无线校园网的设计与优化.doc

引 言随着计算机网络在人类生活领域中的广泛应用，针对计算机网络的攻击事件也随之增加。网络已经无所不在的影响着社会的政治、经济、文化、军事、意识形态和社会生活等各个方面。同时在全球范围内，针对重要信息资源和网络基础设施的入侵行为和企图入侵行为的数量仍在持续不断增加，网络攻击与入侵行为对国家安全、经济和社会生活造成了极大的威胁。计算机病毒不断地通过网络产生和传播，计算机网络被不断地非法入侵，重要情报、资料被窃取，甚至造成网络系统的瘫痪等等，诸如此类的事件已给政府及企业造成了巨大的损失，甚至危害到国家的安全。网络安全已成为世界各国当今共同关注的焦点，网络安全的重要性是不言而喻的，因此，对漏洞的了解及防范也相对重要起来。 在我的这篇论文里，将综合概括一些过去、现有的网络和系统漏洞，就几种常见的和最新出现的漏洞及其特征进行详细的说明，并就此进一步展开对这些漏洞的防范措施的具体介绍，使大家认识并了解这些漏洞的危害，从而更好的保护自己的计算机。1 可行性分析1.1无线校园网建设目标随着802.11系列标准的推出，从技术上来讲无线网络已经逐步成熟。无线传输速率从最初的12Mbit/s,到11Mbit/s直至今天的54Mbit/s。对于一般用户而言，当前的无线性能与有线连接的性能已无明显差异。使用128比特加密和其他可选安全机构（）来增加安全，上述安全措施已经降低了人们对不恰当的抱你和控制的畏惧。同时覆盖距离更长的AP增加了解决方案的可行性。一个优良的WLAN校园网络，必具备以下要求：1 网络覆盖的问题规划校园网络的时候，应考虑尽量覆盖大范围的室外场所。如果不能在大范围的校园覆盖面积下保证移动办公的需要，也就不能适应现代校园网的发展需求。在设计一个校园网WLAN的时候，应该保证接入点的覆盖面积与它相邻的接入面积有20%的重叠区域。这样可以最大限度地保证不受其他无线电频率的干扰。2 每个AP接入点的发射功率每个接入点都用最大的发射功率来设计校园网络不是一个很好的选择。跟蜂窝电话接入系统一样，网络接入带宽的需求量决定了进行总体和分区域带宽设计的标准。比方说，图书馆可以采用多个AP重叠的设计；而有些地方，如室外的操场等场所，这些地方的上网需求不如图书馆，所以可以只设计一个接入AP。在人员需要密集上网的地方，如学校的寝室，在设计WLAN的时候，可以结合学校现有的LAN来设计，因为无线网络在满足大量用户同时上网方面不如有线局域网的优势明显。保证校园网内部AP设计科学合理，这是满足校园网应用资源的优化和合理配置的有效手段。3 访问AP的权限因为每个WLAN不可避免地需要上网登录，这就事先需要验证访问的权限，需要对WLAN在校园网进行内部管理以及解决如何分配WLAN的账号等问题。比如说，可以配置为学院内部的教师只能登录学院内部的WLAN网络，学院的管理员统一分配学院内部的登录账号和密码，并不允许告知学院以外的人员。根据学校的寝室上网人员的数目进行访问权限密码的分配，可以进行适当的收费管理。4 对校园网WLAN的管理 对校园网的访问跟其他WLAN的控制访问没有什么区别，其中包括WEP加密技术和接入点具有的MAC地址过滤功能、外部防火墙等技术。对校园WLAN内部使用的网络，应该根据运营的成本进行详细的规划设计，合理进行收费。WLAN有它潜在的优势，但是，收费的合理性也会制约它应用的普及和发展。5 无线局域网应用校园网暂时的弊端（1）标准的不统一 我国的WAPI和WIPI标准的无线局域网产品现在存在不统一。在这种前提下，现在遵循WIPI标准的产品很可能在新的兼容标准出台的时候出现不兼容的情况。因此，学校对无线局域网的投资暂时应该慎重。（2）网络安全问题WIPI遵守IEEE802.11a和IEEE802.11b标准，而符合这种标准的产品存在安全隐患。虽然IEEE802.11标准已经出台，但是，厂商投入研发这种产品还会有一个阶段，而且，满足新的标准的无线局域网设备，在开始阶段价格会比现在市场上的相关产品价格高。（3）性价比暂时不高 无线局域网产品因为现在还没有固定的标准出台，因此现在投资的产品很可能没有良好的可扩展性。但是随着厂商的投入加大，终端用户的需求量增加，必然导致无线局域网的价格更趋向于合理。