XX農(nóng)商銀行無線技術(shù)方案

需求分析項(xiàng)目背景隨著技術(shù)的日益發(fā)展，手機(jī)等智能終端的普及，越來越多的人對無線網(wǎng)絡(luò)有了一個(gè)較迫切的需求，能夠讓人享受便捷的無線服務(wù)。鄂州農(nóng)商行45個(gè)網(wǎng)點(diǎn)均沒有提供無線服務(wù)，對于銀行而言，既少了一個(gè)業(yè)務(wù)推廣渠道，也沒能很好的跟上客戶的實(shí)際需求。在這種背景下，鄂州農(nóng)商行決定在45個(gè)網(wǎng)點(diǎn)提供無線網(wǎng)絡(luò)服務(wù)。在網(wǎng)點(diǎn)局端，根據(jù)每個(gè)網(wǎng)點(diǎn)面積的不同，提供數(shù)量不等的無線設(shè)備。在后臺部署統(tǒng)一管理認(rèn)證的設(shè)備和軟件系統(tǒng)，用于銀行客戶的上網(wǎng)和銀行業(yè)務(wù)推廣。項(xiàng)目規(guī)劃本次項(xiàng)目規(guī)劃鄂州農(nóng)商行45個(gè)營業(yè)網(wǎng)點(diǎn)通過數(shù)據(jù)電路（運(yùn)營商虛擬內(nèi)網(wǎng)）傳到市總行機(jī)房所有數(shù)據(jù)出入口（互聯(lián)網(wǎng)）在市總行進(jìn)行上網(wǎng)行為管理及各種認(rèn)證上網(wǎng)，需要可劃分VLAN的網(wǎng)管交換機(jī)邏輯隔離辦公與客戶的網(wǎng)絡(luò)；出口使用多WAN口流控設(shè)備對所有用戶訪問日志進(jìn)行記錄備案。需要預(yù)留接口給公安局做數(shù)據(jù)監(jiān)控。本次項(xiàng)目是在鄂州農(nóng)商行有線網(wǎng)的基礎(chǔ)上進(jìn)行無線網(wǎng)擴(kuò)容（即通過AP無線網(wǎng)絡(luò)接入到有線網(wǎng)絡(luò)）；每個(gè)部署AP的地方需一根五類線做為網(wǎng)絡(luò)接入點(diǎn)，使用POE供電；接入使用二層千兆網(wǎng)管交換機(jī)千兆上聯(lián)核心。核心使用三層交換機(jī)。出口上網(wǎng)行為管理設(shè)備對接入用戶做認(rèn)證與行為管理，并提供數(shù)據(jù)備份以供查詢。項(xiàng)目建設(shè)目標(biāo)本次項(xiàng)目建設(shè)目標(biāo)如下：利用無線網(wǎng)絡(luò)技術(shù)進(jìn)一步擴(kuò)展對營業(yè)網(wǎng)點(diǎn)的覆蓋范圍，使在鄂州農(nóng)商行任何一地方都能夠隨時(shí)隨地、方便高效地使用該網(wǎng)絡(luò)；促進(jìn)辦公的效率，進(jìn)一步拓展研究空間；提升辦公環(huán)境，提高管理水平和效率，推動信息化建設(shè)；鄂州農(nóng)商行無線覆蓋方案設(shè)計(jì)原則一般來說，網(wǎng)絡(luò)建設(shè)既要立足現(xiàn)狀，也要考慮未來技術(shù)和業(yè)務(wù)的發(fā)展，因此一般網(wǎng)絡(luò)建設(shè)至少要滿足不少于三到五年業(yè)務(wù)的發(fā)展需求，比如當(dāng)前技術(shù)發(fā)展下，無線AP設(shè)備必須支持802.11a/b/g/n/ac協(xié)議，滿足未來網(wǎng)絡(luò)的發(fā)展需要；設(shè)備支持充分的冗余性，保證不出現(xiàn)單點(diǎn)故障，同時(shí)支持系統(tǒng)熱備份協(xié)議，保證單臺設(shè)備故障不影響整個(gè)網(wǎng)絡(luò)，故障切換時(shí)間要達(dá)到毫秒級，故障切換不影響系統(tǒng)的正常運(yùn)行；需要考慮將來終端用戶的增加，安全、穩(wěn)定及可擴(kuò)展性是網(wǎng)絡(luò)建成必要的考慮因素，即要保證給網(wǎng)絡(luò)的發(fā)展留出空間同時(shí)還需要考慮高帶寬接入和安全性。綜合當(dāng)前網(wǎng)絡(luò)的需求和將來網(wǎng)絡(luò)的發(fā)展，本次網(wǎng)絡(luò)設(shè)計(jì)主要遵循了以下幾項(xiàng)基本設(shè)計(jì)原則：先進(jìn)性原則：IP網(wǎng)絡(luò)技術(shù)的發(fā)展非常迅速，在計(jì)算機(jī)應(yīng)用領(lǐng)域占有越來越重要的地位。必須認(rèn)識到，網(wǎng)絡(luò)建設(shè)是一個(gè)動態(tài)的過程，在這個(gè)過程中將不斷有新技術(shù)產(chǎn)生，有新產(chǎn)品出現(xiàn)。因此,需要采用較為先進(jìn)的組網(wǎng)技術(shù)，選用代表當(dāng)今世界潮流趨勢的的網(wǎng)絡(luò)產(chǎn)品，才能在未來的發(fā)展中保持技術(shù)領(lǐng)先。

