设备认证，同时内置的静态WEP算法由于采用了防止“弱”初始化向量措施，使得对于此类网络的破解大为困难。无线网络通信系统不仅仅需要服务于需要进行数据传输的移动终端设备，对于可以借助网络进行其它业务操作的数据用户，也应该同样提供数据传输的能力，并且保证两者互不干扰。TRAPEZE所架设的无线网络系统支持多SSID，能够利用一套物理网络设备建立起几套虚拟的无线网络环境，并且每一套无线网络环境都具有其专门的认证方法。在一般数据用户进行网络访问的时候，TRAPEZE可以提供包括开放系统在内的五、六种认证方案，包括：WEB页面认证，802.1X认证，基于SSID的认证等。用户在接入网络之前，透过无线网络子系统把相关身份信息发送到后台的认证数据库当中，只有通过身份验证的用户才能够得到进入网络进行访问的许可授权。4.3.2. 数据传输加密TRAPEZE架构中的集中式加密解密模式尤其适用于对于数据传输具有严格私密性要求的场所。在酒店中心的通信系统，正是这样的一个典型例子。控制中心和终端之间的来往控制信息以及数据都不希望受到非授权用户的任意监听进而窃取其中的敏感信息，端到端的通信受到先进加密算法的保护。TRAPEZE架构中可以直接对二层的无线网络数据采用AES算法进行加密。4.3.3. 提供灵活的多业务支持（Multi-SSID）早先，由于技术及成本的制约，AP只能提供单一SSID，因此要想在使得无线网所能提供的服务均混合在一个服务集之上，无法实现业务的区分，无法支持QoS，不同权限用户的隔离；随后出来的第二代产品诸如Cisco Aironet系列AP，支持广播最多16个SSID，并可以对每一个SSID分配不同的认证、加密、QoS和VLAN策略，用户一旦连接上一SSID后，可以被赋予该SSID所提供的属性，但是由于用户的属性受到所连SSID的制约，第二代的这种基于SSID的业务策略属于静态的策略,因此无法实现基于用户的策略控制。本方案提供的Trapeze系列无线系统，MP-372/422最多支持64个SSID，并且可以根据用户属性，动态的分配用户认证方式、加密方法、QoS及所属VLAN，实现了基于用户的动态业务策略。基于用户的动态业务策略能够实现全网范围的漫游，而不用考虑所在地点的AP是否支持这些策略，从而让无线网业务系统功能更多、更为灵活。4.3.4. 用户接入策略从酒店的用户分类与分布情况分析，用户主要分成以下几类：（1）酒店领导与工作人员；（2）旅客；使用网络是被分为不同的业务类型，因此，在设计上采用无线局域网多SSID技术，设置多业务区分方式。在一个无线局域网内可以设置多个SSID，例如一个SSID可给内部员工所用，而另一个可给外来的客户专用。由于用户一般把SSID看成VLAN，所以它们都会惯性地以VLAN概念来划分SSID。其实在一个AP范围内，不管用户连接到那一个SSID它们实际上都是在同一个802.11广播域内，因为无线电波的传输是共享。一个最简单的例子就是AP把不同的SSID名字广播，所以当无线终端在这个AP覆盖范围内启动时，它就能同时看到多个SSID。SSID的最主要用途是可让无线终端以不同的安全认证和加密方式入网。为什么要把不同的安全加密协议设置在不同的SSID呢? 802.11的标准内定义了不同加密情况时数据包的封装格式，所以在使用不同的加密程式时，如WEP,TKIP(WPA),802.11i(WPA2)，它们是不可能在同一个SSID内同时存在的。用户可根据实际的情况和802.11发展来制定以怎样方式来实现无线加密。最常见的做法是使用二个SSID，一个定义为OPEN/Static WEP供客户用，另一个SSID则为TKIP(WPA)专为内部员工使用。未来的发展趋势是新增设一个802.11i SSID让员工以过度的方式逐渐从转移到这个SSID上。不能一步转到802.11i的主因在于很多的无线终端现在尚未支持802.11i，而是不可能把所有的终端一次更换成最新的软件程序。SSID可以覆盖全网，也可以只局限于假酒店网内的某些范围。