大廠縣城區無線Wi-Fi覆蓋項目實施方案研究

王玄博

無線網絡是現代城市信息化和現代化的一項基礎設施，是提高城市信息化水平的重要手段，無線城市是未來城市信息化發展的重要方向，也是衡量城市運行效率、信息化程度以及競爭水平的重要標志[1]。

1 無線大廠項目說明

此次大廠無線城市共覆蓋縣城內人流量大、駐留時間長的部分重點區域，具體詳見后附覆蓋范圍表，預計建設共需投資1 526.67萬元。其中機房核心設備投資170.55萬元；光纜線路建設投資663.47萬元；終端設備投資692.65萬元。在完成以上投資，實現重點區域的覆蓋后，可進一步考慮覆蓋縣城的其他區域，最終實現縣城的全區域覆蓋。

2 無線大廠組網方案

2.1 無線大廠整體方案說明（如圖1）

圖1 無線大廠整體方案

規劃方案說明：

依據大廠縣城的規模，此次無線城市網絡用戶容量規劃為支持最多3 000～5 000人同時使用，認證最多支持10 000個用戶的賬號。無線接入用互聯網出口帶寬規劃為1 000兆，后期可視使用情況擴容。核心層架構采用高可靠性的雙核心結構，2臺核心萬兆交換機采用虛擬技術統一管理，雙機同時運行，單臺故障不會中斷業務。核心層為萬兆鏈路，可為將來的功能應用提供良好的支持。無線AP（無線接入點）到核心交換機的傳輸層采用PON（無源光網絡）設備，中途為全光纖鏈路，無需供電，整體可靠性高。PON網絡的ONU（光網絡終端）本地供電，采用POE技術通過網線向無線AP供電，簡化了施工。本次建設不包含公共服務平臺，待有成熟的公用服務業務需求時再進行建設。

2.2 無線網絡管理系統說明

全網的AP都統一由核心的AC（無線控制器）進行控制，數據集中轉發，所以無線控制器要求極高的可靠性，本方案通過總部出口部署2臺高端無線控制器來提高可靠性，避免宕機的風險。通過接入層交換機以及匯聚層交換機，將所有的AP無線接入點連接起來，直連到核心交換機。核心交換機旁掛無線控制器組、IPS、WAF（Web應用防護系統）和服務器組，實現高可靠性以及數據的安全性。核心交換機上聯AC和AF設備，實現對下聯所有用戶的上網行為管理、審計功能以及數據的安全性。

2.3 分權管理

無線網絡的部署和營銷功能的管理通常是不同部門的人員。也就是說，IT管理員負責網絡部署，網絡維護和其他任務。營銷部門僅負責營銷廣告和營銷推廣規則。傳統網絡設備僅支持統一管理員身份狀態。營銷人員用管理員賬號登陸后臺更改網絡設置后，可能會使網絡將癱瘓。分權管理可以有效避免這樣的錯誤產生。

2.4 可視化運維

自定義地圖，管理員可以導入一個便于實時顯示AP運行狀態的背景圖像，也可以顯示當前在線用戶和AP的實時流速。用戶集中管理包含用戶信息集中管理和用戶集中授權，是實現“一站式登錄”的基礎。“一站式登錄”簡單說，就是用戶通過一次性鑒別登錄后，即可獲得訪問網絡的授權，在此條件下，管理員無需修改或干涉用戶登錄就能方便的實施希望得到的安全控制，實現集中的身份認證、授權管理，并針對賬號的使用情況形成審計記錄。

3 互聯網接入方案

為了能夠給市民提供暢通的網絡享受，需要保證AP有足夠的上行帶寬，這對承載網絡的整體帶寬就提出了更高的要求，所以本方案采用運營級高性能AP，支持2.4G、5.8G雙頻無線接入，單臺同時支持用戶在100個以上，完全滿足業務應用。

傳輸層采用PON光纖技術承載，提供高帶寬承載，也具有較高的穩定性和安全性。沿街分散部署AP采用EPON承載。在設備安裝地點部署ONU，通過OLT實現ONU的匯聚后，再通過統一的廣電寬帶出口鏈接INTERNET網絡。

