邮政银行无线网络实施方案建议书.docx
《邮政银行无线网络实施方案建议书.docx》由会员分享，可在线阅读，更多相关《邮政银行无线网络实施方案建议书.docx（32页珍藏版）》请在冰点文库上搜索。
邮政银行无线网络实施方案建议书
某省邮政银行无线网络
方案建议书
公司简介
苏州汉明技术有限公司成立于2009年6月，公司总部位于苏州工业园区，设有上海、苏州两大研发中心，在上海、北京、武汉、广州、成都、深圳、合肥等地设有分公司和办事处。
目前公司有员工近200人，其中研发人员占60％。
苏州汉明科技有限公司是一家专业致力于无线局域网（WLAN）通信软件和硬件开发与推广的自主研发型企业。
公司产品包括AP、AC、网管等全系列WLAN设备，均拥有核心技术及知识产权，获得多项发明专利，所有产品均获得国家无委会认证、CE认证、FCC安全认证，公司已获得ISO14001环境管理体系认证、ISO9001国际质量管理体系认证、国家级高新技术企业、江苏省软件企业认定等资质。
目前公司产品已全方位应用于运营商、教育、酒店、医疗、煤矿、金融、石油等多个行业。
依托强大的研发和市场团队，公司建立了全方位的产品、市场、服务体系。
1.方案概述
1.1方案概要
随着越来越多的便携式设备和智能终端都开始支持Wi-Fi接入，进一步推动了WLAN的广泛使用。
在邮政银行各分支网点部署WLAN，可方便银行工作人员使用iPad等进行随时随地业务展示、向手持终端等设备推送特色金融服务等广告页面、为等候区客户提供无线上网服务等，以满足不同客户的个性化需求，提高金融的品质服务质量。
目前业内已经有光大银行在国内72个城市共计624家网点推出了集网上银行、手机银行和电话银行“三位一体”的电子银行服务区，并提供免费WIFI上网服务，在网点中创建了“无线”服务新模式，成为国内首家实现无线网络全覆盖的银行。
本方案根据用户实际无线网络覆盖需求，基于汉明科技整体化无线网络解决方案，采用业界先进的瘦AP+AC部署方式，在业务上基于分布式转发进行架构，具有极强的可靠性、扩展性和易维护性；结合汉明科技独有的安全专利技术，从接入认证、数据加密、安全策略等多个角度进行安全一体化设计，充分保证无线数据通信的安全性和完备的无线系统防御措施。
汉明科技无线整体化解决方案，将无线漫游技术、射频信号优化技术、安全加密技术、综合管理系统、业务功能设计等进行分层模块化部署设计，将系统资源有效整合，充分发挥设备功能、性能优势，可为邮政银行客户提供安全、高品质、高可靠性的无线网络。
1.2需求分析
通过对金融行业客户的需求分析和了解，邮政银行无线网络建设存在以下需求：
1）业务需求：
供客户的笔记本、iPad、iPhone等无线智能终端接入，方便客户现场体验网上银行、手机银行等在线业务；方便分行客户经理利用iPad等智能终端进行业务推介、业务展示、指导客户手机银行应用下载等；为排队等候区客户提供无线上网服务，提高服务体验。
2）覆盖区域要求：
无线网络覆盖范围包括业务办理区、客户等待区、电子银行体验区、贵宾客户区等。
3）强大的网络安全和业务安全保障措施：
a）各网点互联网无线网络和行内网络（生产网、办公网）实施严格的物理隔离，确保金融业务安全；
b）各网点互联网无线网络开启二层隔离，保证用户之间隔离不能互访；
c）行内原有固定办公网络电脑禁止私自连接到无线网络，禁止行内计算机违规上网带来安全隐患；
d）过滤不良信息，严禁访问非法网站和发表敏感言论：
e）强用户认证和身份识别，基于用户名和动态密码认证，必须对每一个用户可以追溯识别到用户的身份；
f）个性化Portal需求：
用户在网点上网时，可弹出银行定制的WEB页面，用于客户安全提示和业务宣传；
4）无线信号要求：
网点营业大厅、贵宾区无线信号强度边缘值不低于
-75dBm，ping时延小于50ms；
5）运维管理需求：
a）上千个网点设备集中管理、统一维护、支持全网统一升级；
