市图书馆无线覆盖wifi网络建议书.docx

1、市图书馆无线覆盖wifi网络建议书市图书馆无线覆盖技术建议书目 录1、概述 41.1公司介绍 42、 市图书馆无线网络需求分析 52.1市图书馆无线建设背景分析 52.2市图书馆无线建设现状与需求分析 53.产品介绍 64、无线网络部署方案 84.1市图书馆无线覆盖建设范围 84.2市图书馆AP点位部署 84.3设备部署及数量统计 114.4网络结构及拓扑图 125、安全、快速的无线解决方案 145.1 无缝漫游、移动办公解决方案 145.2 与Oracle数据库对接 145.3上网行为管理 155.4 内部员工认证上网 205.5 会员读者认证上网 215.6非会员读者认证上网 215.7限

2、制帐号在多个终端同时接入 225.8对终端类型的接入控制（限制读者的笔记本电脑接入） 225.9精细化多角色授权管理 235.10随身WIFI，非法AP的攻击检测与反制 235.11 智能负载、5G优先、高密稳定快速接入（4楼区域） 245.12自动射频，定时开关 255.13 AP可视化管理 255.14 分区域无线覆盖（对六楼报告厅无线信号的控制） 256、案例介绍 266.1安徽省图书馆WLAN工程建设 266.2信锐技术新疆案例集 297、售后服务 307.1 实施方案 307.2 信锐技术售后服务支持 301、概述1.1公司介绍信锐网科技术有限公司（简称信锐技术，Sundray）是深

3、信服科技集团的全资子公司，注册资金1000万元人民币，专注于企业级无线网络产品研发、生产、销售的应用层无线网络供应商，总部位于深圳。信锐技术研发团队超过百人，研发无线产品多年，在无线硬件射频、软件控制、漫游、负载均衡、无线增值等各个领域有着多年深厚的技术积累。2、市图书馆无线网络需求分析2.1市图书馆无线建设背景分析 市图书馆信息化基础配套设施的相继完善，伴随着网络技术发展带动的移动终端的普及，使用无线上网查找资料、休闲娱乐、办公的需求日益明显。为了让越来越多的读者选择来图书馆丰富知识的同时可以随时随地畅享互联网，增加读者的学习体验，也让乌鲁木齐市图书馆焕发出新的活力。因此市图书馆决定部署全覆

4、盖的无线网络为办公人员及读者提供便捷的上网服务。2.2市图书馆无线建设现状与需求分析 目前市图书馆还未建立起一个全面覆盖、安全快速的无线网络，但随着移动互联网的发展，更多应用的上线和为了满足广大读者快速安全接入无线网络的需求，市图书馆的无线网络建设的需求日益明显：1.实现整个图书馆区域的无线网络快速稳定接入，在无线网络覆盖区域实现无缝漫游；2.怎么在有线网络的基础上扩展无线网络来进行日常业务的开展；3.如何让读者便捷快速接入无线网络；4.如何对整个网络系统进行监管和审计，进行用户上网数据的日志留存，消除网络法律风险；5.如何实现无线网络用户利用现有Oracle数据库的帐号登录认证；6.如何根据

5、实际需要，灵活设置单个AP的接入人数保障用户体验以及灵活设置某些区域的无线信号的开闭；根据以上问题的分析可以看出，市图书馆建设一个稳定、快速、安全的无线网络的需求已经迫在眉睫，针对建设的细节及问题所在，信锐技术会详细地给出解决方案。3.产品介绍根据以上对市图书馆需求的分析，为了实现更快速、更安全的企业WLAN建设，市图书馆的无线系统必须具备以下功能：1、 对图书馆内部员工支持帐号认证及与MAC地址的绑定2、 与原有Oracle数据库对接，让用户直接使用Oracle数据库中帐号认证上网；3、 对非法网络应用和URL进行识别和控制；4、 非会员读者通过短信认证方式认证；5、 无线接入点AP使用2.

