恒拓校园WLAN关键技术专项方案.doc

校园WLAN无线覆盖技术方案宁波恒拓物联网有限公司校园无线覆盖技术方案书一、概述无线局域网（WLAN）技术于20世纪90年代逐渐成熟并投入商用，既可以作老式有线网络延伸，在某些环境也可以代替老式有线网络。对比老式有线传播解决方案，使用WLAN网络实现数据传播具备如下明显特点： 简易性：WLAN网络传播系统安装迅速简朴，可极大减少敷设管道及布线等繁琐工作； 灵活性：无线技术使得WLAN设备可以灵活进行安装并调节位置，使无线网络达到有线网络不易覆盖区域； 综合成本较低：一方面WLAN网络减少了布线费用，另一方面在需要频繁移动和变化动态环境中，无线局域网技术可以更好地保护已有投资。同步，由于WLAN技术自身就是面向数据通信领域IP传播技术，因而可直接通过百兆自适应网口和公司内部Intranet相连，从体系构造上节约了合同转换器等有关设备； 扩展能力强：WLAN网络系统支持各种拓扑构造及平滑扩容，可以十分容易地从小容量传播系统平滑扩展为中档容量传播系统；随着WLAN技术迅速发展和不断成熟，当前在国内外已经具备较多政府机构使用WLAN技术布置无线城域网，进行承载某些政府业务，诸如：电子政备、消防、公安信息等等，如：美国费城、荷兰阿姆斯特丹等。二、客户需求校园无线局域网建设总体目的是：运用无线网络技术进一步扩展网络覆盖范畴，提高网络顾客自适应性，在无线覆盖范畴内实现数据业务和语音业务无线传播，并且可实现三层漫游，使无线局域网和有线网成为一种整体，提供安全无线接入。由于此工程是在有线网基本上加以无线扩充（即采用AP将无线网络接入到有线网络），当前有线网已达到了相称覆盖范畴，可觉得无线网络建设提供支持。本工程详细建设目的是： 侧重实际应用，筹划全面覆盖某某大学校园重要人群活动场合； 保证网络访问安全性，支持顾客各种接入方式认证机制,涉及：基于Protal、802.1X、mac等认证，支持原则LDAP目录服务器； 采用通行网络合同原则：当前无线局域网普遍采用802.11g系列原则，因而无线局域网将重要支持802.11g（54M带宽）原则以提供可供实际应用相对稳定网络通讯服务； 顾客漫游性。在持续覆盖区域认证和覆盖应充分考虑移动顾客易用性，达到一次认证，移动使用目。 安全、认证和管理规定为了制止非授权顾客访问无线网络，以及防止对无线局域网数据流非法侦听，无线网络要具备相应安全手段，重要涉及：物理地址（MAC）过滤、服务区标记符(SSID)匹配、有线等效保密（WEP）、WPA,802.11i,EAP扩展认证，TKIP数据加密，二层隔离等； 无线网网络构造规定：无线接入所需布设AP通过接入设备接入到网中，在接入层提供相应接口给AP使用； 工程布线和安装规定：I. 室内某些：定位于较为开阔位置，将网线走暗线敷设到位；挂在墙上，可运用设备自身自带安装附件进行安装；如果需要遮蔽，则需要定制非金属安装盒；如果是挂在天花板上，则依照天花板状况而定，若天花板是非金属构造，可以固定在天花板内。安装过程中应充分考虑防盗问题。II. 室外某些：AP供电可采用POE方式由接入网络设备进行供电，室外机型需具备防雨防电等功能。III. 供电某些：AP供电可采用POE方式由接入网络设备进行供电 产品能力规定规定：I. 具备无委会核准证；II. 支持负载均衡；III. 漫游切换；IV. 支撑QOS能力 覆盖与顾客数量规定：a) 覆盖范畴：整个校园；b) 覆盖质量：室内85以上区域WLAN下载速率达1M以上；c) 顾客规模：按开户10000人，平均在线1000人计算；三、网络建设方案采用WLAN技术构架宽带网络服务，从技术上、工程上以及提供服务质量上均能较好满足规定。3.1无线网络基本方案3.1.1方案逻辑组网图本次方案H3C推荐使用WA2620X-AGNP是WA2600系列无线产品中一款室外智能型双频大功率802.11n无线基站接入设备，可以同步工作在2.4GHz和5GHz频段，采用6天线MIMO方式，单射频最大发射功率可达500mW。