H3C中小企業(yè)無(wú)線解決方案
根據(jù)中國(guó)互聯(lián)網(wǎng)絡(luò)信息中心(CNNIC)公布的數(shù)據(jù)，截至2008年6月底，中國(guó)網(wǎng)民數(shù)量達(dá)到了2.53億，首次大幅度超過(guò)美國(guó)，躍居世界第一位。中國(guó)也真正地步入網(wǎng)絡(luò)時(shí)代。其中WLAN網(wǎng)絡(luò)在提高企業(yè)效率、降低企業(yè)成本、提高用戶滿意度等方面有著突出的作用。那么隨著網(wǎng)絡(luò)使用范圍的擴(kuò)大，中小企業(yè)H3C無(wú)線配置怎么解決呢?下面跟yjbys小編一起來(lái)看看無(wú)線的最佳解決方案!
對(duì)于中小規(guī)模網(wǎng)絡(luò)，如何更方便地建設(shè)、部署WLAN網(wǎng)絡(luò)，成為網(wǎng)絡(luò)建設(shè)者首要面對(duì)的問(wèn)題。針對(duì)網(wǎng)絡(luò)規(guī)模的特點(diǎn)，以下內(nèi)容，是網(wǎng)絡(luò)規(guī)劃、建設(shè)過(guò)程中，必須回答的問(wèn)題。
1. 為什么需要FIT AP解決方案
對(duì)于中小規(guī)模網(wǎng)絡(luò)，普遍存在管理能力不強(qiáng)的因素，客戶傾向于簡(jiǎn)單、易管理的網(wǎng)絡(luò)解決方案，對(duì)于無(wú)線部署尤其如此。目前業(yè)界解決無(wú)線網(wǎng)絡(luò)部署的技術(shù)，主要是FAT(胖)AP解決方案和FIT(瘦)AP解決方案。
分析中小規(guī)模網(wǎng)絡(luò)WLAN部署的需求，適用于家庭應(yīng)用的FAT AP獨(dú)立部署方式，因?yàn)楣芾砗蜆I(yè)務(wù)支撐的限制，并不適合企業(yè)組網(wǎng)。業(yè)界比較一致的觀點(diǎn)是采用集中控制管理的FIT AP部署模式來(lái)建設(shè)企業(yè)WLAN網(wǎng)絡(luò)，即通過(guò)無(wú)線控制器和無(wú)線AP共同滿足企業(yè)無(wú)線覆蓋需求，有效地解決企業(yè)IT人員對(duì)AP管理的后顧之憂，并滿足企業(yè)對(duì)無(wú)線話音、視頻等增值業(yè)務(wù)的需要。
² 配置簡(jiǎn)單：AP零配置、所有的配置集中在無(wú)線交換機(jī)上完成，簡(jiǎn)單便捷;
² 維護(hù)方便：管理、維護(hù)針對(duì)無(wú)線交換機(jī)來(lái)實(shí)現(xiàn)，不需要對(duì)每一臺(tái)AP進(jìn)行操作;
² 易于升級(jí)：針對(duì)特性增加帶來(lái)的軟件版本升級(jí)需求，只需要對(duì)無(wú)線交換機(jī)進(jìn)行操作即可，不需要對(duì)每一臺(tái)無(wú)線AP單獨(dú)升級(jí);
² 安全可控：可以集中進(jìn)行射頻及功率、信道調(diào)整，安全訪問(wèn)控制等功能;
² 更易擴(kuò)展：根據(jù)需要，可以靈活增加補(bǔ)點(diǎn)AP，支持三層漫游，方便擴(kuò)展支持無(wú)線監(jiān)控、話音應(yīng)用等業(yè)務(wù)。
2. 需要什么樣的無(wú)線交換機(jī)