1.2无线传输技术1.2.1 802.11b2.4 GHz，11 Mbit/s802.11b采用2.4GHz直接序列扩频，最大数据传输速率为11Mb/s，无须直线传播。动态速率转换当射频情况变差时，可将数据传输速率降低为5.5Mb/s、2Mb/s和1Mb/s。使用范围 支持的范围是在室外为300米，在办公环境中最长为100米。802.11b使用与以太网类似的连接协议和数据包确认，来提供可靠的数据传送和网络带宽的有效使用。1.2.2 802.11a5 GHz，54 Mbit/s802.11a是应用于无线局域网的802.11规范族中的一个规范，主要用在接入式集线器中，为无线ATM系统提供规范。使用802.11a规范的网络运行于无线频率在5.725GHz到5.850GHz之间的环境下。这个规范使用正交频分复用技术，这种技术尤其适合应用于办公室局域网。在802.11a规范中，数据速率可以达到54Mb/s，在干扰方面，它要优于802.11b规范，这是因为802.11a提供更多的可用信道，并且802.11b的使用频率和各种各样的家用器具及医疗设备的使用频率是共享的。1.2.3 802.11g2.4 GHz，54 Mbit/s随着无线IEEE 802.11标准开始深入人心，各IC制造商开始寻求为以太网平台提供更为快速的协议和配置。而蓝牙产品和无线局域网（802.11b）产品的逐步应用，解决两种技术之间的干扰问题显得日益重要。为此，IEEE成立了无线LAN任务工作组，专门从事无线局域网802.11g标准的制定，力图解决这一问题。802.11g其实是一种混合标准，它既能适应传统的802.11b标准，在2.4GHz频率下提供每秒11Mbit/s数据传输率，也符合802.11a标准在5GHz频率下提供54 Mbit/s数据传输率。1.3 802.11b/802.11a/802.11g技术比较802.11b 提及802.11b的最大缺点，想必大部分人都会对其速度略有微词。虽然11Mbps（实际值为550600kB/s）的传输速率对大多数宽带用户的接入速度来说已经足够，但该性能指标却不能满足日益增长的宽带网络的需求。即便是个人用户，目前国内不少家庭的宽带接入速度也已超过1MB/s，无论80211b如何改进，它已呈现出力不从心的态势。80211a从另一个角度来看，WLAN的应用也不仅仅是满足于客户端计算机的Internet接入。出于无线局域网“无线”的特性，许多个人及商业用户均希望将其相应的“家庭局域网”和“公司局域网”通过无线来组建，从而实现大容量数据的无线传输，此时相比有线局域网，WLAN的速度瓶颈则更加相形见绌。再加上早期802.11b标准的安全性问题，注定了它与主流应用的无缘。作为802.11b的继承者，802.11a和802.11g均具备优秀的素质。首先，它们都是经IEEE（电子与电气工程师协会）批准的无线局域网规范，标准的确立也就意味着厂商们的认可和支持；其次，它们都拥有高达54Mbps的传输速度（实际传输速率可达3MB/s之多），非常接近传统100M有线局域网传输速率的一半，如此一来，大容量数据传输便得到了一定的解决；最后在安全性上，802.11a和802.11g较802.11b也要更胜一筹。然而在目前的市场上，很少看见有基于802.11a标准的无线网络产品。特别是随着Intel Dothan处理器的发布，主流高端笔记本电脑上几乎清一色地配备了Intel Pro 2200 b/g无线网卡，主流无线AP也大多为802.11b/g规范，是什么原因让802.11a标准受到市场的冷落？802.11g与802.11a一样拥有54Mbps的传输速率。其中802.11a在信道可用性方面更具优势。这是因为802.11a工作在更加宽松的5GHz频段，拥有12条非重叠信道。而802.11g只有11条（802.11b同为11条），并且只有3条是非重叠信道（信道1、信道6、信道11）。因此802.11g在协调邻近接入点的特性上不如802.11a。由于802.11a的12条非重叠信道能给接入点提供更多的选择，因此它能有效降低各信道之间的“冲突”问题；此外，802.11a独特的5GHz工作频段也在抗干扰性上优于802.11b/g，因为在日常生活中，许多电子设备都是基于2.4GHz频段工作的，这正好与802.11b/g的工作频段相同并产生冲突（举个例子，如果你的家中同时安装有无线局域网和无绳电话，那么当你使用无绳电话时便会发现通话效果时好时坏，这就是典型的干扰问题），如蓝牙设备、微波炉等。