Aruba助力北師大二附中建設(shè)高安全性智能移動(dòng)網(wǎng)絡(luò)

■高晶

北京師大二附中始建于1953年，是一所設(shè)備先進(jìn)、師資優(yōu)秀、教學(xué)質(zhì)量高，在國(guó)際上有一定影響力的市重點(diǎn)中學(xué)，是北京市首批重點(diǎn)建設(shè)的普通高中示范校之一。隨著移動(dòng)技術(shù)以及數(shù)字化技術(shù)的飛速發(fā)展和廣泛應(yīng)用，各類(lèi)便攜式、多功能、可移動(dòng)智能終端的普及，老師和學(xué)生分別對(duì)移動(dòng)辦公和移動(dòng)學(xué)習(xí)提出了更高的要求，建設(shè)新一代支持移動(dòng)辦公和移動(dòng)學(xué)習(xí)的教育行業(yè)無(wú)線校園網(wǎng)應(yīng)用而生。

北京師大二附中擁有上千名師生，建設(shè)先進(jìn)的教學(xué)通信網(wǎng)絡(luò)，與時(shí)俱進(jìn)地利用智能課堂教學(xué)，滿(mǎn)足全校師生的移動(dòng)化辦公和生活需求，是北師大二附中IT 管理部門(mén)一直亟待解決的問(wèn)題。

為了讓移動(dòng)應(yīng)用和傳統(tǒng)教學(xué)、校園生活更好地結(jié)合，北師大二附中決定引進(jìn)部署無(wú)線AP 解決方案。經(jīng)過(guò)嚴(yán)格的篩選測(cè)試及行業(yè)各產(chǎn)品對(duì)比分析，北師大二附中最終使用了Aruba產(chǎn)品來(lái)覆蓋包括教學(xué)樓、辦公樓、宿舍、食堂、圖書(shū)館、會(huì)議中心、體育館、室外活動(dòng)區(qū)域，旨在全校實(shí)現(xiàn)無(wú)線網(wǎng)絡(luò)覆蓋，全面打造智慧校園。

帶來(lái)的好處

利用高達(dá)1.9G 速率的802.11ac 的AP-225，實(shí)現(xiàn)高速、高性能網(wǎng)絡(luò)覆蓋；

使用Aruba 7200 無(wú)線控制器，負(fù)責(zé)全校網(wǎng)絡(luò)統(tǒng)一的配置、管理與協(xié)調(diào)，提供了可靠性保障；

通過(guò)ClearPass 無(wú)線安全接入系統(tǒng)，方便師生可以隨時(shí)隨地從校園任何位置獲得安全的無(wú)縫網(wǎng)絡(luò)接入，從而提高辦公和學(xué)習(xí)效率；

使用綜合網(wǎng)絡(luò)管理系統(tǒng)Airwave 優(yōu)化無(wú)線網(wǎng)絡(luò)管理，通過(guò)Wi-Fi 可視化并控制統(tǒng)一通信，通過(guò)一個(gè)界面輕松管理不同階段的無(wú)線網(wǎng)絡(luò)設(shè)備，降低了成本。

北京師大二附中致力于建設(shè)高效、安全、智能的移動(dòng)教學(xué)網(wǎng)絡(luò)，為全校師生提供靈活的校園網(wǎng)接入服務(wù)，Aruba 無(wú)線解決方案幫助該校實(shí)現(xiàn)了預(yù)期的接入需求，Aruba 基于角色和設(shè)備類(lèi)型的安全策略Clearpass，幫助學(xué)校實(shí)現(xiàn)了對(duì)教師、學(xué)生、訪客三類(lèi)不同群體的接入控制，取得了很好的效果。

對(duì)學(xué)生的靈活接入控制

Aruba 基于用戶(hù)、基于時(shí)間、基于地點(diǎn)的訪問(wèn)控制策略功能在北師大二附中發(fā)揮的淋漓盡致，實(shí)現(xiàn)了對(duì)學(xué)生用戶(hù)接入網(wǎng)絡(luò)進(jìn)行靈活控制，在教室區(qū)域，只有在中午12:30-13:30、晚上19:30-22:30 才可以接入網(wǎng)絡(luò)，其余上課時(shí)間均不允許接入網(wǎng)絡(luò)。由于Aruba 內(nèi)置了策略防火墻模塊，可以實(shí)現(xiàn)基于用戶(hù)、設(shè)備類(lèi)型、位置、時(shí)間區(qū)分策略，嚴(yán)格劃分不同的接入權(quán)限，包括限制可以訪問(wèn)哪些網(wǎng)站、可以使用哪些應(yīng)用以及使用的帶寬等。

