h3c無線校園網解決方案20090707

1、H3C無線校園網解決方案,杭州華三通信技術有限公司,,,校園網絡建設的變遷,校園網絡建設不同階段的關注點,,校園網的最新需求,IPv6,無線,一次認證,管理簡單,安全,業(yè)務,第四代校園網,,,無線校園網的部署篇,1.無線校園網架構2.AC部署3.AP部署,4.認證計費5.AP供電,,,無縫疊加到現(xiàn)有校園網,,CERNET,網管平臺,無線AP接入區(qū),,教學區(qū),圖書館,教學區(qū),圖書館,學生宿舍,校園有線網,,,無線MESH接入區(qū),MP

2、P,學校操場,MAP,MP,MP,,,…,匯聚交換機,核心交換機,AC,無線校園網采用瘦AP架構，AC部署在核心網，AP即連即用，無線網絡無縫疊加到現(xiàn)有有線網絡，降低部署難度,匯聚交換機,INTERNET,認證平臺,,核心交換機,AC,需要部署無線的地點,部署篇—AP部署方式,,室內覆蓋,室外部署,室外部署,,高密覆蓋－網優(yōu)自動化,網絡認證方式選擇,無線網絡由于其物理開放性，必須認證使用認證；推薦采用Portal認證的方式,Portal

3、認證,用戶在無線控制器Portal通過認證后可以訪問校園網和局域網所有資源用戶需要訪問Internet時，放在Internet出口的網關再次進行認證，通過后可以訪問Internet資源并開始計費可以和計費軟件廠商合作，提供一次認證解決方案,,,,,,,,,AC,教學樓,圖書館,學生宿舍,,接入交換機,認證計費平臺,,匯聚交換機,,CENERT,,Internet,核心網,,,二次認證數(shù)據(jù)流,,1.用戶連接無線網絡，獲得IP地址,2.

4、用戶被強制重定向到Portal頁面,3.AC把用戶名密碼送到認證系統(tǒng),4.AC根據(jù)認證的結果，放行或者拒絕用戶訪問,5.用戶訪問Internet數(shù)據(jù)，出口網關進行二次認證并繳費,同現(xiàn)有計費系統(tǒng)互通,一卡通系統(tǒng)：計費網關和無線控制器都使用LDAP協(xié)議同一卡通系統(tǒng)對接，目前可以和Sun、IBM以及微軟LDAP服務器以及在此基礎上二次開發(fā)的一卡通系統(tǒng)對接傳統(tǒng)認證計費系統(tǒng)：無線控制器使用Radius協(xié)議同計費網關通信，直接使用計費網關的用戶數(shù)

5、據(jù)系統(tǒng)，有線無線統(tǒng)一認證計費，目前可以和城市熱點、億郵等計費系統(tǒng)對接iMC：H3C iMC智能管理中心，為用戶提供完整的認證計費方案,AC,一卡通系統(tǒng)SUN\IBM\Microsoft LDAP,傳統(tǒng)認證計費系統(tǒng)E郵、城市熱點,H3C認證計費系統(tǒng)iMC系統(tǒng),,,一卡通系統(tǒng),傳統(tǒng)認證計費系統(tǒng),認證計費---基于條件的用戶頁面推送,基于熱點的頁面推送：不同位置彈出不同的提示信息基于用戶的頁面推送：同一位置不同用戶彈出不同的同時信息

6、,一次認證,用戶在AC上認證通過后，及時通知出口計費網關，認證通過后的IP地址，出口計費網關統(tǒng)計該IP地址的出口流量和入口流量，進行計費,同有線一樣，無線用戶壹次認證通過后，就可以實現(xiàn)出口收費，訪問校內網不收費,,部署篇—AP供電,H3C 3600 PWR,H3C 5500 PWR,H3C 5600 PWR,H3C 3100 EI PWR,AP集中部署的室內區(qū)域，使用PoE供電相對于本地供電，PoE部署更方便和更安全，能夠通過網管遠

