一、行業背景

大(dà)型企業在無線網絡建設期間要充分(fēn)考慮訪客（領導、客戶、合作(zuò)夥伴）接入網絡的需求。首先從(cóng)安全性考慮，訪客網絡必須要和辦公網絡分(fēn)開，訪客網絡單獨提供給訪客使用。從(cóng)用戶體(tǐ)驗角度考慮，訪客接入網絡的驗證方式一定要做到簡單易行，繁瑣的驗證方式會降低訪客對企業的整體(tǐ)印象。同時對于訪客網絡，企業還(hái)需要建立完善的網絡安全管理(lǐ)機(jī)制，避免由于訪客的網絡不良訪問(wèn)給企業帶來(lái)的法律風(fēng)險。對于企業員(yuán)工(gōng)移動辦公上網，更需要做到可(kě)管控，上網行爲做到可(kě)追溯，企業有效的帶寬資源得(de)到合理(lǐ)的分(fēn)配和保證，才能使企業的業務系統正常且穩定高效地運行，同時保證企業信息安全，避免機(jī)密信息洩露。

二、存在的問(wèn)題（用戶需求）

1、接入不安全：缺乏安全可(kě)靠的認證機(jī)制，企業無線網絡接入不安全；

2、上網權限混亂：缺乏有效的控制策略，員(yuán)工(gōng)上網權限不分(fēn)明；

3、數據信息安全：缺乏有效的數據加密機(jī)制，企業數據被黑(hēi)客竊取篡改；

4、無線信号差：AP性能不佳，上網總掉線，點位規劃不合理(lǐ)，信号盲區多；

5、漫遊效果差：不能實現二三層漫遊，移動辦公時，業務中斷。

三、解決方案：

結合用戶無線網絡需求情況，結合産品自(zì)身(shēn)技術(shù)特點，爲了滿足用戶構建一個高速、穩定、安全、可(kě)靠、易于管理(lǐ)的無線接入網絡的需求，本設計(jì)方案按照(zhào)AP+AC的結構化無線網絡解決方案進行設計(jì)。具體(tǐ)設計(jì)爲在總部設置總部AC,在大(dà)型分(fēn)支機(jī)構設置分(fēn)支AC與分(fēn)支AP，中型分(fēn)支機(jī)構設計(jì)二級，三級交換機(jī)，分(fēn)支AP。小微型分(fēn)支機(jī)構直接設置分(fēn)支AP。總部AC可(kě)以對大(dà)型分(fēn)支機(jī)構的AC進行管理(lǐ)，當網點控制器采用集中管理(lǐ)的模式進入到中心端控制器時，會自(zì)動下載中心端的公共配置，比如(rú)IP組、MAC地址庫、時間計(jì)劃、角色授權、認證頁面等 。總部AC也可(kě)以直接管理(lǐ)中小型分(fēn)支機(jī)構的分(fēn)支AP，實現統一管理(lǐ)。

四、方案設計(jì)：

安全無線整體(tǐ)解決方案：

接入前&接入時進行身(shēn)份認證、安全無線網卡、賬号綁定（硬件(jiàn)碼+手機(jī)号），非法熱(rè)點檢測及防禦、網絡攻擊防護、射頻定時關閉及安全加固。

接入後&上網時進行訪問(wèn)權限控制。

上網後進行上網行爲記錄。

上網用戶身(shēn)份實名認證：

無線辦公網采用802.1X/Portal/WAPI認證，外置AAA和RADIUS+AD用于存儲用戶賬号密碼。

每個賬号對應一個員(yuán)工(gōng)，包括姓名、部門(mén)、性别以及身(shēn)份證、手機(jī)号等個人(rén)信息，保證每個上網的賬号都(dōu)是可(kě)尋的，便于安全管理(lǐ)。

