H3c无线覆盖技术方案

技 术 方 案 书 目录 一 概述 3 二 项目需求 3 三 网络建设方案 4 3 1无线网络基础方案 5 方案逻辑组网图 5 WLAN产品优势概述 5 产品的选型 6 3 2无线网络安全 8 四 产品说明 9 4 1 EWP WA2612 AGN无线接入点 9 4 2 H3C WX3024系列无线控制器 13 一 概述 无线局域网 WLAN 技术于 20世纪 90年代逐步成熟并投入商用 既可以作传统有 线网络的延伸 在某些环境也可以替代传统的有线网络 对比传统的有线传输解决方案 使用 WLAN网桥实现数据传输具有以下显著特点 简易性 WLAN 网桥传输系统的安装快速简单 可极大的减少敷设管道及布线等繁琐 工作 灵活性 无线技术使得 WLAN设备可以灵活的进行安装并调整位置 使无线网络达到 有线网络不易覆盖的区域 综合成本较低 一方面 WLAN网络减少了布线的费用 另一方面在需要频繁移动和变 化的动态环境中 无线局域网技术可以更好地保护已有投资 同时 由于 WLAN技术本身就 是面向数据通信领域的 IP传输技术 因此可直接通过百兆自适应网口和企业内部 Intranet相连 从体系结构上节省了协议转换器等相关设备 扩展能力强 WLAN 网桥系统支持多种拓扑结构及平滑扩容 可以十分容易地从小容 量传输系统平滑扩展为中等容量传输系统 二 项目需求 a 本工程具体的建设目标是 1 采取通行的网络协议 IEEE 802 11g标准 选取合理的无线覆盖方案 从而实现 对各楼层相应区域的 WLAN信号覆盖 提供稳定可靠的无线宽带网络接入服务 2 全面的无线网络支撑系统 包括无线安全 无线 QOS等 以避免无线设备及软 件之间的不兼容性或网络管理的混乱而导致的问题 3 保证网络访问的安全性 支持用户多种接入方式认证机制 包括 基于 PPPoE 802 1X Portal MAC 等认证 支持外置的 Portal服务器和外置的 AAA服务器系 统 4 无线宽带网络将来应该能够支持 WIFI语音 IPTV 等增值业务 5 安全 认证和管理要求 为了阻止非授权用户访问无线网络 以及防止对无线局 域网数据流的非法侦听 无线网络要具有相应的安全手段 主要包括 物理地址 MAC 过 滤 服务区标识符 SSID 匹配 AES 加密 双向认证等方式 工程布线和安装要求 室内部分 将网线走暗线敷设到位挂在天花板上 则根据天花板的情况而定 天花板 是非金属结构 可以固定在天花板内 安装过程中应充分考虑防盗问题 供电部分 AP 的供电可采用其相应的 POE供电模块配合市电进行供电 产品能力要求要求 支持负载均衡 漫游切换 支撑 QOS能力 支持 Guest VLAN的要求 良好的售前售后服务 及时响应用户的需求 三 网络建设方案 对方案的选择 我们严格按照客户的需求进行 采用瘦 AP 无线控制器的组网方式 AP 通过市电进行供电 本次供电方案有两种 通过无线控制器 H3C WX3024上的 24个 POE供 电端口供电 通过 H3C WA2612 AGN自身配备的 POE模块供电 两种方式很好的解决了集中 供电和分散供电的问题 另外 之所以要选用控制器 瘦 AP解决方案 是因为就目前的 AP分散状态开 分别部 署在大楼的不同楼层 对于管理员来说 对 AP的软件升级 配置管理以及无线客户端的定 位是件很懊恼的事情 有了控制器 可以将分散的 AP集中管理和控制 统一下发配置和更 新系统等 还可以和有线用户实现一体化的验证 智能的负载分担和二层三层漫游等 从安全角度考虑 为实现业务的有效隔离 采用针对不同业务分配不同 SSID方式进行 业务区分 其中一个无线网段只能访问互联网 另外可以再设置一个无线服务 SSID 用 于管理人员无线对内网的管理 并对同一个 AP下的不同 SSID设置不同的权限 后期还可 以配合认证 EAD 等手段做到终端的准入和安全接入 3 1 无线网络基础方案 方案逻辑组网图 根据用户需求可知 需要认证上网 但要支持 产品选型非常重要 根据我们多年的经验 和对技术的认识 在各大无线厂商中我们能看到 