高校无线网络平台建设方案

1、 高校无线网络平台建设方案目 录 TOC o 1-4 h z u HYPERLINK l _Toc8982811 第一章 高校无线需求 PAGEREF _Toc8982811 h 4 HYPERLINK l _Toc8982812 1.1背景介绍 PAGEREF _Toc8982812 h 4 HYPERLINK l _Toc8982813 1.2无线需求 PAGEREF _Toc8982813 h 4 HYPERLINK l _Toc8982814 第二章 高校无线网络的应用需求 PAGEREF _Toc8982814 h 11 HYPERLINK l _Toc8982815 2.1应用需求

2、概述 PAGEREF _Toc8982815 h 11 HYPERLINK l _Toc8982816 2.2基础网络接入需求 PAGEREF _Toc8982816 h 13 HYPERLINK l _Toc8982817 2.3无线校园网络应用需求 PAGEREF _Toc8982817 h 14 HYPERLINK l _Toc8982818 2.4满足校园特点的安全和可靠性 PAGEREF _Toc8982818 h 16 HYPERLINK l _Toc8982819 2.5高性能的 IPv6和 IPv4无线接入 PAGEREF _Toc8982819 h 16 HYPERLINK

3、l _Toc8982820 2.6满足生产、运营网络要求的运维和管理 PAGEREF _Toc8982820 h 17 HYPERLINK l _Toc8982821 2.7多SSID承载多个业务网络 PAGEREF _Toc8982821 h 17 HYPERLINK l _Toc8982822 第三章 无线网络系统设计综述 PAGEREF _Toc8982822 h 17 HYPERLINK l _Toc8982823 3.1无线网络的设计标准 PAGEREF _Toc8982823 h 17 HYPERLINK l _Toc8982824 3.2无线校园网设计原则 PAGEREF _To

4、c8982824 h 19 HYPERLINK l _Toc8982825 3.3无线校园网设计综述 PAGEREF _Toc8982825 h 24 HYPERLINK l _Toc8982826 3.4无线网覆盖区域描述： PAGEREF _Toc8982826 h 25 HYPERLINK l _Toc8982827 3.5无线网物理架构设计 PAGEREF _Toc8982827 h 26 HYPERLINK l _Toc8982828 3.6无线网逻辑架构设计： PAGEREF _Toc8982828 h 27 HYPERLINK l _Toc8982829 3.7 AP的部署方案

5、PAGEREF _Toc8982829 h 28 HYPERLINK l _Toc8982830 3.8安全规划 PAGEREF _Toc8982830 h 34 HYPERLINK l _Toc8982831 3.9接入点规划 PAGEREF _Toc8982831 h 50 HYPERLINK l _Toc8982832 3.10部分无线参数设计 PAGEREF _Toc8982832 h 52 HYPERLINK l _Toc8982833 3.11投标产品清单 PAGEREF _Toc8982833 h 62 HYPERLINK l _Toc8982834 第四章 解决方案的技术特点

6、PAGEREF _Toc8982834 h 65 HYPERLINK l _Toc8982835 4.1WLAN面临的主要挑战 PAGEREF _Toc8982835 h 65 HYPERLINK l _Toc8982836 4.2Meru特点之虚拟蜂窝 PAGEREF _Toc8982836 h 69 HYPERLINK l _Toc8982837 4.3Meru特点之无缝漫游 PAGEREF _Toc8982837 h 69 HYPERLINK l _Toc8982838 4.4Meru特点之单频部署架构 PAGEREF _Toc8982838 h 70 HYPERLINK l _Toc8

7、982839 4.5Meru特点之Air Traffic Control（空气流量控制） PAGEREF _Toc8982839 h 71 HYPERLINK l _Toc8982840 4.6Meru特点之Over-the-air QoS PAGEREF _Toc8982840 h 71 HYPERLINK l _Toc8982841 4.7Meru特点之802.11n最优性能 PAGEREF _Toc8982841 h 72 HYPERLINK l _Toc8982842 4.8Meru特点之负载均衡 PAGEREF _Toc8982842 h 73 HYPERLINK l _Toc898

8、2843 4.9Meru特点之RF安全 PAGEREF _Toc8982843 h 73 HYPERLINK l _Toc8982844 4.10Meru特点之Air Time Fairness时间片均分技术 PAGEREF _Toc8982844 h 73 HYPERLINK l _Toc8982845 第五章 Meru投标产品介绍 PAGEREF _Toc8982845 h 89 HYPERLINK l _Toc8982846 5.1投标产品AP（无线接入点）介绍 PAGEREF _Toc8982846 h 89 HYPERLINK l _Toc8982847 5.2投标产品无线控制器（C

9、ontroller）介绍 PAGEREF _Toc8982847 h 91 HYPERLINK l _Toc8982848 5.3投标产品Meru E(z)RF网络管理平台 PAGEREF _Toc8982848 h 94 HYPERLINK l _Toc8982849 5.4投标产品交换机产品介绍 PAGEREF _Toc8982849 h 101 HYPERLINK l _Toc8982850 第六章 售后服务 PAGEREF _Toc8982850 h 110 HYPERLINK l _Toc8982851 6.1Meru售后服务体系介绍 PAGEREF _Toc8982851 h 11

10、0 HYPERLINK l _Toc8982852 6.2Meru技术培训计划 PAGEREF _Toc8982852 h 117 HYPERLINK l _Toc8982853 第七章 Meru市场地位和高校案例 PAGEREF _Toc8982853 h 122 HYPERLINK l _Toc8982854 7.1费城学区（实施时间：2006-2010） PAGEREF _Toc8982854 h 123 HYPERLINK l _Toc8982855 7.2迈阿密大学（实施时间：2005-2010） PAGEREF _Toc8982855 h 124 HYPERLINK l _Toc8

