系統(tǒng)建設(shè)的目的在于應(yīng)用。根據(jù)應(yīng)用場(chǎng)景的各種規(guī)范及各種業(yè)務(wù)的需求，結(jié)合部門(mén)的應(yīng)用經(jīng)驗(yàn)和發(fā)展要求，在系統(tǒng)設(shè)計(jì)時(shí)，主要應(yīng)遵循以下原則：

一、實(shí)用性原則

實(shí)用性原則主要體現(xiàn)在以下方面：以現(xiàn)行需求為基礎(chǔ)，適當(dāng)考慮發(fā)展的需要為依據(jù)來(lái)確定系統(tǒng)規(guī)模。選擇成熟、先進(jìn)、維護(hù)量小、使用方便的技術(shù)設(shè)備和措施。創(chuàng)造一個(gè)開(kāi)放的網(wǎng)絡(luò)平臺(tái)，支持多種業(yè)務(wù)的同時(shí)傳輸，如支持語(yǔ)音、圖象等多媒體業(yè)務(wù)。

二、安全性原則

1) 協(xié)議的安全性

在網(wǎng)絡(luò)中運(yùn)行著很多網(wǎng)絡(luò)協(xié)議，包括路由協(xié)議和各種為上層應(yīng)用服務(wù)的廣域網(wǎng)，局域網(wǎng)絡(luò)協(xié)議等，路由器上也存在著很多服務(wù)，有些服務(wù)是網(wǎng)絡(luò)運(yùn)行所必需的，必須打開(kāi)它，而有些服務(wù)是對(duì)網(wǎng)絡(luò)運(yùn)行無(wú)關(guān)緊要或無(wú)用的，可以關(guān)閉。正是這些網(wǎng)絡(luò)協(xié)議或服務(wù)，確保了網(wǎng)絡(luò)系統(tǒng)的正常運(yùn)行，因此，我們首先應(yīng)確保這些網(wǎng)絡(luò)協(xié)議或服務(wù)的安全性。

2) 應(yīng)用服務(wù)協(xié)議的安全

對(duì)這些路由協(xié)議和各種上層應(yīng)用服務(wù)的協(xié)議，我們應(yīng)區(qū)別對(duì)待。首先，對(duì)于網(wǎng)絡(luò)運(yùn)行所必需的協(xié)議，如路由協(xié)議等，我們不但應(yīng)正常運(yùn)行，而且必須加以保護(hù)，以防止非法路由器加入或偽造的路由信息，系統(tǒng)如何能夠鑒別出哪些路由信息是可靠的呢，就必須采用一些加密技術(shù)或鄰機(jī)校驗(yàn)方法，以完成認(rèn)證，對(duì)于網(wǎng)絡(luò)運(yùn)行無(wú)關(guān)緊要或無(wú)用的協(xié)議，則應(yīng)嚴(yán)格限制或關(guān)閉，而對(duì)網(wǎng)絡(luò)運(yùn)行有危害或本身有安全缺陷的協(xié)議，則應(yīng)關(guān)閉。

3) 路由協(xié)議的安全

在路由協(xié)議安全性方面，我們可以采用路由器鄰居相互校驗(yàn)，校驗(yàn)方式可以是明碼方式或MD5加密方式，對(duì)于OSPF、BGP既可采用MD5校驗(yàn)方式，也可以采用明碼方式。

通過(guò)明碼或MD5加密方式校驗(yàn)，可以確保只有有效的路由器才能加入到網(wǎng)絡(luò)，從而能夠避免非法的路由器或偽造的路由信息加入到網(wǎng)絡(luò)中，使路由出錯(cuò)，導(dǎo)致網(wǎng)絡(luò)癱瘓。

