智慧园区无线网络覆盖解决方案-信锐技术.docx
《智慧园区无线网络覆盖解决方案-信锐技术.docx》由会员分享，可在线阅读，更多相关《智慧园区无线网络覆盖解决方案-信锐技术.docx（29页珍藏版）》请在冰点文库上搜索。
目 录
目 录 3
一、 项目背景 5
1.1园区WLAN建设背景概述 5
1.2WLAN园区无线网络总体需求 5
二、 解决方案 7
2.1WLAN无线园区网络框架 7
2.2园区无线网路覆盖设计 8
2.2.1WLAN无线覆盖 8
2.2.2射频规划 9
2.3园区无线网络安全性设计 10
2.3.1无线接入认证 10
2.3.2无线空口安全 11
2.3.3访问控制 11
2.3.4行为审计记录 12
2.3.5安全隔离 12
2.4园区无线网络稳定快速设计 12
2.4.1流量控制 12
2.4.2无线空口QoS 14
2.4.3信锐独有的应用层加速技术 14
2.5园区无线网络高可靠性设计 16
2.5.1 AC1+1冗余 16
2.5.2AP灾备冗余 16
2.5.3认证服务器冗余 16
2.6园区无线网络运营维护设计 17
2.6.1设备集中管理 17
2.6.2分级分权管理 17
2.6.3可视化的热点地图 18
2.6.4远程AP智能连接 18
三、 信锐方案优势 21
3.1完善的解决方案 21
3.2强劲的自主研发能力 21
3.3一体化融合方案 21
3.4完善的售后服务体系 22
四、 设备选型及产品介绍 23
4.1设备清单 23
4.2产品介绍（可选） 24
4.2.1无线控制器NAC-6200 24
4.2.2无线接入点NAP-2800 24
4.2.3无线接入点NAP-7600 25
4.2.4POE交换机SW-5024 25
五、案例介绍 27
5.1海吉星物流园WLAN工程建设 27
5.2浙江舟山市科创园WLAN工程建设 28
5.3安正时尚集团文化创意产业园WLAN建设 28
5.4合肥高新技术创业园WLAN建设 29
六、售后服务 30
6.1服务体系介绍 30
6.2售后服务承诺 31
一、项目背景
1.1园区WLAN建设背景概述
移动互联网时代，人们离不开手机，更离不开网络。
因为方便快捷，WiFi成为现代人上网的主要方式之一。
新华区政府信息化项目为贯彻落实《中共中央国务院关于印发〈国家新型城镇化规划（2014-2020）〉的通知》和《国务院关于促进信息消费扩大内需的若干意见》的有关要求，政府也会引导建设信息化园区，智慧城市催生园区WiFi。
园区经济是中国发展的主要助推器。
中国目前有各类产业园区15000多个，其中省级
以上的产业园区近1700个，国家级产业园区400多个，产业园区对整个中国经济的贡献达到30%以上已经成为中国经济增长的助推器。
智慧园区智能化管理系统运用移动互联网、云计算、物联网等技术，整合园区安防、管理和服务，形成各系统的信息交互，实现园区智慧化管理，为园区用户打造安全、便捷、规范的工作环境；为园区管理者提供高效、可靠的综合管理手段，从整体上提高园区形象，增加园区竞争力。
园区WLAN的建设是智慧园区的关键，能够为为园区的企业办公楼、宿舍楼、生产车间、园区室外公共区域提供无线覆盖，为员工、访客提供高速、无缝漫游的无线网络，满足园区企业无线安全，实现无线办公。
1.2WLAN无线园区网络总体需求
l安全
l安全、便捷的接入认证方式，保证网络的安全性
l精细的访问控制策略，保证部门信息安全
l对数据传输进行加密，防止黑客窃取、篡改
l快速
l在园区内移动时能快速切换，满足移动办公需求
l足够的互联网以及内网带宽，保障办公应用的流畅访问