6、4G和5G双频接入保证接入数量和质量；6、 支持无线信号的定时开关，同时可调节每个无线接入点AP的接入终端数量；7、 结合深信服上网行为管理设备可以进行用户上网行为审计，进行日志留存；基于此本次方案推荐使用信锐科技无线控制器NAC-6100系列和无线接入点NAP-2600系列设备。信锐NAP-2600系列无线接入点是信锐自主研发的室内双频无线接入点。NAP-2600系列无线接入点采用 2x2 MIMO技术，支持11a/n和11b/g/n双频并发，整机最高可达600Mbps，可提供更快的无线上网和更大的无线覆盖范围。产品高达600Mbps的最大传输速率能够轻松满足各种无线业务的承载使用，如视频、

7、语音等多媒体业务，并提供智能射频、服务质量保证、无缝漫游等。设备采用千兆以太网口上行链路，突破了百兆上行速率的限制，保证无线高速传输；支持本地供电与PoE远程供电，可根据客户现场供电环境进行灵活选择。配合信锐NAC系列控制器，为用户带来前所未有的快速体验和更安全的业务接入。 无线控制器NAC-6100是信锐技术自主研发的多元化、高性能的千兆级无线控制器设备，集无线控制器、用户认证上网行为管理、流量控制、上网行为审计、防火墙、网络管理于一体。无线控制器NAC-6100可管理信锐全系列AP，并具有二三层无缝无感知漫游、智能射频、多元化的认证方式、O2O增值营销、精细化的用户行为管理、灵活的QoS控

8、制、无线协议优化、有线无线一体化等功能。4、无线网络部署方案4.1市图书馆无线覆盖建设范围市图书馆无线网络的覆盖范围包括一楼大厅、三楼、四楼、五楼、六层区域，实现以上区域无线网络无死角覆盖，用户在此区域可以稳定流畅使用无线网络，在覆盖区域内实现无缝漫游。目前核心机房部署在4楼，其中2楼和5楼分布有接入交换机。4.2市图书馆AP点位部署4.2.1市图书馆一楼大厅AP点位图：一楼大厅面积较少，接入人数也主要是等待休息的读者，因而部署2个AP在一楼大厅，同时在2楼配电间部署1个8口的POE交换机对1楼大厅的AP进行供电和数据传输。4.2.2市图书馆三楼AP点位图：市图书馆三楼最大接入用户数在300人

9、左右，同时按照每个AP覆盖半径为15米的原则，在图书馆三楼部署7个AP进行覆盖，利用部署在4楼核心机房的24口POE交换机进行AP的供电和数据传输。4.2.3市图书馆四楼AP点位图市图书馆四楼最大接入用户数在500人左右，同时按照每个AP覆盖半径为15米的原则，在图书馆四楼部署8个AP进行覆盖，在4楼核心机房部署一个24口POE交换机同时对3楼和4楼的AP进行供电和数据传输。4.2.4市图书馆五楼AP点位图：市图书馆五楼最大接入用户数在300人左右，同时按照每个AP覆盖半径为15米的原则，在图书馆三楼部署7个AP进行覆盖，利用部署在5楼配电间的24口POE交换机进行AP的供电和数据传输。4.2

10、.5市图书馆六楼大厅AP点位图市图书馆六楼最大接入用户数在150人左右，同时按照每个AP覆盖半径为15米的原则，在图书馆四楼部署6个AP进行覆盖，在5楼配电间接入交换机旁边部署一个24口POE交换机同时对5楼和6楼的AP进行供电和数据传输。4.3设备部署及数量统计 根据以上点位部署，共需要30个无线AP，1个8口POE交换机和2个24口POE交换机，无线网络设备数量清单统计：同时在4楼核心机房的核心交换机旁边旁挂部署1个深信服的上网行为管理AC-1400对有线网络和无线网络的用户上网内容进行审计和日志留存。使用1个无线控制器对所有AP进行统一管理和控制，所需要的产品清单汇总如下：品牌名称型号单

11、位数量深信服上网行为管理AC-1400台1信锐技术无线APNAP-2600台30信锐技术无线控制器NAC-6100台1信锐技术24口POE交换机SW-5024台2信锐技术8口POE交换机SW-5010台14.4网络结构及拓扑图 本次方案采用瘦AP+AC控制器的模式，在4楼核心机房的核心交换机旁挂部署一个无线控制器，将AP吸顶倒挂在吊顶上，便于实时查看AP的运行状况及后期维护，各个楼层使用POE交换机对AP进行供电，AP与POE交换机之间使用超五类网线进行数据传输，楼层POE交换机之间使用光纤连接到核心交换机保障数据的稳定、快速传输。将无线控制器以旁挂的形式部署到核心交换机一侧，不影响现有网络结

