大型商場(chǎng)無線網(wǎng)絡(luò)覆蓋安全管理方案

1、大型商場(chǎng)無線網(wǎng)絡(luò)覆蓋安全管理方案大型商場(chǎng)無線網(wǎng)絡(luò)覆蓋安全管理方案 18 / 18目 錄1方案背景32方案介紹42.1方案考慮因素42.2方案拓?fù)湓O(shè)計(jì)52.3使用流程83方案特點(diǎn)103.1設(shè)定個(gè)性化推送頁面103.2使用方式簡(jiǎn)便153.3日志追蹤溯源163.4系統(tǒng)操作日志留存163.5遠(yuǎn)程可管可控163.6系統(tǒng)構(gòu)建安全173.7服務(wù)持續(xù)性運(yùn)行181 方案背景互聯(lián)網(wǎng)技術(shù)的高速發(fā)展，極大地提高了網(wǎng)絡(luò)的普及率和普及速度，網(wǎng)絡(luò)正成為人們辦公、日常生活、娛樂、教育、旅行等所必須的配備。天津贊普電子科技一直關(guān)注于寬帶網(wǎng)絡(luò)尤其是無線寬帶的發(fā)展趨勢(shì)，如何發(fā)揮自身在寬帶計(jì)費(fèi)行業(yè)的經(jīng)驗(yàn)優(yōu)勢(shì)特點(diǎn)，推出適合各類終端用戶

2、以及商業(yè)用戶的無線寬帶業(yè)務(wù)，成為我公司近幾年業(yè)務(wù)發(fā)展的方向。通過近一年的無線寬帶部署實(shí)際部署和使用，獲得到了用戶的良好反饋，進(jìn)一步增強(qiáng)了我公司對(duì)無線寬帶網(wǎng)絡(luò)覆蓋的信心。針對(duì)提供免費(fèi)無線WiFi接入服務(wù)的大型商場(chǎng)、超市、賣場(chǎng)等，一般稱為非經(jīng)營(yíng)性（或非盈利性）的無線網(wǎng)絡(luò)覆蓋場(chǎng)所，我公司推出了專門針對(duì)大型商場(chǎng)的無線覆蓋方案，為商場(chǎng)的無線覆蓋、安全管理、廣告營(yíng)銷等提供了一站式服務(wù)。方案實(shí)現(xiàn)中，商場(chǎng)區(qū)域內(nèi)以硬件部署為主，使用一定量的無線終端設(shè)備（無線WiFi路由器、匯聚交換機(jī)、無線控制器AC等）達(dá)到全區(qū)域的無線覆蓋，另外根據(jù)用戶的需要，提供兩種后臺(tái)部署方式供用戶選擇，即后臺(tái)放置在商場(chǎng)內(nèi)的機(jī)房或云平臺(tái)。此

3、外，還提供了完整和完善的后臺(tái)網(wǎng)絡(luò)安全管理機(jī)制，完善了無線網(wǎng)絡(luò)覆蓋的安全管理問題。2 方案介紹根據(jù)當(dāng)前寬帶網(wǎng)絡(luò)管理的行業(yè)現(xiàn)狀，以及這類網(wǎng)絡(luò)接入場(chǎng)所網(wǎng)絡(luò)覆蓋的特點(diǎn)和存在的問題，我公司憑借近年來在寬帶數(shù)據(jù)業(yè)務(wù)方面積累的經(jīng)驗(yàn)，以及相對(duì)于運(yùn)營(yíng)商更為靈活的業(yè)務(wù)模式，推出適合這些大型商場(chǎng)的寬帶網(wǎng)絡(luò)接入管理方案。方案部署力求簡(jiǎn)單、簡(jiǎn)易、有效，商場(chǎng)區(qū)域以線路鋪設(shè)以及無線設(shè)備覆蓋為主，其他所有認(rèn)證授權(quán)、管理控制、廣告業(yè)務(wù)系統(tǒng)全部存放于“云端”（部署在專業(yè)IDC機(jī)房），或者整個(gè)后臺(tái)部署在商場(chǎng)的核心機(jī)房?jī)?nèi)，后期的軟件、硬件維護(hù)等全部由我公司專業(yè)的售后服務(wù)團(tuán)隊(duì)支撐；商場(chǎng)經(jīng)營(yíng)者可登錄管理平臺(tái)對(duì)自己商場(chǎng)內(nèi)的無線路由器進(jìn)行用

