信锐无线结合宁盾无线统一认证解决方案
信锐无线结合宁盾无线统一认证解决方案
一、问题分析
成立于深圳的信锐技术是网络安全设备厂商深信服集团投资建立的公司。
信锐无线WLAN解决方案，在身份认证安全管理方面，可对网络用户的身份进行权限管理，还可对接深信服做上网行为管理，从而保保障企业信息安全。
无线网络的易扩展性和开放性，使得多期建设项目中并存多家厂商的无线设备。
多品牌设备混杂，互相协调能力差、用户难以做统一的身份认证及访问权限控制，所带来的管理和安全上的缺陷越来越明显。
因技术实现方式的差异，且受限于信锐自身硬件设备性能，信锐无线WLAN解决方案在多分支异构环境实现统一接入认证的成本昂贵。
对此，信锐无线联合宁盾一体化认证平台，打造了一套更具兼容性优势的无线统一认证解决方案，集中式管理多分支无线网络，加固无线网络的安全性，并联动上网行为管理设备，实现实名审计合规。
二、解决方案
1、宁盾无线统一认证方案概述
宁盾无线统一身份认证是一个轻量级、中心化的无线Portal接入认证服务平台，通过身份认证技术及访问控制策略，加强无线网络安全。
支持多无线品牌、多分支异构及审计网关接入能力，能够帮助多分支组织机构，如大型企业、联合办公、Shopping Mall、银行网点、连锁超市、连锁门店等，建立统一的网络接入和认证管理中心。
信锐无线结合宁盾无线统一认证方案网络拓扑如下：
通过在数据中心部署宁盾无线统一身份认证平台，可实现所有厂商无线设备统一认证，整合无线网络，建立多分支统一认证中心，对整个网络的用户上网进行集中认证。
且采用旁路方式无需改变现有网络基础环境，不会产生任何业务影响，补充了当前信锐无线WLAN解决方案的不足。
2、支持多种认证方式，满足不同场景需求
访客场景：短信认证、微信认证、协助扫码、访客自助
短信认证流程
微信认证流程
协助扫码流程
自助认证流程
员工场景：用户名密码认证（结合AD域）用户名密码认证流程
三、实现功能
1、多分支统一接入，全网无缝漫游
建立一体化认证平台，实现多分支、多用户、多终端、多应用的统一认证和授权，集中管控所有无线接入用户。
同时每个分支可做独立配置，实现个性化运营管理。
支持全网无线漫游和无感知认证。
2、兼容国内外主流无线厂商设备
可兼容国内外主流无线厂商设备，如Aruba、Cisco、Moto、Ruckus、华三、华为、锐捷、信锐等，并支持多厂商设备统一接入管理，实现多分支异构无线网络统一接入。
3、多种认证方式，满足不同场景需求
包括短信、微信、用户名密码、协助扫码、自助审批、二次无感知等方式，满足不同场景无线认证需求，在保障访问的安全性的同时，提供个性化的认证体验。
4、访问权限控制，保障网络安全可控
基于用户角色做访问策略控制，如用户角色过滤、上网时间段、上网时长、在线设备、额外角色、二次免认证、最大流量控制、最小流量控制等，实现角色权限区分。
5、对接上网行为设备，实名审计合规
将宁盾无线统一认证平台与深信服等上网行为管理设备联动，提供无线用户的身份实名认证及清晰完整的上网行为日志，达到实名查询单个用户上网记录的效果，满足了实名审计合规性要求。
提升企业无线网络可靠性解决方案-信锐技术
提升企业无线网络可靠性解决方案相对于传统的有线网络连接，无线网络具备诸多优势，诸如摆脱线缆的束缚、灵活性较高、便于扩展等，这些优点也让越来越多的企业部署无线网络。
但相比线缆传输的方式，无线信号受干扰的影响明显，提升稳定性、可靠性成为无线组网的首要问题。
作为下一代企业级无线网络解决方案提供商，信锐技术从硬件、软件、服务等多角度保障无线网络运行的稳定，让用户在享受无线办公带来便捷的同时，还可体验到如有线传输般的稳定性、可靠性。
1、企业级芯，设备质量稳定可靠信锐无线设备（包括无线AP、无线AC、交换机）均采用企业级芯片和电子元器件，工作稳定，寿命长；设备软件基于CMMI 5最高水平开发，代码优化、程序流畅、长时间稳定工作不宕机；2、智能AC灾备逃生，无线上网永不掉线信锐廋AP+无线AC架构，即使当无线AC宕机故障，也不影响AP的正常使用；通过智能AC灾备逃生，老用户依旧正常上网，新用户仍然可以认证接入；3、无线AC双机备份、异地备份通过部署两台无线控制器，实现双机互相备份，防止一台控制器单点故障后影响上网或者网络安全策略；采用集结号（分层AC）部署的多分支集团，可以实现分支端与邻近分支端的水平异地备份、分支端与中心端的垂直异地备份，在实现智能安全边缘计算的同时保证整个网络的高可靠性；4、重要关键核心应用优先传输通过无线AC应用识别，智能区分上网行为，优先保障核心业务；基于应用的空口资源管理，灵活的识别办公、娱乐、视频、下载等上网行为，优先确保办公业务带宽；5、无感知快速漫游，移动办公永不断线信锐无线AC控制器支持无缝漫游，不同AP信号覆盖之间，接入终端切换速度不高于20ms；同一组网内，用户从设备1移动到设备3到设备5，都能保持无线连接，移动办公永不断线。
