青岛啤酒cns解决方案-无线byod

1、目录第一章 引言3无线/有线网络的融合3BYOD 实施提高效率减低成本4第二章 现状需求分析62.1 BYOD 时代无线用户的识别问题62.2 手工管理IP 和复杂度高6现象62.3 IP 地址和2.4 IP 地址回收问题72.5 缺乏全面的IP 地址审计分析72.6 无线访客IP控制72.7 故障终端节点的快速排查和定位82.8 预防私设DHCP 和 ARP. 8交换机配置巡检与备份8IPV6 地址分配技术迁移8第三章 系统简介103.1 BYOD 与IP 地址管理自动化103.2 网络服务自动化的建设内容11第四章 系统功能12产品架构12管理功能12提供DHCP 服务13IPV6 支持1

2、3IP 地址管理审计功能13自动化配置开通功能14IP 地址调和功能144.8 网络边界准入和访客控制15第五章 系统部署准备工作16系统部署准备工作16系统割接配置17系统割接步骤18第一章引言1.1 无线/有线网络的融合随着经济的发展和科技的进步，笔记本、平板电脑以及智能等大量新形态的网络终端普及加速，在用户上网体验的同时，也产生了企业网络设备种类繁多，且难以管控。企业网络也逐渐从原有的有线为主转向了有线和无线并重的格局。这样不仅使得网络管理员工作量激增，同时也为企业网络带来了安全隐患。双网并行使得网络管理难度陡增由于有线网络和无线网络的属性所限，企业一般对于两种网络都是采用分别部署，区别

3、管理的方式。但这样的传统方式对于网络运营管理来说，往往意味着巨大的资源浪费。所以现在的企业管理者，无论是新建无线网络覆盖还是对旧有网络环境的升级改造，在顶层规划之初，都已经开始考虑双网融合，以便增加部署的便捷性以及后期的管理效率。随着平板电脑，智能等移动互联网终端的快速普及，对企业网络覆盖的要求越来越高。企业必须部署的 IP 地址才能满足这种日益增长的需求。但是 IP 地址的增加，带来的最直接问题就是管理复杂程度的上升。除了网络设计以络互通配置也需要占用大量的资源，而这些对于员来说，压力之大可见一斑。实际上，传统的有线网络管理的方法和技术只要通过使用无线网络特殊工具和技术，转移实施到无线网络上

4、也并非不可能，而网络的平滑性、可靠性和安全性也并不会受到影响。粗放式管理难以应对新需求在移动互联网兴起之前，网络用户和上网设备的数量相对固定。比如公司，员工上网多以台式机为主，即便在外使用公司内网，也是通过等有迹可循的方式登陆。在那时，粗放式管理尚可应付。但在移动互联网设备大行其道的当下，无线网络覆盖日益广泛。莫说公司员工，甚至访客都有可能通过接入公司网络。传统的粗放式管理的弊端也就显露无遗。在这种情况下，网络管理员如果不能对上网设备和用户实现精细化管理的话，那么隐患必将如影随形。除此之外，近些年来随着 BYOD 理念的盛行，很多员工开始抛弃笨重的台式机，转而采用自带设备进行办公，企业也开始支

5、持除 Windows 之外的 Android、iOS 等多使用。这一方面了员工的工作效率，但也使得企业网络不得不进一步向无线化方向迈进。针对上述趋势，有些企业则陷入了两难的尴尬境地。因为多设备，多的接入会使企业无法对接入权限进行无盲区控制。不能控制就不能随意接入网络，而这又造成了无法实现 BYOD 管理。自然由此带来的工作效率也就无从谈起了。实际上，在最初 IP 地址刚刚发展起来的时候，就曾经有人提出过其存在。由于其不能进行全景式预览，也不能对问题进行预知，再加上缺乏快速定位等问题。网络管理员只能逐一进行排查，这样的方法费时费力，运营效率无法尚在其次。在分秒必争的网络时代，由于延误时间造成损失