4、戶信息查看、無線路由器狀態(tài)檢測(cè)、用戶登錄記錄查詢、認(rèn)證推送頁面定制、廣告業(yè)務(wù)擴(kuò)展等操作。系統(tǒng)平臺(tái)還整合了日志追蹤管理系統(tǒng)，在特殊需要情況下，可配合公安網(wǎng)監(jiān)部門，通過日志系統(tǒng)的關(guān)鍵信息記錄追蹤溯源，為商場(chǎng)管理者、公安網(wǎng)監(jiān)部門免除管理的煩惱。2.1 方案考慮因素l 軟件系統(tǒng)集中部署統(tǒng)一管理，商場(chǎng)內(nèi)多個(gè)接入設(shè)備、不同用戶接入，統(tǒng)一匯集到核心管理系統(tǒng)進(jìn)行統(tǒng)一管控，便于對(duì)軟件管理系統(tǒng)的管理和維護(hù)。l 末端部署簡(jiǎn)易化，使用簡(jiǎn)單的配置和插入即可完成全區(qū)域的無線網(wǎng)絡(luò)覆蓋。l 盡可能利用這些場(chǎng)所現(xiàn)有寬帶IP網(wǎng)絡(luò)基礎(chǔ)構(gòu)建，減少現(xiàn)有網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的改動(dòng)。l 充分利用現(xiàn)有網(wǎng)絡(luò)線路資源和網(wǎng)絡(luò)硬件設(shè)備資源，盡量減少資金投入

5、，避免重復(fù)投資。l 高可靠性的管理系統(tǒng)能夠保證認(rèn)證授權(quán)和管理服務(wù)的持續(xù)運(yùn)行。l 采用穩(wěn)定、高效的數(shù)據(jù)庫，保證數(shù)據(jù)采集的準(zhǔn)確、安全和及時(shí)反饋。l 安全的系統(tǒng)基礎(chǔ)構(gòu)建和傳輸機(jī)制，確保用戶信息不會(huì)泄露。l 充分發(fā)揮我公司在寬帶網(wǎng)絡(luò)的管理、多業(yè)務(wù)、靈活性方面的優(yōu)勢(shì)完全控制整個(gè)網(wǎng)絡(luò)的用戶，進(jìn)行安全有效的用戶管理。l 提供簡(jiǎn)捷實(shí)用的用戶Portal界面供管理員、商場(chǎng)經(jīng)營(yíng)者對(duì)業(yè)務(wù)進(jìn)行操作和管理，用戶接入時(shí)的認(rèn)證過程要簡(jiǎn)單、快速，并且能夠記錄關(guān)鍵信息定位到人。l 系統(tǒng)配置不僅滿足現(xiàn)在網(wǎng)絡(luò)狀況的需求，還要有能力承擔(dān)商場(chǎng)未來3-5年網(wǎng)絡(luò)規(guī)模發(fā)展的需要。對(duì)于后期擴(kuò)充能夠以平滑方式升級(jí)，以及對(duì)其他可能的對(duì)接的系統(tǒng)做好

6、充分的前期準(zhǔn)備，預(yù)留開放性接口。2.2 方案拓?fù)湓O(shè)計(jì)在方案部署時(shí)，避免對(duì)網(wǎng)絡(luò)結(jié)構(gòu)和現(xiàn)有裝修、線路走向做較大改動(dòng)，后臺(tái)軟件系統(tǒng)服務(wù)器集中部署，對(duì)通過各接入點(diǎn)AP以及網(wǎng)絡(luò)路由導(dǎo)向過來的網(wǎng)內(nèi)所有用戶網(wǎng)絡(luò)訪問認(rèn)證請(qǐng)求做出授權(quán)，同時(shí)可選對(duì)接公安部門的網(wǎng)絡(luò)安全審查日志系統(tǒng)，以達(dá)到詳細(xì)記錄用戶網(wǎng)絡(luò)訪問行為的目的；廣電寬帶網(wǎng)絡(luò)的專線服務(wù)則保障了整個(gè)方案的網(wǎng)絡(luò)訪問質(zhì)量和可靠性。根據(jù)商場(chǎng)的規(guī)模以及使用要求，本方案提供兩種部署模式供用戶選擇：后臺(tái)部署在云平臺(tái)，如下圖所示：根據(jù)A方案的設(shè)計(jì)，將采用以下主要的軟件系統(tǒng)和硬件設(shè)備：類別名稱數(shù)量說明租/買硬件設(shè)備無線控制器AC1硬件設(shè)備，串接在核心路由之下，服務(wù)要求較高的商