可擴(kuò)展性隨著應(yīng)用軟件復(fù)雜程度的增加，網(wǎng)絡(luò)用戶數(shù)量的增長以及多媒體技術(shù)的普及，當(dāng)今網(wǎng)絡(luò)對帶寬的需求日益增加。網(wǎng)絡(luò)系統(tǒng)應(yīng)該能為用戶提供足夠的帶寬，滿足用戶的實(shí)際應(yīng)用需求，并且?guī)拺?yīng)該是動態(tài)可調(diào)整、可擴(kuò)展的?？煽啃跃W(wǎng)絡(luò)的安全可靠性是網(wǎng)絡(luò)的一個(gè)重要的指標(biāo)，網(wǎng)絡(luò)系統(tǒng)必須絕對可靠，網(wǎng)絡(luò)設(shè)計(jì)必須可靠性需要重點(diǎn)考慮，因此網(wǎng)絡(luò)從結(jié)構(gòu)設(shè)計(jì)、產(chǎn)品選擇以及網(wǎng)絡(luò)管理上要對網(wǎng)絡(luò)的可靠性作出保證。實(shí)用性網(wǎng)絡(luò)設(shè)計(jì)一定要充分保護(hù)網(wǎng)絡(luò)系統(tǒng)現(xiàn)有資源。同時(shí)要根據(jù)實(shí)際情況，采用新技術(shù)和新裝備，還需要考慮組網(wǎng)過程要與平臺建設(shè)及開發(fā)同步進(jìn)行，建立一個(gè)實(shí)用的網(wǎng)絡(luò)。力求使網(wǎng)絡(luò)既滿足目前需要，又能適應(yīng)未來發(fā)展，同時(shí)達(dá)到較好的性能/價(jià)格比。無線網(wǎng)絡(luò)架構(gòu)本次項(xiàng)目整體無線網(wǎng)絡(luò)架構(gòu)如下：本次項(xiàng)目網(wǎng)絡(luò)采用傳統(tǒng)網(wǎng)絡(luò)架構(gòu)，出口采用華為下一代安全防火墻，提供豐富的接口類型，實(shí)現(xiàn)無線用戶上網(wǎng)和對內(nèi)部的安全防護(hù)。AC控制器胖掛核心，實(shí)現(xiàn)對AP的控制管理，簡化網(wǎng)絡(luò)結(jié)構(gòu)，實(shí)現(xiàn)業(yè)務(wù)流量的高速交換及轉(zhuǎn)發(fā)。每個(gè)網(wǎng)點(diǎn)有一臺電腦上網(wǎng)（開戶查詢等業(yè)務(wù)），個(gè)別網(wǎng)點(diǎn)只有1臺AP，每個(gè)網(wǎng)點(diǎn)不超5個(gè)設(shè)備，通過可劃分VLAN的接入交換機(jī)與區(qū)縣核心互聯(lián)，接入交換機(jī)對無線多SSID劃分VLAN，通過trunk模式與AP對接。鄂州農(nóng)商行內(nèi)部員工無線網(wǎng)使用內(nèi)部無線設(shè)備，辦理業(yè)務(wù)客戶使用外網(wǎng)，每個(gè)網(wǎng)點(diǎn)在30個(gè)左右；外網(wǎng)通過上網(wǎng)行為管理做用戶認(rèn)證及行為管控，以及相關(guān)營銷。射頻規(guī)劃與IP地址規(guī)劃一樣，WLAN信道是WLAN網(wǎng)絡(luò)設(shè)計(jì)中重要一環(huán)，大型無線網(wǎng)必須對WLAN信道進(jìn)行統(tǒng)一規(guī)劃。WLAN信道規(guī)劃的好壞，影響到無線網(wǎng)絡(luò)的帶寬、無線網(wǎng)絡(luò)的性能、無線網(wǎng)絡(luò)的擴(kuò)展以及無線網(wǎng)絡(luò)的抗干擾能力，也必將直接影響到無線網(wǎng)絡(luò)的用戶體驗(yàn)。頻點(diǎn)劃分為保證信道之間不相互干擾，大型無線網(wǎng)必須對WLAN信道進(jìn)行統(tǒng)一規(guī)劃并實(shí)施。WLAN系統(tǒng)主要應(yīng)用兩個(gè)頻段：2.4GHz和5.0GHz。2.4G頻段具體頻率范圍為2.4～2.4835GHz的連續(xù)頻譜，信道編號1～14，非重疊信道共有三個(gè)，一般選取1、6、11這三個(gè)非重疊信道。5.0G頻段分配的頻譜并不連續(xù)，主要有兩段：5.15～5.35GHz、5.725GHz～5.85GHz。不重疊信道在5.15～5.35GHz頻段有8個(gè)，分別為36、40、44、48、52、56、60、64；在5.725GHz～5.85GHz頻段有4個(gè)，分別為149、153、157、161，可以根據(jù)實(shí)際部署情況，選擇相應(yīng)的非重疊信道。信道覆蓋WLAN信道規(guī)劃需遵循兩個(gè)原則：蜂窩覆蓋、信道間隔。根據(jù)覆蓋密度、干擾情況、選擇2.4G/5G單頻或雙頻覆蓋。AP交替使用2.4G的1、6、11信道及5.0G的36、40、44信道，避免信號相互干擾；一般情況單獨(dú)使用2.4G或5.0G的頻段，對于會議室等高密度用戶接入的場所，可以啟用雙頻進(jìn)行覆蓋，以便提供更好的接入能力。單頻覆蓋和雙頻覆的示意圖如下圖所示。鏈路預(yù)算WLAN鏈路預(yù)算一般經(jīng)過邊緣場強(qiáng)確認(rèn)，空間損耗計(jì)算，覆蓋距離計(jì)算等步驟。邊緣場強(qiáng)確認(rèn)是指：在WLAN工程部署中，要求重點(diǎn)覆蓋區(qū)域內(nèi)的WLAN信號到達(dá)用戶終端的電平不低于－75dBm。這樣可以保障用戶與AP的協(xié)商速率以及收發(fā)數(shù)據(jù)質(zhì)量?？臻g損耗計(jì)算通常采用如下公式：。其中：Pr[dB]為最小接收電平，即為AP在不同傳輸速率下的接收靈敏度；Pt[dB]為最大發(fā)射功率；Gt[dB]為發(fā)射天線增益；Gr[dB]為接收天線增益；Pl[dB]為路徑損耗（包括空間傳播損耗、饋線傳播損耗、墻體/玻璃阻擋損耗）。實(shí)際部署中終端天線增益不可知，為方便計(jì)算常忽略接收天線增益，而采用如下公式：到達(dá)用戶端的信號電平＝AP發(fā)射功率＋AP天線增益－路徑損耗。路徑損耗主要指WLAN信號的空間損耗，空間損耗＝92.4+20lgf+20lgd（f：GHz，d：km）。由公式推算可知：空間傳輸距離100m200m300m400m500m600m1000m100m2.4GHz信號的空間衰減(dBm)808689.5929495.5100805.8GHz信號的空間衰減(dBm)87.693.697.199.6101.6103.1107.687.6SSID和漫游規(guī)劃SSID規(guī)劃AP可以配置多個(gè)SSID，華為單頻AP可支持16個(gè)SSID，雙頻AP可支持32個(gè)SSID。