方案總述圖3.1無(wú)線網(wǎng)絡(luò)拓?fù)涫疽鈭D增加運(yùn)維難度，影響運(yùn)維效率的因素有大量的網(wǎng)絡(luò)節(jié)點(diǎn)，復(fù)雜的網(wǎng)絡(luò)拓?fù)浜途W(wǎng)絡(luò)覆蓋的地理范疇。網(wǎng)絡(luò)節(jié)點(diǎn)越多意味著網(wǎng)絡(luò)管理員要維護(hù)的設(shè)備越多，同時(shí)某一節(jié)點(diǎn)出現(xiàn)問(wèn)題的概率越大，從而提高了管理員的工作量。而復(fù)雜的網(wǎng)絡(luò)拓?fù)渥尰跇I(yè)務(wù)變更的網(wǎng)絡(luò)方略調(diào)節(jié)與優(yōu)化變的復(fù)雜，網(wǎng)絡(luò)管理員不得不看4分片分區(qū)的自下而上的逐級(jí)修改配備，由于復(fù)雜的網(wǎng)絡(luò)拓?fù)湓斐傻腻e(cuò)綜復(fù)雜的網(wǎng)絡(luò)合同關(guān)系給問(wèn)題排查帶來(lái)不小的難度。網(wǎng)絡(luò)所覆蓋的地址范疇是不能人為控制的，但是從運(yùn)維的角度看，減少運(yùn)維壓力提高運(yùn)維效率就是網(wǎng)絡(luò)管理員盡量少的跑到接入端去進(jìn)行問(wèn)題排查，實(shí)現(xiàn)辦法就是前端設(shè)備盡量少或不需要進(jìn)行配備，只要接入網(wǎng)絡(luò)就可通過(guò)網(wǎng)絡(luò)中心進(jìn)行統(tǒng)一管理，這樣現(xiàn)在端接入設(shè)備出現(xiàn)故障，只需要找工程人員做簡(jiǎn)樸的設(shè)備更換，而不需要管理員到現(xiàn)場(chǎng)在進(jìn)行復(fù)雜的配備，網(wǎng)絡(luò)管理運(yùn)維效率得以提高。在以上三個(gè)因素中網(wǎng)絡(luò)覆蓋的地理范疇是不可變化的，而網(wǎng)絡(luò)節(jié)點(diǎn)數(shù)和網(wǎng)絡(luò)拓?fù)涫悄軌驈姆桨冈O(shè)計(jì)上進(jìn)行優(yōu)化，因此神州數(shù)碼在某市教育城域網(wǎng)網(wǎng)工程中在滿足教案應(yīng)用的需求下以簡(jiǎn)化后期運(yùn)維量為出發(fā)點(diǎn)，在方案設(shè)計(jì)中使用最少的設(shè)備，最簡(jiǎn)樸的拓?fù)鋪?lái)滿足應(yīng)用需求。如圖2.1所示，在某市教育無(wú)線網(wǎng)建設(shè)中神州數(shù)碼采用教育局集中管理，集中運(yùn)維的思路進(jìn)行網(wǎng)絡(luò)設(shè)計(jì)，學(xué)校只作為網(wǎng)絡(luò)前端進(jìn)行AP和PoE交換機(jī)的布署，無(wú)線控制器，實(shí)名認(rèn)證系統(tǒng)、網(wǎng)絡(luò)管理系統(tǒng)、安全運(yùn)維審計(jì)系統(tǒng)以及無(wú)線應(yīng)用加速系統(tǒng)等網(wǎng)絡(luò)管理、運(yùn)維系統(tǒng)將統(tǒng)一布署在某市教育局，實(shí)現(xiàn)對(duì)全市無(wú)線網(wǎng)的統(tǒng)一管理，統(tǒng)一運(yùn)維。采用這種網(wǎng)絡(luò)設(shè)計(jì)當(dāng)管理員需要修改網(wǎng)絡(luò)方略對(duì)網(wǎng)絡(luò)進(jìn)行調(diào)節(jié)或優(yōu)化時(shí)，他只需要對(duì)教育局?jǐn)?shù)據(jù)中心的設(shè)備進(jìn)行調(diào)節(jié)即可全網(wǎng)生效，而不需要從接入端逐級(jí)的進(jìn)行配備修改。能實(shí)現(xiàn)如此的管理方式也得益于現(xiàn)在無(wú)線網(wǎng)絡(luò)的布署架構(gòu)?，F(xiàn)在主流的無(wú)線網(wǎng)絡(luò)全部采用無(wú)線控制器+瘦AP的架構(gòu)，無(wú)線控制器就像無(wú)線網(wǎng)絡(luò)的大腦，它負(fù)責(zé)管理與其連接的全部AP的配備方略，而瘦AP只是運(yùn)算和執(zhí)行方略，基于此架構(gòu)，無(wú)線網(wǎng)絡(luò)可直接通過(guò)對(duì)中心端的無(wú)線控制器的配備操作達(dá)成修改接入點(diǎn)網(wǎng)絡(luò)方略的目的，從而實(shí)現(xiàn)中心的統(tǒng)一管理，統(tǒng)一運(yùn)維。無(wú)線控制器的選擇與布署0無(wú)線控制器的選擇在中大型無(wú)線網(wǎng)絡(luò)環(huán)境中采用無(wú)線控制器+瘦AP的網(wǎng)絡(luò)架構(gòu)已經(jīng)成為不爭(zhēng)的事實(shí)。從無(wú)線控制器的形態(tài)上分類從現(xiàn)在市場(chǎng)上的產(chǎn)品來(lái)看可分為兩類：硬件形態(tài)的無(wú)線控制器和軟件形態(tài)的無(wú)線控制器。硬件形態(tài)的無(wú)線控制器是從無(wú)線控制器+瘦AP架構(gòu)正是公布后始終延續(xù)到現(xiàn)在的一種無(wú)線控制器物理形態(tài)，現(xiàn)在市場(chǎng)上重要以X86工控機(jī)或多核+交換板作為硬件架構(gòu)。