大廠縣城區(qū)無(wú)線Wi-Fi覆蓋項(xiàng)目實(shí)施方案研究

王玄博

無(wú)線網(wǎng)絡(luò)是現(xiàn)代城市信息化和現(xiàn)代化的一項(xiàng)基礎(chǔ)設(shè)施，是提高城市信息化水平的重要手段，無(wú)線城市是未來(lái)城市信息化發(fā)展的重要方向，也是衡量城市運(yùn)行效率、信息化程度以及競(jìng)爭(zhēng)水平的重要標(biāo)志[1]。

1 無(wú)線大廠項(xiàng)目說(shuō)明

此次大廠無(wú)線城市共覆蓋縣城內(nèi)人流量大、駐留時(shí)間長(zhǎng)的部分重點(diǎn)區(qū)域，具體詳見(jiàn)后附覆蓋范圍表，預(yù)計(jì)建設(shè)共需投資1 526.67萬(wàn)元。其中機(jī)房核心設(shè)備投資170.55萬(wàn)元；光纜線路建設(shè)投資663.47萬(wàn)元；終端設(shè)備投資692.65萬(wàn)元。在完成以上投資，實(shí)現(xiàn)重點(diǎn)區(qū)域的覆蓋后，可進(jìn)一步考慮覆蓋縣城的其他區(qū)域，最終實(shí)現(xiàn)縣城的全區(qū)域覆蓋。

2 無(wú)線大廠組網(wǎng)方案

2.1 無(wú)線大廠整體方案說(shuō)明（如圖1）

圖1 無(wú)線大廠整體方案

規(guī)劃方案說(shuō)明：

依據(jù)大廠縣城的規(guī)模，此次無(wú)線城市網(wǎng)絡(luò)用戶容量規(guī)劃為支持最多3 000～5 000人同時(shí)使用，認(rèn)證最多支持10 000個(gè)用戶的賬號(hào)。無(wú)線接入用互聯(lián)網(wǎng)出口帶寬規(guī)劃為1 000兆，后期可視使用情況擴(kuò)容。核心層架構(gòu)采用高可靠性的雙核心結(jié)構(gòu)，2臺(tái)核心萬(wàn)兆交換機(jī)采用虛擬技術(shù)統(tǒng)一管理，雙機(jī)同時(shí)運(yùn)行，單臺(tái)故障不會(huì)中斷業(yè)務(wù)。核心層為萬(wàn)兆鏈路，可為將來(lái)的功能應(yīng)用提供良好的支持。無(wú)線AP（無(wú)線接入點(diǎn)）到核心交換機(jī)的傳輸層采用PON（無(wú)源光網(wǎng)絡(luò)）設(shè)備，中途為全光纖鏈路，無(wú)需供電，整體可靠性高。PON網(wǎng)絡(luò)的ONU（光網(wǎng)絡(luò)終端）本地供電，采用POE技術(shù)通過(guò)網(wǎng)線向無(wú)線AP供電，簡(jiǎn)化了施工。本次建設(shè)不包含公共服務(wù)平臺(tái)，待有成熟的公用服務(wù)業(yè)務(wù)需求時(shí)再進(jìn)行建設(shè)。

2.2 無(wú)線網(wǎng)絡(luò)管理系統(tǒng)說(shuō)明

全網(wǎng)的AP都統(tǒng)一由核心的AC（無(wú)線控制器）進(jìn)行控制，數(shù)據(jù)集中轉(zhuǎn)發(fā)，所以無(wú)線控制器要求極高的可靠性，本方案通過(guò)總部出口部署2臺(tái)高端無(wú)線控制器來(lái)提高可靠性，避免宕機(jī)的風(fēng)險(xiǎn)。通過(guò)接入層交換機(jī)以及匯聚層交換機(jī)，將所有的AP無(wú)線接入點(diǎn)連接起來(lái)，直連到核心交換機(jī)。核心交換機(jī)旁掛無(wú)線控制器組、IPS、WAF（Web應(yīng)用防護(hù)系統(tǒng)）和服務(wù)器組，實(shí)現(xiàn)高可靠性以及數(shù)據(jù)的安全性。核心交換機(jī)上聯(lián)AC和AF設(shè)備，實(shí)現(xiàn)對(duì)下聯(lián)所有用戶的上網(wǎng)行為管理、審計(jì)功能以及數(shù)據(jù)的安全性。