通過配置多個(gè)SSID，AC針對不同的SSID下發(fā)不同的策略，SSID根據(jù)策略進(jìn)行終端與業(yè)務(wù)管理。無線網(wǎng)絡(luò)可按照用戶群體劃分不同的SSID，如下圖所示，針對三種不同的用戶群體，在AP上設(shè)置了3個(gè)SSID：SSID1用于辦公、SSID2用于訪客和SSID3用于內(nèi)部。SSID和VLAN的映射通常，以太網(wǎng)中管理VLAN和業(yè)務(wù)VLAN是分離的。業(yè)務(wù)VLAN主要用于區(qū)分不同的業(yè)務(wù)類型或用戶群體。在WLAN網(wǎng)絡(luò)中SSID也同樣可以承擔(dān)相應(yīng)的工作。因此，在SSID的規(guī)劃中必須綜合考慮VLAN與SSID的映射關(guān)系。業(yè)務(wù)VLAN應(yīng)根據(jù)實(shí)際業(yè)務(wù)需要與SSID匹配映射關(guān)系，映射關(guān)系有1:1、1:N、N:1、N:N四種。漫游規(guī)劃漫游是指用戶在部署了WLAN網(wǎng)絡(luò)的場所移動時(shí)，用戶終端可以從一個(gè)AP的覆蓋范圍移動到另一個(gè)AP的覆蓋范圍，用戶無需重新登錄和認(rèn)證，如下圖所示。WLAN網(wǎng)絡(luò)漫游中需要了解以下兩點(diǎn)：1、漫游過程中SSID必須一致，且使用相同的安全設(shè)置。2、漫游中選擇連接哪個(gè)AP是無線客戶端的動作，這個(gè)切換的時(shí)機(jī)和快慢受無線客戶端的芯片或設(shè)置的影響，所以在漫游切換過程中會出現(xiàn)不同的終端切換性能有差異。WLAN安全性規(guī)劃在銀行中部署WLAN網(wǎng)絡(luò)需要格外關(guān)注WLAN網(wǎng)絡(luò)的安全，保障WLAN網(wǎng)絡(luò)的安全運(yùn)行。如何考慮解決RogueAP等設(shè)備帶來的安全隱患？如何防止非法的用戶訪問行為？怎么禁止非法用戶接入網(wǎng)絡(luò)？怎么防止空口竊聽？如何保證AP接入AC的安全？這些安全隱患整體可以分為空口安全和用戶安全兩類?？湛诎踩湛诎踩饕獊碜苑欠╮ogue設(shè)備，空口監(jiān)聽和惡意攻擊三個(gè)方面，如下圖所示?？湛诎踩{Rogue設(shè)備網(wǎng)絡(luò)中可能出現(xiàn)的Rogue設(shè)備包括RogueAP，RogueClient，Ad-hoc設(shè)備，這些設(shè)備對運(yùn)維的WLAN網(wǎng)絡(luò)會帶來諸多的安全隱患，如干擾，用戶和非法AP建立連接等。WLANWIDS方案支持對網(wǎng)絡(luò)中的Rogue設(shè)備（包括AP，Client，Ad-hoc）的進(jìn)行檢測、識別以及反制功能。下面分別從非法設(shè)備的監(jiān)聽，識別，判斷以及反制四個(gè)方面詳細(xì)闡述，。偵聽周邊設(shè)備AP有三種工作模式：接入模式混，監(jiān)聽模式和合模式。接入模式只提供覆蓋功能，不提供非法設(shè)備監(jiān)聽功能；監(jiān)聽模式只監(jiān)聽，不能接入業(yè)務(wù)；而混合模式可以在接入業(yè)務(wù)的同時(shí)進(jìn)行監(jiān)聽。推薦AP工作在混合模式，在接入業(yè)務(wù)的同時(shí)監(jiān)聽周邊設(shè)備，低成本部署。設(shè)備類型識別AP通過監(jiān)聽Beacon，AssociatonRequest，AssociationResponse協(xié)議報(bào)文和數(shù)據(jù)報(bào)文報(bào)文來識別Rogue設(shè)備是哪種設(shè)備（AP/Adhoc/Client）。監(jiān)控AP搜集到無線設(shè)備后，維護(hù)一個(gè)無線設(shè)備信息列表，并把這些信息上報(bào)給AC，在AC上根據(jù)一定的規(guī)則進(jìn)行Rogue設(shè)備判斷。Rogue設(shè)備判斷當(dāng)AP設(shè)備工作在混合模式或者監(jiān)聽模式時(shí)可以實(shí)現(xiàn)對整個(gè)網(wǎng)絡(luò)的監(jiān)控，監(jiān)控設(shè)備包括AP、Client、Adhoc終端、無線網(wǎng)橋等。Rogue設(shè)備反制檢測到Rogue設(shè)備后，可以使能防范、反制功能。反制功能，根據(jù)反制的模式，監(jiān)測模式AP從無線控制器下載攻擊列表，并對Rogue設(shè)備采取措施，阻止其工作。對RogueAP的反制：監(jiān)測AP通過使用RogueAP設(shè)備的地址發(fā)送假的廣播解除認(rèn)證幀來對RogueAP設(shè)備進(jìn)行反制，抑制無線用戶和非法AP建立鏈接。對RogueClient、Adhoc設(shè)備的反制：監(jiān)測AP通過使用RogueClient、Adhoc設(shè)備的BSSID、MAC地址發(fā)送假的單播解除認(rèn)證幀，對指定非法Client的進(jìn)行反制。Rogue設(shè)備管理可以與定位功能集合，如在地圖上可以查詢或者實(shí)時(shí)顯示Rogue設(shè)備的位置，為網(wǎng)管人員對網(wǎng)絡(luò)監(jiān)管和排障定位提供便捷。惡意攻擊針對惡意攻擊，WLAN要擁有多種方式。