b）支持基于用户的带宽限制，防止某一用户占用大量带宽影响其他用户体验；
c）用户信息记录和查询、统计等
1.3客户价值
汉明科技作为专业WLAN解决方案提供商，专门为邮政银行所做的方案，可以为客户提供以下价值：
1）架构先进，方便运维：
业内先进的“AC+AP”组网架构，通过在邮政银行总部部署大容量AC，集中管理各分行网点上千台AP，实现所有设备的集中管理、统一配置、策略下发等，极大减轻运维难度；
2）多重安全机制保障业务安全：
汉明科技通过有线无线物理隔离、行内机器MAC地址过滤、基于手机号和动态密码的认证方案等多种手段确保银行业务安全和用户上网安全。
3）方便移动业务展示和提高客户服务体验：
通过iPad、智能手机等随时随地进行网上银行、手机银行业务推介、使用指导，提供客户等候排队期间的上网服务等，提高客户服务体验，提升品牌形象，带动业绩增长和业务推广。
2.无线网络系统解决方案
2.1方案总体拓扑
该方案的具体网络拓扑架构如下图所示：
在该方案中，包括如下设备：
⏹无线控制器：
在邮政银行总部部署一台汉明科技大容量无线控制器Howay8000S（框式3槽位设备、双电源冗余备份），可实现对1000个分行网点的AP及接入终端的集中式管理，管理AP数量可达2048个。
⏹无线接入点AP：
在每一个分行网点营业大厅，部署2台吸顶式AP；采用汉明科技吸顶式APHoway2000NI，外形美观，支持802.11b/g/n协议，最大接入速率300Mbps，单台设备可带40个用户，实现优化、无缝的无线信号覆盖和数据分布式转发。
⏹POE模块：
在每一个分行网点，建议采用2个汉明科技千兆单口POE模块为2个AP提供上行链路及对AP进行POE供电。
⏹Radius主备服务器：
在邮政银行总部部署两台汉明科技Radius主备用服务器，提供用户授权和统一认证，Radius服务器支持与运营商短信平台交互，将生成的动态口令通过运营商短信平台发送到指定的手机上，实现自助式用户账号管理和用户唯一身份确认。
⏹Portal主备用服务器：
在邮政银行总部部署两台汉明科技Portal主备用服务器，提供用户Portal认证页面推送和业务推广信息推送，并与Radius、AC联动完成用户的认证交互等。
汉明科技结合用户无线网络需求情况，结合汉明科技自身技术特点，为了满足用户构建一个高速、稳定、安全、可靠、易于管理的无线接入网络的需求，本设计方案按照汉明科技AP+AC的结构化无线网络解决方案进行设计。
整体框架基于瘦AP方式部署，采用AC（无线控制器）对AP进行集中管理、控制、配置下发，以及对接入终端的认证、数据分布式转发、漫游等功能。
系统的中央无线控制器可以同时控制上千个AP协同工作。
操作和维护工作现在只需要在AC上进行就可以了。
在这个架构里，AP只负责无线信号的收发，不作MAC层及其以上的协议层处理，所有的智能工作都由AC完成。
汉明科技基于瘦AP+AC架构方案的优势在于：
⏹配置简单：
AP零配置、所有的配置集中在无线交换机上完成，简单便捷；
⏹维护方便：
管理、维护针对无线交换机来实现，不需要对每一台AP进行操作；
⏹易于升级：
针对特性增加带来的软件版本升级需求，只需要对无线交换机进行操作即可，不需要对每一台无线AP单独升级，软件的升级由AP自动完成。
安全可控：
可以集中进行射频及功率、信道调整，黑白名单、无线入侵检测、安全访问控制等功能；
⏹扩展性强：
根据需要，可以灵活增加补点AP，需要扩容的话，只需要将AP接入网络即可。
⏹网络性能好：
高速的数据转发，支持快速切换，数据私密性好，天然的MAC层加密隧道；
⏹抗干扰性强：
可动态分配信道，并在受干扰时切换到最优信道。
本方案中，AP与AC使用三层架构部署，即AP与AC处于不同IP子网，AC设备负责AP设备的集中管理和配置，AC /AP组网支持跨越NAT网络环境。