H3C无线产品和技术的优势 WLAN产品优势概述 电信级产品质量保证 H3C自 2003年公司成立以来就继承了业界领导厂商华为和 3Com的 WLAN产品 整个无 线产品的规划都是按照电信级设计 从阻容到主处理器芯片 每一个元器件都经过严格质 量认证和技术认证 基本上是选用一流供应商的元器件 保证元器件的性能和品质 在产 品生产上 H3C 公司采用业界先进的 IPD CMM3 0集成产品开发流程 有严格的质量管理体 系 从全流程的每一个环节控制产品质量 强大的研发团队 自主知识产权 快速响应客户需求 H3C的研发团队分布在北京 杭州 深圳和印度 海外研发中心紧跟前沿技术脚步 国内研发中心快速响应客户需求 H3C 全系列 WLAN产品采用完全自主研发的软件 并采用 了业界最为严格的测试标准 由位于北京的独立的鉴定测试中心来最终鉴定产品能否达到 质量标准 此外由于自主开发软件 完全掌握知识产权 很容易根据客户的要求定制特殊 功能 以满足特定情况下的应用 完善的服务体系 H3C公司在全国建立了 30个区域服务中心和区域备件系统 承诺为客户提供专业 快 捷 规范的服务 通过先进的通信技术与总部的技术服务平台连接 完成客户档案 维护 经验案例 备件库存 产品发布等信息的共享 形成覆盖全国地市级城市 专职人员规模 超过 400人的技术服务体系 H3C 致力于通过高质量的服务提高用户网络的可用性 提升 用户满意度 H3C成立了备件中心 SPC Spare Parts Center 专门支撑 H3C公司的售后服务和向 客户的承诺 依托遍布全国主要城市的 30个区域备件库和位于杭州 北京及深圳的 3个分 拨中心 建成了国际化 标准化 现代化的物流管理系统 H3C 备件中心科学地进行备件 仓储分析和管理 能够向客户提供高效的备件服务 最大限度地保障客户网络的平稳运行 丰富的无线网络工程经验 无线网络的工程实施对整个项目的成败至关重要 H3C 专门成立了无线工程督导团队 来确保无线网络工程的顺利实施 目前 H3C公司已经成功实施了第六届亚洲冬季运动会 北京解放军总医院 国家知识产权局 新华社 北京航空航天大学 北京交通大学 华东 理工大学 上海汤臣洲际大酒店等无线网络工程的部署 具备丰富的无线项目实施工程经 验 保证项目进度 后顾无忧 产品的选型 无线 AP 根据我们对客户需求的了解 大楼各楼层 AP覆盖我们选用 H3C的 WA2612 AGN WA2612 AGN是华三通信技术有限公司 H3C 自主研发的双频多模系列无线接入点 可广 泛应用于各种向用户提供 WLAN接入的无线网络 WA2612 AGN 作为瘦 AP FIT AP 与 H3C 公司自主研发的无线控制器系列产品配套使用 WA2612 AGN基于业界最新的硬件平台 具备业界同类产品最优的无线射频功能 同时 产品集硬件加密 零配置 自动信道分配 多 BSSID IPv6 等多个功能于一体 实现网络 的易操作性 易维护性 健壮性 并能有效的防止网络配置的对外泄漏 WA2612 AGN与 H3C公司自主研发的系列无线控制器之间的通信基于标准的 CAPWAP架 构 通过无线控制器实现集中管理和简单的即插即用安装 同时 AP 的配置信息保存在无 线控制器中 即使更换 AP 配置信息也可以自动下发 无需重新配置 与传统基于无线控 制器的集中式加密相比 WA2612 AGN 对用户数据实现了本地流量加密 可大大减轻了无线 控制器的负担 无线控制器与后端授权 认证 计费 AAA 服务器配合 可以控制用户和用 户组的网络访问策略 当用户漫游网络时提供安全的业务连续性和完整性 WA2612 AGN产品具有双频能力 即可以工作于 WLAN的 2 4GHz频段或 5GHz频段之上 支持多模 即指 IEEE802 11a IEEE802 11b 和 IEEE802 11g三种模式 WA2612 AGN 可通 过软件配置支持 IEEE802 11a或 IEEE802 11b g WA2612 AGN支持多 SSID实现虚拟 AP特性 每个 SSID可对应不同的 VLAN 从而对于 