4) SNMP的安全性

SNMP是另一種訪問(wèn)網(wǎng)絡(luò)設(shè)備的方式。使用SNMP，你可以收集網(wǎng)絡(luò)設(shè)備的狀態(tài)，配置網(wǎng)絡(luò)設(shè)備。Get-request、get-next-request消息用來(lái) 收集狀態(tài)信息，set-request消息用來(lái)配置網(wǎng)絡(luò)設(shè)備。在每臺(tái)路由器都要 配置community string，每一個(gè)SNMP消息都有一個(gè)community string來(lái)進(jìn) 行校驗(yàn)，每個(gè)網(wǎng)絡(luò)設(shè)備的SNMP代理上可以進(jìn)行配置不同的community string來(lái)進(jìn)行讀模式和寫(xiě)模式的訪問(wèn)。SNMPv1的community string是采用 明文方式傳輸?shù)?，SNMPv2的community string采用MD5來(lái)進(jìn)行加密，同 時(shí)SNMP可以和訪問(wèn)列表結(jié)合起來(lái)，使指定的的IP地址或端口才可以訪問(wèn)到網(wǎng)管信息。

5) 設(shè)備的安全性

對(duì)網(wǎng)絡(luò)設(shè)備的訪問(wèn)與配置，主要有以下兩種方式：控制口console的控制和遠(yuǎn)程登錄telnet 的控制。

A 控制口console的控制

B 遠(yuǎn)程登錄telnet 的控制

C 用戶的分級(jí)管理

6)無(wú)線的安全性

WLAN利用了不可見(jiàn)的公用媒介進(jìn)行空中信號(hào)傳播，安全問(wèn)題是部署無(wú)線的巨大挑戰(zhàn)。無(wú)線面臨的安全挑戰(zhàn)， 主要是防止非法AP接入，防止非法用戶接入，防止ARP攻擊，防止AP過(guò)載，防止不合理應(yīng)用等。

● 防范未授權(quán)AP

IEEE802.11網(wǎng)絡(luò)很容易受到大量網(wǎng)絡(luò)威脅的影響，如未經(jīng)授權(quán)的AP用戶、Ad-hoc網(wǎng)絡(luò)、拒絕服務(wù)型攻擊等。Rouge設(shè)備對(duì)于企業(yè)網(wǎng)絡(luò)安全來(lái)說(shuō)是一個(gè)很嚴(yán)重的威脅。這需要無(wú)線入侵檢測(cè)(WIDS)功能來(lái)防范，通過(guò)WIDS用于對(duì)有惡意的用戶攻擊和入侵無(wú)線網(wǎng)絡(luò)進(jìn)行早期檢測(cè)，它用于檢測(cè)WLAN網(wǎng)絡(luò)中的rogue設(shè)備，上報(bào)管理中心，并對(duì)它們采取反制措施，以阻止其工作，最大程度地保護(hù)無(wú)線網(wǎng)絡(luò)。

● 防范非法用戶

這主要通過(guò)認(rèn)證技術(shù)及加密技術(shù)來(lái)保證。通過(guò)802.1x認(rèn)證、MAC地址認(rèn)證、Portal認(rèn)

證等多種認(rèn)證方式，保證無(wú)線用戶身份的安全性， 結(jié)合WEP(64/128)、WPA、WPA2等多種加密方式保證無(wú)線用戶的加密安全性。另外，通過(guò)用戶身份認(rèn)證結(jié)合AAA服務(wù)器上對(duì)用戶組進(jìn)行權(quán)限的配置和修改，實(shí)現(xiàn)精細(xì)的用戶權(quán)限控制，從而大大增強(qiáng)了無(wú)線網(wǎng)絡(luò)的可用度，網(wǎng)管人員可以輕松地對(duì)不同級(jí)別的人進(jìn)行接入權(quán)限分配。

● 防范ARP攻擊

企業(yè)內(nèi)部普遍存在ARP 攻擊手段，通過(guò)偽造IP地址和M無(wú)線交換機(jī)地址實(shí)現(xiàn)ARP欺騙，產(chǎn)生大量的ARP通信量使網(wǎng)絡(luò)阻塞或者實(shí)現(xiàn)中間人攻擊，嚴(yán)重的可以使網(wǎng)絡(luò)不可用，危害企業(yè)應(yīng)用。為了防止攻擊者通過(guò)ARP報(bào)文實(shí)施“中間人”攻擊，要求無(wú)線控制器具有ARP入侵檢測(cè)功能，即通過(guò)對(duì)ARP報(bào)文進(jìn)行合法性檢測(cè)，轉(zhuǎn)發(fā)合法的ARP報(bào)文，丟棄非法ARP報(bào)文。從而有效防御ARP欺騙。