l稳定
l无线不断线、不中断，不能因无线网络问题影响办公效率
l良好的网络冗余和容错能力，无线网络常年使用稳定
l智慧
l智能环境监控、能源控制、通道管理、访客自助服务
l智能办公、公共资源利用、企业保姆服务、虚拟前台服务
l周边服务
二、解决方案
2.1WLAN园区无线网络框架
结合用户无线网络需求情况，结合信锐产品自身技术特点，为了满足园区构建一个高速、稳定、安全、可靠、易于管理的无线接入网络的需求，本设计方案按照AP+AC的结构化无线网络解决方案进行设计。
采用AC+瘦AP的网络框架，根据园区不同场景选择不同的AP类型进行无线覆盖，如办公楼选用室内吸顶式AP，宿舍楼选用面板入墙式AP，对于园区室外公共区域选用室外专用AP，从而实现整个园区的无线覆盖。
（信锐技术WLAN园区解决方案构架）
2.2园区无线网路覆盖设计
2.2.1WLAN无线覆盖
2.2.1.1办公楼场景覆盖
办公楼这类室内场景具有接入用户数多，覆盖范围大的特点，对于普通场景，采用室内双频AP，支持吸顶、壁挂、桌面放装三种安装方式，可以根据覆盖目标的具体情况选择安装方式；对于用户高密场景，可以采用室内802.11AC高性能AP，其高吞吐量、高用户并发等优异的性能均能很好的满足无线接入，为企业提供高质量有偿的网络服务统一网络接入管理平台。
2.2.1.2员工宿舍场景覆盖
园区宿舍楼、公寓楼这类场景有一个典型特点就是：
房间结构统一，墙体分布密集，无线信号衰减严重。
若采用传统的走廊放装部署，将AP部署在走廊里，信号穿透墙体进入房间内，使得覆盖效果大好折扣。
主推方案：
采用新型的86型面板AP进行无线部署，直接替换房间内面板暗盒，即可快速完成无线网络的部署，保证每个宿舍都是满格信号，大大减少施工，同时还不破坏房间环境设计；
备选方案：
采用公分馈线方案，将天线通过馈线引入房间，提升信号覆盖效果，一个AP
可以覆盖4-8个房间，并保证房间内满格信号。
2.2.1.3会议室、饭堂高密场景覆盖
园区食堂、体育馆等用户高密场景，传统的无线部署方案往往同频干扰严重，从而导致设备多用户处理能力和传输带宽大大降低，信号满格却总是连不上，网络变得“华而不实”。
采用802.11ac高密覆盖解决方案，单台AP提供吞吐更高、接入更快的无线上网服务，无线信号覆盖以5G为主，2.4G为辅，充分利用5G频谱资源，同一空间内可以实现13个互不干扰、不重叠的信道，另外，合理规划2.4G网络频谱，减少同频干扰。
2.2.1.4室外公共区域覆盖
园区室外公共区域场景部署的设备经常被风吹雨晒，要求室外设备必须防护能力高、防水防雷、安装维护简单等，利用室外专用AP对园区室外区域进行无线覆盖，IP68专业级防
护能力，支持全封闭防水、防潮、防尘以及防火、防晒等，在极端恶劣的室外环境中仍可正常使用，可有效避免室外恶劣天气和环境影响，不管是在潮湿的南方还是寒冷的北方都适用。
另外，利用WDS组网，可扩大无线覆盖、回传距离。
2.2.2射频规划
2.2.2.1SSID规划
针对园区不同的用户群体，在AP上设置多个SSID（单频AP最多支持16个，双频AP
最多支持32个），比如：
SSID1用于园区员工、SSID2用于园区工作人员和SSID3用于访客。
不同的SSID采用不同的接入认证方式，并通过AC对不同的SSID下发不同的访问控制、
QOS等策略。
除此之外，根据业务应用将SSID与VLAN一一映射对应，区分不同的业务类型和用户群
体。
2.2.2.2信道规划
使用2.4GHz网络为例，为保证信道之间不相互干扰，要求两个信道之间间隔5个信道以上。