考虑到无线网络中多媒体业务对带宽大规模占用的特点，以及对上千台AP的大流量处理要求，如果采用集中式转发的架构模式，AC很容易成为性能瓶颈。
因此方案中采用分布式转发模式。
控制、管理报文通过无线控制器进行统一处理，数据报文在无线AP上直接转化为以太网格式的报文，不需要通过隧道封装交无线交换机处理，从而解决无线控制器的数据转发性能瓶颈问题。
2.2无线网络功能设计
1）零配置/即插即用功能：
AP上不需要进行任何配置，只要接入到网络就可以工作
2）软件自动升级功能：
AP的软件完全实现自动升级
3）批量配置功能：
对连接到无线控制器的众多AP进行批量配置
4）动态信道分配功能：
无线控制器可以为AP自动分配信道，并在受到干扰时切换到最优信道
5）自动发射功率调整功能：
AP发生故障后，邻居AP可以提高自身功率，以弥补覆盖空洞
6）网络负载分担功能：
既可以实现用户在不同AP下的负载分担，也可以实现AP在不同无线控制器下的负载分担
7）快速切换功能：
用户在同一无线控制器的不同AP之间漫游时，可以大大提高切换速度，切换时延只有8~9毫秒
8）跨区组网功能：
对于分散在不同区域的AP依然可以通过城域网连接到无线控制器，而且AP无需任何配置
9）跨IP子网漫游功能：
无线工作站无需作任何改动，可以在不同的IP子网进行无缝漫游
2.3无线网络安全设计
WLAN利用了不可见的公用媒介进行空中信号传播，安全问题是部署无线的巨大挑战。
仔细分析无线网络面临的安全挑战，主要是防止非法窃听、数据篡改，防止非法用户接入，防止恶意攻击（ARP攻击、DHCP攻击），防止AP过载（广播风暴），防止不合理应用等。
针对以上安全问题，汉明科技无线系统可以提供多标识的用户的接入验证功能，如无线链路接入认证，以及针对用户接入的802.1X、WEB认证、MAC、SSID等多种标识的认证方式。
并且，可以提供对无线链路进行加密功能，如WEP、WPA、WPA-PSK、WPA2等加密方式。
实现对所有无线数据进行加密传输
无线网络的安全性设计体现在接入认证、数据加密、安全策略三个层面。
接入认证实现对接入无线网络的终端和用户进行接入合法性检查；数据加密对终端和AP之间的数据进行加密处理，防止窃听；安全策略采用用户隔离、SSID隐藏、MAC地址过滤等技术手段抵御恶意用户的攻击行为。
Ø接入认证方案设计：
汉明科技AP产品支持MAC地址认证、预共享密钥认证、802.1X认证、portal认证。
如果用户网络中已包含radius认证服务器，我们建议用户采用portal认证方式实现对接入用户的准入。
也可以在用户现有网络认证系统的基础上进行扩展，把无线系统的接入控制加入到现有认证系统中，实现用户网络认证系统的统一性和完整性。
汉明科技全套WLAN产品均支持与标准认证系统的无缝对接，可完美支持Portal、802.1X、PSK、PPPOE等认证接入方式。
个性化Portal定制：
Portal认证也称为Web认证，一般将Portal认证网站称为门户网站。
未认证用户接入wlan后上网时，打开浏览器，portal网关设备将强制用户登录到特定站点，提示用户输入用户名和密码，只有认证通过后才可以使用互联网资源。
本项目可针对不同网点设备推送不同的Portal页面，实现Portal页面可定制，以推动不同的认证页面和广告业务推广页面。
手机账号和动态口令：
本项目为了作为唯一确认用户身份和密码安全性考虑，采用用户账号采用用户手机号，密码通过短信交互动态获取方式以确保安全性。
Ø数据加密方案设计：
汉明科技除了支持WIFI通用的安全策略和中国标准的WAPI安全标准外，还发明了《一种基于E-CARD的加密保护方法》、《一种用户和无线点之间的专有加密保护方法》、《一种基于心跳的WLAN网络资源防盗方法》三个关于WIFI的安全专利。
其中，E-CARD加密保护方法在提高数据加密等级的基于上，对数据加密性能和效率进行了极大的优化。
本方案中，AP与终端设备之间采用E-CARD技术进行加密。
