咸宁职业技术学院WLAN覆盖项目书.doc

咸宁职业技术学院WLAN覆盖项目书 作者： 日期：咸宁职业技术学院WLAN覆盖项目书课程：无线局域网技术项目课程学生姓名：徐凯学号导老师：尹光辉目录一、概述3二、客户需求3三、网络建设方案43.1无线网络基础方案43.1.1网络建设原则43.1.2认证方式43.2无线网络安全53.2.1用户安全：63.3.1漫游切换支持：63.4无线网络管理：63.5负载均衡73.6供电问题：73.7 覆盖效果测试7四、无线网络规划84.2 频率复用8五、网络优化8六、项目配置方案86.1 无线控制器86.2 AP设备安装配置清单表10七、接入数据汇总表11八、设备清单11一、概述无线局域网（WLAN）技术于20世纪90年代逐步成熟并投入商用，既可以作传统有线网络的延伸，在某些环境也可以替代传统的有线网络。对比传统的有线传输解决方案，使用WLAN网络实现数据传输具有以下显著特点： 简易性：WLAN网络传输系统的安装快速简单，可极大的减少敷设管道及布线等繁琐工作； 灵活性：无线技术使得WLAN设备可以灵活的进行安装并调整位置，使无线网络达到有线网络不易覆盖的区域； 综合成本较低：一方面WLAN网络减少了布线的费用，另一方面在需要频繁移动和变化的动态环境中，无线局域网技术可以更好地保护已有投资。同时，由于WLAN技术本身就是面向数据通信领域的IP传输技术，因此可直接通过百兆自适应网口和企业内部Intranet相连，从体系结构上节省了协议转换器等相关设备； 扩展能力强：WLAN网络系统支持多种拓扑结构及平滑扩容，可以十分容易地从小容量传输系统平滑扩展为中等容量传输系统；随着WLAN技术的快速发展和不断成熟，目前在国内外已经具有较多的政府机构使用WLAN技术布置无线城域网，进行承载部分政府业务，诸如：电子政备、消防、公安信息等等。二、客户需求咸宁职业技术学院园区无线局域网建设的总体目标是：利用无线网络技术进一步扩展网络的覆盖范围，提高网络的用户自适应性，在无线的覆盖范围内实现数据业务和语音业务的无线传输，并且可实现三层漫游，使无线局域网和有线网成为一个整体，提供安全的无线接入。由于本工程是在有线网的基础上加以无线扩充（即采用AP将无线网络接入到有线网络），目前有线网已达到了相当的覆盖范围，可以为无线网络的建设提供支持。工程布线和安装要求：I. 室内部分：定位于较为开阔位置，将网线走暗线敷设到位；挂在墙上，可利用设备本身自带的安装附件进行安装；如果需要遮蔽，则需要定制非金属安装盒；如果是挂在天花板上，则根据天花板的情况而定，若天花板是非金属结构，可以固定在天花板内。安装过程中应充分考虑防盗问题。II. 室外部分：AP的供电可采用POE方式由接入的网络设备进行供电，室外机型需具备防雨防电等功能。III. 供电部分：AP的供电可采用POE方式由接入的网络设备进行供电 产品能力要求要求：I. 具有无委会核准证；II. 支持负载均衡；III. 漫游切换；IV. 支撑QOS能力 覆盖与用户数量要求：a) 覆盖范围：信息学院教学楼及学生宿舍(包括其他主体建筑和新区宿舍)；b) 覆盖质量：覆盖区90%的测试点，便携机内置无线网卡的接收电平要保持在-85dbm以上c) 用户规模：按开户7000人，平均在线700人计算；三、网络建设方案采用WLAN技术构架宽带网络服务，从技术上、工程上以及提供的服务质量上均能较好的满足要求。3.1无线网络基础方案3.1.1网络建设原则结合WLAN的实际应用和发展要求，公众无线局域网(PWLAN)网络系统设计，主要遵循以下系统总体原则：n 实用性原则：以现行需求为基础，充分考虑发展的需要来确定系统规模。