XX学院智慧网络建设无线网络建设方案.docx
《XX学院智慧网络建设无线网络建设方案.docx》由会员分享，可在线阅读，更多相关《XX学院智慧网络建设无线网络建设方案.docx（26页珍藏版）》请在冰豆网上搜索。
XX学院智慧网络建设无线网络建设方案
XX学院智慧网络建设无线网络建设方案
1.1.1无线网络先进性设计
1.1.1.1无线网络设计原则
XX技术学院无线网络的建设目标是实现全校区主要场所的无线网络全面覆盖，为满足智能终端用户无线上网、无线业务开展构建一个真正可用的无线网络。
总体要求：
一、高信号质量：
保证用户环境下房间内各个角落的无线信号强度>-70dBm，注重满足应用及终端使用需求；
二、高数据传输性能：
支持的802.11AC标准并满足高密度用户的无线接入需求，提供高数据传输速率；
低干扰：
确保同一房间内同频干扰信号强度<-75dBm，提高整网吞吐性能，构建真正可用的无线网络；
三、多WLAN并存：
合理的信道规划部署，实现多WLAN网络在同一用户场景的共存。
；
四、美观易管理：
无线网络结构简单，需要管理的设备数量少，管理维护简单方便，整个无线部署不影响用户环境的美观度；
针对高安全性的数据建议采用集中式的转发，此外，无线AC的部署方式，也需要在实施前认真规划：
1）AC与校园网核心交换机互连，无线用户的网关在AC上，由AC与核心交换机通过路由，转发无线数据。
2）本次无线校园网建设，建议采用多SSID分别覆盖的方式，老师和学生可以选择接入不同的SSID
1.1.1.2无线AP漫游设计
无线校园网需要支持未来的高速漫游、智能漫游的需要，可以满足低延迟的视频、语音等业务的需要，也可以满足随时定制接入用户的应用范围等管理上的需要。
无线校园网高速漫游解决方案支持同一AC下AP之间快速漫游，保证无线客户端在一个子网内部，从一个AP的覆盖范围移动到另一个AP的覆盖范围时，通信不中断，用户无需重新登录和认证。
无线校园网智能漫游解决方案支持系统灵活定义用户的漫游范围，可以根据用户的身份和级别划定其可以漫游，连接无线网络的区域，为访客、或学生、老师等定义不同的无线接入区域，例如，可以定义学生不能在主楼办公区接入无线，可以在教学区接入无线，可以在宿舍区接入无线等。
访客只能在主楼的会议室接入无线等等灵活的管理策略。
1.1.1.3无线AP供电设计
由于本次无线网中AP设备数量较多，无线AP供电的面临巨大的挑战。
对于无线AP的供电一般采用三种方式：
1）本地电源供电:
采用AP自带的直流适配器供电，对于高校无线校园网的环境，AP布放位置根据实际覆盖效果而调整，AP供电在已建设完成的建筑物上较难进行本地供电。
不能保障AP附近都会有电源，同时对电源的管理也是一个严重的问题；由于电源在吊顶内，工作环境恶劣，由于温度过高引起的电源短路等严重的安全隐患。
所以本地电源供电适合于AP数量不多，只适合局部无线部署使用，而且以室内部署为主，电源供给方便的环境。
2）POE交换机供电:
传统的802.11a、b/g的AP采用802.3af标准，15W，802.11ac的AP需要提供802.3at标准，24W。
采用兼容802.2af供电方式的802.11ac的AP既可采用原有的POE交换机等设备，也能够采用POE+交换机。
在高密度的无线AP的覆盖场景下，建议采用POE交换机供电方式，选用支持802.3af兼容AP。
采用低功耗的802.11acAP，兼容802.2af，节省投资；低碳、节能、绿色环保；
3）POE供电适配器的方式:
在AP数量不多场景下，如果采用POE交换机供电，会有浪费，增加了用户的成本，同时，无线和有线一般是同时部署的。
在有线接入交换机的接口有剩余的情况下，采用外接POE供电适配器的方式，将能充分利用现有的有线交换机，不用再增加专用的POE交换机，而极大地节省了用户的投资。
POE供电适配器，适合于无线AP节点数量不多的场所。