這種架構(gòu)的產(chǎn)生源于第一代瘦AP架構(gòu)，第一代瘦AP的數(shù)據(jù)轉(zhuǎn)發(fā)模式采用的是集中式轉(zhuǎn)發(fā)，即無(wú)線AP全部的數(shù)據(jù)都要流經(jīng)無(wú)線控制器，再由無(wú)線控制器轉(zhuǎn)發(fā)到上層網(wǎng)絡(luò)當(dāng)中，這種模式就需要無(wú)線控制器就較好的數(shù)據(jù)轉(zhuǎn)發(fā)性能，而服務(wù)器網(wǎng)卡在數(shù)據(jù)轉(zhuǎn)發(fā)上的性能與帶有交換架構(gòu)的工控機(jī)來(lái)比就要差某些，因此，無(wú)線控制器是以硬件形態(tài)出現(xiàn)的。第一代瘦AP重要采用的是IEEE802.11g無(wú)線傳輸合同，IEEE802.11g合同在TCP傳輸合同下的最大帶寬在25Mbps左右，第一代無(wú)線控制器采用集中式轉(zhuǎn)發(fā)模式不會(huì)產(chǎn)生網(wǎng)絡(luò)瓶頸。隨著單一工程的無(wú)線網(wǎng)絡(luò)規(guī)模的擴(kuò)大，雙頻雙模無(wú)線AP的出現(xiàn)以及IEEE802.11n合同的無(wú)線AP的問(wèn)世，無(wú)線AP的上行帶寬越來(lái)越高。因此，集中式轉(zhuǎn)發(fā)已經(jīng)成為數(shù)據(jù)傳輸瓶頸，為理解決這一問(wèn)題，提高無(wú)線網(wǎng)絡(luò)傳輸性能，瘦AP開始采用本地轉(zhuǎn)發(fā)，集中管理的架構(gòu)，即從瘦AP上行的業(yè)務(wù)數(shù)據(jù)都有AP直接通過(guò)交換機(jī)轉(zhuǎn)發(fā)到網(wǎng)關(guān)，不在經(jīng)由無(wú)線控制器進(jìn)行轉(zhuǎn)發(fā)。只有瘦AP的管理數(shù)據(jù)和是在無(wú)線控制器和AP之間交互，這種交互數(shù)據(jù)的數(shù)據(jù)流非常小，因此無(wú)線控制器開始采用單臂旁掛核心交換機(jī)的方式進(jìn)行布署，我們稱這種布署方式為旁路布署。圖3.2-1集中轉(zhuǎn)發(fā)&本地轉(zhuǎn)發(fā)示意圖前面講到數(shù)據(jù)采用本地轉(zhuǎn)發(fā)的瘦AP與無(wú)線控制器之間的管理數(shù)據(jù)流量很小，無(wú)線控制器的數(shù)據(jù)轉(zhuǎn)發(fā)性能，隨著服務(wù)器性能的大幅提高以及虛擬化技術(shù)的完善和普及，軟件形態(tài)的無(wú)線控制器應(yīng)運(yùn)而生。諸多人把簡(jiǎn)樸的認(rèn)為軟件形態(tài)的無(wú)線控制器就是把硬件形態(tài)無(wú)線控制器里的系統(tǒng)抽離出來(lái)形成的，因此除了形態(tài)上的差別之外其它都是同樣的。其實(shí)這是一種簡(jiǎn)樸并且錯(cuò)誤的理解，軟件形態(tài)的無(wú)線控制器的產(chǎn)生更多由于虛擬化技術(shù)和云數(shù)據(jù)中心的普及而產(chǎn)生的，因此軟件形態(tài)的無(wú)線控制器本身的首要特性就是虛擬化特性，云特性。例如一臺(tái)軟件形態(tài)的無(wú)線控制器，能夠根據(jù)不同顧客群定制屬于自己的虛擬化控制器，用于實(shí)現(xiàn)對(duì)自己區(qū)域的無(wú)線AP的個(gè)性化管理。我們把這種虛擬化稱為1：N虛擬化。而當(dāng)一種大型網(wǎng)絡(luò)中有多臺(tái)軟件形態(tài)的無(wú)線控制器，他們能夠形成一種統(tǒng)一無(wú)線管理控制器池，任何一種控制節(jié)點(diǎn)出現(xiàn)問(wèn)題都不會(huì)出現(xiàn)瘦AP脫管的現(xiàn)象，形成一種統(tǒng)一的，整體的無(wú)線網(wǎng)絡(luò)控制云平臺(tái)，我們把這種虛擬化稱為N：1虛擬化。由此我們能夠看出軟件形態(tài)的無(wú)線控制器的基本特性就是支持虛擬化和云特性?；谶@些虛擬化特性我們也把軟件形態(tài)的無(wú)線控制器成為“云”無(wú)線控制器?，F(xiàn)在采用“云”無(wú)線控制器的重要代表廠家有思科和神州數(shù)碼。兩種形態(tài)的無(wú)線控制含有哪些特性差別，如表3.2.1，我們對(duì)兩種無(wú)線控制器的重要差別特性做了簡(jiǎn)樸的對(duì)比。表3.2.1無(wú)線控制器特性對(duì)比：特性硬件形態(tài)無(wú)線控制器“云”無(wú)線控制器含有虛擬化特性不含有含有管理AP數(shù)量單臺(tái)≤4000（主流產(chǎn)品）軟件系統(tǒng)無(wú)AP管理上限端口配備千兆電/光口≥4；含有萬(wàn)兆端口或擴(kuò)展插槽端口依靠于服務(wù)器配備的網(wǎng)卡類型AP數(shù)據(jù)轉(zhuǎn)發(fā)方式支持本地轉(zhuǎn)發(fā)和集中轉(zhuǎn)發(fā)支持本地轉(zhuǎn)發(fā)AP布署方式二層布署、三層布署二層布署、三層布署、跨NAT布署根據(jù)兩種形態(tài)的無(wú)線控制器的特性差別我們來(lái)做一種簡(jiǎn)樸的綜合分析。傳統(tǒng)的硬件形態(tài)無(wú)線控制器一臺(tái)設(shè)備可管理的最大AP數(shù)量普通在4000臺(tái)左右，市場(chǎng)上現(xiàn)在主流銷售的硬件無(wú)線控制器最大管理AP數(shù)量在臺(tái)下列，由此能夠看出傳統(tǒng)硬件無(wú)線控制器重要用于園區(qū)無(wú)線網(wǎng)絡(luò)的布署。某市教育城域網(wǎng)工程的大型城域級(jí)的無(wú)線網(wǎng)絡(luò)如果采用硬件無(wú)線控制器由于管理AP數(shù)的限制，就只能采用分布式布署的方式，即以學(xué)?