企业办公无线解决方案

      行业背景

      大型企业在无线网络建设期间要充分考虑访客（领导、客户、合作伙伴）接入网络的需求。首先从安全性考虑，访客网络必需要和办公网络分开，访客网络单独提供应访客使用。从用户体验角度考虑，访客接入网络的验证方式一定要做到简朴易行，繁琐的验证方式会降低访客对企业的整体印象。同时对于访客网络，企业还需要建立完善的网络安全治理机制，避免因为访客的网络不良访问给企业带来的法律风险。对于企业员工移动办公上网，更需要做到可管控，上网行为做到可追溯，企业有效的带宽资源得到公道的分配和保证，才能使企业的业务系统正常且不乱高效地运行，同时保证企业信息安全，避免秘要信息泄露。

      存在的问题（用户需求）

      1、接入不安全：缺乏安全可靠的认证机制，企业无线网络接入不安全；

      2、上网权限混乱：缺乏有效的控制策略，员工上网权限不分明；

      3、数据信息安全：缺乏有效的数据加密机制，企业数据被黑客窃取篡改；

      4、无线信号差：AP机能不佳，上网总掉线，点位规划不公道，信号盲区多；

      5、周游效果差：不能实现二三层周游，移动办公时，业务间断。

      解决方案：

      结适用户无线网络需求情况，结合一飞产品自身技术特点，为了满足用户构建一个高速、稳定、安全、可靠、易于治理的无线接入网络的需求，本设计方案按照AP+AC的结构化无线网络解决方案进行设计。详细设计为在总部设置总部AC,在大型分支机构设置分支AC与分支AP，中型分支机构设计二级，三级交換机，分支AP。小微型分支机构直接设置分支AP。总部AC可以对大型分支机构的AC进行治理，当网点控制器采用集中治理的模式进入到中央端控制器时，会自动下载中央真个公共配置，好比IP组、MAC地址库、时间计划、角色授权、认证页面等 。总部AC也可以直接治理中小型分支机构的分支AP，实现同一治理。

      方案设计：

      安全无线整体解决方案：

      接入前&接入时进行身份认证、信锐安全无线网卡、账号绑定（硬件码+手机号），非法热门检测及防备、网络攻击防护、射频定时封闭及安全加固。

      接入后&上网时进行访问权限控制。

     上网后进行上网行为记实。

     上网用户身份实名认证：

      无线办公网采用802.1X/Portal/WAPI认证，外置AAA和RADIUS+AD用于存储用户账号密码。

      每个账号对应一个员工，包括姓名、部分、性别以及身份证、手机号等个人信息，保证每个上网的账号都是可寻的，便于安全治理。

      用户输入账号密码上网验证时均采用加密传输，防止黑客空中拦截，窃取账号密码等数据。

      上网账号自动绑定终端：

      自动将账号与终真个硬件特征码进行绑定，防止账号被他人使用或者被盗用。

      每台设备的硬件特征码是独一的，无法通过软件修改，即使通过软件修改了仍旧可以识别原始的MAC。

      每个账号最多可以绑定5台终端，超过1台时需要治理员审核。

      上网账号二次绑定手机号码：

      账号首次登陆时需要绑定手机号并输入短信验证码，当用户账号在新终端登陆时（换终端/被他用/被盗），不仅需要输入密码，还需要输入短信验证码，解决员工账号认证的安全题目

      绑定手机号码的用户，可以自助重置密码和修改密码，无需通过IT治理员。

      用户密码治理及自助修改：

      无需通过治理员即可修改密码，进步效率及减轻治理员工作压力。

      通过口袋助理、钉钉、企业号等手机MOA类APP软件进行无线密码修改。

      若账号绑定了手机号码，可通过手机验证码自助修改。

      上网终端正当效验：

      采用一飞安全无线网卡接入无线网络，终端与AP热门的双向验证，进步安全性。

      可以将无线网络设置为只有安装了信锐安全无线网卡的终端才能接入无线网络。

      支持设置安全无线网卡只能连指定SSID无线网络，无法连接非授权SSID。

      一飞网卡与AP数据传输时自动进行数据加密，保证无线的空口安全。

      无线热门扫描及非法热门按捺：

      背景：黑客在四周搭建一个一模一样或者类似的WIFI名称，诱使用户连到虚假钓鱼WIFI上，黑客利用分析软件从用户上网产生的数据包中分析提取用户隐私信息。

      我们通过WIPS无线入侵防备系统实时检测附近无线信号，当检测出来的信号BSSID、且AP源MAC地址不在授权列表中时，我们向对应的AP和终端发送解除联系关系帧，让终端无法连上钓鱼WIFI，7×24小时不中断监测网络。