1.1.2无线覆盖方案
基于场景无线覆盖规划
WLAN建设场景分为行政、教学、办公区域、宿舍区域、室外覆盖区域：
此次无线网络覆盖场景主要分为以下类型：
1.1.2.1教学楼、办公楼及图书馆等大开间环境下的无线部署
针对教学楼，由于教室一般面积较大，内部宽敞无阻挡，房间多采用木门，且在走廊侧会有大型玻璃窗体。
又由于该区域主要用户为上课教师或部分自习的学生，主要业务就是浏览网页查找资料，对网络质量要求相对不是很高。
因此，可以在该区域采用稀疏的放装式部署方案：
将AP放在走廊里，覆盖走廊两侧的房间，一个AP可覆盖直径20-30米。
此次项目中无线采用的是RG-AP520-I锐捷网络的新一代AP，搭载全新自主研发的X-sense灵动天线。
该天线也属于智能天线的一种，它综合了交换波束天线和自适应阵列天线的优点，在对于简单环境下的用户接入，使用近似于交换波束的天线选择方式去完成用户快速高性能接入，而在复杂和干扰环境下，又能够通过强大的软件算法，控制多天线的组合来达到更好的效果，同时锐捷的智能天线技术还增加了对移动终端无线接入的识别和优化，这些都是锐捷网络在AP智能天线技术上巨大创新，所以，锐捷网络的X-sense也被称为会思考的的灵动天线。
X-sense灵动天线
•65536种天线路径选择，覆盖无死角
业界创新研发的X-sense灵动天线矩阵架构，能够动态选择不同的天线组合，支持最高多达65536种组合方案，彻底解决传统天线存在覆盖盲区的弱点。
无论在任何角落，X-sense都能定制出一条最适合移动智能终端当前位置的天线天线路径，真正实现全面覆盖，绝无死角。
•
信号覆盖对比
•全自动调节，让信号随你而“动”
无论终端如何移动，都有最佳的信号路径跟随，这是X-sense灵动天线技术带来的革命性改变。
无需人工干预，X-sense凭借其强大的运算性能，可以在1毫秒内完成300次指向终端的信号路径切换，即便在快速奔跑状态下也能保证时刻都有最佳的信号与终端同“行”。
•X-sense信号追踪示意图
•功率不变，却有3倍的信号提升
X-sense能够精确计算终端的位置，并通过动态组合的天线模式，针对每个终端位置来提升不同的信号强度，最大可以提升到普通AP的3倍，这使得覆盖范围内无论远近的各个点都能接收最佳信号。
而且完全不用担心由此带来的辐射增加，因为增强的信号强度都全部被用来抵消传输路径和穿透墙壁的损耗，AP的发射功率都是完全符合国家标准。
•X-sense信号强度提升
•终端接入优化设计，更适合手机和平板电脑用户
当移动智能终端接入无线网络时，X-sense会快速、准确的识别到终端的类型，如果是使用功率较低的手机、平板电脑等移动终端时，X-sense能够通过动态信号补偿技术，针对移动终端提升接收灵敏度、增加重传，保证所有的终端都能获得最优的接入效果。
•X-sense针对不同终端的补偿示意
•干扰降低30%，部署更轻松
干扰是无线网络的最大难题，特别是当在狭小的空间部署大量AP时，干扰影响会尤为明显，X-sense根据使用者位置自动调整无线信号的输出方向，当受到干扰时，能够自适应选择更优的路径避开干扰，这项技术经测试可以将干扰的影响有效降低30%以上！
•干扰对比图
1.1.2.2宿舍楼等密集环境下的无线部署
宿舍区域的房间比较密集墙壁较厚而且靠近走廊侧没有窗户。
对于无线信号的穿透有着一定的影响。
因为对于无线部署提出了较高的要求，不仅要同时满足良好覆盖和性能需求并解决干扰问题。
如果采用AP放装部署在走廊，无线信号辐射进宿舍对宿舍单边分布的建筑结构覆盖3～4个房间的这种部署方式，容易产生无线覆盖的盲区和AP的干扰问题，最终导致无线使用效果极差。
本次方案中对于学校的学生宿舍的无线部署采用了智分+部署方案，通过采用面板式的微AP进行无线信号覆盖，同时为每个房间提供有线接口，用户可以根据自己的需求自由选择有线接入或者无线接入，从而保障用户最佳的上网体验，由于每房间均部署了一台微AP，使得性能不再成为瓶颈。
