大型企(qi)業(yè)在無(wu)線網(wǎng)絡(luò)建設(shè)期(qi)間要充分考慮(lv)訪客（領(lǐng)導(dǎo)、客戶(hu)、合作伙伴(ban)）接入網(wǎng)絡(luò)的需(xu)求。首先從(cong)安全性考慮，訪(fang)客網(wǎng)絡(luò)必須要(yao)和辦(ban)公網(wǎng)絡(luò)(luo)分開(kai)，訪客網(wǎng)絡(luò)(luo)單獨(dú)(du)提供給訪(fang)客使(shi)用。從用戶體(ti)驗角度考慮，訪(fang)客接入網(wǎng)(wang)絡(luò)的驗(yan)證方式一定(ding)要做到簡單(dan)易行，繁(fan)瑣的驗證方式(shi)會降低訪客(ke)對企業(yè)(ye)的整體(ti)印象(xiang)。同時對于訪(fang)客網(wǎng)(wang)絡(luò)，企業(yè)還需(xu)要建立完(wan)善的網(wǎng)絡(luò)安(an)全管理機(jī)制，避(bi)免由于(yu)訪客的網(wǎng)絡(luò)(luo)不良訪問給企(qi)業(yè)帶(dai)來的法(fa)律風(fēng)險(xian)。對于企(qi)業(yè)員(yuan)工移動辦(ban)公上網(wǎng)(wang)，更需要做(zuo)到可管控，上(shang)網(wǎng)行為做到(dao)可追(zhui)溯，企業(yè)有效(xiao)的帶寬資源得(de)到合理(li)的分配(pei)和保證，才能(neng)使企業(yè)(ye)的業(yè)務(wù)(wu)系統(tǒng)正(zheng)常且穩(wěn)定高(gao)效地(di)運(yùn)行，同(tong)時保證企業(yè)信(xin)息安全(quan)，避免機(jī)密(mi)信息泄露。

存在的問題(ti)（用戶需求(qiu)）

1、接入(ru)不安(an)全：缺乏安全可(ke)靠的(de)認(rèn)證機(jī)制(zhi)，企業(yè)無線(xian)網(wǎng)絡(luò)接入不安(an)全

2、上網(wǎng)權(quán)限(xian)混亂：缺乏有效(xiao)的控制策略，員(yuan)工上網(wǎng)權(quán)(quan)限不(bu)分明(ming)

3、數(shù)據(jù)信息安全(quan)：缺乏有效(xiao)的數(shù)據(jù)加密機(jī)(ji)制，企業(yè)數(shù)(shu)據(jù)被黑客竊(qie)取篡改

4、無線信號差(cha)：AP性能不(bu)佳，上網(wǎng)總掉線(xian)，點(diǎn)位規(guī)(gui)劃不合(he)理，信號盲(mang)區(qū)多(duo)

5、漫游效果差：不(bu)能實現(xiàn)二三層(ceng)漫游，移(yi)動辦公(gong)時，業(yè)務(wù)中斷(duan)

解決方(fang)案：

結(jié)合用戶無線(xian)網(wǎng)絡(luò)需求(qiu)情況，結(jié)(jie)合產(chǎn)(chan)品自(zi)身技(ji)術(shù)特點(diǎn)(dian)，為了滿(man)足用戶(hu)構(gòu)建一(yi)個高速(su)、穩(wěn)定、安全(quan)、可靠、易于(yu)管理(li)的無線接(jie)入網(wǎng)絡(luò)的(de)需求，本(ben)設(shè)計方(fang)案按照(zhao)AP+AC的結(jié)構(gòu)化無線(xian)網(wǎng)絡(luò)(luo)解決方案進(jìn)行(xing)設(shè)計。具體設(shè)計(ji)為在(zai)總部設(shè)置總部(bu)AC,在大型分(fen)支機(jī)構(gòu)設(shè)置(zhi)分支AC與分支AP，中(zhong)型分支機(jī)構(gòu)設(shè)(she)計二級，三級交(jiao)換機(jī)(ji)，分支AP。小(xiao)微型分(fen)支機(jī)(ji)構(gòu)直接設(shè)(she)置分支AP?？?zong)部AC可以對大(da)型分支機(jī)(ji)構(gòu)的AC進(jìn)行管理(li)，當(dāng)網(wǎng)點(diǎn)控制器(qi)采用集中(zhong)管理的模式(shi)進(jìn)入(ru)到中(zhong)心端控制(zhi)器時，會自(zi)動下載中(zhong)心端的公(gong)共配置，比如IP組(zu)、MAC地址庫、時間(jian)計劃、角(jiao)色授權(quán)、認(rèn)證頁(ye)面等(deng) 。總部(bu)AC也可(ke)以直接管理(li)中小型分(fen)支機(jī)(ji)構(gòu)的分支AP，實(shi)現(xiàn)統(tǒng)一管(guan)理。

