工程概況
采取通行的網(wǎng)絡(luò)協(xié)議標(biāo)準(zhǔn)：目前無線局域網(wǎng)普遍采用802.11系列標(biāo)準(zhǔn)，因此無線局域網(wǎng)將主要支持802.11g（54M帶寬）標(biāo)準(zhǔn)以提供可供實際應(yīng)用的相對的網(wǎng)絡(luò)通訊服務(wù)，同時兼顧多種類型應(yīng)用和將來的投資保護，需要同時支持801.11a，802.11b，實現(xiàn)雙頻三模技術(shù)；
覆蓋范圍要求：
1、有線網(wǎng)絡(luò)無法接入的室外場所：區(qū)域內(nèi)一些場所很難實現(xiàn)網(wǎng)絡(luò)有線接入，采用無線方式可以實現(xiàn)覆蓋大范圍室外空間的無線網(wǎng)絡(luò)接入。
2、有線網(wǎng)絡(luò)使用不便或受限的室內(nèi)空間：區(qū)域內(nèi)一些室內(nèi)場所空間較大，會產(chǎn)生許多人同時接入網(wǎng)絡(luò)的需求，采用有線的方式只能提供少量接口，不能滿足要求。用無線網(wǎng)絡(luò)覆蓋來解決相當(dāng)數(shù)量的移動設(shè)備同時訪問網(wǎng)絡(luò)的問題。
無線網(wǎng)網(wǎng)絡(luò)結(jié)構(gòu)要求：
無線接入所需布設(shè)的AP通過局域網(wǎng)的匯聚層設(shè)備接入到局域網(wǎng)中，在匯聚層都提供相應(yīng)的接口給無線網(wǎng)線，在接入層設(shè)備要在方案中進行描述。
設(shè)計方案
一、整網(wǎng)邏輯拓?fù)鋱D
二、無線用戶認(rèn)證解決方案
本方案主要采用portal認(rèn)證，無線AP與無線控制器通過二層隧道協(xié)議通信，無線用戶的認(rèn)證點都是放置于無線業(yè)務(wù)插卡設(shè)備上，后臺的iMC認(rèn)證計費系統(tǒng)作為用戶鑒權(quán)點。
鑒于目前無線網(wǎng)絡(luò)本次規(guī)模，從網(wǎng)絡(luò)支撐能力的角度來看，需要1塊板卡就可以實現(xiàn)。針對無線用戶，無線控制器作為802.1x認(rèn)證的終結(jié)點，iMC認(rèn)證計費系統(tǒng)作為最后的鑒權(quán)點，當(dāng)用戶在AP內(nèi)進行切換時，此時的主要工作由無線交換機進行統(tǒng)一調(diào)度，當(dāng)用戶在不同的端口下的不同AP的覆蓋范圍時，此時用戶不會再次觸發(fā)認(rèn)證。
三、整網(wǎng)安全解決方案
無線局域網(wǎng)絡(luò)公眾型網(wǎng)絡(luò)，網(wǎng)絡(luò)安全問題在建網(wǎng)時必須考慮問題，安全方式主要側(cè)重幾個方面：用戶安全、網(wǎng)絡(luò)安全，而在局域網(wǎng)絡(luò)中主要依附于用戶實體的屬性主要包括用戶使用的信息終端二層屬性（諸如：MAC地址）及用戶的帳號、密碼，而對于用戶來，帳號信息都是一個實名原則，與用戶的個人信息進行關(guān)聯(lián)的，這樣本無線網(wǎng)絡(luò)中著重考慮使用無線網(wǎng)絡(luò)的空口信息的安全機制，同時也要考慮與無線相關(guān)的有線網(wǎng)絡(luò)的安全問題，對于原有有線網(wǎng)絡(luò)的安全問題，在本技術(shù)建議書中不作相應(yīng)的考慮；