由于采用AP入室的部署方式，解决了传统AP在室外放装部署穿墙覆盖室内带来的信号衰减严重、同频干扰大的问题，特别是有铁门无窗户的宿舍网环境。
智分+方案通过微AP入室的部署方式，每AP负责一个房间的信号覆盖，在实地部署和测试中，每个房间的信号可达到-65db以上，保证了房间内无线信号满格。
1.1.2.3校园室外公共区域无线部署
考虑到校园室外公共区域空间较大并且存在一些障碍物，可以采用室外型接入点RG-AP630，双路均具备500mW双向功率放大能力，可根据不同的室外环境和覆盖需求，配合相应的外接天线，带来饱满的信号覆盖体验，可完全保障信号在室内和户外的传输。
室外区域分布有较高、密集的建筑群和植物群，这对于信号的阻挡将是较大的障碍。
因此，应当选用专用的室外大功率无线AP产品，配置使用定向天线，可以保证无障碍下的300米半径覆盖以及近距离的多重障碍物的穿透能力，完全保证了室外区域的信号覆盖品质，同时设备本省具备抗雷击、防雨、防潮、抗高低温、阻燃等多项指标，无线室外覆盖，建议部署在小区内的制高点上，同时采用定向天线向进行无线覆盖。
室外AP
1.1.3无线多SSID设计
为了满足多家运营商接入需求，避免多运营商单独建网导致的无线信道冲突、用户无线有效带宽降低等情况，在校园无线承载网上采用多接入设计思路，通过多SSID设计来实现。
无线用户根据自身的连接需求分别通过不同的SSID接入不同的网络。
AC根据SSID的不同，将用户划分入不同的VLAN，最终实现不同的用户通过不同的SSID接入校园网，不同VLAN之间互不干扰。
不同SSID可根据需要采用集中转发或者本地转发模式，满足业务开展与认证管理的需要。
1.1.4无线接入认证设计
1.1.4.1终端智能识别的WEB认证
无线网络在提供便捷网络服务的同时，仍需确保只有合法的用户才能使用无线网络。
WEB认证就是一种对用户访问网络的权限进行控制的身份认证方法，这种认证方法不需要用户安装专用的客户端认证软件，使用普通的浏览器软件就可以进行身份认证，是目前无线主流的认证方式之一。
而且随着近年来iPhone、iPad、Android、WindowsPhone等各种智能能移动终端的日益普及，网络中不再是清一色的笔记本电脑终端。
一个智能的无线网络，必须能够考虑到不同的终端类型、屏幕尺寸对Portal认证页面的不同要求，实时地对各种终端类型进行识别，并推送符合终端屏幕尺寸的WEBPortal页面，使用户能够更为便捷的输入用户名及密码，提升无线用户体验。
锐捷网络的无线控制器不仅支持终端自动识别功能和WEBPortal页面推送，而且推送的认证页面还可以根据用户自定义放置一些广告、通知、业务链接等，提供更多个性化服务。
自适应认证页面
1.1.4.2基于802.1X的无感知认证
IEEE802.1X协议是一种基于端口的网络接入控制协议，主要目的是为了解决无线用户的接入认证问题。
对于基于802.11系列标准的无线局域网，通过对无线用户的身份验证，无线网络可以打开或关闭无线终端接入的接口，同时还可以根据其身份属性，为其分配动态角色和VLAN，确保用户终端接入的安全性。
在安全性上，WEBPortal认证不提供密钥的生成和交换机制，因此所有的用户流量都是以明文方式传输的，容易被截获和侦听；802.1X（WPA2-AES）符合802.11i安全标准，在用户认证的基础上，对每个报文采用不同的密钥进行逐包加密，具有更高的安全性。
在便捷性上，WEBPortal认证直接通过浏览器输入用户名及密码，整个操作过程较为简单快捷；普通的802.1X认证一般需要安装认证客户端或对操作系统原生认证客户端进行配置等，操作过程较为复杂，用户体验相对较差。
