HC运营商无线校园网解决方案

1、H3C运营商无线校园网解决方案胶片目 录无线校园网的建设运营探讨H3C无线校园网解决方案介绍H3C无线校园网络工程部署H3C成功案例介绍运营商网络使用者学校无线校园网络建设驱动力三赢*资料来源：赢获得高价值群体新业务重要场所扩大无线范围提高学校品牌加快信息化支持教育科研创新随时随地学习随时随地工作随时随地科研无线校园建设运营的挑战1热点还是热区？Internet业务？校园自身特色业务？帐号是否允许跨区漫游？无线访问校园网资源由谁来认证？2与校方原网络关系？利用原校方网络接入？单建无线接入网？如何利用原校方无线网做运营商无线覆盖？3如何取得多赢？运营商和校方的盈利模式网络使用者（老师、学生、访客

2、）的利益无线校园的运营模式运营商运营无线校园Internet一种“热点模式”运营商把学校当作一个普通的热点区域，承建无线网络， 并为该区域内的WLAN用户提供访问Internet的无线宽带业务；投资和建设由运营商负责；校方受益方式（建议）： 场地使用和租用费特点：甲乙双方责权利容易区分；运营商把学校当作大的热点，建设，运营，维护方式城域热点相同，后端运营和维护成本低；主要提供Internet接入，不提供对校园网和教育网资源的访问。无线校园运营模式共同运营无线校园Internet图书馆教学楼宿舍学校网站运营商在校园范围内为学生，老师，访客（所有用户）提供基于“无线热点”的Internet接入服务

3、，同时为学生，老师提供无线访问校内资源的服务投资，建设，运维主体是运营商；校方受益方式： 无线校园网基础设施建设绩效（运营商为校园分配专门SSID）；经济收益（建议）：保年或包月的一次性场地使用费用，或者转卖运营商上网点卡的差价（与运营收入挂钩），或者可以考虑运营对帐特点：“双赢”， 一套WLAN网， 两个虚拟网络， 分别满足运营商与学校的网络覆盖要求；WLAN网络接入需要综合考虑两个网络业务的承载： 接入部分设计较热点方式复杂， 建议运营商为校方留出通道， 校园网业务的认证，授权，计费由学校来单独考虑；教育网无线校园运营模式业主自营无线校园Internet图书馆教学楼宿舍学校网站运营商租用无

4、线校园的“通道”资源，实现无线热点对校园网的覆盖；投资，建设，运维主体是学校；校方受益方式： 保年或包月的一次性的“通道”使用费，或者转卖运营商上网点卡的差价（与运营收入挂钩）特点：优点：利用校方已有网络， 实现快速热点覆盖；关键网络资源由校方维护， 网络的可用性，服务质量差异化较大，不一定能保证运营商宽带运营的需要；教育网不同运营场景的解决方案需求运营商运营；按照目前通用的热点建设标准和方案来搞；共同运营： 业务接入差异化：不仅满足宽带Internet，WLAN同时承担校内基础设施， 要保证学生访问CERNET，校内信息资源（如图书馆，内网网站等）等业务需求；运营方式的差异化：运营商的业务可

5、以利用大网原有的运营认证计费平台校园网内的运营需要单独考虑： 对无线网络接入访问校内资源的用户给予身份认证（限制校外非法资源）；校方的运营需求： 比如针对CERNET，校内资源访问的业务收取一定费用；防止学生的帐号共用，共享， 保证运营收益和管理的效果；不同SSID下业务的QoS调度策略：比如，不能让校园内访问业务全部吃掉Internet带宽；业主自营：需求可参照合作运营方式， 运营商对校园网的虚拟通道要提出一定的SLA保证要求；“点卡”差价运营对帐固定收益按照包月，包年等方式给予学校一次性的场地占用或者租用费用.适用场合： 结算简单，适用于大多数场合无线校园的受益模式运营商获得Wi-Fi热点

