REDWAVE-无线网络运营方案建议书.doc

广州虹联 WLAN 运营网络方案建议书 之 专网篇 广州市虹联信息技术有限公司广州市虹联信息技术有限公司 2007 年 5 月 目录目录 一 一 需需求求分析分析 4 4 1 1无线运营网络系统目标 4 1 2无线运营网络系统的整体目标 4 1 3我们的方案 5 1 4多业务的支持 MULTIPLE BSSID 8 二 二 无线运营网络认证与计费方案无线运营网络认证与计费方案 9 9 2 1WEB 认证方式介绍 9 2 1 1REDWAVE Portal Protocol 9 2 1 2内建 WEB Portal 页面的方式 10 2 2无线运营网采用单一 WEB 的认证方式 11 2 2 1 HiaB Hot spot in a Box 组网方式 11 2 2 2 AC AP 组网方式 12 2 3IEEE802 1X 认证方式与 WEB 认证方式的混合 13 2 3 1 双认证与 Multi BSSID 技术 13 2 3 2 HiaB 组网方式下 IEEE802 1x 认证方式与 WEB 认证方式的混合 14 2 3 3AC AP 组网方式下 IEEE802 1X 认证方式与 WEB 认证方式的混合 15 2 3 4 Mac Radius 认证组网方式 16 2 4无线运营网络计费 17 2 4 1无线运营网络的计费系统 17 2 4 2无线运营网络的用户注册系统 18 三 三 网络管理系统网络管理系统 1818 3 1 第一节 逻辑关系图 20 3 2 第二节 REDWAVE S6000 网管系统的典型配置方案图 20 3 3 第三节 功能简介 21 四 四 产品介绍产品介绍 2424 4 154M 运营级双频室内型 AP P720 24 4 254M 运营级双频室外型 AP P780 错错 误 未定义书签 误 未定义书签 4 3运营级的公共访问控制器 G8000 错错 误 未定义书签 误 未定义书签 4 454M 增强型无线接入点 P560 PLUS 错错 误 未定义书签 误 未定义书签 4 5分布式网络管理系统 S6000 错错 误 未定义书签 误 未定义书签 附录一 附录一 WLANWLAN 工程效果设计工程效果设计 2525 一 一 需求分析需求分析 1 11 1无线运营网络系统目标无线运营网络系统目标 无线运营网络项目的建设可以分为以下两方面 第一 为小区 热点等场所提供典型的无线局域网信号覆盖 使用户能够 在无线覆盖的区域接入无线网络 第二 在无线网络上提供 VoIP Data WiFi phone VOD 监控等增值 服务 实行统一计费 管理和运营 1 2无线运营网络系统的整体目标无线运营网络系统的整体目标 全覆盖 即以无线的方式覆盖小区内所有区域 让用户体会到无线宽带 网给自己的生活带来的好处 可管理 对每一位用户和每个无线接入点 网桥 进行远程管理 安全性 充分考虑网络的安全性 系统具有多层次的安全保护措施 以 满足用户身份鉴别 访问控制 可稽核性和保密性等要求 可扩充性 在网络规模不断发展的情况下 系统应可不断升级和扩充 保证系统可用 可计费 记录每一个用户的上网信息 以便计费服务器通过时长 流量 等方式进行计费 多种服务 为发展无线宽带应用 如 无线语音应用 无线视频会议应 用 无线多媒体通信应用等 打下基础 和其他网络融合 可以和移动运营商已有的网络做融合 GPRS PHS CDMA 3G 属于广域网 运营商可以推出 GPRS WLAN CDMA WLAN 和 PHS WLAN 的双模应用 这样 用户在 有 WLAN 的地方可以得到高带宽 在无 WLAN 的地方可以利用 GPRS 或 PHS 做广域漫游 提供不间断服务 1 31 3我们的方案我们的方案 对于运营的网络需要提供多种多样的认证机制 网络安全 用户身份的鉴权 等保障机制来满足网络的建设和运营 根据以上的分析 我们将无线网络的接 入控制和计费采集功能放置到了无线网络的前端 提供 2 种基本的架构 i 在上网用户密集的地方 采用 AC AP 的架构 ii 在大面积覆盖 如广场 大厅等场所 可使用单个 AP 的方式 HiaB Hot spot In A Box 