既然如此，面對(duì)不同廠家、不同型號(hào)的無(wú)線交換機(jī)產(chǎn)品，如何選擇適合網(wǎng)絡(luò)需求的設(shè)備，就是一個(gè)重中之重的問(wèn)題，選擇什么樣的無(wú)線交換機(jī)，建議從以下幾個(gè)方面來(lái)分析。
2.1. 控制器管理多少AP
如何規(guī)劃網(wǎng)絡(luò)，需要部署多少個(gè)AP，需要什么樣規(guī)格的無(wú)線控制器，既保證覆蓋要求，又不浪費(fèi)投資。既能保證現(xiàn)有應(yīng)用，又能兼顧未來(lái)發(fā)展。
配置管理多少個(gè)AP的無(wú)線控制器，可以從兩個(gè)方面入手。
² 空間
無(wú)線信號(hào)穿越門(mén)、窗、墻等障礙物會(huì)有衰減，因此，無(wú)線AP的數(shù)量和覆蓋場(chǎng)所的物理格局關(guān)系密切，無(wú)線AP的覆蓋原則是，首先保證覆蓋區(qū)域內(nèi)，AP與無(wú)線終端之間無(wú)線信號(hào)的有效交互，其次，保證覆蓋區(qū)域內(nèi)每個(gè)終端的覆蓋帶寬要求。
綜合上述原則，可以確定覆蓋的AP數(shù)量。
² 時(shí)間
即保護(hù)投資，一個(gè)網(wǎng)絡(luò)的生命周期，大致五年，五年內(nèi)企業(yè)規(guī)模會(huì)壯大，企業(yè)網(wǎng)絡(luò)也需要擴(kuò)展，無(wú)線控制器的選擇需要兼顧管理AP的可擴(kuò)展能力，同時(shí)，企業(yè)應(yīng)用業(yè)務(wù)也會(huì)發(fā)展，包括無(wú)線語(yǔ)音、視頻的應(yīng)用，無(wú)線控制器的性能需要能滿足幾年的應(yīng)用。如今IEEE802.11a/b/g是無(wú)線接入的主流，隨著IEEE802.11n的成熟，現(xiàn)有的網(wǎng)絡(luò)需要無(wú)縫集成IEEE802.11n AP，因此，無(wú)線控制器既要能滿足IEEE802.11a/b/g的數(shù)據(jù)處理，又要能夠滿足IEEE802.11n的數(shù)據(jù)處理。
一般而言，一個(gè)AP可以滿足20個(gè)用戶，每個(gè)用戶1Mbps的流量要求，從這個(gè)角度，20～30個(gè)AP可以滿足400～600人的企業(yè)應(yīng)用。因此，管理20～30個(gè)AP的無(wú)線控制器可以滿足大多數(shù)中小規(guī)模網(wǎng)絡(luò)的需求。
2.2. 需要什么樣的性能保障
大容量AP管理接入、無(wú)線話音、無(wú)線視頻、IEEE802.11n接入，這些都使無(wú)線控制器的性能成為一個(gè)不容忽視的問(wèn)題。考慮到投資成本，又不能無(wú)限制地通過(guò)提升硬件來(lái)解決性能限制。
因此需要從硬件和軟件體系兩個(gè)方面來(lái)衡量無(wú)線控制器的性能。
首先，目前的企業(yè)網(wǎng)，千兆核心已經(jīng)普及，而且IEEE802.11n AP的上行端口多采用千兆。因此，無(wú)線控制器需要提供千兆處理性能，不僅提供千兆端口，最好能夠提供萬(wàn)兆擴(kuò)展能力，以便提供更高的網(wǎng)絡(luò)鏈接適用性。
其次，隨著話音等延時(shí)敏感性業(yè)務(wù)的推廣及IEEE802.11n AP處理的大流量要求，集中轉(zhuǎn)發(fā)的無(wú)線控制器很容易成為性能瓶頸。因此，需要無(wú)線控制器支持采用分布式轉(zhuǎn)發(fā)模式，控制、管理報(bào)文通過(guò)無(wú)線控制器進(jìn)行統(tǒng)一處理，數(shù)據(jù)報(bào)文在無(wú)線AP上直接轉(zhuǎn)化為以太網(wǎng)格式的報(bào)文，不需要通過(guò)隧道封裝交無(wú)線交換機(jī)處理，從而解決無(wú)線控制器的數(shù)據(jù)轉(zhuǎn)發(fā)性能瓶頸問(wèn)題。