采用E-CARD技术对全网数据进行机密保护。
由于采用汉明独有专利技术，使得对加密数据的破解更为不可能。
Ø安全策略方案设计：
1.隐藏SSID，在特定的应用过中可以使用隐藏SSID技术，不主动广播SSID信息，终端采取主动寻找方式进行接入，可以防范外来用户使其无法搜索到该SSID的信号，故也无法接入。
2.MAC地址黑名单：
将行内原有固定办公网络电脑MAC地址列入黑名单，禁止私自连接到无线网络，禁止行内计算机违规上网带来安全隐患。
3.用户间隔离功能：
启用同一SSID的用户之间二层隔离，保障二层安全，避免ARP攻击、DHCP攻击、广播风暴等二层攻击行为。
2.4无线网络管理框架设计
本方案无线网络的管理分为两个层次两级管理。
第一层是接入层的AP，第二层是无线控制器AC，第一层的AP无需单独维护，全部交给第二层的AC进行统一的配置管理，包括安全策略、QoS策略、RF射频管理和漫游管理。
在本方案中，AC设备是整个无线系统的核心，体现在对所有AP设备的集中式管理、数据集中转发，为接入用户提供安全、数据、漫游、QOS等服务。
在传统无线网络建设中，有一个始终令网管人员感到头痛的问题，那就是对AP的管理、监控以及AP自身固件的升级。
由于传统AP是一种称作为“FATAP”，即自身需要有相应控制软件以及独立的配置才能运行，而由于AP是一种接入层设备，数量较多，且由于现场网络的复杂性以及业务的多样性，导致需要根据各“热点”区域进行相应配置，并且还需要网管员对这些特殊配置进行记录，以方便日后维护；此外，在日常运行中，还需要了解这些数量众多AP的工作状态及性能等数据，而一般AP管理工具功能太过简单，如果采用有线网络网管软件，由于没有很好的对无线网络做相应的开发与支持，从而不能很好的管理无线网络。
而采用汉明科技无线整体解决方案架构下的无线网络，AP是一种被称作“THINAP”的结构，由于AP本身没有任何需要配置的参数，同时AP与中心无线交换机之间采用CAPWAP协议进行通信，AP的固件、配置信息均由中心的POE交换机提供，并且AP与汉明科技无线交换之间采用“心跳”机制定时保持通讯，为了解决传统“FATAP”能够集中管理、配置、升级AP；AP与汉明科技无线交换机之间采用“心跳”机制，定时保持通讯，无线控制器能够非常及时的了解AP的工作状态。
集中式无线网络管理方案大大提高了用户对网络系统的易维护性，在AC上实现对所有AP、接入用户的状态监视、配置管理，远程操作等。
瘦AP和无线控制器系统有非常强大的集中管理功能，所有的关于无线网络的配置都可以通过配置无线控制器器统一完成。
例如开通、管理、维护所有AP设备以及移动终端，包括无线电波频谱、无线安全、接入认证、移动漫游以及接入用户等所有功能。
汉明科技AC产品为Web图形化界面设计，提供友好、简捷的人机界面，方便用户维护、管理。
2.5WLAN系统无缝漫游设计
在wifi网络中，用户终端通过关联AP广播的SSID进行wifi接入。
移动漫游过程中，用户终端会对关联的AP进行切换，在切换过程总，不可避免的将发生“切断上一个连接、关联下一个连接”的过程，导致用户上网体验中断和业务丢包现象。
由于无线局域网采用类似于移动通信网中的“蜂窝”覆盖方式，来实现大面积覆盖，当终端在移动一点到另外一点的移动过程中，不可避免的需要从一个AP切换到另外一个AP，在切换过程中，移动终端需要进行“取消关联”及“重关联”的操作，此外，在有后台认证系统存在的情况下，用户还需要进行重认证、sessionkey重分发及重新分配IP地址的过程，这种方式无法满足一些对时延非常敏感的业务诸如VOD点播、VoWLAN等的支持，因为传统无线网络的漫游只停留在IEEE802.11协议层上，并没有对用户会话进行完整性保持。