5GHz工作频段具有2.4GHz无法比拟的抗干扰优势，但同时也预示了802.11a的灭亡。由于频段较高，使得802.11a的传输距离大打折扣。以往802.11b无线AP的覆盖范围为80100米（室内），而802.11a仅有30米左右。5GHz频段的电磁波在遭遇墙壁、地板、家具等障碍物时的反射与衍射效果均不如2.4GHz频段的电磁波好，因而造成802.11a覆盖范围偏小的缺陷；其次，由于设计复杂，基于802.11a标准的无线产品的成本要比802.11b高的多。据一份市场调查显示，802.11a产品的售价至少比802.11b高出四倍以上，在价格敏感的前提下，它很难替代已成主流的802.11b；最后就是802.11a致命的兼容性问题，其独特的5GHz频段无法与802.11b兼容，要知道目前全球有几千万个采用802.11b标准的无线局域网，如果从现有的802.11b网络过渡到802.11a，光是更换无线AP的费用就十分可观，更不用提数量更为庞大的无线网卡了。尽管后来厂商们考虑到兼容性问题，将产品做成了802.11a/b双频、甚至802.11a/b/g三频模式，但也改变不了成本过高、802.11a大势已去的现状，在2002年几千万颗Wi-Fi产品的芯片出货量中，只有不到10万颗是基于802.11a标准。802.11g 市场对802.11a的怀疑，让802.11g迅速成为厂商们追捧的对象。和802.11a相比，802.11g在提供了同样54Mbps的高速下，采用了与802.11b相同的2.4GHz频段，因而解决了升级后的兼容性问题。同时802.11g也继承了802.11b覆盖范围广的优点，其价格也相对较低。当用户过渡到“g网”时，只需购买相应的无线AP即可，而原有的802.11b无线网卡则可继续使用，灵活性较802.11a要强得多。802.11a已渐渐淡出市场，但它不会完全消失，至少在更新、更强、优点更出众的标准问世之前不会被市场完全抛弃。随着WLAN在无线语音传输和矿山、医院等领域应用，其抗干扰性强和多信道的设计仍是802.11b/g所望尘莫及的。因此有理由相信在未来的一段时间内，802.11a、802.11b、802.11g可能还会三足鼎立（虽然802.11a在市场份额上可能表现未必会很理想）。1.4 网络设计原则l 实用性遵循面向应用，注重实效，急用先上，逐步完善的原则；充分保护已有投资，不不设计成华而不实的网络，也不设计成利用率低下的网络，要以实用性的原则要求为依据，建设具有最低TCO（拥有的总成本最低）、最高性价比的WLAN。l 先进性采用先进成熟的网络概念、技术、方法与设备，既反映当今先进水平，有给未来的发展留有余地。l 可靠性系统必须可靠运行，主要的、关键的设备应有冗余，一旦系统某些部分出现故障，应能很快恢复工作，并且不能造成任何损失。l 可扩充系统是一个逐步发展的应用环境，在系统结构、产品系统、系统容量与处理能力等方面必须具有升级换代的可能，这种扩充不仅能充分保护原有资源，而且具有较高的性能价格比。l 可维护系统具有良好的网络管理、网络监控、故障分析和处理能力，使系统具有极高的可维护性。l 安全性必须具有高度的保密机制，灵活方便的权限设定和控制机制，以使系统具有多种手段来防备各种形式的非法侵入和机密信息的泄露。2 无线网络设计2.1 无线建网技术无线通信中的一个基本问题是介质共享大气层。如何使两个或更多个用户访问同一个介质而不会引起冲突？此外，带宽直接受到访问介质的用户数量的影响。在有线网络中，使用快速的集线器或迁移到交换式网络可以很容易地增加带宽。而在无线网络中，增加带宽的最佳方法是增加覆盖单元的数量并降低覆盖单元的覆盖范围。这样每个AP就可以分担少量的用户。与此类似，某些厂商开发出了无线交换机 “阵列”，它可以同时发送多个定向的波束。另一种策略是混合使用2.4 GHz和5GHz的设备。本次无线局域网络设计环境是整个校园，设计时使用了无线双频（2.4 GHz和5GHz）设备阵列，极大的增加了可用带宽，同时还设计将一定面积的区域划分为一个VLAN，整个校园将按照实际需求划分为多个VLAN ，设计时每个VLAN将容纳至少30个用户。