大型企(qi)業(yè)在(zai)無線網(wǎng)(wang)絡建設期間要(yao)充分考慮(lv)訪客(ke)（領導、客戶(hu)、合作伙(huo)伴）接(jie)入網(wǎng)絡的(de)需求。首先(xian)從安全性(xing)考慮，訪客網(wǎng)絡(luo)必須(xu)要和辦公網(wǎng)(wang)絡分(fen)開，訪客網(wǎng)(wang)絡單獨提供給(gei)訪客使(shi)用。從(cong)用戶體驗角度(du)考慮，訪客接(jie)入網(wǎng)絡的(de)驗證方式一(yi)定要做到簡單(dan)易行(xing)，繁瑣的驗證方(fang)式會降低訪客(ke)對企業(yè)(ye)的整體(ti)印象。同時(shi)對于訪客(ke)網(wǎng)絡，企業(yè)還需(xu)要建(jian)立完(wan)善的(de)網(wǎng)絡安(an)全管理機制，避(bi)免由(you)于訪客的網(wǎng)絡(luo)不良訪(fang)問給(gei)企業(yè)帶來的法(fa)律風險。對(dui)于企(qi)業(yè)員工移(yi)動辦公上網(wǎng)，更(geng)需要(yao)做到可管控(kong)，上網(wǎng)行(xing)為做到可(ke)追溯，企業(yè)(ye)有效的(de)帶寬(kuan)資源(yuan)得到(dao)合理的(de)分配(pei)和保證，才(cai)能使企業(yè)的(de)業(yè)務系統(tǒng)(tong)正常(chang)且穩(wěn)定高效(xiao)地運行，同時保(bao)證企業(yè)信息安(an)全，避免機密(mi)信息泄露。

存在(zai)的問題（用戶(hu)需求）

1、接入不安(an)全：缺(que)乏安全可(ke)靠的認證機制(zhi)，企業(yè)無線網(wǎng)絡(luo)接入不安(an)全

2、上網(wǎng)權限混亂(luan)：缺乏(fa)有效的控制策(ce)略，員(yuan)工上網(wǎng)權限不(bu)分明

3、數(shù)據(jù)信息(xi)安全：缺乏有(you)效的(de)數(shù)據(jù)加密機制(zhi)，企業(yè)數(shù)(shu)據(jù)被黑客竊(qie)取篡(cuan)改

4、無線(xian)信號差：AP性(xing)能不佳，上網(wǎng)總(zong)掉線，點(dian)位規(guī)劃不合(he)理，信號盲(mang)區(qū)多

5、漫游效(xiao)果差：不能實現(xiàn)(xian)二三層漫游，移(yi)動辦公(gong)時，業(yè)務中斷

解決(jue)方案(an)：

結合(he)用戶無(wu)線網(wǎng)絡需求情(qing)況，結合(he)產品自身技(ji)術特點，為了(le)滿足用戶(hu)構建一個高(gao)速、穩(wěn)定、安全(quan)、可靠(kao)、易于管理的無(wu)線接入網(wǎng)絡的(de)需求，本設計(ji)方案按(an)照AP+AC的結構(gou)化無線網(wǎng)(wang)絡解(jie)決方(fang)案進行設(she)計。具(ju)體設計為在(zai)總部(bu)設置總(zong)部AC,在(zai)大型分支機構(gou)設置分支AC與分(fen)支AP，中型(xing)分支機構設計(ji)二級(ji)，三級交換機，分(fen)支AP。小微型分(fen)支機構直接(jie)設置分支AP?？偛?bu)AC可以對(dui)大型分支(zhi)機構的AC進(jin)行管(guan)理，當網(wǎng)點控(kong)制器采用集中(zhong)管理的(de)模式進入(ru)到中心端控制(zhi)器時，會自動下(xia)載中心(xin)端的公(gong)共配(pei)置，比如IP組、MAC地(di)址庫、時(shi)間計劃(hua)、角色授(shou)權、認證(zheng)頁面等(deng) ?？偛緼C也可以(yi)直接管理中(zhong)小型分支機(ji)構的分支(zhi)AP，實現(xiàn)統(tǒng)一管理(li)。

