校園無線局域網(wǎng)設計書

1、陜西國防工業(yè)職業(yè)技術學院北校區(qū)無線局域網(wǎng)設計書 2011-9-5 計算機教研室制目 錄1、 前言32、 需求分析3 2.1 業(yè)務需求分析3 2.2 網(wǎng)絡功能需求分析4 2.3 網(wǎng)絡性能需求分析6 2.4 安全性需求分析73、 設計方案 8 3.1 設計原則8 3.2 設計思想9 3.3 技術標準9 3.4 設計拓撲圖10 3.5 無線覆蓋方案11 3.6 無線網(wǎng)絡地址和路由規(guī)劃12 3.7 設備的選取13 3.8 安全防范14 3.9 注意事項15參考文獻 16前 言隨著當代科技的發(fā)展，計算機用戶日益增多，用戶要求互連的計算機數(shù)量不斷增加，類型也更為復雜。但傳統(tǒng)的有線網(wǎng)絡由于受到設計或環(huán)境條件

2、的制約，在物理、邏輯和資金方面普遍存在著一系列的問題，特別是當涉及到網(wǎng)絡移動和重新布局時，所以發(fā)展一種可行的無線通信技術作為現(xiàn)有的數(shù)據(jù)連接擴充已成為一種需要。自從上個世紀90年代以來，隨著個人數(shù)據(jù)通信的發(fā)展，為了實現(xiàn)任何人在任何時間、任何地點均能實現(xiàn)數(shù)據(jù)通信的目標，要求傳統(tǒng)的計算機網(wǎng)絡由有線向無線，由固定向移動，由單一業(yè)務向多媒體發(fā)展，更進一步推動了無線局域網(wǎng)（wlan）的發(fā)展。與有線局域網(wǎng)相比較，無線局域網(wǎng)具有移動性高、傳輸距離長、網(wǎng)絡保密性好、開發(fā)運營成本低、易擴展、受自然環(huán)境影響小，組網(wǎng)方式靈活、管理方便 等優(yōu)點，彌補了傳統(tǒng)有線局域網(wǎng)的不足。2.1 業(yè)務需求分析國防學院北校區(qū)面積約為70

3、0畝，建筑面積為20萬平方米，現(xiàn)有在校學生約7000多人，教職工500多人，現(xiàn)有主要建筑有5大區(qū)域，分別是教學樓區(qū)域、圖書館區(qū)域、建筑實驗樓區(qū)域、學生宿舍區(qū)域、教師宿舍區(qū)域、學生餐廳區(qū)域。結(jié)合學院實際情況，學院信息化建設工作的核心目標在于充分利用信息技術，建立多層次、高可靠、可管理、可運營的開放式的數(shù)字化校園，促使其提高辦學質(zhì)量和效益。2.2 網(wǎng)絡功能需求分析無線教學服務功能：通過無線校園網(wǎng)絡覆蓋教學樓及些校內(nèi)公共課教學環(huán)境，如計算機公共機房、多媒體教室等。為廣大師生提供了一個更為有效的網(wǎng)絡互動平臺，加強了學習生活的交流，同時為學生在教室內(nèi)的自習提供一個方便的查詢資料的網(wǎng)絡環(huán)境。只要教師擁有一

4、部上網(wǎng)本，就可以很方便地把它拿到教室或?qū)嶒炇一蚴彝膺M行教學和演示；或者可以讓學生們用它來就地查閱網(wǎng)上資料或遞交電子文檔的作業(yè)等。這樣的帶無線網(wǎng)絡的教學上網(wǎng)本可以在整個校園內(nèi)移動，其網(wǎng)絡連接都不會中斷，這樣可以十分方便地創(chuàng)造“移動教室”。無線信息交流功能：無線信息交流功能主要有兩個方面的服務功能：互聯(lián)網(wǎng)信息服務和校內(nèi)信息服務?；ヂ?lián)網(wǎng)信息服務可以在校園內(nèi)任何一個地方實現(xiàn)網(wǎng)上瀏覽、查詢信息的功能，使教師能夠拓寬視野，充分利用互聯(lián)網(wǎng)上的資源輔助教學，提升教學理念，提高教師的教學能力、教學水平和科研能力?？梢猿浞掷没ヂ?lián)網(wǎng)資源來宣傳學校，展示學校的辦學能力與辦學水平，展示教師的教學能力與科研能力，提升學

