某校园无线Wi-Fi网络全覆盖项目(三)

来源：原创壹云小壹

因篇幅所限，本文接续上一篇《某校园无线Wi-Fi网络全覆盖初期规划方案（二）》。

本方案是壹云互联-小壹团队为某校园WiFi网络项目进行的初期规划设计，在此分享给大家，有不妥之处，敬请批评指正。特别说明：以下内容中部分内容来自互联网整理，仅供参考，谢谢。

3.4.4安全访问及认证

校园无线网络系统，对安全策略要求高，如何加强网络系统的安全性极为重要，建议本项目在结构安全、协议安全、设备安全的基础上采用安全访问策略、身份认证机制、入侵检测防护以及病毒木马查杀等手段进行统一规划和部署。

安全访问策略

访问控制列表ACL本质上是一种报文过滤器，规则是过滤器的滤芯。设备基于这些规则进行报文匹配，可以过滤出特定的报文，并根据应用ACL的业务模块的处理策略来允许或阻止该报文通过。

基于ACL规则定义方式，可以将ACL分为基本ACL、高级ACL、二层ACL等种类。高级ACL根据源IP地址、目的地址、IP协议类型、TCP源/目的端口、UDP源/目的端口号、分片信息和生效时间段等信息来定义规则，对IPv4报文进行过滤。与基本ACL相比，高级ACL提供了更准确、丰富、灵活的规则定义方法。例如，当希望同时根据源IP地址和目的IP地址对报文进行过滤时，则需要配置高级ACL。

因此是将高级ACL应用在流策略模块，使设备可以对外网用户访问内网中服务器的报文进行过滤，达到限制外网用户访问该服务器权限的目的。高级ACL可以在规则中使用源IP地址和目的IP地址信息来定义允许和拒绝通过的数据流。在流分类中按照ACL对报文进行分类，并指定对匹配的报文采取的动作（允许或拒绝通过）。

例如，可以使用ACL限制不同网段的用户互访；使用ACL限制内网主机访问外网网站；使用ACL限制外网用户访问内网中服务器的权限等。

目前在各区域之间部署安全策略，最容易实现的就是扩展访问控制列表，为了管理方便，应该使用命名访问控制列表，尽量避免使用100~199数字来命名，如果安全级别较高，建议加双向ACL。

另一个常用访问限制的方法就是端口安全（Port Security）功能，即通过将接口学习到的动态MAC地址转换为安全MAC地址（包括安全动态MAC、安全静态MAC和Sticky MAC）阻止非法用户通过本接口和交换机通信，一般使用在接入层设备，实现用户和接口的绑定，同时控制接口的用户接入数。相比通过静态MAC地址和user-bind手动配置用户静态绑定，端口安全可以实现用户和接口的动态绑定。相比通过DHCP snooping实现的用户和接口的动态绑定，端口安全的配置比较简单。另外端口安全还可以提供限制用户接入数量的功能。

身份认证机制

目前在校园网络环境中常用的认证方式有802.1x认证，MAC认证以及Portal认证。

802.1x认证是网络接入控制方案（NAC）中的一种，是一种基于端口的网络接入控制协议，通过它能够实现保护企业内网的安全性的目的。802.1x认证安全性较高，但是却需要客户终端安装802.1x客户端，网络部署不灵活。802.1x认证一般适用于新建网络、用户集中并且信息安全要求严格的场景。另外，考虑802.1x认证网络中存在的部分哑终端，为保证这些哑终端能够同样能够通过认证后接入网络，802.1x认证支持MAC旁路认证。

MAC认证是网络接入控制方案（NAC）中的一种，它是基于接口和MAC地址对用户的网络访问权限进行控制的认证方法，并且不需要用户安装任何客户端软件，但是却需要在服务器上登记MAC地址，管理较为复杂。MAC认证一般适用于打印机、传真机等哑终端接入认证的场景。

