企业无线办公方案建议书.docx

1、企业无线办公方案建议书XXX企业无线办公方案建议书深信服科技有限公司xxxx年xx月1、概述1.1 公司介绍深信服公司成立于2000年，是中国最大的应用层网络设备供应商，致力于提供基于网络应用层的产品及解决方案。目前，全球有超过21,000家用户正在使用深信服的产品。在中国入选世界500强的企业中，有85%以上的企业都是深信服的用户。截止2013年3月，深信服在全球共设有49个直属分支机构，分布在全球8个国家和地区，并拥有超过1400名员工。作为中国应用层网络市场的领导者，深信服持续每年将总营收的15%投入到研发，并在深圳和北京设有研发中心。截至2013年12月，深信服共申请超过100项发明专

2、利。同时，深信服还是IPSec VPN和SSL VPN两项国家标准的主要承建单位。深信服每年保持着50%以上的增长率，被评定为“国家规划布局内重点软件企业”，连续八年入选德勤“亚太地区高科技高成长500强”，连续两届荣获财富“卓越雇主中国最适宜工作的公司”。 创立时间：2000年 员工数：1400人 客户数：21,000家 年增长率：超过50% 专利数：申请超过100项1.2 企业WLAN现状分析企业随着业务规模的不断扩大，对企业提高运营效率的要求也不断提升，随着WIFI技术的不断发展，使其能更加稳定高效的承载企业应用。很多企业在有线网络的基础上扩展无线网络来进行日常业务的开展，甚至很大一部分

3、企业在新建办公场所时，考虑建设的成本和传统网络的繁琐，也希望可以通过WIFI接入技术实现他们的目的。事实上，无线应用已经深入到企业当中，除了日常办公之外，很多应用也正依赖于无线技术，比如访客服务，会议室，工厂车间，智能仓库等等。在智能终端普及的这个背景下，对于企业而言，BYOD、移动办公的需求也提上日程，WIFI作为必不可少的接入手段，需求也进一步扩大。1.3 项目介绍（客户背景介绍，IT现状，项目概述.）1.4企业WLAN需求分析随着智能移动终端的增加，企业BYOD的普及，高质量的WLAN已经成为一个成功企业必不可少选项。而在具体的应用过程中酒店WLAN包含以下具体的需求：1.4.1高速的无

4、线业务网络随着XXX企业的不断发展，对于无线网络的要求也越来也高，公司邮件、财务、办公软件的高效使用都需要快速的无线网络支撑。1.4.2随时随地的BYOD信息技术高速发展，企业BYOD处于大势所趋，要实现企业内部任何时间、任何地点都能实现BYOD，这就必须保证无线信号的无缝覆盖、快速漫游，而且信号质量高。对于多种接入终端，多个接入地点保证良好的一体化兼容、控制、管理。1.4.3安全、便于管控的访客网络作为一个成功、开放的企业，经常会有领导、客户、合作伙伴的接待工作。在网络发达的今天，访客往往会要求使用网络。对于企业来说，开放内部网络会面临企业信息安全的问题，同时如何开放、如何管理访客接入网络也

5、是一件非常头疼的事情。所以企业WLAN需要一个安全、便于管控的访客网络系统。1.4.4仓储物流无线覆盖企业内部的仓储物流随着信息化的发展也在逐步改革，提高效率。而通过无线的全覆盖，实现wifi终端的实施扫描，信息实施传输，能极大的提高工作效率，更能杜绝纰漏和舞弊。1.4.5企业生产车间MES系统无线覆通过无线扫描枪、RFID和基于标准的WLAN网络技术将生产的每一道工序实时地记录到后台数据库，通过对数据库的分析和挖掘可以优化生产流程提高生产效率，移动防错减少甚至避免质量问题，出现问题可追溯，提高用户满意度。另外生产线经常变动，如果通过有线覆盖，将来布线改动将非常麻烦，无线覆盖将会解决此类问题1

6、.5 企业WLAN当前面临的挑战（拓扑图）1.5.1组织结构复杂，权限难于控制随着企业的发展壮大，职位分工更加明确，部门的职责也更加细化。部门精细化的同时权限也必须精细化控制，各个部门、职位拥有责任内的不同权限。如何保障公司机密不外泄，越权事故不发生是一件非常困难的事情。1.5.2终端、应用类型多,不易管理BYOD的不断发展，终端类型多种多样，员工自带手机、平板、笔记本接入企业无线网络，对于企业而言，管控难度也加大。如果员工通过手机终端连接上WiFi，在上班刷微博，聊陌陌，炒股等与工作无关的活动，工作效率低下。公司想要禁止员工手机接入无线网络，仅仅允许电脑接入办公，另外对于移动笔记本禁止炒股、