用戶輸入賬号密碼上網驗證時均采用加密傳輸，防止黑(hēi)客空中攔截，竊取賬号密碼等數據。

上網賬号自(zì)動綁定終端：

自(zì)動将賬号與終端的硬件(jiàn)特征碼進行綁定，防止賬号被他(tā)人(rén)使用或者被盜用。

每台設備的硬件(jiàn)特征碼是唯一的，無法通過軟件(jiàn)修改，即使通過軟件(jiàn)修改了仍然可(kě)以識别原始的MAC。

每個賬号最多可(kě)以綁定5台終端，超過1台時需要管理(lǐ)員(yuán)審核。

上網賬号二次綁定手機(jī)号碼：

賬号首次登陸時需要綁定手機(jī)号并輸入短(duǎn)信驗證碼，當用戶賬号在新終端登陸時（換終端/被他(tā)用/被盜），不僅需要輸入密碼，還(hái)需要輸入短(duǎn)信驗證碼，解決員(yuán)工(gōng)賬号認證的安全問(wèn)題

綁定手機(jī)号碼的用戶，可(kě)以自(zì)助重置密碼和修改密碼，無需通過IT管理(lǐ)員(yuán)。

用戶密碼管理(lǐ)及自(zì)助修改：

無需通過管理(lǐ)員(yuán)即可(kě)修改密碼，提高效率及減輕管理(lǐ)員(yuán)工(gōng)作(zuò)壓力。

通過口袋助理(lǐ)、釘釘、企業号等手機(jī)MOA類APP軟件(jiàn)進行無線密碼修改。

若賬号綁定了手機(jī)号碼，可(kě)通過手機(jī)驗證碼自(zì)助修改。

上網終端合法效驗：

采用安全無線網卡接入無線網絡，終端與AP熱(rè)點的雙向驗證，提高安全性。

可(kě)以将無線網絡設置爲隻有安裝了安全無線網卡的終端才能接入無線網絡。

支持設置安全無線網卡隻能連指定SSID無線網絡，無法連接非授權SSID。

網卡與AP數據傳輸時自(zì)動進行數據加密，保證無線的空口安全。

無線熱(rè)點掃描及非法熱(rè)點抑制：

背景：黑(hēi)客在附近搭建一個一模一樣或者類似的WIFI名稱，誘使用戶連到虛假釣魚WIFI上，黑(hēi)客利用分(fēn)析軟件(jiàn)從(cóng)用戶上網産生(shēng)的數據包中分(fēn)析提取用戶隐私信息。

我們通過WIPS無線入侵防禦系統實時檢測周圍無線信号，當檢測出來(lái)的信号BSSID、且AP源MAC地址不在授權列表中時，我們向對應的AP和終端發送解除關聯幀，讓終端無法連上釣魚WIFI，7×24小時不間斷監測網絡。

上網行爲嚴格控制：

強大(dà)的管理(lǐ)：通過應用識别技術(shù)，可(kě)以根據應用類型或者具體(tǐ)某一種應用進行封堵，包括視頻、論壇、遊戲、金融、下載等4800多種網絡應用。

通過應用識别技術(shù)，可(kě)以根據應用類型或者具體(tǐ)某一種應用進行封堵，比如(rú)上班時間不允許炒股，不允許P2P下載，不允許外發敏感文件(jiàn)等； 支持主流移動平台，可(kě)識别IM、社交、Mail、新聞、炒股等應用。

無線控制器内置千萬級别的URL分(fēn)類庫，能夠對URL進行識别，包含新聞、購(gòu)物、金融、教育等18個種類的URL地址； 準确識别目前主流網站(zhàn)，識别率高達99.9%，有效實現網頁過濾。例如(rú)禁止登陸非法網站(zhàn)

通過基于時間段的訪問(wèn)控制策略，實現不同的時間段不同的訪問(wèn)權限，比如(rú)上班時間，禁止訪問(wèn)網上銀行、遊戲、論壇貼吧(ba)等與工(gōng)作(zuò)無關的應用，下班時間則不受限制。

辦公區域内，不同辦公部門(mén)總會有各自(zì)專屬的無線網絡，并且不希望部門(mén)之外的成員(yuán)使用這個網絡。無線網絡控制器可(kě)以根據用戶的屬性，限制禁止非本部門(mén)的用戶接入。

