高校WLAN覆蓋方案及安全策略研究

白雪峰，鐘震宇，濮偉心

（中國移動通信集團設計院有限公司，北京 100080）

高校WLAN覆蓋方案及安全策略研究

白雪峰，鐘震宇，濮偉心

（中國移動通信集團設計院有限公司，北京 100080）

高校由于人流密集，用戶資源優(yōu)良，場景豐富，數(shù)據(jù)業(yè)務需求突出，成為了WLAN覆蓋的重點區(qū)域。本文提出一種普遍可行的高校WLAN建設方案和多種安全策略。

WLAN；高校覆蓋；網(wǎng)絡安全

1 引言

隨著移動無線網(wǎng)絡規(guī)模的擴大，宏基站密度增加，城市的無線覆蓋也進一步得到改善和提高。但由于無線環(huán)境十分復雜，高速無線寬帶接入環(huán)境比較容易受到限制，另外，用戶終端在不斷的多樣化，普通的話音業(yè)務已無法滿足用戶的需求，對包括數(shù)據(jù)業(yè)務、視頻下載、在線點播在內的各種特色業(yè)務需求也越來越旺盛，這樣無線寬帶接入問題的重要性逐漸突出起來。

WLAN技術的發(fā)展為高速無線數(shù)據(jù)業(yè)務提供了良好的解決方案，高校由于人流密集，用戶資源優(yōu)良，場景豐富，數(shù)據(jù)業(yè)務需求突出，成為了WLAN覆蓋的重點區(qū)域。利用WLAN組網(wǎng)覆蓋解決高校高速無線寬帶接入需求變得很重要。

2 高校WLAN建設需求分析

高校WLAN規(guī)劃建設中，需要考慮的基本需求如下：（1）教學的需求，工作學習管理的需求，隨著高校網(wǎng)絡建設的不斷完善，越來越多的信息管理平臺被應用到日常管理中，無線網(wǎng)絡的廣泛應用可以很好地彌補有線網(wǎng)絡的不足。（2）大型活動的需求，如學術交流會、人才交流會等各種大型活動也舉辦的越來越多，對網(wǎng)絡也提出了需求。（3）高校網(wǎng)絡建設的需求，現(xiàn)階段，高校都在不斷擴張，建立分校區(qū)，要為新建立的校區(qū)連接網(wǎng)絡。有線網(wǎng)絡模式下施工難度大、工期長，對迅速擴展的高校形成了嚴重的瓶頸。（4）接入端口數(shù)量增長的需求，高校中有很多特殊的地方無法布設太多有線網(wǎng)絡接入點，如餐廳、圖書館、會議室等，并且很多建筑建設時間較長，不便施工。（5）智能終端大規(guī)模普及應用的需求[1]。

3 高校WLAN建設優(yōu)勢

高校WLAN規(guī)劃建設，與有線網(wǎng)絡相比有如下優(yōu)勢： (1) 接入網(wǎng)絡方便、靈活，使網(wǎng)絡應用更加豐富多彩。(2) 與有線局域網(wǎng)互為補充，相互冗余，擴充網(wǎng)絡的使用范圍，降低網(wǎng)絡故障率。(3) 具有較強的移動性，為教學、辦公等?；顒犹峁┮苿悠脚_。(4) 鋪設網(wǎng)絡更加經(jīng)濟方便，使校園網(wǎng)變得更加靈活、便捷。(5) 校園網(wǎng)更易于擴充，使大量的數(shù)據(jù)交換變得更加容易、輕松[2]。

4 高校WLAN建設原則

校園無線網(wǎng)的設計要充分考慮每一個細節(jié)，力求滿足整個校園網(wǎng)的可靠性、先進性、實用性、可兼容性及可擴展性。

(1) 根據(jù)實際使用和擴容冗余的需求，確定無線網(wǎng)絡的覆蓋范圍和系統(tǒng)的容量。要保證系統(tǒng)可靠運行，關鍵設備及主要區(qū)域應有冗余。

(2) 室內覆蓋主要采用合路的室內分布建設方式，特殊情況下采用WLAN單獨部署的建設方式。如果WLAN與蜂窩移動通信系統(tǒng)共用天饋系統(tǒng)，WLAN信號的引入就要盡可能地接天饋末端。室外覆蓋主要采用WLAN單獨部署的建設方式，對于有合路需求的，采用合路的分布建設方式，視具體需求，采用不同的建設方式。

(3) WLAN網(wǎng)絡建設容量要求：單AP支持并發(fā)用戶數(shù)：10～15人。按照“多天線、小功率”的原則進行建設。為了保證覆蓋，最好能將室分天線放置于房間內，盡可能靠近用戶。單天線覆蓋半徑參考建議為：在半開放環(huán)境，單天線情況下，覆蓋半徑取10～16 m；在較封閉環(huán)境，單天線的情況下，覆蓋半徑取6～10 m。多天線連續(xù)覆蓋時，要取覆蓋半徑的1/5～1/3作為重疊區(qū)域。若因容量等原因需要在同一樓層放置更多AP需進行合理頻點規(guī)劃及功率控制，降低干擾水平。

