下载文档原格式
H3C VS CISCO、ARUBA AC安全管理帧加密技术仅在使用无线802.1X认证时才能使用STA同AP在收发用户数据前经过三个阶段：发现、认证和关联，其中的第二个阶段同通常的数据通信方面的认证不同，指的的是802.11的认证，不是PPPoE\802.1x\Portal 认证中的任何一种。
WLAN通信的过程管理帧加密指的是第三步关联和和第四步去连接的802.11报文也进行加密处理，这样可以避免两种情况：1、非法的AP欺骗正常的用户；2、非法的用户攻击正常的AP。
这些攻击和欺骗的手段有：断开连接、钓鱼；管理帧实现加密的基础是认证必须采用无线WLAN的802.1x认证，之所以强调无线是因为有线交换机也有802.1x认证，两者之间的差别在于，无线802.1x认证通过后会从后台AAA服务器上获得一个加密密钥，使用这个密钥对管理帧进行加密。
从以上的分析可以看出，管理帧加密仅仅当使用无线802.1x进行用户的管理认证才能使用，但通常我们使用的都是Portal认证，使用Portal认证的原因是：1、不需要安装客户端；2、无线不需要复杂的设置，便于开展业务；只有H3C的分布式安全才能满足用户业务的需求目前Cisco和Aruba的AC都自带无线安全，通过组件报价的方式进行报价（商务不比我们单独插安全的插卡低）。
这种方式的优点是不需要单独购买硬件，通过软件升级就可以开通无线安全。
但这种方式的缺点也非常的明显：Cisco和Aruba安全系统架构如上图所示，这种实际上是CPU+引擎的方式，中间通过总线方式连接，由于所有的报文都需要通过引擎处理完成后交给CPU，因此开通安全的功能后，AC对AP的管理功能同安全功能相互影响，整个AC的性能会急剧下降，如果没有开启安全功能时能够管理300个AP，开启后，可能只能管理200个AP；后续需要扩容时，仍然需要重新购买硬件；受CPU性能的影响，功能相对比较简单，不可能实现复杂的功能；针对上述的缺陷，H3C公司采用插卡方式提供安全解决方案，通过背板高速无缘总线，实现安全功能，无线AC对AP的管理不受安全插卡的影响，需要扩容时，可以通过增加插卡的方式，功能通过组合可以实现很强的性能；H3C插卡方式安全解决方案。
Aruba无线网络优化解决方案v1背景现代企业对于无线网络的需求日益增长，需要支持大规模设备连接、高速传输以及安全性等要求。
然而，不同环境下的无线网络性能存在差异，存在诸多问题需要解决和优化。
问题描述在当前无线网络环境中，存在以下问题：1. 信号覆盖不均匀，部分区域存在信号弱或死区现象；2. 网络拥塞导致传输速率下降；3. 系统稳定性差，存在频繁断连或丢包的情况；4. 安全性薄弱，存在潜在的网络攻击风险。
解决方案针对以上问题，我们提出以下优化解决方案：1. 信号覆盖优化为了改善信号覆盖不均匀的问题，我们建议采取以下措施：- 定位信号弱或死区区域，通过增加或调整AP（接入点）的位置和数量，以提高信号覆盖范围；- 使用无线信号增强器或中继器，以进一步加强信号传输质量。
2. 网络拥塞优化为了解决网络拥塞导致传输速率下降的问题，我们建议采取以下措施：- 对网络流量进行监测和分析，及时识别拥塞点；- 增加带宽，提高网络传输能力；- 使用流量控制技术，对网络流量进行调整和优化。
3. 系统稳定性优化为了改善系统的稳定性，消除频繁断连或丢包的情况，我们建议采取以下措施：- 升级或优化无线设备的软件和固件版本，修复已知的稳定性问题；- 检查硬件设备的运行状态和配置，确保其正常工作；- 进行定期的网络维护和故障排除，及时修复问题。