；蛘吒〉膮^(qū)域?yàn)閱挝?，將無(wú)線控制器分別布署在這些單位中，或者采用集中式分組布署，即將多臺(tái)無(wú)線控制器集中放置在區(qū)教育局中心機(jī)房，以管理地址段作為劃分手段將AP分別指不同的無(wú)線控制器來(lái)管理。以上兩種布署辦法確實(shí)能夠解決無(wú)線AP的管理問(wèn)題，但是如前面所講，從后期管理運(yùn)維的角度考慮，這兩種布署方式在網(wǎng)絡(luò)中增加了多臺(tái)無(wú)線控制器，網(wǎng)絡(luò)拓?fù)渥兊膹?fù)雜，網(wǎng)絡(luò)管理員需要維護(hù)的設(shè)備數(shù)量增加。網(wǎng)路認(rèn)證方略，QoS方略需要在每臺(tái)控制器上配備一次，在網(wǎng)絡(luò)出現(xiàn)問(wèn)題時(shí)，需要做大量的數(shù)據(jù)檢測(cè)和排除工作，運(yùn)維效率減少?！霸啤睙o(wú)線控制器從功效設(shè)計(jì)上并沒(méi)有AP管理上限。AP管理上限取決于承載“云”無(wú)線控制器的服務(wù)器硬件性能。而“云”無(wú)線控制器的虛擬化特性允許采用服務(wù)器橫向擴(kuò)展（Scaleout）的方式來(lái)提高管理性能，同時(shí)還實(shí)現(xiàn)了冗余。由于“云”無(wú)線控制器的虛擬化特性，即使服務(wù)器采用橫向擴(kuò)展方式進(jìn)行擴(kuò)容，它從管理運(yùn)維的角度看只是一種管理節(jié)點(diǎn)，網(wǎng)絡(luò)管理員看到的管到的始終是一臺(tái)無(wú)線控制器，不需要為學(xué)校的AP歸哪個(gè)控制器管而劃分群組。從端口配備上看，某市教育城域網(wǎng)這種大型的無(wú)線網(wǎng)絡(luò)布署無(wú)線控制器都會(huì)采用旁路布署，無(wú)線AP采用本地?cái)?shù)據(jù)轉(zhuǎn)發(fā)的方式，這種方式無(wú)線AP與無(wú)線控制器之間之交互管理數(shù)據(jù)，數(shù)據(jù)流量小，只需要1到2個(gè)萬(wàn)兆接口接入核心交換就能夠完畢鏈路布署。因此硬件控制器上所配備的豐富的接口和高速的數(shù)據(jù)轉(zhuǎn)發(fā)性能都起不到什么作用?；谝陨戏治瞿軌蚩闯?，在某市教育城域網(wǎng)工程中，使用“云”無(wú)線控制器含有擴(kuò)容更容易，拓?fù)涓?jiǎn)樸的特點(diǎn)，更易于后期的網(wǎng)絡(luò)維護(hù)。無(wú)線控制器的布署某市教育城域網(wǎng)骨干某市教育城域網(wǎng)骨干圖3.2.2-1“云”無(wú)線控制器布署示意圖如圖3.2.2-1所示，“云“無(wú)線控制器只需要布署在教育局網(wǎng)絡(luò)中心的運(yùn)維管理區(qū)。建議配備兩臺(tái)服務(wù)器運(yùn)行“云”無(wú)線控制器，服務(wù)器前端配合一臺(tái)鏈路負(fù)載均衡，兩臺(tái)服務(wù)器對(duì)AP管理實(shí)現(xiàn)負(fù)載均衡，并且避免單點(diǎn)故障引發(fā)網(wǎng)絡(luò)問(wèn)題。無(wú)線AP的選擇與布署無(wú)線AP首先要滿足某市教育局無(wú)線控制器管理規(guī)定，能通過(guò)CAPWAP合同與某市教育局的無(wú)線控制器進(jìn)行對(duì)接。AP需要滿足50人同時(shí)接入，因此無(wú)線AP要采用IEEE802.11n/IEEE802.11ac合同的無(wú)線AP，并且支持2.4GHz和5.8GHz雙頻雙模，AP要采用2x2：2或以上MIMO架構(gòu)。無(wú)線AP支持IEEE802.3af或IEEE802.3at供電合同，通過(guò)PoE方式供電。由于無(wú)線AP的最大傳輸帶寬已經(jīng)超出百兆，因此上行PoE交換機(jī)建議采用千兆PoE交換機(jī)。交換機(jī)要支持最少370W的PoE功率輸出，并且支持IEEE802.3af和IEEE802.3at合同。在本工程中推薦采用神州數(shù)碼的DCWL-8200系列AP和S5750E系列PoE交換機(jī)。實(shí)名認(rèn)證系統(tǒng)布署要滿足全市內(nèi)賬戶漫游，就需要一種統(tǒng)一的實(shí)名認(rèn)證系統(tǒng)對(duì)某市所轄學(xué)校全部網(wǎng)絡(luò)賬戶進(jìn)行統(tǒng)一管理和統(tǒng)一認(rèn)證，網(wǎng)絡(luò)顧客不管身處哪所學(xué)校都能夠使用自己的賬戶登陸網(wǎng)絡(luò)?，F(xiàn)在主流的認(rèn)證系統(tǒng)普通分為兩類，一類是網(wǎng)關(guān)型認(rèn)證系統(tǒng)，以硬件形態(tài)為主，普通串行在網(wǎng)絡(luò)出口。第二類是軟件型認(rèn)證系統(tǒng)，普通布署在網(wǎng)絡(luò)中心機(jī)房的管理區(qū)，通過(guò)與作為認(rèn)證發(fā)起設(shè)備的聯(lián)動(dòng)實(shí)現(xiàn)認(rèn)證。某市信息化教案應(yīng)用非常豐富，干網(wǎng)帶寬已經(jīng)達(dá)成萬(wàn)兆，如果采用網(wǎng)關(guān)型認(rèn)證系統(tǒng)可能會(huì)產(chǎn)生網(wǎng)絡(luò)瓶頸，鑒于此，本工程中推薦使用軟件型認(rèn)證計(jì)費(fèi)系統(tǒng)。