12、构。网络结构及拓扑图如下：5、安全、快速的无线解决方案5.1 无缝漫游、移动办公解决方案 为满足市图书馆员工和读者稳定快速上网的要求，员工和读者在移动过程中需要保证上网业务不中断。信锐无线提供L2/L3快速漫游，当用户在市图书馆内移动时能够在不同AP接入点之间实现快速、平滑的漫游切换，保证用户在不同VLAN间快速漫游，并保持认证状态不变，让您漫游切换无感知，业务不中断。5.2 与Oracle数据库对接要实现用户直接使用Oracle数据库中的帐号进行无线网络的认证上网，必须实现无线网络认证系统与Oracle数据库的对接。对接过程为：在任意能访问Oracle的服务器上免费安装由深信服自主开发的sr

13、adius软件，从而对外提供radius服务器的功能，再将无线控制器对接到radius服务器做账号认证。5.3上网行为管理 无线控制器与深信服上网行为管理设备AC-1400进行联动，可以对市图书馆用户的无线上网行为进行审计，满足公安部82号令中对无线审计的要求，便于运维人员管理及溯源。审计内容包括但不限于HTTP外发内容、访问的网站和下载、邮件、FTP、TELNET、其它网络应用、邮件内容以及上网流量与时长控制。同时，还支持SSL加密网页和应用的内容审计，避免错审漏审，帮助深入的了解员工和读者的上网行为。 实时监控：AC支持实时监控功能，可对AC设备的运行状态、安全状态、流量状态、上网行为监控

14、、在线用户管理、邮件延迟审计进行实时监控。管理员不需要登陆数据中心即可实时查看网络的各种应用和流量使用情况，简单快捷。 运行状态包括系统资源信息、接口信息、接口吞吐率、应用流速趋势、应用流量排名、用户流量排名。安全状态实时汇报内网用户安全情况。 在实时应用流量排行界面点击某一个应用即可自动弹出该应用流量的用户排名情况。实时用户流量排行界面可针对单个用户实现用户的应用流量排行情况的页面跳转。此外AC还支持实时连接监控，显示用户的所有会话连接状况。AC实时监控和完善的应用审计功能，帮助网络管理员了解内网用户的上网行为，同时也作为追查依据。 网页访问：内网用户访问的URL地址、网页标题、时间等内容，

15、AC能够完全监控与记录。 同时，通过网页快照功能，直观展现网页内容，便于管理人员快速查看。 邮件收发：对于Webmail或邮件客户端收发邮件，AC能够记录邮件的时间、发件人、收件人、标题、正文内容和附件等，附件内容可提供下载做进一步审核。 IM聊天：对于QQ、MSN、Gtalk等聊天应用，无论是Web版或是桌面版，AC均能详细记录其聊天内容。 微博论坛：对于微博、社交论坛发帖不仅能够根据关键字进行过滤，发布的内容也能全面记录，准确还原发帖内容，提高可读性。 SSL加密应用：同时，对于经过SSL加密的webmail外发邮件、SSL加密的SMTP/POP3，AC可以基于关键字过滤和内容审计记录。

16、针对不同的用户、用户组，通过数据简单的勾选，即可完成差异化的行为审计功能。 数据中心及报表：市图书馆每天产生的日志数据，通过AC独立数据中心实现日志海量存储，而且提供了图形化的日志查询、统计、审计、报表中心等功能。 通过统计报表功能，将直观的获得关于流量、邮件收发、上网时间、网络行为等方面的详细的报表和图形化统计结果，并且支持导出PDF等文档、Email投递等功能，方便IT部门将统计结果向高层汇报。 AC的风险智能报表能够深入挖掘日志，根据管理员指定的上网行为特征及阈值，自动挖掘日志，自动帮助组织提前发现风险，包括：离职风险智能报表、泄密风险智能报表、工作效率低下风险智能报表等。 对于BBS发

17、帖， AC还支持进行热帖排名，只准看贴不准发帖的灵活管控方式。通过AC数据中心的内容检索工具，可以实现类似Google一样的内容搜索，从海量日志中查询需要的日志记录，并且支持高级搜索，支持订阅和自动Email投递功能，极大的方便了管理者的使用。5.4 内部员工认证上网 对于市图书馆的内部员工，通过给每个员工设置一个帐号密码，同时限制每个帐号最多同时登录三个终端，新增无线网络信号“urumqilib-work”，访问控制中设置为可同时访问内外网。图书馆员工连接“urumqilib-work”无线信号，采用用户名密码方式登陆网络，上网时间不做限制，同时可以访问内外网。5.5 会员读者认证上网对于会