7、場(chǎng)可采用雙機(jī)冗余部署購買SOSO WiFi盒子N根據(jù)商場(chǎng)的規(guī)模確定點(diǎn)位及設(shè)備數(shù)量購買內(nèi)網(wǎng)交換機(jī)N根據(jù)商場(chǎng)規(guī)模及接口數(shù)量采購市場(chǎng)主流的交換機(jī)設(shè)備購買核心路由出口1核心網(wǎng)絡(luò)路由出口，建議商家采購市場(chǎng)主流的路由設(shè)備購買軟件系統(tǒng)MydRadius認(rèn)證計(jì)費(fèi)系統(tǒng)2計(jì)費(fèi)軟件，安裝在硬件服務(wù)器上，雙機(jī)冗余部署。商家以租用方式將服務(wù)托管于我公司IDC中心。租用MydPortal WEB認(rèn)證門戶系統(tǒng)2為個(gè)性化廣告推送、用戶接入認(rèn)證等提供支持，采用雙機(jī)冗余部署。商家以租用方式將服務(wù)托管于我公司IDC中心。租用短信網(wǎng)關(guān)1與國(guó)內(nèi)三家運(yùn)營(yíng)商對(duì)接的通道租用MydASD網(wǎng)監(jiān)日志系統(tǒng)1提供用戶上網(wǎng)期間的網(wǎng)絡(luò)訪問日志采集和整理租

8、用后臺(tái)部署在商場(chǎng)的核心機(jī)房，如下圖所示：根據(jù)B方案的設(shè)計(jì)，將采用以下主要的軟件系統(tǒng)和硬件設(shè)備：類別名稱數(shù)量說明租/買硬件設(shè)備無線控制器AC1硬件設(shè)備，串接在核心路由之下，服務(wù)要求較高的商場(chǎng)可采用雙機(jī)冗余部署購買SOSO WiFi盒子N根據(jù)商場(chǎng)的規(guī)模確定點(diǎn)位及設(shè)備數(shù)量購買內(nèi)網(wǎng)交換機(jī)N根據(jù)商場(chǎng)規(guī)模及接口數(shù)量采購市場(chǎng)主流的交換機(jī)設(shè)備購買核心路由出口1核心網(wǎng)絡(luò)路由出口，建議商家采購市場(chǎng)主流的路由設(shè)備購買軟件系統(tǒng)MydRadius認(rèn)證計(jì)費(fèi)系統(tǒng)2計(jì)費(fèi)軟件，安裝在硬件服務(wù)器上，雙機(jī)冗余部署。商家以租用方式將服務(wù)托管于我公司IDC中心。購買MydPortal WEB認(rèn)證門戶系統(tǒng)2為個(gè)性化廣告推送、用戶接入認(rèn)證