4. 安全性优化为了提升网络的安全性，防范潜在的网络攻击风险，我们建议采取以下措施：- 启用WPA2-PSK（Wi-Fi Protected Access 2 - Pre-Shared Key）等安全认证机制，加密网络数据传输；- 使用防火墙、入侵检测系统等安全设备，监控和阻止潜在的攻击；- 定期更新无线设备的安全补丁，修复已知的安全漏洞。
结论通过以上的优化解决方案，我们可以改善Aruba无线网络环境中存在的问题，提升网络性能和安全性。
同时，我们建议定期对网络进行监测和维护，以及根据实际情况进行优化调整，保持无线网络的高效运行。
Aruba无线网络优势分析一、基于用户身份的策略控制:Aruba 移动网络解决方案在安全性上的独特优势在于在单一操作平台之上集成了经过国际计算机安全联盟ICSA 认证的基于用户身份角色的状态防火墙和用户策略管理功能。
能够针对每个用户创建独特的角色并实现基于用户身份角色的网络安全策略控制、带宽管理、QoS等功能。
该功能还支持将违反策略的客户端列入黑名单,从而终止他们的会话并拒绝他们进一步连接网络。
Aruba 的以用户为中心的网络覆盖在任何现有网络之上,并能与现有的任何目录结构集成。
相比之下,其它竞争对手只能通过在有线网络核心集成防火墙、带宽管理设备等其它网络部件来解决安全性、带宽管理、QoS等问题。
而这种传统的网络集成式解决方案只能基于网络层信息来实现,对用户身份信息完全一无所知。
而且只有当用户流量流经该设备时才有效,无法真正实现基于用户的控制。
二、经过实践验证的稳定可靠性:Aruba无线网络解决方案提供成熟、强大的智能RF射频管理能力。
通过无线控制器的集中管理和协调,Aruba AP可以实时监控无线网络运行环境,并根据无线环境的变化动态调整工作信道及发射功率。
从而自动避免因无线信号干扰而造成的网络质量或稳定性问题,以及动态补偿因个别AP失效导致的覆盖盲区,提供稳定可靠的无缝无线覆盖。
而且在大型场馆覆盖等环境中,Aruba无线解决方案支持基于AP 负载或用户数量的负载均衡,进一步提高无线网络的稳定可靠性。
而其它竞争对手虽然也相继宣称支持类似于Aruba解决方案的动态调整AP工作信道及发射功率,以及AP负载均衡等功能。
但是在无线专业技术和经验积累上的巨大差距,使得他们的解决方案在现场实际应用环境中完全达不到其所宣称的效果。
大量的国际国内用户在经过真正的实地测试和现网应用之后,无一例外地认可Aruba无线网络具备最优异的稳定可靠性。
除了提供具有高度稳定可靠性的无线覆盖,Aruba也为用户提供业界最优的无线控制器冗余备份解决方案。
无线产品的竞争分析国内的企业网中常见的无线厂商:H3C 华为CISCO Aruba 锐捷飞鱼星TPLINK 等等无线AP竞争分析1：室外型AP:(室外空旷、符合工业66标准)华为CISCO Aruba 锐捷在室外主要是双频AP,H3C 有单频室外AP,同时还有室外无线网桥。
比较有优势。
因此我们可以主推室外单频和室外网桥。
2：室分型AP：主要用于运营商，应用于室内比较复杂的场景，同时可以与运营商的2g 3g 进行合路。
H3C 在室分型AP既有大功率室分单频AP,还有大功率室分双频AP, 华为、锐捷、Aruba 只有大功率室分双频AP, 没有大功率室分单频AP.我们可以主推WA1208E-GNP双频AP.3：室内放装型AP:是兵家必争之地，都做得比较细。
802.11 n 分为两条流300M产品，802.11 n 分为三条流450M产品，4：室内放装型AP 802.11 ac：可以达到1000M,是主流推荐的产品5:X分型AP 面板式AP:在精细化部署，如果客户要求比较高，就采用X分型AP 面板式AP，H3C 可以做到1分4 ，1分6，1分8的部署。
现在只有锐捷退出了1分6 和1分8的覆盖方案。