18、员读者，已经在Oracle数据库中存有其会员帐号和密码，通过无线认证系统与Oracle数据库对接之后，设置一个只可以访问外部网络的无线网络信号“urumqilib-reader”。会员读者可直接利用其在Oracle数据库中的会员帐号，连接“urumqilib-reader”无线网络进行用户名密码的portal认证，上网时间不做限制，并且在认证成功后，可以显示读者借书情况、归还时间等会员信息。5.6非会员读者认证上网 对于非会员读者，在Oracle数据库中未存有帐号密码，设置只可以访问外部网络的无线网络信号“urumqilib-reader”的另外一种认证方式为短信认证。通过短信认证方式，访客用

19、户可以通过手机来获取验证码，轻松访问无线网络。验证码可做到一次获取永久使用从而给市图书馆节省一定的短信费用。同时非会员读者认证上网后在无线控制器后台有记录其手机号码，登录时间，终端地址等信息，同时可以导出非会员读者手机号码，批量发送短信。5.7限制帐号在多个终端同时接入 可以限制一个帐号（包含内部员工和会员读者的帐号）同时登录的终端个数，有效保护市图书馆的网络资源。针对超限的帐号可采取以下两种措施：1、 强迫最早接入的终端下线。2、 不允许新终端接入。 建议对市图书馆的员工和会员读者采用每个帐号同时只能登录3个终端的限制，再登录其他终端时强迫最早接入的终端下线。5.8对终端类型的接入控制（限制

20、读者的笔记本电脑接入）信锐无线可以免安装客户端软件实现终端类型的识别。为了保护和最大程度利用市图书馆的网络资源，会员读者认证接入时，限制只有手机终端可以接入，笔记本类型不能接入，从而避免大流量下载或者视频占用网络带宽。 甚至接入控制条件可以灵活组合，满足市图书馆不同的接入控制需求。支持基于终端类型和接入位置、用户属性作为一组接入条件进行接入控制。例如可以支持不同的接入位置且满足指定的终端特性才允许接入进行上网。5.9精细化多角色授权管理市图书馆用户接入无线网络后，信锐无线提供安全管家全面负责其用户权限的授权管理。丰富的权限分配表支持按用户属性、终端类型、接入区域、不同时间段来设置不同的角色，角

21、色上搭建不同的访问控制策略，构建企业级防火墙，权限控制更全面和精细化。5.10随身WIFI，非法AP的攻击检测与反制 无线网络的无线信号具有开放性，钓鱼AP和AD-Hoc等非法AP极容易隐藏在无线网络中引诱企业用户接入，盗取用户帐号并窃取企业机密文件或传播病毒。 市图书馆内部员工或者会员读者也可能通过部署非法AP进行数据转移，导致图书馆信息泄露。 信锐技术采用全面的防御体系，为市图书馆构建最安全的无线接入网络，抵制钓鱼AP和AD-Hoc、用户发起的泛洪或欺骗攻击等无线攻击行为，还你一个干净且安全的无线网络环境。 5.11 智能负载、5G优先、高密稳定快速接入（4楼区域）在市图书馆的4楼区域等人

22、员高密的区域，通常会有多个无线热点的信号覆盖，信锐技术无线解决方案会根据每个AP的负载情况，将用户自动分配到信号强、接入人数少的AP上，同时会选择优先负载到干扰比较小的5G频段上，确保每个无线用户都能获得畅快的网络体验。除了基于人数的负载外，信锐技术还能基于2.4G和5.8G的双频段进行智能双频负载。 智能双频负载：2.4G和5G之间可实现自动负载，引导5G终端优先接入干扰比较小的5G网络，提升无线接入质量。5.12自动射频，定时开关市图书馆在晚上凌晨以后，正常情况都是没有人使用无线网络的，那么信锐无线网络能自动关闭射频信号，一方面能节省电，另一方面又能防止非法用户利用深夜时间入侵无线网络，做一些非法入侵的操作，保障市图书馆无线数据的安全，另外为了更加人性化，还增加了设置基于SSID的例外无线网络，可以选择性的关闭SSID。5.13 AP可视化管理可以将市图书馆的各个楼层平面图导入，方便信息中心管理员实时查看各个AP的运行状态；在地图上可以直观明了查看AP当前在线用户、实时流速。5.14 分区域无线覆盖（对六楼报告厅无线信号的控制）市图书馆的六楼报告厅需要在特定时间进行无线信号的关闭，可以通过在后台设置，在某个时间段内直接将六楼报告厅中的AP关闭，当需求时再开启让其发射无线信号。