2.3. 如何解決無(wú)線AP供電
如何解決供電，無(wú)線AP部署位置的.靈活性，要求AP在具有本地供電能力的同時(shí)，要求其可以通過(guò)POE實(shí)現(xiàn)遠(yuǎn)程供電，目前有兩類解決方案，POE供電模塊和POE供電交換機(jī)。為了保證POE供電的可靠性，采用POE供電交換機(jī)為單路供電的無(wú)線AP提供電源是首選，目前的POE交換機(jī)遵循的是IEEE802.3af標(biāo)準(zhǔn)，最大輸出功率是15W左右，而業(yè)界主流的IEEE802.11n AP需要的工作功率多大于15W，為了解決這樣的供電需求，需要遵循IEEE802.3at草案的POE+供電交換機(jī)，才能真正發(fā)揮IEEE802.11n的性能優(yōu)勢(shì)。
2.4. 如何降低管理成本
對(duì)于一般的客戶，往往沒(méi)有強(qiáng)大的IT維護(hù)力量，網(wǎng)絡(luò)建設(shè)從來(lái)不是一勞永逸的，因此，網(wǎng)絡(luò)管理是非常重要的問(wèn)題。
但是，對(duì)于中小網(wǎng)絡(luò)客戶，并不需要過(guò)于完善、過(guò)于負(fù)載的網(wǎng)絡(luò)管理系統(tǒng)，簡(jiǎn)易直觀的WEB管理界面，是中小網(wǎng)絡(luò)真正需要的網(wǎng)絡(luò)管理。這樣可以方便IT管理者的維護(hù)，可以避免使IT管理員成為救火隊(duì)員。
另外，對(duì)于管理內(nèi)容，包括用戶IP地址分配，用戶身份認(rèn)證等系列用戶管理是重點(diǎn)考慮的內(nèi)容。
無(wú)線用戶的IP地址一般采用DHCP 服務(wù)器來(lái)分配，用戶認(rèn)證可以采用MAC地址認(rèn)證、IEEE802.1x認(rèn)證、PORTAL認(rèn)證等方式。一個(gè)完整的無(wú)線網(wǎng)絡(luò)，一般需要RADIUS 服務(wù)器，PORTAL認(rèn)證服務(wù)器及前面述及的DHCP 服務(wù)器。
這些設(shè)備結(jié)合無(wú)線控制器及無(wú)線AP，對(duì)沒(méi)有強(qiáng)大的IT維護(hù)力量的企業(yè)而言，無(wú)疑是一個(gè)嚴(yán)峻的挑戰(zhàn)，因此，客戶需要一種高集成的解決方案，即無(wú)線交換機(jī)集成DHCP服務(wù)、RADIUS認(rèn)證服務(wù)、PORTAL認(rèn)證服務(wù)，為客戶提供統(tǒng)一的管理界面。
2.5. 如何保證無(wú)線安全
WLAN利用了不可見(jiàn)的公用媒介進(jìn)行空中信號(hào)傳播，安全問(wèn)題是部署無(wú)線的巨大挑戰(zhàn)，無(wú)線網(wǎng)絡(luò)安全的復(fù)雜性一定程度上限制了企業(yè)部署無(wú)線。如何解決WLAN接入面臨的安全問(wèn)題，保證客戶放心使用是一個(gè)重要問(wèn)題。
仔細(xì)分析無(wú)線面臨的安全挑戰(zhàn)， 主要是防止非法AP接入，防止非法用戶接入，防止ARP攻擊，防止AP過(guò)載，防止不合理應(yīng)用等。