6、的例子屡见不鲜，企业管理者不得不引以为鉴。1.2 BYOD 实施提高效率减低成本联网设备的快速增长对全球各地的企业均产生了重要影响。然而，要充分利用这一趋势的价值，关键在于摆脱联网设备数量的困扰，深入发掘联接本身的价值。联接定义为、流程、数据和事物的交互，他们融合在一起，形成了“万物互联”（IoE）。要充分利用“万物互联”的潜在价值，企业需要建立包容性的商业环境，以促进创新、提高效率。支持员工自带设备办公，建立灵活的工作环境，是这一解决方案的一个重要组成部分。，随着员工越来越多地要求使用他们偏好的设备、应用程序和云服务，“自带设备”（BYOD）已成为一个快速增长的全球性现象。BYOD 可带来出

7、色的优势，如更好地平衡工作与生活、更出色的创新、以及更高的效率等。然而，一些人担心管理如此多的不同个人设备会带来安全风险和复杂性，结果可能得不偿失。企业如今都通过 BYOD 获得了可观的收益：1、BYOD 员工全球每周平均增加 37 分钟的有效办公时间。然而，实施实践因国家而异，所获得的优势也不尽相同。2、节省的时间在最高，为每周 81 分钟，而在德国最低，每周仅 4 分钟，德国对 BYOD 的质疑也更强烈。3、平均而言，当前各企业的 BYOD 实施均处于中等水平（称为“基础 BYOD”）。在这一水平下，每年每名移动员工可创造 350的价值。4、BYOD 员工平均拥有 1.7公设备，所支出的费

8、用达 965，其中智能是首要选择。不仅衡量了当前BYOD 实践的有效性和成熟度，同时也关注了理想的 BYOD 实施可带来的价值（我们将其称为“全面 BYOD”），以评估更具性的方 法能否带来更出色的优势。发现，很少有公司能够达到所说的全面水平。资料来源：思科IBSG，2013 年无论起始水平如何，发现通过从基础 BYOD 向全面 BYOD 迈进，企业均可收获更出色的价值：1、在基础 BYOD 环境中，BYOD 收益快速攀升，每名移动员工每年可创造 1,650的价值。2、的公司已经获得了很多优势。在处于基础 BYOD 时，每名移动员工每年可创造 950的价值；当发展到全面 BYOD 时，每年将能

9、够创造 3,150的价值。3、除了能够促进员工主导的创新之外，全面BYOD 还能够增进移动员工的协作，由此推动实现 17%的效率。4、除了效率之外，全面 BYOD 在硬成本节省方面也同样成绩斐然，仅此一项便可抵消实施成本，这主要体现在硬件、支持方面。要充分发挥BYOD 的全部潜力，公司需要建立出色的 BYOD 能力，并制定强大的移动政策，为员工提供广泛选择和全力支持。如果处理得当，BYOD 将可使企业和员工实现双赢。第二章现状需求分析无线网用户的不断增长以及移动办公需求的增加，如果仍然采用静态地址分配的方法进行 IP 管理，不仅使网络管理的工作量极大地增加，同时由于一些用户记不清自己的 IP

10、地址，在重新安装系统后乱用IP 地址，造成 IP 地址或无法正常上网，影响无线网用户的正常使用。2.1 BYOD 时代无线用户的识别问题最近的一项行业表明，将近 75%的员工已经使用自有设备（BYOD：自携带设备）与工作相关的数据。加上无线网络的蓬勃发展， 企业不得不用户如何细分，访客如何管理的具体问题，保证公司网络带宽的高效使用、员工生产效率的提高与减小数据泄漏的风险。用户管理的终极目标就是做到对用户进行“Who r U（你是谁）”的查看与确定，由此而达到管理的透明与可视化。可视化意味着可灵活配置实施安全策略、应用控制；实现安全畅游的无线网络。2.2 手工管理 IP 和复杂度高手动要对每台计

11、算机进行唯一的 IP 地址、网关、子网掩码、DNS等参数进行设置。在这种方式下，不仅要求计算机使用者要有一定的网络知识，而且要求上述这些网络参数不能被错误配置。如果参数配置错误，那么就有可能使此计算机无法接入网络。2.3 IP 地址和现象在静态 IP 分配方式下，部分员工乱改 IP 地址或盗用 IP 地址，从而很容易导致多台计算机使用相同 IP地址，使得互相的几台计算机都无法正常地使用网络。再者，网络通过IP 地址和 MAC 地址实现 ARP进行 ARP，造成网络。虽然可以通过MAC 与 IP 绑定来解决 IP 地址问题同时也能一定程度上解决计算机定位问题，但这将极大地增加网络管理和的工作量。

