校园无线网络覆盖方案

某某中学无线网络覆盖及网络系统安全升级改造方案方案设计：五更三点原创整理目录一、校园无线网升级改造重要点 (3)1、真正支持IPv6 (3)2、高可靠性 (3)3、灵活的无线覆盖方案 (3)4、专业室外型AP (4)5、一体化管理 (4)6、多重防护 (4)二、校园无线网架构及覆盖范围 (4)1、整体网络架构通常由多个子功能系统构成： (4)2、无线覆盖范围 (5)三、校园网络系统安全解决方案 (5)四、校园无线网设备选型简述 (7)1、无线控制器 (7)2、室外放装AP (9)3、高密及普通AP (10)4、poe接入交换机 (11)5、无线业务管理组件 (12)五、无线AP校园覆盖区域表 (20)六、校园无线网升级扩容及安全设备清单 (21)七、校园无线网设备预算清单 (23)概述：教育是国家经济发展的基础，教育信息化水平的提升对提高教学水平，提高教学效率，培养学生实践能力至关重要。

随着校园信息化的发展，普教面临新一轮的网络建设周期，带宽升级、无线校园、安全改造等是主要需求。

某某市某某中学就面临着校园无线网络改造问题，老的无线网络需要增加安全管理性及升级改造。

经过多方考察和论证，针对某某市某某中学设计了以下校园无线覆盖的精品校园无线网。

由于此次无线覆盖是在校园原有的无线网络上构建，因此无线的融合统一是考虑的首要问题之一。

通过统一的硬件平台、统一的网络管理、统一的用户管理、统一的应用安全，同时，充分与原无线网认证系统融合，此外，通过智能网络管理平台为网络管理员提供了图形化、一体化管理能力，可以高效地管理整个网络。

此次解决方案全面支持IPv6、802.11n、WAPI等新技术协议，且对网络系统安全性设计作为重要涉及原则予以优先考虑，严格遵照设计规范，采取切实有效的措施，确保信息网络和信息资源的安全等。

一、校园无线网升级改造重要点1、真正支持IPv6无线控制器（AC）和无线接入点（AP）都使用独有的统一平台，其功能强大，既可以工作于IPv4，也可以工作于IPv6环境（即AP和AC可以使用IPv6地址进行管理，建立管理隧道，转发用户流量，而不是对IPv6流量的透传）；2、高可靠性采用FIT AP架构，无线控制器能够根据无线环境动态调整每个AP的信号强度，确保无线信号覆盖稳定连续；AC采用1+1备份方案，确保无线控制器在100ms 内快速完成主备切换，将对业务的影响降到最低；同时，风扇和电源热插拔设计也都极大的提高了无线网路的可靠性；3、灵活的无线覆盖方案根据用户环境的不同，可以灵活选择WLAN覆盖方案：室内直接安装、楼道安装、室外覆盖室内、室外覆盖；根据用户密度的不同，可以选择：单频、双频和室分覆盖；根据终端标准的不同，可以选择：传统的802.11a/b/g产品，也可以选择先进的802.11n产品，确保为用户提供最合理的解决方案；4、专业室外型AP室外型设备可工作在温度为-40至65摄氏度的环境下，防水等级可达IP66标准，完全满足多雨季节的防水防潮要求。

此外，室外型设备从天线和网线两方面进行了系统、专业的防雷设计。

在天线方面，设备采用专门的宽频天馈防雷器，确保将感应雷信号安全释放到大地，在网口防雷方面，兼顾了AP网口和交换机网口防雷设计；5、一体化管理目前完整的无线局域网最基本的要素包括AC、AP、PoE交换机，而目前业界大多数厂商对AC和AP采用一套无线管理系统，对PoE交换机和有线网络设备又采用另一套有线管理系统，导致网络管理维护工作极其麻烦。

此方案采用智能管理中心能够真正在同一套管理系统中实现对无线AP、AC和有线PoE交换机、汇聚交换机、核心交换机等设备的管理，从根本上解决了两套网管系统各自为政、问题定位复杂、维护工作量大等难题，真正为用户提供了易维护易管理的大规模网络部署方案。

6、多重防护打造更安全的教育无线网络，根据接入人群创建不同的无线网络，办公网、教学网、学生网相互隔离，互不影响；有效防范ARP欺骗、泛洪攻击、DDos攻击、非法AD-Hoc等；集成WIPS/WIDS系统，及时预警并反制黑客入侵和网络攻击行为，充分保障无线安全。

二、校园无线网架构及覆盖范围廊坊第八中学校园无线网改造后，采用目前先进的“大二层”网络结构部署，这样的部署结构在很大程度上有效地提高了网络资源利用率，增强了网络安全性及稳定性。

1、整体网络架构通常由多个子功能系统构成：◆高性能万兆级核心交换机、万兆互联汇聚交换机、千兆接入交换机◆高性能多核安全网关◆无线控制器、无线AP、POE交换机◆舆情监控及审计系统◆有线、无线一体化网络管理软件2、无线覆盖范围三、校园网络系统安全解决方案计算机及网络技术的快速发展，极大推动了校园网络的建设。

但是，网络的布局与结构正逐步朝复杂、庞大的方向发展，但教师和学生在使用校园网络的同时却时常忽略网络安全问题，导致校园计算机系统的崩溃，给计算机教师带来了大量的工作负担，也严重影响了校园网的正常运行。

为了解决子网的分散性和师生用户的杂乱性并有效地保证网络的保密性和安全性，校园网络的运行管理和安全策略显得格外重要。

针对某某市某某中学的网络现状，做出以下网络系统安全解决方案：1、互联网出口安全优化：在互联网出口处部署AD、AC和下一代防火墙设备，加速访问，提升带宽利用率，净化网络流量、保障校园网安全。