方案設(shè)計：

安全無線整體(ti)解決方案(an)：

接入前(qian)&接入時進(jìn)(jin)行身份(fen)認(rèn)證、安全無(wu)線網(wǎng)卡、賬號(hao)綁定(ding)（硬件碼+手(shou)機(jī)號），非(fei)法熱(re)點(diǎn)檢測及防(fang)御、網(wǎng)絡(luò)(luo)攻擊防護(hù)、射頻(pin)定時關(guān)閉(bi)及安全加固(gu)。

接入后&上(shang)網(wǎng)時進(jìn)行(xing)訪問權(quán)(quan)限控制。

上網(wǎng)(wang)后進(jìn)行上(shang)網(wǎng)行(xing)為記錄。

上網(wǎng)(wang)用戶身份實(shi)名認(rèn)證：

無線辦公(gong)網(wǎng)采(cai)用802.1X/Portal/WAPI認(rèn)證(zheng)，外置(zhi)AAA和RADIUS+AD用于存儲(chu)用戶賬號密碼(ma)。

每個賬(zhang)號對應(yīng)一(yi)個員(yuan)工，包(bao)括姓(xing)名、部門、性(xing)別以(yi)及身(shen)份證、手機(jī)號等(deng)個人信息，保(bao)證每個上網(wǎng)的(de)賬號都(dou)是可尋(xun)的，便于安(an)全管理。

用戶輸入賬(zhang)號密碼上網(wǎng)(wang)驗證(zheng)時均采用加(jia)密傳輸，防止(zhi)黑客空中(zhong)攔截，竊取賬(zhang)號密碼(ma)等數(shù)據(jù)(ju)。

上網(wǎng)(wang)賬號自動綁(bang)定終端：

自動將(jiang)賬號與終(zhong)端的硬件(jian)特征碼進(jìn)(jin)行綁定，防止(zhi)賬號被他(ta)人使用或者被(bei)盜用。

每臺設(shè)備的硬(ying)件特(te)征碼是唯一的(de)，無法通(tong)過軟件(jian)修改。即(ji)使通過(guo)軟件修改了仍(reng)然可以識(shi)別原始的。

每個賬號最(zui)多可以綁(bang)定5臺終端，超過(guo)1臺時需要管(guan)理員審核。

上網(wǎng)(wang)賬號(hao)二次(ci)綁定手機(jī)號(hao)碼：

賬號(hao)首次(ci)登陸(lu)時需要綁(bang)定手(shou)機(jī)號(hao)并輸入短信(xin)驗證碼，當(dāng)(dang)用戶賬號在(zai)新終端登(deng)陸時（換終端(duan)/被他用/被(bei)盜），不僅需要(yao)輸入密(mi)碼，還需要輸(shu)入短(duan)信驗(yan)證碼，解(jie)決員工(gong)賬號認(rèn)證(zheng)的安(an)全問題

綁定手(shou)機(jī)號碼的(de)用戶，可以(yi)自助重置密碼(ma)和修改密碼(ma)，無需通(tong)過IT管理員(yuan)。

用戶(hu)密碼管理及(ji)自助(zhu)修改：

無需通過(guo)管理(li)員即可修(xiu)改密碼，提(ti)高效率(lv)及減輕(qing)管理員工(gong)作壓力。

通過(guo)口袋(dai)助理(li)、釘釘、企(qi)業(yè)號等手機(jī)(ji)MOA類APP軟件進(jìn)行(xing)無線(xian)密碼修改。

若賬號綁定了(le)手機(jī)號碼，可(ke)通過手機(jī)(ji)驗證碼(ma)自助修(xiu)改。

上網(wǎng)(wang)終端合(he)法效驗：

采用安(an)全無線網(wǎng)(wang)卡接入(ru)無線網(wǎng)絡(luò)(luo)，終端(duan)與AP熱點(diǎn)的雙(shuang)向驗證，提高安(an)全性。

可以將無(wu)線網(wǎng)絡(luò)設(shè)(she)置為只(zhi)有安裝了安全(quan)無線網(wǎng)卡(ka)的終端才能接(jie)入無線網(wǎng)絡(luò)。

支持設(shè)(she)置安(an)全無(wu)線網(wǎng)卡只能連(lian)指定SSID無(wu)線網(wǎng)絡(luò)，無法連(lian)接非授權(quán)(quan)SSID。

網(wǎng)卡與AP數(shù)據(jù)傳(chuan)輸時自動進(jìn)行(xing)數(shù)據(jù)加密，保證(zheng)無線的空(kong)口安全。

