1、 WLAN運(yùn)維管理解決方案 2010-9-10 15:37:00 作者:DCN 多業(yè)務(wù)區(qū)分設(shè)計(jì)使用無(wú)線網(wǎng)絡(luò)可以分為不同的無(wú)線接入業(yè)務(wù)類型。因此，可以在設(shè)計(jì)上采用無(wú)線局域網(wǎng)多SSID技術(shù)，設(shè)置多業(yè)務(wù)區(qū)分方式，例如一個(gè)SSID可給教師所用，而另一個(gè)可給學(xué)生專用。由于用戶一般把SSID看成VLAN，所以它們都會(huì)慣性地以VLAN概念來(lái)劃分SSID。其實(shí)在一個(gè)AP范圍內(nèi)，不管用戶連接到那一個(gè)SSID它們實(shí)際上都是在同一個(gè)802.11廣播域內(nèi)，因?yàn)闊o(wú)線電波的傳輸是共享方式的。一個(gè)最簡(jiǎn)單的例子就是AP把不同的SSID名字廣播，所以當(dāng)無(wú)線終端在這個(gè)AP覆蓋范圍內(nèi)啟動(dòng)時(shí)，它就能同時(shí)看到多個(gè)SSID。SSID的最

2、主要用途是可讓無(wú)線終端以不同的安全認(rèn)證和加密方式入網(wǎng)。為什么要把不同的安全加密協(xié)議設(shè)置在不同的SSID呢?802.11的標(biāo)準(zhǔn)內(nèi)定義了不同加密情況時(shí)數(shù)據(jù)包的封裝格式，所以在用戶的無(wú)線接入使用不同的加密方式，例如：WEP、TKIP(WPA)、802.11i(WPA2)等等，不同加密方式不能在同一個(gè)SSID內(nèi)同時(shí)存在。某一個(gè)SSID可以覆蓋全網(wǎng)，也可以只局限于園區(qū)網(wǎng)內(nèi)的某些范圍。一般的情況下是全網(wǎng)開(kāi)通，例如：臨時(shí)訪問(wèn)者(Guest)使用的SSID；但有些SSID可以只在辦公區(qū)廣播，只供某些部門(mén)使用。無(wú)線用戶管理神州數(shù)碼網(wǎng)絡(luò)對(duì)于無(wú)線用戶的管理可以有多種方式，在單個(gè)無(wú)線場(chǎng)所，可以使用神州數(shù)碼DigiZo

3、neDirector智能無(wú)線控制器對(duì)多AP進(jìn)行管理，在多場(chǎng)所、多控制器的情況下，即可以使用神州數(shù)碼LinkManager統(tǒng)一網(wǎng)絡(luò)管理平臺(tái)使用標(biāo)準(zhǔn)SNMP協(xié)議對(duì)多廠家有線、無(wú)線設(shè)備進(jìn)行統(tǒng)一管理，又可以使用DigiFlexMaster無(wú)線集中式管理軟件基于TR-069對(duì)AP進(jìn)行綜合管理。神州數(shù)碼網(wǎng)絡(luò)無(wú)線系統(tǒng)中可以設(shè)定用戶的角色（role），每個(gè)角色可以基于用戶權(quán)限和可訪問(wèn)資源的設(shè)定等規(guī)則。用戶權(quán)限是DigiZoneDirector的功能，是針對(duì)無(wú)線接入的特性而設(shè)計(jì)。一般的用戶接入不同的SSID時(shí)只具有該SSID或VLAN所對(duì)應(yīng)資源的訪問(wèn)權(quán)限，所以訪問(wèn)不同的VLAN的資源需要分別登錄不同的SSID，