下面針對使用場景中最常用的flood攻擊，WeakIV攻擊，Spoof攻擊方式，方案需要具備防御規(guī)劃和措施。Flood攻擊檢測：當(dāng)“惡意用戶”發(fā)送大量的“連接請求報(bào)文”至AP時(shí)，這些報(bào)文會被AP轉(zhuǎn)發(fā)到AC設(shè)備上進(jìn)行處理，這樣會對內(nèi)部網(wǎng)絡(luò)造成沖擊。啟動Floodattack檢測，AC會檢測到來自于該惡意用戶的Flood攻擊，AP會將來自于該用戶的報(bào)文將全部被丟棄，從而實(shí)現(xiàn)了對于網(wǎng)絡(luò)的安全防御。WeakIV攻擊檢測：對于Client的數(shù)據(jù)報(bào)文，如果該報(bào)文使用了WEP加密算法，需要啟動IV檢測；AC根據(jù)IV的安全性策略判斷是否存在WeakIV攻擊。Spoof攻擊檢測：這種攻擊的潛在攻擊者將以其他設(shè)備的名義發(fā)送攻擊報(bào)文。惡意AP或者惡意用戶發(fā)送一個(gè)欺騙的解除認(rèn)證報(bào)文會導(dǎo)致無線客戶端下線。AC接受到這種報(bào)文時(shí)將立刻被定義為欺騙攻擊，并阻止該用戶。空口竊聽空口監(jiān)聽往往是網(wǎng)絡(luò)攻擊者嘗試破解的點(diǎn)，需要考慮對空口數(shù)據(jù)進(jìn)行加密。常用的空口加密方式有WEP，WPA/WPA2，WAPI等。在最新的實(shí)現(xiàn)中，不管是WPA1還是WPA2都可以使用802.1X，使用802.1X時(shí)稱為WPA企業(yè)版，不使用802.1X時(shí)稱為WPA個(gè)人版，或者叫WPA-PSK版。在實(shí)際網(wǎng)絡(luò)部署中，空口加密通常和用戶認(rèn)證一起考慮，推薦使用Portal+PSK方式部署，加密方式推薦采用CCMP，在網(wǎng)絡(luò)側(cè)進(jìn)行配置。無線產(chǎn)品說明出口防火墻：華為USG6370華為USG6600系列下一代防火墻是面向大中型企業(yè)、機(jī)構(gòu)及下一代數(shù)據(jù)中心推出的萬兆園區(qū)下一代防火墻。USG6600支持業(yè)界最多的6300+應(yīng)用識別，集傳統(tǒng)防火墻、VPN、入侵防御、防病毒、數(shù)據(jù)防泄漏等多種安全功能于一體，開啟多重防護(hù)下仍保持高性能，幫助企業(yè)構(gòu)筑面向未來的下一代網(wǎng)絡(luò)安全防護(hù)。通過ICSA實(shí)驗(yàn)室Firewall、IPS、IPSec、SSLVPN、AV認(rèn)證，通過CCEAL4+認(rèn)證，獲得NSS實(shí)驗(yàn)室推薦級評價(jià)。型號USG6370固定接口8GE+4SFP接口擴(kuò)展可擴(kuò)展千兆電口/千兆光口/萬兆光口，支持BYPASS插卡產(chǎn)品形態(tài)1U尺寸（W×D×H）442mm×421mm×44.4mm滿配重量8.6kgHDD選配可熱插拔硬盤冗余電源選配最大功率350W電源AC100～240V工作環(huán)境溫度：0~45℃(不含硬盤)/5℃～40℃(包含硬盤)

濕度：5%～95%(不含硬盤)/5%～90%(包含硬盤)非工作環(huán)境溫度：-40℃～70℃/濕度：5%～95%認(rèn)證軟件認(rèn)證ICSALabs:Firewall，IPS，IPSecVPN,

SSLVPN

CC:EAL4+

NSSLabs:推薦級硬件認(rèn)證CB,CCC,CE-SDOC,ROHS,REACH&WEEE(EU),C-TICK,ETL,FCC&IC,VCCI,BSMI功能特性一體化防護(hù)集傳統(tǒng)防火墻、VPN、入侵防御、防病毒、數(shù)據(jù)防泄漏、帶寬管理、Anti-DDoS、URL過濾、反垃圾郵件等多種功能于一身，全局配置視圖和一體化策略管理。應(yīng)用識別與管控可識別6000+應(yīng)用，訪問控制精度到應(yīng)用功能，例如：區(qū)分微信的文字和語音。應(yīng)用識別與入侵檢測、防病毒、內(nèi)容過濾相結(jié)合，提高檢測性能和準(zhǔn)確率。入侵防御與Web防護(hù)第一時(shí)間獲取最新威脅信息，準(zhǔn)確檢測并防御針對漏洞的攻擊?？煞雷o(hù)各種針對web的攻擊，包括SQL注入攻擊和跨站腳本攻擊等。防病毒病毒庫每日更新，可迅速檢出超過500萬種病毒。APT防御與沙箱聯(lián)動，對惡意文件進(jìn)行檢測和阻斷。數(shù)據(jù)防泄漏對傳輸?shù)奈募蛢?nèi)容進(jìn)行識別過濾，可準(zhǔn)確識別常見文件的真實(shí)類型，如Word、Excel、PPT、PDF等，并對敏感內(nèi)容進(jìn)行過濾。帶寬管理與QoS優(yōu)化在識別業(yè)務(wù)應(yīng)用的基礎(chǔ)上，可管理每用戶/IP使用的帶寬,確保關(guān)鍵業(yè)務(wù)和關(guān)鍵用戶的網(wǎng)絡(luò)體驗(yàn)。管控方式包括：限制最大帶寬或保障最小帶寬、應(yīng)用的策略路由、修改應(yīng)用轉(zhuǎn)發(fā)優(yōu)先級等。URL過濾URL分類庫超過1.2億，可區(qū)分對不同類別網(wǎng)站的訪問，并對訪問行為進(jìn)行管理。防范惡意網(wǎng)站對企業(yè)網(wǎng)絡(luò)的侵害?？蓪μ囟悇e網(wǎng)站的訪問進(jìn)行加速，保障對高優(yōu)先級網(wǎng)站的訪問體驗(yàn)。行為和內(nèi)容審計(jì)可基于用戶對訪問內(nèi)容進(jìn)行審計(jì)、溯源。