WLAN网络解决方案建议书.doc

WLAN网络解决方案建议书一、概述近些年来随着个人数据通信的发展，功能强大的便携式数据终端以及多媒体终端得到了广泛的应用。为了实现使用户能够在任何时间、任何地点均能实现数据通信的目标，要求传统的计算机网络由有线向无线、由固定向移动、由单一业务向多媒体发展，由此无线局域网技术得到了快速的发展。在互联网高速发展的今天，可以认为无线局域网将是未来发展的趋势，必将最终代替传统的有线网络。无线局域网，也被称为WLAN(Wireless LAN)，一般用于宽带家庭、大楼内部以及园区内部，典型距离覆盖几十米至几百米，目前采用的技术主要是802.11a/b/g系列。WLAN利用无线技术在空中传输数据、话音和视频信号，作为传统综合布线网络的一种替代方案或延伸。无线局域网的出现使得原来有线网络所遇到的问题迎刃而解，它可以使用户任意对有线网络进行扩展和延伸。只要在有线网络的基础上通过无线接入点、无线网桥、无线网卡等无线设备使无线通信得以实现。在不进行传统布线的同时，提供有线局域网的所有功能，并能够随着用户的需要随意的更改扩展网络，实现移动应用。无线局域网把个人从办公桌边解放了出来，使他们可以随时随地获取信息，提高了员工的办公效率。一般而言，对比于传统的有线网络，无线局域网的应用价值体现在：- 可移动性：由于没有线缆的限制，用户可以在不同的地方移动工作，网络用户不管在任何地方都可以实时地访问信息。- 布线容易：由于不需要布线，消除了穿墙或过天花板布线的繁琐工作，因此安装容易，建网时间可大大缩短。- 组网灵活：无线局域网可以组成多种拓扑结构，可以十分容易地从少数用户的点对点模式扩展到上千用户的基础架构网络。- 成本优势：这种优势体现在用户网络需要租用大量的电信专线进行通信的时候，自行组建的WLAN会为用户节约大量的租用费用。在需要频繁移动和变化的动态环境中，无线局域网的投资更有回报。另外，无线网络通信范围不受环境条件的限制，室外可以传输几十公里、室内可以传输数十、几百米。在网络数据传输方面也有与有线网络等效的安全加密措施。无线时代正在来临，这意味着可以在任何便于工作的地方，如在会议室、医疗室、教室、自助餐厅、实验室、办公室以及在野外的野餐桌旁，享受工作的自由和灵活性。无线网络正在成为每个企业根本的、必备的合作工具。无线局域网技术的新发展表现为更高的速度、更好的互操作性以及安全性。无线局域网具有的高灵活性和可靠性，可以立竿见影地提高生产率，在各行业的广泛应用取得了引人瞩目的成果，展示了极为广阔的市场前景，它将创造崭新的生活和工作风尚。二、需求分析基于XXX数码大厦的实际需求和将来可能的需求，XXX数码大厦建设无线连接网络信息系统，要求最大可能地保证其所有的网络和系统可以得到充分的信任，保证数据和信息能够安全、保密、高速、稳定的实时传输，且可以获得良好的管理，并能够完全控制与IT基础结构相联系的安全风险水平。网络建设的总体目标是在不影响当前业务的前提下，实现通过卖场大厦三个楼层分布式的无线网络连接访问网络中心数据库和冲浪Internet互联网。三、建设原则在详细的分析了XXX数码大厦提供的项目需求资料，参考了以往大量的成功经验，结合XXX数码大厦信息系统网络实际的情况之后，我们设计了此份无线接入网络建议书的方案设计中，在确保某单位的网络安全的前提下，我们将遵循以下的设计原则：1. 结合实际应用，能够满足XXX数码大厦业务现在的运营需求。2. 能够保证XXX数码大厦的人事、销售、财务等数据的安全传输。3. 提供简单、实用、完整和安全的网络运营体系。4. 充分考虑XXX数码大厦系统网络运营的未来发展5. 充分考虑XXX数码大厦网络安全及WLAN网络建设整体投资6. 提供方便、完善的网络运行监控和管理功能四、方案技术产品的选择通过我们的实际分析和与XXX数码大厦IT管理人员的紧密沟通，根据对当前市场主流WLAN的产品与技术一一了解，我们将实施相应的产品方案选择。1基本的无线局域网标准（IEEE 802.11b/a/g）无线局域网产业是目前整个数据通信技术领域当中最为快速发展的产业之一。无线局域网解决方案在部分场合作为传统有线局域网络的补充或替代以其灵活性、移动性及较低的投资成本等优势获得了家庭网络用户/中小型办公用户、广泛企业用户及电信运营商的青睐，得到了快速的应用。到目前为止，全球无线局域网产品每个季度的发货量都有较大的增长。目前无线局域网的技术正处在一个快速发展的过程当中，如何选择适当标准的无线局域网产品是用户构建其无线局域网的第一步。