WA2620X-AGNP集成了H3C自主研发智能基带射频解决模块，可以针对性地有效解决室外WLAN覆盖各种问题，提高WLAN室外覆盖精确性和稳定性。同步通过专业一体化室外型设计，WA2620X-AGNP具备IP66防水防尘级别和大范畴宽温工作能力，非常以便室外安装和调试，广泛应用于涉及无线都市、无线校园、无线村村通、3G+W共址等各类WLAN室外场景专业智能覆盖。前期Fat AP逻辑组网图如下所示：本次工程采用无线网就近接入原则，每台AP就近接入有线网络，此时规定相应于无线AP有线地方都要提供一种有线互换机接入端口（RJ45）供使用，从工程维护角度出发，建议采用POE方式进行给AP进行供电，详细逻辑组网图如下图所示：校园网出口RadiusPoE接入层互换机网管Internet.无线接入点(FAT AP模式)图1 FAT AP 方案逻辑组网示意图WA2620XAGNP支持灵活布置需要，通过软件切换即可工作于Fit AP模式下,完毕Fit AP组网，逻辑组网如下：校园网出口Radius无线控制器PoE接入层互换机网管无线接入点(FIT AP模式)Internet.3.1.2认证方式顾客端和AP进行无线连接共有两种：一种是OPEN模式，这种模式下，无线顾客无需认证即可连接到有关SSID无线网络上。一种是Share Key模式，这种模式下，无线顾客需要顾客名和密码，通过认证后才可连接到有关SSID上。顾客名和密码通过AP进行设立。处在安全考虑，建议客户采用Share Key模式。由于大多数校园采用独立Radius服务器进行认证计费，处在使用便捷性考虑，在无线连接方面建议采用Open模式，当顾客完毕无线连接后，进行网络访问时，AP配合第三方认证服务器完毕顾客名和密码认证。3.1.3认证点选取：针对客户规定，Radius做为最后鉴权点。工作于FAT AP模式时，AP完毕认证点功能，顾客只能在二层网络漫游；当工作于Fit AP+AC模式时，顾客可用进行三层漫游，当顾客在AP内进行切换时，此时重要工作由无线互换机进行统一调度，当顾客在相似或者不同无线控制器下不同端口下不同AP覆盖范畴时，此时顾客不会再次触发认证。3.1.4认证明行流程处在网络安全考虑，建议校园无线顾客安装客户端软件用于认证计费，不同顾客群拥有不同网络访问权限，例如学生重要用于Internet网络访问和某些学习资源访问，而学校教职工工访问权限会更广泛。若规定外来访客安装客户端，势必不便；故针对以上种种状况，宁波恒拓公司建议采用如下实行方案：在整个无线覆盖范畴，每个AP均支持SSID名为Staff和SSID名为Student两种SSID，对于会议室，学术报告厅，会客室等接待外来访客场合，其所相应AP需额外只是名为VistorSSID。不同SSID相应不同VLAN,从而获取不同资源访问权限。SSID为Staff无线网络服务对象为全校教职工，通过认证顾客可访问相相应教学资源。SSID为Student无线网络服务对象为全校学生，通过认证顾客可访问Internet，学习资料等资源。SSID为Vistor无线网络服务对象为外来访客，此类顾客不需要安装客户端软件，相应无线网络设为Open模式，顾客发现无线连接，无需认证即可接入网络，此类顾客仅能访问Internet。访问资源有限，但使用便捷，适合流动性强外来访客。以上三种SSID仅做建议，学校可以依照需要增长相相应SSID，例如针对网络维护人员，可设立隐藏名为AdminSSID，所谓隐藏SSID就是指AP发送Beacon报文中不具有该SSID信息，若无预先设立，终端顾客无法自动发现该SSID，从而提供该SSID安全性。网络维护人员可通过该SSID获取较高网络访问权限，便于随时随处接入网络进行监控和维护。