方案設計(ji)：

安全無線整(zheng)體解決(jue)方案：

接入前&接入(ru)時進(jin)行身份認證、安(an)全無線網(wǎng)卡、賬(zhang)號綁(bang)定（硬件碼+手(shou)機號），非法(fa)熱點檢測及(ji)防御(yu)、網(wǎng)絡(luo)攻擊防(fang)護、射(she)頻定時關閉及(ji)安全(quan)加固(gu)。

接入(ru)后&上網(wǎng)(wang)時進行(xing)訪問權限(xian)控制。

上網(wǎng)后進行(xing)上網(wǎng)行為(wei)記錄。

上網(wǎng)用戶身(shen)份實名(ming)認證：

無線辦公網(wǎng)(wang)采用(yong)802.1X/Portal/WAPI認證(zheng)，外置AAA和RADIUS+AD用于(yu)存儲用戶賬(zhang)號密碼。

每個賬號對(dui)應一個員工，包(bao)括姓名(ming)、部門、性別(bie)以及身份證、手(shou)機號等個人(ren)信息，保證每個(ge)上網(wǎng)的賬(zhang)號都是可尋(xun)的，便于(yu)安全管理(li)。

用戶輸(shu)入賬號密碼上(shang)網(wǎng)驗證時均采(cai)用加密傳(chuan)輸，防止黑(hei)客空中攔截，竊(qie)取賬(zhang)號密碼等數(shù)(shu)據(jù)。

上網(wǎng)賬號自動(dong)綁定終端：

自動將賬號與(yu)終端的(de)硬件特征碼(ma)進行綁定，防止(zhi)賬號被他(ta)人使(shi)用或者被盜(dao)用。

每臺設備的硬(ying)件特征碼(ma)是唯一的(de)，無法通過軟(ruan)件修改。即使(shi)通過軟件修(xiu)改了仍然可以(yi)識別原始的。

每個賬號最多(duo)可以綁定5臺(tai)終端，超過(guo)1臺時需要(yao)管理員審(shen)核。

上網(wǎng)賬號二(er)次綁定(ding)手機號碼(ma)：

賬號首次(ci)登陸時(shi)需要(yao)綁定(ding)手機(ji)號并(bing)輸入(ru)短信驗證碼，當(dang)用戶賬號在(zai)新終端登陸時(shi)（換終端/被他用(yong)/被盜），不僅需(xu)要輸入(ru)密碼，還需要(yao)輸入(ru)短信(xin)驗證碼(ma)，解決員工賬(zhang)號認(ren)證的安(an)全問題

綁定手機號(hao)碼的(de)用戶，可以(yi)自助重置(zhi)密碼和(he)修改密碼，無(wu)需通過IT管理員(yuan)。

用戶密(mi)碼管理及自(zi)助修改：

無需通(tong)過管(guan)理員(yuan)即可修改(gai)密碼(ma)，提高效率及(ji)減輕(qing)管理(li)員工(gong)作壓力。

通過口(kou)袋助理、釘(ding)釘、企業(yè)號(hao)等手機(ji)MOA類APP軟件進(jin)行無線密碼(ma)修改。

若賬號綁定(ding)了手(shou)機號碼，可通過(guo)手機驗證(zheng)碼自助修改。

上網(wǎng)終端合(he)法效驗：

采用安全(quan)無線網(wǎng)卡(ka)接入無線網(wǎng)絡(luo)，終端與(yu)AP熱點的(de)雙向(xiang)驗證，提(ti)高安全性。

可以(yi)將無線網(wǎng)絡設(she)置為只有(you)安裝了安全無(wu)線網(wǎng)卡的終(zhong)端才能接入(ru)無線(xian)網(wǎng)絡。

支持設置(zhi)安全(quan)無線(xian)網(wǎng)卡只能(neng)連指定(ding)SSID無線網(wǎng)(wang)絡，無法連接(jie)非授權(quan)SSID。

網(wǎng)卡與AP數(shù)據(jù)(ju)傳輸時自動進(jin)行數(shù)據(jù)加(jia)密，保證無(wu)線的空口安(an)全。

無線(xian)熱點掃描及非(fei)法熱點抑制：

背景：黑客(ke)在附(fu)近搭建一個(ge)一模一(yi)樣或者(zhe)類似的(de)WIFI名稱，誘使用戶(hu)連到虛假釣(diao)魚WIFI上，黑(hei)客利用分析(xi)軟件(jian)從用戶上網(wǎng)(wang)產生的數(shù)(shu)據(jù)包中(zhong)分析提取用戶(hu)隱私信息。