5、校的辦學形象。校內(nèi)信息服務能為教育教學和管理決策提供各項信息服務，能為全校師生提供相互交流、相互學習的平臺。學校管理功能：無線校園網(wǎng)使學校建立完善及時的信息發(fā)布體系，在此基礎上可以實現(xiàn)學校管理的透明化、高效化、公平公正化。學校管理功能主要有以下幾個方面。（1）網(wǎng)上辦公系統(tǒng)。（2）教務管理系統(tǒng)。（3）學生管理系統(tǒng)。（4）行政辦公系統(tǒng)。（5）財務管理系統(tǒng)。（6）后勤管理系統(tǒng)。（7）圖書管理系統(tǒng)。（8）校園網(wǎng)一卡通。校園無線網(wǎng)絡的語音和視頻應用：基于無線寬帶網(wǎng)絡的基礎上，可以考慮其他的應用。比如voip，就是在無線局域網(wǎng)范圍內(nèi)，可以使用支持ieee802.11協(xié)議的無線終端設備如手機、pda或poc

6、ketpc等來進行語音交流。這一全ip的無線語音系統(tǒng)將具有巨大的應用前景。還可以利用無線網(wǎng)絡進行室外視頻的實時轉(zhuǎn)播，完全擺脫有線的束縛。無線應急系統(tǒng)：在出現(xiàn)需要突發(fā)性大規(guī)模網(wǎng)絡服務要求的場合，提供臨時性的無線網(wǎng)絡服務，滿足用戶對網(wǎng)絡的需求。 校園信息化建設一直是高質(zhì)量、高效率教學辦公的保障，隨著802.11g無線局域網(wǎng)技術和無線產(chǎn)品的成熟，無線網(wǎng)絡的應用將會為網(wǎng)絡化學習、教學開創(chuàng)新的應用模式；利用無線網(wǎng)絡實現(xiàn)校內(nèi)信息的發(fā)布、共享、傳遞，推進教學及管理信息化，拓展學生的知識面。而有線網(wǎng)絡只能提供師生們固定的、有限的網(wǎng)絡信息點，隨著時代的進步，筆記本電腦的普及，師生們希望不僅僅是在實驗室才能將他們

7、的計算機連上網(wǎng)絡，而在校園的草坪上、宿舍區(qū)、學術報告廳里、圖書館的任何一個角落都能將他們的筆記本電腦隨時隨地、隨心所欲的聯(lián)入校園網(wǎng)或internet、不愿再受有線的束縛。2.3 網(wǎng)絡性能需求分析高性能的ipv6和ipv4無線接入中國下一代互聯(lián)網(wǎng)項目（cngi）正在順利展開，基于純ipv6的骨干網(wǎng)在cernet已經(jīng)建設完成并可以提供接入服務?，F(xiàn)在建設高校無線網(wǎng)絡，除了要考慮對現(xiàn)有ipv4網(wǎng)絡終端的無線接入，滿足當前高校師生對無線網(wǎng)絡的需求外；又要支持高性能的ipv6的用戶接入，以適應網(wǎng)絡發(fā)展趨勢，并保護網(wǎng)絡投資?？煞旨壍囊惑w化網(wǎng)絡管理系統(tǒng)： 有線、無線網(wǎng)絡管理相結(jié)合，集中與分布式管理相結(jié)合，為運

