提供對802.11ax AP的管理
WX5500H系列無線控制器在支持對傳統(tǒng)802.11a/b/g/n/ac AP管理的同時,還可以與H3C基于802.11ax協(xié)議的AP配合組網(wǎng),從而突破傳統(tǒng)無線網(wǎng)絡(luò)串行通信的機制,促使無線頻譜資源利用率成倍提升,有效接入用戶數(shù)得到了極大的提高,有效減少無線網(wǎng)絡(luò)的部署開銷,極大提升了高密度用戶環(huán)境下的用戶體驗。
基于全新的操作系統(tǒng)
WX5500H系列無線控制器采用H3C新一代V7系統(tǒng)開發(fā),新的操作系統(tǒng)極大提升產(chǎn)品的性能和可靠性,能夠滿足企業(yè)市場上越來越復雜的網(wǎng)絡(luò)應(yīng)用,相比上一代操作系統(tǒng),V7系統(tǒng)具有多方面的優(yōu)勢:
多核控制:在V7系統(tǒng)中可以根據(jù)需要調(diào)整CPU控制核和轉(zhuǎn)發(fā)核的分配比例,可根據(jù)需求達到一個最佳平衡,能夠充分提升CPU的控制計算及數(shù)據(jù)計算的能力,同時提供強大的并發(fā)計算能力。
支持用戶態(tài)多任務(wù):V7系統(tǒng)采用全新的軟件運行權(quán)限控制方式,絕大多數(shù)網(wǎng)絡(luò)業(yè)務(wù)都運行在用戶態(tài),不同網(wǎng)絡(luò)業(yè)務(wù)占用不同的任務(wù),每個任務(wù)占用獨立的資源,某一任務(wù)運行錯誤只局限在本任務(wù)之內(nèi),不影響其他任務(wù),使系統(tǒng)能夠保持安全可靠地運行。
用戶態(tài)任務(wù)監(jiān)控:V7系統(tǒng)具有任務(wù)監(jiān)控功能,系統(tǒng)專門監(jiān)控用戶態(tài)的各個任務(wù)的運行情況,如果用戶態(tài)任務(wù)出異常情況,系統(tǒng)會重載該任務(wù),使業(yè)務(wù)能夠迅速恢復。
采用新的單獨業(yè)務(wù)升級的方式:V7系統(tǒng)支持單獨的業(yè)務(wù)升級,只升級單獨的某個業(yè)務(wù)模塊而不需更新整個軟件,相對公司前一代操作系統(tǒng),可大大減少重啟升級的次數(shù),保證升級的安全性,有效提供網(wǎng)絡(luò)穩(wěn)定性。
提供強大的有線無線處理性能
WX5500H系列無線控制器采用新型高性能多核CPU,該CPU采用 8個獨立內(nèi)核,可以虛擬32個內(nèi)核,提供強大的并發(fā)計算能力,同時配置了高帶寬的交換芯片和高性能的可編程FPGA扣卡,設(shè)備配置芯片的性能帶寬如下表所示,提供業(yè)界領(lǐng)先的無線報文處理能力。
提供高密端口接入
WX5500H系列無線控制器在對外接口提供了高密的端口接入,以支持更好的有線無線一體化接入(包括用戶接入,用戶認證,計費等的管理,有線無線用戶統(tǒng)一管理),根據(jù)款型對外提供的不同的業(yè)務(wù)接口,以滿足不同市場的要求。產(chǎn)品通過提供高密端口及多種端口類型,能滿足用戶靈活組網(wǎng)和網(wǎng)絡(luò)接入。
支持高可靠性備份機制
H3C WX5500H系列無線控制器可支持多種可靠性組網(wǎng)方式,具有以下優(yōu)勢:
IRF:無須專用線纜或接口,只需二層相通即可建立IRF,多臺AC虛擬化為一臺,具有組網(wǎng)簡單、配置管理統(tǒng)一、業(yè)務(wù)切換無感知等優(yōu)勢;
支持N+1備份;AC組中一臺AC宕機不影響其他AC的功能,具有組網(wǎng)成本低,業(yè)務(wù)彈性拓展等優(yōu)勢;
靈活的license控制:一臺設(shè)備安裝License,其他設(shè)備可共享使用;License綁定安裝后可以方便的卸載和遷移;
支持無線業(yè)務(wù)逃生:當認證服務(wù)器出現(xiàn)故障時,AC檢測服務(wù)器不可達,自動開啟認證逃生,用戶業(yè)務(wù)不中斷;當AC出現(xiàn)故障時,AP能夠自動檢測capwap鏈路中斷,自動開啟remote-ap功能,業(yè)務(wù)不中斷;
