无线覆盖解决方案

XXXX办公大楼无线覆盖解决方案4月目录TOC\o"1-3”\h\z\u1 需求概述 3HYPERLINK\l”_Toc"2 办公大楼总体规划 4HYPERLINK\l”_Toc”2。1 办公大楼无线建设原则 4_Toc"2。2.1 无缝覆盖 62。2.2 安全性 62.2.3 扩展性 62.2。4 高性能 7_Toc”3 锐捷无线网络总体架构设计 83.1 基础网络技术选型 83.2 基础网络构造设计 8_Toc"3。3.2 接入层设计 10HYPERLINK\l”_Toc”3.3.3 无线网络设计 11_Toc”4.1 无线接入认证设计 134。1.1 终端智能识别的WEB认证 13HYPERLINK\l”_Toc”4。1。2 基于802.1X的无感知认证 13HYPERLINK\l”_Toc"4。1。3 访客二维码认证 14HYPERLINK\l”_Toc"4。1。4 顾客短信自助注册认证 14HYPERLINK\l”_Toc"4.2 无线安全技术设计 14HYPERLINK\l”_Toc"5 锐捷无线方案特点和优势 165。1 X-speed大幅提高干扰环境下的顾客体验 16HYPERLINK\l”_Toc”5。2 业务流量全方面分流的本地转发架构 17HYPERLINK\l”_Toc"5.3 基于顾客、流量、频段的智能负载均衡 17HYPERLINK\l”_Toc"5.4 灵活便捷的访客系统 185.5 逐级进一步的安全防护 19_Toc”5。7 全方面支持IPv6的无线网络 20需求概述XXXX办公大楼无线网络建设需要重点考虑两个方面：客户服务的信息化、内部管理的信息化.通过该无线系统为员工提供周到、便捷、舒适、称心的服务,同时提高办公大楼内部管理、运行效率，减少运作成本。办公大楼无线网络的建设有下列几个核心难题:1、办公大楼的无线网络涉及多个系统，但各个系统互相独立，不能有效配合；办公大楼方但愿能够提供一套完整的办公大楼无线信息化解决方案，简化布署，减少投资成本。2、办公大楼面积大且构造复杂，客户但愿无线信号能无盲点覆盖，并且考虑到客户感受，规定无线设备及天线不能外露.3、办公大楼IT运维复杂,办公大楼运行后如何有效保障网络的正常运行,快速定位网络故障。办公大楼总体规划办公大楼无线建设原则在办公大楼无线网络的实际应用中，无线网络的性能却无法满足实际业务的承载需求，重要体现有：1.诸多办公大楼处在成本的考虑,采用了基于胖AP的无线网络架构，即使成本低廉，但无论是配备、维护还是故障解决都需要解决大量的重复工作，运维效率高，故障延迟大,影响到客人无线上网;无线网络布署后，覆盖区内信号干扰源多，对无线网络影响大，但办公大楼网络管理系统缺少便捷有效的管理手段来识别这些干扰源，无法对网络性能进行优化调节达成保障无线网络稳定的目的；2.普通厂商的无线覆盖方案仅考虑了单一的“无线信号有无”问题，在产品选型和布署方式上没有针对性，譬如仅选择单频AP设备进行布署,这样就容易造成无线接入客户端无论是802.11b/g还是802。11n都工作在2.4GHz频段，造成网络性能低下，造成上网速率偏低;同时，当区域内接入顾客忽然增多时，由于不支持负载均衡功效，造成网络性能急速下降等等，这些都会影响到客户的无线上网体验；3。AP布署在走廊区域，无线信号经穿墙后进入房间，造成房间内无线信号覆盖不均匀，场强低，再加上随处出现的同频干扰，经常会出现有无线信号,但却无法访问Internet的状况;4。办公大楼对无线网络的业务承载能力和拓展性有着很高的规定，不仅规定支持上网，还需要支持多媒体业务承载业务,但诸多的无线设备对WMM合同支持有限，远远无法满足客户盼望.因此在无法覆盖方案的设计过程中,必须要加以关注,在设计中尽量避免上述问题的出现。