也就是说，在无线覆盖区域内，最多可以提供3个不重叠的信道同时工作，通常采用1、6、11三个信道。
WLAN频率规划需综合考虑建筑结构、穿透损耗以及布线系统等具体情况进行。
如果部署的是双频AP，则一个AP可以同时发射2.4G网络和5.8G网络。
对于5.8G网络来说，最多可以提供5个不重叠的信道同时工作，分别是149、153、157、161、165五个信道，这样对于AP点位的部署非常灵活，可以有效降低无线干扰，提高无线上网速度。
除此之外，国家针对于802.11AC新一代无线网络，也逐渐的开放了更多的频段，拥有13个不重叠、不干扰的无线信道。
5G网络具有无线传输快、环境干扰小的优势。
2.4G网络信道规划如下图（5G网络信道规划类似）：
图纸中橙色、蓝色、黄色信号圈分别为1、6、11信道。
圆心点为AP部署位置。
2.3园区无线网络安全性设计
2.3.1无线接入认证
园区无线网络最主要用户群体当属为员工，员工每天使用无线的时长通常大于2小时，从宿舍到办公楼，再到饭堂，到室外娱乐，一天之内需要在多个地方上网，采用传统的Portal
（web）认证，需要重复输入密码、认证繁琐，网络体验不佳，利用信锐新一代Portal认证，设置断线免认证时间间隔，一天之内只需认证一次，既可在多个场景接入上网，无需重复输入密码，简化认证过程。
为了防止员工利用同一个账号共享上网或在多个终端滥用，可以通过账号-MAC自动绑定功能，在账号首次登陆时即将账号与终端MAC地址进行绑定，防止账号共享上网。
同时，信锐技术的无线接入方式分为员工接入和访客接入，员工接入内网，可以访问一些内部资源与外部网络，支持和园区内部的用户认证服务器进行身份认证，只需要在配置页面上配置对接信息即可以和LDAP、AD域、Radius等园区内部的用户身份数据库进行快速的身份校验，既安全且可靠。
而访客则接入外网，优化内网的工作效率与访客的外网体验，更保护了内网的安全，增强内网的安全性，防止内网受到攻击而导致内部资料泄露。
园区常用的认证方式主要为二维码认证与微信认证，二维码认证安全快捷，微信认证可实现吸粉，适合园区使用。
此外信锐技术还有短信认证，免认证，临时访客认证等方式。
2.3.2无线空口安全
园区无线网络的无线空口安全威胁主要来自非法接入点、空口窃听、恶意攻击。
l非法接入点
非法接入点，如私接无线接入点、共享热点、AD-Hoc等，其威胁主要是对园区无线网的干扰以及诱使用户接入从而盗取用户信息，通过wIPS，检测无线环境中存在的攻击和危险行为，实时告警并产生日志，并对指定类型的攻击对象执行反制。
对非法接入点进行检测及反制，要求AP工作在特定模式下，推荐AP工作在混合模式，在提供接入业务的同时监听并反制周边设备，低成本部署。
l空口窃听
总所周知，无线网络是以空气为介质进行传播的，数据通常被暴露在空气中，高校中一些好奇的员工利用无线空口抓包工具进行破解账号密码、数据分析等，对园区无线网路造成安全隐患，通过对无线空口进行WPA/WPA2/WAPI安全加密，或采用高安全性的802.1x、第二代Portal认证，对用户认证数据以及业务数据进行安全加密，可有效防止空口数据被窃听。
l恶意攻击
园区网络中典型的恶意攻击包括DDOS攻击、PING攻击、ARP欺骗攻击，DDOS攻击、
PING攻击等洪泛攻击可以使主机资源被耗尽，从而达到攻击的目的，致使服务器瘫痪、无法访问的情况。
信锐通过在无线层面的攻击检测技术，可以将攻击终端加入到动态黑名单中冻结一段时间并产生告警通知，有效预防AP接入资源、服务器等资源被耗尽。
同时，不影响其他终端的正常接入。
2.3.3访问控制
