構建WLAN網(wǎng)絡面臨的挑戰(zhàn)

無線有別于傳統(tǒng)的有線網(wǎng)絡，無線網(wǎng)絡的所有數(shù)據(jù)都在空氣中傳輸，干擾避免、網(wǎng)絡管理、安全接入的邊界及方式相較有線網(wǎng)絡環(huán)境更加難以控制，這就為金融企業(yè)的IT管理帶來了新的難題，如何在保障企業(yè)新業(yè)務戰(zhàn)略推廣和安全風險可控兩個方面之間取得平衡？IT管理者在探索WLAN接入技術時面臨著如下的挑戰(zhàn)：

1、 如何使無線網(wǎng)絡和有線網(wǎng)絡一樣安全可控、管理可視？

2、 如何提高內、外部用戶的使用體驗？

3、 WLAN產(chǎn)品及解決方案眼花繚亂，我們是否可以像有線網(wǎng)絡一樣來部署我們的WLAN接入網(wǎng)？

4、 部署WLAN之后，投資回報是否能達到預期？WLAN接入網(wǎng)絡，是否會落入看上去很美的境地？

金融WLAN安全接入解決方案

一級分行/分公司W(wǎng)LAN接入網(wǎng)絡架構采用AC無線控制器-AP接入集中式組網(wǎng)模式。AC在一級分行/公司；一級分行/公司、二級分行/中支公司、網(wǎng)點部署AP，AP、AC之間通過CAPWAP(Controlling and Provisioning of Wireless Access Point無線接入點控制與供應)隧道進行通信，終端和AC之間采用AES128位加密算法進行加密確保傳輸數(shù)據(jù)的安全，認證服務器、集中管理平臺統(tǒng)一部署在一級分行/公司，對全網(wǎng)的接入終端進行統(tǒng)一認證、對AC、AP及進行集中監(jiān)控配置與監(jiān)控。

1 安全性設計

1.1 SSID隱藏技術

采用隱藏SSID方式降低SSID廣播帶來的安全隱患；

1.2 用戶、設備合法性識別

1）身份合規(guī)性檢查

采用802.1X用戶接入時即需要認證，用戶可采用安全證書、一次性口令（OTP）、AD域用戶數(shù)據(jù)對接、或固定設置的用戶名口令作為接入網(wǎng)絡的憑據(jù)進行接入，認證通過的用戶允許接入網(wǎng)絡，而未進行認證的客戶被拒絕接入。

我們的WLAN產(chǎn)品已和各大行的統(tǒng)一認證平臺均完成對接，全面的支持業(yè)界所有WLAN安全接入方式。

2）終端合規(guī)性檢查

認證平臺可采用MAC地址、用戶名和SSID綁定的方式，很好的保證了接入用戶設備的合法性，確保合法的人使用固定的終端接入特定的場景。

3）AP設備合規(guī)性檢查

AC無線控制器端，采用白名單管理AP的方式，對接入的AP進行統(tǒng)一管理，在后續(xù)擴展AP的時候，應首先在AC端添加新增AP的MAC地址。防止不合規(guī)的AP隨意接入企業(yè)網(wǎng)絡。

1.3 鏈路加密

采用WPA2+AES的方式實現(xiàn)數(shù)據(jù)的加密，確保數(shù)據(jù)的機密性。WPA2密鑰長度為128 位，解決了傳統(tǒng)加密算法密鑰長度過短的問題，而且在WPA2中，RADIUS 服務器解決了認證過程中的單一密碼機制。即用戶在接入無線網(wǎng)絡前，首先需要提供相應的身份證明，通過與用戶身份數(shù)據(jù)庫中的認證信息進行比對檢查，以確認是否具有權限并向客戶端動態(tài)分發(fā)用于加密數(shù)據(jù)的密鑰。

我們的網(wǎng)絡同時是WAPI聯(lián)盟的成員，根據(jù)終端支持WAPI的普遍性情況及用戶后端認證基礎平臺的完善情況，可采用WAPI加密方式進一步保障數(shù)據(jù)的機密性和完整性。

1.4 終端隔離

在金融無線接入環(huán)境下，如果不采用終端隔離技術，將會出現(xiàn)相互影響的情況，一方面終端之間傳輸大容量文件會嚴重損耗AP的資源，另外一方面任意互訪有可能造成惡意數(shù)據(jù)竊取，發(fā)送病毒文件等情況，將嚴重威脅網(wǎng)絡安全。