      上网行为严格控制：

      强盛的治理：通过应用识别技术，可以根据应用类型或者详细某一种应用进行封堵，包括视频、论坛、游戏、金融、下载等4800多种网络应用。

      通过应用识别技术，可以根据应用类型或者详细某一种应用进行封堵，好比上班时间不答应炒股，不答应P2P下载，不答应外发敏感文件等； 支持主流移动平台，可识别IM、社交、Mail、新闻、炒股等应用。

      无线控制器内置千万级别的URL分类库，能够对URL进行识别，包含新闻、购物、金融、教育等18个种类的URL地址； 正确识别目前主流网站，识别率高达99.9%，有效实现网页过滤。例如禁止登陆非法网站

      通过基于时间段的访问控制策略，实现不同的时间段不同的访问权限，好比上班时间，禁止访问网上银行、游戏、论坛贴吧等与工作无关的应用，放工时间则不受限制。

      办公区域内，不同办公部分总会有各自专属的无线网络，并且不但愿部分之外的成员使用这个网络。无线网络控制器可以根据用户的属性，限制禁止非本部分的用户接入。

      典型无线网络攻击防护：

      对典型的危险攻击行为进行检测，当超过设定的阈值后自动将攻击者加入到黑名单中，并冻结一定时间，即时发现网络攻击并进行防备。

      检测的攻击包括：DDOS防备、ARP扫描、IP扫描、端口扫描防备，禁止客户端私设IP以及ARP、网关欺骗防备、DHCP哀求泛洪防备。

      无线射频定时封闭开启：

      通过射频封闭控制策略，可以指定某SSID网络，定时自动封闭和开启无线网络的射频信号，晚上放工后自动封闭无线射频信号。

      一方面可以节能减排、节省电费支出；另一方面又能防止非法用户利用深夜时间入侵无线网络，做一些非法的操纵。

      有线无线一体化治理：

      一飞NAC的有线无线一体化，支持对有线用户的接入认证、访问控制、流量治理、上网行为审计等，

      并提供同一中文Web治理界面，一站式服务，极大的降低网络建设本钱。

      网络分权分级治理：

      分配不同的治理员分别治理各自权限区域的无线AP，可以精细到对某AP分组有治理权限，该治理员可以在该AP分组上建立无线网络，能够激活、删除接入点，能够对AP的配置进行编纂修改。

      可指定治理员针对每个页面的编纂或可查看权限，控制粒度到控制器上的各个页面，对某个页面没有读权限则登录时不显示。

      移动APP随时随地运维治理：

      支持跨互联网运维治理

      登陆APP进行维护治理：不同治理员，不同权限

      查看网络运行情况：在线用户、在线AP数目、实时流量

      无线网络治理维护：开启封闭SSID、终端绑定审批、二维码上网审核

      故障、审批实时通知：AP离线警告、服务器离线警告、网络攻击告警

      方案优势：

      1、丰硕的无线安全机制，提供从安全接入到安全上网等端到真个安全策略

      2、公道管控工作职员上网行为，晋升工作效率、防止带宽铺张，有线无线双重管控

      3、为会议室，讲演厅等职员密集区域接入网络进步保证，解决有线网口不足的题目；

      4、为企业员工的移动办公提供支撑，内部员工可通过无线网络随时安全接入内部网络，实现办公；

      5、内部员工账号及个人信息绑定，便于安全治理；

      6、内部员工可通过自己的办公设备在企业大楼内快速移动办公，网络接入更快速，上网行为治理系统对员工上网行为进行审计与管控

      7、来访客户接入企业网络，可根据不同需求，分配不同的上网权限，保证了接入的安全性同时晋升群众上网的体验

      8、丰硕的认证机制，知足组织对无线网络安全、快速接入

      9、投资成本低，通过部署一飞无线控制器替代原有网络的出口路由、行为治理以及无线控制器

       企业无线WiFi传输方案，企业智慧无线WiFi覆盖方案，企业微信认证无线WiFi，星级酒店网络工程设计方案，星级酒店智能化设计方案 ，成都星级酒店网络工程设计，重庆星级酒店网络工程设计，贵阳星级酒店网络工程设计，酒店无线WIFI覆盖方案设计，医院无线WIFI覆盖方案，商场无线WIFI覆盖方案，城市综合体无线WIFI覆盖方案，无线WIFI系统方案设计，酒店、医院、宾馆、商场等无线WIFI覆盖设计方案