n 成熟和先进性原则：由于WLAN应用于运营网络仍然属于新兴技术，需要及时将新技术引用进来，更好的开展业务，同时也要求保证网络与业务的可靠性。n 规范性原则：系统设计所采用的技术和设备应符合WLAN国际标准、国家标准和联通WLAN企业标准，为系统的扩展升级、与其他系统的互联提供良好的基础。n 开放性和标准化原则：在设计时，要求提供开放性好、标准化程度高的技术方案；设备的各种接口满足开放和标准化原则。n 可扩充和扩展化原则：所有系统设备不但满足当前需要，并在扩充模块后满足可预见将来需求，如带宽和设备的扩展、同时接入用户数量的扩展、业务种类的扩展和办公地点的扩展等。并保证建设完成后的系统在向新的技术升级时，能保护现有的投资。n 可管理性原则：整个系统的设备应易于管理，易于维护，操作简单，易学，易用，便于进行系统配置，在设备、安全性、数据流量、性能等方面得到很好的监视和控制，并可以进行远程管理和故障诊断。3.1.2认证方式由于泉咸宁职业技术学院安全有着一定的要求，必须能够外来人员使用网络获取校内密级资料，第一层保障是MAC地址认证，第二层保障是服务区标识符 ( SSID ) 匹配，第三层保障是802.1x认证。MAC地址认证 每个无线客户端网卡都由唯一的48位物理地址（MAC）标识，可在AP中或者AC重维护一组允许访问的MAC地址列表，如果用户的MAC地址是合法的，AP才会对用户的流量进行进一步的处理，如果用户的MAC地址是非法的，那么AP就会丢弃用户的流量，这样就可以实现物理地址过滤，确保非法用户不能访问无线网络。服务区标识符 ( SSID ) 匹配 无线客户端必需设置与无线访问点AP相同的SSID ，才能访问AP；如果出示的SSID与AP的SSID不同，那么AP将拒绝它通过本服务区上网。利用SSID设置，可以很好地进行用户群体分组，避免任意漫游带来的安全和访问性能的问题。可以通过设置隐藏接入点（AP）及SSID区域的划分和权限控制来达到保密的目的，因此可以认为SSID是一个简单的口令，通过提供口令认证机制，实现一定的安全。IEEE802.1x 认证 是一种基于端口的访问控制技术，是用于无线局域网的一种增强网络安全解决方案。当无线工作站STA与无线访问点AP关联后，是否可以使用AP的服务要取决于802.1x的认证结果。如果认证通过，则AP为STA打开这个逻辑端口，否则不允许用户连接网络。网络加密方案和SSID隐藏 除了要对用户的身份加以认证外，还必须保证所有人的通信不会被中间人截获、窃听甚至篡改。这就要求该无线网络必须拥有较强的加密能力。H3C WLAN支持目前最先进的各种加密算法AES，并支持802.11和802.11i中规定的各种加密模式，包括WEP、TKIP和CCMP等，完全可以满足用户的安全需要。当用户使用这些加密方式时，其他人使用任何设备均不可能破解用户传输的内容。此外，H3C还支持我国自主知识产权的WAPI，安全性更高。3.2无线网络安全网络安全问题是在建网时必须要考虑的问题，安全方式主要侧重几个方面：用户安全、系统安全，而在网络中主要依附于用户实体的属性主要包括用户使用的信息终端二层属性（诸如：MAC地址）及用户的帐号、密码，而对于企业用户来讲，帐号信息都是一个实名原则，与员工的利益进行关联的，这样本无线网络中着重考虑使用无线网络的空口信息的安全机制。为了阻止非授权用户访问无线网络，以及防止对无线局域网数据流的非法侦听，H3C无线解决方案支持WPA、802.11i等安全策略，每个AP支持16个SSID，支持隐藏SSID技术等，确保无线网络安全。