8、營維護提供高效率和低成本。支持用戶全網(wǎng)漫游：校園無線網(wǎng)絡應支持用戶全網(wǎng)快速、安全、無縫漫游，保證用戶在園區(qū)移動過程中可以保證ip地址不變、網(wǎng)絡連接不間斷、應用會話不間斷，從而保證用戶網(wǎng)絡應用在移動中的不間斷性。2.4 安全性需求分析 與有線網(wǎng)絡相比較，無線局域網(wǎng)的安全問題集中在以下兩方面：物理安全與存在的威脅物理安全：無線設備包括站點（sta，station）和接入點（ap，access point）。站點通常由一臺pc機或筆記本電腦加上一塊無線網(wǎng)絡接口卡構成；接入點通常由一個無線輸出口和一個有線的網(wǎng)絡接口構成，其作用是提供無線和有線網(wǎng)絡之間的橋接。物理安全是關于這些無線設備自身的安全問題。首

9、先，無線設備存在許多的限制，這將對存儲在這些設備的數(shù)據(jù)和設備間建立的通信鏈路安全產(chǎn)生潛在的影響。與個人計算機相比，無線設備如個人數(shù)字助理（pda）和移動電話等，存在如電池壽命短、顯示器小等缺陷。其次，無線設備雖有一定的保護措施，但是這些保護措施總是基于最小信息保護需求的。因此，有必要加強無線設備的各種防護措施。存在的威脅：由無線局域網(wǎng)的傳輸介質(zhì)的特殊性，使得信息在傳輸過程中具有更多的不確定性，受到影響更大，主要表現(xiàn)在：a) 竊聽。由于無線局域網(wǎng)使用2.5g范圍的無線電播進行網(wǎng)絡通訊，任何人都可以用一臺帶無線網(wǎng)卡的pc機或者廉價的無線掃描器進行竊聽，但是發(fā)送者和預期的接收者無法知道傳輸是否被竊聽

10、，且無法檢測竊聽。b) 修改替換。在無線局域網(wǎng)中，較強節(jié)點可以屏蔽較弱節(jié)點，用自已的數(shù)據(jù)取代，甚至會代替其他節(jié)點作出反應。c) 傳遞信任。當校園網(wǎng)絡包括一部分無線局域網(wǎng)時，就會為攻擊者提供一個不需要物理安裝的接口用于網(wǎng)絡入侵。但在無線網(wǎng)絡環(huán)境下，受攻擊卻不能通過一條確定的路徑找到這個接口。因此，參與通信的雙方都應該能相互認證。d) 基礎結(jié)構攻擊?；A結(jié)構攻擊是基于系統(tǒng)中存在的漏洞如軟件臭蟲、錯誤配置、硬件故障等。這種情況下也會出現(xiàn)在無線lan中。但是針對這種攻擊進行的保護幾乎是不可能的，所能做的就是盡可能地降低破壞所造成的損失。e)拒絕服務。無線局域網(wǎng)存在一種比較特殊的拒絕服務攻擊，攻擊者可以

11、發(fā)送與無線局域網(wǎng)相同頻率的干擾信號來干擾網(wǎng)絡的正常運行，從而導致正常的用戶無法使用網(wǎng)絡。f) 置信攻擊。通常情況下，攻擊者可以將自己偽造成基站。當攻擊者擁有一個很強的發(fā)送設備時，就可以讓移動設備嘗試登錄到他的網(wǎng)絡，通過分析竊取密鑰和口令，以便發(fā)動針對性的攻擊。3.1 設計原則實用性：遵循面向應用，注重實效，急用先上，逐步完善的原則；充分保護已有投資，不設計成華而不實的無線網(wǎng)絡，也不設計成利用率低下的網(wǎng)絡，我們以實用性的原則要求為依據(jù)，建設具有最低的tco（擁有的總成本最低），有最高的性價比的校園無線局域網(wǎng)絡。先進性：采用先進成熟的網(wǎng)絡概念、技術、方法與設備，反映當今先進水平，又給未來的發(fā)展留有