4、這樣是十分不便的。神州數(shù)碼網(wǎng)絡(luò)的基于用戶角色的權(quán)限管理是與用戶認(rèn)證捆綁在一起，當(dāng)無(wú)線用戶成功通過(guò)認(rèn)證后，他會(huì)獲得一個(gè)預(yù)設(shè)的用戶角色權(quán)限，訪問(wèn)其他SSID對(duì)應(yīng)的網(wǎng)絡(luò)資源。這樣，一個(gè)具有全部權(quán)限的用戶通過(guò)一個(gè)SSID登錄后，可以訪問(wèn)所有SSID對(duì)應(yīng)的語(yǔ)音、數(shù)據(jù)和視頻業(yè)務(wù)的權(quán)限，從而簡(jiǎn)化了用戶的權(quán)限設(shè)置和用戶管理的復(fù)雜性。一般在用戶權(quán)限設(shè)計(jì)中，可以將來(lái)賓和普通用戶的權(quán)限設(shè)置的較低，只能訪問(wèn)有限的資源，且優(yōu)先級(jí)較低，并且有帶寬的限制。其他用戶可能有較高的權(quán)限，可以訪問(wèn)更多的學(xué)校資源，或者對(duì)某些特殊的來(lái)賓開(kāi)放某些VIP賬號(hào)，分配給其較高權(quán)限的角色。在帶寬方面可以做比較寬松的限制。所有這些在配置、使用和管

5、理上都非常符合一般企業(yè)的網(wǎng)絡(luò)管理需求。在具有多場(chǎng)所，多控制器的環(huán)境，可以使用DigiFlexMaster進(jìn)行統(tǒng)一管理，神州數(shù)碼網(wǎng)絡(luò)的DigiFlexMaster無(wú)線集中式管理軟件系統(tǒng)提供了對(duì)DigiZoneFlex AP的配置、故障、性能、報(bào)告等系列的管理功能。該產(chǎn)品符合TR-069標(biāo)準(zhǔn)，利用工業(yè)標(biāo)準(zhǔn)SOAP/HTTPS/XML協(xié)議在DigiFlexMaster服務(wù)器和被管理的AP設(shè)備之間建立一條安全可靠的鏈路。 這個(gè)協(xié)議允許已安裝的AP設(shè)備在加電初始化時(shí)自動(dòng)訪問(wèn)匯報(bào)DigiFlexMaster服務(wù)器并隨后進(jìn)入自動(dòng)配置階段。網(wǎng)管工作人員也可以通過(guò)DigiFlexMaster和AP進(jìn)行即時(shí)通信或

6、設(shè)定AP在某個(gè)合適的時(shí)間按計(jì)劃執(zhí)行一個(gè)任務(wù)。由于TR-069基于標(biāo)準(zhǔn)HTTP或HTTPS，協(xié)議消息可以穿透互聯(lián)網(wǎng)上的防火墻，允許DigiFlexMaster遠(yuǎn)程管理任何安裝在互聯(lián)網(wǎng)上的DigiZoneFlex AP。AP和DigiFlexMaster 服務(wù)器之間異步通信的方法保證了通信可以通過(guò)NAT轉(zhuǎn)換點(diǎn)，這對(duì)于其它通用的網(wǎng)絡(luò)管理協(xié)議是難以做到的。無(wú)線安全性在神州數(shù)碼網(wǎng)絡(luò)無(wú)線系統(tǒng)中，可以在多個(gè)層面對(duì)系統(tǒng)構(gòu)筑安全防護(hù)，其安全性設(shè)計(jì)如下： 1:多SSID：可以根據(jù)需要，如用戶的種類、應(yīng)用的種類，在神州數(shù)碼網(wǎng)絡(luò)無(wú)線系統(tǒng)中設(shè)置多個(gè)SSID，不同的SSID采用不同的安全策略，這樣可以對(duì)不同的用戶及應(yīng)用進(jìn)

7、行區(qū)分服務(wù)。另外SSID還可以選擇隱藏的方式，該SSID不廣播，用戶無(wú)法看到，防止非法用戶的連接企圖。SSID還可以選擇在某些AP上出現(xiàn)，某些AP上不出現(xiàn)，限制SSID出現(xiàn)的范圍也是實(shí)現(xiàn)安全性的一種手段。2:加密：神州數(shù)碼網(wǎng)絡(luò)無(wú)線系統(tǒng)支持多種加密的方式，二層的加密支持靜態(tài)WEP、動(dòng)態(tài)WEP、TKIP、WPA、802.11i多種加密方式，三層的加密支持IPSec VPN加密，這樣使得加密的方式更加的靈活，可以根據(jù)實(shí)際需求進(jìn)行選擇。 3:用戶認(rèn)證提供三種方式： WPA-PSKcaptive portal+VPN。加密方式采用WPA-PSK，不建議采用靜態(tài)WEP，因?yàn)橛邪踩[患。采用captive

