上海富士达电梯配件工厂仓储无线覆盖方案(4)

3.无线网络解决方案设计

3.1 无线网络总体架构

在传统无线网络建设中，有一个始终令网管人员感到头痛的问题，那就是对AP的管理、监控以及AP自身固件的升级。由于传统AP是一种称作为“FAT AP”，即自身需要有相应控制软件以及独立的配置才能运行，而由于AP是一种接入层设备，数量较多，且由于工厂网络的复杂性以及业务的多样性，导致需要根据各“热点”区域进行相应配置，并且还需要网管员对这些特殊配置进行记录，以方便日后维护；此外，在日常运行中，还需要了解这些数量众多AP的工作状态及性能等数据，而一般AP管理工具功能太过简单，如果采用有线网络网管软件，由于没有很好的对无线网络做相应的开发与支持，从而不能很好的管理无线网络。

因此，我方结合富士达工厂无线网络需求情况,本设计方案按照 汉明科技和 Motorola(摩托罗拉科技) AP+AC的结构化无线网络解决方案进行设计。整体框架基于瘦AP方式部署，采用AC（无线控制器）对AP进行集中管理、控制、配置策略的下发，以及对接入终端的认证、数据分布式/集中式转发、漫游等功能，操作和维护工作只需要在AC上进行即可。在该架构中，AP只负责无线信号的收发，不作MAC层及其以上的协议层处理，所有的智能工作都由AC完成。

图3-1 网络结构拓扑图

汉明科技和 Motorola(摩托罗拉科技)基于瘦AP+AC架构方案的优势在于：

1. 无缝漫游：通过 AC无线控制器管理，所有的AP均称为瘦AP模式，可以实现无缝漫游，即所有AP覆盖范围内，两地之间自动切换WIFI信号，不会产生断网和数据丢失。

2. 集中式转发：AC管控设备可强制使所有无线数据经过AC进行安全过滤，再转发到主干网络，这样有利于数据的集中管控，提高网络安全性。

3. 零配置：通过在AC管控设备部署好无线策略，所有的AP设备无需单独进行设置，直接接入网络即可自动获得配置信息，极大的便于管理和维护。

4. 负载均衡：两个AP设备共同覆盖的区域，当其中一个AP接入用户数较多，AC可自动进行调控，转移部分用户到另一个A P，分减负担，达到更好效果。

3.2 无线网络功能设计

1.零配置/即插即用功能：AP上不需要进行任何配置，只要接入到网络就可以工作；

2.软件自动升级功能：AP的软件完全实现自动升级；

3.批量配置功能：对连接到无线控制器的众多AP进行批量配置；

4.动态信道分配功能：无线控制器可以为AP自动分配信道，并在受到干扰时切换到最优信道；

5.自动发射功率调整功能：AP发生故障后，邻居AP可以提高自身功率，以弥补覆盖空洞；

6.网络负载分担功能：既可以实现用户在不同AP下的负载分担，也可以实现AP在不同无线控制器下的负载分担；

7.快速切换功能：用户在同一无线控制器的不同AP之间漫游时，可以大大提高切换速度，切换时延只有8~9毫秒；

8.跨区组网功能：对于分散在不同区域的AP依然可以通过城域网连接到无线控制器，而且AP无需任何配置；

9.跨IP子网漫游功能：无线工作站无需作任何改动，可以在不同的IP子网进行无缝漫游；

3.3机房和供电管理

在中心机房通过AC管理器旁接到核心交换机，这样就可以管理所有接入网络的AP设备，监测运行状态、配置下发策略、自动调控等。同时对所有经过AP的WIFI数据，进行集中式转发，整体过滤。

所有无线AP设备，在工厂环境下，不宜接入电源适配器供电，均采用网线来进行供电，所以，需在机房加设POE供电交换机。由于每层楼的弱电系统的走线，都汇聚到楼层弱电间，故建议每楼层弱电间加设POE交换机，根据需求，可分别加设8口、16口、和24口交换机。

3.3 无线网络安全性设计

WLAN利用了不可见的公用媒介进行空中信号传播，安全问题是部署无线的巨大挑战。无线网络的安全性设计体现在接入认证、数据加密、安全策略三个层面。接入认证实现对接入无线网络的终端和用户进行接入合法性检查；数据加密对终端和AP之间的数据进行加密处理，防止窃听；安全策略采用用户隔离、SSID隐藏、MAC地址过滤等技术手段抵御恶意用户的攻击行为。

3.3.1.接入认证方案设计：

AP产品支持MAC地址认证、预共享密钥认证、802.1X认证、portal认证。如果用户网络中已包含ruidius认证服务器，我们建议用户采用802.1x认证或portal认证方式实现对接入用户的准入。也可以在用户现有网络认证系统的基础上进行扩展，把无线系统的接入控制加入到现有认证系统中，实现用户网络认证系统的统一性和完整新。

802.1x认证是一种基于端口的网络接入控制协议，该技术也是用于WLAN的一种增加网络安全的解决方案。当客户端与AP关联后，是否可以使用AP提供的无线服务要取决于802.1x的认证结果。如果客户端能通过认证，就可以访问WLAN中的资源；如果不能通过认证，则无法访问WLAN中的资源。

Portal认证也称为Web认证，一般将Portal认证网站称为门户网站。未认证用户接入wlan后上网时，打开浏览器，portal网关设备将强制用户登录到特定站点，提示用户输入用户名和密码，只有认证通过后才可以使用互联网资源。

若用户现有网络系统中无完整、统一的认证系统，可以采用较为简便的PSK预共享密钥认证，PSK认证需要在无线客户端和设备端配置相同的预共享密钥，如果密钥相同， PSK接入认证成功；如果密钥不同，PSK接入认证失败。