2、链路负载均衡AD：实现出口多链路的智能选路，避免跨运营商访问，加速访问体验；合理利用链路带宽资源，提升出口带宽利用率，保障校园出口的连续性；3、下一代防火墙NGAF：多核并行处理、单次解析架构提升应用层处理性能，满足高校大流量出口的性能要求，同时涵盖传统防火墙、IPS、AV、WAF所有功能，提供一体化的全面防护，净化网络流量、保障校园网安全；4、上网行为管理AC：为校园网有线、无线混合接入环境下，提供更精细的流量管理以及上网权限管理，详尽记录师生的上网日志，满足公安部82号令。

同时通过防止共享上网、应用引流等多种功能，保障学校利益以及杜绝安全隐患。

5、行为感知系统BA：基于上网行为管理的海量上网日志，对用户行为特征进行深度建模分析，不断推出不同场景的行为感知应用，持续挖掘数据价值，帮助组织洞悉行为风险，简化运维管理四、校园无线网设备选型简述1、无线控制器新一代高性能有线无线一体化控制器(AC)，具有大容量、高可靠、业务类型丰富等特点。

硬件方面配备了高性能多核CPU，可以做到无线隧道全尺寸报文线速转发。

软件方面，采用全新网络操作系统平台（以下简称V7系统），除支持原系统的精细化用户控制管理、完善的射频资源管理、7X24小时无线安全管控、二三层快速漫游、灵活的QoS控制、IPv4&IPv6双栈等多项功能之外，还支持多核控制平面、新一代无线定位、Bonjour、Hotspot2.0等新兴的无线软件特性，支持云计算管理、分层AC、IRF等多种灵活的组网方式。

1.1、提供对Wi-Fi 6AP(802.11ax)的管理支持对传统802.11a/b/g/n/acAP管理的同时，还可以与支持基于Wi-Fi6（802.11ax）协议的AP配合组网，从而突破传统无线网络串行通信的机制，促使无线频谱资源利用率成倍提升，有效接入用户数得到了极大的提高，有效减少无线网络的部署开销，极大提升了高密度用户环境下的用户体验。

1.2、提供强大的有线无线处理性能采用新型高性能多核CPU，4个独立内核，可以虚拟16个内核，依托强大的计算能力，设备除了管理的用户数提升，并发性能提高外，还能及时响应，提升用户的使用感受。

1.3、提供高密端口接入在对外接口提供了高密的端口接入，以支持更好的有线无线一体化接入（包括用户接入，用户认证，计费等的管理，有线无线用户统一管理），通过提供高密端口及多种端口类型，能满足用户灵活组网和网络接入。

1.4、支持丘比特定位支持CUPID方式进行无线定位，因为准确度高，也称为丘比特定位系统。

丘比特定位系统采用了类似于雷达探测的原理，AP主动给客户端发送探测报文，通过计算发送报文和响应报文的时间差来计算客户端的位置。

1.5、支持802.1x认证，MAC地址认证，Portal认证等802.1x认证：支持TLS、PEAP、TTLS、MD5、SIM 卡等多种802.1x 的认证方式，同时还支持802.1x本地认证方式，提供对MD5、TLS、PEAP这几种主流认证方式的支持。

还支持通过802.1x 认证后动态授权VLAN和ACL功能，对用户的策略可以事先设定好，用户认证时，系统自动配置客户权限。

MAC地址认证：支持MAC地址认证，对一些手持终端(例如：Wi-Fi Phone、手持移动终端等)并不方便采取电脑上的认证方式，MAC地址认证却可以轻松解决该问题，实现在控制器或者服务器上配置好合法的MAC地址，这些MAC地址对应的终端就可以被允许被接入到网络，而事先没有被配置的非法终端则不能接入无线网络。

Portal 认证：提供内置的Portal 认证服务器。

该认证方式无需客户端配合，直接通过浏览器WEB Portal 页面作为认证通道，当用户认证通过后，可以灵活跳转到指定访问首页并启动相应授权和计费。

同时也可以根据策略要求，灵活推送定制Portal 页面，达到广告宣传、信息传递的作用，广泛使用在无线校园、无线城市、访客接入等应用场景。

1.6、支持IPv4/IPv6双协议栈(Native IPv6)支持无线客户的IPV6接入。

在隧道起点AP上，由于设备对IPv6感知，所以可以做到IPv6优先级到隧道优先级映射等；在AC侧，同样可以对IPv6报文进行ACL 过滤等复杂的控制和过滤。

同样可以部署在IPv6网络中，AC和AP之间自动协商成IPv6隧道。

AC和AP完全工作在IPv6状态时，无线控制器仍能正确地感知IPv4，并能处理无线客户的IPv4报文。

IPv4/6灵活的适应能力，能满足客户在IPv4到IPv6网络迁移中的各种复杂的应用，既能在IPv6孤岛中给客户提供IPv4的服务，同时也能在IPv4孤岛中让用户轻松通过IPv6协议登录到网络。

2、室外放装AP产品创新性地采用球形设计，支持宽带WIFI和窄带LoRa无线覆盖。

产品支持802.11ac Wave2技术标准，极大的提升了多用户接入情况下的WIFI接入体验；产品内置LoRa芯片，支持国际LoRaWAN™标准，可根据实际部署环境实现500米以上的低功耗广域无线网络覆盖。

内置集成智能射频覆盖优化技术，单射频最大发射功率可达500mW，能够针对性地有效解决室外WIFI覆盖各种问题，提高WIFI室外覆盖准确性和稳定性。

同时通过专业的一体化室外型设计，具备IP67防水防尘等级和宽温工作能力，非常方便室外的安装和调试，广泛的应用于包括无线城市、智慧社区、景区等各类WIFI室外场景的专业智能覆盖及窄带LoRa物联网业务接入。