7、程控制AP的供電和斷電室外AP根據(jù)不同情況，可以采用本地220V供電，也可以采用PoE供電,,AC,L2/L3 IP,IMC,分支機構,H3C 5600 PWR,Telnet管理PoE供電,AC設備高可靠性,雙主控控制層面和轉發(fā)層面分離，單主控出問題時不影響業(yè)務熱補丁不需要重啟設備即可完善軟件功能1＋1冗余電源AC N+1備份,全網帶寬限速,CERNET,校內網管平臺,AC,匯聚交換機,AC到AP的流量限速AC上每個用戶的

8、流量限速AP上接入用戶的流量限速,,,運營級無線校園網安全篇,1.安全架構2.鏈路層安全3.應用層安全4.整網安全,無線校園網安全問題,802.11 協(xié)議攻擊加解密,應用層攻擊協(xié)議層攻擊DHCP攻擊ARP攻擊,無線相關安全隱患：私接AP不當設置的AP客戶端不當連接非法連接Ad hoc網絡MAC偽造蜜罐AP拒絕服務,運營級無線校園網安全架構,AC和AP間的CAPWAP隧道下行流量限速無線安全插卡,防攻擊

9、和提供SSL/IPSEC VPNAP身份認證\WIPS\WIDS,全系列PoE交換機端口隔離,動態(tài)密鑰下發(fā)，Hotspot用戶隔離TKIP/AES/橢圓加密（WAPI），智能帶寬限速,有線無線一體化EAD,有線無線一體化網絡拓撲非法設備監(jiān)控、定位和告警，設備信道調整告警有線無線安全策略在無線控制器統(tǒng)一部署,802.1x/PSK/MAC/Portal多種認證方式的混合接入，升級支持WAPI防ARP攻擊和DHCP Server外掛

10、，ARP Proxy,鏈路層安全—常見的802.11協(xié)議攻擊,無線報文的Flood攻擊探測請求報文（Probe request）；認證報文（Authentication）；連接請求（Association）；去認證報文（De-authentication）;去連接報文（Disassociation）;NULL data報文Weak IV攻擊,當控制器檢測到上述的攻擊后，會產生告警或者日志，提醒管理員進行相應的處理。特別是

11、無線協(xié)議攻擊防御可以和動態(tài)黑名單配合使用，當控制器檢測到攻擊時，可以將發(fā)起攻擊的無線客戶端添加到動態(tài)黑名單中，從而保證WLAN網絡不再被該設備攻擊。,,校園網中的Rouge AP多為學生私接的的AP，對這類AP的管理可以通過網絡技術進行屏蔽，如所有的以太網端口都必須經過Portal認證，避免直接掛AP方式接入網絡，另外需要通過學校的規(guī)章制度進行引導,FIT AP方案可以監(jiān)聽Rouge AP，發(fā)現(xiàn)Rouge AP后，可以采取如下的措施：

12、告警，及時通知管理人員進行干預對Rouge AP進行攻擊,,鏈路層安全— Rouge AP檢測,學生在宿舍區(qū)的私接AP設備，對校園網WLAN設備產生干擾。,802.11i,WAPI,,鏈路層安全—支持國家WLAN安全標準WAPI,,,,,AS,AAA server,AC,,,,SSID：802.11i,SSID:WAPI,SSID:WAPI,SSID:802.11i,AP,AP,AP,IP網絡,鏈路層安全— WAPI & 80

13、2.11i,,H3C產品同時支持WAPI和802.11i支持標準證書鑒別模式支持Radius擴展鑒別模式可對用戶授權和計費支持WAPI與802.11i用戶共存支持快速漫游,有效防護校園ARP病毒攻擊,,,GW: 192.168.1.1MAC: 00-E0-FC-10-01-25,GIRL: 192.168.102.1 MAC: 00-E0-FC-10-01-23,,整網安全---安全無線校園網,大容量無線控制器+安全插卡實

