智能工厂无线解决方案v2.0技术文档v1.0锐捷网络2017年4月目录1前言81.1文档目的81.2目标读者82术语和定义93设计目标124方案背景135问题挑战145.1企业无线建设复杂场景下挑战145.2企业无线建设安全挑战165.2.1企业组织结构复杂，内网安全权限难以管控175.2.2企业无线建设身份统一认证挑战175.2.3企业多分支漫游策略无法跟随挑战175.2.4企业访客网络安全可控挑战185.1企业无线建设用户体验挑战185.2企业建设规划与运维挑战206解决方案架构设计226.1企业无线场景226.2企业园区无线网络逻辑划分246.3AC集中式部署架构设计256.3.1总体架构设计256.3.2总部分支VPN互联设计266.3.3AC架构部署设计286.3.4身份统一认证与漫游设计306.3.5策略随行设计316.4AC总分式部署架构设计356.4.1总体架构设计356.4.2总部分支VPN互联设计366.4.3AC架构部署设计366.4.4身份统一认证与漫游设计386.4.5策略随行设计396.4.6架构说明416.5方案组件介绍426.5.1无线控制器AC（Access Control）426.5.2认证系统（SMP/ESS服务器）436.5.3无线接入点AP（ Access Point）446.5.4无线管理系统（RG-SNC-WLAN）446.5.5无线智能服务平台（RG-WIS）456.5.6出口业务网关（VPN网关）466.5.7DDI（DHCP、DNS服务器）476.6组网方案（产品选型）526.6.1AC虚拟化546.6.2分层AC566.6.3多业务AC576.6.4Remote AP587无线高安全性设计607.1射频层环境安全设计607.1.1无线SSID隐藏607.1.2非法AP检测与反制607.1.3安全雷达617.2链路层窃听设计647.2.1数据传输与加密安全647.3网络层访问安全设计647.3.1DHCP安全647.3.2AP虚拟化657.3.3同AP下终端访问隔离667.3.4ARP欺骗的防护667.3.5网络访问策略控制677.3.6提供外网非法URL访问过滤677.4终端接入安全设计677.4.1用户安全准入677.4.2哑终端合法性准入797.4.3AP设备合规检查808无线高体验性设计818.1接入体验设计818.1.1员工接入体验818.1.2访客接入体验828.1.3哑终端接入838.2使用体验设计848.2.1办公大楼场景设计848.2.2生产车间场景设计938.2.3仓储物流场景设计958.2.4室外回传场景设计978.2.5员工宿舍场景设计988.2.6通用型场景保障用户体验技术998.3高可用体验设计1028.3.1AC高可靠技术1028.3.2AP高可靠技术1038.3.3DDI高可靠技术1048.3.4服务器高可靠1048.3.5信号自动补偿1068.3.6信号抗干扰1078.3.7移动漫游设计1089无线网络智能交付及运维设计1099.1地勘设计1099.1.1地勘1099.2交付验收1139.2.1WIS智能优化1149.2.2WIS自动验收1219.3设备管理1229.3.1无线拓扑1229.3.2无线星图1239.3.3无线热图1239.3.4无线资源管理1249.3.5安全管理1249.3.6无线配置1259.4智能运维1259.4.1视图介绍1269.4.2概况预览1269.4.1无线体验分析1289.4.2无线用户分析1309.4.3无线设备分析1329.4.4无线指标分析1329.4.5无线数据分析13310方案核心价值13410.1场景化13410.2高安全13410.3好体验13510.4简运维13511附录13611.1无线部署规划设计13611.1.1工作频段与频点规划13611.1.2信号衰减注意事项13811.1.3服务指标注意事项13911.2锐捷中大企业行业部分成功案例14311.2.1顾家家居企业办公WLAN案例14311.2.2顾家家居企业仓储WLAN案例14611.2.3南高齿企业生产车间WLAN案例14911.3文档部分配图1521521 前言1.1 文档目的本文档是针对XX企业无线XX网络部署的技术方案，主要对WLAN无线网络背景知识，应用场景、总体架构、网络设备部署参数规划、安全策略规划、WLAN空中接口结构设计等进行了详细的描述，旨在将无线生产网网络部署建设工作进行标准化和规范化。1.2 目标读者本文档的目标读者主要是客户负责无线网络设计和实施的技术工程师、锐捷网络的售前工程师，售后工程师以及渠道技术工程师。2 术语和定义1、WLAN：Wireless Local Area Network，无线局域网，是通过无线通信技术将计算机设备互联起来，构成可以互相通信和实现资源共享的网络体系。无线局域网本质的特点是不再使用通信电缆将计算机与网络连接起来，而是通过无线的方式连接，从而使网络的构建和终端的移动更加灵活。2、AP（Access Point）无线访问点：无线终端访问有线网络的接入点，通过有线接入有线网络，通过无线射频信号跟无线终端STA通信，是无线终端与有线网络通信的桥梁。