此设备提供了 AP 及 AC 的功能 对以上两种组网架构 无线终端可以使用 802 1x WEB 以及 Mac Radius 三种 认证方式接入到无线网络中 示意图如下 方案说明方案说明 如上图本方案提供 2 种组网方式 1 AC AP 2 HiaB HotSpot in one box 在大型社区中 由于有很多的用户需要使用此网络 因而需要大量的 AP 进行无线覆盖 在此种情况下我们需要采用 AC AP 的架构来满足网络的需要 来提供对于用户和设备的身份鉴权以及各种安全策略的设定 可以根据用户数 的数量来增加 AC 的数量 一台 AC 可以支持 500 个同时在线的用户 并且针对 网络的具体情况我们的解决方案提供跨 3 层的漫游 适用场所 酒店 企业 小 区 展览馆等 在小型热点中 由于在用户数较少并且覆盖面积相对较小的环境中 只需 要 1 3 个 AP 就可以覆盖并能提供正常的无线连接 这个方案提供了极好的性价 比 适用场所 咖啡厅 茶餐厅等 广州虹联解决方案具有如下特色广州虹联解决方案具有如下特色 1 1 增强的无线安全性增强的无线安全性 WPA2 硬件 AES 加密 WPA TKIP AES 硬件 AES 加密 802 1x 动态 WEP MAC 认证 以上的无线加密方式提供了增强的无线安全特性 满足当今无线网络使 用的要求 2 多安全策略多安全策略 多认证方式共存多认证方式共存 Multiple BSSID 的特性提供了多种策略和多认证方式的共存 将不同的 用户群体划分到不同的 BSSID 不同的 BSSID 可以采用不同的安全策略和认 证策略 同时不同 BSSID 的用户之间不能互相访问保证了用户资源的安全 3 增强的网络安全增强的网络安全 Multiple BSSID 与 AC 设备的防火墙策略的完美结合 使广州虹联的无 线整体方案能够提供出色的网络安全功能 对于不同子网的用户我们可以限定 他的访问权限 限制对网络资源的访问 对于拥有多个部门的环境来说就显得 至关重要 4 抗干扰能力特性抗干扰能力特性 通过动态信道调整 DCA 功能 无线系统可以根据周边的无线空间资源的 使用状况来调整自己的工作频道 以避免非法 AP 的无线干扰 使网络能够提 供稳定的传输品质 避免因为无线的同频干扰而造成的网络瘫痪 5 增强的无线 增强的无线 Qos 广州虹联的 AP 设备提供 Multiple BSSID 的功能 此功能能够完成对于不 同用户群的区分和针对不同用户提供不同的无线安全策略 考虑到时时业务的 连贯和流畅性 Qos 是非常重要的 本方案通过设定不同 BSSID 的优先级的方 式来保障语音业务的优先发送 同时 IEEE802 11e WMM 也为无线的 Qos 提 供了强大的保障 通过以上方式 广州虹联多业务语音系统能够保证内部的信息 交流有序无障 6 快速漫游 快速漫游 广州虹联的 AP 设备提供了遵循 IEEE802 11f 的 IAPP 协议来满足无线终端 在不同无线设备间的无缝漫游 保证了移动的语音终端可以在无线覆盖环境内 部自由地移动 7 系统的自恢复能力 系统的自恢复能力 系统内置了 WatchDog 的功能 通过此功能可以使设备随时地检测本身的 运行状态 当发现本身运行异常时 设备将自动修复异常 以保证网络能够主 动地发现问题并主动解决 减少了网络故障的出现 8 管理的网络 管理的网络 通过强大专业的无线管理系统 S 6000 管理者可以随时随地了解网络的当前运 行状态 主动地发现网络的异常并处理网络中的故障 同时强大的报表系统能 够评估网络的运行品质 根据报表系统提供的数据来优化自己的无线宽带系统 1 41 4多业务的支持多业务的支持 Multiple BSSID 对于运营的网络需要提供多种多样的机制服务来满足网络的建设和运营 根 据以上的分析 我们将无线网络和 AC 的功能合并在一起 为传统的无线网络 增加的语音传输 视频监控 数据传输等等 广州虹联多业务解决方案具有如下特色广州虹联多业务解决方案具有如下特色 1 提供不同用户类型接入不同网络 提供不同用户类型接入不同网络 Multiple BSSID 的特性提供了多种无线接入接口 将不同的用户群体划分 到不同的 BSSID 不同的 