一般的情况下是全网开通，例如客人(Guest)使用的SSID；但有些SSID则可能只供某些部门使用，所以无线覆盖范围通常只会局限在某些范围内。所以针对酒店无线局域网多种用户的不同业务类型应该采取不同的SSID进行管理和控制。酒店领导员工、酒店旅客用户，可以采用专门的SSID，可以采用级别较高的认证和加密手段。4.3.5. 接入用户的带宽保证传统上，由于受到客户端无线网卡底层驱动算法机制的限制，用户总是会连上信号最强的AP，而并没有考虑到该AP是否能够提供最佳的服务。Trapeze MX-200无线交换机可以根据周围无线信号覆盖情况以及用户的流量需求，动态的将用户强制连接到其他可用AP上，将用户流量分配到其他可用AP，从而保证了整个无线网络的高效能和高可用度。例如在一个用户较多的会议室，正常情况下大约有15人左右，采用一个AP即可满足需求，但当用户数突然增加后，导致该AP无法连接数过多，而此时，位于会议室外的AP由于相对与会议室来说，信号虽然比较弱，但仍然是可以满足一定的网络用量，此时无线交换机则强制后来的一部分用户连接信号较弱的AP，从而实现了负载均衡，保障了网络的畅通。4.3.6. 用户漫游及QoS保障由于无线局域网采用类似于移动通信网中的“蜂窝”覆盖方式，来实现大面积覆盖，当终端在移动一点到另外一点的移动过程中，不可避免的需要从一个AP切换到另外一个AP，在切换过程中，移动终端需要进行“取消关联”及“重关联”的操作，该过程一般需要300500ms的时间，此外，在有后台认证系统存在的情况下，用户还需要进行重认证、session key重分发及重新分配IP地址的过程，这种方式无法满足一些对时延非常敏感的业务诸如VOD点播、VoWLAN等的支持，因为传统无线网络的漫游只停留在IEEE802.11协议层上，并没有对用户会话进行完整性保持。而在本方案中，我们采用Trapeze Mobility System方案，该方案也以无线交换机为核心，对所有AP上接入的用户采用统一会话管理，所有已认证终端均在中心无线交换机中保存相应会话，AP仅仅只负载传输用户数据，因此无论终端移动到哪个AP下，用户信息和授权都在无线交换机所管辖的移动域内快速的交互，可以有效保持会话完整性及可靠移动性的前提下实现无缝漫游。另外，Trapeze Mobility System还率先支持WMM(Wireless Media-Media)无线多媒体协议，能够将语音、视频数据包以更高的优先级进行传送，提供了对无线QoS的保障。4.4. 网络管理措施4.4.1. AP的集中管理与自动配置在传统无线网络建设中，有一个始终令网管人员感到头痛的问题，那就是对AP的管理、监控以及AP自身固件的升级。由于传统AP是一种称作为“FAT AP”，即自身需要有相应控制软件以及独立的配置才能运行，而由于AP是一种接入层设备，数量较多，且由于企业网络的复杂性以及业务的多样性，导致需要根据各“热点”区域进行相应配置，并且还需要网管员对这些特殊配置进行记录，以方便日后维护；此外，在日常运行中，还需要了解这些数量众多AP的工作状态及性能等数据，而一般AP管理工具功能太过简单，如果采用有线网络网管软件，由于没有很好的对无线网络做相应的开发与支持，从而不能很好的管理无线网络。而采用Trapeze Mobility System架构下的无线网络，AP是一种被称作“THIN AP”的结构，由于AP本身没有任何需要配置的参数，同时AP与中心无线交换机之间采用CAPWAP协议进行通信，AP的固件、配置信息均由中心的无线交换机MX-200提供，并且AP与Trapeze无线交换之间采用“心跳”机制定时保持通讯，为了解决传统“FAT AP”能够集中管理、配置、升级AP；AP与Trapeze无线交换机之间采用“心跳”机制，定时保持通讯，中心网管系统能够非常及时的了解AP的工作状态，并将工作状态直接反映给Trapeze RingMaster网管系统，RingMaster工作状态，并记入日志，以被日后查验。4.4.2. 