3、无线访问控制器：无线控制器通过有线网络与Fit AP相连，用于集中管理控制Fit AP。4、RF（Radio Frequency）射频：WLAN采用射频作为传输介质，实现AP与无线终端、无线终端之间的通信。5、频段：表示频率范围。在WLAN中，无线设备支持的802.11标准不同，对应的工作频段也不同，如802.11a工作在5GHz频段，802.11b/g工作在2.4GHz频段，802.11n工作在2.4GHz和5GHz频段。6、Wi-Fi认证：Wi-Fi全称Wireless Fidelity（无线保真），该认证是由Wi-Fi联盟（一个非盈利的国际协会）制订的，只要通过Wi-Fi认证的产品就表示可以顺利地组建无线局域网，实现与其他Wi-Fi认证产品的兼容。在Wi-Fi联盟制订的标准中，常见的有IEEE 802.11b、IEEE 802.11a、IEEE 802.11g、IEEE 802.11n等。 7、SSID：服务集标识符（Service Set Identity），在IEEE 802.11协议规定，一组提供相同无线服务的无线设备被称为服务集（service set）。SSID（Service Set Identity），用于来区分无线网络，这些设备的服务集标识符（SSID）必须相同，服务集标识符是一个文本字符串，包含在发送的管理帧中。如果发送方和接收方的SSID 相同，这两台设备即可得到此服务集提供的服务进而可以通信。8、胖AP：WLAN的物理层、用户数据加密层、用户认证、QOS、网络管理、漫游技术以及其他应用层的功能集于一身，每个胖AP都是一个独立的自制系统，相互之间独立工作，管理比较复杂，一般适用于小规模应用部署。9、瘦AP：负责射频信号收发和射频扫描、802.11报文的加解密、转发、接受无线控制器的管理等功能。瘦AP上基本为“零配置”，所有功能都在无线控制器上实现，适用于大规模应用部署。10、IEEE 802.1X协议：是IEEE制定关于用户接入网络的认证标准，在用户接入网络之前运行，工作于MAC层，IEEE802.1x协议具有完备的用户认证、管理功能，作为一个框架性协议，IEEE802.1X支持多种认证方式，如EAP-TLS、PEAP等。11、WPA2（Wi-Fi Protected Access 2）是在2004年由Wi-Fi联盟颁布的标准，是WPA的下一代或增补版本。其包含了IEEE 802.11i所有细节和修订内容，保证了与IEEE 802.11i保持互操作性，并且在此基础了做了一些安全性、易用性的增强。它遵照NIST(National Institute of Standards and Technology，美国国家标准和技术研究所)的建议实现了最新加密算法AES（Advanced Encryption Standard），使用CCMP(Counter Mode with Cipher Block Chaining Message Authentication Code Protocol，计数器模式密码区块链接消息认证码协议) 作为完整性校验方式，大幅度提高了网络安全性。WPA2在加密时使用Counter Mode 模式下的AES算法，在进行身份认证和完整性检查时，则使用Cipher Block Chaining Message Authentication Code模式下的AES算法。在2006年之后成为了Wi-Fi认证的必要条件，更成了WLAN网络的实际标准（de-facto standard），而且WPA2最终形成了802.11i的最终版本。12、CAPWAP：CAPWAP协议是无线控制器AC和无线接入点AP之间的通信协议，用于承载管理平面与数据平面流量。13. 瘦AP模式下的集中转发：在AC+AP组网的模式中，用户数据全部通过CAPWAP隧道送至AC，由AC统一做数据层面的转发。所有数据流量在此模式下必须过AC。14. 瘦AP模式下的本地转发：在AC+AP组网的模式中，用户认证数据通过CAPWAP隧道送至AC，由AC统一控制认证层面。AP根据SSID与有线VLAN之间的对应关系，直接将SSID中的数据转发入相应VLAN，所有用户数据流量在此模式下无需经过AC设备。3 设计目标在建设结构合理、功能完整的网络系统的前提下，本方案从功能性设计、实施和运维几个方面考虑以下内容：1、高可靠性设计：选用高可靠性设备，设计合理的网络冗余拓扑结构，制订可靠的网络备份策略，提供可供实际业务使用的相对稳定的网络服务，保证网络具有故障自愈的能力。2、可扩展性设计：所部署系统要具备扩容能力，例如AC可通过技术手段提供更高的AP管理能力，后台网络系统可提供完善的授权扩容能力等。3、网络安全设计：从用户身份认证、设备合法性检查、传输信息加密等方面给出方案安全保障实施要点。4、网络灵活设计：从对信号的控制，优化部署，人员接入便利性等角度优化网络，实现灵活易用。5、可管理性设计：整个系统的设备应易于管理，易于维护，便于进行系统配置，在设备、安全性、数据流量、性能等方面得到很好的监视和控制，并可以进行远程管理和故障诊断。4 方案背景“工业4.0”是2012年德国工程院、弗劳恩霍夫协会、西门子公司等德国学术界和产业界在3位德国教授倡议的基础上推动形成的。在随后的2