思科无线高校校园网络设计方案

1、学院校园网络设计方案校园对无线网络需求的变化12005-201022010-201532015-将来校园部分无线覆盖全校无线覆盖满足互联网+的智能无线网络无线校园的挑战手机课堂远程办公语音和视频接入无线网络运维高密度接入高密度接入不仅仅在教室图书馆体育馆校庆挑战杯新生入学语音和视频接入Wifi网络将接入越来越多语音和视频无线远程办公研讨会通过无线连接会校园内网家庭办公话机和语音接入校园网大规模部署无线网络必须考虑因素有线、无线网络的统一管理问题网络接入安全防范高密度用户接入射频干扰问题如何识别用户的应用并控制音视频的组播在无线中的传输问题802.11ac wave2高速网络传输问题基于无线网络

2、的校园创新服务提升校园的无线访问体验产品质量 802.11ac wave2思科无线校园解决方案1 师生高密接入2 手机教室支持3 领导老师远程办公支持9 室外覆盖、校园导航、人流统计4 校园无缝漫游 7 Clean Air强抗干扰5 无线控制器HA10 掌上网络运维6 宿舍区面板AP接入 8校园语音视频优化11可租赁给运营商的SSID资源1.有线无线网络的统一管理无线为主2802.11ac融合接入无线控制器有线/无线网络数据平面CORE接入交换机统一接入交换机802.11n传统瘦AP架构集中管理数据集中在控制器交换策略部署:ACL,QOS作用于控制器上，有线无线分离控制器成为无线网瓶颈控制器处

3、理能力最高60G适用于802.11a/b/g/n融合接入架构集中管理数据分布交换策略部署:ACL,QOS作用于接入交换机上，有线无线相同融合交换机无线网处理能力最高：单台40G适用于802.11a/b/g/n/ac过度为无线为主的接入802.11acCisco ONE解决有线无线统一管理的问题思科有线无线统一接入网络统一策略统一网络统一管理统一策略Wired, Wireless, and VPN单位及个人网络设备整合移动设备管理MDM内容感知的控制Who, what, which, when, where, and how高级隔离用户服务用户登录自助服务简单的访客处理基于位置的服务统一管理通过

4、单一界面可视化管理所有用户、设备、网络威胁、设备位置、策略及健康检查高效的操作 智能故障排查自动报告生成IPv4 and IPv6 支持设备管理计划、部署、监控、故障处理, 补救、优化Wired+Wireless+VPN最佳无线网络最佳交换网络应用可视化及控制AVC次秒级的收敛LAN Stateful SwitchoverLAN Non-Stop ForwardingWLAN Stateful Switchover部署灵活支持虚拟部署组件Secure Group Access智能操作2.网络接入的安全防范央视315揭秘免费商用无线网络的安全：蜜罐攻击免费商用无线网络的最大威胁：无线网络蜜罐攻击

5、蜜罐攻击的步骤：步骤1: 当你连接到无线网络以后，攻击者通过使用户下线，然后通过Flood泛洪攻击使正常无线网络无法连接步骤2: 无线攻击者开放和当前无线网络相同的SSID，当你的无线终端自动重新连接无线网络时，实际已经联入攻击者的恶意无线系统步骤3: 攻击者配合其他应用的攻击软件，即可以获取用户私密信息央视315截屏可以探知无线用户终端类型以及使用的应用央视315截屏可以截获微信朋友圈分享的照片央视315截屏可以获知邮箱地址甚至密码蜜罐攻击进一步的严重后果如果你还做在线支付或者快捷支付，利用https中间人攻击，你的卡号信息以及支付信息将被窃取一般AP不支持PCI（Payment Card

6、Industry）标准一般AP追求的是信号强度一般AP难以实现既要接入用户，又要扫描相同信道和不同信道的假冒AP，这需要芯片级极强的空口调度能力一般的AP难以招架泛洪攻击Wifi厂家的遇到的挑战DOS攻击DENIAL OF SERVICE Service disruption蜜罐攻击HACKERSAPConnection to malicious AP扫描Seeking network vulnerabilitiesHACKER破解工具Sniffing and eavesdroppingHACKER在有线网络攻击无线空口攻击Ad-hoc 无线网桥Client-to-client backdoo