(4) 按照國家標準，WLAN室內型單拉AP發(fā)射功率為100 mW。覆蓋距離的同時受到室內的陳設、房間分隔、辦公設備干擾的影響，一般僅能穿透一堵水泥墻進行覆蓋，可以在走廊部署一個AP，解決兩面共4個房間（96m2）的覆蓋，每層約放置7～8個AP。

5 高校WLAN覆蓋指標

校園無線網(wǎng)的設計技術指標要求如下：

(1) 信號覆蓋電平。在設計目標覆蓋區(qū)域內95%以上位置，接收信號強度大于等于-75 dBm，有特殊要求的重要熱點接收信號強度大于等于-70 dBm。

(2) 信噪比。在設計目標覆蓋區(qū)域內95%以上位置，用戶終端無線網(wǎng)卡接收到的信噪比（SNR）大于20 dB。

(3) 可接通率。在WLAN無線覆蓋區(qū)內90%的位置，99%的時間內無線網(wǎng)卡可以接入網(wǎng)絡。

(4) 通信質量。覆蓋區(qū)域誤幀率小于5%的區(qū)域占總覆蓋區(qū)域的95%以上。

(5) 室內天線功率。根據(jù)國家環(huán)境電磁波衛(wèi)生標準，室內天線的發(fā)射功率應小于12 dBm/載波。

(6) 系統(tǒng)吞吐量。在信號強度大于-70 dBm的區(qū)域，在802.11b模式下，上行或下行單向吞吐量應達到不低于5 Mbit/s；在802.11g模式下，上行或下行單向吞吐量應達到不低于20 Mbit/s；在可選的802.11a模式下，上行或下行單向吞吐量應達到不低于20 Mbit/s。

(7) 上網(wǎng)速率。對于覆蓋區(qū)域，應滿足潛在用戶無線寬帶上網(wǎng)的容量需求，保證每用戶以不低于500 kbit/s的速度上網(wǎng)。

6 高校WLAN覆蓋分場景建設方案

以山西大學城建設為例，校園WLAN覆蓋的主要場景有以下幾類：學生宿舍、教學樓、圖書館、活動中心、體育場館、廣場等，現(xiàn)就幾類有代表性的場景重點分析，其他類別的場景可參考這幾類進行建設。

6.1 學生宿舍樓

容量方案： 在計算容量時，需要對學生上網(wǎng)行為和用戶數(shù)進行分析，考慮到學生的上網(wǎng)占用帶寬較大，需要對每個用戶進行限速。根據(jù)下列公式算出每層樓所需要的AP數(shù)量：

AP個數(shù)=宿舍數(shù)×每宿舍人數(shù)×筆記本擁有率×WLAN用戶率×并發(fā)率/每AP支持并發(fā)用戶數(shù)

單AP支持并發(fā)用戶數(shù)10～15人。每個24口PoE交換機最多可以接16個AP。

在建設的初期，按照單AP承載10～15個用戶進行設計。中期需要對WLAN用戶率等參數(shù)進行調整。建設中，需要為業(yè)務發(fā)展預留擴容空間，在安裝AP時，需要同時預留一條網(wǎng)線，便于后期擴容。出口帶寬測算和限定參考公式：

出口帶寬=單用戶帶寬需求×用戶數(shù)×并發(fā)上網(wǎng)比例/70%。

單用戶平均帶寬需求在150～500 kbit/s。

覆蓋方案：為了保證宿舍樓覆蓋，最好能將室分天線放置于房間，尤其是對于宿舍進門處帶有衛(wèi)生間的最好能協(xié)調校方將天線放置于房間內。如果確實無法協(xié)調進入房間，則需保證在走廊宿舍門口處放置天線。

宿舍AP位置規(guī)劃如圖1所示。

圖1 宿舍AP位置規(guī)劃

每層放置AP需進行詳細AP頻點規(guī)劃。規(guī)劃表如表1所示。

6.2 圖書館

容量方案：閱覽室的特點是面積較大、區(qū)域空曠、學生較多、并發(fā)用戶數(shù)比例較低。

一個閱覽室按100個座位計算，用戶攜帶筆記本電腦到閱覽室按20%、同時上網(wǎng)比例為80%考慮， 同時上網(wǎng)用戶數(shù)為：100×20%×80%=16個，一個閱覽室采用一個AP即可滿足容量需求。

覆蓋方案：應該結合室內分布系統(tǒng)建設，將AP在末端饋入，一般一個AP接1～2副天線，按照室內天線輸出電平10～12 dBm，考慮室內吊頂對信號的衰減，覆蓋半徑在10 m左右，單天線覆蓋面積約為300 m2。