負(fù)載均衡支持服務(wù)器負(fù)載均衡和鏈路負(fù)載均衡，充分利用現(xiàn)有網(wǎng)絡(luò)資源。業(yè)務(wù)智能選路支持基于業(yè)務(wù)的策略路由，在多出口場景下可根據(jù)多種負(fù)載均衡算法（如帶寬比例、鏈路健康狀態(tài)等）進(jìn)行智能選路。VPN加密支持豐富高可靠性的VPN特性，如IPSecVPN、SSLVPN、L2TPVPN、MPLSVPN、GRE等；提供自研的VPN客戶端SecoClient，實(shí)現(xiàn)SSLVPN、L2TPVPN和L2TPoverIPSecVPN用戶遠(yuǎn)程接入。SSL加密流量檢測可作為代理檢測并防御隱藏在SSL加密流量中的威脅，包括入侵防御、防病毒、內(nèi)容過濾、URL過濾等應(yīng)用層防護(hù)。Anti-DDoS支持DDoS攻擊防護(hù)，防范SYNflood、UDPflood等10+種常見DDoS攻擊。用戶認(rèn)證支持多種用戶認(rèn)證方式，包括本地認(rèn)證、RADIUS、Hwtacacs、SecureID、AD、CA、LDAP、EndPointSecurity等。防火墻支持內(nèi)置Portal及Portal重定向功能，與AgileController配合可以實(shí)現(xiàn)微信認(rèn)證。安全虛擬化支持多種安全業(yè)務(wù)的虛擬化，包括防火墻、入侵防御、反病毒、VPN等。不同用戶可在同一臺物理設(shè)備上進(jìn)行隔離的個(gè)性化管理。智能策略管理預(yù)置常用防護(hù)場景模板，快速部署安全策略，降低學(xué)習(xí)成本。

自動評估安全策略存在的風(fēng)險(xiǎn)，智能給出優(yōu)化建議。

支持策略沖突和冗余檢測，發(fā)現(xiàn)冗余的和長期未使用策略，有效控制策略規(guī)模。與FireMon公司合作提供安全策略管理解決方案，降低運(yùn)維成本，減少故障風(fēng)險(xiǎn)。豐富的報(bào)表可視化多維度報(bào)表呈現(xiàn)，支持用戶、應(yīng)用、內(nèi)容、時(shí)間、流量、威脅、URL等多維度呈現(xiàn)報(bào)表。通過華為安全中心平臺生成“網(wǎng)絡(luò)安全分析報(bào)告”，對當(dāng)前網(wǎng)絡(luò)的安全狀態(tài)進(jìn)行評估，并給出相關(guān)優(yōu)化建議。路由特性全面支持IPV4/IPV6下的多種路由協(xié)議，如RIP、OSPF、BGP、IS-IS、IPv6RD、ACL6等；部署及可靠性透明、路由、混合部署模式，支持主/主、主/備HA特性。配套管理能力SWeb：防火墻自帶的設(shè)備管理界面，提供了豐富的設(shè)備管理和維護(hù)功能，包括輸出日志報(bào)表，配置各種功能，進(jìn)行故障診斷等。eSight：防火墻配套的網(wǎng)管軟件，可以提供性能、告警、資源、配置、拓?fù)涞裙芾砟芰?，?shí)現(xiàn)全網(wǎng)設(shè)備的統(tǒng)一管理。AgileController：在華為SDN敏捷網(wǎng)絡(luò)解決方案中，用戶可以通過敏捷控制器AgileController實(shí)現(xiàn)基于應(yīng)用及用戶的安全策略控制。LogCenter:防火墻配套的安全事件管理系統(tǒng)，可以提供安全態(tài)勢感知、報(bào)表管理、日志審計(jì)、集中告警管理等功能。上網(wǎng)行為管理：華為ASG5320ASG5000系列上網(wǎng)行為管理產(chǎn)品是華為面向各類企業(yè)、政府、大中型數(shù)據(jù)中心以及各類無線非經(jīng)營性場所推出的業(yè)界領(lǐng)先的綜合上網(wǎng)行為管理產(chǎn)品。該系列產(chǎn)品可深度識別、管控和審計(jì)IM聊天軟件、P2P下載軟件、炒股軟件、網(wǎng)絡(luò)游戲應(yīng)用、流媒體在線視頻應(yīng)用等近千種常見應(yīng)用，并利用多級流控、精準(zhǔn)阻斷、智能路由等技術(shù)提供強(qiáng)大的帶寬管理特性。配合創(chuàng)新的網(wǎng)絡(luò)應(yīng)用行為精細(xì)化管理功能和清晰的易管理日志等功能。該產(chǎn)品可以幫助企業(yè)及各類機(jī)構(gòu)提升員工工作效率、營造安全辦公環(huán)境，為用戶提供一套綜合、完善的上網(wǎng)行為審計(jì)解決方案。固定接口ASG5320：12GE+12SFP網(wǎng)絡(luò)行為審計(jì)識別主流應(yīng)用，訪問控制精度到應(yīng)用行為，例如：可區(qū)分QQ的登錄、收發(fā)消息，語音，發(fā)文件等行為URL審計(jì)千萬級URL庫，每周自動更新SSL解密提供加密網(wǎng)站、加密網(wǎng)站搜索內(nèi)容、加密郵件解密功能。用戶識別支持內(nèi)置賬號、第三方LDAP/Radius/AD域認(rèn)證、微信認(rèn)證、短信認(rèn)證、Portal認(rèn)證、APP認(rèn)證、混合認(rèn)證等應(yīng)用控制基于用戶、用戶組、IP、IP組、應(yīng)用、時(shí)間、端口、應(yīng)用動作、URL、惡意URL等因素，提供靈活的控制策略流量控制基于用戶、用戶組、IP、IP組、應(yīng)用、時(shí)間、端口、鏈路等維度提供帶寬保障、帶寬限制、每用戶/IP帶寬限制、帶寬優(yōu)先級、流量時(shí)長、流量總額等帶寬調(diào)控手段內(nèi)容過濾論壇貼吧、文件、郵件外發(fā)內(nèi)容審計(jì)和過濾日志查詢提供上網(wǎng)內(nèi)容/文件查詢，支持本地導(dǎo)出日志增值營銷支持應(yīng)用緩存、廣告推送、用戶行為畫像等營銷類功能攻擊防護(hù)防護(hù)ARP、端口掃描、FLOOD、異常包、漏洞、緩沖溢出、木馬等攻擊病毒過濾啟發(fā)式檢測，可迅速檢出超過百萬種病毒安全互聯(lián)提供標(biāo)準(zhǔn)IPSecVPN，支持與同系列產(chǎn)品快速對接IPSecVPN核心交換機(jī)：華為S7706S7700系列是華為公司面向下一代企業(yè)網(wǎng)絡(luò)架構(gòu)而推出的新一代高端智能路由交換機(jī)。