Portal认证是网络接入控制方案（NAC）中的一种。Portal认证通常也称为Web认证，一般将Portal认证网站称为门户网站。用户上网时，必须在门户网站进行认证，只有认证通过后才可以使用网络资源。Portal认证安全性较低，但是无需客户终端安装客户端软件，网络部署灵活。Portal认证一般适用于用户分散且流动性较大的场景，例如访客。

因此，每种认证方式都有利弊，主要看用户的需求和应用场景，但如果在本校园网络内部署，可以综合考虑多种认证方式。即在NAC网络部署中，为了灵活地适应网络环境中的多种认证需求，设备支持在接入用户的接口上对802.1x认证、MAC认证、Portal认证进行同时部署，既可以要求用户同时通过三种认证方可访问网络，也可以让不同用户通过不同的认证方式接入网络。如果开启同时多种认证方式，那么各认证顺序的生效方式和配置先后顺序保持一致。另一方面，在部署多种认证方式后，设备默认允许用户能够先后通过不同方式的接入认证，以实现授予用户不同的网络权限的目的。

另外，如果在网络中部署了RADIUS认证服务器，可以使用RADIUS认证，由RADIUS认证服务器统一创建与维护用户信息，当用户输入的用户名和密码与RADIUS服务器上配置的一致时，才可以成功登录设备。同时，Radius认证服务器与AD域控服务器LDAP集成同步，在实现统一的认证。

入侵检测防护

目前局域网和广域网区域之间实现安全隔离的最主要的方法就是通过部署安全网关/防火墙、入侵检测防御系统、认证网关、上网行为管理等以及在设备上配置访问控制列表，防火墙性能十分强大，而后者无论是路由器和交换机，无论是那个厂家的网络设备都均有访问控制列表，无需额外的硬件设备，但是性能比不上硬件防火墙。因此在网络核心与广域网区域之间采用硬件安全设备进行安全隔离，大的区域内部的子区域采用动态或静态下发访问控制列表的方式实现数据的访问控制。

安全控制是本次网络构筑的重要目的之一，只有网络结构趋向区域化发展，在这种趋向理想的网络环境下才比较容易部署安全策略。

部署在内网与外网边界的防火墙，其硬件防火墙及防火墙模块建设完成之后，可通过硬件防火墙厂家的安全管理系统进行安全策略的统一管理，利用管理系统实现整个安全防火墙系统集中理管理。

在防火墙SPU中，基于防火墙的攻击防范功能可以检测出多种类型的网络攻击，并能采取相应的措施保护内部网络免受恶意攻击，保证内部网络及系统的正常运行。

网络攻击可分为拒绝服务型攻击、扫描窥探攻击和畸形报文攻击三大类。

拒绝服务型攻击

拒绝服务型DoS（Denial of Service）攻击是使用大量的数据报文攻击系统，使系统无法接受正常用户的请求，或者主机挂起不能正常工作。主要DoS攻击有SYN Flood、Fraggle等。拒绝服务攻击和其他类型的攻击不同之处在于，攻击者并不是去寻找进入内部网络的入口，而是阻止合法用户访问资源或路由器。

扫描窥探攻击

扫描窥探攻击是利用ping扫描（包括ICMP和TCP）来标识网络上存在的系统，从而准确的指出潜在的目标；利用TCP端口扫描，就能检测出操作系统和监听着的潜在服务。攻击者通过扫描窥探就能大致了解目标系统提供的服务种类和潜在的安全漏洞，为进一步侵入系统做好准备。

畸形报文攻击

畸形报文攻击是通过向目标系统发送有缺陷的IP报文，使得目标系统在处理这样的IP报文时会出现崩溃，给目标系统带来损失。主要的畸形报文攻击有Ping of Death、Teardrop等。

