无线网络覆盖方案

3.1方案总述图3.1无线网络拓扑示意图增加运维难度，影响运维效率的因素有大量的网络节点，复杂的网络拓扑和网络覆盖的地理范围。网络节点越多意味着网络管理员要维护的设备越多，同时某一节点出现问题的概率越大，从而提升了管理员的工作量。而复杂的网络拓扑让基于业务变更的网络策略调整与优化变的复杂，网络管理员不得不看4分片分区的自下而上的逐层修改配置，由于复杂的网络拓扑导致的错综复杂的网络协议关系给问题排查带来不小的难度。网络所覆盖的地址范围是不能人为控制的，但是从运维的角度看，减少运维压力提高运维效率就是网络管理员尽量少的跑到接入端去进行问题排查，实现方法就是前端设备尽量少或不需要进行配置，只要接入网络就可通过网络中心进行统一管理，这样当前端接入设备出现故障，只需要找工程人员做简单的设备更换，而不需要管理员到现场在进行复杂的配置，网络管理运维效率得以提升。在以上三个因素中网络覆盖的地理范围是不可改变的，而网络节点数和网络拓扑是可以从方案设计上进行优化，因此神州数码在某市教育城域网网项目中在满足教学应用的需求下以简化后期运维量为出发点，在方案设计中使用最少的设备，最简单的拓扑来满足应用需求。如图2.1所示，在某市教育无线网建设中神州数码采用教育局集中管理，集中运维的思路进行网络设计，学校只作为网络前端进行AP和PoE交换机的部署，无线控制器，实名认证系统、网络管理系统、安全运维审计系统以及无线应用加速系统等网络管理、运维系统将统一部署在某市教育局，实现对全市无线网的统一管理，统一运维。采用这种网络设计当管理员需要修改网络策略对网络进行调整或优化时，他只需要对教育局数据中心的设备进行调整即可全网生效，而不需要从接入端逐层的进行配置修改。能实现如此的管理方式也得益于当前无线网络的部署架构。当前主流的无线网络全部采用无线控制器+瘦AP的架构，无线控制器就像无线网络的大脑，它负责管理与其连接的所有AP的配置策略，而瘦AP只是运算和执行策略，基于此架构，无线网络可直接通过对中心端的无线控制器的配置操作达到修改接入点网络策略的目的，从而实现中心的统一管理，统一运维。3.2无线控制器的选择与部署3.4.10无线控制器的选择在中大型无线网络环境中采用无线控制器+瘦AP的网络架构已经成为不争的事实。从无线控制器的形态上分类从目前市场上的产品来看可分为两类：硬件形态的无线控制器和软件形态的无线控制器。硬件形态的无线控制器是从无线控制器+瘦AP架构正是发布后一直延续到现在的一种无线控制器物理形态，目前市场上主要以X86工控机或多核+交换板作为硬件架构。这种架构的产生源于第一代瘦AP架构，第一代瘦AP的数据转发模式采用的是集中式转发，即无线AP所有的数据都要流经无线控制器，再由无线控制器转发到上层网络当中，这种模式就需要无线控制器就较好的数据转发性能，而服务器网卡在数据转发上的性能与带有交换架构的工控机来比就要差一些，因此，无线控制器是以硬件形态出现的。第一代瘦AP主要采用的是IEEE802.11g无线传输协议，IEEE802.11g协议在TCP传输协议下的最大带宽在25Mbps左右，第一代无线控制器采用集中式转发模式不会产生网络瓶颈。随着单一项目的无线网络规模的扩大，双频双模无线AP的出现以及IEEE802.11n协议的无线AP的问世，无线AP的上行带宽越来越高。因此，集中式转发已经成为数据传输瓶颈，为了解决这一问题，提高无线网络传输性能，瘦AP开始采用本地转发，集中管理的架构，即从瘦AP上行的业务数据都有AP直接通过交换机转发到网关，不在经由无线控制器进行转发。只有瘦AP的管理数据和是在无线控制器和AP之间交互，这种交互数据的数据流非常小，因此无线控制器开始采用单臂旁挂核心交换机的方式进行部署，我们称这种部署方式为旁路部署。图3.2-1集中转发&本地转发示意图前面讲到数据采用本地转发的瘦AP与无线控制器之间的管理数据流量很小，无线控制器的数据转发性能，随着服务器性能的大幅提升以及虚拟化技术的完善和普及，软件形态的无线控制器应运而生。