該產(chǎn)品基于華為公司智能多層交換的技術(shù)理念，在提供穩(wěn)定、可靠、安全的高性能L2~L4層交換服務(wù)基礎(chǔ)上，進(jìn)一步提供MPLSVPN、業(yè)務(wù)流分析、完善的HQoS策略、可控組播、資源負(fù)載均衡、一體化安全等智能業(yè)務(wù)優(yōu)化手段，同時(shí)具備超強(qiáng)擴(kuò)展性和可靠性。S7700系列廣泛適用于園區(qū)網(wǎng)絡(luò)、數(shù)據(jù)中心核心/匯聚節(jié)點(diǎn)，可對無線、話音、視頻和數(shù)據(jù)融合網(wǎng)絡(luò)進(jìn)行先進(jìn)的控制，幫助企業(yè)構(gòu)建交換路由一體化的端到端融合網(wǎng)絡(luò)。產(chǎn)品特性強(qiáng)大的業(yè)務(wù)處理能力，提升網(wǎng)絡(luò)架構(gòu)擴(kuò)展性超高萬兆和100G端口密度，單臺設(shè)備最大支持576個(gè)10GE端口，160個(gè)40GE端口，80個(gè)100GE端口，充分滿足多媒體視頻會議、數(shù)據(jù)訪問等大帶寬應(yīng)用需求。多業(yè)務(wù)路由交換平臺，滿足企業(yè)接入、匯聚、核心業(yè)務(wù)承載要求，支持無線、語音、視頻和數(shù)據(jù)應(yīng)用，為企業(yè)提供高可用、低時(shí)延、全業(yè)務(wù)的一體化網(wǎng)絡(luò)解決方案。支持分布式L2/L3MPLSVPN功能，支持MPLS、VPLS、分層VPLS、VLL，滿足企業(yè)VPN等接入需求。完善的二、三層組播協(xié)議，支持PIMSM、PIMDM、PIMSSM、MLD、IGMPSnooping，滿足多終端高清視頻監(jiān)控和視頻會議接入需求。運(yùn)營級高可靠性設(shè)計(jì)，可視化故障診斷S7700具備超越5個(gè)9的高可靠性，主控、電源、風(fēng)扇框等關(guān)鍵部件采用冗余設(shè)計(jì)，所有模塊均支持熱插拔。S7700采用創(chuàng)新性CSS交換網(wǎng)集群技術(shù)，克服了業(yè)界普遍采用的線卡集群跨框多次交換，交換效率低下的架構(gòu)難題，同時(shí)可以通過跨框鏈路聚合提高鏈路的利用率，并消除單點(diǎn)故障。S7700支持業(yè)務(wù)口集群技術(shù)，普通業(yè)務(wù)端口可以復(fù)用為集群端口，使端口應(yīng)用更加靈活。S7700支持快速自愈保護(hù)技術(shù)HSR(High-speedSelfRecovery)，獨(dú)家實(shí)現(xiàn)端到端IPMPLS承載網(wǎng)50ms倒換保護(hù)，進(jìn)一步提升網(wǎng)絡(luò)可靠性。專用的故障檢測定位子卡，提供硬件BFD，提供3.3ms高精度硬件級以太OAM功能，802.3ah、802.1ag和ITU-Y.1731標(biāo)準(zhǔn)協(xié)議，網(wǎng)絡(luò)故障發(fā)生時(shí)能夠在第一時(shí)間檢測所有終端Session聯(lián)通性，圖形化網(wǎng)管故障診斷界面，設(shè)備節(jié)點(diǎn)、鏈路自動遍歷，實(shí)現(xiàn)網(wǎng)絡(luò)快速故障檢測與定位。冗余控制引擎間主備無縫切換，設(shè)備優(yōu)雅重啟實(shí)現(xiàn)NSF無中斷轉(zhuǎn)發(fā)。支持ISSU業(yè)務(wù)運(yùn)行中軟件升級，設(shè)備軟件升級過程中確保關(guān)鍵業(yè)務(wù)和服務(wù)不中斷。高性能IPv6業(yè)務(wù)能力，IPv4到IPv6平滑升級S7700軟硬件平臺均支持IPv6，取得工信部IPv6入網(wǎng)認(rèn)證和IPv6Ready第二階段金色認(rèn)證。支持IPv4/IPv6雙協(xié)議棧，支持多種隧道技術(shù)，支持IPv6靜態(tài)路由、RIPng、OSPFv3、BGP+、IS-ISv6、IPv6組播，滿足IPv6獨(dú)立組網(wǎng)和IPv4/IPv6混合組網(wǎng)要求。全方位安全保護(hù)，應(yīng)對企業(yè)內(nèi)外部安全威脅S7700支持MACsec，提供逐跳設(shè)備的數(shù)據(jù)安全傳輸，適用于政府、金融等對數(shù)據(jù)機(jī)密性要求較高的場合。NGFW新一代防火墻業(yè)務(wù)處理板，在提供傳統(tǒng)防火墻、身份認(rèn)證、Anti-DDOS等基礎(chǔ)防御功能外，同時(shí)支持IPS、反垃圾郵件、Web安全、應(yīng)用控制等專業(yè)安全功能。提供完善的NAC解決方案，支持MAC地址認(rèn)證、Portal認(rèn)證、802.1x認(rèn)證、DHCPSnooping觸發(fā)認(rèn)證多種認(rèn)證方式，有效應(yīng)對啞終端接入、移動設(shè)備接入和集中式IP地址分配等多種接入方式的安全挑戰(zhàn)，確保企業(yè)網(wǎng)絡(luò)安全。