3.2.1用户安全：数据安全部分主要包括以下方面的内容：I. MAC地址过滤：目前支持基于MAC地址的过滤，限制具有某种类型的MAC地址特征的终端才能进入网络中；II. SSID管理：是一种网络标识的方案，将网络进行一个逻辑化标识，对终端上发的报文都要求进行上带SSID，如果没有SSID标识则不能进入网络；III. WEP加密：WEP加密是一种静态加密的机制，通信双方具有一个共同的密钥，终端发送的空口信息报文必须使用共同的密钥进行加密；IV. 支持AES加密，AES安全机制是一种动态密钥管理机制，同时密钥生成也基于不对称密钥机制来实现的，同时密钥的管理也定期更新，具体的时间由系统可以设定，一般情况都设定为5分钟左右，这样非法用户要想在5分钟之内进行获取足够数量的报文进行匹配出密钥出来，从无线空口的流理来看，基本上是不可能的；V. 华三的无线方案中的密钥设置可能根据SSID信息与用户信息进行组合，即不同的SSID下不同的用户的密钥生成可以不一样，这样可以做不到不同的用户不同的管理方式，同时具备不同的权限；3.3.1漫游切换支持：将无线路由器的ssid号都设为相同的，密码设置一样。3.4无线网络管理：作为接入层网络，无线网络需要较多的AP，维护工作量较大，加之无线网络的灵活性和不可见性，如果对每个AP进行单独管理则会造成较高的维护开销，也给管理人员带来了一定的难度。而且无线网络直接面对最终用户，对管理系统稳定性、实时性、有效性要求都较高。n 丰富的无线网络工程经验无线网络的工程实施对整个项目的成败至关重要。H3C专门成立了无线工程督导团队来确保无线网络工程的顺利实施，目前H3C公司已经成功实施了第六届亚洲冬季运动会、北京解放军总医院、国家知识产权局、新华社、北京航空航天大学、北京交通大学、华东理工大学、上海汤臣洲际大大楼等无线网络工程的部署，具备丰富的无线项目实施工程经验，保证项目进度，后顾无忧。n 全面的安全性，支持WAPI前段时间，财政部、发改委和信产部联合下发了关于印发无线局域网产品政府采购实施意见的通知，在政府采购中将优先考虑符合国家无线标准的产品，这就要求相关政府部门采购的WLAN产品，要具备支持WAPI标准的能力。我们知道，WAPI之所以没有成为全球标准，其主要原因就是以Intel为首的国外厂商，的公开反对；出于政治上的考虑，国外厂商目前的WLAN产品不支持WAPI标准，将来也不会支持WAPI标准；而国内也有一些厂家，产品是从国外厂商那里OEM而来或者和国外厂商联合开发，主要的技术都依赖这些国外厂商，同样也无法支持WAPI标准。而华三通信作为一家中国本土厂商，所有的WLAN产品均按照中国标准要求自主开发，目前所有的WLAN产品均具备支持WAPI的能力，一旦国家强制推行WAPI标准，华三通信所有WLAN产品只需升级软件即可完成对WAPI标准的支持。3.5负载均衡AP上支持标准的IAPP协议框架，通过负载均衡的部署，可实现在一个热点内用户平均分配到所部署的所有AP上，达到在一个服务区AP接入用户数何流量的平衡，为用户提供更高的服务质量。具体可部署的负载均衡策略有： 对所有AP设置基于用户数的负载均衡功能，AP通过对接入用户数的统计，与设定AP接入用户数量阀值比较，达到阀值后，不允许新的用户接入。 对所有AP设置基于流量的负载均衡功能，AP通过对接入用户流量的统计，与设定AP上流量漏桶阀值上沿比较，达到阀值后，不允许新的用户接入，少于阀值下沿，再允许新用户接入。 配合网络规划，设置AP群功能，在一个群内的AP通过组播报文实时通报接入用户数量，当发现AP间用户数差值大于设定阀值，接入用户多的AP将部分用户赶下网。在当前无线网络用户数尚在培育期的情况下，对于负载均衡的要求还不是很高，当用户发展到一定水平，介于AP本身负载均衡能力的天然限制，比较好的方案还是将网络平稳过渡到FITAP方式，通过无线控制器实现一系列的管控功能。3.6供电问题：由于本次无线网中AP设备数量较多，AP布放位置根据实际覆盖效果而调整，在已建设完成的建筑物上较难进行本地供电，本方案主要基于标准的802.3af实现对AP的POE供电。