如何构建校园WiFi网络：大学IT指南

欢迎收听Purple企业网络简报。今天我们要解决一个重大的基础设施挑战：如何构建校园WiFi网络。具体来说，我们关注的是大学和大型场所的部署。如果你是CTO、IT总监或网络架构师，本简报就是为你准备的。我们将略过理论，专注于高密度无线环境的实际部署现实。 让我们从背景开始。校园WiFi网络不再仅仅是一种便利。它是关键基础设施。学生第一天就带着三四个设备。员工需要可靠的连接来进行视频会议、云应用和楼宇管理系统。而且，校园本身正日益成为一个智能环境——IoT传感器、数字标牌和访问控制都运行在同一个无线基础设施上。 挑战不仅仅是覆盖。而是容量。这一区别是本简报中最重要的概念。 让我们从基础开始：站点勘测。 在校园环境中，使用平面图的预测勘测只是起点。你绝对需要进行主动现场勘测。我们看到太多场所只依赖软件模型。19世纪演讲厅的砖墙对信号的衰减与现代干式墙截然不同。一座有着厚石墙和高天花板的维多利亚时代建筑，其表现将完全不同于专门建造的现代校园楼。 你的主动勘测应该绘制出高密度区域——礼堂、学生会、图书馆、食堂——并识别RF干扰源。微波炉、蓝牙设备，甚至邻近网络，如果你没有考虑到它们，都可能降低性能。 你的勘测输出应该是一张热力图，显示每栋建筑每层楼的信号强度、信道利用率和干扰水平。这将成为你接入点放置计划的基础。 现在，在规划接入点放置时，经验法则是容量优先于覆盖。不再仅仅是为了让信号到达房间角落。而是要在三百座的演讲厅中支持每个学生三台设备。这意味着部署高密度接入点，通常是WiFi 6或WiFi 6E，并积极管理信道重叠。 对于高密度空间，考虑部署带定向天线的接入点，将RF能量向下聚焦到座位区，而不是使用全向天线向所有方向发射信号并导致相邻AP之间的干扰。 现在来看架构。 三层模型是企业校园网络的标准：管理层、核心层和接入层。 在顶层，你有集中式WLAN控制器——无论是本地部署还是云管理的。这是网络的大脑。它处理无缝漫游、策略执行、RF优化和所有接入点的固件管理。云管理控制器已成为新部署的主要选择，因为它们简化了多站点管理并降低了本地硬件成本。 中间层，你有核心和分布交换基础设施。这些是你的高容量交换机，它们汇聚来自接入层的流量，并将其路由到你的互联网网关和内部资源。 底层，你有接入层：以太网供电交换机和无线接入点本身。对于新部署，PoE Plus是最低标准，因为WiFi 6接入点比其前代产品消耗更多功率。 现在我们来谈谈用户入门和身份验证——因为这是许多校园网络在实践中失败的地方。 你有成千上万的临时用户：注册学生、员工、访问学者、会议代表和公众。每个群体都有不同的访问要求和不同的安全隐患。 对于员工和注册学生，实施802.1X与EAP认证是不可协商的。这将无线访问与你现有的身份提供商——无论是Active Directory、LDAP还是云身份服务——联系起来。用户使用其机构凭据进行身份验证，网络将他们动态分配到适当的VLAN。这提供了基于凭据的加密访问，满足了ISO 27001和Cyber Essentials等标准的要求。 对于访客和临时用户，你需要一个安全、合规且不会产生大量帮助台工单的Captive Portal解决方案。这就是专用访客WiFi平台真正增加价值的地方。像Purple的Guest WiFi平台这样的解决方案提供安全、符合GDPR的入门、可自定义的启动页面，以及至关重要的是关于你的场所如何被使用的分析。你可以了解人流量模式、停留时间和高峰使用时段——这些情报具有真正的运营价值。 我们来讨论VLAN和网络分段。 