神州數(shù)碼的軟件計(jì)費(fèi)系統(tǒng)是有DCSM-RS認(rèn)證服務(wù)平臺(tái)和DCSM-BW綜合業(yè)務(wù)管理平臺(tái)兩部分構(gòu)成。DCSM-RS提供集中的寬帶網(wǎng)絡(luò)顧客認(rèn)證，授權(quán)和計(jì)費(fèi)，及接入方略管理，為電信運(yùn)行商和大中型園區(qū)網(wǎng)提供類型豐富、配備靈活的寬帶運(yùn)行業(yè)務(wù)模式，如集中認(rèn)證、漫游認(rèn)證、內(nèi)外網(wǎng)準(zhǔn)入準(zhǔn)出認(rèn)證、Portal認(rèn)證、免認(rèn)證Portal推送、無(wú)感知認(rèn)證等，以及WLAN、遠(yuǎn)程/VPN、PPPoE撥號(hào)、IPoE、802.1x等多個(gè)基于身份的認(rèn)證支持。DCSM-BW是作為DCSM-RS配套使用的綜合業(yè)務(wù)管理后臺(tái)軟件，實(shí)現(xiàn)寬帶運(yùn)行中的方略配備、顧客管理、顧客業(yè)務(wù)辦理、賬務(wù)解決、統(tǒng)計(jì)輸出等綜合業(yè)務(wù)功效，是顧客對(duì)寬帶運(yùn)行管理的統(tǒng)一操作界面。DCSM-RS實(shí)名認(rèn)證系統(tǒng)布署方式：圖3.4.1-1實(shí)名認(rèn)證系統(tǒng)布署示意圖DCSM-RSRadius平臺(tái)普通與DCSM-BW寬帶業(yè)務(wù)管理平臺(tái)同時(shí)布署，DCSM-RSRadius平臺(tái)負(fù)責(zé)顧客實(shí)時(shí)認(rèn)證、計(jì)費(fèi)、控制方略下發(fā)以及Portal頁(yè)面推送，DCSM-BW寬帶業(yè)務(wù)管理平臺(tái)則負(fù)責(zé)顧客管理、業(yè)務(wù)方略配備、賬務(wù)解決、統(tǒng)計(jì)報(bào)表輸出、自助服務(wù)、數(shù)據(jù)維護(hù)等后臺(tái)業(yè)務(wù)功效。DCSM-RS與DCSM-BW服務(wù)器均需旁路布署在受防火墻等網(wǎng)絡(luò)安全設(shè)備保護(hù)的數(shù)據(jù)中心中，原網(wǎng)絡(luò)的布署與構(gòu)造無(wú)需調(diào)節(jié)，只需接入控制層的網(wǎng)絡(luò)設(shè)備支持有關(guān)的Radius和Portal合同，另外防火墻等網(wǎng)絡(luò)安全設(shè)備須允許RADIUS、PORTAL報(bào)文通信。網(wǎng)絡(luò)認(rèn)證方式主流的認(rèn)證方式有802.1x認(rèn)證，Portal認(rèn)證，無(wú)感知認(rèn)證，PPPOE認(rèn)證，手機(jī)短信認(rèn)證，二維碼認(rèn)證。802.1x認(rèn)證普通需要采用客戶端或者配備啟用終端系統(tǒng)自帶的802.1x客戶端來(lái)進(jìn)行認(rèn)證，對(duì)終端顧客的技術(shù)規(guī)定較高，多系統(tǒng)平臺(tái)的兼容性較低，管理員維護(hù)工作量增加。因此在本工程中不建議采用。Poral認(rèn)證采用WEB頁(yè)面重定向方式用瀏覽器為顧客推送認(rèn)證頁(yè)面，顧客終端不需要其它第三方軟件就可實(shí)現(xiàn)認(rèn)證。市場(chǎng)上主流的視窗類系統(tǒng)都支持，兼容性高。由于認(rèn)證時(shí)通過(guò)顧客慣用瀏覽器進(jìn)行認(rèn)證，對(duì)顧客的技術(shù)規(guī)定低，管理員維護(hù)工作量很小。在確保網(wǎng)絡(luò)安全認(rèn)證的同時(shí)，顧客規(guī)定簡(jiǎn)化認(rèn)證流程，因此神州數(shù)碼推出了無(wú)感知認(rèn)證，顧客在第一次通過(guò)Protal認(rèn)證之后，再次連接網(wǎng)絡(luò)就不需要在進(jìn)行認(rèn)證，直接就能夠接入網(wǎng)絡(luò)，大幅簡(jiǎn)化認(rèn)證流程。是本工程中作為首選的認(rèn)證方式。PPPOE認(rèn)證同樣需要使用客戶端進(jìn)行撥號(hào)上網(wǎng)，對(duì)于移動(dòng)終端系統(tǒng)的兼容性低，后期維護(hù)工作量大。手機(jī)短信認(rèn)證重要用于外來(lái)訪客的上網(wǎng)認(rèn)證需求。例如，學(xué)生家長(zhǎng)，其它地區(qū)的參觀團(tuán)，當(dāng)這些顧客有接入網(wǎng)絡(luò)需求，如果通過(guò)管理員一種一種的開通賬戶效率低，工作量大。采用手機(jī)短信認(rèn)證的方式，顧客通過(guò)自己的手機(jī)按需開通賬戶，管理員只需要預(yù)設(shè)好賬戶有效時(shí)間，賬戶到期后會(huì)自動(dòng)銷戶。不需要管理員花時(shí)間精力去管理這些賬戶。管理員可根據(jù)實(shí)際狀況隨時(shí)打開或關(guān)閉短信認(rèn)證方式。二維碼認(rèn)證是現(xiàn)在基于移動(dòng)終端應(yīng)用的一種認(rèn)證方式，系統(tǒng)將訪客終端的MAC地址信息以二維碼的方式體現(xiàn)出來(lái)，網(wǎng)絡(luò)授權(quán)由顧客通過(guò)手機(jī)掃描二維碼的方式進(jìn)行授權(quán)。下面對(duì)Portal認(rèn)證，二維碼認(rèn)證，手機(jī)短信認(rèn)證和二維碼認(rèn)證做一種解說(shuō)。