3.3.2.数据加密方案设计：

采用汉明科技独有的E-CARD专利技术对AP与终端之间的数据进行加密。

汉明科技除了支持WIFI通用的安全策略和中国标准的WAPI安全标准外，还发明了《一种基于E-CARD的加密保护方法》、《一种用户和无线点之间的专有加密保护方法》、《一种基于心跳的WLAN网络资源防盗方法》三个关于WIFI的安全专利。其中，E-CARD加密保护方法在提高数据加密等级的基于上，对数据加密性能和效率进行了极大的优化。本方案中，AP与终端设备之间采用E-CARD技术进行加密。采用E-CARD技术对全网数据进行机密保护。由于采用汉明独有专利技术，使得对加密数据的破解更为不可能。

3.3.3.安全策略方案设计：

1.隐藏SSID，不主动广播SSID信息，终端采取主动寻找方式进行接入，可以防范外来用户使其无法搜索到该SSID的信号，故也无法接入。

2.MAC地址过滤功能，只有特许的mac对应的wifi终端才能接入。

3.用户隔离功能，接入同一SSID的用户之间二层隔离，保障二层安全，避免ARP攻击、DHCP饿死攻击、广播风暴等二层攻击行为。

3.4 无线网络管理框架设计

在传统无线网络建设中，有一个始终令网管人员感到头痛的问题，那就是对AP的管理、监控以及AP自身固件的升级。由于传统AP是一种称作为“FAT AP”，即自身需要有相应控制软件以及独立的配置才能运行，而由于AP是一种接入层设备，数量较多，且由于酒店网络的复杂性以及业务的多样性，导致需要根据各“热点”区域进行相应配置，并且还需要网管员对这些特殊配置进行记录，以方便日后维护；此外，在日常运行中，还需要了解这些数量众多AP的工作状态及性能等数据，而一般AP管理工具功能太过简单，如果采用有线网络网管软件，由于没有很好的对无线网络做相应的开发与支持，从而不能很好的管理无线网络。

而采用汉明科技无线整体解决方案架构下的无线网络，AP是一种被称作“THIN AP”的结构，由于AP本身没有任何需要配置的参数，同时AP与中心无线控制器之间采用CAPWAP协议进行通信，AP的固件、配置信息均由中心的POE交换机提供，并且AP与汉明科技无线交换之间采用“心跳”机制定时保持通讯，为了解决传统“FAT AP”能够集中管理、配置、升级AP；AP与汉明科技无线控制器之间采用“心跳”机制，定时保持通讯，无线控制器能够非常及时的了解AP的工作状态。

集中式无线网络管理方案大大提高了用户对网络系统的易维护性，在AC上实现对所有AP、接入用户的状态监视、配置管理，远程操作等。AC设备集成DHCP服务、RADIUS认证服务、PORTAL认证服务，为客户提供统一的管理界面。瘦AP和无线控制器系统有非常强大的集中管理功能，所有的关于无线网络的配置都可以通过配置无线控制器器统一完成。例如开通、管理、维护所有AP设备以及移动终端，包括无线电波频谱、无线安全、接入认证、移动漫游以及接入用户等所有功能。汉明科技AC产品为Web图形化界面设计，提供友好、简捷的人机界面，方便用户维护、管理。

3.5 WLAN频率规划

WLAN 802.11b/g/n工作在2.4GHz频段，频率范围为2.400～2.4835GHz，共83.5M带宽，划分为13个子信道，每个子信道带宽为22MHz。子信道分配如下图所示。

AP频段示意图AP频段示意图AP频段示意图

在使用2.4GHz频点时，为保证信道之间不相互干扰，要求两个信道之间间隔不低于25MHz。在一个覆盖区内，最多可以提供3个不重叠的频点同时工作，通常采用1、6、11三个频点。WLAN频率规划需综合考虑建筑结构、穿透损耗以及布线系统等具体情况进行。

AP频段示意图（同一楼层使用3个AP）

AP频段示意图2（三个楼层AP部署频段）

3.6 无缝漫游设计

在wifi网络中，用户终端通过关联AP广播的SSID进行wifi接入。移动漫游过程中，用户终端会对关联的AP进行切换，在切换过程总，不可避免的将发生“切断上一个连接、关联下一个连接”的过程，导致用户上网体验中断和业务丢包现象。

本方案中，基于汉明科技独有的HACIP无缝漫游切换技术，使AP间漫游切换时间<30ms,确保无线客户端在移动中也能不中断网络服务。在漫游区间内，不同的AP广播同一个SSID，且都归属于一个相同的vlan。这样，用户在漫游过程中，由于关联的始终为同一个SSID，且用户始终处于同一个VLAN，使得用户无需重新获取IP地址进行重认证，大大减小漫游切换时间。在整个WLAN覆盖区域内，终端用户跨房间，跨楼层都能保证用户网络畅通，彻底消除了在胖AP模式下，由于移动导致掉线后，还需要重新认证的烦恼。

AP间WIFI信号漫游示意图

基于HACIP技术的漫游切换过程

用户在AP1的范围内，通过AP1与网络进行连接，当用户处于AP1与AP2交叉范围内时，用户在与AP1连接的同时，与AP2做好连接的准备，当用户到达AP2的范围时，通过AP2与网络进行连接,用户感觉不到AP的切换造成的网络中断现象。

汉明科技HACIP快速漫游切换技术特点如下：

1 无线漫游过程对无线终端而言透明化

2 无线终端漫游过程中,IP地址和TCP连接保持不变，不影响用户的上网过程

3 漫游切换过程小于30ms

4 漫游过程中，无线终端不改变ip地址，无需重新认证