無線網(wǎng)絡(luò)安全部分主要包括以下方面的內(nèi)容：
1、MAC地址過濾：目前支持基于MAC地址的過濾，限制具有某種類型的MAC地址特征的終端才能進入網(wǎng)絡(luò)中；
2、SSID管理：是一種網(wǎng)絡(luò)標(biāo)識的方案，將網(wǎng)絡(luò)進行一個邏輯化標(biāo)識，對終端上發(fā)的報文都要求進行上帶SSID，如果沒有SSID標(biāo)識則不能進入網(wǎng)絡(luò)；
3、WEP加密：WEP加密是一種靜態(tài)加密的機制，通信雙方具有一個共同的密鑰，終端發(fā)送的空口信息報文必須使用共同的密鑰進行加密；
4、支持AES加密，AES安全機制是一種動態(tài)密鑰管理機制，同時密鑰生成也基于不對稱密鑰機制來實現(xiàn)的，同時密鑰的管理也定期更新，具有體的時間由系統(tǒng)可以設(shè)定，一般情況都設(shè)定為5分鐘左右，這樣非法用戶要想在5分鐘之內(nèi)進行獲取足夠數(shù)量的報文進行匹配出密鑰出來，從無線空口的流理來看，基本上是不可能的；
5、可根據(jù)用戶名來劃分權(quán)限，即相同用戶在不同地點接入無線網(wǎng)絡(luò)其權(quán)限保持一致；密鑰設(shè)置可能根據(jù)SSID信息與用戶信息進行組合，即不同的SSID下不同的用戶的密鑰生成可以不一樣，這樣一定程度上保證用戶之間串號問題產(chǎn)生，從而保護投資，以達到營維平衡；
6、實現(xiàn)流量異常、報文異常監(jiān)管，從而保護網(wǎng)絡(luò)的進一步安全；
四、頻率規(guī)劃與負(fù)載均衡解決方案
頻率規(guī)劃（支持雙頻三模，建議部署802.11g）
802.11g使用開放的2.4GHz ISM頻段，可工作的信道數(shù)為歐洲標(biāo)準(zhǔn)信道數(shù)13個。由于其支持直序擴頻技術(shù)造成相鄰頻點之間存在重疊。對于真正相互不重疊信道只有相隔5個信道的工作中心頻點。因此對于802.11g在2.4GHz地工作頻段，理論上只能進行三信道的蜂窩規(guī)劃實現(xiàn)對需要規(guī)劃的熱點的無縫覆蓋。此外，由于功率模板是否能做到符合鄰道、隔道不干擾也非常影響頻率規(guī)劃的效果。
針對如何進行802.11g的頻率規(guī)劃作了大量的實驗，實驗證明3載頻也可以實現(xiàn)蜂窩對需要覆蓋的區(qū)域進行無縫覆蓋，并提供更高的服務(wù)帶寬提高服務(wù)質(zhì)量，和高帶寬業(yè)務(wù)的開展。
圖3 頻率規(guī)劃原理圖
頻率規(guī)劃需要配合使用的功能包括
1、AP支持13個信道設(shè)
2、AP支持100mW最大射頻功率以及多級功率控制
3、AP支持外置天線以及定向天線
4、針對特殊應(yīng)用還需要AP支持橋接功能、接入功能以及WDS功能
五、無線網(wǎng)絡(luò)管理解決方案
基于標(biāo)準(zhǔn)的SNMP協(xié)議實現(xiàn)對設(shè)備的管理，專門的無線局域網(wǎng)管理軟件Quidview無線組件可實現(xiàn)對WLAN所有網(wǎng)元的管理。網(wǎng)管工作站可以放在網(wǎng)上的任意位置，通過標(biāo)準(zhǔn)的SNMP即可實現(xiàn)對無線交換機的管理。無線交換機可以實現(xiàn)更為強大的管理包括AP的自動拓?fù)浒l(fā)現(xiàn)、自動升級、批量配置、分級管理、分級告警等，并可實現(xiàn)針對無線覆蓋空間內(nèi)的射頻掃描、非法接入點監(jiān)聽等安全功能。而無線局域網(wǎng)管理軟件WXM可以實現(xiàn)配置管理整個WLAN無線網(wǎng)絡(luò)，其具備以下特點：