11、982856 7.3伊利诺伊大学（实施时间：2008） PAGEREF _Toc8982856 h 126 HYPERLINK l _Toc8982857 7.4密歇根大学（实施时间：2008-2009） PAGEREF _Toc8982857 h 127 HYPERLINK l _Toc8982858 7.5坦普尔大学（实施时间：2008-2010） PAGEREF _Toc8982858 h 129 HYPERLINK l _Toc8982859 7.6北京师范大学（实施时间：2011年3月） PAGEREF _Toc8982859 h 130 HYPERLINK l _Toc898286

12、0 7.7 南京大学（实施时间：2011年8月） PAGEREF _Toc8982860 h 131 HYPERLINK l _Toc8982861 7.8 中国石油大学（北京）（实施时间：2012年3月） PAGEREF _Toc8982861 h 132第一章 高校无线需求背景介绍XX大学是工业与信息化部直属重点综合性大学，是国家“985工程 ”和“211工程 ”重点建设高校，多年来教育信息化工作一直是学校发展的重点之一。高校有线校园网在网络中心的建设和规划下，已经取得了非常瞩目的成绩，成为区域甚至是国内高校信息化建设的样板之一。学校非常注重现代化的校园网络建设，已部署了包含办公、教学、科

13、研、图书馆、体育场馆、师生宿舍在内的完善的有线网络，然而有线网络只能提供用户固定的、有限的网络信息点，随着校园的信息化发展与笔记本电脑的普及，学校的师生们不在满足于只有有线网络的情况下才能访问网络，而是需要随时随处地获取网络提供的各种资源。因此，高校在完成了国家CNGI的“IPv6技术升级子项目”部分建设的同时，将高校大学的全网无线建设也列入了该项目的一部分。不久的将来，高校大学校园网将成为一个面向网络化、信息化、移动化、智能化、同时具备多媒体综合业务的运营级网络。无线需求无线网络体系结构方面的要求总体要求无线网络采用集中控制器、POE交换机和AP的三层划分，由无线集中控制器统一配置、管理各类

14、AP。支持在无线网络中配置针对无线入侵、网络攻击、病毒等的检测、防范策略。集中控制器集中控制器按照N+1的备份配置以保证无线网络的高可靠性，实现关键设备的冗余与故障热备，实现集中的安全、QoS策略。控制器应具有集中的自动无线资源管理能力，包括根据实际的无线环境实时调整无线信道、无线发射功率等, 在控制层面对无线特性（如功率的协商、多媒体准入控制能力、多媒体包的转发机制等）具备控制能力，提供完善的QOS机制。瘦AP可以在2.4G和5.8G频段同时部署AP，采用MIMO或分集技术天线，支持外接天线或内置天线，支持数据包二层转发模式，即AP本地转发，而不通过控制器转发。对人员密集区域、环境复杂区域采

15、用支持双频三模和802.11n技术的AP进行高带宽、高可靠性、高接入能力的部署，并通过独立的网管软件对所有AP实现统一网管。有线接入架构 在无线网络密集接入区域，无线网络应单独组网，通过POE交换机接入校园网汇聚和核心设备。在只配置少量无线AP的区域，无线AP可通过单独的供电模块接入当地的有线网络。认证计费要求支持Radius等多种认证计费协议。Ipv6：集中控制器、POE交换机应硬件支持IPv6协议，AP支持ipv6二层透传。无线网络产品要求无线控制器：a, 当网络出现故障时或任何一个控制器不能正常提供服务时，能进行快速切换，且控制器支持对AP实现负载均衡；b, 硬件支持802.11n；c,

16、 支持无线终端跨IP子网的快速无缝漫游，良好支持语音业务/实时多媒体业务，并保持全网漫游身份的唯一性；d, 支持对所有AP(a/b/g/n)进行统一管理， AP零配置上线；e, 支持并具备组播服务功能；f, 支持不同SSID映射不同QOS策略，支持802.1P、802.1Q, 支持单一SSID映射到多个VLAN的功能, 支持根据各种不同的应用类型或认证方式分配不同的QoS策略；g, 支持无线IPS/IDS能力, 支持非法AP、非法客户端的发现、抑制功能；h, 支持WEP、WPA、WPA2、AES、TKIP加密协议, 支持IPSEC,L2TP透传；i , 支持万兆；无线接入点：a, 支持内置或外

17、置双频天线；b, 支持802.3af 标准POE供电；c，支持WEP,WPA,WPA2,AES,TKIP加密协议，802.11I,802.11E,WMM；d，支持节电模式；f，支持二层隔离功能；g，支持语音呼叫准入控制CAC功能；h，支持二、三层漫游，并保持客户端应用不中断；i, 无线AP的发射功率低于100毫瓦。无线网管软件 a, 支持自动化的无线局域网信号覆盖和容量规划b, 支持对无线AP和无线交换机进行集中监控和网络管理 c, 支持射频扫描d, 支持射频干扰源的检测设计建设无线网工程技术方面的要求无线网络设计前需进行现场勘查与仿真设计，并出具相应的部署和信号场强与接入速率模拟分布图纸（同