以下是几种常见的攻击手段及防范措施举例：

ARP攻击

ARP（Address Resolution Protocol）安全是针对ARP攻击的一种安全特性，它通过一系列对ARP表项学习和ARP报文处理的限制、检查等措施来保证网络设备的安全性。ARP安全特性不仅能够防范针对ARP协议的攻击，还可以防范网段扫描攻击等基于ARP协议的攻击。

常见的ARP攻击如下：

用户主机直接接入网关，攻击者将伪造网关的ARP报文发送给用户主机，使用户主机误以为攻击者即为网关。用户主机的ARP表中会记录错误的网关地址映射关系，这样就会把发往网关的流量均发送给了攻击者，攻击者可轻易窃听到用户主机发送的数据内容。

网络中有用户向设备发送大量目的IP地址不能解析的IP报文（即路由表中存在该IP报文的目的IP对应的路由表项，但设备上没有该路由表项中下一跳对应的ARP表项），将导致设备触发大量的ARP Miss消息。这种触发ARP Miss消息的IP报文（即ARP Miss报文）会被上送到CPU进行处理，设备会根据ARP Miss消息生成和下发大量临时ARP表项并向目的网络发送大量ARP请求报文，这样就增加了设备CPU的负担，同时严重消耗目的网络的带宽资源。

设备收到大量ARP攻击报文，并需要对所有ARP攻击报文全部进行处理，可能导致CPU负荷过重而无法处理其他业务。

针对以上攻击，ARP安全提供如下措施保证网络设备的安全性：

针对第一种攻击，可配置ARP防网关冲突，防止攻击者冒充网关窃听用户主机信息。

针对第二种攻击，可配置ARP Miss消息限速，减小CPU的负担，保护目的网络的带宽资源。

针对第三种攻击，可配置ARP报文限速，以保护CPU资源。

DHCP攻击

在一次DHCP客户端动态获取IP地址的过程中，DHCP Snooping会对客户端和服务器之间的DHCP报文进行分析和过滤。通过合理的配置实现对非法服务器的过滤，防止用户端获取到非法DHCP服务器提供的地址而无法上网。

当您的网络中存在DHCP服务器欺骗的时候就可以考虑采用这个功能，比如：

网络中有个别终端用的是Windows Server 2003或者2008系统，默认开启了DHCP分配IP的服务。

一些接入层的端口连接有开启了DHCP分配IP服务的无线路由器。

我们推荐在用户接入层交换机上面部署DHCP Snooping功能，越靠近PC端口控制的越准确。而每个交换机的端口推荐只连接一台PC，否则如果交换机某端口下串接一个Hub，在Hub上连接了若干PC的话，那么如果凑巧该Hub下发生DHCP欺骗，由于欺骗报文都在Hub端口间直接转发了，没有受到接入层交换机的DHCP Snooping功能的控制，这样的欺骗就无法防止了。

IPSG攻击

IPSG是一种基于二层接口的源IP地址过滤技术，它利用交换机上的绑定表对IP报文进行过滤。绑定表由IP地址、MAC地址、VLAN ID和接口组成，包括静态和动态两种。静态绑定表是用户手工创建的，动态绑定表即DHCP Snooping绑定表，它是在主机动态获取IP地址时，交换机根据DHCP回复报文自动生成的。绑定表生成后，在使能IPSG的接口收到报文后，交换机会将报文中的信息和绑定表匹配，匹配成功则允许报文通过，匹配失败则丢弃报文。匹配的内容可以是IP地址、MAC地址、VLAN ID和接口的任意组合，例如可以只匹配IP地址，或者只匹配IP地址和MAC地址，或者IP地址、MAC地址、VLAN ID和接口都匹配等。

基于此，IPSG能够防止恶意主机盗用合法主机的IP地址来仿冒合法主机，还能确保非授权主机不能通过自己指定IP地址的方式来访问网络或者攻击网络。

例如：在主机是DHCP服务器动态分配IP地址的环境下，主机只能使用服务器动态分配的IP地址，私自配置静态IP地址将无法访问网络，除非管理员为主机创建静态绑定表项。