BSSID 可以提供不同的业务服务 同时可以提供无 线数据通道 无线语音通道 无线视频通道 2 增强的无线用户私密网络安全增强的无线用户私密网络安全 Multiple BSSID 与 AC 设备的防火墙策略的完美结合 使广州虹联的无线 整体方案能够提供出色的网络安全功能 保证每一个 Multiple BSSID 都存在于 一个单独的 VLAN 更加有力的保证了用户群落之间的安全 3 强有力的视频 语音保证机制强有力的视频 语音保证机制 Qos 在 AP 设备提供 Multiple BSSID 的功能同时 此功能能够完全考虑到时时 业务的连贯和流畅性 Qos 是非常重要的 本方案通过设定不同 BSSID 的优先 级的方式来保障视频和语音业务的优先发送 同时 IEEE802 11e WMM 也为 无线的 Qos 提供了强大的保障 通过以上方式 广州虹联多业务语音系统能够保 证内部的信息交流有序无障 二 二 无线运营网络认证与计费方案无线运营网络认证与计费方案 正诚的解决方案可以同时提供 WEB 认证 802 1X 认证 Mac Radius 三种认 证方式 根据不同的网络安全和要求将选择不同的认证方式和混合的认证方式 来满足不同网络和业务的需求 2 12 1WEBWEB 认证方式介绍认证方式介绍 WEB 认证方式不需要无线终端安装额外的软件 只要具有浏览器的无线终 端都可以进行 WEB 认证 为了保证认证客户输入的用户名密码不被网上窃听 者看到 WEB 认证需要采用 SSL 安全套接字 的方式来对无线终端输入的用 户名密码进行保护 这就要求 WEB 的认证点或 Portal Server 上具有安全证书以 便无线终端与认证点或 Portal Server 之间交换 SSL 密钥 在这里我们推荐两种 WEB 认证方式 2 1 12 1 1 REDWAVEREDWAVE PortalPortal ProtocolProtocol REDWAVE Portal Protocol 是由广州虹联设计的 Portal 认证协议 它的优点 是 只有 portal server 需要配证书 验证点不需要 Portal 页面动态更新 能满 足运营商定制页面的需求 但是 Portal server 和验证点之间需要传递消息 因此 就需要定制消息的格式 可能会造成兼容性问题 具体的认证方式如下图 Portal server HTTPS RADIU S Certificate RADIUS server Authenticator HTTPS Username and password 过程 过程 1 验证点 AC 或 AP 将用户的 HTTP 请求重定向到 portal server 上 2 由于重定向使用的是 HTTPS 连接 用户要先确认 portal server 提供 的证书 再输入自己的用户身份信息 3 Portal server 发起一个 HTTPS 连接到 AP 将用户的身份信息传给 AP 4 验证点使用所得到的身份信息 发起验证请求 5 如果验证成功 验证点将允许该用户接入网络 并根据验证结果应 用预设的策略 如果验证失败 验证点将拒绝该用户接入网络 6 验证点将验证结果回传给 portal server 如果验证成功 portal server 将把欢迎页面和 Logout 页面推给用户 如果验证失败 portal server 将把验证失败页面推给用户 2 1 22 1 2 内建内建 WEBWEB PortalPortal 页面的方式页面的方式 内建 WEB Portal 是指推送给无线终端认证的 Portal 页面存储在 WEB 认证点 AC 或 AP 上 或由认证点从一个 HTTP 服务器上获取到 这种认证试需要 在每个认证点上安装一个证书 但不需要额外的 Portal Server 的支持 并同时 支持本地 Portal 页面或远程获取 Portal 页面 具体认证方式如下图 RADIUS server HTTPS RADIUS Certificate Page server Update portal page Authenticator 过程一 本地过程一 本地 Portal 页面 页面 1 