14、現(xiàn)基于業(yè)務的數(shù)據(jù)識別，為校園網的業(yè)務開展提供有力的支持,大容量AC：大容量無線控制器+安全插卡一體化EAD解決方案,核心網,運營計費平臺,學校B,,AC,BRAS,匯聚交換機,學校A,學校C,整網安全—萬兆多業(yè)務無線控制中心,,AFC,ACG應用控制,防火墻/VPN,IPS,負載均衡,防病毒/NAM,SSL VPN,OAP,,,安全插卡,無線用戶,服務器,,,,,,AC,AP,,,非法報文檢測和過濾,高性能安全插卡同集中安全引擎的對

15、比,引擎方式報文在CPU處理協(xié)議頭部分后，報文轉交給引擎，引擎處理完加解密后回送給CPU，報文在CPU和引擎之間來回處理，性能有限引擎只是加速功能，實際的應用仍然運行在CPU上，功能的增加必然增加CPU的負載，更進一步降低無線的處理性能,集中引擎方式,分布插卡方式,目前業(yè)界唯有H3C具有處理10GE能力的安全模塊,整網安全— AP基于用戶的智能帶寬管理,CERNET,校內網管平臺,無線AP接入區(qū),AC,匯聚交換機,可以有效防止P2P業(yè)

16、務占用過多的帶寬，導致正常用戶無法使用網絡,,,運營級無線校園網擴展篇,AC高可靠AC N+1備份IPv6支持11N支持,平滑擴容—大容量AC,雙主控控制層面和轉發(fā)層面分離，單主控出問題時不影響業(yè)務熱補丁不需要重啟設備即可完善軟件功能1＋1冗余電源AC N+1備份,IPv6 Ready,緊跟標準步伐，推出802.11n 產品，確保兼容性,,萬兆多核無線控制器，處理性能可達萬兆，滿足11n高帶寬的需求,支持POE+的交換機

17、，單端口最大可達25W，適應11n時代的需求,,平滑升級支持802.11n,,,運營級無線校園網業(yè)務篇,Internet接入業(yè)務實時多媒體業(yè)務VPN業(yè)務視頻監(jiān)控業(yè)務,實時多媒體業(yè)務,實時多媒體業(yè)務：VoWiFi、在線游戲、及拍即印、視頻轉播（移動視頻轉播和監(jiān)控），通過為實時多媒體業(yè)務設置專門的SSID，來確保實時多媒體的質量，實時多媒體的終端多采用MAC地址認證。,,藍色子網,紅色子網,,,,,,,Bob,Amy,,,,,,,實時

18、業(yè)務支撐—跨AC漫游,,,,,,Amy,無線控制器,無線控制器,無線控制器,AP,AP,AP,跨AC漫游時，用戶IP地址不發(fā)生變化，業(yè)務不受影響跨AC漫游時切換時間小于50ms，滿足語音、視頻等業(yè)務的需求,,網絡 A,實時業(yè)務支撐—50ms快速切換,網絡 B,,,有線網絡,,,1、發(fā)起認證請求,2、用戶權限下發(fā),,,4、用戶權限同步,,3、訪問網絡,5、重新認證請求,6、重新可以 訪問網絡,,,,無線控制器,無線控制器,快

19、速漫游機制，能夠簡化漫游過程中的流程，提高漫游切換時間切換時間小于50ms,實時業(yè)務支撐—端到端的QOS機制,有線網絡,,令牌桶,流量統(tǒng)計,,DropTail,,,,,,RR/DRR,接收報文,無線有線優(yōu)先級映射,流分類,流量限制,隊列,發(fā)送報文,出隊調度,擁塞控制,轉發(fā),,源地址 目的地址 源端口 目的端口 協(xié)議類型,,ACL,無線控制器調度機制,,CAPWAP隧道優(yōu)先級,,,CAPW

20、AP隧道優(yōu)先級,,用戶優(yōu)先級到CAPWAP優(yōu)先級映射,用戶優(yōu)先級到CAPWAP優(yōu)先級映射,支持802.11e協(xié)議，全面支持WMM支持從802.11e到802.1p的映射，確保全網的QoS,,,運營級無線校園網部署篇,跨校區(qū) AP集中管理AP在線統(tǒng)計豐富的報表一體化資源管理,,2007年12月02日至08日，IETF 70屆大會在加拿大溫哥華舉行。在CAPWAP工作組會議上作了專題報告，完整地介紹了H3C公司在無線網絡管理的創(chuàng)新