6、覆盖黑洞自动补偿，确保信号覆盖无盲区信锐无线AP发射功率线性可调，根据实际部署密度，可适时调整发射功率，避免AP之间的相互干扰；传统的无线路由器故障后将出现无线覆盖黑洞，信锐支持覆盖黑洞自动补偿，邻近AP智能感知周围环境并自动调整发射功率，确保信号覆盖无盲区。
H3C WX无线控制器配置宁盾WIFI认证指南
宁盾WIFI认证平台结合H3C无线认证配置指南V2.0版20149目录一、宁盾WIFI认证平台简介 (2)1、平台构架 (2)2、平台登录方式 (2)二、认证配置 (3)1、Portal认证配置流程 (3)2、新增商户 (4)3、添加设备 (5)4、H3C WX无线控制器设备配置 (7)5、认证方式配置 (8)5.1、短信认证 (8)5.2、微信认证 (8)5.3、用户名 (11)三、页面管理 (13)四、调查问卷配置 (16)五、策略控制 (17)一、宁盾WIFI认证平台简介1、平台构架2、平台登录方式浏览器登录WIFI个性化平台http://X.X.X.X:8080（X.X.X.X为服务器IP，默认端口8080），平台管理员admin,默认密码为admin,商户自助管理平台帐号密码为热点管理员，由WIFI集中接入平台统一配置分配。
（浏览器建议IE9+，或Firefox、Chrome等）IE下载链接：/china/windows/IE/upgrade/index.aspxMozilla Firefox下载链接：/zh-CN/firefox/new/Google Chrome下载链接：/intl/zh-CN/chrome/browser/二、认证配置1、Portal认证配置流程新增商户—>添加设备(—>添加SSID或AP Group)并分配给商户—>设备配置—>选择并配置认证方式2、新增商户在集中接入管控平台【商户列表】点击【新增商户+】，编辑商户名称、缩写选择商户类型。
为商户分配管理员：在商户列表内选中商户，点击操作栏内【配置管理员】，为商户设定管理员账户（该账户只允许登录商户自助管理平台）。
3、添加设备添加BRAS/AC/胖AP设备：添加SSID或AP Group并分配给商户，如添加SSID：添加AP Group(胖AP不支持AP Group)：说明：AP Group的配置就是将位于不同位置的AP按区域分组，AP Group可包含一个或若干个AP，即添加AP分组后在AP分组下可以添加一个或若干个AP的MAC关联AP。
小区无线网络覆盖解决方案_信锐技术
免责条款
本文档仅用于为最终用户提供信息， 其内容如有更改或撤回， 恕不另行通知。 信锐网科技术有限公司已尽最大努力确保本文档内容准确可靠， 但不提供任 何形式的担保，任何情况下，信锐网科技术有限公司均不对（包括但不限于）最 终用户或任何第三方因使用本文档而造成的直接或间接的损失或损害负责。
信息反馈
如果您有任何宝贵意见，请反馈至： 地址：深圳市南山区学苑大道 1001 号南山智园 A1 栋 6 楼 邮编：518055 您也可以访问信锐技术网站： 获得最新技术和产品信息。
更多公共区域无线网络解决方案，请访问信锐技术官方网站：！
2/37
小区公共区域无线网络解决方案
目
目 一、 1.1 1.2 二、 2.1 2.2 2.3
录
录 ........................................................................................................................................ 3 项目背景 .......................................................................................................................... 5 项目概述 ................................................................................................................... 5 项目需求 ................................................................................................................... 