8、portal+VPN的認(rèn)證方式，同時(shí)VPN還具有三層的加密功能，具有更高的安全性。認(rèn)證服務(wù)器的選擇比較靈活，可以使用RADIUS, LDAP, Windows NT, ActiveDirectory, TACACS，甚至是DigiZoneDirector內(nèi)置的帳戶數(shù)據(jù)庫(kù)。 WPA+802.11x加密方式盡量采用WPA，如果客戶端不支持也可采用動(dòng)態(tài)WEP，認(rèn)證方式采用802.11x，認(rèn)證服務(wù)器選擇RADIUS。 Dynamic PSK?Dynamic PSK?是神州數(shù)碼網(wǎng)絡(luò)專有的用戶認(rèn)證和加密技術(shù)。傳統(tǒng)的無(wú)線加密密鑰對(duì)所有的用戶是相同的，相當(dāng)脆弱；而且長(zhǎng)度較短，容易被解碼。Dynamic PSK

9、?技術(shù)為每一個(gè)用戶提供一個(gè)64字節(jié)的密鑰，實(shí)現(xiàn)完整而且非常安全的認(rèn)證加密手段。 4:用戶的Role（角色）：每一類用戶可以建立一個(gè)相關(guān)的Role，每個(gè)Role有一個(gè)用戶狀態(tài)防火墻的設(shè)定和帶寬控制的設(shè)定，這樣我們就可以將設(shè)定的安全策略加載到每個(gè)用戶身上。5:無(wú)線客戶端隔離：神州數(shù)碼網(wǎng)絡(luò)無(wú)線控制器具有無(wú)線客戶端隔離功能，該功能啟動(dòng)后，無(wú)線客戶端將無(wú)法相互通信或訪問(wèn)任何受限制的子網(wǎng)。 6:帶寬控制：可以對(duì)每個(gè)用戶設(shè)定其可以使用的帶寬，一方面可以限制其對(duì)網(wǎng)絡(luò)資源的占有，另一方面，當(dāng)該客戶端中了病毒以后，其病毒發(fā)作時(shí)不會(huì)占用網(wǎng)絡(luò)全部的帶寬。7:認(rèn)證系統(tǒng)支持：神州數(shù)碼網(wǎng)絡(luò)無(wú)線系統(tǒng)支持多種認(rèn)證系統(tǒng)，諸如Ra

10、dius、微軟的AD（活動(dòng)目錄）和在DigiZoneDirector內(nèi)部的Internal DB等等。統(tǒng)一身份認(rèn)證融合統(tǒng)一802.1x認(rèn)證神州數(shù)碼有線無(wú)線集成化客戶端，在實(shí)現(xiàn)有線無(wú)線統(tǒng)一身份認(rèn)證的同時(shí)，還解決了長(zhǎng)時(shí)間困擾用戶的多廠家設(shè)備同時(shí)存在時(shí)無(wú)法實(shí)現(xiàn)統(tǒng)一認(rèn)證的問(wèn)題，由于高校校園網(wǎng)建設(shè)周期較長(zhǎng)，在不同的階段由于不同的需求可能采用不同廠家的設(shè)備，目前的802.1x認(rèn)證，各廠家均是采用私有認(rèn)證，在終端設(shè)備上必須安裝各廠家獨(dú)有的私有客戶端才能與其接入交換機(jī)、認(rèn)證計(jì)費(fèi)系統(tǒng)互動(dòng)，實(shí)現(xiàn)私有802.1x認(rèn)證，這種私有認(rèn)證對(duì)接入設(shè)備的依賴性使得用戶受困于廠家，不便于后續(xù)的應(yīng)用擴(kuò)展，神州數(shù)碼有線無(wú)線集成化客戶