7、r accessHACKER非法APBackdoor network accessHACKER无线安全威胁 Top无线攻击 符合支付标准PCI2.0安全规范的思科无线网络侦测分类消除告警Log报告 归档威胁管理过程思科AP 监控无线威胁ThreatsRogue AP/ClientsAd Hoc ConnectionsCrackingReconDoSOver-the-Air Attacks思科无线网络对于蜜罐攻击三大安全防范措施阻止攻击DENIAL OF SERVICE内置无线入侵模块防止无线Flood泛洪攻击攻击工具禁止假冒互访设置安全策略不允许无线用户之间互相访问XX防止欺骗思科AP在接入用

8、户同时可以进行扫瞄发现名字相同的假冒AP，自动进行压制HACKERSAP123思科无线定位引擎可以定位恶意AP的物理位置思科ASA实现对华夏学院内网情况了如指掌操作系统主机流量应用分析主机漏洞区域分类应用流量知彼对威胁运筹帷幄 决胜千里之外 攻击目标地图定位攻击详细攻击源头攻击时间攻击轨迹5. APT防御与恶意文件轨迹跟踪2.应用识别与访问控制4.智能化入侵防御策略3.网站分类与上网行为管控Sourcefire NGIPS和ASA FirePOWER1.主机和应用的安全扫描思科ASA 平台亮点基于云的威胁智能 CSIO安全漏洞数据库恶意代码防护入侵规则信誉过滤3.高密度接入80Mhz智能频谱管

9、理消除干扰，可预见的优质覆盖信号优化漫游无缝漫游，消除粘性客户端效应性能加速改善空口利用率和信道容量智能波束成型3.0提升客户端性能和电池续航能力射频噪音抑制密集无线接入点部署的可靠信号覆盖定制化ASIC芯片分布式数据转发平面 思科基于硬件芯片的资源调度实现AP的高密度接入能力性能加速-采用定制化芯片架构的优势详解传统无线接入点设计DRAM(512Mb)CPURadio 2.4GHzRadio 5GHz定制化无线接入点设计DRAM(512MB)CPU800 MHz思科定制化芯片架构允许在主处理器CPU和无线电模块CPU之间实现分布式处理，同时实现创新的4收4发的多输入多输出无线电模块上的CPU

10、和高速内存用于分布式数据包处理并大大优化吞吐CPU 512 MHzDRAM (128MB)Radio 5GHzCPU 384 MHzDRAM (128MB)Radio 2.4GHz采用普通商用芯片架构严重依赖单一的CPU处理器思科从根本上重新装备了无线接入点的数据平面，高效的数据包调度设计大大提升了802.11ac需要的多客户端性能。Performance1x Dual-Core处理器6x Total(1x Dual-Core, 2x Radio,2x DSP)512MB内存768MBDSP思科AP其它厂商DSP高性能案例-贵阳大数据产业博览会Wifi用户使用概况从上午七点开始同时在线用户数量

11、迅速攀升到3000用户，峰值用户为3303，并持续维持在3000左右直到闭馆为止峰值用户展会前两天流量为: 900GB用户高峰期现场测速为3.7Mb/s(468KB/s)贵阳大数据产业博览会Wifi用户使用概况展会第一天展会第二天展会前到展会期间的Wifi用户迅猛增长参展人员Wifi终端分布： 苹果33%、三星16%、华为10%、小米10%11ac用户占使用比例的接近25%贵阳大数据产业博览会AP使用概况单个AP最高用户数量为262个，展厅以及峰会的多个AP同时在线用户数量超过100个或者接近100个4.射频干扰的处理2.4G频段干扰问题 由于2.4G技术本身接入控制方式为争抢方式，且频段开放