12、余地；充分采用目前國際、國內(nèi)流行和成熟的技術，保證網(wǎng)絡能適應技術的快速發(fā)展?？煽啃裕合到y(tǒng)必須可靠運行，主要的、關鍵的設備應有冗余，一旦系統(tǒng)某些部分出現(xiàn)故障，應能很快恢復工作，并且不能造成任何損失。開放性：選擇的產(chǎn)品應具有好的互操作性和可移植性，并符合相關的國際標準和工業(yè)標準；無論發(fā)生任何變化，均能夠最大可能性的開放標準?？蓴U充性：系統(tǒng)是一個逐步發(fā)展的應用環(huán)境，在系統(tǒng)結(jié)構、產(chǎn)品系統(tǒng)、系統(tǒng)容量與處理能力等方面必須具有升級換代的可能，這種擴充不僅能充分保護原有資源，而且具有較高的性能價格比；可維護性：系統(tǒng)具有良好的網(wǎng)絡管理、網(wǎng)絡監(jiān)控、故障分析和處理能力，使系統(tǒng)具有極高的可維護性；安全性：必須具有高度

13、的保密機制，靈活方便的權限設定和控制機制，以使系統(tǒng)具有多種手段來防備各種形式的非法侵入和機密信息的泄露。 3.2 設計思想建議校園網(wǎng)wlan采用思科公司集中管理架構下的“瘦ap”無線網(wǎng)絡架構，以保證無線網(wǎng)絡可管理性、安全性、qos、無縫漫游等功能需求，尤其是方便未來的運維管理。建議網(wǎng)絡部署應該結(jié)合高校的實際情況，采用室內(nèi)、室外多種無線接入方式相結(jié)合的方式，以滿足高校樓宇多、廣場多的特點。如在必要的時候采用室外mesh wlan技術通過無線回傳技術解決有線網(wǎng)絡傳輸距離的合布線難度的問題。同時由于采用室內(nèi)、外多種無線接入手段在滿足無線覆蓋的前提下，可以節(jié)省無線接入點的數(shù)量，從而提高無線網(wǎng)絡的性價比

14、。校園無線網(wǎng)絡在滿足現(xiàn)有網(wǎng)絡應用的同時，保證對未來網(wǎng)絡技術和應用的支持，如ipv6、無線話音、無線視頻、組播等技術的支持，以滿足高校教學和科研的要求。為滿足高校網(wǎng)絡的安全性，建議校園無線網(wǎng)絡采用獨立的有線網(wǎng)絡系統(tǒng)實現(xiàn)無線接入點的互聯(lián)，同時本次無線網(wǎng)絡在滿足用戶接入安全認證、加密的同時，支持無線射頻的安全防護功能。 3.3 技術標準 ieee802.11系列標準（由最初的802.11標準到現(xiàn)在的802.11v標準，已有24個標準規(guī)范。）各信號輸出點信號強度1015dbm；將按照2.4g工作頻段2.4122.462ghz（fcc）分為channel1、channel6、channel11三個完全不

15、干擾頻段設計；目標覆蓋區(qū)域信號強度-80dbm。1、一般來講室內(nèi)容許最大覆蓋距離為35100米，室外容許最大距離100400米2、障礙物阻擋要觀測無線覆蓋周圍的障礙物確定ap的數(shù)量和放置位置。2.4g電磁波對于各種建筑材質(zhì)的穿透損耗的經(jīng)驗值如下：a. 水泥墻(1525cm): 衰減1012dbb. 木板墻(510cm): 衰減56dbc. 玻璃窗(35cm): 衰減57db各種建筑材料對無線訊號的影響如下：當ap與終端隔一座水泥墻時,ap的可傳送覆蓋距離約剩下 5米有效距離。當ap與終端中間隔一座木板墻時, ap 的傳送距離約剩下 15米有效距離。當ap與終端中間隔一座玻璃墻時, ap 的傳送