6、无线上网产生的收入 运营商按照一定比例给予学校合理的收益， 是无线校园网合作成功的关键；常见的几种结算方式：学校转卖运营商的上网卡给学生，赚取差额利润；适用场合：学校需要分担运营商的运营风险， 运营好时，学校挣得也多学校根据无线校园网中运营商客户上网的实际时长，流量等信息与运营商进行利益分成.适用场合：访客太多（点卡不能覆盖）的园区。 最典型的例子：机场。某省无线校园资费套餐月基本费（元）基本通话费率（本地主叫）（元/分钟）本地被叫赠送WLAN无线上网流量（月）其他290.19免费30小时，超出部分0.10元/分七彩铃音功能费、改号通知、189手机邮箱490.1660小时，超出部分0.08元/

7、分690.13100小时，超出部分0.06元/分890.11150小时，超出部分0.05元/分月基本费（元）WLAN无线上网流量（月）（元/分钟）本地被叫赠送本地通话费（月）其他290.06免费5小时，超出部分0.19元/分七彩铃音功能费、改号通知、189手机邮箱490.0510小时，超出部分0.16元/分690.0515小时，超出部分0.13元/分890.0420小时，超出部分0.11元/分大大促进了天翼放号无线校园重点关注安全接入安全信息泄漏非法用户接入？非法AP接入？网络安全ARP欺骗、MAC欺骗地址扫描攻击伪DHCP服务器接入AC接入大量APAC设备高可靠AC设备的互备能力资源统一管理

8、运营报表输出规划管理公平接入大容量高可靠规划无线校园典型组网无线校园承载业务管理IP地址和VLAN规划业务地址和VLAN规划认证方式用户公平占用带宽高优先级业务的质量保障目 录无线校园网的建设运营探讨H3C无线校园解决方案介绍H3C无线校园网络工程部署H3C无线校园成功案例重点关注规划安全规划管理公平接入大容量高可靠规划无线校园典型组网无线校园承载业务管理IP地址和VLAN规划业务地址和VLAN规划认证方式室外区域城域网/Internet无线校园典型组网AC侧挂BRAS组网说明：AC侧挂局端BRASInternet业务和校园网业务采用不同SSIDCERNET校内网管平台运营计费平台教学区图书馆

9、教学楼图书馆学生宿舍校园有线网校园网核心交换机BRAS汇聚交换机AC校园区域运营商局端校方无线接入认证点SSID1：Internet业务，集中转发SSID2：校园网业务，本地转发室外区域城域网/Internet无线校园典型组网AC+IAG组网说明：AC内置IAG，针对接入用户做认证计费Internet业务和校园网业务采用不同SSIDCERNET校内网管平台运营计费平台教学区图书馆教学楼图书馆学生宿舍校园有线网校园网核心交换机SR汇聚交换机校园区域运营商局端校方无线接入认证点AC+IAG卡SSID1：Internet业务，集中转发SSID2：校园网业务，本地转发运营商无线网AC部署位置比较AC侧

10、挂BRASAC侧挂汇聚交换机应用场景应用于AP位置比较分散的场所，且汇聚交换机与BRAS不在一个机房应用AP位置集中的场所，且汇聚交换机与BRAS在一个机房对现网架构影响无影响无影响占用BRAS端口是否AC带宽扩展能力较弱，受BRAS端口数目限制较强，无端口数目限制流量转发路径AC与BRAS间存在流量迂回AC与交换机间有流量迂回，交换机线速转发BRAS路由配置AP为私网地址时BRAS需增加私网路由条目，需避免路由扩散BRAS上无私网地址配置根据现网实际情况，若汇聚交换机与BRAS在同一机房，则建议采用侧挂交换机方式城域网/Internet无线校园典型组网分校区的接入组网说明：主校区与分校区无线

11、网络分别接入运营商网络主校区与分校区Internet业务采用相同域名接入，允许主、分校区间帐号漫游分校区无线接入分校区有线网，透传到校方无线接入点进行认证。需要校方网络设备配合运营计费平台BRASAC校园区域运营商局端校方无线接入认证点主校区有线网主校区无线网分校区有线网分校区无线网SSID1：Internet业务，集中转发SSID2：校园网业务，本地转发对分校园无线接入认证无线校园承载业务基本业务：Internet接入业务基于学校区域的页面推送外来访客学校宣传页面推送校内资源和教育网资源访问校园网课件资源管理系统、网上成绩管理系统，在线考试系统、图书目录查询系统德育网、教科网、教务网和网络学