11、端，配合TrustCenter統(tǒng)一身份認(rèn)證平臺(tái)，可以實(shí)現(xiàn)不依賴于接入設(shè)備的私有802.1x認(rèn)證，無(wú)論接入設(shè)備是否是神州數(shù)碼的產(chǎn)品，只需要在客戶端安裝神州數(shù)碼有線無(wú)線集成化客戶端，就可以與神州數(shù)碼TrustCenter認(rèn)證平臺(tái)互動(dòng)，實(shí)現(xiàn)私有802.1x認(rèn)證，實(shí)現(xiàn)即時(shí)消息通知、IP地址上傳、強(qiáng)制下線以及keep alive等功能，的具體流程如圖 4?1所示：有線標(biāo)準(zhǔn)802.1x轉(zhuǎn)私有802.1x認(rèn)證步驟：1. 用戶開(kāi)機(jī)后，客戶端發(fā)起DHCP請(qǐng)求，經(jīng)認(rèn)證設(shè)備轉(zhuǎn)發(fā)到DHCPServer，DHCPServer為用戶分配IP地址。2. 用戶通過(guò)客戶端軟件，采用標(biāo)準(zhǔn)802.1x認(rèn)證，發(fā)起認(rèn)證請(qǐng)求。3. 接入

12、交換機(jī)（非神州數(shù)碼設(shè)備）收到認(rèn)證請(qǐng)求，由于是標(biāo)準(zhǔn)的802.1x認(rèn)證，交換機(jī)可以識(shí)別認(rèn)證信息，將客戶端認(rèn)證信息發(fā)送到TrustCenter認(rèn)證服務(wù)平臺(tái)。4. TrustCenter認(rèn)證服務(wù)中心將認(rèn)證通過(guò)信息返回給接入交換機(jī)。5. 交換機(jī)將認(rèn)證通過(guò)信息返回給客戶端，客戶端界面顯示認(rèn)證通過(guò)信息。6. 標(biāo)準(zhǔn)認(rèn)證通過(guò)后，客戶端與TrustCenter服務(wù)器基于TCP/UDP直接通信，私有信息直接傳遞到服務(wù)器，服務(wù)器與客戶端之間可以完成即時(shí)消息通知、IP地址上傳、強(qiáng)制下線以及keep alive等功能。7. 交換機(jī)將用戶所在端口打開(kāi)，用戶可以上網(wǎng)，TrustCenter開(kāi)始對(duì)用戶計(jì)費(fèi)。無(wú)線標(biāo)準(zhǔn)802.1x

13、認(rèn)證為降低服務(wù)器負(fù)擔(dān),無(wú)線終端采用神州數(shù)碼私有802.1X認(rèn)證,用戶接入流程如下圖所示:圖 4?2 無(wú)線標(biāo)準(zhǔn)802.1x認(rèn)證無(wú)線私有802.1x認(rèn)證步驟：8. 用戶開(kāi)機(jī)后，檢測(cè)到SSID有效，通過(guò)802.1x客戶端軟件發(fā)起請(qǐng)求；9. AP檢測(cè)到該請(qǐng)求后，向AAA發(fā)出請(qǐng)求，AAA服務(wù)器發(fā)出響應(yīng)；10. 用戶端彈出對(duì)話框，要求輸入合法的身份標(biāo)識(shí)，如用戶名及其密碼。11. 用戶端將身份標(biāo)識(shí)傳送到AP；12. AP將相應(yīng)信息發(fā)送到TrustCenter進(jìn)行認(rèn)證。13. 如果認(rèn)證通過(guò)，則AP到DHCP服務(wù)器的端口打開(kāi)。客戶端軟件發(fā)起DHCP請(qǐng)求，經(jīng)認(rèn)證設(shè)備轉(zhuǎn)發(fā)到DHCPServer，DHCPServer