针对办公大楼无线网络在实际应用中的重要问题，在本项目中应重点遵照下列设计原则：1。信号覆盖范畴和强度:无线网络信号规定区域全覆盖，涉及办公大楼宴会厅、早餐厅、房间、员工办公区和娱乐区，以及电梯间和消防通道等等.无线局域网合同兼容802.11a/b/g/n原则，在房间区域，信号强度>—70dBm（高质量），在大堂、餐厅等客户驻留区域，信号强度>—75dBm(良好质量)。2.顾客容量和传输性能：覆盖区域内，在普通时段,顾客传输速率＞500Kbps；上网高峰期时段，顾客传输速率＞200Kbps，确保流畅的无线上网体验.3.漫游性能：支持无缝漫游，确保无线网络应用时的数据业务不中断。4。网络负载均衡：提供动态的基于流量和顾客数量的负载均衡功效，在酒吧、宴会厅、办公区等区域，要满足多顾客使用时不会产生网络瓶颈和网络性能的严重下降。5。顾客分组管理与隔离：对于不同无线顾客的应用，制订不同的安全方略和优先级别。能够对无线顾客进行基于顾客的分组统一管理，以保障在维护过程中的灵活性.6.统一维护管理：提供简朴、易用、统一的无线网络管理平台,方便让办公大楼网络管理员对无线网络以及无线顾客有良好的可管理性和控制性。7。顾客接入认证：无线系统需要支持多个认证合同和认证方式，涉及WebPortal方式和基于RADIUS的802。1x无线认证方式。8。无线安全加密：无线网络系统需要兼容和接纳最高等级和最广泛使用的加密合同，涉及WEP、WPA-PSK、WPA2-PSK等加密方式，确保私密信息安全。办公大楼无线建设目的无缝覆盖本次办公大楼无线网络建设采用原则的802.11ac网络合同原则，提供不低于1167Mbps的单个AP的无线带宽接入能力，提供高性能的无线覆盖；无线信号覆盖整个办公大楼,确保被覆盖需求的网络访问流畅。提供数据接入业务，让顾客能够快捷的访问资源。同时，运用现在的有线资源，做到有线、无线混合组网，避免投资的浪费。安全性网络必须含有良好的安全防备方法和密码保护技术，灵活方便的权限设定和控制机制，使系统含有多个有效手段，防备多个形式对网络的非法入侵和内部攻击,以确保网络的实体安全、网络安全、系统安全和信息安全，有效地保障正常的业务活动和避免内部信息数据不被非法窃取、篡改或泄漏。因此系统应分别针对不同的应用和不同的网络通信环境，采用不同的方法,涉及系统安全机制、数据存取的权限控制等。扩展性在网络规模不停发展的状况下，无线网络应满足在不变化主体架构与大部分设备的前提下，平滑实现升级和扩充，减少原有网络的硬件投资，并确保扩展后的系统可用性与稳定性。预留AC、AP可升级的能力,为将来无线网建设提供基础,无线网络要支持AC冗余扩展N+1的冗余备份能力.统一建设必须尽量保护现有的软、硬件资源,确保各部门现有的计算机系统的使用，逐步过渡，有效保护投资，最后形成一种统一的、一体化的综合网络系统。高性能网络链路和设备含有足够高的数据转发能力,确保多个信息的高质量无阻塞传输，交换系统含有很高的交换容量与多服务支持的能力，确保网络服务的质量.可管理为了让无线网络能够良性、稳定、持续、健康的发展，对无线网络进行严格的管理和控制，通过对上网的顾客进行认证，统计顾客行为，为办公大楼的网络管理提供便利的工具。于此同时，对于本次网络中所涉及的无线AP、AC、交换机等设备能够实现无线、有线统一的管理，确保各设备运行在最佳状态,为办公大楼的顾客提供可靠的网络接入服务。锐捷无线网络总体架构设计基础网络技术选型在以太网技术中，1000BaseT是一种里程碑，确立了以太网技术在桌面的统治地位.千兆以太网以及随即出现的万兆以太网原则是两个比较重要的原则，以太网技术通过这两个原则从桌面的局域网技术延伸到园区网以及城域网的汇聚和骨干。