支持分層AC架構(gòu)
分層AC架構(gòu)是H3C創(chuàng)新提出的針對市場上多級組網(wǎng)需求的全新組網(wǎng)模型,分層AC采用類似大型連鎖企業(yè)機構(gòu)集中控制分級管理的架構(gòu)方式,由一個總的核心層管理AC下掛多個本地接入層AC,接入層AC直接下掛AP。接入層AC主要功能包括AP接入和數(shù)據(jù)轉(zhuǎn)發(fā)等實時性業(yè)務(wù),核心層AC主要做網(wǎng)絡(luò)的管理控制和集中認證等非實時性全局業(yè)務(wù),另外核心層AC也具有普通AC的接入AP及數(shù)據(jù)轉(zhuǎn)發(fā)功能。核心層AC為高性能AC,布置在匯聚層;而接入層AC可以由標準AC、All-in-one AC(具備路由、DPI功能)或有線無線一體化交換機組成,跟現(xiàn)有網(wǎng)絡(luò)平級布置;分層AC的這種架構(gòu)模型將有線無線一體化理念推向新的高度,能夠適用于大規(guī)模無線網(wǎng)絡(luò)部署。分層AC模型天然支持總部和分支的應(yīng)用場景,核心鏈路帶寬和核心層AC轉(zhuǎn)發(fā)能力不再成為瓶頸,核心層AC集中控制,接入層AC和下掛AP能夠很方便的實現(xiàn)自動升級和配置同步,極大地簡化了版本升級工作。在漫游場景,接入層AC負責AP間切換,漫游性能也得到極大提升。
支持丘比特定位
WX5500H系列支持CUPID方式進行無線定位,因為準確度高,也稱為丘比特定位系統(tǒng)。丘比特定位系統(tǒng)采用了類似于雷達探測的原理,AP主動給客戶端發(fā)送探測報文,通過計算發(fā)送報文和響應(yīng)報文的時間差來計算客戶端的位置。
分類 |
分類描述 |
CUPID |
指紋定位法 |
障礙物 |
移動的人群的身體遮擋 |
基本無影響?;陔姶挪▊鬏敃r間 |
有影響。信號強度衰減較大 |
多徑環(huán)境 |
室內(nèi)環(huán)境,信號經(jīng)過反射、直射多種路徑到達,RSSI的波動幅度大 |
無影響 |
有很大影響 |
工程量 |
現(xiàn)場勘查、信號特征調(diào)查等 |
較小 |
較大。需要人工采集指紋特征數(shù)據(jù)庫 |
精度 |
同樣部署密度情況下的定位準確度 |
可以到2米的精度 |
5米~15米,一般在10米 |
穩(wěn)定性 |
定位引擎輸出的坐標,在真實環(huán)境下受多種因素的干擾下的穩(wěn)定性 |
基于直射路徑的傳輸時間,輸出較穩(wěn)定 |
受障礙物、多徑效應(yīng)、部署密度、環(huán)境改變等因素,定位結(jié)果波動的較大 |
提供新一代智能業(yè)務(wù)感知
智能業(yè)務(wù)感知(Intelligent Application Aware)為有線和無線用戶提供基于用戶角色的應(yīng)用層安全、QOS和轉(zhuǎn)發(fā)策略。通過智能業(yè)務(wù)感知功能,可以指定誰能訪問網(wǎng)絡(luò),他的各種應(yīng)用(如http, ftp等)能訪問的網(wǎng)絡(luò)范圍以及允許的網(wǎng)絡(luò)帶寬。相比上一代產(chǎn)品,新一代智能業(yè)務(wù)感知業(yè)務(wù)加入了對報文深度分析(DPI)功能,擴充了應(yīng)用的識別和統(tǒng)計功能。在上一代系統(tǒng)中,主要是基于以太網(wǎng)協(xié)議的四層端口號粗獷的識別,(比如80端口對應(yīng)HTTP協(xié)議,20/21對應(yīng)FTP,8000端口對應(yīng)QQ等),用戶可以通過設(shè)置代理之類的方式繞過訪問限制,而在新一代系統(tǒng)中,直接基于以太網(wǎng)協(xié)議報文的七層特征,根據(jù)具體應(yīng)用中報文的特征庫進行識別,對于這樣精準的識別,是可以進行完全的限制。通過報文深度解析功能不需要逐條設(shè)置禁止訪問的網(wǎng)站(例如京東、淘寶、一號店等網(wǎng)站),而只需要設(shè)置禁止訪問購物累網(wǎng)站即可,簡化了配置工作,提升了效率。