此外，对于内部服务器，可能会遭受SYN Flood、HTTP Flood攻击，所以在防火墙上开启SYN Flood、HTTP Flood攻击防范功能，保护内部服务器不受攻击。

以下是示例部分攻击场景以及防范建议：

常见的攻击分类及对应场景

攻击大类	攻击小类	影响
控制面攻击	源MAC地址固定的ARP报文攻击	Parent的CPU占用率高，部分用户流量中断。
	源IP地址固定的ARP报文攻击
	ARP仿冒网关攻击	Parent上会出现大量网关冲突告警。
	ARP欺骗网关攻击	用户不能正常访问网络。
	ARP泛洪攻击	用户不能正常学习ARP甚至无法上网。
	仿冒DHCP服务器攻击	终端不认证时，用户无法正常获取到规划的地址。
	DHCP泛洪攻击	用户无法获取到地址。
转发面攻击	源IP地址固定的ARP Miss攻击	Parent的CPU占用率高，ARP无法正常学习。
	目的IP是设备地址的IP报文攻击	Parent的CPU占用率高，Ping网关出现丢包和不通的现象，Telnet很慢，严重情况下会导致BGP、LDP等协议单播IP报文无法及时处理，协议异常。
	DDoS攻击	上行口拥塞，正常用户流量中断。

抑制攻击的方法和建议

攻击大类	攻击小类	终端认证场景抑制手段	终端不认证场景抑制手段
		有线终端接入	无线终端接入	有线终端接入	无线终端接入
控制面攻击	源MAC地址固定的ARP报文攻击	已支持自动抑制ARP报文攻击。	在AP上配置防攻击策略。	在AS的端口上配置ARP报文限速。	在AP上配置防攻击策略。
	源IP地址固定的ARP报文攻击
	ARP仿冒网关攻击	在Parent上配置防网关冲突。
	ARP欺骗网关攻击	配置转发模型为集中式转发。
	ARP泛洪攻击	当前AS出方向自动开启防ARP泛洪攻击，因此攻击只能影响到所在的AS。识别到攻击点后，在对应的终端接入端口配置入方向ARP限速。
	仿冒DHCP服务器攻击	无	在AS上配置DHCP Snooping。	在AP上配置DHCP Snooping。
	DHCP泛洪攻击	当前AS出方向自动开启防DHCP泛洪攻击，因此攻击只能影响到所在的AS。识别到攻击点后，在对应的终端接入端口配置入方向DHCP限速。
转发面攻击	源IP地址固定的ARP Miss攻击	在Parent上配置ARP Miss限速，针对源IP进行限速。
	目的IP是设备地址的IP报文攻击	在Parent上配置黑名单。
	DDoS攻击	端口配置限速，配置广播流量抑制、组播流量抑制、未知单播流量抑制。

病毒木马查杀

通过配置网络版杀毒软件以及防毒杀毒硬件网关设备实现。

3.5 产品技术选型

结合以上项目需求，拓扑结构及设计方案等的要求，现将本系统的产品技术选型如下：

3.5.1 接入交换机

本项目选用华为S1700系列产品中的S1720-28GWR-PWR-4X交换机和S1720-52GWR-PWR-4X交换机作为无线接入点AP设备接入，有关产品的基本介绍如下：

S1700系列企业交换机（以下简称S1700）是华为公司推出的新一代绿色节能以太接入交换机。S1700提供简单便利的安装维护手段和丰富的业务特性，助力用户打造安全可靠的高性能网络，可广泛应用于酒店、学校等以太网接入场景。