Portal認(rèn)證Portal認(rèn)證是通過(guò)瀏覽器重定向顧客訪問(wèn)頁(yè)面，將通過(guò)網(wǎng)頁(yè)瀏覽的方式進(jìn)行顧客認(rèn)證的方式。顧客上線認(rèn)證方式有兩種：CHAP和PAP，其中CHAP方式為必選功效，PAP方式為可選功效。PAP是明文認(rèn)證方式，因此普通建議采用CHAP加密認(rèn)證方式。以Chap為例的顧客上線認(rèn)證流程，以下圖所示：圖3.4.2-1認(rèn)證流程示意圖顧客訪問(wèn)網(wǎng)站，通過(guò)AC重定向到DCSM-RS，DCSM-RS推送認(rèn)證頁(yè)面；顧客填入顧客名、密碼，提交頁(yè)面，向DCSM-RS發(fā)起連接請(qǐng)求；DCSM-RS向AC請(qǐng)求Challenge；AC分派Challenge給DCSM-RS；DCSM-RS向AC發(fā)起認(rèn)證請(qǐng)求；而后AC進(jìn)行RADIUS認(rèn)證，獲得RADIUS認(rèn)證成果；AC向DCSM-RS送認(rèn)證成果；DCSM-RS將認(rèn)證成果填入頁(yè)面，和門戶網(wǎng)站一起推送給客戶；DCSM-RS回應(yīng)確認(rèn)收到認(rèn)證成果的報(bào)文。DCSM-RS集成功效完整的Portal門戶推送平臺(tái)，支持運(yùn)行商及廠家接入設(shè)備Portal合同，可基于位置（VLAN/IP）和終端類型推送指定的頁(yè)面，使之成為運(yùn)行商優(yōu)秀的基于Portal門戶頁(yè)面的廣告運(yùn)行、業(yè)務(wù)推廣等增值業(yè)務(wù)平臺(tái)。DCSM-RSPortal功效特性：快捷便利的Portal頁(yè)面編輯內(nèi)置Portal頁(yè)面編輯工具，可針對(duì)不同網(wǎng)絡(luò)位置或商戶選擇或編輯Portal，實(shí)時(shí)動(dòng)態(tài)定義頁(yè)面風(fēng)格、樣式、內(nèi)容及使用方式等等，充足呈現(xiàn)顧客的個(gè)性，使運(yùn)行商能夠快速更新門戶信息，快速響應(yīng)市場(chǎng)及合作商的需求，同時(shí)也促使終端顧客感受有效的信息體驗(yàn)，增加顧客對(duì)Portal門戶的粘度。WEBPortal認(rèn)證和兼容性支持行業(yè)原則的Portal通訊合同和漫游認(rèn)證合同規(guī)范。遵照《中國(guó)移動(dòng)WLAN業(yè)務(wù)PORTAL合同規(guī)范》、《中國(guó)移動(dòng)WLANPortal設(shè)備規(guī)范》、《中國(guó)電信WLAN漫游認(rèn)證WISPr合同規(guī)范》支持Cisco、Aruba、華三等主流無(wú)線設(shè)備廠家Portal合同基于終端類型的頁(yè)面推送自動(dòng)匹配顧客終端類型的頁(yè)面推送，如智能手機(jī)、平板電腦、筆記本電腦等，為顧客提供優(yōu)質(zhì)便利的接入體驗(yàn)?；谖恢玫膬?nèi)容推送根據(jù)顧客的位置（VLAN/IP段）推送不同的內(nèi)容，為場(chǎng)地運(yùn)行者（如公共區(qū)域的不同商戶、公司等）提供個(gè)性化的網(wǎng)絡(luò)門戶，實(shí)現(xiàn)廣告運(yùn)行、消費(fèi)者互動(dòng)等增值業(yè)務(wù)和商業(yè)模式。無(wú)感知認(rèn)證顧客無(wú)感知認(rèn)證方式，解決顧客需要提高使用者體驗(yàn)的同時(shí)，又確保了網(wǎng)絡(luò)使用的安全性。顧客無(wú)感知認(rèn)證，顧客在第一次portal認(rèn)證后，后續(xù)上網(wǎng)行為無(wú)需再輸入賬號(hào)密碼，在顧客無(wú)感知的狀況下認(rèn)證通過(guò)上網(wǎng)，確保安全性的同時(shí)提高了顧客體驗(yàn)。具體實(shí)現(xiàn)設(shè)計(jì)以下圖所示：圖3.4.2-2顧客初次認(rèn)證示意圖圖3.4.2-3顧客再次上線認(rèn)證示意圖注意：圖中的MAC綁定服務(wù)器并不是單獨(dú)的一種設(shè)備，是在AAAserver中的擴(kuò)展功效，為了表述清晰，將其單獨(dú)提出。顧客使用體驗(yàn)流程：圖3.4.2-4無(wú)感知認(rèn)證流程圖如流程圖所示，顧客在第一次連接網(wǎng)絡(luò)的時(shí)候，需要彈出portal，輸入賬號(hào)密碼，點(diǎn)擊確認(rèn)，認(rèn)證通過(guò)后能夠訪問(wèn)網(wǎng)絡(luò)；后續(xù)上網(wǎng)，無(wú)需再?gòu)棾鰌ortal，輸入賬號(hào)名密碼等繁瑣操作，給顧客的感覺(jué)是連接wifi，就直接上網(wǎng)了；實(shí)際底層是通過(guò)了安全身份認(rèn)證。該種方式，確保無(wú)線網(wǎng)絡(luò)的安全性，網(wǎng)絡(luò)顧客使用可追溯，確保了顧客管理的需要，又避免了網(wǎng)絡(luò)顧客的繁瑣操作，提高了顧客上網(wǎng)體驗(yàn)。手機(jī)短信認(rèn)證無(wú)線上網(wǎng)顧客重要分成內(nèi)部固定顧客、外來(lái)訪客顧客兩種，在無(wú)線覆蓋環(huán)境中，由于顧客流動(dòng)性強(qiáng)，如何有效的對(duì)外來(lái)訪客進(jìn)行管理，體現(xiàn)無(wú)線的便捷性及安全性，成為重中之重。對(duì)于外來(lái)訪客，為了網(wǎng)絡(luò)安全，接入公司的無(wú)線網(wǎng)自然需要通過(guò)身份認(rèn)證，方便監(jiān)控與管理。