为了保证无线用户接入同时具有较高安全性和便捷性，锐捷网络在BYOD（Bringyourowndevice）解决方案中提出了基于802.1X的无感知认证技术，用户只需要在第一次认证中安装一个快速1X配置助手，并完成首次用户名及密码的输入，以后无线终端只要发现无线信号，就会自动进行802.1X的接入认证并连接无线网络，真正实现“一次登陆，三步操作，后续无忧”，带给用户最佳的使用体验。
1.1.4.3二维码认证
对于校园内的一些开放区域在学校举行一些活动时需要对校外访客进行临时无线网络开放，于是这些访客人员的无线网络使用时的认证又该如何管理才能有确保接入的安全性和使用的便捷性，成为学校网络管理人员需要解决的问题。
极简方案支持通过锐捷网络无线与RG-SAM的访客管理功能实现二维码认证和短信注册认证来解决以上问题。
让访客更安全，易用，给信息中心价值呈现带来帮助。
担保人按照自己的临时账号开通级别申请一个二维码，然后可以提供给访客使用。
每个临时账号都会与担保人关联，以后可以提供相关统计或审计功能，管理员可以掌握每一个临时账号是由那个担保人开通。
每一个二维码都是有时效的，超过时效后对应的在线用户被强制下线，同时预销户对应的所有临时账号。
方便网络管理人员对于临时账号的管理工作。
高校访客二维码，访客只需要拿出手机扫一下二维码就可以体验上网了，提高访客入网体验。
之授权二维码使用流程：
a.管理员设置担保人级别（可接待用户数），
b.担保人自助生成二维码，并将二维码打印出来，
c.访客拿自己的手机扫描二维码上网。
访客的上网行为和担保人关联，安全性高。
可设置担保人一对一接待/一对多接待方案。
适用于小规模接待
之公共二维码使用流程：
a.管理员设置公共账号，生成二维码，并打印出来，
b.访客拿自己的移动终端上网扫描认证上网。
共享同一账号，适合大规模方案来上网，且对安全可控要求不高的场景。
另外还有一种方式就是采用短信注册认证的方式针对访客用户数量较大的场景，比如学校举行大型的学术或庆典活动。
用户在认证页面上通过手机号自主注册网络账号进行网络认证。
以上访客方案极简网络均可以提供。
1.1.5无线安全技术设计
通常情况下，安全认证工作由网关类设备完成，对于XX技术学院部署的无线网络，作为校园网的一部分，必须确保接入的网络用户的合法性。
由于无线信号的公开性，采取传统的网关认证的模式，将所有的认证数据集中在网关设备进行，只能限制学生访问数据经过认证网关的情况，而对于不经过认证网关的校内网访问无法起到有效的阻止作用。
1）学生数据加密安全
AP通过WEP、TKIP和AES加密技术，为接入学生提供完整的数据安全保障机制，确保无线网络的数据传输安全。
2）虚拟无线分组技术
通过虚拟无线接入点（VirtualAP）技术，整机可最大提供16个ESSID，支持16个802.1QVLAN，网管人员可以对使用相同SSID的子网或VLAN单独实施加密和隔离，并可针对每个SSID配置单独的认证方式、加密机制等。
3）标准CAPWAP加密隧道确保传输安全
无线AP接入点与无线控制器以国际标准的CAPWAP加密隧道模式通信，确保了数据传输过程中的内容安全。
4）射频安全
在一体化网管系统、RG-WS系列无线控制器产品的配合下，智分型AP可启用射频探针扫描机制，实时发现非法接入点、或其它射频干扰源，并提供相应的告警，使网管人员可随时监控各个无线环境中的潜在威胁和使用状况。
5）ARP欺骗的防护
ARP检测功能有效遏制了网络中日益泛滥的ARP网关欺骗和ARP主机欺骗的现象，保障了学生的正常上网。
无论在动态分配IP环境下，还是静态分配IP环境下，均可实现自动绑定工作，大大的节省了人力成本，降低了管理开销。
而配合ARP速率监控控制ARP报文发送的速率，防止恶意利用扫描工具进行ARP泛洪占据网络带宽，导致网络拥塞的攻击行为。
6）DHCP安全
支持DHCPsnooping，只允许信任端口的DHCP响应，防止未经管理员许可私自架设DHCPServer，扰乱IP地址的分配和管理，影响学生的正常上网的行为；并在DHCP监听的基础上，通过动态监测ARP和检查源IP，有效防范DHCP动态分配IP环境下的ARP主机欺骗和源IP地址的欺骗。