每一个 SSID可以实现不同的网络服务及认证方式 该特性使管理员可以方便的为不同用户 群 不同的业务制定区分的服务策略 无线控制器 根据我们对 AP的个数可以确定无线控制器 AC 的型号 根据我们的计算 一期大约 需要部署 24个 AP 我们可以推荐 H3C的 WX3024 标配可以支持 24个 Fit AP WX3024 最多可管理 48个 AP 24 个 GE电口 支持 POE供电 交换容量为 88Gbps 包转发率 65 47Mpps 传统无线网络的部署需要网络管理员对网络中的每一个 AP进行逐一配置 当 无线网络规模较大时网络管理员往往要配置上百个 AP 工作量巨大 且容易出错 而采用 无线控制器和 FIT AP配合组网时 只需要在无线控制器上对一类相同属性的 AP建立配置 模板 AP 在启动时可以自动从无线控制器上下载最新的配置文件 另外 由于 AP本身不 保存任何配置 万一设备丢失 也可以保证网络配置不被窃取 AP 支持启动后自动获取 IP 地址 自动获取 AC的工作列表并自动和 AC建立关联 真正做到了零配置 免维护 即插 即用 极大地减轻了网络管理员在部署网络阶段的维护工作量 当网络正常运行以后 无 线控制器对所管理的 AP以及 AP所接入的用户进行实时监控 并能将这些信息实时上报给 网管 维护人员可以指定 AP或用户进行在线服务策略设定和安全策略设定 使网络配置策 略更加灵活 同时 无线控制器支持 AP软件自动更新功能 AP 在每次重新启动时会自动 比较当前运行的软件版本和无线控制器上的最新版本是否一致 如不一致 AP会自动更新本 地的软件映像 软件升级不再需要网管人员的干预 3 2无线网络安全 无线局域网络主要服务于企业作业系统 上面存在诸多的企业的商业信息 故网络安 全问题在建网时必须考虑问题 安全方式主要侧重几个方面 用户安全 系统安全 对每 个无线接入的用户需要加密认证方可进入 可以根据不同的用户加入不同的 VLAN 再通过交 换机做策略的规划 这样本无线网络中着重考虑使用无线网络的空口信息的安全机制 同时 也要考虑与无线相关的有线网络的安全问题 对于原有有线网络的安全问题 在本技术建 议书中不作相应的考虑 用户安全 数据安全部分主要包括以下方面的内容 MAC地址过滤 目前支持基于 MAC地址的过滤 限制具有某种类型的 MAC地址特征的 终端才能进入网络中 SSID管理 是一种网络标识的方案 将网络进行一个逻辑化标识 对终端上发的报文 都要求进行上带 SSID 如果没有 SSID标识则不能进入网络 WEP加密 WEP 加密是一种静态加密的机制 通信双方具有一个共同的密钥 终端发送 的空口信息报文必须使用共同的密钥进行加密 支持 AES加密 AES 安全机制是一种动态密钥管理机制 同时密钥生成也基于不对称 密钥机制来实现的 同时密钥的管理也定期更新 具有体的时间由系统可以设定 一般情 况都设定为 5分钟左右 这样非法用户要想在 5分钟之内进行获取足够数量的报文进行匹 配出密钥出来 从无线空口的流理来看 基本上是不可能的 H3C的无线方案中的密钥设置可能根据 SSID信息与用户信息进行组合 即不同的 SSID 下不同的用户的密钥生成可以不一样 这样可以做不到不同的用户不同的管理方式 同时 具备不同的权限 四 产品说明 4 1 EWP WA2612 AGN 无线接入点 产品简介 H3C WA2600系列无线产品是杭州华三通信技术有限公司 H3C 自主研发的新一代基于 802 11n技术的超百兆高速无线接入设备 以下简称 AP 可提供相当于传统 802 11a b g 网络 6倍以上的无线接入速率 能够覆盖更大的范围 该系列无线产品上行接口采用千兆 以太网接口接入 突破了百兆以太网接口的限制 使无线多媒体应用成为现实 WA2600 系 列无线产品支持 Fat和 Fit两种工作模式 根据网络规划的需要 可以通过命令行灵活地 在 Fat和 Fit两种工作模式中切换 作为瘦 AP Fit AP 时 需要与 H3C自主研发的 WX系 列无线控制器系列产品配套使用 作为胖 AP Fat