S1720-28GWR-PWR-4X（左图） S1720-52GWR-PWR-4X（右图）

S1700系列系列交换机有如下产品特性和优势：

全新节能设计，引领低碳通信

S1700/S1720遵循EEE 802.3az（Energy Efficient Ethernet 能效以太网），提供端口低耗电闲置模式，

大幅度降低功耗。

S1700可根据线缆长度进行相应输出功率调整，并且支持无连接时端口休眠。

采用无风扇静音设计的款型在降低整机功耗的同时，让您免除噪音的烦扰。

无阻塞高速转发

S1700系列交换机所有端口提供二层线速交换的能力，保证所有端口无阻塞地进行报文转发。

S1700支持“光+电”GE上行，方便客户灵活接入的同时，大幅提升性价比。S1700/S1720系列交换机支持三层静态路由功能，支持ipv4和ipv6协议栈。S1720-E支持RIP,RIPng,OSPF三层路由功能。

1700/S1720全系列提供高达8K/16K的MAC地址，为企业用户后续扩容提供了条件。极大方便了用户的扩展和应用。

便捷的管理维护手段

S1700提供便捷的管理维护手段，PC化简易操作，机身前面有“一键操作”按钮，短按重启，长按可以恢复出厂配置。

S1700 WEB网管型设备可通过web可视化的界面，对交换机的各种功能进行简单方便的操作。

S1700全网管系列交换机支持SNMP网管对设备进行配置管理，为中小企业客户集中设备管理提供了便利。

S1720/S1720-E全网管系列交换机支持SNMP v1/v2c/v3和Web网管，支持命令行和console端口对交换机配置。

优异的安全性能

S1700/S1720支持丰富的安全特性，如802.1x、RADIUS、Portal、NAC等安全认证方式。还支持

MAC地址过滤和端口过滤功能，能有效防范黑客、病毒攻击，提供安全可靠的网络服务。

强大的组网和带宽扩展能力

S1700提供LACP、STP/RSTP/MSTP等功能，可有效实现链路扩展及备份。S1720交换机支持高达64个MSTP实例，让组网无忧。

以下是S1720-28GWR-PWR-4X交换机和S1720-52GWR-PWR-4X交换机的基本指标参数及功能列表，如了解详细规格，请参考本产品规格书。

项目	S1720-28GWR-PWR-4X	S1720-52GWR-PWR-4X
交换容量	168Gbps	336Gbps
包转发率	96Mpps	132Mpps
固定端口	24个10/100/1000Base-T以太网端口，4个万兆SFP+	48个10/100/1000Base-T以太网端口，4个万兆SFP+
扩展插槽
MAC地址表	遵循IEEE 802.1d标准支持MAC地址自动学习和老化支持静态、动态、黑洞MAC表项支持源MAC地址过滤 MAC地址容量：16K
安全特性	支持基于端口的MAC过滤支持MAC认证（S1720系列）支持基于端口的802.1X认证支持RADIUS认证支持Portal认证（S1720系列）支持端口隔离支持端口风暴抑制（S1720系列）支持DHCP Snooping（S1720系列）
VLAN	支持256 VLAN（S1720系列：4K）支持Access端口支持Trunk端口支持Hybrid端口支持管理VLAN 支持Voice VLAN
QoS	支持绝对优先级、WRR两种调度方式支持每端口4个队列（S1720系列：8个队列）支持根据802.1p/DSCP队列调度
STP	支持STP(IEEE 802.1d) 支持RSTP(IEEE 802.1w) 支持MSTP(IEEE 802.1s)（S1720系列）
组播	支持IGMP Snooping（Internet Group Management Protocol Snooping），最多支持 256个组播组（S1720系列支持1K个组播组）支持用户快速离开机制（S1720系列）
路由特性	支持IPv4、IPv6静态路由（S1720系列）
端口汇聚	支持12组汇聚组（S1720系列支持64个汇聚组），每组最多8个端口支持静态LACP
端口镜像	支持基于端口的双向流量镜像
端口带宽控制	支持对出入端口的报文流量进行限速，粒度最小为64Kbps
广播风暴抑制	基于端口速率的风暴抑制端口流量达到风暴抑制门限时发送告警
设备管理	支持WEB网管支持DHCP-client 支持一键还原
设备维护	支持Syslog（系统日志）支持Ping检测支持VCT(Virtual Cable Test) 支持链路层发现协议LLDP（Link Layer Discovery Protocol）