园区信息资源众多，企业员工信息系统、业务系统、财务系统等，加上园区外来访客人数较多，必须针对不同的用户、不同的接入位置、不同的时间段进行访问控制，通过基于应用层的访问控制，灵活控制员工和访客的上网权限，园区员工只能访问已授权访问的系统，防止非法的、未经授权的越权访问，相比于传统的基于MAC、IP地址、端口的ACL访问控制策略更精准、更强大。
利用无线控制器的应用访问控制，可以将控制策略下发到AP，从而实现对内外网的访问权限控制，相比于其他方案（如采用DPI设备，只能控制访问互联网的流量）更能保证园区无线网路的安全性。
另外，互联网资源极其丰富，但却良莠不齐，园区有义务规范园区内企业员工和访客的
上网行为。
基于全国最大的应用识别库，精准识别1900多种网络应用和千万级的URL地址，将违法、违规、暴力、黄色等不良网页过滤掉，净化网络环境；同时过滤钓鱼网站、恶意广告、垃圾博客，防止用户不慎访问不受信的网站带来的上当受骗。
2.3.4行为审计记录
为了进一步保证园区的信息安全，对特定的系统资源以及网络舆论进行保护，对与园区的系统、BBS论坛、贴吧等相关的网络行为进行审计记录，当疑似出现安全问题时，能够做到有迹可循。
针对于无线用户的上网行为审计，包括但不限于HTTP外发内容、访问的网站和下载、邮件、FTP、TELNET、其它网络应用、网页内容、ACL拒绝行为、以及上网流量与时长控制。
信锐无线支持内置数据中心和外置数据中心两种保留方式。
其中内置的数据中心可以配置日志保留天数、磁盘预警百分比。
除了将审计的结果保存于数据中心之外，我们还提供多种类型的报表，这些报表可以更好的帮助客户分析网络状态，为客户提供更方便、快捷的的管理维护方法，以及更深层次的挖掘上网用户价值，助无线增值一臂之力.
2.3.5安全隔离
在无线网络接入的环境下，移动终端间可以进行相互通信，存在较大安全隐患。
例如部署用于公众上网的无线网络中：
终端之间传输大量文件损耗AP有限的带宽资源，
降低了无线网络性能；终端之间的任意互访有可能导致的数据被窃取的恶意行为，存在安全隐患，甚至还有可能存在某些感染了病毒的终端传播病毒的风险。
信锐无线在无
线网络部署时，启用此VLAN内用户隔离功能选项，禁止同一VLAN内的用户之间相互通信，可以减少同一个VLAN内无线终端间的广播报文，提高了无线网络性能，同时提高了安全性。
还有避免某些感染了病毒的终端传播病毒的风险，最大限度地确保办公安全，高办公效率，保障用户无线体验。
2.4园区无线网络稳定快速设计
2.4.1无缝漫游
企业对移动办公的强烈需求，员工在移动过程中要求保证业务不中断、不影响正常办
公。
员工在办公楼、饭堂、园区外公共区域等移动，信锐无线提供L2/L3快速漫游，当用户在企业内移动时能够在不同接入点之间实现快速、平滑的漫游切换，保证用户在不同
VLAN间快速漫游，并保持认证状态不变，让您漫游切换无感知，业务不中断，让企业移动办公更稳定。
结合信锐独有“防终端拖滞”创新专利技术，支持用户平均分配带宽，根据时间公平算法，防止单个终端拉低网络整体速度。
可以保证终端漫游更快速，让移动办公更流畅、更稳定！
2.4.2流量控制
对于任何一个网络来说，流量控制都是非常必要的。
网络越大，用户越多，流量控制的重要性越大，由于互联网出口带宽资源的宝贵，加上互联网应用所需要的带宽越来越大，如何合理的利用有限的带宽资源极为关键。
l基于业务类型的流量控制
根据业务类型进行流量控制可以有效保证用户的上网体验，将流量带宽根据业务类型的重要性以及实际情况进行通道划分，可以按照业务系统、网页浏览、视频、下载、其他等划分整体流量，并设置优先级，避免大流量的网络应用影响重要业务应用的正常使用。