很多人把简单的认为软件形态的无线控制器就是把硬件形态无线控制器里的系统抽离出来形成的，所以除了形态上的差别之外其他都是一样的。其实这是一个简单而且错误的理解，软件形态的无线控制器的产生更多由于虚拟化技术和云数据中心的普及而产生的，因此软件形态的无线控制器自身的首要特性就是虚拟化特性，云特性。例如一台软件形态的无线控制器，可以根据不同用户群定制属于自己的虚拟化控制器，用于实现对自己区域的无线AP的个性化管理。我们把这种虚拟化称为1：N虚拟化。而当一个大型网络中有多台软件形态的无线控制器，他们可以形成一个统一无线管理控制器池，任何一个控制节点出现问题都不会出现瘦AP脱管的现象，形成一个统一的，整体的无线网络控制云平台，我们把这种虚拟化称为N：1虚拟化。由此我们可以看出软件形态的无线控制器的基本特性就是支持虚拟化和云特性。基于这些虚拟化特性我们也把软件形态的无线控制器成为“云”无线控制器。目前采用“云”无线控制器的主要代表厂家有思科和神州数码。两种形态的无线控制具有哪些特性差异，如表3.2.1，我们对两种无线控制器的主要差异特性做了简单的对比。表3.2.1无线控制器特性对比：特性硬件形态无线控制器“云”无线控制器具有虚拟化特性不具备具备管理AP数量单台≤4000（主流产品）软件系统无AP管理上限端口配置千兆电/光口≥4；具有万兆端口或扩展插槽端口依托于服务器配置的网卡类型AP数据转发方式支持本地转发和集中转发支持本地转发AP部署方式二层部署、三层部署二层部署、三层部署、跨NAT部署根据两种形态的无线控制器的特性差异我们来做一个简单的综合分析。传统的硬件形态无线控制器一台设备可管理的最大AP数量一般在4000台左右，市场上目前主流销售的硬件无线控制器最大管理AP数量在2000台以下，由此可以看出传统硬件无线控制器主要用于园区无线网络的部署。某市教育城域网项目的大型城域级的无线网络如果采用硬件无线控制器由于管理AP数的限制，就只能采用分布式部署的方式，即以学校或者更小的区域为单位，将无线控制器分别部署在这些单位中，或者采用集中式分组部署，即将多台无线控制器集中放置在区教育局中心机房，以管理地址段作为划分手段将AP分别指不同的无线控制器来管理。以上两种部署方法确实可以解决无线AP的管理问题，但是如前面所讲，从后期管理运维的角度考虑，这两种部署方式在网络中增加了多台无线控制器，网络拓扑变的复杂，网络管理员需要维护的设备数量增加。网路认证策略，QoS策略需要在每台控制器上配置一次，在网络出现问题时，需要做大量的数据检测和排除工作，运维效率降低。“云”无线控制器从功能设计上并没有AP管理上限。AP管理上限取决于承载“云”无线控制器的服务器硬件性能。而“云”无线控制器的虚拟化特性允许采用服务器横向扩展（Scaleout）的方式来提升管理性能，同时还实现了冗余。由于“云”无线控制器的虚拟化特性，即使服务器采用横向扩展方式进行扩容，它从管理运维的角度看只是一个管理节点，网络管理员看到的管到的始终是一台无线控制器，不需要为学校的AP归哪个控制器管而划分群组。从端口配置上看，某市教育城域网这种大型的无线网络部署无线控制器都会采用旁路部署，无线AP采用本地数据转发的方式，这种方式无线AP与无线控制器之间之交互管理数据，数据流量小，只需要1到2个万兆接口接入核心交换就可以完成链路部署。因此硬件控制器上所配置的丰富的接口和高速的数据转发性能都起不到什么作用。基于以上分析可以看出，在某市教育城域网项目中，使用“云”无线控制器具有扩容更容易，拓扑更简单的特点，更易于后期的网络维护。3.4.2无线控制器的部署图3.2.2-1“云”无线控制器部署示意图某市教育城域网骨干如图3.2.2-1所示，“云“无线控制器只需要部署在教育局网络中心的运维管理区。建议配置两台服务器运行“云”无线控制器，服务器前端配合一台链路负载均衡，两台服务器对AP管理实现负载均衡，并且避免单点故障引起网络问题。