3.5.2 无线接入点AP

室内无线接入点AP

ECW7220-L-CTC是一款支持802.11a/b/g/n/ac技术且符合“新连接Wi-Fi”规范的双频室内型无线接入点，支持3x3 MIMO天线设计，配置千兆以太网接口，支持802.3at/af PoE功能，可以采用PoE交换机远程供电，并且选配AC电源。

ECW7220-L-CTC是热点应用和高密度无线接入需求环境的最合适解决方案产品，比如校园，无线城市或者公共空间。

关键特性

支持2.4GHz和5GHz频率，支持3×3 MIMO，整机最高速率可达1.75Gbps；

先进的流量管理，每个频段支持多达十六个虚拟接入点（VAP）接口，在相同的服务区内将流量分离为不同的用户群；

强大的网络特性，支持IPv4/IPv6双协议栈。

WLAN特性

兼容IEEE 802.11a/b/g/n/ac标准

输出功率: 20dBm

VAP (虚拟访问接入点)支持最多32个SSID(2.4GHz:16,5GHz:16)

发射功率可调整

IEEE 802.11h DFS/DFS2 和自动TPC

每个SSID流量控制

Band Preference for same SSID services on dual band

在有噪声的环境可以动态信道选择

禁止低速访问的速率选择

Band steering: 连接优先顺序(ac> n > a> g> b)

自动信道选择

AP间自动电源调整

Rough AP 保护

RF 扫描

信道分配

支持多播/ Multi-cast

快速漫游( 802.11r)

数据包捕获/Packet Capture

数据帧优先级分配

无线使用率负载均衡

Radius 客户端: Radius DM/COA 支持

吞吐量: 数据速率(1.3Gbps+450Mbps)

并发用户数: 200 用户/双频

安全特性

WEP 64/128-位

Wi-Fi 受保护访问(WPA/WPA2)

安全SSH (Secure Sockets Shell), Telnet

Secure Sockets Layer (SSL) 远程登录管理

HTTPS

访问控制列表: 512

RADIUS 认证

EAP-MD5, EAP-TLS, EAP-TTLS, PEAP, EAP-SIM, 和EAPAKA

SSID 广播关闭

Radius 802.1x 支持(IPv4, IPv6)

Radius 计费认证

802.11w 管理帧保护

AP 关闭/Radio 关闭

维护特性

支持AP系统状态告警工业CLI (命令行界面)

Telnet, SSH

基于Web的管理(HTTP 和HTTPS)

SNMP 管理v1/v2c/v3

系统信息– AP 状态, 站点状态, 事件日志logs

双image文件

IPv4 和IPv6 双栈支持

DSCP

上行链路不可用，可以禁用WiFi 服务

远程管理

定制的专属门户登录页面

Captive Portal - BYOD Zero-IT (动态WPA PSK 配置)

Bonjour Responder

数据包捕获Packet Capture

基本规格

尺寸（长×宽×高）	220mm×220mm×53mm
电源输入	100 or 240 VAC, 50-60 Hz PoE供电：满足802.3af/at以太网供电标准
最大功耗	14W
工作温度	0℃～+50℃

射频参数

项目	描述
天线类型	内置天线
天线增益	2.4G: 6dBi. 5G: 6dBi
最大用户数	≤200
最大发射功率	20dBm 说明：实际发射功率遵照不同国家和地区法规而有所不同。

室外无线接入点AP

ECWO7220-L是一款支持802.11a/b/g/n/ac技术的运营级双频室外无线接入点，支持3x3 MIMO设计，配置千兆以太网接口，支持802.3at/af PoE功能，可以采用PoE交换机远程供电。

ECWO7220-L 是热点应用和高密度无线接入需求环境的最合适解决方案产品，比如校园，无线城市或者公共空间。