5 解决方案 .......................................................................................................................... 6 设计原则 ................................................................................................................... 6 方案构架 ................................................................................................................... 7 小区 WLAN 覆盖方案设计 ..................................................................................... 7 2.3.1 2.3.2 2.3.3 2.3.4 2.4 2.4.1 2.4.2 2.4.3 2.4.4 2.4.5 2.5 2.5.1 2.5.2 2.5.3 2.5.4 2.6 2.7 小区园区覆盖方案 ................................................................................. 8 住宅覆盖方案 ......................................................................................... 9 楼道覆盖方案 ....................................................................................... 10 地下停车场覆盖方案 ........................................................................... 11 信息管理 ............................................................................................... 12 收费管理 ............................................................................................... 12 生活信息管理 ....................................................................................... 13 智能报警系统 ....................................................................................... 13 出入管理 ............................................................................................... 13 小区监控部署设计 ............................................................................... 14 无线监控覆盖方案 ............................................................................... 14 监控查看 ............................................................................................... 16 信锐监控方案的优势 ........................................................................... 16
信锐技术无线认证之对接WAPI认证配置指导
WAPI认证详细配置文档信锐网科技术有限公司2017年6月4日第1章项目背景1.1.认证协议概况当前全球无线局域网领域仅有的两个标准，分别是美国行业标准组织提出的IEEE802.11系列标准(俗称Wi-Fi，包括802.11a/b/g/n/ac等)，以及中国提出的WAPI标准。