3.2无线网络安全网络安全问题是在建网时必要要考虑问题，安全方式重要侧重几种方面：顾客安全、系统安全，而在网络中重要依附于顾客实体属性重要涉及顾客使用信息终端二层属性（诸如：MAC地址）及顾客帐号、密码，而对于公司顾客来讲，帐号信息都是一种实名原则，与员工利益进行关联，这样本无线网络中着重考虑使用无线网络空口信息安全机制。为了制止非授权顾客访问无线网络，以及防止对无线局域网数据流非法侦听，H3C无线解决方案支持WPA、802.11i等安全方略，每个AP支持16个SSID，支持隐藏SSID技术等，保证无线网络安全。H3C WLAN产品亦支持国家无线网络原则WAPI，可在不同SSID下采用不同认证加密方式，完毕多样化无线认证需要。3.2.1顾客安全：数据安全某些重要涉及如下方面内容：I. MAC地址过滤：当前支持基于MAC地址过滤，限制具备某种类型MAC地址特性终端才干进入网络中；II. SSID管理：是一种网络标记方案，将网络进行一种逻辑化标记，对终端上发报文都规定进行上带SSID，如果没有SSID标记则不能进入网络；III. WEP加密：WEP加密是一种静态加密机制，通信双方具备一种共同密钥，终端发送空口信息报文必要使用共同密钥进行加密；IV. 支持AES加密，AES安全机制是一种动态密钥管理机制，同步密钥生成也基于不对称密钥机制来实现，同步密钥管理也定期更新，详细时间由系统可以设定，普通状况都设定为5分钟左右，这样非法顾客要想在5分钟之内进行获取足够数量报文进行匹配出密钥出来，从无线空口流理来看，基本上是不也许；V. 华三无线方案中密钥设立也许依照SSID信息与顾客信息进行组合，即不同SSID下不同顾客密钥生成可以不同样，这样可以做不到不同顾客不同管理方式，同步具备不同权限；3.2.2系统安全：I. 无线终端异常流量检测及报警：无线网管提供全面系统级记录数据：可提供涉及错误和流量以太网记录数据，其中涉及包大小、无线记录数据以及顾客会话记录数据，它们保存为顾客在各种AP上漫游记录，并且都具备易查看表格和图表，以便迅速辨认数据走向。基于所有AP上来无线终端数据都要通过AP与无线互换机之间二层隧道进行通信，因而所有无线终端流量均可通过无线网管进行记录，并且通过实时记录报表呈现出所有顾客访问网络流量，并通过设定流量阈值，一旦某无线终端流量超过阈值即实现异常流量报警功能。II. 顾客访问控制：提供基于身份组网：提供基于顾客身份所有服务，以使顾客在漫游时具备诸如虚拟专用组（Virtual Private Group）成员资格，并实现不同权限划分；在实际应用中可通过给不同部门分派不同顾客名访问无线网络，并予以不同部门不同访问权限。并可通过将顾客名和MAC地址进行绑定，防止外来非法人员通过无线网络来访问网络。3.3无线网络QOS：3.3.1漫游切换支持：无线终端在无线网络中移动时，必然要进行不同AP之间、所属不同有线互换机之间漫游切换。一方面无线终端会通过无线局域网服务器CAMS软件进行第一次安全接入认证，无线互换机会介入该认证过程，并获得PMK（Pairwise Master Key）。无线终端依照PMK生成各种通讯用密钥，开始进行加密会话。当无线终端发现需要进行切换时，会进行如下操作：1) 与无线互换机进行连接预建立；2) 无线互换机与需要建立连接AP互换通讯用PMK密钥，并将PMK密钥传给无线终端；3) 无线终端发布更新消息，更新无线互换机转刊登；4) 原有数据流转换到新AP上来；5) 切断原有数据连接。整个L2、L3漫游过程在50ms内所有完毕，并兼容IEEE 802.11802.11N、IEEE802.11f和IEEE802.11e原则，可良好支持语音、视频等多媒体业务需求。考虑到具备语音与视频潜在需求，可以通过设立专门SSID作为语音/视频业务使用，通过划分VLAN方式实现语音终端仅仅与语音网关进行通信，保证语音业务与数据业务隔离开来。