基于策略的用户访问控制Trapeze Mobility System不仅支持丰富的安全认证及加密方法以外，还提供基于用户身份的服务，以使用户在漫游时具有诸如虚拟专用组成员资格、访问控制列表 (ACL)、认证、漫游策略和历史、位置跟踪、带宽使用以及其他授权等内容。还可告知管理人员哪些用户已连接、他们位于何处、他们曾经位于何处、他们正在使用哪些服务以及他们曾经使用过哪些服务。4.4.3. 性能管理QoS保证/负载均衡：如果一旦发生多个终端竞争一个AP的时候，基于流量和基于用户/终端数目两种负载均衡功能都将被启用，从而根据现场的负载情况进行均衡操作。4.4.4. 故障管理AP的双备份：TRAPEZE的设备支持冗余部署，如果是集中控制的无线交换机失效，注册到该控制器上的AP会重新注册到网络中另外一台TRAPEZE无线交换机上，保证网络的连续可用性。如果是AP到主交换机的连接出现问题，AP也可以向从交换机发起连接申请，建立集中式的无线网络，以此来确保网络的运行。自愈功能：TRAPEZE的系统中AP具有自愈的功能，当一个AP失效的时候，附近的AP可以感知到，通过加大发生功率来覆盖失效AP原来所覆盖的区域，达到自动治愈网络覆盖空洞的目的，也提高了网络的可用性。4.5. 无线信号监控4.5.1. 无线信号自动优化与调整传统“FAT AP”组建的无线网络，在建设初期，需要对无线频谱及channel和发射功率进行规划，以降低同频干扰，但是无线信号受到用户数、天气、湿度等环境影响因素较大，一旦外界因素发生变化后，如果AP仍使用原始参数进行运行，必然导致信号强度降低、覆盖区域缩小等情况，导致网络运行不稳定。采用Trapeze Mobility System解决方案，支持RF Auto-Tune技术。MP-372/422 AP可以监听、扫描所在空域中的信号强度和使用量，并将数据传送至位于核心的Trapeze MX-200R无线交换机上，MX-200R根据各AP报告的测量数据进行一个全局的调配，例如，当某一区域多数AP报告信号不足时，MX-200R可以动态改变该区域内相关AP的发射功率；当AP报告该区域内有相同信道信号时，则可以动态调整相关AP，以避开信道的重叠。Trapeze Mobility System的RF Auto-Tune技术以可动态地调整流量负载、功率、射频覆盖区域和信道分配，以使覆盖范围和容量最大化。4.5.2. 非法信号的侦测、告警感知无线电可提供监测WLAN所工作的射频环境的功能，能对非法接入点与无线入侵者进行探测并定位.动态了解无线局域网(WLAN)所工作的射频(RF)环境的状态，对提供高水平的网络性能与安全非常必要。采用Trapeze MP-372/422企业级AP组合，能够支持两种模式来对非法电磁信号进行监测：一种方式为MP-372/422 AP在做Data AP的同时，每隔一段时间主动进行ActiveScan；另一种方式可以将MP-372/422设为监听模式，（称之为SentryScan）与前一种方式不同的是，此种方式为连续监控。Trapeze MP-372/422型AP通过上述两种方式，采取按需的或预设定的射频扫描来监听周边环境的信号源的MAC地址, Channel,类型及SSID等，自动识别并警告未授权的AP或Ad-Hoc网络，以避免潜在的干扰或与无线入侵者。另外，对于某些重点区域，还可以部署专用 AP不断地扫描空域，以便对要求更高安全性的环境提供全天候保护。4.5.3. 非法信号的主动反制当系统发现非法信号后，可以根据管理策略，手动或自动将非法AP加入系统的Attack list中，当发现有无线客户端尝试链接该非法AP时，系统可以主动向该无线客户端发出IEEE802.11 disassociation信号，强制将该终端与非法AP断开，从而让终端始终连接上合法的无线网络上，保证了用户的数据安全。4.6. 无线网络的可扩展性采用基于Trapeze Mobility System系统架构下的无线网络解决方案，不仅提供了完善的基于用户的控制策略、安全认证和数据安全加密机制，还保持着良好的网络可扩展性。