适当的VLAN分段对于安全性和性能都至关重要。至少，你应该为员工、学生、访客和IoT设备设置单独的VLAN。你的IoT VLAN尤其重要。智能建筑传感器、HVAC控制器、数字标牌和安全摄像头绝不应与用户设备共享网络段。一个有漏洞的IoT设备不应该能够与学生的笔记本电脑通信。 现在我们来谈谈漫游——因为无缝切换对用户体验至关重要。 当用户从图书馆走到食堂时，他们的VoIP通话不应该中断。他们的视频流不应该缓冲。他们的云应用不应该超时。实现这一点需要仔细调整发射功率和实施快速漫游标准。 你需要了解的三个标准是802.11k、802.11v和802.11r。它们一起有时被称为快速漫游三件套。802.11k允许接入点向客户端提供相邻AP列表，以便设备在需要之前就知道漫游到哪里。802.11v允许网络建议客户端漫游到更好的AP。802.11r实现快速BSS转换，大大缩短漫游期间的认证时间——这对于语音和实时应用至关重要。 但是如果你的发射功率配置不当，这些都不起作用。如果你的AP以全功率发射，即使有更近的AP可用，客户端设备也会粘在某个AP上。这就是经典的粘滞客户端问题。设备看到来自远距离AP的强信号，拒绝漫游到更近的AP，导致该用户性能下降，并对远距离AP造成不必要的负载。 解决方案是调整你的小区大小。降低发射功率，使相邻AP的覆盖小区刚好重叠——通常重叠约15%到20%。并禁用接入点上的最低数据速率——1、2和5.5 Mbps。当你允许设备以这些传统速度连接时，它们将无限期地保持弱信号。禁用这些速率会迫使设备断开连接并漫游到更强的AP。 现在是基于我们从客户那里最常听到的一些快速问答。 问题一：我们应该将IoT设备分离到自己的网络上吗？绝对应该。将IoT设备——智能显示器、HVAC传感器、访问控制系统——放在具有严格防火墙规则的专用VLAN上。不要让它们拥塞你的主数据网络，也不要允许它们与用户设备横向通信。 问题二：我们如何处理不支持现代认证的传统设备？对于不能进行802.1X的设备——例如学生宿舍中的旧智能电视或游戏机——实施MAC认证旁路，即MAB。这允许你注册特定的设备MAC地址，并将其分配到适当的VLAN，而无需基于凭据的认证。 问题三：室外覆盖呢？这是必不可少的，而且通常是一个事后才想到的事情。使用加固的、防风雨的接入点与定向天线覆盖四方院、室外座位区和体育设施。室外AP需要能够应对极端温度、湿气和防破坏——不要将室内单元部署在室外。 问题四：我们如何处理管理平面的安全？确保你的控制器管理接口在一个专用的管理VLAN上，只能从授权的管理员工作站访问。为所有管理员账户启用多因素认证。并定期检查你的接入点安全态势。 总结今天简报的关键要点。 第一：为容量而非仅仅覆盖而设计。在现代校园环境中，瓶颈几乎从来不是信号强度——而是高效服务数百个并发设备的能力。 第二：进行主动现场RF勘测。不要仅仅依赖预测模型。建筑材料、干扰源和物理布局都需要在现实世界中进行验证。 第三：实施三层架构并集中管理。云管理控制器为你提供整个园区的可见性和控制。 第四：对员工和学生使用802.1X，对访客使用安全的Captive Portal。利用你的访客WiFi平台捕获分析数据并推动运营智能。 第五：调整你的网络以实现无缝漫游。实施802.11k、v和r。降低发射功率。禁用传统数据速率。消除粘滞客户端。 第六：使用VLAN对你的网络进行分段。将IoT、访客、员工和学生流量分开。 要进行更深入的技术探索，包括架构图、工作示例和完整的实施检查表，请阅读我们Purple网站上关于如何构建校园WiFi网络的完整指南。 感谢收听Purple企业网络简报。