如何构建校园 WiFi 网络：大学 IT 指南

欢迎阅读 Purple 企业网络简报。今天我们将应对一个重大的基础设施挑战：如何构建校园 WiFi 网络。具体而言，我们将重点关注大学和大型场馆的部署。如果您是 CTO、IT 总监或网络架构师，这份简报正适合您。我们将摒弃繁琐的理论，专注于高密度无线环境在实际部署中的现实情况。 让我们先从背景说起。校园 WiFi 网络已不再仅仅是一种便利，而是关键的基础设施。学生在入学的第一天就会携带三到四个设备。教职员工需要可靠的连接来进行视频会议、云应用和楼宇管理系统。而且，校园本身也越来越智能化 - IoT 传感器、数字标牌和门禁控制系统都运行在同一个无线基础设施上。 面临的挑战不仅仅是覆盖范围，而是容量。这一区别是本简报中最重要的概念。 让我们从最基础的工作开始：现场勘测。 在校园环境中，使用平面图进行预测性勘测仅仅是起点。您绝对需要进行现场主动勘测。我们看到太多场馆完全依赖软件模型。十九世纪阶梯教室的砖墙对信号的衰减与现代石膏板完全不同。具有厚石墙和高天花板的维多利亚时代建筑，其无线特性与专门建造的现代校园大楼完全不同。 您的主动勘测应绘制出高密度区域 - 礼堂、学生会、图书馆、食堂 - 并识别射频干扰源。如果您没有将微波炉、Bluetooth 设备甚至相邻网络考虑在内，它们都会降低网络性能。 勘测的输出应该是一张热图，显示每栋大楼每一层的信号强度、信道利用率和干扰水平。这构成了您接入点部署计划的基础。 现在，在规划接入点部署时，黄金法则是容量重于覆盖范围。现在的重点不再仅仅是让信号覆盖到房间的角落，而是要在拥有三百个座位的阶梯教室内，为每位学生支持三台设备。这意味着需要部署高密度接入点，通常是 WiFi 6 或 WiFi 6E，并积极管理信道重叠。 对于高密度空间，请考虑部署带有定向天线的接入点，将射频能量向下集中到座位区，而不是使用向所有方向发射信号并导致相邻 AP 之间产生干扰的全向天线。 接下来谈谈架构。 三层模型是企业校园网络的标准配置：管理层、核心层和接入层。 在顶层，您有集中式 WLAN 控制器 — 无论是本地部署还是云端管理。这是网络的大脑。它负责处理所有接入点之间的无缝漫游、策略执行、射频（RF）优化和固件管理。云端管理控制器已成为新部署的主流选择，因为它们简化了多站点管理并降低了本地硬件成本。 在中间层，您有核心和分布交换基础设施。这些是您的高容量交换机，用于汇聚来自接入层的流量，并将其路由到您的互联网网关和内部资源。 在底层，您有接入层：以太网供电（PoE）交换机和无线接入点本身。对于新部署，PoE Plus 是最低标准，因为 WiFi 6 接入点比其前代产品消耗更多电力。 现在让我们谈谈用户准入和身份验证 — 因为这是许多校园网络在实际应用中失败的地方。 您有数以千计的临时用户：注册学生、教职员工、来访学者、会议代表和普通公众。每个群体都有不同的访问需求和不同的安全影响。 对于教职员工和注册学生，实施带有 EAP 身份验证的 802.1X 是不可逾越的底线。这会将无线访问链接到您现有的身份提供商 — 无论是 Active Directory、LDAP 还是云身份服务。用户使用其机构凭据进行身份验证，网络会动态地将他们分配到相应的 VLAN。这提供了符合 ISO 27001 和 Cyber Essentials 等标准要求的加密凭据访问方式。 对于访客和临时用户，您需要一个安全、合规且不会产生大量服务台工单的 Captive Portal 解决方案。这正是专用访客 WiFi 平台发挥真正价值的地方。像 Purple 的访客 WiFi 平台这样的解决方案提供安全、符合 GDPR 要求的准入流程、可定制的展示页面，以及至关重要的、关于场馆使用情况的分析。您可以深入了解客流量模式、停留时间和高峰使用期 — 这些智能分析具有真正的运营价值。 让我们讨论一下 VLAN 和网络分段。 合理的 VLAN 分段对于安全性和性能都至关重要。