因篇幅所限，本文接续上一篇《某校园无线Wi-Fi网络全覆盖初期规划方案（一）》。

本方案是壹云互联-小壹团队为某校园WiFi网络项目进行的初期规划设计，在此分享给大家，有不妥之处，敬请批评指正。特别说明：本文个别内容来自互联网整理。

Wi-Fi无线网络

3.1 系统概述

无线网络系统依托综合布线的物理链路，为现代化校园构建高速、可靠的数据传输、承载平台，是现代化校园里最基础也是极其重要的组成部分。我们在充分了解了本项目现有实际需求和将来系统整体发展需求的基础上，采用先进、可靠、安全、经济的技术和设备，依据层次化、结构化的设计原则，坚持“针对性与差异化并举”的设计理念，力图为学院规划设计一套高性能、高可靠、高安全、高效率、易用的无线网络系统。

3.2 设计目标

本项目的网络设计目标是，确保网络设计成果可以在后续的实施执行过程中可以顺利实现，以达到以下目标：

建设稳定可靠、灵活易管理的网络环境

详细设计中将从网络整体架构、网络技术实现、网络安全保障以及网络管理等层面，深入设计网络，为数据系统提供稳定可靠、安全合规、灵活易管理的的网络环境。

细化网络服务基础技术设计，规范网络环境，指导后续实施。

从实施的视角，梳理各网络组件需要部署的技术项（地址，命名，路由，QOS，交换技术，安全，连接服务等），指导实施配置。全面支撑数据网络环境的建设、维护及扩展需求。

协助设备选型

定义网络部署架构中， 各网络组件（结点）的功能及非功能性要求。

3.3 物理拓扑方案

本项目交换网络将采用核心层和接入层的二层物理结构设计，每个无线接入点AP以千兆链路与千兆POE接入交换机互联，而这些接入交换机再通过万兆链路与核心交换机之间互联，如果预算充足，可配备双链路万兆互联；而无线网络则采用最新的无控制器架构即－“云管理平台+无线接入点AP”的架构，无线接入点AP可以实现本地转发，并与本网络内的其他同品牌型号的AP可以自行通信自行组网，以实现低延时高效率的无缝漫游切换，而云管理平台的作用主要用于对AP的日常管理，监测和策略发放等，其中云平台有两种部署方式：一是由壹云互联提供的公有云平台，软件，硬件及服务在合同约定期限内免费使用，二是由学校自行采购硬件服务器设备，用于搭建私有云平台，壹云互联免费提供云服务平台软件及技术服务。物理线路/布线设计方案详见综合布线系统章节的内容。

无线网络将采用目前主流标准的802.11ac的产品，支持2.4GHz+5GHz同时双频，同时支持802.11a/g/n/ac协议；3x3 MIMO, 三个空间流; 双频情况下最大理论传输速率可达1.75Gbps。

根据各区域的AP点位的分布数量，接入层一般采用24口或48口POE千兆接入交换机连接AP设备。每个上联接入交换机分别均通过万兆光口核心交换机互连。因为客户预算有限，所有接入交换机包括POE接入交换机全部采用某品牌低端系列的交换机。

以下AP设备数量和AP点位的设计原则：

3.4 逻辑规划方案

3.4.1出口路由及策略

链路负载均衡

为了规避运营商出口故障带来的网络可用性风险，和解决网络带宽不足带来的网络访问问题，企业往往会租用两个或多个运营商出口。但如何合理运用多个运营商出口，既不造成资源浪费，又能很好地服务于企业成为企业关注的问题。传统的策略路由可以在一定程度上解决该问题，但是策略路由配置不方便，而且不够灵活，无法动态适应网络结构变化，且策略路由无法根据带宽进行报文分发，造成高吞吐量的链路无法得到充分利用。

出口链路负载均衡技术通过动态均衡算法，能够在多条出口链路中进行负载均衡，算法配置简单，且具有自适应能力，能解决上述问题。出口链路负载均衡的典型组网如下图所示。

上图中，Switch为负载均衡设备，负责将内网到外网的流量分发到多条链路（一个ISP网关对应一条链路）。出口链路负载分担的工作流程如下：

内网用户发起向外网服务器的请求。

在请求报文通过Switch时，Switch会根据报文的目的IP地址、配置的负载均衡算法以及权重、优先级、出/入接口带宽限制进行链路选择，并将报文转发给选定的链路。