提供靈活的數(shù)據(jù)轉(zhuǎn)發(fā)方式
傳統(tǒng)的無線控制器部署一般采用集中式轉(zhuǎn)發(fā)模式,AC可以對報文進行全面控制和安全監(jiān)管,但所有的無線業(yè)務(wù)流量需要到AC進行統(tǒng)一處理,核心鏈路帶寬和AC轉(zhuǎn)發(fā)能力容易成為瓶頸。特別是AP和AC通過廣域網(wǎng)方式進行連接時,AP作為數(shù)據(jù)接入設(shè)備部署在分支機構(gòu),而AC部署在總部,所有用戶數(shù)據(jù)由AP發(fā)送到AC,再由AC進行集中轉(zhuǎn)發(fā),導致轉(zhuǎn)發(fā)效率低下。WX5500H系列無線控制器可以支持集中式轉(zhuǎn)發(fā)、分布式轉(zhuǎn)發(fā)、策略轉(zhuǎn)發(fā),用戶根據(jù)業(yè)務(wù)需要和網(wǎng)絡(luò)實際情況可以靈活設(shè)置轉(zhuǎn)發(fā)方式。
WX5500H系列無線控制器同時支持集中認證本地轉(zhuǎn)發(fā)的組網(wǎng)方式,在數(shù)據(jù)流本地轉(zhuǎn)發(fā)的情況下,提供802.1X和Portal的集中認證和管理。
支持運營級無線用戶接入控制和管理
基于用戶的接入控制是WX5500H系列無線控制器產(chǎn)品的一大特色,User Profile(用戶配置文件)提供一個配置模板,能夠保存預設(shè)配置(一系列配置的集合)。用戶可以根據(jù)不同的應(yīng)用場景為User Profile配置不同的內(nèi)容,比如CAR(Committed Access Rate,承諾訪問速率)策略和QoS(Quality of Service,服務(wù)質(zhì)量)策略等。
用戶訪問設(shè)備時,需要先進行身份認證。在認證過程中,認證服務(wù)器會將User Profile名稱下發(fā)給設(shè)備,設(shè)備會立即啟用User Profile里配置的具體內(nèi)容。當用戶通過認證訪問設(shè)備時,設(shè)備將通過這些具體內(nèi)容限制用戶的訪問行為。當用戶下線時,系統(tǒng)會自動禁用User Profile下的配置項,從而取消User Profile對用戶的限定。因此,User Profile適用于限制上線用戶的訪問行為,沒有用戶上線(可能是沒有用戶接入、或者用戶沒有通過認證、或者用戶下線)時,User Profile是預設(shè)配置,并不生效。
另外,WX5500H系列無線控制器還支持基于MAC的認證接入控制方式,這種方式不但可以使得客戶在AAA服務(wù)器上對用戶組進行權(quán)限的配置和修改,同時支持對具體用戶的權(quán)限的配置,這種精細的用戶權(quán)限控制大大增強了無線網(wǎng)絡(luò)的可用度,網(wǎng)管人員可以輕松通過該方式對不同級別的人或人群進行接入權(quán)限分配。
基于MAC的VLAN同樣也是WX5500H系列無線控制器的一大特色,在控制策略上,管理員可以把相同性質(zhì)的用戶(MAC)劃分到同一個VLAN,同時在控制器上基于VLAN配置安全策略,這樣做既可以簡化系統(tǒng)配置,又可以做到用戶級粒度的精細管理。
出于安全性或計費等考慮,系統(tǒng)管理員可能希望控制無線用戶接入到網(wǎng)絡(luò)中的位置。WX5500H系列無線控制器支持基于AP位置的用戶接入控制。當無線用戶接入網(wǎng)絡(luò)時,可以通過認證服務(wù)器向AC下發(fā)允許用戶接入的AP列表,在AC上進行接入控制,從而達到限制無線用戶只能接入到指定位置的AP的目的。
支持信道智能切換
無線局域網(wǎng)中,信道是非常稀缺的資源,每個AP只能夠工作在非常有限的非重疊信道上,比如對于2.4G網(wǎng)絡(luò),只有3個非重疊信道,所以如何智能地為AP分配信道是無線應(yīng)用的關(guān)鍵。