18、时提供二维平面与三维空间分布图）、AP与管缆施工安装图等相关图纸。在2.4G和5.8G频段同时部署AP，采用MIMO或分集技术天线，为保证用户接入无线网络的良好的性能，采用并部署支持802.11N标准的AP，兼容802.11a/b/g，并支持5.8G高速802.11N接入，在2.4G频段部分限制802.11b和低速率接入，并针对用户接入情况进行网络优化。针对高校无线网用户在校区内的分布情况、用户上网设备的高度普及及上网行为的特点，必须考虑到部分区域内用户高密度接入的要求；针对高校各校区内的地形与建筑结构以及装修的特点，尤其是对复杂物理环境的覆盖，应解决好信号屏蔽、干扰和隐蔽信息点的问题，保证用

19、户终端稳定持续的连接；针对当前大量的个人数字终端设备移动化上网，以及要求校园全网对移动多媒体、无线定位等业务的良好支持，必须考虑到无线AP的合理分布与最佳覆盖；规划覆盖范围本项目需要对理工大学中关村校区(本部)和良乡校区的总共七座教学楼宇进行无线网室内区域覆盖、同时还包括部分楼宇的室外覆盖。具体信息参见下表：中关村校区需覆盖包括：信息教学楼（8号教学楼）教学区、研究生教学楼全楼、图书馆非办公区域。良乡校区包括：一号教学楼、二号教学楼、行政楼全楼及楼前广场、图书馆四层计算中心机房。 校区名称覆盖区域覆盖区域类型中关村校区信息教学楼（8号教学楼）教学区域室内覆盖研究生教学楼全楼室内覆盖图书馆非办公

20、区域室内覆盖室外覆盖良乡校区一号教学楼室内覆盖室外覆盖二号教学楼室内覆盖室外覆盖行政楼全楼室内覆盖室外覆盖图书馆四层计算中心机房室内覆盖无线覆盖区域的分类A类区域：固定工作人员为主，业务量较大的区域，如普通教室，办公场所，部分其他室内公共区域；B类区域：固定工作人员高密集，并发业务量大的区域，如固定大教室、会场等。C类区域：指空间结构与平面布局复杂，装修装饰用材料对电磁场传播影响较大的区域，如：图书馆、体育馆部分，D类区域：人员流动比较频繁的区域，如：部分餐厅，超市E类区域：重大活动或突发人员聚集的场所，需要提供可应急保障覆盖措施（室外临时活动场所，新生入学注册，室外运动场，食堂体育馆等）上述

21、五类区域内的用户密度、上网行为各有其特点，无线网覆盖时必须针对其特点有针对性设计出相应的对策，以取得最佳的覆盖效果。无线网覆盖指标的分级高密度接入要求（级）：要求满足在线用户数不低于座位数的70%，并发传输每用户速率不低于1Mbps；在线用户数小于座位数70%时，其并发传输每用户传输速率应相应上升；较高密度接入要求（级）：要求满足在线用户数不低于座位数的60%，并发传输每用户速率不低于1 Mbps；在线用户数小于座位数60%时，其并发传输每用户传输速率应相应上升；正常接入要求（级）：要求满足在线用户数不低于座位数50%，并发传输每用户速率不低于2 Mbps；在线用户数小于座位数50%时，其并发

22、传输每用户传输速率应相应上升；移动方式的接入要求（级）：固定在线用户数不确定，以流动人员为主的区域，并发传输每用户接入速率不低于2 Mbps；应急覆盖的接入要求（级）：以短时间内有大量接入人员为主，出现大量业务流量。并发传输每用户接入速率不低于1 Mbps；为使全网能够提供优质的移动实时多媒体及无线定位服务，上述五种接入要求的区域应做到无缝覆盖，覆盖场强不小于-70dbm，需要保证无线覆盖区域内95%以上的位置无线信号强度大于-70dbm，语音单向时延小于150ms，抖动小于50ms，丢包率小于1，mos值大于3。应急覆盖主要解决应急情况下大量迸发用户的上网问题，实现应急措施后，其覆盖区域的场

23、强、接入速度应达到或接近正常接入的要求。可支持无线上网的设备所有按照802.11a/b/g/n标准设计的有正式入网许可证的设备均可接入；支持笔记本、PDA、iphone、ipad；无线网支持的业务内容传统的各类网上业务（浏览网页、收发邮件、即时通信、网络电话视频等）；支持实时多媒体业务（实时wifi语音点对点通信、点对多点的通信；实时wifi视频组播、视频对讲功能、视频会议）。第二章 高校无线网络的应用需求应用需求概述随着IT大环境的变化，WLAN已经无处不在。我们来回看一下近几年终端装置的发展历史，可以深刻的感受到无线网络蓬勃发展的必然趋势。2008年：笔记本电脑的出货量超过台式机，且99%

24、以上内置WLAN网卡2009年：IEEE 802.11n 标准出台，实现了54M到300M的速度跨越2010年：Apple推出了WiFi版iPad平板电脑，便携式终端又添新军2011年：Apple、Android、Microsoft三大系统大行其道，基于这些系统平板电脑和智能手机成为了最主流的数码产品正式由于无线终端的迅猛发展，加上各种各样的应用，使得生活、工作变得更加多元化。建设无线校园，已经是国内高校信息化发展的必经之路。然而，各高校在建设无线校园之前，都会考虑几个关键的问题，同时也是他们的需求。这其中就包括无线网络稳定性、安全性、扩展性、可管理性等多方面的要求。就无线网络的使用场所来分析