16、距離約剩下 15米 有效距離。所以在安裝選點時，一定要注意以避開墻、柱子等。 3.4 設計拓撲圖 3.5 無線覆蓋方案覆蓋區(qū)域：無線網(wǎng)絡設計實現(xiàn)全校范圍無線網(wǎng)絡接入環(huán)境，其中包括教學樓、學生和教師公寓、辦公樓、餐廳、圖書館、體育館、室外場所等。覆蓋方式：在覆蓋區(qū)域內(nèi)，選擇教學樓和辦公樓為主，其他區(qū)域為輔的覆蓋方式，實現(xiàn)全校整體無線覆蓋，具體分為室內(nèi)覆蓋和室外覆蓋兩種方式。室內(nèi)覆蓋 室內(nèi)覆蓋規(guī)劃原則： ap的放置要遵循兩個原則ap覆蓋區(qū)域無間隙； ap重疊區(qū)域最小。相鄰ap工作在不同頻道，實現(xiàn)全方位的覆蓋。 根據(jù)經(jīng)驗值，當相鄰ap設定相同頻點時, 要求間隔25米以上；當相鄰ap設定相鄰頻點時,

17、要求ap間隔16米以上；當ap設定相隔頻點時, 要求間隔12米以上。室外覆蓋 室外設備的ap使用數(shù)量大概也遵循室內(nèi)的條件，但外ap的放置和設計又有它的獨特性主要包括： 天線的使用天線的正常使用包括對天線增益和天線類型的選擇。 對室外設備特殊要求室外設備應該放置在密封盒內(nèi)；天線布置應該增加避雷器防止雷擊； 不提供本地供電的場所，應盡量選用poe遠程供電設備；3.6 無線網(wǎng)絡地址和路由規(guī)劃由于ap連接在現(xiàn)有校園網(wǎng)的接入交換機，則ip地址由現(xiàn)有校園網(wǎng)有線端提供，雖然從原理上來講ap和無線控制器的ap-manager只要ip可達即可創(chuàng)建并維護數(shù)據(jù)/控制隧道，但是從性能/可管理性等角度出發(fā)，建議在滿足下

18、列條件的前提下可以將ap接入現(xiàn)有網(wǎng)絡交換機： ap和無線控制器的ap-manager之間端到端環(huán)回延遲(round trip delay)100毫秒局域網(wǎng)交換環(huán)境均能實現(xiàn) ap不與一般有線網(wǎng)絡設備混合在一個vlan中，避免有線設備的異常流量阻斷ap和無線控制器之間的通訊 連接在同一交換機端口下的所有ap，建議放置在一個受保護的vlan中，部署時統(tǒng)一分配給這些ap靜態(tài)ip地址需要修改現(xiàn)有交換機的vlan參數(shù)設置，現(xiàn)有交換機的路由設置用戶終端ipv6地址設計按ipv6常規(guī)單播地址規(guī)劃方式分配，前64比特作為prefix，對應不同學校和vlan；后64比特對應終端，對應不同主機、終端或接口。主機地址

19、采用auto configuration方式，采用eui-64地址方式映射傳統(tǒng)mac地址controller/ap需要打開ipv6 pass-through功能和以太網(wǎng)組播穿過支持功能整個lwapp隧道對包括icmpv6在內(nèi)的ipv6的傳輸是透明的終端和sup720路由引擎之間采用autoconfig或在相應vlan內(nèi)使用dhcpv6都可以。無線網(wǎng)絡設備ipv6地址設計當前無線部分無需設置ipv6地址 當前無線部分對ipv6的支持是穿透方式的 將來很快我們會支持在native ipv6的網(wǎng)絡上實現(xiàn)lwapp等機制 而在當前無線部分無需設置ipv6地址sup 720的vlan路由虛端口和對外ce

20、rnet2的相關端口需要分配ipv6地址 ipv6的無線客戶端可以被看做是被透明連接到6500 sup720的不同vlan上的ipv6終端 靠6500豐富的雙棧支持實現(xiàn)ipv6的高性能傳輸 因此sup 720的vlan路由虛端口和對外cernet2的相關端口需要分配ipv6地址和做相關ipv6路由設置ipv4和ipv6組播地址規(guī)劃還需根據(jù)組播應用需求進行進一步考慮3.7 設備的選取無線ap : cisco air-ap1242ag-c-k9、cisco aironet 1042兩種cisco air-ap1242ag-c-k9參數(shù)：網(wǎng)絡標準ieee 802.11a/ieee 802.11b/i