Trapeze Mobility System采用了THIN AP无线交换机架构，AP与无线交换机之间通过TUNNEL进行通讯，无需改变现有网络拓扑结构，也无需考虑协议兼容性，实现了拓扑无关的组网，使得整个无线网络有着更强的伸缩性，为今后网络的升级和扩容提供良好的可扩展性。4.7. 网络计费系统酒店行业目前通常采用的是WEB网关式认证计费系统。通过此系统，用户登陆访问酒店外网络时，会由网关进行认证，同时进行网络计费。在部署无线网络之后，根据酒店要求，可以继续采用酒店原有的认证系统，同时对酒店内的有线网和无线网进行认证计费。具体到无线网络的认证计费要求是：1 当无线用户想要利用酒店内的无线网络时，首先连接到附近的酒店无线网的接入点（AP）上。2 无线接入点（AP）发现有用户要求进行无线连接时，会要求用户进行帐号认证。3 用户端的操作系统在收到AP的信号后，会要求用户输入系统的帐号和密码。4 用户输入完后，会将加密后的用户名密码发送给无线AP。5 无线AP在收到加密后的用户帐号、密码后，会将其发送给认证系统进行确认。6 认证系统在确认AP发来的帐号、密码后，会发送指令给AP。命令AP接受或拒绝用户的无线连接请求。7 如果认证系统命令AP接受用户连接，则AP打开无线信道，允许用户接入，同时认证系统开始对用户进行网络计费。本次筹建酒店无线网络系统，可以在认证方面与原有的有线网络认证体系完全融合，对认证用户完全透明，不增加用户的认证次数和复杂性，同时还可以保证无线用户入网即认证的目的，便于控制无线用户的安全访问和与有线网络的认证账号统一性。因此，在酒店的无线网络构架中设计中，Trapeze网络提供的无线接入点产品将与目前酒店的宽带计费认证管理网关的供应商进行联合开发以满足客户的需求。具体实现方式是采用无线接入点已经良好支持的EAP-PEAP作为认证加密协议，保证用户认证传输过程中的安全和身份的核查。认证用户采用与有线网络一致的用户名和密码，无线接入点作为EAP-PEAP的认证体，宽带计费管理网关作为后台Radius。具体工作原理如下：建成后的酒店无线网络将获得与有线网络一致的认证方式，同时兼顾了无线网络的连接过程的安全，为此而进行的开发合作与调整是基于国际标准认证协议进行的，可保证开发投入的风险降低，开发时间大大缩短。4.8. SmartPassSmartpass功能模块使非IT人员可以完成配置临时用户帐户访客进入企业网络的申请，网络管理员通过一些简单培训使其它网络管理员或非IT人员也可以作为员工管理员。访客首先连接到Guest SSID后，使用SmartPass建立的客户名、密码很快并很轻易通过MX-200R交换机认证后实现internet连接服务等。Smartpass可以根据具体需要定制访客用户名、密码、用户组及访客访问时间等。4.9. 方案特点4.9.1. 最高扩容性及投资保障Trapeze Networks 的智能无线交换功能，支持分散及中央处理，用户数据并不一定到 (WLAN)无线交换机作中央处理。避外网络瓶颈限制。更可在 AP 上进行数据本地交换，WLAN 无线交换机减轻数据包处理重担，专注流量及安全政策管理。结果是：更少无线交换机可管理更多AP。网络数据流量减少、时延更短，因为数据不需送回到无线交换机去作中央处理。有些厂家试图用多个无线交换机，分布在网络上，解决网络数据流量问题。但费用过高，更带来安装位置、耗电、热量及多占 LAN端口等问题。复杂了配置及管理。Trapeze Networks 的智能无线交换机更是不需硬件升级，便可支持 802.11n AP, 保障您的所有投资。Trapeze无线网络系统作为与拓扑无关的组网方案，使得整个无线网络有着更强的伸缩性，为今后网络的升级和扩容，以及机房整体迁移到办公楼内提供良好的可扩展性。Trapeze Networks 无线网络系统能够自动对所有AP进行自动固件升级、统一配置及统一优化，并可以对AP进行监控、报警及故障定位，简化了管理和断网维护时间，保障网络的健康稳定运行。4.9.2. 