我們通過WIPS無線(xian)入侵防御(yu)系統(tǒng)實(shi)時檢測周圍(wei)無線信(xin)號，當(dang)檢測(ce)出來的信(xin)號BSSID、且AP源MAC地(di)址不在(zai)授權列表中(zhong)時，我們向(xiang)對應的AP和(he)終端發(fā)送(song)解除關聯(lián)幀(zhen)，讓終端無法連(lian)上釣魚WIFI。7×24小時不(bu)間斷監(jiān)(jian)測網(wǎng)(wang)絡。

上網(wǎng)行為嚴格(ge)控制：

強大的管(guan)理：通過應用識(shi)別技(ji)術，可以根據(jù)(ju)應用類型或(huo)者具體某一(yi)種應用(yong)進行(xing)封堵，包括視(shi)頻、論壇、游(you)戲、金融(rong)、下載等2400多種(zhong)網(wǎng)絡應用。

通過(guo)應用識別技術(shu)，可以根據(jù)應用(yong)類型或者具(ju)體某一(yi)種應(ying)用進行封(feng)堵，比如上班(ban)時間不允許(xu)炒股，不允(yun)許P2P下載，不允(yun)許外發(fā)(fa)敏感文件(jian)等； 支持主流移(yi)動平(ping)臺，可識別(bie)IM、社交(jiao)、Mail、新聞(wen)、炒股等(deng)應用(yong)。

無線控制器內(nei)置千萬級別的(de)URL分類庫，能夠(gou)對URL進行識別，包(bao)含新聞、購物(wu)、金融(rong)、教育等18個(ge)種類的URL地址； 準(zhun)確識別目前主(zhu)流網(wǎng)站(zhan)，識別率高達99.9%，有(you)效實(shi)現(xiàn)網(wǎng)頁過濾(lv)。例如禁止(zhi)登陸非法網(wǎng)站(zhan)

通過(guo)基于時間(jian)段的訪(fang)問控制策略(lve)，實現(xiàn)不(bu)同的時間(jian)段不同的(de)訪問(wen)權限，比如(ru)上班時間，禁止(zhi)訪問網(wǎng)(wang)上銀行、游戲、論(lun)壇貼吧(ba)等與(yu)工作無關的(de)應用，下班(ban)時間則不受限(xian)制。

辦公(gong)區(qū)域內，不同(tong)辦公(gong)部門總(zong)會有各自專屬(shu)的無線(xian)網(wǎng)絡，并且不(bu)希望部門之外(wai)的成員使用(yong)這個網(wǎng)(wang)絡。無線(xian)網(wǎng)絡控制(zhi)器可以(yi)根據(jù)用戶的(de)屬性(xing)，限制(zhi)禁止非本部門(men)的用戶接(jie)入。

典型無(wu)線網(wǎng)絡攻擊防(fang)護：

對典型的(de)危險攻擊行為(wei)進行檢測(ce)，當超過(guo)設定(ding)的閾值(zhi)后自動將攻擊(ji)者加入到黑(hei)名單中(zhong)，并凍(dong)結一定(ding)時間，即(ji)時發(fā)現(xiàn)網(wǎng)絡(luo)攻擊(ji)并進行防(fang)御。

檢測的攻(gong)擊包(bao)括：DDOS防御、ARP掃(sao)描、IP掃描、端口掃(sao)描防(fang)御，禁止(zhi)客戶端私(si)設IP以(yi)及ARP、網(wǎng)(wang)關欺騙防御、DHCP請(qing)求泛洪(hong)防御。

無線(xian)射頻定(ding)時關閉開啟(qi)：

通過射頻關(guan)閉控制(zhi)策略(lve)，可以指(zhi)定某SSID網(wǎng)絡(luo)，定時自動(dong)關閉和開啟(qi)無線網(wǎng)(wang)絡的射頻信號(hao)，晚上下班后(hou)自動關(guan)閉無線射頻(pin)信號。