12、通过目前的管理方式，网络中会经常有 IP 地址盗用和的情况，给用户正常使用网络带来很大影响，而将 IP 地址与 MAC 地址对应绑定到相应交换与路由设备上可以在一定程度上解决这个问题，目前普遍的做法是要求用户申报计算机的MAC 地址，然后手工将这些 IP 与MAC 地址绑定到设备上去，这种方式带来了几个问题：（a）当需绑定的 IP 地址数目较大时，工作量非常巨大，同时也影响接入设备的性能（b）当 IP 与 MAC 的对应信息发生变化时，必须再次手工更新原来的绑定信息，操作上很不灵活（c）绑定操作需要专业的技术完成，导致工作量集中在个别身上2.4 IP 地址回收问题显而易见，全手工管理 IP 地

13、址的方式，会出现 IP 地址的回收问题。外部频繁，如果不及时通知相关进行地址回收，必然会出现 IP 地址不回收而新增节点无 IP 可用的尴尬境况，使得有限的网络资源不能得到合理配置利用。2.5 缺乏全面的 IP 地址审计分析如果网络的检测系统（NIDS）、SOC 或上网行为审计系统在过去的某段时间，有主机蠕虫、或在网上违法、或有泄密嫌疑，是否能够根据信息中所关联的 IP 地址或（IP+MAC）地址及时追踪及定位到涉案主机？如果信息中关联的 IP 地址是临时修改，是否能够还原事发时段该 IP 地址所对应真实的 MAC 地址？如果有人“克隆”（即同时冒用 IP 和MAC 地址）别人进行蓄意“栽赃”

14、，是否能够区分及最终定位到背后的“克隆”者？事件追溯的一个主要特点就是时间性，过去某时间点的某 IP 地址的使用者跟现在的 IP 地址的使用者，可能是同一终端也可能不是，即使是同一台终端由于缺乏相应的审计依据也难进行确认，再加上 IP 地址和MAC 地址的易修改性，因此没有其他辅助如认证，是很难进行准确有效定位的，这里所说的准确和有效主要是指在抗抵赖方面。事实上，除采用认证外，还有一种简单有效的方法，可让事件关联的 IP 和 MAC 能够发挥追踪定位作用，那就是对 IP 进行全程的审计。2.6 无线访客 IP控制要保证无线访客接入的安全性以及完整性，就必须实现网络的访客接入控制，对接入网络的访

15、客进行认证，防止非用户接入办公网。目前网络内通过在交换机上绑定 IP-MAC 地址的对应来进行控制，采用表格的方式，无法实时的同步信息，IP接入管理繁琐。2.7 故障终端节点的快速排查和定位现在内网交换机与网络设备繁多，手工登记交换机端口信息报表的工作繁琐，一旦网络设备位置变更无法实时获取信息，详细、实时的交换机端口信息报表可帮助员快速排除网络故障。2.8 预防私设DHCP 和 ARP企业网经常有/私接路由器的现象发生，如果私接设备没有停掉 DHCP 服务，将会引起 IP 地址分配不正常，导致地址，甚至会引起网络瘫痪。ARP的原理就在于不断广播lP 和 MAC 地址，以达到网络阻塞或窃密的目的

16、。2.9 交换机配置巡检与备份交换机配置的备份是交换机日常工作的一项重要内容，当交换机停止正常运行时，能够利用这些备份文件迅速恢复交换机配置。如果没有做好交换机配置的备份，一旦交换机出了故障导致配置文件丢失的情况出现，恢复工作将很繁重, 而且容易出错。目前，对于交换机/路由器的巡检和配置备份均采用手动备份的方式，工作非常繁琐，多个管理在不同时间备份的配置文件很难做到同步和管理。2.10 IPv6 地址分配技术迁移为了彻底解决 IPv4 存在，国际互联网工程任务组从 1995 年开始，着手研究开发下一代 IP 协议，即 IPv6。可彻底解决 IPv4 地址，除此之外，IPv6 还采用分级地址模式