超级的负载均衡及容量管理Trapeze Networks 的独特功能，可在更少无线交换机，同样数目的AP 情况下，比其他产品，容纳多达 30-40% 在线用户。无线终端面临二大上网问题：A、 “前门”效应 在多个同等值AP环境下，多数向单一AP连接。B、 缺省设定用2.4G ( 802.11b/g) 标准，导致 2.4G 频段极为拥挤，但 5G 频段甚少用上。Trapeze Networks 会用动态射频管理及用户负载均衡，分散用户到不同AP。更有专利功能，监察频段，强制有5G 制式的终端设备去利用 802.11a 标准上网。Trapeze Networks 的智能无线交换机群可以集群部署 ( Cluster)，较少负载的无线交换机可动态接管较高负载交换机的 AP。Trapeze Networks 支持以用户、SSID及应用的 QoS 、带宽管理，确保用户上网之表现。4.9.3. 更快、更安全的漫游在医疗、生产及零售等高要求网络中，无线网络 (WLAN)愈来显得重要。如果用户在大楼间移动，而应用经常中断，这是不可接受的。无中断漫游是成功无线网络建设的基本要求。不幸地，无线并不代表移动正如移动手机.真正价值在于漫游，在车内、在商场、无论何地，不能中断。你当然觉得手机在无信号掉线时难受！ WiFi 漫游是复杂的，它不单是从一个AP到一个AP连线。它需要一个楼层到另一个楼层，一幢大楼到另一幢大楼，从AP到交换机之间无干扰漫游，保持一致的安全、QoS、带宽及权限。问题是其他厂家产品，如何做到？其他厂家产品依靠所谓 ：“家”交换机(home Controller)设计，作为用户会话基地，保持会话安全密钥。用户漫游到其他交换机，因没有相关资料，要网上寻找交换机拿会话安全密钥。造成长延迟及掉包情况，对话音做成影响。相反地，Trapeze Networks 采用独家 “分散安全认证”技术。没有“家”交换机限制。用户上网认证后，会话安全密钥会传到同一无线域 (Mobility Domain)的交换机上，所以漫游后不需网上寻找交换机拿会话安全密钥。结果是：更快、更可靠的漫游 更是户内/户外整网一体。Trapeze Networks无线网络系统基于用户的访问控制策略使得用户的权限被映射在整个无线移动域中，而不受用户漫游到其他区域而失效。4.9.4. 高质量话音网络结构话音是无线网络的重要应用。当 Voice Over IP 在企业中大行其道时，超过40% 大型企业，计划在2010年前，应用在无线网络上。但在所有应用中，话音是对时延及时延抖动最为敏感。但Trapeze Networks 的智能无线，支持本地交换。手机话音流量可以从最短路径，直接相连，而不需要往返经过交换机。这与 SIP规范结构相符。Trapeze Networks 网络对话音时延最短。根据第三方测试结果：Trapeze Networks 网络比其他厂家产品在大流量情况下时延短6 倍，时延抖动少15 倍。除话音质量外，Trapeze Networks 交换机可作集群 ( Cluster)冗余备份，支持无中断撤换。不对话音影响，无掉线、无杂音。在安全方面，无论数据或话音，都支持最安全的 WPA/WPA2标准。4.9.5. 户外/户内网络一体化户外AP与户内AP要求不同。户外AP 通常都会使用 Mesh/ Bridge 功能，取代光纤或铜线户外长距离连线功能。但带宽不够充裕，所以路由一定小心处理，减少数据不必在长途线上往返。Trapeze Networks 的智能无线，支持本地交换，有最佳表现。多数其他厂家户外/户内产品分开，做成户外/户内分网。分开交换机，分开网管，用户数据一定要往返中央处理。Trapeze Networks 网络户外/户内设备统一，在结构上、应用功能、射频计划及管理上，都是一体化。4.9.6. 最高可靠性、永不停机结构当无线成为新一代机构网络接入层，可靠性是最高要求。Trapeze Networks 无线网络解决方案中AP部署不受网络拓扑及VLAN子网划分的影响，无需改动企业现有网络拓扑结构。Trapeze Networks 无线网络解决方案中AP支持多达大个64个SSID，可以集成更多的业务策略，并保持一定的扩展性。