主干网络采用全光千兆以太网技术，千兆无线POE接入使用.核心层与汇聚点接入交换机通过光纤方式连接。接入交换机根据无线终端AP、监控节点选择POE交换机.基础网络构造设计较大规模的网络设计普通要遵照层次化设计模型.在本次网络设计当中可分为核心层、汇聚层和接入层。以无线网络作为有益的补充或替代。办公大楼采用二层组网的网络架构，选择适宜的无线AP，确保信号的覆盖与稳定。核心层重要承当高速数据交换的任务，同时要为各汇聚节点提供最佳传输通道。接入层的重要任务是完毕无线AP的接入，和顾客连接,可能遭受ARP风暴、MAC扫描、ICMP风暴、带宽攻击等等攻击方式，对安全性的规定很高,另首先必须提供灵活的顾客管理手段。通过层次化的网络设计，网络的不同层次设备承当不同的任务，使整个网络构造清晰，便于维护和管理，便于后来的网络扩展。整体网络拓扑设计本方案采用无线控制器AC和瘦AP的布署架构,搭配锐捷POE接入交换机和高速数据交换（万兆上下行）的核心交换机一起构成集中统一的办公大楼无线网络。采用瘦AP方式重要是为了便于进行集中配备和统一管理,在实际工作中,无线控制器AC连接到核心交换机，负责无线网络的射频管理、AP配备下发等功效，对全网AP的自动配备下发、射频管理、信道分派等安全接入控制和统一的管理,让网管能够轻松管理办公大楼无线网络。锐捷AP产品能够支持802。11a/b/g/n/ac，满足不同客户端接入需要；支持MIMO，成倍地提高无线信道容量、信道可靠性，减少误码率。支持802.11af和802。11at。核心层设计核心层：由高性能的设备和高速冗余的链路构成，实现数据的高速转发、负载均衡、流量控制、网管理等功效。在网络的中心节点，核心层的设备传统上会使用高性能的交换机和高速路由器来进行第二层交换和第三层路由。在网络核心层，网络核心设备不仅要能确保第二层的交换和第三层的路由，还要提供完善的虚拟网划分,多合同路由，QoS解决，以及多媒体的通信支持。核心层设备应当满足下列条件：1、必须能提供大量的千兆线速接口用于核心交换机互联接入层交换机,满足用于网络互连的端口能够实现线速转发以及基于此端口的ACL、QoS等功效实施性能不下降。3、功效的丰富性：尽量提供丰富的QoS和安全、流量管理等多个功效。4、业务上可扩展：提供对IPv6的支持。接入层设计接入层负责全部信息节点的接入，由高性能设备和高速冗余的链路构成，实现数据的高速转发、路由快速汇聚、负载均衡、流量控制、网络管理等功效。采用锐捷RG-AM5528产品作为接入层设备，对微AP提供功效,同时进行二层数据的转发。RG—AM5528是锐捷网络推出的面对复杂应用环境（如无线宿舍网、酒店、密集办公网等）下的智分型无线接入点，采用锐捷网络独有的分布式架构和千兆独享式架构——弱电间主机+微AP射频模块+百米以太网线,每房间独立广播MIMO信号，能够做到24个房间在2.4GHz和5。8GHz双频段下的双流覆盖，满足多个场景中对性能、覆盖和美化效果的多方面需求。RG-AM5528产品引领802.11ac浪潮,可支持同时工作在802。11a/n/ac和802。11b/g/n模式。该产品外观采用19英寸原则机柜尺寸，支持弱电间原则机柜布署和灵活的楼道小型机柜布署，提供24个下联RJ45接口连接到微AP射频模块.RG-AM5528产品可根据需要灵活的选择多个类型的微AP射频模块，特别适合布署在高校宿舍网、酒店、办公网等环境。无线网络设计无线局域网（WLAN）使用的传输不再使用双绞线或光纤，而是射频（RF）。现在大多数无线LAN都在使用2.4千兆赫(GHz)的频率波段。无线网络的自由性和灵活性既可用于建筑物内部也可用于建筑物之间,特别是在建筑构造复杂、玻璃幕墙、空旷开间等物理线缆不易敷设的状况时。