25、，一般高校都会对于一些重点区域进行无线网络覆盖，包括教学楼、图书馆、行政办公楼、体育馆等。以下是目前高校对于无线覆盖的几个典型区域示意图。目前，国内高校无线网络日后将是多种无线应用共存的一个大规模无线网络，所以势必存在不同终端、不同用户群、不同应用的网络需求。高校的无线网络用户大致可区分为 4大类，分别为教职员工、学生、访客、特殊终端（比如摄像头、相机等）。基础网络接入需求 在教育信息化快速发展的今天，校园网已经成为校园生活的重要组成部分，是教职员工和学生获取资源和信息的主要途径。它将校园里的老师、学生与从事社交、学术、业务活动的行政人员紧密地联系,在教育系统中具有重要的作用。随着笔记本、上网

26、本、智能手机、平板电脑等移动终端种类的不断增加，其灵活、便携的特点，越来越强大的功能，以及不断降低的成本，加速其在校园中的被使用率，从而对无线网络在校园教学、学习、办公、公共场所甚至虚拟社区中的普遍应用提出更高的要求。目前，越来越多的教师、学生渴望在教室、宿舍、实验室、礼堂、图书馆和室外广场等场地随时随地地接人互联网或校园内网，及时地获得所需的信息。以下为国内高校无线校园接入使用的一些典型场景：端口数量一般来说，有线局域网中在如教室、图书馆、会议室等人口密集的区域只能提供数量非常有限的信息点，随着以后笔记本电脑的普及和现代化教学的普及，部分区域同一时刻可能会拥有大量的电脑，但现有的有线校园网没

27、有办法使学生们在这些区域上网。而采用无线方式，在端口上连接无线接入点，不需布线就可以轻松从-个端口扩展到成百上千个端口的应用。联合办公新生入校和毕业生离校最为典型。随着档案管理的电子化，此时需要多部门集中联合办公，传统的方式是每次迎新都通过拉网线，接交换机的方式，非常耗费人力，而无线局域网技术能够很好的解决这种多部门联合办公的突发需求，极大的简化每年新生入校和毕业生离校的网络部署工作量，提高学校信息化水平。临时活动各种学术活动越来越多地在学校举行。除此之外，学校每年也都会举办一些其他的活动，如运动会、人才交流活动等。由于这些应用的特殊性和灵活性，有线局域网将不能满足校园网的需求。所以很有必要使

28、用无线局域网技术对原有的有线网络进一步扩充，使校园的每个角落都处在网络中，形成真正意义上的校园网户外上网让师生在户外广场、运动场等地方可以方便的接入校园网络访问资源。无线校园网络应用需求随着Internet应用的迅猛发展，笔记本电脑智能移动终端的日益普及和广泛应用，使广大师生的学习、工作和生活不再紧紧围绕着办公室、教室或宿舍。越来越多的校园网用户会通过这些智能终端访问各种各样的校园网络资源，可能是网页浏览和邮件收发，可能是观看在线的多媒体课件，也可能是查询电子图书馆的各类电子文献，还可能是用户与用户之间的协同与交流。并且与以往不同，由于这些智能终端具有无与伦比的便携性，用户对校园网络资源的访问

29、将不再具有空间和时间的限制，而会发生在任何时间、任何地点。校园用户越来越要求尽可能方便、快速、移动式的使用网络，无线校园的建设正驶向快车道。当前，各大高校的无线校园网络上的通信流量主要还是以人为主，实现人与人之间的通信（如QQ、MSN、Skype等即时通信应用）和人与物之间的通信（如网页浏览、在线视频、邮件收发、FTP下载等），随着将来物联网技术在校园中的应用，还会出现更多的物与物之间的通信，实现用户、网络、设备三者之间的融合，并演化出各种各样的无线应用。因此，基于无线的校园应用具有广阔的需求愿景。基于移动终端的校园网访问各种移动终端的普及使越来越多的用户开始习惯于随时随地访问校园网资源，其中

30、既包括教务、科研、人事、学籍、党团、后勤管理等各种校内办公子系统，也包括电子图书馆、教学资源库等教学资源支持子系统，还包括教科网和互联网上的各种资源。基于多媒体的在线电子课件通过移动终端访问多媒体在线电子课件，可以使学校教学突破传统学习模式，充分利用现有数字资源，为学员提供自助式培训课程菜单。学员在课堂以外可以根据自己的培训需求，通过无线网络自由点播相关的教学录像和教学课件，克服时间和空间限制，高精度地实时交互地传送文字信息、图像及音频、视频信号，为教育的网络化、社会化和终身化提供了理想的支撑平台。无线视频监控保卫校园安全校园视频监控系统的建设主要是为了预防、控制和减少校园犯罪，提高学校处置突

31、发事件的应急指挥能力，最大限度的减少意外事故给学校师生造成的影响和损失，切实保护师生的人身财产安全。由于无线校园网络具有全覆盖特性，因此可以使学校不需要复杂的网络布线，实现校园视频监控系统的快速部署和灵活调整。无线物联网和绿色环保校园作为智慧校园的核心内容，无线物联网为校园内各种设施和设备提供“最后一米”的网络接入，真正实现物与物之间的通信。无线校园网一方面可以作为校园物联网的主干通信通道，另一方面也可以通过自身提供各种具备Wi-Fi接口的设备接入，因此可以作为校园物联网的“高速公路”，为校园物联网的建设提供高性能的基础通信平台。通过基于无线校园网的物联网，学校可以被打造成自动化的智慧校园，不