12、习社区BBS 增值业务IPv6业务应用语音/视频/图像（VoIP电话、视频共享终端、即拍即传等应用无线定位业务校园视频监控业务无线VPN业务IPv6业务的支持AP无线控制器IPv6资源无线接入网无线IPv6客户端无线IPv6客户端无线组网支持IPv6环境AP和无线控制器之间可以建立基于IPv6地址的隧道多个无线控制器之间可以建立基于IPv6地址的隧道IPv6管理AP：DNS6DHCP client6 无线控制器：ACL6DNS6TraceRT6Telnet6TFTP IPv6FTP IPv6DHCP client6 Ping6IPv6组播无线交换机支持MLD Snooping配合现有IPv6有

13、线网络，实现IPv6组播业务通过部署支持IPV6的无线网络，便于学校开展IPv6应用Internet业务流程AC教学楼图书馆学生宿舍校园网和CERNET网接入交换机城域网/Internet运营计费平台BRAS汇聚交换机校方无线接入认证点1 终端通过PPPOE或DHCP获得地址3 AP连接端口属于管理VLAN。AC隧道在管理VLAN内透传2 根据运营商SSID，业务数据封转进AC隧道，不带TAG上行4 BRAS三层转发隧道到AC5 针对AP位置定义用户VLAN，业务数据在用户VLAN内L2透传到BRAS6 BRAS三层转发到Internet校园网业务流程AC教学楼图书馆学生宿舍校园网和CERNE

14、T网接入交换机城域网/Internet运营计费平台BRAS汇聚交换机校方无线接入认证点1 终端通过DHCP获得校园内私网地址2 根据校园网SSID，映射到VLAN后做本地转发接入交换机AP接口为TRUNK类型，缺省VLAN为管理VLAN3 对用户做Portal认证，通过后允许访问室外区域设备管理IP地址和VLAN规划AC教学楼图书馆学生宿舍校园网和CERNET网接入交换机城域网/Internet运营计费平台BRAS汇聚交换机校方无线接入认证点AP在同一管理VLANAP采用同一网段的私网地址AC对网管平台采用公网地址AC管理AP时采用私网地址AP采用同一网段的私网地址BRAS上配置AP管理私网地

15、址，需避免私网路由扩散AP在线率统计AC教学楼图书馆学生宿舍校园网和CERNET网接入交换机城域网/Internet管理平台BRAS汇聚交换机校方无线接入认证点网管通过AC统计AP在线率不同校园的设备集中管理设备管理IP地址不同校园采用不同的IP网段AP管理VLAN不同校园采用不同的管理VLANAC校园A接入交换机城域网/Internet运营计费平台BRAS汇聚交换机校园B接入交换机管理VLAN：100IP网段：/24管理VLAN：101IP网段：/24室外区域接入用户IP地址和VLAN规划AC教学楼图书馆学生宿舍校园网和CERNET网接入交换机城域网/Internet运营计费平台BRAS汇聚

16、交换机校方无线接入认证点Internet地址为公网地址，运营商分配同一区域内用户采用相同VLAN校园网访问时地址为私网网地址，由校方分配对学校同一区域的Internet用户采用同一VLAN，不同区域用户不同VLAN不同学校采用不同VLANPortal/PPPOE认证方式对比PORTAL认证PPPOE认证技术成熟度成熟成熟地址获得方式DHCP协议PPP协议数据流封装开销小较大是否需要客户端不需要需要IP地址占用始终占用地址不认证则不分配地址安全程度较高高用户易用性好较好页面推送服务支持不支持（有RFC草案，但支持设备少）用户自助平台不受限制自助充值需在有余额情况下充值考虑IP地址占用问题，建议I

17、nternet接入采用PPPOE认证，校园网资源访问采用Portal认证方式若Internet接入采用Portal认证，建议用户采用私网地址室外区域PPPoE认证AC教学楼图书馆学生宿舍校园网和CERNET网接入交换机城域网/Internet运营认证计费平台BRAS汇聚交换机校方无线接入控制点认证数据流与RADIUS服务器配套对用户帐号认证使用大网认证服务器认证用户发出PPPOE认证室外区域Portal认证AC教学楼图书馆学生宿舍校园网和CERNET网接入交换机城域网/Internet运营认证计费平台BRAS汇聚交换机校方无线接入认证点认证数据流SSID2：校园内网访问，由学校分配IP地址SS