無線(xian)熱點(diǎn)(dian)掃描及非法熱(re)點(diǎn)抑制：

背景：黑(hei)客在附近(jin)搭建(jian)一個一模一(yi)樣或者(zhe)類似的(de)WIFI名稱(cheng)，誘使用戶(hu)連到虛假釣魚(yu)WIFI上，黑客利用(yong)分析軟件從用(yong)戶上網(wǎng)(wang)產(chǎn)生的數(shù)(shu)據(jù)包(bao)中分析提取(qu)用戶隱(yin)私信息。

我們通(tong)過WIPS無線入(ru)侵防御系統(tǒng)(tong)實時(shi)檢測周(zhou)圍無線信號(hao)，當(dāng)檢測出來(lai)的信(xin)號BSSID、且AP源(yuan)MAC地址不(bu)在授(shou)權(quán)列表中時，我(wo)們向?qū)?yīng)的(de)AP和終(zhong)端發(fā)送解(jie)除關(guān)聯(lián)(lian)幀，讓終端(duan)無法連上釣魚(yu)WIFI。7×24小時(shi)不間斷(duan)監(jiān)測網(wǎng)絡(luò)。

上網(wǎng)行為(wei)嚴(yán)格(ge)控制：

強(qiáng)大的管理(li)：通過應(yīng)用識(shi)別技術(shù)，可以(yi)根據(jù)(ju)應(yīng)用類(lei)型或者具體(ti)某一(yi)種應(yīng)用進(jìn)(jin)行封堵，包括視(shi)頻、論壇(tan)、游戲、金融、下(xia)載等2400多(duo)種網(wǎng)絡(luò)應(yīng)(ying)用。

通過(guo)應(yīng)用識別技(ji)術(shù)，可以根(gen)據(jù)應(yīng)用類型或(huo)者具體某一(yi)種應(yīng)(ying)用進(jìn)行封堵(du)，比如上班時(shi)間不允許(xu)炒股，不允許(xu)P2P下載，不(bu)允許外發(fā)敏(min)感文件等； 支(zhi)持主流移(yi)動平(ping)臺，可(ke)識別(bie)IM、社交、Mail、新(xin)聞、炒股等應(yīng)用(yong)。

無線控制器內(nèi)(nei)置千(qian)萬級別(bie)的URL分類庫(ku)，能夠?qū)RL進(jìn)(jin)行識別，包(bao)含新聞、購物(wu)、金融、教(jiao)育等(deng)18個種(zhong)類的(de)URL地址； 準(zhǔn)確(que)識別目前主(zhu)流網(wǎng)(wang)站，識別率(lv)高達(dá)99.9%，有(you)效實現(xiàn)網(wǎng)(wang)頁過濾。例如(ru)禁止登陸非(fei)法網(wǎng)站

通過基于時間(jian)段的(de)訪問控制策略(lve)，實現(xiàn)不(bu)同的時間(jian)段不同的訪問(wen)權(quán)限，比如上班(ban)時間，禁止(zhi)訪問網(wǎng)上銀(yin)行、游(you)戲、論壇(tan)貼吧(ba)等與工作無(wu)關(guān)的(de)應(yīng)用(yong)，下班時間則不(bu)受限(xian)制。

辦公(gong)區(qū)域(yu)內(nèi)，不(bu)同辦公部門總(zong)會有各自(zi)專屬的無(wu)線網(wǎng)絡(luò)(luo)，并且(qie)不希(xi)望部(bu)門之外(wai)的成員(yuan)使用這個(ge)網(wǎng)絡(luò)。無(wu)線網(wǎng)(wang)絡(luò)控(kong)制器可(ke)以根據(jù)(ju)用戶的(de)屬性，限(xian)制禁止非本部(bu)門的用戶(hu)接入。

典型(xing)無線網(wǎng)(wang)絡(luò)攻(gong)擊防護(hù)：

對典型(xing)的危(wei)險攻擊行(xing)為進(jìn)行檢測(ce)，當(dāng)超過設(shè)定(ding)的閾值后自(zi)動將攻(gong)擊者加入到(dao)黑名(ming)單中，并(bing)凍結(jié)一定(ding)時間，即時發(fā)現(xiàn)(xian)網(wǎng)絡(luò)(luo)攻擊并(bing)進(jìn)行防御(yu)。

檢測的攻擊(ji)包括：DDOS防御(yu)、ARP掃描、IP掃描、端(duan)口掃描(miao)防御，禁止客戶(hu)端私設(shè)IP以及ARP、網(wǎng)(wang)關(guān)欺騙防(fang)御、DHCP請求泛洪(hong)防御。

無線射頻定時(shi)關(guān)閉開啟(qi)：

通過射頻關(guān)(guan)閉控制策略(lve)，可以(yi)指定某SSID網(wǎng)絡(luò)，定(ding)時自動關(guān)閉(bi)和開啟無線網(wǎng)(wang)絡(luò)的射頻信號(hao)，晚上下(xia)班后(hou)自動(dong)關(guān)閉無線射頻(pin)信號。