● 防范網(wǎng)絡(luò)帶寬濫用

在WLAN網(wǎng)絡(luò)中，同一個(gè)無(wú)線AP下會(huì)同時(shí)接入多個(gè)無(wú)線終端，如果部分終端應(yīng)用BT等下載應(yīng)用，將占用所有的無(wú)線端口帶寬，導(dǎo)致其它終端不能正常工作。為了避免上述問(wèn)題，需要網(wǎng)絡(luò)支持智能帶寬限速，可以限制終端使用為固定帶寬，也可以限制所有終端平均分享限定帶寬，從而有效解決帶寬占用的問(wèn)題。

另外，為了避免無(wú)線網(wǎng)絡(luò)中部分AP過(guò)載，部分AP閑置而影響網(wǎng)絡(luò)使用，需要通過(guò)負(fù)載均衡來(lái)實(shí)現(xiàn)。智能負(fù)載分擔(dān)方法可以動(dòng)態(tài)地確定在當(dāng)前時(shí)刻和當(dāng)前位置下哪些AP可以彼此分擔(dān)負(fù)載，通過(guò)控制無(wú)線客戶端接入的AP，來(lái)實(shí)現(xiàn)這些AP間的負(fù)載分擔(dān)。

7)設(shè)備防盜

由于無(wú)線終端不是部署在機(jī)房，自身的防盜問(wèn)題很重要。傳統(tǒng)胖AP設(shè)備，由于和家用無(wú)線路由器功能類似，被盜竊的風(fēng)險(xiǎn)遠(yuǎn)大于瘦AP無(wú)線終端，因?yàn)槠浔仨毰浜蠠o(wú)線控制器才能使用。在瘦AP組網(wǎng)方案中，無(wú)線控制器能夠?qū)崟r(shí)監(jiān)測(cè)瘦AP狀態(tài)，一旦出現(xiàn)故障可以隨時(shí)告警。而且，無(wú)線網(wǎng)絡(luò)密鑰是在無(wú)線控制器上集中管理，即使瘦AP被盜，整個(gè)網(wǎng)絡(luò)的密鑰也不會(huì)丟失。同時(shí)，AP無(wú)線終端也可能通過(guò)良好的產(chǎn)品結(jié)構(gòu)設(shè)計(jì)降低被盜風(fēng)險(xiǎn)。

三、可靠性原則

為保證各項(xiàng)業(yè)務(wù)應(yīng)用，網(wǎng)絡(luò)必須具有高可靠性，決不能出現(xiàn)單點(diǎn)故障。要對(duì)整個(gè)網(wǎng)絡(luò)的機(jī)房布局、結(jié)構(gòu)設(shè)計(jì)、設(shè)備選型、日常維護(hù)等各個(gè)方面進(jìn)行高可靠性的設(shè)計(jì)和建設(shè)。在關(guān)鍵設(shè)備采用硬件備份、冗余等可靠性技術(shù)的基礎(chǔ)上，采用相關(guān)的軟件技術(shù)提供較強(qiáng)的管理機(jī)制、控制手段和事故監(jiān)控與安全保密等技術(shù)措施提高電腦機(jī)房的安全可靠性。

針對(duì)本網(wǎng)絡(luò)設(shè)計(jì)方案，其可用性設(shè)計(jì)包括網(wǎng)絡(luò)設(shè)備本身的冗余能力、網(wǎng)絡(luò)的冗余設(shè)計(jì)。應(yīng)采用以下一些手段：

● 設(shè)備冗余:

對(duì)關(guān)鍵設(shè)備進(jìn)行整機(jī)冗余，模塊冗余，支持模板熱拔插、冗余的控制模塊設(shè)計(jì)、冗余電源設(shè)計(jì)、風(fēng)扇冗余設(shè)計(jì)。建議所有模塊和環(huán)境部件應(yīng)具備1+1或1：N熱備份的功能，切換時(shí)間小于3秒，使系統(tǒng)具備99.999%以上的可用性。對(duì)非關(guān)鍵設(shè)備進(jìn)行1:N的冷備份。