注意：锐捷如果想1分8，每个天线只能是单频的，而H3C 可以做到双频。
6：面板型AP：最早是Aruba 提出的。
现在有802.ac的产品面板型，W4320H, 可以达到1000M,国内是独一无二的。
AC规格对比分析VS华为1：H3C的AC产品线全，用户选择余地更大。
华为主要是插卡的AC.2：如果是独立AC，我们可以要求AP大于512，华为没有这样的产品AC规格对比分析VS锐捷1：锐捷的端口数量较少2：通过有线、无线一体化可以屏蔽锐捷的一些产品。
3：小规格无线插卡，可以抬高锐捷的商务。
国内厂商竞争策略AC规格对比分析VS Cisco1：CISCO AC产品线较全，但是价格高2：国内去CISCO比较严重，也没有问题。
何为“智慧校园网络”？随着校园信息化建设的发展、无线网络的日益普及和大规模应用，学校的日常方式也正在发生转变。
各种移动性终端设备的兴起，如平板电脑、智能手机和电子书包等，为高校用户提供了更加丰富多彩的应用，大大改善了教师与学生之间的沟通环境，从而使学校教学和科研工作更加便捷和有效。
因此，目前很多学校需要通过建设新一代的智能化网络，在整个校园范围内满足当今日益多样化的网络接入要求。
而且这个智慧校园网络必须满足可移动性、高智能性、高安全性和易管理性等要求。
如何实现“智慧校园网络”？Aruba根据多年丰富的校园网络建设经验，结合当今智慧校园网络的建设需求，为广大校园行业客户提供以下一些应用场景和分析。
希望通过这些场景的描述，能够激发大家的思维，思考我们该如何部署智慧校园网络。
更重要的，我们希望大家能够深入的了解Aruba是如何帮助校园行业客户实现这些功能的，且整个架构和实现的过程是如何的简便。
场景1：如何实现在校学生的终端管理？每年上千新生入学，登记这些“学生—机器”的绑定信息，将会是一项不可完成的任务。
目前，大部分学校还没有实现学生终端的管理。
原因非常简单，几千或几万台终端，单是登记与维护都是一项不可完成的任务。
然而，高校却希望学生账户不被多人共享使用；实现终端接入和传输数据的安全；甚至对学生的上网行为进行监控。
这些都需要一个前提条件：学生的身份信息与机器信息需要做紧密的绑定。
目前绝大部分学生和教职工都持有2台或以上的无线终端（笔记本 + 智能手机/平板电脑），2倍。
对于如此庞大的数据进行录入和管理，绝非学校IT管理部门所希望看到的。
所以，很多学校目前根本没有办法实现终端的管理。
传统上，当无线网络架构设计并部署完成之后，为了使广大终端设备能够接入到无线网络，IT人员必须帮助每个人员配置其终端设备，安装必要的数字证书等等。
这在学校无线网络建设过程中往往比网络设备架设和部署更加耗费IT人员的时间和精力。
Aruba 无线网络系统功能特点总结物理方面1、控制器对AP统一升级控制器对AP自动分发最新软件版本，多台控制器的无线网络系统也是统一管理的，可以由一台控制器管理其它所有的控制器，大大减少了管理的难度和工作量2、冗余可以对控制器设置运行模式，即Master和Local两种模式。
Local继承Master 的配置（除无线配置之外，也不包含二三层配置）。
Master可以做Master冗余，Master主要任务是做Local设备的管理。
Local设备可以做N+1 冗余，无论多少台Local设备只需使用一台Local-BACKUP即可备份所有Local（但备份的设备只是备份，不代表不需处理故障设备，设备故障多了最终导致网络不可用）。
3、AP的负载均衡基于用户数量的负载均衡（可以设置启用和关闭负载功能的最高最低门限值），基于利用率的负载均衡（可以设置启用和关闭利用率的最高最低门限值）4、VLAN家用胖AP启用不了VLAN，企业级胖AP是一个SSID设置一个VLAN。