無線局域網(wǎng)工作的頻段存在大量可能的干擾源,如雷達、微波爐,它們在網(wǎng)絡(luò)中的出現(xiàn)將干擾AP的正常工作。通過信道智能切換功能,可以保證每個AP能夠分配到最優(yōu)的信道,盡可能地減少和避免相鄰信道干擾,而且通過實時信道干擾檢測,可以讓AP實時避開雷達,微波爐等干擾源。
支持智能AP負載分擔
802.11協(xié)議把無線漫游的決策交給了無線客戶端,無線客戶端一般會根據(jù)AP信號強度(RSSI)選擇AP,這很容易導致大量的客戶端僅僅因為某個AP信號較強而連接到同一個AP上。由于這些客戶端共享無線媒介,導致每個客戶端的網(wǎng)絡(luò)吞吐將大量減少。
智能負載分擔方法可以實時地分析無線客戶端的位置,動態(tài)地確定在當前時刻和當前位置下哪些AP可以彼此分擔負載,通過控制無線客戶端接入的AP,來實現(xiàn)這些AP間的負載分擔。系統(tǒng)不僅支持按照用戶在線會話數(shù)的負載分擔,而且支持按照用戶流量負載的分擔。
支持7層移動安全檢測/防御(WIPS)
WX5500H系列無線控制器支持的移動安全防御模式有:黑名單、白名單、Rogue防御、畸形報文檢測、非法用戶下線、基于可預設(shè)升級的Signature MAC層攻擊檢測與反制(例如:DoS攻擊,F(xiàn)lood攻擊、中間人攻擊)等。配合無線應(yīng)用控制臺內(nèi)置的海量智能專家知識庫,可以獲得靈活的無線安全策略判斷依據(jù),對于明確的非法攻擊源(AP或終端等),實現(xiàn)可視的物理位置跟蹤監(jiān)控和交換機物理端口移除。
通過配合H3C專業(yè)核心層防火墻/IPS設(shè)備,更可以實現(xiàn)移動園區(qū)的7層立體安全防御,滿足真正的從無線(802.11)到有線(802.3)端到端安全防護需求。
支持802.1x認證,MAC地址認證,Portal認證等
WX5500H系列無線控制器支持多種認證方式:
802.1x認證:WX5500H系列無線控制器支持TLS、PEAP、TTLS、MD5、SIM卡等多種802.1x的認證方式,同時還支持802.1x本地認證方式,提供對MD5、TLS、PEAP這幾種主流認證方式的支持,用戶不再需要額外配置AAA服務(wù)器。WX5500H系列無線控制器還支持通過802.1x認證后動態(tài)授權(quán)VLAN和ACL功能,對用戶的策略可以事先設(shè)定好,用戶認證時,系統(tǒng)自動配置客戶權(quán)限。
MAC地址認證:WX5500H系列無線控制器支持MAC地址認證,對一些手持終端(例如:Wi-Fi Phone、手持移動終端等)并不方便采取電腦上的認證方式,MAC地址認證卻可以輕松解決該問題,實現(xiàn)在控制器或者AAA服務(wù)器上配置好合法的MAC地址,這些MAC地址對應(yīng)的終端就可以被允許被接入到網(wǎng)絡(luò),而事先沒有被配置的非法終端則不能接入無線網(wǎng)絡(luò),該功能極大地方便了例如無線醫(yī)療系統(tǒng)等應(yīng)用,MAC地址認證可以確保只有醫(yī)院的PDA工作終端才能接入到無線網(wǎng)絡(luò),而拒絕病人的無線PDA使用專用無線網(wǎng)絡(luò)。
Portal認證:WX5500H系列無線控制器提供內(nèi)置的Portal認證服務(wù)器。該認證方式無需客戶端配合,直接通過瀏覽器WEB Portal頁面作為認證通道,當用戶認證通過后,可以靈活跳轉(zhuǎn)到指定訪問首頁并啟動相應(yīng)授權(quán)和計費。同時也可以根據(jù)策略要求,靈活推送定制Portal頁面,達到廣告宣傳、信息傳遞的作用,廣泛使用在無線校園、無線城市、訪客接入等應(yīng)用場景。
支持IPv4/IPv6雙協(xié)議棧(Native IPv6)
WX5500H系列無線控制器支持無線客戶的IPV6接入。在隧道起點AP上,由于設(shè)備對IPv6感知,所以可以做到IPv6優(yōu)先級到隧道優(yōu)先級映射等;在AC側(cè),同樣可以對IPv6報文進行ACL過濾等復雜的控制和過濾。