21、理念。該設計理念和思想受到IETF　CAPWAP 工作組專家的一致認可，來自多家設備廠商的專家提出與H3C合作共同參與該標準的制定。根據(jù)大會的投票選舉結果，H3C的草案獲得了工作組的全票通過：正式成為工作組草案。不久的將來，該草案最終將成為IETF RFC標準并正式發(fā)布。,大會 LOGO,H3C專家介紹 CAPWAP MIB,H3C WLAN管理,,大網管，小組件,,,增值業(yè)務,,,iMC 平臺框架 ---- 統(tǒng)一資源訪問，基礎資

22、源管理,設備/文件/數(shù)據(jù)庫訪問適配層,設備資源管理,用戶資源管理,數(shù)據(jù)庫,設備/終端,文件系統(tǒng),,,SNMP,RADIUS,,,按需裝配,,組件化,平臺化,……,,安全管理,告警管理,性能監(jiān)控,報表管理,,配置文件管理,WSM無線管理組件,用戶接入管理,拓撲管理,ACL管理,QoS管理,VLAN管理,解決方案,基礎業(yè)務平臺,平臺框架,資源管理,……,,,,,,,,,,,,,,基礎資源、用戶、業(yè)務的融合管理,,一體化網絡管理,不需要在兩

23、個網管系統(tǒng)之間切換，方便維護人員快速定位網絡故障,,跨校區(qū)的AP集中管理,,分校區(qū)A,教學區(qū),圖書館,學生宿舍,核心網,網管平臺,匯聚交換機,AC,基于位置的AP管理能夠有效實現(xiàn)不同校區(qū)的AP的集中管理，AP的狀態(tài)實施實時監(jiān)控提供了基礎,,匯聚交換機,,豐富的無線統(tǒng)計報表,專業(yè)化報表,告警統(tǒng)計報表 網絡質量報表 流量統(tǒng)計報表 設備性能報表 資源數(shù)量統(tǒng)計報表,包括最近24小時全網無線用戶在線趨勢圖、用戶數(shù)最

24、多的熱點Top5、用戶數(shù)最多的SSID Top5、用戶數(shù)最多的AP Top5、最近24小時無線用戶接入成功率趨勢圖、最近6小時無線用戶接入成功率、最高的AP的Top5和最近6小時無線用戶接入失敗率最高的AP的Top5 等,,Open：海納百川有容乃大,開放接口,開放接口,開放接口,目錄,校園網的發(fā)展H3C 運營級無線校園網解決方案H3C WLAN產品介紹H3C WLAN案例介紹,H3C是國內唯一一家提供WLAN全系列自主知識產權產

25、品的廠商，申請專利近百項H3C是國內唯一一家參與IETF聯(lián)盟 WLAN標準制定的廠商H3C是業(yè)界唯一一家提供有線無線一體化管理的廠商，使WLAN網絡實現(xiàn)真正的可管理H3C是業(yè)界唯一一家提供FAT AP平滑升級到FIT AP解決方案、業(yè)界首家提供室內分布式系統(tǒng)共用天饋解決方案的廠商，H3C業(yè)已成為國內運營商首選合作伙伴H3C是業(yè)界唯一一家支持IPV4/IPv6雙協(xié)議棧、唯一一家AC支持萬兆接口的廠商H3C是國內首家發(fā)布

26、企業(yè)級11n產品并成功規(guī)模商用的廠商H3C AP設備目前網上使用量已超過200000臺 注：以上七大成就，信息來源截至2008年12月，我們每天都在進步中,H3C在WLAN領域的成就,WLAN廠商分類,注：能力指售后和工程服務,網橋,,無線控制器,WX5002,WX6103,WX5004,網絡管理軟件,無線客戶端,無線IDS,H3C全系列無線產品,無線定位,WX3024,S7500E/S9500E插卡,,FIT/F