18、ID2：Internet访问，由运营商分配IP地址Internet接入认证使用大网认证服务器认证校内和教育网资源访问由校方做认证无线校园重点关注安全安全接入安全信息泄漏非法用户接入？非法AP接入？网络安全ARP欺骗、MAC欺骗地址扫描攻击伪DHCP服务器接入管理公平接入大容量高可靠规划安全特性部署AC教学楼图书馆学生宿舍校园网和CERNET网接入交换机城域网/Internet运营认证计费平台BRAS汇聚交换机校方无线接入认证点AP与终端间加密机制AP下用户隔离检测非法AP接入端口隔离DHCP snooping安全特性（防MAC欺骗、IP欺骗、ARP欺骗）ARP限速广播抑止限制AP管理地址仅允许

19、访问ACAP隔离DHCP snooping安全特性（防MAC欺骗、IP欺骗、ARP欺骗）用户接入认证授权ARPWAPI & 802.11iWAPI802.11i认证机制双向认证（终端与AP间通过第三方AS相互认证），可防止AP假冒双向认证（终端和RadiusServer之间的认证，终端无法确定AP是否合法），认证方法（方式固定，简单宜行）基于开放式系统鉴别鉴别过程简单易行；身份凭证为公钥数字证书（方式灵活，适用多种场合）基于EAP协议扩展，方式不固定，可基于用户名密码，SIM卡,数字证书等多种方式加密采用椭圆曲线签名算法WEP,TKIP,AES成熟度产业链成熟度还有差距，2008年7月刚推出首

20、款WAPI手机比较成熟。2007年全球有2.94亿部消费电子产品内置WiFi芯片 兼容性不兼容原有802.11i，后续扩展慢兼容以前，后续扩展协议相对进展快国家政策中国WAPI联盟制定，国家支持IEEE制定H3C产品同时支持WAPI和802.11i支持标准证书鉴别模式支持Radius扩展鉴别模式可对用户授权和计费支持WAPI与802.11i用户共存支持快速漫游加密机制防止AP侧的信息泄漏拒绝接入丢弃报文无线入侵检测空中警察非法设备的识别和处理：周期性监听空口信息设备信息报告AP非法设备无线控制器向非法设备发起攻击非法设备是未经网络管理者许可部署的无线设备或者是发起无线攻击的设备无线控制器可以指

21、定AP工作在两种工作模式：模式一、AP负责监听空口所有信道的信息，但不负责用户报文的转发。模式二、AP在为用户转发数据的同时定期切换到其他信道监听信息AP设备负责把监听到的无线设备和有攻击行为的无线设备上报给无线控制器无线控制器根据AP上报的设备信息识别非法设备，排除合法设备无线控制器可以控制AP 将非法设备列入黑名单或者对其发起攻击设备过滤列入黑名单攻击指示非法设备检测ARP攻击防御-DHCP SNOOPING模式网关接入交换机通过DHCP 监控方式建立静态绑定表项接入交换机启用ARP Detection功能，根据DHCP Snooping建立的静态绑定表项过滤非法ARP报文全网部署后，直接

22、在接入端口丢弃ARP欺骗报文，有效防止所有类型的ARP攻击支持根据客户端IP地址的租约对DHCP Snooping表项进行老化，节省系统资源DHCP服务器接入交换机解析客户端和DHCP服务器之间的交互报文，获得合法用户的IP-MAC-port对应关系接入交换机将获取到的合法用户的IP-MAC-port绑定在入接口上想发送欺骗报文？丢弃攻击者AP有效防范ARP欺骗、IP/MAC欺骗攻击BRASACDHCP服务器BRAS解析DHCP交互报文，并据此生成合法ARP表（授权ARP)关闭BRAS ARP广播丢弃目标地址未知的扫描类攻击报文想发送欺骗报文？丢弃！想做网段扫描？丢弃！攻击者授权ARP：有效防