6.3 室外區(qū)域

室外區(qū)域空曠、流動學生較多，持有筆記本電腦的用戶較少，并發(fā)用戶數(shù)比例比較低。這種區(qū)域以覆蓋為主，覆蓋方式以在樓頂安裝室外大功率AP+定向天線解決，覆蓋半徑可達200 m。對于傳輸不能到達的區(qū)域，可以采用Mesh AP解決。

6.4 教學樓、辦公樓

該類型建筑物多為鋼筋混凝土結構或鋼筋混凝土結構外加玻璃幕墻， 通常樓層較高，平層內部建筑隔斷較多，穿透損耗情況復雜，樓層間穿透損耗也較大。

典型的平層房間布局為包括走廊+單/雙邊房間或大開間。高端用戶比例相對較高，業(yè)務需求均較高。

容量方案：一般辦公樓單樓層在1 000 m2，用戶數(shù)大約為40人，按照重點客戶的辦公全部使用WLAN無線上網(wǎng)的極限環(huán)境來看，需要3個AP滿足容量覆蓋，現(xiàn)階段在用戶發(fā)展不明確的情況下，按照用戶筆記本電腦擁有率為50%，同時上網(wǎng)比例為50%考慮， 同時上網(wǎng)用戶數(shù)為：40×50%×50%=10個，單樓層布放一個AP即可滿足容量需求，建設中可以考慮為擴容AP預留網(wǎng)線，便于后續(xù)擴容。教學樓、辦公樓內教室、會議室按照人員容納和面積可以分為3種類型。

表1 詳細AP頻點規(guī)劃

（1）小型教室、會議室，面積大約為40m2，可容納用戶數(shù)為10～15人，單獨布放一個AP即可滿足用戶上網(wǎng)需求。

（2） 中型教室、會議室，面積大約為100m2，可容納用戶數(shù)為50～60人，按照用戶筆記本電腦擁有率為50%，同時上網(wǎng)比例為50%考慮， 共同上網(wǎng)用戶數(shù)為：60×50%×50%=15個，布放單拉一個AP的方式即可滿足用戶上網(wǎng)需求。

（3） 大型教室、會議室，面積約為200～250m2，可容納用戶數(shù)為100～120人，按照用戶筆記本電腦擁有率為50%，同時上網(wǎng)比例為50%考慮， 共同上網(wǎng)用戶數(shù)為：100×50%×50%=25個，布放單拉兩個AP的方式即可滿足用戶上網(wǎng)需求。

覆蓋方案：1F大廳：對于1F大廳等與室外直接相連之處，應注意避免信號功率外泄，可選用全向天線安裝在大廳靠內側的邊上進行覆蓋，配之以較低的天線輸出功率，或者選用定向小板狀天線安裝在門廳處向大堂內部覆蓋。

樓內大房間（比如會議室）：平層樓內常出現(xiàn)像會議室這類大房間的覆蓋場景，寫字樓內部分樓層可能會有中小型會議室，對于這樣的場景，一般采用全向吸頂天線進房間進行覆蓋。

標準平層：標準平層內的天線一般安裝在走廊內，采用全向吸頂天線。根據(jù)二級分類場景情況，分別描述如下：

（1） 走廊+單雙邊房間（房間縱深6 m以內）。

一般走廊+單邊房間類型場景的寫字樓，房間縱深6 m以內，天線安裝在門外走廊基本可以解決房間內信號，天線布放間距在10 m左右。

（2）走廊+單雙邊房間（房間縱深6 m以上）。

對于房間縱深超過6 m的情況，建議天線進房間實現(xiàn)覆蓋，如果實際施工有難度，天線必須安裝在靠近房間門口的位置。

如果天線進房間，可以采用定向天線或全向天線方式，定向天線應安裝在靠近房間外緣的位置向內覆蓋，全向天線的安裝位置應在滿足覆蓋需求的基礎上盡量遠離窗邊以控制泄漏。

7 高校WLAN安全策略問題

校園中 WLAN 的安全隱患主要有以下幾種：

第一，蹭網(wǎng)，有的用戶為了達到不交網(wǎng)費就上網(wǎng)的目的，通過直接登陸或破解密碼等方法，連接到WLAN 免費上網(wǎng)，也就是俗稱的蹭網(wǎng)。

第二，竊取文件，辦公室的網(wǎng)絡中，往往有多臺計算機、打印機、傳真機共享。非法用戶連接到 WLAN后，就可以免費使用這些硬件資源，并竊取如學生信息、教師信息、考試試卷等文件，從而造成難以估計的嚴重后果。