7、P2P等非法应用。1.5.3OA、邮件等办公系统带宽被大量抢占在一定的无线带宽情况下，员工运行大量的P2P下载，视频浏览等高耗带宽的应用，严重抢占正常的OA、邮件等办公系统，造成无线带宽的不合理理由，无线办公效率低下。1.5.4访客网络无法安全、有效管控对于众多的访客，接入终端多种多样，终端的安全性也有高有低。如果让他们接入内网，外网会对企业信息安全造成影响。如果给访客单独的物理网络，如果访客在企业发表非法言论，产生一些非法事件，企业无法责任溯源，定位责任人。所以企业访客网络管理难度非常大。1.5.5攻击手段多样，内网安全有威胁不同于有线网络基于物理端口进行安全防御，无线信号因其自身特点，覆盖

8、区域内的任何人员都能看到无线信号，对企业而言，IT资源就是资产，难免会存在一定盗用账号、非法接入的安全威胁。1.5.6空中垃圾多，无线接入稳定性得不到保证WiFi网络大多使用的2.4GHz频段，众所周知，2.4GHz频段是开放频段，工作在这个频段的设备很多，比如：微波炉、蓝牙、无线座机、外来AP、监控摄像头等等，会对WiFi设备进行大量的干扰。除此以外，2.4GHz相互不干扰的信道只有1、6、11，当部署区域被运营商的AP给占用以后，可用信道就不多了。在这种情况下，干扰会造成丢包和延迟，实际传输速率往往得不到保证。1.5.7无线运营能力弱 现在的企业无线WIFI建设基本停留在网络连通的阶段，无

9、线建设往往只在于提供能够使用的无线网络，而怎样利用企业WLAN平台来进行广告宣传、提升公司形象还是一个需要解决的问题。2、方案设计根据xxx公司的无线网络需求和无线网络设计原则，结合Sangfor无线系统技术和产品的特点，方案设计如下：2.1 AP布放设计根据现场实际勘测、信号测试情况，无线网络采取蜂窝式部署方式。AP安装在走廊/墙壁上。区域一放置XX个AP负责覆盖XXX区域二放置XX个AP负责覆盖XXX区域三放置XX个AP负责覆盖XXX设备清单及位置统计如下：序号设备类型设备品牌设备型号放置区域设备数量合计1无线接入点AP深信服区域1区域2区域3区域4区域52无线控制器核心机房3POE交换机

10、1楼弱电井2楼弱电井3楼弱电井2.2 无线组网方式结合用户无线网络需求情况，结合深信服产品自身技术特点，为了满足用户构建一个高速、稳定、安全、可靠、易于管理的无线接入网络的需求，本设计方案按照AP+AC的结构化无线网络解决方案进行设计。网络拓扑如下（可编辑）：2.3 信道规划使用2.4GHz频点为例，为保证信道之间不相互干扰，要求两个信道之间间隔不低于25MHz。在一个覆盖区内，最多可以提供3个不重叠的频点同时工作，通常采用1、6、11三个频点。WLAN频率规划需综合考虑建筑结构、穿透损耗以及布线系统等具体情况进行。信道规划如下图：图纸中橙色、蓝色、黄色信号圈分别为1、6、11信道。圆心点为A

11、P部署位置。2.4企业WLAN高速业务设计 2.4.1端到端的网络协议栈加速针对XXX公司现有干扰的无线网络环境，采用深信服独有的协议栈加速技术，客户端无需安装任何插件，只需在WAC开启单边加速功能，通过改善无线传输协议算法，XXX公司的无线网络的传输速度就能够提升200%以上。有效解决无线网络由于干扰导致的无线传输速率低、丢包等网络质量问题。2.4.2应用识别和流量控制针对XXX公司内部移动终端多种多样，员工运行着各种应用无法管控。深信服无线控制器内置全国最大的应用识别库和URL库，能自动识别XXX公司无线流量类型和终端类型，根据终端、应用类型设置相应的流量控制策略。对于XXX公司重要的OA