而在本方案中，我们采用基于汉明科技Hacip漫游切换控制技术，该方案以无线控制器为核心，对所有AP上接入的用户采用统一会话管理，所有已认证终端均在中心无线控制器中保存相应会话，AP仅仅只负载传输用户数据，因此无论终端移动到哪个AP下，用户信息和授权都在无线控制器所管辖的移动域内快速的交互，可以有效保持会话完整性及可靠移动性的前提下实现无缝漫游。
最终使得终端漫游切换时间控制在30ms-50ms之内，漫游切换丢包率控制在0.5%以下。
基于HACIP技术的漫游切换过程
用户在AP1的范围内，通过AP1与网络进行连接，当用户处于AP1与AP2交叉范围内时，用户在与AP1连接的同时，与AP2做好连接的准备，当用户到达AP2的范围时，通过AP2与网络进行连接,用户感觉不到AP的切换造成的网络中断现象。
汉明科技HACIP快速漫游切换技术特点如下：
⏹无线漫游过程对无线终端而言透明化
⏹无线终端漫游过程中,IP地址和TCP连接保持不变，不影响用户的上层业务
⏹漫游切换过程小于30ms
⏹漫游过程中，无线终端不改变ip地址，无需重新认证
2.6WLAN频率规划
WLAN802.11b/g/n工作在2.4GHz频段，频率范围为2.400～2.4835GHz，共83.5M带宽，划分为13个子信道，每个子信道带宽为22MHz。
子信道分配如图3-1所示。
WLAN802.11b/g工作频段子信道分配
在使用2.4GHz频点时，为保证信道之间不相互干扰，要求两个信道之间间隔不低于25MHz。
在一个覆盖区内，最多可以提供3个不重叠的频点同时工作，通常采用1、6、11三个频点。
WLAN频率规划需综合考虑建筑结构、穿透损耗以及布线系统等具体情况进行。
同一楼层覆盖区域内使用3个AP示意图
2.7AP部署方案设计
根据用户建筑结构并结合汉明科技无线部署经验，本方案按照1000个分行网点进行设计，每个网点需要2台AP，合计使用Howay2000NI型无线AP设备2000台，配套单口POE模块2000台。
无线信号采用蜂窝式部署方式实现。
如下所示为AP部署点位示意图：
每个分行网点AP部署点位示意图
2.8方案特点
1）智能化的射频管理特性－减少射频管理成本、提高射频管理效率
针对无线网络中存在的射频管理难题，汉明科技提供基于集中化或内置于无线控制设备的可视化智能RF管理工具。
借助该管理工具所提供的强大功能，汉明科技无线控制设备可以及时发现无线网络中由于接入点失效而产生的射频覆盖黑洞，并通过经优化设计的RF算法协调失效AP周边的其它AP资源来完成对覆盖黑洞的有效弥补。
同时无线控制设备还可以发现无线网络中存在的射频干扰问题，继而利用经优化设计的RF算法协调整网射频信道资源，从而为受干扰AP选择新的可用信道。
该新的信道信息会自动下发到受干扰的AP并得到执行，从而快速解决射频干扰问题。
当在现有无线网络中为满足覆盖需求而增加新的AP时，汉明无线控制设备也可以通过优化的RF算法自动决策并指导新的AP完成无线信道及射频功率的调整，以此实现无线接入点的快速部署。
汉明智能化的管理特性可显著提高网络管理者对无线网络的部署和管理效率。
2）强健的网络安全特性－降低安全威胁、避免法律风险
无线网络在某种程度上可以看作是一个开放式的公共网络，因此，为了向网络经营者提供强健安全的现代化无线网络，汉明科技在关系到网络安全的各个层面均提供强健丰富的安全特性。
在用户接入安全方面，汉明科技提供802.1x接入认证、PSK认证、MAC接入认证以及portal认证等。
通过AAA服务器与无线控制设备的有机结合，汉明科技可为用户提供基于用户角色的策略控制，这其中包括对用户的QOS特性、应用访问权限及无线漫游特性等参数的管理和控制。
在无线用户数据安全方面，汉明科技提供WEP、WPA、WPA2及WAPI在内的强健的无线网络加密功能，为无线用户提供不同级别的数据安全保障，满足无线网络各种应用对数据安全的要求。
在无线网络环境安全方面，汉明科技智能无线接入点可同时工作在无线接入点和无线监视器的模式。