9、等提供支持，采用雙機(jī)冗余部署。商家以租用方式將服務(wù)托管于我公司IDC中心。購買短信網(wǎng)關(guān)1與國(guó)內(nèi)三家運(yùn)營(yíng)商對(duì)接的通道購買MydASD網(wǎng)監(jiān)日志系統(tǒng)1提供用戶上網(wǎng)期間的網(wǎng)絡(luò)訪問日志采集和整理購買2.3 使用流程本方案提供的功能綜合了行業(yè)內(nèi)高效的寬帶認(rèn)證授權(quán)計(jì)費(fèi)系統(tǒng)（由于為非經(jīng)營(yíng)性寬帶網(wǎng)絡(luò)，故本案中僅認(rèn)證授權(quán)不計(jì)費(fèi)），與國(guó)內(nèi)電信行業(yè)運(yùn)營(yíng)商（中國(guó)移動(dòng)、中國(guó)聯(lián)通、中國(guó)電信）對(duì)接的短信網(wǎng)關(guān)對(duì)接系統(tǒng)用于向接入用戶發(fā)放WiFi臨時(shí)賬戶和密碼，同時(shí)對(duì)上網(wǎng)用戶的身份（手機(jī)號(hào)）以及上網(wǎng)過程中產(chǎn)品的行為進(jìn)行記錄，并提供了統(tǒng)一的管理平臺(tái)分配給各級(jí)不同權(quán)限級(jí)別的管理員。由于手機(jī)號(hào)在國(guó)內(nèi)已基本實(shí)現(xiàn)實(shí)名制，故定位到手機(jī)號(hào)則基本

10、可以鎖定到申請(qǐng)手機(jī)號(hào)人的詳細(xì)信息（如姓名、身份證號(hào)等唯一標(biāo)識(shí)）。日志系統(tǒng)將對(duì)采集到的訪問記錄做解析和整理，記錄關(guān)鍵信息，若突發(fā)情況公安網(wǎng)絡(luò)安全管理部門可以查詢到以手機(jī)號(hào)為臨時(shí)賬戶的用戶，訪問了哪些網(wǎng)站或參與了哪些網(wǎng)絡(luò)活動(dòng)，進(jìn)而通過在各運(yùn)營(yíng)商處手機(jī)號(hào)登記的用戶名和身份證號(hào)碼找到具體的當(dāng)事人，實(shí)現(xiàn)了對(duì)流動(dòng)性臨時(shí)賬戶使用者的網(wǎng)絡(luò)安全管理。以下是本方案提供的使用流程：1. 用戶通過無線標(biāo)識(shí)SSID連接到場(chǎng)所內(nèi)覆蓋的WiFi設(shè)備，系統(tǒng)將定制的個(gè)性化認(rèn)證登陸界面推送給用戶的登陸設(shè)備（如筆記本，平板電腦，智能手機(jī)等）瀏覽器頁面上，用戶輸入自己的手機(jī)號(hào)碼并點(diǎn)擊獲取臨時(shí)密碼；在登錄窗口將展示商家的優(yōu)惠活動(dòng)、促銷

11、信息等推送內(nèi)容；2. 無線路由設(shè)備將會(huì)把用戶的請(qǐng)求通過我公司提供的專線寬帶，轉(zhuǎn)向部署在IDC（或商場(chǎng)核心機(jī)房）的管理平臺(tái)，系統(tǒng)將生成與此手機(jī)號(hào)碼匹配的臨時(shí)使用密碼并將通過內(nèi)置的短信通道將生成的密碼推送至各運(yùn)營(yíng)商的短信網(wǎng)關(guān)，以手機(jī)短信方式發(fā)送到用戶登記的手機(jī)號(hào)上；3. 用戶手機(jī)接受到來自短信平臺(tái)的密碼短信，在認(rèn)證窗口輸入使用的手機(jī)號(hào)以及獲取的密碼，點(diǎn)擊登錄；4. 系統(tǒng)會(huì)自動(dòng)與之前生成的手機(jī)號(hào)與密碼做匹配校驗(yàn)，核對(duì)失敗返回錯(cuò)誤提示并繼續(xù)提示獲取密碼窗口；核對(duì)成功后返回認(rèn)證成功的消息，用戶正常訪問Internet；5. 用戶訪問Internet期間，系統(tǒng)將記錄關(guān)鍵的用戶信息，在突發(fā)情況下可協(xié)助公安網(wǎng)