為了提供應(yīng)訪客簡(jiǎn)樸快捷的獲取上網(wǎng)賬號(hào)密碼的方式，特別是對(duì)于辦公區(qū)域面積比較大的園區(qū)，像擁有多個(gè)辦公樓的園區(qū)，讓訪客只能在一種固定的地方且需要通過(guò)人工辦理的方式獲取上網(wǎng)賬號(hào)密碼，既費(fèi)時(shí)又占用人力，因此訪客自助獲取賬號(hào)密碼是比較簡(jiǎn)便快捷的方式。短信認(rèn)證是指通過(guò)短信發(fā)送密碼，由后臺(tái)服務(wù)器通過(guò)短信貓和短信通道發(fā)送，短信貓用的最多是socket接口，短信通道普通為http接口，三大運(yùn)行商基本都是用http接口，具體調(diào)用接口的內(nèi)容各有不同。DCN無(wú)線網(wǎng)絡(luò)運(yùn)行方案提供多個(gè)短信認(rèn)證接口，包含通過(guò)短信貓方式、與本地運(yùn)行商對(duì)接方式以及與短信運(yùn)行公司對(duì)接方式。與本地運(yùn)行商購(gòu)置短信網(wǎng)關(guān)服務(wù)普通在顧客本地運(yùn)行商，都有短信網(wǎng)關(guān)服務(wù)，無(wú)線網(wǎng)絡(luò)管理者直接跟運(yùn)行商進(jìn)行短信購(gòu)置即可。短信發(fā)送賬號(hào)密碼拓?fù)涫疽鈭D以下：圖3.4.2-5短信網(wǎng)關(guān)認(rèn)證流程圖如圖所示，在短信網(wǎng)關(guān)使用的狀況下，網(wǎng)絡(luò)架構(gòu)是無(wú)需變化調(diào)節(jié)的，只需后臺(tái)RadiusServer軟件開通短信通道接口即可。與短信運(yùn)行公司對(duì)接為節(jié)省運(yùn)行管理者的成本，RadiusServer軟件的短信通道也支持與該類運(yùn)行公司對(duì)接，通過(guò)運(yùn)行公司的固有出口連接到移動(dòng)、聯(lián)通等各大運(yùn)行商網(wǎng)，實(shí)現(xiàn)短信下發(fā)到最后顧客。無(wú)線網(wǎng)的運(yùn)行管理者只需與短信類運(yùn)行公司進(jìn)行資費(fèi)洽談以及短信量購(gòu)置，該費(fèi)用會(huì)低于直接與各大運(yùn)行商直接購(gòu)置費(fèi)用，同時(shí)無(wú)需多個(gè)運(yùn)行商洽談的麻煩。拓?fù)涫疽鈭D以下：圖3.4.2-6短信運(yùn)行公司認(rèn)證流程圖短信貓方式。單獨(dú)購(gòu)置一臺(tái)短信貓?jiān)O(shè)備，通過(guò)socket接口與認(rèn)證計(jì)費(fèi)系統(tǒng)對(duì)接。普通不建議用短信貓方式，短信貓相稱于一種手機(jī)，單條短信成本高，按普通短信價(jià)格收，顧客體驗(yàn)不好，且容易被運(yùn)行商屏蔽。顧客短信認(rèn)證環(huán)節(jié)：打開手機(jī)，打開手機(jī)，portal推送，短信申請(qǐng)短信獲取賬號(hào)密碼輸入后，上網(wǎng)沖浪圖3.4.2-7認(rèn)證環(huán)節(jié)DCN方案同時(shí)支持終端portal頁(yè)面推送的定制，方式便捷易用。通過(guò)手機(jī)申請(qǐng)帳號(hào)，便于對(duì)流動(dòng)顧客的管理，對(duì)網(wǎng)絡(luò)訪問(wèn)問(wèn)題可有效追查定位。顧客自助完畢上網(wǎng)賬號(hào)獲取，能夠節(jié)省公司管理方的人力成本和維護(hù)成本，下面以本系統(tǒng)在珠海移動(dòng)無(wú)線都市的案例為例，介紹自助上網(wǎng)獲取的過(guò)程：無(wú)線顧客訪問(wèn)任意網(wǎng)址后，通過(guò)Portal強(qiáng)制重定向指定頁(yè)面，輸入個(gè)人手機(jī)號(hào)碼，以下圖：第二步：點(diǎn)擊獲取密碼第一步：輸入珠海移動(dòng)本地手機(jī)號(hào)第二步：點(diǎn)擊獲取密碼第一步：輸入珠海移動(dòng)本地手機(jī)號(hào)圖3.4.2-8認(rèn)證界面如果輸入手機(jī)號(hào)碼對(duì)的，則提示動(dòng)態(tài)密碼發(fā)送成功，以下圖：圖3.4.2-9認(rèn)證密碼發(fā)送提示登錄成功后頁(yè)面以下提示：圖3.4.2-10顧客通過(guò)認(rèn)證Portal頁(yè)面可自動(dòng)匹配顧客的終端類型，如手機(jī)顧客，則系統(tǒng)推送的Portal頁(yè)面以下：圖3.4.2-11手機(jī)認(rèn)證頁(yè)面二維碼認(rèn)證二維碼認(rèn)證能夠授權(quán)人能夠通過(guò)手機(jī)掃描認(rèn)證系統(tǒng)為被授權(quán)人生成的二維碼來(lái)對(duì)被授權(quán)人進(jìn)行授權(quán)，當(dāng)通過(guò)授權(quán)后被授權(quán)人就能夠使用自己的終端直接訪問(wèn)網(wǎng)絡(luò)。這種方式避免了管理員為來(lái)訪者逐個(gè)開戶，管理員只需要將網(wǎng)絡(luò)授權(quán)時(shí)間設(shè)定好，超時(shí)后臨時(shí)賬戶自動(dòng)刪除。認(rèn)證流程以下圖：認(rèn)證系統(tǒng)分權(quán)管理在認(rèn)證和賬戶管理上某市教育局規(guī)定進(jìn)行統(tǒng)一認(rèn)證，統(tǒng)一管理。