一方面可以節(jié)(jie)能減排、節(jié)(jie)省電費支(zhi)出；另(ling)一方面又能(neng)防止非(fei)法用戶利(li)用深夜時間(jian)入侵無線網(wǎng)(wang)絡，做一些非(fei)法的操作(zuo)。

有線無線一(yi)體化管理：

NAC的有線(xian)無線一體化，支(zhi)持對有線(xian)用戶的接入認(ren)證、訪問(wen)控制(zhi)、流量(liang)管理、上(shang)網(wǎng)行為審計等(deng)，

并提(ti)供統(tǒng)(tong)一中文Web管理界(jie)面，一站(zhan)式服務，極大的(de)降低網(wǎng)絡建設(she)成本。

網(wǎng)絡分權分級(ji)管理：

分配不同的(de)管理員分別管(guan)理各(ge)自權(quan)限區(qū)域的無(wu)線AP，可以精(jing)細到(dao)對某(mou)AP分組有管(guan)理權限，該(gai)管理員(yuan)可以在該(gai)AP分組上建立無(wu)線網(wǎng)(wang)絡，能夠(gou)激活(huo)、刪除接入(ru)點，能夠(gou)對AP的配置進(jin)行編輯(ji)修改。

可指定(ding)管理員針對每(mei)個頁面的(de)編輯(ji)或可查看權(quan)限，控(kong)制粒(li)度到(dao)控制器上的各(ge)個頁面，對某個(ge)頁面沒有(you)讀權限則登(deng)錄時不顯示。

移動APP隨時隨(sui)地運維管理：

支持跨互(hu)聯(lián)網(wǎng)運(yun)維管(guan)理

登陸APP進(jin)行維護管(guan)理：不同管(guan)理員，不(bu)同權限

查看網(wǎng)絡運(yun)行情況：在線(xian)用戶、在(zai)線AP數(shù)量、實(shi)時流量

無線網(wǎng)絡管理(li)維護(hu)：開啟關(guan)閉SSID、終(zhong)端綁定審(shen)批、二維(wei)碼上網(wǎng)審核(he)

故障、審批實時(shi)通知：AP離線(xian)警告、服務(wu)器離線警告、網(wǎng)(wang)絡攻擊告警

方案優(yōu)勢(shi)：

1、最豐富的(de)無線安全機制(zhi)，提供(gong)從安全接(jie)入到(dao)安全上網(wǎng)等端(duan)到端的安(an)全策略

2、合理管(guan)控工作(zuo)人員上(shang)網(wǎng)行(xing)為，提升工作(zuo)效率、防止帶(dai)寬浪費，有(you)線無線雙(shuang)重管控

3、為會議室，報(bao)告廳等人(ren)員密集(ji)區(qū)域接入(ru)網(wǎng)絡提高(gao)保證(zheng)，解決有線網(wǎng)(wang)口不足的問(wen)題；

4、為企業(yè)員工的(de)移動辦(ban)公提供支撐，內(nei)部員工(gong)可通過(guo)無線(xian)網(wǎng)絡隨時安(an)全接入內(nei)部網(wǎng)絡，實(shi)現(xiàn)辦(ban)公；

5、內部員工賬(zhang)號及個人信息(xi)綁定，便(bian)于安全管理；

6、內部員(yuan)工可通過自己(ji)的辦(ban)公設備在企業(yè)(ye)大樓(lou)內快速移(yi)動辦公，網(wǎng)絡(luo)接入更快速，上(shang)網(wǎng)行為(wei)管理系統(tǒng)(tong)對員工上(shang)網(wǎng)行為(wei)進行審計與管(guan)控

7、來訪客(ke)戶接(jie)入企業(yè)網(wǎng)絡(luo)，可根據(jù)(ju)不同需求，分配(pei)不同的上網(wǎng)(wang)權限，保(bao)證了接入的(de)安全性(xing)同時提升群眾(zhong)上網(wǎng)的體驗

8、豐富的認證(zheng)機制，滿足組織(zhi)對無線網(wǎng)(wang)絡安(an)全、快速接入(ru)

9、投資成(cheng)本低(di)，通過部(bu)署無(wu)線控制(zhi)器替換原有(you)網(wǎng)絡的出口路(lu)由、行(xing)為管理以及無(wu)線控(kong)制器