至少，您应该为教职员工、学生、访客和物联网（IoT）设备设置独立的 VLAN。您的物联网 VLAN 尤为重要。智能建筑传感器、暖通空调（HVAC）控制器、数字标牌和安全摄像头绝不应与用户设备共享网络分段。带有漏洞的物联网设备不应该能够与学生的笔记本电脑进行通信。 现在让我们谈谈漫游 — 因为无缝切换对用户体验至关重要。 当用户从图书馆走向食堂时，他们的 VoIP 呼叫不应中断，他们的视频流不应缓冲，他们的云端应用程序也不应超时。要实现这一目标，需要仔细调整发射功率并实施快速漫游标准。 您需要了解的三种标准是 802.11k、802.11v 和 802.11r。它们在一起有时被称为快速漫游三件套。802.11k 允许接入点为客户端提供相邻 AP 的列表，以便设备在需要漫游之前就知道去哪里。802.11v 允许网络向客户端建议其应漫游到更好的 AP。而 802.11r 则可实现快速 BSS 过渡，从而显著缩短漫游期间的认证时间 - 这对于语音和实时应用至关重要。 但如果您的发射功率配置错误，这一切都无法发挥作用。如果您的 AP 以全功率发射，即使有更近的 AP 可用，客户端设备也会粘在某个 AP 上。这就是经典的“粘性客户端”问题。设备看到来自远端 AP 的强信号，拒绝漫游到更近的 AP，从而导致该用户的使用性能下降，并给远端 AP 带来不必要的负载。 解决方案是调整您的蜂窝小区大小。降低发射功率，使相邻 AP 的覆盖小区刚好重叠 - 通常在 15% 到 20% 左右。并禁用接入点上的最低数据速率 - 1 Mbps、2 Mbps 和 5.5 Mbps。当您允许设备以这些传统速度连接时，它们将无限期地保持微弱的信号。禁用这些速率会强制设备断开连接并漫游到信号更强的 AP。 现在解答一些我们最常从客户那里听到的快速问答。 问题一：我们应该将 IoT 设备隔离到它们自己的网络中吗？当然应该。将 IoT 设备 - 智能显示屏、HVAC 传感器、门禁控制系统 - 放在具有严格防火墙规则的专用 VLAN 上。不要让它们拥堵您的主要数据网络，也不要允许它们与用户设备进行横向通信。 问题二：我们如何处理不支持现代认证的传统设备？对于无法进行 802.1X 的设备 - 例如学生宿舍中较旧的智能电视或游戏机 - 请实施 MAC 认证绕过（MAB）。这使您可以注册特定设备的 MAC 地址并将其分配给适当的 VLAN，而无需基于凭证的认证。 问题三：户外覆盖怎么办？这很关键，但往往被事后才想起。使用配备定向天线的加固型防风雨接入点来覆盖方庭、户外座椅区和体育设施。户外 AP 需要应对极端温度、潮湿以及抗破坏性 - 切勿在户外部署室内型设备。 问题四：我们如何处理管理平面的安全？确保您的控制器管理接口位于专用管理 VLAN 上，且仅允许经授权的管理员工作站进行访问。为所有管理员帐户启用多因素身份验证。并定期审查您的接入点安全态势。 总结一下今天简报的主要内容。 首先：为容量而设计，而不仅仅是覆盖范围。在现代校园环境中，瓶颈几乎从不是信号强度 - 而是高效服务数百台并发设备的能力。 其次：进行主动的现场 RF 勘测。不要完全依赖预测模型。建筑材料、干扰源和物理布局都需要在现实世界中进行验证。 第三：实施具有集中管理的三层架构。云管理控制器可为您提供整个领域的可见性和控制力。 第四：为教职工和学生使用 802.1X，为访客使用安全的 Captive Portal。利用您的访客 WiFi 平台来捕获分析并推动运营智能。 第五：针对无缝漫游调整您的网络。实施 802.11k、v 和 r。降低发射功率。禁用传统数据速率。消除粘性客户端。 第六：使用 VLAN 细分您的网络。保持 IoT、访客、教职工和学生流量的分离。 如需更深入的技术探讨，包括架构图、工作示例和完整的实施清单，请在 Purple 网站上阅读有关如何构建校园 WiFi 网络的完整指南。 感谢收听 Purple 企业网络简报。