2.3 分權(quán)管理

無(wú)線網(wǎng)絡(luò)的部署和營(yíng)銷(xiāo)功能的管理通常是不同部門(mén)的人員。也就是說(shuō)，IT管理員負(fù)責(zé)網(wǎng)絡(luò)部署，網(wǎng)絡(luò)維護(hù)和其他任務(wù)。營(yíng)銷(xiāo)部門(mén)僅負(fù)責(zé)營(yíng)銷(xiāo)廣告和營(yíng)銷(xiāo)推廣規(guī)則。傳統(tǒng)網(wǎng)絡(luò)設(shè)備僅支持統(tǒng)一管理員身份狀態(tài)。營(yíng)銷(xiāo)人員用管理員賬號(hào)登陸后臺(tái)更改網(wǎng)絡(luò)設(shè)置后，可能會(huì)使網(wǎng)絡(luò)將癱瘓。分權(quán)管理可以有效避免這樣的錯(cuò)誤產(chǎn)生。

2.4 可視化運(yùn)維

自定義地圖，管理員可以導(dǎo)入一個(gè)便于實(shí)時(shí)顯示AP運(yùn)行狀態(tài)的背景圖像，也可以顯示當(dāng)前在線用戶和AP的實(shí)時(shí)流速。用戶集中管理包含用戶信息集中管理和用戶集中授權(quán)，是實(shí)現(xiàn)“一站式登錄”的基礎(chǔ)。“一站式登錄”簡(jiǎn)單說(shuō)，就是用戶通過(guò)一次性鑒別登錄后，即可獲得訪問(wèn)網(wǎng)絡(luò)的授權(quán)，在此條件下，管理員無(wú)需修改或干涉用戶登錄就能方便的實(shí)施希望得到的安全控制，實(shí)現(xiàn)集中的身份認(rèn)證、授權(quán)管理，并針對(duì)賬號(hào)的使用情況形成審計(jì)記錄。

3 互聯(lián)網(wǎng)接入方案

為了能夠給市民提供暢通的網(wǎng)絡(luò)享受，需要保證AP有足夠的上行帶寬，這對(duì)承載網(wǎng)絡(luò)的整體帶寬就提出了更高的要求，所以本方案采用運(yùn)營(yíng)級(jí)高性能AP，支持2.4G、5.8G雙頻無(wú)線接入，單臺(tái)同時(shí)支持用戶在100個(gè)以上，完全滿足業(yè)務(wù)應(yīng)用。

傳輸層采用PON光纖技術(shù)承載，提供高帶寬承載，也具有較高的穩(wěn)定性和安全性。沿街分散部署AP采用EPON承載。在設(shè)備安裝地點(diǎn)部署ONU，通過(guò)OLT實(shí)現(xiàn)ONU的匯聚后，再通過(guò)統(tǒng)一的廣電寬帶出口鏈接INTERNET網(wǎng)絡(luò)。

3.1 無(wú)線城市安全解決方案

全市使用統(tǒng)一的標(biāo)示“i-langfang”和“i-大廠”作為“智慧大廠”的網(wǎng)絡(luò)SSID，構(gòu)建安全可靠的安全認(rèn)證管理平臺(tái)，增強(qiáng)無(wú)線網(wǎng)絡(luò)可信度和政府形象展示。

1）微信認(rèn)證。依托大廠縣“智慧大廠”建設(shè)成果，結(jié)合現(xiàn)有的資源，對(duì)“智慧大廠”進(jìn)行可持續(xù)運(yùn)營(yíng)，促進(jìn)其長(zhǎng)遠(yuǎn)發(fā)展。針對(duì)無(wú)線城市主要推薦微信認(rèn)證方式。因騰訊微信平臺(tái)的特征優(yōu)勢(shì)，微信認(rèn)證是時(shí)下比較流行的一種認(rèn)證方式，主要應(yīng)用在商超、咖啡館、電影院等公共區(qū)域場(chǎng)所的無(wú)線接入，通過(guò)免費(fèi)的無(wú)線為入口，獲得用戶的關(guān)注，然后通過(guò)微信公眾號(hào)向用戶投放廣告、發(fā)送促銷(xiāo)消息等。用戶關(guān)注相應(yīng)微信公眾號(hào)即可上網(wǎng)，并擁有多種認(rèn)證方式，如關(guān)注后查看廣告上網(wǎng)，微信網(wǎng)頁(yè)授權(quán)上網(wǎng)等

2）上網(wǎng)行為管理。上網(wǎng)行為管理能幫助經(jīng)營(yíng)者控制和管理用戶對(duì)互聯(lián)網(wǎng)的使用，包括對(duì)網(wǎng)頁(yè)訪問(wèn)過(guò)濾、網(wǎng)絡(luò)應(yīng)用控制等，上網(wǎng)行為管理對(duì)規(guī)范市民上網(wǎng)行為起著重要作用，符合公安部門(mén)對(duì)運(yùn)營(yíng)商的要求[2]。