AP 时 可以独立进行组网 WA2600 系列 无线产品支持 Fat Fit两种工作模式的特性 有利于将客户的无线网络由小型网络平滑升 级到大型网络 从而很好保护用户的投资 WA2612 AGN是 WA2600系列无线产品中的一款单频多模室内型 802 11n无线接入设备 内置 3 MIMO天线 外型小巧美观 安装方式灵活 可以直接安装在天花板上 WA2612 AGN 可工作在 2 4GHz频段或 5GHz频段 并支持 IEEE802 11a IEEE802 11b IEEE802 11g 和 IEEE802 11n四种模式 产品视图如下 产品特点 实现高性能无线接入和最佳无线网络 TCO WA2612 AGN遵从 802 11n协议标准 采用专业模块化设计 单射频能提供高达 300Mbps的无线接入速度 是相同环境下 802 11a b g产品的 6倍左右 通过特有的内置 集成智能射频覆盖优化技术 可以有效地从覆盖范围 接入密度 运行稳定等方面提供更 高性能的无线接入服务并协助用户实现最佳无线网络 TCO 总拥有成本 Total Cost of Ownership 绿色低碳设计 WA2612 AGN采用专业绿色低碳设计 功耗小于 10W 而标准的 802 3af PoE 供电为 15 4W 这就意味着 WA2612 AGN可以使用普通 PoE交换机 如 H3C S3000 S5000系列 PoE交 换机 进行供电 供电距离可达 100m 使用 PoE交换机供电不仅可以方便施工 开关和重 置无线设备时也无需现场操作 只需要远程控制 PoE交换机端口 从而有效地提高无线网 络的管理灵活性并降低网络维护难度 提供千兆以太网接口有线连接 上行接口采用千兆以太网接口接入 突破了传统百兆以太网接口的限制 使有线口不 再成为无线接入的速率瓶颈 为将来支持更高速率更多射频组合提供了平滑升级的平台 支持 Fat Fit两种模式 WA2612 AGN支持 Fat和 Fit两种工作模式 根据网络规划的需要 可以灵活地在 Fat 和 Fit两种工作模式中切换 同时用户可以根据应用需求 灵活选择所需的设备出厂版本 Fat模式版本或 Fit模式版本 当客户的无线网络初始规模较小时 客户只需采购 WA2612 AGN无线设备 并设置其工 作模式为 Fat模式 随着客户网络规模的不断扩容 当网络中应用的 WA2612 AGN无线设备 达到几十甚至上百台时 为降低网络管理的复杂度 建议客户采购 H3C自主研发的 WX系列 无线控制器设备 便于集中管理网络中的所有的 WA2612 AGN无线设备 此时只需将其工作 模式切换到 Fit模式 WA2612 AGN作为同时支持 Fat Fit两种工作模式的高速超百兆无线接入设备 工作模 式切换过程只需要简易命令行 且可以通过设备网管批量执行 有利于将客户的无线网络 由小型网络平滑升级到大型网络 从而更好地保护用户的投资 非常适合运营级大规模无 线网络的平滑扩容升级 提供本地转发功能 当 WA2612 AGN Fit模式 通过广域网方式转发时 无线接入设备部署在分支机构 而 无线控制器部署在总部 所有用户数据由无线接入设备发送到无线控制器 再由无线控制 器进行集中转发 导致转发效率低下 WA2612 AGN 可将数据报文在无线接入设备上直接转 化为有线格式的报文 使得数据报文不经过无线控制器 而是在本地进行转发 大大提高 了转发效率 支持 IPv4 IPv6双协议栈 WA2612 AGN全面支持 IPv6特性 设备实现了 IPv4 IPv6双协议栈 通过与 WX系列无 线控制器建立 IPv6隧道 无论原有有线网络是 IPv4还是 IPv6 WA2612 AGN 都可以自由的 与 WX系列控制器进行通信 不会成为网络中的信息孤岛 支持智能负载均衡 WA2612 AGN支持按接入用户数量和流量的复杂均衡方式 当无线控制器发现无线接入 设备的负载超过设定的门限值以后 对于新接入的用户无线控制器会自动计算此用户周围 是否还有负载较轻的无线接入设备可供用户接入 如果有则会拒绝用户的关联请求 用户 