對(duì)數(shù)字班iPad 的靈活入網(wǎng)認(rèn)證

學(xué)校為數(shù)字班共配發(fā)iPad，該iPad 會(huì)在上課時(shí)隨機(jī)發(fā)給學(xué)生，所以希望學(xué)生在連接同一個(gè)SSID 時(shí)，使用自帶的設(shè)備需要輸入賬號(hào)進(jìn)行認(rèn)證，而使用學(xué)校的iPad 則無(wú)需認(rèn)證；Aruba 基于MAC+Portal 的雙因素認(rèn)證實(shí)現(xiàn)了該功能，事先將iPad 的MAC 填入ClearPass 的靜態(tài)主機(jī)列表，iPad 在連接時(shí)，會(huì)首先通過(guò)MAC 認(rèn)證而接入網(wǎng)絡(luò)，無(wú)需再次彈出Portal 認(rèn)證，并且該設(shè)備不受接入時(shí)間和地點(diǎn)的控制，所有時(shí)間段均可上網(wǎng)；而使用學(xué)生自帶的設(shè)備時(shí)，會(huì)直接彈出Portal，并且受接入時(shí)間段控制。

對(duì)教室APPLE TV 的嚴(yán)格控制

北師大二附中各班級(jí)在上課時(shí)均使用APPLE TV 進(jìn)行投影，由于APPLE TV 自身的技術(shù)限制，原來(lái)在使用胖AP 時(shí)，每個(gè)班級(jí)的AP 需要規(guī)劃不同的SSID，并且指定到不同的VLAN，才能實(shí)現(xiàn)連入本班AP的用戶(hù)只能搜索到本班的APPLE TV，這種方式顯然是非常麻煩的。Aruba 獨(dú)有的AirGroup 功能，可以讓APPLE TV 跨3層發(fā)現(xiàn)，也可以組播轉(zhuǎn)單播，減小網(wǎng)絡(luò)開(kāi)銷(xiāo)，還可以根據(jù)防火墻功專(zhuān)門(mén)將某一個(gè)APPLE TV 共享給某一個(gè)人或某一組人，提高訪問(wèn)的安全策略控制。

“Aruba ClearPass+無(wú)線控制器”提供了強(qiáng)大的AirGroup功能，可以在ClearPass 設(shè)置靈活的APPLE TV 共享策略，本次設(shè)置了基于位置來(lái)共享APPLE TV，即連入該班級(jí)的用戶(hù)只能搜索到該班級(jí)的APPLE TV，這樣該班級(jí)的APPLE TV就不會(huì)被其他地方的人搜索到，預(yù)防了APPLE TV 被濫用的可能性。

對(duì)教師的無(wú)感知認(rèn)證

由于使用Portal 認(rèn)證時(shí)，每次都需要無(wú)線用戶(hù)在認(rèn)證頁(yè)面上手工填寫(xiě)用戶(hù)名和密碼。因此，無(wú)線用戶(hù)在上網(wǎng)過(guò)程中，由于在線狀態(tài)超時(shí)或者用戶(hù)主動(dòng)離線等因素，經(jīng)常需要重復(fù)填寫(xiě)帳號(hào)和密碼，才能完成再次認(rèn)證的過(guò)程，這大大降低了用戶(hù)體驗(yàn)。

Aruba ClearPass 無(wú)感知認(rèn)證實(shí)現(xiàn)了在Poral 認(rèn)證后自動(dòng)基于MAC 地址的緩存功能，自動(dòng)登記了該用戶(hù)名對(duì)應(yīng)的設(shè)備（MAC 地址）列表，使無(wú)線用戶(hù)既獲得MAC 無(wú)感知認(rèn)證的便利性，又解決了MAC 認(rèn)證的可管理性問(wèn)題。

設(shè)置每個(gè)用戶(hù)帳號(hào)可以綁定的MAC 地址數(shù)量，在連接教師SSID 登陸時(shí)，只可以使用自己的用戶(hù)名登陸幾個(gè)個(gè)終端，超過(guò)限定數(shù)量時(shí)不能再登陸，以避免帳號(hào)的濫用；

為了提高網(wǎng)絡(luò)安全性，ClearPass 上設(shè)置每次MAC 地址緩存后可以進(jìn)行MAC 無(wú)感知認(rèn)證，從而實(shí)現(xiàn)對(duì)MAC 地址與用戶(hù)帳號(hào)綁定關(guān)系的周期性確認(rèn)。

對(duì)訪客的賬號(hào)自助注冊(cè)

北師大二附中由于經(jīng)常會(huì)有其他學(xué)校的師生來(lái)參觀學(xué)習(xí)，訪客流量和流動(dòng)性都很大，因此，為了減輕網(wǎng)絡(luò)管理的負(fù)擔(dān)，采用ClearPass 訪客自助注冊(cè)功能來(lái)實(shí)現(xiàn)訪客上網(wǎng)帳號(hào)的管理。訪客來(lái)到學(xué)校連接訪客SSID 后，通過(guò)訪問(wèn)自助注冊(cè)頁(yè)面，并填寫(xiě)相關(guān)信息，可以自助生成顧客帳號(hào)，訪客帳號(hào)的有效期預(yù)先設(shè)定了2 種，一種為長(zhǎng)期有效，供在學(xué)校進(jìn)修的外校老師使用，供來(lái)學(xué)校短期拜訪的訪客使用，效果非常好。