验证点将用户的 HTTP 请求重定向到验证点所带的 portal 页 面上 2 由于重定向使用的是 HTTPS 连接 用户要先确认验证点提 供的证书 再输入自己的用户身份信息 3 验证点使用所得到的身份信息 发起验证请求 4 如果验证成功 验证点将允许该用户接入网络 并根据验 证结果应用预设的策略 如果验证失败 验证点将拒绝该 用户接入网络 过程二 统一过程二 统一 Portal 页面 页面 1 验证点 AC 或 AP 重启时 将运营商提供的 portal 页面下载 到本地 此后 可以选择定时更新页面 2 验证点将用户的 HTTP 请求重定向到验证点所下载的 portal 页面 上 3 由于重定向使用的是 HTTPS 连接 用户要先确认验证点提供的 证书 再输入自己的用户身份信息 4 验证点使用所得到的身份信息 发起验证请求 5 如果验证成功 验证点将允许该用户接入网络 并根据验证结 果应用预设的策略 如果验证失败 验证点将拒绝该用户接入 网络 2 22 2无线运营网采用单一无线运营网采用单一 WEBWEB 的认证方式的认证方式 若此网络决定在无线运营网络中采用纯 WEB 的认证方式 考虑到网络安全 未通过 WEB 认证的无线客户端不能够访问到有线网或 Internet 资源 决定了 WEB 认证的认证点一定是在无线网络的前端 即 AP 或 AC 的位置 广州虹联 提供两种方式的组网以适用于不同的情况 2 2 12 2 1 HiaBHiaB HotHot spotspot inin a a BoxBox 组网方式 组网方式 所谓 Hot Spot In A Box 是指一个 AP 设备上完成 AC 和 AP 的功能 使之同 时具有无线接入和认证计费等 AAA 的功能 并可以支持 2 1 及 2 2 所述的两种 WEB 认证方式 这种组网方式适合需要 AP 较少 大面积覆盖并且无线终端较 稀疏的地方 如娱乐室 阅览室等 如图 认证计费系统 有线网络 网管系统 Internet 出口路由器 WEB 认证点 RADIUS 协议 Over VPN 这种组网方式快速简单 可以在任何需要无线覆盖的地方布置接入点 但成 本较高 不适合在人群集中 无线终端密集的地方应用 2 2 22 2 2 AC APAC AP 组网方式组网方式 在无线终端密集的地方 可以采用 AC AP 的组网方式 这种方式下 AC 将做为 WEB 的认证点 并支持 2 1 和 2 2 所述的两种 WEB 认证方式 网络结 构如图所示 认证计费系统 有线网络 网管系统 Internet 出口路由器 RADIUS 协议 Over VPN AP WEB 认证点 AC AP 2 32 3IEEE802 1XIEEE802 1X 认证方式与认证方式与 WEBWEB 认证方式的混合认证方式的混合 考虑到网络的安全性 建议无线终端可以使用 802 1X 和 WEB 方式认证 2 3 12 3 1 双认证与双认证与 Multi BSSIDMulti BSSID 技术技术 在无线运营网络中 考虑到网络的安全性及用性 我们建议采用 IEEE802 1x 认证与 WEB 认证共存的方式 如果无线终端采用 802 1x WPA 认证方式 目前所有的商用笔记本都会预 安装 Windows XP 系统 而在 XP 中 无线网络设备中的 802 1x 认证是与 WPA 安全协议捆绑在一起的 那么无线终端发送和接收的数据在无线媒介这部分是 加密的 这样的话 双认证就会产生这样的结果 无线接入点下面有的无线终 端 802 1x 认证终端 使用加密的数据报文 有的无线终端 WEB 认证终端 使用不加密的数据报文 在这种情况下 只有支持 Multi BSSID 技术的 AP 才 可以做到这一点 如下图所示 802 1x 终端 WEB 终端 SSID1 Cernet 802 1x BSSID1 00904B010101 SSID2 Cernet WEB BSSID2 00904B020202 BSSID1 的数据报文加密 BSSID2 的数据报文不加 密 具有 Multi BSSID 的 AP 可以根据数据报文中的 BSSID 来判断数据报文是否 加密 只有 Single BSSID 的 