32、仅可以通过各种设施之间的通信和联动，进一步提升校园安全功能，而且还可以对水、电设施的开关进行自动优化，节约水电开支，实现绿色环保校园的理想。满足校园特点的安全和可靠性 目前高校校园无线网的目标是建设一个可收费的、可运营网络，这样的定位对可靠、安全、加密和非授权用户的控制提出了更明确的要求： 支持精确的无线入侵、射频干扰、非法 AP定位和隔离; 同时支持端到端的网络可靠性保证技术。高性能的 IPv6和 IPv4无线接入 现在建设高校无线网络，除了要考虑对现有 IPv4 网络终端的无线接入，满足当前高校师生对无线网络的需求外，又要支持IPv6 的用户接入，以适应网络发展趋势，并保护网络投资。 满足

33、生产、运营网络要求的运维和管理 2.5.1 基于个人用户的运营管理 无线网络系统需要支持运营管理功能，能够根据单个用户实现用户管理，包括：认证、计费、安全控制、QoS控制等。 2.5.2 满足运营网络要求的运维和管理 校园无线网络规模大、环境复杂，因此无线网络系统应该支持高效的运营网络级的管理功能，方便未来无线网络的运维管理。室内、室外、 Mesh系统一体化控制：有线、无线网络管理相结合，集中与分布式管理相结合，为运营维护提供高效率和低成本。多SSID承载多个业务网络国内高校无线网络今后将承载多种不同类型、应用的业务，需要为不同业务开设不同SSID ，便于运营管理，学校需要开设多个SSID，分

34、别用于互联网访问、免费校内资源和教育网访问、纯IPv6网络访问。为在大学校园提供无线覆盖的运营商开设SSID服务，实现教育网与运营商用户在同一物理网上运行。第三章 无线网络系统设计综述3.1无线网络的设计标准移动性WLAN的设计必须尽可能保证用户在移动过程中，电波的传送和接收稳定可靠，尽量确保客户的应用在漫游时，不发生中断。高性能无线网络系统能够适应今后高带宽的要求，满足日益增长的业务量需求，这些需求不但包括今后巨大的业务数据量，同时也包括音频、视频等的需求。高密度随着各种WiFi终端不断涌现出来，如智能手机，iTouch等，对无线网络系统覆盖所支持的客户端密度提出了更高的要求。一个AP支持三

35、、四十个客户端的能力已经不能满足WiFi用户的需求。高可用性无线网络系统具有较高的可靠性和可用性，具有强大的容错功能，以保证各种应用的正常运行。系统具备在线故障恢复能力，关键设备、模块、线路能做到实时备份、均衡负载和自动故障切换。可管理性可以对网络进行在线监控，随时了解无线网络的“健康状态”，快速定位并排除故障，根据需要优化网络，更合理地对网络进行配置及资源分配，提高网络的利用率和性能。安全性无线网络系统提供多种有效的安全控制机制，以防止机密泄露和影响正常工作。无线网络系统应提供一套完整的安全防范措施，能够有效地防止系统外部人员的非法侵入。可扩展性应用的不断发展要求网络在性能、协议、网络拓扑及

36、各种业务等方面具备很好的可扩展性。在无线网络设计及选择设备时应完全满足目前的应用需求，同时充分考虑今后较长时间内应用发展的需要，网络系统应能方便地升级。开放性无线网络系统应采用国际标准。无线网络体系结构与系统应用相互独立，支持各种通讯协议，各种数据库和客户机/服务器应用，与现有的LAN网络系统无缝地集成。经济性和实用性完全从目前的应用需求出发，设计既能够满足目前的应用需求又能面向未来的应用需求升级的网络系统方案，同时又要保证提供服务时的经济性。在满足系统功能要求的前提下，尽量降低建设成本，考虑今后升级时设备的可持续使用，保护用户投资。3.2无线校园网设计原则信号覆盖范围和强度项目需求：无线网络

37、信号要求做设计区域全覆盖。无线局域网协议采用802.11 a/b/g/n兼容方式，信号强度不低于-70 (dbm)，以保证用户无线上网，WiFi电话，移动PDA的应用要求。需求分析：通过多种安装方式，达到覆盖高校校园园区的主要无线应用区域。安装方式采用明装或暗装的方式，室内AP安装采用天花板吸顶方式，室外 AP安装在位置较高的楼顶。覆盖区域和安装规格在实施方案图纸中标识。RF信号抗干扰项目需求：在楼宇格局布置复杂的空间内，AP或多或少的存在着RF信号的干扰，以及其他同频率无线设备的信号干扰，要求尽量把这种干扰降到最小。需求分析：Meru可以通过同频技术来处理或避免干扰，提高RF信号质量和信道利

38、用率用户容量和传输性能项目需求：覆盖区域内，确保无线网络的传输质量以及达到WiFi电话的语音质量。需求分析：根据用户的容量和应用流量需求，在设计方案中满足每台室内AP设计接入用户数量不低于50个，每个用户均可提供802.11n高速接入。漫游性能项目需求：要求无线网络系统支持无缝漫游，保证无线网络在覆盖区域应用时（包括PDA和WiFi电话）的数据不中断和语音的流畅。需求分析：Meru无线网络系统使用同频技术，在覆盖区域支持无缝漫游，实时交互用户接入信息，保证无缝漫游性能。网络负载均衡项目需求：在覆盖区域，要满足多用户使用时不会产生网络瓶颈和网络性能的下降。需求分析：在方案中，无线网络系统应该提供