会转而接入其他负载较轻的无线接入设备 但如果无线用户不在重叠覆盖区内 传统的负 载均衡方式往往会导致连接不上网络 造成误均衡 H3C 公司创新性的支持智能负载均衡 技术 保证只对处于覆盖重叠区的无线用户才启动负载均衡功能 有效的避免误均衡的出 现 从而最大限度的提高了无线网络容量 提供 only 11n接入功能 由于 802 11n向下兼容 802 11a b g协议 故通常情况下 802 11a b g 用户也能接 入到 802 11n的无线接入设备上 但这种兼容能力的提供 会造成具备 802 11n接入能力 的用户实际使用性能产生一定程度的下降 WA2612 AGN 支持将设备的射频设置为 only 11n 模式 使得 802 11n接入用户的高速带宽和接入性能得到保证 支持中国标准 WAPI WA2612 AGN除了支持 WLAN国际标准 802 11i 还支持中国无线局域网国家标准 GB15629 11 2003 中提出的 WAPI标准 支持无线入侵检测 防御 WIDS WIPS WA2612 AGN工作在 Fat模式时 支持黑名单和白名单等无线用户接入控制特性 WA2612 AGN工作在 Fit模式时 配合 H3C自主研发的 WX系列无线控制器设备 可以同时 支持 Rogue检测 入侵检测以及黑名单和白名单等 WIDS WIPS特性 提供 EAD无线接入 终端准入控制 EAD End user Admission Domination 解决方案从控制用户终端安全 接入网络的角度入手 整合网络接入控制与终端安全产品 对接入网络的用户终端强制实 施企业安全策略 通过与安全策略服务器的联动 可以对感染病毒或存在系统漏洞等不合 格的无线客户端进行下线 隔离 提醒或监控等多种方式的处理 只有无线客户端符合相 应的安全策略之后才允许正常访问网络 从而提高了无线网络的整体安全性 支持中文 SSID WA2612 AGN支持使用中文 SSID 可指定最长包含 32个汉字的 SSID 也可以使用中英 文混合的 SSID 为国内用户提供了更大的使用便利 支持 TR 069特性 CWMP WA2612 AGN支持 TR 069特性 此特性方便网管人员从网络侧对位置分散的无线接入 设备进行远程集中管理 TR 069 是由 DSL论坛 www dslforum org 所开发的系列技术规范 之一 其全称为 CPE 广域网管理协议 全面支持智能型有线无线一体化管理 H3C全系列无线产品都可以通过开放的网络管理协议实现基于 WSM的有线无线一体化 管理 WSM是 H3C在下一代业务软件平台 iMC intelligence Management Center 智能管理中 心 的基础上开发的无线运营管理组件 不仅为管理员提供了灵活的组件选择 同时符合业 界主流的 SOA架构 具备良好的扩展性 能够满足客户网络管理不断发展的需求 基于 Web的管理系统 为无线业务管理者提供了简便 友好的管理平台 与 iMC智能管理平台 及其它组件配合 还可实现无线设备的面板管理 故障管理 性能监控 软件版本管理 配置文件管理 接入用户管理等功能 并可对网络中的其它设备进行统一管理 真正实现 智能型有线无线一体化管理 4 2 H3C WX3024 系列无线控制器 产品简介 H3C WX3000系列有线无线一体化交换机是杭州华三通信技术有限公司 以下简称 H3C 公司 自主研发的集成无线控制器和千兆以太网交换机功能的产品 H3C WX3000 系列有线 无线一体化交换机提供纯千兆以太网有线接入口 支持 PoE 供电 每端口最大提供 25W的 功率 同时兼容 802 11a b g n协议 其中 WX3024 后面板提供两个 10GE接口插槽 解 决了 WLAN网络核心的传输瓶颈 WX3000 系列有线无线一体化交换机提供一体化的有线无 线接入控制功能 定位于中小型企业网和大型企业分支机构的一体化接入 是中 小企业 大企业分支机构实现有线无线一体化接入最理想的一体化交换机 H3C WX3000系列有线无线一体化交换机目前包含 H3C WX3008 