我們的網(wǎng)絡采用AC上的終端訪問隔離技術，可以通過靈活設置，有效杜絕終端間的互訪，最大限度確保接入安全。

1.5 流氓AP的攻擊檢測與反制

無線網(wǎng)絡的無線信號在開放的區(qū)間進行傳播，很可能受到非法AP的攻擊，通過使用非法AP誘騙銀行用戶接入并伺機盜取用戶的密碼，或者非法用戶采用大量的無線攻擊來影響網(wǎng)絡，都會帶來嚴重個人損失，為企業(yè)帶來惡劣的社會影響。

銳捷網(wǎng)絡采用基于有線，無線的一整套非法AP和非法用戶的防御體系，為您構建最安全的無線接入網(wǎng)絡。

1.6 短信安全開戶

金融用戶使用WLAN網(wǎng)絡來為本行/公司的客戶提供上網(wǎng)服務，如果提供固定的用戶名和密碼的安全簡易發(fā)放存在問題，借助銳捷網(wǎng)絡的短信注冊和短信密碼發(fā)布方案，用戶可以通過手機來獲取密碼，輕松訪問無線網(wǎng)絡。

同時該賬號，密碼均支持過期時間設置，還可以和銀行用戶的銀行卡號，保險用戶的行駛證編號等實現(xiàn)綁定。

2.2 穩(wěn)定性設計

2.1 AC冗余設計

為了保證網(wǎng)絡的可靠性，金融企業(yè)都會建立同城或異地跨城域網(wǎng)/廣域網(wǎng)的災備系統(tǒng)進行業(yè)務網(wǎng)絡的備份，網(wǎng)絡的金融WLAN解決方案支持完備的N+1熱備方式，可以非常好的支持金融的跨廣域網(wǎng)熱備，來充分保證網(wǎng)絡的高可靠性。

通過多隧道技術和快速感知切換技術，網(wǎng)絡將跨局址的N+1熱備縮短到50ms以內，在主備AC切換的過程中，用戶的網(wǎng)絡訪問不受影響。

2.2 AP冗余設計

利用AP之間的盲區(qū)自動覆蓋功能，當某一個AP出現(xiàn)故障時，周邊的AP可以檢測到問題AP覆蓋出現(xiàn)的盲區(qū)而適時增大覆蓋面積以填補盲區(qū)；當AP出現(xiàn)硬件故障，更換AP時無需任何配置，AP上電后會自動加載并獲取相應配置，減少管理和維護的難度。

2.3 移動用戶漫游設計

在金融網(wǎng)點營銷和辦公系統(tǒng)無線網(wǎng)絡中，經(jīng)常會有用戶攜帶無線終端不斷的走動的情況，如何保證移動中的用戶也能穩(wěn)定接入無線網(wǎng)絡？我們的的WLAN設備可以很好的支持同一AC下和不同AC下跨2層或3層網(wǎng)絡的快速漫游，通過AC和AP之間的快速漫游數(shù)據(jù)交互，提供用戶穩(wěn)定，快速的漫游體驗。

2.4 信道自動調節(jié)設計

無線網(wǎng)絡采用公開的頻段，不可避免的會受到干擾，而干擾是降低無線網(wǎng)絡性能的最主要因素，嚴重時甚至影響整個網(wǎng)絡的正常運行。
我們的WLAN設備可以通過實時掃描周邊的無線環(huán)境，智能調整為干擾最低的信道進行工作，同時還支持降低功率來減少覆蓋重疊、提升功率來彌補覆蓋盲區(qū)等功能。

3 無線接入可視化管理設計

在無線接入環(huán)境下，由于接入位置的不確定性，無線信號在空氣中傳播難以捕捉等特性，為無線網(wǎng)絡的管理帶來很大的難度，我們的網(wǎng)絡系統(tǒng)支持有線、3G、WLAN一體化管理，同時支持集中配置無線設備，還支持全方位監(jiān)控AC、AP及接入終端的運行情況，為用戶實現(xiàn)可視化管理無線網(wǎng)絡。

3.1 輕松一覽全局

通過一張圖表可有效地幫助網(wǎng)絡管理人員很清晰的看出整個無線網(wǎng)絡的運行情況。

3.2 無線熱圖分析

無線熱圖分析可有效地幫助網(wǎng)絡管理人員很清晰的看出無線覆蓋區(qū)域的無線信號覆蓋情況，可根據(jù)自己的喜好定義不同的顏色，可協(xié)助網(wǎng)絡管理人員進行AP的部署是否合理？干擾、信號盲點、設備帶機數(shù)量及性能進行有效的判斷。

3.3 頻譜分析

當802.11客戶端或AP設備在通訊過程中遇到干擾源干擾時，會造成整體網(wǎng)性能下降，導致共享同一AP的用戶體驗變差。頻譜分析很好地是檢測RF（微波爐、無繩電話和藍牙設備）信號的有效工具，為WLAN的性能提供重要的基礎保障。