但是使用主體是學(xué)校，學(xué)校由于某些臨時(shí)規(guī)定需要對(duì)賬戶進(jìn)行開戶，銷戶等操作，而如果每次都通過(guò)教育局管理員來(lái)操作效率低下，不能滿足需求。而DCSM校園寬帶認(rèn)證計(jì)費(fèi)系統(tǒng)支持完善的角色權(quán)限管理?？捎X(jué)得學(xué)校管理員分派一定的賬戶權(quán)限，讓學(xué)校管理員能夠針對(duì)本校需求進(jìn)行簡(jiǎn)樸的賬戶開戶，銷戶的操作。DCSM-RS可覺(jué)得角色信息配備工號(hào)、姓名、別名，能夠分別用其中之一登錄系統(tǒng)。能夠配備系統(tǒng)使用者與否能夠多點(diǎn)登錄系統(tǒng)及源地址范疇綁定等。功效權(quán)限：系統(tǒng)導(dǎo)航的每個(gè)功效點(diǎn)都能夠在權(quán)限中進(jìn)行具體配備；內(nèi)容權(quán)限：對(duì)多個(gè)套餐組、資費(fèi)組、地區(qū)組等組屬性能夠具體配備各個(gè)系統(tǒng)使用者允許操作與查看的組，從而決定能夠管理的顧客范疇。方便實(shí)現(xiàn)不同校區(qū)的權(quán)限管理。圖認(rèn)證系統(tǒng)分權(quán)管理界面顧客自服務(wù)平臺(tái)自助服務(wù)系統(tǒng)支持豐富的自助查詢與自助業(yè)務(wù)辦理功效，自助系統(tǒng)開放的功效能夠在后臺(tái)管理界面上由系統(tǒng)管理員統(tǒng)一配備，例如允許開放的自助查詢業(yè)務(wù)、自助變更套餐、停/開機(jī)等。另外，還能夠靈活配備允許自助維護(hù)顧客資料的選項(xiàng)，例如哪些顧客資料允許變更，哪些允許一次性變更等。支持界面的換膚功效，顧客能夠選擇自己喜歡的界面風(fēng)格，為最后上網(wǎng)顧客提供和諧的使用感受。無(wú)線管理系統(tǒng)布署神州數(shù)碼的DCLM是一套有線無(wú)線一體化的綜合網(wǎng)絡(luò)管理平臺(tái)，可從計(jì)劃、實(shí)施、監(jiān)控、配備、問(wèn)題解決、報(bào)告等對(duì)公司網(wǎng)絡(luò)進(jìn)行全方面的管理。通過(guò)集中、直觀、易于使用的顧客管理界面明顯地減少了網(wǎng)絡(luò)運(yùn)行成本。提供清晰的網(wǎng)絡(luò)管理和控制平臺(tái)，無(wú)線管理組件DCLM-Wlan，支持涉及AC、AP和移動(dòng)客戶端的位置的實(shí)時(shí)監(jiān)控，wlan安全實(shí)施和防御的網(wǎng)絡(luò)實(shí)時(shí)監(jiān)控，網(wǎng)絡(luò)自動(dòng)化和調(diào)度范疇內(nèi)的配備，快速、高效的故障排除。支持發(fā)現(xiàn)并管理有線設(shè)備,DCLM-Lan組件提供有線服務(wù)，包含設(shè)備的狀態(tài)、設(shè)備名稱、設(shè)備組、IP地址、MAC地址、位置、聯(lián)系人、設(shè)備類型、供應(yīng)商、型號(hào)、軟件版本、硬件版本、固件版本、配備版本、設(shè)備序列號(hào)、TOP10告警信息、CPU和內(nèi)存使用率、響應(yīng)時(shí)間和丟包率、交換機(jī)的全部的接口信息等等功效。倘若現(xiàn)在交換機(jī)是POE設(shè)備，還能夠?qū)涌谶M(jìn)行開關(guān)設(shè)立。支持位置服務(wù)功效，其DCLM-Location組件支持在熱點(diǎn)地圖上定位客戶端、流氓客戶端或流氓AP的位置等功效。圖3.5-1無(wú)線終端定位支持無(wú)線規(guī)劃功效：DCLM-Planner組件能夠協(xié)助顧客在地圖上手動(dòng)或自動(dòng)的規(guī)劃AP的位置，確保滿足熱點(diǎn)覆蓋率。DCLM產(chǎn)品重要配合神州數(shù)碼設(shè)備使用，提供簡(jiǎn)易的圖形化的配備界面，實(shí)現(xiàn)通過(guò)智能的準(zhǔn)時(shí)按需方式對(duì)單個(gè)或批量設(shè)備進(jìn)行配備修改,配備文獻(xiàn)備份/恢復(fù),和固件升級(jí)，從而大大減少管理員的維護(hù)強(qiáng)度和難度。能夠滿足從小型，中型，大型wlan和lan布署多達(dá)數(shù)萬(wàn)的網(wǎng)絡(luò)設(shè)備的需求，支持神州數(shù)碼全系列無(wú)線AC和AP產(chǎn)品,以及全系列路由和交換產(chǎn)品，并支持第三方網(wǎng)絡(luò)設(shè)備的發(fā)現(xiàn),拓?fù)浜徒y(tǒng)一監(jiān)控。安全運(yùn)維審計(jì)布署由于信息系統(tǒng)的脆弱性、技術(shù)的復(fù)雜性、操作的人為因素，在設(shè)計(jì)以防止、減少或消除潛在的風(fēng)險(xiǎn)或風(fēng)險(xiǎn)暴露的安全控制時(shí)，還應(yīng)考慮運(yùn)維管理與操作監(jiān)控機(jī)制以防止、發(fā)現(xiàn)錯(cuò)誤或違規(guī)事件，對(duì)IT風(fēng)險(xiǎn)進(jìn)行事前防備、事中控制、事后監(jiān)督和糾正的組合控制。IT運(yùn)維審計(jì)作為防止性控制的有效補(bǔ)充，并檢查、監(jiān)控控制的合適性與充足性，在信息科技風(fēng)險(xiǎn)管理中發(fā)揮極重要作用。