23、护ARP攻击和扫描类攻击AP监控DHCP交互报文获取合法用户的IP-MAC-port关系BRAS对于目的未知的报文不再发ARP，直接丢弃，防范扫描攻击在BRAS上依据DHCP交互信息生成ARP表项安全部署-用户隔离端口隔离端口隔离用户隔离可以有效的防范用户间的ARP欺骗、MAC欺骗、伪DHCP服务器接入等攻击类型AC教学楼图书馆学生宿舍校园网和CERNET网接入交换机城域网/Internet运营认证计费平台BRAS汇聚交换机校方无线接入认证点端口隔离AP用户隔离私拆AP问题的防范案例：学校AP设备采用公网地址，学生拆卸部署在宿舍区的AP设备，私接终端设备或HUB设备，不通过认证即可上网的。防范

24、措施：需要校方对学生进行行政约束采用FIT AP模式FIT AP本身无配置，必须配合AC使用，偷之无用采用私网IP地址进行管理，且管理地址只能访问AC设备，不能访问Internet无线校园重点关注大容量安全AC接入大量APAC设备高可靠AC设备的互备能力规划公平接入大容量高可靠规划管理大容量AC接入能力强wx610375E+AC插卡机箱式无线控制器，有线无线一体化可管理128/256/384/512/640个AP，通过Licence平滑升级单AC插卡可管理640个AP；75E可插入多个AC插卡，管理多个学校的AP75E交换背板能力可以提供高带宽链路；随着AP数量的增加可以逐步增加AC管理能力，

25、按需投资大容量AC设备高可靠性双主控控制层面和转发层面分离，单主控出问题时不影响业务热补丁不需要重启设备即可完善软件功能11冗余电源大容量AC 智能备份AC 接入列表AC1AC2。ACn+1APDHCP/DNSserverAC1AC2ACn+11、获取可接入AC列表2、获取AC1的负载信息和接入优先级2、获取AC2的负载信息和接入优先级2、获取ACn的负载信息和接入优先级3、和AC1建立连接AC 接入列表AC1 PRIH，已经接入20个APAC2 PRIH，已经接入30个AP。ACn+1 PRIL，已经接入40个AP AC 接入列表AC1 PRIH，已经接入20个APAC2 PRIH，已经接入

26、30个AP。ACn+1 PRIL，已经接入40个AP 4、和AC2建立连接AP可以智能的选择优先级高、负载低的AC接入当AP正在接入的AC down机时，AP可以选择备份的AC进行接入无线校园重点关注公平接入安全用户公平占用带宽高优先级业务的质量保障管理公平接入大容量高可靠规划基于SSID的用户智能限流AC教学楼图书馆学生宿舍校园网和CERNET网接入交换机城域网/Internet运营计费平台BRAS汇聚交换机校方无线接入认证点设置校园SSID带宽和Internet SSID业务带宽可以有效防止P2P业务占用过多的带宽，导致其他正常用户无法使用网络高优先级业务的保证有线网络令牌桶流量统计Que

27、ue0Queue1Queue2QueueNDropTailRR/DRR接收报文无线有线优先级映射流分类流量限制队列发送报文出队调度拥塞控制转发 源地址 目的地址 源端口 目的端口 协议类型ACLAC调度机制优先级队列1优先级队列2优先级队列3优先级队列4BusyFrameTimeAIFS4CW4AIFS3CW3FrameAIFS2CW2FrameAIFS1CW1FrameAP调度机制CAPWAP隧道优先级CAPWAP隧道优先级用户优先级到CAPWAP优先级映射用户优先级到CAPWAP优先级映射紧跟标准步伐，推出802.11n 产品，确保兼容性80211n高带宽广覆盖易兼容高稳定易穿透密接入万兆

28、多核无线控制器，处理性能可达万兆，满足11n高带宽的需求支持POE+的交换机，单端口最大可达25W，适应11n时代的需求带宽的提升802.11n的平滑升级无线校园重点关注管理安全资源统一管理运营报表输出管理公平接入规划大容量高可靠管理：无线有线一体化全集成资源管理无线有线一体化管理网络业务管理基础资源管理SOA管理平台基于SOA架构的开放式管理平台网络资源统一调配管理机制丰富的网络业务管理解决方案同一管理平台解决两种网络资源管理问题管理：丰富的无线统计报表专业化报表告警统计报表 网络质量报表 流量统计报表 设备性能报表 资源数量统计报表主要报表：24小时全网无线用户在线趋势图用户数最多的热点T

