【摘要】
随着信息技术的发展，校园网成为校园生活的重要组成部分，师生对校园网的依赖程度也越来越高。摒除网络盲点、突破教室和实验室的接入限制、享受网络无处不在的生活，已经是广大师生迫切的心声。WLAN技术以其安装快速、部署灵活、数据速率高、综合成本较低、网络扩展能力强、终端普及性好等优点成为无线校园的首选技术。本人于2011年3月参与了某师范大学的园区无线网建设，并担任项目小组组长。本文在充分考虑学校对于无线网络的需求，以网络可靠性、先进行性、兼容性、和安全性为目标，从网络建设要求入手，分别从无线网络的总体架构、无线技术、无线网安全防护等方面进行论述。阐述了网络规划中采用的方法及相关技术。该项目完工后，进一步提升了网络环境，提高了管理水平和工作效率，推动了学校的的信息化建设，得到学校领导和师生的一致好评。
【正文】
随着学校的快速发展，迫切需要将应用系统扩展到整个校园。原有的校园网络已不能满足高速发展的校园信息化，改变校园网络迫在眉睫。无线局域网以其安装快速、部署灵活、数据速率高、综合成本较低、网络扩展能力强、终端普及性好等优点成为改变校园网的首选技术2010年我公司承接了师范大学园区无线局域网的建设项目，校方想利用无线网络技术进一步扩展校园网的覆盖范围，使全校师生能够随时随地、方便高效地使用校园网络；同时为促进教学发展进一步拓展应用，提升校园网络环境，提高管理水平和工作效率，推动学校信息化建设。我有幸参与本项目，负责该项的网络规划及热点部署工作。在师范校园无线网的设计上，我们在充分考虑学校使用需要的基础上，力求满足整个校园的可靠性、先进行、兼容性和安全性来完成此项工程。1.网络建设要求
（1）建设覆盖公共教学和活动区域的无线网。
利用有线网络基础结构，采用高速以太网和802.11n无线网络技术，建设相对独立的，覆盖园区的无线网。提供个人各类终端无线网接入服务，满足工作、学习和生活的互联网访问需求。要求WLAN可以满足教职工及学生笔记本无线上网。
（2）建设无线网安全防护体系。
采用成熟、可靠的无线通信加密技术，建设无线网通信防护体系；与相关厂商合作研制符合安全保密需求的无线网安全防护产品，并与园区网准入认证系统结合，实现无线终端准入控制和实名制身份认证；准入系统客户端软件实现入网终端安全管控和行为审计。
（3）建设园区网基础应用和运行保障服务体系。
在满足互联网访问的同时，建设IPv6组播、无线话音、无线视频等基础技术服务平台，满足未来教学、科研与应用对网络新技术的需求；建立健全校园网运行保障服务体系，为校园网用户提供高质量、人性化、便捷的网络服务。2.无线校园网总体架构
中心机房部署无线控制器与现有校园网核心交换机采用10GB互连，安装无线网络管理平台，并利用用户鉴权系统实现无线和有线入网终端及用户的管理。中心机房至教学楼采用10GB光纤互连，架设无线接入点（AP），实现这些区域的无线信号全覆盖。宿舍楼内采用汇聚和接入两层架构。汇聚层1GB上连核心层交换机，1GB下连接入层交换机，提供人员在宿舍内100/1000MB桌面接入速率，实现数据的大容量交换和高速转发。全网选用支持IPV4/IPv6双协议栈网络设备，并具备IPv6网管和组播功能，提供IPv6新兴应用的基础支撑平台。3.无线组网技术方案
（1）无线网络组成结构。
以校园网核心交换机为中心，购置一台无线控制器（AC.与核心交换机万兆互联，实现对AP设备的集中管控和数据智能转发。核心交换机千兆连接教学楼、图书馆、宿舍等区域；在教学楼公共教室、楼层走廊，图书馆阅览室、大厅以及宿舍楼层走廊、室外等位置部署支持FIT/FAT的双模AP设备，提供这些场所的高速无线接入。无线网接入层采用多点到多点的无线网状Mesh拓扑结构，在这种Mesh网络结构中，各网络节点通过相邻其他网络节点，以无线多跳方式相连。
（2）IP地址分配。
无线网提供IPv4/IPv6双栈透传，用户客户端IP地址采用动态分配方式，由DHCP服务器提供。无线客户端lP子网单独设置，不与当前有线网络终端IP子网混用。
（3）无线接入控制能力及漫游功能。
无线控制器系统实现多种基于用户或用户群的访问控制，接入控制策略实施、操作过程要方便、易用，即时生效。无线网络漫游功能采用：
①支持无线终端跨域AP进行L2漫游。
②支持无线终端跨越IP子网无线进行L3漫游。
③跨IP网段移动，可保持无线终端原有IP地址、认证与加密方式等不变，无须重新获取。
（4）无线定位功能及AP智能切换功能。
可对无线接入终端、RFID物品进行无线定位，定位精度小于5米，并可能在导入的地理布局图片上准确定位显示。当AC出现故障时，AP自动从FIT切换到FAT工作模式下，此时，FATAP工作的同时保持对AC状态探测，发现AC恢复后，自动切换回FIT工作模式，保证无线用户不掉线。4.无线覆盖施工方案
按照信号范围最大化原则，在满足园区无线覆盖区域全覆盖的前提下，重点选择部分区域进行更加细腻的覆盖。具体分为室内覆盖和室外覆盖两种方式，其中室外覆盖部分采用Mesh方式进行覆盖。按照场地面积、可能并发的无线终端使用人数合理设置AP的数量，每一楼层内要实现信号无盲区。重点区域包括宿舍楼及教学楼，满足95%区域接收信号强度≥-75dBm。室外满足95%区域接收信号强度≥-65dBm。5.用户安全接入认证规划
为了安全地使用无线网络，我们需要解决三个问题：
（1）确定无线网络的使用者是被允许的。
（2）数据传输时需要保密。
（3）防止非法无线网络基地台连上网络。
无线网络的安全措施一般有SSID、WEP、WAP等。SSID是必须提供与无线接入点设定一致的SSID才能与其通信，这样可以区分不同群组的用户接入；WEP是安全加密协议，主要用于实现访问控制、数据保密性和数据完整性三个安全目标。但对于大规模部署无线网络的环境，最合适的入网谁方式是基于Web的认证和基于802.1x的认证方式。采用基于Web的认证方式，无线网络的认证需要能够与有线网络相融合。此项目中采用的无线控制器本身就能很好地支持基于Web的认证功能，其可以作为全网Web认证的分布式认证，针对无线用户Web认证，后台将有线网络的Web认证网关作为Radius服务器进行联动，就可以保证全网用户有线与无线的账号统一，而此过程中，用户无须安装任何客户端产品，利用标准的浏览器即可完成上网登录。
本次我们在汇聚交换机处接认证服务器，在服务器组里增加一台Radius计费认证服务器，以便存储接入用户信息。当用户要求访问网络时，在通过认证前都强制到认证服务器的Web页面，要求输入用户名和密码，用户输入账号和密码后，点击登录，认证服务器会将用户的信息发送给Radius服务器，Radius服务器将用户输入的用户名和密码与数据库里用户信息进行