21、eee 802.11g傳輸速率54,48,36,24,18,12,9,6,5.5,2,1mbps頻率范圍2.4122.462ghz(fcc)2.4122.472ghz(etsi)2.4222.452ghz(以色列)2.4122.484ghz(telec)傳輸距離290m管理snmp標準mib 1和mib iiweb安全ul 1950, csa 22.2 no. 950-95, iec 60950, en 60950, 支持靜態(tài)和動態(tài) ieee 802.11 wep 40位和128位密鑰, 支持wep增強cisco aironet 1042參數(shù)：網(wǎng)絡標準 ieee 802.11a/b/g 、ie

22、ee 802.11n、ieee 802.11h、ieee 802.11d 傳輸速率 300mbps 頻率范圍 2.4ghz-5ghz， 信道 20mhz和40mhz信道 端口類型 10/100/1000base-t自感(rj-45) 管理控制臺端口(rj-45) 路由引擎： 6500 sup720 無線基站 避雷針室外天線：cisco air-ant1949cisco air-ant1949參數(shù)：天饋系統(tǒng)類型 板狀定向天線 工作帶寬 83mhz 頻率范圍 2400-2483 mhz 極化方向 垂直極化 其他參數(shù) 增益: 22dbi大致覆蓋范圍(2mbps): 29.49公里 大致覆蓋范圍(11

23、mbps): 18.01公里大致覆蓋范圍(54mbps): 227公里 工作溫度 -20 - 50 工作濕度 0 - 100% 存儲溫度 -2070 存儲濕度 5% - 95% 3.8 安全防范無線局域網(wǎng)的安全認證在無線客戶端和無線ap交換數(shù)據(jù)之前，它們之間必須先進行一次對話。在802.llb標準制定時，ieee在其中加入了一項功能：當無線客戶端和無線ap對話后，就立即開始認證工作，在通過認證之前，設備無法進行其他關鍵通信。這種認證方式有兩種：開放認證和共享密鑰認證。開放認證開放認證方法是802.nb標準中默認的認證方式，在明文狀態(tài)下進行認證，認證過程：客戶端向ap發(fā)送認證請求，ap確認認證，

24、注冊客戶端；客戶端發(fā)送連接請求給ap，ap確認請求，注冊客戶端。通常ap的開放認證有三種策略：第一種策略為默認方式，允許任何客戶端認證；第二種是只允許認證帶有合法服務器標識id(實際為ssid)的客戶端，ssid相當于密碼的作用;第三種是ap只允許認證mac地址在ap的訪問控制列表中的客戶端。共享密鑰認證共享密鑰認證是基于wep共享密鑰的認證方法，前提是客戶端和ap中己經(jīng)預先手動設置好了共享密鑰，共享密鑰認證與開放認證相似，只不過它使用wep對認證過程進行加密，因而其安全性要高于開放認證。無線局域網(wǎng)的加密技術加密技術是網(wǎng)絡安全的一項重要技術。ieee為無線局域網(wǎng)提供了三種安全性保護協(xié)議:wep

25、、tkip、ccmp。主要的方法有無線局域網(wǎng)eap策略、無線局域網(wǎng)鑒別與保密基礎架構wapi以及ieee802.11標準中的wpa等等。其中wapi是我國自主研發(fā)的、擁有自主知識產(chǎn)權的無線網(wǎng)絡安全標準而tkip主要進行無線網(wǎng)絡產(chǎn)品的互通性測試。然而，這些還聯(lián)夠，還需要一些增強方法和策略等。 選擇無線局域網(wǎng)安全策略的原則 確保無線局域網(wǎng)安全可以說“三分靠技術，七分靠策略”，無線局域網(wǎng)部署中要適當應用安全技術，合理選擇安全策略。在部署無線局域網(wǎng)時，只要結(jié)合自身的網(wǎng)路安全實際需求，合理選擇無線局域網(wǎng)的安全策略，提供足夠的網(wǎng)絡安全防護，就可以安心的享受無線接入的便捷，同時也能保證重要數(shù)據(jù)的安全。 3.9 注意事項1無線局域網(wǎng)不可能