3.3.2多媒体业务QOS支持：在无线系统中，WLAN某些非常重要就是QoS。而对于涉及到语音、视频业务无线系统系统，通信质量尤为重要，是事关系统质量核心指标。QoS总体思想就是保证明时语音、视频等业务在最高优先级。华三WLAN系统在所有层次保证了顾客数据最高质量优先级调度。图2 WLAN系统QoS 如图所示，在无线控制器和AP之间是通过隧道通信，不同无线控制器之间也是通过隧道通信，业务QoS保证是在三个层次内完毕，有APQoS保证，无线控制器QoS保证和L3QoS保证。应用层数据与WLAN优先级映射：基于DiffServQoS映射： AP进行WMM与COS/TOS之间映射 AP与无线控制器之间基于隧道到TOS、DSCPQoS映射： 无线控制器之间基于隧道TOS、DSCP到COSQoS映射： L3互换机/无线控制器之间进行COS与TOS、DSCP之间映射：业务类型WMMLayer 2 CoS（802.11p/Q)Layer 3 IPPrecedence（TOS）Layer 3DSCPBackground0000330x6024Best Effort110x208220x4016Video440x8032550xa040Voice660xc048770xe056基于DiffServ队列调度 AP在输出接口支持各种队列，按优先级调度 语音流和会议电视放入严格优先级队列PQ中，流媒体和核心数据业务放入CBWFQ。华三WLAN AP设备可以支持二层优先级（802.1p/Q)，三层优先级数据（TOS）到WLAN MAC层优先级映射，并且可以数据类型，将不同类型报文使用不同优先级传播。详细QoS配备参数如下：在APQoS范畴内，不但仅继承了IEEE802.11802.11N MAC里面所规定CSMA/CA(载波侦听多路访问/冲突避免)DCF（分布式协调功能）机制，华三 WA2620X-ANGP更加实现WMM所规定EDCF（增强型分布式协调功能）。也就是将业务分为不同4个队列Backgournd，Best Effort，Video和Voice，就可以把不同业务类型放入不同队列中，依照国电大楼无线网络特殊应用，咱们设定APQoS配备如下表业务类型AP级别QoS配备实时视音频流67实时视频流（上行监控）45实时信息流12数据流0、3在L2优先级配备范畴里面，依照业务应用特点将不同业务放入了不同优先级队列，如下表所示业务类型L2优先级队列实时视音频流67实时视频流（上行监控）45实时信息流12数据流0、33.4无线网络管理：3.4.1安全认证管理规划：由于安全性是将来网络不可或缺一环，而使用者认证可说是各种安全政策最基本功能，唯有确认使用者身分，才干谈到进一步授权问题。华三无线管理系统可以进行本地数据库认证，亦可支持外接认证服务器，例如在网络认证上通用RADIUS服务器，由RADIUS并依其认证成果分别授与使用者不同权限，并有使用者群组功能，让管理者依方略需要订成不同群组，以群组为单位设定其权限，然后把个别使用者归类到不同群组中；如此一来不必每个使用者去设定不同权限，只要将组织所需要权限做成数个群组，然后依使用者需求将其归类，且若使用者权限有所变动，只要将其归类到不同群组即可，简化管理工作。3.4.2集中网络管理：无线网络建成后，管理者可在中心端集中管理所有AP及无线控制器，订定统一安全管理方略并贯彻之，在线监控所有无线网络活动和性能，并定期产生报表。 华三 WA2620X-ANGP在设计上即承担两种任务：提供正常无线网络使用者接入网络服务及侦测其射频范畴内与否有其他私接无线网络设备；一旦发现私接无线网络设备，即告知网管软件，由管理人员决定要承认此设备为新合法设备或者做干扰动作。本项功能为本套全方位解决方案特色之一，不需要额外提供其他软硬件。3.5 IP V6H3C WLAN 产品实现了IPv4/IPv6双合同栈。