主要的无线局域网产品最早来自于IEEE组织于1997年6月批准的802.11标准。在随后为了能有更高的数据通信带宽、更多的功能和能促使无线局域网得到更快速的发展，IEEE 组织新的的工作组将802.11标准进行了扩展和加强。下表表达了当前最为流行的三种不同的 IEEE 802.11扩展标准的特性：IEEE 802.11b 标准规格关键词：11Mbps，3个互不重叠的子子频道，2.4GHz工作在2.42.4835GHz，采用CCK技术提供高达11Mbps的数据通信带宽，最多可提供三个互不重叠的子频道。Wi-Fi认证保证不同厂家产品之间的兼容。由于802.11b工作的2.4GHz频带在全球来看基本上都是免费可用的，并且其能完全兼容原来的802.11标准，因此一经推出便得到了用户的认可。目前95%的无线局域网都是基于IEEE 802.11b技术，是现今最为流行的无线局域网络标准。IEEE 802.11a标准规格关键词：54Mbps，12个互不重叠的子子频道，5GHz工作在5 GHz，采用OFDM技术提供高达54Mbps的数据通信带宽，最多可提供12个互不重叠的子频道。虽然其是与IEEE 802.11a标准同时被批准，但是由于DSSS比OFDM更加容易实现且具有更低的成本，因此从1999年年中开始便开始出现基于802.11b的产品，并得到了快速地发展。而基于802.11a的产品是于2001年年底才开始有销售。由于802.11a标准工作在更高的频段、具有更多不重叠的子频道和更高的数据通信带宽，因些也得到了较为广泛的应用。802.11a 和802.11b工作在两个完全不同的频带，采用完全不同的调制技术，因此两者是完全不兼容的。但两者可以共存于同一区域当中而互不干扰。 IEEE 802.11g标准规格关键词：54Mbps，3个互不重叠的子子频道，2.4GHz最新批准(2003年6月12号)的IEEE 802.11g有两个最为主要的特征：高速率和兼容802.11b。高速率是由于其采用于OFDM调制技术可得到高达54Mbps的数据通信带宽。兼容802.11b是由于其仍然工作在2.4GHz并且保留了IEEE 802.11b 所采用的CCK技术，并采用了一个“保护”机制、因此可与802.11b的产品保持兼容。也就是说，基于802.11g的无线接入点(AP)可与基于802.11b的无线网卡相关联，而基于802.11g的无线网卡也可与基于802.11b的无线接入点(AP)相关联。IEEE 802.11g标准是下一个主流的无线局域网标准。它提供了高速的数据通信带宽，并以较为经济的成本提供了对原有主流无线局域网标准的兼容。总结来看，现在市场上可供选择的基于无线局域网标准的产品有：IEEE 802.11b 11Mbps无线局域网产品IEEE 802.11g 54Mbps无线局域网产品IEEE 802.11a/g双频三模无线局域网产品这些产品在市场当中的发展:在2003年之内，由于IEEE 802.11b产品较低的价格及大量经过Wi-Fi认证具兼容性保证的产品，802.11b 11Mbps的产品还是一个主流。在2003年之内，IEEE 802.11g的产品将得到极为快速的发展，预计到2003年年底就会有与802.11b产品差不多的发货量。而2003年之后，用户对IEEE 802.11g产品的需求将成为主流。IEEE 802.11a/g双频三模无线局域网产品为用户带来了更多的灵活和方便。在目前也是一些企业用户的选择，相信随着价格的降低和无线局域网的进一步发展，双频三模无线局域网产品也将得到快速的应用。从来就没有所谓的IEEE 802.11b+的标准，其只是部分厂商的私用技术实现。802.11g标准当中就没有强制要求802.11g的产品一定要兼容802.11b+。因此基于802.11b+的设备基本上将在很快的时间内没有市场需求。4无线局域网络安全问题由于无线局域网采用公共的电磁波作为载体，电磁波能够穿过天花板，玻璃，楼层，砖，墙等物体，因此在一个无线访问点所服务的区域中任何一个无线客户端都可以接受到，包括并不希望他接收数据的客户端。因此在无线局域网中，只要有与和无线局域网设备工作在同一个频段的设备，任何人都有条件窃听或干扰信息，为了阻止非授权用户访问无线网络，以及防止对无线局域网数据流的非法侦听，在无线局域网的应用当中引入了相应安全的手段。通常网络的安全性主要体现在访问控制和数据加密两个方面。访问控制保证敏感数据只能由授权用户进行访问，而数据加密则保证发射的数据只能被所期望的用户所接收和理解。