Switch接收到外网服务器的响应报文时，将该报文转发给内网用户。

SPU支持的出口链路负载均衡具有如下特点：

负载均衡算法

支持加权轮询算法、最小连接数算法、基于IP地址的Hash算法。

链路带宽阈值限制

入方向和出方向可分别选择配置，超过配置的带宽阈值或配置的带宽阈值可接纳的百分比时，将不会选择该ISP链路。

链路健康性检测

通过在SPU上配置ICMP探测器来定时向链路网关发送探测报文，检测链路内各节点的连通性。

转发模式

对应于服务器负载均衡中的DNAT（Destination IP Network Address Translation）模式和DMAC（Destination MAC）模式，出口链路负载均衡中，SPU支持Redirect转发模式。

路由及流策略

内部用户访问外网的路由及流量转发路径：

当内部用户访问外网的流量到达核心交换机时，流量根据核心交换机上的静态路由（下一跳设置为防火墙下行网关IP地址）被转发到防火墙。

防火墙完成对流量的安全检测后，会根据静态路由将流量转发到外网上，再转发到指定外部线路。

外部用户访问内网的路由及流量转发路径：

当外部用户访问内网的流量到防火墙上时，防火墙完成对流量的安全检测后，会根据静态路由表将流量转发到核心交换机，再根据核心交换机上的OSPF动态路由转到接入交换机或子网。

在交换机上各个接口配置流策略，保证终端能够正常上线，具体规划入下：

对于无线用户的上行流量，首先在交换机和ACU2互连的内部eth-trunk1接口上配置inbound方向的重定向流策略，将流量重定向到交换机和NGFW互连的XGE1/0/1接口上；流量在NGFW内部转发到交换机的XGE1/0/0接口后，再次匹配inbound的重定向流策略，重定向流量到交换机上行接口XGE3/0/1。

对于无线用户的下行流量，首先在交换机XGE3/0/1接口上配置匹配inbound方向的重定向流策略，将流量重定向到交换机和NGFW互连的XGE1/0/0接口上；流量在NGFW内部转发到交换机的XGE1/0/1接口后，再次匹配inbound的重定向流策略，重定向流量到交换机和ACU2互连的eth-trunk0接口。

3.4.2子网划分及配置

IP地址规划原则

IP地址是网络设计工作中重要的一环，使用IP地址不当会造成路由表庞大、难以部署安全控制、地址重叠问题、地址空间耗尽等问题，会给网络运行带来很大麻烦。为了让网络项目顺利进行，我们建议采用以下IP地址规划原则：

尽可能采用私有地址进行IP地址分配。私有地址就是我们熟知的三类网络地址，分别是A类网中的10.0.0.0~10.255.255.255范围，B类网中的172.16.0.0~172.31.255.255范围，C类网中的192.168.0.0～192.168.255.255范围。

同一个区域内部，使用连续的IP子网进行IP地址分配。例如，某个区域需要有4个26位子网掩码网络，为了满足地址汇聚需要，应该为连续的C类网络。例如：10.254.128.0/26、10.254.129.64/26、10.254.130.128/26和10.254.131.192/26，4个网络可以汇聚成10.254.128.0/24。在定义测试区安全策略时，不用将4个网段同时定义成ACL，使用一条ACL就可以包括全部网络。

使用可变长掩码规划网络地址，根据IP地址使用对象的特点，部署不同长度子网掩码。例如，应用网段的IP地址，可以采用C类网地址，掩码为24位；区域设备之间的互连地址可以采用29位掩码。

不同主机实际网关IP地址与VRRP使用的IP地址应该在整个网络中统一，使用相同的方式配置，例如：均采用X.X.X.1作为主机实际网关IP地址，VRRP同理。

网络互连地址采用IP地址网段的头两个可用地址，核心侧设备接口配置奇数地址，边缘侧设备接口配置偶数地址。例如，设备A与设备B互连，采用10.254.254.0/29网段为互连地址，该网段头两个可用地址为10.254.254.1和10.254.254.2，设备A为核心设备，配置奇数地址10.254.254.1，设备B为边缘设备，配置偶数地址10.254.254.2。

网络设备配置环回地址，用于网络管理和日志管理。

网络核心区IP地址规划

在网络建设项目中，我们将为每个大的区域分配一个C段地址，根据访问控制原则，将每个区域内再进行25-27位的IP地址的分段划分在项目实施前，我们将制定详细的IP地址分配方案，IP地址分配表样例如下：

