一、概述

图一: 传统的企业有线网络架构

1、企业无线局域网部署的总体目标

(1)、强可管理性

具有强可管理性是企业网络部署的关键指标。对网络进行管理、维护以及进行故障处理的方式方法决定了网络管理人员的工作量，缺乏可管理性的网络不仅仅增加了网管人员的工作量，而且间接影响着网络的安全和性能。无线网络中的网络配置复杂，设备部署分散，从无线频谱规划，无线AP的布点，到用户的接入、认证和计费，以及数据的加密，承载各种应用的带宽分配等，往往需要在各种设备之间进行参数设定。具有易操作性、可交互性的图形化网络界面，简化管理网络的步骤，减轻无线频谱规划工程的压力和网络日常维护的成本，在出现问题的时候能够提供较方便的故障排除手段，是强可管理性的表现。

(2)、高安全性

网络安全性能可靠也是企业级网络的一个重要指标。用户可以根据网络的情况选择不同安全级别的无线网络进行接入，在数据链路层、网络层、应用层等多层加密的通道中进行数据传输。通过拒绝非授权用户进入网络占用资源的同时，保障合法用户的信息私密性。同时对于不正常的网络行为能够有相应的监控和管理措施，能够通过网络日志系统结合事后审计系统来进行网络的安全控管。

(3)、真正的移动性

支持无缝覆盖环境内的快速移动切换是新一代无线局域网络的特性。在满足连续无缝覆盖的无线网络环境中，支持不间断的业务服务是实施移动办公的基本需求，完美解决用户的无线重新关联，重新认证，加密密钥分发等问题，确保移动情况下的安全与网络性能，才能够真正支持用户的切换，从而实现全网的移动性。

(4)、支持多业务

单一数据上网为主要应用的网络部署模式已经无法适应飞速发展的移动办公需求，支持QoS的无线局域网能够为企业网络环境提供更多的增值业务而成为了无线网络部署中不可或缺的目标。

2、无线覆盖制造业解决方案思想

(1).重视用户移动性
(2).保持现有有线网络架构不改动
(3).部署的“移动边缘”能够横跨局域网、广域网和因特网
(4).部署快捷，管理方便，可扩展，加强安全性，支持承载多业务

图二: 采用构建无线移动网络

二、企业无线局域网方案描述

1、整体系统架构设计

整个公司的库房分为CDC和RDC两大类，其中CDC库房在公司总部的统一地点，而RDC库房分散在全国各地，为了保证无线局域网系统的可用性，分布在不同地点的AP考虑独立成网，但是需要进行集中式的管理和配置。

在公司总部的CDC库房的所有AP均连接回到位于绵阳的总部，总共近48个AP通过GRE隧道接入数据中心的无线交换机；同时分布在各地的AP汇聚到当地的无线交换机，并且通过站点到站点的VPN汇聚到绵阳总部。在此架构下，如果当Internet链路断开的时候，也不会有失去无线覆盖的情况，通过绵阳总部无线交换机的管理，相关无线网络的配置会分发到全国各地的网络当中去。

考虑AP的覆盖能力，冗余设计，接入容量，以及无线交换机的功能设置，整体系统架构符合以下几点：

(1). 覆盖库房的AP数目不足2的按照部署2个AP来考虑；
(2). 各个RDC库房无线交换机为主，通过VPN接回到总部；
(3). 总部部署进行本地无线网络接入和全局无线网络配置管理。

具体拓扑连接图示如下：

2、无线覆盖建议

(1) 室内覆盖统计

由于缺乏实地勘测和具体的数据，按照常规标准室内AP覆盖30~50米范围来计算，使用库房面积除以1600计算，不足1的均按照2来计算（冗余设计），具体覆盖情况需要按照实地勘测后决定，估算的数量要浮动10%左右。

(2) 室外覆盖统计

室外和库房门口的无线覆盖情况由于没有进行实地的勘测，在估计情况下，可以建议每一个库房（包括CDC以及RDC）使用AP60加上天线的方式进行覆盖，在范围比较大或者室外环境比较恶劣的情况下也可以采用AP80M进行覆盖。

3、网络安全管理措施

全心无线网的安全管理系统实现如下功能：

接入认证控制： 验证用户， 授权他们接入特定的资源， 同时拒绝为未经授权的用户提供接入。
确保链路的保密与数据的完整： 防止未经授权的用户读取或更动在网络上传输的数据。
监测和阻断无线攻击： 防止攻击占用某个接入点的所有可用带宽， 导致其他用户的正当接入。
检测无线终端的防病毒状态：防止染有病毒的无线终端接入。

4、用户认证方法

全心网络支持用户多种接入方式认证机制，包括：基于网页认证（web）、VPN 认证、802.1X、mac等认证，支持外置的Portal服务器和外置的AAA服务器系统，支持标准的LDAP目录服务器（ldapv3），同时Aruba无线交换机内含一个Inter DB，可以直接使用该数据库创建用户帐户，更加方便用户的使用。

根据用户的需求，建议用户的认证方式设计如下：

从上网用户类型与应用类型情况分析，用户主要有：

①办公人员；　②移动终端。

在方案实现上使用两个SSID：一个供办公人员使用，可以不用加密，只做基于WEB或802.1X的接入认证，另一个SSID供接入移动终端使用，该SSID被配置为隐含，不广播出来，采用WPA加密＋802.1x认证方式，确保此类用户的安全性。

5、设计方案特点

(1). 各库房独立成网，通过绵阳总部进行统一配置和管理。
(2). 统一的认证方式和加密方式，全面支持WPA和WPA2。
(3). 无线频谱自我管理，AP之间支持负载均衡。