27、AT AP,,網橋/MESH,WA2110-AG,WA2210-AGWA2220-AG,WA1208E-GP,WA2220E-AG,WA2210X-G/GEWA2220X-AG/AGP/AGE,WA 2620E-AGN,WA 2610E-AGN,WA2220E-AG-T,WA2210E-GE,WB2320X-AGE,,,,,,無線應用,WX3010,S5800低容量插卡,S5800大容量插卡,WA2612-AGN,WA2610-AG

28、N,WA2620-AGN,WH2530X-DAG,WX7306,WX7310,系列化AC,能夠平滑升級支持11N兼容各種業(yè)務板卡,,序列化—11N,WA2620E-AGN,三根天線不代表是三條流，所以3X3\2×3\2×2的理論速率都是一樣的，但是由于3×3用的發(fā)射天線更多，可以使實際性能比2×3最多高16%左右,WA 2220X-AG/ WA 2220X-AGP,室外型雙頻多模WA 2220

29、X-AGP支持500mW大功率射頻輸出環(huán)境溫度：-40~65oC，不需要外接室外機箱支持IEEE802.11a、IEEE802.11b/IEEE802.11g內置網口、電源防雷設計支持百兆光電接口上聯(lián)支持IPv6網絡,推薦,專業(yè)室外產品同包裝產品的區(qū)別,,,,工程：完善的服務體系,H3C服務網絡：服務總部：杭州、北京 150名高級工程師，35個區(qū)域服務中心，50名現(xiàn)場工程師。82個備件庫。,H3C快速的響應機制：7

30、5;24的免費服務熱線，80個坐席。,H3C服務案例：2008年為中國電信多次WLAN的服務培訓、江蘇電信WLAN項目、浙江電信WLAN項目、武漢電信WLAN項目等近50個運營商服務案例,,2個服務總部,82個備件庫,35個區(qū)域服務中心,,,哈爾濱,杭州,上海,沈陽,長春,目錄,校園網的發(fā)展H3C 運營級無線校園網解決方案H3C WLAN產品介紹H3C WLAN案例介紹,國家大劇院,國家大劇院是我國新時代的標志性建筑,是國家最高

31、藝術表演中心,是具有世界一流水平的大型藝術殿堂。 國家大劇院位于人民大會堂西側，主體建筑由外部圍護結構和內部歌劇院、音樂廳、戲劇場和公共大廳及配套用房組成。國家大劇院作為一座現(xiàn)代化的劇場，建設了完備的智能樓宇系統(tǒng)和網絡系統(tǒng)。其網絡系統(tǒng)除了供部分弱電系統(tǒng)使用外，還需要在大劇院內部的辦公室、化妝間、指揮休息間、演員休息廳、排練廳、音像制作中心、新聞發(fā)布廳等場所提供互聯(lián)網接口，尤其是大劇院的票務系統(tǒng)也要依賴該網絡平臺，這就對整個網絡平臺提

32、出了非常高的可靠性要求。,國家大劇院,北京首都國際機場T3航站樓,6臺無線控制器，346個AP對首都國際機場T3航站樓進行全面無線覆蓋。主要無線應用：航顯、商業(yè)、離港、行李再確認系統(tǒng)、OA、安檢系統(tǒng)、外場數(shù)據(jù)采集，旅客無線上網等。高可靠性一體化移動網，為機場用戶提供全方位應用的保障,案例：廣州國際金融中心,廣州國際金融中心（簡稱西塔），主塔樓高103層，結構高度為432米，全國最高的智能建筑，集辦公、酒店、休閑娛樂為一體，包括頂級寫

33、字樓、超五星級酒店、高端服務式公寓、高檔商場、旅游觀光、國際會議中心等功能有線無線一體化辦公網及公寓網，WLAN覆蓋110多個樓層，其中寫字樓4塊S95無線板卡，近900個AP，公寓3塊S95無線板卡，330個AP，總計AP數(shù)量超過1200個，亞洲最大規(guī)模酒店無線網絡,,,S3600-PWR,E328,AP,,,,,,S7503,Internet,iMC智能管理中心,SecPath F100-E,國際萬維大會無線網絡,無線控制器插卡