WAPI是我国首个在计算机宽带无线网络通信领域自主创新并拥有知识产权的安全接入技术标准本方案已由国际标准化组织ISO/IEC授权的机构IEEE Registration Authority(IEEE注册权威机构)正式批准发布，分配了用于WAPI协议的以太类型字段，这也是中国在该领域惟一获得批准的协议WAPI同时也是中国无线局域网强制性标准中的安全机制。
与WIFI的单向加密认证不同，WAPI双向均认证，从而保证传输的安全性。
WAPI安全系统采用公钥密码技术，鉴权服务器AS负责证书的颁发、验证与吊销等，无线客户端与无线接入点AP上都安装有AS颁发的公钥证书，作为自己的数字身份凭证。
当无线客户端登录至无线接入点AP时，在访问网络之前必须通过鉴别服务器AS对双方进行身份验证。
根据验证的结果，持有合法证书的移动终端才能接入持有合法证书的无线接入点APWAPI无线局域网鉴别基础结构(WAI)不仅具有更加安全的鉴别机制、更加灵活的密钥管理技术，而且实现了整个基础网络的集中用户管理。
从而满足更多用户和更复杂的安全性要求1.2.项目背景虽然WAPI认证没有在全世界普及，但是在中国还是占有一席之地的，特别是在一些政府机关以及金融机构的办公网会见到其身影，本次项目采用的正是WAPI认证。
本次对接的WAPI服务器厂商是北京数字认证股份有限公司，该公司在全国各个行业都有着十分丰富的客户案例。
第2章配置细节2.1.网络拓扑本次因为是测试项目，故没有深入的与客户网络进行对接，客户只是简单的提供几个IP地址，供WAPI 认证服务器与我司设备能够网络可达。
信锐技术金融营业厅无线解决方案
信锐技术金融营业厅无线解决方案一、金融行业办公及营业网点无线建设需求分析金融业务需求：客户通过移动终端现场体验网上银行、手机银行等在线业务，及让客户经理对业务推介、业务展示、指导客户手机银行应用下载；为排队等候区客户提供无线上网服务，提高服务体验。
广告推广营销：金融营业厅每年会在广告营销方面投入大量的费用，相对与传统平面广告平台，WIFI平台指向性更好、针对性更强、客户粘度更高，如果能结合WIFI平台进行广告推广、营销，则可大大提高WIFI建设的回报收益。
利用WIFI平台的广告效应，可显著提高银行网点的营销能力，同时降低营销成本。
无线高速上网：部署WIFI的金融营业厅往往能够吸引更多的客户来光顾，提升客户的体验和满意度。
而在大部分金融营业厅都部署WIFI的情况下，用户体验则成为客户对比的重要考虑。
高速、稳定的上网既能提高客户的满意度，同时能提升银行网点的档次、形象。
高速的WIFI体验，让客户的业务体验倍增，提升了客户满意度,增强了客户忠诚度。
安全风险规避：进入金融营业厅的客户能访问互联网网页，发帖、发微博等等，营业厅网点本身无法对这些行为做出限制。
当客户中有人发布不良信息导致一些严重的安全事件或者政府事件时，公安机关和营业网点希望能追查信息发布来源，从而进行网络安全风险的规避。
简化集中管理：在金融营业厅进行无线部署和管理时，无线接入点数量庞大，布置地点多，距离远。
众多的无线WIFI热点配置、升级、维护需要统一化的集中管理，降低维护成本，提高整体的稳定性，减少故障率。
二、信锐技术金融行业无线网络解决方案无线安全设计：多SSID，员工、客户网络逻辑隔离：根据金融营业厅需要，根据用户的种类、应用的种类设置多个SSID，例如：客户和员工网络分别设置不同的SSID。
不同的SSID 采用不同的安全策略，这样可以对不同的用户及应用进行区分服务。
另外SSID还可以选择隐藏的方式，该SSID不广播，用户无法看到，防止非法用户的接入。
信锐企业无线网络解决方案
财务部
管理层
额...
自助式配置 简化安全部署环节
IT人员 行政部 市场部
更便捷的安全
MAC3
用户B
自动实现 用户与终端绑定
MAC 1
用户A 访问策略、QoS
用户A
MAC 2
用户名MAC自动绑定，防止越权访问
更便捷的安全
关联Wi-Fi
发送二维码
“欢迎您来XXX公司参观， 免费Wi-Fi上网请找接待人 员申请权限”
东鹏饮料WLAN建设工程
东鹏饮料简介：
集技术开发、生产、销售于一身，拥有先进的生产 设备和雄厚的技术开发队伍及一套完整的饮料销售、 推广管理体系。公司现有八条利乐包生产线、两条 瓶装饮料生产线、四条纯净水生产线及一条三片罐 饮料生产线，年生产能力达 18 万吨。
东鹏饮料无线网络需求：
生产车间区域无线覆盖，满足无线扫码枪的接
交付更快速的企业级无线
国内最大的应用识别库，可对各种应用进行放行或者拒绝
信锐无线特色
更安全 更快速
更安全： 内置企业级防火墙 更专业的安全模块，内置证书 CA 更精细的认证与授权 自助安全配置： 用户自助完成802.1x、证书等 高级配置 自动实现用户与终端绑定 访客二维码认证