39、动态的基于流量和用户数量的负载均衡机制，为用户提供最好的网络性能。通用计费支持项目需求：开放的WLAN覆盖方式，对内网开放，对学生/访客用户收取访问互联网络费用。需求分析：通过Web 方式完成认证，经过后台计费系统完成计费。用户分组管理与隔离项目需求：对于不同无线用户的应用，制定不同的安全、隔离策略和优先级别。能够对无线用户进行基于用户的分组统一管理，以保障在维护过程中的灵活性。针对用户的无线网络应用，能够满足单用户隔离的需求，保证网络应用的安全性。需求分析：无线网络系统应该支持Vlan划分与多SSID的应用方式，支持ACL和QoS服务质量控制，能够针对不同的Wlan和Vlan制定不同的网络控

40、制策略。支持用户隔离工作模式，满足用户上网的安全需求，不向外发送ESSID信息，阻断用户之间的通讯。统一维护管理项目需求：提供简单、易用、统一的无线网络管理平台。为今后校方的IT维护人员提供最好的工作便利。同时，保证与高校现有有线网络无缝衔接。需求分析：无线网络系统通过一个核心管理部件进行综合的管理，不需要针对单独的AP接入点进行管理和维护。AP、AC均支持标准SNMP协议，支持第三方网管系统。用户接入认证项目需求：支持主流和多种形式的无线网络接入认证方式，满足用户的安全需求。需求分析：要求无线系统支持国际主流的大部分认证协议和认证方式，包括802.1x、Captive Portal和MAC地

41、址绑定认证方式。无线安全加密项目需求：无线网络的安全是一个重要的应用保障，没有安全一切应用都变得脆弱和危险。无线网络系统需要兼容和接纳最高等级和最广泛的加密协议，保证信息安全需求分析：支持通用的加密方式和协议，包括WEP、WPA、WPA2等。加密和认证通常是一起使用的。 无线入侵防护机制项目需求：对于网络恶意入侵频繁发生的今天，保证网络的安全成为系统的第一要素。被入侵和恶意攻击的网络系统是无法承载日常应用的，违背网络建设的初衷。需求分析：无线网络的入侵防护系统能够监听个个无线信道的数据流量，实时汇总和分析。针对入侵行为进行有效的联动保护。性能稳定项目需求：无线设备需要满足最大的无故障运行时间（

42、MTBF），保证网络的正常运行需求分析：网络核心设备的MTBF=5年。3.3无线校园网设计综述根据高校的相关技术要求，在充分分析了校方需求和技术发展趋势之后，结合数据通信发展的实际情况现提出以下无线网络接入系统方案。下面我们就高校无线网络系统建设提出如下建议：结合高校本次无线网建设需求使用MERU特有同频架构来部署AP，确保RF干扰降到最小，和无缝漫游，最小化RF信道规划的工作，节约时间和人工。全网支持802.11a/b/g/n，在某些特殊区域，如图书馆，多媒体教室，学术报告厅等热点区域支持高密度覆盖，确保用户数据，语音，视频的融合应用；无线控制器采用1+1冗余方式，结合Meru所提供的无线网

43、络架构优化调整方案，实现无线网络统一管理。对数据，语音和视频启用不同的QoS策略，在WiFi语音使用频繁区域做语音呼叫控制和信道之间的负载均衡。在全网内同时支持MAC，802.1x和Portal认证方式，客户端无论通过哪一种认证都可以接入无线网络，为不同的WiFi终端提供更加方便灵活的认证方式。Portal认证下采用WEP加密，802.1x下采用TKIP或AES加密。启用防ARP攻击，DHCP伪装，源地址假冒，非法AP和客户端侦测等安全功能，防止来自WiFi的攻击；MAC地址和AP绑定，避免用户使用相同MAC地址在其他区域（AP下）获得无线接入。无线网络独立组网，通过汇接交换机接入到骨干网络，

44、与有线网络统一做认证接入。建议以楼为单位来划分VLAN和分配IP地址，每个VLAN地址池一个C类地址，以控制广播和病毒传播，同时提供User ID-VLAN-AP的3元或多元映射表，方便管理员在大规模管理网络时更加方便。AP主要尽量采用本地方式工作，本地转发流量。认证和计费方面，MERU控制器提供标准的radius认证和计费接口，并且能够和深澜认证系统对接，可以集成到目前高校有线网络的认证计费系统中。提供MAC地址批量导入功能和MAC地址与VLAN映射功能，方便管理员大规模添加MAC地址。全网内定时或实时运行故障检测或频谱分析程序，及时发现RF干扰，无线网络或终端出现的问题。通过标准的SNMP

45、对设备进行配置和监控，通过SNMP trap和网页警告，邮件通知等方式通知管理员。在MERU的EzRF网管或独立的syslog上记录发生问题的网络环境上下文，必要时可进行现场重现和日后的审计。3.4无线网覆盖区域描述：本项目需要对理工大学中关村校区(本部)和良乡校区的总共七座教学楼宇进行无线网室内区域覆盖、同时还包括部分楼宇的室外覆盖。具体信息参见下表：中关村校区需覆盖包括：信息教学楼（8号教学楼）教学区、研究生教学楼全楼、图书馆非办公区域。良乡校区包括：一号教学楼、二号教学楼、行政楼全楼及楼前广场、图书馆四层计算中心机房。 校区名称覆盖区域覆盖区域类型AP型号AP数量中关村校区信息教学楼（8