1.1.6无线QOS设计
802.11的WLAN网络为用户提供了公平竞争无线资源的无线接入服务，但不同的应用需求对于网络的要求是不同的，而原始802.11网络并没有提供区分业务优先级的机制，不能为不同应用提供不同质量的接入服务。
当网络发生流量拥塞时，需要优先处理的业务报文（例如语音报文）和普通报文（例如浏览网页的报文）会按相同的概率被丢弃。
这和有线网络相对完善的QOS机制无法很好的衔接，已经不能满足实际应用的需要。
WLANQOS能针对各种不同需求，提供不同的网络服务质量。
对实时性及可靠性要求高的数据报文提供更好的服务质量，并进行优先处理；而对于实时性不强的普通数据报文，则提供较低的处理优先级。
802.11e只实现了无线空口的业务优先级区分、高优先级业务优先保障带宽，没能解决如何在全网实现端到端的QoS问题。
锐捷无线控制器（AC）+FITAP的端到端QoS解决方案不仅解决了无线接入点和无线用户直接在无线介质上的QoS，而且还通过将无线用户的优先级映射与无线控制器－FITAP间的CAPWAP隧道优先级，结合有线网络QoS机制进而实现了全网的端到端QoS。
IEEE802.11协议规定采用的DCF（DistributedCoordinationFunction，分布式协调功能）调度模式是基于CSMA/CA（CarrierSenseMultipleAccesswithCollisionAvoidance，载波监听/冲突避免）原理，使得所有终端用户获取到信道的机会是均等的。
IEEE802.11e为基于802.11协议的WLAN体系添加了QoS特性，这个协议的标准化时间很长，在这个过程中，Wi-Fi组织为了保证不同WLAN厂商提供QoS的设备之间可以互通，定义了WMM（Wi-FiMultimedia，Wi-Fi多媒体）标准。
WMM标准使WLAN网络具备了提供QoS服务的能力。
WMM通过将数据报文划分为4个接入分类（AC）队列，高优先级AC占用信道的机会高于低优先级AC，从而能针对每类报文提供不同级别的服务。
无线数据流分队列
为了使有限的网络资源能够更好地发挥效用，更好地为更多的用户服务，设备需要支持流量限速功能。
当数据流量符合承诺速率时，允许数据包通过；数据流量不符合承诺速率时，丢弃数据包。
评估流量的参数如下：
平均速率（average-data-rate）
即允许的流的平均速度，也叫承诺信息速率。
突发速率（burst-data-rate）
即每次突发所允许的最大的流量，也叫承诺突发尺寸。
设置的突发尺寸必须大于最大报文长度。
为了保证端到端的QOS，锐捷无线网络提供了无线QOS到有线QOS以及有线QOS到无线QOS的映射关系，进而实现了全网的端到端QoS。
锐捷网络无线产品支持多种服务质量QOS，支持802.11e中的EDCF优先级，支持以太网口支持802.1p识别和标记。
支持优先级队列及映射、流量限制、流分类。
并且能够对QOS策略映射不同SSID/VLAN。
无线QOS映射
1.1.7无线覆盖指标要求
1.1.7.1无线覆盖信号
覆盖区域信号强度不低于-75dBm，信噪比SNR≥20。
业务使用较为集中区域的接入速率应不低于140Mbps。
室内分布系统天线的等效全向辐射功率≥7dBm。
室外分布系统天线、独立WLAN天线的等效全向辐射功率≥22dBm。
室外覆盖方式时，WLAN无线信号一般按穿透一堵墙设计。
1.1.7.2工作频段与频点规划
依照WLAN的国际规范和国际无线电管理委员会的标准，WLAN无线设备的工作频段为2400-2483.5MHz，带宽83.5MHz，划分为14个子信道，每个子频道带宽为22MHz,最多有13个信道可用。
频道分配如下图所示：
无线频段
在多个频道同时工作的情况下，为保证频道之间不互相干扰，要求两个频道的中心频率间隔不能低于25MHz。