入快速接入； 接入终端严格管控，防止非法终端接入。
39
东鹏饮料WLAN建设工程
信锐WLAN解决方案：
采用无线控制器NAC-6200及双频NAP-2600。 控制器单臂部署，通过POE交换连接各楼层 NAP。
信锐WLAN实现价值：
满足生产车间不同系统的终端接入，针对性的对连
接速度进行优化； 对饮料灌装车间接入的无线扫码枪进行MAC地址绑 定，只有运行接入的白名单内终端才能接入；
集团企业多分支机构统一无线组网解决方案
更多成功案例
海康威视 万科集团 伟星集团 衣之家百货 舟山科技园 吉利汽车 浙江省交工集团 华润电力 耀达集团 东方通信科技园 三花集团 人民电器集团 恒逸集团 华润置地 柯桥轻纺城创业园区 太平鸟集团 万安科技股份有限公司 双鹿集团 红星美凯龙 爱屋吉屋
更多企业办公无线网络解决方案，请访问信锐技术官方网站 ！
更多企业办公无线网络解决方案，请访问信锐技术官方网站 ！
安全、稳定高效、极致运维—信锐无线
（注：信锐云助手 APP 为免费赠送） 创建分支管理员自行管理分支网络，提高管理效率。
（5）关键上网得安全，不影响主要业务——无线 Wi-Fi 不受 “永恒之蓝”等网络病毒攻击所影响，有安
全防御功能；同时，无线覆盖是出于提高办公效率初衷，避免带宽资源大部分被非办公需求的 P2P 所占用
（6）企业已部署过其他品牌无线设备，要利旧，不要搞两套无线网络——公司事先已经部署了其他无线品
牌，但由于覆盖效果一般，想要进行无线改造，但原有设备不能直接荒废，希望能最大程度利用原有设备
（4）如何保障网络安全——第一步通过无线接入前有强大的安全过滤网（进行身份认证、信锐安全无
线网卡、账号绑定） ；第二步无线使用时的强大上网行为管理，可以根据应用类型或者具体某一种应用进行 封堵，包括视频、论坛、游戏、金融、下载等 2300 多种网络应用。比如上班时间不允许炒股、上淘宝、不 允许 P2P 下载等；第三步是上网后的上网行为记录，满足《公安部 82 号令》的安全要求；第四步是客观 环境下的攻击防护，例如近期的全球性爆发勒索病毒“永恒之蓝” 、钓鱼 Wi-Fi 等，信锐可以对此进行安全 加固、配置精细的访问控制策略、非法 AP 的检测和反制，让无线比有线更安全。而且，对于多分之统一组 网，关键业务（邮箱、OA）可通过信锐自带的 VPN 隧道进行传输，保证数据传输安全。
信锐技术无线控制器对接锐捷设备实现有线侧portal认证
NAC对接锐捷做有线portal认证2016年8月锐捷对接Portal 服务器一、项目背景：目前客户网络已经搭建了一套锐捷的无线系统（包括控制器和AP ），现在客户想使用我们的控制器当Portal 服务器实现锐捷无线网络用户的微信认证；咱们目前最新版本的控制器做portal 服务器对接锐捷设备还在完善，可以采用有线认证的方式将底下的无线用户当作有线用户统一完成对接。
二、客户网络拓扑1、锐捷无线控制器数据转发模式为集中转发，AP 和锐捷控制器跨三层部署。
2、核心交换机上vlan2096网关为10.60.16.1/20，vlan4094网关为10.0.111.1/29且此网段能够访问互联网；Vlan2096:10.60.16.1/20Vlan4094:10.0.111.1/29无线用户vlan209610.60.16.0/20TrunkTrunk信锐锐捷三、测试部署网络拓扑说明1、因为锐捷无线控制器的数据转发模式为集中转发，所以我们可以将控制器串联在核心与锐捷无线控制器之间，端口属性均设置为trunk。
2、创建vlan4094，并配置正确的路由，dns，使控制器能够与外网正常通信。
3、在有线配置--有线认证--接口区域中启用区域1，并配置认证接口为eth1，eth2，vlanif4094，认证vlan为4094。
4、在认证授权--portal服务--服务器参数中启用内置portal服务，并在web认证策略中配置好微信认证的认证策略。
5、最后在有线配置--有线认证--认证策略中新增一个有线侧认证策略，适用范围就是无线用户所处的整个网段，仅仅对这个网段的用户做认证。
在认证类型要选好当前的网络环境，比如本案例是认证用户与认证接口跨越三层网络，终端使用dhcp自动获取IP。
整体配置过程都比较简单。
现场经过测试，这样锐捷的所有无线终端都可以正常通过我司控制器进行微信认证。
四、问题分析最后在测试过程当中出现一些问题也稍微分享一下。
信锐酒店无线解决方案
信锐客户典型应用
酒店
商超
分支连锁
展厅
公共网络 金融营业网点
场馆
部分客户名单
贵州建设银行 惠州工商银行 永丰银行 海印集团 全聚德 三九旅游酒店 中北集团 摩尔百货 大自然家居 摩登美业 玖玖酒店
Thanks.