1、零配置安裝：接入點無需準(zhǔn)備預(yù)設(shè)置，AP從無線控制器繼承配置信息?？蓪o線控制器接入中心機房核心交換機中，無線AP無需事先進行任何配置，即通過接入層交換機接入有線網(wǎng)絡(luò)，并自動注冊到無線控制器上，獲取DHCP SERVER分配的IP地址，并自動下載配置文件正常工作，在大規(guī)模AP的項目中大量節(jié)省安裝維護成本。
2、防盜防入侵：敏感配置信息不在本地保存，即使設(shè)備被入侵被盜也不會丟失安全信息。實際運營中很多AP是放置在公共場所，如果密鑰、SSID等安全信息在本地保存的話，一旦失竊對全網(wǎng)安全性造成威脅，無線AP由于其零配置安裝，一旦掉電不會保存任何信息，避免入侵。
3、支持靈活的拓?fù)浣Y(jié)構(gòu)：AP允許多種部署，從而能夠直接或間接連接到管理它的無線局域網(wǎng)控制器。無線控制器與無線AP之間可以隔離任何路由器或交換機，只要共同連接進有線網(wǎng)絡(luò)，無線AP就可以自動尋找到無線控制器實現(xiàn)注冊。
4、自動設(shè)置發(fā)射功率和分配射頻信道：自動設(shè)置發(fā)射功率和分配射頻信道，用以優(yōu)化射頻單元大小和滿足各國對射頻信道的要求。當(dāng)有個別AP故障時，無線控制器會自動調(diào)大相鄰AP的功率彌補信號盲區(qū)。
5、基于身份的組網(wǎng)：根據(jù)用戶名對用戶權(quán)限進行區(qū)分，不同于傳統(tǒng)的WLAN網(wǎng)絡(luò)通過接入的有線交換機端口對用戶權(quán)限進行劃分，并且可以對用戶的位置、帶寬以及漫游等歷史數(shù)據(jù)進行記錄跟蹤。
6、提供增強的安全性和無縫漫游：通過這項基于身份的組網(wǎng)功能，經(jīng)過改進的用戶組認(rèn)證接入控制、始終強制的漫游策略以及對帶寬使用的監(jiān)視實現(xiàn)了無線局域網(wǎng)的增強的安全性，實現(xiàn)了無縫的用戶移動性和自由性，從而可以進行安全連接和漫游，一次認(rèn)證多次接入，免去在不同AP下切換的再次認(rèn)證。
7、安全管理：提供入侵檢測功能，專用 AP 可以不斷地掃描空域，以便對要求更高安全性的環(huán)境提供全天候保護。一旦無線網(wǎng)絡(luò)中有非法接入點接入，無線AP將上報相應(yīng)的告警給無線控制器，并通過網(wǎng)管軟件顯示。
六、無線AP供電解決方案
由于本次無線網(wǎng)中AP設(shè)備數(shù)量較多，AP布放位置根據(jù)實際覆蓋效果而調(diào)整，在已建設(shè)完成的建筑物上較難進行本地供電，對于室外覆蓋主要采用AP放在室外，對AP的本地供電問題難度更大?；跇?biāo)準(zhǔn)的802.3af實現(xiàn)對AP的供電。通過在匯集交換機處疊加一個供電電源或者內(nèi)嵌交換機內(nèi)，通過以太網(wǎng)線在傳輸數(shù)據(jù)同時給AP供電，供電距離達100米，滿足實際組網(wǎng)的要求。
但部分區(qū)域AP需室外放置，即需要配合室外機箱使用，為保證寒冷天氣低溫工作室外機箱內(nèi)置電加熱板，因此除給AP進行POE供電外還需對機箱進行本地交流供電。