3.3无线AP的选择与部署无线AP首先要满足某市教育局无线控制器管理要求，能通过CAPWAP协议与某市教育局的无线控制器进行对接。AP需要满足50人同时接入，因此无线AP要采用IEEE802.11n/IEEE802.11ac协议的无线AP，并且支持2.4GHz和5.8GHz双频双模，AP要采用2x2：2或以上MIMO架构。无线AP支持IEEE802.3af或IEEE802.3at供电协议，通过PoE方式供电。由于无线AP的最大传输带宽已经超过百兆，所以上行PoE交换机建议采用千兆PoE交换机。交换机要支持至少370W的PoE功率输出，并且支持IEEE802.3af和IEEE802.3at协议。在本项目中推荐采用神州数码的DCWL-8200系列AP和S5750E系列PoE交换机。3.4实名认证系统部署要满足全市内账户漫游，就需要一个统一的实名认证系统对某市所辖学校所有网络账户进行统一管理和统一认证，网络用户不管身处哪所学校都可以使用自己的账户登陆网络。现在主流的认证系统一般分为两类，一类是网关型认证系统，以硬件形态为主，一般串行在网络出口。第二类是软件型认证系统，一般部署在网络中心机房的管理区，通过与作为认证发起设备的联动实现认证。某市信息化教学应用非常丰富，干网带宽已经达到万兆，如果采用网关型认证系统可能会产生网络瓶颈，鉴于此，本项目中推荐使用软件型认证计费系统。神州数码的软件计费系统是有DCSM-RS认证服务平台和DCSM-BW综合业务管理平台两部分组成。DCSM-RS提供集中的宽带网络用户认证，授权和计费，及接入策略管理，为电信运营商和大中型园区网提供类型丰富、配置灵活的宽带运营业务模式，如集中认证、漫游认证、内外网准入准出认证、Portal认证、免认证Portal推送、无感知认证等，以及WLAN、远程/VPN、PPPoE拨号、IPoE、802.1x等各种基于身份的认证支持。DCSM-BW是作为DCSM-RS配套使用的综合业务管理后台软件，实现宽带运营中的策略配置、用户管理、用户业务办理、账务处理、统计输出等综合业务功能，是用户对宽带运营管理的统一操作界面。3.4.1DCSM-RS实名认证系统部署方式：图3.4.1-1实名认证系统部署示意图DCSM-RSRadius平台一般与DCSM-BW宽带业务管理平台同时部署，DCSM-RSRadius平台负责用户实时认证、计费、控制策略下发以及Portal页面推送，DCSM-BW宽带业务管理平台则负责用户管理、业务策略配置、账务处理、统计报表输出、自助服务、数据维护等后台业务功能。DCSM-RS与DCSM-BW服务器均需旁路部署在受防火墙等网络安全设备保护的数据中心中，原网络的部署与结构无需调整，只需接入控制层的网络设备支持相关的Radius和Portal协议，另外防火墙等网络安全设备须允许RADIUS、PORTAL报文通信。3.4.2网络认证方式主流的认证方式有802.1x认证，Portal认证，无感知认证，PPPOE认证，手机短信认证，二维码认证。802.1x认证一般需要采用客户端或者配置启用终端系统自带的802.1x客户端来进行认证，对终端用户的技术要求较高，多系统平台的兼容性较低，管理员维护工作量增加。因此在本项目中不建议采用。Poral认证采用WEB页面重定向方式用浏览器为用户推送认证页面，用户终端不需要其他第三方软件就可实现认证。市场上主流的视窗类系统都支持，兼容性高。由于认证时通过用户常用浏览器进行认证，对用户的技术要求低，管理员维护工作量很小。在保证网络安全认证的同时，用户要求简化认证流程，因此神州数码推出了无感知认证，用户在第一次通过Protal认证之后，再次连接网络就不需要在进行认证，直接就可以接入网络，大幅简化认证流程。是本项目中作为首选的认证方式。PPPOE认证同样需要使用客户端进行拨号上网，对于移动终端系统的兼容性低，后期维护工作量大。手机短信认证主要用于外来访客的上网认证需求。例如，学生家长，其他地区的参