无线局域网安全技术发展历程无线局域网的安全技术这几年来随着无线局域网的高速发展，也得到了快速的发展。NETGEAR公司作为全球无线局域网的主流厂商，其全系列的无线局域网产品一直引领整个行业无线局域网安全技术的发展，为用户使用无线局域网提供最高等级的安全。下面我们从无线局域网的发展历程来对无线局域网当中的安全技术进行介绍。一、 早期基本的无线局域网安全技术包括有：物理地址（MAC）过滤每个无线工作站网卡都由唯一的物理地址标示，该物理地址编码方式类似于以太网物理地址，是48位。可在无线访问点AP中手工维护一组允许访问的MAC地址列表，实现物理地址过滤。服务区标识符(SSID)匹配无线工作站必需出示正确的SSID，与无线访问点AP的SSID相同，才能访问AP；如果出示的SSID与AP的SSID不同，那么AP将拒绝他通过本服务区上网。因此可以认为SSID是一个简单的口令，从而提供口令认证机制，实现一定的安全。有线等效保密（WEP）有线等效保密（WEP）协议是由802.11标准定义的，用于在无线局域网中保护链路层数据。WEP使用40位钥匙，采用RSA开发的RC4对称加密算法，在链路层加密数据。WEP加密采用静态的保密密钥，各WLAN终端使用相同的密钥访问无线网络。WEP也提供认证功能，当加密机制功能启用，客户端要尝试连接上AP时，AP会发出一个Challenge Packet给客户端，客户端再利用共享密钥将此值加密后送回存取点以进行认证比对，如果正确无误，才能获准存取网络的资源。40位WEP具有很好的互操作性，所有通过Wi-Fi 组织认证的产品都可以实现WEP互操作。现在的WEP也一般支持128位的钥匙，提供更高等级的安全加密。NETGEAR所有的无线局域网产品均支持这三种基本的安全技术。二、 在802.11i或者说WPA之前的安全解决方案：端口访问控制技术（IEEE802.1x）和可扩展认证协议（EAP）该技术也是用于无线局域网的一种增强性网络安全解决方案。当无线工作站STA与无线访问点AP关联后，是否可以使用AP的服务要取决于802.1x的认证结果。如果认证通过，则AP为STA打开这个逻辑端口，否则不允许用户上网。802.1x要求无线工作站安装802.1x客户端软件，无线访问点要内嵌802.1x认证代理，同时它还作为Radius客户端，将用户的认证信息转发给Radius服务器。NETGEAR公司企业级802.11b的无线局域网接入点ME103就支持完整的802.1x标准和无线客户端的二层隔离，特别适用电信运营商公共无线接入的场合。VPN-Over-Wireless技术目前已广泛应用于局域网络及远程接入等领域的VPN （Virtual Private Networking）安全技术也可用于无线局域网域，与IEEE802.11b标准所采用的安全技术不同，VPN主要采用DES，3DES等技术来保障数据传输的安全。对于安全性要求更高的用户，将现有的VPN安全技术与IEEE802.11b安全技术结合起来，这是目前较为理想的无线局域网络的安全解决方案。NETGEAR公司的FVM318是全球第一个将无线局域网接入点AP和提供高达256位加密的IPSEC VPN技术集成在一个设备当中，提供整个无线无线局域网行业当中最高的安全应用。三、 WPA (Wi-Fi 保护访问 )在IEEE 802.11i 标准最终确定前，WPA （Wi-Fi Protected Access） 技术将成为代替WEP的无线安全标准协议，为IEEE 802.11 无线局域网提供更强大的安全性能。WPA是IEEE802.11i的一个子集，其核心就是IEEE802.1x和TKIP。新一代的加密技术TKIP与WEP一样基于RC4加密算法，且对现有的WEP进行了改进，在现有的WEP加密引擎中追加了“密钥细分（每发一个包重新生成一个新的密钥）”、“消息完整性检查（MIC）”、“具有序列功能的初始向量”和“密钥生成和定期更新功能”等4种算法，极大地提高了加密安全强度。TKIP与当前Wi-Fi 产品向后兼容，而且可以通过软件进行升级。从2003年的下半年开始，Wi-Fi组织已经开始对支持WPA的无线局域网设备进行认证。NETGEAR公司的将在今年下半年将其现有的无线局域网产产品进行免费的软件升级将完整地支持WPA无线局域网安全保护访问技术。