17、、高效 IP 包头、主机地址自动配置、服务质量、内置认证和加密等许多新技术。具有单一网络适配器的 IPv4 主机通只分配一个 IPv4地址。在 IPv6 网络中，一个接口可以有多个 IPv6 单播地址。全局单播地址（Globaique IPv6 Addresses，GUA）单播局部地址（Unique Local IPv6 Addresses，ULA）IPv4 地址全部长度 32 位(bit)，每 8 位为一个字节，用十进制表示值从 0 到 255，共四段IPv6 地址FE80:85A4:D1B1:D1B8:DCB1:4545:3326:3134IPv4 地址88IPv6 地址全部长度 128

18、位(bit)，每 16 位为一个双字节，用四位 16 进制数字组成，共八段因此，如何分配和管理 IPv6 地址就成为一个重要问题。使用 IPv6 时，网络管理员可以在无状态地址自动配置机制和有状态地址分配 DHCPv6 之间进行选择。无状态地址自动配置方式，网络接口接收路由器的全局地址前缀，再结合接口 ID 得到一个可全局单播地址，这种模式可以实现网络设备的即插即用连接性，但是在可管理性、安全方面存在一定问题。有状态地址自动配置的方式，采用动态主机配置协议（DHCPv6），网络接口通过客户机/服务器模式从DHCPv6 服务器处得到地址配置信息。DHCPv6 可以让网络管理员知道哪些设备连接到网

19、络上，以及它们的IP 地址等相关信息，便于 IPv6 地址的审计和开通配置。第三章系统简介No IP、No Network、No Business。IP 地址是计算机网络能够保持高效运行的关键。如果 IP 地管理不当，网络很容易出现 IP 地址，影响网络正常业务的开展。即使网络管理员知道有人设置了错误的 IP 地址，也无法定位使用IP 的终端设备；同时网络管理员通过对 IP 地址的确认，保证接入网络系统的设备都是合法，防止因为设备的接入而造成企业运营的损耗。为防止类似的事情发生，在无线网的 IP 地址分配上采用了动态主机配置协议（Dynamic HostConfiguration Protoc

20、ol，DHCP），DHCP 可自动将 IP 地址、掩码、网关、DNS 分配给用户。随着无线网的扩大以及移动办公的要求逐步增加，无线网若纯粹采取静态 IP 地址，将会加重的负担，的网络故障也多。DHCP 服务作为一项简化网络配置的有效措施，在信息化网络、宽带网、无线网中都有广泛的应用。通过应用 DHCP 动态分配 IP 地址，为对网络进行管理以及故障排查等提供方便，有效地促进了网络环境的稳定和网络状况健康发展。3.1 BYOD 与 IP 地址管理自动化据业内观察，近十年来多数企业的状况，是 IP 的使用量大致等于公司员工人数，因此采用 Excel或一般表格来进行追查与管理还算可行。如今随着 BY

21、OD 的模式逐渐为企业所接受，公司员工携带的移动设备皆必须提供可连网服务，如此之下，一名员工可能同时在使用 IP 语音（VoIP）、智慧型、笔记型电脑等设备，每网设备都需要配置一个 IP 地址。假设仍沿用以往管理 IP 模式，每当有新地址和新网络被分配或修改时，IT 管理者以手动，实务上就已经常发生资料无法及时更新，或人工输入错误等状况，更何况是 IP 配置数量超过以往 2 至 3 倍的 BYOD 时代，这种效率低与容易出错的管理模式，便显得左支右绌。现在几乎所有的设备都是透过 DHCP 动态取得 IP 地址，由此产生的动态定址需求，会使得 Excel 表格，或是自行开发可用于IP 使用状况的

22、软体失去效益。主要是因为其无法与 DHCP 直接整合，动态地追查IP 地址与相关资讯（例如 MAC 地址、设备名称等），IT 管理者不仅需要对照试算表软体来追查 IP 网络配置，同时必须在 DHCP 伺服器上再次查找动态 IP 资讯与其 MAC 地址等信息。这种缺乏管理的机制，将进一步增加管理者的负担，并且无法提供管理者整个网络 IP 分配状况的全貌。3.2 网络服务自动化的建设内容新一代网络服务自动化开通（简称 CNS-APP）能自动、有效地管理网络的 IP/MAC 资源，实时提供更新数据，控制未IP/MAC 地址网络，从而提高网络的安全性。IP 地址管理审计系统可以进行 IP/MAC 地址