對(duì)IT系統(tǒng)運(yùn)維進(jìn)行審計(jì)，是控制內(nèi)部風(fēng)險(xiǎn)的一種重要手段，但大型機(jī)構(gòu)的IT系統(tǒng)構(gòu)成復(fù)雜，操作人員眾多，如何有效地執(zhí)行審計(jì)工作，是長(zhǎng)久困擾各組織信息科技和風(fēng)險(xiǎn)稽核部門的一種重大課題。對(duì)任意組織而言，采用基于計(jì)算機(jī)的審計(jì)技術(shù)或工具（CAATs,ComputerAssistedAuditTechniques/Tools）無(wú)疑是實(shí)現(xiàn)監(jiān)管信息化、提高工作績(jī)效的重要途徑。但首先需要解決的問(wèn)題是：組織需要關(guān)心哪些類型的審計(jì)信息？哪些信息或行為對(duì)組織尤為核心？現(xiàn)在通用的審計(jì)工具大多從網(wǎng)絡(luò)層面或服務(wù)器日志層面獲取較為龐雜的信息，往往會(huì)造成核心的管理信息或敏感操作沉沒(méi)于日常業(yè)務(wù)數(shù)據(jù)中，或無(wú)法追溯操作行為軌跡、理解操作行為意圖，可能影響審計(jì)的有效性或效率。我們因應(yīng)市場(chǎng)對(duì)IT運(yùn)維審計(jì)的需求，集其數(shù)年信息安全領(lǐng)域運(yùn)維管理與安全服務(wù)的經(jīng)驗(yàn)，結(jié)合行業(yè)最佳實(shí)踐與合規(guī)性規(guī)定，率先推出基于硬件服務(wù)器平臺(tái)的“安全審計(jì)系統(tǒng)（DCSAS）”，針對(duì)于核心資產(chǎn)的運(yùn)維管理，再現(xiàn)核心行為軌跡，探索操作意圖，集全局實(shí)時(shí)監(jiān)控與敏感過(guò)程回放等功效特點(diǎn)，有效解決了信息化監(jiān)管中的一種核心問(wèn)題?！鞍踩珜徲?jì)系統(tǒng)（DCSAS）”目的是為組織IT系統(tǒng)核心服務(wù)器的運(yùn)維操作提供強(qiáng)有力的監(jiān)控、審計(jì)手段，使其切實(shí)滿足內(nèi)控管理中的合規(guī)性規(guī)定。安全審計(jì)系統(tǒng)（DCSAS）可對(duì)主機(jī)、服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等的管理維護(hù)進(jìn)行安全、有效、直觀的操作審計(jì)，對(duì)方略配備、系統(tǒng)維護(hù)、內(nèi)部訪問(wèn)等進(jìn)行具體的統(tǒng)計(jì)，提供細(xì)粒度的審計(jì)，并支持操作過(guò)程的全程回放。安全審計(jì)系統(tǒng)（DCSAS）彌補(bǔ)了傳統(tǒng)審計(jì)系統(tǒng)的局限性，將運(yùn)維審計(jì)由事件審計(jì)提高為內(nèi)容審計(jì)，并將身份認(rèn)證、授權(quán)、管理、審計(jì)有機(jī)地結(jié)合，確保只有正當(dāng)顧客才干使用其擁有運(yùn)維權(quán)限的核心資源。安全審計(jì)系統(tǒng)（DCSAS）為組織在IT操作風(fēng)險(xiǎn)控制、內(nèi)控安全和合規(guī)性等方面提供一套完善、有效的審計(jì)手段。鑒于網(wǎng)絡(luò)及管理架構(gòu)的復(fù)雜性，安全審計(jì)系統(tǒng)（DCSAS）系統(tǒng)提供了靈活的布署方式，既能夠采用串連模式，也能夠采用單臂模式接入到公司內(nèi)部網(wǎng)絡(luò)中。采用串連模式布署時(shí)，安全審計(jì)系統(tǒng)（DCSAS）含有一定程度上的網(wǎng)絡(luò)控制的功效，可提高核心服務(wù)器訪問(wèn)的安全性；采用單臂模式布署時(shí)，不變化網(wǎng)絡(luò)拓?fù)?，安裝調(diào)試過(guò)程簡(jiǎn)樸，可按照網(wǎng)絡(luò)架構(gòu)的實(shí)際狀況靈活接入。圖3.6-1：?jiǎn)伪勰Ｊ浇尤雸D3.6-2：串聯(lián)模式接入無(wú)論串連模式還是在單臂模式，通過(guò)安全審計(jì)系統(tǒng)（DCSAS）訪問(wèn)IT基礎(chǔ)服務(wù)資源的操作都將被具體的統(tǒng)計(jì)和存儲(chǔ)下來(lái)，作為審計(jì)的基礎(chǔ)數(shù)據(jù)。安全審計(jì)系統(tǒng)（DCSAS）的布署不會(huì)對(duì)業(yè)務(wù)系統(tǒng)、網(wǎng)絡(luò)中的數(shù)據(jù)流向、帶寬等重要指標(biāo)產(chǎn)生負(fù)面影響，無(wú)需在核心服務(wù)器上安裝任何軟硬件系統(tǒng)。系統(tǒng)特性：完整的身份管理和認(rèn)證為了確保正當(dāng)顧客才干訪問(wèn)其擁有權(quán)限的后臺(tái)資源，解決IT系統(tǒng)中普遍存在的交叉運(yùn)維而無(wú)法定位到具體人的問(wèn)題，滿足審計(jì)系統(tǒng)“誰(shuí)做的”規(guī)定，系統(tǒng)提供一套完整的身份管理和認(rèn)證功效。 支持靜態(tài)口令、動(dòng)態(tài)口令、LDAP、AD域認(rèn)證方式； 支持密碼強(qiáng)度、密碼效期、口令嘗試死鎖、顧客激活等安全管理功效； 支持顧客分組管理； 支持顧客信息導(dǎo)入導(dǎo)出，方便批量解決。靈活、細(xì)粒度的授權(quán)系統(tǒng)提供基于顧客、運(yùn)維合同、目的主機(jī)、運(yùn)維時(shí)間段（年、月、日、周、時(shí)間）、會(huì)話時(shí)長(zhǎng)、運(yùn)維客戶端IP等組