ARUBA瘦AP 可以支持多VLAN，即VLAN POOL（VLAN池），每个SSID最大可以支持32个VLAN。
也可基于用户角色划分VLAN，但是这个VLAN POOL，是要基于哈希运算，终端属于某个VLAN是由哈希运算结果决定的，并不是基于VLAN顺序或者VLAN号码分配的。
5、二三层漫游2层漫游，举例，你的手机号码在中国境内漫游，手机号码所属号段为同号段（130-159号段），你所在的地区一直为此号段，未被改造过。
技术层面，2层漫游后在同一VLAN，IP地址在同一网段（所属VLAN，网段相同）3层漫游，北京的手机号漫游到美国或者香港，你的手机号码已经不属于当地号段范围内，但你的手机照样可以用原有的手机号码进行呼入呼出，（所属VLAN，网段不同），终端使用原有VLAN，ip网段的IP进行通讯软件方面1、PEF（基于用户角色的策略防火墙）用户角色的划分，类似于WINDOWs组的概念，做各种安全，控制策略基于用户角色的安全策略（无线终端之间的二三四层隔离，无线控制器各接口的安全隔离，用户指定服务器的安全隔离，无线终端禁止私自设置DHCP服务，用户指定的其他安全策略）带宽限制：如重要用户固定2M，其他所有用户共享10M2、WIP（无线攻击保护软件模块）（基于无线的入侵防御系统IPS，告诉入侵了，而且主动防御（很多其他厂家要单独加设备）；入侵检测系统-IDS，只是检测到有非法入侵，并发送警告信息，但无法对入侵行动进行防御）WIP的特色：①非法AP的检测，怎么检测呢，首先无线网络系统检测到其它AP的存在，然后无线网络系统通过有线检测到此AP存在，那么就认为此AP是非法入侵AP；无线系统此时会模拟非法入侵AP向连接该AP的无线终端发送断开请求数据包，导致无线终端大量丢包，最终造成无线终端与其连接断开而无法上网。
Aruba无线网络优势分析
一、基于用户身份的策略控制:
Aruba 移动网络解决方案在安全性上的独特优势在于在单一操作平台之上集成了经过国际计算机安全联盟ICSA 认证的基于用户身份角色的状态防火墙和用户策略管理功能。
能够针对每个用户创建独特的角色并实现基于用户身份角色的网络安全策略控制、带宽管理、QoS等功能。
该功能还支持将违反策略的客户端列入黑名单,从而终止他们的会话并拒绝他们进一步连接网络。
Aruba 的以用户为中心的网络覆盖在任何现有网络之上,并能与现有的任何目录结构集成。
相比之下,其它竞争对手只能通过在有线网络核心集成防火墙、带宽管理设备等其它网络部件来解决安全性、带宽管理、QoS等问题。
而这种传统的网络集成式解决方案只能基于网络层信息来实现,对用户身份信息完全一无所知。
而且只有当用户流量流经该设备时才有效,无法真正实现基于用户的控制。
二、经过实践验证的稳定可靠性:
Aruba无线网络解决方案提供成熟、强大的智能RF射频管理能力。
通过无线控制器的集中管理和协调,Aruba AP可以实时监控无线网络运行环境,并根据无线环境的变化动态调整工作信道及发射功率。
从而自动避免因无线信号干扰而造成的网络质量或稳定性问题,以及动态补偿因个别AP失效导致的覆盖盲区,提供稳定可靠的无缝无线覆盖。
而且在大型场馆覆盖等环境中,Aruba无线解决方案支持基于AP 负载或用户数量的负载均衡,进一步提高无线网络的稳定可靠性。
而其它竞争对手虽然也相继宣称支持类似于Aruba解决方案的动态调整AP工作信道及发射功率,以及AP负载均衡等功能。
但是在无线专业技术和经验积累上的巨大差距,使得他们的解决方案在现场实际应用环境中完全达不到其所宣称的效果。
大量的国际国内用户在经过真正的实地测试和现网应用之后,无一例外地认可Aruba无线网络具备最优异的稳定可靠性。