同时要求公共区域必须有网络的覆盖，基于接入点的带宽共享机制，根据无线网络设计普遍适用于802.11a及802.11g网络的有效经验法则，是为每位用户4Mbps带宽，可以提供与用户在有线局域网上相同的使用感受。适用于802.11b网络的经验法则是为每为用户分配1Mbps带宽，这可以提供类似与宽带ADSL连接类似的用户使用感受（但802.11b标准已经无法适应校园网络的应用需求，因此本次设计主要采用802.11a/g标准）。因此如果要实现每间教室30人以上同时上网的性能需求，则要为每间教室分配至少120M的带宽。由于电脑机房用户密度较大、信号传输环境很差，因此设计较小的蜂窝即接入点采用定向天线进行无线覆盖，仅为保证漫游需求在两房间交界处采用全向天线，接入方式上可以选择固定台式计算机接入、远程接入与移动笔记本接入的方式。每台路由器大约能带动的用户上限为32左右，因此，四台无线路由器可以充分满足一间教室50人同时访问网络的需求，将信号功率上适当减小，具体数值需专业设备进行检测，将无线漫游及信号中继的功能完全转移到路由器及交换机上，最大限度的减少网络实验室区域内的无线辐射，同时可实现网络的轻松维护、控制与管理。在网络的灵活性设计上采用了最先进的以太网供电系统，全面的实现了工作区域的按需规划的目标。小带宽的分配可以采用配线板设计，根据需要灵活分配带宽，并冗余设计网络信息插座。根据无线局域网的工作原理，在多个子频道同时工作的情况下，为保证频道之间不相互干扰，要求两个频道的中心频率间隔不能低于25MHz 。在一个蜂窝区(Cell) 内，直序扩频技术最多可以提供 4个不重叠的频道同时工作。因此在配置时将位于每层楼楼道内的5个无线接入逻辑点的工作子频道分别设为：1 频道、6 频道和11频道。当用户感觉到有线网络性能下降的时候，也可以选择禁用有线连接，通过配置使用无线USB网卡接入同时存在的无线网络。或申请在子层无线路由器的交换机端口内扩展接入无线接入点。无线局域网络使用DMZ主机、透明代理、链路聚合、数据备份、VLAN划分等方式进行网络容错与安全保护。无线局域网络使用扩展星型拓扑结构，支持目前和将来各种无线网络应用与网络扩展。在干扰避免上，选择蓝牙数据包类型改变、频率分离、模式切换等方法解决蓝牙网络与无线局域网信号的冲突与传输频率的干扰。2.2 无线网络拓扑校园WLAN的目标就是形成具有充分移动性的访问系统。WLAN允许用户从未布线的户外访问信息，如从食堂、偏僻的研究室、教室甚至运动场中进行访问。但是不应该认为WLAN取代了有线网络，相反，它们是为现有网络添加功能的一种途径。遍布校园的无线部署可以为那些难于达到的或者临时场所提供网络连接，否则，这些地方就会完全不被考虑。校园WLAN的一个最大好处就是人们可以坐在公共场合一起工作，同时轻松地进行网络连接。在许多资源有限的教学机构中，这种方式可以减少对固定有线计算机的争用。2.3 无线网络安全网络安全是保护数字信息资产的过程。其目标是保证信息的完整性、机密性和可用性。计算机技术（包括无线技术）的发展给人们的生活和工作带来了许多好处。因此，所有的网络都应该保证它们的潜力得到最大限度的发挥。无线局域网（WLAN）给网络安全带来了独特的挑战。2.3.1安全基础安全的目标是保护资产、维持网络和商业流程。从历史上的大部分情形来看，安全意味着修建强大的防护墙，安装更小并且守得很好的门，为一小部分人提供安全访问。这种策略更适合有线局域网。移动商务和无线网络的兴起使得这种模型不合适宜。一台防火墙设备不再能够提供安全性，因为无线信号很难进行物理隔离，因此，WLAN必须采用另外一些技术和策略。大多数人在谈论安全问题的意思是保证用户只能执行授权的操作，只能访问授权的信息。其实，安全还意味着用户不能破坏系统的数据、应用和操作环境。安全不仅需要防范恶意攻击，也需要控制错误和设备失效带来的影响。能够阻止一种无线攻击的安全措施应该能够阻挡其他类型的麻烦。2.3.2WLAN安全技术大多数无线安全事件的发生都是因为系统管理员没有采用有效的防范措施。因此，问题的关键不仅仅承认存在技术弱点和采取可用的应对措施，还需要验证应对措施是否处于适当的位置并且工作正常。制定WLAN安全策略以开始应用安全措施非常有用。这些策略值得花费时间和精力去开发。