第三，攻擊和投放病毒，非法用戶登錄到高校WLAN后，可以通過地址解析ARP、拒絕服務(DOS)等方式向網(wǎng)絡中的合法用戶發(fā)起攻擊，使得合法用戶的正常上網(wǎng)出現(xiàn)困難。同時，非法用戶還可以借助該WLAN 窺探其他網(wǎng)絡，或向別的網(wǎng)絡發(fā)起攻擊。

通過以上分析可知，WLAN也存在一定的網(wǎng)絡安全隱患。

WLAN的安全隱患來自多個方面，應該多管齊下，通過多種技術融合，才能打造健康安全的WLAN。

第一，物理防范，一般WLAN的室內傳播距離是100 m，并受到墻壁等因素的影響。如果AP安裝在門口或者窗邊，那么黑客很容易通過高靈敏度天線從路邊、樓宇中檢測到信號并發(fā)起攻擊。因此對AP的安裝位置要特別注意。

第二，加密處理，首先，用戶必須增強意識，設定比較復雜的密碼，例如大小寫字母、數(shù)字、特殊字符相結合的密碼，并定期更新密碼，而不應該使用空密碼、默認密碼、簡單的密碼。如果密碼比較復雜且位數(shù)較長，那么黑客通過窮舉法很可能需要幾十年甚至幾百年的時間。

再次，采用高級加密算法，常用的WEP協(xié)議采用的是RC4流密碼算法，其種子密鑰由初始化向量IV和原始密鑰Key組成。假設采用相同的IV和Key，則對明文P1和P2加密后的數(shù)據(jù)流分別為：

當前，在GPU浮點運算能力日益強大、云計算平臺快速發(fā)展的今天，黑客的計算能力和破解能力獲得很大提升，對加密算法提出了更高的要求。使用增強型的WPA2對抵御黑客的進攻，目前還是比較理想的。

第三，訪問控制，首先，WLAN都有一個SSID（服務區(qū)標識符），通過SSID可以識別不同的AP[4]。為了對訪問網(wǎng)絡進行區(qū)別限制，應該對 AP設置不同的SSID，并要求用戶計算機出示正確的SSID才能訪問AP。同時禁止SSID廣播，避免黑客掌握其編碼信息。其次，對MAC（物理地址）進行過濾。由于每個網(wǎng)卡都有一個唯一的物理地址，如果對訪問網(wǎng)絡的網(wǎng)卡MAC進行限制，就能有效避免非法用戶的連接。此時，只需要啟用AP的MAC白名單規(guī)則，并將合法用戶的MAC地址存入MAC列表即可。

第四，網(wǎng)絡結構控制，為了進一步提高安全性，在網(wǎng)絡結構上，可以對核心網(wǎng)和外圍網(wǎng)進行劃分。如果有條件，還應該采用VPN、防火墻的結構，這樣能極大提高安全性能[5]。

8 結論

綜上，通過對WLAN校園覆蓋建設問題的分析，得出WLAN在高校網(wǎng)絡建設中的基本原則，并結合容量、帶寬的計算方法，分析了其在具體覆蓋場景下，各種不同的覆蓋規(guī)劃方法。提出一種適合于WLAN校園網(wǎng)絡建設的普遍適用方案。并通過校園WLAN網(wǎng)絡安全問題的分析，給出了可以參考的多種安全策略方案。

[1] 段水福， 歷曉華． 無線局域網(wǎng) (WLAN) 設計與實現(xiàn)[M]． 杭州：浙江大學出版社， 2007．

[2] 王剛． 無線校園網(wǎng)的設計與實現(xiàn)[J]． 安徽電子信息職業(yè)技術學院學報， 2009．

[3] Stubblefield A，Ioannidis J，Rubin A D．Using the Fluhrer，Mantin and Shamir Attack to Break WEP[R]． AT&T Labs Teehnical Report TD-4ZCPZZ，Revision 2，August 21，2001．

[4] 李歆，任紀生． 無線局域網(wǎng)協(xié)議安全性研究與改進[J]． 電腦知識與技術，2007(18)：1551-1553．

[5] 王志新，許林英． 無線局域網(wǎng)安全性研究[J]． 微處理機，2009(3)．43-48．

WLAN coverage in university and security program

BAI Xue-feng, ZHONG Zhen-yu, PU Wei-xin
(China Mobile Group Design Institute Co., Ltd., Beijing, 100080, China)

With the expansion of mobile wireless networks, the city's wireless coverage further improved and enhanced. However, due to the wireless environment is very complex, high-speed wireless broadband access is not easy to be built. In addition, the user terminal is diversification, data services, video downloads, online features, including a variety of business needs has become increasingly strong. WLAN technology for the high-speed wireless data services provides a good solution, especially, in university. This paper presents a general viable WLAN program in university and a variety of WLAN security programs.

WLAN; network security; coverage in university

TN915

A

1008-5599（2013）09-0059-05

2013-06-27