12、、频点少；因此存在先天性弊端易干扰、环境变化带来网络质量抖动。 同时目前遍布校园的移动运营商的SP WiFi，运营商的基站、师生自建的WiFi热点以及师生自己的各种2.4G传感设备等， 这些都给原来已经非常拥挤的2.4G频段更加繁忙、同时也增大了背景的噪音、在测试过程中，我们也经常发现在2.4G频段下，经常会超过80%空口的利用率。 所有这些因素都导致了校园换进内无线信号干扰严重。 问题原因及建议解决方案干扰问题应对措施和优化方案1.通过行政干预 要求 运营商2G/3G/4G室内分布系统的发射功率，控制运营商部署的SP WiFi AP的发射功率、信道配置；2. 关闭自建WiFi，要求统一规划、

13、统一部署；合理的信道及安装位置选择；排除WiFi及非WiFi干扰源；3. 无线信道控制 由于802.11b/g模式下只有三个完全隔离的信道（1、6 & 11），因此需要严格相同信道间可见性来提升网络性能；4. 优选5G频段 控制器上配置支持5G频段优选，当终端支持5.8G频段条件下，可以强制让终端迁移到5G频段；并且控制好RSSI（接收的信号强度指示接入）的阀值，对于低于阀值的终端也可以回落到2.4G频段。5.思科Radio Resource Management(RRM)技术根据射频环境，实现有效地频率和功率的自动动态调整，简化网络部署，降低同频干扰，提高网络性能 问题原因及建议解决方案思科

14、射频资源管理Radio Resource Management动态智能的射频管理简化 IT 运维之前手动射频管理现在动态射频管理思科 RRM提升信号的可预测性和性能 简化射频管理手动 信道分配手动 发射功率调整手动 覆盖漏洞侦测和消除LWAPPLWAPPLWAPP信道发射功率信号覆盖动态智能 信道分配动态智能Dynamic 发射功率调整 动态智能Dynamic 覆盖漏洞侦测和消除减少同频和邻频干扰的措施3 个非重叠的2.4 G信道，4-25个非重叠的5G信道 (根据各国法规不同)当两个相邻AP工作在同一信道的时候，会出现严重的同频干扰网络中是否存在干扰源？在哪里？影响范围多大？如何找到干扰并控

15、制干扰？方法1:频谱分析仪使用频谱分析仪分析空口频谱。由于wlan因为我们通常不知道象蓝牙、微波炉的实际的频谱图形，因此使用频谱分析仪来找干扰通常需要有专业的频谱分析技能。使用频谱分析仪需要到现场，因为体积和电源的原因十分不方便。方法2:无线频谱分析卡通过在笔记本的PC卡里无线频谱分析卡携带方便，通过频谱分析软件里内置各种无线干扰的特征，可以直观地识别出各种各样的干扰，比如蓝牙、摄像头。频谱分析卡需要使用者到现场，频谱分析仪无法定位干扰。方法3:Clean AirCisco将无线频谱分析卡做到一块专门的ASIC芯片上，然后把这块芯片放在AP里，频谱芯片和Cisco的射频算法、定位等功能结合起来

16、，这个就是Clean Air技术。Clean Air可以准确地侦测各种无线网络干扰，有四个优点，第一不用到现场,降低运维成本；第二能定位到干扰源的位置；第三能够自动消除干扰带来的影响。这个是原来通过频谱分析仪或者频谱分析卡无法做到的。第四频谱分析通过专门的ASIC芯片来进行，对接入无线用户没有任何影响。什么是 CleanAir 技术?保持良好的无线空口质量GOODPOORCH 1CH 11定位PI、MSE可视化和故障排查消除干扰Wireless LAN Controller干扰定位无线接入点完成干扰分类后实时发送到无线控制器，WCS 和 MSE 存储数据并提供干扰源的定位以及影响的范围，历史信