除了提供具有高度稳定可靠性的无线覆盖,Aruba也为用户提供业界最优的无线控制器冗余备份解决方案。
通过VRRP或OS内嵌的备份控制器功能,真正为用户打造一个真正稳
定可靠、保障关键业务不间断运行的值得信赖的无线网络平台。
三、可扩展性和未来应用支持:
做为无线移动网络技术的领导者,Aruba提供业界最强的无线网络系统可扩展性。
Aruba为大型无线网络用户开发了分布式无线控制器cluster架构,可以从中央控制器单点控制多达500台分布式部署的本地控制器,而这些本地控制器可以与中央控制器位于同一个园区内,也可以跨广域网进行全球部署。
与此相比,其它竞争对手的无线控制器只能独立进行部署。
如果用户因AP及用户容量需求而使用多台控制器,需要各自独立维护这些控制器,并依靠后台网络管理软件来管理它们。
对于基于无线网络平台的未来多业务支持,Aruba也远远领先于其它竞争对手。
例如对于单一无线网络物理平台上的V oIP语音、视频等高优先级和敏感性应用,Aruba 不仅可以提供QoS保障以保护这些应用不受其它数据流量的影响,更通过先进的应用协议和终端设备识别提供如呼叫准入控制(CAC、通话质量统计、终端节电保护模式等丰富的应用支持功能。
全面保障基于Aruba无线网络平台的多业务应用。
Aruba现在已经推出3G应用解决方案,用户可以将AP70、RAP5、或者600系列控制器连接至3G终端设备,利用3G网络做为上行链路,远程连接至企业总部。
从而极大地拓展WLAN的应用领域,实现诸如应急通信保障、高速移动车载等高端无线应用。
四、灵活的mesh解决方案:
Aruba的无线网络解决方案不仅可以利用现有有线网络灵活地部署热点或企业的AP覆盖,而且在有线网络资源缺乏的环境(尤其是大型的热点、热区、场馆等,可以灵活地进行mesh网状网AP覆盖。
从而大大提高部署无线网络的速度和效率。
Aruba的无线mesh解决方案并不需要专用的硬件设备来支持,现有的控制器和AP 只需通过软件License开通,即可支持mesh应用,从而灵活提供室内、室外一体化的按需部署的mesh网络。
此外,Aruba 的mesh解决方案可以通过灵活的cluster设计,提供具备弹性的、有冗余保障的高可靠性mesh网络。
而其它竞争对手需要用户另行购买专用的Mesh AP来实现Mesh组网,从而使得mesh
网络与无线网络的其它部分互相分裂而非一个统一的无线网络。
而且极大地限制了用户灵活应用mesh技术的自由选择余地。
五、独特的Remote AP部署技术:
Aruba无线网络解决方案不仅支持跨二、三层网络进行AP的零配置快速部署。
而且提供独有的Remote AP部署技术,可以通过Internet将无线覆盖延伸到世界任何角落。
Remote AP可以利用Internet资源自动建立IPSec tunnel将远程的无线用户安全地连接回无线控制器所在的网络中心。
从而使用户无论身在何处,均能够获得无缝的无线网络覆盖。
六、易于部署和维护:
Aruba无线网络解决方案提供一系列技术支持AP的快速灵活部署,无需为部署无线网络而对现有有线接入网络进行任何改造。
AP可跨越现有的二、三层网络甚至跨越Internet 进行快速部署,并通过无线控制器进行集中、统一的管理维护,无需现场配置和维护。
七、统一网管平台:
Aruba无线网络整体解决方案中的Airwave统一网管平台,不仅具有强大的管理功能和管理大型网络的性能容量(可管理超过5万台无线设备。
其最大的技术优势是可以同时管理来自不同厂商的、不同技术架构的无线网络产品。
Airwave可以同时管理业界大多数主流无线网络产品厂商的瘦AP、胖AP甚至WiMAX无线网络产品。