46、号教学楼）教学区域室内覆盖AP1020i70研究生教学楼全楼室内覆盖AP1020i72图书馆非办公区域室内覆盖AP1020i30室外覆盖AP320(v2)1良乡校区一号教学楼室内覆盖AP1020i100室外覆盖AP320(v2)1二号教学楼室内覆盖AP1020i110室外覆盖AP320(v2)3行政楼全楼室内覆盖AP1020i25室外覆盖AP320(v2)3图书馆四层计算中心机房室内覆盖AP1020i123.5无线网物理架构设计依照校方对无线网独立成网的需求，无线网络物理架构如下图所示：中观村校区：分布在各层的无线AP根据就近原则连接至指定的POE接入交换机，同楼的POE接入交换机连接至本楼的

47、无线网汇聚交换机，各楼宇的无线网汇聚交换机连接至中关村校区的核心交换机，中关村校区的核心交换机通过光纤与良乡校区互联良乡校区：分布在各层的无线AP根据就近原则连接至指定的POE接入交换机，同楼的POE接入交换机连接至本楼的无线网汇聚交换机，各楼的无线网汇聚交换机连接至区域核心交换机，区域核心交换机通过光纤与中关村校本部网络连接无线控制器的部署2台MC4200无线控制器均部署在中关村校区，接入中观村校区的核心层或汇聚层设备。网管系统的部署EzRF网管系统部署在中观村校区，对整个无线网络(中观村校区及良乡校区)的所有AC/AP等无线设备及无线客户端进行集中式的管控3.6无线网逻辑架构设计：AP到A

48、C间的无线管理流量（AP的注册信息，AC对AP的管理及配置信息，无线用户的关联、认证信息)将通过AP与AC间的二层或三层连接承载，AP/AC仅需要IP可达即可，如下图中蓝色曲线所示。对于无线用户的数据流量（以访问Internet为例）基于本地转发模式，所有流量由AP直接送入本地有线子网，如下图中绿色曲线所示3.7 AP的部署方案基于Meru特有的单频点、虚拟一体化专利技术，Meru的AP除了和以错频部署外，还可以完全不受同频干扰影响进行同频部署。即：所有AP工作在同一频点，而彼此间不会有同频干扰。其直接优势体现在如下方面：AP部署简单，无需进行复杂的站点勘测和功率调整工作，可做到AP的即插即用

49、。AP可满负荷工作，相对传统AP，单颗AP覆盖的面积更大，在需覆盖相同面积的需求下，Meru可以使用更少的AP而达到稳定的、无缝的信号覆盖。基于AP的同频部署架构，结合Meru特有的虚拟一体化技术，用户在单频部署的无线覆盖区域内可实现“零丢包”的完美无缝漫游。基于以上优势，对于教室、宿舍等室内区域的覆盖方案如下：同一楼层内的所有AP进行同频部署，以实现稳定无缝的信号覆盖，同时开启虚拟蜂窝功能，为语音、实时视频等低延迟敏感类服务提供无缝漫游平台。不同楼层的AP工作在不同的频点，以进一步的增大无线网络的整体吞吐。如下图所示，以2.4Ghz频段为例，一楼部署的AP均工作在Channel1，二楼部署的

50、AP均工作在Channel6，三层部署的AP均工作在Channel11，四层部署的AP均工作在Channel1，如此类推。对于多媒体教室，会议室，图书馆等无线连接高密度区域，通过部署具有接入高密度特性的Meru300系列AP，其单颗AP最多可稳定承载240以上的无线连接，通过在狭小空间中部署3颗300系列AP，可轻松支持700+稳定的无线用户连接。AP的安装方式主要采取吸顶式安装（外置天线的AP，也可采用壁挂），订做专用固定支架，保证AP不会容易被偷走或者破坏。以下是在AP部署时的具体原则对于教学区域，AP一般部署在教室内，走廊信号由教室内部的AP提供教学楼天井等室外开阔区域由专门部署在附近走

51、廊上的AP提供信号覆盖对于宿舍区域AP部署到走廊，走廊信号覆盖宿舍内部确保重点覆盖区域信号强度-70dBm,，信噪比SNR18dB50人教室部署1个AP1020i ；50-100人教室部署2个AP1020i，预留1个信息点100-200人教室部署4个AP1020i，预留1个信息点AP通过3层发现AC，根据校方对逻辑架构的选择、灵活采用“集中转发”、“本地转发”，或结合二者的用户数据转发模式全校使用统一的SSID，以方便用户接入选择3.8 设备的选型根据高校的实际情况，我们对于控制器选型有如下建议：高校的两校区各自有网络信息中心，DHCP服务也是分别由所属两个区域的DHCP Server提供。目

52、前市场上高端无线控制器单机可管理的AP数量一般在500个或以上，考虑到后期无线网络管理的简易型，建议考虑部署能支持多AP管理的控制器。无线控制器一般提供集中转发和本地转发两种工作模式。对于集中转发，更适合做一些用户行为或者服务质量的高度控制，但由于所有数据需要途径控制器，用户每个数据包都会被控制器所终结和转发，对于并非基于数据交换来设计的无线网络控制器而言，转发性能必定是以后的瓶颈。因此，高校对于需要高吞吐量的区域，应当更多的使用本地转发的模式，使得数据的转发更加合理化，优化整体网络性能。而由于本地转发模式底下，控制器无法做深层次的控制，本地转发模式底下的安全性将需要有保障，比方说本地转发模式