典型無線網絡攻擊防護：

對典型的危險攻擊行爲進行檢測，當超過設定的阈值後自(zì)動将攻擊者加入到黑(hēi)名單中，并凍結一定時間，即時發現網絡攻擊并進行防禦。

檢測的攻擊包括：DDOS防禦、ARP掃描、IP掃描、端口掃描防禦，禁止客戶端私設IP以及ARP、網關欺騙防禦、DHCP請(qǐng)求泛洪防禦。

無線射頻定時關閉開啓：

通過射頻關閉控制策略，可(kě)以指定某SSID網絡，定時自(zì)動關閉和開啓無線網絡的射頻信号，晚上下班後自(zì)動關閉無線射頻信号。

一方面可(kě)以節能減排、節省電費支出；另一方面又能防止非法用戶利用深夜時間入侵無線網絡，做一些非法的操作(zuò)。

有線無線一體(tǐ)化管理(lǐ)：

NAC的有線無線一體(tǐ)化，支持對有線用戶的接入認證、訪問(wèn)控制、流量管理(lǐ)、上網行爲審計(jì)等，

并提供統一中文Web管理(lǐ)界面，一站(zhàn)式服務，極大(dà)的降低網絡建設成本。

網絡分(fēn)權分(fēn)級管理(lǐ)：

分(fēn)配不同的管理(lǐ)員(yuán)分(fēn)别管理(lǐ)各自(zì)權限區域的無線AP，可(kě)以精細到對某AP分(fēn)組有管理(lǐ)權限，該管理(lǐ)員(yuán)可(kě)以在該AP分(fēn)組上建立無線網絡，能夠激活、删除接入點，能夠對AP的配置進行編輯修改。

可(kě)指定管理(lǐ)員(yuán)針對每個頁面的編輯或可(kě)查看(kàn)權限，控制粒度到控制器上的各個頁面，對某個頁面沒有讀(dú)權限則登錄時不顯示。

移動APP随時随地運維管理(lǐ)：

支持跨互聯網運維管理(lǐ)

登陸APP進行維護管理(lǐ)：不同管理(lǐ)員(yuán)，不同權限

查看(kàn)網絡運行情況：在線用戶、在線AP數量、實時流量

無線網絡管理(lǐ)維護：開啓關閉SSID、終端綁定審批、二維碼上網審核

故障、審批實時通知：AP離(lí)線警告、服務器離(lí)線警告、網絡攻擊告警

五、方案優勢：

1、豐富的無線安全機(jī)制，提供從(cóng)安全接入到安全上網等端到端的安全策略

2、合理(lǐ)管控工(gōng)作(zuò)人(rén)員(yuán)上網行爲，提升工(gōng)作(zuò)效率、防止帶寬浪費，有線無線雙重管控

3、爲會議(yì)室，報告廳等人(rén)員(yuán)密集區域接入網絡提高保證，解決有線網口不足的問(wèn)題；

4、爲企業員(yuán)工(gōng)的移動辦公提供支撐，内部員(yuán)工(gōng)可(kě)通過無線網絡随時安全接入内部網絡，實現辦公；

5、内部員(yuán)工(gōng)賬号及個人(rén)信息綁定，便于安全管理(lǐ)；

6、内部員(yuán)工(gōng)可(kě)通過自(zì)己的辦公設備在企業大(dà)樓内快(kuài)速移動辦公，網絡接入更快(kuài)速，上網行爲管理(lǐ)系統對員(yuán)工(gōng)上網行爲進行審計(jì)與管控

7、來(lái)訪客戶接入企業網絡，可(kě)根據不同需求，分(fēn)配不同的上網權限，保證了接入的安全性同時提升群衆上網的體(tǐ)驗

8、豐富的認證機(jī)制，滿足組織對無線網絡安全、快(kuài)速接入

9、投資成本低，通過部署無線控制器替換原有網絡的出口路(lù)由、行爲管理(lǐ)以及無線控制器