WX5500H系列無線控制器同樣可以部署在IPv6網(wǎng)絡(luò)中,AC和AP之間自動協(xié)商成IPv6隧道。AC和AP完全工作在IPv6狀態(tài)時,無線控制器仍能正確地感知IPv4,并能處理無線客戶的IPv4報文。WX5500H系列無線控制器IPv4/6靈活的適應(yīng)能力,能滿足客戶在IPv4到IPv6網(wǎng)絡(luò)遷移中的各種復雜的應(yīng)用,既能在IPv6孤島中給客戶提供IPv4的服務(wù),同時也能在IPv4孤島中讓用戶輕松通過IPv6協(xié)議登錄到網(wǎng)絡(luò)。
針對校園網(wǎng)層出不窮的IPv6偽造報文攻擊,WX5500H系列無線控制器支持IPv6 SAVI(Source Address Validation,源地址有效性驗證)技術(shù)。通過對地址分配協(xié)議的偵聽獲取用戶的IP地址,保證隨后的應(yīng)用中能夠使用正確地址上網(wǎng),且不可偽造他人IP地址,保證了源地址的可靠性。同時,通過IPv6 SAVI和Portal技術(shù)的結(jié)合,進一步保證了所有上網(wǎng)用戶報文的真實性和安全性。
提供端到端的QoS
WX5500H系列無線控制器基于新一代V7系統(tǒng)開發(fā),不但對Diff-Serv標準完善支持,同時增加了對IPv6協(xié)議的QoS支持。
QoS Diff-Serv 模型中主要包括流分類、流量監(jiān)管(Policing)、隊列管理、隊列調(diào)度(Scheduling)等,完整實現(xiàn)了標準中定義的EF、AF1~AF4、BE等六組PHB及業(yè)務(wù),使網(wǎng)絡(luò)運營商可為用戶提供具有不同服務(wù)質(zhì)量等級的服務(wù)保證,使Internet真正成為同時承載數(shù)據(jù)、語音和視頻業(yè)務(wù)的綜合網(wǎng)絡(luò)。
支持快速的二、三層漫游
H3C公司的集中式無線架構(gòu)不但能方便地實施二層漫游,而且非常有利于跨三層的漫游實現(xiàn),用Fat AP部署的WLAN網(wǎng)絡(luò),由于AP之間傳遞的信息有限,導致垮三層的漫游實現(xiàn)及其麻煩,集中式架構(gòu)非常容易解決跨三層漫游的問題,WX5500H系列無線控制器支持二、三層漫游,漫游域不受子網(wǎng)的限制。這種優(yōu)秀的漫游特性,可以讓客戶在規(guī)劃無線網(wǎng)絡(luò)時,無需過多考慮現(xiàn)有網(wǎng)絡(luò)的規(guī)劃,更多關(guān)注在無線信號的覆蓋即可,這種方式大大簡化了前期的網(wǎng)絡(luò)規(guī)劃,減少了網(wǎng)絡(luò)規(guī)劃成本。
傳統(tǒng)模式下,當無線用戶終端使用802.1x作為802.11接入認證和密鑰交互的手段時,無線用戶終端和AP間的交互報文會非常的多。當無線用戶終端在兩個AP間漫游時,如果無線用戶終端在新AP接入的過程完全遵從完整的802.1x的交互過程,勢必造成漫游切換的時間過長,對于某些對漫游切換時間敏感的業(yè)務(wù)(例如語音業(yè)務(wù)),這樣的長切換時間是無法忍受的。WX5500E系列無線控制器采用Key caching技術(shù)完成漫游時用戶的快速切換,Key caching技術(shù)在用戶的安全接入和快速漫游間做了一個很好的平衡,可以使無線用戶終端在兩個AP間進行漫游時不必重新進行完整的802.1x認證交互過程,同時又能保證用戶身份的識別和密鑰使用的連續(xù)性;無線用戶采用快速漫游方式,單AC內(nèi)漫游時間不超過50ms,滿足了語音業(yè)務(wù)的苛刻需求。
支持多種分支機構(gòu)遠程接入場景
當AC和AP通過廣域網(wǎng)鏈路進行連接時,用戶可以靈活選擇集中轉(zhuǎn)發(fā)或本地轉(zhuǎn)發(fā)模式,提升分支機構(gòu)局域網(wǎng)打印訪問、終端互訪等業(yè)務(wù)性能。
當廣域網(wǎng)鏈路發(fā)生故障或AC發(fā)生故障時,在線用戶不掉線,可以繼續(xù)訪問本地資源,并且可支持AC逃生功能。
當分支機構(gòu)AP部署于私網(wǎng)內(nèi)時,AC可以穿越NAT與AP進行通信。