设备管理IP地址规划

网络设备管理IP地址分为三部分，第一部分为网络核心区的网络设备管理IP地址；第二部分为广域网接入的网络设备管理IP地址；第三部分为重要区域网络设备IP地址。

　　我们将根据网络功能区把网络设备管理IP地址分为不同部分。在项目实施前，我们将制定详细的设备管理IP地址分配，设备管理IP地址分配表样例如下所示：

应用系统IP地址的规划

应用系统IP地址和业务系统关系密切，需与相关业务部门充分沟通后，再做详细分配方案。

VLAN及子网规划

VLAN及子网的规划，可以按照学校部门及业务进行VLAN和子网划分，既要考虑目前的网络规模及容量，也要预留未来扩展的空间。

以下表格仅为示例的本学校办公网络VLAN及子网分配表，最终的VLAN及子网划分待中标后与IT部门充分沟通后再作详细规划。

VLAN子网规划（以下VLAN划分及子网规划仅为示意，需要统一部署和规划）

设备配置规划

在详细需求尚未明确之前，以下仅举例部分常用配置的思路和原则。

C.1 基本规划思路：

部署总部及分支网

总部：部署堆叠、链路聚合，配置各VLAN及IP地址、部署DHCP Server，实现局域内网互通。部门内部通过接入层交换机进行二层互通，部门间通过核心交换机CORE上的VLANIF进行三层互通。

分支： 配置接入层交换机及出口路由器的各接口VLAN及IP地址， 部署DHCP Server，实现分支区内网互通。

部署VRRP（无双出口路由器，暂可不设置）

为了保证总部核心交换机与两个出口路由器之间的可靠性，在两个出口路由器之间部署VRRP，VRRP的心跳报文经过核心交换机进行交互。

为了防止总部主Router上行链路故障的时候业务断流，将VRRP状态与主Router的上行口进行联动，保证上行链路故障时VRRP进行快速倒换。

部署路由

为了引导各设备的上行流量，在总部核心交换机上配置一条缺省路由，下一跳指向VRRP的虚地址，在总部及分支的出口路由器上各配置一条缺省路由，下一跳指向运营商网络设备的对接地址（公网网关）。

为了引导总部两个出口路由器或防火墙的回程流量，在两个出口路由器和核心交换机之间部署OSPF，核心交换机上将所有用户网段发布到OSPF里面，通告给两个出口路由器。

为了引导外网用户访问Web服务器的流量，需要在总部的运营商路由器上配置两条目的地址为服务器公网地址的静态路由，下一跳分别指向两个出口路由器的上行口IP地址。并且为了保证路由和VRRP同步切换，设置下一跳为主Router的这条路由优先，当这条路由失效的时候下一跳指向备Router的路由生效。

部署NAT Outbound

为了使内网用户访问Internet，在两台出口路由器的上行口配置NAT，实现私网地址和公网地址之间的转换。通过ACL匹配经授权部门的源IP地址，从而实现经授权部门的用户可以访问Internet，而未经授权的部门用户不能访问Internet。

NAT Server

为了实现外网用户访问内网服务器，在出口防火墙或路由器的上行口上配置NAT Server，实现服务器公网地址和私网地址之间的映射。

部署IPSec VPN

为了实现总部和分支之间进行私网VPN互通，在总部出口路由器或防火墙和分支出口路由器/防火墙之间部署IPSec VPN，通过Internet构建IPSec VPN，实现总部和分支之间的安全通信。

C.2 配置指导步骤参考：

C.3 接入交换机堆叠原则：

堆叠系统与其他网络设备相连时，建议使用Eth-Trunk接口相连，并且堆叠系统的每台成员交换机都能有一个端口加入到Eth-Trunk中。

堆叠系统连接接入设备时，建议将直连终端的端口配置为STP边缘口，以避免连接终端的端口Up/Down状态变化时触发STP重新计算，影响流量转发。

如果配置storm-control的端口较多，建议用流量抑制替代，流量抑制对CPU资源的消耗很少。

如果配置port-security的端口较多，建议用mac-limit替代，mac-limit对CPU资源的消耗很少。

当堆叠系统相连的网络中有成环风险时，建议通过命令mac-address flapping action error-down配置MAC地址漂移检测与接口error-down联动机制。这样可以提升处理性能，并且接口Down时能够被对端设备感知。同时，如果对端设备有冗余保护链路，则可以快速切换到正常链路。

C.4 交换机板卡部署

由于交换机上同时部署ACU2单板和NGFW单板，此时设备上就需在设备上配置重定向功能，从而实现无线用户的上下行流量在交换机上的正确转发，并且进出交换机的无线流量都可以经过NGFW进行策略处理。