14、為用戶分配IP地址。14. 用戶可以上網(wǎng)了，認(rèn)證服務(wù)器開(kāi)始對(duì)用戶計(jì)費(fèi)。15. AP通過(guò)定期的檢測(cè)保證鏈路的激活。如果用戶離開(kāi)或異常死機(jī)，則AP在發(fā)起多次檢測(cè)后，自動(dòng)認(rèn)為用戶已經(jīng)下線，于是向認(rèn)證服務(wù)器發(fā)送終止計(jì)費(fèi)的信息。Webportal認(rèn)證神州數(shù)碼網(wǎng)絡(luò)智能無(wú)線 AP通過(guò)以太網(wǎng)或IP線路連接到網(wǎng)絡(luò)，通過(guò)DigiZoneDirector進(jìn)行SSID、無(wú)線信道、發(fā)射功率、Rouge AP檢測(cè)和無(wú)線加密、認(rèn)證等管理。根據(jù)要求，DigiZoneDirector將創(chuàng)建一個(gè)公開(kāi)的、沒(méi)有加密的AP熱點(diǎn)SSID，用戶可以通過(guò)該SSID接入到網(wǎng)絡(luò)當(dāng)中。無(wú)論用戶想訪問(wèn)的網(wǎng)頁(yè)是什么，DigiZoneDirector彈

15、出WEB認(rèn)證節(jié)目（包括歡迎、認(rèn)證連接等），通過(guò)認(rèn)證后用戶就可以訪問(wèn)Internet網(wǎng)絡(luò)了（也可以重定向到缺省的網(wǎng)頁(yè)）?？梢愿鶕?jù)熱區(qū)內(nèi)AP數(shù)量的多少，由一個(gè)或多個(gè)DigiZoneDirector可以管理一個(gè)熱區(qū)內(nèi)的所有AP。如果需要，未來(lái)可以在中心部署DigiFlexMaster管理所有的DigiZoneDirector，從而管理網(wǎng)絡(luò)中的所有AP。AP可以通過(guò)以太網(wǎng)或DSL鏈路接入網(wǎng)絡(luò)。DigiZoneDirector沒(méi)有DHCP服務(wù)器功能，所以需要外置的DHCP 服務(wù)器或使用BRAS提供DHCP服務(wù)器為客戶端分配IP地址的功能。如圖 4?3所示，用戶接入的流程如下：16. 用戶開(kāi)機(jī)后，檢測(cè)到S

16、SID有效；17. 客戶端發(fā)起DHCP請(qǐng)求，經(jīng)認(rèn)證設(shè)備轉(zhuǎn)發(fā)到DHCPServer。DHCPServer為用戶分配IP地址；18. 用戶打開(kāi)瀏覽器，HTTP請(qǐng)求被AP捕獲，并重定向到登錄界面；19. 用戶輸入用戶名和密碼，并傳送到DigiZoneDirector；20. DigiZoneDirector將用戶名和密碼發(fā)送到AAA服務(wù)器進(jìn)行認(rèn)證；21. 認(rèn)證通過(guò)后，DigiZoneDirector將Web頁(yè)面重定向到DigiZoneDirector指定的WEB服務(wù)器頁(yè)面（費(fèi)用余額等通知）；同時(shí)出現(xiàn)計(jì)時(shí)窗口；22. 用戶可以上網(wǎng)，AAA服務(wù)器計(jì)費(fèi)開(kāi)始；WebportalDHCP實(shí)現(xiàn)簡(jiǎn)單，無(wú)需客戶端和