12、、邮件、财务等办公系统进行重点的带宽保障，防止抢占。对于高耗流量的风行、迅雷、电驴等P 2 P下载，视频浏览我们可以进行带宽限制，防止此类应用对于带宽的过分抢占，从而保障企业正常的办公网络。2.4.3针对无线的网络优化为了改善XXX公司的无线网络，深信服针对无线传输中拉低网络速度的相关机制进行了相应的优化，使无线网络传输速度得道进一步的提升。广播优化: 针对广播包发送机制优化，减少广播报浪费过多资源。ARP转单播：通过对ARP发送机制的优化提升ARP效率。禁止DHCP包发往无线终端功能：通过对DHCP发送机制的优化提升DHCP效率。自动广播提速：将广播包原有的发送速度提高，加快广播包的传输效率

13、。接入终端速度限制：支持接入终端速度限制，禁止低于一定速度的终端接入，提升整体网络速度。平均带宽分配：支持用户平均分配带宽，根据时间公平算法，防止单个终端拉低网络整体速度。2.4.4智能负载均衡针对XXX公司存在办公区、会议室等部分区域人员集中的现状。深信服WAC无线控制器可智能实时的根据用户数和流量调将接入终端整分配到不同的接入点，平衡负载压力，极大的提高无线网络的容量和连接可用性。同时2.4G和5G之间可实现自动负载，提升无线接入质量。2.4.5快速L2/L3漫游为了实现XXX公司在区域内的无线漫游、办公不中断，相对于传统Fat AP方案无法有效保证跨三层的漫游，深信服无线解决方案满足优秀

14、的L3漫游特性，用户漫游不受子网限制，保证XXX公司用户在不同区域间移动而业务不中断。2.4.6射频优化依据XXX公司不同环境，WAC可自动进行射频调整，有效避开自干扰，也可以自动进行信道调整，为AP分配不同信道避开信道间的干扰。2.5企业WLAN全面、便捷的安全设计2.5.1更全面的安全针对XXX企业的实际情况，深信服通过精细的权限控制，非法URL的封堵，动态黑名单、防DOS攻击、IDS等为 XXX企业更全面的安全防护。2.5.1.1精细化角色识别与授权管理针对XXX公司存在各个部门不同角色对象，对用户进行多级的角色授权，根据不同角色分配不同的访问和流控策略。根据企业的不同部门（市场、研发、

15、领导），不同的终端（手机或电脑）、不同的用户（内部员工或客户）划分不同的角色，并配以不同的权限，这样便能充分保证各自的安全，防止越权。2.5.1.2危险应用和URL的识别和管控在XXX公司内部，员工和访客通过无线访问网络，有可能会出现反问非法网络的情况，给公司带来安全风险。针对于此深信服无线控制器内置全国最大的应用识别库和URL库，能自动识别危险应用和URL，我们可针对这些危险应用和URL进行封堵和控制，从而提高公司网络的安全性。2.5.1.3动态黑名单无线控制器WAC会实时监控无线网络安全情况，如果网络中出现攻击终端，无线控制器会将其自动列入动态黑名单，在一段时间内禁止其接入。一段时间后检测

16、如果该终端还存在攻击，则继续列入黑名单。如果恢复正常则允许其接入。2.5.2更便捷的安全2.5.2.1安全、便捷的访客认证系统二维码认证外来访客来到XXX公司接入网络后，无线设备自动向访客的终端推送XXX公司的portal页面，页面中包含一个二维码，这个二维码中包含了访客终端的MAC信息。被授予接待权限的内部员工（行政部和领导）用自己已经接入内网的终端扫描此二维码，此时无线管理设备记录下接待员工的用户名和访客的MAC地址，访客可以便可以接入网络。临时帐号系统认证无线使用临时用户信息管理系统，访客到来XXX公司时只需在前台开设临时帐号，设定使用时间即可。临时用户在有效期内可以登录，超过有效期无法

17、登录；临时账号管理系统拥有二级权限系统，该系统仅能进行临时帐号的创建、管理功能，给前台使用方便、简介。大大减少网络管理员压力。2.5.2.2 802.1X自动配置802.1X能有效保证XXX企业网络的安全性,但802.1X复杂的配置往往令802.1X认证实施遇到巨大阻力。对此，深信服为XXX公司提供了802.1X自动配置工具，让各个部门的人能够轻松使用802.1X认证。2.5.2.3帐号、MAC自动绑定针对XXX存在领导等人员帐号需要重点保障的情况，深信服针对重点帐号使用帐号、MAC自动绑定。防止越权访问的同时减少管理员繁琐的操作。而且一个账号最多绑定5个MAC，实现了安全性与灵活性的兼顾。2