一种好的安全策略应该达到如下目标：提供审核现有无线安全的过程；提供实现安全的总体框架；定义哪些行为是允许的，哪些是禁止的；帮助定义组织需要的工具和过程；帮助关键决策者之间传递信息，定义用户和管理员的反馈；定义处理破坏无线网络行为的过程；如果需要，创建采取法律行动的基本原则。一种有效的无线安全策略可以保证组织的网路资源得到保护，免遭破坏和非法访问（包括有意的和无意的）。所有的无线安全特性都应该与组织的无线安全策略保持一致。如没有安全策略或者已经过时，它应该在决定如何配置和部署无线设备前创建或得到更新。2.4站点勘查和安装RF勘察无线电波传输、接受数据的能力以及传输速度受到周围环境中各种物体的影响。因为无线信号是直线传播的，每遇到一个障碍物，无线信号就会被削弱一部分，尤其是浇注的钢筋混凝土墙体。实验表明，在10米的距离，无线信号穿过两堵砖墙后，仍然可以达到标称的最高的传输速率，但再穿过一层楼板后，传输速率将只有标称速率的一半了。可见，钢筋混凝土墙体会极大地削弱无线信号。另外的其他一些建筑物材质，也是无线信号的或大或小的杀手。覆盖范围环境勘查的下一步就是确定覆盖范围，由此确定需要部署AP的个数。无线信号的重叠是非常重要的，它保证漫游的顺利实现，但是它们必须工作在不同的信道上，减少干扰的发生。WLAN的应用场合主要是在大楼内或大楼间，因此，建筑物的体积、布局、建材以及办公环境内各式各样的干扰源都是影响信号传输质量的因素。同样的一套WLAN设备在一个地方信号有效传输距离可能是100多米，换个地方可能连50米都不到。所以，在确定AP位置时，设备的标称值只能作为一个大致的参考，精确的位置必须要通过场地信号强度测试仪和比较试验来定。许多网络厂商都有面向企业的场地信号强度测试产品，效果都不错。场地信号强度测试工具的种类很多，有基于笔记本、袖珍PC的，也有基于PDA的。基于袖珍PC的测试工具用起来比笔记本灵活，但功能和适应性稍差。如果选用基于PDA的测试工具，最好挑能接标准PC卡的那种，因为在标准PC卡上附加无线收发功能已是时下非常流行的做法。场地信号强度测试工具比较知名的品牌和型号有：思科的Aironet NIC、Symbol Spectrum24以及AgereOrinoco。模型选择WLAN的优化设计不仅要从覆盖范围的角度来考虑，还要考虑其负载能力，以保证服务质量。以布置WLAN教室为例，假设实际的需求是要保证30个学生同时点播多媒体课件，一个AP不能满足要求，需要在同一教室里面布置两个AP。由于用户需求是动态变化的，AP的实际负载可能会加重或减轻，这些变化可以通过对WLAN监视得知。网络管理员应根据实际变化对AP的数量和分布作出调整。第三个重要因素就是用户使用WLAN的目的，不同的应用采用的不同的WLAN设计方案。举例来说，咖啡店的WLAN使用者可能是学生,而旅馆更多是商务人士。学生上网喜欢聊天、网络游戏和语音对话，而商务人士更可能的是连接到企业的企业网、收发电子邮件和处理商务。在进行环境勘查时需要了解用户在WLAN上将运行哪些应用，因为这也将决定网络的带宽。网络应用需要的带宽乘上同时在线的用户数量，就是网络需要最少出口带宽。例如，如果网络应用需要200kbps的带宽，而同时最多有5个在线用户，那么就需要1Mbps的互联网带宽。总之，良好的WLAN设计不仅可以保证较好的服务质量，也可以减少AP的使用数量从而节约成本，其前提是事先经过充分的实地测量和评估。AP的覆盖范围与布放AP的位置首先应根据实际的场景和需求初步进行选择，然后再通过实地测量进行调整。定位需要遵循以下原则：AP覆盖区域之间无间隙，AP之间重叠区域最小。第一条原则保证所有的区域都能覆盖到，而第二条原则是要尽可能减少所需的AP数量。AP覆盖区域的确定需要根据接收到的信号强度来决定，做法是先设定一个信号强度阈值，例如为满足某个区域的WLAN终端点播流媒体课件的需求，通过测量得知信噪比SNR10dB是能够保证点播流媒体课件质量稳定的最低信号强度，所以可将10dB作为阈值，凡是信号强度不低于这个阈值的区域就确定为AP的覆盖区域；然后进行实地测量，并记录产生AP的覆盖区域图，最后根据定位原则进行调整，直到满意为止。由于各个区域的用户密度不同，一般情况下用户密度大的区域情况更复杂，所以应先在用户密度高的区域进行AP的布置，然后再布置用户密度低的区域。