12、絡(luò)安全部門對(duì)記錄進(jìn)行溯源（僅在云平臺(tái)部署模式）；3 方案特點(diǎn)3.1 自主設(shè)定個(gè)性化廣告商場(chǎng)的經(jīng)營(yíng)者可登錄處于云端的管理平臺(tái)，根據(jù)商場(chǎng)的業(yè)務(wù)需要，自主的對(duì)自己管轄的區(qū)域的無線設(shè)備進(jìn)行管理，如設(shè)定帶寬、免費(fèi)使用時(shí)長(zhǎng)等，同時(shí)還可以選擇認(rèn)證時(shí)推送給用戶的模板類型、設(shè)定推送的廣告展示、優(yōu)惠活動(dòng)、打折促銷、微博平臺(tái)展示等，最大化的利用無線平臺(tái)實(shí)現(xiàn)廣告推送。商場(chǎng)與各店鋪經(jīng)營(yíng)者之間可協(xié)商使用寬帶業(yè)務(wù)與廣告業(yè)務(wù)的合作模式，在為顧客提供免費(fèi)WiFi服務(wù)的同時(shí)還能打造綠色的可持續(xù)有收益的WiFi生態(tài)業(yè)務(wù)模式。3.1.1 多樣的模板類型Ø 模板一:分類導(dǎo)航型此類模板對(duì)商家產(chǎn)品或營(yíng)業(yè)種類進(jìn)行了分類，客戶可以首

13、先點(diǎn)開自己想要瀏覽的商品頁面。同時(shí)免費(fèi)上網(wǎng)置于最低端，用戶必須瀏覽完廣告才可以登陸上網(wǎng)。Ø 模板二:突出產(chǎn)品型此模板突出單個(gè)產(chǎn)品的信息，如本店特價(jià)產(chǎn)品，圖片簡(jiǎn)捷醒目，容易給人留下深刻的印象，增強(qiáng)廣告效應(yīng)。Ø 模板三:綜合信息型此模板顯示整個(gè)商場(chǎng)的綜合信息，客戶可一覽商場(chǎng)全景。3.1.2 商家店內(nèi)展示展示一展示二3.1.3 定時(shí)下線，重推廣告商戶可以通過商家管理后臺(tái)來設(shè)置用戶上網(wǎng)時(shí)長(zhǎng)，超時(shí)則自動(dòng)下線，當(dāng)再次打開瀏覽器時(shí)，就會(huì)再次推出商家廣告。增強(qiáng)了廣告效應(yīng)，有助于商家進(jìn)行廣告營(yíng)銷。架設(shè)WIFI的背后，是我公司嘗試?yán)么髷?shù)據(jù)來重新打造賣場(chǎng)與客戶之間的關(guān)系。大數(shù)據(jù)正逐漸成為左右賣

14、場(chǎng)生存發(fā)展的無形大手，問題在于大數(shù)據(jù)對(duì)于商家到底是什么，我公司的答案是，“最重要的是做客人、商品、活動(dòng)的結(jié)合?！蔽夜鞠Ｍ艹浞滞诰驎?huì)員信息，使會(huì)員不僅僅是促銷積分的功用，也能為商家提供數(shù)據(jù)，在線下活動(dòng)中可以貼上二維碼。將活動(dòng)信息就跟消費(fèi)者個(gè)體的信息聯(lián)系起來。以此為拓展，根據(jù)社交活動(dòng)的信息及消費(fèi)傾向，進(jìn)行更為精準(zhǔn)的營(yíng)銷。另外一個(gè)嘗試是，我公司希望加強(qiáng)客戶之間的社交屬性，改變電子商務(wù)中缺乏娛樂和社交屬性的問題，推出“微信朋友圈”，依托原有數(shù)據(jù)，面向更多朋友客戶，線上推送商家自己的定義、范圍以及一些有趣的時(shí)尚信息。3.2 使用方式簡(jiǎn)便為了讓用戶能盡快接入網(wǎng)絡(luò)并享受到Internet的便捷，在手機(jī)大

15、量普及的背景下，以手機(jī)短信作為臨時(shí)無線寬帶網(wǎng)絡(luò)訪問所使用密碼的方式，無論是從便捷性還是安全性方面，都是方案首選。流動(dòng)場(chǎng)所的用戶，大多為較前沿的電子產(chǎn)品使用者如各類平板電腦，智能手機(jī)近幾年的大量普及也幾乎成為人手一部，同時(shí)還有越來越便于攜帶的筆記本（或超級(jí)本）。方案提供以瀏覽器認(rèn)證窗口彈出的方式為各類終端設(shè)備（如筆記本電腦、Pad、智能手機(jī)等）提供統(tǒng)一的頁面認(rèn)證方式，并且在識(shí)別用戶的終端類型后自動(dòng)推送適合瀏覽器顯示的認(rèn)證頁面。3.3 日志追蹤溯源集成部署的無線系統(tǒng)平臺(tái)對(duì)各部署點(diǎn)采集到的數(shù)據(jù)做解析、分析和歸類存儲(chǔ)，存取關(guān)鍵信息，在突發(fā)情況下，可協(xié)助公安網(wǎng)絡(luò)安全監(jiān)察部門對(duì)事件進(jìn)行溯源，滿足國(guó)家公安部