3.7 覆盖效果测试安装Network Stumbler软件（安装过程很简单，只需按提示“下一步”操作即可安装完成），安装完软件后搜索到无线信号就可测试信号强度。绿色：当前信号强度很好黄色：当前信号强度较差红色：当前信号强度很差灰色：信号时有时无注：AP工作信道规划设置AP信道按照1、6、11规律依次设定。四、无线网络规划4.1频率规划 目前针对WLAN来讲，2.4G具有3具不重叠的信道，针对5.8G具有5个不重叠信道，但由于网络用户具有一定的不确定性，故网络覆盖时所需要的WLAN网络空间都要进行2.4G与5.8G的频率覆盖，从网络规划的角度出发，主要考虑2.4G与5.8G二个频率的覆盖设计。4.2 频率复用1. 针对频率复用的设计与实现主要侧重于重叠区域，从技术原理的角度出发，没有办法实现很好的频率复用，只能被动做些负载均衡的功能。每个AP具有54Mbps、48Mbps、36Mbps、18Mbps等的覆盖范围，对于54Mbps的覆盖范围不重叠，对于54Mbps与18Mbps就可能进行重叠。五、网络优化在网络规划设计及建设完成之后，需要对实际网络质量进行测量，并根据测量结果对网络进行调整，以确保信号强度、干扰等指标达到目标值。六、项目配置方案6.1 无线控制器硬件特点 方便部署、易于管理传统无线网络的部署需要网络管理员对网络中的每一个AP进行逐一配置，当无线网络规模较大时网络管理员往往要配置上百个AP，工作量巨大，且容易出错。而采用无线控制器和FIT AP配合组网时，只需要在无线控制器上对一类相同属性的AP建立配置模板，AP在启动时可以自动从无线控制器上下载最新的配置文件。另外，由于AP本身不保存任何配置，万一设备丢失，也可以保证网络配置不被窃取。AP支持启动后自动获取IP地址、自动获取AC的工作列表并自动和AC建立关联，真正做到了零配置，免维护，即插即用，极大地减轻了网络管理员在部署网络阶段的维护工作量。 三层漫游无线控制器支持三层漫游，并支持快速漫游，漫游切换时间小于50ms，满足对切换时间要求最苛刻的语音业务。 支持智能的负载均衡支持按接入用户数量和流量的复杂均衡方式，当无线控制器发现AP的负载超过设定的门限值以后，对于新接入的用户无线控制器会自动计算此用户周围是否还有负载较轻的AP可供用户接入，如果有则AP会拒绝用户的关联请求，用户会转而接入其他负载较轻的AP，但如果无线用户不在AP的重叠覆盖区内，传统的负载均衡方式往往会导致连接不上网络，造成误均衡。 高可靠的备份功能无线控制器支持AC组备份功能，通过预先配置，AP优先同主AC建立CAPWAP链路，当主AC不可用时，AP会自动寻找AC组中的第二个主AC，并和第二个主AC建立CAPWAP链路，从而达到AC间业务备份的目的。 IPv6无线控制器实现了IPv4/IPv6双协议栈。AP和无线控制器之间可以穿过IPv6网络互联，从而使组网方式更加灵活，可以满足今后网络发展的需要，保护用户投资。 支持隧道QoSAP接收到的无线报文首先要通过CAPWAP隧道送到AC上进行分析处理，无线控制器支持无线QoS到有线QoS/CoS的映射。在AP侧，无线域的QoS信息（802.11E）可以被映射到外层隧道的有线二层域（802.1p）和三层域（DSCP）中，这样可以保证高优先级无线报文在有线网络上受到更好的优先级保证。 支持多种认证方式无线控制器802.1x认证， portal认证，MAC地址认证，PPPoE认证等多重认证方式。 支持无线入侵检查WIDS（Wireless Intrusion Detection System）无线控制器支持非法AP检测，黑/白名单设置和无线协议