考虑参照北美标准设计的许多WLAN设备和终端（比如网卡）不能使用12、13信道做为学生信道，因此建议一般选用1/6/11信道。
部署双频点的无线接入点，802.11n同时工作在2.4GHz和5GHz频点；
Ø5GHz：
更多的频谱资源-数量较多的不冲突频点，更少的干扰（蓝牙、微波炉），从40MHz信道绑定获得最高的性能，很多802.11n的客户端只有在5GHz频段上支持40MHz；
Ø2.4GHz：
采用2.4GHz频点，兼容原有的802.11a、b/g的客户端；不建议在2.4GHz频点使用40MHz信道绑定，大部分客户端不支持；避免了802.11a、b/g与802.11n混用，降低性能。
通过对XX技术学院初步勘测，发现目前楼宇内已经部署移动和电信的无线信号，故在本次无线项目实施过程中，将根据目前发现楼宇内存在的无线信号所使用的频段，进行灵活调配，将无线信号干扰降到最低。
1.1.7.3覆盖效果计算
AP的信号总强度公式：
Gt－Gr＋AP天线增益＋终端天线增益＝L信号总强度（dB）。
AP部署空旷区域，20-25米远，笔记本无线接入
计算（基于dBm）
无线AP发射功率
100mW发射功率（高调制速率时发射功率会下降2－5db）
20
增项
室内定向发射天线增益12dBi
12
笔记本天线增益2dBi
2
减项
参考平均3米7D馈线损耗；
-10
一般情况：
由于天线不对正，不再主波瓣情况的调整
-5
2.4G/5.8G空间传播20米
-66/-74
（2.4G10米60dB，5.8G10米68dB，每1倍变化差6dB）
各种衰落/波动影响（室内、市区<15dB）
-15
根据较坏情况
接受电平RSSI＝发射功率＋增项＋减项－（－95dBm）
33/25
计算的RSSI
RSSI为20以上可以实现满速率，RSSI为16是较好，RSSI为13是可以连接的，RSSI在5－10连接很不稳定
信号质量好可以达到满速率
1.1.8无线方案特色
1.1.8.1无线降噪技术带来的体验提升
传统Web认证场景中,是由交换机将所有http报文全部重定向到服务器，很多无线终端搜索到无线信号号即会产生关联，根据经验这个比率大概有1/4用户规模。
2.终端或PC上存在众多软件，例如迅雷/QQ等会持续发出HTTP连接，并可能不断重试。
这样迅雷等下载软件，QQ等社交程序也会被重定向，并进行WEB认证跳转，大量非认证HTTP发送给NAS和Portal，导致NAS和Portal处理性能受到影响。
当Portal的处理性能不足以处理大量并发HTTP连接（通常性能在百/S的处理级别），会导致Portal服务器崩溃或弹出WEB页面慢。
这样就导致服务器大量的WEB认证处理资源被浪费，最终无法为正常的认证用户提供服务。
N18K采用锐捷独有的HTTPWEB降噪功能+32核CPU的高性能主控处理，通过对迅雷/QQ等软件发送的HTTP报文进行识别，N18K特有抑制功能将不再发送给PORTAL服务器，保障Portal服务平稳运行。
这里我们利用了非页面访问无法解析http脚本文件的特性，避免服务器收到非页面访问的http报文，实现对服务器的降噪功能。
分布式过滤技术：
Newton交换机提供采用32核CPU的管理板通过多核的并发处理，首先在控制面上使我们对这类噪声的处理能力大大加强。
同时在转发面采用了分布式过滤技术，阶段放行的抗攻击手段，分布式过滤技术即在线卡上可以识别出哪些http报文是需要马上处理，哪些http报文可以暂时丢弃；
阶段放行技术:
记录来自同一个终端的http报文存在的时间，例如：
对于已经存在30s以上的报文，并且有其他新终端来的http连接，且整体已经处于饱和状态，这时就会暂时丢弃已经长期存在的http报文，并将所有存活超过30s以上的报文采用FIFO方式排序，在系统无新终端的http报文需要处理，或者处于非饱和状态时
升级会员 