23、的分配和自动化开通，实现集中式、有效的 IP 地址管理审计，同时支持 IPv4/IPv6 地址协议。通过 IP 开通自动化来控制操作成本；提供实时、准确的交换机端口和IP/MAC 的对应信息，协助 IT对故障 IP 地址进行快速定位；实时IP/MAC 地址的变更，及时对废弃的 IP 地址进行回收和再利用，优化网络资源的使用率。动态主机配置协议（DHCPv4）是一种使网络管理员能够集中管理和自动分配 IP 网络地址的通信协议。在 IP 网络中，每个连接ernet 的设备都需要分配唯一的 IP 地址。DHCPv4 使网络管理员能从中心结点监控和分配 IP 地址。当某台计算机移到网络中的其它位置时，

24、能自动收到新的 IP 地址。动态主机配置协议（DHCPv6）向 IPv6 主机提供有状态的地址配置或无状态的配置设置。IPv6 主机可以使用多种方法来配址：无状态地址自动配置，用于对本地地址和其他非本地地址两者进行配置，方法是与相邻路由器交换路由器请求和路由器公告消息。有状态地址自动配置，通过使用 DHCPv6的配置协议，用来配置非本地地址。IP 地址调和功能支持对 IP-MAC-PORT 进行三重绑定核查，并可以查看三者之间绑定的关 系，如 IP 地址和 MAC 的关系，MAC 地址与交换机端口的关系。通过基准表，将实时获取的实时 IP-MAC-PORT 信息用来与基准表进行对比，对比分析

25、的差异会触发差异处理方案。对网络环境中出现的 IP 变更、IP 回收、新增终端及终端 IP/MAC 变更等异常进行告警。不仅帮助网络管理员正常管理网络环 境，还从一定程度上保护了网络资源，保障 IP 地址有效利用，极大地提高了网络管理的工作效率。DHCP识别功能为公司网络建立设备政策是成功实施并确保 BYOD 项目安全的重要元素。凭借DHCP技术，网络管理员可以查看他们网络中所有的 DHCP 互联设备的类型信息例如 iOS 或 Android设备、Xbox，或 Linksys 路由器，然后他们可以基于这些设备类型采取措施或制定政策。例如，可以通过某些类型的设备获取 DHCP 租约来安全性-有效

26、防止这些设备接入网络。无线访客 IP控制可以提供对未IP/MAC 地址提供二次的机制，解决非IP 接入，私设路由交换等的安全隐患。同时可以将接入客户，按安全级别分为以下几类；客户（分配固定IP 地址）、客户（分配动态 IP 地址）、临时客户、未客户。第四章 系统功能新一代网络服务自动化开通（简称 CNS-APP）采用旁路部署模式，不需要改变用户的网络结构。它适用所有的交换机环境（可管理/普通交换机），可在不安装任何客户端前提下完成如下功能：4.1 产品架构采用硬件，不能采用传统的服务器+通用操作系统+DHCP的形式采用的内置的、不需的数据库，保证数据的有效性采用的、经过加固的操作系统设备要集成

27、DHCP、IP地址管理功能、IP地址调和功能，支持双栈管理联动交换机的DHCP SNOO和DAI功能，可以预防IP地址、ARP接口要求：提供四或五个100 /1000Mbps电口4.2 管理功能用户界面支持中文，并具有纠错功能支持系统的升级功能支持将数据方便的导出支持将数据库内容方便的备份支持将设备的日志文件方便的导出设备必须支持SNMPv1、v2c、v3设备必须支持Web管理设备支持 net或ssh4.3 提供 DHCP 服务RFCs支持： RFC2131、RFC2132、RFC2241、RFC2242、RFC2485、RFC2610、RFC2937、RFC3361、RFC3397、RFC3