18、.5.2.4统一集中管理结合深信服WAC无线统一集中管理平台，安装前无需对设备进行任何配置，部署完成后由无线控制器统一下发配置，极大的减少实施和维护的工作量及成本。后期维护中，通过WAC内置的图形化热点分析界面，可有效查找到问题点，轻松完成维护工作。2.6企业WLAN运营、宣传设计2.6.1个性化的页面推送深信服的页面推送可以根据用户、用户组、地理位置等多维度的推送。由此可以实现不同部门推送不同的页面，访客进入不同部门推送不同页面。同时，页面自定义灵活简单，不需要专业人员开发，普通网管人员即可实现灵活的自定义页面。2.6.2微信认证访客进入企业接入无线网络，被定向到指定提示页面，提示访客关注企

19、业微信号然后即可获取上网权限，访客关注企业微信号即可上网。这样便大大增加了企业的关注度，也便于后期的宣传。2.7 设备选型根据以上对xxx公司需求的分析，为了实现更快速、更安全的企业WLAN建设，XXX公司无线系统必须具备以下功能：1、 对无线网络的加速功能2、 对于企业重点的业务数据进行识别和带宽保障3、 对非法网络应用和URL进行识别和控制4、 802.1X配置能够实现自动一键配置5、 访客网络通过二维码认证或是单独的临时访客系统方式认证6、 无线接入点AP使用2.4G和5G双频接入保证接入数量和质量。基于此本次方案推荐使用深信服科技无线控制器WAC系列和无线接入点AP系列设备。然后基于X

20、XX公司的实际环境，以及XXX公司对于无线网络的信号要求选择部署X个AP-260,根据AP数量，选择深信服X型号无线控制器。3、方案亮点与价值3.1 更快速、更稳定的企业业务WLAN深信服无线通过特有的协议栈加速、射频优化、应用识别为XXX企业提供高速、稳定的无线网络，提升用户体验。并根据XXX企业内部OA、邮件等业务系统进行带宽保障，建立更快速、更稳定的企业业务WLAN。3.1.1端到端的网络协议栈加速针对干扰的无线网络环境，方案采用深信服独有的协议栈加速技术，客户端无需安装任何插件，在WAC开启单边加速功能，通过改善无线传输协议算法，将无线网络的传输速度提升200%以上。有效解决无线网络由

21、于干扰导致的无线传输速率低、丢包等网络质量问题，大幅提升XXX企业无线网络速度。3.1.2终端识别与流量控制深信服方案通过无线控制器自动识别终端类型，根据终端类型设置相应的流量控制策略。实现了针对终端精细的流量控制。例如禁止手机耍微博、炒股等等。3.1.3应用识别和流量控制对于应用的杂乱无章，难以管控，本方案中深信服无线控制器通过内置全国最大的应用识别库和URL库，自动识别无线流量类型，并根据终端类型设置相应的流量控制策略。对于重要的OA、邮件、财务等办公系统进行重点的带宽保障，防止了其流量被抢占。对于高耗流量的风行、迅雷、电驴等P 2 P下载，视频浏览进行带宽限制，防止此类应用对于带宽的过分

22、抢占，从而保障了企业正常的办公网络。3.1.4针对无线的网络优化深信服方案针对无线传输中拉低网络速度的相关机制进行了相应的优化，使无线网络传输速度得道进一步的提升。3.2更安全、更便捷的企业安全WLAN3.2.1更全面的安全防护深信服方案通过精细化的角色授权管理、危险应用和URL的识别与管理、内置证书、动态黑名单等为XXX企业提供了更全面的安全防护3.2.1.1精细化角色授权管理随着公司内部结构的逐渐复杂化、网络管理也越来越难。深信服的精细化角色授权管理针对不同角色对象，对用户进行多级的角色授权，根据不同角色分配不同的访问和流控策略。充分保证了各自的安全，防止越权。3.2.1.2危险应用和UR

23、L的识别和管控调查表明75%的网络攻击来自应用层，深信服通过内置全国最大的应用识别库和URL库，自动识别危险应用和URL，并加以控制和封堵，极大的提升了网络的安全性。3.2.2更便捷的安全管理3.2.2.1二维码认证通过二维码认证，访客从接入无线到通过审核、时间就在十秒之内完成，解决了便捷认证、防蹭网、责任溯源三大访客认证难点。3.2.2.2 802.1X自动配置02.1X能有效保证XXX企业网络的安全性,但802.1X复杂的配置往往另802.1X认证实施遇到巨大阻力。对此，深信服方案为XXX公司提供了802.1X自动配置工具，让各个部门的人能够轻松使用802.1X认证。大大降低了802.1X