16、門對(duì)上網(wǎng)場(chǎng)所的安全要求。3.4 系統(tǒng)操作日志留存系統(tǒng)會(huì)自動(dòng)記錄所有級(jí)別的管理員登陸歷史記錄以及用戶的詳細(xì)操作記錄，如修改、新增、刪除了某條信息或設(shè)置項(xiàng)，低級(jí)別的賬戶只能看到自己的組內(nèi)的操作記錄，更高級(jí)別的賬戶則可以看到低級(jí)別的所有用戶操作記錄。在特殊情況下可跟蹤到某個(gè)管理員對(duì)系統(tǒng)的操作行為，從而對(duì)系統(tǒng)做恢復(fù)處理，保證系統(tǒng)的整體安全性。系統(tǒng)可設(shè)定記錄的日志存放時(shí)間周期，超過存放周期的系統(tǒng)將自動(dòng)清除以保持服務(wù)器的存儲(chǔ)空間，系統(tǒng)默認(rèn)提供最少60-180天的記錄（注：由于較長(zhǎng)的存儲(chǔ)留存周期將消耗更大的存儲(chǔ)空間，若有較長(zhǎng)的存儲(chǔ)留存周期要求需特殊告知，以保證系統(tǒng)預(yù)留足夠的存儲(chǔ)空間）。3.5 遠(yuǎn)程可管可控由

17、于區(qū)域內(nèi)用戶構(gòu)成較為復(fù)雜且有一定的流動(dòng)性，所以對(duì)單個(gè)用戶的帶寬需要控制，如商家客戶在自己的管理平臺(tái)上遠(yuǎn)程設(shè)定每個(gè)訪問用戶的帶寬為最高512Kbp或1Mbps，避免因?yàn)槟硞€(gè)用戶使用P2P或其他占用帶寬的應(yīng)用擠占了帶寬出口，造成區(qū)域內(nèi)其他用戶訪問網(wǎng)絡(luò)很慢的情況，讓有限的帶寬資源得到合理利用。還可以查看當(dāng)前在線的無線路由設(shè)備、查看當(dāng)前在線的用戶信息以及對(duì)無線路由設(shè)備進(jìn)行遠(yuǎn)程批量升級(jí)等管理。3.6 系統(tǒng)構(gòu)建安全所有的用戶數(shù)據(jù)均放置于云端（我公司具有專業(yè)的IDC機(jī)房），在傳輸過程中采用特殊的機(jī)制保證用戶的信息不受破解；在存儲(chǔ)的服務(wù)器均采用多點(diǎn)冗余備份，在某個(gè)物理硬盤損壞時(shí)能夠通過其他的冗余數(shù)據(jù)完整的還原損壞前的所有數(shù)據(jù)，對(duì)數(shù)據(jù)存儲(chǔ)的安全性做到萬無一失。由于管理系統(tǒng)集中部署，故要求部署的地點(diǎn)足夠安全，能夠避免自然破壞或人為的惡意網(wǎng)絡(luò)攻擊，服務(wù)能夠保證長(zhǎng)時(shí)間不間斷運(yùn)行，同時(shí)數(shù)據(jù)存放要足夠安全，除了運(yùn)營(yíng)的商家客戶已經(jīng)上級(jí)公安監(jiān)察等部門外，一律不能開放，對(duì)于可能預(yù)料的物理磁盤損耗有足夠的冗余備份確保用戶數(shù)據(jù)的完整性和安全性。3.7 服務(wù)持續(xù)性運(yùn)行集成的無線運(yùn)營(yíng)平臺(tái)所有的軟