17、息。消除干扰无线控制根据干扰影响的信道以及影响的范围，迅速调整受影响的AP的工作信道思科CleanAir思科 CleanAir 技术能够在有无线干扰情况自动实现网络自愈, 消除干扰带来的影响.智能频谱管理Clean Air提供持续的全系统的频谱智能而不降低性能准确地识别干扰来源、干扰源位置和干扰范围采取自动行动避免当前和未来的干扰，提供全面的历史报告思科提供11ac频谱80 MHz信道的完整能见度CLEAN AIR20 MHz40 MHz80 MHz802.11ac 80 MHz SpectrumCisco Clean Air对干扰的侦测分类侦测和分类1006335979020GoodBad芯

18、片级频谱分析频谱分析精度为152K Hz，可以在30秒内快速准确识别干扰源，同时识别跟踪多个干扰源。Cisco在Clean Air技术拥有25项专利。 评估干扰影响监视无线空口质量，对于每个AP都有一个非常直观的空口质量的显示。直观评估干扰对无线网络性能的影响。思科CleanAir高分辨率的干扰检测和分类的逻辑电路内置到思科的802.11ac 频谱分析芯片设计中，30秒以内快速准确识别并定位干扰源，在有多达10个干扰同时存在时，同样可以快速准确识别。无需AP的CPU参与，对接入无线用户的性能没有任何影响影响。案例分享-贵阳大数据产业博览会无线非Wifi干扰通过思科Clean Air技术侦测和定

19、位到现场的干扰源：包括5G的干扰源，并自动快速实现网络自愈通过思科Clean Air技术侦测到2.4G的信道质量 即使在5G相对干净的频段，思科无线AP同样发现了摄像头、飞机遥控传输等干扰，快速实现网络自愈5.如何识别用户的应用并进行控制 基于用户应用的可视化管理和控制基于用户应用的流量监测及可视化管理,分析和报告目前网络中的应用情况,为整体网络管理和用户故障排查提供可靠依据.bittorrent rtp gtalk netflix skype webex有人在使用BT下载对高校里各种应用的Qos识别和控制在HTTP协议的视频流量迅雷下载 在HTTP协议的音频流量在HTTP协议的Web迅雷流量

20、 QQ思科无线控制器应用可视化技术在国内高校截图Voice 优先级白金Video优先级金FTP优先级铜普通HTTP优先级银基于应用的深层数据包检测和控制根据需要提高语音和视频的Qos，调低普通流量和P2P流量的优先级或者限定带宽6.音视频的组播传输思科VideoStream技术保证在无线网络上视频交付的效果和在有线网络上相同之前无法预留资源，视频和语音应用效果差，无线支持校园多媒体教学应用现在视频流优先，系统资源预留， 实现无线网络上的稳定可靠视频组播思科VideoStream提升系统稳定性和性能 教师视频教学校内赛事直播教师视频教学校内赛事直播College/University思科Vide

21、oStream技术：为什么如此独特？优化的端到端无线组播方案无线接入点完成组播到单播的转换经过第三方测试验证，性能高，且节省有线带宽空口资源预留防止过载视频流优先Multicast StreamUNICAST STREAMSAPWLCAPVIDEONOTAVAILABLEAPHigh Priority EventClassroom EventLive Sporting EventVideoStream的典型应用-手机课堂的智慧投影和策略控制Radius认证平台无线控制器下发用户策略：VLAN、ACL、上下行带宽、使用时间、Bonjour策略投影屏幕共享课件内容推送根据预定的策略，指定用户的VL

22、AN、上下行带宽、使用时间和Bonjour策略老师学生都可以灵活地切换投影内容，无需象传统需要连接视频线，效率提高，方便智能根据预定的策略，指定用户能访问特定教室的Apple TV或者小米盒子的资源，进行安全控制以及避免出现太多的资源列表思科特有Video Stream技术，保证多路视频组播以不同优先级可靠传输身份认证7. 802.11AC Wave2 的传输802.11ac Wave 2 划时代的无线革命多用户 MIMO (MU-MIMO)从无线hub到无线交换机其他改进：4路空间流160M频宽部署802.11ac Wave必须是端到端的更加高速和敏捷的移动性不仅仅是无线接入点和无线连接的问