AP电源的供应我们在本次无线网络项目建设中室内覆盖采用支持IEEE802.3af原则的PoE交换机或PoE供电器通过网线对AP进行供电。POE交换机：交换机端口支持输出功率达15。4W，符合IEEE802.3af原则,通过网线供电的方式为原则的PoE终端设备供电,免去额外的电源布线.经调研研华推出的符合IEEE802.3aT原则的POE交换机，端口输出功率能够达成25—30W.通俗的说，POE交换机就是支持网线供电的交换机,其不仅能够实现普通交换机的数据传输功效还能同时对网络终端进行供电。2． AP的集中管理与自动配备在传统无线网络建设中,有一种始终令网管人员感到头痛的问题,那就是对AP的管理、监控以及AP本身固件的升级。由于传统AP是一种称作为“FATAP”，即本身需要有对应控制软件以及独立的配备才干运行，而由于AP是一种接入层设备，数量较多，且由于仓储中心网络的复杂性以及业务的多样性，造成需要根据各“热点”区域进行对应配备，并且还需要网管员对这些特殊配备进行统计,以方便后来维护;另外，在日常运行中,还需要理解这些数量众多AP的工作状态及性能等数据，而普通AP管理工具功效太过简朴,如果采用有线网络网管软件，由于没有较好的对无线网络做对应的开发与支持,从而不能较好的管理无线网络。3、顾客漫游及QoS保障而在本方案中,我们采用零漫游方案，该方案以无线AC为核心，对全部AP上接入的顾客采用统一会话管理，全部已认证终端均在中心无线AC中保存对应会话，AP仅仅只负载传输顾客数据，因此无论终端移动到哪个AP下，顾客信息和授权都在无线AC所管辖的移动域内快速的交互，能够有效保持会话完整性及可靠移动性的前提下实现无缝漫游.4、顾客动态负载均衡传统上,由于受到客户端无线网卡底层驱动算法机制的限制，顾客总是会连上信号最强的AP,而并没有考虑到该AP与否能够提供最佳的服务。无线AC能够根据周边无线信号覆盖状况以及顾客的流量需求，动态的将顾客强制连接到其它可用AP上，将顾客流量分派到其它可用AP，从而确保了整个无线网络的高效能和高可用度。RG-MAP552-W采用面板式设计，能够直接嵌入已有的86面板盒中，能够像面板AP同样省去布线施工，额外提供的防盗设计和passthrough接口能够灵活的适应办公大楼场景，适合改造类项目的大规模布署。网络安全设计无线接入认证设计终端智能识别的WEB认证无线网络在提供便捷网络服务的同时,仍需确保只有正当的顾客才干使用无线网络。WEB认证就是一种对顾客访问网络的权限进行控制的身份认证办法,这种认证办法不需要顾客安装专用的客户端认证软件,使用普通的浏览器软件就能够进行身份认证,是现在无线主流的认证方式之一。锐捷网络的无线控制器不仅支持终端自动识别功效和WEBPortal页面推送,并且推送的认证页面还能够根据顾客自定义放置某些广告、告知、业务链接等,提供更多个性化服务。若配合锐捷SMP认证服务器还可实现基于终端类型的角色、访问权限的划分等,协助网络运维人员实现更为精细化的无线顾客管理.基于802.1X的无感知认证IEEE802.1X合同是一种基于端口的网络接入控制合同,重要目的是为理解决无线顾客的接入认证问题。对于基于802.11系列原则的无线局域网，通过对无线顾客的身份验证，无线网络能够打开或关闭无线终端接入的接口，同时还能够根据其身份属性，为其分派动态角色和VLAN，确保顾客终端接入的安全性。访客二维码认证锐捷网络提出了更为先进的访客接待解决方案——二维码认证。访客使用移动智能终端访问无线网络后，锐捷网络的认证系统将生成专用的二维码推送到访客的终端上.负责接待的员工使用自己的已认证通过的正当终端对访客的二维码进行扫描并自动反馈到认证系统。认证系统统计下访客和对应接待者的身份信息并确认临时开户，访客和接待者收到反馈后即可直接访问网络。