AP自身支持IPv6注册通信，AP和无线控制器之间亦可以穿过IPv6网络互联，从而使组网方式更加灵活，可以满足此后网络发展需要，保护顾客投资。3.6负载均衡AP上支持原则IAPP合同框架，通过负载均衡布置，可实当前一种热点内顾客平均分派到所布置所有AP上，达到在一种服务区AP接入顾客数何流量平衡，为顾客提供更高服务质量。详细可布置负载均衡方略有： 对所有AP设立基于顾客数负载均衡功能，AP通过对接入顾客数记录，与设定AP接入顾客数量阀值比较，达到阀值后，不容许新顾客接入。 对所有AP设立基于流量负载均衡功能，AP通过对接入顾客流量记录，与设定AP上流量漏桶阀值上沿比较，达到阀值后，不容许新顾客接入，少于阀值下沿，再容许新顾客接入。 配合网络规划，设立AP群功能，在一种群内AP通过组播报文实时通报接入顾客数量，当发现AP间顾客数差值不不大于设定阀值，接入顾客多AP将某些顾客赶下网。3.7供电问题：由于本次无线网中AP设备数量较多，AP布放位置依照实际覆盖效果而调节，在已建设完毕建筑物上较难进行本地供电，基于原则802.11N实现对APPOE供电。3.8.1 覆盖效果理论计信号强度和传播距离换算公式AP加卡信号总强度公式：GtGrAP天线增益终端天线增益L信号总强度（dB）Gt（AP或终端功率，单位dB），Gr（终端或AP敏捷度，单位dB）距离产生信号衰减公式：4020lgdL1（dB） d（距离，单位m）工程中最大传播距离以45m计算，因此L172dB障碍物衰减：物体dB地板30带窗户砖墙2办公室墙6办公室墙金属门6砖墙金属门12.4接近金属门砖墙3工程中实际障碍物最大衰减是临窗墙衰减3dB加上房间墙衰减12dB等于15dB。四 无线网络规划4.1频率规划IEEE 802.11N设备可以同步工作在2.4GHz和5GHz频段，工作频率带宽为83.5MHz，划分为14个子频道，每个子频道带宽为22MHz；互不干扰子信道有3个。与蜂窝网类似，3个互不干扰信道可以进行频率复用，但应保证使用同一信道AP之间应有足够远距离，避免干扰。抱负WLAN布置情形如图7所示。图7抱负WLAN布置情形AP覆盖区域之间应有重叠区，以保证无缝覆盖和适应负载均衡。4.2容量规划随着WLAN普及，浮现了某些顾客密集热点区域，这些区域是WLAN设计难点和重点,由于校园内电脑密集，宿舍楼一带存在着大量室内型小功率AP，使用信道也很没有规律。下面讨论AP接入能力、干扰对WLAN速率影响几种方面问题。4.2.1单AP接入能力由于WLAN采用CSMA/CA机制，如果接入顾客过多，那么同一时刻发生冲突概率明显增大，也必然会延长每个顾客等待时间，而使得系统带宽闲置；如果顾客超过一定限度，会导致系统瘫痪。工程设计上普通每AP接入顾客数在2030台左右应当比较适当。4.3信道干扰4.3.1其他设备干扰通过测试，使用2.4GHz频段设备中，蓝牙等小功率设备对WLAN网络影响很小，可以忽视；微波炉等大功率设备对WLAN网络影响较大，在网络设计时应注意远离此类设备。图8是微波炉对WLAN（802.11b）传播速率影响曲线图。图8微波炉对WLAN（802.11b）传播速率影响曲线图从图中可以看出，WLAN设备接近干扰源时，传播速率迅速下降。由于某某大学重要大功率微波设备只存在于教工宿舍区和某些实验室，因而影响不大。基本可以忽视不计。4.3.2同道干扰WLAN采用直接序列扩频技术扩频码是原则，不同设备使用相似扩频码，因而相邻社区不能使用相似频率，否则将导致同频干扰。就某某大学方案设计而言，除考虑本方案中100各种AP信道之间干扰外，也须充分考虑校园内已有AP影响，特别在宿舍区。图9、10分别是相距40m两个802.11bAP使用1、6信道和1、1信道时网络吞吐量。图9两AP分别使用1、6信道图10两AP均使用1信道在使用非干扰频段时，两AP总吞吐量可以接近11 Mbit/s；在同频时总吞吐量局限性6Mbit/s，此时2个AP与非干扰状况下1个AP吞吐量接近。