例如，采用如下的思路配置交换机上同时部署ACU2和NGFW：

在各交换机的接口上配置Eth-trunk并配置各接口所属VLAN，配置交换机与DHCP服务器和AP相连的接口，实现网段内的互通，配置ACU2和交换机互通。在ACU2上配置无线业务，其中无线业务采用隧道转发方式，同时ACU2作为DHCP服务器为AP和STA分配IP地址。

3.4.3 QoS质量保证

基于VLAN限速的配置

MQC配置中的流分类定义了大量的二三层匹配规则，如果VLAN ID、802.1p优先级、DSCP优先级、源MAC、目的MAC等，设备可以通过配置不同的流分类规则将报文进行分类，并配置限速、统计或者镜像等流行为，以实现不同的策略。

在交换机上需要对不同业务的报文分别进行流量监管，以将流量限制在一个合理的范围之内，并保证各业务的带宽需求。

不同业务对于服务质量的需求不同，语音业务对服务质量要求最高，视频业务次之，数据业务要求最低，所以在交换机中还需要重标记不同业务报文的DSCP优先级，以便于路由器按照报文的不同优先级分别进行处理，保证各种业务的服务质量。

交换机为上行流量提供的QoS保障，示例如下表:

建议采用如下的思路配置MQC实现流量监管：

创建VLAN，并配置各接口，使企业能够通过交换机上访问网络。

在交换机上配置基于VLAN ID进行流分类的匹配规则。

在交换机上配置流行为，对来自企业的报文进行流量监管并且重标记报文的DSCP优先级。

在交换机上配置流量监管策略，绑定已配置的流行为和流分类，并应用到企业与Switch连接的接口上。

基于流量整形的配置

流量整形是一种主动调整流量输出速率的措施，其作用是限制流量与突发，使这类报文以比较均匀的速率向外发送。流量整形通常使用缓冲区和令牌桶来完成，当报文的发送速度过快时，首先在缓冲区进行缓存，当有足够令牌时再均匀的发送这些被缓冲的报文。

流量整形适用于下游设备，可以防止因为拥塞导致的丢包。比如总部与分支机构通过专线连接，由于专线带宽资源有限，总部的边缘设备已经配置流量监管限制报文发送速率，为配合总部的流量监管，可以在分支机构的边缘设备上配置流量整形功能，对各类流量中突发的超出部分进行缓存，避免数据丢失。

建议采用如下的思路配置流量整形：

创建VLAN，并配置各接口，使用户能够通过Switch访问网络。

配置接口信任报文的802.1p优先级（华为S5700-EI接入交换机）/配置优先级映射，将802.1p优先级映射为PHB行为（华为S7712核心交换机）。

配置接口整形功能，限制接口带宽。

配置端口队列整形功能，限制语音、视频、数据三类业务的带宽。

基于拥塞管理和避免的配置

拥塞管理一般采用队列技术，使用不同的调度算法来发送队列中的报文流。根据排队和调度策略的不同，设备上的拥塞管理技术分为PQ、DRR、WRR、PQ+DRR和PQ+WRR。设备上，每个接口出方向都拥有8个队列，以队列索引号进行标识，队列索引号分别为0、1、2、3、4、5、6、7。设备根据本地优先级和队列之间的映射关系，自动将分类后的报文流送入各队列，然后按照各种队列调度机制进行调度。

拥塞避免是指通过监视网络资源（如队列或内存缓冲区）的使用情况，在拥塞发生或有加剧的趋势时主动丢弃报文，通过调整网络的流量来解除网络过载的一种流控机制。拥塞避免常用的丢弃策略包括尾部丢弃策略和随机丢弃策略，根据随机丢弃策略产生了SRED和WRED两种拥塞避免方式。

接入交换机S1720通过WRR调度实现拥塞管理，在进行WRR调度时，设备根据每个队列的权值进行轮循调度。各队列中的报文流被调度的次数与该队列的权值成正比，权值越大被调度的次数相对越多。通过配置SERD实现拥塞避免，对超过阈值的流量按照设置的丢弃概率进行丢弃。

优先级标记和队列调度配置

报文进入设备之后，设备会根据相应的规则分配或修改报文各种优先级的值，并根据重新分配或修改的优先级为队列调度提供服务。

优先级重标记功能将进入设备的报文优先级重新进行设置，通过手工设置或修改报文的优先级，可以有效控制报文调度能力，全面提升报文的转发能力。