24、认证的推广实施难度3.2.2.3帐号、MAC自动绑定为了实现针对XXX公司领导等人员帐号需要重点保障的情况，深信服针对重点帐号使用帐号、MAC自动绑定。防止越权访问的同时减少管理员繁琐的操作。而且一个账号最多绑定5个MAC，实现了安全性与灵活性的兼顾。3.3无线可运营化3.3.1内置信息推送中心个性化内容推送深信服方案通过页面推送功能，可以实现针对不同位置或者不同用户推送个性化的Portal页面，同时，页面自定义功能可根据XXX公司的实际需要，灵活设置页面内容,如公司产品最新信息推送、领导视察欢迎页面推送等。3.3.2企业微信公共平台对接微信作为一个信息交流的平台，被越来越多的企业所重视，纷纷

25、建立自己的微信公共平台，来实现内部资料的动态分享。SANGFOR特有的微信认证方式，使用户通过对企业微信公共平台关注获得无线网络上网的授权，提高企业微信平台的利用率，帮助企业快速建立有效的信息分享平台。3.4 高扩展性、高可靠性根据不同组网规模，提供多样化的产品形态，用户可根据实际灵活选择，降低组网成本，提高效益。例如，针对中小规模网络、或者大型客户的分支机构，用户可以选择mini WAC，相较于同等性能的无线控制器，成本节省一半。同时，由于业务扩容，无线部署时需要考虑其扩展性，初期即购买高性能无线控制器投入太大，低端无线控制器又无法满足要求。深信服推出多样的产品形态，用户可根据组网规模按需部

26、署。同时，虚拟化WAC的解决方案可以部署于虚拟化服务器上，通过扩容license即可提升无线网络的规模，不必担心硬件设备淘汰浪费的问题。双机备份机制，配置实时同步，提供动态的故障转移机制，保证用户业务不因临时故障而中断，实现业务的快速恢复，降低系统因单点故障导致网络中断的风险。4、产品介绍4.1 无线控制器WAC系列深信服千兆系列无线控制器是深信服自主研发的集中管理无线接入点的控制设备，集防火墙，用户认证服务器，证书颁发中心，无线射频管理软于一体。具有多元化的认证方式，精细化的用户管理，协议优化，射频优化，二三层漫游，灵活的Q0S控制，本地转发、应用识别管控等功能。能够减少企业部署复杂度，降低

27、企业部署成本，为客户打造安全、快速、可运营的无线网络。配合深信服无线AP系列，定位于中型WLAN接入业务，如：企业、商超连锁、校园、酒店、医院等高速的wifi应用场景。4.1.1产品规格硬件规格 千兆系列无线控制器产品规格硬件规格项目描述型号WAC-3100WAC-4100WAC-4200WAC-4300外形尺寸(长宽高，单位：mm）275*175*44.5430*300*44.5430*375*44.5430*500*89重量1.6kg3.85kg6.65kg15.3kg管理端口1个命令行管理console口，1个WEB界面管理MANAGE口业务端口2个千兆电口5个千兆电口5个千兆电口5个千

28、兆电口 ；4个SPF千兆光口USB端口数2个2个2个2个功耗20w25w180w400080001500035000内置认证账户数65000650006500065000VLAN数量04094040940409404094ESSID数量32323232802.11mac802.11协议簇支持802.11a/b/g/n模式虚拟AP支持隐藏SSID支持多国家码部署支持功率、信道调整具备自动和手动两种方式调整功能用户在线检测支持无线用户隔离具备二层隔离和基于SSID的隔离功能无线用户强制断连支持多SSID个数32用户无流量自动老化支持在线检测具备AP和用户在线检测功能40MHz模式的20MHz/40

29、MHz自动切换支持防火墙新建连接数并发连接数数据转发本地转发支持：具备SSID+VLAN的本地转发集中转发支持部分集中转发部分本地转发支持漫游二层漫游支持三层漫游支持IPDHCP支持DHCP Client，DHCP服务器，DHCP中继，DHCP SnoopingNAT支持DNS代理支持静态路由支持策略路由支持三层物理端口链路检测支持二层链路聚合最大支持8个端口聚合链路状态检测支持ARP代理支持802.1x支持流量管理基于单用户实现基于单用户的上下行流量管控基于应用实现基于应用的流量保障基于终端类型实现基于终端类型（手机、电脑等）的流量管控基于终端操作系统能够实现基于终端操作系统（安卓、IOS、windows phone等）的流量管控基于不同无线网络满足基于不同无线网络进行带宽权重分配单用户流量限速可基于不同SSID灵活设置802.11e/WMM可基于不同SSID灵活设置射频管理功率自动调整支持功率手动调整AP可手动功