上網(wǎng)行為管理設(shè)備能精確識(shí)別2 000余種網(wǎng)絡(luò)應(yīng)用，千萬(wàn)級(jí)的URL鏈接預(yù)分類(lèi)庫(kù)，如成年內(nèi)容、宗教、色情、賭博、反動(dòng)等預(yù)分類(lèi)庫(kù)。通過(guò)上網(wǎng)行為管理功能，可有效過(guò)濾反動(dòng)、暴力、色情、毒賭、釣魚(yú)惡意等非法和不良網(wǎng)站，為市民提供一個(gè)良好的上網(wǎng)環(huán)境，樹(shù)立文明新風(fēng)。

3）上網(wǎng)行為審計(jì)。在線行為監(jiān)查可以記錄用戶在線行為，以滿足公安部令82號(hào)的要求。對(duì)各種各樣的用戶（小組）能進(jìn)行不同的動(dòng)作的記錄和審計(jì)，包含Web訪問(wèn)，Web投稿，電子郵件，文件傳送，游戲行為，股票交易的行為，在線觀察和收聽(tīng)視頻及音頻，P2P網(wǎng)絡(luò)下載等的活動(dòng)行為。近年來(lái)信息防泄密方案?jìng)涫芙M織管理員關(guān)注，用戶向論壇BBS發(fā)布不負(fù)責(zé)的言論、網(wǎng)絡(luò)造謠等，將給組織帶來(lái)法律風(fēng)險(xiǎn)。行為審計(jì)能記錄用戶通過(guò)BBS、Blog等發(fā)布的網(wǎng)絡(luò)言論，全面記錄用戶上網(wǎng)行為，規(guī)避法律風(fēng)險(xiǎn)。

4）安全加固。最后，除了上述基本的安全措施外，還需要對(duì)無(wú)線城市的WLAN網(wǎng)絡(luò)進(jìn)行安全加固，防止黑客攻擊、入侵或盜取用戶資料信息確保用戶的利益，維護(hù)運(yùn)營(yíng)公共設(shè)施的權(quán)威性。與有線網(wǎng)絡(luò)相比，無(wú)線網(wǎng)絡(luò)僅依賴于發(fā)射和接收的電波，入侵者可以通過(guò)非常敏感的接收設(shè)備破壞和入侵。因?yàn)槿肭终卟恍枰锢淼剡B接竊聽(tīng)或者分析設(shè)備，這成為無(wú)線局域網(wǎng)面臨的最大的威脅之一。開(kāi)放式的無(wú)線網(wǎng)絡(luò)環(huán)境中，數(shù)據(jù)包在空口傳輸是未加密的，攻擊者可使用監(jiān)聽(tīng)模式竊取無(wú)線中傳輸?shù)臄?shù)據(jù)包，造成數(shù)據(jù)信息的泄露等安全威脅。對(duì)無(wú)線空口進(jìn)行安全加密，防止黑客監(jiān)聽(tīng)竊取用戶數(shù)據(jù)信息。

作為公共區(qū)域內(nèi)的接入網(wǎng)絡(luò)，全部的接入用戶被分離（用戶的分離，包含同樣的AP下的用戶間的分離，以及不同的AP下的網(wǎng)絡(luò)用戶間的分離）。隔離后，接入用戶之間不能訪問(wèn)，數(shù)據(jù)相互隔離，提高安全性，保證用戶數(shù)據(jù)安全。因?yàn)楣矃^(qū)域WLAN使用單向認(rèn)證（非相互認(rèn)證方式），訪問(wèn)點(diǎn)能確認(rèn)用戶的身份，不過(guò)用戶不能確認(rèn)訪問(wèn)點(diǎn)的身份。實(shí)際環(huán)境中，并不能有效的防止非法AP設(shè)備的放置，這就需要WLAN能夠?qū)χ苓叺臒狳c(diǎn)進(jìn)行實(shí)時(shí)檢測(cè)，檢測(cè)到非法接入點(diǎn)后立即進(jìn)行警告并對(duì)其進(jìn)行反制。對(duì)釣魚(yú)Wi-Fi進(jìn)行屏蔽，防止用戶接入到不安全的Wi-Fi，避免錢(qián)財(cái)、個(gè)人隱私被盜。

3.2 無(wú)線城市的部署實(shí)施

室外設(shè)備主要部署方式：利用城市的原有路燈設(shè)施進(jìn)行安裝布放；在無(wú)路燈環(huán)境下，新立桿進(jìn)行布放；利用居民屋頂進(jìn)行安裝布放。

AP部署指導(dǎo)：根據(jù)覆蓋區(qū)域選取合適的部署點(diǎn)位，同時(shí)要利于網(wǎng)線部署；合理選用全向天線和定向天線進(jìn)行信號(hào)覆蓋（全向覆蓋半徑100m～150m，定向覆蓋范圍300m～400m）；立抱桿，安裝AP。