23、题！更快的无线客户端更快的交换机控制平面更快的无线流量转发，更高的端口连接速度更快的无线控制器更快的无线网络(无线接入点) 连接如果为11ac Wave2 AP再多拉一根线？举例学校1,000 无线接入点升级线缆基础设施成本: $300,000!基础设施升级涉及：铺设新的线缆，包括人工费用，平均一根花费：$300汇聚问题，扩充交换机端口节省线缆铺设以及交换机端口的投资-业界唯一Cable Type1G2.5G5G10GCat5e100m100m70-100m*NACat6100m100m100mNACat6a100m100m100m100m不支持mGig，AP的有线接入网络的千兆速率难以满足即

24、将到来的11ac Wave2的要求重新铺设网线一台交换机增加为两台交换机支持mGig技术的交换机和AP不支持mGig技术的交换机和APmGig使用的线缆类型支持速率对应的可到达的距离如果支持mGig，吞吐量提升不需要重新铺设网线不需要增加交换机C4500E mGig Line cardCatalyst 3850/3650 mGig思科mGig技术节省802.11wave2 AP布线成本4500E 多千兆以太网交换线卡C3850 多千兆以太网交换机紧凑型多千兆以太网交换机3650CX 一根线缆连接第二代 802.11ac 无线接入点速率自适应 (FE, 1G, 2.5G, 5G, and 10G

25、) 基础设施投资保护支持 100m 距离内 Cat5e 线缆连接达到 5G 速度支持 Cat6a 线缆实现更高连接速度POE/POE+/UPOE 思科在802.3标准上的再创新，支持更高的供电需求标准兼容兼容 1G 和 10G Base-T IEEE 802.3 修正案，并支持其他折中速度8. 基于无线网络的校园创新服务领导和老师的远程办公：虚拟办公室Radius认证平台学校网络身份认证连接学校SSID，802.1x认证连接个人SSID，共享密钥认证互联网加密隧道PoE思科提供专用的虚拟办公室AP（Office Extend AP）。领导和老师远程办公可以在家里使用学校相同的SSID。AP通过

26、加密CAPWAP隧道连接回校园网络的控制器，广播校园内的无线SSID。AP带5个以太网口，连接回校园网络，其中一个为PoE接口,可以带一门IP话机，使用学校分机号思科无线网络具有多种辅助漫游技术，帮助快速实现AP间的两层和三层漫游通知符合思科CCX标准的终端无线终端相邻AP的信号强度，辅助无线终端进行切换。通过思科CCKM技术，对802.1x的终端进行快速密钥更换，减少终端在AP切换后的密钥的更新时间。通知符合802.11k的终端无线终端相邻AP的信号强度，辅助无线终端进行切换。802.11k是在思科CCX基础上进行制定规范。对支持802.11r标准的802.1x的终端进行快速密钥更换，减少终

27、端在AP切换后的密钥的更新时间。802.11r是在思科CCKM基础上制定的密钥更新标准对于粘性客户端，思科无线网络支持优化漫游技术，通过网络侧实现无线客户端的AP间漫游，连接就近的AP，满足用户体验校园无缝漫游Wifi空口资源为高校私有资源每个AP可以开放多个虚拟AP，根据需求提供多个SSID资源租赁给各个运营商，提高收入或者换取出口带宽资源根据策略分配各个SSID的空口带宽比例，并且可以根据不同区域的AP进行灵活设置思科AP具备在接入用户时候除了发现用户以外，还可以对非法AP以及无线干扰的物理位置进行定位思科AP具备在接入用户时候对其他非法SSID进行压制的能力可以租赁给运营商的SSID资源