28、442、RFC958、RFC1157、RFC3942、RFC3315、RFC3319、RFC3646、RFC3898、RFC4075、RFC4242、RFC4280、RFC4291、RFC4704CIDR（无类域间路由）支持基于IP/MAC地址的静态绑定（IP保留地址分配）实现地址的动态分配和回收支持业界标准的DHCP Failover支持DHCP Option 60/Option 82支持DHCP系统（Fingrs）高级DHCP选项编辑器，支持厂商自定义Option支持所有ISC预定义的 DHCP option 空间（如Option 1 到Option 125）和客户化的DHCP Optio

29、n空间（如Option 126 到Option 254）4.4 IPv6 支持支持创建/64到/128网络支持创建DHCPv6地址分配池支持允许启用前缀功能支持DHCPv6保留地址分配，支持DUID绑定支持DHCPv6客户端参数设定支持无状态地址信息刷新时间设定支持DHCPv6有状态地址分配4.5 IP 地址管理审计功能支持IPv4、IPv6双栈地址管理数据集中的IP管理控制台支持交换机自定义配置功能，实现与交换机之间自动和交互式任务进行通信，提供快速开通配置交换机等功能支持对IP地址进行逻辑分组管理实时显示分配地址的状态和续租信息实名制地址分配、回收和历史数据的审计分析确保数据完整性（没有数

30、据丢失、损毁或延迟）系统必须DHCP地址分配的数据，并能够方便地查找定位支持数据完整性检查，数据核查机制可以在系统部署前进行数据检查，提前发现系统配置的问题生成DHCP的IP地址时不占用空间，只有确认分配时才占用数据库支持MAC地址黑白，可以只对已MAC的设备分配IP地址。向MAC动态列表内临时添加新的，不需要重启DHCPv4服务进程支持动态解除已临时的MAC地址4.6 自动化配置开通功能支持创建网络接入设备支持创建Expect自动化配置支持计划任务定制支持显示运行结果支持运行结果4.7 IP 地址调和功能系统允许定义地址核查策略，用于定期比较物理网络和本系统内的地址变更支持待清除核查状态，此

31、状态表明此IP地址长时间没有被使用支持未知IP核查状态，此状态表明此IP由于没有被在系统中，如接入、手动私设地址等支持不匹配IP地址核查状态，此状态表明此IP地址所对应的MAC地址信息修改或随意更换了连接端口，如地址、移动办公等支持设备端口/MAC扫描，自动发现IP设备和交换机端口的对应关系，自动发现和显示VLAN信息，显示交换机端口的详细信息，包括端口速率，端口状态，端口信息描述等信息支持物理子网建模功能，支持显示路由设备的物理子网信息。同时也允许导入物理子网信息和本子网内的IP/MAC地址4.8 网络边界准入和访客控制访客临时分配IP地址访客使用期限设定以MAC基准为基准限定分配IP手动解

32、除已地址定期解除已地址实名制访客地址审计第五章系统部署准备工作为了确保系统部署切换过程顺利并达到平滑切换的目的，需要做好充分的准备工作。经过反复、确认，最终确定在系统切换前完成以下准备工作：5.1 系统部署准备工作1）备份设备配置对设备进行三种形式的配置备份，一是通过命令行抓取当前的配置、vlan、接口、版本、文件等信息；二是通过ftp 或tftp 方式将设备配置文件保存到文件服务器上；三是将设备的 flash 存储中的配置文件重命名后，并再次保存当前配置。这样，通过三种方式备份好设备配置后，可以在出现意外情况时尽快恢复设备至最近的正常状态。2）备份设备操作系统文件将设备 flash中的文件备份到ftp 或 tftp 服务器上，万一出现由于 flash 损坏造成操作系统文件丢失的情况，可以重新引导启动设备。3）确定 CNS-APP 部署方式及业务地址本次CNS-APP 产品以旁路挂接的方式接入网络，但应与普通用户网段，如新建本地 vlan或在管理vlan。4）CNS-APP 预配置在系统切换前，根据规划设计对CNS-APP 进行初始化配置，包括网络信息、业务地址、路由设置等；根据用户当前的、IP 地址、MAC 地址的关联信息对 CNS-APP 配址池以及分配规则。这样可以大大缩短切换过程所需的时间。5）交换机配置根据前期的调研信息，综合设备属性、用户需求、C