3.4 AP超忙閑統(tǒng)計

通過設置AP的忙閑率統(tǒng)計，了解哪些AP使用頻度高，哪些使用頻度低協(xié)助決策如何合理利用AP，達到最優(yōu)的投入產(chǎn)出比。

3.5 一鍵快速定位故障

當無線網(wǎng)絡中有人上報故障時，如何快速定位故障？通過對設備信息、用戶信息可以進行靈活搜索，定位故障信息點？對關鍵設備的故障信息如何快速的查看？通過對關鍵設備相關信息進行搜索，可以查看關鍵設備的相關故障信息。

3.6 AP地理位置定位

AP的詳細地理位置描述，清楚查看具體位置；由實施人員通過實施表格的方式導入到系統(tǒng)，一次導入永久管理，并且可隨時修改。

4 提升使用體驗的方案設計

4.1 網(wǎng)絡智分部署方案

在金融用戶的辦公大樓環(huán)境中，不可避免會遇到領導辦公室、會議室場景，此類場景下可能會采用鋼混加固墻壁、防盜門、走廊側無窗設計等，而傳統(tǒng)的樓道放裝AP的無線部署，無線信號就需要穿透墻壁來對房間內進行覆蓋。墻壁對無線信號的損耗根據(jù)墻壁的厚度不同而有所區(qū)別，一般損耗都在20~30dB，傾斜的入射角度損耗更加嚴重。而且更有可能存在入戶廁所的房間格局，這樣無線信號就需要穿透多層墻壁才能到達房間內，實測的信號強度基本上都遠<-60dBm。很大程度上影響了用戶的使用體驗。

采用內置智能功分模塊，可以對單路射頻卡上的發(fā)射功率進行1分多處理，相比傳統(tǒng)的室分系統(tǒng)省去了多級硬件功率分配單元和耦合單元。每臺設備自帶八個RP-SMA接口，配合我們的系列低損連接線纜，最大可將天線延伸至15米遠的房間內，再通過美化天線進行無線覆蓋，進行8個房間雙頻單流或4個房間的雙頻雙流覆蓋，不僅保證了每個房間內的信號強度同時也滿足了高流量的用戶覆蓋。

傳統(tǒng)的無線都是單獨的布放，需要獨立的有線網(wǎng)絡和設備安裝位置，銳捷推出的網(wǎng)線面板式AP，可以利用原有的有線網(wǎng)絡，采用隱蔽入墻的微型AP，實現(xiàn)無線覆蓋。

該方式可以有效的解決AP信號進入室內的問題，同時安裝美觀，實施非常簡單，非常適合辦公、金融網(wǎng)點的美化安裝。

4.2 靈動天線技術

1）1677萬種天線路徑組合，覆蓋無死角

2）天線路徑高速切換，讓信號隨你而“動”

無論如何移動，都有最佳的信號路徑伴你左右，這是X-sense靈動天線技術的又一大特色。無需人工干預，X-sense憑借其強大的運算性能，可以在1毫秒內完成300次指向終端的信號路徑切換，即便在快速奔跑狀態(tài)下也能保證時刻都有最佳的信號與你同“行”。

3）終端接入優(yōu)化設計，全面提升用戶體驗

當你接入無線網(wǎng)絡時，X-sense會快速、準確的識別到你的終端類型，如果是使用功率較低的手機、平板電腦等移動終端時，X-sense能夠通過動態(tài)信號補償技術，針對移動終端提升接收靈敏度、增加重傳，保證所有的終端都能獲得最優(yōu)的接入效果，同時，X-sense通過動態(tài)天線組合，更可將信號強度提升至普通天線的3倍。

4.3 終端界面自適應

當您使用移動終端接入無線網(wǎng)絡時，經(jīng)常會遇到彈出門戶網(wǎng)站（Portal）要求認證的情況。我們的的WLAN產(chǎn)品，能根據(jù)終端特點，智能識別終端類型，推送最適合您屏幕顯示的頁面，省去了縮放、拖動屏幕的繁復操作，為用戶提供更加簡單灑脫的無線體驗。該功能目前已全面支持蘋果iOS、安卓和Windows等智能終端操作系統(tǒng)。

4.4 終端二維碼掃描接入

當訪客來到辦公區(qū)的時候，如何快速開戶同時加強用戶體驗？

• 客人連接上無線，系統(tǒng)生成專用二維碼
• 負責接待員工使用任意二維碼軟件進行掃描
• 客人和接待者收到系統(tǒng)信息成功，訪客即可訪問網(wǎng)絡
• 系統(tǒng)保留日志系統(tǒng)，備案可查