提供2級CPU保護(hù)機(jī)制，支持1KCPU硬件保護(hù)隊(duì)列，可實(shí)現(xiàn)數(shù)據(jù)和控制的分離處理，防止拒絕服務(wù)攻擊、非法接入以及控制平面過載等安全威脅，提供業(yè)界領(lǐng)先的一體化安全解決方案。規(guī)格指標(biāo)S7706交換容量19.84/86.4Tbps包轉(zhuǎn)發(fā)率2880/26400Mpps主控板槽位2交換網(wǎng)槽位2（主控集成）業(yè)務(wù)槽位6無線管理支持隨板AC支持AP接入控制、AP域管理和AP配置模板管理支持射頻模板管理、統(tǒng)一靜態(tài)配置和集中動態(tài)管理支持WLAN基本業(yè)務(wù)、QoS、安全和用戶管理支持AC功能分層部署用戶管理支持統(tǒng)一用戶管理支持PPPoE、802.1X、MAC、Portal認(rèn)證方式支持基于流量和時(shí)長計(jì)費(fèi)方式支持分組分域分時(shí)授權(quán)方式VLAN支持4K個(gè)VLAN支持Access、Trunk、Hybrid方式，支持LNP鏈路類型自協(xié)商支持defaultVLAN支持VLAN交換支持QinQ、增強(qiáng)型靈活QinQ支持基于MAC的動態(tài)VLAN分配ARP支持256KARP表項(xiàng)MAC地址功能支持1MMAC地址表項(xiàng)支持MAC地址自動學(xué)習(xí)和老化支持靜態(tài)、動態(tài)、黑洞MAC表項(xiàng)支持源MAC地址過濾支持基于端口和VLAN的MAC地址學(xué)習(xí)限制環(huán)網(wǎng)保護(hù)技術(shù)支持STP(IEEE802.1d)，RSTP(IEEE802.1w)和MSTP(IEEE802.1s)支持SEP智能保護(hù)協(xié)議支持BPDU保護(hù)、Root保護(hù)、環(huán)路保護(hù)支持BPDUTunnel支持ERPS以太環(huán)保護(hù)協(xié)議（G.8032）IP路由支持1MIPv4路由表項(xiàng)支持RIP、OSPF、ISIS、BGP等IPv4動態(tài)路由協(xié)議支持RIPng、OSPFv3、ISISv6、BGP4+等IPv6動態(tài)路由協(xié)議組播支持128K組播路由表項(xiàng)支持IGMPv1/v2/v3、IGMPv1/v2/v3Snooping支持PIMDM、PIMSM、PIMSSM支持MSDP、MBGP支持用戶快速離開機(jī)制支持組播流量控制支持組播查詢器支持組播協(xié)議報(bào)文抑制功能支持組播CAC支持組播ACLMPLS支持MPLS基本功能支持MPLSOAM支持MPLSTE支持MPLSVPN/VLL/VPLS可靠性支持LACP、支持跨設(shè)備E-Trunk支持VRRP、BFDforVRRP支持BFDforBGP/IS-IS/OSPF/靜態(tài)路由支持NSF、GRforBGP/IS-IS/OSPF/LDP支持TEFRR、IPFRR支持以太網(wǎng)OAM802.3ah和802.1ag支持快速自愈保護(hù)技術(shù)HSR支持ITU-Y.1731支持DLDP支持運(yùn)行中軟件升級ISSUQoS支持256KACL支持基于Layer2協(xié)議頭、Layer3協(xié)議、Layer4協(xié)議、802.1p優(yōu)先級等的組合流分類支持ACL、CAR、Remark、Schedule等動作支持PQ、WRR、DRR、PQ+WRR、PQ+DRR等隊(duì)列調(diào)度方式支持WRED、尾丟棄等擁塞避免機(jī)制支持5級HQoS支持流量整形配置與維護(hù)支持敏捷零配置部署支持Console、Telnet、SSH等終端服務(wù)支持SNMPv1/v2c/v3等網(wǎng)絡(luò)管理協(xié)議支持通過FTP、TFTP方式上載、下載文件支持BootROM升級和遠(yuǎn)程在線升級支持熱補(bǔ)丁支持用戶操作日志支持OPS安全和管理802.1x認(rèn)證，Portal認(rèn)證MACSec支持NAC支持RADIUS和HWTACACS用戶登錄認(rèn)證命令行分級保護(hù)，未授權(quán)用戶無法侵入支持防范DoS攻擊、TCP的SYNFlood攻擊、UDPFlood攻擊、廣播風(fēng)暴攻擊、大流量攻擊支持1KCPU通道隊(duì)列保護(hù)支持ICMP實(shí)現(xiàn)ping和traceroute功能支持RMON支持ServiceChain支持安全啟動（需使用支持安全啟動的主控板）時(shí)間同步支持1588v2支持同步以太增值業(yè)務(wù)能力支持Firewall功能支持NAT功能支持NetStream功能支持IPSec功能支持負(fù)載均衡功能支持無線AC功能支持IPS入侵防御系統(tǒng)互通性VBST基于VLAN生成樹協(xié)議（和PVST/PVST+/RPVST互通）LNP鏈路類型協(xié)商協(xié)議（和DTP相似功能）VCMPVLAN集中管理協(xié)議（和VTP相似功能）綠色節(jié)能支持802.3az能效以太網(wǎng)機(jī)箱尺寸mm（寬×深×高）442×489×442，10U機(jī)箱重量（空配）15Kg工作電壓DC：–40V～–72VAC：90V～290V整機(jī)最大功耗2200W整機(jī)最大POE功率8800W核心交換機(jī)：華為無線控制器AC6005AC6005接入控制器是華為推出的針對中小型企業(yè)的小型盒式無線接入控制器，支持有線無線一體化接入，應(yīng)用于中小型企業(yè)及分支園區(qū)覆蓋或企業(yè)辦公網(wǎng)絡(luò)等場境。