在空旷的户外可用对称圆形和球形来划定AP覆盖区域；而在规则的狭长或矩形建筑物内可用线形或矩形将AP对称分布。但是由于室内建筑结构的复杂性，例如金属防盗门、铝合金门窗等，应当在初步选择AP位置后进行仔细的测量，以确保所布置的AP能够覆盖所有区域。如果要通过增加AP 来提高覆盖能力和范围时，一定要在详细的规划和设计后再作出决定。在WLAN中，传送的数据是利用无线电波在空中辐射传播，它可以被发射机覆盖范围内任何WLAN客户机所接收到。无线电波可以穿透天花板、地板和墙壁，发射的数据可能到达预期之外的、安装在不同楼层、甚至是发射机所在的大楼之外的接收设备，这样就可能会有人非法使用你的WLAN，更糟糕的是破坏或者攻击网络。所以你必须从安全的角度出发，仔细考虑AP的布放位置。另外，在布放AP时，你还必须详细考虑信道的安排和单元大小。为了实现完美的信道规划，你必须仔细阅读AP的说明书或者厂商的支持网站，详尽了解该AP的无线信号覆盖范围。总而言之，站点布放步骤如下：l 收集建筑物的设计图和公文，从而了解房间电源和结构基础（例如金属防火通道、墙、门口和通道）；l 评估建筑物的环境，选择对无线信号影响最小的AP布放点；l 测试无线信道，确保没有干扰；l 选择全向或者定向天线的布放点；l 配置多样化的天线避免或者减少干扰。3 无线网络管理3.1 全程管理随着用户数量的增加，以及WLAN越来越多地用于高速传输和重大应用，使WLAN实现集中化管理尤其重要。全程管理可使网络管理人员能够发现、管理和提升整个网络中的AP，并为增加功能和带宽管理能力创造条件。网络管理部门可以通过集中管理WLAN，对不同用户群给予优惠和接入权。对于大型企业网络来说，可使这种管理功能自动化和集中化。这样，当无线用户通过802.11x得到认证时，企业AP自动将用户指配给相应的WLAN。未来，智能化的AP让用户把业务推向网络边缘，也就是说通过无线基础实施，使管理控制形成分布式配置。每个AP都配有唯一的接入控制信息、用户认证和策略管理。把这种智能直接置入AP,意味着用户能够在连接企业几个地点的子网络间漫游。即使对AP分配的功能较多，也能由一个中央控制系统实施管理。全程管理的一体化管理方式采用智能交换机、WLAN管理设备和智能无线接入设备，使有线网络和WLAN实现一体化管理和操作。这种接入方式的优点是：WLAN与现有的企业网无缝隙集成，从而降低运营成本。在部署WLAN的初期可以只建少数几个AP。随着业务的发展，增加AP和交换机便能增大覆盖范围和容量，从而使网络达到较高的可扩充性。显然，这种接入方式最适合于现在拥有相当规模的有线网络的大型应用场合。3.2 安全管理在物理安全的管理上除应满足常规的机房安全管理外还需要对设备进行防雷击、信号屏蔽保护等现代信息技术保护。为防止蓝牙设备产生的网络对无线局域网络造成影响，在网络实验室内必须严格禁止蓝牙设备的开启，同时将无线网络接入点放置在金属盒中屏蔽，将天线外置，减少电磁辐射和干扰对关键无线网络设备内部电子器件的损伤。同时应尽可能的减少天线的发射功率，降低用户长时间使用无线网络受到的辐射的影响程度。逻辑安全，无线局域网络的逻辑安全时要对用户的接入进行安全保障，同时防治网络受到黑客的攻击，可以综合运用智能卡技术，设计专用的无线网络接入管理系统，同时也可以使用交换机和无线路器以及无线接入点内置的SSID、WPA、WEP安全认证体系，DMZ主机、代理功能、防火墙功能、NAT转换、MAC地址过滤、VLAN、MAC与IP地址绑定功能等，进行综合配置。定期进行接入点扫描，可以防止用户的未授权接入。3.3 无线电和WLAN设备管理无线电和WLAN设备管理一般包括网络监视和网络控制两个部分。在WLAN中，无线信号因受周围环境干扰而有较大的误码率，它的数据传输速率是随距离、功率等因素的变化而变化的。而WLAN的优化以及数据传输质量的保证都是基于对WLAN的当前性能和状态的了解的。因此，对WLAN的监视与控制就显得很重要。网络管理员可以通过分析监控结果，对WLAN进行调整，使WLAN的性能达到最大的优化。网络监视网络监视可以通过采用以太网监视器和WLAN监视器来实现，这两种方法各有其特点。