● 路由冗余：

采用合適的動(dòng)態(tài)路由協(xié)議，實(shí)現(xiàn)路由的冗余，當(dāng)鏈路中斷時(shí)，路由能夠迅速收斂。

● 無(wú)線功率自動(dòng)控制：

當(dāng)一臺(tái)AP接入用戶過(guò)多，或者出現(xiàn)故障的情況，立刻由中央無(wú)線控制器自動(dòng)控制該AP周邊AP加大功率，從而有效地保證用戶仍能高可靠接入無(wú)線網(wǎng)絡(luò)。

● 無(wú)線終端采用POE供電：

傳統(tǒng)AP需要同時(shí)有電源線和網(wǎng)線連接才能工作，而采用了支持POE供電的AP無(wú)線終端就無(wú)需再部署電源線。從而大幅降低故障點(diǎn)，有效提高系統(tǒng)可靠性。

四、成熟和先進(jìn)性原則

在網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)、網(wǎng)絡(luò)配置、網(wǎng)絡(luò)管理方式等方面采用國(guó)際上先進(jìn)同時(shí)又是成熟、實(shí)11 用的技術(shù)。設(shè)備廠商和系統(tǒng)集成商應(yīng)有相關(guān)領(lǐng)域的豐富經(jīng)驗(yàn)。

五、規(guī)范性原則

網(wǎng)絡(luò)設(shè)計(jì)所采用的組網(wǎng)技術(shù)和設(shè)備應(yīng)符合國(guó)際標(biāo)準(zhǔn)、國(guó)家標(biāo)準(zhǔn)和業(yè)界標(biāo)準(zhǔn)，為網(wǎng)絡(luò)的擴(kuò)展升級(jí)、與其他網(wǎng)絡(luò)的互聯(lián)提供良好的基礎(chǔ)。

六、開(kāi)放性和標(biāo)準(zhǔn)化原則

在設(shè)計(jì)時(shí)，要求提供開(kāi)放性好、標(biāo)準(zhǔn)化程度高的技術(shù)方案;設(shè)備的各種接口滿足開(kāi)放和標(biāo)準(zhǔn)化原則,如果是不同廠商的產(chǎn)品，必須之間具備可操作性與可管理性。

七、可擴(kuò)充和擴(kuò)展化原則

有充分的機(jī)制方便各網(wǎng)點(diǎn)的擴(kuò)展、業(yè)務(wù)量和業(yè)務(wù)種類的擴(kuò)展，保證建設(shè)完成后的網(wǎng)絡(luò)在向新的技術(shù)升級(jí)時(shí)，能保護(hù)現(xiàn)有的投資。

網(wǎng)絡(luò)可擴(kuò)展的關(guān)鍵在于能否實(shí)現(xiàn)合理的層次化設(shè)計(jì)，采取層次化的設(shè)計(jì)可以根據(jù)網(wǎng)絡(luò)需求的變化，可在不影響現(xiàn)有網(wǎng)絡(luò)運(yùn)行的狀況下，迅速擴(kuò)展。

網(wǎng)絡(luò)的建設(shè)必須具有良好的靈活性與可擴(kuò)展性，能夠根據(jù)今后業(yè)務(wù)不斷深入發(fā)展的需要，擴(kuò)大設(shè)備容量和提高用戶數(shù)量和質(zhì)量的功能。具備支持多種網(wǎng)絡(luò)傳輸、多種物理接口的能力，提供技術(shù)升級(jí)、設(shè)備更新的靈活性。

在網(wǎng)絡(luò)設(shè)備選型過(guò)程中，每個(gè)核心骨干層次設(shè)計(jì)中所采用的設(shè)備本身應(yīng)具有極高的端口密度，層次化設(shè)計(jì)為整個(gè)網(wǎng)絡(luò)的擴(kuò)展奠定了基礎(chǔ)。同時(shí)，我們應(yīng)充分考慮路由協(xié)議的選用，使路由協(xié)議為整個(gè)網(wǎng)絡(luò)的發(fā)展帶來(lái)極強(qiáng)的路由擴(kuò)展能力。

八、可管理性原則

整個(gè)網(wǎng)絡(luò)系統(tǒng)的設(shè)備和服務(wù)器的安全性、數(shù)據(jù)流量、性能等得到很好的監(jiān)視和控制，并可以進(jìn)行遠(yuǎn)程管理和故障診斷。