高容量、高性能擁有8個(gè)GE口，提供4Gbit/s的轉(zhuǎn)發(fā)能力，可管理256個(gè)AP，接入2K無線終端使用靈活靈活的數(shù)據(jù)轉(zhuǎn)發(fā)方式和用戶權(quán)限控制，支持直接轉(zhuǎn)發(fā)、隧道轉(zhuǎn)發(fā)，并提供基于用戶和角色的訪問控制策略控制能力網(wǎng)絡(luò)運(yùn)維方式豐富豐富的網(wǎng)絡(luò)運(yùn)維方式，可通過網(wǎng)管eSight、WEB網(wǎng)管、命令行（CLI）進(jìn)行維護(hù)以AP組為中心的模板化配置，簡化配置，提高配置效率以AP組為中心，常用參數(shù)默認(rèn)選中，無需預(yù)先配置，簡化配置步驟；針對業(yè)務(wù)差異小的配置，支持參數(shù)復(fù)制功能，僅需修改差異配置，提高配置效率。一鍵式診斷，解決日常網(wǎng)絡(luò)80%的網(wǎng)絡(luò)故障基于用戶、AP、AC三個(gè)維度的一鍵式智能診斷，支持實(shí)時(shí)與定時(shí)診斷，并且針對故障問題提供可行性處理建議。內(nèi)置應(yīng)用識別服務(wù)器ˉ支持4~7層應(yīng)用識別，可識別1600多種應(yīng)用。包括LYNC/Facetime/YouTube/Facebook等常見辦公應(yīng)用與P2P下載應(yīng)用?！ブС只趹?yīng)用的策略控制技術(shù)，包括流量限制、流量阻斷、優(yōu)先級調(diào)整等策略。ˉ支持應(yīng)用識別庫在線更新升級，無需升級軟件版本。完備的高可靠性設(shè)計(jì)ˉ支持環(huán)境監(jiān)控開關(guān)量接口和板內(nèi)溫度探測器，實(shí)時(shí)監(jiān)控AC6005運(yùn)行周圍的環(huán)境。ˉ支持AC1+1熱備、N+1備份模式，業(yè)務(wù)不中斷?！ブС只贚ACP（LinkAggregationControlProtocol）、MSTP（MultipleSpanningTreeProtocol）的端口冗余備份。大容量、高性能設(shè)計(jì)ˉAC6005最大可管理256個(gè)AP，滿足中小型園區(qū)的管理需求。ˉ擁有8個(gè)GE口，提供20G的交換容量以及業(yè)界同規(guī)格產(chǎn)品最大4Gbit/s的轉(zhuǎn)發(fā)能力?！ブС?048個(gè)用戶管理能力，保證單AP100個(gè)用戶同時(shí)傳輸數(shù)據(jù)。角色多樣ˉAC6005-8-PWR提供8口PoE或4口PoE+供電能力，可為直連AP供電，無需新增POE交換機(jī)。ˉ內(nèi)置Portal/AAA服務(wù)器，可為1K用戶提供Portal認(rèn)證/802.1x服務(wù)。組網(wǎng)靈活ˉAC支持直連式，旁掛式和橋接/Mesh組網(wǎng)模式，同時(shí)支持?jǐn)?shù)據(jù)集中轉(zhuǎn)發(fā)和本地轉(zhuǎn)發(fā)模式。ˉ支持跨二層、三層AP/AC間組網(wǎng)，同時(shí)支持AP在私網(wǎng)、AC在公網(wǎng)的NAT穿越部署?！ゼ嫒莨芾砣A為全系列802.11n和802.11acAP，實(shí)現(xiàn)802.11n和802.11acAP的混合組網(wǎng)，保護(hù)用戶投資。豐富的操作接口ˉ6GE+2GEComboˉ1個(gè)RJ-45維護(hù)串口ˉ1個(gè)USB維護(hù)串口接入交換機(jī)：華為S1720-10GW-PWR-2P/S1720-28GWR-PWR-4PS1700系列交換機(jī)提供簡單便利的安裝維護(hù)手段和豐富的業(yè)務(wù)特性，助力用戶打造安全可靠的高性能網(wǎng)絡(luò)，可廣泛應(yīng)用于中小企業(yè)、網(wǎng)吧、酒店、學(xué)校等以太接入場景。根據(jù)設(shè)備支持的不同管理方式。Web管理型交換機(jī)：支持通過Web瀏覽s器管理和維護(hù)設(shè)備，提供了易操作、友好的人機(jī)界面?？钚拓S富同時(shí)提供無管理、Web管理及全管理等系列產(chǎn)品，可滿足客戶不同應(yīng)用場景需求。靜音節(jié)能支持端口低耗電閑置模式，大幅降低功耗；采用無風(fēng)扇靜音設(shè)計(jì)，降低整機(jī)功耗，同時(shí)讓您免除噪音的煩擾安全，無阻塞轉(zhuǎn)發(fā)豐富的安全特性，802.1x、Portal、MAC等安全認(rèn)證方式；提供二層線速交換能力，所有端口無阻塞轉(zhuǎn)發(fā)AP：華為AP3010DN-v2AP3010DN-V2是華為公司推出的經(jīng)濟(jì)適用級802.11n/ac產(chǎn)品，美觀實(shí)用，適合部署在中小型企業(yè)、咖啡廳、休閑中心等商業(yè)環(huán)境。最新一代802.11ac芯片技術(shù)，2.4GHz和5GHz雙頻設(shè)計(jì)；支持2×2MIMO，雙頻速率最高可達(dá)1.167Gbps；信號增強(qiáng)設(shè)計(jì)，覆蓋范圍提升一倍；整機(jī)最大用戶數(shù)達(dá)到128個(gè)，超強(qiáng)用戶接入能力。兼容IEEE802.11a/b/g/n/ac標(biāo)準(zhǔn)最高速率達(dá)1.167Gbps支持最大合并比（MRC）支持11n波束成形（beamforming）支持最