28、高校自己的SSID 流量比例 80%SSID ： CMCC流量比例 10%SSID ： ChinaNet流量比例 5%SSID ： ChiinaUnicom流量比例 5%通过Wifi采集手机信号强度，结合思科移动服务引擎MSE进行三点定位为新生以及学生家长提供校园导航查询食堂就餐人数，方便学生选择时段就餐查询自习教室人数，便于学生选择自习教室思科移动互联体验ConnectedMobileExperience思科无线网络的远程服务保障思科AP可以根据需要转化为无线客户端根据可设定的SSID、2.4G模式、5G模式、双频模式接入现有无线网络设定协议进行测试，包括http、dns、telnet等协议

29、进行测试出具直观的各个协议的测试报告思科AP根据需要可以抓取空口无线报文，分析无线故障通过移动终端APP对学校网络实时管理运维配置监视故障排除空口配置无线控制器预配置SSID访客门户实时网络概览监视多个无线控制器客户端和无线接入点性能搜索客户端和无线接入点详细了解设备/性能细节定位无线接入点同时支持苹果和安卓系统9. 提升校园的无线访问体验校园网络的可靠性思科无线控制器A控制器同步AP状态配置用户状态思科无线控制器HAAP状态配置用户状态思科无线控制器HA的状态化同步技术，包括AP状态、配置状态以及用户状态保证无线网络的高可靠性，有效避免上百上千个AP在主用控制器发生故障时重新注册，成千上万个

30、无线客户端掉线重新认证的问题！网络出口问题？应用问题？服务器问题？用户终端问题？63网络太慢，我不能进行任何工作！我看不到网络有任何问题用户网管人员用户网管人员究竟是什么问题ping?show ip route?traceroute?show interface?当用户抱怨网络应用有问题时？！ 基于用户应用的可视化管理和控制基于用户应用的流量监测及可视化管理,分析和报告目前网络中的应用情况,为整体网络管理和用户故障排查提供可靠依据.bittorrent rtp gtalk netflix skype webex有人在使用BT下载对高校里各种应用的Qos识别和控制在HTTP协议的视频流量迅雷下载

31、 在HTTP协议的音频流量在HTTP协议的Web迅雷流量 QQ思科无线控制器应用可视化技术在国内高校截图Voice 优先级白金Video优先级金FTP优先级铜普通HTTP优先级银基于应用的深层数据包检测和控制根据需要提高语音和视频的Qos，调低普通流量和P2P流量的优先级或者限定带宽Cisco iWanPrivateCloudHybridCloudHeadQuartersBranchInternetIWAN(智能广域网)AVC,DMVPN应用加速（Apple/视频）虚拟路由器（AWS）有线网络IAmGig/POE+/UPOEConverge Access无线网络HDX/CMX802.11ac

32、wave 2管理/SDNPI 3.0APIC-EMCisco iWan ExperienceiWan Connect Apple IOS Update10. 产品质量适合学校部署的AP需要可靠设计防尘、防潮、阻燃、便于病区消毒，防电磁干扰，增加设备稳定性及使用寿命密封设计的思科APAP内部容易进入灰尘、防潮效果差、容易造成静电损害；天线设计存在瑕疵，裸露焊点及接头容易造成芯片短路或被破坏，降低了设备稳定性及使用寿命散热孔设计的传统AP无线接入点可使用Kensington 锁进行安全保护，或者在支架上采用普通挂锁进行安全保护符合UL 2043，天花板阻燃等级，可选择用于天花板上方安装或吊顶悬挂思

33、科AP适合各种环境工作燃烧后仍然工作的思科AP对思科无线设备的测试和考验！部分最新思科智慧无线校园案例自从Gartner开始无线网络魔力象限评估以来，思科无线网络一直在领导者象限第一位。思科无线的市场份额一直在58-60%左右，超过所有竞争者总和思科在标准制定以及率先推出的产品和技术思科一直是无线网络的领导者Cisco Wi-Fi Leadership自我保护 - CleanAirAutonomous Access PointController Coordinated Access Points with RRM1,2, and 3 Spatial Stream 802.11n with CleanAirUnified Policy and Network ManagementStatefu