3.1 無線城市安全解決方案

全市使用統一的標示“i-langfang”和“i-大廠”作為“智慧大廠”的網絡SSID，構建安全可靠的安全認證管理平臺，增強無線網絡可信度和政府形象展示。

1）微信認證。依托大廠縣“智慧大廠”建設成果，結合現有的資源，對“智慧大廠”進行可持續運營，促進其長遠發展。針對無線城市主要推薦微信認證方式。因騰訊微信平臺的特征優勢，微信認證是時下比較流行的一種認證方式，主要應用在商超、咖啡館、電影院等公共區域場所的無線接入，通過免費的無線為入口，獲得用戶的關注，然后通過微信公眾號向用戶投放廣告、發送促銷消息等。用戶關注相應微信公眾號即可上網，并擁有多種認證方式，如關注后查看廣告上網，微信網頁授權上網等

2）上網行為管理。上網行為管理能幫助經營者控制和管理用戶對互聯網的使用，包括對網頁訪問過濾、網絡應用控制等，上網行為管理對規范市民上網行為起著重要作用，符合公安部門對運營商的要求[2]。

上網行為管理設備能精確識別2 000余種網絡應用，千萬級的URL鏈接預分類庫，如成年內容、宗教、色情、賭博、反動等預分類庫。通過上網行為管理功能，可有效過濾反動、暴力、色情、毒賭、釣魚惡意等非法和不良網站，為市民提供一個良好的上網環境，樹立文明新風。

3）上網行為審計。在線行為監查可以記錄用戶在線行為，以滿足公安部令82號的要求。對各種各樣的用戶（小組）能進行不同的動作的記錄和審計，包含Web訪問，Web投稿，電子郵件，文件傳送，游戲行為，股票交易的行為，在線觀察和收聽視頻及音頻，P2P網絡下載等的活動行為。近年來信息防泄密方案備受組織管理員關注，用戶向論壇BBS發布不負責的言論、網絡造謠等，將給組織帶來法律風險。行為審計能記錄用戶通過BBS、Blog等發布的網絡言論，全面記錄用戶上網行為，規避法律風險。

4）安全加固。最后，除了上述基本的安全措施外，還需要對無線城市的WLAN網絡進行安全加固，防止黑客攻擊、入侵或盜取用戶資料信息確保用戶的利益，維護運營公共設施的權威性。與有線網絡相比，無線網絡僅依賴于發射和接收的電波，入侵者可以通過非常敏感的接收設備破壞和入侵。因為入侵者不需要物理地連接竊聽或者分析設備，這成為無線局域網面臨的最大的威脅之一。開放式的無線網絡環境中，數據包在空口傳輸是未加密的，攻擊者可使用監聽模式竊取無線中傳輸的數據包，造成數據信息的泄露等安全威脅。對無線空口進行安全加密，防止黑客監聽竊取用戶數據信息。

作為公共區域內的接入網絡，全部的接入用戶被分離（用戶的分離，包含同樣的AP下的用戶間的分離，以及不同的AP下的網絡用戶間的分離）。隔離后，接入用戶之間不能訪問，數據相互隔離，提高安全性，保證用戶數據安全。因為公共區域WLAN使用單向認證（非相互認證方式），訪問點能確認用戶的身份，不過用戶不能確認訪問點的身份。實際環境中，并不能有效的防止非法AP設備的放置，這就需要WLAN能夠對周邊的熱點進行實時檢測，檢測到非法接入點后立即進行警告并對其進行反制。對釣魚Wi-Fi進行屏蔽，防止用戶接入到不安全的Wi-Fi，避免錢財、個人隱私被盜。

3.2 無線城市的部署實施

室外設備主要部署方式：利用城市的原有路燈設施進行安裝布放；在無路燈環境下，新立桿進行布放；利用居民屋頂進行安裝布放。

AP部署指導：根據覆蓋區域選取合適的部署點位，同時要利于網線部署；合理選用全向天線和定向天線進行信號覆蓋（全向覆蓋半徑100m～150m，定向覆蓋范圍300m～400m）；立抱桿，安裝AP。