对于WLAN监视器而言，在空气中传播的无线数据包也可以被捕获，因此可以通过对WLAN的MAC帧进行分析得到客户机和AP的MAC地址、服务配置标志符等，对其内容进行统计分析就可以得到当前WLAN的状态。目前，很多无线网卡可以工作在“监视模式”下，通过使用相应的接口来捕获MAC帧。此方法的优点是可以直接获得WLAN数据包并且不占用网络资源。但是由于无线信号的作用范围有限，若要对所有的AP都进行监视的话，每个AP一般情况下也都要配置一个这样的监视器，成本较高。此外，基于简单网络管理协议（SNMP）的监视器具有管理站的功能。它读出AP的管理信息库中的信息，然后进行统计分析，可以得知AP的使用情况。如：哪一个AP覆盖的区域中的用户多、负载大，要在此区域内增加AP的数量来平衡负载；每一个AP及其覆盖区域内无线用户的信号质量和网络流量；无线终端在WLAN中的移动情况等。一个这样的监视器可以监视多个AP，因此基于SNMP的管理系统很适合于管理AP数量众多、分布范围广的WLAN。尽管SNMP的数据包会占用少量带宽，但是相对而言大大节省了网络监视的成本，而且方便实用。网络控制网络控制是网络管理的重要内容之一。由于无线环境的特殊性以及带宽的限制，更要对WLAN进行控制以保证服务质量。WLAN的网络控制主要有AP参数控制和自适应控制这两种方式。所谓AP参数控制是指利用AP的自身参数设置进行的控制，这种控制主要包括：设置允许接入AP的用户数量（部分AP支持此功能）。由于带宽有限，如果对网络有一定的服务质量要求，例如视频课件点播、视频会议等，则必须限制同时使用同一个AP的用户数量。可以通过过滤用户的MAC地址来允许或禁止某些MAC地址的用户使用AP；通过过滤协议来禁用某些网络协议减少网络不必要的负担；在不存在隐藏节点的情况下，例如无线教室，AP和无线网卡还可以禁用RTS/CTS设置，减少额外增加的网络负担。自适应控制是指按照预先指定的控制策略（如基于带宽或响应时间），网络监视器根据监视到的网络信息生成控制信息，然后将控制信息反馈到服务器，服务器对正在进行的服务内容进行相应控制，对某些客户的请求进行响应或拒绝。例如，在基于Web的多媒体点播系统中，预先在网络监视器中设定可用带宽和点播人数的阈值上限，如果当前网络带宽或点播人数超过预设的阈值，那么监视器通知服务器不再接受新的客户点播请求，或降低服务质量（比如降低画面清晰度或只传送声音数据）以响应更多的用户请求；而对于无线信号很弱（小于预先设定的阈值下限，不适合点播多媒体节目）的用户，服务器同样也可以拒绝他的点播请求，并通过Web方式通知此用户。对于TCP连接，如果无法或不适合在服务器端进行的控制可以考虑在链路上控制。控制的方法是在链路上监视TCP的数据包，当有新的用户进行TCP连接请求时，控制器立即发出复位包来中断这个请求。这种方法的缺点是对用户不友好，但在网络拥挤的情况下也不失为一种可行的策略。4 小 结本文设计的无线校园网最大的特点是：摆脱了连接网线的束缚，能够使学习远离教室，可以在网络覆盖的范围内的任何地方上网；带宽很宽，适合进行大量双向和多向多媒体信息传输；通过无线终端与网络连接，可以做到人手一部终端而无需进行大量的综合布线、设备配置等工作。无线校园网以上突出的特点，给高等教育带来了极大的便利，其便利程度超出了以往任何时期。这些便利的条件为高校实现教育理论的实践、进行深层次的教学改革提供了极大的潜力空间，必然引领着高校按照新的条件进行教学理念、教学方法、教学评估和教学管理等方方面面的改变，从某种程度上说，这种改变是革命性的。表面上看，无线校园网还是在技术方面对教学进行支持，但是由于这种支持可以深入到教学的核心部分，因此，必将引发高等教育教学改革的新一轮高潮。校园网是一个庞大而复杂的工程，需要根据具体的环境来组建网络，涉及的面也比较广，本文这套方案只是针对无线校园网络建设提出的一种设计思路，在具体设计过程中没有进行本文中提到的收集建筑图纸和实地勘测的工作，因而在很多方面都只能说是一种设想，倘若要具体实施，就必须需要专业人员针对具体校园环境作出一个完整的解决方案，所以这只是一个基础，如果要组建校园网还需要对各个地方进行改进，这样才能节省校园网络成本，才能最大限度发挥出校园网的性能。