AP 要么对所有报文进行加密 要么对所有报文不 加密 2 3 22 3 2 HiaBHiaB 组网方式下组网方式下 IEEE802 1xIEEE802 1x 认证方式与认证方式与 WEBWEB 认证方式的混认证方式的混 合合 HiaB 的组网方式下 AP 利用 Multiple BSSID 的技术 将 WEB 认证与 802 1X 认证分离开来 需要使用 802 1x 认证的无线终端 可以接入到 SSID 为 CERNET 802 1x 的基本业务区 需要使用 WEB 认证的无线终端 可以接 入到 SSID 为 CERNET WEB 的基本业务区 这样 两种认证方式不发生混 合 保证了安全性 认证计费系统 有线网络 网管系统 Internet 出口路由器 WEB 认证点 RADIUS 协议 Over VPN WEB 认证 1X 认证 2 3 3AC AP2 3 3AC AP 组网方式下组网方式下 IEEE802 1XIEEE802 1X 认证方式与认证方式与 WEBWEB 认证方式的混认证方式的混 合合 若采用 AC AP 的组网方式 AP 采用 Multi BSSID 无线终端接入到 802 1X 认证的 SSID 后 会在 AP 上做 802 1X 认证 这时 AP 作为 802 1X 的认 证点 当无线终端接入到 WEB 认证的 SSID 后 AP 将无线终端的报文转发到 后端的 AC 在 AC 上做 WEB 认证 此时 AC 作为 WEB 认证点 认证计费系统 有线网络 网管系统 Internet 出口路由器 WEB 认证点 RADIUS 协议 Over VPN 1X 认证点 1X 认证客户端WEB 认证客户端 2 3 42 3 4 MacMac RadiusRadius 认证组网方式认证组网方式 针对语音业务的特点 我们需要对 Wi Fi Phone 设备本身进行身份鉴权来阻 止非法的无线终端接入 以无线终端的 Mac 地址做为账号进行 Radius 认证 认 证点在 AP 上 2 42 4无线运营网络计费无线运营网络计费 根据对无线运营网络计费的要求 需要记录每一个用户的上网信息 以便计 费服务器通过时长 流量等方式进行计费 并且能够针对不同的用户定制不同 的计费策略 2 4 12 4 1无线运营网络的计费系统无线运营网络的计费系统 由于用户群体的多样性和复杂性 运营网络的认证计费系统就需要提供多样 化的业务支持服务 本系统能够提供基于流量 时长 带宽等不同项目的费率 结算 提供多种计费策略 也可以针对用户的使用时间段进行限制 提供基于 标准 Radius 的认证和计费功能 用户能够通过 WEB 页面随时查询自己的费用 和网络的使用情况 方便了网络的运营 基于此可由 AC 或是 AP 设备进行无 线终端的计费采集 并将采集的用户 Session 时长和流量 上 下行 通过 RADIUS 协议抛送到计费系统上去 对于用户的使用情况进行记录 通过报表 系统能够打印出账单 方便用户费用的结算 为了能够保证运营商和业主之间的利润分配 我们建议除了在运营商中心建 认证计费系统 有线网络 网管系统 Internet 出口路由器 Radius ProxyRADIUS 协议 Over VPN Mac Radius 认证点 客户端 WiFi Phone Mac Radius 立一个统一的 OSS 系统外 在不同 HotSpot 本地也建立一个 Billing 系统 我们 的 AC 或者 AP 可以将用户的计费信息同时抛送到这 2 个 Billing 中 在做利润 分成时双方可以根据各自拥有的账单来确认账单的合法性 通过这个功能可以 避免在费用方面的分歧 流程如下图所示 运营商计费系统 有线网络 Internet Incernet 出口路由器 RADIUS 协议传递计费信息 包含时长与流量信息 无线用户 抛送两份帐单 包含时长与流量信息 HotSpot 本地计费 2 4 22 4 2无线运营网络的用户注册系统无线运营网络的用户注册系统 方便的申请和支付 用户可通过短消息方式申请 WLAN 上网密码 密码以短消息方式下发到用户 手机用户使用 WLAN 业务并通过 手机号码 密码 方式认证时 费用计入对应手 机账单 