多数其他厂家 ( 像 Trapeze 一样)，建设元器件备份功能：AP双连线、双电源、链路集成等等.但没有一家如Trapeze在系统层面结合先进有线网络提供灵活备份。其他网络典型地提供一对一或多对一备份。缺点是:很难做到备份设备与运行设备配置同步。再者，要经常定期检测备份设备，或实行撤换。备份设备99%处于空闲时间，直至备份需要撤换时，才知软件版本或配置不符。Trapeze Networks 发明交换机集群 ( Cluster Configuration)，多个交换机互为备份。每机记录其他交换机配置。如此一来，所有交换机一起工作。如任何一机有故障，其他交换机可立刻分担它的工作。除了备份以外，交换机可以停机作维修或升级。对网络毫无中断影响。当交换机恢复工作后，自动分配原来负载。Trapeze Networks 又有最先进户外 Mesh 技术，提供快速链路恢复、自动负载均衡、自我优化及路由重组等功能。又有洪水(flood)控制，流量过滤提高链路带宽效率。4.9.7. 超级安全防护功能Trapeze Networks无线网络解决方案支持多种迄今为止最为先进的用户身份认证及安全加密策略，能够有效的防止黑客入侵对网络及用户造成的危害。Trapeze Networks无线网络系统具备完善的无线信号监控与入侵检测功能，能够自动对整个网络进行优化以及防止非法信号的干扰及入侵，保护网络的安全。Trapeze Networks提供最佳入侵防御方案。如多数其他厂家，Trapeze Networks 无线交换机具有40多种基本入侵检测及防御功能免费提供给用户。但只有Trapeze Networks将业界最先进的 WIDS/WIPS- AirDefense 功能集成于同一网管平台上。AirDefense 更利用 Trapeze AP作为网络探针，系统可以堤供多达 250多种入侵检测及防护特征库，而节省50%之探针花费。当检测到入侵，Trapeze AP可按需要转化为探针。对入侵进行定位，制压及采集入侵数据。俩个系统集成，从单一终端管理、简化配置，IT及保安人员，得到一致入侵信息。4.9.8. 业界中最佳射频计划及WLAN管理多数其他厂家将无线网管作附加功能。Trapeze Networks 将网管作为网络主要功能。Ring Master 网管已是第七版本，包含户内/户外射频计划，整网配置、告警、实时监测管理。储存多达三十天网络日志，生成各种报表，从单一终端管理整网。Ring Master 网管是唯一具有三维仿真功能之射频计划软件，可供精准射频设计，而无需花时花费到现场人手量度。利用大楼建筑蓝图，Ring Master 可以帮你设计最佳安装位置，射频功率及频道。使网络户外/户内有最好表现，实现无缝漫游。因为是三维仿真，完全可以避免到楼层间的频道干扰问题。在计划内，可定制无线覆盖地区、用户数目、所需带宽、在线话音用户数等。Ring Master就可设计AP 位置、数目及配置。并生成安装工程指示。配置可直接输入到各交换机，省却安装错误及时间。更可以按用户制定QoS/ 带宽等参数。在网络运行期间，Ring Master 有最严密监察，详尽告警，活动记录，多样报表，让你可以分析漫游及网络资源利用状态。Ring Master 可让你察觉网络连接问题，寻查根源，解决方案，预先计划扩容，同时显露“流氓”AP 或其他网络攻击。五、 设备选型及实施规划4.1. AP安装覆盖示意图一至三层覆盖：一层到三层员工的Wi-fi需求比较大，考虑需要完全覆盖，建议在一楼附楼采用10个AP对其覆盖；二楼会议是比较多，考虑到会议室中的上午用户量大、突发性等特点，建议每个中小型会议室安装2个AP，对于大型的多功能厅，建议采用8个AP，无需在预宴厅在安装AP；三层主要为宴会厅，采用完全覆盖。主楼覆盖：考虑到主楼客房服务等特点，建议每层用2个AP覆盖消防室，8个覆盖客房。旋转餐厅：考虑到无线点菜系统，部署4个AP。总计AP-372/422AP-71注1层202层373层255-4