34、,,,,,,,,E328,E328,E328,S3600-PWR,S3600-PWR,AP,AP,解決方案：,采用有線無線一體化移動網的解決方案，通過S7500交換機無線控制器插卡和WA2110 型AP對多個會議室和展廳進行無線覆蓋 解決了小范圍、多用戶的密集無線連接難題，保證了會議無線的高效連接。 通過iMC有線無線一體化智能網管中心實現(xiàn)了對會場所有的無線AP進行實時狀態(tài)監(jiān)控，對其過載、失效情況進行及時調整，確保會場無線網絡通暢，

35、保證了大會的順利進行,清華大學,清華大學經管學院采用H3C有線無線 一體化解決方案，其中無線部分使用 FIT AP+AC的模式，對整個大樓進行 了信號覆蓋。 使用iMC，對有線網絡和無線網絡進 行統(tǒng)一管理，用戶的認證授權計費等 操作也可靈活的進行處理。,北京大學,北京大學采用AC+FIT AP模式，通過POE方式供電，對教學樓進行覆蓋。上層使用iMC進行網絡管理，實現(xiàn)了有線無線統(tǒng)一管理。

36、,中國地質大學,網絡中原來幾乎全部是C廠商設備，H3C有線無線一體化解決方案滿足客戶各方面的需求1臺雙主控WX6103，24臺WA2200X-AGP室外AP，122臺室內WA2210-AG室內型AP完成對教學區(qū)所有公共區(qū)域和大部分辦公室、會議室、教室的覆蓋08年9月，無線網絡成功應用于無線迎新，學校對無線網絡使用效果非常滿意,,北京林業(yè)大學無線校園網,兩臺S9500高端無線控制器插卡和S3100PoE交換機，WA2220-AG室內

37、型AP和 WA2220X-AGP室外型AP以及iMC智能管理中心組成一體化解決方案使用室內型AP雙頻AP WA2220-AG完成對辦公區(qū)、圖書館、的無縫覆蓋使用專業(yè)室外型大功率AP WA2220X-AGP完成公共區(qū)域、以及布線難度大的舊家屬樓的無縫覆蓋iMC智能管理中心實現(xiàn)對核心、匯聚、PoE交換機、AC、AP的一體化管理,,,核心交換機S9500,,,,,,,,,,辦公接入,,,,,圖書館閱覽室,,,,,,,,運動場/操場,WA

38、2220-AG,,,互聯(lián)網出口,匯聚交換機,PoE交換機,,服務器群,,,防火墻,,教育網出口,WA2220X-AGP,家屬樓,PoE交換機S3100-EI-PWR,無線控制器插卡,中國青年政治學院,學生宿舍和辦公樓全面覆蓋，2塊S9500無線控制器插卡，320臺AP，項目總規(guī)模超過200萬IPV6，大容量無線控制器，一體化管理，充分滿足學校需求,,千兆光纖千兆雙絞線百兆雙絞線,路由器,iMC+WSM,接入交換機S3100

39、EI,核心交換機,,,北京理工大學,WX6103,,WA2600,WA2600,WA2200,WA2200,接入交換機S3100EI,接入交換機S3100EI,接入交換機S3100EI,北京理工大學部署高端無線控制器WX6103，無線AP使用WA2600 802.11N無線AP和WA2200雙模AP，一張物理網，兩張邏輯網。,北京航空航天大學,通過460臺瘦AP對新主樓、辦公 樓、如心樓、逸夫館等樓宇連續(xù) 覆蓋

40、以及對全校主干道區(qū)域實施 覆蓋。 全網的無線接入點依靠5臺高端無 線交換機實施全網統(tǒng)一控制和管 理。,北京交通大學,一期通過305臺瘦AP對思源樓、科學會堂、體育館等樓宇連續(xù)覆蓋； 二期對所有室外公共區(qū)域，包括小樹林迎新區(qū)、明湖、主席像等室外區(qū)域全面實施覆蓋。 全網的無線接入點通過3臺高端無線交換機實施全網統(tǒng)一控制和管理,無線覆蓋面廣。,初期采用300臺AP對教學樓、圖書館、室外空地和操場等地進行無