既要防范外部威脅，又要防范內(nèi)部威脅，既要防范來(lái)自用戶端的威脅，又要防范網(wǎng)絡(luò)端的威脅。
首先，防范未授權(quán)AP
IEEE802.11網(wǎng)絡(luò)很容易受到大量網(wǎng)絡(luò)威脅的影響，如未經(jīng)授權(quán)的AP用戶、Ad-hoc網(wǎng)絡(luò)、拒絕服務(wù)型攻擊等。Rouge設(shè)備對(duì)于企業(yè)網(wǎng)絡(luò)安全來(lái)說(shuō)是一個(gè)很?chē)?yán)重的威脅。這需要無(wú)線入侵檢測(cè)(WIDS)功能來(lái)防范，通過(guò)WIDS用于對(duì)有惡意的用戶攻擊和入侵無(wú)線網(wǎng)絡(luò)進(jìn)行早期檢測(cè)，它用于檢測(cè)WLAN網(wǎng)絡(luò)中的rogue設(shè)備，上報(bào)管理中心，并對(duì)它們采取反制措施，以阻止其工作，最大程度地保護(hù)無(wú)線網(wǎng)絡(luò)。
其次， 防范非法用戶
這主要通過(guò)認(rèn)證技術(shù)及加密技術(shù)來(lái)保證。通過(guò)802.1x認(rèn)證、MAC地址認(rèn)證、Portal認(rèn)證等多種認(rèn)證方式，保證無(wú)線用戶身份的安全性， 結(jié)合WEP(64/128)、WPA、WPA2等多種加密方式保證無(wú)線用戶的加密安全性。
另外，通過(guò)用戶身份認(rèn)證結(jié)合AAA服務(wù)器上對(duì)用戶組進(jìn)行權(quán)限的配置和修改，實(shí)現(xiàn)精細(xì)的用戶權(quán)限控制，從而大大增強(qiáng)了無(wú)線網(wǎng)絡(luò)的可用度，網(wǎng)管人員可以輕松地對(duì)不同級(jí)別的人進(jìn)行接入權(quán)限分配。
第三，防范ARP攻擊
企業(yè)內(nèi)部普遍存在ARP 攻擊手段，通過(guò)偽造IP地址和M無(wú)線交換機(jī)地址實(shí)現(xiàn)ARP欺騙，產(chǎn)生大量的ARP通信量使網(wǎng)絡(luò)阻塞或者實(shí)現(xiàn)中間人攻擊，嚴(yán)重的可以使網(wǎng)絡(luò)不可用，危害企業(yè)應(yīng)用。
為了防止攻擊者通過(guò)ARP報(bào)文實(shí)施“中間人”攻擊，要求無(wú)線控制器具有ARP入侵檢測(cè)功能，即通過(guò)對(duì)ARP報(bào)文進(jìn)行合法性檢測(cè)，轉(zhuǎn)發(fā)合法的ARP報(bào)文，丟棄非法ARP報(bào)文。從而有效防御ARP欺騙。
第四，防范網(wǎng)絡(luò)帶寬濫用
這并不是直接的安全問(wèn)題，但是會(huì)防礙企業(yè)內(nèi)部正常網(wǎng)絡(luò)應(yīng)用。需要一些智能管理手段來(lái)解決這樣的問(wèn)題。
在WLAN網(wǎng)絡(luò)中，同一個(gè)無(wú)線AP下會(huì)同時(shí)接入多個(gè)無(wú)線終端，如果部分終端應(yīng)用BT等下載應(yīng)用，將占用所有的無(wú)線端口帶寬，導(dǎo)致其它終端不能正常工作。
為了避免上述問(wèn)題，需要網(wǎng)絡(luò)支持智能帶寬限速，可以限制終端使用為固定帶寬，也可以限制所有終端平均分享限定帶寬，從而有效解決帶寬占用的問(wèn)題。