17、相關(guān)配置，擴(kuò)展性也好。在無(wú)線控制器中設(shè)定使用Web-Portal方式認(rèn)證。當(dāng)用戶接入無(wú)線網(wǎng)絡(luò)后，需要使用瀏覽器訪問(wèn)校園網(wǎng)或Internet，會(huì)彈出認(rèn)證界面，用戶輸入用戶名和密碼后送到相關(guān)服務(wù)器進(jìn)行驗(yàn)證，如果認(rèn)證通過(guò)后用戶就能夠訪問(wèn)校園網(wǎng)和Internet，如果訪問(wèn)Internet就會(huì)產(chǎn)生計(jì)費(fèi)，同時(shí)計(jì)帳到該用戶帳號(hào)上。認(rèn)證與ipv6結(jié)合神州數(shù)碼網(wǎng)絡(luò)TrustCenter認(rèn)證計(jì)費(fèi)服務(wù)系統(tǒng)，支持IPv6無(wú)線終端的管理與認(rèn)證，支持IPv4和IPv6協(xié)議收發(fā)報(bào)文，包括認(rèn)證計(jì)費(fèi)報(bào)文，各種業(yè)務(wù)報(bào)文以及強(qiáng)制下線報(bào)文，可以實(shí)現(xiàn)與有線IPv6系統(tǒng)協(xié)同的統(tǒng)一認(rèn)證，實(shí)現(xiàn)基于IPv6的用戶與IP、MAC綁定，做到無(wú)線與

18、有線的認(rèn)證一體化。IPv6無(wú)線終端認(rèn)證信息在TrustCenter上的顯示如圖 4?4所示：TrustCenter在用戶認(rèn)證時(shí)對(duì)IPv6相關(guān)策略的校驗(yàn)，如下圖所示：TrustCenter管理端支持基于IPv6的遠(yuǎn)程訪問(wèn)和管理，可以顯示接入認(rèn)證用戶的IPv6相關(guān)信息，支持接入設(shè)備的IPv6配置和管理，在安全策略中配置和使用IPv6，在日志文件中可以展示及查詢IPv6信息，同時(shí)支持報(bào)表IPv6信息的導(dǎo)入和導(dǎo)出。IPv6信息的顯示和查詢?nèi)鐖D 4?6所示：神州數(shù)碼網(wǎng)絡(luò)認(rèn)證客戶端，支持獲取本機(jī)IPv6信息，客戶端同時(shí)集成了IPv6 DHCP客戶端，可以支持服務(wù)器下發(fā)IPv6地址設(shè)置。神州數(shù)碼認(rèn)證客戶端獲

19、取和設(shè)置IPv6信息如圖 4?7所示：移動(dòng)漫游無(wú)線用戶移動(dòng)漫游，涉及到多個(gè)層次的漫游，最為簡(jiǎn)單的是二層漫游，業(yè)內(nèi)主流廠家產(chǎn)品都表現(xiàn)不錯(cuò)，三層漫游就困難多了，還有當(dāng)用戶跨越多個(gè)域時(shí)怎樣無(wú)縫漫游，神州數(shù)碼網(wǎng)絡(luò)無(wú)線局域網(wǎng)可以實(shí)現(xiàn)快速無(wú)縫漫游功能。 L2/L3漫游在傳統(tǒng)的無(wú)線局域網(wǎng)內(nèi)，無(wú)線終端要跨越不同AP之間漫游是有一定的困難，因?yàn)椴煌珹P之間，它的無(wú)線用戶IP子網(wǎng)可能都不是在同一個(gè)VLAN內(nèi)。所以當(dāng)無(wú)線終端從一個(gè)AP漫游到另一AP時(shí)，由于它們之間的缺省IP子網(wǎng)不同，無(wú)線終端會(huì)重新發(fā)出DHCP請(qǐng)求，這樣的話終端的IP地址就會(huì)更新，所有在原先AP建立的連接都會(huì)被切斷。過(guò)去為了解決跨越三層的漫游，有些用戶采用了Mobile IP的技術(shù)，但Mobile IP的缺點(diǎn)是它必須在無(wú)線終端安裝軟件。這是一般網(wǎng)絡(luò)管理人員不愿意做的事情，因?yàn)樗鼈兙捅仨氈С趾途S護(hù)用戶的無(wú)線接入端。通過(guò)神州數(shù)碼網(wǎng)絡(luò)無(wú)線系統(tǒng)，可解決了跨越不同三層IP子網(wǎng)的無(wú)線漫游問(wèn)題。 當(dāng)無(wú)線終端從一個(gè)AP的IP子網(wǎng)漫游到另