53、底下的用户二层隔离，避免客户端因中毒以后通过二层广播扩大影响。由于应用的不同，比方说普通上网（需要高吞吐量）和语音应用（需要更好的QoS服务质量保证），建议选用的无线控制器可以支持在同一个AP底下同时支持本地转发和集中转发模式。考虑到无线网络以后将逐渐成为关键的网络接入方式，稳定性和可用性是非常重要的，建议考虑无线控制器的冗余方案。因此，我们结合了高校的实际情况和Meru的产品特点，在本项目中推荐高校选用2台Meru MC4200+1台华为S5700-28C-EI-24S交换机作为一套无线控制器。方案特点：如上图所示，结合高校的实际情况，我们提供了2台MC4200和1台S5700-28C-EI

54、-24S交换机组成一套无线控制器，其中每台MC4200均有4个千兆电口可以做链路聚合实现4G上行，并且提供2个10GE万兆光模块扩展插槽；S5700-28C-EI-24S交换机提供24个千兆光接口和4个复用的千兆电口，并提供2个10GE万兆光接口。2台MC4200采用1+1冗余备份（1+1冗余备份的License免费赠送）的部署方式，当其中一台MC4200失效或链路故障，AP和无线用户会自动切换到另外一台MC4200上，从而保证用户业务不中断，大大提高了无线网络抗灾能力和可靠性。后期当网络扩容超过500台AP时可以直接解除1+1冗余配置，2台MC4200进行负载均衡共同管理所有AP（最高可以支

55、持1000台AP）。对于无线AP，我们根据项目的需求，推荐高校选用Meru AP1020i和AP320(v2)。两款AP的特点与使用场景区分：AP系列AP300系列AP1000i系列型号AP320(v2)AP1020i描述支持802.11a/b/g/n 室外无线接入点，3*3 MIMO系统性能，支持IP66防护等级，不含支架、天线及避雷器。双频 802.11a/b/g/n 无线接入点， 包含内置双波段802.11 a/b/g/n 全向天线 外观以太网端口1个10/100/1000M自适应RJ45电口1个10/100/1000M自适应RJ45电口 射频卡双射频卡，支持802.11a/b/g/n组

56、合 双射频卡，支持802.11a/b/g/n组合 天线接口外置天线接口，6个N型接口 内置天线 MIMO支持支持，3x3支持，2x2 控制口1个RJ45口1个RJ45口 适合应用主要针对有高密度用户接入，大规模语音和视频，组播等等应用一般的以网页浏览，邮件收发等数据应用为主，语音和视频应用为辅的需求环境适合场所适合室外区域无线覆盖企业办公室，行政大楼，医院病房，零售店，物流仓库等场所 安全规划3.8.1 用户接入控制同一个AP下，根据不同的用户ID，分配不同VLAN的IP地址，实现基于用户角色的访问控制。AA系BB系CC系访客Meru基于角色的访问控制，流量隔离示意图管理员维护表格式：用户ID

57、/MACVLAN/IPESSID认证方式AP名称/Radio安装地点工作信道所属控制器3.8.2 用户认证方式与流程（1） Web认证计费流程用户Web认证具体流程：用户获得IP地址后，输入需要访问的因特网站控制器记录下客户请求，并把向外部Web服务器发出推送认证页面的请求外部Web服务器直接向无线用户推送认证页面无线用户输入用户名和密码，并推送给外部Web服务器外部Web服务器把收到的用户名和密码提交给控制器控制器把收到的用户名和密码提交给radius服务器认证成功，radius服务器发送认证成功消息给控制器控制器收到认证成功消息，通知计费系统开始计费，并同时放开用户对因特网的访问请求基于用

58、户名和密码认证，这样充分保障了用户的接入安全，因为无线网的特殊要求， 所以无法像有线网一样可以对用户进行VLAN+端口+IP地址进行绑定。由于绑定不符合在校园所有接入点无缝漫游的要求，可以采取最有效，最方便的WEB 认证认证方式。（2）802.1x（WPA/WPA2）认证计费流程用户发出接入请求，控制器要求用户提供接入身份验证凭证，用户提交凭证控制器将收到的用户凭证信息（用户名，密码）提交给radius服务器验证Radius服务器将认证成功消息和协商出来的原始加密密钥推送给控制器控制器和用户通过4次握手动态协商出实际加解密密钥控制器通知计费系统开始计费，同时授予用户访问网络的权限（3）MAC地

59、址认证流程扫描枪发出关联请求控制器收到请求后，截取扫描枪的MAC地址，发给radius服务器Radius服务器收到控制器送来的MAC地址，并和数据库内定义的MAC地址列表中地址进行比较，发送认证成功消息给控制器控制器收到radius认证成功消息，根据需要是否通知计费网关计费，同时授予扫描枪访问网络的权限3.9 安全认证设置方式3.9.1 标准的无线终端连接过程如上图所示，无线终端标准的连接过程有几个步骤：MAC地址过滤。终端被分配到AP去实现关联。标准的802.11认证关联。802.1X、WPA、WPA2认证。密钥交换。DHCP地址分配IP地址。IP地址获取。CP弹出页面、网页认证。因此，我们

60、可以在上述几个过程中考虑加入安全认证策略。其中，Meru可以支持下列几种安全策略：SSID广播/非广播（隐藏）。MAC地址过滤（MAC地址列表可以建立在控制器或者外置Radius中）。WEP、WPA、WPA2、WPA+WPA2混合、802.1X认证。Capital Portal弹出页面认证（账户可以建立在控制器或者外置Radius中）。3.9.2 Meru安全认证策略的介绍(1) SSID广播/非广播（隐藏）SSID广播/隐藏，实际上是最简单，也是最没有安全性的保护方式。Meru可以为每个ESS组配置SSID广播的开关。(2) MAC地址过滤MAC地址过滤可以分为两种获取MAC地址信息的方式。