WX3010 和 WX3024三款 型号 配合 H3C公司自主研发的 Fit AP H3C WA1208E WA2110 WA2200 WA2600 系列 可 以满足中 小型企业和大型企业一体化移动网解决方案等无线场景的典型应用 产品特点 提供对 802 11n AP的管理 WX3000系列有线无线一体化交换机在支持对传统 802 11a b g AP管理的同时 还可 以与 H3C基于 802 11n协议的 WA2600系列 AP配合组网 从而提供相当于传统 802 11a b g网络 6倍以上的无线接入速率 能够覆盖更大的范围 使无线多媒体应用成 为现实 提供灵活的数据转发方式 支持集中式转发和分布式转发 单一的集中式转发 有线无线一体化交换机 US Unified Switch 虽然能对报文进行全面控制 但所有的无线业务流都要到 US进行 统一处理 使得 US的转发能力很容易成为瓶颈 特别是当通过广域网方式转发时 AP 作 为数据接入设备部署在分支机构 而 US部署在总部 所有用户数据由 AP发送到 US 再由 US进行集中转发 导致转发效率低下 甚至当 802 11n出现时 一个 AP的业务报文流量 高达 300M之多 US 的处理性能更加成为无线系统的瓶颈 当采用分布式转发时 报文在 AP上直接转化为有线格式的报文 并不经过 US 能够实现无线报文的宽带接入 WX3000系列有线无线一体化交换机支持两种转发方式 用户可以根据需要给 SSID设 置转发的类型 提供基于 AP位置的用户接入控制 出于安全性或计费等的考虑 系统管理员可能希望控制无线用户接入到网络中的位置 H3C WX3000系列有线无线一体化交换机支持基于 AP位置的用户接入控制 当无线用户接 入网络时 可以通过认证服务器向 US下发允许用户接入的 AP列表 在 US上进行接入控制 从而达到限制无线用户只能接入到指定位置的 AP的目的 提供精细的无线用户管理 基于 MAC的认证接入控制方式 不但可以使得客户在 AAA服务器上对用户组进行权限 的配置和修改 同时支持对具体用户的权限的配置 这种精细的用户权限控制大大增强了 无线网络的可用度 网管人员可以轻松通过该方式对不同级别的人或人群进行接入权限分 配 基于 MAC的 VLAN同样也是 WX3000系列有线无线一体化交换机的一大特色 在控制策 略上 管理员可以把相同性质的用户 MAC 划分到同一个 VLAN 同时在 US上基于 VLAN 配置安全策略 这样做既可以简化系统配置 又可以做到用户级粒度的精细管理 提供内置 802 1x认证服务和内置 Portal认证服务 H3C WX3000系列有线无线一体化交换机内置 802 1x认证服务 支持 TLS PEAP MD5 等多种 802 1x的认证方式 在中小型企业用户不需要计费功能 而只需接入控制和数据加 密要求时 可利用内置的 Radius服务直接在设备上完成 802 1x认证功能 免去了复杂的 AAA服务器部署过程 既经济又省事 H3C WX3000 系列有线无线一体化交换机还提供内置 的 Portal服务器 解决了不便于安装客户端用户的安全认证问题 提供 User Profile 在基于用户授权方式的网络管理中 用户通过认证 即获得访问网络的权限 授权包 括控制用户可访问的网络范围 以及用户可获得的网络服务质量 如访问带宽 访问优先 级 在用户移动的网络或大型网络中 为了方便网管人员开展日常的管理工作 User Profile特性提供了一种更模块化 更简单的管理方式 管理人员将一组基于用户群或特殊用户定制的策略配置在各个用户的 profile中 并 且为每个用户群或特殊用户预先分配各自的 profile 用户认证上线时 在用户上线的端 口动态下发 profile配置 使该用户能动态获得其可以访问的网络范围 访问带宽以及访 问优先级 在用户下线时 取消该用户在这个端口上的配置 自动关闭该端口的特殊访问 权限 User Profile中可以下发的配置包括 ACL QoS 优先级 带宽限速 802 1p 和 DSCP 标记 VLAN