l基于用户/用户组的流量控制
根据实际情况，对用户进行最大上行和下行带宽限制，防止单用户过度、不合理的使用网络带宽而影响其他用户的正常使用。
可以根据用户类型，比如员工、访客，为员工分配高额度的最大带宽，对访客则统一分配一定额度的最大带宽。
l基于AP/AP组的流量控制
不同的场景下，用户数不一样，合理的根据实际使用需求进行带宽划分可以有效保证上网效果，根据AP/AP组进行带宽分配，为某个重要区域划分足够的带宽，保证上网效果。
比如园区运动场有大型的篮球赛时，园区信息管理人员可以为运动场区域的AP组分配多一些带宽，以满足大量用户的接入使用。
l基于时间段流量控制
园区宿舍白天在线人数较少，晚上在线人数激增，而办公楼场景却恰恰相反，白天人数较多，晚上人数少，根据时间段的流量控制，结合基于AP/AP组、用户、应用类型的流量控制，合理分配带宽资源，最大化提高带宽利用率。
l动态流量控制
通过动态流量控制，根据实际带宽使用情况，实时调整通道流量，重要业务系统设置为保证通道，非重要应用设置为限制通道，当非重要应用的限制通道有空余带宽时，可以分配给保证通道使用。
2.4.3无线空口QoS
单AP的无线连接速率从几年前的54M、150M到现在的300M、600M，甚至G比特，无线连接速率不断增大，除去报文额外开销，加上在实际环境中速度衰减以及无线终端的协议支持，实际有效可用的空口资源有限，并且AP的空口资源会随着接入人数的增加而递减，有效的管理AP的空口资源如同流量控制一样重要，合理分配空口资源可以提高用户传输速度，提高用户上网体验。
NAC支持基于应用、SSID的空口资源分配，并支持802.11e/WMM优先级设置，全面保障无线空口资源的合理利用。
l基于SSID的空口资源管理
通过基于SSID的空口资源分配，将同一个AP上的多个SSID按照百分比进行分配，比如员工SSID分配50%，教师SSID分配40%，访客SSID分配10%，智能带宽动态分配，保障重要SSID的流量的优先级。
l基于业务类型的空口资源管理
基于业务类型的无线空口的资源，可以根据业务类型的不同划分流量通道，将无线空口资源进行管道化的精细管理，如教学相关业务系统分配30%，网页浏览分配30%，视频下载
20%，其他20%，合理分配无线空口资源，保障重要应用的优先传输。
l用户间平均分配带宽
用户间平均分配带宽，终端公平调度（时间公平算法），避免低速终端长时间暂用无线空口资源而造成的整体网络性能低下的问题，提升整体上网体验。
lWMM/802.11e
IEEE802.11e为基于802.11协议的WLAN体系添加了QoS特性，通过IEEE802.11e标准，通过设置QoS优先级，可以保障重要业务类型应用的优先处理能力，比如语音、视频。
2.4.4信锐独有的应用层加速技术
无线网络随着接入人数的不断增加，由于干扰增大导致上网速度慢，应用访问体验
智慧园区无线网络覆盖解决方案
S
差。
采用信锐独有的应用层协议加速技术，客户端无需安装任何插件，只需在无线控制器上开启应用加速功能，通过改善无线传输协议算法，无线网络的传输速度就能够提升1.5-4倍效果。
有效解决园区无线网络由于干扰导致的无线传输速率低、丢包、延迟等网络质量问题。
受干扰影响的无线传输
有线网络，传输速率不受干扰影响
Internet
干扰
AP作为数据传输的缓存点（传统AP没有协议栈缓存
功能），在干扰环境丢包导致速率下降的情况下，启用应用
加速，终端与AP之间直接进行快速重传，从而提升无线网
l防终端拖滞
传统的无线随着低速终端的接入会导致高速终端速率被拉低，从而导致整体吞吐率下降，客户业务响应缓慢，严重影响终端的应用访问体验。