四、 IEEE 802.11i为了进一步加强无线网络的安全性和保证不同厂家之间无线安全技术的兼容， IEEE802.11工作组目前正在开发作为新的安全标准的IEEE 802.11i，并且致力于从长远角度考虑解决IEEE 802.11无线局域网的安全问题。IEEE 802.11i标准草案中主要包含加密技术：TKIP (Temporal Key Integrity Protocol) 和 AES（Advanced Encryption Standard），以及认证协议：IEEE802.1x。预计完整的IEEE 802.11i的标准将在2004年的上半年得到正式批准。作为全球无线局域网的领先厂商，NETGEAR公司将始终将最先进的无线局域网安全技术带给用户，让用户用得放心。 六、方案技术说明及特点分析6.1设计思路：在卖场大厦各楼层分布式放置多台NETGEAR WG602v2 802.11g 54M无线AP。通过WG602v2的10/100M以太网端口连接中心交换机，做为整个区域室内的无线覆盖，WG602v2可同时工作在无线局域网接入点模式(Access Point)和WDS（无线自动分布）桥接模式。WG602v2可拆卸换用高增益全向或定向天线。基于XXX的情况，我们将WG602v2的天线换为5DBI的ANT24O5增益全向天线，可大大增大覆盖范围。并通过馈线进行连接。为保证接入用户都是交费的认证用户，同时保证无线登陆的安全性和管理性，选择“城市热点”作认证计费管理。在大厦三层原中心机房的位置，利用现有空间作为无线的中心机房，将宽带光纤接入该层，从该机房通过网线连接一层和二层的交换机。6.2具体实施：621 IP规划由于“城市热点”具有地址转换功能，可将一个固定IP地址转发成内部地址，因而光纤接入大厦后，通过“城市热点”系统将宽带的固定IP地址转发为内部地址，并通过“城市热点”的DHCP功能分配IP地址，使用户自动获取地址，为用户提供动态IP地址。无线AP的IP地址为了便于管理，采用固定IP地址。对于接入用户，经认证服务后动态获得可以上网的IP地址分配。622 认证服务对于接入用户的认证服务，通过“城市热点”认证服务系统，将提出需求的用户分配合法的认证用户身份，提供无线接入互联网的服务，没有认证的用户，将不被通过联入互联网。验证合法性的方法，可选择对接入用户自动弹强制出一个认证对话页面，该页面可针对XXX数码大厦进行修改，同时具有广告功能，对业主或接入用户发布消息。同时该设备具有路由功能，可为直接通过该设备进行内外网的IP地址转换，因而可节省一台路由器，节约成本。623 设备安置AP所需网线连接通过天花板布线布置即可。由于使用网线自供电设备为AP供电，因而可大大降低电源线布置，减少施工难度。大部分AP可直接通过自供电交换机提供的网线供电方式供电。交换机放在各层，分别放置在一个小机柜里，既最大节省空间。中心交换机放置在三楼中心机房，计费系统需要一定空间，同时需要人员维护，以保障接入的合法性安全性。交换机选择DLink的DES-3624I，该设备具有足够的背板带宽，完全可以满足AP交换机的功能。AP可直接安置在天花板上，只需要作简单的固定即可。624 AP选型当安装WG602v2考虑到XXX的建筑较为复杂，对信号会有一些阻碍。作为一个数码大厦，一些无线设备可能较多，势必会有一些信号干扰，对AP信号进行干扰和影响其稳定性。所以，选择将原AP上的天线卸下，换成5DBI的全向增益天线，这样就可以大大增加覆盖范围，最大限度的减少干扰等问题。网线从天花板上通过，无线AP放置在天花板上，将AP自带天线卸下，通过馈线连接一个5DBI的全向天线，将该天线吸在天花板上，即美观又增大了功率。同时，由于通过POE供电产品，使其实现网线自供电，无需电源连接，减少施工难度。在11M/54M混用模式下，WG602v2会由2324M的吞吐性能降低到1415M。一个WG602v2一般接入2530个用户性能不会受影响，可达到较好的连接效果，接入用户过多可能影响接入速度。XXX广场分为三层，每层都有一些不同的特点和需求。以下各层图例覆盖只作参考，实际覆盖范围为全楼无盲点覆盖。AP频段使用原则为三个挨近的AP为一组用不同频段，频段分别为：1，6，11，以下各AP间重复此频段。这样可以避免频间干扰，大大提高AP利用率。由于一二层相互覆盖，所以综合考虑频段分配，在混合覆盖区域都互为不同频段，以加大无线的利用率，降级同频段干扰。WG602v2具有很好的网管功能，通过非常简明的WEB页面的方式进行配置，可通过访问WG602v2的IP地址，进入该设备的WEB页面进行配置，既可以通过网线与设备直接连接方式配置