仅需“扫一扫”就可便捷的为访客提供无线网络服务，这是无线认证技术为提供顾客体验的又一次创新.顾客短信自助注册认证在公共区域经常会提供免费的WLAN，但这又需要考虑接入顾客及终端的安全，并实现可追溯。锐捷网络专门为这种顾客场景推出了顾客短信自助注册的认证方式.顾客使用移动智能终端连接公共区域启动顾客短信自助认证功效的WLAN后,该WLAN会在顾客进行HTTP访问后推送出一种WEBPortal页面,页面上会需要顾客输入自己的手机号码作为顾客名，认证系统获取到该信息后通过短信网关向该手机发送随机登陆密码并设上一定的失效时间，顾客最后在认证页面上输入手机短信上的密码即可完毕接入认证，并可进行无线网络访问.一种短信，即可便捷与安全的实现顾客自助注册认证。无线安全技术设计锐捷网络基于“接入安全”的理念，将无线网络认证过程下移到离客户端近来的网络边界处,通过启用WEB认证模式，当顾客在接入无线网络的时候,锐捷网络无线控制通过portal的方式将认证页面推送到客户端，然后将顾客认证所需要的顾客名和密码上传到无线控制器，获取学生有关的认证信息，如果认证通过，完毕认证过程。虚拟无线分组技术通过虚拟无线接入点（VirtualAP）技术，整机可最大提供16个ESSID，支持16个802。1QVLAN，网管人员能够对使用相似SSID的子网或VLAN单独实施加密和隔离，并可针对每个SSID配备单独的认证方式、加密机制等。原则CAPWAP加密隧道确保传输安全锐捷网络无线AP接入点与锐捷网络无线控制器以国际原则的CAPWAP加密隧道模式通信,确保了数据传输过程中的内容安全。射频安全在锐捷网络一体化网管系统RG-SNC、RG—WS系列无线控制器产品的配合下,AP可启用射频探针扫描机制，实时发现非法接入点、或其它射频干扰源,并提供对应的告警，使网管人员可随时监控各个无线环境中的潜在威胁和使用状况。ARP欺骗的防护ARP检测功效有效遏制了网络中日益泛滥的ARP网关欺骗和ARP主机欺骗的现象,保障了顾客的正常上网.无论在动态分派IP环境下,还是静态分派IP环境下,均可实现自动绑定工作，大大的节省了人力成本，减少了管理开销。而配合ARP速率监控控制ARP报文发送的速率，避免恶意运用扫描工具进行ARP泛洪占据网络带宽，造成网络拥塞的攻击行为。DHCP安全支持DHCPsnooping，只允许信任端口的DHCP响应，避免未经管理员许可私自架设DHCPServer，扰乱IP地址的分派和管理,影响顾客的正常上网的行为；并在DHCP监听的基础上，通过动态监测ARP和检查源IP,有效防备DHCP动态分派IP环境下的ARP主机欺骗和源IP地址的欺骗。锐捷无线方案特点和优势X-speed大幅提高干扰环境下的顾客体验在大型会场、机场、车站等多顾客的场景下,为了提供WLAN服务，不得不在同一区域内布署多台AP，甚至多家运行商会布署多套无线设备，设备间的同频干扰加剧，无线数据竞争发送时冲突增多,并且部分低速顾客大量占用无线链路进行数据传输，无线网络的实际吞吐性能大幅下降,顾客体验极差.而锐捷网络在有效实现上述优化办法的前提下,又创新的推出了X-speed加速技术，它重要有两大功效特点：自适应优先级启动X-speed技术的AP能够快速感知Radio上下行流量的差别，实现自适应优先级控制，自动调节Radio和Client的EDCA参数，在多厂商AP的环境下，极大的提高了AP的下行发包能力和抗干扰能力，相比于环境下其它AP的无线顾客，接入我司AP的无线顾客终端能够获得更高的数据传输性能。公平调度X—speed技术的另一大功效就是公平调度，它重要根据终端流量的实时信息，预测终端流量，然后计算并调节AP和终端的空口带宽，然后运用令牌桶原理进行流量整线来实现无线空口资源的公平占用。