联系人：严龙飞 电话：
信锐WLAN
01 为什么酒店需要部署WLAN无线 02 当前酒店WLAN面临挑战
03 酒店WLAN需求
05 信锐WLAN典型案例集
04 信锐酒店WLAN解决方案
为什么酒店需要部署WLAN无线
酒店信息化对无线网络的需求
您好！
酒店有没有WiFi？
ห้องสมุดไป่ตู้
数据统计95%的客户会询问酒店是否有无线，100%需要通过网络保持与外界的联系
用户使用微信认证来获得免费的无线，帮助酒店推广微信公众帐号
可增值的WLAN 收集顾客手机号码
顾客手机号码收集统计，可导出
通过使用手机短信认证，为酒店收集顾客的手机号码。可定期或适时的，向这些
手机用户发送感谢和促销短信。
可增值的WLAN 通过信锐系统推送网页认证界面进行酒店服务推广
个性化广告推送
基于用户、用户组、位置的 个性化广告推送
违法上网行为
办公网权限划分
酒店客户的上网行为和内网的安全无法保障
当前酒店用户WLAN面临挑战
网速太慢，顾客抱怨，甚至投诉酒店
酒店WLAN建设需求变化 营销增值
安全便捷
快速体验
短信营销 微信营销 页面营销 客流分析
应用层安全防护 安全终端认证 终端授权管理 防各种攻击 无感知认证
酒店除了兼具传统的功能以外，度假酒店还需提供丰富多样的休闲娱乐场 所。各种场景、跨地域无线覆盖，酒店需要针对各种不同物理位置的无线 做到有效远程管理，为顾客提供稳定高速的无线接入。
锐捷无线网络身份认证方案
锐捷无线网络身份认证方案一、面临挑战无线局域网络产业发展、技术革新及大量WiFi移动终端设备的出现，促使企业的工作方式向移动化转型，随之涌现出大量部署在移动终端上的企业应用，无线网络上承载了越来越多的关键应用。
这在提高企业生产效率的同时，也对无线网络的安全性提出了更高要求。
在大型连锁商业机构中，如联合办公、Shopping Mall、银行网点、多分支连锁门店，过去分布式无线网络架构互相协调能力差、用户难以做统一的身份认证及访问权限控制，所带来的管理和安全上的缺陷越来越明显。
而无线网络用户却期待在各种场景下，包括办公室、生产线、仓库、园区、联合办公空间、连锁商超、跨区域网点等中都能获得便捷的访问体验，实现SSO 单点登录及全网漫游。
面对以上问题，为向集中式无线控制管理模式转型、降低运营维护成本、加固无线网络的安全性、优化移动终端接入体验，多分支企业商业对实现总部及分支的无线网络统一认证的需求也变为刚性。
二、解决方案1. 锐捷无线网络身份认证解决方案概述宁盾锐捷无线网络身份认证方案是一个轻量级、中心化的无线Portal接入认证服务平台。
支持多分支统一接入，通过在数据中心部署一套宁盾一体化无线认证平台，结合锐捷无线设备，建立多分支统一认证中心。
总部集中式控制，分支个性化运营，总部至分支可无线漫游，让用户在任何节点、任何时间都可以获得同样便捷的信息接入和快速响应，有效提高业务的灵活性和竞争力。
另外可保证跨地域漫游用户与无线网内部用户的逻辑隔离，允许无线漫游访问的同时，有效提高业务的安全性。
它提供了健全的无线身份认证访问控制，防止未经授权用户的接入，而对合法接入的用户基于其身份做访问权限控制，实现所有类型无线用户集中化认证及管理。
用户认证成功后，由宁盾一体化无线认证平台将用户的访问权限下发到锐捷无线设备上，实现用户接入锐捷无线网络后只能访问指定资源，同时和上网行为管理设备联动，实现用户上网行为可实名审计，保障网络信息资源的安全。