随同话费一起缴纳 使用数据 SIM 卡时 可将数据 SIM 卡与手机账单 捆绑 实现单一账单 三 三 网络管理系统网络管理系统 随着网络规模的增加 网间的设备数量将快速增长 在此情况下网络的 运行状态 网络设备的维护以及网络的优化就变得非常重要 投诉率对于一个 运营的网络来说是非常重要的指标 并且随时知道网间设备运行的状态也非常 关键 广州虹联的网络管理系统 S6000 能够出色的完成以上所有的任务 能够 保证网络正常的运行 S6000 是面向运营商网络设计的分布式 WLAN 网管系统 S6000 网络管理 系统拥有强大的设备管理和网络管理功能 透过系统您能够及时地观察到网络 设备的运行状态 并且在第一时间内获得设备故障告警 您还可以透过网络实 现设备的远程复位 或者是远程升级设备驱动程序 本网管系统还结合了 GIS 地图功能 使您可以在 GIS 地图上自由地浏览整个网络 及实现设备的精确定 位 S6000 是基于 CORBA 环境建立的网管系统 此系统是由三个模块组成的 它 们分别为管理者 CORBA SNMP 网关 事件和日志服务器 这 3 个组件可以 分布在不同的物理位置 其中 SNMP CORBA 网关 负责完成 SNMP 和 CORBA 之间的协议转换 以及子 网代理功能 事件和日志服务器 提供 CORBA 日志服务和事件服务 及名字服务 REDWAVE S6000 管理应用平台 提供网管系统的图形用户接口 及 支持分布式管理应用 3 13 1 第一节 逻辑关系图第一节 逻辑关系图 管理端可以通过事件通道来接收被管网络中设备发出的告警信息 并可以 到日志服务器中去查询所有的报表信息 而日志服务器可以把在事件通道里传 送的通知保存到本地的数据库 生成报表系统来评估此网络的运行情况 3 23 2 第二节 第二节 REDWAVE S6000REDWAVE S6000 网管系统的典型配置方案图网管系统的典型配置方案图 一般情况 网管系统中需要有一台数据库服务器 用于运行事件和日志服 务器 以及提供系统配置数据库 SNMP CORBA 网关的数目则取决于网络的 规模和网关的处理能力 例如 对于规模较大的网络 可以安装多个 SNMP CORBA 网关 并指派每个网关负责特定的被管网络 管理应用平台则 可以在网络的任何地方运行 并且支持多个用户同时使用网管系统 针对运营无线网络的情况 我们可以建立一个网络管理中心 在此中心安 装这三个组件来监控每个 Hot Spot 无线网络设备运行的状态 而在每个 Hot Spot 本地网络中安装相应数量的管理端 这些管理端来负责管理本地的无线网 络 从而做到能够实时的监控到每个设备运行的状态 并及时处理出现的问题 组网示意图组网示意图 3 33 3 第三节 功能简介第三节 功能简介 S6000 完成运营要求的 5 大基本管理功能 拓扑管理 性能管理 配置管 理 安全管理 故障管理 同时根据运营商网络的要求 增加了很多其他的管 理功能 例如 用户管理 电信的需求等 并具有强大的报表系统 拓扑管理拓扑管理 基于 GIS 地理信息系统 的网络拓扑显示 灵活的拓扑显示模式 如 IP 地址 设备类型 生产厂商等 自动拓扑发现 多厂商设备支持 拓扑编辑 链路编辑 网元查询 自动发现网络节点增加 故障管理故障管理 故障的发现 网管系统主动轮询 轮询策略可灵活定制 包括轮询周期 轮 询方式 轮询强度等 设备告警 可接受 SNMPv1 v2c 的 Trap 故障的呈现 使用声 光 色 email 短信等通知管理者 告警扩散 事件过滤 过滤同一故障的连续事件 根关联事件分析 发现 MAC 地址改变 故障设备的快速定位 故障设备重启动功能 导入 导出轮询策略 告警同步 性能管理性能管理 数据采集数据采集 自动采集网元的性能数据 对实时或历史性能数据进行分析 可对各参数设定门限 越过门限时产生故障信息 性能管理性能管理 设备实时性能监控设备实时性能监控 配置管理配置管理 提供可定制的配置模板 根据模板来批量配置 AP 参数 固件管理 对网络中设备的固件进行集中管理 提供批量升级功能 支持 FTP TFTP 上载和下载方式 提供集成的 Telnet 客户端 可使用 Telnet 对设备进行单