信锐技术进行了无线底层的技术改进，提出“防终端拖滞”创新专利，支持用户平均分配带宽，根据时间公平算法，防止单个终端拉低网络整体速度。
l高密优化
对于园区存在的部分区域，终端分布密集，用户体验效果就会下降，然而在这有限的空间里部署过多AP的话，往往解决不了用户多的问题，反而会带来更多的干扰漫游问题。
信锐高密优化功能针对终端分布密集的场景进行无线网络性能优化，降低由于终端低速率发送proberesponse（探测帧响应）消耗无线的性能空间，从而提升高密度场景用户的无线上网体验。
l广播优化
信锐技术针对无线通信特点，通过对TCP/IP协议栈进行优化，开发出了广播优化的技术：
1、ARP广播转单播；2、禁止DHCP请求的广播发往无线终端；3、智能提高广播速度。
广播优化后，可以减少不必要的“垃圾”报文在无线网络中传播，提高无线网络的整体容量，提高用户的上网体验，无线用户的并发数也将得到提高。
2.5园区无线网络高可靠性设计
2.5.1AC1+1冗余
随着园区应用的壮大，势必会给网络核心设备带来巨大的压力，其业务量的提高、访问量和数据流量的快速增长，其处理能力和计算强度也相应地增大，使得单一控制器设备“压力山大”。
通过部署2台控制器，实现园区无线网络的冗余灾备，增加网络可靠性，避免单点故障。
两台控制器实现冗余热备方案，一台为主机，一台为备机，当主机运行正常时，备机处于待命状态，主机上的必要配置（例如WLAN配置，用户信息等）同步到备机上面，一旦主机出现运行故障，则AP自动切换到备机上运行，保证用户业务不中断；当主机恢复后，AP切换回主机。
2.5.2AP灾备冗余
传统的AC+FITAP网络架构，AC作为无线网络中最核心的设备，当AC宕机之后，无线网络将变得不可用，通过AP灾备冗余方案，当AP与无线控制器因外界因素（如AC宕机、控制器与核心交换机网线断开）造成的通信连接断开后，自动启用应急策略或应急SSID，新接入的用户会划分到指定的应急VLAN以及分配相应的应急角色，仍然能保证用户正常上网以及新用户的认证接入，当网络恢复正常时，这些用户会从灾备角色中剔除，提高网络的稳定性和可靠性。
2.5.3认证服务器冗余
园区无线网络利用原有线网络的外置认证服务器进行统一认证，无线网络可关联多个
Radius服务器，实现认证服务器的冗余备份，当一台Radius服务器宕机后，另一台Radius
服务器继续提供服务，为用户提供可靠的接入服务。
另外，通过认证服务器逃生功能，即使当无线网络关联的全部认证服务器都宕机后，依然能保证用户正常上网以及新用户的认证接入，提高网络的稳定性和可靠性。
智慧园区无线网络覆盖解决方案
2.6园区无线网络运营维护设计
2.6.1设备集中管理
通过信锐有线无线统一集中管理平台，AP安装前无需对设备进行任何配置，部署完成后由无线控制器统一下发配置，极大的减少实施和维护的工作量及成本。
设备后期维护中，通过统一管理平台内置的图形化热点分析界面，可有效查找到问题点，轻松完成维护工作。
通过对部署在覆盖目标的AP进行分组管理，比如按照建筑物划分管理组，方便IT管理员管理运维。
同时，IT管理员可在控制器上可统一查看所有AP的运行情况（如AP接入用户、AP带宽使用情况、设备利用率、AP在线情况等），当AP设备出现异常或故障时，会出现告警事件，帮助IT管理员及时排除问题。
所有无线热点支持从云端自动升级到最新的版本，不同硬件型号AP能自动判断并完成升级，无线客户手工干预，降低了后续升级维护成本。
客户可选择夜里自动升级，减少白天升级导致的业务中断问题。
2.6.2分级分权管理
园区无线
升级会员 