另外，為了避免無(wú)線網(wǎng)絡(luò)中部分AP過(guò)載，部分AP閑置而影響網(wǎng)絡(luò)使用，需要通過(guò)負(fù)載均衡來(lái)實(shí)現(xiàn)。智能負(fù)載分擔(dān)方法可以動(dòng)態(tài)地確定在當(dāng)前時(shí)刻和當(dāng)前位置下哪些AP可以彼此分擔(dān)負(fù)載，通過(guò)控制無(wú)線客戶端接入的AP，來(lái)實(shí)現(xiàn)這些AP間的負(fù)載分擔(dān)。
3. H3C WX3000有線無(wú)線一體化交換機(jī)
綜上所述，既能夠帶來(lái)網(wǎng)絡(luò)的經(jīng)濟(jì)性、高效率、自由度，又不增加網(wǎng)絡(luò)建設(shè)、維護(hù)使用的成本，是每一個(gè)網(wǎng)絡(luò)建設(shè)者的追求。
H3C WX3000系列一體化交換機(jī)是杭州華三通信技術(shù)有限公司(以下簡(jiǎn)稱H3C公司)自主研發(fā)的集成無(wú)線控制器和千兆以太網(wǎng)交換機(jī)功能的產(chǎn)品。H3C WX3000系列一體化交換機(jī)提供純千兆以太網(wǎng)有線接入口，支持PoE+供電，每端口最大提供25W的功率，同時(shí)兼容802.11a/b/g/n協(xié)議。
H3C WX3000系列一體化交換機(jī)目前包含H3C WX3010和H3C WX3024兩款型號(hào)，WX3024提供24個(gè)千兆電口及4個(gè)Combo SFP千兆光接口，WX3010提供8個(gè)千兆電口及2個(gè)SFP千兆光接口，其中，WX3024后面板提供兩個(gè)10GE接口插槽，解決了WLAN網(wǎng)絡(luò)核心的傳輸瓶頸。WX3000定位于中小網(wǎng)絡(luò)和大型企業(yè)分支機(jī)構(gòu)的一體化接入，是中小網(wǎng)絡(luò)，大企業(yè)分支機(jī)構(gòu)有線無(wú)線一體化接入最理想的一體化交換機(jī)。
WX3024/WX3010集成對(duì)無(wú)線AP的管理、控制、數(shù)據(jù)轉(zhuǎn)發(fā)的功能，千兆端口可同時(shí)提供POE供電功能，并支持PoE+供電，每端口最大提供25W的功率，方便IEEE802.11n AP的部署;WX3024/WX3010提供防ARP攻擊，無(wú)線入侵檢測(cè)(WIDS)，多種加密認(rèn)證安全技術(shù)，有效解決企業(yè)網(wǎng)絡(luò)面臨的安全挑戰(zhàn);WX3024/WX3010還集成了多種應(yīng)用服務(wù)，包括DHCP 服務(wù)器，PORTAL 認(rèn)證服務(wù)器，RADIUS服務(wù)器等，以及WEB管理應(yīng)用，有效地降低了網(wǎng)絡(luò)部署成本。
業(yè)界知名媒體《網(wǎng)絡(luò)世界》發(fā)布的評(píng)測(cè)顯示，H3C有線無(wú)線一體化無(wú)線交換機(jī)WX3024憑借像風(fēng)一樣自由連接、像林一樣支持高密度接入、像火一樣可以快速便捷的部署、像山一樣穩(wěn)健安全，完全地展示了WX3024在中小規(guī)模網(wǎng)絡(luò)部署的技術(shù)特點(diǎn)。
【H3C中小企業(yè)無(wú)線解決方案】相關(guān)文章：
6.H3C認(rèn)證無(wú)線技術(shù)專家考試簡(jiǎn)介