29、op5用户数最多的SSID Top5用户数最多的AP Top5最近24小时无线用户接入成功率趋势图最近6小时无线用户接入成功率最高的AP的Top5最近6小时无线用户接入失败率最高的AP的Top5 等 对无线校园的无线利用率和活跃度进行统计分析目 录无线校园网的建设运营探讨H3C无线校园解决方案介绍H3C无线校园网络工程部署H3C无线校园成功案例单AP教室覆盖根据具体环境的不同，可以将AP固定到主讲台后面的墙壁上，或者用吸顶天线固定到天花板上 ，一般来说，室内覆盖可以覆盖普通隔离墙2-3层多AP重叠教室覆盖 工程方面考虑如下:基本上不用考虑使用吸顶天线，主要因为这样的大空间基本上没有吸天线的很好

30、的依附物，都是采用悬挂墙壁AP进行覆盖，布置点参考上图所示，信道规划方面采用AP1/AP2/AP3分别采用信道1、信道6、信道11，这样布置时，会存在部分信息外泄到室外，当室外布置AP覆盖门外空间时，则要使用信道11学生宿舍的无线部署-双面覆盖学生宿舍的无线部署-室内覆盖窗门楼道AP部署在楼道位置室外场所覆盖 无线高密覆盖降低AP和客户端发射功率，实现同频重叠最小化采用2.4G和5G混合部署，增加用户接入能力802.11a802.11b/g1&63&113&118&11&65&63&118&61&13&11运营商室内分布式组网室内吸顶天线 滤波合路器宽频带功分器 滤波合路器室内分布系统大功率A

31、P2G/3G/PHS耦合器功分器耦合器功分器功分器小天线小天线泄漏电缆负载功分器小天线耦合器 大功率500mW运营级大范围低密度免工勘，实施快，成本低，回收快小功率和大功率AP比较WLAN射频信号输出PA1PA2天线口约0dBm515dBmUp to 27dBm功率检波反馈AP外置功放外置功放方案问题较多，将被大功率AP取代WLAN射频信号输出PA1PA2天线口约0dBm515dBmUp to 27dBm功率检波反馈普通小功率AP大功率APWA1208EWA1208EWA1208EWA1208EWA1208E室内分布系统扩容方案目 录无线校园网的建设运营探讨H3C无线校园解决方案介绍H3C无线

32、校园网络工程部署H3C无线校园成功案例辽宁网通东北财经大学 由1台WX6103无线控制器，96台WA2210-AG系列FIT AP对学校专家楼、砚池楼、国际商贸学院主楼、留学生楼及楼前广场进行无线覆盖。 无线网络部署快、工程实施简单、管理维护容易的特点，成为客户首选WLAN进行覆盖的原因。 多级分层网管，减少了用户软件投资。POE接入交换机,堆叠出口认证、计费中心互联网(网通宽带)无线Client网管平台AP.无线控制器思源楼思源西楼思源东楼7教、8教、9教无线交换机Wireless Switch Manager集中策略管理中心3600-28P-PWR-EIFIT AP体育馆、综合实验楼CAM

33、S认证计费管理3600-28P-PWR-EIFIT AP计算中心电气楼FIT AP3600-28P-PWR-EI3600-28P-PWR-EI3600-28P-PWR-EIFIT APFIT AP体育场主席像东花园、小树林明湖FIT AP图书馆、中心报告厅天佑会堂、科学会堂3600-28P-PWR-EI3600-28P-PWR-EI3600-28P-PWR-EIFIT APFIT APFIT APFIT AP校园骨干网北京交通大学 通过305台瘦AP对思源楼、科学会堂、体育馆等楼宇连续覆盖以及对明湖、主席像等室外区域实施覆盖。 全网的无线接入点通过3台高端无线交换机实施全网统一控制和管理,无线覆盖面广。北京航空航天大学