一方面(mian)可以節(jié)能減(jian)排、節(jié)省電費(fèi)(fei)支出；另一(yi)方面又(you)能防止(zhi)非法用戶利(li)用深夜(ye)時間入侵無線(xian)網(wǎng)絡(luò)，做(zuo)一些(xie)非法的操作。

有線無線(xian)一體化管(guan)理：

NAC的有(you)線無線(xian)一體化(hua)，支持對有線(xian)用戶的接(jie)入認(rèn)證、訪問控(kong)制、流量管(guan)理、上網(wǎng)行(xing)為審(shen)計等，

并提供(gong)統(tǒng)一中文Web管理(li)界面，一站(zhan)式服務(wù)，極大的(de)降低網(wǎng)絡(luò)建設(shè)(she)成本。

網(wǎng)絡(luò)分權(quán)(quan)分級管(guan)理：

分配不同的(de)管理員(yuan)分別管(guan)理各自(zi)權(quán)限區(qū)(qu)域的無(wu)線AP，可以精(jing)細(xì)到對某AP分組(zu)有管理權(quán)限(xian)，該管理(li)員可(ke)以在該AP分組上(shang)建立無(wu)線網(wǎng)絡(luò)，能夠(gou)激活、刪除(chu)接入點(diǎn)，能(neng)夠?qū)P的配置(zhi)進(jìn)行(xing)編輯修改。

可指定管理員(yuan)針對每個(ge)頁面的編(bian)輯或可(ke)查看權(quán)限(xian)，控制粒度(du)到控制器上(shang)的各個(ge)頁面(mian)，對某個(ge)頁面沒有讀權(quán)(quan)限則登錄(lu)時不顯(xian)示。

移動APP隨時(shi)隨地(di)運(yùn)維管理：

支持(chi)跨互聯(lián)網(wǎng)(wang)運(yùn)維管(guan)理

登陸APP進(jìn)(jin)行維護(hù)管(guan)理：不同(tong)管理員，不(bu)同權(quán)限

查看網(wǎng)絡(luò)運(yùn)行(xing)情況(kuang)：在線用(yong)戶、在線AP數(shù)(shu)量、實時流(liu)量

無線網(wǎng)絡(luò)管理(li)維護(hù)：開啟關(guān)閉(bi)SSID、終端綁定審批(pi)、二維碼上網(wǎng)(wang)審核

故障、審(shen)批實時通知：AP離(li)線警告、服務(wù)器(qi)離線警告、網(wǎng)絡(luò)(luo)攻擊告警

方案(an)優(yōu)勢：

1、最豐富(fu)的無(wu)線安全機(jī)制(zhi)，提供從(cong)安全接入(ru)到安全(quan)上網(wǎng)等(deng)端到端的安(an)全策(ce)略

2、合理(li)管控工作(zuo)人員上網(wǎng)行(xing)為，提升工作(zuo)效率、防(fang)止帶寬(kuan)浪費(fèi)，有線(xian)無線雙重管(guan)控

3、為會議室，報告(gao)廳等人員(yuan)密集區(qū)(qu)域接入(ru)網(wǎng)絡(luò)提(ti)高保證，解(jie)決有線網(wǎng)口不(bu)足的(de)問題(ti)；

4、為企(qi)業(yè)員工的(de)移動辦(ban)公提供(gong)支撐，內(nèi)部(bu)員工可(ke)通過(guo)無線(xian)網(wǎng)絡(luò)(luo)隨時安全接(jie)入內(nèi)(nei)部網(wǎng)(wang)絡(luò)，實現(xiàn)辦公；

5、內(nèi)部員工賬號(hao)及個人信息綁(bang)定，便于安全管(guan)理；

6、內(nèi)部(bu)員工可通過(guo)自己的(de)辦公設(shè)(she)備在企業(yè)大樓(lou)內(nèi)快速移動辦(ban)公，網(wǎng)絡(luò)接入更(geng)快速，上(shang)網(wǎng)行為管(guan)理系統(tǒng)對員(yuan)工上網(wǎng)行為(wei)進(jìn)行審計與(yu)管控(kong)

7、來訪客戶接(jie)入企業(yè)網(wǎng)絡(luò)(luo)，可根據(jù)(ju)不同需(xu)求，分(fen)配不同的上網(wǎng)(wang)權(quán)限，保證了(le)接入的安(an)全性同(tong)時提升群眾(zhong)上網(wǎng)的體驗

8、豐富的認(rèn)(ren)證機(jī)制，滿足組(zu)織對無線網(wǎng)絡(luò)(luo)安全、快速(su)接入

9、投資成本低，通(tong)過部署無線控(kong)制器替換原有(you)網(wǎng)絡(luò)的(de)出口路由、行(xing)為管理以及無(wu)線控(kong)制器