这就为802.11g、802.11n等不同类型的终端提供相似的访问时间，极大的解决了因终端无线网卡破旧或终端离AP较远而造成顾客无线上网延时大、速度慢、AP整机性能低下的问题，有效的提高了低速终端的性能，确保顾客无论使用何种类型的终端，都将在相似的位置上获得同样良好的无线上网体验。业务流量全方面分流的本地转发架构锐捷网络推出的本地转发架构，从架构上解决了无线控制器的流量瓶颈问题。本地转发架构即AP上行到无线控制器的数据无需通过控制器，而直接在接入交换机上进行转发。通过无线控制器的配合，可灵活预配备AP产品的数据转发模式，或直接进入有线网络进行数据交换。本地转发技术能够将延迟敏感、传输规定实时性高的数据分类通过有线网络转发,能够大大缓和无线控制器的流量压力,更加好的适应802。11n、甚至是802.11ac网络高流量传输的规定. 基于顾客、流量、频段的智能负载均衡锐捷网络基于对802.11原则和客户需求的进一步理解，创新地提出了智能负载均衡专利技术,能够精确有效地在WLAN网络中平衡顾客的负载，充足地确保每个无线顾客的性能和带宽.重要的技术特点以下：基于集中式无线架构每个AP通过CAPWAP合同建立与AC间的控制和数据隧道，智能负载均衡算法在AC侧进行集中控制。集中控制的办法，能够让AC实时完整地理解每个AP现在的负荷，从而对网络中的负载进行有效均衡。频谱导航技术（BandSelect）AP支持检测客户端与否自带双频网卡，如果是，AP会回绝客户端连接2.4G一定次数，优先将客户端接入5.8G，再计算现在2.4G和5.8G接入顾客数量差别，当超出一定差别时,启动频段间负载均衡，避免5.8G和2。4G接入顾客数量差别过大.随着双频终端越来越多，除了传统的迅驰笔记本外，iPad2、NewiPad、iPhone5都已经使用双频网卡，频谱导航技术能够讲负载引导到较少人使用,较少干扰的5GHz频段上,大幅度减少2。4GHz压力，提高AP使用效率。支持基于顾客会话数、流量、顾客数的负载均衡算法普通地，许多厂商只支持基于顾客会话数的负载均衡.锐捷网络的智能负载均衡技术能够让顾客灵活地选择基于顾客会话数、顾客数或流量的负载均衡，满足顾客不同的WLAN应用需求。顾客还能够灵活地选择与否使能负载均衡。智能地隐藏高负载AP当某些AP的负载过高时，通过锐捷网络的智能负载均衡技术能够维持已存在的无线顾客会话，而把这些AP对新的接入顾客进行隐藏，从而让新的接入顾客只能够发现和接入到负载较小的AP上。这样能够平滑地进行负载均衡控制，而又能够确保顾客快速地接入到网络中.灵活便捷的访客系统锐捷网络将最前沿的移动互联网应用和精细化的顾客管理系统进行深度融合，创新的使用二维码访客接待系统和顾客短信自助认证系统，为访客高效快捷的提供了安全的无线网络服务.二维码认证访客使用移动智能终端访问无线网络后，锐捷网络的认证系统将生成专用的二维码推送到访客的终端上。负责接待的员工使用自己的已认证通过的正当终端对访客的二维码进行扫描并自动反馈到认证系统.认证系统统计下访客和对应接待者的身份信息并确认临时开户，访客和接待者收到反馈后即可直接访问网络。短信自助认证顾客使用移动智能终端连接公共区域启动顾客短信自助认证功效的WLAN后，该WLAN会在顾客进行HTTP访问后推送出一种WEBPortal页面，页面上会需要顾客输入自己的手机号码作为顾客名，认证系统获取到该信息后通过短信网关向该手机发送随机登陆密码并设上一定的失效时间，顾客最后在认证页面上输入手机短信上的密码即可完毕接入认证，并可进行无线网络访问。仅需“扫一扫"或者一种短信，就可便捷的为访客提供无线网络服务，这是锐捷网络为提高顾客体验的又一次创新。逐级进一