参考文献1 Cisco Networking Academy Program思科网络技术学院教程无线局域网基础 人民邮电出版社 2005年8月2 Cisco Networking Academy Program思科网络技术学院教程（第一、二学期）（第三版）人民邮电出版社 2004年7月3 Cisco Networking Academy Program思科网络技术学院教程（第三、四学期）（第三版）人民邮电出版社 2004年7月4 Cisco Networking Academy Program思科网络技术学院教程网络安全基础人民邮电出版社 2005年4月5 Cisco Networking Academy Program 思科网络技术学院教程CCNP1高级路由（第二版）人民邮电出版社 2005年3月6 Cisco Networking Academy Program思科网络技术学院教程CCNP 2远程接入（第二版）人民邮电出版社 2005年2月7 Cisco Networking Academy Program/Wayne Lewis, Ph. D. 思科网络技术学院教程CCNP 3多层交换（第二版）人民邮电出版社 2006年1月 8 Cisco Networking Academy Program/Wayne Lewis, Ph. D.思科网络技术学院教程 CCNP4 故障排除人民邮电出版社 2005年6月9无线网络-产品与网络解决方案-中国-Cisco Systems /global/CN/solutions/products_netsol/wireless/index.shtml10圆网无线局域网安全技术 /wireless/tech_security.htm11校园网络综合组建方案/c?word=%CE%DE%CF%DF%3B%BE%D6%D3%F2%3B%CD%F8%3B%CD%D8%C6%CB%3B%CD%BC&url=http%3A/yancool329%2Eblogchina%2Ecom/5054494%2Ehtml&b=10&a=0&user=baidu附录接入点（AP）配置基本配置配置系统名（主机名）ap#configure terminalap(config)#hostname ap001ap001(config)#endap001#show running-configap001#copy running-config startup-config分配IP地址ap001#configure terminalap001(config)#interface bvi1ap001(config-if)#ip address ap001(config-if)#end(或Ctrl-Z)ap001#show running-configap001#copy running-config startup-config验证AP运行网络映射ap001#configure terminalap001(config)#dot11 network-map 30ap001(config)#endap001#show dot11 network-mapap001#show dot11 adjacent-apap001#copy running-config startup-config关联ap001#configure terminalap001(config)#show dot11 associationsap001(config)#show dot11 associations clientap001(config)#show dot11 associations statisticsap001(config)#endap001#clear dot11 client 0040.9645.2196ap001#clear dot11 statistics dot11radio 0ap001(config)#show dot11 associationsap001(config)#show dot11 associations clientap001(config)#show dot11 associations statistics网络接口配置ap001#configure terminalap001(config)#interface dot11radio