因此，在有限范畴内单纯采用增长AP办法是无法提高网络容量。4.3.3邻道干扰两信道中心频率不大于25MHz时，信道之间存在重叠区域，会有某些干扰。图11曲线是两AP信道间隔分别为05状况下总吞吐量曲线。图11两AP信道间隔分别为05状况下总吞吐量曲线使用邻频可以增长可用频点数，但会引入干扰，工程上普通仍采用1、6、11三个完全不干扰频段。对于使用邻频能否使系统总容量得以及提高、提高效果尚有待进一步实验来验证。4.3.3干扰规避及容量提高通过规避干扰提高网络容量，特别是在小范畴提供大容量无线局域网是WLAN设计难点。针对干扰规避和容量提高，业内重要有如下几种建议：充分运用天然隔断（如建筑物、墙体等）、使用802.11N、减少AP发射功率、使用扇区天线或智能天线。运用隔断进行频率复用是WLAN网络规划基本办法，802.11N使用重要受限于顾客发展，这里都不再赘述。下面针对后两种建议进行简朴讨论。4.3.4减少AP发射功率减少AP发射功率可以减少AP覆盖范畴，从而增大频率复用度。减少AP发射功率，可以减少AP之间互相干扰；但是，STA发射功率普通为30mW，某些STA设备功率顾客是无法控制，因此AP与STA之间、STA与STA之间干扰依然存在，所能带来容量提高也有限。况且采用室外覆盖方案，对于AP而言，功率余量已经不大，故不建议采用此办法。4.3.5扇区天线，智能天线此技术用于蜂窝网络，使容量得以提高。WLAN使用扇区天线或智能天线，可以减少AP之间以及STA与AP之间干扰，在一定限度上可以提高容量。但是STA均使用全向天线，功率不可调，STA之间干扰依然无法避免。某些区域采用定向天线重要是基于聚焦信号考虑。五、网络优化在网络规划设计及建设完毕之后，需要对实际网络质量进行测量，并依照测量成果对网络进行调节，以保证信号强度、干扰等指标达到目的值。六、产品配备方案序号产品代码项目名称数量备注1H3C S5120-SI 以太网互换机LS-5120-28P-PWR-SI-H3H3C S5120-28P-PWR-SI,L2以太网互换机主机,24个10/100/1000BASE-T,4个SFP,支持AC110/220V,POE1 千兆POE互换机H3C S5120-SI 以太网互换机2H3C iMC V5智能管理中心SWP-IMC-IMPH3C iMC-智能管理平台原则版(不含节点)-纯软件(DVD)1 LIS-IMC-IMPA-25H3C iMC-智能管理平台原则版管理25节点License费用1 SWP-IMC-WSMH3C iMC-WSM无线业务管理组件-纯软件(CD)1 LIS-IMC-WSMB-50H3C iMC-WSM无线业务管理组件管理50台Fit AP设备License费用1 H3C iMC V5智能管理中心3H3C 无线控制器与无线终端设备EWP-WX3024E-POEPH3C WX3024E-PoEP-24端口千兆(4 SFP Combo+Slot插槽+PoE Plus)有线无线一体化互换机1 无线控制器，默认管理24个AP，最大管理60个APLIS-WX-12-A高性能有线无线一体化互换机license费用-管理12AP1 EWP-WA2620i-AGN-FITH3C WA2620i-AGN-802.11n无线局域网智能室内放装型2.4/5GHz双频接入点-FIT1 室内APEWP-WA2620X-AGNP-FITH3C WA2620X-AGNP 802.11n无线局域网室外型2.4&5GHz双频接入点-FIT1 室外APANT-P-M32.4GHz(15dBi),智能型MIMO定向扇区天线(65deg),N型3,室外1 CAB-RF-1.83m-(2*NSM+RG8/U)射频电缆-1.83m-50ohm-N50直公-(COAX-RG8/U)-N50直公1 H3C 无线控制器与无线终端设备