同时，汉明科技还提供完善的WIDS功能，帮助网络管理者及时发现并响应网络中存在的RogueAP和ADHoc主机等不安全因素，并可有效防护发生在无线网络中的DOS攻击。
3）最具时效的网络管理手段－降低总体管理成本、提高整网管理效率
针对网络中部署的无线接入点，汉明科技提供集中化的零配置管控能力，允许所有接入点自动发现并与控制设备关联，并提供对接入点的配置信息和软件版本进行自动更新和升级。
由此，最大限度减少网络管理人员对无线接入点的维护工作量。
为了解决无线接入点设备供电问题，汉明科技全系列无线接入点均提供基于802.3af标准的以太网供电（POE）支持。
由此，网络建设可以使用POE供电设备为广泛分布的无线接入点进行集中供电，有效解决在各种环境下部署无线接入点时的电源引入问题，提高部署灵活性、减少部署时间并降低部署成本。
同时，通过配合使用汉明科技的POE供电交换机，网络管理者还可以实现对无线接入点工作状态及其耗电情况等方面的远程检测或调整。
对于每一个在网络中部署的设备，汉明科技均提供内置于设备的可视化中英文WEB网管系统。
基于该网管系统用户可获得基于统一风格和操作习惯设计的有线、无线集成网管所带来的好处，有效帮助网络管理员以最高的效率完成设备的配置和维护工作。
针对整个网络所有设备的集中化管理需求，汉明科技提供全面集成有线、无线管理能力的智能融合一体化网络级大型网管平台。
是一个将有线和无线网络管理特性完美融合开发而成的开创性网管平台，除向用户提供风格完全一致的有线、无线网络管理操作手段和全特性的有线、无线管理套件，还提供全面的网络性能、事件、日志和趋势分析能力。
借助于丰富强大的管理和分析特性，网络管理员只需操作一套软件即可顺利完成对整体网络的部署、管理和优化，还可快速定位并帮助解决网络中产生的故障。
这极大简化了网络维护的复杂性，并有效降低网络运营成本。
4）满足多业务融合的软硬件平台－降低投资风险、提供投资保护
汉明Howay系列无线控制器是汉明科技公司为网络运营者交付的全特性无线网络控制和管理设备。
全系列产品采用先进的并行多核多业务处理器及高速ASIC作为业务和数据处理平台。
借助于先进的软、硬件产品设计，汉明Howay系列无线控制器除提供无线用户接入、无线设备管理、无线实时语音、无线视频传送、无线快速漫游等全面无线业务能力外，还可提供高性能的NAT、应用控制、带宽管理等丰富业务特性。
同时，汉明科技Howay系列无线控制器还提供基于芯片级别的IPv6业务特性，可对Ipv6数据报文进行硬件级的高速转发，加速各种基于Ipv6的业务处理能力。
3.设备选型和参数介绍
3.1Howay8000S无线控制器
汉明科技自主研发的Howay8000系列无线控制器产品，是面向运营商级别的新型高速无线控制器。
基于业界领先的多核处理器架构设计，可提供强大的数据处理能力和多业务扩展能力，具有管理AP容量大、处理性能强、功能特性丰富等特点。
●产品特点:
Ø高性能、多形态
Howay8000系列AC采用业界最新一代的多核网络处理器，包括Howay8000S、Howay8000M和Howay8000L三个型号。
每种型号的机框可以选配主控板和业务版。
Howay8000S可以单独采用1块业务板，也可以采用1块主控板加1～2块业务板，双电源冗余，最大可管理2048个AP；Howay8000M采用1～2块主控板和1～4块业务板，电源、主控冗余，最大可管理8192个AP；Howay8000L采用1～2块主控板和1～8块业务板，电源、主控冗余，最大可管理16000个AP。
Ø支持全网无缝漫游
AC漫游功能基于汉明科技独有的HACIP快速切换技术，真正做到了终端在AP间漫游切换0丢包，切换时间控制在50ms以内，漫游过程中不改变IP地址，无需重认证。
Ø支持分布式/集中式数据转发架构
基于业界领先的数通技术，AC可灵活地决策无线终端数据由本地转发还是集中转发。
AC根据网络的SSID和用户VLAN
升级会员 